检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云审计服务支持的关键操作 云审计服务支持的SecMaster操作列表 在CTS事件列表查看云审计事件
查看模型模板 操作场景 安全云脑支持利用模型对管道中的日志数据进行扫描，如果检测到有满足模型中设置触发条件的内容时，系统将产生告警提示。模型是基于模板而创建的，因此，需利用已有模型模板创建模型。 安全云脑根据常用场景内置了多种模型模板（包括场景说明、模型原理、处置建议、使用约束等信息），请在参考本章节进行查看。
关键运维操作实时通知 剧本说明 安全云脑提供的关键运维操作实时通知剧本，基于运维操作，对关键运维操作进行邮件实时通知。 “关键运维操作实时通知”剧本已匹配“关键运维操作实时通知”流程，该流程是通过消息通知服务，当有关键运维操作时，发送通知给运营人员。 图1 关键运维操作实时通知流程
删除工作空间 操作场景 如果不再需要某个工作空间，可以参照本章节进行删除。 工作空间删除后，相关的资产会存在风险，且会影响资产的风险预防和处理，安全性能降低，且删除后不可恢复，请谨慎操作。 约束与限制 删除时，工作空间内运行的剧本、流程、引擎等将立即停止。 选择永久删除，工作空间内的所有内容将永久删除无法恢复。
管理检查项 基线检查提供了内置检查项，详细说明请参见内置检查项。 本章节介绍管理检查项，包括：查看检查项、创建自定义检查项、导入检查项、导出检查项。 约束与限制 自定义检查项创建成功后，暂不支持对新增的单个检查项进行检查，需要执行立即检查或检查该检查项绑定的遵从包，才可以查看自定义检查项的检查结果。
创建空间托管 空间托管概述 空间托管是指跨账号安全运营，可实现Workspace委托集中安全运营查看统一资产风险、告警和事件等。 安全云脑支持将项目中的工作空间托管给其他用户，托管后，可实现Workspace委托集中安全运营查看统一资产风险、告警和事件等。 表1 空间托管流程 操作步骤
总览和态势总览 安全风险 安全风险是对资产安全状况的综合评估，反映了一段时间内资产遭受的安全风险。安全风险通常体现为一个量化的数值，便于用户理解目前资产的安全状况，数值大小并不代表资产的安全或危险，仅作为资产遭受攻击严重程度的参考。 安全评分 安全云脑实时呈现您云上资产的整体安全
SELECT SELECT 语法格式 1 2 3 4 5 6 SELECT [ ALL | DISTINCT ] { * | projectItem [, projectItem ]* } FROM tableExpression [ WHERE booleanExpression
去重 功能描述 对在列的集合内重复的行进行删除，只保留第一行或最后一行数据。 语法格式 1 2 3 4 5 6 7 SELECT [column_list] FROM ( SELECT [column_list], ROW_NUMBER() OVER ([PARTITION
数据操作语句DQL SELECT 聚合操作 窗口 JOIN OrderBy & Limit Top-N 去重 保留关键字 父主题： SecMaster SQL语法参考
攻击链路分析告警通知 剧本介绍 配置剧本 父主题： 剧本说明
新建或编辑模型 操作场景 安全云脑支持利用模型对管道中的日志数据进行监控，如果检测到有满足模型中设置触发条件的内容时，将产生告警提示。 每个Region的首个工作空间可自动启用当前Region中推荐使用的预置模型。后续新增的用于自定义运营的工作空间，不会自动加载启用，需要用户自定义新建。
聚合操作 Union/Union ALL/Intersect/Except 语法格式 1 query UNION [ ALL ] | Intersect | Except query 语法说明 UNION返回多个查询结果的并集。 Intersect返回多个查询结果的交集。 Except返回多个查询结果的差集。
JOIN Equi-join 语法格式 1 2 FROM tableExpression INNER | LEFT | RIGHT | FULL JOIN tableExpression ON value11 = value21 [ AND value12 = value22]
方案概述 安全云脑的日志采集功能支持将安全日志接入安全云脑，同时，也支持将安全云脑日志转出至第三方系统/产品。 表1 日志接入或转出场景说明 场景 操作指导 华为云日志接入安全云脑 具体操作请参见接入云服务日志。 安全云脑日志转出至第三方系统/产品 参考本实践的操作步骤处理即可。
OrderBy & Limit OrderBy 功能描述 主要根据时间属性按照升序进行排序。 注意事项 目前仅支持根据时间属性进行排序。 示例 对订单根据订单时间进行升序排序。 1 2 3 SELECT * FROM Orders ORDER BY orderTime; Limit
保留关键字 目前，由于SecMaster SQL特性功能还在不断更新完善中，其中有一些字符串的组合已被预留为关键字在后续功能特性中使用，因此，如果您需要使用这些字符串作为字段名，请使用反引号将字段名进行包装，例如，`value`, `count`。 具体保留关键字如下： 表1 保留关键字
查询与分析语法-V1 查询与分析语法概述 查询语句 分析语句 父主题： 威胁管理
查询与分析语法-V2 查询与分析语法概述 检索 SQL语法参考 SecMaster SQL语法参考 父主题： 威胁管理
资源规划 账户 具有安全云脑数据采集管理权限，且非管理员的IAM账户。 ECS规格要求 安装采集器（isap-agent + Logstash）的租户云服务器（ECS）规格要求如下表： 表1 ECS规格 CPU内核数 内存大小 系统磁盘存储大小 数据磁盘存储大小 采集器参考处理能力
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
