云网分析如何帮助识别和处理网络安全威胁

识别网络安全威胁

1. 日志分析

网络日志：记录Web访问、DNS解析、本地DNS和网络会话日志，可以帮助识别潜在的安全威胁，例如攻击尝试、恶意流量等，满足合规与审计要求。

主机日志：记录登录流水、进程启动、账号快照、DNS请求等日志，可以帮助监控主机上的用户活动、系统事件和应用操作，发现潜在威胁，优化运行性能。

安全日志：记录漏洞、基线、安全告警、云安全态势管理等安全日志，可以帮助观察安全趋势，改进安全策略和防御机制，识别系统的薄弱环节。

2. 威胁情报

结合全球威胁情报，从海量告警中识别新型未知威胁。例如，阿里云的威胁分析与响应（CTDR）可以借助图计算关联聚合、云原生日志分析能力，研判出隐匿性高的恶意风险。

3. 异常检测

进程异常行为：通过云上真实的攻防场景对入侵链路还原，建立进程行为白名单，对于进程的非法行为、黑客的入侵过程进行告警。例如，检测Bash进程执行可疑指令，服务器被远程控制执行任意命令等。

数据库异常指令执行：检测MySQL、PostgreSQL、SQL Server、Redis、Oracle等数据库的异常指令。

应用进程非法操作：检测Java、FTP、Tomcat、Docker容器、Lsass.exe等应用进程的非法操作。

4. 流量分析

网络异常流量分析：通过在云计算中心出口链路部署流量检测系统（旁路部署Netflow流量采样检测模块），实现流量统计分析、路由分析、异常流量检测。可分析诸如DDoS攻击、网络滥用误用、P2P流量等异常流量。

处理网络安全威胁

1. 自动化响应编排

威胁分析与响应能够启动自动化响应编排，联动相关云产品对恶意实体执行封禁、隔离等安全措施，以实现快速且有效的安全事件处置。

2. 一键处置策略

基于AI Agent核心引擎，提供一键处置策略，无需手动配置，事件推荐处置策略覆盖率达95%，内置可一键“开箱即用”的处置剧本，并支持剧本自定义编排。

3. 攻击路径还原

结合图计算、安全大模型可以自动化溯源攻击路径并还原入侵时间线，帮助深入理解安全事件，进行信息总结，并快速获得安全事件的响应建议。

4. 跨平台监控

将跨云环境、跨云账号和跨产品的日志数据进行统一归集，降低混合云安全运营复杂度，为企业提供全局视野安全事件洞察，跨资产安全事件发现率达90%。通过设置全局账号管理员在云安全中心控制台集中查看和审计，轻松实现监控跨平台的安全事件，简化了数据分析和安全审计的工作。