拦截日志分析告警

操作场景

一键阻断：通过一键阻断配置阻断策略，拦截恶意IP或非法 IAM 用户的访问。

一键解封：解除对一键阻断策略中配置的IP或IAM用户的访问拦截，仅针对下发过“一键阻断”操作且执行成功的告警才可以执行“一键解封”操作。

应急策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断，拦截该恶意IP的访问。表1中为推荐设置，除此之外，您也可以结合对多条告警的综合调查结果，对单个攻击源采用多种类型进行阻断。

本章节介绍如何执行一键阻断和一键解封操作。

约束与限制

• 单用户单工作空间内容最多新增300条支持阻断老化的应急策略，全量最多新增2500条应急策略。同时，单次下发策略阻断对象数量限制如下：
  • 当需要下发策略至CFW时，单用户单次最多可新增500个IP或域名作为阻断对象。
  • 当需要下发策略至WAF时，单用户单次最多可新增500个IP作为阻断对象。
  • 当需要下发策略至VPC时，单用户单次1分钟内最多可新增500个IP作为阻断对象。
  • 当需要下发策略至IAM时，单用户单次最多可新增500个IAM用户作为阻断对象。
• 将IP或IP地址段或IAM用户配置为黑名单后，来自该IP或IP地址段或用户的访问，CFW/WAF/VPC/IAM将不会做任何检测，直接拦截。
• 为确保系统稳定性，同时执行的应急策略任务数量必须小于等于5个，若检测到已有5个任务正在执行，系统将禁止继续新增、重试或编辑应急策略操作。
• 应急策略新增成功后，不支持修改阻断对象类型和阻断对象（即新增时设置的IP地址或IP地址段或IAM用户名）。
• 应急策略新增成功后，不支持修改策略对象、策略类型、对象类型、和已经勾选的操作连接。

一键阻断

1. （可选）添加委托授权。

   如果待处置告警为HSS告警，在一键阻断处置前，需要执行委托授权操作。如果需要处置多个HSS告警，添加委托授权仅需执行一次。

   1. 登录安全云脑 SecMaster控制台。
   2. 在页面左上角单击，选择“管理与监管 > 统一身份认证 服务 IAM”，进入统一身份认证服务管理控制台。
   3. 添加自定义策略。
      1. 在左侧导航栏选择“权限管理 > 权限”，并在权限页面右上角单击“创建自定义策略”。
      2. 配置策略。
         • 策略名称：自定义。
         • 策略配置方式：选择“JSON视图”。
         • 策略内容：请直接复制粘贴以下内容。

           1 2 3 4 5 6 7 8 91011

           { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "vpc:ports:update" ] } ]}

      3. 单击“确定”。
   4. 委托授权。
      1. 在左侧导航栏选择“委托”，进入委托页面后，单击“SecMaster_Agency”，默认进入SecMaster_Agency的基本信息页面。
      2. 选择“授权记录”页签，并单击“授权”。
      3. 在选择策略页面，搜索并选中1.c添加的策略后，单击“下一步”。
      4. 设置授权范围，请选择“所有资源”，设置完成后，单击“确定”。

2. 登录安全云脑 SecMaster控制台。
3. 单击管理控制台左上角的，选择区域和项目。
4. 在页面左上角单击，选择“ 安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。
5. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。
   图1 进入目标工作空间管理页面
   

6. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。
   图2 告警管理页面
   

7. 在告警管理列表中，单击目标告警所在行“操作”列的“更多 > 一键阻断”，右侧弹出一键阻断配置页面。

   同时，还可以在某条告警详情页面，单击页面上方的“一键阻断”。

8. 在一键阻断配置页面中，配置阻断策略信息。

   表2 一键阻断新增策略

   参数名称	参数说明
   策略类型	根据需要选择策略类型：“阻断”或“加白名单”。 当选择“阻断”：阻断的策略对象将被禁止访问。 当选择“加白名单”：加入白名单的策略对象访问请求将被放行。
   对象类型	当“策略类型”选择“阻断”时，对象类型可选范围有“IP”、“账号”、“域名”。 当“策略类型”选择“加白名单”时，对象类型可选范围有“IP”、“域名”。 请根据需要选择对象类型。 当选择“IP”：策略的操作对象是IP地址或IP地址段。 当选择“域名”：策略的操作对象是域名。 当选择“账号”：策略的操作对象是云服务账号（IAM用户名）。
   策略对象	请输入策略对象。 当“对象类型”选择“IP”时：策略对象请输入IP地址或IP地址段。请输入单个或多个IP地址或IP地址段，如有多个IP地址或IP地址段，请用英文逗号隔开。 填写示例：IPV4：192.168.0.0或192.168.0.0/12，IPV6：0:0:0:0:0:0:0:0或0:0:0:0:0:0:0:0/128。 当“对象类型”选择“域名”时：策略对象请输入域名。请输入单个或多个域名，如有多个域名，请用英文逗号隔开。域名只能由字母、数字、-、_和.组成，单段不能超过63个字符长度。 当“策略类型”选择“阻断”且“对象类型”选择“账号”时：策略对象请输入云服务账号（IAM用户名）。请输入单个或多个云服务账号（IAM用户名），如有多个云服务账号（IAM用户名），请用英文逗号隔开。
   策略生效范围	请根据需求选择“当前区域和企业项目”或“所有区域和企业项目”。
   操作连接	应急策略的流程所绑定的操作连接。请根据需要选择该策略的操作连接。 当“策略类型”选择“阻断”且“对象类型”选择“IP”时：可选择防线类型为CFW、VPC、WAF对应的操作连接。 当“策略类型”选择“阻断”且“对象类型”选择“账号”时：可选择防线类型为IAM对应的操作连接。 当“策略类型”选择“阻断”且“对象类型”选择“域名”时：可选择防线类型为CFW对应的操作连接。 当“策略类型”选择“加白名单”且“对象类型”选择“IP”时：可选择防线类型为WAF对应的操作连接。 当“策略类型”选择“加白名单”且“对象类型”选择“域名”时：可选择防线类型为CFW对应的操作连接。
   自动过期	确认新增的应急策略是否自动过期。 如果选择是，请设置策略过期时间。 如果选择否，则该策略将一直有效。
   标签（可选）	自定义应急策略的标签。
   策略描述（可选）	自定义该策略的描述信息。

9. 配置完成后，单击“确定”。
10. 新增策略配置完成后，在左侧导航栏选择“风险预防 > 策略管理”，选择“应急策略”页签，进入应急策略管理页面。在应急策略管理页面选择“任务视图”页签，可在任务列表中查看任务执行进度。
11. 任务执行成功后，在应急策略管理页面选择“策略视图”页签，在策略列表中可查看已新增的策略。

一键解封

仅针对下发过“一键阻断”操作且执行成功的告警才可以执行“一键解封”操作。

1. 登录安全云脑 SecMaster控制台。
2. 单击管理控制台左上角的，选择区域和项目。
3. 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。
4. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。
   图3 进入目标工作空间管理页面
   

5. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。
   图4 告警管理页面
   

6. 在告警管理列表中，单击目标告警所在行“操作”列的“更多 > 一键解封”。

   同时，还可以在某条告警详情页面，单击页面右上角的“一键解封”。

7. 在弹出的一键解封确认框中，输入解封原因，并单击“确定”。
8. 仅针对下发过“一键阻断”操作且执行成功的告警才可以执行“一键解封”操作。执行完成后，在左侧导航栏选择“风险预防 > 策略管理”，选择“应急策略”页签，选择“策略视图”页签，一键解封的策略将不在策略列表中呈现，一键解封等效删除应急策略。