安全-华为云

统一身份认证服务 IAM-敏感操作:敏感操作有哪些

敏感操作有哪些当您开启操作保护后，进行以下操作时，需要进行身份认证。表1 各云服务定义的敏感操作类型服务敏感操作计算弹性云服务器（E CS ）关闭、重启、删除弹性云服务器重置弹性云服务器密码卸载磁盘解绑弹性公网IP 裸金属服务器（BMS）关机、重启裸金属服务器重置裸金属服务器的密码卸载磁盘解绑弹性公网IP 弹性伸缩（AS）删除伸缩组存储对象存储服务（OBS）删除桶创建、编辑、删除桶策略配置对象策略创建、编辑、删除桶ACL 配置日志记录配置防盗链增加、编辑桶清单云硬盘服务（EVS）删除云硬盘云备份（CBR）删除存储库删除备份备份恢复删除策略解绑资源接受备份 CDN与智能边缘内容分发网络（CDN）域名下线策略容器云容器引擎（CCE）删除集群应用编排服务（AOS）删除堆栈网络云解析服务（DNS）修改、暂停、删除记录集修改、删除反向解析删除自定义线路虚拟私有云（VPC）释放、解绑弹性公网IP 删除对等连接安全组删除入（出）方向规则修改入（出）方向规则批量删除入（出）方向规则弹性负载均衡（ELB）共享型负载均衡删除负载均衡器删除监听器删除证书删除后端云服务器解绑弹性公网IP 解绑IPv4公网/私有IP 独享型负载均衡删除负载均衡器删除监听器删除证书删除后端云服务器解绑弹性公网IP 解绑IPv4公网/私有IP 解绑IPv6地址移出IPv6共享带宽弹性公网IP（EIP）删除共享带宽释放、解绑弹性公网IP 批量释放、批量解绑弹性公网IP 网络虚拟专用网络（VPN）删除VPN连接退订包周期VPN网关云专线（DC）删除虚拟接口安全与合规 SSL证书管理（SCM）删除证书吊销证书管理与监管统一身份认证服务（ IAM ）关闭操作保护关闭登录保护修改手机号修改邮件地址修改登录密码修改登录保护验证方式删除IAM用户停用IAM用户删除委托删除用户组删除策略删除授权新增访问密钥删除访问密钥停用访问密钥删除项目修改访问密钥保护状态管理与监管云日志服务（LTS）删除日志流/组卸载ICAgent 应用服务分布式缓存服务（DCS）重置密码删除实例清空数据专属云专属分布式存储服务（DSS）删除磁盘数据库云数据库 RDS for MySQL 重置管理员密码删除数据库实例删除数据库备份通过备份文件恢复到已有实例按指定时间点恢复到已有实例切换主备节点修改数据库端口删除数据库账号删除数据库修改实例内网IP 解绑弹性公网IP 下载全量备份文件数据库云数据库 RDS for PostgreSQL 重置管理员密码删除数据库实例删除数据库备份切换主备节点修改数据库端口修改实例内网IP 解绑弹性公网IP 下载全量备份文件数据库云数据库 GaussDB (for MySQL) 删除实例重启实例重启节点删除只读节点解绑弹性公网IP 删除数据库重置数据库账号密码删除数据库账号重置管理员密码修改内网域名修改读写内网地址将数据库实例恢复到指定时间点数据库文档数据库服务（DDS）重置密码重启、删除实例重启节点副本集主备切换删除安全组规则申请Shard或Config节点IP 备份恢复到当前实例备份恢复到已有实例包周期实例转按需计费 EI 企业智能数据仓库服务 GaussDB(DWS) 扩容、调整大小重启节点修复重置密码 MapReduce服务（ MRS ）集群删除集群按需转包周期集群停止所有组件同步配置节点停止所有角色隔离主机取消隔离主机组件：停止服务重启服务滚动重启服务停止实例重启实例滚动重启实例入服退服保存服务配置补丁：安装补丁卸载补丁回滚补丁云通信消息&短信（Message& SMS ）签名删除模板删除获取app_secret 指定手机号、邮件地址绑定华为账号指定IP白名单续订套餐包软件开发生产线需求管理 CodeArts Req 删除项目删除项目成员修改成员信息修改、删除权限修改项目基本信息删除工作项用户服务费用中心订单支付订单退订资源释放

