Protect 24/7

Protect theo dõi những gì

Protect luôn chạy cho mọi ứng dụng, ở cả hai chế độ bảo vệ, bạn không cần bật. Khi một yêu cầu có dấu hiệu bất thường, server ghi một sự kiện bảo mật mang một trong 12 tín hiệu, gắn với license, thiết bị và IP liên quan khi xác định được. Ở Bảo vệ Standard, Protect chỉ làm đến đó: không có thông báo chuông, không có cảnh báo qua email hay chat và không có phản ứng tự động. Những thứ đó cần Bảo vệ Advanced.

Vài điều cần biết:

• Vị trí bất thường và cột quốc gia chỉ có dữ liệu khi máy chủ API nhận được thông tin quốc gia của yêu cầu. Khi không có, quốc gia hiện là ··.
• Từ chối tăng đột biến được kiểm tra tối đa 10 phút một lần cho mỗi app và không gắn với license, thiết bị hay IP nào.
• Với cùng app, cùng tín hiệu và cùng nguồn (IP, license hoặc thiết bị), Protect chỉ ghi tối đa 30 sự kiện mỗi phút. Phần vượt bị bỏ qua để một đợt tấn công không làm ngập dữ liệu.

Phần mềm góp tín hiệu

Phần lớn tín hiệu do server và SDK tự phát hiện. Có hai chỗ bạn nên góp thêm từ phía phần mềm: gửi hash của bản đang chạy để Protect nhận ra bản build lạ, và báo những gì phần mềm tự phát hiện được.

import { ClavisClient } from "@clavisauh/sdk";

const clavis = new ClavisClient({
  baseUrl: "https://api.example.com",
  appId: "app_…",
  appPublicKey,
  device,
  appVersion: "2.3.0",
  buildHash, // SHA-256 của file đang chạy, 64 ký tự hex thường
});

// Phần mềm phát hiện debugger: báo về Protect. Cần phiên đang sống.
await clavis.request("/v1/client/report", { kind: "debugger", detail: { tool: "x64dbg" } });

kind nhận debugger, hook, vm, patched (đều là Phát hiện can thiệp) và offline_rewind (Lùi giờ khi offline). Báo cáo response_verification (Chữ ký giả mạo) do SDK JS tự gửi sau câu trả lời hợp lệ kế tiếp, bạn không cần gọi. detail gồm các cặp khoá ngắn với giá trị là chuỗi (tối đa 200 ký tự), số hoặc boolean.

Điểm rủi ro

Mỗi sự kiện cộng trọng số của tín hiệu vào điểm của mọi chủ thể liên quan. License, thiết bị và IP được chấm riêng.

• Mỗi loại tín hiệu đóng góp tối đa gấp 5 lần trọng số của nó: Chữ ký giả mạo tối đa 90, Phát hiện can thiệp tối đa 20. Tổng điểm tối đa 100.
• Điểm giảm một nửa sau mỗi 24 giờ không có tín hiệu mới.
• Dưới 40 là Bình thường, từ 40 đến 69 là Theo dõi, từ 70 là Nguy hiểm. Thước đo đổi từ xám sang vàng rồi đỏ.

Ví dụ: một bản crack gửi 25 yêu cầu ký sai. Chữ ký giả mạo chạm trần 90 và license vào mức Nguy hiểm. Nếu sau đó im lặng, điểm còn 45 sau 24 giờ và khoảng 23 sau 48 giờ, rơi khỏi danh sách Cần xử lý.

Điểm hiện ở danh sách Cần xử lý, ngăn chi tiết sự cố, khung Nguồn (với IP) và ngăn chi tiết license. Riêng ngăn chi tiết license hiện điểm tại tín hiệu gần nhất, chưa trừ phần suy giảm.

Sự cố

Protect gom sự kiện thành sự cố để bạn không phải đọc từng dòng:

• Sự kiện mới được gộp vào sự cố chưa đóng có cùng tín hiệu và cùng chủ thể chính, nếu sự cố đó có sự kiện trong 30 phút qua. Nếu không, một sự cố mới được mở.
• Chủ thể chính là license nếu xác định được, nếu không thì thiết bị, rồi đến IP. Sự cố Từ chối tăng đột biến hiện Không gắn chủ thể.
• Sự cố mang mức của tín hiệu và đếm số sự kiện. Mỗi sự cố mới phát webhook security.incident, ở chế độ nào cũng vậy.
• Ở Bảo vệ Advanced, mỗi sự cố mới mức Cao tạo thông báo chuông cho Chủ sở hữu và Quản trị. Khi workspace chưa có luật cảnh báo nào, họ còn nhận email, tối đa một lần mỗi 5 phút. Khi bạn đã tạo luật riêng (kể cả luật đang tắt), chỉ luật của bạn được áp dụng. Xem Cảnh báo và kênh thông báo.

