华为云用户手册

响应参数 状态码： 200 表4 响应Body参数 参数 参数类型 描述 code String 错误码 total Integer 查询结果总数 size Integer 分页大小 page Integer 偏移量 success Boolean 是否成功 data Array of strings 查询结果列表 状态码： 400 表5 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述 状态码： 401 表6 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述 状态码： 500 表7 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

基本概念 账号 用户注册时的账号，账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用他们进行日常管理工作。 用户 由账号在 IAM 中创建的用户，是云服务的使用人员，具有身份凭证（密码和访问密钥）。 在我的凭证下，您可以查看账号ID和用户ID。通常在调用API的鉴权过程中，您需要用到账号、用户和密码等信息。 区域（Region） 从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 详情请参见区域和可用区。 可用区（AZ，Availability Zone） 一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 项目 区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中创建资源，然后以子项目为单位进行授权，使得用户仅能访问特定子项目中资源，使得资源的权限控制更加精确。 图1 项目隔离模型 企业项目 企业项目是项目的升级版，针对企业不同项目间资源的分组和管理，是逻辑隔离。企业项目中可以包含多个区域的资源，且项目中的资源可以迁入迁出。 关于企业项目ID的获取及企业项目特性的详细信息，请参见企业管理服务用户指南。

响应示例 状态码： 200 获取事件详情返回body体 { "code" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "message" : "Error message", "data" : { "data_object" : { "version" : "1.0", "environment" : { "vendor_type" : "MyXXX", "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "data_source" : { "source_type" : 3, "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "first_observed_time" : "2021-01-30T23:00:00Z+0800", "last_observed_time" : "2021-01-30T23:00:00Z+0800", "create_time" : "2021-01-30T23:00:00Z+0800", "arrive_time" : "2021-01-30T23:00:00Z+0800", "title" : "MyXXX", "description" : "This my XXXX", "source_url" : "http://xxx", "count" : "4", "confidence" : 4, "severity" : "TIPS", "criticality" : 4, "incident_type" : { }, "network_list" : [ { "direction" : { "IN" : null }, "protocol" : "TCP", "src_ip" : "192.168.0.1", "src_port" : "1", "src_domain" : "xxx", "dest_ip" : "192.168.0.1", "dest_port" : "1", "dest_domain" : "xxx", "src_geo" : { "latitude" : 90, "longitude" : 180 }, "dest_geo" : { "latitude" : 90, "longitude" : 180 } } ], "resource_list" : [ { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "MyXXX", "type" : "MyXXX", "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "ep_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "ep_name" : "MyXXX", "tags" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } ], "remediation" : { "recommendation" : "MyXXX", "url" : "MyXXX" }, "verification_state" : "Unknown – 未知，True_Positive – 确认，False_Positive – 误报。默认填写Unknown", "handle_status" : "Open – 打开，Block – 阻塞，Closed – 关闭。默认填写Open", "sla" : 60000, "update_time" : "2021-01-30T23:00:00Z+0800", "close_time" : "2021-01-30T23:00:00Z+0800", "ipdrr_phase" : "Prepartion|Detection and Analysis|Containm，Eradication& Recovery| Post-Incident-Activity", "simulation" : "false", "actor" : "刘一博", "owner" : "MyXXX", "creator" : "MyXXX", "close_reason" : "误检;已解决;重复;其他", "close_comment" : "误检;已解决;重复;其他", "malware" : { "malware_family" : "family", "malware_class" : "恶意占用内存" }, "system_info" : { }, "process" : [ { "process_name" : "MyXXX", "process_path" : "MyXXX", "process_pid" : 123, "process_uid" : 123, "process_cmdline" : "MyXXX" } ], "user_info" : [ { "user_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "user_name" : "MyXXX" } ], "file_info" : [ { "file_path" : "MyXXX", "file_content" : "MyXXX", "file_new_path" : "MyXXX", "file_hash" : "MyXXX", "file_md5" : "MyXXX", "file_sha256" : "MyXXX", "file_attr" : "MyXXX" } ], "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "workspace_id" : "909494e3-558e-46b6-a9eb-07a8e18ca620" }, "create_time" : "2021-01-30T23:00:00Z+0800", "update_time" : "2021-01-30T23:00:00Z+0800", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "workspace_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } }

