Security Center:Multi-account security management

Configuração de segurança e gerenciamento de riscos centralizados

• Gerenciamento centralizado de configurações de proteção e riscos de segurança

Os dados e as configurações das contas-membro são independentes entre si. Use uma conta de administrador delegado do Security Center para gerenciar centralmente as configurações de proteção de várias contas-membro, tratar riscos de segurança e executar hardening. Essa abordagem aumenta a eficiência das operações de segurança e resolve a dificuldade de gerenciar a segurança em múltiplas contas.

• Ingestão, armazenamento e análise de ameaças de logs entre contas

Use o recurso Agentic SOC do Security Center para ingerir dados das contas-membro na conta do administrador delegado, permitindo armazenamento e análise centralizados. Isso ajuda a identificar riscos de segurança entre contas e fornece uma visão global dos eventos de segurança.

Faturamento centralizado com cotas compartilhadas entre várias contas

Um administrador delegado pode comprar cotas centralmente para vários recursos do Security Center e, em seguida, alocar as cotas correspondentes às contas-membro. As contas-membro podem usar as cotas alocadas sem precisar fazer compras separadas. Isso permite que as empresas comprem recursos de segurança do Security Center de forma centralizada e simplifica a contabilidade interna de custos.

• Se uma conta-membro já tiver comprado uma instância do Security Center, não será possível alocar cotas para ela por meio do gerenciamento de cotas. Para alocar cotas, a conta-membro deve primeiro cancelar a assinatura da instância por assinatura e desativar sua instância de pagamento conforme o uso.

• Para pagar centralmente todos os custos de product cloud das contas-membro da sua empresa, use o recurso de curadoria financeira. Para mais informações, consulte Visão geral.

• Por motivos de segurança, use uma conta de administrador delegado do Security Center para comprar cotas em vez da conta de gerenciamento.

Limites de alocação de cotas

Apenas contas de administrador delegado podem alocar cotas de assinatura do Security Center para contas-membro dentro do seu escopo de gerenciamento. A alocação de cotas é permitida somente para contas-membro que não tenham comprado uma instância de assinatura do Security Center e não tenham ativado nenhum service de pagamento conforme o uso, exceto detecção sem agente e segurança Serverless. A tabela a seguir lista os recursos compatíveis com alocação de cotas.

Visualizar e comprar cotas

1. Faça login no console do Security Center com uma conta de administrador delegado. Faça login no console do Security Center.

2. Na página Overview, na seção Subscription, visualize as cotas de assinatura da sua instância do Security Center.

   Esta seção exibe todos os recursos e cotas comprados. Por exemplo, para a Subscription exibida à direita de Anti-Ransomware, 150 indica a cota total de capacidade anti-ransomware (150 GB) comprada pela conta atual da Alibaba Cloud, e 132,9 indica a capacidade já utilizada (incluindo regiões dentro e fora da China continental).

   Quando a capacidade anti-ransomware restante cair abaixo de 20%, um aviso aparecerá na linha correspondente mostrando a capacidade restante e sugerindo que você clique em Expand para comprar mais capacidade.

3. Para comprar mais cotas, clique em Buy Now ou Upgrade Now e conclua a compra.

Para mais informações, consulte Comprar o Security Center e Upgrades e downgrades.

Alocar cotas

O recurso de gerenciamento de alocação de cotas multiconta está em fase de testes beta. Para usar este recurso, entre em contato com o suporte técnico.

1. Faça login no console do Security Center com uma conta de administrador delegado. Faça login no console do Security Center.

2. Na página System Configuration > Multi-account Management, na aba Configure, clique em Quota Management abaixo de Total Monitored Accounts para acessar a página Multi-account Quota Management.

3. Na página Multi-account Quota Management, clique em Edit.

4. Clique em Add Account. Na caixa de diálogo Add Account, selecione as contas-membro para as quais deseja alocar cotas e clique em OK.

   • A alocação de cotas é permitida apenas para contas-membro dentro do escopo de gerenciamento do administrador delegado atual. Não é possível alocar cotas para contas-membro não gerenciadas ou gerenciadas por outros administradores delegados.

   • Selecione apenas contas-membro que não tenham comprado uma instância de assinatura do Security Center e não tenham ativado nenhum service de pagamento conforme o uso, exceto detecção sem agente e segurança Serverless.

5. Na seção Quota Management, aloque cotas para as contas-membro.

   Na seção Purchased Quota, visualize os recursos e cotas comprados para a conta atual.

