Create a custom alert rule - ActionTrail - Alibaba Cloud Dokümantasyon Merkezi

Esnek kurumsal güvenlik izlemesi amacıyla belirli olayları izlemek için özel uyarı kuralları oluşturun. ActionTrail, yapılandırdığınız sorgulara, kontrol sıklığına ve tetikleme koşullarına göre uyarılar üretir; ardından uyarı gürültüsünü azaltır ve uyarı ilkelerinize ve eylem ilkelerinize uygun bildirimler gönderir.

Arka plan bilgileri

Özel uyarı kuralları, olayları filtrelemek için Yapılandırılmış Sorgu Dili (SQL) sözdizimini kullanır. SQL sözdizimi hakkında daha fazla bilgi için bkz. Sorguya genel bakış ve Sorgu ve analiz genel bakışı.

Yordam

ActionTrail konsolu adresinde oturum açın.
Sol gezinme bölmesinde Event Alerting seçeneğine tıklayın.
Alert Center sayfasında Alert Rules sekmesine gidin ve Create Alert seçeneğine tıklayın.
Create Alert panelinde bir sorgu ve analiz yapılandırması ekleyin.
1. Query and Analysis öğesinin sağındaki Add seçeneğine tıklayın.
2. Query and Analysis iletişim kutusunda Advanced Settings sekmesi üzerinde Types değerini Logstore Name ve Authorization Method değerini Default olarak ayarlayın.
  
  Not
  Region ve Project alanları, olay uyarılarının etkinleştirildiği izleme ile eşleşecek şekilde otomatik olarak doldurulur.
3. İzlemenin olayları teslim ettiği Logstore'u seçin. Logstore adı actiontrail_<trail_name> biçimindedir.
4. Dedicated SQL özelliğini etkinleştirip etkinleştirmeyeceğinizi seçin.
  Not
  - Auto: Dedicated SQL varsayılan olarak devre dışıdır. Bir sorgu eşzamanlılık sınırına ulaşılırsa veya sorgu sonuçları yanlış olursa Simple Log Service, sorguyu Dedicated SQL ile otomatik olarak yeniden dener.
  - Enable: Tüm sorgular ve analizler için Dedicated SQL özelliğini etkinleştirir.
  - Close: Dedicated SQL özelliğini devre dışı bırakır.
  Dedicated SQL hakkında daha fazla bilgi için bkz. Yüksek performanslı ve yüksek doğruluklu sorgu ve analiz (Dedicated SQL).
5. Query Time Range değerini belirtin, Query öğesinin sağındaki metin kutusuna özel bir sorgu deyimi girin ve ardından Preview seçeneğine tıklayın.
  
  Özel sorgu deyimleri hakkında daha fazla bilgi için bkz. Özel sorgu deyimleri.
6. Confirm seçeneğine tıklayın.
Create Alert panelinde Rule Name, Check Frequency, Group Evaluation, Trigger Condition, Add Tag, Add Annotation, No Data Recovery, Advanced Settings ve Destination gibi parametreleri yapılandırın.

Parametreler hakkında daha fazla bilgi için bkz. Uyarı izleme kuralı parametreleri.
Confirm seçeneğine tıklayın.

Özel uyarı kuralı oluşturulduktan sonra uyarı kuralı listesinde görünür. Daha fazla bilgi için bkz. Uyarı kurallarını yönetme.

