检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
使用取证方法确认数据在恢复之前是安全的,然后从备份中恢复数据,或者恢复到ECS实例的早期快照。 如果您已成功使用任何开源解密工具恢复数据,请从实例中删除该数据,并执行必要的分析以确认数据是安全的。然后,恢复实例,终止或隔离实例并创建新的实例,并将数据还原至新实例中。
数据采集概述 安全云脑的数据采集功能,提供了将第三方(非华为云)日志数据接入安全云脑的能力。它使用Logstash通过多种方式采集各类日志数据,采集后,可以快速实现历史数据分析比对、数据关联分析、以及未知威胁发现等相关分析。 图1 数据采集 数据采集原理 数据采集的基本原理是安全云脑提供组件控制器
使用取证方法确认数据在恢复之前是安全的,然后从备份中恢复数据,或者恢复到ECS实例的早期快照。 如果您已成功使用任何开源解密工具恢复数据,请从实例中删除该数据,并执行必要的分析以确认数据是安全的。然后,恢复实例,终止或隔离实例并创建新的实例,并将数据还原至新实例中。
此值设置过低会导致采集器频繁进行内存回收,影响正常采集能力 -Djruby.jit.threshold number 0 表示方法调用的次数,当达到这个次数时,JRuby 的 JIT 编译器会尝试编译该方法的本地代码。
批量查询指标结果 功能介绍 批量查询指标结果 调用方法 请参见如何调用API。
安全编排设置方法请参见安全编排。 父主题: 安全
CTS的详细介绍和开通配置方法,请参见CTS快速入门。 日志 查询 出于分析或审计等目的,用户开启了云审计服务后,系统开始记录SecMaster资源的操作。云审计服务管理控制台保存最近7天的操作记录。 关于SecMaster云审计日志的查看,如图1所示。
新增资产连接 操作场景 含义:资产连接是安全编排流程中,每个插件节点需要使用到的连接域名和鉴权参数。 作用:用于在安全编排的流程执行过程中,每个插件节点运行时,传入需要连接的域名信息,以及在访问该域名时,需要使用到的用户鉴权信息,如用户名/密码、账号AK/SK等。 资产连接与插件的关系
解决方法: 请您耐心等待,同步会系统将更新资产等相关数据信息。 父主题: 产品咨询
SecMaster自定义策略 如果系统预置的SecMaster权限,不满足您的授权要求,可以创建自定义策略。自定义策略中可以添加的授权项(Action)请参考SecMaster权限及授权项。 目前华为云支持以下两种方式创建自定义策略: 可视化视图创建自定义策略:无需了解策略语法,按可视化视图导航栏选择云服务
查询与分析 操作场景 数据收集成功后,您可以在查询分析页面对收集到的日志数据进行实时查询分析。 本章节将介绍如何对日志数据进行查询分析,请根据您的需要选择查询分析方式: 输入查询条件进行查询分析 使用已有字段进行查询分析 操作查询分析结果 前提条件 已完成数据接入,详细操作请参见数据集成
工作空间ID 输入目的PIPE所在工作空间的ID,查询方法请参见7。 数据空间ID 输入目的PIPE所在数据空间的ID,查询方法请参见7。 管道ID 输入目的PIPE所在管道的ID,查询方法请参见7。 写入身份 默认生成,无需配置。
查看方法如下: 登录安全云脑控制台,并进入目标工作空间管理页面。 在左侧导航栏选择“资产管理 > 资产管理”,进入资产管理页面后,选择“网站”页签,查看网站防护状态。
如何处理暴力破解告警事件? 暴力破解是一种常见的入侵攻击行为,攻击者通常使用暴力破解的方式猜测远程登录的用户名和密码,一旦破解成功,即可实施攻击和控制,严重危害资产的安全。 安全云脑联动主机安全服务(HSS),接收HSS检测到的暴力破解行为,集中呈现和管理告警事件,提升运维效率。
请通过缩短查询的时间范围、添加查询限制条件等方法减少查询结果的数量。 使用聚合查询(例如group by语句)聚合多个字段时,第二个字段默认分桶数量为10,如果超出会有数据丢失的情况,将导致查询结果不准确。 父主题: 安全分析
相关操作 在跨租投递权限授权页面可以的投递权限进行拒绝和取消授权操作: 表1 跨租投递权限管理 操作 具体操作方法 拒绝 在目标投递任务所在行“操作”列,单击“拒绝”。 如需批量拒绝授权,可以勾选所有需要拒绝的任务,然后单击列表左上角的“拒绝”。
CES的详细介绍和开通配置方法,请参见CES快速入门。 表1 监控 事件来源 事件名称 事件级别 事件说明 处理建议 事件影响 SYS.SecMaster 独享引擎创建失败 重要 一般是由于底层资源不足等原因导致。 提交工单让运维在后台协调资源再重试。
本章节为您介绍对用户授权的方法,操作流程如图1所示。 前提条件 给用户组授权之前,请您了解用户组可以添加的SecMaster权限,并结合实际需求进行选择,SecMaster支持的系统权限,请参见SecMaster系统权限。
表1 测试验证场景说明 场景 验证方法 华为云日志接入安全云脑 请在“安全分析”中查看是否存在已接入云服务日志。 安全云脑日志转出至第三方系统/产品 请在第三方系统/产品侧确认日志是否接收成功。 第三方(非华为云)日志接入安全云脑 参考本章节进行验证。
查看方法如下: 登录WAF控制台,进入“防护策略”页面后,单击目标防护策略名称。 在防护策略详情页面,单击“防护配置”栏中的“黑白名单设置”,可以看到IP已被成功封堵在WAF黑名单中的地址组里。 图5 黑白名单 父主题: 剧本说明