统一身份认证服务 IAM 安全设置

安全云脑 SECMASTER-什么是安全运营中心:SOC团队的最佳做法

SOC团队的最佳做法要负责的事情太多，SOC必须有效地企业/组织和管理才能取得结果。拥有强大SOC的企业/组织会实施以下安全做法：策略与业务看齐即使资金最充裕的SOC也必须决定将时间和金钱集中在哪些方面。企业/组织通常会先进行风险评估，来识别最容易出现风险的方面和最大的业务机会。这有助于确定需要保护哪些内容。SOC还需要了解资产所在的环境。很多企业的环境很复杂，一些数据和应用程序在本地，一些跨多个云分布。策略有助于确定安全专业人员是否需要每天任何时间都可联系，以及是在内部配置SOC还是使用专业服务更好。员工具备能力、经过良好培训有效SOC的关键在于高技能且不断进步的员工。首先是要找到最优秀的人才，但由于安全人员市场竞争非常激烈，因此这可能很棘手。为了避免技能差距，许多企业/组织试着寻找拥有各种专业知识的人员，这些知识包括系统和情报监视、警报管理、事件检测和分析、威胁搜寻、道德黑客、网络取证和逆向工程。他们还会部署可自动执行任务的技术，让较小型的团队更加高效，并提高初级分析员的产出。在定期培训方面投入有助于企业/组织留住关键员工、弥补技能差距和发展员工的职业生涯。端到端可见性攻击可能从单个客户端开始，因此SOC了解企业/组织的整个环境至关重要，这包括由第三方管理的任何内容。适当的工具安全事件是如此的多，团队很容易不知所措。有效SOC会在卓越安全工具上投入，这些工具可很好地协同工作，并使用 AI 和自动化来上报重大风险。互操作性是避免覆盖范围出现缺口的关键。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:SOC的优势

SOC的优势通过将用于保护企业/组织免受威胁影响的人员、工具和流程进行统一，SOC可帮助企业/组织更有效、更高效地防御攻击和泄露。强大的安全状况提高企业/组织的安全性是一项永无止境的工作。它需要持续监视、分析和规划，以发现漏洞并掌握不断变化的技术。当有待处理事项的优先级不相上下时，很容易会忽视安全性，而关注感觉更紧迫的任务。集中式SOC有助于确保持续改进流程和技术，从而减低成功攻击带来的风险。遵守隐私法规行业、国家和地区在治理数据收集、存储和使用方面的法规各有不同。许多法规要求企业/组织在使用者请求时报告数据泄露并检测个人数据。制定适当的流程和程序与拥有适当的技术同样重要。SOC的成员帮助企业/组织承担保持技术和数据流程最新的责任来遵守这些法规。快速响应事件发现和阻止网络攻击的速度有多快至关重要。借助适当的工具、人员和情报，可以在漏洞造成任何损害之前遏止这些漏洞。但是，恶意操作者也很聪明，他们会隐藏起来、窃取大量数据，并在任何人注意到之前提升他们的权限。安全事件也是一个让人非常有压力的事情，尤其是对于在事件响应方面缺乏经验的人来说。借助统一的威胁情报和记录良好的程序，SOC团队能够快速检测、响应攻击，并在遭到攻击后快速恢复。降低入侵成本对于企业/组织来说，一次成功的入侵可能会付出非常昂贵的代价。恢复通常需要停机很长时间，很多企业在事件发生后不久会失去客户或难以赢得新客户。通过先于攻击者行动并快速响应，SOC可帮助企业/组织在重回正常运营时节省时间和金钱。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:常见问题