响应参数 状态码： 200 表3 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误信息 data IncidentDetail object 事件详情对象 表4 IncidentDetail 参数 参数类型 描述 create_time String 记录时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 data_object Incident object 事件实体信息 dataclass_ref dataclass_ref object 数据类对象 format_version Integer 格式版本 id String 事件唯一标识，UUID格式，最大36个字符 project_id String 当前项目的id update_time String 更新时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为告警发生时区，无法解析时区的时间，默认时区填东八区 version Integer 版本 workspace_id String 当前的工作空间id 表5 Incident 参数 参数类型 描述 version String 事件对象的版本，该字段的值必须为云SSA服务确定的官方发布版本之一 id String 事件唯一标识，UUID格式，最大36个字符 domain_id String 数据投递后，被委托用户的domain_id region_id String 数据投递后，被委托用户的region_id workspace_id String 当前的工作空间id labels String 标签，仅展示 environment environment object 事件产生的环境坐标信息 data_source data_source object 首次上报数据源 first_observed_time String 首次发现时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 last_observed_time String 最近发现时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 create_time String 记录时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 arrive_time String 接收时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 title String 事件标题 description String 事件描述信息 source_url String 事件URL链接，指向数据源产品中有关当前事件说明的页面 count Integer 事件发生次数 confidence Integer 事件的置信度。置信度的定义旨在说明识别的行为或问题的可能性。 取值范围：0-100，0表示置信度为0%，100表示置信度为100% severity String 严重性等级，取值范围：Tips | Low | Medium | High | Fatal 说明： 0: Tips – 未发现任何问题。 1: Low – 无需针对问题执行任何操作。 2: Medium – 问题需要处理，但不紧急。 3: High – 问题必须优先处理。 4: Fatal – 问题必须立即处理，以防止产生进一步的损害 criticality Integer 关键性，是指事件涉及的资源的重要性级别。 取值范围：0-100，0表示资源不关键，100表示最关键资源 incident_type incident_type object 事件分类，详细定义参考《告警事件类型定义》 network_list Array of network_list objects 网络信息 resource_list Array of resource_list objects 受影响资源 remediation remediation object 补救措施 verification_state String 验证状态，标识事件的准确性。可选类型如下： Unknown – 未知 True_Positive – 确认 False_Positive – 误报 默认填写Unknown handle_status String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla Integer 约束闭环时间：设置风险接受持续时间。单位：小时 update_time String 更新时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 close_time String 关闭时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 ipdrr_phase String 周期/处置阶段编号 Prepartion|Detection and Analysis|Containm，Eradication& Recovery|Post-Incident-Activity simulation String 调试字段 actor String 事件调查员 owner String 责任人、服务责任人 creator String 创建人 close_reason String 关闭原因: 误检 - False detection 已解决 - Resolved 重复 - Repeated 其他 - Other close_comment String 关闭评论 malware malware object 恶意软件 system_info Object 系统信息 process Array of process objects 进程信息 user_info Array of user_info objects 用户信息 file_info Array of file_info objects 文件信息 system_alert_table Object 事件管理列表的布局字段 表6 environment 参数 参数类型 描述 vendor_type String 环境供应商 domain_id String 租户id region_id String 区域id，全局服务global cross_workspace_id String 数据投递前的源工作空间id，在源空间下值为null，投递后为被委托用户的id project_id String 项目id， 全局服务默认null 表7 data_source 参数 参数类型 描述 source_type Integer 数据源类型，取值范围如下： 1 - 云上产品 2 - 第三方产品 3 - 租户私有产品 domain_id String 数据源产品所属账号的id project_id String 数据源产品所属项目的id region_id String 数据源产品所在区域，具体取值范围查看云地区和终端节点定义，例如cn-north-1 company_name String 数据源产品所属公司的名称 product_name String 数据源产品的名称 product_feature String 产品功能特性名称，用来指明检测到当前事件的产品的功能特性 product_module String 检测模块列表 表8 incident_type 参数 参数类型 描述 category String 类别 incident_type String 事件类型 表9 network_list 参数 参数类型 描述 direction String 方向，取值范围：IN | OUT protocol String 协议，包含7层和4层的协议 参考：IANA registered name https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml src_ip String 源IP地址 src_port Integer 源端口，0–65535 src_domain String 源 域名 src_geo src_geo object 源IP的地理位置信息 dest_ip String 目的IP地址 dest_port String 目的端口，0–65535 dest_domain String 目的域名 dest_geo dest_geo object 目标IP的地理位置信息 表10 src_geo 参数 参数类型 描述 latitude Number 纬度 longitude Number 经度 city_code String 城市编码，Beijing | Shanghai country_code String 国家简码，参考ISO 3166-1 alpha-2，例如：CN | US | DE | IT | SG 表11 dest_geo 参数 参数类型 描述 latitude Number 纬度 longitude Number 经度 city_code String 城市编码，Beijing | Shanghai country_code String 国家简码，参考ISO 3166-1 alpha-2，例如：CN | US | DE | IT | SG 表12 resource_list 参数 参数类型 描述 id String 云服务资源id name String 资源名称 type String 资源类型；引用云 RMS type字段 provider String 云服务名称；引用云RMS provider字段 region_id String 区域；按照云regionId填写，如cn-north-1等 domain_id String 资源所属账号ID，UUID格式 project_id String 资源所属项目ID，UUID格式 ep_id String 企业项目id ep_name String 企业项目名称 tags String 资源标签 1、最多50个key/values对 2、values：最大255字符，取值范围：字母数字,空格,+, -, =, ., _, :, /,@ 表13 remediation 参数 参数类型 描述 recommendation String 推荐处理方法 url String 链接，指向该事件的一般修复信息。该URL必须可以从公网访问，不需要提供凭证 表14 malware 参数 参数类型 描述 malware_family String 恶意家族 malware_class String 恶意软件分类 表15 process 参数 参数类型 描述 process_name String 进程名 process_path String 进程执行文件路径 process_pid Integer 进程id process_uid Integer 进程用户id process_cmdline String 进程命令行 process_parent_name String 父进程名称 process_parent_path String 父进程执行文件路径 process_parent_pid Integer 父进程id process_parent_uid Integer 父进程用户id process_parent_cmdline String 父进程命令行 process_child_name String 子进程名称 process_child_path String 子进程执行文件路径 process_child_pid Integer 子进程id process_child_uid Integer 子进程用户id process_child_cmdline String 子进程命令行 process_launche_time String 进程启动时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 process_terminate_time String 进程结束时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 表16 user_info 参数 参数类型 描述 user_id String 用户uid user_name String 用户名称 表17 file_info 参数 参数类型 描述 file_path String 文件路径/名称 file_content String 文件内容 file_new_path String 文件新路径/名称 file_hash String 文件hash file_md5 String 文件md5 file_sha256 String 文件sha256 file_attr String 文件属性 表18 dataclass_ref 参数 参数类型 描述 id String 数据类唯一标识，UUID格式，最大36个字符 name String 数据类名称 状态码： 400 表19 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

调用API获取项目ID 项目ID可以通过调用查询指定条件下的项目信息API获取。 获取项目ID的接口为“GET https://{Endpoint}/v3/projects”，其中{Endpoint}为IAM的终端节点，可以从地区和终端节点获取。接口的认证鉴权请参见认证鉴权。 响应示例如下，其中projects下的“id”即为项目ID。 { "projects": [ { "domain_id": "65382450e8f64ac0870cd180d14e684b", "is_domain": false, "parent_id": "65382450e8f64ac0870cd180d14e684b", "name": "xxxxxxxx", "description": "", "links": { "next": null, "previous": null, "self": "https://www.example.com/v3/projects/a4a5d4098fb4474fa22cd05f897d6b99" }, "id": "a4a5d4098fb4474fa22cd05f897d6b99", "enabled": true } ], "links": { "next": null, "previous": null, "self": "https://www.example.com/v3/projects" } }

响应示例 状态码： 200 请求成功响应信息 { "count" : 41, "instances" : [ { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "MyXXX", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "playbook" : { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "version_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "version" : "v1.1.1" }, "dataclass" : { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "dataobject" : { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "status" : "TERMINATED", "trigger_type" : "string", "start_time" : "2021-01-30T23:00:00Z+0800", "end_time" : "2021-01-30T23:00:00Z+0800" } ] }

