检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
连接器规则说明 源连接器 安全云脑租户采集连接器，目前支持的源连接器类型如下表所示： 表1 源连接器类型 连接器名称 对应的logstash插件 描述 传输控制协议 TCP tcp 用于接收TCP协议日志，配置规则请参见表2。 用户数据协议 UDP udp 用于接收UDP协议日志，配置规则请参见表3。
剧本编排”，进入剧本管理页面后，选择“资产连接”页签，进入资产连接管理页面。 图2 资产连接管理页面 在资产连接管理页面中，单击“新增”，右侧弹出新增资产连接面板。 在新增资产连接面板中，配置资产连接参数，参数说明如表1所示。 表1 资产连接参数说明 参数名称 说明 连接名称 输入资产连接名称。名称规则如下：
次攻击，虽然已经被WAF阻断，但是由于攻击次数较多，存在绕过WAF的风险，将多次攻击的行为冒泡出来。 分析/处理告警： 进入安全分析页面，打开sec-waf-access日志。 输入查询语句，筛选查询时间，并单击“查询/分析”。 response_code='200' and r
False_Positive – 误报 默认填写Unknown handle_status String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla String 约束闭环时间，格式ISO8601：YYYY-MM-DDTHH:mm:ss
False_Positive – 误报 默认填写Unknown handle_status 否 String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla 否 Integer 约束闭环时间：设置风险接受持续时间。单位：小时
初始化操作包括接入云上当前区域当前账号中的所有资产、接入推荐的云服务日志数据（例如，WAF攻击日志）、并启用精选预置模型（例如，主机异常网络连接）和剧本（例如，高危漏洞自动通知）。 准备工作 在购买SecMaster之前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。
操作流程 本章节介绍如何将第三方（非华为云）安全日志接入安全云脑，同时，也支持将安全云脑日志转出至第三方系统/产品。具体流程如下： 图1 日志接入或转出流程图 本章节将介绍日志数据接入或转出的操作流程进行简要说明。 表1 日志接入或转出流程说明 操作步骤 操作说明 （可选）步骤一：购买ECS
告警类型 选择告警类型。 告警等级 选择告警严重等级，可选择以下等级：提示、低危、中危、高危、致命。 状态 选择告警状态，可选择以下状态：打开、阻塞、关闭。 （可选）责任人 选择告警的主要责任人。 数据源产品名称 选择数据源产品的名称。 数据源类型 选择数据源所属类型，可选择以下
False_Positive – 误报 默认填写Unknown handle_status 否 String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla 否 Integer 约束闭环时间：设置风险接受持续时间。单位：小时
剧本编排”，进入剧本管理页面后，选择“资产连接”页签，进入资产连接管理页面。 图6 资产连接管理页面 在资产连接管理页面中，单击“新增”，右侧弹出新增资产连接面板。 在新增资产连接面板中，配置资产连接参数。 连接名称：输入资产连接名称。此处示例设置为“HSS-北京一”。 插件：选择资产连接所需的插件。此处示例选择为“HSS”。
安全编排 分类和映射 分类和映射是指对云服务告警进行类型匹配和字段映射。 安全编排 安全编排（Security Orchestration）是将企业和组织在安全运营过程中涉及的不同系统或者一个系统内部不同组件的安全功能通过可编程接口（API）封装后形成的安全能力（即应用）和人工检
说明 未处理告警 近7天 5分钟 近7天“状态”为“打开”的告警数量。 告警数据统计情况来源于当前工作空间的“威胁运营 > 告警管理”，如需查看对应详细信息，可以前往该页面进行查看。 未处理事件 近7天 5分钟 近7天“状态”为“打开”或“阻塞”的事件数量。 事件数据统计情况来源于当前工作空间的“威胁运营
实施步骤 （可选）步骤一：购买ECS （可选）步骤二：购买数据磁盘 （可选）步骤三：挂载数据磁盘 步骤四：创建非管理员IAM账户 步骤五：网络连通配置 步骤六：安装组件控制器（isap-agent） 步骤七：安装日志采集组件（Logstash） （可选）步骤八：创建日志存储管道 步骤九：配置连接器
sec-nip-attack 推荐开启 开箱即用已开启 -- 网络-登录爆破告警 sec-nip-attack 推荐开启 开箱即用已开启 -- 主机-异常网络连接 sec-hss-alarm 推荐开启 开箱即用已开启 -- 网络-源ip对多个目标进行攻击 sec-nip-attack 推荐开启 开箱即用已开启
监测信息源 选择监测信息的来源。 监测行业 勾选监测的行业。默认选择全部行业，未选中的行业会进行排除。 监测主题配置 输入监测主题。也可以直接单击“打开主题库”，并在主题库中选择监测主题。 监测主题包含中文、字母、数字及特殊字符“+,空格”，且不能以“+,空格”开头和结尾，字符要求在2到50个字符内。
False_Positive – 误报 默认填写Unknown handle_status String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla Integer 约束闭环时间：设置风险接受持续时间。单位：小时
选择数据源产品的名称。 数据源类型 选择数据源所属类型，可选择以下类型：云服务、第三方产品、租户私有产品。 状态 选择指标状态，可选择以下状态：打开、关闭、作废。 （可选）置信度 填选指标的可信度，范围为80~100。 （可选）责任人 选择该条指标的主要责任人。 （可选）标签 自定义指标的标签。
安全防护层，实现更精细、更复杂的安全访问控制。 检查是否配置网络ACL规则。 用于VPC对等连接路由表检查 对等连接是指两个VPC之间的网络连接，因此用于对等连接的路由表应满足最小访问权限。 本端路由的目的地址尽量限定在最小子网网段内，对端路由的目的地址尽量限定在最小子网网段内。
False_Positive – 误报 默认填写Unknown handle_status 否 String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla 否 Integer 约束闭环时间：设置风险接受持续时间。单位：小时
False_Positive – 误报 默认填写Unknown handle_status 否 String 事件处理状态，可选类型如下： Open – 打开，默认 Block – 阻塞 Closed – 关闭 默认填写Open sla 否 Integer 约束闭环时间：设置风险接受持续时间。单位：小时
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