   A primeira conta na seção Quota Management mostra a cota alocável restante para a conta atual. Esta linha não pode ser editada, e as cotas não alocadas são atribuídas automaticamente à conta atual. Ao alocar uma cota de recurso para contas-membro, o total da alocação não deve exceder o número inicialmente mostrado na primeira linha dessa coluna. Após alocar cotas para contas-membro, o valor da primeira linha diminui proporcionalmente.

6. Clique em Save.

Após alocar cotas de servidores para contas-membro, o sistema vincula automaticamente as cotas alocadas aos servidores da conta-membro de forma aleatória, maximizando o uso das cotas. Cotas adicionais alocadas posteriormente não são vinculadas automaticamente. É necessário alternar para a conta-membro e vincular manualmente as cotas adicionais. Para mais informações, consulte Configurar edições ou níveis de proteção.

Visualizar visão geral de riscos

• Visualizar um resumo das informações de risco das contas-membro

Na página System Configuration > Multi-account Management, na aba Overview, visualize pontuações de segurança, contagens de ativos de risco, alertas de segurança, vulnerabilidades, problemas de linha de base e outras estatísticas das contas-membro gerenciadas. Identifique contas-membro com alto risco de segurança.

A página permite filtragem por Default Sort e Paid accounts only, além de busca aproximada por nome da conta, UID ou edição. As pontuações de segurança são exibidas como barras coloridas por gravidade: alto risco (0-70), risco médio (71-95) e seguro (acima de 95).

Na página Settings > Multi-account Management, na aba Configure, visualize estatísticas sobre riscos de segurança nas contas-membro.

A lista de contas inclui colunas como CSPM, Attack Count, AK Exposure Detection, entre outras. A coluna CSPM usa distintivos numéricos codificados por cores para categorizar as contagens de risco de cada conta.

• Visualizar detalhes de risco de uma conta-membro

No canto superior esquerdo do console do Security Center, alterne para uma conta-membro para visualizar suas informações de operações de segurança na página de visão geral Member. Para mais informações, consulte Visão geral.

Após alternar de conta, na área Security Operations, visualize a contagem pendente de itens de CSPM risks e Critical function configuration na seção Risk Governance.

Gerenciar configurações de segurança e riscos para contas-membro

1. Faça login no console do Security Center com uma conta de administrador delegado. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha System Configuration > Multi-account Management. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na página System Settings > Multi-account Management, na aba Configure, clique em Settings na coluna Actions de uma conta-membro.

4. No painel Settings, configure as definições de agente, varredura de vulnerabilidades e linha de base para a conta-membro, e clique em OK.

   • Agent Management: Configure as capacidades de defesa de segurança e as configurações de alerta.

     • Configurações de proteção de host

     • Configurações de proteção de contêiner

     • Configuração do cliente

     • Outras configurações

   • Vulnerability Management: Configure as definições de varredura de vulnerabilidades para a conta-membro. Para descrição das métricas, consulte Varredura de vulnerabilidades.

   • Baseline Check: Configure políticas de verificação de linha de base para a conta-membro. Para descrição das métricas, consulte Configurar e executar políticas de verificação de linha de base.

Na aba Host Protection Settings, a área Proactive Defense contém os seguintes itens de configuração: Malicious Host Behavior Defense, Anti-ransomware (Bait Capture), Web Backdoor Connection Defense, Malicious Network Behavior Defense e Proactive Defense Experience Optimization. Ative ou desative cada chave de recurso e configure o escopo de defesa. A aba também inclui as áreas Web Backdoor Removal e Adaptive Threat Detection. Clique em Next após concluir a configuração.

5. Na aba Configure da página Multi-account Management, clique no nome da conta-membro para alternar para o console dessa conta.

Após a alternância, o administrador delegado pode realizar inventário de ativos, detecção de riscos, hardening de segurança, proteção em tempo real, além de detecção e resposta ativas. Para uma visão geral dos recursos do Security Center, consulte Recursos.

Usar cotas alocadas

Depois que um administrador delegado do Security Center aloca cotas para contas-membro, estas podem usar as cotas recebidas. Se as cotas forem insuficientes, as contas-membro podem entrar em contato com a conta de gerenciamento para solicitar alocação adicional. Contas-membro não podem comprar, renovar ou atualizar instâncias do Security Center. O administrador delegado ou as contas-membro podem seguir as instruções abaixo para usar a cota de cada recurso e evitar desperdícios. As contas-membro devem concluir a autorização da função vinculada ao service por conta própria.

