# 身份防线告警关联历史处置信息
#### 剧本说明
当安全云脑在15天内新增了IAM告警，且存在已被关闭的相似IAM告警，则"身份防线告警关联历史处置信息"剧本会将已关闭IAM防线告警的**关闭评论** 添加到新增的**相似IAM告警** 评论区中。告警和攻击的区别请参见[告警概述](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0419.html#secmaster_01_0419)，**仅告警可触发剧本，攻击不能触发剧本**。
IAM**相似告警**的判断条件如下，两条告警满足以下一个或多个条件，则判定为相似告警：
- 攻击源IP相同。
- IAM告警的用户名称相同。
- 告警类型相同。
**该剧本需用户手动启用。** **触发条件是安全云脑新增了与已关闭IAM告警相似的告警。**
#### 约束与限制
- 已购买安全云脑专业版且在有效使用期内。
- 告警的数据源是IAM。
 
#### 启用剧本
在安全云脑中，默认"身份防线告警关联历史处置信息"流程的初始版本（V1）也已启用，无需手动启用。默认"身份防线告警关联历史处置信息"剧本的初始版本（V1）也已激活，只需要启用就可以进行使用。
1. [登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。
2. 在左侧导航栏选择"工作空间 \> 空间管理"，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。
   图1进入目标工作空间管理页面   
   ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002572515210.png "点击放大")
   
   
3. 在左侧导航栏选择"安全编排 \> 剧本编排"，默认进入剧本管理页面。
4. 在**剧本管理**页面中，单击"身份防线告警关联历史处置信息"剧本所在行的"操作"列的"启用"。
5. 在弹出的确认框中，选择初始剧本版本v1后，单击"确定"。
 
#### 实现效果
**剧本生效后，安全云脑新增的IAM告警会自动添加已关闭的相似告警的关闭评论。**
1. [登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。
2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。
3. 在左侧导航栏选择"工作空间 \> 空间管理"，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 
   图2进入目标工作空间管理页面   
   ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002572515210.png "点击放大")
   
   
   
4. 在左侧导航栏选择"威胁管理 \> 告警管理"，进入告警管理页面。 
   图3告警管理页面   
   ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002627047864.png "点击放大")
   
   
   
5. 在告警管理页面，通过数据来源过滤IAM告警，并单击新增的IAM告警名称，进入告警详情页面。
6. 若存在已关闭相似告警，则在新增的IAM告警详情页的评论区会自动添加已关闭相似告警的关闭评论。 
   IAM**相似告警**的判断条件如下，两条告警满足以下一个或多个条件，则判定为相似告警：
   - 攻击源IP相同。
   
   - IAM告警的用户名称相同。
   
   - 告警类型相同。
   
   
   "身份防线告警关联历史处置信息"剧本生效后，在新增的IAM告警详情页的评论区会自动添加已关闭相似告警的关闭评论。
   图4IAM告警添加历史相似告警评论   
   ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002479204617.png "点击放大")