# 新增或编辑告警 #### 操作场景 本章节主要介绍如何新增告警，以及如何对已有的告警进行编辑。 - [新增告警]：安全云脑支持管理云上资产和云外资产，资产管理更多信息请参见[资产管理概述](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0220.html#secmaster_01_0220)。其中，云上资产的告警可以通过[接入日志数据](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01335.html)自动同步到安全云脑，云外资产的告警数据需要用户在安全云脑通过[新增告警]或[导入告警](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0262.html#secmaster_01_0262__zh-cn_topic_0000001517191724_section1527892916574)将告警数据接入安全云脑。 - [编辑告警]：当告警的状态和基础信息发生变化需要修改时，可通过编辑告警修改告警参数。 #### 约束与限制 - 每日新增告警数据不超过100条，因新增或导入告警字段填写不正确导致失败依然会计入新增配额。新增告警和导入告警共用单日新增配额。 #### 新增告警 1. [登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。 3. 在左侧导航栏选择"工作空间 \> 空间管理"，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 图1进入目标工作空间管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002572515210.png "点击放大") 4. 在左侧导航栏选择"威胁管理 \> 告警管理"，进入告警管理页面。 图2告警管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002627047864.png "点击放大") 5. 在告警管理页面单击"新增"，并在右侧弹出的新增告警管理页面中配置参数，参数配置说明如下表所示。 表1告警参数说明 | 参数名称 || 参数说明 | |:---|---|:---| | 基础信息 | 告警名称 | 自定义告警名称，命名规则如下： - 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（-_ ()）。 - 长度不能超过2550个字符。 | | 基础信息 | 告警类型 | 选择告警类型。 | | 基础信息 | 告警等级 | 选择告警严重等级，可选择以下等级：提示、低危、中危、高危、致命。告警等级的说明请参见[告警的风险等级分类](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0419.html#secmaster_01_0419__zh-cn_topic_0000002121831753_section12636124619184)。 | | 基础信息 | 状态 | 选择告警状态，告警状态用于标识告警跟踪的状态。可选择以下状态：打开、阻塞、关闭。 - 打开：未处理且需要继续跟踪关注的告警，建议配置为"打开"状态。 - 阻塞：跟踪的告警因某些原因暂时无法处置需要挂起的，建议配置为"阻塞"状态。 - 关闭：已经处置完毕且不需要继续跟踪的告警，建议配置为"关闭"状态。 | | 基础信息 | （可选）责任人 | 选择告警跟踪或处置的主要责任人。 | | 基础信息 | 数据源产品名称 | 选择数据源产品的名称。 | | 基础信息 | 数据源类型 | 选择数据源所属类型，可选择以下类型：云服务、第三方产品、租户私有产品。 - 云服务：接入安全云脑的云服务日志的告警，支持接入的云服务日志请参见[支持接入的云服务日志](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01334.html)。 - 第三方产品：第三方的产品产生的告警数据。 - 租户私有产品：租户自己的私有产品产生的告警数据。 | | 时间线 | 首次发生时间 | 该条告警首次发生时间。 | | 时间线 | （可选）最近发生时间 | 该条告警最近一次发生的具体时间。 | | 时间线 | （可选）计划关闭时间 | 选择告警计划关闭时间。 | | 其他 | （可选）验证状态 | 选择告警的确认状态，标识告警攻击的状态，确认是否造成实际的负面影响。可选择以下状态：未知、攻击成功、攻击失败。 - 未知：无法确认告警是否带来实质的攻击。 - 攻击成功：确认该告警已经攻击成功。 - 攻击失败：确认该告警已经攻击失败。 - 可疑：该告警存在可疑的攻击行为，如攻击尝试。 - 白名单：确认无攻击行为的主机告警。 - 非攻击信息：非恶意攻击，如系统脆弱性告警，风险账号、弱口令等。 | | 其他 | （可选）阶段 | 选择您的告警阶段。 - 准备：准备资源处理告警。 - 检测与分析：检测与分析告警发生原因。 - 控制、清除、恢复：进行告警问题处理。 - 告警后活动：告警处理完成后的后续活动。 | | 其他 | （可选）调试数据 | 选择是否开启模拟调试功能。 | | 其他 | （可选）标签 | 填写告警的标签。 | | 其他 | 描述 | 填写告警描述信息，填写规则如下： - 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（-_ ()）。 - 长度不能超过10240个字符。 | 6. 单击"确认"。新增告警配置完成后，在左侧导航栏选择"威胁管理 \> 告警管理"，进入告警管理页面查看告警信息。 #### 编辑告警 1. [登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。 3. 在左侧导航栏选择"工作空间 \> 空间管理"，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 图3进入目标工作空间管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002572515210.png "点击放大") 4. 在左侧导航栏选择"威胁管理 \> 告警管理"，进入告警管理页面。 图4告警管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002627047864.png "点击放大") 5. 在告警管理列表中，单击目标告警所在行"操作"列的"编辑"，右侧弹出编辑告警页面。 6. 在弹出的编辑告警页面中，编辑告警参数，参数说明如下表所示。 表2告警参数说明 | 参数名称 || 参数说明 | |:---|---|:---| | 基础信息 | 告警名称 | 自定义告警名称，命名规则如下： - 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（-_ ()）。 - 长度不能超过2550个字符。 | | 基础信息 | 告警类型 | 选择告警类型。 | | 基础信息 | 告警等级 | 选择告警严重等级，可选择以下等级：提示、低危、中危、高危、致命。 告警等级的说明请参见[告警的风险等级分类](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0419.html#secmaster_01_0419__zh-cn_topic_0000002121831753_section12636124619184)。 | | 基础信息 | 状态 | 选择告警状态，告警状态用于标识告警跟踪的状态。可选择以下状态：打开、阻塞、关闭。 - 打开：未处理且需要继续跟踪关注的告警，建议配置为"打开"状态。 - 阻塞：跟踪的告警因某些原因暂时无法处置需要挂起的，建议配置为"阻塞"状态。 - 关闭：已经处置完毕且不需要继续跟踪的告警，建议配置为"关闭"状态。 | | 基础信息 | （可选）责任人 | 选择告警跟踪或处置的主要责任人。 | | 基础信息 | 数据源产品名称 | 选择数据源产品的名称，**不支持修改**。 | | 基础信息 | 数据源类型 | 选择数据源所属类型，**不支持修改**。 | | 时间线 | 首次发生时间 | 该条告警首次发生时间。 | | 时间线 | 最近发生时间 | 该条告警最近一次发生的具体时间。 | | 时间线 | 计划关闭时间 | 选择告警计划关闭时间。 | | 处置建议 | 推荐处理方法 | 告警的推荐处置方法描述。 | | 其他 | 标签 | 填写告警的标签。 | | 其他 | 调试数据 | 选择是否开启模拟调试功能，**不支持修改**。 | | 其他 | （可选）验证状态 | 选择告警的确认状态，标识告警攻击的状态，确认是否造成实际的负面影响。可选择以下状态：未知、攻击成功、攻击失败。 - 未知：无法确认告警是否带来实质的攻击。 - 攻击成功：确认该告警已经攻击成功。 - 攻击失败：确认该告警已经攻击失败。 - 可疑：该告警存在可疑的攻击行为，如攻击尝试。 - 白名单：确认无攻击行为的主机告警。 - 非攻击信息：非恶意攻击，如系统脆弱性告警，风险账号、弱口令等。 | | 其他 | 阶段 | 选择您的告警阶段。 - 准备：准备资源处理告警。 - 检测与分析：检测与分析告警发生原因。 - 控制、清除、恢复：进行告警问题处理。 - 告警后活动：告警处理完成后的后续活动。 | | 其他 | 描述 | 填写告警描述信息，填写规则如下： - 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（-_ ()）。 - 长度不能超过10240个字符。 | 7. 单击"确认"。配置完成后，在左侧导航栏选择"威胁管理 \> 告警管理"，进入告警管理页面查看告警信息。