开发者学习笔记【阿里云云安全助理工程师认证（ACA）课程：01-基础设施安全-4-云安全中心-ACA-02-产品接入与配置（下）】
课程地址：https://edu.aliyun.com/course/3111981/lesson/18861
01-基础设施安全-4-云安全中心-ACA-02-产品接入与配置（下）
内容介绍
一、拦截监控
二、告警通知
三、AccessKey泄露检测
四、资产响应
一、拦截监控
来看几个跟拦截监控相关联的功能，这些功能都在威胁检测的功能里面。
首先是主动拦截拦截，主动拦截页面里面，先展示的是安全告警处理的页面。用于来实时检测统计展示云全中心当中的各类资产的安全告警事件，然后能够把云安全中心所检测到的像网页的篡改，远程的异常，网站的后门，暴力的破解，异常登录，恶意竞程等等的各种各样的安全告警，通过前面所讲的250多种的威胁检测模型去进行检测，从而把这些告警信息来去进行录出，并且能够及时的进行处置。
首先页面的上方是概览区，里面显示了存在告警的机器，也就是说当前，现在，有多少个机器，存在着一些告警，点击数值，是超链接，点进去以后，会跳转到资产中心的服务器列，来展示当前各个受到告警攻击的，或者说存在告警的服务器的列表，待处理的告警总数这个地方，显示的是现在的所有云安全中心里面的资产没有被处理报警的，数量是多少，在这个地方就可以看到，就是点进去以后就可以看到所有的被待处理的告警信息。
急需处理的报警也就是说因为的告警会分成三个不同的等级，一般第一风险，就显示为提醒，如果是中风险就显示为可疑，高风险就显示为紧急把这里急需处理的告警，就是显示为的这些资产里面，就是高危风险。就是表示的服务器中已经检查到了一些类似像入侵的事件，像这样的告警，做一下显示精准防御是展示资产里面被病毒查杀功能，自动隔离，这里所说的病毒会自动隔离，通过隔离箱会把的这些检测到的这些病毒木马勒索软件会进行自动隔离，而自动隔离的，产生的告警数量，会进行显示生效的IP拦截策略以及全部策略。这里展示的是启用了这种防暴力破解的规则之后，所拦截的记录的总数。以隔离的文件数是展示的是云安全中心对于安全报警的事件进行隔离处理之后，隔离的文件的总数量是多少？
也就是在文件隔离箱里面的文件有多少。
精准防御里面，所显示的自动隔离的告警数量，也会在下方具体的告警信息这里面去显示出来，这里举了例子，然后策略规则可以通过拦截策略的设置去进行设置，就可以到IP规则的策略库面板，去进行设置，检测到各种风险，各种告警，就要进行处置。云安全中心提供了非常强大的检测能力，有250家的威胁检测模型，同时有六个病毒的查杀引擎跟三个网站的后面检查，当安全告警处理的页面底下出现了精准防御，各个的显示的具体的告警的信息以后，选择到告警以后，就会弹出对应的处置项，也可以对处置项去进行一些分类的筛选，选择类型是紧急可疑或者提醒，或者是说告警的类型是待处理的，是可以处理，资产分组等等多个维度进行搜索这样可以让快速的去筛选定位目标告诉告警事件。
在所检测出来的各种告警事件里面？可以通过对应的规则可以去设置自动处理的，也有一些是可以去进行一些手动的处理的，一般来讲，点击到定位到目标告警事件，点操作以后，就会显示出图的右下角显示出来的告警处置的页面，告警处置页面，就可以在上面去进行一些更进一步的一些操作，比如处理方式可以选择主断，对恶意进程进行阻断操作。还有加白名单，或者忽略，这里没有显示出来，可以通过这种地方去进行一些操作，右侧这边也可以针对恶意的进程去进行一些进程，去进程病毒的查杀，或者去J选择说，直接来结束把线程的运行，或者把进程的的原文件加入到文件隔离箱，因为已经判断出来了是有害的，有病毒的文件，被加入到文件隔离在30天内是可以进行还原的，就是说还原，恢复文件就会又会回到告警内，文件如果被隔离了就不会对的服务器来造成安全威胁
深度查杀是指对病毒文件进行深度操作。也是由云安全中心的专家团队，经过深度分析以后去做这种深度查杀，当然这种操作存在一些安全风险，必须要明确一下，加白名单的意思，就是说有可能认为是误报，或者是说当前的告警不重要，随时给加白，加白以后再次发生相同告警的时候，就不会在发生告警地，就要谨慎来去进行操作。
二、告警通知
再来看一下云安全中心的告警通知，云安全中心支持，通过像短信邮件，站内信以及钉钉机器人这几种方式来向来发送告警。可以在云安全中心的设置的通知设置这一项里面去进行调整，左边的页面显示的是可以针对不同的通知项，像漏洞，极限检查，云平台的配置检查等等。不同的通知项去设置单独的告警通知方式，能够选择的告警通知方式就是前面所讲的短信邮件战略性机器人这四种，然后钉钉机器人的添加，也有单独的页面可以去进行添加，这是可选的页面。而且是企业版以上的版本才能够支持，像基础版，杀毒版跟高级版的用户是需要升到企业版旗舰版才能去使用钉钉旗舰版的使用方式。