响应参数 状态码： 200 表4 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表5 响应Body参数 参数 参数类型 描述 count Integer 总数 instances Array of PlaybookInstanceInfo objects 剧本实例列表信息 表6 PlaybookInstanceInfo 参数 参数类型 描述 id String 剧本实例ID name String 剧本实例名称 project_id String 项目ID playbook PlaybookInfoRef object 剧本信息 dataclass DataclassInfoRef object 数据类信息 dataobject DataobjectInfo object 数据对象详情 status String 剧本实例状态. (RUNNING--运行中、FINISHED--成功、FAILED--失败、RETRYING--重试中、TERMINATING--终止中、TERMINATED--已终止) trigger_type String 触发类型. TIMER--定时触发, EVENT--事件触发 start_time String 创建时间 end_time String 更新时间 表7 PlaybookInfoRef 参数 参数类型 描述 id String 剧本ID version_id String 剧本版本ID name String 名称 version String 版本 表8 DataclassInfoRef 参数 参数类型 描述 id String 数据类ID name String 数据类名称 表9 DataobjectInfo 参数 参数类型 描述 id String ID值 create_time String 创建时间 update_time String 更新时间 project_id String 项目ID dataclass_id String 数据类ID name String 名称 content String 数据内容 状态码： 400 表10 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表11 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/instances 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID workspace_id 是 String 工作空间ID 表2 Query参数 参数 是否必选 参数类型 描述 status 否 String 剧本实例状态. (RUNNING--运行中、FINISHED--成功、FAILED--失败、RETRYING--重试中、TERMINATING--终止中、TERMINATED--已终止) name 否 String 实例名称 playbook_name 否 String 剧本名称 dataclass_name 否 String 数据类名称 dataobject_name 否 String 数据对象名称 trigger_type 否 String 触发类型. TIMER--定时触发, EVENT--事件触发 from_date 否 String 查询起始时间 to_date 否 String 查询结束时间 limit 是 Integer 分页查询参数，用于指定一次查询最多的结果数，从1开始 offset 是 Integer 分页查询参数。用于指定查询结果的起始位置，从0开始

响应示例 状态码： 200 请求成功响应信息 { "code" : 0, "message" : "Error message", "data" : { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "description" : "This my XXXX", "create_time" : "2021-01-30T23:00:00Z+0800", "update_time" : "2021-01-30T23:00:00Z+0800", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "creator_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "modifier_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "playbook_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "version" : "v1.1.1", "enabled" : true, "status" : "editing", "action_strategy" : "sync", "actions" : [ { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "MyXXX", "description" : "This my XXXX", "action_type" : "Workflow", "action_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "playbook_id" : "string", "playbook_version_id" : "string", "project_id" : "string" } ], "rule_enable" : true, "rules" : { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "rule" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "dataclass_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "trigger_type" : "event", "dataobject_create" : true, "dataobject_update" : true, "dataobject_delete" : true, "version_type" : 1, "rule_id" : "string", "dataclass_name" : "string", "approve_name" : "string" } }

请求示例 更新一个剧本版本，剧本版本所属工作空间ID为string，剧本ID为909494e3-558e-46b6-a9eb-07a8e18ca62f，数据类ID为909494e3-558e-46b6-a9eb-07a8e18ca62f，剧本状态为已启用。 { "description" : "This my XXXX", "workspace_id" : "string", "playbook_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "dataclass_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "rule_enable" : true, "enabled" : true, "status" : "UNPASSED", "rule_id" : "4185bbd2-9d18-4362-92cb-46df0b24fe4e", "trigger_type" : "event", "dataobject_create" : true, "dataobject_update" : true, "dataobject_delete" : true, "action_strategy" : "sync" }

响应参数 状态码： 200 表4 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表5 响应Body参数 参数 参数类型 描述 code String 错误码 message String Error message data PlaybookVersionInfo object 剧本版本详情信息 表6 PlaybookVersionInfo 参数 参数类型 描述 id String 剧本版本ID description String 描述 create_time String 创建时间 update_time String 更新时间 project_id String 项目ID creator_id String 创建者ID modifier_id String 修改者ID playbook_id String 剧本ID version String 版本号 enabled Boolean 是否启用。（true--已启用，false-未启用） status String 剧本版本状态，编辑中：EDITING 审核中：APPROVING 不通过：UNPASSED 已发布：PUBLISHED action_strategy String 执行策略. 目前仅支持异步并发执行，对应值为ASYNC actions Array of ActionInfo objects 剧本关联流程列表信息 rule_enable Boolean 是否启用触发条件过滤器 rules RuleInfo object 剧本触发规格信息 dataclass_id String 数据类ID trigger_type String 剧本触发方式(EVENT--事件触发，TIMER--定时触发) dataobject_create Boolean 标识数据对象是否创建时触发剧本 dataobject_update Boolean 标识数据对象是否更新时触发剧本 dataobject_delete Boolean 标识数据对象是否删除时触发剧本 version_type Integer 版本类型（0--草稿版本，1--正式版本) rule_id String 过滤规则ID dataclass_name String 数据类名称 approve_name String 审核者 表7 ActionInfo 参数 参数类型 描述 id String 剧本流程动作ID name String 流程动作名称 description String 描述 action_type String 流程动作类型 action_id String 流程ID playbook_id String 剧本ID playbook_version_id String 剧本版本ID project_id String 项目ID 表8 RuleInfo 参数 参数类型 描述 id String 规则ID project_id String 项目ID rule String 触发规则 状态码： 400 表9 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表10 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 用户Token。 通过调用IAM服务获取用户Token接口获取（响应消息头中X-Subject-Token的值）。 content-type 是 String application/json;charset=UTF-8 表3 请求Body参数 参数 是否必选 参数类型 描述 description 否 String 描述 workspace_id 否 String 工作空间ID playbook_id 否 String 剧本ID dataclass_id 否 String 数据类ID rule_enable 否 Boolean 是否启用触发条件过滤器 enabled 否 Boolean 是否激活。(false:未激活, true:已激活) status 否 String 状态(APPROVING:审核中，EDITING-编辑中，UNPASSED-审核未通过，PUBLISHED-已发布) rule_id 否 String 规则ID trigger_type 否 String 触发方式. EVENT--事件触发, TIMER--定时触发 dataobject_create 否 Boolean 数据对象是否创建时触发剧本 dataobject_update 否 Boolean 数据对象是否更新时触发剧本 dataobject_delete 否 Boolean 数据对象是否删除时触发剧本 action_strategy 否 String 执行策略. 目前仅支持异步并发执行，对应值为ASYNC

URI GET /v1/{project_id}/workspaces/{workspace_id}/siem/alert-rules/{rule_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目 ID。Project ID. workspace_id 是 String 工作空间 ID。Workspace ID. rule_id 是 String 告警规则 ID。Alert rule ID.

