随着网络攻击的复杂性和速度发展到前所未有的水平，漏洞检测与响应之间的时间差变得前所未有的关键。传统的安全方法往往是反应式的，仅在损害发生后才发现入侵。这种延迟为攻击者提供了战术优势，迫使安全团队专注于损害评估和补救，而不是主动的威胁检测和预防。组织迫切需要能够显著压缩从检测到响应窗口的解决方案，以重新获得防御优势。

为了应对这一挑战，我们开发了Anomaly Event Response——Slack内部的一种新的主动防御机制。通过将实时监控与高级分析相结合，AER能够自主识别我们平台上出现的高置信度威胁行为者行为。当检测到可疑活动时，系统会自动终止相关用户会话，将安全检测和响应差距从可能的天数/小时数缩短到仅仅几分钟。

结果如何？一个强大的原生安全功能，可以在攻击链完全执行之前将其破坏，防止数据外泄和系统受损，而无需额外的安全工具、集成或人力资本。

在这篇文章中，我们将探讨Anomaly Event Response背后的技术架构，审视我们的动机、检测机制、响应能力以及我们在过程中获得的见解。

保护Slack的共同责任

Slack是工作发生的地方。我们是每周数千万用户工作场所沟通和协作的中心枢纽，每天产生数十亿次互动。为了确保客户的安全，我们为企业客户提供全面的审计日志，记录实体在平台上执行操作的时刻。在完整列表中的数百个受支持操作之外，我们还为客户提供异常审计日志，这些日志通过利用高级分析来进一步标记工作区内的异常活动，包括异常登录、上传恶意软件、意外数据传输等。那些有兴趣了解更多关于这些特殊审计日志以及如何在安全调查中使用它们的人，可以阅读我们的Slack审计日志和异常帖子。

这些专门的审计日志充当了早期预警系统，突显可疑活动，并为否则可能未被发现的潜在威胁提供宝贵的洞察。也就是说，它们本身并不是一个完整的解决方案；它们仍然需要安全人员审查或与第三方解决方案集成，以将检测到的行为转化为可操作的见解。

将你的Slack审计日志集成到更大的安全解决方案中提供了无与伦比的灵活性和可定制性，但我们也知道，根据客户的规模、安全能力或资源，这对所有客户来说并不总是可行的。我们创建AER是为了通过一个自动化的解决方案来弥合检测和响应之间的差距，任何企业网格客户都可以开箱即用，既可以单独使用，也可以作为其更广泛安全方法的一部分。

信任是我们的首要核心价值观。我们相信，通过为客户提供数据和工具来构建安全解决方案，同时培育一个安全的平台并消除威胁，安全是我们和客户之间的共同责任。我们的Anomaly Event Response解决方案为每个人桥接了威胁检测和自动化响应，同时仍然允许高级客户在此工具之上添加量身定制的安全措施，以满足其独特需求。

它还延续了我们通过创新自动化（如针对密码泄露和Cookie劫持的措施）持续增强用户安全的承诺。

设计理念

在设计此功能时，我们专注于支持平台面临的最常见威胁类型。我们的目标是优先考虑在整个平台上具有最广泛吸引力的检测。我们最终确定了：

• 从Tor出口节点访问Slack
• 过度下载作为数据外泄的潜在指标
• 通过非Slack原生自动化工具进行数据抓取
• 会话指纹不匹配
• 意外的API调用量和模式
• 指示来自非标准或虚拟客户端访问的意外用户代理

我们知道每个客户使用Slack的方式都不同，每个组织都会有不同的风险状况，因此我们设计AER让组织选择哪些检测对他们重要，哪些应该仅记录而不采取任何响应行动。这种相同的可配置性也延伸到了通知首选项。

要更改配置，请通过工具和设置 → 组织设置 → 安全（左侧边栏）→ 安全设置进行导航。从这里，将有一个“异常事件响应设置”部分，您可以选择哪些异常事件应触发用户会话终止，以及您希望如何收到通知（如果需要的话）。

