安全威胁发现与运营管理平台简介

· 设备运行监控（安全威胁发现与运维管理平台标准版）

· 设备运行监控（安全威胁发现与运维管理平台增强版）

综合态势

在综合态势页面可以总览全网安全状态，方便管理员直观掌握全网安全度，对网络中存在的安全事件及风险进行全面分析。

查看 外部设备接入及专家远程会诊服务概况

在综合态势页面顶部可以查看威胁检测探针、终端安全管理系统以及漏洞扫描设备的接入情况，以及专家远程会诊的剩余服务次数。单击<>按钮，可进入相应的详情页面。

查看整体运行状态

该功能用于查看系统整体运行状况以及核心服务与节点的运行状态。

单击<>按钮，可进入设备运行监控页面，查看具体的运行信息。有关设备运行监控的详细介绍，请参见“设备运行监控（安全威胁发现与运维管理平台标准版）”或“设备运行监控（安全威胁发现与运维管理平台增强版）”。

查看安全度评分

安全度评分由系统围绕整网资产/终端的安全状态进行综合分析并根据评分计算规则自动生成，可辅助用户评估全网安全状态。

不同评分对应的网络安全状态

· 91~100分：安全

· 81~90分：低危

· 61~80分：中危

· 60分以下：高危

评分规则

网络安全度总分为100分，扣分规则如下：

· 当系统检测到网络中存在1台失陷主机扣10分，失陷主机扣分上限为90分

· 当系统检测到网络中存在1台高危主机扣3分，高危主机扣分上限为39分

· 当系统检测到网络中存在1台低危主机扣1分，低危主机扣分上限为9分

其中，系统支持设置安全度最低分，当系统计算的安全度得分低于设置的安全度最低分时，则不再继续扣分，页面评分的显示结果为配置的安全度最低分。安全度最低分可到“系统设置 > 系统配置 > 个性化定制”页面进行配置。

提高评分方法

如果要提高安全度评分，则需要用户及时处理风险资产/风险终端列表中的相关资产/终端对应的安全事件。

具体操作步骤如下：

1. 单击“风险资产”或“风险终端”显示项下的取值，可进入“风险资产”或“风险终端”页面，用户可查看到相关的资产名称、终端名称、风险IP、终端IP等信息。

图-1 风险资产

2. 单击“待处理安全事件”显示项下的统计值，可进入事件台账页面。用户可根据风险IP或终端IP匹配源IP或目的IP，处理相应的安全事件。

图-2 事件台账

首页展示设置

用户可根据实际需求，对综合态势页面的显示内容进行定制。同时支持调整各显示内容的展示顺序以及新增自定义关注对象。

1. 单击综合概览页面右上角<>按钮，可进入首页显示设置页面。

2. 用户可以选择展示系统预置的关注对象，也可新增自定义的关注对象。

3. 单击<>按钮，可调整各显示模块的顺序。

新增自定义关注对象

新增自定义关注对象的操作步骤如下：

4. 单击<新增关注对象>按钮，可配置关注对象的页面标签名称，并选择关键对象的类型，支持的类型包括资产/终端和事件名称。可以修改关注对象标题并添加关注的资产/终端或事件名称。

5. 单击<确认>按钮，保存新增自定义关注对象配置。

6. 单击<保存>按钮，保存首页显示设置的修改。

7. 在首页底部找到已新增的关注对象。

8. 单击右上角的<>配置按钮，或者单击<配置模块显示内容>，可进入自定义关注对象配置页面。

9. 如果关注对象为资产/终端，则可通过单击<新增>按钮，手动输入资产名称或终端名称，添加关注的具体的资产或终端。也可通过单击<选择资产>按钮，选择添加关注的具体资产或终端；如果关注对象为事件名称，则可通过单击<新增>按钮，手动输入事件名称，添加相应的事件。

10. 单击<保存>按钮，完成配置。

威胁探测

威胁探测用于对风险资产、风险用户及IP情报、域名情报、MD5情报进行追踪定位，以便管理员快速了解并处理网络中存在的安全威胁。

用户可通过输入资产IP或资产名称，点击查询可进入该风险资产或资产画像页面；输入用户名称点击查询可进入该用户画像页面；输入情报IP、域名、URL或MD5值点击查询可进入IP情报、域名情报或MD5情报页面。

查看 资产安全信息

资产安全信息用于展示全网风险资产总数，并统计今日新增的风险资产数量，同时展示风险资产Top 5，管理员可查看这5个资产的资产名称、资产IP、所属区域、事件标签及安全状态。单击列表下指定的资产名称或资产IP，可进入该资产的画像页面，查看资产的详细信息。

查看终端安全信息

终端安全信息用于展示全网风险终端总数，并统计今日新增的风险终端数量，同时展示风险终端Top 5，管理员可查看这5个终端的终端名称、终端IP、所属区域、事件标签及安全状态。单击列表下指定的终端名称或终端IP，可进入该终端的画像页面，查看终端的详细信息。

查看安全事件

用户可通过综合态势页面查看全网已发生的安全事件总数，包括未处理、处理中和已处理事件数，以及今日新增和今日处理的事件数量。同时可查看安全事件Top 5、攻击者Top 5、安全事件区域分布Top 5以及攻击阶段分布图。点击攻击阶段图标，可查看该阶段未处理和处理中的安全事件详细信息。

查看资产暴露面

资产暴露面用于展示资产暴露面（即资产开放的端口）的分布情况，包括资产内网暴露面分布Top 10和资产互联网暴露面分布Top 10。

本功能需要与资产扫描功能配合使用，用户需要先通过配置资产扫描任务，使用资产探针主动探测网络中的内部资产，并检测资产开放的端口和服务等信息。

综合报告

展示生成的综合安全风险的日报、周报及月报。用户可单击某报告对应操作列的下载图标将报告下载至本地查阅。

大屏可视

该功能通过可视化大屏，从攻击、资产脆弱性等多维度展示全网安全风险，方便用户快速、全面的了解网络安全现状。

系统支持展示整网威胁态势、异常外连态势、资产态势、脆弱性态势、外网攻击态势和横向威胁态势。

公共配置

1. 选择“综合概览 > 大屏可视”，进入大屏可视页面。

2. 单击各态势区域，系统将展示相应的态势大屏页面。

3. 单击左上角<设置>按钮，可设置大屏轮播参数、选择需要展示的态势大屏、以及各态势大屏页面的展示参数（包括大屏名称、地图区域和图标）。配置完成后，单击<确认>按钮，保存配置。

4. 单击左上角<轮播>按钮，系统将根据用户配置的轮播参数，轮流展示各态势大屏页面。

5. 单击页面右上角<驾驶舱>和<平铺>按钮，可以切换大屏页面的展示风格。

图-3 平铺风格

图-4 驾驶舱风格

注意事项

可视化大屏对PC性能要求较高，建议在内存至少8GB的PC上观看大屏，否则可能会出现屏幕卡顿、页面加载失败等问题。

查看 整网威胁态势

该页面用于展示境外、境内以及国内指定区域的攻击事件统计分布情况，包括攻击次数、威胁事件名称分布等，方便用户了解整网的威胁状态和攻击趋势，及时调整相应的防护策略。

其中，区域态势页面中展示的统计数据与用户配置有关。用户可通过如下步骤指定需要统计的区域：

1. 选择“综合概览 > 大屏可视”，进入大屏可视页面。

2. 单击左上角<设置>按钮，选择整网威胁态势，在地图区域下拉框中，根据实际需求选择指定的区域。配置完成后，单击<确认>按钮，保存配置。

3. 配置完成后，用户可单击整网威胁态势区域，选择区域态势，页面中将展示所选地图区域的统计数据。

查看异常外连态势

该页面用于展示资产和终端的异常外连事件的统计分布情况，包括外连事件总数、异常外连趋势、异常外连事件列表、外联资产排名等，方便用户了解资产和终端的异常外连情况，及时调整相应的防护策略。

查看资产态势

该页面用于展示资产的统计分布情况，包括资产总数、风险资产统计和脆弱性资产统计、资产类型分布等，方便用户了解资产在各个维度下的分布情况以及风险概况和脆弱性风险等，及时对资产进行相应的防护。

查看脆弱性态势

该页面用于展示资产存在的脆弱性风险统计信息，包括脆弱性资产Top5、脆弱性资产趋势、漏洞列表Top10等，有利于管理员直观地掌控系统脆弱性状态，提前对整网安全趋势做预断。

查看外网攻击态势

该页面用于展示内网资产和终端受到外部攻击的统计分布情况，包括总攻击次数、攻击类型排名Top5、攻击趋势和实时攻击列表等，同时支持按照攻击者所属的地理位置，分别展示国内和国外的攻击事件统计分布情况。方便用户了解整网攻击现状，及时调整相应的防护策略。

查看横向威胁态势

该页面用于展示内网攻击者与受害者之间的攻击关系，单击<资产&终端视角>，可从具体的资产/终端的维度查看对应的攻击关系；单击<区域视角>，可查看各个区域之间的攻击关系。有利于管理员直观地掌控攻击者与受害者之间的攻击关系，有针对性地调整相应的防护策略。

注意事项

本功能仅在E1147P01及以上版本支持。

查看资产监控

该页面使用3D立体图形展示资产在各个统计维度下的统计分布情况以及资产安全度分析，例如脆弱性资产分布、风险资产安全状态分布、开放服务端口分布等。方便用户了解资产的安全概况和脆弱性风险等。同时支持以统计图、表等形式展示各维度下的TOP排行信息，例如资产类型分布TOP5、风险资产TOP10和区域风险分析TOP5等，方便用户快速掌握资产风险概况，及时对资产进行相应的防护。

注意事项

本功能仅在E1147P03及以上版本支持。

设备运行监控（安全威胁发现与运维管理平台标准版）

该功能用实时监控平台整体运行状态和资源消耗情况，包括平台CPU使用率、内存使用率、磁盘的系统区与数据区的使用率，还可以查看平台的核心服务与各服务器节点的运行状态。

查看设备运行监控

选择“综合概览> 设备运行监控”，进入设备运行监控页面，即可查看系统整体运行状况以及核心服务与节点的运行状态。

说明：

· 平台整体运行状态

○ 整体运行状态：平台的整体运行状态由节点（即部署本平台的服务器）运行状态和核心服务状态共同决定，包括健康和故障：

§ 节点故障，整体运行状态显示故障。

§ 任意核心服务故障，整体运行状态显示为故障。

○ CPU使用率：服务器CPU当前使用百分比。

○ 内存使用率：服务器内存当前使用百分比。

○ 磁盘[系统区]使用率：服务器中所有系统盘当前使用百分比。

○ 磁盘[数据区]使用率：服务器中所有数据盘当前使用百分比。

· 核心服务监控

○ 名称：核心服务的名称。

○ 状态：服务的运行状态，包括健康和故障：

§ 对于在线服务，若该服务包含的任意进程异常退出，则该服务状态为故障。

§ 对于离线服务，若在调度周期内启动失败，则该服务状态为故障。

○ CPU使用率：服务包含的所有进程的CPU使用率总和。

○ 内存使用率：服务包含的所有进程的内存使用率总和。

· 节点监控

○ 名称：节点名称，即部署本平台的服务器名称。

○ 状态：服务器的运行情况，包括健康和故障，若服务器离线则显示故障。

○ CPU使用率：服务器CPU当前使用百分比。

○ 内存使用率：服务器内存当前使用百分比。

○ 磁盘[系统区]使用率：服务器系统盘当前使用百分比。

○ 磁盘[数据区]使用率：服务器数据盘当前使用百分比。

设备运行监控（安全威胁发现与运维管理平台增强版）

安全威胁发现与运营管理平台是由多个服务器组成的综合分析集群，通过设备运行监控，管理员可实时监控平台整体运行状态和资源消耗情况，包括平台CPU使用率、内存使用率、磁盘的系统区与数据区的使用率，还可以查看平台的核心服务与各服务器节点的运行状态。

查看设备运行监控

选择“综合概览> 设备运行监控”，进入设备运行监控页面，即可查看系统整体运行状况以及核心服务与节点的运行状态。

说明：

· 平台整体运行状态

○ 整体运行状态：平台的整体运行状态由节点运行状态和核心服务状态共同决定，包括健康和故障：

§ 平台中除cyber2外的任意节点离线，整体运行状态显示故障。

§ 任意核心服务故障，整体运行状态显示为故障。

○ CPU使用率：集群CPU的总容量和当前使用百分比。

○ 内存使用率：集群内存总容量合和当前使用百分比。

○ 磁盘[系统区]使用率：集群中所有系统盘总容量和当前使用百分比。

○ 磁盘[数据区]使用率：集群中所有数据盘总容量和当前使用百分比。

· 核心服务监控

○ 名称：核心服务的名称。

○ 状态：服务的运行状态，包括健康和故障：

§ 对于在线服务，若该服务包含的任意进程异常退出，则该服务状态为故障。

§ 对于离线服务，若在调度周期内启动失败，则该服务状态为故障。

○ CPU使用率：服务包含的所有进程的CPU使用率总和。

○ 内存使用率：服务包含的所有进程的内存使用率总和。

· 节点监控

○ 名称：节点名称，组成安全威胁发现与运营管理平台的一台服务器为一个节点。

○ 状态：节点服务器的运行情况，包括健康和故障，若服务器离线则显示故障。

○ CPU使用率：节点服务器的CPU使用百分比。

○ 内存使用率：节点服务器的内存使用百分比。

○ 磁盘[系统区]使用率：节点服务器的系统盘使用百分比。

○ 磁盘[数据区]使用率：节点服务器的数据盘的使用百分比。

威胁中心

总览全局安全事件统计信息，多维度展示全网威胁分析结果，及时感知资产风险。还可对风险资产、风险终端和攻击者进行画像，并可展示资产存在的脆弱性风险统计信息，有利于管理员直观地掌控系统脆弱性状态，提前对整网安全趋势做预断。

本章包含如下内容：

风险资产

该功能用于对全网中存在风险的资产进行统计，展示风险资产的名称、IP地址、所属区域、安全状态、事件标签等信息，并支持将风险资产列表导出到Excel文件，下载到本地。主要功能包括查看资产画像以及导出风险资产。

查看风险资产

选择“威胁中心 > 风险资产”，进入风险资产页面，可查看所有风险资产的信息，包括IP地址、安全状态、资产类型等基础信息、安全事件详细信息、风险概况以及脆弱性分析等。

查看资产画像

单击某个资产对应操作列的<画像>按钮，进入资产画像页面，可查看资产详细信息。

资产画像主要内容如下：

· 基本信息

展示资产的基本信息（主机名称、IP地址等）和资产上运行的应用程序信息。

· 攻击阶段

展示安全事件所处的攻击阶段的分布情况。

· 取证溯源

在攻击阶段区域，单击右上角的<取证溯源>按钮，进入取证溯源页面。

通过安全事件时间顺序展示资产攻击或被攻击的历史情况，并使用不同颜色的空心圆标识事件的确信度，以便用户对资产发生的安全事件进行溯源取证。

· 事件趋势图

展示安全事件的发生趋势，且仅统计处理中和未处理事件。

· 风险分析

展示资产发生的安全事件以及风险概况，便于管理员快速了解资产安全状况。

○ 安全事件：展示资产的所有安全事件，并支持对安全事件进行处理、白名单、编码和处置等操作。详细操作步骤请参见事件台账

○ 攻击路径：系统将资产作为调查对象进行攻击关系分析，可视化展示其攻击链路和回溯链路。

○ 专家解读：通过专家分析引擎检测资产是否失陷。对于已失陷资产，本页面将展示失陷依据，包括失陷标签、标签描述及判断失陷的安全事件。每个失陷标签（除"完成多个攻击阶段"标签外）的关系图中最多展示50个节点与该资产之间的攻击关系。其中，系统仅对30天内的安全事件数据进行统计。

○ 攻击者：用于展示当资产作为被攻击者时，其攻击者的相关信息、当资产作为攻击者时，其攻击对象的相关信息，方便用户对资产的攻击信息进行分析。

○ ATT&CK：系统基于 ATT＆CK模型，展示了攻击者的攻击生命周期以及各个攻击阶段使用的技术，用户可以通过单击指定的技术查看其详细信息。同时，系统将安全事件与ATT&CK模型进行匹配，方便用户查看各攻击阶段中安全事件与技术的命中情况，通过单击指定的技术，可查看安全事件详情并对安全事件进行处置、处理、白名单、编排等相应的操作。详细操作步骤请参见事件台账联机帮助。

○ 参考案例：资产涉及的所有安全事件相关的参考案例，单击详情按钮，可以查看详细的案例信息。

· 脆弱性分析

展示资产存在的脆弱性风险的统计数据，包括漏洞风险、配置风险和弱口令，以及各风险的详细信息。

· 安全病例

展示资产的安全事件的处理记录和工单记录。

· 网络访问关系（仅在E1147及以上版本支持本功能，且仅安全威胁发现与运维管理平台增强版支持本功能）

通过关系图以及统计列表的形式，展示资产与网络中其他实体之间（如资产、终端等）的互访关系，包括正常访问、异常访问。

从访问实体维度将访问关系分为"内网交互资产"、"内网交互终端"、"外网交互主机"、"虚拟节点"四类，单击选中某个实体类型标签后，互访关系图与统计列表将只展示资产与该类型实体的访问关系。

同时，支持按访问目的端口、应用、异常类型对互访关系进行查询，以及对网络访问关系的多级钻取。

· 流量监控（仅E1146P03及以上版本支持本功能，且仅安全威胁发现与运维管理平台增强版支持本功能）

从多维度统计并展示统计周期内，资产的访问流量和会话分布。其中，统计维度分别为：

○ 横向被访问：资产被其他内网主机访问的流量、会话分布。

○ 横向主动访问：资产主动访问其他内网主机的流量、会话分布。

○ 外联：资产访问外网主机的流量、会话分布。

○ 外到内访问：外网IP访问资产的流量、会话分布。

导出风险资产

该功能用于将风险资产列表导出为Excel表格文件并下载至本地，最多只能导出时间最近的前两万条数据。

操作步骤如下：

1. 选择“威胁中心 > 风险资产”，进入风险资产页面。

2. 单击<导出>按钮，弹出导出提示窗口。

3. 单击<确定>按钮，关闭提示窗口。

4. 单击导航栏右上角的下载图标，弹出下载列表窗口。

5. 单击指定文件右侧的下载图标，即可将文件下载至本地。

风险终端

该功能用于对全网中存在风险的终端进行统计，展示风险终端的名称、所属区域、安全状态、事件标签等信息，并支持将风险终端列表导出为Excel表格文件，下载到本地。主要功能包括查看终端画像和导出风险终端。

查看风险终端

选择“威胁中心 > 风险终端”，进入风险终端页面，可查看所有风险终端信息，包括IP地址、安全状态等基础信息、安全事件详细信息以及风险概况等。

查看终端画像

单击某个终端对应操作列的<画像>按钮，进入终端画像页面，可查看终端详细信息。

终端画像主要内容如下：

· 基本信息

展示终端的基本信息，包括IP地址、安全状态、所属区域和终端相关的事件标签。

· 攻击阶段

展示安全事件所处的攻击阶段的分布情况。

· 取证溯源

在攻击阶段区域，单击右上角的<取证溯源>按钮，进入取证溯源页面。

通过安全事件时间顺序展示终端攻击或被攻击的历史情况，并使用不同颜色的空心圆标识事件的确信度，以便用户对终端发生的安全事件进行溯源取证。

· 事件趋势图

展示安全事件的发生趋势，且仅统计处理中和未处理事件。

· 风险分析

展示终端发生的安全事件以及风险概况，便于管理员快速了解终端安全状况。

○ 安全事件：展示终端的所有安全事件，并支持对安全事件进行处理、白名单、编码和处置等操作。详细操作步骤请参见事件台账联机帮助。

○ 攻击路径：系统将终端作为调查对象进行攻击关系分析，可视化展示其攻击链路和回溯链路。

○ 专家解读：通过专家分析引擎检测终端是否失陷。对于已失陷终端，本页面将展示失陷依据，包括失陷标签、标签描述及判断失陷的安全事件。每个失陷标签（除"完成多个攻击阶段"标签外）的关系图中最多展示50个节点与该终端之间的攻击关系。其中，系统仅对30天内的安全事件数据进行统计。

