O recurso de gerenciamento de logon do Security Center é um componente essencial para garantir a segurança do sistema e proteger os dados dos usuários. Este tópico descreve como gerencie efetivamente as informações de logon comuns e como visualize e trate alertas de logon incomum.
Gerenciar informações de logon comuns
Configure locais de logon comuns, endereços IP de logon comuns, horários de logon comuns e contas de logon comuns. O Security Center gera alertas para logons fora dos intervalos especificados. Siga as etapas abaixo para configure as informações de logon comuns.
Não há um limite explícito para o número de endereços IP de logon comuns. Configure vários endereços IP individualmente, conforme necessário. Caso precise configure um grande número de endereços IP (como centenas), recomendamos configure intervalos de IP (no formato CIDR) para realizar a configuração em lote, reduzindo o número de regras e facilitando o gerencie posterior.
Faça login no Security Center console.
No painel de navegação à esquerda, escolha . No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.
Na página Host-specific Rule Management, clique em na aba Common Logon Management.
-
Na aba Common Logon Management, gerencie Approved Logon Location, Approved Logon IP Address, Approved Logon Time e Approved Logon Account.
As etapas de configuração de Approved Logon Location, Approved Logon IP Address, Approved Logon Time e Approved Logon Account são essencialmente as mesmas. O exemplo a seguir demonstra como gerencie Approved Logon Location. Para as demais regras, siga os mesmos passos utilizados para Common Logon Location.
Na aba Approved Logon Location, clique em Create Policy.
No painel Approved Logon Location, selecione uma ou mais regiões como locais de logon comuns, selecione os servidores aos quais a regra se aplica e clique em OK para concluir a configuração.
-
O Security Center permite edite e exclua locais de logon comuns já adicionados.
Clique em Edit ao lado do local de logon comum desejado para modifique os servidores aos quais o local de logon se aplica.
Clique em Delete ao lado do local de logon comum desejado para exclua a configuração desse local.
O Security Center também permite adicionar anotações aos endereços IP de logon comuns. Na aba Approved Logon IP Address, clique em no ícone
na coluna Note do endereço IP desejado para adicionar uma descrição.
Visualizar e tratar alertas de logon incomum
Visualizar alertas
Visualize e trate alertas de logon incomum na página Alert, na aba CWPP, definindo o tipo de alerta como Unusual Logon. Para mais informações, consulte Evaluate and handle security alerts.
Também é possível clique em Details na coluna Actions para visualize informações detalhadas sobre o item de risco do alerta.
Instruções de tratamento
-
Precisão da localização do IP
Precisão padrão: a localização do endereço IP em um alerta de Unusual Logon é precisa somente até o nível de província ou estado, como Guangdong.
Limitação: a localização no nível de cidade não é diretamente compatível.
-
Como consultar a localização detalhada
Para obter a localização no nível de cidade e as informações da operadora, siga estas etapas:
Registre o endereço IP: na página de detalhes do alerta, copie o endereço IP público da source do logon.
Consulte por meio de um service de terceiros: utilize um service de consulta de IP de terceiros, como o ipip.net, para obter a localização detalhada e as informações da operadora do endereço IP.
-
Recomendações para o tratamento posterior
Adote as medidas de segurança adequadas com base no resultado da consulta:
-
Cenário A: source de logon confirmada como normal
Ação: selecione o alerta na página Security Alerts e adicione-o à lista de permissões.
Efeito: o endereço IP ou bloco CIDR é adicionado à lista de confiança, evitando alertas duplicados.
-
Cenário B: localização não corresponde ao esperado (possível acesso não autorizado suspeito)
Risco: possíveis riscos de força bruta ou acesso não autorizado.
Ação: restrinja as regras do grupo de segurança do servidor.
Configuração: para portas de gerenciamento remoto (Windows: 3389 / Linux: 22), restrinja a source apenas a endereços IP ou blocos CIDR confiáveis e bloqueie todos os demais endereços IP.
-
Perguntas frequentes
-
Nenhum alerta de logon incomum é recebido após a configuração das regras de logon comum?
Se você configure regras de local de logon comum, endereço IP de logon comum, horário de logon comum ou conta de logon comum, mas nenhum alerta é recebido para um logon fora do intervalo especifique, solucione o problema da seguinte forma:
Confirme se a regra está em vigor: na página Host-specific Rule Management, na aba Common Logon Management, verifique se a regra correspondente existe e está em estado normal.
Verifique se os servidores cobertos pela regra estão corretos: cada regra de logon comum deve especifique os servidores aos quais se aplica. Confira se o servidor em que o logon incomum ocorreu está incluído no escopo da regra.
Confirme se as notificações de alerta estão ativas: verifique se a notificação de alerta de logon incomum está ativada nas configurações de alerta de segurança e se os métodos de notificação (SMS, e-mail, DingTalk etc.) estão configure corretamente. Para mais informações, consulte a documentação pertinente sobre configurações de alerta de segurança.
Visualize os logs de logon: no Security Center console, acesse os logs de logon na página Logon Audit ou em uma página relacionada para confirme se o comportamento de logon incomum foi registrado.
-
Como tratar as configurações de logon comum após alterar o endereço IP público de um servidor?
Após alterar o endereço IP público de um servidor, as regras de IP de logon comum existentes podem deixar de ser aplicáveis. Além disso, registros de logon do endereço IP anterior ainda podem disparar alertas de logon incomum, pois o Security Center determina logons incomuns com base no histórico de comportamento de logon. Resolva o problema da seguinte forma:
Atualize os endereços IP de logon comuns: na aba Common Logon Management, na sub-aba Approved Logon IP Address, exclua a configuração de IP antiga e adicione o novo endereço IP público.
Ignore alertas do IP antigo: se o alerta de logon incomum ocorreu antes da alteração do endereço IP e foi disparado por comportamento histórico de logon, ignore o alerta na página Security Alerts.
Sincronize as informações de ativos mais recentes: após a alteração do endereço IP, recomendamos sincronizar as informações de ativos no Asset Center para garantir que os endereços IP dos servidores registrados pelo Security Center estejam atualizados.