安全云脑 SECMASTER-华为云

安全云脑 SECMASTER-入门实践

入门实践当您完成了新增工作空间、采集数据、配置并启用了相关检查等基本操作后，可以根据业务需求使用安全云脑提供一系列实践。表1 常用实践实践描述安全看板安全看板可以联动其他云安全服务，实时呈现云上资产整体安全评估状况，集中展示云上安全。资产管理安全云脑支持对云上资产全面自动盘点，也可灵活纳管云外各种资产，点清所有资产，并呈现资产实时安全状态。安全分析介绍如何同时管理多个云产品的安全告警和日志，并对告警及日志进行聚合分析，获取攻击信息、主动搜寻威胁。自动化处理安全事件介绍如何通过安全编排功能对安全事件进行自动化响应处置，实现安全运维的自动化编排和快速响应。将非华为云日志数据接入安全云脑或将安全云脑日志转出至第三方系统/产品介绍如何采用多种方式采集各类日志数据，以及如何对采集的日志数据进行解析、转出、可视化查询、威胁建模等操作。安全云脑护网/重保最佳实践安全云脑支持在重大保障及防护演练前，全面地进行资产脆弱性盘点；在攻防演练期间，高强度7*24的安全保障，侧重于防攻击，保障业务可用性不因安全攻击受影响，侧重于防入侵，保障不因入侵失分被问责。能够更智能、更快速，帮助您实现一体化、自动化安全运营管理，满足您的安全需求。

安全云脑 SECMASTER

安全云脑 SECMASTER-步骤六：安全运营

步骤六：安全运营配置完成后，便可以针对集成的数据执行资产管理、检测威胁、调查告警等操作。图1 安全运营管理资产与风险。安全运营的本质指安全风险管理，根据ISO的定义，其三要素包括“资产”，“脆弱性”和“威胁”。因此，梳理您要防护的资产，是安全运营的业务流起点。表1 管理资产与风险操作项操作说明梳理并管理资产安全云脑可以帮助您：将云上资产从不同租户、不同Region汇集到一个视图中。将云外资产导入到安全云脑中，并标记其所属的环境。将资产的风险情况标识出来，例如：是否有不安全的配置、是否有OS或者应用漏洞、是否存在疑似入侵的告警、是否覆盖了对应的防护云服务（例如：E CS 上应该安装HSS的Agent、域名应纳入到WAF的防护策略中）。更多详细介绍及操作请参见资产管理。检查并清理不安全的配置在安全运营过程中，最常见的“脆弱性”是不安全的配置。安全云脑基于安全合规经验，形成自动化检查的基线，按照业界通用的规范标准，提供基线检查包。提供了多种基线标准。云服务中的配置可以自动检查。如： IAM 是否按角色进行授权分数、VPC的安全组中是否存在完全放通的策略、WAF的防护策略是否开启等。您可以根据“详情”中建议的方法，对配置进行加固。更多详细介绍及操作请参见安全治理、基线检查。发现并修复漏洞在修复配置类风险之后，安全云脑还可以帮助您，发现并修复安全漏洞。支持检测Linux软件漏洞、Windows系统漏洞、Web-CMS漏洞、应用漏洞，提供漏洞概览，包括主机漏洞检测详情、漏洞统计、漏洞类型分布、漏洞TOP5和风险服务器TOP5，帮助您实时了解主机漏洞情况。更多详细介绍及操作请参见漏洞管理。检测与寻找威胁。数据源连接到安全云脑后，我们已经梳理了需要保护的资产，并查找及修复了不安全的配置和漏洞，接下来就是识别可疑活动和威胁。安全云脑可提供多种内置的由安全专家和分析团队根据已知威胁、常见攻击媒介和可疑活动上报链设计的模型，方便您能够执行某些对应操作时收到此类威胁的通知。启用这些模型后，它们将自动在整个环境中搜索可疑活动。同时，可以根据您的需要自定义模型，以搜索或筛选出威胁。同时，提供了日志数据检索功能，帮助您筛选威胁。更多详细介绍及操作请参见创建模型、安全分析。调查告警与事件。表2 调查告警与事件操作项操作说明调查告警威胁检测模型分析大量的安全云服务日志，找到疑似入侵的行为，即告警。安全云脑中的告警包含如下字段：名称、等级、发起可疑行为的资产/威胁、遭受可疑行为的资产。安全运营人员需要对告警做出分析判定。如果风险较低，则关闭告警（如：重复告警、运维操作）；如果风险较高，需要单击“转事件”，将告警转为事件。更多详细介绍及操作请参见查看告警信息、告警转事件。调查事件告警转成事件后，就可以在事件管理中查看到生成的事件，事件生成后可以进行调查分析，分析后对事件发起应急响应。您可以在事件上关联与可疑行为相关的实体：资产（如：VM）、情报（如：攻击源IP）、账号（如：泄露的账号）、进程（如：木马）等；也可以关联历史上相似的其他告警或事件。更多详细介绍及操作请参见查看事件信息、编辑事件。响应威胁。当您在对告警、事件进行响应时，可以使用剧本来做自动化处置，提高效率。更多详细介绍及操作请参见安全编排。使用总览仪表盘、大屏、报告表3 使用总览仪表盘、大屏、报告功能项说明总览仪表盘方便您查看当前工作空间中资源的安全评分，快速了解当前的安全状况。更多详细介绍及操作请参见态势总览。安全大屏用于查看资源的实时态势并处理攻击事件等，可以帮助安全运营团队实时监控和分析各种安全威胁和事件，从而做出快速响应。更多详细介绍及操作请参见安全大屏。安全报告可以自动发送安全态势报告，展示安全评分、基线检查结果、安全漏洞、策略覆盖等信息，及时掌握资产的安全状况数据。更多详细介绍及操作请参见安全报告。