○ 攻击者：用于展示当终端作为被攻击者时，其攻击者的相关信息、当终端作为攻击者时，其攻击对象的相关信息，方便用户对终端的攻击信息进行分析。

○ 参考案例：终端涉及的所有安全事件相关的参考案例，单击详情按钮，可以查看详细的案例信息。

· 安全病例

展示终端的安全事件的处理记录和工单记录。

· 网络访问关系（仅在E1147及以上版本支持本功能，且仅安全威胁发现与运维管理平台增强版支持本功能）

通过关系图以及统计列表的形式，展示终端与网络中其他实体之间（如资产、终端等）的互访关系，包括正常访问、异常访问。

从访问实体维度将访问关系分为"内网交互资产"、"内网交互终端"、"外网交互主机"、"虚拟节点"四类，单击选中某个实体类型标签后，互访关系图与统计列表将只展示终端与该类型实体的访问关系。

同时，支持按访问目的端口、应用、异常类型对互访关系进行查询，以及对网络访问关系的多级钻取。

· 流量监控（仅E1146P03及以上版本支持本功能，且仅安全威胁发现与运维管理平台增强版支持本功能）

从多维度统计并展示统计周期内，终端的访问流量和会话分布。其中，统计维度分别为：

○ 横向被访问：终端被其他内网主机访问的流量、会话分布。

○ 横向主动访问：终端主动访问其他内网主机的流量、会话分布。

○ 外联：终端访问外网主机的流量、会话分布。

○ 外到内访问：外网IP访问终端的流量、会话分布。

导出风险终端

该功能用于将风险终端列表导出为Excel表格文件并下载至本地，最多只能导出时间最近的前两万条数据。

操作步骤如下：

1. 选择“威胁中心 > 风险终端”，进入风险终端页面。

2. 单击<导出>按钮弹出导出提示窗口。

3. 单击<确定>按钮关闭提示窗口。

4. 单击界面右上方的下载图标，弹出下载列表窗口。

5. 单击最新文件对应的下载图标，即可将风险终端表格文件下载至本地。

事件台账

该功能用于统计和展示全网发生的安全事件。当网络中频繁发生安全事件时，安全事件列表中会出现大量信息，不利于运维人员进行安全分析。为了方便运维人员分析，平台支持配置多种查询条件，并根据查询结果在页面上方以图表形式展示安全事件的统计信息和趋势图，并在页面下方以表格形式详细展示安全事件的主要信息。其中，查询条件支持收藏，方便后续查询。

查看事件台账

事件台账页面可以查看指定查询条件下的事件分析统计数据以及事件台账列表。

· 事件分析：查看影响主机的事件类型Top 10、事件趋势图和事件名称统计Top10。其中，事件名称分布Top10、事件趋势图与事件处理状态联动展示，例如，处理状态选择“未处理”，则事件名称分布图将只展示未处理事件中发生次数Top10的安全事件，事件趋势图也将只展示未处理事件的发生趋势。

· 事件台账列表：管理员可查看安全事件信息，并支持对安全事件进行处理、处置、编排、添加白名单和查看详情等操作。

查看事件分析和事件列表

1. 选择“威胁中心 > 事件台账”，进入事件台账页面。

2. 配置查询条件。平台支持按照源IP、目的IP、统计周期、场景等条件检索安全事件。

说明：对于“场景”条件，选择“今日新增”，页面将只展示今日发生的所有安全事件；选择“反复出现”则展示处理后再次发生的安全事件；选择“今日处理”则展示今日处理的安全事件。

3. 单击<查询>按钮，平台将根据配置的查询条件对日志进行检索。页面下方图表中将只展示符合查询条件的安全事件。

4. 单击事件列表右上角的<收藏>按钮，进入收藏搜索条件提示框，配置收藏标题后，单击<收藏>按钮，可以收藏本次配置的查询条件。

5. 当用户希望使用收藏的历史查询条件时，下次查询希望使用历史查询条件时，可以单击查询条件下方的<我的收藏>按钮，选择指定的标题后，平台将按照该查询条件对日志进行检索。

对安全事件执行操作

管理员可对安全事件进行处理、处置、编排、添加白名单和查看详情的操作。

· 处理：修改安全事件处理状态，支持批量处理和单个处理。安全事件处理状态缺省为“未处理”，若事件无需处理，管理员需手动修改其状态为“忽略”，若事件已线下处理过，则需手动修改其状态为“已处理”。平台分析资产、终端及网络安全状态时，不再将“已处理”和“忽略”的事件纳入统计数据。

除了支持手动修改事件处理状态外，平台内置了灰色事件分析引擎，内含泊松分析模型、C段分析模型、基于用户处置知识的判定模型三种分析模型。可对最近30天"未处理"状态的事件进行分析，将符合灰色事件条件的事件自动置为“忽略”状态；也会对被自动置为“忽略”状态的历史事件进行分析，在本次的分析中不符合灰色事件条件的历史事件，其状态将自动还原为“未处理”。

· 处置：创建处置工单，并将安全事件添加到工单中，通过邮件、短信、企业微信通知相关责任人处理安全事件（其中，企业微信方式仅在E1147P03及以上版本支持），并反馈处理结果。处理完成后，管理员需手动修改安全事件处理状态。支持批量处置和单个处置。有关处置工单的详细介绍请参见处置工单。

· 编排：向某个安全事件手动下发剧本，平台将会根据剧本动作调用相关的设备对安全事件进行响应闭环。有关剧本的详细介绍请参见剧本。

· 白名单：当确认某类安全事件为误报时，可将该事件添加为白名单，减少误报。有关白名单的详细介绍请参见白名单。

对安全事件执行操作的具体步骤

1. 选择一个安全事件，单击操作列<详情>按钮，进入事件台账详情页面，查看事件的详细信息。有关事件台账详情的详细介绍，请参见“查看事件台账详情”。

2. 选择一个安全事件，单击操作列的<处理>按钮，修改事件处理状态；选择多个事件，单击<批量处理>按钮，批量修改安全事件处理状态。处理完成后，单击处理状态列按钮，可查看处理历史记录，方便管理员进行行为审计。

3. 选择一个安全事件，单击操作列<白名单>按钮，将事件添加到白名单。

4. 选择一个安全事件，单击操作列<编排>按钮，向某个安全事件手动下发剧本。下发完成后，单击剧本执行状态列的取值，可查看剧本简要信息，方便管理员调整相关配置。

5. 选择一个安全事件，单击操作列<处置>按钮，将事件添加到处置工单；选择多个事件，单击<批量处理>按钮，可将所选安全事件添加到一个处置工单进行跟踪处理。

查看事件台账详情

该功能用于展示网络中已发生的安全事件详细信息。

在事件列表下，选择一个安全事件，单击操作列<详情>按钮，进入事件台账详情页面，查看事件的详细信息。

事件台账详情主要内容

· 基本信息

展示安全事件的基本信息，包括安全事件名称、等级、检测引擎、攻击阶段、处理状态等。同时，支持情报溯源和情报误报反馈功能以及展示事件的风险危害和处置建议。

需要注意，当检测引擎为“日志分析”或“云端情报”且情报IOC字段不为空时，页面才会展示<溯源>和<误报反馈>按钮。

○ 云端溯源：单击<情报溯源>按钮，选择“云端溯源”，页面自动跳转到云安全能力中心，并展示该情报的详细信息。

○ 本地溯源：单击<情报溯源>按钮，选择“本地溯源”，查看该情报的详细信息。

○ 误报反馈：单击<误报反馈>按钮，填写反馈人信息及误报证据。云安全能力中心管理员将接收并审核该信息，确认为误报后，管理员会手动更新情报启用状态为停用。

平台从云安全能力中心同步情报信息，并更新情报状态。停用的情报将不再匹配安全事件，并且，原来匹配的安全事件确信度降为“低可疑”。

· 网络信息

展示事件的源/目的的IP地址、端口和地理信息。

· 取证溯源

○ 网络取证：通过分析安全设备上报的IPS抓包，展示资产发生的安全事件过程，有利于管理员对该事件进行分析取证。

○ 主机取证：展示终端主机上的进程在一段时间段内的操作行为和网络访问行为信息，有利于管理员对该进程进行分析取证。

· 风险危害

展示该安全事件攻击原理和对用户网络的威胁详情。点击编辑按钮可修改风险危害内容，点击恢复按钮可恢复为系统预定义的风险危害。用户编辑后的风险危害可在处置建议库页面查看。

需要注意，对风险危害执行恢复默认操作后，处置建议库页面将删除相应的记录。

· 处置建议

展示针对该安全事件的预定义处置方案。点击编辑按钮可修改处置建议内容，点击恢复按钮可恢复为系统预定义的处置建议。用户编辑后的处置建议可在处置建议库页面查看。

需要注意，对处置建议执行恢复默认操作后，处置建议库页面将删除相应的记录。

· 原始日志

展示该事件每一次发生的时间、事件描述信息、事件源和目的IP、原始日志信息等，以便管理更好的了解事件发生时间线，分析网络安全状态。

· 参考案例

展示该事件的参考处理方案。

单击指定案例名称右侧操作列下的<案例详情>按钮，可查看具体的参考案例内容。

导出事件台账

1. 单击事件列表上方的<导出>按钮，在提示窗口中，单击<确定>按钮，可将安全事件列表以Excel表格文件形式导出。

2. 单击Web页面右上角的<>按钮，进入下载列表页面，单击指定文件右侧的<下载>按钮，即可将文件下载到本地。

注意事项

· 编排状态为“未执行”表示该事件未匹配任何案件，需要手动选择剧本并下发，“待执行”表示事件已匹配非自动执行剧本的案件，需要手动下发剧本，“已执行”表示事件已匹配自动执行剧本的案件，无需手动下发。

· 若执行剧本动作的目标设备被删除，该剧本动作将会下发失败。剧本动作下发失败后，可在编排详情页面重新下发。

· 执行剧本动作的设备必须已经添加为资产，且资产管理协议配置为SSH或SOAP，同时配置时，优先使用SOAP。

· 由灰色事件分析引擎处理的事件，处理人将标记为灰色事件分析引擎。

· 安全事件的源/目的归属地字段的显示内容按照优先级由高到低依次为城市、省份和国家。仅当高优先级内容无法获取时，才显示低优先级内容。即，如果同时获取到了城市和省份，则仅展示出城市。例如，系统获取到安全事件的源归属地是中国江苏省南京市，则源归属地字段仅显示为南京。

· 当配置源/目的归属地查询条件时，若条件配置为低优先级内容，则查询结果中事件的源/目的归属地字段会显示为符合该条件的高优先级内容。例如，查询条件配置了源归属地为江苏省，则查询结果中，所有事件的源归属地字段将显示为南京等城市。

· 在事件台账详情页面的基本信息页签下，只有检测引擎为“日志分析”或“云端情报”且情报IOC字段不为空时，页面才会展示<溯源>和<误报反馈>按钮。

· 在事件台账详情页面的基本信息页签下，对风险危害和处置建议执行恢复默认操作后，处置建议库页面将删除相应的记录。

攻击者台账

该功能用于统计和展示基于攻击者角度分析的安全事件。当网络中频繁发生安全事件时，安全事件列表中会出现大量信息，不利于运维人员进行安全分析。为了方便运维人员分析，平台支持配置多种查询条件，并根据查询结果在页面上方以图表形式展示安全事件的统计信息，并在页面下方以表格形式详细展示安全事件的主要信息。

查看攻击者台账

攻击者台账页面可以查看指定查询条件下的攻击者分析统计数据以及攻击者台账列表。

· 攻击者分析：查看攻击者总数、影响主机总数、攻击失败总数、攻击成功总数、尝试攻击总数、外部攻击、横向攻击、外连攻击、影响主机的攻击者分布Top 10、攻击者事件Top10。

· 攻击者台账列表：管理员可查看攻击者信息，并支持对安全事件进行处理、处置、添加白名单和查看攻击者画像等操作。

查询攻击者分析和事件列表

1. 选择“威胁中心 > 攻击者台账”，进入攻击者台账页面。

2. 配置查询条件。平台支持按攻击者IP、统计周期等条件检索安全事件。

3. 单击<查询>按钮，平台将根据配置的查询条件对日志进行检索。页面下方图表中将只展示符合查询条件的攻击者信息。

对攻击者执行操作

管理员可对安全事件进行处理、处置和添加白名单等操作：

· 处理：修改安全事件处理状态，支持批量处理和单个处理。安全事件处理状态缺省为“未处理”，若事件无需处理，管理员需手动修改其状态为“忽略”，若事件已线下处理过，则需手动修改其状态为“已处理”。平台分析资产、用户及网络安全状态时，不再将“已处理”和“忽略”的事件纳入统计数据。

· 除了支持手动修改事件处理状态外，平台内置了灰色事件分析引擎，内含泊松分析模型、C段分析模型、基于用户处置知识的判定模型三种分析模型。可对最近30天"未处理"状态的事件进行分析，将符合灰色事件条件的事件自动置为“忽略”状态；也会对被自动置为“忽略”状态的历史事件进行分析，在本次的分析中不符合灰色事件条件的历史事件，其状态将自动还原为“未处理”。

· 处置：创建处置工单，并将安全事件添加到工单中，通过邮件或短信通知相关责任人处理安全事件，并反馈处理结果。处理完成后，管理员需手动修改安全事件处理状态。支持批量处置和单个处置。有关处置工单的详细介绍请参见处置工单。

· 白名单：当确认某类安全事件为误报时，可将该事件添加为白名单，减少误报。有关白名单的详细介绍请参见白名单。

查看攻击者画像

该功能用于展示网络中攻击者的详细信息。

选择一个安全事件，单击操作列画像图标进入攻击者画像页面，查看详细信息。

攻击者画像主要内容

· 基本信息

展示攻击事件的基本信息和威胁能力分析。

○ 基本信息：包括IP地址、安全事件数等信息以及攻击区域Top包括IP地址、安全事件数等信息以及攻击区域Top 10、攻击端口Top 10的统计数据。

○ 威胁能力分析：展示攻击者在攻击过程中使用的攻击技术的相关信息。以便管理员更好的了解攻击者的攻击手法，及时调整相关防护策略。

· 攻击内网目标

展示攻击目标的相关信息，包括目标IP、端口、区域等。便于管理员依据上述信息调整相应的防护策略。

· 安全事件

展示攻击者触发的安全事件。

· 近期活动日历

展示攻击者最近一段事件内的活跃情况，便于管理员依此进行分析，并制定相应的防护策略。

导出攻击者台账

1. 单击事件列表上方的<导出>按钮，在提示窗口中，单击<确认>按钮，可将安全事件列表以Excel表格文件形式导出。

2. 单击Web页面右上角的<>按钮，进入下载列表页面，单击指定文件右侧的<下载>按钮，即可将文件下载到本地。

脆弱性台账

该功能用于展示资产存在的脆弱性风险统计信息，有利于管理员直观地掌控系统脆弱性状态，提前对整网安全趋势做预断。

脆弱性风险总览

该功能用于展示资产存在的脆弱性风险统计信息，有利于管理员直观地掌控系统脆弱性状态，提前对整网安全趋势做预断。

选择“威胁中心 > 脆弱性台账”，进入脆弱性台账页面，选择左侧导航中的“总览”，可查看脆弱性风险的统计信息，包括脆弱性风险资产数量、脆弱性风险数量、处理状态分布、验证状态分布等。

查看脆弱性风险详情

该功能用于展示网络中存在漏洞、弱口令、配置风险等风险的资产信息及其风险详情。

平台从漏洞维度（包括漏洞、弱口令、配置风险）综合分析每种漏洞对单个资产和对整网的影响，并计算出处理优先级得分，从而提醒管理员优先处理影响更大的漏洞。若漏洞只影响了一个资产则按资产维度计算处理优先级得分，否则按整网维度计算处理优先级得分：

· 整网维度处理优先级：是指一个漏洞影响网络中多个资产，平台将根据这些资产的资产价值、资产安全度、资产开放端口、漏洞等级，以及该漏洞是否被利用成功导致资产受攻击等因素进行综合计算，得出处理优先级得分，分值越小，处理优先级越高。以便管理员评估漏洞对整个网络的影响。

· 资产维度处理优先级：是指一个资产上存在多个漏洞，平台将根据这些漏洞的漏洞等级、资产开放端口，以及漏洞是否被利用成功导致资产受攻击等因素进行综合计算，得出处理优先级得分，分值越大，处理优先级越高。以便管理员评估漏洞对资产的影响。

选择“威胁中心 > 脆弱性台账”，进入脆弱性台账页面，选择左侧导航中的“脆弱性风险”，可查看脆弱性风险具体信息，包括漏洞风险、配置风险、弱口令等。

· 漏洞风险

展示资产存在的漏洞风险的具体信息，并支持对这些风险进行批量处理。

· 配置风险

展示资产存在的配置风险的具体信息，并支持对这些风险进行批量处理。

· 弱口令

展示资产存在的弱口令信息，并支持对这些风险进行批量处理。缺省情况下，页面以密文方式展示扫描出来的弱口令账号和密码，开启“显示账号密码”功能并验证当前管理员登录密码后，可查看弱口令账号和密码明文。

· 设置整网维度处理优先级阈值

单击页面右上角处理优先级配置按钮，设置整网维度处理优先级阈值。优先级得分小于等于高处理优先级阈值的漏洞将被划分到高处理优先级漏洞，得分大于低处理优先级阈值的漏洞将被划分到低处理优先级漏洞，得分在高、低处理优先级阈值之间的则为中处理优先级漏洞。

分析中心

本章包含如下内容：

日志中心

该功能用于展示系统采集到的日志的分析结果，不同类别的日志展示的关键字段不同，以便用户根据不同的日志类型关注不同信息。

日志成功上报后，如果所有类型中均没有查询到该日志的解析结果或所有日志都被分类到了“其他类”，则可能发生了日志解析异常，请联系H3C公司相关技术服务人员进行定位。

日志查询

用户可配置多种过滤条件筛选出关心的日志。平台支持基础查询、高级查询和全文检索多种方式。

· 基础查询：通过选择指定日志字段，输入字段值的方式检索日志。其中，当配置多个查询字段时，系统将按照如下逻辑进行处理：

○ 如果配置多个相同字段，当运算符号为“=”时，则按照“or”（逻辑或）进行查询，即满足任意一个字段即可；如果运算符号为“!=”，则按照“and”（逻辑与）进行查询，即必须同时满足所有字段；当运算符号既有“=”又有“!=”时，则按照“and”（逻辑与）进行查询。

○ 如果配置多个不同字段，则按照“and”（逻辑与）进行查询。

· 高级查询：通过在输入框中输入SQL语句进行精细查询。当用户所需的查询条件不符合基础查询方式的查询逻辑时，可通过高级查询方式配置相应的查询条件。

· 全文检索：通过在输入框中输入任意字段值，对原始日志进行快速模糊查询。

注意事项

日志查询功能在E1147P01及以上版本区分为基础查询、高级查询和全文检索。页面实际展示内容与版本有关，请以实际情况为准。

基础查询

操作步骤

1. 选择“分析中心 > 日志中心”进入日志检索页面，选择要查询的日志类型。

2. 选择<基础查询>页签，单击<过滤条件>按钮，在自定义项或字段结果统计页签下，配置相应的过滤条件。

3. 在自定义项页签下，用户可选择需要过滤的字段、运算符号，并手动输入具体的值，点击<确认>按钮完成操作。

例如，查看源IP为10.5.0.110的所有日志，查询方法如下图所示。

4. 在字段结果统计页签下，用户可单击需要过滤的字段，系统将根据当前日志查询结果展示出该字段的所有取值，单击指定取值右侧操作列下的添加按钮，系统会将该取值作为新的过滤条件，对日志进行筛选。

例如，搜索动作类型为允许的日志时，查询方法如下图所示。

注意事项

· 字段值支持精确查询，也支持输入通配符进行模糊搜索。系统支持如下两种通配符：

○ ？表示匹配一个字符，如182.9.0.？可匹配182.9.0.1，182.9.0.2……182.9.0.9

○ *表示匹配任意个字符，如182.9.0.*可匹配182.9.0.1，182.9.0.2……182.9.0.255。

· 数值类型的字段值不支持模糊匹配，如端口号、日志产生时间等字段，只支持精确查找。

· 最多仅支持新增10个过滤条件进行检索。

高级查询

操作步骤

1. 选择“分析中心 > 日志中心”进入日志检索页面，选择要查询的日志类型。

2. 选择<高级查询>页签，在输入框中输入SQL查询语句，单击<查询>按钮，完成操作。

例如，查看产生日志设备IP为10.135.178.128且源端口为4613或者51859的所有日志，查询方法如下图所示。

注意事项

· 日志产生时间、开始时间、结束时间、采集器接收日志时间、agent日志采集时间等字段需要输入unix时间戳进行搜索。

全文检索

操作步骤

1. 选择“分析中心 > 日志中心”进入日志检索页面，选择要查询的日志类型。

2. 选择<全文检索>页签，在输入框中输入任意字段值，单击<查询>按钮，完成操作。

例如，查看匹配1.1.1.1的所有日志，查询方法如下图所示。

日志导出

该功能用于导出满足查询条件的日志，最多仅支持导出发生最近的十万条日志。

操作步骤

1. 选择“分析中心 > 日志中心”，按照需求查询需要的日志，单击<导出>按钮，系统会将满足查询条件的日志导出到excel表格中。

2. 点击页面右上角按钮，在弹出的下载任务列表中选择已导出的日志文件下载到本地即可。

解码小助手

该功能用于将各种编码格式的字符串转换为可阅读的内容。例如，访问URL、攻击载荷、报文首行等字段中可能会出现HEX编码的字符串，通过解码助手可转换为utf-8格式，方便阅读。

