新增/编辑应急策略

安全云脑可以创建VPC安全组/IAM的黑名单策略。

应急策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断。表1中为推荐设置，除此之外，您也可以结合对多条告警的综合调查结果，对单个攻击源采用多种类型进行阻断。

表1 推荐阻断策略
告警类型	对应防线	推荐阻断策略
HSS告警	主机防线	建议优先采用VPC策略阻断
IAM告警	身份防线	建议优先采用IAM策略阻断
OBS/DBSS告警	数据防线	当前可根据实际攻击场景和调查结果考虑使用VPC策略阻断，隔绝防护资产和攻击源的网络通信等

本章节介绍如何新增/编辑应急策略。

单用户单工作空间内容最多新增300条支持阻断老化的应急策略，全量最多新增1300条应急策略。同时，单次下发策略阻断对象数量限制如下：
- 当需要下发策略至VPC时，单用户单次1分钟内最多可新增20个IP作为阻断对象。
- 当需要下发策略至IAM时，单用户单次最多可新增50个IAM用户作为阻断对象。
将IP或IP地址段或IAM用户配置为黑名单后，来自该IP或IP地址段的访问，VPC/IAM将不会做任何检测，直接拦截。
应急策略新增成功后，不支持修改阻断对象类型和阻断对象（即新增时设置的IP地址或IP地址段或IAM用户名）。

如果阻断对象为IAM用户，在新增应急策略前，需要先执行委托授权操作。具体操作步骤请参见添加委托授权。

在新增策略页面中，配置策略信息。

表2 新增应急策略
参数名称	参数说明
阻断对象类型	选择阻断对象的类型，可选择IP或IAM。
阻断对象	当阻断对象类型选择IP时，输入需要阻断的单个（或多个）IP地址或IP地址段，如有多个IP地址或地址段，请使用英文逗号隔开。当阻断对象类型为IAM时，请填写IAM用户名称。单次下发应急策略阻断对象说明如下：当需要下发策略至VPC时，单用户单次1分钟内最多可新增20个IP作为阻断对象。当需要下发策略至IAM时，单用户单次最多可新增50个IAM用户作为阻断对象。
标签	自定义应急策略的标签。
操作连接	操作七层防线中安全服务的阻断流程所绑定的资产连接。选择该策略的操作连接。
阻断老化	确认是否老化该条阻断。如果选择是，请设置策略老化时间，如设置为180天，即该策略在设置后的180天内有效，180天后将不再继续阻断设置的IP地址或IP地址段。如果选择否，则该策略将一直有效，阻断设置的IP地址或IP地址段。
原因描述	自定义该策略的描述信息。

应急策略新增成功后，不支持修改阻断对象类型和阻断对象（即新增时设置的IP地址或IP地址段或IAM用户名）。

在编辑策略页面中，修改策略信息。

表3 编辑应急策略
参数名称	参数说明
阻断对象类型	应急策略新增成功后，不支持修改。
阻断对象	应急策略新增成功后，不支持修改。
标签	自定义应急策略的标签。
操作连接	选择该策略的操作连接。
阻断老化	确认是否老化该条阻断。如果选择是，请设置策略老化时间，如设置为180天，即该策略在设置后的180天内有效，180天后将不再继续阻断设置的IP地址或IP地址段。如果选择否，则该策略将一直有效，阻断设置的IP地址或IP地址段。
原因描述	自定义该策略的描述信息。

如果阻断对象为IAM用户，在新增应急策略前，需要执行委托授权操作。具体操作步骤如下：

登录管理控制台。
在页面左上角单击，选择“管理与监管 > 统一身份认证服务 IAM”，进入统一身份认证服务管理控制台。
添加自定义策略。
1. 在左侧导航栏选择“权限管理 > 权限”，并在权限页面右上角单击“创建自定义策略”。
2. 配置策略。
  - 策略名称：自定义。
  - 策略配置方式：选择“JSON视图”。
  - 策略内容：请直接复制粘贴以下内容。
```
{
    "Version": "1.1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:users:updateUser"
            ]
        }
    ]
}
```
  1. 单击“确定”。
委托授权。
1. 在左侧导航栏选择“委托”，进入委托页面后，单击“SecMaster_Agency”，默认进入SecMaster_Agency的基本信息页面。
2. 选择“授权记录”页签，并单击“授权”。
3. 在选择策略页面，搜索并选中3添加的策略后，单击“下一步”。
4. 设置授权范围，请选择“所有资源”，设置完成后，单击“确定”。