正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
主机安全告警日志 主机-暴力破解成功、主机-异常shell、主机-异地登录 请确认该事件是否攻击成功,如果攻击成功,表明该主机已经失陷,需要进行主机隔离,防止风险扩散,之后对失陷的主机进行加固。 入侵成功典型告警 主机防线 主机安全日志 主机-进程和端口信息隐匿、主机-异常文件属性修改
在左侧数据空间导航栏中,单击数据空间名称,展开数据管道列后,单击目标管道名称后的“更多 > 监控”,进入管道监控页面。 图3 进入数据监控页面 在数据管道的监控页面,查看监控指标。 图4 数据监控 总览:显示当前管道中生产者、管道、订阅器、消费者之间生产速率等信息。 生产者:显示生产
日志采集策略调整 日志作为安全运营提供重要数据支撑,护网/重保期间推荐使用一键接入功能接入全部日志,并调整自动转告警功能,结合模型和安全服务攻击日志,通过“告警管理”统一进行跟踪监控。 操作步骤 登录安全脑控制台,并进入目标工作空间管理页面。 在左侧导航栏选择“设置 > 数据集成”,进入数据集成页面。
(可选)在管道数据检索页面,输入查询条件,选择时间下拉菜单中选择查询时间,并单击“查询/分析”。 下载日志。 下载原始日志:在“原始日志”页签中,单击,系统将下载日志到本地。 下载图表日志:在“图表统计”页签中,单击“下载日志”,系统将下载日志到本地。 父主题: 安全分析
一般是由于剧本,流程配置出错导致。 通过实例监控查看突增原因,修改剧本,流程配置。 无 SYS.SecMaster 日志消息突增 重要 上游服务产生大量日志,导致消息快速增加。 需要排查上游服务业务是否正常。 无 SYS.SecMaster 日志消息突减 重要 上游服务产生日志突然变小。 需要排查上游业务是否正常
在待接入云产品的“审计相关日志”列,单击,开启接入的云服务日志。 建议直接单击“一键接入服务日志”前的按钮,一键接入当前region所有云服务日志。 设置生命周期,建议保持默认即可。 设置是否自动转告警。 在待设置云产品的“自动转告警”列,单击,开启接入的云服务日志满足告警条件时,自动转为告警。
String 文件路径/名称。 file_alias String 文件别名。 file_size Integer 文件大小。 file_mtime Long 文件最后一次修改时间。 file_atime Long 文件最后一次访问时间。 file_ctime Long 文件最后一次状态改变时间。
CTS的详细介绍和开通配置方法,请参见CTS快速入门。 日志 查询 出于分析或审计等目的,用户开启了云审计服务后,系统开始记录SecMaster资源的操作。云审计服务管理控制台保存最近7天的操作记录。 关于SecMaster云审计日志的查看,如图1所示。 图1 查询日志 父主题: 安全
剧本运行监控 功能介绍 剧本运行监控 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/{playbook_id}/monitor 表1 路径参数 参数 是否必选 参数类型
查看实例监控 操作场景 当剧本/流程执行完成后,实例管理列表中会生成剧本/流程实例,即实例监控。实例监控列表每条记录是一个实例,可呈现实例的历史实例任务列表,以及历史实例任务的运行情况。 本章节主要介绍如何查看实例监控信息。 约束与限制 单账号单workspace内一天内的重试次数限制如下:
单击页面左上方的,选择“管理与监管 > 云日志服务”,进入日志管理页面。 在日志管理页面的“日志组列表”栏中,找到新增数据投递是填写的日志组,并单击日志组名称前的按钮。 展开后,单击新增数据投递时选择的日志流的名称,进入日志流详情页面。 在日志流详情页面,查看投递的日志信息。 父主题: 数据投递
支持接入的日志 安全云脑支持集成WAF、HSS、OBS等多种华为云云产品的日志数据。集成后,可以检索并分析所有收集到的日志,且默认存储7天。 表1 支持接入的日志 安全分类 服务 服务类型 日志 日志描述 支持的region 主机安全 主机安全服务(HSS) 租户侧云服务 hss-alarm
查询剧本实例审计日志 功能介绍 查询剧本实例审计日志 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/workspaces/{workspace_id}/soc/playbooks/instances/auditlogs 表1 路径参数 参数
快速添加日志告警模型 操作场景 安全云脑支持将查询分析结果设置告警模型,并在满足条件时触发告警。 本章节将接入如何快速为日志设置告警模型。 前提条件 已完成数据接入,详细操作请参见数据集成。 操作步骤 登录管理控制台。 单击管理控制台左上角的,选择区域和项目。 在页面左上角单击,选择“安全与合规
安全监控与应急响应 值班监控 风险控制 父主题: 安全云脑护网/重保最佳实践
安全云脑中的日志存储时间是多久? 安全云脑支持接入WAF、HSS、OBS等云产品的日志数据,接入后可以对数据进行查询分析、智能建模等。 对于已接入安全云脑的日志数据的具体存储时长如下所示: 表1 支持接入的日志 云服务 日志描述 日志 日志生命周期范围 Web应用防火墙(Web Application
支持纳管以下资源: 资产: 主机、网站、数据库、VPC、EIP 日志: HSS安全日志、告警日志、漏洞扫描日志、基线日志;WAF攻击日志、访问日志;APIG请求日志;CTS服务日志;DCS告警日志;IAM审计日志;安全云脑基线日志 本场景介绍如何在“华北-北京四”region的安全云脑中
件信息。详细操作请参见告警转事件。 同时可通过日志信息溯源,通过“安全分析”能力审核所有相关日志信息,在“事件管理”中记录存档,便于后续跟踪运营。 控制事件。 通过告警和日志信息,确定攻击类型、影响主机和业务进程信息。 通过HSS文件隔离查杀脚本对涉及进程软件进行进程查杀、软件隔离操作。降低后续影响。
本部分介绍通过UDP的方式采集ECS中的日志,再使用采集管理中提供的默认解析器配置进行日志解析,并将解析完的数据接入到安全云脑管道。接入后,可在“安全分析”页面进行查询。 前提条件 已获取登录控制台的IAM账号和密码。 步骤一:购买ECS 购买用于采集数据的弹性云服务器,详细操作请参见购买ECS。 数据
何释放ECS和VPC终端节点资源?。 单击页面右下角“下一步”,进入脚本安装验证页面后,单击复制安装Agent的命令。 远程登录待安装Agent的ECS。 华为云主机 您可以登录弹性云服务器控制台,在“弹性云服务器”列表中,单击“远程登录”登录主机,详细操作请参见在云服务器控制台上登录主机。