操作步骤

1. 选择“分析中心 > 日志中心”进入日志检索页面。

2. 复制需要解码的内容，单击<解码小助手>按钮，在弹出的解码助手页面左侧输入框中粘贴复制的内容，并选择编码格式；然后在右侧目标内容中选择合适的编码格式，单击<解码>按钮即可解码源内容。

日志类型说明

系统解析后展示的日志类型如下：

· 安全日志

安全日志记录了用户网络中曾经发生的各种攻击事件信息，如攻击源、攻击目的、攻击事件等。安全日志包括漏洞利用日志、扫描侦查日志、恶意文件日志等子类型日志，不同子类型日志展示的字段不同，方便用户根据日志类型关注并获取不同的关键信息。

· 网络审计日志

网络审计日志用来查看用户的上网行为记录，方便管理员根据用户上网的情况调整应用审计与管理策略，规范用户的上网行为。网络审计日志包括IM日志、邮件日志、社区访问日志等子类型日志，不同子类型日志展示的字段不同，方便用户根据日志类型关注并获取不同的关键信息。

· 数据库审计日志

数据库审计日志记录了网络中的数据库活动及用户访问数据库行为信息。方便管理员根据数据库活动情况制定管理策略，加强内外部数据库网络行为记录，提高数据资产安全。数据库审计日志包括规则审计日志、告警审计日志、行为审计日志等子类型日志。

· SSL VPN日志

SSL VPN日志记录了远程用户通过SSL VPN访问内网资源时的登录、登出及资源访问情况。 SSL VPN日志包括登录日志、认证日志、资源访问日志，不同子类型日志展示的字段不同，方便用户根据日志类型关注并获取不同的关键信息。

· DLP审计日志

DLP审计日志包括网络DLP审计日志和终端DLP审计日志，其中网络DLP主要审计内网用户向外部发送的邮件是否违反管理员预设的审计规则，终端DLP审计内网的终端上的是否文件拷贝、USB插入等行为。以便管理员进行信息安全管理。

· Citrix审计日志

Citrix审计日志记录了用户的行为信息，可用于审计用户的违规行为。

· 安全检查审计日志

安全检查审计日志记录了通过各类设备或软件系统记录用户的行为信息，可用于审计用户的违规行为。

· 应用审计日志

应用审计日志用来查看用户的上网行为记录，方便管理员根据用户上网的情况调整应用审计与管理策略，规范用户的上网行为。

· 运维审计日志

运维审计日志即堡垒机审计日志，记录了用户访问其他资产时的相关信息。

· 网络流量日志

网络流量日志记录了每条数据流产生的流量信息以及流向，管理员可通过流量日志信息为每条流制定合理、精确的管理策略。

· 接入授权日志

接入授权日志记录了通过接入授权设备接入网络的用户接入情况。管理员可通过该日志跟踪网络中用户接入授权情况。

· 安全策略日志

报文与安全策略成功匹配后就会输出安全策略日志，安全策略日志有利于管理员对于用户行为进行审计或者进行网络故障排查。

· 网元操作日志

网元操作日志包括登录、配置、认证及其他操作行为，通过查看操作日志信息可以跟踪管理员对设备的操作，有利于对管理员操作设备的行为进行审计以及进行设备故障排查。

· 数据库日志

数据库日志记录了数据库的各类运行信息，数据库日志包括性能监控日志、SQL运行日志、慢查询日志、数据库登录日志、用户信息变更日志、定时任务日志、错误日志、连接数信息日志、运行时长日志、其他日志。通过这些日志信息，管理员可监控数据库运行状态。

· 终端系统日志

终端系统日志记录了终端主机上发生过的行为信息，如性能监控、用户登录登出、文件操作、进程操作等，方便管理员管理终端主机。

· 中间件日志

中间件日志记录了主机中间件的各类信息，中间件日志包括中间件访问日志、中间件启动日志、中间件运行异常错误日志、运行日志。通过这些日志信息，管理员可监控监控中间件运行状态。

· 网元系统日志

网元系统日志页面记录了设备在运行过程中产生的相关日志信息，通过查看系统日志信息可以跟踪设备的运行过程、分析网络状况以及定位问题发生的原因，为进行故障诊断和维护提供依据。

· 终端审计日志

终端审计日志记录了终端主机发生过的网络访问行为信息，方便管理员管理终端主机。

· 终端杀毒日志

终端杀毒日志记录了终端主机上杀毒软件监控到的病毒信息，方便管理员了解终端主机感染病毒情况。

· 应用软件日志

应用软件日志记录了SVN服务器的错误日志、访问日志等信息，方便管理员对SVN服务器的访问行为进行审计以及故障排查。

· 其他

日志成功上报后，不支持解析的设备上报的日志或解析异常的日志将在“其他类”日志中展示。

场景化分析

该功能用于分析和展示网络中发生的各类事件，例如挖矿、勒索感染、C&C外联等。方便用户了解网络安全现状，并根据分析结果调整相应的防护策略。

挖矿风险分析

该功能用于分析和展示网络中发生的挖矿事件，仅统计处理中和未处理事件。展示的内容主要包括如下：

· 挖矿阶段分布图

展示指定统计周期内，各个挖矿阶段的主机个数。单击统计值，将展示相关的主机列表。

· 挖矿矿池分布图

展示指定统计周期内，主机访问的矿池分布情况。单击统计值，将展示相关的主机列表。

· 挖矿币种分布图

展示指定统计周期内，主机挖矿的币种分布情况。单击统计值，将展示相关的主机列表。

· 挖矿主机列表

展示指定统计周期内，主机挖矿的币种分布情况。单击统计值，将展示相关的主机列表。

具体操作步骤如下：

1. 选择“分析中心 > 场景化分析 > 挖矿风险分析”，进入挖矿风险分析页面。

2. 选择统计周期，默认展示最近30天的统计数据。

勒索感染分析

该功能用于分析和展示网络中发生的勒索病毒感染事件，仅统计处理中和未处理事件。展示的内容主要包括如下：

· 存在勒索的风险资产和终端

展示网络中感染勒索病毒的资产、终端总数。

· 访问关系图

展示统计周期内，网络中勒索类事件所涉及的内网主机与外网主机、恶意域名之间的访问关系。当访问关系较多或只需查看某个主机的访问关系时，在“源”或“目的”查询框中输入查询条件，然后单击<查询>，页面将只展示该主机的访问关系，便于查看。

具体操作步骤如下：

1. 选择“分析中心 > 场景化分析 > 勒索感染分析”进入勒索感染分析页面。

2. 选择统计周期，默认展示最近30天的统计数据。

注意事项

勒索感染主机访问关系图中，最多只展示10个源节点的访问关系，当源节点访问的目的节点超过100个时，超过的部分访问关系不展示。

C&C外联分析

C&C外联事件是指内网主机与外网C&C服务器建立连接关系后，外网C&C服务器可以控制内网主机进行攻击活动，如窃取机密文件，操控内网主机攻击其他资产等。C&C外联分析功能从多个维度统计并展示用户网络中发生的C&C外联事件，以便管理员快速定位异常主机，排除风险。展示的内容主要包括如下：

· 存在C&C主机通信的风险资产和终端

展示内网存在C&C域名通信的资产、终端总数。

· C&C外联安全事件发生次数趋势图

通过折线图展示统计周期内，C&C外联安全事件发生次数趋势。

· 风险危害及处置建议

展示C&C外联事件对网络安全产生的威胁及建议处理方案。

· C&C主机

展示统计周期内，内网主机访问过的C&C主机及其所属地区。支持按C&C主机IP地址和域名称检索C&C外联事件分析数据，同时提供导出功能，用户可将分析数据导出到excel表格，下载到本地进行预览。

点击内部影响主机数列的数字将展示受影响的内网主机信息；点击操作列详情按钮可进入该C&C主机的安全事件明细页面，查看该统计周期内与该C&C主机相关的安全事件详情。

· 源主机

展示统计周期内，内网资产和用户访问过的C&C主机及连接C&C主机次数。支持按资产名称和用户名称检索C&C外联事件分析数据，同时提供导出功能，用户可将分析数据导出到excel表格，下载到本地进行预览。

点击C&C主机列的数字将展示该主机连接过的C&C主机的IOC情报信息；点击操作列详情按钮可进入该主机的安全事件明细页面，查看该统计周期内与该主机相关的安全事件详情。

具体操作步骤如下：

1. 选择“分析中心 > 场景化分析> C&C外联分析”进入C&C外联分析页面。

2. 选择统计周期，默认展示最近30天的统计数据。

恶意文件分析

攻击者通过传播恶意文件来感染内网主机，从而控制内网主机来进行攻击活动，如盗取敏感数据。恶意文件分析功能用于统计并展示网络中存在的恶意文件及被感染主机信息，以便管理员快速定位异常主机，排除风险。展示的内容主要包括如下：

· 存在恶意文件个数

展示统计周期内，网络中存在的恶意文件总数。

· 发现次数最多恶意文件Top5

展示发现次数最多前5个恶意文件信息。点击感染主机数列的数字将展示被感染主机信息。

· 风险危害及处置建议

展示恶意文件攻击事件对网络安全产生的威胁及建议处理方案。

· 感染主机详情

通过列表展示统计周期内，感染恶意文件的主机信息。支持按资产名称和用户名称检索感染主机，同时提供导出功能，用户可将分析数据导出到excel表格，下载到本地进行预览。

点击恶意文件数列的数字将展示恶意文件信息；点击感染内网主机数列的数字将展示被感染的内网主机IP；点击操作列详情按钮可进入该主机的安全事件明细页面，查看该统计周期内与该主机相关的安全事件详情。

具体操作步骤如下：

1. 选择“分析中心 > 场景化分析 > 恶意文件分析”进入恶意文件分析页面。

2. 选择统计周期，默认展示最近30天的统计数据。

威胁情报分析

该功能用于分析和展示威胁情报命中情况。展示的内容主要包括如下：

· 威胁情报命中总览

展示指定统计周期内，IP情报、域名情报、URL情报、MD5情报的命中次数。

· 威胁类型Top10分析

展示指定统计周期内，IP类、域名类、URL类、MD5类中命中次数Top10的威胁类型及其命中次数，选择不同页签可查看对应IP类、域名类、URL类或MD5类中命中次数Top10的情报。

· 活跃威胁情报Top20

从确信度、影响资产数、影响终端数、命中次数等方面对情报进行综合分析，并展示指定统计周期内，排名前20的情报。同时，支持将情报加入白名单，加入白名单后，情报不再生效，原来匹配成功的数据（如安全事件、风险资产等）也不再展示。

· 威胁情报命中查询

通过情报IOC查询情报的命中情况。

具体操作步骤如下：

1. 选择“分析中心 > 场景化分析 > 威胁情报分析”进入威胁情报分析页面。

2. 选择统计周期，默认展示最近30天的统计数据。

调查分析

该功能用于对配置的调查对象进行攻击关系分析，可视化展示其攻击链路和回溯链路。

下发调查任务

1. 选择“分析中心 > 调查分析”，进入调查分析页面。

2. 单击<新增>按钮，进入新增调查任务页面。配置相关参数后，单击<下发>按钮，完成新增调查任务的操作。

说明：

○ 调查周期：指定调查分析的时间范围，系统将对在此时间范围内发生的安全事件进行调查。

○ 调查对象类型：调查分析的对象的类型，包括资产、终端、外网攻击IP和IOC。其中，IOC包括IP情报、URL情报、域名情报和MD5情报。

○ 调查对象：根据不同的调查对象类型指定具体的调查分析对象。

查看调查任务结果

单击指定调查分析任务右侧的<详情>按钮，可进入调查任务详情页面，查看该任务分析出的攻击链路和回溯链路。

注意事项

· 当调查对象在调查周期内未产生安全事件时，调查分析结果将显示为暂无数据。

· 调查分析过程中，若相邻节点间发生如下安全事件，则相邻节点间展示的源IP为最近一次安全事件中的源IP地址。安全事件包括：外网拒绝服务攻击、内网弱口令登录、主机配置风险和外网扫描侦测。

· 调查分析过程中，若相邻节点间发生如下安全事件，则相邻节点间展示的目的IP为最近一次安全事件中的目的IP地址。安全事件包括：内网漏洞利用攻击、内网暴力破解、内网畸形报文攻击、内网扫描攻击、内网访问风险主机和内网扫描侦测。

流量分析

该功能基于对网络中发生的各类事件的流量进行分析。

异常流量分析

该功能用于分析并展示网络中发生的异常流量事件，将分析结果通过多种方式直观展示，便于终端快速定位网络中的异常流量，排除风险。

操作步骤

1. 选择“分析中心 > 流量分析 > 异常流量分析”进入异常网流量分析页面。

2. 单击统计周期下拉框可选择查看指定时间段内的统计数据，默认展示最近24小时的统计数据。

主要功能

· 异常流量事件统计

展示统计周期内，网络中各等级的异常流量事件的发生情况。

· 异常流量类型分布

展示统计周期内，网络中发生次数最多的前5类异常流量事件的发生情况。

· 异常流量危险等级分布

展示统计周期内，网络中各等级的异常流量威胁的发生情况。

· 异常流量所涉及资源分布

展示统计周期内，受异常流量事件影响的资源情况，包括终端和资产。

· 异常流量事件排名

展示统计周期内，发生异常流量事件次数最多的前10个资产或终端及发生次数，可选择查看资产或终端的排名情况。

· 近期异常流量事件

展示最近发生的的异常流量事件信息，默认只展示10条事件。

· 异常流量事件发生趋势

1. 选择“分析中心 > 流量分析 > 内网流量分析”进入内网流量分析页面。

2. 设置统计条件，如统计周期、统计对象等。配置完成后，单击<查询>按钮，可查看相应的统计信息。

3. 单击柱状图中统计值或单击统计列表下指定统计对象操作列下的<详情>按钮，可跳转到日志中心页面，查看指定统计对象的网络流量日志。

行为分析

本章包含如下内容：

· 互联网行为分析

· 内网行为分析

· 用户行为审计

互联网行为分析

该功能用于展示统计对象（如用户、用户组、区域等）访问互联网上各种应用的的行为信息，帮助管理员直观掌握内网访问互联网的概况。通过柱状图和折线图分别展示不同维度下，统计对象访问互联网应用的总次数，其中仅支持展示总次数排行Top5、Top10和Top15的统计对象的访问情况；通过列表展示每个统计对象访问互联网应用的情况，包括访问次数及占比等，并支持查看指定统计对象的网络审计日志。

注意事项

本功能仅在安全威胁发现与运维管理平台增强版中支持。

操作步骤

1. 选择“分析中心 > 行为分析 > 互联网行为分析”进入互联网行为分析页面。

2. 设置统计条件，如统计周期、统计对象等。配置完成后，单击<查询>按钮，可查看相应的统计信息。

3. 单击柱状图中统计值或单击统计列表下指定统计对象操作列下的<详情>按钮,可跳转到日志中心界面，查看指定统计对象的网络审计日志。

内网行为分析

该功能用于对SSL VPN用户和终端准入用户的登录情况及资源访问行为进行分析统计，并通过图表展示区域在线总次数、用户登录分布等相关统计结果。

注意事项

· 本功能仅在安全威胁发现与运维管理平台增强版中支持。

· 平台通过解析SSL VPN日志来获取SSL VPN用户的登录和资产访问情况。上报SSL VPN日志的日志源IP地址必须在某个区域网段内，或将该日志源添加为资产，否则将会导致用户类型选择“SSL VPN用户”时，页面无可展示数据。

操作步骤

1. 选择“分析中心 > 行为分析 > 内网行为分析”进入内网行为分析页面。

2. 单击用户类型下拉框，选择“SSL VPN用户”可查看SSL VPN用户的登录和资产访问情况；选择“终端接入用户”可查看终端准入用户的登录和资产访问情况。

3. 单击统计周期下拉框可选择查看指定时间段内的统计数据，默认展示最近30天的统计数据。

主要功能

· 区域在线总次数

展示以中国地图为模型的各省市用户在线情况，该功能不受统计周期限制。

· 所有用户在线总次数趋势

展示所有用户登录总次数的统计趋势，该统计值包含了国内在线总次数和国外在线总次数。

· 用户登录地分布

展示用户登录次数最多的前10个地区排名。

· 用户登录时段分布

展示用户登录上线时间在00:00～04:00、04:00～08:00、08:00～12:00、12:00～16:00、16:00～20:00、20:00～00:00各时段的登录次数分布情况。

· 登录时长分布

展示登录时长在4小时内、4到8小时和大于8小时，三个阶段登录次数分布情况。

· 访问阻断最多的用户Top10

展示SSL VPN用户访问资产被阻断次数最多的前10个用户。

· 访问资产最多的用户Top10

展示访问资产次数最多的前10个SSL VPN用户。

· 被访问最多的资产Top10

展示被SSL VPN用户访问次数最多的前10个资产。

· 认证失败最多的用户Top10

展示终端准入用户登录认证失败次数最多的前10个用户。

· 登录终端类型分布

展示终端准入用户登录使用的种终端类型的分布情况。

用户行为审计

该功能用于展示统计周期内用户的上网行为记录，以便管理员根据用户上网的情况调整应用审计与管理策略，规范用户的上网行为。

注意事项

本功能仅在安全威胁发现与运维管理平台增强版中支持。

场景配置

该功能用于设置用户上网行为分析场景，系统预定义了企业、校园两个场景。不同的场景对用户上网行为的关注点不同，如企业场景关注怠工等行为，校园场景更关注校园贷、学生沉迷上网、学生沉迷游戏等行为

选择场景后，系统提取用户的上网特征行为并为其打上标签，以便管理员快速了解用户的行为倾向。企业和校园场景支持的标签如下：

· 公共标签：

○ 赌博：标识关注赌博信息的用户

○ 毒品：标识关注毒品信息的用户

○ 低俗：标识关注低俗色情信息的用户

○ 下载狂：标识有大量下载行为的用户

○ 重度游戏迷：标识重度游戏成瘾的用户

○ 中度游戏迷：标识中度游戏成瘾的用户

○ 视频控：标识经常看视频的用户

○ 炒股：标识关注股票信息的用户

· 企业场景特有标签：

○ 怠工：标识企业内部上班期间浏览与工作无关信息的用户

· 校园场景特有标签：

○ 校园贷：标识校园内关注校园贷的用户

○ 校园暴力：标识校园内关注暴力的用户

○ 重度网瘾：标识重度上网成瘾的用户

○ 中度网瘾：标识中度上网成瘾的用户

○ 夜猫子：标识经常熬夜的用户

操作步骤

· 选择“分析中心 > 行为分析 > 用户行为审计 > 场景配置”进入场景配置页面。

· 选中场景前面的单选按钮可启用对应的场景。启用一个场景时，默认关闭之前启用的场景。

查看用户行为详情

该功能用于查看用户的行为详情，包括访问应用的Top排行情况、访问应用的趋势和访问应用的时段分布情况。

注意事项

本功能仅在E114703及以上版本支持，且仅在安全威胁发现与运维管理平台增强版中支持本功能。

1. 选择“分析中心 > 行为分析 > 用户行为审计”，进入用户行为审计页面。

2. 选择指定用户操作列下的<详情>按钮，可查看该用户的行为详情。

○ 用户基本信息

展示用户的基本信息，包括用户名称、用户IP、所属用户组及所属区域。

○ 用户标签

展示系统根据用户的上网行为，为其标识的上网行为标签。

○ 统计条件

管理员可通过配置统计维度和选择指定的应用，查看用户对指定应用的访问情况。统计维度包括流量和次数，系统可分别从访问次数和访问的流量大小对用户访问的Top10应用进行统计。同时，管理员可以选择对指定的应用进行统计，系统将展示指定应用的统计排行情况。

