新增/编辑应急策略

操作场景

安全云脑可以创建VPC安全组的黑名单策略。

应急策略作为告警一键阻断的止血手段，可根据告警来源选择相应的类型对攻击者进行阻断。表1中为推荐设置，除此之外，您也可以结合对多条告警的综合调查结果，对单个攻击源采用多种类型进行阻断。

本章节介绍如何新增/编辑应急策略。

约束与限制

• 单用户单工作空间内容最多新增300条支持阻断老化的应急策略，全量最多新增1300条应急策略。同时，单次下发策略阻断对象数量限制如下：
  • 当需要下发策略至VPC时，单用户单次1分钟内最多可新增20个IP作为阻断对象。
• 将IP或IP地址段配置为黑名单后，来自该IP或IP地址段的访问，VPC将不会做任何检测，直接拦截。
• 应急策略新增成功后，不支持修改阻断对象（即新增时设置的IP地址或IP地址段）。

新增应急策略

1. 登录管理控制台。
2. 单击页面左上方的，选择“安全 > 安全云脑 SecMaster”，进入安全云脑管理页面。
3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。
4. 在左侧导航栏选择“风险预防 > 策略管理”，进入策略管理页面后，进入应急策略管理页面。
   图1 进入应急策略管理页面
   

5. 在应急策略管理页面中，单击“新增”，右侧弹出新增应急策略页面。
6. 在新增策略页面中，配置策略信息。

   表2 新增应急策略

   参数名称	参数说明
   阻断对象类型	选择阻断对象的类型，可选择IP。
   阻断对象	当阻断对象类型选择IP时，输入需要阻断的单个（或多个）IP地址或IP地址段，如有多个IP地址或地址段，请使用英文逗号隔开。 单次下发应急策略阻断对象说明如下： 当需要下发策略至VPC时，单用户单次1分钟内最多可新增20个IP作为阻断对象。
   标签	自定义应急策略的标签。
   操作连接	操作七层防线中安全服务的阻断流程所绑定的资产连接。 选择该策略的操作连接。
   阻断老化	确认是否老化该条阻断。 如果选择是，请设置策略老化时间，如设置为180天，即该策略在设置后的180天内有效，180天后将不再继续阻断设置的IP地址或IP地址段。 如果选择否，则该策略将一直有效，阻断设置的IP地址或IP地址段。
   原因描述	自定义该策略的描述信息。

7. 单击“确定”。

编辑应急策略

应急策略新增成功后，不支持修改阻断对象（即新增时设置的IP地址或IP地址段）。

1. 登录管理控制台。
2. 单击页面左上方的，选择“安全 > 安全云脑 SecMaster”，进入安全云脑管理页面。
3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。
4. 在左侧导航栏选择“风险预防 > 策略管理”，进入策略管理页面后，进入应急策略管理页面。
   图2 进入应急策略管理页面
   

5. 在应急策略管理页面中，单击待修改策略所在行“操作”列的“编辑”，右侧弹出编辑应急策略页面。
6. 在编辑策略页面中，修改策略信息。

   表3 编辑应急策略

   参数名称	参数说明
   阻断对象类型	应急策略新增成功后，不支持修改。
   阻断对象	应急策略新增成功后，不支持修改。
   标签	自定义应急策略的标签。
   操作连接	选择该策略的操作连接。
   阻断老化	确认是否老化该条阻断。 如果选择是，请设置策略老化时间，如设置为180天，即该策略在设置后的180天内有效，180天后将不再继续阻断设置的IP地址或IP地址段。 如果选择否，则该策略将一直有效，阻断设置的IP地址或IP地址段。
   原因描述	自定义该策略的描述信息。

7. 单击“确定”。