检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如何让IP类型资产在资产管理页面中显示？ 安全云脑的资产管理页面中，支持显示IP资产。 本章节将介绍如何让IP类型资产在资产管理页面中显示。 让IP类型资产在资产管理页面中 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规 > 安全云脑
否 字段改名 字段改值 replace hash -- 否 字段改值 字段分割 split hash -- 否 字段分割 去除空格 strip array -- 否 去除空格 更新字段 update hash -- 否 更新字段 转化大写 uppercase array -- 否
创建解析器 操作场景 安全云脑默认内置快速接入解析器，可根据需要进行选择： 表1 解析器场景说明 类型 场景 快速接入 无需对源数据进行处理直接传输。 模板 需要对数据源进行清理、字段加工处理等操作的时候，可以根据用户需要的使用场景进行模板选择，创建对应的解析器。 自定义 需要对
批量阻断或批量取消阻断 操作场景 批量阻断用于拦截配置为黑名单的IP或IP地址段或IAM用户的访问。 新增阻断时将设置某个IP地址或IP地址段或IAM用户，如果该阻断也适用于其他操作连接，可以进行批量阻断操作。同时，配置阻断时将设置某个IP地址或IP地址段或IAM用户，如果该阻断已不适用，可以进行批量取消阻断操作。
请立即确认登录主机的源IP的可信情况。 请立即修改被暴力破解的系统账户口令。 请立即执行检测入侵风险账户，排查可疑账户并处理。 请及时执行恶意程序云查杀，排查系统恶意程序。 如果您的主机被暴力破解，攻击源IP被HSS拦截，请参考如下措施，加固主机安全。 请及时确认登录主机的源IP的可信情况。
如果选择是，请设置策略老化时间，如设置为180天，即该策略在设置后的180天内有效，180天后将不再继续阻断设置的IP地址或IP地址段或IAM用户。 如果选择否，则该策略将一直有效，阻断设置的IP地址或IP地址段或IAM用户。 策略描述 自定义该策略的描述信息。 单击“确定”。 删除应急策略 登录管理控制台。
表1 节点参数说明 参数名称 参数说明 节点名称/ID 节点的名称/ID。 健康状态 节点的健康状态。 区域 节点所在区域。 IP地址 节点的IP地址。 CPU使用率 节点的CPU使用率。 内存使用率 节点的内存使用率。 磁盘使用率 节点的磁盘使用率。 网络速率 节点的网络速率。
协议。 src_ip String 源IP地址。 src_port int 源端口，0–65535。 src_domain String 源域名，最大128个字符。 src_geo Object 源IP的地理位置信息。 dest_ip String 目标IP地址。 dest_port
面。 在新增策略页面中，配置策略信息。 表1 新增应急策略 参数名称 参数说明 阻断对象 输入需要阻断的单个（或多个）IP地址或IP地址段，如有多个IP地址或地址段，请使用英文逗号隔开。 标签 自定义应急策略的标签。 操作连接 选择该策略的操作连接。 阻断老化 确认是否老化该条阻断。
src_ip 否 String 源IP地址 src_port 否 Integer 源端口，0–65535 src_domain 否 String 源域名 src_geo 否 src_geo object 源IP的地理位置信息 dest_ip 否 String 目的IP地址 dest_port
表1 节点参数说明 参数名称 参数说明 节点名称/ID 节点的名称/ID。 健康状态 节点的健康状态。 区域 节点所在区域。 IP地址 节点的IP地址。 CPU使用率 节点的CPU使用率。 内存使用率 节点的内存使用率。 磁盘使用率 节点的磁盘使用率。 网络速率 节点的网络速率。
请根据实际情况进行排查处理。 系统行为异常/高危命令执行 数据来源 主机安全告警日志 告警呈现 【dangercmd】【HSS】主机:{{ipList}}执行dangercmd，{{__time}} 监控场景主机执行 高危命令 告警对应字段 高危命令在安全云脑的告警中对应的字段查看方法如下：
src_ip 否 String 源IP地址 src_port 否 Integer 源端口，0–65535 src_domain 否 String 源域名 src_geo 否 src_geo object 源IP的地理位置信息 dest_ip 否 String 目的IP地址 dest_port
此处以封堵在WAF中为例进行展示。 封堵成功会在WAF黑名单里看到此IP已被封堵。查看方法如下： 登录WAF控制台，进入“防护策略”页面后，单击目标防护策略名称。 在防护策略详情页面，单击“防护配置”栏中的“黑白名单设置”，可以看到IP已被成功封堵在WAF黑名单中的地址组里。 图5 黑白名单 父主题： 剧本说明
表2 新增应急策略 参数名称 参数说明 阻断对象类型 选择阻断对象的类型，可选择IP或IAM。 阻断对象 当阻断对象类型选择IP时，输入需要阻断的单个（或多个）IP地址或IP地址段，如有多个IP地址或地址段，请使用英文逗号隔开。 当阻断对象类型为IAM时，请填写IAM用户名称。 单次下发应急策略阻断对象说明如下：
系统内置的类型和子类型不支持关联布局、编辑、删除、启用和禁用。 其中，内置的IP和主机（物理机和虚拟机）类型可以执行启用和禁用操作，实现“资产管理”页面中展示类型的控制，详细操作请参见如何自定义导入主机资产？、如何让IP类型资产在资产管理页面中显示？。 查看已有的自定义类型/子类型 登录管理控制台。
在此情况下，可以通过安全云脑实现资源纳管，支撑用户使用安全云脑进行安全运营。 支持纳管以下资源： 资产： 主机、网站、数据库、VPC、EIP 日志： HSS安全日志、告警日志、漏洞扫描日志、基线日志；WAF攻击日志、访问日志；APIG请求日志；CTS服务日志；DCS告警日志；IAM审计日志；安全云脑基线日志
批量阻断或批量取消阻断：批量阻断用于拦截配置为黑名单的IP或IP地址段或IAM用户的访问。新增阻断时将设置某个IP地址或IP地址段或IAM用户，如果该阻断也适用于其他操作连接，可以进行批量阻断操作。同时，配置阻断时将设置某个IP地址或IP地址段或IAM用户，如果该阻断已不适用，可以进行批量取消阻断操作。
查询实例类型为APP, AOP_WORKFLOW, SCRIPT, PLAYBOOK, TASK, DEBUG，动作id为909494e3-558e-46b6-a9eb-07a8e18ca62f，动作名称为DisabledIp，实例id为909494e3-558e-46b6-a9e
针对高危和致命告警，源IP地址攻击次数达到阈值(次数>3)且命中微步在线的恶意标签，根据告警来源将该ip对应策略阻断(WAF、VPC、CFW、IAM) Alert 低危告警自动关闭 对于低危和提示的告警，进行自动化关闭 Alert 同步CFW黑IP到情报 将CFW的黑IP同步到云脑的情报管理中
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
