一图胜千言 |
您所在的位置：网站首页 › 态势感知地图怎么画 › 一图胜千言 |
一图胜千言
|
目前，阿里云态势感知与日志服务打通，对外开放平台依赖或者产生的日志，包括网络、主机、安全三大类共14种子类日志。提供近实时的日志自动采集存储、并提供基于日志服务的查询分析、报表报警、下游计算对接与投递的能力。 本文介绍如何在态势感知控制台使用日志分析的内置报表功能。 日志报表 页面内嵌了日志服务的 仪表盘 页面。该页面为您展示您的默认仪表盘，您可以在当前页面通过修改时间范围、添加过滤条件等操作，查看多种筛选条件下的仪表盘数据。 查看报表 登录态势感知控制台，在左侧导航栏中选择 日志分析 ，进入 日志分析 页面。 选择您需要查看的日志类型，确认右侧的 状态 为开启。 单击 日志报表 。图 1. 查看报表 为网站开通态势感知的日志分析功能后，日志服务为您自动创建9个默认的仪报表，关于默认仪表盘的更多信息，请查看默认仪表盘。 类别 仪表盘 报表作用 安全 告警中心 提供安全告警相关的全局视图，包括新增/处理的趋势、分布与状态等。 安全 漏洞中心 提供漏洞相关的全局视图，包括漏洞分布、新增/严重/修复的趋势、状态等。 安全 基线中心 提供基线检查相关的全局视图，包括检查问题分布、新增/处理的趋势、状态等。 主机 登录中心 提供云主机上被登录的全局视图，包括登录源和目标地址地理分布、趋势、登录端口和类型分布等。 主机 进程中心 提供云主机上进程启动相关的全局视图，包括进程启动趋势、分布，进程类型以及特定bash、java程序的启动分布等。 主机 网络连接中心 提供云主机上网络链接变化的全局视图，包括连接趋势、分布，链接目标以及接入的分布与趋势等。 网络 DNS访问中心 提供云主机上的DNS查询的全局视图，包括外网查询成功率、本地以及外网DNS查询的分布、趋势等。 网络 Web访问中心 提供主机对外Http以及基于主机的Web服务被访问的全局视图，请求成功率、访问趋势与有效率、被访问域名的分布、以及其他相关分布等。 网络 网络会话中心 提供云资产相关网络会话的全局视图，包括连接趋势、分布，链接目标以及接入的分布与趋势等。图 2. 默认仪表盘 除了查看报表之外，您还可以进行以下操作： 选择时间范围 添加或编辑过滤条件 查看图表 时间选择器仪表盘页面的所有图表都是基于不同时间段的数据统计结果，例如网络连接中心的连接事件的默认时间范围为1小时，相关设备为当天。如您想要设置当前页面的所有图表均按照同样的时间范围显示，可以设置 时间选择器 。 单击 请选择 。 在弹出的设置框中选择您的设置。您可以选择相对时间、整点时间或设置自定义时间。说明： 修改时间范围后，所有图表的时间都会改成这个时间范围。 时间选择器仅在当前页面提供临时的图表查看方式，系统不保存该设置。您下次查看报表时，系统仍会为您展示默认的时间范围。图 3. 设置时间范围 当您选择网站并单击 日志报表 ，进入仪表盘页面后，系统会自动显示并列出相关类别的所有报表。 您可以通过设置 过滤条件 修改报表的数据展示范围。 添加更多过滤条件您可以设置 key 和 value ，进一步对报表数据进行筛选。多个过滤条件之间为AND关系。 例如查看通过Windows远程桌面登录的总体情况： 图 4. 添加过滤条件 说明 字段warn_type是登录日志的字段，表示登录的方式，关于更详细的完整字段列表和信息，可以参考态势感知日志字段。 | 图表类型报表展示区域按照预定义的布局展示多个报表，包括如下几个类型，更多图表类型请参考图表说明。 图表类型 说明 数字/比较数 表示一些重要指标，如新产生漏洞数、累计登录数等，一般也会有一个与昨日比较的值。 线/面积图 表示一些重要指标特定时间单元内的趋势图，如新增告警趋势、网络连接趋势等。 地图 表示一些云资产或者网络连接访问的源/目标的地理分布，如资产设备分布、登录源分布，网络连接源地理分布等。 饼图/环图 表示一些信息的分布，例如被新增漏洞前10、登录方式分布等。 表格 展示特定维度下前N名的详细信息，一般分多个列。 默认仪表盘 安全：告警中心提供安全告警相关的全局视图，包括新增/处理的趋势、分布与状态等。 图表 类型 默认时间范围 描述 样例 相关客户端 单值比较 今日（整点）/环比昨日 发生安全告警问题的独立主机设备的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 新增告警 单值比较 今日（整点）/环比昨日 新增安全告警事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 处理告警 单值比较 今日（整点）/环比昨日 处理安全告警事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 高优先级告警 单值比较 今日（整点）/环比昨日 发生的严重的安全告警事件的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 告警操作趋势 流图 今日（整点） 每小时的各种告警操作（新增、处理等）的趋势图，单位为个。 - 告警级别趋势 流图 今日（整点） 每小时的各种告警级别（验证、可疑、提醒等）的趋势图，单位为个。 - 告警状态趋势 流图 今日（整点） 每小时的各种告警状态（未修复、已修复）的趋势图，单位为个。 - 告警操作方式分布 环图 今日（整点） 各种告警操作（新增、处理等）的分布。 - 告警级别分布 环图 今日（整点） 各种告警级别（验证、可疑、提醒等）的分布。 - 告警状态分布 环图 今日（整点） 各种告警最新状态（未修复、已修复、修复失败等）的分布，注意：如果一台机器的一个告警有多个状态变化，取最新的状态归类。 - 新增告警Top10 环图 今日（整点） 在各个设备上新增最多的10个告警。 - 处理告警Top10 环图 今日（整点） 在各个设备上处理最多的10个告警。 - 告警事件客户端Top20 表格 今日（整点） 前20个存在告警事件的设备，包括客户端、告警事件数、新增/处理、严重可疑级别数、种类等 - 安全：漏洞中心提供漏洞相关的全局视图，包括漏洞分布、新增/严重/修复的趋势、状态等。 图表 类型 默认时间范围 描述 样例 相关客户端 单值比较 今日（整点）/环比昨日 发生漏洞问题的独立主机设备的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 新增漏洞 单值比较 今日（整点）/环比昨日 新增安全漏洞事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 验证漏洞 单值比较 今日（整点）/环比昨日 验证安全漏洞事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 修复漏洞 单值比较 今日（整点）/环比昨日 修复安全漏洞事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 漏洞操作趋势 流图 今日（整点） 每小时的各种漏洞操作（新增、验证等）的趋势图，单位为个。 - 漏洞类型趋势 流图 今日（整点） 每小时的各种漏洞类型（windows漏洞、Linux漏洞、Web漏洞等）的趋势图，单位为个。 - 漏洞状态趋势 流图 今日（整点） 每小时的各种漏洞状态（未修复、已修复）的趋势图，单位为个。 - 漏洞操作方式分布 环图 今日（整点） 各种漏洞操作（新增、验证等）的分布。 - 漏洞类型分布 环图 今日（整点） 各种漏洞级别（windows漏洞、Linux漏洞、Web漏洞等）的分布。 - 漏洞状态分布 环图 今日（整点） 各种漏洞最新状态（未修复、已修复、修复失败等）的分布，注意：如果一台机器的一个漏洞有多个状态变化，取最新的状态归类。 - 新增漏洞Top10 环图 今日（整点） 在各个设备上新增最多的10个漏洞。 - 验证漏洞Top10 环图 今日（整点） 在各个设备上验证最多的10个漏洞。 - 修复漏洞Top10 环图 今日（整点） 在各个设备上修复最多的10个漏洞。 - 漏洞事件客户端Top20 表格 今日（整点） 前20个发生漏洞事件的设备，包括客户端、漏洞事件数、新增/验证/修复数、各种类别数等 - 安全：基线中心提供基线检查相关的全局视图，包括检查问题分布、新增/处理的趋势、状态等。 图表 类型 默认时间范围 描述 样例 相关客户端 单值比较 今日（整点）/环比昨日 发生基线问题的独立主机设备的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 新增基线 单值比较 今日（整点）/环比昨日 新增基线事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 验证基线 单值比较 今日（整点）/环比昨日 验证基线事件数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 高优先级基线 单值比较 今日（整点）/环比昨日 发生的高优先级的基线事件的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 基线操作趋势 流图 今日（整点） 每小时的各种基线操作（新增、验证等）的趋势图，单位为个。 - 基线子类型趋势 流图 今日（整点） 每小时的各种基线子类型（系统账户安全、注册表等）的趋势图，单位为个。 - 基线状态趋势 流图 今日（整点） 每小时的各种基线状态（未修复、已修复）的趋势图，单位为个。 - 基线操作方式分布 环图 今日（整点） 各种基线操作（新增、验证等）的分布。 - 基线子类型分布 环图 今日（整点） 各种基线子类型（系统账户安全、注册表等）的分布。 - 基线状态分布 环图 今日（整点） 各种基线最新状态（未修复、已修复、修复失败等）的分布，注意：如果一台机器的一个基线有多个状态变化，取最新的状态归类。 - 新增基线Top10 环图 今日（整点） 在各个设备上新增最多的10个基线。 - 验证基线Top10 环图 今日（整点） 在各个设备上验证最多的10个基线。 - 基线事件客户端Top20 表格 今日（整点） 前20个存在基线事件的设备，包括客户端、基线事件数、新增/处理、高中优先级数等 - 主机：登录中心提供云主机上被登录的全局视图，包括登录源和目标地址地理分布、趋势、登录端口和类型分布等。 图表 类型 默认时间范围 描述 样例 登录次数 单值比较 1小时/环比昨日 总的登录总数，以及与昨日同时段比的一个百分比增加减少状况。 10个 增加10% 被登录设备数 单值比较 今日（整点）/环比昨日 被登录的独立主机设备的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 独立登录源IP 单值比较 今日（整点）/环比昨日 登录设备的独立源个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 独立登录用户名 单值比较 今日（整点）/环比昨日 登录设备的独立用户名的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 终端登录监控趋势 柱状图与线图 今日（整点） 每小时的发生登录事件的设备以及登录次数的趋势图 - 登录方式趋势 流图 今日（整点） 每小时的登录方式（RDP、SSH等）的趋势图，单位为次/每小时。 - 登录方式分布 饼图 今日（整点） 登录方式（RDP、SSH等）的趋势图的分布 - 设备分布 地图（全球） 今日（整点） 发生登录事件有外网地址的设备数的地理分布 - 登录来源分布 地图（全球） 今日（整点） 发生有外网地址的设备上登录来源的登录数地理分布 - 独立登录源分布 地图（全球） 今日（整点） 发生有外网地址的设备上独立登录来源数的地理分布 - 登录最多的10个用户 饼图 今日（整点） 登录次数最多的10个用户名 - 登录最多的10个端口 饼图 今日（整点） 登录次数最多的10个目标端口 - 激活用户列表 表格 今日（整点） 在设备上可用的前30个账户 - 登录机器最多30个用户和来源 表格 今日（整点） 登录机器最多30个用户和来源，包括来源网络、登录IP、用户名、登录方式、登录的独立设备数以及次数等 - 主机：进程中心提供云主机上进程启动相关的全局视图，包括进程启动趋势、分布，进程类型以及特定bash、java程序的启动分布等。 图表 类型 默认时间范围 描述 样例 进程启动次数 单值比较 1小时/环比昨日 进程启动事件总数，以及与昨日同时段比的一个百分比增加减少状况。 10个 增加10% 相关设备数 单值比较 今日（整点）/环比昨日 发生进程启动事件的独立主机设备的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 独立启动进程名数 单值比较 今日（整点）/环比昨日 启动的独立进程名的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 终端设备数 柱状图与线图 今日（整点） 每小时的发生进程启动的设备以及独立进程名个数的趋势图，单位为个/小时。 - 进程启动趋势 线图 今日（整点） 每小时的每台设备平均启动进程数，单位为个/小时。 - 外网设备分布 地图（全球） 今日（整点） 发生进程启动的有外网地址的设备数的地理分布。 - 外网设备上进程启动次数分布 地图（全球） 今日（整点） 发生有外网地址的设备上进程事件数的地理分布 - 启动次数最多的20个进程 表格 今日（整点） 启动次数最多的20个进程，包括进程名、进程路径、启动次数等 - 触发Bash最多的前20个进程 表格 今日（整点） 触发Bash最多的前20个进程，包括父进程名、触发总数等 - 启动次数最多的前30个Java文件 表格 今日（整点） 启动次数最多的前30个Java文件，包括Jar文件名和路径、启动次数等 - 启动进程最多的前30个客户端 表格 今日（整点） 启动进程最多的前30个客户端，包括客户端、总的启动次数、这个客户端上启动次数最多的命令行、对应进程名/次数和占比等 - 主机：网络连接中心提供云主机上网络链接变化的全局视图，包括连接趋势、分布，链接目标以及接入的分布与趋势等。 图表 类型 默认时间范围 描述 样例 连接事件 单值比较 1小时/环比昨日 设备上网络连接的变化事件总数，以及与昨日同时段比的一个百分比增加减少状况。 