功能特性

• 標準化數據接入

  接入跨云平臺、跨產品、跨賬號的安全告警日志、網絡日志、系統日志、應用日志等，對數據進行標準化、上下文增強。

• 多維度威脅檢測

  基于多源數據關聯分析、AI圖計算推理、以及實時更新的威脅情報等威脅發現手段，強化南向安全設備的單點威脅檢測能力。預定義跨數據源威脅檢測規則，提供四大類型事件分析模型：專家規則、圖計算、告警透傳、同類聚合。

• 高效的事件調查

  聚合相關告警生成安全事件，自動還原攻擊時間線和路徑，安全事件對告警收斂率達萬分之一，豐富事件調查上下文，加速告警、事件處置研判效率。

• 自動化響應編排

  通過自動響應規則和編排劇本，聯動多產品自動化處置惡意實體，如IP、文件、進程等，將應急響應經驗流程化、常態化、自動化。

支持接入的產品和日志

威脅分析與響應支持接入30+產品、60+日志類型。具體支持的云產品和日志信息如下表所示：

包年包月購買

1. 登錄云安全中心控制臺。

2. 在左側導航欄，選擇檢測響應 > 威脅分析與響應。

3. 在威脅分析與響應頁面，單擊開通包年包月。

4. 在快速購買頁簽，購買方式保持默認選項包年包月，設置威脅分析與響應是否選購為是，并設置需要購買的日志接入流量和日志存儲容量。

   您可以參考下文設置威脅分析與響應的購買項，關于云安全中心版本選擇和其他服務選購說明，請參見購買云安全中心。

   • 日志接入流量：選擇每天需接入威脅分析與響應進行分析的日志流量，單位為GB/天。起售量100 GB/天，購買步長為100 GB/天。購買該項后，您可以使用CTDR除日志管理、規則管理（自定義規則）、儀表板功能外的其他功能。

     重要

     • 未開通威脅分析與響應按量付費時，日志接入流量為必選項。

     • 開通威脅分析與響應按量付費時，日志接入流量該項將不再顯示。

     您可以通過以下方式估算需購買的日志接入流量：

     • 根據已開通的日志服務容量評估：

       日志接入流量（GB/天）=日志存儲容量/TTL

       • 日志存儲容量為需接入威脅分析與響應的日志源已使用的日志存儲空間。

       • TTL為日志保存時間。

     • 根據日志接入數量EPS評估：

       日志接入流量（GB/天）=EPS*86400s*SIZE/(1024*1024)

       • EPS全稱為Event Per Second，一天內接入威脅分析的原始日志的數量。

       • SIZE為每條日志的大小，一般范圍為3~7 KB。

   • 日志存儲容量（可選）：選擇需使用的日志存儲容量，1,000 GB起售，購買步長為1,000 GB。推薦為每臺服務器配置120 GB日志存儲容量，或按照云安全中心日志分析存儲容量的3倍進行配置。更多信息，請參見日志管理。

   

5. 仔細閱讀并選中云安全中心服務協議，單擊立即購買并完成支付。

6. 登錄云安全中心控制臺。在控制臺左上角，選擇需防護資產所在的區域：中國或全球（不含中國）。

7. 在左側導航欄，選擇檢測響應 > 威脅分析與響應。

8. 在威脅分析與響應頁面，單擊立即授權。

   默認選中確認開啟推薦日志接入策略，以識別云上安全事件。選中該配置項并完成授權后，云安全中心將自動創建服務關聯角色AliyunServiceRoleForSasCloudSiem，以便CTDR使用該服務關聯角色訪問您其他云產品中的資源；在產品接入頁面，CTDR將自動接入當前阿里云賬號的云安全中心、Web應用防火墻、云防火墻和操作審計產品的日志，共計14種日志類型。如果未選中該配置項，您需要自行將日志接入CTDR。

   說明

   關于該服務關聯角色的更多信息，請參見云安全中心服務關聯角色。

開通按量計費

1. 登錄云安全中心控制臺。

2. 在左側導航欄，選擇檢測響應 > 威脅分析與響應。

3. 在威脅分析與響應頁面，單擊開通按量付費。

4. 在正在開通云安全中心按量付費對話框，仔細閱讀計費規則說明，并單擊立即開通并授權。

   執行完該操作后，云安全中心將自動創建服務關聯角色AliyunServiceRoleForSasCloudSiem，以便CTDR使用該服務關聯角色訪問您其他云產品中的資源。更多信息，請參見云安全中心服務關聯角色。