• Configurar edições ou níveis de proteção: Na página Overview ou Host, visualize e gerencie cotas de proteção de servidores, incluindo cota de servidores Ultimate Edition, Enterprise Edition, Premium Edition e Anti-virus Edition.

• Anti-ransomware: Crie políticas de mitigação para fazer backup de arquivos de dados essenciais em servidores ou bancos de dados. Para instruções, consulte os seguintes tópicos:

  • Criar uma política de proteção - Anti-ransomware de servidor

  • Criar uma política de proteção - Anti-ransomware de banco de dados

• Análise de logs: A entrega de todos os tipos de log é habilitada por padrão. Nenhuma ação manual é necessária.

  Contas de administrador delegado não podem usar o recurso de análise de logs das contas-membro alternando de conta no canto superior esquerdo do console. As contas-membro devem fazer login em seus próprios consoles para usar o recurso de análise de logs.

• Varredura de imagens de contêiner: Após realizar uma varredura de imagem, a cota correspondente é consumida para detectar riscos de segurança na imagem.

• Proteção de aplicações: Adicione sua aplicação à proteção de aplicações.

• Cloud honeypot: Implante honeypots em nuvem nos servidores para capturar ataques.

• Proteção contra adulteração de arquivos: Adicione proteção aos servidores para impedir a injeção de conteúdo malicioso em sites e garantir o funcionamento normal do site.

• CSPM: Configure políticas de verificação de risco para configurações de product cloud, políticas de verificação de linha de base do sistema e regras de varredura de caminho de ataque para executar o CSPM.

• Detecção agêntica de arquivos maliciosos: Detecte arquivos maliciosos chamando o SDK nos servidores para varrer arquivos offline ou varrendo arquivos armazenados no OSS pelo console do Security Center.

• Capacidade de armazenamento de logs do Agentic SOC: Ative a entrega de logs do Security Center e logs padronizados. Para mais informações, consulte Gerenciamento de logs.

• Tráfego de ingestão de logs do Agentic SOC: Ingira logs de product cloud no Agentic SOC. Para mais informações, consulte Logs de products.

Excluir uma conta-membro

Aviso

Após uma conta-membro receber alocação de cotas, tanto a exclusão da conta-membro quanto a exclusão da alocação de cotas para essa conta removerão as cotas alocadas. Todos os ativos sob a conta-membro perderão a proteção, o sistema liberará automaticamente todas as cotas e os logs serão apagados. Proceda com cautela.

Faça login com a conta de administrador delegado, acesse a página System Configuration > Multi-account Management, na aba Configure, e clique em Delete na coluna Actions de uma conta-membro para removê-la.

Excluir uma alocação de cota para uma conta-membro

Aviso

Excluir uma alocação de cota remove todas as cotas alocadas da conta-membro. Todos os ativos sob a conta perderão a proteção, o sistema liberará automaticamente todas as cotas e os logs serão apagados. Proceda com cautela.

Faça login com a conta de administrador delegado, acesse a página Overview e, na seção Subscription, clique em Multi-account Management. Na seção Quota Management, passe o ponteiro sobre o nome da conta, clique no ícone e clique em OK na caixa de diálogo de confirmação.

Referências

• Se você estiver usando a arquitetura Agentic SOC 1.0 (configurou um administrador delegado para Security Center - Threat Analysis para gerenciamento multiconta), consulte Gerenciamento multiconta centralizado para orientações operacionais.

• Caso esteja usando a arquitetura Agentic SOC 2.0, consulte Gerenciamento multiconta para instruções sobre como construir um sistema de gerenciamento de segurança multiconta.

• Para instruções sobre como uma conta-membro autorizada pode comprar o Security Center independentemente, consulte Como uma conta-membro autorizada pode comprar o Security Center independentemente?

FAQ

Como adiciono instâncias ECS de uma conta-membro ao Security Center da conta da Alibaba Cloud para gerenciamento centralizado?

Use o recurso de gerenciamento de segurança multiconta do Security Center. Faça login no console do Security Center com a conta de administrador delegado e acesse System Configuration > Multi-account Management. Na aba Configure, clique no nome da conta-membro de destino para alternar para o console dela e visualizar suas instâncias ECS e outros ativos. Diferentemente do Cloud Firewall, o Security Center não exige a compra de uma instância separada para a conta-membro. Visualize e gerencie todos os ativos alternando entre as contas.