检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
FullAccess 弹性云服务器所有权限 SecMaster_Agency 用于首次购买安全云脑场景，获取账号中的ECS主机资产信息。 用于资产管理场景同步ECS资产信息。 用于涉及到ECS相关的剧本流程执行，例如主机一键解封、主机一键隔离等。 WAF FullAccess Web应用防火墙管理员
如何处理暴力破解告警事件？ 暴力破解是一种常见的入侵攻击行为，攻击者通常使用暴力破解的方式猜测远程登录的用户名和密码，一旦破解成功，即可实施攻击和控制，严重危害资产的安全。 安全云脑联动主机安全服务（HSS），接收HSS检测到的暴力破解行为，集中呈现和管理告警事件，提升运维效率。
Cloud，以下简称VPC），为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。 您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，
满足您的安全需求。 主机安全服务（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机安全、容器安全和网页防篡改，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。 简而言之，SecMaster是呈现全局安全态势的服务，HSS是提升主机和容器安全性的服务。
云外资产指的是本地服务器、IDC服务器或第三方云厂商的服务器等非华为云资产。 -- 说明： 资产信息同步至安全云脑后，在安全云脑控制台将展示资产的防护状态。防护状态说明如下： 如果资产的“防护状态”显示“已防护”，表示已购买对应安全防护产品，且已开启防护。 如果资产的“防护状态”显示
e为单独的作业，互不影响。在安全云脑租户采集上，可将相同的pipeline部署在多个节点上，并且配置相同的pipeline视为一个采集通道。 日志接入或转出支持的传输协议类型以及日志格式 表2 日志接入或转出支持的传输协议类型以及日志格式 场景 支持的传输协议类型 支持的日志格式
ster的权限策略，控制他们对SecMaster资源的使用范围。 如果账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用SecMaster的其它功能。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账户中的资源进行
文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击按钮，可以获取到事件操作记录的最新信息。 在需要查看的事件左侧，单击展开该记录的详细信息。 在需要查看的记录右侧，单击“查看事件”，会弹出一个窗口显示该操作事件结构的详细信息。 关于事件结构的关键字段详解，请参见《
么类型的操作。 GET：请求服务器返回指定资源。 PUT：请求服务器更新指定资源。 POST：请求服务器新增资源或执行特殊操作。 DELETE：请求服务器删除指定资源，如删除对象等。 HEAD：请求服务器资源头部。 PATCH：请求服务器更新资源的部分内容。当资源不存在的时候，PATCH可能会去创建一个新的资源。
险漏洞。 HSS的漏洞扫描原理以及支持扫描的漏洞类型请参见HSS漏洞管理概述。 查看漏洞详情：介绍如何查看漏洞的详细信息。 修复漏洞：当扫描到服务器存在漏洞时，您需要及时根据漏洞的危害程度结合实际业务情况处理漏洞，避免漏洞被入侵者利用入侵您的服务器。如果漏洞对您的业务可能产生危害
寻系统漏洞、违反安全策略的行为和网络攻击模式，这些有可能帮助防止将来发生类似的入侵。 SOC的类型 企业/组织有几种不同的方式来设置其SOC。一些企业/组织选择构建具有全职员工的专用SOC。这种类型的SOC可以是内部的，具有物理的本地位置，也可以是虚拟的，员工使用数字工具远程协调
影响主机。 从事故中恢复。 确定从备份执行的所有还原操作的还原点。 查看备份策略，以确定是否可以恢复所有对象和文件，这取决于在资源上应用的生命周期策略。 使用取证方法确认数据在恢复之前是安全的，然后从备份中恢复数据，或者恢复到ECS实例的早期快照。 如果您已成功使用任何开源解密工
云审计服务支持的关键操作 云审计服务支持的SecMaster操作列表 在CTS事件列表查看云审计事件
来自承包商或第三方服务提供商的提示信息； 通过内部或外部安全研究人员的排查信息； 内部系统信息； 匿名举报信息； 其他途径的信息。例如，攻击者通过被泄露的凭证，窃取您的数据，并修改您面向公众的资源。 确认已针对该事件提交工单或案例。如果没有，请手动提交。 确定并记录问题对最终用户的影响。 无论此
数据类：安全编排与响应中的剧本和流程的运行都需要绑定数据类，由数据对象（数据类的实例）触发剧本。常见的数据类包括告警、事件、威胁情报、漏洞等。查看数据类请参考查看数据类。 告警：告警是运维中的一种异常信号的通知，通常是由监控系统或安全设备在检测到系统或网络中的异常情况时自动生成的。例如，当服
选择资产连接所需的插件。插件相关介绍请参见查看插件详情。 创建人 资产连接的创建人，该参数不支持修改。 创建时间 资产连接的创建时间，该参数不支持修改。 修改人 资产连接的最近一次修改的用户，该参数不支持修改。 连接类型 选择资产连接的类型。 凭证信息 根据选择的连接类型填写凭证信息，例如AK、SK等。
告警是运维中的一种异常信号的通知，通常是由监控系统或安全设备在检测到系统或网络中的异常情况时自动生成的。例如，当服务器的CPU使用率超过90%时，系统可能会发出告警。这些异常情况可能包括系统故障、安全威胁或性能瓶颈等。 告警通常有明确的指示性，能够明确指出异常发生的位置、类型和影
云审计服务支持的SecMaster操作列表 云审计服务（Cloud Trace Service，CTS）记录了安全云脑相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。 云审计服务支持的SecMaster操作列表如表 云审计服务支持的SecMaster操作列表所示。
影响主机。 从事故中恢复。 确定从备份执行的所有还原操作的还原点。 查看备份策略，以确定是否可以恢复所有对象和文件，这取决于在资源上应用的生命周期策略。 使用取证方法确认数据在恢复之前是安全的，然后从备份中恢复数据，或者恢复到ECS实例的早期快照。 如果您已成功使用任何开源解密工
现安全事件的高效、自动化响应处置。 每个Region的首个工作空间可自动启用内置的流程，无需再进行手动启用。同时，内置的剧本中推荐使用的高频剧本默认已启用（未全部启用）。后续新增的用于自定义运营的工作空间，不会自动启用剧本，需要用户自定义启用。 若还需开启未默认启用的剧本，请参考下述操作步骤进行启用：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