常见问题安全运营中心团队要做什么？ SOC团队监视服务器、设备、数据库、网络应用程序、网站和其他系统，以实时发现潜在威胁。他们还及时了解最新威胁并在攻击者利用系统或进程漏洞之前发现和解决这些漏洞，以执行主动安全工作。如果企业/组织已然遭受到攻击，SOC 团队负责根据需要去除威胁以及还原系统和备份。安全运营中心的关键组件是什么？ SOC由有助于保护组织免受网络攻击的人员、工具和流程组成。为了实现其目标，它执行以下功能：清点所有资产和技术、日常维护和准备、持续监视、威胁检测、威胁情报、日志管理、事件响应、恢复和修正、根本原因调查、安全优化和合规性管理。为什么企业/组织需要强大的SOC？强大的SOC通过统一防御、威胁检测工具和安全流程来帮助企业/组织更高效和有效地管理安全性。与没有SOC的公司相比，具有SOC的企业/组织能够改进其安全流程、更快地应对威胁以及更好地管理合规性。 SIEM和SOC有什么区别？ SOC是负责保护企业/组织免受网络攻击的人员、流程和工具。SIEM是SOC用于保持可见性和响应攻击的众多工具之一。SIEM汇总日志文件，并使用分析和自动化向决定响应方式的SOC成员揭示可信威胁。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:SOC中的关键角色

SOC中的关键角色根据企业/组织的规模，典型的SOC包括以下角色：事件响应总监此角色通常只出现在非常大型的企业/组织中，负责协调安全事件期间的检测、分析、遏制和恢复。他们还管理与相应利益干系人的沟通。 SOC管理者 SOC监督员是管理者，通常向首席信息安全官（CISO）报告。职责包括监督人员、运行业务、培训新员工和管理财务。安全工程师安全工程师负责企业/组织安全系统的启动和运行。这包括设计安全体系结构以及研究、实施和维护安全解决方案。安全分析师安全分析师是安全事件中的第一响应人，负责识别威胁、确定威胁的优先级，然后采取行动来遏制损害。在遭到网络攻击期间，他们可能需要隔离已遭到感染的主机、客户端或用户。在一些企业/组织中，会根据安全分析师负责解决的威胁的安全程度来对这些分析师进行分级。威胁搜寻者在一些企业/组织中，经验最丰富的安全分析师被称为威胁搜寻者。他们识别和响应自动工具未检测到的高级威胁。该角色主动行动，旨在加深企业/组织对已知威胁的了解，并在攻击发生之前揭示未知的威胁。取证分析师大型企业/组织可能还会聘用取证分析师，他们负责在出现违规后收集情报来确定其根本原因。他们会搜寻系统漏洞、违反安全策略的行为和网络攻击模式，这些有可能帮助防止将来发生类似的入侵。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:SOC团队的重要性

SOC团队的重要性强大的SOC可帮助企业、政府和其他组织领先于不断变化的网络威胁环境。这不是一件容易的事。攻击者和防御社区都经常开发新的技术和战略，而管理所有的变化需要时间和精力。SOC利用其对更广泛的网络安全环境的了解以及对内部薄弱点和业务优先级的理解，帮助企业/组织制定符合业务长期需求的安全路线图。SOC还可限制发生攻击时对业务的影响。他们会持续监视网络并分析警报数据，因此与分散在其他几个优先事项的团队相比，他们更有可能更早地发现威胁。通过定期培训和记录良好的流程，SOC可以快速处理当前事件，即使在压力极大的情况下也能做到。对于没有全天候关注安全运营的团队来说，这可能很困难。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:SOC工具与技术