安全云脑 SECMASTER

安全云脑 SECMASTER-入门指引

入门指引安全云脑（SecMaster）是华为云原生的新一代安全运营中心，旨在为用户提供一站式的云上安全管理解决方案。通过安全云脑，用户可以实现对云上资产、安全态势、安全信息和事件的集中管理，从而提升安全运营效率和响应速度。本文介绍如何快速使用安全云脑进行安全运营。图1 安全云脑使用流程表1 使用流程参数说明操作步骤说明步骤一：购买安全云脑购买安全云脑，选择版本、配额、增值包等信息。步骤二：新增工作空间创建将资源划分为各个不同工作场景的工作空间，避免资源冗余查找不便，影响日常使用。步骤三：接入资产和日志数据接入数据信息，便于安全云脑对资源进行全面管理。订阅资产数据：订阅当前账号当前region中所有资产信息，方便统一管理资产信息。接入日志数据：接入其他服务日志数据，便于统一管理和分析。接入华为云服务日志数据（可选）接入非华为云日志数据步骤四：配置并启用相关检查启用告警模型、剧本，执行基线检查，并配置策略管理，全面检查资源。启用内置模型：可以利用模型对日志数据进行监控，如果检测到满足触发条件的内容时，将产生告警提示。启用剧本：可以实现安全事件的高效、自动化响应处置。执行基线检查：可以了解最新的云服务基线配置状态，获取云服务基线的风险配置。（可选）配置防线策略和应急策略：通过配置防线策略，实现全流程安全防护；通过配置应急策略进行风险控制。步骤五：创建安全报告设置报告信息，实现安全运营报告自动发送。步骤六：安全运营配置完成后，便可以针对集成的数据执行资产管理、检测威胁、调查告警等操作。

