值班监控

操作场景

安全云脑提供了4+1个大屏，一个是综合态势感知大屏，其他四个大屏分别是值班响应大屏、资产大屏、威胁态势大屏和脆弱性大屏。

网络防护前请确保已经完成自查整改，清零所有未处理的运营数据。

网络防护期间，安全值班人员需要重点关注“值班响应大屏”的数据信息，当有告警冒泡出来的时候，及时进行告警处理，清零全部告警数据。

通过告警详情页数据进行告警分析，如果需要结合其他日志数据，可通过安全分析在对应数据管道进行查询统计溯源。误报告警直接关闭，有风险告警可通过“一键阻断”能力应急阻断。

值班监控

1. 登录安全云脑控制台，并进入目标工作空间管理页面。
2. 在左侧导航栏选择“安全态势 > 安全大屏”，进入安全大屏页面。
   图1 进入安全大屏页面
   

3. 单击“值班响应大屏”图片，进入值班响应大屏信息页面后，在“未处理告警”模块中，单击告警描述，页面跳转到“告警详情”页面。
   图2 值班响应大屏
   

4. 分析告警。

   告警详情页面可以查看告警总览、上下文、关系图和评论信息。

   • 总览页面可以看到告警摘要、处理建议、相关基础信息和涉及的详情信息等。
   • 上下文页面可以看到告警的上下文关键信息和全文信息。
   • 关系图页面中是告警关联的其他运营数据。
   • 评论页面中，可以查看评论信息，评论信息中是告警所有的处置和评论历史信息。

   不同的告警结合不同的信息进行分析，可以通过告警关联信息，告警payload，告警详情分析。

   图3 告警详情示例
   

   如果需要结合历史或者其他日志进行分析的，也可以使用安全分析进行统计分析，进一步判断告警是否有风险。

   图4 安全分析示例
   

5. 应急处置告警。
   1. 通过告警详情页面数据并结合安全分析，分析出告警有风险，就可以通过告警详情页面，单击右上角“一键阻断”，对攻击IP进行阻断。
   2. 配置阻断信息。
      图5 一键阻断
      

      表1 一键阻断

      参数名称	参数说明
      阻断对象	告警攻击IP。
      （可选）标签	自定义应急策略的标签。
      操作连接	选择该策略的操作连接，具体请参见表2。
      阻断老化	确认是否老化该条阻断。 建议设置老化时间为网络防护周期时间，网络防护结束之后封堵失效。
      原因描述	自定义该策略的描述信息。

      表2 推荐阻断策略

      告警类型	对应防线	推荐阻断策略	阻断效果
      HSS告警	主机防线	建议优先采用VPC策略阻断	下发策略主机访问控制封堵攻击IP
      WAF告警	应用防线	建议优先采用WAF策略阻断	下发策略WAF黑名单控制攻击IP
      CFW告警	网络防线	建议优先采用CFW策略阻断	下发策略CFW黑名单控制攻击IP
      IAM告警	身份防线	建议优先采用IAM策略阻断	下发策略停用IAM用户
      OBS/DBSS告警	数据防线	当前可根据实际攻击场景和调查结果考虑使用VPC策略阻断/CFW策略阻断，隔绝防护资产和攻击源的网络通信等	下发策略对资源访问控制封堵攻击IP/下发策略CFW黑名单控制攻击IP

   3. 单击“确认”。

6. 关闭告警。
   1. 如果分析之后判断告警误报，可以通过告警详情页面，单击右上角“关闭”
   2. 在弹出的确认框中，选择关闭原因并输入评论信息后，单击“确认”，关闭告警。
      图6 关闭告警
      

告警处置举例

此处以“【应用】源ip xx.xx.xx.xx 对域名demo.host.com进行了xx次攻击”告警为例进行说明。

• 收到告警：
  图7 告警示例
  
• 分析思路：

  源IP对域名进行爆破攻击，会对可能的子域名产生大量的枚举和测试。

  安全云脑通过分析Web应用防火墙的告警，统计1小时内的攻击次数，过滤出次数超过阈值的攻击进行告警。

• 查看告警：

  告警详情页面可以看到告警攻击IP、攻击域名，分析模型是“应用-源ip对域名进行爆破攻击”数据管道名称为“sec-waf-attack”。

  图8 查看总览信息
  
  图9 查看上下文信息
  

  因为是统计类模型告警，可以结合WAF日志进行安全分析。单个源IP对域名进行多次攻击，虽然已经被WAF阻断，但是由于攻击次数较多，存在绕过WAF的风险，将多次攻击的行为冒泡出来。

• 分析/处理告警：
  1. 进入安全分析页面，打开sec-waf-access日志。
  2. 输入查询语句，筛选查询时间，并单击“查询/分析”。

     response_code='200' and remote_ip=MATCH_QUERY('xx.xx.xx.xx')

     图10 分析告警
     
  3. 根据查询结果，分析查询该IP有没有成功的访问请求。
     • 通过分析，如果该攻击ip请求成功的都是非敏感url，不存在攻击成功或绕过WAF检测的风险，直接在告警详情页面，单击“关闭”，并根据提示关闭告警。
       图11 关闭告警
       
     • 如果是有风险url访问成功，直接在告警详情页面，单击“一键阻断”，填写风险IP，选择WAF防线，阻断老化15天，进行危险IP封堵。
       图12 一键阻断
       

典型告警处理指导