Xử lý một sự cố

1. Bấm vào một sự cố trong khung Sự cố đang mở, hoặc một dòng trong Sự kiện trực tiếp. Ngăn chi tiết mở ra và URL có thêm ?incident=…, bạn có thể gửi link này cho đồng đội.
2. Mục Chủ thể cho biết license, thiết bị hoặc IP cùng điểm rủi ro, kèm nút Tạm khoá hoặc Mở lại, Chặn máy hoặc Bỏ chặn, Chặn IP.
3. Vì sao liệt kê các tín hiệu tạo nên điểm, với số lần ước tính. Đã làm gì liệt kê 20 hành động gần nhất trên chủ thể, mỗi hành động ghi Tự động hoặc Thủ công. Dòng thời gian hiện 50 sự kiện mới nhất với IP, tên máy và đường dẫn API khi có.
4. Bấm Nhận xử lý để đồng đội biết bạn đang lo, sự cố chuyển sang Đang xử lý.
5. Ghi vào ô Ghi chú những gì bạn đã kiểm tra và quyết định, rồi bấm Đóng sự cố. Ghi chú là bắt buộc, ít nhất 3 ký tự.

Sự cố đã đóng có nút Mở lại và không nhận thêm sự kiện; tín hiệu cùng loại sau đó mở một sự cố mới.

Tab Tổng quan

Mở Bảo mật ứng dụng › Bảo vệ. Dòng trạng thái dưới tiêu đề cho biết Đang giám sát, chế độ của ứng dụng (bấm để sang tab Phương pháp) và, ở Bảo vệ Advanced, Tự xử lý đang bật hay Chỉ cảnh báo.

• Khoảng thời gian: 1 giờ, 24 giờ, 7 ngày, 30 ngày. Bộ lọc Quốc gia, Loại tín hiệu, Phiên bản và nút Bỏ lọc. Khoảng, bộ lọc và sự cố đang mở đều nằm trên URL.
• Bốn ô số: Phiên đang chạy (cập nhật mỗi 2 giây), Yêu cầu có ký mỗi phút (trung bình 5 phút gần nhất), Sự kiện bảo mật (số sự kiện trong khoảng, kèm số chủ thể cần xử lý) và Chế độ bảo vệ với số phương pháp đang bật, xem Hai chế độ bảo vệ.
• Sự kiện bảo mật theo thời gian: biểu đồ cột chồng theo năm nhóm: Giả mạo (Chữ ký giả mạo, Yêu cầu phát lại, Lùi giờ khi offline), Lạm dụng khoá (Dò key, Chia sẻ key, Vượt phiên đồng thời), Thời gian & vị trí (Lệch đồng hồ, Vị trí bất thường), Can thiệp bản chạy (Bản build lạ, Phát hiện can thiệp), Luật & đột biến (Bị chặn bởi luật truy cập, Từ chối tăng đột biến). Mỗi cột là 5 phút, 1 giờ, 6 giờ hoặc 1 ngày tuỳ khoảng.
• Nguồn: 8 quốc gia có nhiều sự kiện nhất (bấm để lọc theo quốc gia đó) và 6 IP đáng ngờ nhất với điểm rủi ro, kèm nhãn Đang chặn nếu IP đang bị chặn.
• Sự kiện trực tiếp: 40 sự kiện mới nhất, đẩy về mỗi 2 giây. Khi luồng bị ngắt, trạng thái chuyển sang Hỏi lại mỗi 10 giây. Di chuột vào danh sách để Tạm dừng; sự kiện mới được giữ lại và hiện ra khi bạn rời chuột.

Phần còn lại của trang tự làm mới mỗi 30 giây. Khi chưa có sự kiện, sự cố hay chủ thể nào cần xử lý, trang hiện Chưa có sự kiện bảo mật nào cùng ba lối tắt Bật kênh cảnh báo (ở Standard là Bật Bảo vệ Advanced), Đặt luật chuyển máy và Đọc cẩm nang Protect.

Cần xử lý và thao tác thủ công

Danh sách Cần xử lý gồm tối đa 30 chủ thể có điểm từ 40 trở lên (sau khi trừ suy giảm) và có tín hiệu trong 3 ngày qua, điểm cao nhất lên đầu. Mỗi dòng hiện bản xem trước của license, tên máy hoặc IP, nhãn đang tạm khoá hay đang chặn, ba lý do chính (ví dụ "3× chữ ký giả") và quốc gia gần nhất. Nút Xem cạnh một license mở ngăn chi tiết của nó trong Phát hành & bản quyền › License.