安全云脑 SECMASTER

安全云脑 SECMASTER-购买和使用安全云脑:步骤三：安全运营

步骤三：安全运营首个工作空间新增完成后，安全云脑将自动进行空间初始化操作。初始化完成后，将可以进行管理资产、检查与寻找威胁、调查告警、响应威胁等安全运营操作，同时，还可以使用仪表盘、大屏等查看安全态势。图3 安全运营管理资产与风险安全运营的本质指安全风险管理，根据ISO的定义，其三要素包括“资产”，“脆弱性”和“威胁”。因此，梳理您要防护的资产，是安全运营的业务流起点。资产管理安全云脑可以帮助您将云上资产从不同租户、不同Region汇集到一个视图中，还可以将云外资产导入到安全云脑中，并标记其所属的环境。汇聚后，将资产的风险情况标识出来，例如：是否有不安全的配置、是否有OS或者应用漏洞、是否存在疑似入侵的告警、是否覆盖了对应的防护云服务（例如：ECS上应该安装HSS的Agent、域名应纳入到WAF的防护策略中）等，方便查看资产的安全状态。更多详细介绍及操作请参见资产管理。检查并清理不安全的配置在安全运营过程中，最常见的“脆弱性”是不安全的配置。安全云脑基于安全合规经验，形成自动化检查的基线，按照业界通用的规范标准，提供基线检查包。提供了多种基线标准。云服务中的配置可以自动检查。如：IAM是否按角色进行授权分数、VPC的安全组中是否存在完全放通的策略、WAF的防护策略是否开启等。您可以根据“详情”中建议的方法，对配置进行加固。更多详细介绍及操作请参见安全治理、基线检查。发现并修复漏洞在修复配置类风险之后，安全云脑还可以帮助您，发现并修复安全漏洞。支持检测Linux软件漏洞、Windows系统漏洞、Web-CMS漏洞、应用漏洞，提供漏洞概览，包括主机漏洞检测详情、漏洞统计、漏洞类型分布、漏洞TOP5和风险服务器TOP5，帮助您实时了解主机漏洞情况。更多详细介绍及操作请参见漏洞管理。检测与寻找威胁数据源连接到安全云脑后，我们已经清点了要保护的资产，并查找及修复了不安全的配置和漏洞，接下来就是识别可疑活动和威胁。安全云脑可提供多种内置的由安全专家和分析团队根据已知威胁、常见攻击媒介和可疑活动上报链设计的模型，使你能够执行某些对应操作时收到此类威胁的通知。启用这些模型后，它们将自动在整个环境中搜索可疑活动。同时，可以根据你的需要自定义模型，以搜索或筛选出威胁。同时，提供了日志数据检索功能，帮助您筛选威胁。更多详细介绍及操作请参见模型模板、安全分析。调查告警与事件调查告警威胁检测模型分析大量的安全云服务日志，找到疑似入侵的行为，即告警。安全云脑中的告警包含如下字段：名称、等级、发起可疑行为的资产/威胁、遭受可疑行为的资产。安全运营人员需要对告警做出分析判定。如果风险较低，则关闭告警（如：重复告警、运维操作）；如果风险较高，需要单击“转事件”，将告警转为事件。更多详细介绍及操作请参见查看告警信息、告警转事件。调查事件告警转成事件后，就可以在事件管理中查看到生成的事件，事件生成后可以进行调查分析，分析后对事件发起应急响应。您可以在事件上关联与可疑行为相关的实体：资产（如：VM）、情报（如：攻击源IP）、账号（如：泄露的账号）、进程（如：木马）等；也可以关联历史上相似的其他告警或事件。更多详细介绍及操作请参见查看事件信息、编辑事件。响应威胁当您在对告警、事件进行响应时，可以使用剧本来做自动化处置，提高效率。更多详细介绍及操作请参见安全编排。使用总览仪表盘、大屏、报告总览仪表盘展示当前工作空间中资源的安全评分，快速了解当前的安全状况。安全大屏查看资源的实时态势并处理攻击事件等，可以帮助安全运营团队实时监控和分析各种安全威胁和事件，从而做出快速响应。安全报告可以自动发送安全态势报告，展示安全评分、基线检查结果、安全漏洞、策略覆盖等信息，及时掌握资产的安全状况数据。更多详细介绍及操作请参见态势总览、安全大屏、安全报告。

安全云脑 SECMASTER

安全云脑 SECMASTER-购买和使用安全云脑:操作场景

操作场景安全云脑实现了开箱即用，即默认在每个区域（Region）的首个工作空间中自动加载当前区域的所有资产，以及接入推荐的云服务日志数据，并启用精选预置模型和剧本。无需进行繁琐的手动配置，简化了使用流程并提升了效率。后续新增的用于自定义运营的工作空间，不会自动加载数据与资产，需要用户自定义处理。购买安全云脑并新增首个工作空间完成后，您将可以在安全云脑中执行查看资源安全态势、统一管理资产、全面分析日志数据和自动化安全编排处理事件等操作，帮助您为您的资产构建一个全面的安全防御体系，实现自动化的安全运营和管理工作，满足您的安全需求。本文档将以首次在华北-北京四区域购买如下配置的安全云脑，并使用首个工作空间进行安全运营的场景为例进行介绍：

安全云脑 SECMASTER

安全云脑 SECMASTER-购买和使用安全云脑:操作流程

操作流程操作步骤说明准备工作注册华为账号、开通华为云，并为账户充值、赋予SecMaster权限。步骤一：购买安全云脑标准版购买安全云脑，选择版本（本文以标准版为例）、主机配额等信息。步骤二：新增工作空间新增首个用于安全运营的工作空间。步骤三：安全运营每个区域的首个工作空间新增完成后，安全云脑将自动进行空间初始化操作。初始化完成后，将可以进行管理资产、检查与寻找威胁、调查告警、响应威胁等安全运营操作，同时，还可以使用仪表盘、大屏等查看安全态势。初始化操作包括接入云上当前区域当前账号中的所有资产、接入推荐的云服务日志数据（例如，WAF攻击日志）、并启用精选预置模型（例如，主机异常网络连接）和剧本（例如，高危漏洞自动通知）。

