检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
日志会直接调用用户函数,通过函数代码对当前登录/出的账号进行IP过滤,若不在白名单内,可收到SMN发送的通知消息邮件,如图1所示。 图1 告警消息邮件通知 邮件信息中包含非法请求ip地址和用户执行的动作(login/logout)。 可以通过函数指标查看函数的调用情况,如图2所示。
结合函数工作流对登录/登出进行审计分析 案例概述 准备 构建程序 添加事件源 处理结果
案例概述 场景介绍 通过CTS云审计服务,完成对公有云账户对各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息,经由自定义函数对资源操作的信息进行分析和处理,产生告警日志。 SMN消息通知服务通过短信和邮件推送告警信息,通知业务人员进行处理。处理流程如图1所示。
本案例提供了实现告警日志功能的程序包,用户可以下载(index.zip)、学习使用。 创建功能函数 创建实现日志提取功能的函数,将示例代码包上传,如图1所示。创建过程请参考创建函数。 图1 创建函数 函数实现的功能是:将收到的日志事件数据进行分析,过滤白名单功能,对非法IP登录/登出,进行
TTPS等形式推送告警消息。 本案例中推送告警消息的事件是:当日志事件通过CTS触发器触发函数执行时,函数中过滤白名单告警日志,产生的告警消息推送至SMN主题的订阅终端。 父主题: 结合函数工作流对登录/登出进行审计分析
具体操作请参见使用CTS触发器。 图1 创建CTS触发器 CTS云审计服务监听IAM服务中user资源类型,监听login、logout操作。 父主题: 结合函数工作流对登录/登出进行审计分析
None 操作视频 云审计服务 CTS 如何查看操作事件 02:30 查看操作事件 云审计服务 CTS 如何创建追踪器 03:01 创建追踪器 云审计服务 CTS 如何创建关键操作通知 04:27 创建关键操作通知
入门指引 操作场景 用户首次进入云审计服务时,在追踪器页面单击“开通云审计服务”,系统会自动为您创建一个名为system的管理追踪器,之后您也可以在追踪器页面创建多个数据追踪器。管理追踪器会自动识别并关联当前租户所使用的所有云服务,并将当前租户的所有操作记录在该追踪器中。数据追踪
安全审计 操作场景 根据云审计服务收集的日志记录,通过查询具体的、符合某一特征的记录,执行安全分析,判断用户的操作是否符合权限要求。 本章节介绍,通过云审计服务如何审计最近两周内云硬盘服务的创建和删除操作。 前提条件 已开通云审计服务且追踪器状态正常。开通云审计服务请参考章节入门指引。
事件文件完整性校验 操作场景 由于云审计采用了行业标准、可公开使用的签名算法和哈希函数,因此,您可以自行创建用于校验云审计事件文件完整性的工具。原则上进行完整性校验时必须包含字段time、service_type、resource_type、trace_name、trace_ra
表1 常用最佳实践 实践 描述 结合函数工作流对登录/登出进行审计分析 该实践介绍如何通过CTS云审计服务,完成对公有云账户的各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息,经由自定义函数对资源操作的信息进行分析和处理,产生告
CTS最佳实践一览表 最佳实践 说明 结合函数工作流对登录/登出进行审计分析 本章节介绍如何通过CTS云审计服务,完成对公有云账户的各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息,经由自定义函数对资源操作的信息进行分析和处理,产生告
入门指引 操作场景 用户首次进入云审计服务时,在追踪器页面单击“开通云审计服务”,系统会自动为您创建一个名为system的管理追踪器,之后您也可以在追踪器页面创建多个数据追踪器。管理追踪器会自动识别并关联当前租户所使用的所有云服务,并将当前租户的所有操作记录在该追踪器中。数据追踪
详情请参见区域和可用区。 可用区(AZ,Availability Zone) 一个可用区是一个或多个物理数据中心的集合,有独立的风火水电,AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连,以满足用户跨AZ构建高可用性系统的需求。 项目
消息通知服务的topic_urn或者函数工作流的func_urn。- 消息通知服务的topic_urn可以通过消息通知服务的查询主题列表API获取,示例:urn:smn:regionId:f96188c7ccaf4ffba0c9aa149ab2bd57:test_topic_v2。- 函数工作流的fun
gionId:f96188c7ccaf4ffba0c9aa149ab2bd57:test_topic_v2。- 函数工作流的func_urn可以通过函数工作流的获取函数列表API获取,示例:urn:fss:xxxxxxxxx:7aad83af3e8d42e99ac194e8419
配置组织追踪器 使用委托管理员账号或组织管理员账号,在云审计服务中开启管理类追踪器的组织功能,即配置组织追踪器。 前提条件 当前登录用户的账号类型是委托管理员账号或组织管理员账号。 组织管理员账号在组织服务中开启了CTS可信服务。 建议规划用来存储审计事件的委托管理员的OBS桶。
新增对接图像识别 支持对七天以内的操作记录以CSV格式导出。 2018-07-30 第二十九次正式发布。 新增对接云文件服务 新增对接内容审核 函数工作流关键操作列表更新 对象存储服务的关键操作列表,按照“桶”和“对象”的资源类型,提供不同的查看方式。 2018-06-30 第二十八次正式发布。
配置追踪器 操作场景 云审计服务管理控制台支持对已创建的管理类追踪器增加OBS转储、LTS转储等相关配置。 用户可以选择是否将已记录的事件发送到OBS桶永久保存。如果用户想要对管理类事件进行统一管理,还可以设置将多个账号记录的事件统一转储到一个OBS桶。 OBS桶有标准存储、低频
删除追踪器 功能介绍 云审计服务支持删除已创建的追踪器。删除追踪器对已有的操作记录没有影响,当您重新开通云审计服务后,依旧可以查看已有的操作记录。 URI DELETE /v1.0/{project_id}/tracker 表1 路径参数 参数 是否必选 参数类型 描述 project_id