○ 应用访问Top10

系统将根据管理员配置的统计条件，展示用户访问次数或流量排行Top10的应用。

○ Top10应用访问趋势

系统将根据管理员配置的统计条件，展示访问次数或者流量排行Top10的应用类型及其访问趋势。

○ Top10应用访问时段分布

系统将根据管理员配置的统计条件，展示访问次数或者流量排行Top10的应用及其访问时间段的分布情况。

处置中心

处置中心用于提供对安全事件和脆弱性风险进行处置、内网主机上网行为通报溯源以及查看内置案例库和处置建议库等功能。

本章包含如下内容：

处置工单

该功能用于管理处置工单。针对网络中发生的安全事件或存在的脆弱性风险，管理员可以通过创建处置工单来通知相关责任人进行处置并反馈处置结果。从而实现对网络风险进行闭环管理。

新增处置工单

1. 选择“处置中心 > 处置工单”，进入处置工单页面。

2. 单击<新增>按钮，新增处置工单。

3. 根据实际情况选择“安全事件”页签或“脆弱性风险”页签，然后在相应的页签下，单击<添加>按钮，进入添加安全事件或脆弱性风险页面。

4. 根据实际情况配置查询条件后，单击<查询>按钮，在查询结果中选择所需的安全事件或脆弱性风险。

5. 单击<选择>按钮，返回新增处置工单窗口。单击<下一步>按钮，进入工单基本信息配置页面。

6. 输入工单名称、整改期限及工单优先级。

7. 在工单责任人下拉列表中选择处置责任人，并勾选通知方式。

8. 输入处置建议。

9. 在通知附件配置项后，单击<文件上传>按钮，将通知文件附件上传至系统中。

10. 单击<下发>按钮，下发工单。

11. 处置责任人收到处置工单后，单击按钮签收任务工单，并在解决工单中的风险事件后，单击按钮上报处置结论及处置报告。

催单

1. 选择“处置中心 > 处置工单”，进入处置工单页面。

2. 对于超过整改期限的工单，管理员可以单击<催单>按钮催单，系统将会以短信、企业微信或者邮件的方式知会责任人。（其中，企业微信方式仅在E1147P03及以上版本支持）

审核工单

1. 选择“处置中心 > 处置工单”，进入处置工单页面。

2. 收到处置结论及处置报告后，管理员可以对其进行审核。审核通过则关闭工单，审核不通过可退回责任人重新处置。

撤回工单

1. 选择“处置中心 > 处置工单”，进入处置工单页面。

2. 若已创建的工单无需处理，管理员可单击<撤回>按钮对其执行撤回操作。

注意事项

· 选择邮件、短信方式、或企业微信通知责任人时，必须先在“系统设置 > 全局配置”页面完成邮件服务器和短信业务中心的相关配置，并且已正确配置指定责任人的邮箱、企业微信或联系电话，否则责任人无法成功接收处置工单通知信息。（其中，企业微信方式仅在E1147P03及以上版本支持）

· 责任人处置脆弱性风险时，对于验证后无法修复的漏洞，可以单击<移动>按钮将其移动到遗留风险列表。

· 处置工单被驳回时，工单状态会回退到“待签收”状态。

· 撤回工单后，安全事件和脆弱性风险的处理状态将被修改为未处理。

· 工单下发后，若工单中的安全事件被添加到白名单，则工单中不再显示该安全事件。

· 工单下发后，若脆弱性资产被删除，则工单详情中不再显示脆弱性风险。

响应编排

响应编排通过案件和剧本，将复杂的事件响应过程和任务转换为一致的、可重复的、可度量的、有效的工作流，实现对安全事件和脆弱性风险的自动化响应，提高安全运维团队的整体运维效率。

· 案件：用于对相同类型的安全事件或脆弱性风险进行流程化、持续化的调查分析与响应处置。安全事件或脆弱性风险成功匹配案件后，系统将按照案件中引用的剧本对安全事件或脆弱性风险自动执行一系列的响应动作。

· 剧本：定义了针对安全事件或脆弱性风险的一系列响应动作。管理员按照安全工程师的工作流程对这些动作进行编排后，当网络中发生安全事件或存在脆弱性风险触发案件时，系统将自动下发剧本中的响应动作。

通过响应编排功能，系统将根据案件自动下发剧本动作到目标设备，可有效防止发生安全风险，从而保障用户业务持续、安全、稳定的运行。

本章包含如下内容：

· 案件管理

· 剧本管理

案件管理

该功能用于管理案件。系统针对常见的安全事件提供了不同的预定义案件，可有效防止此类事件再次发生，用户也可以根据实际需求为安全事件和脆弱性风险事件自定义案件。

同时，系统提供案件复制功能，当需要将某个案件应用到其他区域时，可复制已有案件，修改案件名称和区域信息，从而提高配置效率。

新增案件

1. 选择“处置中心 > 响应编排”进入案件管理页面。

2. 单击<新增>按钮新增案件。

3. 配置案件参数。

○ 案件名称：案件的唯一标识。

○ 是否启用：是否启用案件，只有启用状态的案件能触发剧本动作下发。

○ 案件类型：触发案件执行的风险类型，包括安全事件和脆弱性风险。

○ 选择“安全事件”需要配置以下参数：

§ 攻击名称：该类攻击对应的安全事件将触发案件执行。仅自定义案件支持配置该参数。

§ 规则名称：该关联规则对应的安全事件将触发案件执行。

§ 事件类型：仅匹配选中类型的安全事件（可多选）。仅部分预定义案件支持配置该参数，请以界面实际情况为准。

§ 攻击阶段：该攻击阶段的安全事件将触发案件执行。（可多选）

§ 失陷确信度：该失陷确信度的安全事件将触发案件执行。（可多选）

§ 事件等级：该严重等级的安全事件将触发案件执行。（可多选）

○ 选择“脆弱性风险”需要配置以下参数：

§ 脆弱性类型：触发案件执行的脆弱性风险类型，包括漏洞、配置风险和弱口令。

§ 漏洞名称：脆弱性类型选择“漏洞”时，该漏洞名称对应的事件将触发案件执行。

§ 漏洞等级：脆弱性类型选择“漏洞”时，该漏洞等级对应的事件将触发案件执行。（可多选）

§ 风险名称：脆弱性类型选择“配置风险”时，该风险名称对应的事件将触发案件执行。

§ 风险等级：脆弱性类型选择“配置风险”时，该风险等级对应的事件将触发案件执行。

§ 弱口令类型：脆弱性类型选择“弱口令”时，该弱口令类型对应的事件将触发案件执行。

○ 剧本名称：定义了对成功匹配以上条件的安全事件或脆弱性风险下发的动作。

○ 剧本执行：选择剧本的执行方式，“自动执行”表示匹配案件成功后，系统自动下发相应的剧本动作，“手动执行”表示匹配案件成功后不自动下发动作，用户可根据需要在安全事件界面或事件详情界面手动下发剧本动作。

○ 生效区域：选择剧本的生效区域范围。

4. 单击<确认>按钮完成增加案件操作。

编辑案件

1. 选择“处置中心 > 响应编排”进入案件管理页面。

新增剧本

1. 选择“处置中心 > 响应编排 > 剧本管理”进入剧本管理页面。

2. 单击<新增>按钮新增剧本。

3. 剧本中如需添加重定向动作，则需要单击<重定向配置>按钮，配置重定向相关参数。当用户主机中毒后，使用浏览器访问网络资源时，浏览器会自动跳转到断网公告页面。该页面会引导用户下载并安装杀毒软件，对用户主机进行全盘扫描以及病毒查杀。具体参数如下：

○ 是否启用：选择是否开启重定向功能。

○ 杀毒软件服务器IP：为断网公告页面提供下载杀毒软件功能的服务器IP地址。

○ 杀毒软件下载链接：断网公告页面中杀毒软件的下载链接。

○ 备注信息：断网公告页面中显示的备注信息。

需要注意：

○ 配置本功能前，需要先修改平台的Web端口。有关Web端口的详细介绍，请参见平台网络设置联机帮助。

○ 重定向动作及相关配置仅在E1147P01及以上版本支持。

4. 在左侧动作列表中可以选择动作并拖动至剧本区域，并完成连线，点击动作区块可以在右侧配置动作参数。

· 剧本名称：剧本的唯一标识。

· 剧本描述：剧本的描述信息，合理的描述信息有助于管理员快速了解该剧本。

· 动作列表：针对不同的安全事件或脆弱性风险选择合适的动作。

· 系统服务

○ 告警通知

§ 邮箱告警：通过邮件方式发送告警信息到指定用户。收件人必须已配置邮件地址。

§ 短信告警：通过短信方式发送告警信息到指定用户。收件人必须已配置联系方式。

§ 企业微信：通过企业微信方式发送告警信息到指定用户。收件人必须已配置企业微信。（企业微信方式仅在E1147P03及以上版本支持）。

○ 处置工单

§ 通知责任人：平台自动创建处置工单，并通过指定的通知方式通知相关责任人处理事件。

§ 通知方式：选择指定的通知方式通知相关责任人处理事件，取值包括系统通知、邮件、短信和企业微信。选择邮件、短信和企业微信方式时，所选责任人必须已配置邮箱、手机号或企业微信（其中，企业微信方式仅在E1147P03及以上版本支持）。

· 联动封锁

○ 黑名单

§ 设备类型：执行黑名单的设备类型。选择"NGFW防火墙/IPS入侵防御系统"表示向H3C防火墙和入侵防御系统设备下发黑名单，此时设备必须先开启全局黑名单过滤功能，具体配置方法请参见目标设备配套的资料；选择"交换机/路由器"表示向H3C交换机或路由器设备下发ACL策略，并在全局QoS策略中引用ACL策略，从而实现访问控制。若设备已配置全局QoS策略，则直接在全局QoS策略中引用ACL策略；若设备未配置全局QoS策略，则先创建全局QoS策略再引用；选择“AD-WAN控制器”表示向AD-WAN控制器下发Flowspec策略；选择其他厂商的防火墙设备时，表示向设备下发黑名单，此时设备必须先开启黑名单过滤相关功能，具体配置方法请参见目标设备配套的资料。（AD-WAN控制器仅在E1147P01及以上版本支持，其他厂商的防火墙设备仅在E1147P03及以上版本支持）

§ 选择设备：执行策略的设备名称。

§ 阻断对象：包括关注点IP、对端IP和X-Forwarded-For IP，即将匹配的安全事件的源/目的IP、目的/源IP或真实源IP地址加入黑名单。其中，X-Forwarded-For IP仅在E1147P02及以上版本支持，且支持情况与设备类型有关，请以实际情况为准。。

§ 阻断方向：包括“发起方向”、“响应方向”和“双向”。“发起方向”表示丢弃源地址为阻断对象的报文；“响应方向”表示丢弃目的地址为阻断对象的报文；“双向”表示该阻断对象不能收发报文。

§ 老化时间：黑名单老化时间。黑名单达到老化时间后将被自动删除，若不配置老化时间，则表示黑名单永不老化。

§ ACL编号：指定ACL编号。

§ 纳管设备：选择AD-WAN控制器下发策略的目标设备。

○ 访问控制

§ 设备类型：执行访问控制策略的设备类型。选择“NGFW防火墙/IPS入侵防御系统”表示向H3C防火墙和入侵防御系统设备下发安全策略(策略名称以“SIS_devBlock”开头)；选择“交换机/路由器”表示向H3C交换机或路由器设备下发ACL策略，并在全局QoS策略中引用ACL策略，从而实现访问控制。若设备已配置全局QoS策略，则直接在全局QoS策略中引用ACL策略；若设备未配置全局QoS策略，则先创建全局QoS策略再引用。选择“园区网络控制器”表示通过网络控制器向网络设备下发安全策略(策略名称以“SIS_devBlock”开头)。

§ 选择设备：执行策略的设备名称。

§ ACL编号：指定ACL编号。

§ 园区网络控制器IP：指定园区网络控制器的IP地址。

○ 网站阻断

§ 设备类型：执行网站阻断策略的设备类型。仅支持H3C WAF（Web应用防火墙）设备。

§ 检测方向：包括“源”和“目的”。“源”表示阻断安全事件中的源主机发起的访问；“目的”表示阻断安全事件中源主机被其他主机访问的流量。

§ URL：WAF的访问地址，格式为“https://{IP地址}”或“http://{IP地址}”。请填写有效地址，确保平台与设备之间网络互通。

§ 用户名：WAF的登录用户名。

§ 密码：WAF的登录密码。

○ 重定向（重定向动作及相关配置仅在E1147P01及以上版本支持）

配置本动作前，需要先在剧本管理页面配置重定向相关参数。

§ 设备类型：执行重定向的设备类型。仅支持路由器和交换机。

§ 选择设备：执行策略的设备名称。

§ 阻断对象：包括关注点IP和对端IP，即将匹配的安全事件的源IP或目的IP加入设备的重定向列表。

§ ACL编号：指定ACL编号。

· 用户控制

○ 无线接入

§ 设备类型：执行用户黑名单的设备类型。仅支持H3C AC无线控制器。

§ 选择设备：执行策略的设备名称。

§ 地址类型：选择将安全事件中的源IP地址或终端MAC地址加入用户黑名单，禁止该IP或MAC对应的用户接入网络。

§ 老化时间：用户黑名单老化时间。用户黑名单达到老化时间后策略将被自动删除。

○ 上网阻断

§ 设备类型：执行上网阻断策略的设备类型。仅支持H3C ACG应用控制网关设备。

§ 阻断对象：将匹配的安全事件的源IP加入黑名单，禁止其访问互联网。

§ 老化时间：上网阻断策略老化时间。上网阻断策略达到老化时间后将失效。

§ URL：ACG应用控制网关的访问地址，格式为“https://{IP地址}”或“http://{IP地址}”。请填写有效地址，确保平台与设备之间网络互通。

§ 用户名：ACG应用控制网关的登录用户名。

§ 密码：ACG应用控制网关的登录密码。

○ 用户下线

§ 设备类型：执行用户下线策略的设备类型。仅支持H3C iMC EIA终端智能接入。

§ 下线对象：将匹配的安全事件的源IP强制下线。

§ URL：iMC EIA终端智能接入的URL，该服务器必须开启强制用户下线功能。

§ 用户名：iMC EIA终端智能接入的管理员用户。

§ 密码：iMC EIA终端智能接入的管理员用户密码。

· 终端防护

相关说明：

○ 全网主机扫描

§ 设备类型：执行全网主机扫描策略的设备类型。仅支持H3C EDR管理中心，包括终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

○ EDR告警提醒

§ 设备类型：执行EDR告警提醒策略的设备类型。仅支持H3C EDR管理中心-终端安全管理系统（ESM）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM）。

§ 老化时间：告警提醒策略老化时间。告警提醒策略达到老化时间后将失效，若不配置老化时间，则告警提醒策略永不老化。

○ EDR病毒隔离

§ 设备类型：执行EDR病毒隔离策略的设备类型。仅支持H3C EDR管理中心，包括终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

§ 老化时间：病毒隔离策略老化时间。病毒隔离策略达到老化时间后将失效，若不配置老化时间，则病毒查杀策略永不老化。

○ EDR病毒查杀

§ 设备类型：执行EDR病毒查杀策略的设备类型。仅支持H3C EDR管理中心，包括终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

§ 老化时间：病毒查杀策略老化时间。病毒查杀策略达到老化时间后将失效，若不配置老化时间，则病毒隔离策略永不老化。

○ EDR进程查杀

§ 设备类型：执行EDR进程查杀策略的设备类型。仅支持H3C EDR管理中心-终端安全管理系统（ESM）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM）。

§ 老化时间：进程查杀策略老化时间。进程查杀策略达到老化时间后将失效，若不配置老化时间，则进程查杀策略永不老化。

○ EDR主机隔离

§ 设备类型：执行EDR主机隔离策略的设备类型。仅支持H3C EDR管理中心-终端安全管理系统（ESM）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM）。

§ 老化时间：主机隔离策略老化时间。主机隔离策略达到老化时间后将失效，若不配置老化时间，则主机隔离策略永不老化。

○ EDR主机扫描（EDR主机扫描动作及相关配置仅在E1147P03及以上版本支持）

§ 设备类型：执行EDR主机扫描策略的设备类型。仅支持H3C EDR管理中心，包括终端安全管理系统（ESM）和终端安全管理系统（ESM-G）。

§ EDR管理中心：选择EDR管理中心设备。有关管理中心的配置请参见终端安全管理系统（ESM-G）。

§ 扫描对象：执行扫描任务的目标对象，仅支持对关注点IP进行扫描。

§ 扫描类型：包含快速扫描和全盘扫描。快速扫描：扫描进程以及系统关键目录(如系统盘中的windows目录) 扫描速度快，用时少，可以基本确定当前系统的安全性。全盘扫描：扫描进程以及主机的所有分区，扫描用时较长，可以更好的保证主机的系统安全。

§ 自动处置威胁：当扫描出病毒文件时，是否自动对文件进行处置。

§ 处置手段：自动处理威胁时采用的处理手段，仅支持对扫描出的病毒文件进行隔离。

· 删除：删除选中的动作。

5. 单击<确认>按钮完成增加剧本操作。

编辑剧本

1. 选择“处置中心 > 响应编排 > 剧本管理”进入剧本管理页面。

2. 单击操作列<编辑>按钮修改剧本配置参数。

注意事项

· 重定向动作仅在E1147P01及以上版本支持。

· 黑名单动作中，AD-WAN控制器设备仅在E1147P02及以上版本支持关联。

· 启用了重定向功能后，系统会自动下发重定向的相关配置。当用户修改了平台IP地址后，所有阻断对象都将无法被重定向。管理员需要重新进入重定向配置页面，单击<确认>按钮，使系统更新相关配置。更新配置后，新下发动作参数的阻断对象可以正常被重定向，但是历史阻断对象仍无法正常重定向，此时管理员可通过重新执行剧本，恢复历史阻断对象的重定向功能。（仅安全威胁发现与运维管理平台标准版存在此限制。）

· 修改重定向动作ACL编号后，历史下发的ACL策略将不再生效。

· 编辑预定义剧本时，若预定义剧本动作中包含“选择设备”、“EDR管理中心”等选项，必须为其配置有效参数才能保存成功。

· 预定义剧本无法被删除。

· 删除剧本时，若剧本已被案件引用，则需先解除引用关系。

· 若执行剧本动作的目标设备被删除，该剧本动作将会下发失败。

· 执行剧本动作的设备必须已经添加为资产，且资产管理协议配置为SSH或SOAP，同时配置时，优先使用SOAP。

· 自定义租户下的用户无终端安全管理系统配置权限，不能添加终端防护类动作。

· 剧本动作执行后将会生成执行记录，无论动作参数是否更新，重新执行该动作都将按上一次执行时的参数下发。如需下发最新动作参数，请在编排详情页面选择重新执行剧本。

· 终端安全管理系统（ESM-G）仅在E1147P03及以上版本支持。

通报溯源

通报溯源功能通过新建溯源任务来获取满足条件的NAT日志，从中提取目的IP地址、目的端口、NAT转换源IP地址、NAT转换源端口等关键信息，并结合安全事件对内网主机的上网行为进行溯源，通报存在风险行为的主机及存在相似行为的主机信息，包括风险主机IP、风险主机类型、安全状态、溯源记录等。

本章包含如下内容：

· 新增溯源任务列表

· 溯源配置

新增溯源任务列表

该功能用于新增溯源任务。

1. 选择“处置中心 > 通报溯源 > 溯源任务列表”进入溯源任务列表页面。

2. 单击<新增>按钮新增溯源任务，配置任务参数后，单击<确认>按钮下发任务。

○ 任务名称：溯源任务的唯一标识。

○ 溯源时间：配置溯源时间后，系统将获取该时刻前后1分钟内产生的满足以下条件的日志，用于溯源分析。

○ 溯源类型：选择溯源对象，包括IP溯源和域名溯源。当溯源类型为IP溯源时，系统会从指定的数据来源中获取NAT日志，用于溯源分析；当溯源类型为域名溯源时，系统会从指定的数据来源中获取DNS访问日志，用于溯源分析。有关数据来源的详细介绍，请参见溯源配置。