10个 增加10% 相关设备 单值比较 今日（整点）/环比昨日 发生连接变化事件的独立主机设备的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 独立进程 单值比较 今日（整点）/环比昨日 发生网络连接的变化事件独立进程名数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 独立源IP 单值比较 今日（整点）/环比昨日 发生网络连接的变化事件的独立连接源IP的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 独立目标IP 单值比较 今日（整点）/环比昨日 发生网络连接的变化事件的独立连接目标IP的个数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 网络连接趋势 双线图 今日（整点） 每小时发生网络连接的设备数以及事件数的趋势图，单位为个/每小时。 - 连接类型趋势 双线图 今日（整点） 每小时发生网络连接变化事件的连接类型（对外、接收）分布的趋势图，单位为个/每小时。 - 连接类型分布 饼图 今日（整点） 网络连接变化事件的连接类型（对外、接收）的分布 - 协议类型分布 饼图 今日（整点） 网络连接变化事件的连接协议（tcp、udp等）的分布 - 外网设备分布 地图（全球） 今日（整点） 发生网络连接变化事件的设备数的地理分布。 - 外网设备事件分布 地图（全球） 今日（整点） 发生有外网地址的设备上网络连接变化事件数的地理分布。 - 对外连接目标分布 地图（全球） 今日（整点） 网络连接变化事件的对外连接的目标的地理分布。 - 接收连接源分布 地图（全球） 今日（整点） 网络连接变化事件的接收连接的源目标的地理分布。 - 对外连接最多的30个设备 表格 今日（整点） 发生对外连接类型的网络连接变化事件最多的30个设备，包括设备、对外连接事件数、独立的连接目标数、以及样例 - 接收连接最多的30个设备 表格 今日（整点） 发生接收连接类型的网络连接变化事件最多的30个设备，包括设备、侦听IP、接收连接事件数、侦听端口数，以及样例 - 对外连接目标最多的30个设备 表格 今日（整点） 发生对外连接类型的网络连接变化事件中目标最多的30个设备，包括设备、对外连接事件数、独立的连接目标数、以及样例 - 接收连接最多的30个侦听端口 表格 今日（整点） 发生接收连接类型的网络连接变化事件中最多的30个侦听端口，包括侦听端口、接收连接事件数、以及样例 - 对外连接最多的30个进程 表格 今日（整点） 发生对外连接类型的网络连接变化事件的最多的30个进程名，包括进程名、对外连接事件数、相关设备数、以及路径样例 - 接收接收连接最多的30个进程连接最多的30个设备 表格 今日（整点） 发生接收连接类型的网络连接变化事件的最多的30个进程名，包括进程名、对外连接事件数、相关设备数、以及路径样例 - 网络：DNS访问中心提供云主机上的DNS查询的全局视图，包括外网查询成功率、本地以及外网DNS查询的分布、趋势等。 图表 类型 默认时间范围 描述 样例 外网DNS流量包 单值比较 1小时/环比昨日 外网DNS流量包数，以及与昨日同时段比的一个百分比增加减少状况。 100个 增加10% 外网DNS请求成功率 单值比较 今日（整点）/环比昨日 外网DNS请求成功率，以及与昨日全天比的增加减少点的状况。 98% 增加5个点 独立DNS查询域名数 单值比较 今日（整点）/环比昨日 独立DNS查询域名数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 内网DNS流量包 单值比较 今日（整点）/环比昨日 内网DNS流量包数，以及与昨日全天比的一个百分比增加减少状况。 10个 增加10% 外网查询设备分布 地图（全球） 今日（整点） 发生外网查询的外网设备数的地理分布。 - 外网DNS流量趋势 柱状图与线图 今日（整点） 每小时的外网查询的请求数以及成功率的趋势图 - 内网DNS流量趋势 柱状图 今日（整点） 每小时的内网DNS查询的请求书的趋势图 - 外网查询域名Top20 饼图 今日（整点） 最多外网查询数的20个域名。 - 内网DNS查询设备分布Top20 饼图 今日（整点） 最多内网查询数的20个设备实例 - 内网查询域名Top20 饼图 今日（整点） 最多内网查询数的20个域名 - 网络：Web访问中心提供主机对外Http以及基于主机的Web服务被访问的全局视图，请求成功率、访问趋势与有效率、被访问域名的分布、以及其他相关分布等。 图表 类型 默认时间范围 描述 样例 有效请求率 单值比较 今日（整点）/环比昨日 Http请求成功率(返回值 |
【本文地址】