Insights功能的穩(wěn)定性和安全性的最佳實(shí)踐
公司上云后，產(chǎn)生的事件量比較大，通過普通的人工運(yùn)維來發(fā)現(xiàn)日志中的異常操作十分困難，且業(yè)務(wù)涉及領(lǐng)域比較廣，運(yùn)維人員無法針對每一條事件或每一個(gè)API進(jìn)行面面俱到的分析。在此情況下，您可以開啟Insights功能。
背景信息
開啟Insights功能后，您會在至少24小時(shí)后收到第一條Insights事件。Insights功能穩(wěn)定運(yùn)行后，默認(rèn)會根據(jù)阿里云賬號歷史七天的管控事件進(jìn)行分析。但是在開啟Insights功能的七天內(nèi)，操作審計(jì)會根據(jù)Insights功能的開啟時(shí)間到當(dāng)前時(shí)間的前一天（結(jié)束時(shí)間）的歷史數(shù)據(jù)進(jìn)行分析。
管控事件包括讀事件和寫事件，寫事件表示對資源的變更操作。一般來說，在業(yè)務(wù)發(fā)展穩(wěn)定后，寫事件的調(diào)用行為會呈現(xiàn)出一定的規(guī)律。如果當(dāng)前寫事件的調(diào)用行為與歷史寫事件的調(diào)用行為發(fā)生了較為明顯的變化，則該寫事件的調(diào)用行為可能存在風(fēng)險(xiǎn)。
最佳實(shí)踐
穩(wěn)定性
案例一：快速洞察某些寫事件的事件總量陡增
A公司某員工離職前，在擁有云上部分權(quán)限的時(shí)間里，對某些資源進(jìn)行了刪除操作。由于A公司業(yè)務(wù)原本就需要定時(shí)刪除部分資源，所以該員工認(rèn)為自己的刪除操作并不會引起運(yùn)維人員的關(guān)注，以及A公司的發(fā)現(xiàn)。但是刪除資源的調(diào)用率異常，會觸發(fā)API調(diào)用事件（ApiCallRateInsight）。
案例二：快速洞察某些讀寫事件的錯(cuò)誤事件陡增
A公司某員工在運(yùn)維時(shí)對某些資源（例如：對象存儲OSS、日志服務(wù)SLS等）進(jìn)行了刪除操作。由于該員工認(rèn)為，這些資源已對當(dāng)前業(yè)務(wù)沒有任何價(jià)值，于是進(jìn)行了刪除操作。但是這些資源與其他業(yè)務(wù)存在著非常隱蔽的依賴性，當(dāng)A資源被刪除后，會影響B(tài)業(yè)務(wù)的穩(wěn)定運(yùn)行。此時(shí)，B業(yè)務(wù)調(diào)用的API發(fā)生了大量的報(bào)錯(cuò)，會觸發(fā)API錯(cuò)誤事件（ApiErrorRateInsight）。
案例三：洞察異常調(diào)用的寫事件API
Insights會自動分析寫類型的管控事件，并在寫事件發(fā)生異常時(shí)產(chǎn)生Insights事件，例如：當(dāng)事件DeleteInstance的調(diào)用率相較數(shù)學(xué)模型計(jì)算的基準(zhǔn)不同時(shí)，會生成一條對應(yīng)的Insights事件。通過查看Insights事件，能夠及時(shí)洞察異常的API活動。
安全性
案例一：通過異地請求IP洞察員工AccessKey被盜用
由于A公司某員工的AccessKey密碼被盜，導(dǎo)致黑客利用該員工的AccessKey登錄公司所在云后，進(jìn)行了一些利己操作，該行為可能會觸發(fā)IP請求事件（IpInsight）。因?yàn)殚_啟Insights功能之后，Insights會在所有支持地域?qū)W習(xí)當(dāng)前地域所記錄的IP地址，并通過算法模型判斷當(dāng)前IP地址是否屬于常規(guī)使用的IP地址，如果該IP地址的歸屬地域?qū)儆谛碌牡赜?，則會產(chǎn)生一條IP請求事件（IpInsight）來提醒用戶防范風(fēng)險(xiǎn)。
案例二：通過請求量的異常變化洞察AccessKey泄漏
由于A公司某員工的AccessKey密碼被盜，盜用者使用該AccessKey申請?jiān)粕腺Y源進(jìn)行使用，該行為增加了該云賬號的總事件量，并反映在云產(chǎn)品（ECS實(shí)例、SLS等）的事件量變大，會產(chǎn)生API調(diào)用事件（ApiCallRateInsight）。
案例三：發(fā)現(xiàn)異常的權(quán)限變更行為和密碼變更行為
當(dāng)您在云上有權(quán)限變更或密碼變更需求時(shí)，期望有專門的運(yùn)維人員進(jìn)行此類風(fēng)險(xiǎn)較高的操作。當(dāng)有陌生身份來源進(jìn)行權(quán)限變更操作或密碼變更操作時(shí)，您可以通過Insights的權(quán)限變更、Insights事件和密碼變更Insights事件，迅速定位到操作者身份及其相關(guān)聯(lián)的IP地址、userAgent等信息，幫助您更快發(fā)現(xiàn)異常的權(quán)限變更行為和密碼變更行為。
員工A是公司的運(yùn)維人員，但是A泄漏了AccessKey ID和AccessKey Secret，被盜用者使用后，會產(chǎn)生相應(yīng)的IpInsight事件（表明該賬號有新IP地址登錄），盜用者在變更密碼或變更權(quán)限后，會產(chǎn)生對應(yīng)的權(quán)限變更Insights事件和密碼變更Insights事件。通過Insights事件，您更能及時(shí)發(fā)現(xiàn)賬號被盜用、不常規(guī)的權(quán)限變更和密碼變更行為。