○ NAT转换源IP：NAT转换后的源IP地址。配置后，系统将获取NAT转换后的源IP地址为该IP的日志，用于溯源分析。

○ NAT转换源端口：NAT转换源后的端口。配置后，系统将获取NAT转换后的源端口为该端口的日志，用于溯源分析。

○ 目的IP：配置目的IP后，系统将获取目的IP为该IP的日志，用于溯源分析。

○ 目的端口：配置目的端口后，系统将获取目的端口为该端口的日志，用于溯源分析。

○ 域名地址：配置域名后，系统将获取域名为该域名的日志，用于溯源分析。其中，域名不需要包含协议类型，例如“http://”或“https://”。

3. 任务执行成功后，单击操作列的<详情>按钮，查看分析详情及原始日志。

注意事项

· 配置溯源任务前必须先进行溯源配置，用于提供日志数据来源。有关溯源配置的详细介绍，请参见溯源配置。

· 当数据来源是IT大数据时，溯源类型仅支持配置为IP溯源。

· 下发溯源任务后，若配置了白名单功能或处理了安全事件，可能导致溯源记录统计值与实际展示的安全事件不一致，此时，可重新下发溯源任务，更新统计数据。

溯源配置

该功能用于配置日志来源，为溯源任务提供分析数据。

1. 选择“处置中心 > 通报溯源 > 溯源配置”进入溯源配置页面。

2. 配置日志来源相关参数后，单击<确认>按钮完成操作。

○ 溯源类型：选择从大数据平台或本地获取日志数据。

○ URL地址：选择从大数据平台获取日志时，需要配置该平台的访问地址。地址以“http://”或“https://”开头，必须配置有效的URL地址，确保本平台与第三方系统之间网络互通，否则会导致溯源任务执行失败。

安全知识库

该功能用于展示常见安全事件的风险危害分析、处置建议及处理案例，为管理员处理网络中发生的安全事件提供合理的处置建议和参考案例。

本章包含如下内容：

· 内置案例库

· 处置建议库

内置案例库

展示安全事件的处理案例，为管理员处理安全事件提供参考方案。

1. 选择“处置中心 > 安全知识库 > 内置案例库”进入内置案例库页面。

2. 支持按案例名称、案例分类检索安全事件处理案例，输入查询条件后点击<查询>即可查看相应的案例；点击<重置>按钮重置查询条件，默认展示所有案例。

3. 选择一条案例，点击<详情>按钮可查看该案例的详细信息。

参数说明

· 案例名称：安全事件处理案例名称。

· 案例描述：安全事件处理案例的描述信息。

· 案例分类：该案例适用的安全事件类型。

处置建议库

该页面用于展示用户在安全事件详情页面编辑后的风险危害和处置建议。有关风险危害和处置建议的介绍请参见事件台账。

1. 选择“处置中心 > 安全知识库 > 处置建议库”进入处置建议库页面。

2. 支持按规则名称、事件描述检索处置建议，输入查询条件后点击<查询>即可查看相应的处置建议；点击<重置>按钮重置查询条件，默认展示所有处置建议。

3. 选择一条处置建议，点击<删除>按钮可删除该条建议，删除后，安全事件详情页面将展示该事件的预定义风险危害和处置建议。

参数说明

· 规则名称：生成安全事件的关联规则名称或UEBA规则名称。

· 事件描述：安全事件的描述信息。

· 风险危害：安全事件的风险危害。

· 处置建议：安全事件的处理方法。

资产中心

资产中心用于管理区域、资产和终端信息。

本章包含如下内容：

资产总览

该功能用于展示资产在各个维度下的统计信息，包括风险资产总数、资产总数、不同类型资产的统计值、以及不同维度下资产的分布情况等，方便管理员了解当前资产状态以及安全风险情况，从而对资产进行更精细的监控和管理。

资产列表

该功能用于展示和管理用户网络中的资产，并实时监控资产运行信息。资产是本系统管理的最小网络元素，是网络安全事件发生时的直接承受者或发起者。当资产上发生安全事件时，安全设备（如防火墙、沙箱等）会将安全事件记录成日志，上报至本系统进行分析。网络中的防火墙、路由器、交换机、服务器、摄像头等设备均可以作为资产。录入资产信息后，管理员可以统一进行管理，并可以根据不同的部门或者设备类型分组，进行更精细的监控和管理。

资产列表页面各参数解释如下（各参数的支持情况与软件版本有关，请以实际情况为准）：

· 资产名称：资产名称，单击操作列的<画像>按钮，可查看该资产的详细信息。

· 资产IP：资产的IP地址，单击资产IP可查看该资产的IP地址列表。

· ：点击将在新的窗口打开选中资产的Web登录界面。必须将设备管理口的IP地址配置为管理IP，且设备支持并已开启Web网管服务时才能进入Web网管页面。

· 资产MAC：资产的MAC地址。

· 序列号：资产的序列号，例如SN码。

· 资产型号：资产所属的具体型号。

· 资产描述：资产的描述信息，便于快速了解资产。

· 安全状态：资产的安全情况。

· 资产价值：资产在网络中的位置或保存的数据不同而具有不同的重要性，通过资产价值来标识资产的重要性，重要性越大资产价值越高。

· 所属区域：资产所属区域。

· 资产类型：资产所属的类型。

· 开放端口：资产开放的端口和服务信息。

· 资产责任人：负责维护该资产的账户名称。

· 生产厂商：资产的生产厂商。

· 操作系统：资产管理IP对应的操作系统。

· EDR状态：从终端安全管理系统同步的第三方设备资产的客户端状态。

· 添加方式：资产的添加方式（系统自动识别）。

· 操作：

○ 编辑：点击可修改选中资产的配置信息。

○ 删除：点击可删除选中资产。

○ 详情：点击查看选中资产的配置详情。

○ 快速扫描：点击可对指定的资产快速下发一个漏扫任务，有关快速扫描配置参数的详细介绍，请参见漏扫任务联机帮助。（仅E1147及以上版本支持）

○ 画像：点击查看选中资产的画像。

注意事项

· 最多只能配置10万个资产，资产数量达到规格上限后，任何方式都不能再添加资产。

· 仅一级类型为“网络设备”和“安全设备”的资产支持通过图标进入其Web登录界面。

新增/编辑资产

该功能用于增加一个新的资产或者修改已有资产信息。

1. 选择“资产中心 > 资产列表”，进入资产列表页面。

2. 单击页面中的<新增>按钮可新增资产；单击<编辑>按钮可修改选中资产的配置信息。

3. 在配置页面填写资产信息，配置完成后，单击<确认>按钮完成操作（各参数的支持情况与软件版本有关，请以实际情况为准）。

○ 资产名称：资产的唯一标识。建议填写设备实际名称。

○ 资产类型：资产类型报文括一级类型和二级类型，一级类型和二级类型具有关系，选则一级类型后系统将自动关联对应的二级资产类型。

○ 所属区域：选择资产所在的区域。

○ 资产价值：资产在网络中的位置或保存的数据不同而具有不同的重要性，通过资产价值来标识资产的重要性，重要性越大资产价值越高。缺省为未知。

○ 资产责任人：选择负责维护该资产的资产责任人。

○ 生产厂商：资产的生产厂商。

○ 序列号：资产的序列号，例如SN码。

○ 资产型号：资产所属的具体型号。

○ 资产描述：通过合理编写描述信息，便于管理员快速理解和识别该资产。

○ 资产IP：配置资产的IP地址信息，一个资产必须且仅能配置一个管理IP，最多可配置30个IP信息。单击<新增>按钮，进入新增资产IP页面，配置相关参数。完成配置后，单击<确认>按钮。其中，参数的支持情况与软件版本有关，请以实际情况为准。

§ IP类型：可选择配置IPv4或IPv6类型。

§ IP地址：资产的IP地址。

§ 域名：资产提供的访问域名，格式为www.abc.com；一个IP地址最多只能添加1个域名信息。

§ 端口：资产的访问端口，一个IP地址最多可添加10个端口号，多个端口号之间使用英文逗号“,”隔开。

§ 管理IP：表示用户配置的IP地址是否为资产的管理IP，默认用户新增的第一条资产IP即为管理IP。

§ 操作系统：资产IP对应的操作系统。

§ 省份：资产所在的省份。

§ 城市：资产所在的城市。

§ 运营商：资产所属的运营商。

○ 资产管理协议：配置系统采用命令行方式登录资产时所采用的协议类型及其相关参数。

§ SNMP参数：可通过手工编辑或从已有模板中选择。参数解释请参见SNMP模板

§ NETCONF over SSH参数：可通过手工编辑或从已有模板中选择。参数解释请参见NETCONF over SSH模板

§ NETCONF over SOAP参数：可通过手工编辑或从已有模板中选择。参数解释请参见NETCONF over SOAP模板

○ 资产开放端口：资产开放的端口与对应服务的服务名称。单击<新增>按钮，进入新增资产开放端口页面，配置相关参数，完成配置后，单击<确认>按钮。其中，参数的支持情况与软件版本有关，请以实际情况为准。

§ 端口：服务的访问端口，系统自动识别，不能编辑。

§ 服务名称：资产开放的服务名称，系统自动识别，不能编辑。

§ 操作系统：资产的操作系统。

§ 协议：端口的访问协议。

§ URL：资产提供的访问URL。

§ 该URL是否有效：URL的有效性，取值包括是和否。

§ 网站Title：网站的Title。

§ 非有效业务页面：是否为“非有效业务页面”，取值包括是和否。

注意事项

· 编辑添加方式为“流量发现”、“主动探测”或“漏扫发现”的资产时（无论是否修改配置信息）并单击<确认>按钮后，其发现方式将自动变为“手动添加”。

· 当手动新增的资产的IP信息与已有的“流量发现”、“主动探测”或“漏扫发现”的资产的资产IP信息相同时，若选择覆盖原有资产，那么，原有资产的发现方式将变为“手动添加”。

· 添加“漏洞扫描系统”类型的资产成功后，系统将自动生成一个名为漏扫设备+资产IP（如“漏扫设备192.168.0.1”）的白名单，该白名单不能手动删除或修改，只能停用或启用。有关白名单的详细介绍请参见“配置中心 > 白名单配置”。

· 删除“漏洞扫描系统”类型的资产后，该资产对应的白名单也将被自动删除。有关白名单的详细介绍请参见“系统设置 > 白名单配置”。

导入/导出资产

该功能用于导入及导出资产信息。

1. 选择“资产中心 > 资产列表”进入资产列表页面。

2. 单击<导入>按钮选择“资产导入”，在弹出的“导入资产”页面，点击下载“资产批量导入模板”，按模板要求填写相应的资产信息后保存。

3. 选择保存的导入模板，点击上传或拖拽文件即可批量导入资产。

4. 单击<导入>按钮选择“操作结果”可查看导入结果，导入失败时将展示失败原因。

5. 单击<导出>按钮将导出满足查询条件的所有资产信息；若查询条件为空，则导出系统中的所有资产信息。

资产一键整理

该功能用于更新资产所属区域信息，并对已删除的资产在平台中残留的分析数据进行清理，清理规则如下：

· 更新资产所属区域：系统将资产IP与区域IP范围进行匹配，若资产IP在某个区域IP范围内，则更新资产所属区域为该区域。其中，对于“主动探测”、“流量发现”和“漏扫发现”发现的资产，若未匹配到任何区域将被删除；第三方同步的资产若未匹配到任何区域，其所属区域保持不变；云管平台同步的资产和手动添加的资产不进行资产整理。

· 清除已删除资产的残留数据：对于已被删除的资产，系统将清除其相关的风险资产分析数据、脆弱性风险分析数据、流量分析数据、场景化分析数据以及溯源分析数据。

操作步骤

1. 选择“资产中心 > 资产列表”进入资产监控页面。

2. 单击<一键整理>的下拉三角按钮后再单击<资产一键整理>按钮可一键整理资产。

查看资产整理结果

1. 选择“资产中心 > 资产列表”进入资产监控页面。

2. 单击<一键整理>的下拉三角按钮后再单击<操作结果>按钮可查看最近整理时间和最近整理结果的具体情况。

删除资产

该功能用于删除资产信息。

1. 选择“资产中心 > 资产列表”进入资产列表页面。

2. 批量删除：选中多条资产信息，单击页面中的<删除>按钮，选择批量删除，可批量删除资产；单击操作列的<删除>按钮可删除选中的资产。

3. 一键删除：单击页面中的<删除>按钮，选择一键删除，可一键删除所有满足查询条件的资产，若无查询条件则删除所有资产。

注意事项

· 删除资产的同时，与资产相关的分析数据将被同步删除且不可恢复，请谨慎操作。

· 删除“漏洞扫描系统”类型的资产后，该资产对应的白名单也将被自动删除。有关白名单的详细介绍请参见“系统设置 > 白名单配置”。

资产配置

该功能用于自动发现和管理用户网络中的资产，并实时监控资产运行信息。资产是本系统管理的最小网络元素，是网络安全事件发生时的直接承受者或发起者。当资产上发生安全事件时，安全设备（如防火墙、沙箱等）会将安全事件记录成日志，上报至本系统进行分析。网络中的防火墙、路由器、交换机、服务器、摄像头等设备均可以作为资产。录入资产信息后，管理员可以统一进行管理，并可以根据不同的部门或者设备类型分组，进行更精细的监控和管理。

本章包含如下内容：

○ SNMP模板

○ NETCONF over SOAP模板

注意事项

· 最多只能配置10万个资产，资产数量达到规格上限后，任何方式都不能再添加资产。

· 仅一级类型为“网络设备”和“安全设备”的资产支持通过图标进入其Web登录界面。

资产发现

该功能用于开启自动发现资产功能。通过该功能，系统可自动识别区域中可管理的资产并将其添加到资产列表中，系统提供“主动探测资产”和“流量发现资产”两种资产自动发现方式。

主动发现资产

开启主动发现功能后，资产探针将主动探测网络中的内部资产，并检测资产的操作系统、厂商、主机名、MAC地址、开放的端口和服务等信息，将其添加到资产列表。通过该方式添加的资产，其添加方式为“主动探测”。

1. 选择“资产中心 > 资产配置 > 资产发现”，选择主动发现资产。

2. 打开“主动发现资产”划钮，可看到内置的资产探针信息。

3. 单击资产探针操作列下的<配置>按钮，将跳转到资产探针的Web登录界面。

4. 登录资产探针页面后，在扫描配置区域，单击<新增>按钮，配置探针扫描的IP地址范围。

5. 用户可根据实际情况，在“继承网段区域”中，选择指定的区域，“IP范围”区域中将添加所选区域中的所有网段。也可在“IP范围”区域，单击<新增>按钮，进入新增IP范围页面，选择区域，配置开始地址和结束地址，并单击<确认>按钮完成配置。

6. 单击<确认>按钮，完成扫描网段的配置。资产探针将对上述配置的网段进行资产探测。

资产探针列表参数说明

· 租户名称：资产探针所属租户。

· 探针名称：已成功注册的资产探针名称。

· 探针IP：资产探针的IP地址。

· 端口：资产探针服务端口。

· 在线状态：资产探针按预设的心跳时间周期上报状态信息，若连续3个周期内无心跳，则为离线状态；若恢复心跳，则将探针状态恢复为在线状态。

· 注册时间：资产探针的注册时间。

· 更新时间：资产探针最近一次上报资产信息的时间。

注意事项

· 资产探针注册成功后，系统将自动生成一个名为资产探针+IP（如“资产探针192.168.0.1”）的白名单，该白名单不能手动删除或修改，只能停用或启用。有关白名单的详细介绍请参见“配置中心 > 白名单配置”。

· 删除资产探针后，该资产探针对应的白名单也将被自动删除。有关白名单的详细介绍请参见“系统设置 > 白名单配置”。

流量发现资产

开启流量发现功能后，系统基于网络流量自动识别区域中可管理的资产，将其添加到资产列表。通过该方式添加的资产，其添加方式为“流量发现”。

1. 选择“资产中心 > 资产配置>资产发现”，进入资产配置页面，选择流量发现资产。

2. 打开“流量发现资产”划钮（系统默认已开启），该划钮作为总开关，控制所有区域是否启用流量发现资产功能。

3. 如果需要单独开启或关闭指定区域的流量发现资产功能，可以在指定区域右侧的操作列下，开启或者关闭划钮。

资产责任人管理

该功能用于管理资产责任人信息，包括新增、批量导入、导出及删除资产责任人信息。

新增资产责任人

1. 选择“资产中心 > 资产配置> 资产责任人管理”，进入资产责任人管理页面。

2. 单击页面中的<新增>按钮进入新增资产责任人页面。

3. 配置新增资产参数。

○ 责任人名称：资产责任人的姓名。

○ 所属部门：资产责任人所属部门名称。

○ 地址：资产责任人的通讯地址。

○ 联系方式：资产责任人的联系电话。

○ 邮箱：资产责任人的邮箱地址。

4. 单击<确认>按钮完成新增资产责任人。

删除资产责任人

1. 选择“资产中心 > 资产配置> 责任人管理”，进入资产责任人管理页面。

2. 选中多条资产责任人信息，单击页面中的<删除>按钮可批量删除资产责任人；单击操作列的<删除>按钮可删除选中的资产责任人。

导入/导出资产责任人

1. 选择“资产中心 > 资产配置> 资产责任人管理”，进入资产责任人管理页面。

2. 单击<导入>按钮选择“导入”，下载资产责任人导入模板后，按模板要求填写相应的资产责任人信息后保存配置；点击上传或将保存的导入模板文件拖拽到导入页面中，即可批量导入。

3. 单击<导入>按钮选择“操作结果”可查看导入结果，包括导入成功和导入失败，导入失败时将展示失败原因。

4. 单击<导出>按钮即可导出系统中所有的资产责任人信息。

模板参数管理

该功能用于配置系统以命令行方式登录设备时使用的协议类型及其参数。为了减少用户重复配置，将协议参数以参数模板的方式进行管理。当用户设置的参数与参数模板相同时，只需从已定义的模板中选择需要的模板即可。

SNMP模板

该功能用于新增、修改或删除SNMP模板。

新增模板

1. 选择“资产中心 > 资产配置 > 模板参数管理”，进入模板参数管理页面。

2. 选择SNMP模板，单击<新增>按钮进入新增SNMP模板页面。

3. 配置SNMP模板参数。

○ 模板名称：SNMP模板的唯一标识，不允许重复。

○ SNMP版本：包括：

SNMPv1	SNMP的v1版本。
SNMPv2c	SNMP的v2c版本。
SNMPv3 无认证无加密	SNMPv3无认证无加密。
SNMPv3 无加密 MD5认证	SNMPv3无加密，采用MD5认证。
SNMPv3 无加密 SHA认证	SNMPv3无加密，采用SHA认证。
SNMPv3 DES加密 MD5认证	SNMPv3有加密，加密算法为DES，采用MD5认证。
SNMPv3 DES加密 SHA认证	SNMPv3有加密，加密算法为DES，采用SHA认证。
SNMPv3 AES128加密 MD5认证	SNMPv3有加密，加密算法为AES128，采用MD5认证。
SNMPv3 AES128加密 SHA认证	SNMPv3有加密，加密算法为AES128，采用SHA认证。

○ 只读团体名/读写团体名：具有只读权限的团体字只能对设备信息进行查询，具有读写权限的团体可以对设备进行查询和配置。

○ 端口号：SNMP协议使用的端口号。

○ 超时时间：表示系统在与设备通信时等待其响应的最长时间。

○ 重试次数：表示系统在与设备通信发生故障时的最大重试次数。

○ 模板描述：参数模板的描述信息。

4. 单击<确认>按钮完成新增SNMP模板。

NETCONF over SSH模板

该功能用于新增、修改或删除NETCONF over SSH模板。

新增模板

1. 选择“资产中心 > 资产配置 > 模板参数管理”，进入模板参数管理页面。

2. 选择NETCONF over SSH模板，单击<新增>按钮进入新增NETCONF over SSH模板模板页面。

3. 配置NETCONF over SSH模板参数。

○ 模板名称：SSH模板的唯一标识，不允许重复。

○ 用户名：通过SSH方式登录设备时使用的用户名。

○ 密码：通过SSH方式登录设备时使用的密码。

○ 超时时间：表示系统在与设备通信时等待其响应的最长时间，单位为秒，取值范围为1~60，缺省为10。

○ 重试次数：表示系统在与设备通信发生故障时的最大重试次数，取值范围1~20，缺省为3。

○ 端口：通过SSH方式登录设备时使用的端口号，，取值范围为1～65535，缺省为830。

○ 模板描述：参数模板的描述信息。

4. 单击<确认>按钮完成新增NETCONF over SSH模板。

NETCONF over SOAP模板

该功能用于新增、修改或删除NETCONF over SOAP模板。

新增模板

1. 选择“资产中心 > 资产配置 > 模板参数管理”，进入模板参数管理页面。

2. 选择NETCONF over SOAP模板，单击<新增>按钮进入新增NETCONF over SOAP模板模板页面。

3. 配置NETCONF over SOAP模板参数。

○ 模板名称：NETCONF over SOAP模板的唯一标识，不允许重复。

○ 访问URL协议：选择开启基于HTTPS或HTTP的NETCONF over SOAP功能。

○ 端口：SOAP协议使用的端口号。访问URL协议选择HTTPS时默认端口为832（此端口号从E1147P02开始改为832），选择HTTP时默认端口为80。

○ 用户名：通过SOAP方式登录设备时使用的用户名。

○ 密码：通过SOAP方式登录设备时使用的密码。

○ 模板描述：参数模板的描述信息。

4. 单击<确认>按钮完成新增NETCONF over SOAP模板。

区域配置

区域是本系统针对用户网络进行的逻辑划分，与内网IP段绑定，方便识别IP地址是否为内网IP及其地理位置；同时，系统通过分析区域中IP的安全状态，从而推断出区域的网络安全状况。

