检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
数据采集概述 安全云脑的数据采集功能,提供了将第三方(非华为云)日志数据接入安全云脑的能力。它使用Logstash通过多种方式采集各类日志数据,采集后,可以快速实现历史数据分析比对、数据关联分析、以及未知威胁发现等相关分析。 图1 数据采集 数据采集原理 数据采集的基本原理是安全
参数说明 计费模式 请根据您的需求选择“包周期”或“按需”计费模式。 包周期:一种预付费模式,即先付费再使用,按照订单的购买周期进行结算。购买周期越长,享受的折扣越大。 按需:一种后付费模式,即先使用再付费,按照实际使用时长计费,秒级计费,按小时结算。按需计费模式允许您根据实际业
场景一:参考(可选)步骤一:购买ECS时已经了购买符合条件的ECS和数据磁盘,且磁盘已挂载到ECS,则无需执行此步骤。 场景二:已有符合条件的ECS(未参考(可选)步骤一:购买ECS进行购买),且参考(可选)步骤二:购买数据磁盘购买了符合条件的数据磁盘,购买数据磁盘时已经执行了数据磁盘挂载到云服务器ECS的操作,则无需执行此步骤。
购买安全云脑后,如果需要升级版本、增加资产配额或追加增值包功能,即需要升级版本、扩充“主机配额”或新增“增值包”。 标准版仅支持通过包周期计费模式进行购买。 不支持部分配额购买标准版和专业版。 增值包中的“安全大屏”、“智能分析”、“安全编排”为标准版和专业版额外选购付费项目,如需使用,请先购买标准版或专业版。
启用流程和剧本 操作场景 数据采集后,针对云上安全事件提供了安全编排剧本,实现安全事件的高效、自动化响应处置。 安全云脑内置的流程默认已启用,无需再进行手动启用;内置的剧本已激活默认版本,仅需启用对应剧本即可。建议启用以下剧本: 表1 启用剧本 剧本名称 描述 重复告警自动关闭
Region,可支撑不同场景下的工作空间运营模式。 表2 工作空间功能说明 功能模块 功能描述 基础版 标准版 专业版 工作空间 空间管理: 安全云脑顶层工作台,单个工作空间可绑定项目和Region,可支撑不同场景下的工作空间运营模式。 空间托管:跨账号安全运营,可实现工作空间委
安全云脑如何收费? 安全云脑服务提供包周期和按需计费的计费模式。 包周期 购买时长越久越便宜,包周期计费按照订单的购买周期来进行结算。 按需计费 按小时计费,根据实际使用时长(小时)计费。先使用后付费,使用方式灵活,可以即开即停。 详细计费信息请参见SecMaster产品价格详情。
有满足模型中设置触发条件的内容时,系统将产生告警提示。模型是基于模板而创建的,因此,需利用已有模型模板创建模型。 安全云脑根据常用场景内置了多种模型模板(包括场景说明、模型原理、处置建议、使用约束等信息),请在参考本章节进行查看。 查看模型模板 登录管理控制台。 单击管理控制台左上角的,选择区域和项目。
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
BY 要高。 ROLLUP与CUBE按一定的规则产生多种分组,然后按各种分组统计数据。 CUBE生成的结果集显示了所选列中值的所有组合的聚合。 Rollup生成的结果集显示了所选列中值的某一层次结构的聚合。 语法格式 1 2 3 4 SELECT [ ALL | DISTINCT ]
审计与日志 审计 云审计服务(Cloud Trace Service,CTS),是华为云安全解决方案中专业的日志审计服务,提供对各种云资源操作记录的收集、存储和查询功能,可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务并创建和配置追踪器后,CT
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
启用安全模型 在智能建模页面安全云脑内置了基于应用、网络、主机多维度的安全分析模型,自动化的完成数据汇聚、分析和报警。 护网/重保期间建议使用全量内置的模板创建告警模型并启用模型。 通过模型汇聚分析筛选告警,降低误报率,提升值班人员分析处理效率。同时,也可以结合用户场景编辑模型进
发条件。 当设置了多个触发条件时,在日志数据扫描检测中,如果有满足此处设置的不同的触发条件被检测到时,系统都将展示不同类型的告警。 告警分组 配置将规则查询结果分组到告警的方式。可选择以下方式: 将所有查询结果分组到一个告警中 将每条查询结果独立触发告警 调试模式 设置是否生成调试类告警。
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
管理检查项 基线检查提供了内置检查项,详细说明请参见内置检查项。 本章节介绍管理检查项,包括:查看检查项、创建自定义检查项、导入检查项、导出检查项。 约束与限制 自定义检查项创建成功后,暂不支持对新增的单个检查项进行检查,需要执行立即检查或检查该检查项绑定的遵从包,才可以查看自定义检查项的检查结果。
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
是数据存储和传输的实际容器。 威胁检测模型 是一种被训练的AI智能识别算法模型。能针对特定威胁,自动化的完成数据汇聚、分析和报警,这种检测模式具备较好的泛化能力,防躲避能力强,可在不同业务系统中发挥同等效果,应对复杂的新型攻击。 父主题: 基本概念
time) 带有时间属性(L.time/R.time)的比较表达式。 注意事项 时间窗口join需要至少一个 equi-join 谓词和一个限制了双方时间的 join 条件。 例如使用两个适当的范围谓词(<, <=, >=, >),一个 BETWEEN 谓词或一个比较两个输入表中相同类
设置告警触发条件。可设置为:大于/等于/不等于/小于xx时,触发告警。 如有多条触发条件,可以单击“添加”按钮进行添加,最多可添加5个触发条件。 当设置了多个触发条件时,在日志数据扫描检测中,系统将按照从上到下的校验逻辑,如果有满足此处设置的触发条件被检测到时,系统都将展示不同类型的告警。 告警分组