检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
string <>[](), 否 字段修剪 表3 mutate解析 解析规则 对应的logstash配置项 类型 默认值 是否必填 描述 类型转化 convert hash -- 否 类型转化 数组联合 join hash -- 否 数组联合 转为小写 lowercase array --
新增应急策略 参数名称 参数说明 阻断对象类型 选择阻断对象的类型，可选择IP或IAM。 阻断对象 当阻断对象类型选择IP时，输入需要阻断的单个（或多个）IP地址或IP地址段，如有多个IP地址或地址段，请使用英文逗号隔开。 当阻断对象类型为IAM时，请填写IAM用户名称。 单次下发应急策略阻断对象说明如下：
操作场景 应急策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断。表1中为推荐设置，除此之外，您也可以结合对多条告警的综合调查结果，对单个攻击源采用多种类型进行阻断。 表1 推荐阻断策略 告警类型 对应防线 推荐阻断策略 HSS告警 主机防线 建议优先采用VPC策略阻断
响应Body参数 参数 参数类型 描述 count Integer 总条数 audit_logs Array of AuditLogInfo objects 审计日志列表信息 表7 AuditLogInfo 参数 参数类型 描述 instance_type String 实例类型（AOP_WORKFLOW--流程
路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID workspace_id 是 String 工作空间ID version_id 是 String 剧本版本ID 请求参数 表2 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token
请求Body参数 参数 是否必选 参数类型 描述 rule 否 ConditionInfo object 剧本触发规则详情 表4 ConditionInfo 参数 是否必选 参数类型 描述 expression_type 否 String 表达式类型。默认为common,事件触发剧本必填
请求Body参数 参数 是否必选 参数类型 描述 rule 是 ConditionInfo object 剧本触发规则详情 表4 ConditionInfo 参数 是否必选 参数类型 描述 expression_type 否 String 表达式类型。默认为common,事件触发剧本必填
参数 是否必选 参数类型 描述 X-Auth-Token 是 String 用户Token，通过调用IAM服务获取用户Token接口获取。 IAM user token, fetch from IAM api. 表3 请求Body参数 参数 是否必选 参数类型 描述 rule_name
阻断区域TOP5 统计近一周策略下发执行成功的记录中，TOP5阻断区域的数量。 应急策略列表 在应急策略列表中，可以查看策略的阻断对象、阻断类型、策略下发数量等信息。 在列表中，可以对目标策略进行编辑、阻断、取消阻断、删除操作。 如需查看某个应急策略的详细信息，可以选中需查看的策略
置信度，取值范围是80-100 表10 indicator_type 参数 参数类型 描述 indicator_type String 情报类型 id String 情报类型ID 表11 environment 参数 参数类型 描述 vendor_type String 环境供应商 domain_id
表7 indicator_type 参数 是否必选 参数类型 描述 indicator_type 是 String 威胁情报类型 id 是 String 情报类型ID 表8 DataClassRefPojo 参数 是否必选 参数类型 描述 id 是 String 数据类ID name
插件两种类型，其中，自定义的插件可以在集市中显示，也可以在剧本中使用。 插件集：是具有相同业务场景的插件集合。 函数：是可以在剧本中选用的执行函数，在剧本中执行特定的行为。 连接器：是用于连接数据源，将告警、事件等安全数据接入安全云脑，包括事件触发和定时触发两种连接器类型。 公共
创建，详细操作请参见创建OBS桶。 表3 配置数据目的-OBS 参数名称 参数说明 账号类型 选择数据投递目的地的账号类型。投递到OBS服务仅支持选择“本账号”类型。 投递类型 选择投递类型，此处选择OBS。 桶名称 选择目的OBS桶名称。 写入身份 默认生成，无需配置。 在“访问授权”中，查看7中授予的权限。
Service，HSS）漏洞扫描数据，集中呈现云上资产漏洞风险，帮助用户及时发现资产安全短板，修复危险漏洞。 HSS的漏洞扫描原理以及支持扫描的漏洞类型请参见HSS漏洞管理概述。 主机漏洞 安全云脑支持接入HSS的漏洞扫描结果数据，实时呈现主机漏洞扫描检测信息，支持查看漏洞详情，并提供相应漏洞修复建议。
管理分类&映射 分类和映射是对云服务告警进行类型匹配和字段映射。 本章节介绍如何查看已有分类映射、创建分类映射、复制已有的分类映射、编辑分类映射、启用、禁用或删除分类映射。 约束与限制 单账号单workspace内，分类&映射模板 ≤ 50个。 单账号单workspace内，分类和映射的映射关系规格为1:100。
String SQL执行类型。 sql_result String SQL执行结果。 db_type String 数据库类型。 sec-dsc-alarm DSC告警日志的保留字段根据日志类型有所不同，具体如下： 表17 AK SK泄露（aksk_leakage） 字段 类型 字段含义 log_type
“自动更改告警名称”流程共四个插件节点：获取告警类型id、获取告警详情、SecMasterBiz、告警名称更新。本流程只需配置SecMasterBiz插件节点，该节点用来定制告警名称的。 图1 自动更改告警名称流程 约束与限制 目前，仅支持对webshell攻击类型告警名称进行自定义修改。 配置并启用剧本
在左侧导航栏选择“安全态势 > 任务中心”，默认进入我的待办页面。 图2 我的待办 在目标待办任务所在行“操作”列，单击“审批”。 不同业务类型，审批方式不同： 剧本发布：右侧弹出“剧本发布”界面，填写“审核意见”，并根据页面提示进行审批。 流程发布：右侧弹出“流程发布”界面，填写“审核意见”，并根据页面提示进行审批。
本账号投递：将当前管道数据投递到本账号的其他管道中，参数配置说明如表3所示。 表3 配置数据目的-本账号PIPE 参数名称 参数说明 账号类型 选择数据投递目的地的账号类型，此处选择“本账号”。 投递类型 选择投递类型，此处选择PIPE。 工作空间 选择目的PIPE所在工作空间。 数据空间 选择目的PIPE所在数据空间。
当工作空间较多时，可以通过搜索功能快速查询指定工作空间。 图2 工作空间详情 表1 工作空间参数说明 参数名称 参数说明 名称 工作空间的名称。 类型 工作空间的类型。分为“自有”、“托管视图”、“已托管”类型。 ID 工作空间的ID。 区域 工作空间所属区域。 项目 工作空间所属的项目。 更多 将鼠标悬停在“更多”上，可查看工作空间详细信息。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
