检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
VPC终端节点。 在页面左上角单击，选择“网络 > VPC终端节点”，进入VPC终端节点管理控制台。 在终端节点搜索框中，输入“isap”，并按“Enter”，搜索与安全云脑数据采集相关的VPC终端节点。 查看是否还有安全云脑创建的用于数据采集的未释放的VPC终端节点。 无：继续执行4
胁攻击态势。 区别： SecMaster：仅为可视化威胁检测和分析的平台，不实施具体安全防护动作，需与其他安全服务搭配使用。 其他安全服务：仅展示对应服务的检测分析数据，并实施具体安全防护动作，不会呈现全局的威胁攻击态势。 SecMaster与其他安全防护服务区别，详细内容如表1。
安全云脑与态势感知服务的关系与区别？ 华为云提供有安全云脑（SecMaster）和态势感知（Situation Awareness，SA）服务，两者之间的关系与区别如下： 图1 SA与SecMaster的关系与区别 简而言之，安全云脑（SecMaster）包含了态势感知（SA）、
SecMaster与HSS服务的区别？ 服务含义区别 安全云脑（SecMaster）是华为云原生的新一代安全运营中心，集华为云多年安全经验，基于云原生安全，提供云上资产管理、安全态势管理、安全信息和事件管理、安全编排与自动响应等能力，可以鸟瞰整个云上安全，精简云安全配置、云防护策略的设置与维护，提
域。 资源的价格 不同区域的资源价格可能有差异，请参见华为云服务价格详情。 如何选择可用区？ 是否将资源放在同一可用区内，主要取决于您对容灾能力和网络时延的要求。 如果您的应用需要较高的容灾能力，建议您将资源部署在同一区域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，则建议您将资源创建在同一可用区内。
将资产的风险情况标识出来，例如：是否有不安全的配置、是否有OS或者应用漏洞、是否存在疑似入侵的告警、是否覆盖了对应的防护云服务（例如：ECS上应该安装HSS的Agent、域名应纳入到WAF的防护策略中）。 更多详细介绍及操作请参见资产管理。 检查并清理不安全的配置 在安全运营过程中，最常见的“脆弱性”是不安全的配置。
参数名称 参数说明 阻断对象 输入需要阻断的单个（或多个）IP地址或IP地址段，如有多个IP地址或地址段，请使用英文逗号隔开。 标签 自定义应急策略的标签。 操作连接 选择该策略的操作连接。 阻断老化 确认是否老化该条阻断。 原因描述 自定义该策略的描述信息。 单击“确定”。 父主题：
新增节点 在网络通道配置栏中，选择（可选）步骤一：购买ECS中记录的ECS所属的虚拟私有云和子网。 在网络通道列表中，单击所有通道操作列的“配置”，并在弹出的确认框中，单击“确定”。 当所有通道的状态为已接受时，则表示网络通道配置完成。 图4 网络通道配置完成 VPC终端节点（用
为严重影响的，则需要进行单独处理，可以将它转为事件或关联事件。 本章节主要介绍如何将告警转为事件，以及告警如何关联事件。 告警和事件关系说明 本部分介绍告警和事件的含义、区别，告警转事件的原因和告警关联事件的原因。 告警和事件的含义与区别 表1 告警和事件的含义与区别 类别 描述
策略管理概述 安全云脑的策略管理功能可以简化您在多个账户和资源上的管理和维护任务，以实现各种保护，包括WAF、CFW、VPC安全组、IAM。同时，支持统一展示所有策略信息、人工管理七层防线策略、查看人工/自动化拦截记录等操作。 查看并配置防线策略：介绍如何查看以及配置防线策略。七
应用场景 OBS 2.0支持 虚拟私有云子功能二 虚拟私有云（Virtual Private Cloud，以下简称VPC），为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。 您可以在VPC中定义安全组、VPN、
管理云上资产和云外资产唯一的区别在于云外资产管理不支持资产订阅，只能通过导入资产的方式接入安全云脑。 在资产管理中，可以查看当前工作空间所在region中所有资源的安全状态统计信息，帮助您快速定位安全风险问题并提供解决方案。 资产来源及对应的防护产品 表1 资产来源及对应的防护产品 资产类型
警通知。 梳理虚拟私有云资产 虚拟私有云（Virtual Private Cloud，VPC）是您在云上的私有网络，为云服务器、云容器、云数据库等云上资源构建隔离、私密的虚拟网络环境。 安全云脑的资产管理功能会自动完成云VPC资产的梳理。针对VPC资产，支持通过云防火墙（Cloud
步骤四：创建非管理员IAM账户 用于租户侧日志采集器登录访问安全云脑。 步骤五：网络连通配置 实现租户VPC与云脑网络网络连通。 步骤六：安装组件控制器（isap-agent） 纳管日志采集器节点（ECS）到安全云脑。 步骤七：安装日志采集组件（Logstash） 配置日志采集进程。 （可选）步骤八：创建日志存储管道
建议优先采用WAF策略阻断 CFW告警 网络防线 建议优先采用CFW策略阻断 IAM告警 身份防线 建议优先采用IAM策略阻断 OBS/DBSS告警 数据防线 当前可根据实际攻击场景和调查结果考虑使用VPC策略阻断/CFW策略阻断，隔绝防护资产和攻击源的网络通信等 本章节介绍如何新增应急策略。
ster的权限策略，控制他们对SecMaster资源的使用范围。 如果账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用SecMaster的其它功能。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账户中的资源进行
每天晚上7点，统计未关闭的告警，并发送邮件/短信通知给客户 Alert 高危告警自动化安全封堵 针对高危和致命告警，源IP地址攻击次数达到阈值(次数>3)且命中微步在线的恶意标签，根据告警来源将该ip对应策略阻断(WAF、VPC、CFW、IAM) Alert 低危告警自动关闭 对于低危和提示的告警，进行自动化关闭
剧本说明 安全云脑提供的高危告警自动化安全封堵剧本，可以将微步研判为中高风险的高危告警里的源IP自动封堵在高危告警所在的源服务中如WAF、CFW、VPC安全组。 “高危告警自动化安全封堵”剧本已匹配“高危告警自动化安全封堵”流程，配置该剧本，需要对流程及流程中的插件进行适配。 图1
网络ACL是对子网的访问控制策略系统，根据与子网关联的入站/出站规则，判断数据包是否被允许流入/流出关联子网。同一个VPC内的子网间设置网络ACL，可以增加额外的安全防护层，实现更精细、更复杂的安全访问控制。 检查是否配置网络ACL规则。 用于VPC对等连接路由表检查 对等连接是指两个VPC之间的
CFW告警 网络防线 建议优先采用CFW策略阻断 IAM告警 身份防线 建议优先采用IAM策略阻断 OBS/DBSS告警 数据防线 当前可根据实际攻击场景和调查结果考虑使用VPC策略阻断/CFW策略阻断，隔绝防护资产和攻击源的网络通信等 本章节介绍如何执行一键阻断和一键解封操作。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