SOC工具与技术安全信息和事件管理（SIEM） SOC中最重要的工具之一是基于云的SIEM解决方案，它将来自多个安全解决方案和日志文件的数据聚合在一起。借助威胁情报和AI，这些工具帮助SOC检测不断演化的威胁、加快事件响应速度并先于攻击者行动。安全编排、自动化和响应（Security Orchestration, Automation and Response，SOAR） SOAR可自动执行定期和可预测的扩充、响应和修正任务，从而空出时间和资源来进行更深入的调查和搜寻。扩展检测和响应（Extended Detection and Response，XDR） XDR是一种服务型软件工具，它通过将安全产品和数据集成到简化的解决方案中来提供全面、更优的安全性。企业/组织使用这些解决方案在多云混合环境中主动有效地应对不断演化的威胁环境和复杂的安全挑战。与终结点检测和响应 (EDR) 等系统相比，XDR扩大了安全范围，从而跨更广泛的产品集成了保护，包括企业/组织的终结点、服务器、云应用程序和电子邮件等。在此基础中，XDR将预防、检测、调查和响应相结合，提供可见性、分析、相关事件警报和自动化响应来增强数据安全并对抗威胁。防火墙防火墙会监视进出网络的流量，根据SOC定义的安全规则允许或阻止流量。日志管理日志管理解决方案通常是SIEM的一部分，它会记录来自企业/组织中运行的每个软件、硬件和客户端的所有警报。这些日志提供了网络活动的相关信息。漏洞管理漏洞管理工具会扫描网络来帮助识别攻击者可能利用的任何薄弱点。用户和实体行为分析（User and Entity Behavior Analytics，UEBA）用户和实体行为分析构建在许多新式安全工具之中，它使用AI来分析从各种设备收集的数据，来为每个用户和实体建立正常活动的基线。当事件偏离基线时，会标记该事件供进一步分析。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:SOC的功能

SOC的功能 SOC团队承担以下职能来帮助防止、响应攻击并在遭到攻击后恢复。资产和工具清单为了消除覆盖范围中的盲点和缺口，SOC需要了解它保护的资产，并深入了解它用于保护企业/组织的工具。这意味着考虑到本地和多个云中的所有数据库、云服务、标识、应用程序和客户端。该团队还跟踪企业/组织中使用的所有安全解决方案，例如防火墙、反恶意软件、反勒索软件和监视软件。减少攻击面 SOC的主要责任是减少企业/组织的攻击面。为此，SOC会维护包含所有工作负载和资产的清单、将安全修补程序应用于软件和防火墙、识别错误配置，并新资产联机时添加这些资产。团队成员还负责研究新出现的威胁并分析风险，这有助于他们领先于最新威胁。持续监视 SOC团队使用安全分析解决方案全天候监视整个环境 - 本地、云、应用程序、网络和设备，来发现异常或可疑行为；其中这些解决方案包括安全信息企业管理（SIEM）解决方案、安全编排、自动化和响应（SOAR）解决方案和扩展检测和响应（XDR）解决方案。这些工具会收集遥测数据、聚合数据，并在某些情况下自动进行事件响应。威胁情报 SOC还使用数据分析、外部源和产品威胁报告来深入了解攻击者行为、基础结构和动机。这种情报提供了有关Internet上正在发生的情况的全局视图，并帮助团队了解威胁组是如何运作的。借助此信息，SOC可快速发现威胁，并加强企业/组织对新出现的风险的应对。威胁检测 SOC团队使用SIEM和XDR解决方案生成的数据来识别威胁。这首先会从实际问题中筛选掉误报。然后，他们按严重性和对业务的潜在影响确定威胁的优先级。日志管理 SOC还负责收集、维护和分析每个客户端、操作系统、虚拟机、本地应用和网络事件生成的日志数据。分析有助于建立正常活动的基线，并揭示可能指示恶意软件、勒索软件或病毒的异常。事件响应识别到网络攻击后，SOC会快速采取措施，在尽可能减少业务中断的情况下限制对企业/组织的损害。措施可能包括关闭或隔离受影响的客户端和应用程序、暂停被入侵的账户、移除遭到感染的文件，以及运行防病毒和反恶意软件。发现和修正在攻击之后，SOC负责将公司恢复到其原始状态。团队将擦除并重新连接磁盘、标识、电子邮件和客户端，重启应用程序，直接转换到备份系统，并恢复数据。根本原因调查为了防止类似的攻击再次发生，SOC进行了彻底的调查，来确定漏洞、效果不佳的安全流程和其他导致事件的教训。安全性优化 SOC使用事件期间收集的任何情报来解决漏洞、改进流程和策略，并更新安全路线图。合规性管理 SOC职责的一个关键部分是确保应用程序、安全工具和流程符合隐私法规，例如，《PCI DSS安全遵从包》、《ISO 27701安全遵从包》和《ISO 27001安全遵从包》等。团队定期审核系统来确保合规性，并确保在数据泄露后通知监管机构、执法人员和客户。