响应示例 状态码： 200 请求成功 { "rule_id" : "443a0117-1aa4-4595-ad4a-796fad4d4950", "pipe_id" : "772fb35b-83bc-46c9-a0b1-ebe31070a889", "create_by" : "582dd19dd99d4505a1d7929dc943b169", "create_time" : 1665221214, "update_by" : "582dd19dd99d4505a1d7929dc943b169", "update_time" : 1665221214, "delete_time" : 0, "rule_name" : "Alert rule", "query" : "* | select status, count(*) as count group by status", "query_type" : "SQL", "status" : "ENABLED", "severity" : "TIPS", "custom_properties" : { "references" : "https://localhost/references", "maintainer" : "isap" }, "event_grouping" : true, "schedule" : { "frequency_interval" : 5, "frequency_unit" : "MINUTE", "period_interval" : 5, "period_unit" : "MINUTE", "delay_interval" : 2, "overtime_interval" : 10 }, "triggers" : [ { "mode" : "COUNT", "operator" : "GT", "expression" : 10, "severity" : "TIPS" } ] }

响应示例 状态码： 200 创建事件返回body体 { "code" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "message" : "Error message", "data" : { "data_object" : { "version" : "1.0", "environment" : { "vendor_type" : "MyXXX", "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "data_source" : { "source_type" : 3, "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "first_observed_time" : "2021-01-30T23:00:00Z+0800", "last_observed_time" : "2021-01-30T23:00:00Z+0800", "create_time" : "2021-01-30T23:00:00Z+0800", "arrive_time" : "2021-01-30T23:00:00Z+0800", "title" : "MyXXX", "description" : "This my XXXX", "source_url" : "http://xxx", "count" : 4, "confidence" : 4, "severity" : "TIPS", "criticality" : 4, "incident_type" : { }, "network_list" : [ { "direction" : { "IN" : null }, "protocol" : "TCP", "src_ip" : "192.168.0.1", "src_port" : "1", "src_domain" : "xxx", "dest_ip" : "192.168.0.1", "dest_port" : "1", "dest_domain" : "xxx", "src_geo" : { "latitude" : 90, "longitude" : 180 }, "dest_geo" : { "latitude" : 90, "longitude" : 180 } } ], "resource_list" : [ { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "MyXXX", "type" : "MyXXX", "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "ep_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "ep_name" : "MyXXX", "tags" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } ], "remediation" : { "recommendation" : "MyXXX", "url" : "MyXXX" }, "verification_state" : "Unknown – 未知，True_Positive – 确认，False_Positive – 误报。默认填写Unknown", "handle_status" : "Open – 打开，Block – 阻塞，Closed – 关闭。默认填写Open", "sla" : 60000, "update_time" : "2021-01-30T23:00:00Z+0800", "close_time" : "2021-01-30T23:00:00Z+0800", "ipdrr_phase" : "Prepartion|Detection and Analysis|Containm，Eradication& Recovery| Post-Incident-Activity", "simulation" : "false", "actor" : "刘一博", "owner" : "MyXXX", "creator" : "MyXXX", "close_reason" : "误检;已解决;重复;其他", "close_comment" : "误检;已解决;重复;其他", "malware" : { "malware_family" : "family", "malware_class" : "恶意占用内存" }, "system_info" : { }, "process" : [ { "process_name" : "MyXXX", "process_path" : "MyXXX", "process_pid" : 123, "process_uid" : 123, "process_cmdline" : "MyXXX" } ], "user_info" : [ { "user_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "user_name" : "MyXXX" } ], "file_info" : [ { "file_path" : "MyXXX", "file_content" : "MyXXX", "file_new_path" : "MyXXX", "file_hash" : "MyXXX", "file_md5" : "MyXXX", "file_sha256" : "MyXXX", "file_attr" : "MyXXX" } ], "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "workspace_id" : "909494e3-558e-46b6-a9eb-07a8e18ca620" }, "create_time" : "2021-01-30T23:00:00Z+0800", "update_time" : "2021-01-30T23:00:00Z+0800", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "workspace_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } }

请求示例 创建一条事件，事件标题为MyXXX，标签为MyXXX，严重级别为tips，发生次数为4次。 { "data_object" : { "version" : "1.0", "environment" : { "vendor_type" : "MyXXX", "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "data_source" : { "source_type" : 3, "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "product_name" : "test", "product_feature" : "test" }, "first_observed_time" : "2021-01-30T23:00:00Z+0800", "last_observed_time" : "2021-01-30T23:00:00Z+0800", "create_time" : "2021-01-30T23:00:00Z+0800", "arrive_time" : "2021-01-30T23:00:00Z+0800", "title" : "MyXXX", "labels" : "MyXXX", "description" : "This my XXXX", "source_url" : "http://xxx", "count" : 4, "confidence" : 4, "severity" : "TIPS", "criticality" : 4, "incident_type" : { "incident_type" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "category" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" }, "network_list" : [ { "direction" : { "IN" : null }, "protocol" : "TCP", "src_ip" : "192.168.0.1", "src_port" : "1", "src_domain" : "xxx", "dest_ip" : "192.168.0.1", "dest_port" : "1", "dest_domain" : "xxx", "src_geo" : { "latitude" : 90, "longitude" : 180 }, "dest_geo" : { "latitude" : 90, "longitude" : 180 } } ], "resource_list" : [ { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "MyXXX", "type" : "MyXXX", "domain_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "region_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "ep_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "ep_name" : "MyXXX", "tags" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } ], "remediation" : { "recommendation" : "MyXXX", "url" : "MyXXX" }, "verification_state" : "Unknown – 未知，True_Positive – 确认，False_Positive – 误报。默认填写Unknown", "handle_status" : "Open – 打开，Block – 阻塞，Closed – 关闭。默认填写Open", "sla" : 60000, "update_time" : "2021-01-30T23:00:00Z+0800", "close_time" : "2021-01-30T23:00:00Z+0800", "ipdrr_phase" : "Prepartion|Detection and Analysis|Containm，Eradication& Recovery| Post-Incident-Activity", "simulation" : "false", "actor" : "刘一博", "owner" : "MyXXX", "creator" : "MyXXX", "close_reason" : "误检;已解决;重复;其他", "close_comment" : "误检;已解决;重复;其他", "malware" : { "malware_family" : "family", "malware_class" : "恶意占用内存" }, "system_info" : { }, "process" : [ { "process_name" : "MyXXX", "process_path" : "MyXXX", "process_pid" : 123, "process_uid" : 123, "process_cmdline" : "MyXXX" } ], "user_info" : [ { "user_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "user_name" : "MyXXX" } ], "file_info" : [ { "file_path" : "MyXXX", "file_content" : "MyXXX", "file_new_path" : "MyXXX", "file_hash" : "MyXXX", "file_md5" : "MyXXX", "file_sha256" : "MyXXX", "file_attr" : "MyXXX" } ], "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "workspace_id" : "909494e3-558e-46b6-a9eb-07a8e18ca620" } }

