构建Slack的异常事件响应：超越检测的安全

随着网络攻击发展到前所未有的复杂和快速水平，漏洞检测与响应之间的时间差变得空前关键。传统的安全方法通常是反应性的，仅在损害发生后识别入侵。这种延迟给了攻击者战术优势，迫使安全团队专注于损害评估和补救，而非主动的威胁检测与预防。组织迫切需要能够显著压缩从检测到响应时间的解决方案，以重获防御优势。

为了应对这一挑战，我们开发了异常事件响应，这是Slack内部一种新的主动防御机制。通过将实时监控与高级分析相结合，AER能够在异常行为出现在我们平台上时，自主识别出高置信度的威胁行为者活动。当检测到可疑活动时，系统会自动终止相应用户的会话，将安全检测和响应差距从潜在的天数/小时缩短至仅仅几分钟。

结果如何？这是一种强大的原生安全能力，能在攻击链完全执行之前将其阻断，防止数据泄露和系统受损，且无需额外的安全工具、集成或人力资源。

在本文中，我们将探讨异常事件响应背后的技术架构，审视我们的动机、检测机制、响应能力以及一路走来获得的见解。

保障Slack安全的共同责任

Slack是工作发生的地方。我们是数千万用户每周进行工作场所沟通与协作的中心枢纽，每天产生数十亿次互动。为了确保客户的安全，我们为企业客户提供全面的审计日志，记录实体在平台上的操作行为。在包含数百个支持操作的完整列表中，我们还为客户提供异常审计日志，其通过利用高级分析来标记工作区中的异常活动，包括异常登录、上传恶意软件、意外数据传输等。那些希望了解更多关于这些特殊审计日志以及如何在安全调查中使用它们的读者，可能会对我们关于Slack审计日志和异常情况的文章感兴趣。

这些专门的审计日志充当了一个早期预警系统，突出显示可疑活动，并对原本可能未被发现的潜在威胁提供宝贵的洞察。也就是说，它们本身并非解决方案；仍然需要安全人员进行审查或与第三方解决方案集成，才能将检测到的行为转化为可操作的见解。

将您的Slack审计日志集成到更大的安全解决方案中提供了无与伦比的灵活性和可定制性，但我们也知道，基于规模、安全能力或资源，这对于所有客户来说并不可行。我们创建AER正是为了弥合检测与响应之间的差距，提供一个开箱即用的自动化解决方案，任何企业网格客户都可以单独使用它，或将其作为更广泛安全策略的一部分。

信任是我们的首要核心价值。我们认为安全是我们与客户之间的共同责任，通过为客户提供数据和工具来构建安全解决方案，同时营造安全的平台环境并消除威胁。我们的异常事件响应解决方案为所有人弥合了威胁检测与自动化响应之间的鸿沟，同时仍允许高级客户在此工具之上添加量身定制的安全措施以满足其独特需求。

这也延续了我们通过创新自动化（如针对密码泄露和Cookie劫持的措施）持续增强用户安全的承诺。

设计哲学

在设计此功能时，我们专注于支持平台面临的最常见威胁类型。我们的目标是优先考虑在平台上具有最广泛吸引力的检测类型。我们最终确定了：

• 从Tor出口节点访问Slack
• 过度下载作为数据泄露的潜在指标
• 通过非Slack原生自动化工具进行数据抓取
• 会话指纹不匹配
• 意外的API调用量和模式
• 意外的用户代理，表明来自非标准或虚拟客户端的访问

我们知道每个客户使用Slack的方式都不同，每个组织都会有各自的风险状况，因此我们将AER设计为允许组织选择哪些检测对他们重要，以及哪些应该仅被记录而不采取任何响应行动。同样的可配置性也扩展到通知偏好。

要更改您的配置，请通过“工具与设置” → “组织设置” → “安全”（左侧边栏）→ “安全设置”进行导航。从这里，会有一个“异常事件响应设置”部分，您可以选择哪些异常事件应触发用户会话终止，以及您希望如何被通知（如果希望被通知的话）。

