检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
获取事件详情 功能介绍 获取事件详情 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/incidents/{incident_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id
Top-N 功能描述 Top-N 查询是根据列排序找到N个最大或最小的值。最大值集和最小值集都被视为是一种 Top-N 的查询。若在批处理或流处理的表中需要显示出满足条件的 N 个最底层记录或最顶层记录， Top-N 查询将会十分有用。 语法格式 SELECT [column_list
更新事件 功能介绍 编辑事件，根据实际修改的属性更新，未修改的列不更新 调用方法 请参见如何调用API。 URI PUT /v1/{project_id}/workspaces/{workspace_id}/soc/incidents/{incident_id} 表1 路径参数 参数
获取告警详情 功能介绍 获取告警详情 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/alerts/{alert_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id
投递日志数据至其他数据管道 操作场景 本章节介绍如何投递日志数据至其他数据管道。主要步骤如下： 步骤一：创建数据投递任务 步骤二：数据投递授权 步骤三：在数据投递的目的数据管道查看数据投递 约束与限制 跨账号投递仅支持投递到其他账号管道中，不支持投递到其他云服务。 如果新增的数据投递为跨账号投递
查询关联Dataobject列表 功能介绍 查询关联Dataobject列表 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/{dataclass_type}/{data_object_id
步骤十一：配置日志采集通道 本章节将介绍如何配置日志采集通道，完成各功能组件连接，实现安全云脑和日志采集器正常工作。 配置日志采集通道 登录管理控制台。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。 在左侧导航栏选择“工作空间 >
搜索事件列表 功能介绍 搜索事件列表 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/incidents/search 表1 路径参数 参数 是否必选 参数类型 描述 project_id
解析器规则说明 租户采集功能主要使用定制化logstash用于数据中转业务，解析器是对logstash中filter部分的无码化封装。目前，支持如下类型的logstash插件： 表1 支持的类型 解析器 对应logstash中的插件 说明 kv解析 kv 键值对解析，解析规则请参见表
创建事件 功能介绍 创建事件 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/incidents 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String
高危告警自动通知 剧本说明 安全云脑提供的高危告警自动通知剧本，当有告警新增时，对高危或者致命告警去重后，自动通知运营人员。 “高危告警自动通知”剧本已匹配“高危告警自动通知”流程，该流程需要使用消息通知服务（Simple Message Notification，SMN）来创建安全云脑告警通知主题
管理管道 数据传输消息主题和存储索引组合为数据管道。本章节介绍管理数据管道的相关操作： 创建管道：如果需要使用安全云脑提供的安全分析、数据分析、智能建模功能时，需要创建管道。 查看管道详情：指导用户通过管理控制台查看管道的信息，包括名称、所属数据空间和创建时间等。 编辑管道：管道创建成功后
数据采集概述 安全云脑的数据采集功能，提供了将第三方（非华为云）日志数据接入安全云脑的能力。它使用Logstash通过多种方式采集各类日志数据，采集后，可以快速实现历史数据分析比对、数据关联分析、以及未知威胁发现等相关分析。 图1 数据采集 数据采集原理 数据采集的基本原理是安全云脑提供组件控制器
更新告警 功能介绍 编辑告警，根据实际修改的属性更新，未修改的列不更新 调用方法 请参见如何调用API。 URI PUT /v1/{project_id}/workspaces/{workspace_id}/soc/alerts/{alert_id} 表1 路径参数 参数 是否必选
创建告警 功能介绍 创建告警 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/alerts 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目
高危告警自动化安全封堵 剧本说明 安全云脑提供的高危告警自动化安全封堵剧本，可以自动将高危告警里的源IP封堵在WAF、CFW、VPC安全组、IAM中。 “高危告警自动化安全封堵”剧本已匹配“高危告警自动化安全封堵”流程，配置该剧本，需要对流程及流程中的插件进行适配。 图1 高危告警自动化安全封堵
管理采集通道 操作场景 本章节主要介绍如何执行查看采集通道、删除采集通道、启用/停止/重启采集通道操作。 查看采集通道 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。 在左侧导航栏选择
搜索告警列表 功能介绍 搜索告警列表 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/alerts/search 表1 路径参数 参数 是否必选 参数类型 描述 project_id
采集节点或采集通道故障，如何处理？ 问题现象 采集节点状态和采集通道健康状态采用isap-agent定时上报机制，虽然存在一定的延迟（预计一分钟），但是在采集通道下发3分钟后，采集节点和采集通道的“健康状态”依然显示为“故障”，并且该服务器的CPU使用率或内存使用率即将达到100%
配置剧本 操作场景 本章节介绍如何配置剧本。配置后，当攻击者通过层层攻击到主机之后，进行告警，通知运营人员进行处置。 前提条件 已在安全云脑工作空间的“设置 > 数据集成”页面中接入来源为HSS和WAF的告警数据。 接入HSS和WAF攻击数据，并开启HSS数据的自动转告警开关，详细操作请参见数据集成
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