响应参数 状态码： 200 表17 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表18 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误信息 data IncidentDetail object 事件详情对象 表19 IncidentDetail 参数 参数类型 描述 create_time String 记录时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 data_object Incident object 事件实体信息 dataclass_ref dataclass_ref object 数据类对象 format_version Integer 格式版本 id String 事件唯一标识，UUID格式，最大36个字符 project_id String 当前项目的id update_time String 更新时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为告警发生时区，无法解析时区的时间，默认时区填东八区 version Integer 版本 workspace_id String 当前的工作空间id 表20 Incident 参数 参数类型 描述 version String 事件对象的版本，该字段的值必须为云SSA服务确定的官方发布版本之一 id String 事件唯一标识，UUID格式，最大36个字符 domain_id String 数据投递后，被委托用户的domain_id region_id String 数据投递后，被委托用户的region_id workspace_id String 当前的工作空间id labels String 标签，仅展示 environment environment object 事件产生的环境坐标信息 data_source data_source object 首次上报数据源 first_observed_time String 首次发现时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 last_observed_time String 最近发现时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 create_time String 记录时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 arrive_time String 接收时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 title String 事件标题 description String 事件描述信息 source_url String 事件URL链接，指向数据源产品中有关当前事件说明的页面 count Integer 事件发生次数 confidence Integer 事件的置信度。置信度的定义旨在说明识别的行为或问题的可能性。 取值范围：0-100，0表示置信度为0%，100表示置信度为100% severity String 严重性等级，取值范围：Tips | Low | Medium | High | Fatal 说明： 0: Tips – 未发现任何问题。 1: Low – 无需针对问题执行任何操作。 2: Medium – 问题需要处理，但不紧急。 3: High – 问题必须优先处理。 4: Fatal – 问题必须立即处理，以防止产生进一步的损害 criticality Integer 关键性，是指事件涉及的资源的重要性级别。 取值范围：0-100，0表示资源不关键，100表示最关键资源 incident_type incident_type object 事件分类，详细定义参考《告警事件类型定义》 network_list Array of network_list objects 网络信息 resource_list Array of resource_list objects 受影响资源 remediation remediation object 补救措施 verification_state String 验证状态，标识事件的准确性。可选类型如下： Unknown – 未知 True_Positive – 确认 False_Positive – 误报 默认填写Unknown handle_status String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla Integer 约束闭环时间：设置风险接受持续时间。单位：小时 update_time String 更新时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 close_time String 关闭时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 ipdrr_phase String 周期/处置阶段编号 Prepartion|Detection and Analysis|Containm，Eradication& Recovery|Post-Incident-Activity simulation String 调试字段 actor String 事件调查员 owner String 责任人、服务责任人 creator String 创建人 close_reason String 关闭原因: 误检 - False detection 已解决 - Resolved 重复 - Repeated 其他 - Other close_comment String 关闭评论 malware malware object 恶意软件 system_info Object 系统信息 process Array of process objects 进程信息 user_info Array of user_info objects 用户信息 file_info Array of file_info objects 文件信息 system_alert_table Object 事件管理列表的布局字段 表21 environment 参数 参数类型 描述 vendor_type String 环境供应商 domain_id String 租户id region_id String 区域id，全局服务global cross_workspace_id String 数据投递前的源工作空间id，在源空间下值为null，投递后为被委托用户的id project_id String 项目id， 全局服务默认null 表22 data_source 参数 参数类型 描述 source_type Integer 数据源类型，取值范围如下： 1 - 云上产品 2 - 第三方产品 3 - 租户私有产品 domain_id String 数据源产品所属账号的id project_id String 数据源产品所属项目的id region_id String 数据源产品所在区域，具体取值范围查看云地区和终端节点定义，例如cn-north-1 company_name String 数据源产品所属公司的名称 product_name String 数据源产品的名称 product_feature String 产品功能特性名称，用来指明检测到当前事件的产品的功能特性 product_module String 检测模块列表 表23 incident_type 参数 参数类型 描述 category String 类别 incident_type String 事件类型 表24 network_list 参数 参数类型 描述 direction String 方向，取值范围：IN | OUT protocol String 协议，包含7层和4层的协议 参考：IANA registered name https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml src_ip String 源IP地址 src_port Integer 源端口，0–65535 src_domain String 源域名 src_geo src_geo object 源IP的地理位置信息 dest_ip String 目的IP地址 dest_port String 目的端口，0–65535 dest_domain String 目的域名 dest_geo dest_geo object 目标IP的地理位置信息 表25 src_geo 参数 参数类型 描述 latitude Number 纬度 longitude Number 经度 city_code String 城市编码，Beijing | Shanghai country_code String 国家简码，参考ISO 3166-1 alpha-2，例如：CN | US | DE | IT | SG 表26 dest_geo 参数 参数类型 描述 latitude Number 纬度 longitude Number 经度 city_code String 城市编码，Beijing | Shanghai country_code String 国家简码，参考ISO 3166-1 alpha-2，例如：CN | US | DE | IT | SG 表27 resource_list 参数 参数类型 描述 id String 云服务资源id name String 资源名称 type String 资源类型；引用云RMS type字段 provider String 云服务名称；引用云RMS provider字段 region_id String 区域；按照云regionId填写，如cn-north-1等 domain_id String 资源所属账号ID，UUID格式 project_id String 资源所属项目ID，UUID格式 ep_id String 企业项目id ep_name String 企业项目名称 tags String 资源标签 1、最多50个key/values对 2、values：最大255字符，取值范围：字母数字,空格,+, -, =, ., _, :, /,@ 表28 remediation 参数 参数类型 描述 recommendation String 推荐处理方法 url String 链接，指向该事件的一般修复信息。该URL必须可以从公网访问，不需要提供凭证 表29 malware 参数 参数类型 描述 malware_family String 恶意家族 malware_class String 恶意软件分类 表30 process 参数 参数类型 描述 process_name String 进程名 process_path String 进程执行文件路径 process_pid Integer 进程id process_uid Integer 进程用户id process_cmdline String 进程命令行 process_parent_name String 父进程名称 process_parent_path String 父进程执行文件路径 process_parent_pid Integer 父进程id process_parent_uid Integer 父进程用户id process_parent_cmdline String 父进程命令行 process_child_name String 子进程名称 process_child_path String 子进程执行文件路径 process_child_pid Integer 子进程id process_child_uid Integer 子进程用户id process_child_cmdline String 子进程命令行 process_launche_time String 进程启动时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 process_terminate_time String 进程结束时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 表31 user_info 参数 参数类型 描述 user_id String 用户uid user_name String 用户名称 表32 file_info 参数 参数类型 描述 file_path String 文件路径/名称 file_content String 文件内容 file_new_path String 文件新路径/名称 file_hash String 文件hash file_md5 String 文件md5 file_sha256 String 文件sha256 file_attr String 文件属性 表33 dataclass_ref 参数 参数类型 描述 id String 数据类唯一标识，UUID格式，最大36个字符 name String 数据类名称 状态码： 400 表34 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表35 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 用户Token。 通过调用IAM服务获取用户Token接口获取（响应消息头中X-Subject-Token的值） content-type 是 String 内容类型 表3 请求Body参数 参数 是否必选 参数类型 描述 data_object 否 Incident object 事件实体信息 表4 Incident 参数 是否必选 参数类型 描述 version 否 String 事件对象的版本，该字段的值必须为云SSA服务确定的官方发布版本之一 id 否 String 事件唯一标识，UUID格式，最大36个字符 domain_id 否 String 数据投递后，被委托用户的domain_id region_id 否 String 数据投递后，被委托用户的region_id workspace_id 否 String 当前的工作空间id labels 否 String 标签，仅展示 environment 否 environment object 事件产生的环境坐标信息 data_source 否 data_source object 首次上报数据源 first_observed_time 否 String 首次发现时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 last_observed_time 否 String 最近发现时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 create_time 否 String 记录时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 arrive_time 否 String 接收时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 title 否 String 事件标题 description 否 String 事件描述信息 source_url 否 String 事件URL链接，指向数据源产品中有关当前事件说明的页面 count 否 Integer 事件发生次数 confidence 否 Integer 事件的置信度。置信度的定义旨在说明识别的行为或问题的可能性。 取值范围：0-100，0表示置信度为0%，100表示置信度为100% severity 否 String 严重性等级，取值范围：Tips | Low | Medium | High | Fatal 说明： 0: Tips – 未发现任何问题。 1: Low – 无需针对问题执行任何操作。 2: Medium – 问题需要处理，但不紧急。 3: High – 问题必须优先处理。 4: Fatal – 问题必须立即处理，以防止产生进一步的损害 criticality 否 Integer 关键性，是指事件涉及的资源的重要性级别。 取值范围：0-100，0表示资源不关键，100表示最关键资源 incident_type 否 incident_type object 事件分类，详细定义参考《告警事件类型定义》 network_list 否 Array of network_list objects 网络信息 resource_list 否 Array of resource_list objects 受影响资源 remediation 否 remediation object 补救措施 verification_state 否 String 验证状态，标识事件的准确性。可选类型如下： Unknown – 未知 True_Positive – 确认 False_Positive – 误报 默认填写Unknown handle_status 否 String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla 否 Integer 约束闭环时间：设置风险接受持续时间。单位：小时 update_time 否 String 更新时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 close_time 否 String 关闭时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 ipdrr_phase 否 String 周期/处置阶段编号 Prepartion|Detection and Analysis|Containm，Eradication& Recovery|Post-Incident-Activity simulation 否 String 调试字段 actor 否 String 事件调查员 owner 否 String 责任人、服务责任人 creator 否 String 创建人 close_reason 否 String 关闭原因: 误检 - False detection 已解决 - Resolved 重复 - Repeated 其他 - Other close_comment 否 String 关闭评论 malware 否 malware object 恶意软件 system_info 否 Object 系统信息 process 否 Array of process objects 进程信息 user_info 否 Array of user_info objects 用户信息 file_info 否 Array of file_info objects 文件信息 system_alert_table 否 Object 事件管理列表的布局字段 表5 environment 参数 是否必选 参数类型 描述 vendor_type 否 String 环境供应商 domain_id 否 String 租户id region_id 否 String 区域id，全局服务global cross_workspace_id 否 String 数据投递前的源工作空间id，在源空间下值为null，投递后为被委托用户的id project_id 否 String 项目id， 全局服务默认null 表6 data_source 参数 是否必选 参数类型 描述 source_type 否 Integer 数据源类型，取值范围如下： 1 - 云上产品 2 - 第三方产品 3 - 租户私有产品 domain_id 否 String 数据源产品所属账号的id project_id 否 String 数据源产品所属项目的id region_id 否 String 数据源产品所在区域，具体取值范围查看云地区和终端节点定义，例如cn-north-1 company_name 否 String 数据源产品所属公司的名称 product_name 否 String 数据源产品的名称 product_feature 否 String 产品功能特性名称，用来指明检测到当前事件的产品的功能特性 product_module 否 String 检测模块列表 表7 incident_type 参数 是否必选 参数类型 描述 category 否 String 类别 incident_type 否 String 事件类型 表8 network_list 参数 是否必选 参数类型 描述 direction 否 String 方向，取值范围：IN | OUT protocol 否 String 协议，包含7层和4层的协议 参考：IANA registered name https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml src_ip 否 String 源IP地址 src_port 否 Integer 源端口，0–65535 src_domain 否 String 源域名 src_geo 否 src_geo object 源IP的地理位置信息 dest_ip 否 String 目的IP地址 dest_port 否 String 目的端口，0–65535 dest_domain 否 String 目的域名 dest_geo 否 dest_geo object 目标IP的地理位置信息 表9 src_geo 参数 是否必选 参数类型 描述 latitude 否 Number 纬度 longitude 否 Number 经度 city_code 否 String 城市编码，Beijing | Shanghai country_code 否 String 国家简码，参考ISO 3166-1 alpha-2，例如：CN | US | DE | IT | SG 表10 dest_geo 参数 是否必选 参数类型 描述 latitude 否 Number 纬度 longitude 否 Number 经度 city_code 否 String 城市编码，Beijing | Shanghai country_code 否 String 国家简码，参考ISO 3166-1 alpha-2，例如：CN | US | DE | IT | SG 表11 resource_list 参数 是否必选 参数类型 描述 id 否 String 云服务资源id name 否 String 资源名称 type 否 String 资源类型；引用云RMS type字段 provider 否 String 云服务名称；引用云RMS provider字段 region_id 否 String 区域；按照云regionId填写，如cn-north-1等 domain_id 否 String 资源所属账号ID，UUID格式 project_id 否 String 资源所属项目ID，UUID格式 ep_id 否 String 企业项目id ep_name 否 String 企业项目名称 tags 否 String 资源标签 1、最多50个key/values对 2、values：最大255字符，取值范围：字母数字,空格,+, -, =, ., _, :, /,@ 表12 remediation 参数 是否必选 参数类型 描述 recommendation 否 String 推荐处理方法 url 否 String 链接，指向该事件的一般修复信息。该URL必须可以从公网访问，不需要提供凭证 表13 malware 参数 是否必选 参数类型 描述 malware_family 否 String 恶意家族 malware_class 否 String 恶意软件分类 表14 process 参数 是否必选 参数类型 描述 process_name 否 String 进程名 process_path 否 String 进程执行文件路径 process_pid 否 Integer 进程id process_uid 否 Integer 进程用户id process_cmdline 否 String 进程命令行 process_parent_name 否 String 父进程名称 process_parent_path 否 String 父进程执行文件路径 process_parent_pid 否 Integer 父进程id process_parent_uid 否 Integer 父进程用户id process_parent_cmdline 否 String 父进程命令行 process_child_name 否 String 子进程名称 process_child_path 否 String 子进程执行文件路径 process_child_pid 否 Integer 子进程id process_child_uid 否 Integer 子进程用户id process_child_cmdline 否 String 子进程命令行 process_launche_time 否 String 进程启动时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 process_terminate_time 否 String 进程结束时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss.ms+timezone。时区信息为事件发生时区，无法解析时区的时间，默认时区填东八区 表15 user_info 参数 是否必选 参数类型 描述 user_id 否 String 用户uid user_name 否 String 用户名称 表16 file_info 参数 是否必选 参数类型 描述 file_path 否 String 文件路径/名称 file_content 否 String 文件内容 file_new_path 否 String 文件新路径/名称 file_hash 否 String 文件hash file_md5 否 String 文件md5 file_sha256 否 String 文件sha256 file_attr 否 String 文件属性

