检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
智能建模”，进入智能建模的可用模型页面。 图2 可用模型页面 在可用模型页面，查看已有模型。 表1 查看已有模型信息 参数名称 参数说明 模型统计 显示可用模型和活跃模型数量。 严重程度 显示当前已有模型的严重程度统计情况，包含致命、高危、中危、低危、提示级别。 模型列表 模型列表中，显示当前
智能建模”，进入智能建模的可用模型页面。 图2 可用模型页面 在可用模型页面中，管理模型。 表1 管理模型 操作 操作说明 启用模型 在模型列表中，单击目标模型所在行“操作”列的“启用”。 说明： 如需批量启动模型，可以勾选所有需要启动的模型，然后单击列表左上角的“启用”。 当模型状态更新为启用，则表示启动模型成功。
选择该条告警模型触发后，提示的告警类型。 模型类型 默认为规则模型。 描述 填写该告警模型的描述信息。 启用状态 设置该告警模型的启用状态。 此处设置的状态，可在整个告警模型设置成功后进行更改。 设置完成后，单击页面右下角“下一步”，进入设置模型逻辑页面。 设置模型逻辑，参数说明如表2所示。
义新建。 新建模型可以使用已有内置模型模板进行创建模型，同时，也支持自定义新建告警模型： 使用已有模型模板创建告警模型 自定义新建告警模型 编辑模型 约束与限制 单账号单Region单workspace最多创建100个告警模型。 一个告警模型的运行时间间隔须 ≥ 5分钟，查询数据的时间范围
查看模型模板 操作场景 安全云脑支持利用模型对管道中的日志数据进行扫描，如果检测到有满足模型中设置触发条件的内容时，系统将产生告警提示。模型是基于模板而创建的，因此，需利用已有模型模板创建模型。 安全云脑根据常用场景内置了多种模型模板（包括场景说明、模型原理、处置建议、使用约束等信息），请在参考本章节进行查看。
列的“详情”，右侧弹出模板详情页面。 在模板详情页面，单击右下角“创建模型”，进入新建告警模型页面。 在新增告警模型页面中，配置告警模型信息。 管道名称：选择该告警模型的执行管道。 模型对应管道可以从模型描述中的使用约束中获取，须与约束中的管道信息保持一致，也可以参考执行管道进行填写。
智能建模 查看模型模板 新建或编辑模型 查看模型 管理模型 父主题： 威胁管理
步骤二：日志采集策略调整 日志作为安全运营提供重要数据支撑，护网/重保期间推荐使用一键接入功能接入全部日志，并调整自动转告警功能，结合模型和安全服务攻击日志，通过“告警管理”统一进行跟踪监控。 日志采集策略调整 登录安全云脑控制台，并进入目标工作空间管理页面。 在左侧导航栏选择“设置
近7天每天网络、应用、主机被访问产生的日志大小总和，单位为MB。 模型监测统计 模型总数 实时 每小时 “威胁管理 > 智能建模”中已有模型的数量。 统计表格 近7天 每小时 每种类型的威胁检测模型，检测出的威胁次数。 如果没有威胁检测模型，则会默认展示四种类型，其值全部为0。 相关操作 如果
如果从备份恢复或解密数据都不可行，请评估在新环境中重新开始的可能性。 事故后活动。 通过整个告警处理流程中分析告警发生详细信息，持续运营优化模型，提升模型告警准确率。如判断是业务相关的，无风险的告警可以直接通过模型进行筛选。 通过溯源告警发生，更好的了解事件的整个流程，持续优化资产防护策略，降低资源风险，收缩攻击面。
如果从备份恢复或解密数据都不可行，请评估在新环境中重新开始的可能性。 事故后活动。 通过整个告警处理流程中分析告警发生详细信息，持续运营优化模型，提升模型告警准确率。如判断是业务相关的，无风险的告警可以直接通过模型进行筛选。 通过溯源告警发生，更好的了解事件的整个流程，持续优化资产防护策略，降低资源风险，收缩攻击面。
智能建模”，进入智能建模页面后，选择“模型模板”页签，进入模型模板页面。 图6 模型模板页面 在模型模板列表中，单击目标模型模板所在行“操作”列的“详情”，右侧弹出模板详情页面。 在模板详情页面，单击右下角“创建模型”，进入新建告警模型页面。 在新增告警模型页面中，配置告警模型基础信息。 管道名称：选择告警模型的执行管道。
警。 查看告警： 告警详情页面可以看到告警攻击IP、攻击域名，分析模型是“应用-源ip对域名进行爆破攻击”数据管道名称为“sec-waf-attack”。 图8 查看总览信息 图9 查看上下文信息 因为是统计类模型告警，可以结合WAF日志进行安全分析。单个源IP对域名进行多次攻击
是用来接收并处理数据的运行实体，负责通过订阅器把安全云脑管道中的消息进行消费并处理。 消息队列 是数据存储和传输的实际容器。 威胁检测模型 是一种被训练的AI智能识别算法模型。能针对特定威胁，自动化的完成数据汇聚、分析和报警，这种检测模式具备较好的泛化能力，防躲避能力强，可在不同业务系统中发挥同等效果，应对复杂的新型攻击。
查看安全报告 操作场景 本章节介绍如何查看已创建的安全报告及其展示的信息。 查看安全报告 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。 在左侧导航栏选择“工作空间 > 空
单账号单workspace内，最多可创建10个安全报告（包含日报、周报和月报）。 告警模型 表4 告警模型 模块 约束与限制 告警模型 单账号单Region单workspace最多创建100个告警模型。 一个告警模型的运行时间间隔须 ≥ 5分钟，查询数据的时间范围 ≤ 14天。 安全分析 表5
平台安全数据 40 MB/天/配额 40 MB/天/配额 安全建模分析 × 120 MB/天/配额 威胁管理 预制威胁模型 × 计算模型数据120 MB/天/配额；预置模型200个 预制响应剧本 × 预置剧本30个 安全编排 安全编排 × 操作7000次 表4 安全数据采集和安全数据保留资源包规格说明
入模型模板页面。 图6 模型模板页面 在模型模板列表中，单击目标模型模板所在行“操作”列的“详情”，并在右侧弹出模板详情页面右下角单击“创建模型”。 在新增告警模型页面中，配置告警模型基础信息。 管道名称：选择该告警模型的执行管道。依赖的执行管道名称可根据描述中的“使用约束”选择。
和可疑活动上报链设计的模型，使您能够执行某些对应操作时收到此类威胁的通知。启用这些模型后，它们将自动在整个环境中搜索可疑活动。同时，可以根据您的需要自定义模型，以搜索或筛选出威胁。 同时，提供了日志数据检索功能，帮助您筛选威胁。 更多详细介绍及操作请参见模型模板、安全分析。 调查告警与事件
智能建模”，进入智能建模页面后，选择“模型模板”页签，进入模型模板页面。 图5 模型模板页面 在模板列表中，单击“应用-WAF关键攻击告警”模板所在行“操作”列的“详情”，右侧弹出模板详情页面后，单击右下角“创建模型”。 在新增告警模型页面中，配置告警模型基础信息。 管道名称：选择该告警模型的执行管道。此
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
