检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
日志接入或转出操作指导 方案概述 资源规划 操作流程 实施步骤
of PlaybookInstanceInfo objects 剧本实例列表信息 表6 PlaybookInstanceInfo 参数 参数类型 描述 id String 剧本实例ID name String 剧本实例名称 project_id String 项目ID playbook
告警所涉及到的高危命令如下： strace：捕获和记录指定进程的所有系统调用，以及接收的所有信号。 rz：用于从本地计算机向远程主机上传文件，通常用于SSH会话中。 sz：用于从远程主机向本地计算机下载文件的命令，通常用于SSH会话中。 tcpdump：用于数据包嗅探，可以抓取流动在网卡上的数据包。
查询剧本实例审计日志 功能介绍 查询剧本实例审计日志 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/instances/auditlogs 表1 路径参数 参数
（可选）步骤八：创建日志存储管道 步骤九：配置连接器 （可选）步骤十：配置日志解析器 步骤十一：配置日志采集通道 步骤十二：测试验证 父主题： 日志接入或转出操作指导
选择目的OBS桶名称。 写入身份 默认生成，无需配置。 在“访问授权”中，查看7中授予的权限。 投递请求需要获取访问您云资源的读写权限，授权后，投递任务才能拥有对您云资源相应的访问权限。 单击“确定”。 步骤二：数据投递授权 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规
当前状态 当前管道中数据消费配置状态。 管道名称 当前数据管道的名称。 订阅器 系统预置的订阅模式，决定数据如何传递给消费者。 访问节点 当前数据的访问节点。 相关操作 数据消费开启后，如需关闭，则可在数据消费页面，单击“当前状态”后的，关闭数据消费。 父主题： 安全分析
使用取证方法确认数据在恢复之前是安全的，然后从备份中恢复数据，或者恢复到ECS实例的早期快照。 如果您已成功使用任何开源解密工具恢复数据，请从实例中删除该数据，并执行必要的分析以确认数据是安全的。然后，恢复实例，终止或隔离实例并创建新的实例，并将数据还原至新实例中。 如果从备份恢复或解密数据都不可行，请评估在新环境中重新开始的可能性。
状态码 编码 说明 400 Bad Request 参数错误。 401 Unauthorized 认证失败。 403 Forbidden 拒绝访问。 500 Internal Server Error 系统内部错误。 父主题： 附录
进行处置。 前提条件 已在安全云脑工作空间的“设置 > 数据集成”页面中接入来源为HSS和WAF的告警数据。 接入HSS和WAF攻击数据，并开启HSS数据的自动转告警开关，详细操作请参见数据集成。 图1 接入告警数据 已在安全云脑工作空间的“资产管理”页面中，单击资产名称，进入资
输入目的PIPE的ID，查询方法请参见7。 写入身份 默认生成，无需配置。 在“访问授权”中，查看7中授予的权限。 投递请求需要获取访问您云资源的读写权限，授权后，投递任务才能拥有对您云资源相应的访问权限。 单击“确定”。 步骤二：数据投递授权 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规
日志流。 其他配置参数，系统默认生成，无需配置。 在“访问授权”中，查看7中授予的权限。 投递请求需要获取访问您云资源的读写权限，授权后，投递任务才能拥有对您云资源相应的访问权限。 单击“确定”。 步骤二：数据投递授权 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规
其中，“可用区”如果没有特殊要求，建议选择“随机分配”。 实例 CPU架构 请选择“x86计算”。 目前，日志采集器的组件控制器（isap-agent）仅支持运行在Linux系统X86_64和Arm64架构的ECS主机上，因此，此处请选择“x86计算”。 实例筛选 最低要求CPU 2核，内存4 GB，根据需要选择符合要求的实例。
操作场景 安全云脑支持将查询分析结果设置告警模型，并在满足条件时触发告警。 本章节将接入如何快速为日志设置告警模型。 前提条件 已完成数据接入，详细操作请参见数据集成。 快速添加日志告警模型 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规
近7天网络、应用、主机被访问产生的日志大小总和，单位为MB。 环比 近7天网络、应用、主机被访问产生的日志大小总和，与近7-14天用户网络、应用、主机被访问产生的日志大小总和的对比。 计算方法：（本期数 - 上期数） / 上期数 × 100%。 统计趋势图 近7天每天网络、应用、主机被访问产生的日志大小总和，单位为MB。
订阅安全遵从包：用户根据安全遵从包规格说明遵从包的判定指引来选择所需的安全遵从包进行订阅； 取消订阅安全遵从包：当您需要更换或取消当前订阅的安全遵从包时，可以在订阅列表删除该安全遵从包。 前提条件 已完成服务授权。如未授权，请先进行服务授权操作，详细操作请参见授权云服务资源访问权限。 订阅安全遵从包
主机安全服务（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机安全、容器安全和网页防篡改，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。 简而言之，SecMaster是呈现全局安全态势的服务，HSS是提升主机和容器安全性的服务。
安全云脑的日志采集功能支持将安全日志接入安全云脑，同时，也支持将安全云脑日志转出至第三方系统/产品。 表1 日志接入或转出场景说明 场景 操作指导 华为云日志接入安全云脑 具体操作请参见接入云服务日志。 安全云脑日志转出至第三方系统/产品 参考本实践的操作步骤处理即可。 第三方（非华为云）日志接入安全云脑 参考本实践的操作步骤处理即可。
安全云脑到期后，会继续收费吗？ 安全云脑到期后，不会继续收费。 若到期后，未及时续费，会根据“客户等级”和“订购方式”定义不同的保留期时长，保留期内不能访问及使用SecMaster资源，但对存储在SecMaster资源中的数据仍予以保留。若保留期到期后，仍未及时续费，标准版或专业版会变为基础版。
warning：表示操作失败。 incident：表示比操作失败更严重的情况，例如引起其他故障等。 企业项目ID：输入企业项目ID。 访问密钥ID：输入访问密钥ID（包含临时访问凭证和永久访问密钥）。 时间范围：可选择查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
