值班监控

操作场景

安全云脑提供了4+1个大屏，一个是综合态势感知大屏，其他四个大屏是值班响应大屏、资产大屏、威胁态势大屏和脆弱性大屏。

护网开始之前我们已经完成了自查整改，清零了所有未处理的运营数据。

护网及重保期间，安全值班人员需要重点关注“值班响应大屏”的数据信息，当有告警冒泡出来的时候，及时进行告警处理，清零全部告警数据。

通过告警详情页数据进行告警分析，如果需要结合其他日志数据，可通过安全分析在对应数据管道进行查询统计溯源。误报告警直接关闭，有风险告警可通过“一键阻断”能力应急阻断。

值班监控

1. 登录安全云脑控制台，并进入目标工作空间管理页面。
2. 在左侧导航栏选择“安全态势 > 安全大屏”，进入安全大屏页面。
   图1 进入安全大屏页面
   

3. 单击“值班响应大屏”图片，进入值班响应大屏信息页面后，在“未处理告警”模块中，单击告警描述，页面跳转到“告警详情”页面。
   图2 值班响应大屏
   

4. 分析告警。

   告警详情页面可以查看告警总览、上下文、关系图和评论信息。

   • 总览页面可以看到告警摘要、处理建议、相关基础信息和涉及的详情信息等。
   • 上下文页面可以看到告警的上下文关键信息和全文信息。
   • 关系图页面中是告警关联的其他运营数据。
   • 评论页面中，可以查看评论信息，评论信息中是告警所有的处置和评论历史信息。

   不同的告警结合不同的信息进行分析，可以通过告警关联信息，告警payload，告警详情分析。

   图3 告警详情示例
   

   如果需要结合历史或者其他日志进行分析的，也可以使用安全分析进行统计分析，进一步判断告警是否有风险。

   图4 安全分析示例
   

5. 应急处置告警。
   1. 通过告警详情页面数据并结合安全分析，分析出告警有风险，就可以通过告警详情页面，单击右上角“一键阻断”，对攻击IP进行阻断。
   2. 配置阻断信息。
      图5 一键阻断
      

      表1 一键阻断

      参数名称	参数说明
      阻断对象	告警攻击IP。
      （可选）标签	自定义应急策略的标签。
      操作连接	选择该策略的操作连接，具体请参见表2。
      阻断老化	确认是否老化该条阻断。 建议设置老化时间为护网/重保周期时间，护网/重保结束之后封堵失效。
      原因描述	自定义该策略的描述信息。

      表2 推荐阻断策略

      告警类型	对应防线	推荐阻断策略	阻断效果
      HSS告警	主机防线	建议优先采用VPC策略阻断	下发策略主机访问控制封堵攻击IP
      WAF告警	应用防线	建议优先采用WAF策略阻断	下发策略WAF黑名单控制攻击IP
      CFW告警	网络防线	建议优先采用CFW策略阻断	下发策略CFW黑名单控制攻击IP
      IAM告警	身份防线	建议优先采用IAM策略阻断	下发策略停用IAM用户
      OBS/DBSS告警	数据防线	当前可根据实际攻击场景和调查结果考虑使用VPC策略阻断/CFW策略阻断，隔绝防护资产和攻击源的网络通信等	下发策略对资源访问控制封堵攻击IP/下发策略CFW黑名单控制攻击IP

   3. 单击“确认”。

6. 关闭告警。
   1. 如果分析之后判断告警误报，可以通过告警详情页面，单击右上角“关闭”
   2. 在弹出的确认框中，选择关闭原因并输入评论信息后，单击“确认”，关闭告警。
      图6 关闭告警
      

告警处置举例

此处以“【应用】源ip xx.xx.xx.xx 对域名demo.host.com进行了xx次攻击”告警为例进行说明。

• 收到告警：
  图7 告警示例
  
• 分析思路：

  源IP对域名进行爆破攻击，会对可能的子域名产生大量的枚举和测试。

  安全云脑通过分析Web应用防火墙的告警，统计1小时内的攻击次数，过滤出次数超过阈值的攻击进行告警。

• 查看告警：

  告警详情页面可以看到告警攻击IP、攻击域名，分析模型是“应用-源ip对域名进行爆破攻击”数据管道名称为“sec-waf-attack”。

  图8 查看总览信息
  
  图9 查看上下文信息
  

  因为是统计类模型告警，可以结合WAF日志进行安全分析。单个源IP对域名进行多次攻击，虽然已经被WAF阻断，但是由于攻击次数较多，存在绕过WAF的风险，将多次攻击的行为冒泡出来。

• 分析/处理告警：
  1. 进入安全分析页面，打开sec-waf-access日志。
  2. 输入查询语句，筛选查询时间，并单击“查询/分析”。

     response_code='200' and remote_ip=MATCH_QUERY('xx.xx.xx.xx')

     图10 分析告警
     
  3. 根据查询结果，分析查询该IP有没有成功的访问请求。
     • 通过分析，如果该攻击ip请求成功的都是非敏感url，不存在攻击成功或绕过WAF检测的风险，直接在告警详情页面，单击“关闭”，并根据提示关闭告警。
       图11 关闭告警
       
     • 如果是有风险url访问成功，直接在告警详情页面，单击“一键阻断”，填写风险IP，选择WAF防线，阻断老化15天，进行危险IP封堵。
       图12 一键阻断
       

典型告警处理指导