正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
配置剧本 操作场景 本章节介绍如何配置剧本。配置后,当攻击者通过层层攻击到主机之后,进行告警,通知运营人员进行处置。 前提条件 已在安全云脑工作空间的“设置 > 数据集成”页面中接入来源为HSS和WAF的告警数据。 接入HSS和WAF攻击数据,并开启自动转告警开关,详细操作请参见数据集成。
管理事件类型 操作场景 本章节介绍如何管理事件类型,详细操作如下: 查看已有事件类型:查看已有的事件类型及其详细信息。 新增事件类型:介绍如何自定义新增事件类型。 事件类型关联布局:介绍如何将自定义新增的事件类型关联已有布局。 编辑已有事件类型:介绍如何编辑自定义新增的事件类型。 管
约束与限制 账户:具有安全云脑数据采集管理权限,且非管理员的IAM账户。 ECS规格要求: 安装采集器(isap-agent + logstash)的租户云服务器(ECS)规格要求如下表: CPU内核数 内存大小 系统磁盘存储大小 数据磁盘存储大小 采集器参考处理能力 4核 8G
当检查项较多时,可以通过搜索功能,选择搜索类型并按“Enter”,即可快速查询指定检查项。 单击检查项列表右上角的设置按钮,可以对列表展示(例如,是否换行、是否固定操作列等)进行设置。 如果需要查看某个检查项的详细信息,可以单击待查看检查项名称,右侧弹出检查项详情页面。 在遵检查项详情页
(可选)首次查看需要设置资产订阅,如果已订阅,请跳过该步骤。 安全云脑只有在开启资产订阅设置的工作空间才能同步资产相关信息。订阅后,资产信息将在一分钟内同步展示。 仅支持订阅和同步云上资产。同时,不建议同一个区域的资产订阅至多个工作空间。 在资产管理页面中,单击页面右上角“资产订阅设置”,右侧弹出订阅资产设置页面。
新增/编辑告警 操作场景 本章节主要介绍如何新增告警,以及如何对已有的告警进行编辑。 新增告警 登录管理控制台。 单击管理控制台左上角的,选择区域和项目。 在页面左上角单击,选择“安全与合规 > 安全云脑 SecMaster”,进入安全云脑管理页面。 在左侧导航栏选择“工作空间 >
当遵从包较多时,可以通过搜索功能,选择搜索类型并按“Enter”,即可快速查询指定遵从包。 单击遵从包列表右上角的设置按钮,可以对列表展示(例如,是否换行、是否固定操作列等)进行设置。 如果需要查看某个遵从包的详细信息,可以单击待查看遵从包名称,进入遵从包详情页面。 在遵从包详情页面,可
新增/编辑事件 操作场景 本章节主要介绍如何新增事件,以及如何对已有的事件进行编辑。 新增事件 登录管理控制台。 单击管理控制台左上角的,选择区域和项目。 在页面左上角单击,选择“安全与合规 > 安全云脑 SecMaster”,进入安全云脑管理页面。 在左侧导航栏选择“工作空间 >
设置完成后,单击页面右下角“下一步”,进入设置模型逻辑页面。 设置模型逻辑,参数说明如表4所示。 表4 设置模型逻辑 参数名称 参数说明 查询规则 设置告警的查询规则,设置完成后可以单击“运行”,查看当前运行结果。 语法参考请参见查询与分析语法-SQL语法。 查询计划 设置告警查询计划。
以下两种方案,选择其中一种执行漏洞修复: 方案一:创建新的虚拟机执行漏洞修复 为需要修复漏洞的ECS主机创建镜像,详细操作请参见通过云服务器创建整机镜像。 使用该镜像创建新的ECS主机,详细操作请参见通过镜像创建云服务器。 在新启动的主机上执行漏洞修复并验证修复结果。 确认修复完成之后将业务切换到新主机。
配置剧本 操作场景 本章节介绍如何启用剧本,通过HSS恶意文件隔离查杀进行恶意软件和勒索软件告警处置。 前提条件 已在安全云脑工作空间的“设置 > 数据集成”页面中接入HSS告警数据,并开启自动转告警开关,详细操作请参见数据集成。 图1 接入HSS告警 配置并启用剧本 在安全云脑
选择该策略的操作连接。 阻断老化 确认是否老化该条阻断。 如果选择是,请设置策略老化时间,如设置为180天,即该策略在设置后的180天内有效,180天后将不再继续阻断设置的IP地址或IP地址段。 如果选择否,则该策略将一直有效,阻断设置的IP地址或IP地址段。 策略描述 自定义该策略的描述信息。
安全云脑提供有基础版、标准版、专业版供您选择,请根据您的需求进行选择,各版本的功能差异请参见产品功能。 配额数 配额数是指支持防护的最大ECS主机资产数量。 请根据当前账户下所有ECS主机资产总数设置配额数,可设置最大主机配额需等于或大于当前账户下主机总数量,且不支持减少。 说明: 配额数最大限制为10000台。
查看情报指标 操作场景 本章节主要介绍如何查看已有情报指标信息。 操作步骤 登录管理控制台。 单击管理控制台左上角的,选择区域和项目。 在页面左上角单击,选择“安全与合规 > 安全云脑 SecMaster”,进入安全云脑管理页面。 在左侧导航栏选择“工作空间 > 空间管理”,并在
选择该阻断策略的操作连接。 阻断老化 确认是否老化该条阻断策略。 如果选择是,请设置策略老化时间,如设置为180天,即该策略在设置后的180天内有效,180天后将不再继续阻断设置的IP地址或IP地址段。 如果选择否,则该策略将一直有效,阻断设置的IP地址或IP地址段。 原因描述 自定义该策略的描述信息。
查看漏洞详情 操作场景 本章节介绍如何查看漏洞的详细信息。 前提条件 已购买安全云脑专业版,且在有效使用期内。 已在HSS中完成Agent安装操作,详细操作请参见安装Agent。 已接入HSS产品日志并已开启自动转告警设置,详细操作请参见数据集成。如果数据集成操作时接入了主机漏洞
资产来源及对应的防护产品 表1 资产来源及对应的防护产品 参数名称 来源 对应的安全防护产品 主机资产 弹性云服务器(Elastic Cloud Server,ECS) 主机安全服务(Host Security Service,HSS) 网站 Web应用防火墙(Web Application
更多说明请参见安全云脑与其他安全服务之间的关系与区别。 与弹性云服务器的关系 安全云脑为弹性云服务器(Elastic Cloud Server,ECS)提供资产安全管理服务,结合HSS主机防护状态,全方位呈现当前ECS安全风险态势,并提供相应防护建议。 与云审计服务的关系 云审计服务(Cloud
如果需要将华为云云服务日志接入安全云脑,可以直接在安全云脑中一键接入,具体操作请参见接入云服务日志。 日志采集原理 日志采集器节点作为中间节点,负责在安全云脑和租户服务器之间收集、上传、下发日志。 图1 安全云脑日志采集原理 基本概念 本部分介绍日志采集中涉及的描述及其作用。 日志采集组件(logstash):用于日志采集、日志传输。
该管道所属的数据空间。系统默认,不支持修改。 管道名称 您创建管道时设置的名称,创建后不支持修改。 Shard数 该管道的Shard数量。取值范围为:1-64。 生命周期 该管道内数据的生命周期。取值范围:7-180。 描述 可选参数,设置该管道的备注信息。 单击“确定”。 父主题: 管理管道