Özel sorgu deyimleri

Senaryo	Açıklama	Özel sorgu deyimi
Cloud hizmetine ve olaya göre filtreleme	Olayları cloud hizmetine ve olay adına göre filtreler.	Tek bir hizmet için tek bir olay belirtin. Örneğin, ECS için örnek oluşturma olayını belirtin. `event.serviceName: Ecs and event.eventName: RunInstances` Tek bir hizmet için birden çok olay belirtin. Örneğin, ApsaraDB RDS için örnek silme olaylarını belirtin. `event.serviceName: RDS and (event.eventName: DeleteDBInstance or event.eventName: Release or event.eventName: DestroyDBInstance)` Birden çok hizmet için birden çok olay belirtin. Örneğin, Resource Management ve RAM için izin değiştirme olaylarını belirtin. `(event.serviceName: ResourceManager and (event.eventName: AttachPolicy or event.eventName: DetachPolicy )) or (event.serviceName: Ram and (event.eventName: AttachPolicyToUser or event.eventName: AttachPolicyToGroup or event.eventName: AttachPolicyToRole or event.eventName: DetachPolicyFromUser or event.eventName: DetachPolicyFromGroup or event.eventName: DetachPolicyFromRole))`
Parametreleri alma ve belirtme	`event.requestParameterJson` nesnesindeki belirli parametre değerlerine göre olayları filtreler.	Bir ECS örneğinin `DeletionProtection` niteliğinin `false` olarak değiştirildiği olayları filtreleyin. `event.serviceName: Ecs and event.eventName: ModifyInstanceAttribute \| SELECT * FROM (SELECT cast(json_extract("event.requestParameterJson", '$.DeletionProtection') as varchar) as deletion_protection FROM log) WHERE deletion_protection = 'false'` Bir ApsaraDB RDS örneğinin izin listesinin 0.0.0.0 olarak ayarlandığı olayları filtreleyin. `event.serviceName: Rds and event.eventName: ModifySecurityIps \| SELECT * FROM (SELECT cast(json_extract("event.requestParameterJson", '$.SecurityIps') as varchar) as security_ips FROM log) WHERE security_ips like '%0.0.0.0%'`
Kaynakları alma	Olayları kaynak adına veya türüne göre filtreler. Parametreler hakkında daha fazla bilgi için bkz. Yönetim olayı yapısı.	Tek bir kaynak alın. Örneğin, bir ECS örnek silme olayındaki etkilenen örneğin ID'sini alın. `event.serviceName: Ecs and (event.eventName: DeleteInstances or event.eventName: DeleteInstance or event.eventName: Release) \| SELECT resourceArray[num] as instance_id FROM (SELECT split("event.resourceName", ';') as resourceArray, array_position(split("event.resourceType", ';'), 'ACS::ECS::Instance') as num FROM log) where num > 0`
Kimlikleri alma	Olayları başlatan kimliğe göre filtreler. Kimlik bilgileri (`userIdentity`), kimlik türü (`type`), kimlik adı (`userName`), kimlik ID'si (`principalId`) ve Alibaba Cloud hesap ID'si (`accountId`) gibi parametreleri içerir. Parametreler hakkında daha fazla bilgi için bkz. Yönetim olayı yapısı.	Kimlik türünü alın. `* \| SELECT "event.userIdentity.type" as user_type` Kimlik adını alın. `* \| SELECT "event.userIdentity.userName" as user_name` Kimlik ID'sini alın. `* \| SELECT "event.userIdentity.principalId" as principal_id` Alibaba Cloud hesap ID'sini alın. `* \| SELECT "event.userIdentity.accountId" as account_id`
Olay oluşumlarını sayma	Olay oluşumlarını sayar ve belirtilen eşik aşıldığında uyarı tetikler.	Aşırı ECS örnek yeniden başlatmaları için uyarı verin. Örneğin, bir ECS örneği iki kezden fazla yeniden başlatılırsa uyarı tetikleyin. `event.serviceName: Ecs and (event.eventName: RebootInstances or event.eventName: RebootInstance) \| SELECT account_id, resourceArray[num] as instance_id, count(*) as cnt FROM ( SELECT "event.userIdentity.accountId" as account_id, split("event.resourceName", ';') as resourceArray, array_position(split("event.resourceType", ';'), 'ACS::ECS::Instance') as num FROM log) where num > 0 group by account_id, instance_id` Aşırı sayıda başarısız oturum açma denemesi için uyarı verin. Örneğin, iki kezden fazla oturum açma denemesi başarısız olursa uyarı tetikleyin. `event.eventName: ConsoleSignin and event.userIdentity.type: ram-user and not event.errorMessage: success \| select "event.userIdentity.principalId" as user_id, "event.userIdentity.userName" as user_name, count(1) as cnt group by user_id, user_name`

Özel uyarı örnekleri

arbitrary işlevi, x içinden rastgele bir null olmayan değer döndürür. Sözdizimi arbitrary(x) şeklindedir. Daha fazla bilgi için bkz. arbitrary işlevi. Aşağıdaki örneklerde bu işlev kullanılmaktadır.

Örnek 1: ApsaraDB RDS örnek silme işlemi için uyarı

event.serviceName: RDS and (event.eventName: DeleteDBInstance or event.eventName: Release or event.eventName: DestroyDBInstance) | SELECT account_id, resourceArray[num] as instance_id, ram_user_id, user_type, user_name FROM (SELECT "event.userIdentity.accountId" as account_id, "event.userIdentity.principalId" as ram_user_id, split("event.resourceName", ';') as resourceArray, array_position(split("event.resourceType", ';'), 'ACS::RDS::DBInstance') as num, "event.userIdentity.type" as user_type, "event.userIdentity.userName" as user_name FROM log ) where num > 0
Örnek 2: Güvenlik grubu yapılandırma değişiklikleri için uyarı

event.eventName: CreateSecurityGroup OR event.eventName: AuthorizeSecurityGroup OR event.eventName: AuthorizeSecurityGroupEgress OR event.eventName: RevokeSecurityGroup OR event.eventName: RevokeSecurityGroupEgress OR event.eventName: JoinSecurityGroup OR event.eventName: LeaveSecurityGroup OR event.eventName: DeleteSecurityGroup OR event.eventName: ModifySecurityGroupPolicy) | select "event.userIdentity.accountId" as account_id, "event.userIdentity.principalId" as ram_user_id, "event.eventName" as event_name, arbitrary("event.userIdentity.type") as user_type, arbitrary("event.userIdentity.userName") as user_name group by account_id, ram_user_id, event_name

İlgili belgeler

Simple Log Service'de de özel uyarı kuralları oluşturabilirsiniz. Talimatlar için bkz. Uyarı izleme kuralı oluşturma.
Bir uyarı kuralını etkinleştirdikten sonra bunu Simple Log Service'de yönetebilirsiniz. Daha fazla bilgi için bkz. Uyarı izleme kurallarını yönetme.