安全云脑 SECMASTER

安全云脑 SECMASTER-什么是安全运营中心:SOC的类型

SOC的类型企业/组织有几种不同的方式来设置其SOC。一些企业/组织选择构建具有全职员工的专用SOC。这种类型的SOC可以是内部的，具有物理的本地位置，也可以是虚拟的，员工使用数字工具远程协调工作。许多虚拟SOC既有合同工，也有全职员工。外包SOC也可称为“托管SOC”或“安全运营中心即服务”，它由托管安全服务提供商运行，该提供商负责防止、检测、调查和响应威胁。此外，它可以既有内部员工，也有托管安全服务提供商。这种版本被称为托管或混合SOC。企业/组织使用这种方法来增加自身员工的影响力。例如，如果他们没有威胁调查员，那么聘用第三方可能与在内部配备这些人员更加容易。

安全云脑 SECMASTER

安全云脑 SECMASTER-安全编排

安全编排 SecMaster的安全编排功能可以针对云上安全事件提供安全编排剧本，实现安全事件的高效、自动化响应处置。其主要功能如下：剧本管理：内置自动响应的剧本，支持按需定义扩展。编写剧本的过程就是将安全运营流程和规程转换为剧本，并在剧本中将各种应用编排到一起的过程，也是将人读安全运营流程转换为机读工作流的过程。流程管理：绘制流程图响应剧本触发。资产管理：支持对关键资产、安全资产等进行统一管理呈现。实例管理：支持对运行的实例进行监控管理及记录查看。安全事件自动化响应：对需要处理的安全事件（incidence）以及可疑事件，通过安全编排实现自动化处置及事件调查。安全编排设置方法请参见安全编排。父主题：安全

安全云脑 SECMASTER

安全云脑 SECMASTER-监控安全风险

监控安全风险 SecMaster已对接云监控服务（Cloud Eye， CES ），可以通过管理控制台，查看SecMaster的相关运行指标，及时了解SecMaster运行状况。CES服务是华为云为用户提供一个针对各种云上资源的立体化监控平台，用户通过云监控服务可以全面了解云上的资源使用情况、业务的运行状况，并及时收到异常告警做出反应，保证业务顺畅运行。 SecMaster自身作为云上安全运营作战平台，可以接入其他云服务的安全告警，按照告警类型和等级统一维度呈现，可以准确实时监控云上威胁攻击、检测您资产中的安全告警事件；定义威胁告警通知，设置每日定时告警通知和实时告警通知，通过接收消息通知及时了解威胁风险。定义监控的威胁名单、告警类型、告警级别等，选择性呈现关注的威胁告警。帮助用户及时了解安全状况，从而起到预警作用。 CES的详细介绍和开通配置方法，请参见CES快速入门。表1 监控事件来源事件名称事件级别事件说明处理建议事件影响 SYS.SecMaster 独享引擎创建失败重要一般是由于底层资源不足等原因导致。提交工单让运维在后台协调资源再重试。无法创建独享引擎 SYS.SecMaster 独享引擎运行异常紧急一般是由于流量过大或者恶意流程，插件导致。排查流程，插件执行是否占用资源过多。查看实例监控，短期内是否实例数量暴增。无法执行实例 SYS.SecMaster 剧本实例执行失败一般一般是由于剧本，流程配置出错导致。通过实例监控查看失败原因，修改剧本，流程配置。无 SYS.SecMaster 剧本实例突增一般一般是由于剧本，流程配置出错导致。通过实例监控查看突增原因，修改剧本，流程配置。无 SYS.SecMaster 日志消息突增重要上游服务产生大量日志，导致消息快速增加。需要排查上游服务业务是否正常。无 SYS.SecMaster 日志消息突减重要上游服务产生日志突然变小。需要排查上游业务是否正常无告警监控相关内容详细操作请参见：漏洞管理基线检查安全报告父主题：安全

