安全云脑 SecMaster
安全云脑 SecMaster
- 最新动态
- 功能总览
- 技术画册
- 产品介绍
- 计费说明
- 快速入门
- 用户指南
- 最佳实践
- API参考
- SDK参考
- 常见问题
- 视频帮助
- 文档下载
- 通用参考
本文导读
链接复制成功!
高危告警自动化安全封堵
剧本说明
安全云脑提供的高危告警自动化安全封堵剧本,可以将微步研判为中高风险的高危告警里的源IP自动封堵在高危告警所在的源服务中如WAF、CFW、VPC安全组。
“高危告警自动化安全封堵”剧本已匹配“高危告警自动化安全封堵”流程,配置该剧本,需要对流程及流程中的插件进行适配。
图1 高危告警自动化安全封堵

前提条件
- 已在安全云脑工作空间的“设置 > 数据集成”页面中接入WAF访问日志或WAF攻击日志,详细操作请参见数据集成。
图2 接入WAF日志数据
- 有可用的微步在线查看情报的次数,需要客户确认资源可用。
步骤一:配置资产连接
使用“高危告警自动化安全封堵”流程前,需要将流程中使用到的微步插件的APIkey(“微步认证凭据”资产连接)进行配置。
- 登录管理控制台。
- 在页面左上角单击
,选择“安全与合规 > 安全云脑 SecMaster”,进入安全云脑管理页面。
- 在左侧导航栏选择“工作空间 > 空间管理”,并在工作空间列表中,单击目标工作空间名称,进入目标工作空间管理页面。
图3 进入目标工作空间管理页面
- 在左侧导航栏选择“安全编排 > 剧本编排”,进入剧本管理页面后,选择“资产连接”页签,进入资产连接管理页面。
图4 资产连接管理页面
- 在资产连接管理页面中,单击“微步认证凭据”所在行的“操作”列的“编辑”。
- 在右侧弹出的编辑资产连接页面中,配置凭证信息。
- freeApiKey,payApiKey:选择一填写即可,购买微步次数后可获得。
- redisHost:客户redis资源ip地址,如果没有,可不填。
- redisPort:客户redis资源端口号,如果没有,可不填。
- redisPassword:客户redis资源密码,如果没有,可不填。
- 配置完成后,单击“确认”。
步骤二:配置并启用剧本
在安全云脑中,默认“高危告警自动化安全封堵”流程的初始版本(V1)也已启用,无需手动启用。默认“高危告警自动化安全封堵”剧本的初始版本(V1)也已激活,只需要启用就可以进行使用。
- 在剧本管理页面中,单击“高危告警自动化安全封堵”剧本所在行的“操作”列的“启用”。
- 在弹出的确认框中,选择初始剧本版本v1后,单击“确定”。
实现效果
此处以封堵在WAF中为例进行展示。
封堵成功会在WAF黑名单里看到此IP已被封堵。查看方法如下:
- 登录WAF控制台,进入“防护策略”页面后,单击目标防护策略名称。
- 在防护策略详情页面,单击“防护配置”栏中的“黑白名单设置”,可以看到IP已被成功封堵在WAF黑名单中的地址组里。
图5 黑白名单
父主题: 剧本说明