Security Center：什麼是威脅分析與響應

常見應用情境

工作原理及流程

CTDR通過標準化的流程整合多雲、多帳號、多產品和不同安全廠商的日誌，利用威脅檢測規則分析日誌形成安全事件。並利用自動化響應編排能力，聯動相關雲產品對惡意實體執行封鎖、隔離等安全措施，實現快速且有效安全事件處置。核心環節如下：

1. 日誌採集與解析：從雲產品、第三方裝置、業務應用等不同資料來源採集原始日誌。

2. 警示產生：通過內建檢測規則或直接接入第三方產品的原生警示，從海量日誌中識別出潛在的威脅。

3. 事件彙總處置：通過可配置的關聯規則與圖計算模型，將描述同一攻擊行為的多個警示彙總成一個事件。

4. 響應編排：事件根據預設條件自動或手動觸發劇本，調用不同組件的動作，產生處置策略並下發處置任務，以實現自動化響應。

核心概念

• 實體：警示或事件中涉及的核心對象。實體是關聯不同警示、還原攻擊路徑的基礎。例如：IP地址、網域名稱、檔案雜湊、進程、主機、容器、雲資源ID（如ECS執行個體ID）、使用者帳號等。

• 事件：CTDR通過內建的規則和圖計算模型，將來自不同資料來源、描述同一攻擊行為的多個警示彙總關聯成一個安全事件，並自動還原攻擊時間軸。

• 處置策略：以處置情境為最小單位的警示處置詳情。每個處置實體在每個處置情境的處置結果均會產生一條處置策略。

• 處置任務：以範圍為最小單元的警示處置詳情。在事件處置過程中，每個處置實體的每個處置情境會根據範圍拆分成多個處置任務。

• 響應編排（：通過自動化的工作流程（即劇本）組織和管理安全響應動作。響應編排能夠根據預設邏輯，自動執行一系列操作，實現安全事件的自動化處置。

  • 劇本：預設的自動化安全工作流程，由流程起點、條件判斷、執行動作和流程終點組成。支援通過圖形化介面拖拽編排，自訂針對特定安全事件（如挖礦、勒索軟體）的響應邏輯。

  • 組件：用於串連和操作外部系統或服務的介面，是劇本中執行具體動作的載體。

  • 資源執行個體：操作的具體服務執行個體，如Cloud Firewall執行個體。

  • 動作：組件的具體執行能力，一個組件可能包含多種動作。以終端管理軟體為例，可能包括如禁用賬戶、隔離網路、發送通知等動作。

產品優勢

威脅分析與響應是一款深度整合AI Agent核心引擎的安全營運平台型解決方案，藉助CTDR安全營運工作可開啟“智能自動駕駛”模式，從人機協防到全自動處置，隨需而變。

• 高效洞察與彙總，警示收斂率達99.94%

  結合全球威脅情報、圖計算及雲原生日誌分析能力，能從海量警示中精準識別新型、未知及隱匿性高的威脅。安全事件平均檢測時間縮短至分鐘級。

• 秒級自動化響應，處置策略覆蓋率達95%

  基於AI Agent核心引擎，提供一鍵式處置策略與開箱即用的自動化劇本（支援自訂），無需手動設定。可協同各類安全產品及基礎設施，對事件、警示進行全自動分析與響應。

• 自動還原攻擊全貌

  運用圖計算和安全大模型，自動溯源並還原完整攻擊路徑與時間軸。

• 全域統一視野，跨資產事件發現率達90%

  統一歸集與處理跨雲、跨帳號、跨產品的日誌資料，大幅降低混合雲安全營運複雜度。通過集中化的管理與審計，提供全域安全洞察，有效簡化資料分析與合規工作。

CTDR安全營運效能

平均檢測時間（MTTD）、平均確認時間（MTTA）與平均回應時間（MTTR）是衡量安全營運效率的核心指標。以下資料基於真實使用者統計，展示 CTDR 在事件處理方面，整體安全營運效能。

支援接入的產品和日誌

威脅分析與響應CTDR預設支援阿里雲、華為雲、騰訊雲、飛塔、長亭、深信服等廠商的日誌，同時支援自訂產品接入。

版本升級說明

• 自2025年4月3日開通威脅分析與響應CTDR（Cloud Threat Detection and Response）服務的使用者，可享受升級後的架構。

• CTDR 2.0升級架構以日誌標準化能力構建為基礎，複用Log ServiceSLS能力，實現第三方雲廠商、IDC線下安全廠商日誌快速接入，降低了日誌資料接入的難度。

• CTDR 2.0和CTDR1.0的主要差異請參見威脅分析與響應版本對比。

常見問題

CTDR 與傳統 SIEM 有什麼區別？

CTDR是面向雲原生環境的SIEM解決方案，相比傳統SIEM，其核心區別在於：

• 雲原生整合：整合阿里雲及主流雲廠商的各類產品，能夠理解雲上資產、配置和拓撲關係，實現基於內容相關的分析。

• 內建SOAR能力：整合了安全編排、自動化與響應（SOAR）引擎，不僅能分析和檢測威脅，還能通過劇本聯動雲產品和基礎設施進行自動化處置，形成“分析-響應”的閉環。

• 內建情境化方案：提供大量針對雲上高頻攻擊情境（如挖礦、勒索、Web入侵）的內建檢測規則和響應劇本，開箱即用。