系统架构与技术深度剖析

AER采用了一个我们为实时异常检测、异步作业编排和动态通知而设计的多层架构。这些操作由三个核心组件执行：底层检测引擎、决策框架和响应编排器。

检测引擎

首先，AER的检测引擎每天大规模监控数十亿次的Slack事件，结合使用基于规则的启发式方法和根据每个企业使用模式校准的动态阈值。例如，在监控过度下载活动时，对一个组织来说是异常的，对另一个组织来说可能是预期的基线，因此我们根据历史数据为每个组织计算阈值。这种自适应方法不仅显著减少了整个客户群的误报，还使我们能够不断微调检测的灵敏度并验证其有效性。

决策框架

接下来，决策框架评估在识别出可疑行为时创建的每个审计负载，根据客户的AER配置和内部规则执行验证检查。

这些检查之一包括分析给定的负载并检查其之前发生了什么，以便我们能够确定恶意行为是否在账户上的用户会话终止后持续存在，同时确保我们保护合法用户免受持续的终止循环。我们通过分析与每个审计负载相关联的会话来做到这一点。

一旦异常被验证且客户已为该事件类型启用了检测，一个执行自主响应的异步作业就会被排队。

响应编排

最后，AER终止属于操作用户的所有活动用户会话，并执行一系列为透明度和问责制而设计的操作。

AER生成一个user_sessions_reset_by_anomaly_event_response审计日志，其中包含触发响应的具体异常类型、有关操作用户的上下文以及异常事件起源的session_id。在调查期间，此数据点让您可以将此活动追溯到起源的异常审计日志以获取更多上下文。客户应主动监控此审计日志操作，以便了解AER何时采取了自主行动，以及是否需要对其组织内操作用户的行为进行任何进一步调查。

生成此审计日志后，AER会查询客户的通知首选项，以确定任何额外通知应如何路由。虽然操作用户总是会收到一封电子邮件通知，告知其会话已终止，但客户的配置决定了是否将任何额外的通知路由到最多两种其他联系人类型：组织主要所有者和任何具有“安全管理员”系统角色的用户。

为了减少此阶段的通知疲劳，我们构建了智能通知逻辑，能够识别组织中某人是否身兼多职。例如，如果同一个人既是组织主要所有者又拥有“安全管理员”系统角色，他们将只收到一个通知，而不是针对同一事件的多个警报。AER有效地跟踪这些重叠领域，确保每个人都能被告知，而不会被重复消息所淹没。

值得指出的是，这些联系人可以选择每次AER对其工作区中的用户采取行动时都收到电子邮件通知，或者他们可以选择通过Slack安全机器人接收Slack内的DM通知（或者两者都选！）。

有关更多信息，请参阅Slack帮助中心中的“在Slack中配置审计日志异常事件响应”文章。

关键发现与影响

自2025年2月推出AER以来，其自动化干预措施验证了主动安全措施的重要性，并展示了其在实时破坏可疑活动方面的有效性。

作为背景，根据IBM最新的数据泄露成本报告，2024年数据泄露的平均成本达到488万美元，云端协作平台的平均事件响应时间为277天。AER缩短此响应窗口的能力是在产生真正安全影响方面向前迈出的重要一步。

通过自动终止参与异常活动的会话，AER可以防止原本可能未被发现的潜在安全事件。对我们的企业客户而言，这些好处转化为增强的数据保护，同时减少了安全团队的负担。随着威胁行为者不断发展其技术，AER提供了一种可扩展、自适应的防御机制，确保我们保持Slack作为一个安全可靠、用于协作和沟通的平台。

结论

安全应该在您工作时发挥作用。Anomaly Event Response延续了我们以创新方式处理安全的传统，优先考虑共同责任和大规模影响。通过弥合检测与响应之间的差距，我们消除了传统上有利于攻击者而非防御者的延迟。

我们通过AER采纳的共同责任模型代表了企业安全的未来——平台提供商和客户共同努力创建多层防御。通过提供人人可用的、开箱即用的高级安全功能，同时为具有复杂安全操作的组织提供定制选项，我们确保所有客户，无论其规模或安全资源如何，都能从实时威胁破坏中受益。

最令人兴奋的部分是什么？随着数字威胁环境的不断演变，AER也将不断发展。我们致力于通过在后台持续完善检测机制、扩展响应能力并吸纳客户反馈来扩展功能、增加新的令人兴奋的功能，提供默默有效工作的安全保障，让团队能够充满信心地协作。Slack是工作发生的地方，而这种现代化的协作环境需要并值得现代的前瞻性安全。