检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
更新剧本规则 功能介绍 更新剧本规则 调用方法 请参见如何调用API。 URI PUT /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/versions/{version_id}/rules/{rule_id} 表1
告警规则总览 功能介绍 List alert rule metrics 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/siem/alert-rules/metrics 表1 路径参数 参数 是否必选
数据采集概述 安全云脑的数据采集功能，提供了将第三方（非华为云）日志数据接入安全云脑的能力。它使用Logstash通过多种方式采集各类日志数据，采集后，可以快速实现历史数据分析比对、数据关联分析、以及未知威胁发现等相关分析。 图1 数据采集 数据采集原理 数据采集的基本原理是安全云脑提供组件控制器
处理检查结果 本章节介绍如何处理检查结果，请根据您的需要进行选择： 修复风险项：根据检测结果修复风险检查项。 反馈检查结果：检查项中的手动检查项，您在线下执行检查后，需要在控制台上反馈检查结果，以便计算检查项合格率。 忽略检查项：如果您对某个检查项有其他检查要求（例如，“会话超时策略检查
创建剧本规则 功能介绍 创建剧本规则 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/versions/{version_id}/rules 表1 路径参数 参数
剧本运行监控 功能介绍 剧本运行监控 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/{playbook_id}/monitor 表1 路径参数 参数 是否必选 参数类型
解析器规则说明 租户采集功能主要使用定制化Logstash用于数据中转业务，解析器是对Logstash中filter部分的无码化封装。目前，支持如下类型的Logstash插件： 表1 支持的类型 解析器 对应Logstash中的插件 说明 kv解析 kv 键值对解析，解析规则请参见表
新增采集通道 操作场景 本章节主要介绍如何新增以及编辑采集通道，完成各种功能组件连接，实现安全云脑和日志采集器正常工作。 新增分组 新增采集通道前，需先新增分组。 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster
自动更改告警名称 剧本说明 安全云脑提供的自动更改告警名称剧本，支持用户按照不同维度自定义告警名称。 “自动更改告警名称”剧本已匹配“自动更改告警名称”流程，配置该剧本，需要对流程及流程中的插件进行适配。 “自动更改告警名称”流程共四个插件节点：获取告警类型id、获取告警详情、SecMasterBiz
新增节点 操作场景 本章节将介绍如何新增以及编辑节点即如何安装组件控制器（isap-agent）。 安装路径建议为“/opt/cloud”，本章节也以此路径为例进行介绍。如需安装在其他自定义路径中，请根据路径修改，例如，如果安装路径为“/tmp”，则将该章节操作步骤中的安装路径改为
采集节点或采集通道故障，如何处理？ 问题现象 采集节点状态和采集通道健康状态采用isap-agent定时上报机制，虽然存在一定的延迟（预计一分钟），但是在采集通道下发3分钟后，采集节点和采集通道的“健康状态”依然显示为“故障”，并且该服务器的CPU使用率或内存使用率即将达到100%
快速添加日志告警模型 操作场景 安全云脑支持将查询分析结果设置告警模型，并在满足条件时触发告警。 本章节将接入如何快速为日志设置告警模型。 前提条件 已完成数据接入，详细操作请参见数据集成。 快速添加日志告警模型 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击
综合态势感知大屏 操作场景 在现场讲解汇报、实时监控等场景下，为了获得更好的演示效果，通常需要将安全云脑服务的分析结果展示在大型屏幕上。如果只是单纯将控制台界面放大显示，视觉效果并不是很理想。此时可以利用安全大屏，展示专为大型屏幕设计的服务界面，获得更清晰的态势信息和更好的视觉效果
分析溯源 事后对攻防过程中重要攻击或防守成果进行溯源分析，针对过程中暴露的安全能力风险、应急处理流程缺失、安全意识薄弱等问题进行梳理，输出复盘报告。 安全分析能力提供原始日志数据查询统计能力，可以针对原始数据进行溯源分析。 分析溯源 登录安全云脑控制台，并进入目标工作空间管理页面。
指标信息说明 表1 指标信息说明 指标名称 指标ID 指标描述 指标参数说明 所有资产数量 6f8d4892-713c-4d12-8584-dc04f7847b32 工作空间内所有资产数量 无 高危资产数量 a5597747-8cef-4342-9855-3fdaf00ad460
计费样例 计费场景 某用户于2024/06/08购买了1个配额1个月的标准版安全云脑，并购买了增值包（安全大屏、安全数据采集、安全数据保留、安全分析、安全编排）。规格配置如下： 服务版本+配额数：标准版+1个配额 增值包： 安全大屏-安全态势指标 Astro Canvas大屏 Astro
策略管理概述 安全云脑的策略管理功能可以简化您在多个账户和资源上的管理和维护任务，以实现各种保护，包括WAF、CFW、VPC安全组、IAM。同时，支持统一展示所有策略信息、人工管理七层防线策略、查看人工/自动化拦截记录等操作。 查看并配置防线策略：介绍如何查看以及配置防线策略。七层防线是指
一键阻断或解封 操作场景 应急策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断。表1中为推荐设置，除此之外，您也可以结合对多条告警的综合调查结果，对单个攻击源采用多种类型进行阻断。 表1 推荐阻断策略 告警类型 对应防线 推荐阻断策略 HSS告警 主机防线
关键运维操作实时通知 剧本说明 安全云脑提供的关键运维操作实时通知剧本，基于运维操作，对关键运维操作进行邮件实时通知。 “关键运维操作实时通知”剧本已匹配“关键运维操作实时通知”流程，该流程是通过消息通知服务，当有关键运维操作时，发送通知给运营人员。 图1 关键运维操作实时通知流程
方案概述 安全云脑的日志采集功能支持将安全日志接入安全云脑，同时，也支持将安全云脑日志转出至第三方系统/产品。 表1 日志接入或转出场景说明 场景 操作指导 华为云日志接入安全云脑 具体操作请参见接入云服务日志。 安全云脑日志转出至第三方系统/产品 参考本实践的操作步骤处理即可。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
