# 风险控制 #### 操作场景 支持通过应急策略功能进行风险控制。 **安全云脑的应急策略功能可以联动CFW/WAF/VPC安全组对源IP进行封堵和解封**。 当有情报需要进行单个IP或多个IP进行批量阻断时候，可以通过该功能进行全策略封堵。 #### 风险控制 1. [登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 并进入目标工作空间管理页面。 3. 在左侧导航栏选择"风险预防 \> 策略管理"，进入策略管理页面后选择"应急策略"页签，进入应急策略管理页面。 图1进入应急策略管理页面 ![](https://support.huaweicloud.com/bestpractice-secmaster/zh-cn_image_0000002532774977.png "点击放大") 4. 在应急策略管理页面中，单击"新增"，右侧弹出新增应急策略页面。 5. 在新增策略页面中，配置策略信息。 表1新增策略 | 参数名称 | 参数说明 | |:---|:---| | 策略类型 | 根据需要选择策略类型："阻断"或"加白名单"。 - 当选择"阻断"：阻断的策略对象将被禁止访问。 - 当选择"加白名单"：加入白名单的策略对象访问请求将被放行。 | | 对象类型 | 当"策略类型"选择"阻断"时，对象类型可选范围有"IP"、"账号"、"域名"。 当"策略类型"选择"加白名单"时，对象类型可选范围有"IP"、"域名"。 请根据需要选择对象类型。 - 当选择"IP"：策略的操作对象是IP地址或IP地址段。 - 当选择"域名"：策略的操作对象是域名。 - 当选择"账号"：策略的操作对象是云服务账号（IAM用户名）。 | | 策略对象 | 请输入策略对象。 - 当"对象类型"选择"IP"时：策略对象请输入IP地址或IP地址段。请输入单个或多个IP地址或IP地址段，如有多个IP地址或IP地址段，请用英文逗号隔开。 填写示例：IPV4：192.168.0.0或192.168.0.0/12，IPV6：0:0:0:0:0:0:0:0或0:0:0:0:0:0:0:0/128。 - 当"对象类型"选择"域名"时：策略对象请输入域名。请输入单个或多个域名，如有多个域名，请用英文逗号隔开。域名只能由字母、数字、-、_和.组成，单段不能超过63个字符长度。 - 当"策略类型"选择"阻断"且"对象类型"选择"账号"时：策略对象请输入云服务账号（IAM用户名）。请输入单个或多个云服务账号（IAM用户名），如有多个云服务账号（IAM用户名），请用英文逗号隔开。 | | 执行工具 | 勾选执行工具，即选择该策略的操作连接。 - 当"策略类型"选择"阻断"且"对象类型"选择"IP"时:可选择防线类型为CFW、VPC、WAF对应的操作连接。 - 当"策略类型"选择"阻断"且"对象类型"选择"账号"时:可选择防线类型为统一身份认证对应的操作连接。 - 当"策略类型"选择"阻断"且"对象类型"选择"域名"时:可选择防线类型为CFW对应的操作连接。 - 当"策略类型"选择"加白名单"且"对象类型"选择"IP"时:可选择防线类型为WAF对应的操作连接。 - 当"策略类型"选择"加白名单"且"对象类型"选择"域名"时:可选择防线类型为CFW对应的操作连接。 | | 方向 | 仅当对象类型为IP时，可设置防线方向。 - 当"对象类型"选择"IP"且"执行工具"选择CFW、VPC对应的操作连接时，可以设置防线方向：内-外 外-内 - 外-内：互联网访问云上资产（EIP）。 - 内-外：云上资产（EIP）访问互联网。 - 当"对象类型"选择"IP"且"执行工具"选择WAF对应的操作连接时，可以设置防线方向：外-内 | | 账号 | 选择新增策略所生效的账号范围。**仅主工作空间的运营账号支持设置账号范围**。 - "所有账号"：如果选择"所有账号"即该策略适用"运营账号"以及其所管理的所有"业务账号"。 - "指定账号"：如果选择"指定账号"并勾选对应账号，即表示该策略适用"运营账号"所管理的特定或部分"业务账号"。 其中运营账号和业务账号的含义如下： - 运营账号：用来管理其他成员账号的主账号，也称为运营账号。一个运营账号可以管理多个业务账号。 - 业务账号：被运营账号（主账号）管理的成员账号，也称子账号。一个业务账号（子账号）仅能被一个运营账号管理。 - 主工作空间：系统默认安全云脑创建的第一个工作空间为主工作空间，且在"工作空间 \> 空间管理"页面置顶。也支持用户变更主工作空间。在"工作空间 \> 空间管理"页面，单击对应的目标工作空间右侧的![](https://support.huaweicloud.com/bestpractice-secmaster/zh-cn_image_0000002502084016.png "点击放大")设置按钮，在弹出的工作空间详情页面打开"主工作空间"按钮即可完成主工作空间变更设置。 | | 区域 | 选择新增策略所生效的区域范围。 - 当前区域 - 全部区域 - 指定区域项目 | | 企业项目 | 选择新增策略所生效的企业项目范围。 - 全部企业项目 - 指定企业项目 | | 自动过期 | 确认新增的应急策略是否自动过期。 - 如果选择是，请设置策略过期时间。 - 如果选择否，则该策略将一直有效。 | | 标签（可选） | 自定义应急策略的标签。 | | 策略描述（可选） | 自定义该策略的描述信息。 | 6. 单击"确定"。 7. 新增应急策略配置完成后，返回应急策略管理页面，可查看新增的策略信息。