Suspicious login detection（异常登录检测）

工作流名称

Suspicious_login_detection（异常登录检测）

主要功能和亮点

本工作流实现对用户登录行为的实时监控与异常检测，结合多维数据源进行综合分析，迅速识别并优先处理潜在的安全威胁。亮点包括：

• 多接口数据融合：整合GreyNoise威胁情报、IP-API地理位置服务及UserParser用户代理解析，形成详尽的登录上下文信息。
• 异常行为判定：通过比对历史登录记录，自动识别新的登录地点及设备/浏览器，及时发现异常登录。
• 智能威胁优先级划分：基于GreyNoise的IP信誉及分类数据，自动分配高、中、低三档警报级别，优化安全响应顺序。
• 多渠道告警通知：支持通过Slack频道实时推送安全警报，并通过邮件告知用户异常登录情况，增强安全意识。
• 灵活触发机制：支持Webhook接收真实登录事件触发，及手动触发测试，方便部署与调试。

解决的核心问题

• 及时检测并响应用户账户的异常登录行为，防止未授权访问。
• 通过丰富的威胁情报和用户行为对比，降低误报率，提高检测准确性。
• 自动化优先级管理与通知机制，确保安全团队高效处理最关键的安全事件。
• 提升终端用户安全感，主动告知潜在风险，促进安全防护协同。

应用场景

• 企业或组织的用户身份安全管理。
• SaaS产品或在线服务的登录安全监控。
• 需要自动化安全事件检测与告警的安全运营中心（SOC）。
• 结合多数据源进行高级威胁分析的安全自动化工作流。

主要流程步骤

1. 数据采集
   通过Webhook接收登录事件，提取关键数据（IP、用户代理、时间戳、用户ID、访问URL等）。
2. 威胁情报查询
   • 调用GreyNoise API获取IP的安全信誉及分类信息。
   • 调用IP-API获取地理位置信息。
   • 调用UserParser解析用户代理，识别设备、浏览器及操作系统。
3. 数据合并与分析
   将上述数据合并，整合为完整的登录信息。
4. 异常检测
   • 查询该用户最近10次登录记录，对比当前登录的地理位置和设备信息。
   • 判断是否存在新地点或新设备/浏览器。
5. 威胁优先级判断
   根据GreyNoise的分类和信任等级，结合异常检测结果，分配登录事件的风险优先级（高、中、低）。
6. 告警与通知
   • 通过Slack发送详细的安全警报，包括优先级、用户信息、IP信息及GreyNoise报告链接。
   • 若用户有邮箱，发送HTML格式邮件通知用户异常登录详情，并提供安全建议。
7. 后续处理
   根据优先级和具体情形，安全团队可采取密码重置、账户冻结等措施。

涉及的系统或服务

• GreyNoise：提供IP威胁情报，判断IP是否为恶意、良性或未知。
• IP-API：提供IP地址的地理位置数据。
• UserParser：解析用户代理字符串，识别登录设备和浏览器信息。
• Postgres数据库：存储用户及登录历史数据，用于对比和分析。
• Slack：向安全团队发送即时告警消息。
• Gmail：向用户发送异常登录通知邮件。
• Webhook：接收实时登录事件触发工作流。
• Manual Trigger：支持手动触发测试。

适用人群或使用价值

• 安全运营团队（SecOps）：借助本工作流，实现自动化、高效的异常登录检测和威胁响应。
• 产品安全负责人：提升产品账户安全水平，减少因异常登录导致的安全事故。
• IT运维人员：通过集成多种数据源，快速定位风险IP和异常行为，简化安全分析流程。
• 普通企业用户：保障账户安全，及时获知异常访问，主动防范潜在风险。

本工作流为构建智能、安全的登录监控系统提供了成熟且易于扩展的解决方案，助力企业增强安全防护能力，守护数字资产安全。