该页面相关参数解释如下：

· ：点击可参看当前区域拥有的子区域信息。

· 区域名称：父区域或子区域名称。

· IP范围：区域的IP地址范围。

· 描述：区域描述信息。

· 地址位置：区域所属的地理位置。

· 创建人：创建区域的用户名称。

· 操作：支持编辑区域、添加子区域和删除区域。

本章包含如下内容：

· 新增区域

· 删除区域

· 导入/导出区域

注意事项

区域管理只显示当前用户所属租户下的所有区域信息。

新增区域

该功能用于新增区域。

1. 选择“资产中心 > 区域配置”进入区域配置页面。

2. 单击页面中的<新增>按钮进入新增区域页面。

3. 在新增区域页面填写区域信息。

○ 区域名称：区域的唯一标识。

○ 区域描述：区域的描述信息，合理的描述信息有助于管理员快速了解区域。

○ 区域地理位置：区域所在的省市。

○ IP范围：当前区域包含的IP地址范围。单击<新增>按钮可为当前区域添加IP范围。

§ IP地址类型：可选择配置IPv4或IPv6网段。

§ 区域网段：选择区域IP范围的配置方式，包括IP地址范围和子网。

§ 开始地址：区域IP范围的起始IPv4或IPv6地址，区域网段选择IP地址范围需要配置该参数。

§ 结束地址：区域IP范围的结束IPv4或IPv6地址，结束IP必须大于或等于起始IP。区域网段选择IP地址范围需要配置该参数。

§ IP地址：区域子网，区域网段选择子网需要配置该参数。

§ 掩码长度（或前缀长度）：区域子网的掩码长度（或前缀长度），区域网段选择子网需要配置该参数。

4. 配置完成后，单击<确认>按钮完成操作。

注意事项

· 区域名称保存后不能再修改。

· 一个父区域下最多可嵌套4层子区域，但可配置多个同一层级的子区域。

· 单击按钮可查看当前区域拥有的子区域信息。

添加子区域

该功能用于为区域创建子区域。

1. 选择“资产中心 > 区域配置”进入区域配置页面。

2. 单击操作列<添加子区域>按钮为选中区域创建子区域。参数解释请参见新增区域。

删除区域

编辑区域管理用于删除选中区域。

1. 选择“资产中心 > 区域配置”进入区域配置页面。

2. 选中多条区域信息，单击<删除>按钮即可批量删除区域；单击操作列的<删除>按钮即可删除选中的区域或子区域。

注意事项

删除父区域后，该区域下的所有子区域也会被同步删除。

导入/导出区域

该功能用于批量导入或导出区域信息。

1. 选择“资产中心 > 区域配置”进入区域配置页面。

2. 按IP范围导入

a. 单击<导入>按钮选择“IP范围导入”，单击“IP范围模板”。按模板要求填写相应的区域信息及其IP信息后保存配置。

b. 选择保存的模板，点击上传即可批量为区域配置IP范围。

3. 按区域导入

a. 单击<导入>按钮选择“区域导入”，单击“区域模板”。按模板要求填写相应的区域信息及其IP信息后保存配置。

b. 选择保存的模板，点击上传即可批量导入区域。

4. 单击<导入>按钮选择“导入结果”可查看导入结果，导入失败时将展示失败原因。

5. 单击<导出>按钮将导出满足查询条件的区域信息；若查询条件为空，则导出所有区域信息。

注意事项

· 一个父区域下最多可嵌套4层子区域，但可配置多个同一层级的子区域

· 区域导入模板中包含子区域时，其父区域必须已存在，否则导入不成功。

· 批量导入IP范围时，区域名必须已存在，否则导入不成功。

终端配置

该功能用于管理终端网段信息。配置终端网段并关联区域后，该网段内所有IP都会被标识为终端并关联到指定区域。

本章包含如下内容：

新增终端网段

1. 选择“资产中心 > 终端配置”，进入终端网段配置页面。

2. 确认待添加的终端网段是否为动态分配IP地址，系统默认使用固定IP地址的终端为资产，动态分配IP地址的终端为终端。在添加终端网段之前，请先确认待添加的终端网段为动态分配IP地址。

3. 单击页面中的<新增>按钮可新增一个终端网段。

4. 配置参数后。

· 区域名称：指定区域后，网段内所有IP都会被标识为终端，并且都属于该区域。

· 继承区域IP段：勾选继承区域IP段后，系统自动将区域IP段添加到IP范围列表，管理员可根据需要编辑IP范围，提高配置效率。

· IP范围（IP范围内的IP都会被标识为终端，单击<新增>按钮配置IP范围）：

○ IP类型：终端网段的地址类型，包括IPv4和IPv6两种。

○ 网段类型：选择终端网段的配置形式，包括：

§ 子网：选择网段后需要输入子网IP地址和子网掩码长度。

§ IP地址范围：指定范围IP地址。需要输入范围起始IP地址和范围结束IP地址，并且结束IP地址必须大于起始IP地址。

○ 排除地址：终端网段中排除的IP地址，即该IP地址不属于终端网段。

5. 单击<确认>按钮，完成新增终端网段操作配置。

导入终端网段

1. 选择“资产中心 > 终端配置”，进入终端网段配置页面。

2. 单击<导入>按钮，选择终端网段批量导入，进入导入终端网段页面。

· 漏扫设备组管理

· 漏扫报告导入

漏扫任务

该功能用于创建和下发漏扫任务。漏扫任务依据漏扫策略和漏扫参数对扫描目标进行扫描，并收集、适配和保存扫描结果。创建漏扫任务前必须先配置漏扫策略和漏扫参数。有关漏扫策略和漏扫参数的说明请参见漏扫设备配套的相关配置手册。

新增漏扫任务

1. 选择“资产中心> 漏扫配置 > 漏扫任务 > 任务列表”进入任务列表页面。

2. 单击<新增>按钮进入新增漏扫任务页面。

3. 配置任务参数。

○ 任务名称：漏扫任务的唯一标识。

○ 漏扫设备：执行任务的漏扫设备或设备组。

○ 扫描类型：扫描目标类型。

○ 扫描周期：任务的执行周期与时间。

○ 漏扫策略：不同扫描类型提供不同的漏扫策略，请根据实际情况选择。

○ 漏扫参数：不同扫描类型提供不同的预定义漏扫参数，请根据实际情况选择。

○ 扫描目标：待扫描的IP、IP范围、URL等。支持手工录入、从模板导入和从资产导入三种方式导入扫描目标。

○ 关联资产：扫描目标URL关联的资产IP地址。支持手工录入、从模板导入和从资产导入三种方式导入关联资产。扫描类型选择“web”时需要配置关联资产。

4. 单击<确认>按钮，完成操作。

5. 任务下发成功后，单击任务列表中操作列的<详情>按钮，查看任务执行记录。

注意事项

不同型号漏扫设备需要配置的任务参数不同，请以界面实际情况为准。

漏扫设备管理

该功能用于管理漏扫设备。

新增漏扫设备

1. 选择“资产中心> 漏扫配置 > 漏扫设备管理 ”，进入漏扫设备管理页面。

2. 单击<新增>按钮，进入新增漏扫设备页面。

3. 配置相关参数。

○ 设备名称：漏扫设备的唯一标识。

○ 设备厂商：漏扫设备的生产厂商。

○ 设备型号：漏扫设备型号。此参数的支持情况与设备厂商有关，请以设备实际情况为准。

○ 设备IP：漏扫设备IPv4地址。

○ 设备端口：漏扫设备的端口号。

○ 所属设备组：漏扫设备所属漏扫设备组。

○ 账户：漏扫设备的登录账号。此参数的支持情况与设备型号有关，请以设备实际情况为准。

○ 密码：漏扫设备的登录密码。此参数的支持情况与设备型号有关，请以设备实际情况为准。

4. 单击<确认>按钮，完成操作。

漏扫设备组管理

该功能用于管理漏扫设备组。将漏扫设备分组后有利于统一管理和任务下发。

新增漏扫设备组管理

1. 选择“资产中心> 漏扫配置 > 漏扫设备管理”，进入漏扫设备组区域。

2. 单击<新增漏扫设备组 > 按钮，进入新增漏扫设备组页面。

3. 配置相关参数。

○ 设备组名称：漏扫设备组的唯一标识。

○ 设备厂商：该设备组中漏扫设备的生产厂商。

○ 设备列表：加入该设备组的漏扫设备。

4. 单击<确认>按钮，完成操作。

漏扫报告导入

该功能用于导入离线漏扫报告文件，并对漏扫文件中的信息进行解析、适配、存储和展示。系统支持导入不同厂商漏扫设备生成的多种格式的漏扫报告文件。

1. 选择“资产中心> 漏扫配置 > 漏扫报告导入”，进入漏扫报告导入页面。

2. 单击<导入>按钮，选择“漏扫报告导入”，弹出漏扫报告导入弹窗。

3. 配置漏扫报告文件的相关参数。

○ 设备厂商：生成该报告的漏扫设备的生产厂商。

○ 设备型号：生成该报告的漏扫设备型号。

○ 文件格式：漏扫报告文件格式。

○ 扫描类型：漏扫报告文件的解析模板。

○ 漏扫报告导入：选择上传漏扫文件。

4. 单击<确认>完成操作。导入结果可在“操作结果”中查看。

5. 导入漏扫报告成功后，单击操作列的<详情>按钮查看该报告中的漏洞信息详情及影响资产信息；单击<下载>按钮下载漏扫报告文件；单击<删除>按钮删除已导入的漏扫报告，删除报告文件不影响已解析入库的数据。

注意事项

· 导入漏扫文件中的HostIP不在已配置区域网段中，文件能成功导入，但查看详情时页面无统计数据。

· 导入漏扫文件中的HostIP被解析为资产时，如果资产数量已达到规格上限10万个，文件能成功导入，但查看详情时页面无统计数据。

· 导入漏扫文件中的HostIP在配置的用户网段中，文件能成功导入，但查看详情时页面无统计数据。

报表中心

提供基于风险、流量、行业等多种报表模板，提供多层次、多角度、多种格式、满足不同管理角色需求的详细的分析报表，方便管理员将整网安全状态分析结果生成报表，导出到本地分析。同时，支持客户指定的周期自动生成报表以帮助用户周期回顾安全情况。

本章包含如下内容：

· 报表文件

○ 查看报表

○ 下载报表

○ 删除报表

报表文件

该功能用于展示生成的报表文件文件信息，并提供报表文件检索、下载、删除功能。同时，可在此页面新增报表导出任务，任务完成后，生成的报表文件将展示在本页面中。

查看报表

1. 选择“报表中心 > 报表文件”进入报表文件页面，在“全部”页签下即可查看所有报表文件信息。在“日报”、“周报”、“月报”和“立即执行”页签下，可查看各自类型任务下生成的报表文件。

2. 支持按生成报表文件的任务名称、报表模板等条件筛选报表文件。输入查询条件，点击<查询>按钮即可查看相应的报表文件，点击<重置>按钮重置查询条件，刷新报表文件列表。

下载报表

选中多个报表文件，单击页面上方的<下载>按钮即可批量下载报表文件，或单击操作列的<下载>按钮即可下载选中的报表文件。

删除报表

选中多个报表文件，单击页面上方的<删除>按钮即可批量删除报表文件，或单击操作列的<删除>按钮即可删除选中的报表文件。

新增报表导出任务

1. 在“全部”、“日报”、“周报”、“月报”和“立即执行”各个页签下，均可通过单击<新增>按钮，进入新增报表页面。

2. 选择所需的报表模板并配置相应的报表导出参数。有关报表导出任务的详细介绍，请参见报表模板。

3. 报表导出配置完成后，平台将下发报表导出任务。可单击<查看任务>按钮，查看任务执行结果。

4. 任务执行成功后，可到各页签下查看导出的报表文件。选择指定的报表，单击操作列<下载>按钮即可下载报表文件到本地。

注意事项

· 报表文件格式由报表导出任务指定，包括.docx、.xlsx及.zip。

· 报表文件名称格式为“生成该报表文件的报表模板名称-任务类型-任务创建人-报表任务创建时间”，如“综合安全风险报告-周报-admin-20201208094824”。

报表模板

平台提供了多种类型的报表模板，用户可以根据实际需求，选择相应的模板，下发报表导出任务。任务下发成功后，系统会生成报表文件，用户可到“报表中心 > 报表文件”页面查看生成的报表文件。

查看报表模板

选择“报表中心 > 报表模板”，进入报表模板页面，查看各模板功能。

· 综合安全风险报告：以资产+终端为分析维度，展示网络安全态势和详情，包括安全度评分、风险资产/终端统计及举证详情、安全事件统计、横向威胁信息、外部威胁信息、脆弱性统计情况和风险处置建议信息。

· 安全监测分析报告：以安全事件为分析维度，展示网络安全态势和详情，包括风险资产/终端TOP5、安全事件详情及处置建议等。

· 安全事件报告：从UEBA规则和关联规则维度，统计各个规则匹配的安全事件信息，并展示安全事件影响的主机数，同时，还可查看各类安全事件的风险危害和处置建议。

· 脆弱性统计分析报告：从区域和事件维度，统计分析系统中存在的脆弱性风险信息。

· 威胁统计分析报告：以摘要的形式展示系统存在的攻击数、风险资产/终端的数量及详情信息/终端TOP、威胁事件详情分析等。

· 恶意域名事件报告：统计内网访问的恶意域名信息。

· 恶意主机事件报告：统计内网恶意主机和外网攻击信息。

· 终端EDR统计分析报告：通过全网资产识别发现，统计资产类型及分布，同时结合终端EDR的安装情况，分析各区域存活资产数和终端EDR客户端安装率。

下发报表导出任务

1. 用户可根据实际需求，选择相应的报表模板，单击<报表导出>按钮，进入新增报表页面。（下面以安全监测分析报告模板为例，介绍报表导出任务的下发过程，不同类型的报表模板需要配置的参数不同，请以实际情况为准。）

说明：

○ 任务类型：表示任务的执行周期，可选择日报、周报、月报及立即执行，不同的任务类型需要配置的参数如下：

§ 选择日报，系统将会在每天23:59:59执行任务，并统计每天00:00:00~23:59:59之间的数据，生成报表文件。

§ 选择周报，系统将会在每周日的23:59:59执行任务，并统计周一00:00:00到周日23:59:59之间的数据，生成报表文件。

§ 选择月报，系统将会在每月最后一天23:59:59执行任务，并统计每月1号00:00:00到每月最后一天23:59:59之间的数据，生成报表文件。

§ 选择立即执行，需要指定统计周期，配置完成后系统将立即执行任务并按统计周期统计安全事件信息，生成报表文件。

○ 邮件通知：生成报表后可通过邮件知会相关管理员。指定的收件人必须配置了正确的邮箱地址，关于邮箱配置请参见用户管理。

2. 配置导出参数后，系统将下发一个导出任务。

查看报表导出任务执行结果

1. 用户可通过单击<查看任务>按钮，查看任务执行结果。

2. 任务执行成功后，可到“报表中心 > 报表文件”页面查看、下载、删除报表文件。

综合安全风险报告自定义配置

1. 对于综合安全风险报告，平台支持配置中文标题、英文标题和统计内容。用户可单击综合安全风险报告区域下的<自定义配置>按钮，进入模板配置页面，配置自定义模板参数。

说明：

○ 中文标题：指定报表文件中首页展示的中文标题。

○ 英文标题：指定报表文件中首页展示的英文标题。

○ 统计内容：选择报表文件中包含的统计内容。

2. 单击<确认>按钮，完成参数配置。

注意事项

· 不同的报表模板可配置的导出参数不同，请以界面实际情况为准。

· 当选择的报表模板本身为zip或xlsx格式时，不能再在“输出格式”指定报表格式。生成的报表文件将按照模板格式输出。

· 缺省情况下，周期性任务创建成功后，其任务状态为“运行中”，单击<停用>或<启用>按钮可改变任务运行状态。停用状态下的任务将不再运行，直到再次启用。

· 仅周期性任务支持通过<停用>和<启用>按钮改变任务运行状态。

· 若配置邮件通知责任人，则必须在“系统配置 > 全局配置”页面完成邮件服务器相关配置，否则邮件发送失败。

· 生成的报表文件名称格式为“生成该报表文件的报表模板名称-任务类型-任务创建人-报表任务创建时间”，如“综合安全风险报告-周报-admin-20201208094824”。

安全服务

安全专家服务提供专家会诊和云端托管服务，帮助用户分析当前网络安全态势、协助用户快速发现与解决安全问题，同时提供常用分析工具的下载链接，方便管理员自行下载并使用工具。

本章包含如下内容：

· 远程专家会诊服务

· 云端托管

· 响应工具

远程专家会诊服务

用户可以通过远程专家会诊服务功能向安全运营中心发起协助请求，安全运营中心收到请求后，会指派安全专家进行远程专家会诊服务处理，并提供安全分析会诊报告，帮助用户分析当前网络安全态势。

新增远程专家会诊任务

1. 选择“安全服务>专家会诊”，进入远程专家会诊服务页面。系统缺省配置了安全运营中心的地址为secaas.h3c.com，服务端口为16443。

2. 在用户权益区域，用户可以查看拥有的远程巡检和应急响应次数，仅当剩余次数不为0时，才能创建远程专家会诊任务。用户可单击<升级购买>按钮，按需购买服务。

3. 单击<新增>按钮，新增远程专家会诊任务，并配置如下参数，方便专家与其进行沟通交流。

○ 任务类型：远程专家会诊任务的类型，包括应急和巡检。应急是指有突发事件时，需要应急响应；巡检是指常规的系统巡检。

○ 任务描述：远程专家会诊任务的描述信息。

○ 联系人姓名：请求协助的客户姓名。

○ 联系电话：请求协助的客户联系电话。

○ 邮箱地址：请求协助的客户的邮箱地址。

○ 公司组织：请求协助的客户的公司组织。

○ 勾选授权说明：远程专家会诊期间，专家需要获取系统的登录权限和操作权限，客户需要在阅读说明后，勾选说明前的复选框，同意授权。

4. 单击<确认>按钮，完成新增远程专家会诊任务。

5. 安全运营中心收到任务后，将指派安全专家进行远程会诊。安全专家通过安全运营中心远程访问本系统，对系统数据进行会诊分析后，提交分析报告并结束任务。

6. 客户可在本页面查看远程专家会诊任务进度，下载会诊分析报告。任务结束后，用户可单击操作列中的<评价>按钮，对任务进行服务评价。

注意事项

· 只有当前任务处于待分配或待确认状态下才支持取消。

· 只有当前任务已结束、已取消或连接异常时才能添加新的任务。

· 当安全威胁发现与运营管理平台和安全运营中心的系统时间不一致时，可能会出现任务开始时间超前或滞后的情况，请确保两个系统的时间一致。

· 远程专家会诊任务完成后，安全运营中心会向用户发送结束任务的请求，如果用户在3天内未进行确认，会诊任务将自动结束。

· 当任务状态显示为“连接异常”时（可能由于平台与安全运营中心网络连接异常等问题导致），用户需要重新创建远程专家会诊任务。

云端托管

威胁检测与响应服务MDR基础版可依托于青丘安全运营中心和安全专家团队，为客户提供5*8小时的“托管式”安全服务，可实现风险及时告警、专家快速响应、定期安全巡检、过程全程可视。威胁检测与响应服务MDR高级版可在基础版基础上提供7*24小时全程服务。

1. 选择“安全服务>云端托管”，进入威胁检测与响应服务MDR页面。

2. 在用户权益区域，用户可查看威胁检测与响应服务MDR服务的剩余时间和总服务时长。

3. 在MDR连接区域，可查看设备SN码以及设备与安全运营中心的连接状态。在安全运营中心绑定设备SN后，单击“连接登录”，进入MDR连接页面，可配置联系人信息，单击<连接>按钮，可连接到安全运营中心。