URI PUT /v1/{project_id}/workspaces/{workspace_id}/siem/alert-rules/{rule_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目 ID。Project ID. workspace_id 是 String 工作空间 ID。Workspace ID. rule_id 是 String 告警规则 ID。Alert rule ID.

请求示例 更新一条告警规则，告警规则名称为Alert rule，查询类型为SQL，状态为启用，严重程度为提示。 { "rule_name" : "Alert rule", "query" : "* | select status, count(*) as count group by status", "query_type" : "SQL", "status" : "ENABLED", "severity" : "TIPS", "custom_properties" : { "references" : "https://localhost/references", "maintainer" : "isap" }, "event_grouping" : true, "schedule" : { "frequency_interval" : 5, "frequency_unit" : "MINUTE", "period_interval" : 5, "period_unit" : "MINUTE", "delay_interval" : 2, "overtime_interval" : 10 }, "triggers" : [ { "mode" : "COUNT", "operator" : "GT", "expression" : 10, "severity" : "TIPS" } ] }

响应示例 状态码： 200 请求成功 { "rule_id" : "443a0117-1aa4-4595-ad4a-796fad4d4950", "pipe_id" : "772fb35b-83bc-46c9-a0b1-ebe31070a889", "create_by" : "582dd19dd99d4505a1d7929dc943b169", "create_time" : 1665221214, "update_by" : "582dd19dd99d4505a1d7929dc943b169", "update_time" : 1665221214, "delete_time" : 0, "rule_name" : "Alert rule", "query" : "* | select status, count(*) as count group by status", "query_type" : "SQL", "status" : "ENABLED", "severity" : "TIPS", "custom_properties" : { "references" : "https://localhost/references", "maintainer" : "isap" }, "event_grouping" : true, "schedule" : { "frequency_interval" : 5, "frequency_unit" : "MINUTE", "period_interval" : 5, "period_unit" : "MINUTE", "delay_interval" : 2, "overtime_interval" : 10 }, "triggers" : [ { "mode" : "COUNT", "operator" : "GT", "expression" : 10, "severity" : "TIPS" } ] }

