随着网络攻击达到前所未有的复杂程度和速度，漏洞检测与响应之间的时间差变得尤为关键。传统安全方法通常以被动方式运行，仅在损害发生后识别入侵。这种延迟为攻击者提供了战术优势，迫使安全团队专注于损害评估和修复，而非主动威胁检测和预防。组织迫切需要能够大幅压缩检测到响应窗口的解决方案，以重获防御优势。

为应对这一挑战，我们开发了异常事件响应（AER）——Slack内部的新型主动防御机制。通过将实时监控与高级分析相结合，AER能在威胁行为者行为出现在我们平台时自主识别高置信度威胁。当检测到可疑活动时，系统会自动终止相应用户会话，将安全检测和响应差距从可能的天数/小时缩短至仅仅几分钟。

结果如何？一个强大的原生安全能力，可在攻击链完全执行前予以中断，无需额外安全工具、集成或人力资本即可防止数据泄露和系统入侵。

在本文中，我们将探讨异常事件响应背后的技术架构，审视我们的动机、检测机制、响应能力以及在此过程中获得的见解。

保护Slack的共同责任

Slack是工作发生的场所。我们是每周数千万用户工作场所沟通和协作的中心枢纽，每日产生数十亿次互动。为确保客户安全，我们向企业客户提供全面的审计日志，记录实体在平台上的操作。在支持的数百个操作中，我们还为客户提供异常审计日志，通过利用高级分析标记工作区中的异常活动（包括异常登录、上传恶意软件、意外数据传输等）来进一步强化安全。

这些专门的审计日志作为早期预警系统，突出显示可疑活动并提供对可能未被发现的潜在威胁的宝贵洞察。也就是说，它们本身并非解决方案；仍然需要安全人员审查或与第三方解决方案集成，以将检测到的行为转化为可操作的洞察。

将Slack审计日志集成到更广泛的安全解决方案中提供了无与伦比的灵活性和可定制性，但我们也知道基于规模、安全能力或资源，这对所有客户并不可行。我们创建AER是为了通过自动化解决方案弥合检测与响应之间的差距，任何企业网格客户都可以开箱即用，既可以单独使用，也可以作为其更广泛安全方法的一部分。

信任是我们的首要核心价值观。我们相信安全是我们与客户之间的共同责任，通过为他们提供数据和工具来构建安全解决方案，同时培育安全平台并消除威胁。我们的异常事件响应解决方案为每个人弥合威胁检测和自动响应，同时仍允许高级客户在此工具之上添加量身定制的安全措施以满足其独特需求。

它还延续了我们通过创新自动化增强用户安全的持续承诺，例如我们针对密码泄露和Cookie劫持的措施。

设计理念

在设计此功能时，我们专注于支持平台面临的最常见威胁类型。我们的目标是优先考虑在平台上具有最广泛吸引力的检测。我们最终确定了：

• 从Tor出口节点访问Slack
• 过度下载作为数据泄露的潜在指标
• 通过非Slack原生自动化工具进行数据抓取
• 会话指纹不匹配
• 意外的API调用量和模式
• 意外的用户代理，指示来自非标准或虚拟客户端的访问

我们知道每个客户使用Slack的方式不同，每个组织将具有不同的风险状况，因此我们设计AER让组织选择哪些检测对他们重要，哪些应仅记录而不采取响应行动。这种相同的可配置性扩展到通知偏好。

要更改配置，请通过工具和设置→组织设置→安全（左侧边栏）→安全设置导航。从这里，将有一个异常事件响应设置部分，您可以在其中选择哪些异常事件应触发用户会话终止，以及您希望如何被通知（如果需要）。

系统架构与技术深度解析

AER采用我们为实时异常检测、异步作业编排和动态通知设计的多层架构。这些操作由三个核心组件执行：底层检测引擎、决策框架和响应编排器。

检测引擎

首先，AER的检测引擎以每天数十亿的规模监控Slack事件，使用基于规则的启发式方法和根据每个企业使用模式校准的动态阈值相结合。例如，在监控过度下载活动时，对一个组织异常的情况可能是另一个组织的预期基线，因此我们根据历史数据为每个组织计算阈值。这种自适应方法不仅显著减少了整个客户群的误报，还使我们能够不断微调检测的灵敏度并验证其有效性。