安全云脑 SECMASTER

安全云脑 SECMASTER-服务韧性

服务韧性华为云SecMaster当前主要部署在国内，已部署数据中心都处于正常运营状态，无一闲置。数据中心互为灾备中心，如一地出现故障，系统在满足合规政策前提下自动将客户应用和数据转离受影响区域，保证业务的连续性。为了减小由硬件故障、自然灾害或其他灾难带来的服务中断，华为云SecMaster提供灾难恢复计划。当发生故障时，SecMaster的五级可靠性架构支持不同层级的可靠性，因此具有更高的可用性、容错性和可扩展性。华为云SecMaster当前主要部署在国内，并在多个分区部署，同时SecMaster的所有管理面、引擎等组件均采用主备或集群方式部署。父主题：安全

安全云脑 SECMASTER

安全云脑 SECMASTER-审计与日志

审计与日志审计云审计服务（Cloud Trace Service， CTS ），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。用户开通云审计服务并创建和配置追踪器后，CTS可记录SecMaster的管理事件和数据事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。日志查询出于分析或审计等目的，用户开启了云审计服务后，系统开始记录SecMaster资源的操作。云审计服务管理控制台保存最近7天的操作记录。关于SecMaster云审计日志的查看，如图1所示。图1 查询日志父主题：安全

安全云脑 SECMASTER

安全云脑 SECMASTER-数据保护技术

数据保护技术 SecMaster通过多种数据保护手段和特性，保证通过SecMaster的数据安全可靠。表1 SecMaster的数据保护手段和特性数据保护手段简要说明静态数据保护 SecMaster通过敏感数据加密保证用户流量中敏感数据的安全性。传输中的数据保护微服务间数据传输进行加密，防止数据在传输过程中泄露或被篡改。用户的配置数据传输采用安全协议HTTPS，防止数据被窃取。数据完整性校验 SecMaster接入云服务告警、漏洞和基线等时，有数据完整性校验。 SecMaster核心数据面进程启动时，配置数据执行可靠事件模式确保数据完整性（网络抖动、延迟、配置数据重发&重试等场景）。数据隔离机制租户区与管理面隔离，租户的所有操作权限隔离，不同租户间的策略、日志等数据隔离。数据销毁机制考虑到残留数据导致的信息泄露问题，华为云根据客户等级设定了不同的保留期时长，保留期到期仍未续订或充值，存储在云服务中的数据将被删除，云服务资源将被释放。SecMaster对云服务自动感知并在保留期到期后释放资源。同时，SecMaster服务充分尊重用户隐私，遵循法律法规，不会采集和存储任何用户隐私数据。更多隐私数据使用和保护问题，请参考隐私政策声明。父主题：安全

安全云脑 SECMASTER

安全云脑 SECMASTER-身份认证与访问控制

身份认证与访问控制 SecMaster对接了统一身份认证服务（Identity and Access Management，IAM）服务。SecMaster租户身份认证与访问控制通过IAM权限控制。统一身份认证（Identity and Access Management，简称IAM）是华为云提供权限管理的基础服务，可以帮助SecMaster服务安全地控制访问权限。通过IAM，可以将用户加入到一个用户组中，并用策略来控制他们对SecMasterr资源的访问范围。SecMaster权限可以通过细粒度定义允许和拒绝的访问操作，以此实现SecMaster资源的权限访问控制。父主题：安全

安全云脑 SECMASTER

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线