响应示例 状态码： 200 请求成功 { "code" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "message" : "Error message", "total" : 41, "limit" : 2, "offset" : 1, "success" : true, "data" : [ { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "name" : "流程名称", "description" : "描述", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "owner_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "creator_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "edit_role" : "编辑者", "use_role" : "使用者", "approve_role" : "审批者", "enabled" : true, "workspace_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "version_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "current_approval_version_id" : "v2", "current_rejected_versoin_id" : "v1", "aop_type" : "EASE;缓解", "engine_type" : "public_engine", "dataclass_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } ] }

响应参数 状态码： 200 表4 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表5 响应Body参数 参数 参数类型 描述 code String 返回码 total Integer 数据总条数 offset Integer 当前页大小 limit Integer 当前页码 message String 请求ID success Boolean 是否成功 data Array of AopWorkflowInfo objects 流程信息列表 表6 AopWorkflowInfo 参数 参数类型 描述 id String 流程ID name String 流程名称 description String 描述 project_id String 租户ID owner_id String 所有者ID creator_id String 创建者ID edit_role String 编辑角色 use_role String 是用角色 approve_role String 审核人 enabled Boolean 是否已启用 workspace_id String 工作空间ID version_id String 流程版本ID current_approval_version_id String 当前待审核版本号 current_rejected_versoin_id String 当前拒绝的版本号 aop_type String aop的类型有以下的值 NORMAL, 通用 SURVEY, 调查 HEMOSTASIS,止血 EASE;缓解 engine_type String 引擎的类型分为共享版和专项版 dataclass_id String 数据类的ID 状态码： 400 表7 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表8 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/workflows 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目id workspace_id 是 String 工作空间id 表2 Query参数 参数 是否必选 参数类型 描述 offset 否 Integer 偏移量 limit 否 Integer 数据量 order 否 String 排序顺序，asc：升序，desc：降序 sortby 否 String 排序字段，create_time：创建时间，category：类型分类名称 enabled 否 Boolean 是否启用 last_version 否 Boolean 最新版本号 name 否 String 流程名称 description 否 String 流程描述 dataclass_id 否 String 数据类ID dataclass_name 否 String 数据类名称 aop_type 否 String 流程类型

响应示例 状态码： 200 请求成功 { "count" : 1, "workspaces" : [ { "create_time" : "2024-07-02T09:25:17Z+0800", "creator_id" : "b4*****************************46a", "creator_name" : "l00644738", "description" : "我的工作空间", "domain_id" : "ac*****************************bf4", "domain_name" : "scc****09", "enterprise_project_id" : "", "enterprise_project_name" : "", "id" : "39*************bf", "is_view" : false, "modifier_id" : "", "modifier_name" : "", "name" : "我的工作空间", "project_id" : "15**************************da6", "project_name" : "cn-north-4", "region_id" : "cn-north-4", "update_time" : "2024-07-02T09:25:17Z+0800", "view_bind_id" : "", "view_bind_name" : "", "workspace_agency_list" : [ ] } ] }

响应参数 状态码： 200 表4 响应Body参数 参数 参数类型 描述 workspaces Array of CreateWorkspaceResponseBody objects 空间信息 count Number 数据总量 表5 CreateWorkspaceResponseBody 参数 参数类型 描述 id String 工作空间id create_time String 创建时间 update_time String 更新时间 name String 工作空间名称 description String 工作空间描述 creator_id String 创建人id creator_name String 创建人名称 modifier_id String 修改人id modifier_name String 修改人名称 project_id String 所属项目id project_name String 所属项目名称 domain_id String 所属租户id domain_name String 所属租户名称 enterprise_project_id String 企业项目id enterprise_project_name String 企业项目名称 is_view Boolean 是否是视图 region_id String 区域id view_bind_id String 视图绑定的空间id view_bind_name String 视图绑定的空间名称 workspace_agency_list Array of workspace_agency_list objects 仅用于视图场景，列出了该视图纳管的空间列表 表6 workspace_agency_list 参数 参数类型 描述 project_id String 委托空间所属项目id id String 空间委托id name String 空间委托名称 region_id String 委托空间所属region id workspace_attribution String THIS_ACCOUNT:本账号空间,CROSS_ACCOUNT:跨账号空间 agency_version String 用户创建托管空间时使用的IAM委托版本，V3或者V5 domain_id String 委托租户id domain_name String 委托租户名称 iam_agency_id String iam委托id iam_agency_name String iam委托名称 resource_spec_code Array of strings 委托空间购买版本 selected Boolean 是否被视图选中 状态码： 400 表7 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误消息 状态码： 500 表8 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误消息

URI GET /v1/{project_id}/workspaces 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目id 表2 Query参数 参数 是否必选 参数类型 描述 offset 是 Number 偏移量 指定返回记录的开始位置，必须为数字，取值范围为大于或等于0， limit 是 Number 每页显示个数 region_id 否 String 区域id name 否 String 名称查询 description 否 String 描述查询 view_bind_id 否 String 视图绑定的空间id view_bind_name 否 String 视图绑定的空间名称 create_time_start 否 String 创建时间开始，例如2024-04-26T16:08:09Z+0800 create_time_end 否 String 创建时间结束，例如2024-04-2T16:08:09Z+0800 is_view 否 Boolean 是否查询视图 true or false ids 否 String 工作空间id数组，英文逗号分隔 normal_project_id 否 String 普通项目的项目id enterprise_project_id 否 String 企业项目的项目id

请求示例 更新一条剧本规则，名称为condition_0，表达式类型为所有， { "rule" : { "expression_type" : "common", "conditions" : [ { "name" : "condition_0", "detail" : "123", "data" : [ "handle_status, ==, Open" ] } ], "logics" : [ "condition_0" ] } }

响应参数 状态码： 200 表6 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表7 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误信息 data RuleInfo object 剧本触发规格信息 表8 RuleInfo 参数 参数类型 描述 id String 规则ID project_id String 项目ID rule String 触发规则 状态码： 400 表9 响应Header参数 参数 参数类型 描述 X-request-id String 请求ID,格式为：request_uuid-timestamp-hostname 表10 响应Body参数 参数 参数类型 描述 code String 错误码 message String 错误描述

响应示例 状态码： 200 请求成功响应参数 { "code" : 0, "message" : "Error message", "data" : { "id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "project_id" : "909494e3-558e-46b6-a9eb-07a8e18ca62f", "rule" : "909494e3-558e-46b6-a9eb-07a8e18ca62f" } }