系统架构与技术深度解析

AER采用了我们为实时异常检测、异步作业编排和动态通知而设计的多层架构。这些操作由三个核心组件执行：底层检测引擎、决策框架和响应编排器。

检测引擎 首先，AER的检测引擎以每天数十亿的规模监控Slack事件，结合了基于规则的启发式方法和根据每个企业的使用模式校准的动态阈值。例如，在监控过度下载活动时，对一个组织是异常的情况可能对另一个组织是预期的基线，因此我们根据历史数据为每个组织计算阈值。这种自适应方法不仅显著减少了整个客户群中的误报，还允许我们不断微调检测的灵敏度并验证其有效性。

决策框架 接下来，决策框架会评估在识别出可疑行为时创建的每个审计负载，根据客户的AER配置和内部规则执行验证检查。

其中一个检查包括分析给定的负载并检查其先前的活动，以便我们确定恶意行为是否在用户会话终止后仍在帐户上持续存在，同时确保我们保护合法用户免受连续终止循环的影响。我们通过分析与每个审计负载相关的会话来实现这一点。

一旦异常被验证且客户已启用对该事件类型的检测，系统就会将一个执行自主响应的异步作业加入队列。

响应编排 最后，AER会终止属于操作用户的所有活动用户会话，并执行一系列旨在实现透明度和问责制的操作。

AER会生成一个user_sessions_reset_by_anomaly_event_response审计日志，其中包含触发响应的具体异常类型、有关操作用户的上下文以及异常事件起源的session_id。在调查过程中，这个数据点让您可以将此活动追溯到原始的异常审计日志以获取额外上下文。客户应主动监控此审计日志操作，以便了解AER何时采取了自主行动，以及他们是否需要针对操作用户在其组织内的行为进行任何进一步调查。

生成此审计日志后，AER会查询客户的通知偏好，以确定任何额外通知应如何路由。虽然操作用户总是会收到一封告知其会话已被终止的电子邮件通知，但客户的配置决定了是否有任何额外通知会路由到最多两种其他联系类型：组织主要所有者和任何具有安全管理员系统角色的用户。

为了减少此阶段的通知疲劳，我们构建了智能通知逻辑，能够识别组织中身兼多职的人员。例如，如果同一个人既是组织主要所有者又具有安全管理员系统角色，他们将只收到一个通知，而不是针对同一事件的多个警报。AER能有效跟踪这些重叠区域，确保每个人都能获得通知，而不会被重复消息淹没。

值得一提的是，这些联系人可以选择在AER对其工作区中的用户采取行动时每次都收到电子邮件通知，或者选择通过Slack安全机器人接收Slack内的直接消息通知（或两者兼有！）。

欲了解更多信息，请参阅Slack帮助中心文章《在Slack中配置审计日志异常事件响应》。

主要发现与影响

自2025年2月推出AER以来，其自动化干预措施验证了主动安全措施的重要性，并展示了其在实时阻断可疑活动方面的有效性。

为提供背景，根据IBM最新的《数据泄露成本报告》，2024年数据泄露的平均成本达到488万美元，基于云的协作平台的平均事件响应时间为277天。AER能够缩小此响应窗口，是在产生真正安全影响方面向前迈出的重要一步。

通过自动终止从事异常活动的会话，AER可以防止原本可能未被发现的潜在安全事件。对于我们的企业客户而言，这些好处转化为在增强其数据保护的同时，减少了安全团队的负担。随着威胁行为者不断演变其技术，AER提供了一种可扩展、自适应的防御机制，确保我们持续将Slack作为一个安全可靠、适合协作与沟通的平台。

结论

安全应该在您工作时发挥作用。异常事件响应延续了我们以创新方式进行安全的传统，优先考虑共同责任和规模化影响。通过弥合检测与响应之间的差距，我们消除了传统上有利于攻击者而非防御者的延迟。

我们通过AER采用的共同责任模型代表了企业安全的未来——平台提供商和客户共同努力创建多层防御。通过提供开箱即用、人人都可用的高级安全功能，同时仍为拥有复杂安全操作的组织提供定制化选项，我们确保所有客户无论其规模或安全资源如何，都能从实时威胁阻断中受益。

最令人兴奋的部分是什么？随着数字威胁形势不断演变，AER也将随之发展。我们致力于提供在后台静默且有效运行的安全保障，不断优化我们的检测机制，扩展我们的响应能力，并结合客户反馈来扩展该功能，增添新的、令人兴奋的能力，让团队能够充满信心地进行协作。Slack是工作发生的地方，而这种现代化的协作环境需要并值得现代化的、前瞻性的安全保障。

#事件响应 #安全