安全云脑 SECMASTER

安全云脑 SECMASTER-购买和使用安全云脑:后续操作

后续操作在运用安全云脑进行高效运营的基础上，您还能灵活融合业务需求，进一步接入多样化的数据源，激活全方位的模型与剧本功能，以实现更深层次、更全面的分析与运营策略制定：接入日志数据：接入华为云云服务日志数据，以统一管理日志信息，以及检索并分析所有收集到的日志，可以实时监控系统和网络的安全状态，及时发现异常行为和潜在威胁。采集数据：接入非华为云日志数据，整合和分析来自不同来源的信息，从而提供更全面的安全视角，可以更深入、全面地分析，方便快速定位系统故障的原因，加速问题解决过程。新建告警模型：利用模型对管道中的日志数据进行监控，如果检测到有满足模型中设置触发条件的内容时，将产生告警提示。启用剧本：通过剧本实现安全事件的高效、自动化响应处置，降低安全事件的平均响应时间（MTTR），提高整体的安全防护能力。执行基线检查：通过执行基线检查可以帮助您评估当前系统、软件、数据库等的安全状态、识别安全风险、防范潜在威胁以及满足合规性要求等。配置防线策略：通过配置防线策略，联动其他安全服务，以便构建一个多层次、全方位的安全防护体系。新增应急策略：通过配置应急策略，可以迅速有效地应对网络安全威胁，限制或阻止来自特定IP地址的访问，从而保护网络资源和用户数据的安全。创建安全报告：可以自动发送安全态势报告，展示安全评分、基线检查结果、安全漏洞、策略覆盖等信息，方便及时掌握资产的安全状况数据。

安全云脑 SECMASTER

安全云脑 SECMASTER-购买和使用安全云脑:准备工作

准备工作在购买SecMaster之前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。如果您已开通华为云并进行实名认证，请忽略此步骤。请保证账户有足够的资金，以免购买SecMaster失败。具体操作请参见账户充值。请确保已为账号赋予“SecMaster FullAccess”权限。具体操作请参见创建用户并授权使用SecMaster。购买安全云脑时，还需要为账号授予“BSS Administrator”权限。

安全云脑 SECMASTER

安全云脑 SECMASTER-方案概述:基本概念

基本概念本部分介绍日志采集中涉及的描述及其作用。日志采集组件（logstash）：用于日志采集、日志传输。组件控制器（isap-agent）：用于管理日志采集组件（logstash）等。日志采集器节点：用于采集日志到云脑，以及安全云脑日志转出。一台ECS，安装了安全云脑组件控制器，组件控制器中安装了日志采集组件。单个租户只需要配置安装一台日志采集器节点。图2 日志采集节点架构图采集器：定制化的Logstash。采集器节点则是定制化的Logstash+组件控制器（isap-agent）。连接器：Logstash配置的基础概念，主要包括input、output两部分，分别对应源连接器、目的连接器，用于定义采集器Logstash接受数据方式和规范。其中，安全云脑管道pipe连接器可以对接安全云脑，实现租户数据上报安全云脑，安全云脑数据转储到租户的能力。解析器：Logstash配置的基础概念，主要为Logstash的filter部分，安全云脑解析器是对其filter部分的无码化封装和定制，用户只需在页面上配置解析器规则即可生成原生的filter配置脚本，从而轻松实现将原始日志转化为目标格式。采集通道：采集通道等价于Logstash的pipeline，在Logstash可以配置多个pipeline，每个pipeline包括input、filter、output部分，每个pipeline为单独的作业，互不影响。在安全云脑租户采集上，可将相同的pipeline部署在多个节点上，并且配置相同的pipeline视为一个采集通道。

安全云脑 SECMASTER

安全云脑 SECMASTER-资源规划:ECS规格要求

ECS规格要求安装采集器（isap-agent + logstash）的租户云服务器（ECS）规格要求如下表：表1 ECS规格 CPU内核数内存大小系统磁盘存储大小数据磁盘存储大小采集器参考处理能力 4核 8G 50G 100G 4000 EPS @ 500B 8核 16G 50G 100G 10000 EPS @ 500B 16核 32G 50G 100G 20000 EPS @ 500B 32核 64G 50G 100G 40000 EPS @ 500B 64核 128G 50G 100G 80000 EPS @ 500B 规格说明： 4000 EPS @ 500B：日志采集器每秒可以处理4000次数据。条件：单个数据大小为500字节（500B）情况下。 ECS规格最低要求：CPU2核，内存4 GB，系统磁盘50 GB，数据磁盘100 GB。架构要求：当前日志采集组件控制器（isap-agent）仅支持运行在Linux系统和arm64架构的ECS主机上，后续更多环境适配持续更新中。操作系统（镜像）：无限制，建议Huawei Cloud EulerOS。日志量应当与机器规格成比例放大，建议按表中规格比例进行放大。如果机器压力较大，建议部署多台采集器，通过采集通道来统一管理，分摊单机日志中转压力。

