自动更新告警名称

剧本说明

安全云脑提供的自动更改告警名称剧本，支持用户按照不同维度自定义告警名称。

“自动更改告警名称”剧本已匹配“自动更改告警名称”流程，配置该剧本，需要对流程及流程中的插件进行适配。

“自动更改告警名称”流程共四个插件节点：获取告警类型id、获取告警详情、SecMasterBiz、告警名称更新。本流程只需配置SecMasterBiz插件节点，该节点用来定制告警名称的。

图1 自动更改告警名称流程

约束与限制

目前，仅支持对webshell攻击类型告警名称进行自定义修改。

实现效果

告警名称个性化处理前：

图2 处理前

对原有webshell告警名称进行个性化处理后，效果如下所示：

图3 处理后

配置并启用剧本

本部分将介绍配置“SecMasterBiz”插件节点、启用“自动更改告警名称”流程、启用“自动更改告警名称”剧本。

登录管理控制台。
在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。
在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。

图4 进入目标工作空间管理页面
配置并启用流程。
1. 复制流程版本。
  1. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“流程”页签，进入流程管理页面。
    图5 流程管理页面
  2. 在“自动更改告警名称”流程所在行的“操作”列，单击“版本管理”，弹出流程版本管理页面。
    图6 进入流程版本管理页面
  3. 在“自动更改告警名称”的流程版本管理页面中，单击“版本信息”栏中初始版本（v1）所在行的“操作”列的“复制”，弹出确认框。
  4. 在弹出的确认框中，单击“确认”。
2. 编辑并提交流程版本。
  1. 在“自动更改告警名称”的流程版本管理页面中，单击“版本信息”栏中已复制版本所在行的“操作”列的“编辑”，进入流程图绘制界面。
  2. 在绘制页面中，单击SecMasterBiz插件，并在左侧展示的该插件信息中配置插件。
    SecMasterBiz插件参数说明请参见SecMasterBiz插件说明。
    
    图7 SecMasterBiz插件
  3. 配置完成后，单击右上角“保存并提交”，并在弹出的流程自动校验框中，单击“确定”，页面返回流程管理页面。
3. 审核流程版本。
  1. 在流程管理页面中，单击“自动更改告警名称”流程所在行的“操作”的“版本管理”。
  2. 在流程版本管理页面中，单击已编辑的流程版本所在行的“操作”列的“审核”。
  3. 在审核确认框中，选择“审核意见”为“通过”，并单击“确定”。
4. 激活流程版本。
  1. 在“自动更改告警名称”的流程版本管理页面中，单击已审核的流程版本所在行的“操作”列的“激活”。
  2. 在弹出确认框中，单击“确认”。
    流程版本激活后，默认流程处于启用状态。
配置并启用剧本。
1. 在左侧导航栏选择“安全编排 > 剧本编排”，默认进入剧本管理页面。
  图8 进入剧本管理页面
2. 在剧本管理页面中，单击“自动更改告警名称”剧本所在行的“操作”列的“启用”。
3. 在弹出的确认框中，选择初始剧本版本v1后，单击“确定”。

SecMasterBiz插件说明

SecMasterBiz插件是自动更改告警名称流程中的一个插件，用于分析处理webshell类型告警的名称数据，可以按照用户自定义维度拼接告警名称，返回更新后的告警名称。

SecMasterBiz插件包含多个Action，其中，“changeWebshellAlertName” Action提供了几个入参供用户自定义选取，每个入参代表一个分析维度。

用户根据需要选择不同的维度参数对进行告警名称进行拼接，没有选中的参数，默认不返回该维度数据。填入y表示yes，即选择该参数；填入n表示no，或者保持为空，都表示不选择该参数。

表1 参数配置说明
参数名称	参数含义	取值范围
severity	告警严重程度	y/n
createTime	告警创建时间	y/n
srcIp	告警攻击源IP	y/n
sourceCountryCity	告警攻击源国家和城市	y/n
destinationIp	告警攻击目标IP	y/n
destinationCountryCity	告警攻击目标国家和城市	y/n

验证剧本

“自动更改告警名称”剧本启用成功后，可以对剧本运行情况进行验证。

本部分将介绍如何对已配置剧本进行验证。

在左侧导航栏选择“威胁运营 > 告警管理”，进入告警管理页面。

图9 告警管理页面
在告警管理页面单击“新增”，并在右侧弹出的新增告警管理页面中配置参数。
- 告警名称：自定义告警名称。
- 告警类型：请选择“Web攻击/Webshell”。
- 调试模式：请勾选“是”。
- 描述：自定义告警描述信息。
- 其他参数保持缺省值即可。
告警参数配置完成后，单击“确认”。
刷新页面，查看告警名称是否更新。
在剧本已经启用情况下，剧本会自动对新增告警进行处理，处理后会显示更新后的告警名称。

图10 默认不选择任何参数输出结果

图11 只选择severity参数输出结果