检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
连接器规则说明 源连接器 安全云脑租户采集连接器，目前支持的源连接器类型如下表所示： 表1 源连接器类型 连接器名称 对应的logstash插件 描述 传输控制协议 TCP tcp 用于接收TCP协议日志，配置规则请参见表2。 用户数据协议 UDP udp 用于接收UDP协议日志，配置规则请参见表3。
某IT员工反馈，通过SSH及其他类似方式无法访问ECS实例。 ECS实例创建正常，华为云的云监控（Cloud Eye）或其他监控工具也没有上报告警，但依然无法访问ECS实例。 由ECS实例的异常指标或异常日志触发生成一个工单在您的工单系统中。 ECS实例在华为云控制台或云监控的告警中上报网络异常问题。
本章节介绍如何查看自定义类型。 约束与限制 系统内置的类型和子类型不支持关联布局、编辑、删除、启用和禁用。 其中，内置的IP和主机（物理机和虚拟机）类型可以执行启用和禁用操作，实现“资产管理”页面中展示类型的控制，详细操作请参见如何自定义导入主机资产？、如何让IP类型资产在资产管理页面中显示？。
新增采集通道 操作场景 本章节主要介绍如何新增以及编辑采集通道，完成各种功能组件连接，实现安全云脑和日志采集器正常工作。 新增分组 新增采集通道前，需先新增分组。 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。
日志接入或转出流程图 本章节将介绍日志数据接入或转出的操作流程进行简要说明。 表1 日志接入或转出流程说明 操作步骤 操作说明 （可选）步骤一：购买ECS 安装日志采集器。 （可选）步骤二：购买数据磁盘 保障日志采集器有足够的运行空间。 （可选）步骤三：挂载数据磁盘 保障日志采集器有足够的运行空间。
数据采集 组件控制器安装失败，如何处理？ 采集节点或采集通道故障，如何处理？ 组件控制器常用命令有哪些？ 如何释放ECS和VPC终端节点资源？
更新告警 功能介绍 编辑告警，根据实际修改的属性更新，未修改的列不更新 调用方法 请参见如何调用API。 URI PUT /v1/{project_id}/workspaces/{workspace_id}/soc/alerts/{alert_id} 表1 路径参数 参数 是否必选
创建告警 功能介绍 创建告警 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/alerts 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目id
进入类型管理页面 在类型管理页面，选择“自定义类型”页签，进入自定义类型页面后，选择“主机”类型。 在主机类型页面中，勾选“物理机”和“虚拟机”后单击“批量启用”，在弹出的确认框中，单击“确认”。 图3 启用主机类型 自定义导入主机资产。 在左侧导航栏选择“资产管理 > 资产管理”，进入资产管理页面。
更新事件 功能介绍 编辑事件，根据实际修改的属性更新，未修改的列不更新 调用方法 请参见如何调用API。 URI PUT /v1/{project_id}/workspaces/{workspace_id}/soc/incidents/{incident_id} 表1 路径参数 参数
较上周 近7天网站被攻击次数，与近7-14天网站被攻击次数的差值。 主机日志攻击 次数 近7天 每小时 近7天ECS被攻击次数。 较上周 近7天ECS被攻击次数，与近7-14天ECS被攻击次数的差值。 攻击来源分布情况 呈现TOP5的网络攻击和应用攻击来源的分布情况，包括被攻击的资产IP、所属部门以及个数。
策略覆盖 展示当前安全产品覆盖情况，包含以下信息： 受安全产品保护的实例数量（=受保护ECS数量+受保护WAF实例数量） 主机安全覆盖率（=受保护ECS数量/全部ECS数量） 当前受保护云主机数量 当前受保护网站数量 资产安全 展示当前资产安全情况，包含以下信息： 当前资产总数量
创建事件 功能介绍 创建事件 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/incidents 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String
开启数据监控 安全云脑数据监控功能支持监控安全云脑管道上下游的生产速率、生产量、消费总速率等指标，您可以根据监控判断业务运行状态。 相关概念 生产者：是用来构建并传输数据到服务端的逻辑概念，负责把数据放入消息队列。 订阅器：用于订阅安全云脑管道消息，一个管道可由多个订阅器进行订阅，安全云脑通过订阅器进行消息分发。
解析器规则说明 租户采集功能主要使用定制化Logstash用于数据中转业务，解析器是对Logstash中filter部分的无码化封装。目前，支持如下类型的Logstash插件： 表1 支持的类型 解析器 对应Logstash中的插件 说明 kv解析 kv 键值对解析，解析规则请参见表2。
实施步骤 （可选）步骤一：购买ECS （可选）步骤二：购买数据磁盘 （可选）步骤三：挂载数据磁盘 步骤四：创建非管理员IAM账户 步骤五：网络连通配置 步骤六：安装组件控制器（isap-agent） 步骤七：安装日志采集组件（Logstash） （可选）步骤八：创建日志存储管道 步骤九：配置连接器
创建数据管道 功能介绍 创建数据管道 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/siem/pipes 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String
获取告警详情 功能介绍 获取告警详情 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/alerts/{alert_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id
获取事件详情 功能介绍 获取事件详情 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/incidents/{incident_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id
创建剧本版本 功能介绍 创建剧本版本 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/{playbook_id}/versions 表1 路径参数 参数 是否必选
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
