检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
复制脚本。 图4 复制安装脚本 安装组件控制器。 使用远程管理工具(例如:Xftp、SecureFX、WinSCP、PuTTY、Xshell等)登录失联ECS节点。 粘贴复制的6.b复制的安装命令,以root权限执行,在ECS中安装Agent。 图5 安装agent 根据界面提示
检索 SQL语法参考 检索SQL语法概述 查询语句 分析语句 父主题: 查询与分析语法-V2
检索SQL语法概述 基本语法 SQL由查询语句和分析语句组成,以竖线 | 分隔。查询语句可单独使用,分析语句必须与查询语句一起使用。 查询语句 | 分析语句 表1 基本语法 语句类型 说明 查询语句 查询语句用于指定日志查询时的筛选条件,返回符合条件的日志。通过设置筛选条件,可以帮助您快速、有效地查询到所需日志。
件(Logstash)等。 日志采集器节点:用于采集日志到云脑,以及安全云脑日志转出。 一台ECS,安装了安全云脑组件控制器,组件控制器中安装了日志采集组件。单个租户只需要配置安装一台日志采集器节点。 图2 日志采集器节点架构图 采集器:定制化的Logstash。采集器节点则是定
数据采集 组件控制器安装失败,如何处理? 采集节点或采集通道故障,如何处理? 组件控制器常用命令有哪些? 如何释放ECS和VPC终端节点资源?
SecMaster SQL语法参考 语法支持的类型 语法定义 数据操作语句DQL 父主题: 查询与分析语法-V2
mp-hostname. 表5 响应Body参数 参数 参数类型 描述 count Long 总数量。Total count. records Array of AlertRule objects 告警模型。Alert rules. 表6 AlertRule 参数 参数类型 描述
mp-hostname. 表5 响应Body参数 参数 参数类型 描述 count Long 总数量。Total count. records Array of AlertRuleTemplate objects 告警规则模板。Alert rule templates. 表6 AlertRuleTemplate
String 描述 storage_period 是 Integer 数据的保存时间,单位为天;默认30天,取值范围为1~3600 shards 是 Integer 数据管道分区个数;默认创建1个,最大支持创建64个分区 timestamp_field 否 String 时间戳字段
采集管理”,进入采集管理页面后,选择“解析器管理”页签,进入解析器管理页面。 单击目标解析器所在行操作列的“编辑”,并在编辑页面中,删除错误配置信息,修改为正确的配置信息。 图6 问题解析器配置 图7 修改解析器配置 单击“确定”。 编辑完成后,在上方选择“采集通道管理”页签,并单击目标采集通道操作列的“重启”,重启采集通道。
配置剧本 操作场景 本章节介绍如何配置剧本。配置后,当攻击者通过层层攻击到主机之后,进行告警,通知运营人员进行处置。 前提条件 已在安全云脑工作空间的“设置 > 数据集成”页面中接入来源为HSS和WAF的告警数据。 接入HSS和WAF攻击数据,并开启HSS数据的自动转告警开关,详细操作请参见数据集成。
配置剧本 操作场景 本章节介绍如何启用剧本,通过HSS恶意文件隔离查杀进行恶意软件和勒索软件告警处置。 前提条件 已在安全云脑工作空间的“设置 > 数据集成”页面中接入HSS告警数据,并开启自动转告警开关,详细操作请参见数据集成。 图1 接入HSS告警 配置并启用剧本 在安全云脑
在数据管道检索页面,单击右上角“索引配置”,页面右侧展示索引配置页面。 在索引配置页面中,配置索引参数。 开启索引状态。 索引状态默认开启,索引状态关闭时,将无法索引和查询采集到的日志。 配置索引参数,参数配置说明如表1所示。 表1 索引配置参数说明 参数名称 参数说明 字段名称
CURRENT_TRANSFORM_GROUP_FOR_TYPE, CURRENT_USER, CURSOR, CURSOR_NAME, CYCLE D DATA, DATABASE, DATE, DATETIME_INTERVAL_CODE, DATETIME_INTERVAL_PRECISION, DAY, DEALLOCATE
机漏洞情况。 基线检查 云服务基线 - SecMaster:针对华为云服务关键配置项,从“安全上云合规检查1.0”、“等保2.0三级要求”、“护网检查”风险类别,了解云服务风险配置的所在范围和风险配置数目。 HSS:不支持该功能。 主机基线 - SecMaster:不支持该功能。
在模板详情页面,单击右下角“创建模型”,进入新建告警模型页面。 在新增告警模型页面中,配置告警模型信息。 管道名称:选择该告警模型的执行管道。 模型对应管道可以从模型描述中的使用约束中获取,须与约束中的管道信息保持一致,也可以参考执行管道进行填写。 图2 基础配置 其他参数、设置保持默认值即可。 设置完成后,单击“确定”,完成创建。
在统一身份认证服务IAM管理控制台的左侧导航栏选择“用户”,进入用户页面后,单击右上角“创建用户”。 配置用户基本信息。 表1 用户基本信息 参数名称 配置说明 用户信息 自定义配置。 设置后,记录此处IAM用户名信息(IAM User Name),方便后续使用。 访问方式 编程访问
System.out.println(e.getErrorMsg()); } } } Python 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23
System.out.println(e.getErrorMsg()); } } } Python 模拟一条告警规则,告警规则所属的管道ID为ead2769b-afb0-45dd-b9fa-a2953e6ac82f,查询类型为SQL,严重程度为提示。
System.out.println(e.getErrorMsg()); } } } Python 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23