· 联系人姓名：联系人的姓名。

· 联系方式：联系人的联系电话。

· 邮箱：联系人的邮箱。

· 勾选服务授权：云端威胁检测与响应服务MDR服务期间，云端管理人员需要获取系统的登录权限和操作权限。用户需要在阅读说明后，勾选说明前的复选框，同意授权。

4. 在数据上报区域，单击<上报规则配置>，进入上报规则配置页面。在此页面中，可以选择监控的资产以及安全事件确信度，系统会将符合条件的安全事件上报给安全运营中心。单击<确认>按钮，完成配置。

5. 安全运营中心管理人员完成运维任务后，会生成安全报告和巡检报告，用户可到报告列表中进行下载。

响应工具

响应工具主要提供报文分析和进程服务管理等常用分析工具的下载链接。

1. 选择 “安全服务>响应工具”，进入响应工具页面。

2. 单击所需工具下方的<下载应用>按钮，可将工具安装文件下载到本地。

系统设置

提供系统基础配置，包括权限管理、平台升级、数据源配置、关联规则、威胁情报等配置。

本章包含如下内容：

· Agent管理

· 白名单

· UEBA配置

全局配置

该功能主要用于配置系统全局参数，包括网络设置、通知设置、系统设置等。

本章包含如下内容：

时间管理

该功能用于修改部署本平台的所有服务器的系统时间。当服务器系统时间与浏览器（管理PC）、日志源或漏扫联动设备的系统时间不一致时，可能会导致日志分析、查询不准确及漏扫数据时间不一致等问题，用户可通过该页面修改服务器时间。

系统提供以下两种方式修改系统时间：

· 手动设置：手动设置服务器系统时间。

· NTP时间同步：NTP（Network Time Protocol，网络时间协议）可以用来在分布式时间服务器和客户端之间进行时间同步，使网络内所有设备的时间保持一致。开启NTP时间同步后，部署本平台的服务器将作为客户端，从NTP服务器获得时间同步。

手动设置时间

1. 选择“系统设置 > 系统配置> 全局配置>网络设置>时间管理”，进入时间管理页面。

2. 支持将“系统时间”、“本地时间”或通过时间控件配置的时间设置为部署本平台的所有服务器的系统时间。其中，“系统时间”表示当前服务器的系统时间，<本地时间>表示管理PC的系统时间。单击对应按钮后，再单击<确认>按钮完成操作。

通过NTP服务器同步时间

1. 选择“系统设置 > 系统配置> 全局配置>网络设置>时间管理”，进入时间管理页面。

2. 勾选“开启NTP时间同步”并配置NTP服务器的IP地址或域名后，单击<确认>按钮完成操作。

注意事项

· 修改服务器系统时间后平台部分服务将会自动重启，部分业务可能会出现暂时中断现象，请谨慎操作。

· 修改服务器系统时间，对于本地授权，会影响威胁情报更新升级授权的实际有效时长；对于License Server授权，不影响实际有效时长，但是会改变生效时间段。

平台网络设置

该功能用于修改本系统的网络参数。

1. 选择“系统设置 > 系统配置> 全局配置>网络设置>平台网络设置”，进入平台网络设置页面。

2. 可以配置如下网络参数：

○ DNS服务器设置：配置DNS服务器IP地址。系统向DNS服务器查询域名和IP地址之间的映射关系，实现通过域名访问目标网址。当系统不能直接访问外网时，为了正常使用威胁情报在线升级功能，必须配置DNS服务器，并开启网络代理，确保系统可以访问H3C官网。

○ 网络代理设置：配置是否启用代理服务器。当系统不能直接访问外网时，为了正常使用威胁情报在线升级功能，必须配置DNS服务器，并开启网络代理，确保系统可以访问H3C官网。若代理服务器开启了接入认证功能，则必须配置验证用户，并且该用户具有访问外网的权限。

○ 平台IP地址/网关设置：配置系统IP地址及网关。系统首次部署或网络变更时，可在本页面修改系统IP地址及网关。修改完成后系统自动重启，重启后请使用修改后的IP地址访问系统。（仅安全威胁发现与运维管理平台标准版支持配置本功能）

○ Web端口设置：系统缺省使用443端口提供Web服务，管理员也可根据实际需求，修改Web服务端口。修改端口后，需要重新登录系统，并且需要在系统IP地址后加上配置的端口号，如https://10.10.10.1:444。

需要注意，如果系统已启用重定向功能，则Web端口无法修改为443。有关重定向功能的详细介绍，请参见剧本管理联机帮助。（仅安全威胁发现与运维管理平台标准版支持重定向功能，重定向动作及相关配置仅在E1147P01及以上版本支持。）

3. 配置相关参数后，单击<确认>按钮完成操作。

系统登录白名单

该功能用于限制登录本系统的IP地址，配置白名单后，只有在白名单中的IP地址可以登录本系统，未配置白名单则所有用户均可登录。

参数说明

· 类型：白名单IP地址类型，包括单IP和IP地址范围。

· IP：白名单中的IP地址，可以是单个IP或IP地址段。

· 描述：通过合理编写描述信息，便于管理员快速理解和识别该条白名单。

· 创建时间：创建该条白名单的时间

· 更新时间：最近一次修改该条白名单信息的时间。

注意事项

· 系统登录白名单只支持精确查询，查询时必须输入完整准确的IP地址，如192.168.0.1。

新增/编辑白名单

该功能用于新增一条白名单或修改已有白名单配置信息。

1. 选择“系统设置> 系统配置 > 全局配置> 网络设置> 系统登录白名单”，进入系统登录白名单页面。

2. 单击<新增>按钮即可新增一条白名单，单击<编辑>按钮即可修改选中的白名单信息。

○ 类型：包括单个IP和IP地址范围。

○ IP：需要加入白名单的IP地址，根据所选类型输入单个IP地址或IP地址范围。输入IP地址段范围，结束IP必须大于起始IP。

○ 描述：通过合理编写描述信息，便于管理员快速理解和识别该条白名单。

3. 单击<确认>按钮完成操作。

删除白名单

该功能用于删除白名单信息。若删除的白名单中包含当前已登录的IP地址，该IP地址不会被强制下线，但是登出后不能再登录系统。

1. 选择“系统设置> 系统配置 > 全局配置> 网络设置> 系统登录白名单”，进入系统登录白名单页面。

2. 选中多条白名单，单击<删除>按钮即可批量删除白名单，或某条白名单后的<删除>按钮即可删除该条白名单。

融合平台管理

该功能用于展示与本平台融合的第三方平台信息，包括安全业务管理平台、U-Center统一运维平台和安全知识大脑深度威胁检测平台。

配置安全业务管理平台

该功能用于将安全业务管理平台注册到本平台，注册成功后，可在本平台查看安全业务管理平台的相关页面。

1. 选择“系统设置 > 系统配置> 全局配置>网络设置>融合平台管理”，进入融合平台管理页面。

2. 在安全业务管理平台区域，单击<注册详情>查看安全业务管理平台信息。有关注册操作的详细介绍请参见安全业务管理平台配套资料。

3. 如需撤销注册信息，可单击<注销注册>按钮，执行撤销注册操作。撤销注册后，本平台将不再展示安全业务管理平台相关的菜单页面。

配置U-Center统一运维平台

该功能用于将本平台注册到U-Center统一运维平台，注册成功后，可在U-Center统一运维平台查看本平台相关页面。

1. 选择“系统设置 > 系统配置> 全局配置>网络设置>融合平台管理”，进入融合平台管理页面。

2. 在U-Center统一运维平台区域下，单击<注册与恢复>按钮，进入U-Center注册与恢复页面。

3. 配置相关参数后，单击<注册>按钮，完成操作。

4. 注册成功后，如需撤销注册信息，可单击<恢复>按钮，执行撤销注册操作。

参数说明

· 地址：U-Center统一运维平台的IP地址。

· 平台地址：本平台Web服务的IP地址。

注意事项

· 注册和恢复过程中会重启本平台，请谨慎操作。

· 注册成功后，通过浏览器访问本平台时，需要在IP地址后加上csap，如https://10.10.10.1/csap；恢复后访问地址不需要加csap。

配置安全知识大脑深度威胁检测平台

该功能用于展示安全知识大脑深度威胁检测平台注册到本平台后的相关注册信息，并提供注销注册功能。

1. 选择“系统设置 > 系统配置> 全局配置>网络设置>融合平台管理”，进入融合平台管理页面。

2. 在安全知识大脑深度威胁检测平台区域，单击<注册详情>查看安全知识大脑深度威胁检测平台信息。有关注册操作的详细介绍请参见安全知识大脑深度威胁检测平台配套资料。

3. 如需撤销注册信息，可单击<注销注册>按钮，执行撤销注册操作。撤销注册后，本平台将不再展示安全知识大脑深度威胁检测平台相关的菜单页面。

短信业务中心

该功能用于管理短信网关配置信息。配置短信网关后，系统可将信息发送到指定手机。不同的短信网关配置参数不同，请根据实际情况进行配置。

1. 选择“系统设置 > 系统配置> 全局配置>通知设置>短信业务中心”，进入短信业务中心页面。

2. 编辑短信平台信息，单击<确认>按钮完成操作。

○ 短信服务接口地址：选择指定的短信平台，配置后，告警信息或处置任务信息将由该平台发出。

○ 数据库名称：调用短信平台的指定数据库的名称。

○ 数据库名称：调用短信平台的指定数据库的地址。

○ 用户名：调用短信平台所需的用户名。

○ 密码：调用短信平台所需的用户密码。

○ 测试短信配置：测试平台短信发送功能的可用性。单击后需要填写短信接收号码，填写后，单击发送测试短信按钮，短信平台将向指定的手机号码发送测试短信。

○ 短信接收号码：短信接收人的手机号码。用于测试短信平台的可用性，测试收件人是否能够收到该平台信息。

注意事项

· 不同短信服务平台需要配置的参数不同，请以实际情况为准。

· 若其他功能页面（如告警策略、剧本管理等）已将短信账号添加为接收用户，更新或删除短信账号后，平台仍继续向原账号发送短信。如需更新接收用户或停止发送短信，请在对应页面中更新或移除原账号。

邮件服务器

该功能用于配置邮件服务器，通过配置邮件服务器，系统可将信息发送到指定邮箱。

1. 选择“系统设置 > 系统配置> 全局配置>通知设置>邮件服务器”，进入邮件服务器配置页面。

2. 编辑邮件服务器信息，单击<确认>按钮完成操作。

○ 协议：电子邮件传输协议，其中，Exchange协议的邮件服务仅支持Exchange Server 2016版本。请根据邮件服务器实际情况选择。

○ 开启SSL：选择是否加密传输邮件，协议选择SMTP时才需要配置该参数。

○ 邮件服务器地址：邮件服务器的IPv4地址或URL。

○ 端口号：邮箱服务器端口号。

○ 邮箱账号：邮箱服务器上已注册的邮箱账号，作为发件人发送告警邮件或处置任务邮件。

○ 邮箱密码：邮箱账号对应的密码。

○ 测试邮箱配置：测试邮件服务器是否可用。单击后弹出邮箱接收地址输入框，配置地址后，单击发送测试邮件按钮，邮件服务器将向指定的地址发送测试邮件。

○ 邮箱接收地址：用于测试邮件服务器可用性的收件人邮箱，测试收件人是否能够收到该邮件服务器的邮件。

注意事项

若其他功能页面（如告警策略、剧本管理等）已将邮箱账号添加为接收用户，更新或删除邮箱账号后，平台仍继续向原账号发送邮件。如需更新接收用户或停止发送邮件，请在对应页面中更新或移除原账号。

企业微信

该功能用于配置企业微信，通过配置企业微信，系统可通过企业微信发送信息。

1. 选择“系统设置 > 系统配置> 全局配置>通知设置>企业微信”，进入企业微信配置页面。

2. 编辑企业微信信息，单击<确认>按钮完成操作。

○ 企业ID：企业微信中当前企业的ID。

○ 应用ID：企业微信的应用ID，可在企业微信管理端的“应用与小程序> 应用”中获取。

○ 应用密钥：企业微信的应用密钥，可在企业微信管理端的“应用与小程序> 应用”中获取。

○ 测试企业微信：测试企业微信是否可用。

注意事项

（企业微信功能仅在E1147P03及以上版本支持。）

数据清理

数据清理功能可自动周期性检查并清理系统中的原始日志，当日志存储容量或存储时间达到阈值条件时会触发删除告警，系统将删除存储时间最早的原始日志，直到原始日志的存储空间或存储天数降到清理阈值以下。

1. 选择“系统设置 > 系统配置> 全局配置>系统设置>数据清理”，进入日志存储空间设置页面。

2. 设置日志的优先级：在日志接收设置区域，可滑动开启“优先级配置”功能，配置各日志类型的日志采集优先级。单击<设置优先级>按钮，进入设置日志优先级页面。可通过拖动图标，调整不同日志类型的优先级，排名越靠前，优先级越高。单击<保存>按钮，完成配置。系统将按照优先级由高到低的顺序对不同类型的日志进行采集。

3. 编辑日志的存储空间清除阈值：在日志存储空间设置区域，可编辑存储空间清除阈值（百分比），日志存储量占系统总容量的百分比达到空间阈值后，系统将清理存储时间最早的日志，直到日志存储百分比小于空间阈值。空间阈值配置范围为50%～90%，缺省为90%。

4. 设置各日志类型的数据最大保存天数：在日志存储时间设置区域，可设置各日志类型的数据最大保存天数。不同日志类型系统设置不同的初始最大保存天数，日志存储时间达到设置的保存天数后将删除存储时间最早的原始日志。不同的日志类型保存时长不同，请根据页面提示设置。选择某一类日志后面的<编辑>按钮修改日志的保存时间，单击<确认>按钮完成操作。

注意事项

· 当采集的日志量达到阈值上限时，可能存在某个较低优先级类型的日志整体无法采集的风险，请用户根据实际需求，谨慎配置该功能。

· 设置日志的优先级的功能仅在E1146P04及以上版本支持。

告警规则

该功能用于监控平台运行状态，如内存使用率、采集器状态等，当监控项满足告警规则时，系统将生成告警提示信息，方便管理员第一时间了解并处理异常。

1. 选择“系统设置 > 系统配置> 全局配置>系统设置>告警规则”，进入告警规则配置页面。

2. 单击<编辑>按钮即可修改告警规则。

○ 规则名称：告警规则名称，即监控对象。

○ 告警阈值(%)：系统CPU、内存、磁盘（数据）、磁盘（系统）的使用率达到设置的阈值时触发告警。

○ 告警级别：根据告警严重程度，可以选择严重、警告、通知。

○ 告警描述：监控对象异常情况描述。

○ 通知方式：支持通过弹框、邮件、短信三种方式向管理员发送告警信息。

○ 通知责任人：选择向指定的管理员发送告警信息。通知方式选择邮件或短信时，需要配置该参数。

3. 配置完成后，单击<确认>完成操作。

注意事项

○ 通知方式选择邮件和短信方式时，必须先为管理员用户配置正确的邮箱和联系电话。有关用户配置的详细介绍请参见用户管理。

○ 不配置任何通知方式时，不展示告警信息，但可以在系统日志页面查看异常日志记录。

日志备份与恢复

该功能用于备份与恢复平台产生的大量日志数据，为用户提供更加灵活的方式管理日志数据。

日志备份

该功能用于周期性检查并备份系统中的原始日志。配置正确的FTP服务器连接参数并启用备份功能后，系统将于每日凌晨2:00打包前一天的日志数据并将其转储至目标FTP服务器上。

1. 选择“系统设置 > 系统配置> 全局配置>系统设置>日志备份与恢复”。

2. 选择“日志备份”页签，设置相关FTP连接参数后，单击<启用备份>按钮，系统将测试该FTP服务器是否可用，可用则启用备份功能，否则提示启用失败。

○ FTP服务器：将系统中的日志转储到该FTP服务器的对应目录下。

○ 开始时间：设置日志备份功能启用日期，该日期必须晚于当前日期。

○ 用户名：FTP的登录用户名，用于校验FTP连接可用性。

○ 密码：FTP的登录密码，用于校验FTP连接可用性。

3. 启用备份功能成功后，可单击<停用>按钮停用数据备份。

注意事项

不支持将日志备份到Windows版本FTP服务器。

日志恢复

该功能用于从目标FTP服务器上恢复系统日志数据。配置日志恢复任务后，系统将从FTP服务器中选择指定时间区间的日志备份文件进行恢复，恢复的日志数据保存在本系统数据库中。

1. 选择“系统设置 > 系统配置> 全局配置>系统设置>日志备份与恢复”。

2. 选择“日志恢复”页签，设置相关FTP连接参数和所要恢复的日志备份的时间区间，点击<开始恢复>按钮，系统将测试该FTP服务器是否可访问，成功访问则执行恢复任务，恢复记录将在页面下方展示。

○ FTP服务器：用于存放备份日志文件的FTP服务器路径。

○ 恢复时间段：在该时间段内的备份的日志文件将被恢复到本系统。

○ 用户名：FTP的登录用户名，用于校验FTP连接可用性。

○ 密码：FTP的登录密码，用于校验FTP连接可用性。

注意事项

不支持从Windows版本FTP服务器恢复日志。

系统参数

该功能用于设置用户登录本系统的相关参数。

1. 选择“系统设置 > 系统配置> 全局配置>系统设置>系统参数”，进入系统参数设置页面。

2. 编辑登录相关参数，单击<确认>按钮完成操作。

○ 用户闲置超时时长：若用户在超时时间内没有操作Web界面，系统将会强制断开该用户的Web连接，使该用户下线。缺省超时时长为1800秒。

○ 允许登录失败次数：允许连续登录失败次数，缺省允许3次。

○ 登录失败锁定时长：达到允许连续登录失败次数后，需要等待锁定时间后才能重新登录。缺省锁定时长为600秒。

○ 相同用户同时登录：选择是否允许同一个用户通过不同的客户端同时登录本系统。

租户管理

该功能用于管理租户信息，通过多租户机制实现租户间的数据隔离。系统的租户分为默认租户和自定义租户：

· 默认租户：系统提供一个默认租户，该租户不能被编辑或删除。默认租户下的用户可以查看的统计数据如下：

○ 默认租户下，具备预定义角色的用户，可查看全网数据。

○ 默认租户下，不具备预定义角色的用户，只能查看默认租户下的数据。

· 自定义租户：用户根据需求配置的租户。自定义租户下的用户根据角色赋予的菜单权限，只能查看本租户的数据。

本章包含如下内容：

· 新增租户

· 删除租户

· 注意事项

新增租户

1. 选择“系统设置 > 系统配置> 租户管理”，进入租户管理页面。

2. 单击<新增>按钮新增租户，单击<编辑>按钮修改选中的租户信息。

○ 租户名称：租户的唯一标识。

○ 租户描述：租户的描述信息，合理的描述信息有利于管理员快速了解和识别租户。

3. 单击<确认>按钮完成新增一个租户。

删除租户

1. 选择“系统设置 > 系统配置> 租户管理”，进入租户管理页面。

2. 选中多个租户，单击<删除>按钮批量删除租户，单击操作列的<删除>按钮删除一个租户。

注意事项

升级到支持租户功能的版本后，系统原有的配置（采集器、日志源等）默认属于默认租户，新增租户后，必须为其分配采集器，否则该租户无法添加日志源。

权限管理

该功能用于管理用户及角色信息。

本章包含如下内容：

· 用户管理

· 角色管理

用户管理

该功能用于管理用户信息，包括新增、修改、删除用户及查询用户信息。

本系统中的用户分为预定义用户和自定义用户，预定义用户不能删除，但可以修改其密码、电话、邮箱及登录状态。预定义用户如下：

· admin：登录账号/密码为admin/secCsap@12345，角色为管理员，所属租户为默认租户。

· sysAdmin：登录账号/密码为sysAdmin/sysCsap@12345，角色为系统管理员，所属租户为默认租户。

· buzAdmin：登录账号/密码为buzAdmin/buzCsap@12345，角色为业务管理员，所属租户为默认租户。

· auditAdmin：登录账号/密码为auditAdmin/auditCsap@12345，角色为审计管理员，所属租户为默认租户。（仅在E1146P03及以上版本支持该用户）