右图显示如何添加钉钉机器人，需要说明的是钉钉机器人如果要添加，首先是需要要有钉钉，并且创建了相关的钉钉群才能进行配置，在配置页面，要配置之前，要先到钉钉里面去对应的要通知个群里面去选择群设置里面会找到添加机器人的项，然后给机器人起个名字，设置相关的一些通知一些这种参数，然后最重要的是在钉钉机器人钉钉里面的钉钉机器人群设置里面找到个web户口的地址，也就是在云安全中心里面要设置外部客户的地址，需要到钉钉里面去找，然后在添加钉钉计算的面板里面，还要选择资产分组，也就是说要给哪一些资产去发送钉钉机器人的通知，然后通知的范围，像漏洞，畸形检查，或者是安全报警等等这些是可以多选的，然后这里面其实还有通知频率，就是说钉钉机器人发送通知的间隔周期是一分钟，五分钟，十分钟，或者没有限制都是可以去选，最后这像这栏这里引掉了，被挡挡住了，这是通知语言可以转换像英语跟中午的选择，这是钉钉机器人怎么来设置。
三、AccessKey泄露检测
看一下-AccessKey泄露检测，所谓的AccessKey，就是常通常简称为AK，AK还有SK，就是所谓的s SK secret，这是在阿里云上去进行API访问的时候非常重要参数。尤其是像SK，是一定不能泄露的，否则云上的资产就会存在很严重的安全风险，实际在的生产环境里面，有可能的有一些企业的员工，开发者，如果安全意识不是太强，也会把的一些不可以公开的一些公司源码上传到开源平台里面去，就有可能会导致这种核心的信息被泄露了，但不仅仅是AK，SK，可能还会包含像企业的数据库的连接地址，连接的登录的密码，服务器的密码等等这些敏感信息，直接贴在代码里面的导致泄露云安全中心，跟这样的平台来去进行合作，就能够去检查用户在这些公开的源代码当中的这些用户名跟密码信息，然后去识别出的资产用户名的密码是不是存在泄露。
如果存在泄漏情况，就及时的来提供相应的告警，帮助及时发现并处理可能外泄的这种AK的信息，同样的AK泄露情报也是支持这种不同的状的通知方式的，像短信邮件，钉钉机器人。
四、资产响应
再来看两个跟调查响应有关的功能，第一是资产指纹调查，资产指纹调查是指云服务器上面的一些认为的可以称之为指纹的六种信息。
主要是六种包含做像资产的端口，或者是软件运行的，软件运行的进程，然后账户，还有像计划任务就是任务的路径从什么地方乱起来的？还有一些像中间键，就是比如像MYSQL这种可以独立运行的一些系统组件，这些都认为是一种服务器上的资产,资产指纹调查会定期采集并记录这些资产信息，来帮助来全面的了解这些资产的运营状态。
最主要的目的就是快速的定位排查问题，以便于做回数分析。云安全中心的控制台就提供了这些资产指纹调查的总览，跟各种指纹的详细的信息,来看一下资产责任调查的操作入口，是在云安全中心的控制台调查响应的类目里，进到入口，除了总览页面，总览页面主要是能够去查看一些像端口开放，软件资产进程。也可以分门别类的去查看，然后点击资产模块的详情，就可以查看这类型的对应的资产的详细信息。
这里面举个例子，像一些像任务路径的这些信息，是属于六类资产里面的计划任务这类资产，计划任务这类市场里面，点进去之后，看到的信息大概首先任务的路径，指的就是任务，是在什么地方去进行执行的，然后是哪一台服务器，就服务器计划任务所在的服务器的信息，是执行了哪个命令？
计划任务所需要执行的命令，执行的周期，采用的是库表达式去显示的周期ND5就计算了任务ND5的验证值。从哪个账号去出发的，最后任务还被扫描的时间是什么时候，就是现在是计划任务资产，点开计划任务的资产，详细信息就是这样子的。其像端口资产，软件资产等等，打开显示的内容，也是比较类似的，也都是包含像服务器信息，然后最后的采集时间等等。
当然不同的资产端口资产，要去检查肯定对应的服务器信息之外就会显示对应的进程IP，可能就没有什么ND5，任务周期这些属性，所以稍稍有所区别，但整体的显示方式是比较接近的。
最后来看一下自动化攻击溯源，是云安全中心所提供的针对于调查响应的另一很重要的功能，溯源的功能主要是结合各种云产品的日志，通过大数据的分析引擎对这些日志进行加工聚合，然后来形成攻击者的完整的链路，就可以在很短的时间内来去定义。
因为入侵的原因，帮助来去制定应急的决策，所以攻击溯源是适用于在云环境加各种攻击情况,攻击事件，外表入侵，蠕虫病毒，勒索病毒等等，像这样的这些web的一些安全风险，安全风险产生的场景之下去做应急响应跟溯源的工作，云安全中心会在检测到威胁以后的五到十分钟，自动来生成攻击溯源的链路，这样就能够去通过在页面上就可以非常方便的去查看整个攻击的链路,像页面攻击的电路是在威胁检测的安全告警处理页面，点击告警事件有溯源的图标，就能够跳到页面里面来，这页面里面就能够去查看像告警的攻击者的告警的名称，然后是什么告警的类型，影响的是哪些资源，甚至攻击者的原IP，还有详细的请求，都能显示出来，都能显示。
以上就是关于云安全中心产品主要讲解的全部内容.
