检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
描述 自定义设置日志数据目的描述信息。 类型 自定义设置日志目的类型。 管道 选择（可选）步骤八：创建日志存储管道创建的管道。 域账户 输入当前登录Console的IAM账号的域账户信息。 用户名 输入当前登录Console的IAM账号的用户信息。 密码 输入当前登录Console的IAM账号的密码。
、事件、威胁情报、漏洞等。查看数据类请参考查看数据类。 告警：告警是运维中的一种异常信号的通知，通常是由监控系统或安全设备在检测到系统或网络中的异常情况时自动生成的。例如，当服务器的CPU使用率超过90%时，系统可能会发出告警。这些异常情况可能包括系统故障、安全威胁或性能瓶颈等。
件。 单击“查看更多”，可跳转到“告警管理”页面，查看更多的威胁告警信息，并可自定义过滤条件查询告警信息，查看威胁告警详细操作请参见查看告警信息。 漏洞 展示当前工作空间中您资产中TOP5漏洞类型，以及近7天内还未修复的漏洞总数和不同漏洞风险等级对应的数量。统计信息更新频率为每5分钟更新一次。
查看图表统计结果 当您执行了查询和分析语句后，安全云脑支持通过图表统计的形式对查询和分析的结果进行可视化展示，您可以根据分析需求选择合适的统计图表类型展示查询和分析结果。 安全云脑可以通过以下图表类型展示查询和分析结果： 表格形式展示查询与分析结果 折线图形式展示查询和分析结果 柱状图形式展示查询和分析结果
获取项目ID 调用API获取项目ID 项目ID可以通过调用查询指定条件下的项目信息API获取。 获取项目ID的接口为“GET https://{Endpoint}/v3/projects”，其中{Endpoint}为IAM的终端节点，可以从地区和终端节点获取。接口的认证鉴权请参见认证鉴权。
目录定制 操作场景 安全云脑支持自定义目录，您可以根据需要对目录进行定制。本章节将介绍以下操作： 查看已有目录 更换布局 约束与限制 系统内置的目录不支持编辑、删除操作。 查看已有目录 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规
攻击链路分析告警通知 针对攻击链路进行分析，如果主机产生告警，就会查看关联主机所属的网站，如果有对应网站信息且有告警，就进行告警通知 Alert 主机资产风险统计通知 查询资产管理中绑定EIP的主机资产，将其漏洞信息统计通知给客户 CommonContext HSS文件隔离查杀 自动隔离查杀恶意软件
托的资源，避免委托方共享自己的安全凭证（密码/密钥）给他人，确保账号安全。 在云服务环境中，如果创建委托给个人账号，可能会导致不可信，因此不建议委托给个人账号，建议删除个人委托账号。 高危操作！请根据您的需要谨慎处理。 主机高危端口暴露检查 HSS提供资产管理功能，主动检测主机中
尽快调查异常行为的原因和来源，例如查看日志、监控系统、分析进程内存等，以确定异常的具体表现和可能的根本原因； 根据异常行为的性质和严重程度，采取适当的应对措施，例如重启进程、修复软件错误、排除系统故障、更换硬件设备等； 对受影响的系统进行全面的检查，确认是否存在其他的漏洞或后门，以保证系统的安全性。 系统行为异常/关键文件目录变更
设置资产订阅 操作场景 安全云脑只有在开启资产订阅设置的工作空间才能同步资产相关信息。订阅后，资产信息将在一分钟内同步展示。后续，将每天晚上自动同步资产信息。 本章节介绍如何订阅资产。 每个Region的首个工作空间可自动加载当前Region所有资产。后续新增的用于自定义运营的工
管理连接 操作场景 本章节主要介绍如何执行查看连接管理信息、删除数据连接操作。 查看连接管理信息 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。 在左侧导航栏选择“工作空间
约束与限制 单次查询分析最多支持返回500条结果。 一个数据管道内最多创建50个快速查询，即最多可以将50个查询分析条件保存为快速查询。 单次查询结果大于50000条时，准确率可能会下降。请通过缩短查询的时间范围、添加查询限制条件等方法减少查询结果的数量。 使用聚合查询（例如group
名称须为全局（整个华为云上）唯一，不能与其他数据空间名称相同。 描述 可选参数，设置该数据空间的备注信息。 单击“确定”。 在左侧数据空间导航栏中，单击5新增的数据空间名称右侧的，并在下拉选项中选择的“创建管道”，系统从右侧弹出创建管道页面。 图4 创建管道 在创建管道页面中，配置管道参数，参数说明如表2所示。
剧本 该工作空间中已有剧本的数量。 如需查看某个工作空间的详细信息，可单击待查看工作空间右侧的，进入工作空间基本信息页面查看详细信息。 在工作空间详情页面，可查看工作空间的名称、创建时间、所属项目等信息。另外，还支持修改工作空间名称和描述信息。 在“标签”页签中，支持“编辑标签”，标签的详细操作请参考管理工作空间标签。
K。使用过时的版本可能会导致兼容性问题或无法使用最新功能。您可以在SDK中心查询版本信息。 表1提供了SecMaster服务支持的SDK列表，您可以在GitHub仓库查看SDK更新历史、获取安装包以及查看指导文档。 表1 SDK列表 编程语言 Github地址 参考文档 Java
上下文页面可以看到告警的上下文关键信息和全文信息。 关系图页面中是告警关联的其他运营数据。 评论页面中，可以查看评论信息，评论信息中是告警所有的处置和评论历史信息。 不同的告警结合不同的信息进行分析，可以通过告警关联信息，告警payload，告警详情分析。 图3 告警详情示例 如果需要结合历史或者
示例：以一个具体的网络安全事件响应案例为例，当组织遭受到一次网络攻击时，安全编排系统会首先根据预设的剧本识别出攻击的类型和严重程度。然后，系统会根据剧本中定义的流程，自动触发相应的安全措施，如隔离被攻击的系统、收集攻击数据、通知安全团队等。在这个过程中，剧本和流程紧密配合，确保安全响应的准确性和及时性。
不同的索引配置，将会产生不同的查询和分析结果，请根据您的需求合理配置索引。 如果您需要使用分析功能，必须配置字段索引。配置字段索引后，您可以指定字段名称和字段值（Key:Value）进行查询，缩小查询范围。例如查询语句level:error，表示查询level字段值包含error的日志。
设置告警的查询规则，设置完成后可以单击“运行”，查看当前运行结果。 查询分析语句由查询语句和分析语句构成，格式为查询语句|分析语句，查询分析语句语法详细内容请参见查询与分析语法概述。 说明： 如果筛留字段为text类型时，默认会使用MATCH_QUERY进行分词查询。 查询计划 设置告警查询计划。 运行查询间隔：xx分钟/小时/天。
管道数据页面 在管道数据检索页面，选择查询分析时间，设置查询条件或直接输入查询语句进行溯源分析。 设置查询条件或直接输入查询语句操作参考查询语法。 查询之后通过原始日志看到详细日志数据，如图3所示。 图3 原始日志 同时，也可以通过显示字段，进行字段筛选显示查看分析，如图4所示。 图4 选中显示字段
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