决策框架

接下来，决策框架评估在识别可疑行为时创建的每个审计负载，根据客户的AER配置和内部规则执行验证检查。

这些检查之一包括分析给定的负载并检查其之前发生的情况，以便我们确定恶意行为是否在账户上的用户会话终止后持续存在，同时确保我们保护合法用户免受连续终止循环的影响。我们通过分析与每个审计负载关联的会话来实现这一点。

一旦异常被验证且客户已启用该事件类型的检测，将排队一个异步作业，执行自主响应。

响应编排

最后，AER终止属于操作用户的所有活动用户会话，并执行一系列为透明度和问责制设计的操作。

AER生成一个user_sessions_reset_by_anomaly_event_response审计日志，包含触发响应的特定异常类型、关于操作用户的上下文以及异常事件起源的session_id。在调查期间，此数据点让您可以将此活动连接回原始异常审计日志以获取额外上下文。客户应主动监控此审计日志操作，以便了解AER何时采取了自主行动，以及是否需要对其组织中操作用户的操作进行任何进一步调查。

生成此审计日志后，AER查询客户的通知偏好以确定任何额外通知应如何路由。虽然操作用户始终会收到通知其会话终止的电子邮件通知，但客户的配置决定是否任何额外通知被路由到最多两种其他联系人类型：组织主要所有者和任何具有安全管理员系统角色的用户。

为了减少此阶段的通知疲劳，我们构建了智能通知逻辑，识别某人在您组织中身兼多职的情况。例如，如果同一个人既是组织主要所有者又具有安全管理员系统角色，他们将只收到一个通知，而不是同一事件的多个警报。AER有效跟踪这些重叠区域，确保每个人都能得到通知而不会被重复消息淹没。

值得指出的是，这些联系人可以选择每次AER对其工作区中的用户采取行动时接收电子邮件通知，或者他们可以选择通过Slack安全机器人接收Slack内DM通知（或两者兼而有之！）。

有关更多信息，请参阅Slack帮助中心中的[在Slack中配置审计日志异常事件响应]文章。

关键发现与影响

自2025年2月推出AER以来，其自动化干预验证了主动安全措施的重要性，并展示了其在实时中断可疑活动方面的有效性。

作为背景，根据IBM最新的数据泄露成本报告，2024年数据泄露的平均成本达到488万美元，基于云的协作平台的平均事件响应时间为277天。AER减少此响应窗口的能力是在产生真正安全影响方面迈出的重要一步。

通过自动终止参与异常活动的会话，AER可以防止可能未被发现的安全事件。对我们的企业客户而言，这些好处转化为增强的数据保护，同时减少安全团队开销。随着威胁行为者继续发展其技术，AER提供了一个可扩展、自适应的防御机制，确保我们保持Slack作为一个安全可靠的合作和沟通平台。

结论

安全应在您工作时运行。异常事件响应延续了我们以创新方式处理安全的传统，优先考虑共同责任和规模化影响。通过弥合检测与响应之间的差距，我们消除了传统上有利于攻击者而非防御者的延迟。

我们通过AER采用的共同责任模型代表了企业安全的未来——平台提供商和客户共同努力创建多层防御。通过提供对每个人开箱即用的高级安全，同时仍为具有复杂安全操作的组织提供定制，我们确保所有客户无论其规模或安全资源如何，都能从实时威胁中断中受益。

最令人兴奋的部分是什么？随着数字威胁格局的不断演变，AER也将如此。我们致力于通过不断完善我们的检测机制、扩展我们的响应能力并整合客户反馈以通过新的令人兴奋的功能扩展该功能，提供在后台静默有效运行的安全，让团队能够自信地协作。Slack是工作发生的地方，这种现代协作环境需要并应得现代前瞻性安全。