Mỗi thao tác mở hộp thoại yêu cầu Lý do (ít nhất 3 ký tự), được lưu vào nhật ký kiểm toán. Mọi vai trò trong workspace (Chủ sở hữu, Quản trị, Thành viên) đều dùng được.

• Phiên đã kết thúc không hoàn tác được; phần mềm chỉ cần đăng nhập lại.
• Lệnh chặn IP có hiệu lực ở cả hai chế độ bảo vệ. Để gỡ sớm, dùng Gỡ chặn, hoặc Hoàn tác ở dòng chặn IP trong Đã làm gì. Nếu không, lệnh chặn tự hết sau 24 giờ.

Phần mềm nên phân biệt phiên bị kết thúc với bị khoá hẳn:

import { ClavisError } from "@clavisauh/sdk";

try {
  await clavis.heartbeat();
} catch (err) {
  if (!(err instanceof ClavisError)) throw err;
  if (err.code === "session_expired") return showSignIn(); // phiên bị kết thúc, ví dụ do Protect
  if (["license_suspended", "device_blocked", "access_blocked"].includes(err.code)) return lockApp(err.code);
  throw err;
}

Xử lý theo mức rủi ro

Xử lý theo mức rủi ro nằm trong nhóm Phát hiện và phản ứng ở Bảo mật ứng dụng › Bảo vệ, tab Phương pháp. Phương pháp này chỉ chạy ở Bảo vệ Advanced và mặc định tắt. Chỉ Chủ sở hữu và Quản trị đổi được.

1. Bật công tắc Xử lý theo mức rủi ro.
2. Chọn Chỉ cảnh báo hoặc Tự xử lý.
3. Nhập các ngưỡng Cảnh báo từ, Đăng nhập lại từ, Tạm khoá từ, từ 10 đến 100. Mỗi ô tự lưu khi bạn rời ô.

Ở chế độ Tự xử lý, Protect còn chặn một thiết bị khi chính máy đó gây Chia sẻ key hoặc Bản build lạ lặp lại trong thời gian ngắn, và chặn một IP trong 24 giờ khi IP đó gây Dò key.

Chỉ cảnh báo chỉ làm dòng đầu tiên của bảng. Đã cảnh báo là một mốc ghi nhận và một webhook; email hay tin nhắn do luật cảnh báo gửi, độc lập với phương pháp này. Tự xử lý chạy trên Premium: trên Basic, chế độ này vẫn chỉ cảnh báo và màn hình ghi "Tự xử lý chạy trên Premium, gói hiện tại chỉ cảnh báo". Tắt công tắc thì không có hành động tự động nào.

Mỗi hành động tự động hiện trong Đã làm gì với nhãn Tự động và điểm lúc ra tay, được ghi nhật ký kiểm toán và phát webhook security.action. Thao tác thủ công không phát security.action.

Tab Tất cả app

Giám sát & cảnh báo › Bảo mật, tab Tất cả app, đặt mọi ứng dụng lên một màn hình và tự làm mới mỗi 30 giây:

• Ba ô số: Tín hiệu 24 giờ, Sự cố đang mở, App dùng Advanced.
• Bảng ứng dụng: mỗi app kèm chế độ của nó, Tín hiệu 24h, Sự cố đang mở và Rủi ro cao nhất (điểm đã lưu cao nhất của một chủ thể có tín hiệu trong 3 ngày qua). Bấm một dòng để mở trang Bảo vệ của app đó.
• Sự cố mới nhất: 8 sự cố đang mở gần đây nhất trên mọi app, bấm để mở thẳng ngăn chi tiết.

Số tín hiệu trên trang này luôn tính trong 24 giờ qua, không phụ thuộc gói.

Khoảng thời gian theo gói

Chọn khoảng dài hơn cửa sổ của gói không gây lỗi: dữ liệu được rút về khoảng dài nhất được phép và trang hiện "Gói hiện tại xem tối đa 24 giờ". Danh sách Cần xử lý (3 ngày) và Sự cố đang mở không bị cửa sổ này giới hạn. Con số áp cho workspace của bạn hiện ở Tài khoản & tổ chức › Gói & sử dụng, dòng Cửa sổ Protect (ngày) và Protect tự xử lý. Xem Gói Basic, Premium và hạn mức.

Liên quan

• Hai chế độ bảo vệ
• Cảnh báo và kênh thông báo
• Thiết bị, HWID và chuyển máy
• Kiểm soát truy cập