安全云脑 SECMASTER 日志转入和转出操作指导

安全云脑 SECMASTER-策略管理概述:约束与限制

约束与限制应急策略目前仅支持CFW/WAF/VPC安全组/IAM的黑名单策略。单用户单工作空间内容最多新增300条支持阻断老化的应急策略，全量最多新增1300条应急策略。同时，单次下发策略阻断对象数量限制如下：当需要下发策略至CFW时，单用户单次最多可新增50个IP作为阻断对象。当需要下发策略至WAF时，单用户单次最多可新增50个IP作为阻断对象。当需要下发策略至VPC时，单用户单次1分钟内最多可新增20个IP作为阻断对象。当需要下发策略至IAM时，单用户单次最多可新增50个IAM用户作为阻断对象。将IP或IP地址段或IAM用户配置为黑名单后，来自该IP或IP地址段或用户的访问，CFW/WAF/VPC/IAM将不会做任何检测，直接拦截。

安全云脑 SECMASTER

安全云脑 SECMASTER-脆弱性大屏:脆弱性大屏总览

脆弱性大屏总览展示脆弱性资产、漏洞、不合格基线、未防护资产的总数。脆弱性资产表示当前时间存在未处理的漏洞、不合格的基线或未防护的资产。表1 脆弱性大屏总览参数名称统计周期更新频率说明脆弱性资产总数实时每小时存在漏洞、基线检查问题的资产数量统计漏洞实时每小时漏洞管理中的漏洞统计数据不合格基线数实时每小时安全云脑基线检查中的数据未防护资产实时每小时用户没有开启安全防护的资产数量，例如没有开启主机安全服务的ECS，没有开启DDoS的弹性公网IP等。

安全云脑 SECMASTER

安全云脑 SECMASTER-脆弱性大屏:基线检查通过率

基线检查通过率呈现基线检查通过率、基线自动检查不通过资源统计情况、基线检查不通过类型及其数量、基线检查总数等。表5 基线检查通过率参数名称统计周期更新频率说明基线检查通过率实时每小时基线检查通过率 = ( 基线检查合格项 / 总检查项 ) * 100%。基线自动检查不通过资源统计实时每小时基线检查不合格项，按照严重程度统计其影响的资源数。基线检查实时每小时基线检查合格、不合格、失败数量统计。

安全云脑 SECMASTER

安全云脑 SECMASTER-一键阻断/解封:操作场景

操作场景应急策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断。表1中为推荐设置，除此之外，您也可以结合对多条告警的综合调查结果，对单个攻击源采用多种类型进行阻断。表1 推荐阻断策略告警类型对应防线推荐阻断策略 HSS告警主机防线建议优先采用VPC策略阻断 WAF告警应用防线建议优先采用WAF策略阻断 CFW告警网络防线建议优先采用CFW策略阻断 IAM告警身份防线建议优先采用IAM策略阻断 OBS/DBSS告警数据防线当前可根据实际攻击场景和调查结果考虑使用VPC策略阻断/CFW策略阻断，隔绝防护资产和攻击源的网络通信等本章节介绍如何执行一键阻断和一键解封操作。

安全云脑 SECMASTER 告警管理

安全云脑 SECMASTER-新增/编辑应急策略:约束与限制

约束与限制单用户单工作空间内容最多新增300条支持阻断老化的应急策略，全量最多新增1300条应急策略。同时，单次下发策略阻断对象数量限制如下：当需要下发策略至CFW时，单用户单次最多可新增50个IP作为阻断对象。当需要下发策略至WAF时，单用户单次最多可新增50个IP作为阻断对象。当需要下发策略至VPC时，单用户单次1分钟内最多可新增20个IP作为阻断对象。当需要下发策略至IAM时，单用户单次最多可新增50个IAM用户作为阻断对象。将IP或IP地址段或IAM用户配置为黑名单后，来自该IP或IP地址段或用户的访问，CFW/WAF/VPC/IAM将不会做任何检测，直接拦截。应急策略新增成功后，不支持修改阻断对象类型和阻断对象（即新增时设置的IP地址或IP地址段或IAM用户名）。

安全云脑 SECMASTER 策略管理

云服务器内容精选

安全云脑 SECMASTER

7*24

备案

专业服务

退订

建议反馈

售前咨询热线