新增用户

1. 选择 “系统设置 > 系统配置> 权限管理 > 用户管理”进入用户管理页面。

2. 单击<新增>按钮，输入用户信息后，单击<确认>完成操作。

○ 所属租户：用户所属租户。

○ 用户名：登录用户名称。

○ 用户全称：用户全称可与用户名相同。

○ 密码：登录密码。

○ 确认密码：再次输入密码。

○ 电话：用户联系电话号码，用于接收系统信息。

○ 邮箱：用户邮箱地址，用于接收系统邮件。

○ 企业微信：用户企业微信，用于接收系统通知。（企业微信方式仅在E1147P03及以上版本支持）

○ 用户角色：选择用户所属角色，为用户指定角色即可赋予用户该角色所拥有的权限。

○ 登录状态：默认为正常，状态为锁定时不可登录。

编辑用户

1. 选择 “系统设置 > 系统配置> 权限管理 > 用户管理”进入用户管理页面。

2. 选中要编辑的用户，单击<编辑>按钮，修改用户信息后，单击<确认>完成操作

删除用户

1. 选择 “系统设置 > 系统配置> 权限管理 > 用户管理”进入用户管理页面。

2. 选中多条用户信息，单击<删除>按钮批量删除用户，单击操作列的<删除>按钮删除一个用户。

修改密码

1. 选择 “系统设置 > 系统配置> 权限管理 > 用户管理”进入用户管理页面。

2. admin用户可以单击操作列的<修改密码>按钮修改自己的登录密码。其中，admin用户除了可以修改自己的密码外，还可以在不知道其他用户旧密码的情况下重置其登录密码。

配置密码策略

1. 选择 “系统设置 > 系统配置> 权限管理 > 用户管理”进入用户管理页面。

2. 单击<密码策略>按钮，根据需要开启密码长度、复杂度检查及密码过期提醒功能。配置完参数后，单击<确认>按钮，完成配置。

○ 开启密码长度校验：开启密码长度校验后，当设置用户密码时，如果输入的密码长度小于设置的密码最小长度，系统将不允许设置该密码。

○ 开启密码组合检查：设置用户密码的组成元素的组合类型，包括大写字母、小写字母、数字和特殊字符。例如，同时选中四种类型，则设置的密码中必须同时包含大写字母、小写字母、数字和特殊字符。开启密码组合检查后，当用户设置密码时，系统会检查设定的密码是否符合配置要求，只有符合要求的密码才能设置成功。

○ 开启密码过期提醒：设置密码有效期及过期提醒时间。在用户登录时，系统会判断其密码距离过期的时间是否在设置的提醒时间范围内。如果在提醒时间范围内，系统会提示该密码还有多久过期，并询问用户是否修改密码。如果用户选择修改，则记录新的密码及其设定时间。如果用户选择不修改或者修改失败，则在密码未过期的情况下仍可以正常登录。密码过期后，登录时必须按页面提示修改密码才能登录。

角色管理

该功能用于管理角色及其菜单权限，包括新增、修改、删除角色，并为角色分配权限。

本系统中的角色分为预定义角色和自定义角色，预定义角色不能编辑或删除，自定义角色由用户根据需求新增并赋予权限。系统预定义角色如下：

· 管理员：拥有系统全部权限，包括新增、删除和修改租户、用户及角色配置。

· 系统管理员：拥有“综合概览”、“系统设置”下部分系统基础功能的管理权限。

· 业务管理员：拥有“综合概览”、“威胁中心”、“分析中心”、“处置中心”、“资产中心”、“报表中心”、“安全服务”和“系统设置”下部分业务相关功能的管理权限。

· 审计管理员：拥有“系统设置”下部分日志功能的管理权限。（仅在E1146P03及以上版本支持该角色）

· 租户管理员：拥有“系统设置> 系统配置 > 权限管理”页面的配置权限，“综合概览”、“分析中心”查看权限，以及“处置中心”、“资产中心”、“报表中心”、“安全服务”下部分管理权限。

新增角色

1. 选择“系统设置 > 系统配置> 权限管理 > 角色管理”页签进入角色管理页面。

2. 单击<新增>按钮，输入角色名称和描述，点击<确认>完成操作。

○ 角色名称：角色的唯一标识。

○ 角色描述：角色的描述信息，合理的描述信息有助于管理员快速了解该角色。

编辑角色

1. 选择“系统设置 > 系统配置> 权限管理 > 角色管理”页签进入角色管理页面。

2. 选择一个角色，单击操作列的<编辑>按钮修改角色描述信息后，单击<确认>完成操作。

设置角色权限

1. 选择“系统设置 > 系统配置> 权限管理 > 角色管理”页签进入角色管理页面。

2. 选中要编辑的角色，点击<权限设置>按钮进入角色权限页面，勾选相应的区域权限和菜单权限后，单击<确认>完成权限分配。

删除角色

1. 选择“系统设置 > 系统配置> 权限管理 > 角色管理”页签进入角色管理页面。

2. 选中一个或多个角色，单击<删除>按钮批量删除角色，单击操作列的<删除>按钮删除一个角色。

个性化定制

个性化定制功能用于自定义系统名称和系统Logo等信息。

1. 选择“系统设置 >系统配置 > 个性化定制”，进入个性化定制页面。

2. 修改相关参数后，单击<确认>按钮完成操作。

○ 公司名称：设置登录页面CopyRight处的公司名称，默认为新华三技术有限公司。

○ 系统名称：设置展示在登录界面和导航树上方的系统名称，默认为安全威胁发现与运营管理平台。

○ 首页定制：选择登录后展示的页面，默认展示“综合态势”页面。

○ 安全度最低分：安全度是系统根据全网综合安全状态实时计算出的评分，可辅助用户评估全网安全状态。设置安全度最低分后，当实际安全度低于该值时，页面展示为设置最低分。有关安全度评分规则的详细介绍请参见综合态势。

○ Logo定制：设置系统名称前面的Logo图片，支持png、jpg、jpeg格式，推荐图片像素为400*100。选择通用则登录页面及导航树上方用同一张图片，选择定制可分别设置登录页面及导航树上方的Logo图片。

操作日志

该页面下支持展示操作日志和系统日志。

· 操作日志：用于记录用户登录系统后所执行的动作，如登录系统、退出系统、访问页面，可查询和导出操作日志。

· 系统日志：用于记录系统中硬件、软件和系统问题，如日志采集器离线、内存利用率超过90%等，可查询和导出系统日志。

注意事项

本功能仅在E1146P02及以上版本支持。

查看操作日志

1. 选择 “系统设置 > 系统配置 > 操作日志”，选择操作日志页签，进入操作日志页面。

2. 支持按照操作人、IP地址等查询条件检索操作日志。根据实际需求配置查询条件后，点击<查询>按钮，即可查看相应的日志信息；点击<重置>按钮，可清空所有查询条件，刷新页面。

3. 点击<导出>按钮，可导出所有满足查询条件的日志记录，导出的日志文件格式为xlsx。

相关说明：

· 操作来源：下发操作的来源，包括本系统和安全运营中心。其中，当用户将本系统交由安全运营中心托管时，安全运营中心可以通过反向连接登录到本系统并下发操作，此时的操作来源即为安全运营中心。

查看系统日志

1. 选择“系统设置 > 系统配置 > 操作日志”，选择系统日志页签，进入系统日志页面。

2. 支持按模块名称、级别、统计周期等查询条件检索系统日志。根据实际需求配置查询条件后，点击<查询>按钮，即可查看相应的日志信息；点击<重置>按钮，可清空所有查询条件，刷新页面。

3. 点击<导出>按钮，可导出所有满足查询条件的日志记录，导出的日志文件格式为.xlsx。

平台升级

本功能用于在线升级系统软件版本。版本文件请官网下载获取。

1. 选择“系统设置 >系统配置 > 平台升级”，进入平台升级页面。

2. 单击<环境校验>按钮，系统将会检查基础服务组件是否正常。校验通过可继续升级，否则请联系技术人员处理异常。

3. 环境校验通过后，单击<开始升级>按钮，选择正确的版本文件上传到系统。

4. 上传成功后，系统开始升级，升级过程中不允许刷新页面。升级完成后将展示各组件升级结果，升级成功后需要重新登录。

注意事项

在升级过程中会弹出采集器离线的告警信息，此时直接关闭弹窗即可。升级成功后采集器会自动恢复在线状态。

特征库升级

该功能用于对系统提供的威胁情报库进行版本升级。随着网络攻击不断的变化和发展，需要及时升级系统中的特征库，升级文件可在官方网站下载获取。

威胁情报库包括IP情报、域名情报、URL情报、MD5情报四类情报库。威胁情报配合关联规则、UEBA规则等功能，帮助系统识别渗透、数据盗取等网络安全事件及异常流量。有关情报的详细介绍，请参见“系统设置>威胁情报”。

1. 选择“系统设置 > 系统配置 > 特征库升级”，进入特征库升级页面。

2. 威胁情报支持通过连接官网在线升级。其中，在线升级包括定期在线升级和立即在线升级。打开“在线同步”开关后，系统将定期自动获取H3C官网上最新的情报库来升级本地情报库；单击<立即在线升级>按钮，系统将立即自动获取H3C官网上最新的情报库来升级本地情报库。

3. 同时，管理员可以使用本地保存的各个特征库文件手动离线升级系统上的特征库版本。单击<导入>按钮，选择最新版本特征库文件上传到系统进行离线升级。当特征库在线升级失败或者系统无法访问官网时，可以通过离线升级的方式进行特征库升级。

4. 单击<升级记录>按钮，查看历史升级记录。

注意事项

· E1147P02及以上版本仅支持升级威胁情报库，不再支持升级案例库和安全检测特征识别库。

· 系统不能直接访问外网时，如需正常使用在线升级功能，则必须配置DNS服务器，并开启网络代理，确保系统可以访问H3C官网。有关DNS服务器及网络代理配置的详细介绍，请参见平台网络设置。

· 网络正常情况下，在线升级特征库失败可能是因为系统不能访问H3C官网，解决方法为：在PC上执行nslookup www.h3c.com命令，查看H3C官网服务器IP地址，并将其设置为系统的DNS服务器。有关DNS服务器配置的详细介绍，请参见平台网络设置。

授权信息

对于基于License的功能，例如基础平台、威胁情报更新升级、关联分析等特性，用户必须申请并安装License激活文件后才能使用。系统提供以下两种方式获取License授权：

· 本地授权：在本系统上安装License激活文件来获取授权。

· 通过License Server授权：用户需要先在License Server（授权服务器）上安装激活文件来获得License授权，系统作为License Client，向License Server申请授权。License Server（授权服务器）是一款授权管理软件，具有集中管理授权、集中分发授权等功能。关于License Server的安装和配置请参见产品的安装手册。

两种授权方式可以互相切换，切换方法如下：

· License Server授权切换为本地授权：进入系统登录界面，单击“产品注册”选择“本地授权”，导入License激活文件且激活成功后，授权方式自动切换为本地授权，并释放原有的License Server授权。登录系统后，可在“系统设置 > 系统配置 > 授权信息”页面查看本地授权信息。

· 本地授权切换为License Server授权：进入系统登录界面，单击“产品注册”选择“License Server授权”，配置连接参数连接授权服务器，并成功申请授权后，授权方式自动切换为License Server授权，并释放原有的本地授权。登录系统后，可在“系统设置 > 系统配置 > 授权信息”页面查看License Server授权信息。

本章包含如下内容：

· 本地授权

· License Server授权

· 注意事项

本地授权

1. 进入系统登录界面，单击“产品注册”，选择“本地授权”。

2. 进入本地授权页面后，在“主机信息文件下载”区域，单击<下载主机信息>按钮，下载主机信息文件。

3. 在“前往官网申请注册信息”区域，单击<前往官网>按钮，可跳转到H3C官网License激活申请页面。使用主机信息文件、授权序列号申请License激活文件。

4. 有关License激活文件申请的详细介绍，可在“前往官网申请注册信息”区域，将鼠标悬浮到<操作指南>上方，扫描悬浮框中的二维码查看《H3C SecCenter [CSAP][SMP]系列产品 License使用指南》，或者通过单击二维码下方的“License使用指南”链接跳转到官网手册页面查看该手册。

5. 申请成功后，在“License 文件授权注册”区域，单击<选择本地License文件>按钮，即可导入授权激活文件，完成上述操作后即可登录系统。

6. 选择“系统配置 > 授权信息”进入授权信息页面，可查看已申请的授权信息。

7. 用户也可以在授权信息页面，单击<导入本地授权>，进入本地授权注册页面，下载主机信息文件或导入激活文件。

8. 鼠标悬浮到<操作指南>上方，可通过扫描悬浮框中二维码查看《H3C SecCenter [CSAP][SMP]系列产品 License使用指南》，或者通过单击二维码下方的“License使用指南”链接跳转到官网手册页面查看该手册。

9. 鼠标悬浮到<许可信息>上方，可查看授权码（申请基础平台授权时平台分配的授权码）以及SN码（硬件设备的设备码），如需复制上述信息，可单击显示信息后的<复制>按钮。

○ 授权名称：特性授权函名称。

○ 授权类型：特性的授权类型。

○ 是否授权：特性是否已被授权使用。

○ 有效期：特性有效使用时间。

注意事项

“前往官网”、“操作指南”、“许可信息”功能仅在E1147P01及以上版本支持。

License Server授权

1. 进入系统登录界面，单击“产品注册”选择“License Server授权”，配置连接参数连接授权服务器，并成功申请授权后，登录系统。

2. 选择“系统设置 > 系统配置 > 授权信息”，进入授权信息页面，可查看已申请的授权信息。用户还可以根据需要申请新的授权或释放已有授权。

○ 授权名称：特性授权函名称。

○ 授权类型：特性的授权类型。

○ 是否授权：特性是否已被授权使用。

○ 有效期：特性有效使用时间。

○ 已申请授权数：已申请的特性授权数。

○ 可申请授权数：还可以申请的特性授权数。

注意事项

· 对于License Server授权方式，必须先在登录界面，“产品注册”处配置License Server连接参数，并连接Server成功，才能正常使用。

对于License Server授权方式，释放“基础平台软件授权函”时，会断开与License Server的连接，并释放所有授权，退出到登录页面

级联配置

在某些大型组网环境中，不同平台之间存在数据共享的关系，下级平台与上级平台连接成功后可以将数据共享给上级平台，上级平台能够查看任意下级平台的相关数据，如安全事件、脆弱性风险等。上下级平台之间均可以通过管理连接状态或同步状态来传输或者终止传输数据。

本章包含如下内容：

注意事项

级联配置（查看当前平台配置、配置上级平台、配置下级平台）功能仅在E1147P03及以上版本支持。

查看当前平台配置

1. 选择“系统设置 > 级联设置”，单击<当前平台配置>按钮，进入当前平台配置页面。

2. 配置当前平台的名称、责任人信息以及与下级平台的级联口令。

3. 单击<确认>按钮，完成操作。

相关说明：

○ 级联口令：当前平台与下级平台的级联密码。

配置上级平台

1. 选择“系统设置 > 级联设置”，单击<上级平台配置>按钮，进入上级平台配置页面。

2. 配置上级平台的参数、与上级平台同步的内容以及级联状态。

○ 上级平台IP：与当前平台级联的上级平台的IP地址。

○ 级联状态：显示当前平台与上级平台的级联状态。

○ 级联口令：当前平台与上级平台的级联密码。

○ 同步内容：配置当前平台与上级平台需要同步的内容。

§ 安全事件：选择安全事件的确信度，系统会将符合的安全事件同步到上级平台。

§ 漏洞风险：选择漏洞风险的等级，系统会将符合的漏洞风险同步到上级平台。

§ 配置风险：选择配置风险的等级，系统会将符合的配置风险同步到上级平台。

§ 弱口令：选择开启或关闭弱口令同步功能。开启本功能后，系统会将符合的弱口令风险同步到上级平台。

○ 级联开关：用于开启或关闭当前平台与上一级平台的级联功能。

○ 数据同步：用于开启或关闭当前平台与上一级平台的数据内容同步功能。

3. 单击<确认>按钮，完成操作。

配置下级平台

本功能用于查看当前平台的所有下级平台的信息、取消或恢复与下级平台的级联以及删除下级平台的同步数据。

查看下级平台信息

1. 选择“系统设置 > 级联设置”，可查看当前平台的所有下级平台信息。

取消/恢复与下级平台的级联

1. 选择“系统设置 > 级联设置”，进入“级联设置”页面。

2. 单击操作列的<取消级联>按钮或<级联>按钮，可以取消或恢复与下级平台的级联。

查看下级平台同步数据

该功能用于查看下级平台的同步数据，包括安全事件、漏洞风险、配置风险和弱口令信息。
系统支持导出同步数据以及根据用户关心的查询条件对同步数据进行检索。

1. 单击面板右上角的按钮，选择指定的下级平台，单击<前往平台>按钮。

2. 进入下级平台页面，查看下级平台同步的安全事件、漏洞风险、配置风险和弱口令信息。

注意事项

· 在弱口令界面中，当滑动选择“显示账号密码”时，系统会弹出验证窗口，对当前登录的管理员账号密码进行验证。

· 仅当当前平台与下级平台存在“已连接”的级联状态时，面板右上方才会出现按钮。

删除级联平台

1. 选择“系统设置 > 级联设置”，进入“级联设置”页面。

2. 单击操作列的<删除>按钮，可以删除所选下级平台同步的安全事件和脆弱性明细（包括漏洞风险、配置风险及弱口令）数据。

采集器管理

该功能用于管理采集器信息。采集器的数量及注册由License控制，用户不能新增或删除采集器，但可通过是否关联日志源来控制采集器是否执行采集任务。

采集器采集日志数据有主动采集和被动采集两种采集方式：

· 被动采集：采集器被动接收有具有日志外发功能的设备上报的日志信息，如H3C的防火墙可通过信息中心功能将日志数据发送到采集器，采集器被动被动接收日志。

· 主动采集：采集器可主动从数据库、共享文件等日志仓库中获取日志进行分析。

本章包含如下内容：

· 编辑采集器

· 监控汇总

采集器状态页面可查看如下信息：

· 采集器名称：采集器的名称。

· 采集器状态：采集器的状态信息，包在线和离线，处于离线状态的日志采集器不能执行采集任务。

· 采集器IP：采集器的IP地址。

· 注册时间：采集器注册到本系统的时间。

· 更新时间：采集器状态更新时间，当采集器状态变为离线的时间可根据采集器状态更新时间定为采集器发生异常的时间。

· 采集方式：采集器的采集方式，包括主动采集和被动采集。

· 描述：采集器描述信息。

· 统计信息：提供统计按钮，点击进入监控汇总页面查看该采集器采集情况汇总。

· 操作：提供编辑按钮，点击可修改相应采集器的配置信息。

编辑采集器

该功能用于修改采集器配置。

1. 选择“系统设置 > 数据源配置 > 采集器状态”，进入采集器状态页面。

2. 选择需要修改的采集器，点击<编辑>按钮进入编辑采集器页面修改配置信息。

○ 采集器名称：采集器的名称。缺省情况下，采集器名称为“采集器所在服务器IP地址:采集方式”，如“186.64.6.105:active”。

○ 采集器描述：采集器的描述信息，通过合理编写描述信息，便于管理员快速理解和识别该采集器的作用。

○ 所属租户：采集器所属租户，缺省属于默认租户。

3. 点击<确认>按钮完成操作。点击<取消>按钮可取消修改。

监控汇总

该功能用于显示选中采集器的日志采集情况，包括所有关联日志源上报日志的总数目以及时间趋势图，并支持按时间以及设备IP进行筛选查询。

1. 选择“系统设置 > 数据源配置 > 采集器状态”，进入采集器状态页面。

2. 点击指定采集器右侧“统计信息”列下的<统计>按钮，进入监控汇总页面，可查看选中采集器的采集信息。缺省情况下展示所有关联日志源最近1天的日志上报情况，用户可根据查询条件进行筛选：

○ 查询：输入设备IP地址或选择统计周期，点击<查询>按钮将按条件可筛选统计信息。

○ 重置：点击<重置>按钮可重置查询条件，设备IP默认为空，统计周期默认为“最近1天”。

显示的内容包含：

· 日志源：日志源名称。

· 日志源IP:端口：日志源IP地址和端口号。

· 平均速率：日志源上报日志的平均速率。

· 总数目：日志源在统计周期内上报日志的数目。

按设备IP进行查询时，如果日志源已被删除或取消关联关系，则显示该日志源上传的历史数据，若无历史数据则显示"暂无数据"。

日志源管理

该功能用于管理接入系统的日志源信息，包括对日志源进行查看、新增、删除、修改等功能。将日志源与采集器关联后，日志源便可通过采集器将日志上报给系统以便系统进行分析和监控网络状态。系统支持以下两种日志源：

· 主动采集日志源：与主动采集类型的采集器关联的日志源称为主动采集日志源，如数据库、共享文件服务器等。

· 被动采集日志源：与被动采集类型的采集器关联的日志源称为被动采集日志源，如H3C的防火墙、IPS设备等。

本章包含如下内容：

主动采集

该功能用于管理主动采集日志源，包括主动日志源的增加、删除、修改及查询操作。主动采集日志源包括数据库日志源和共享文件日志源。

配置主动采集日志源后，采集器将定期访问日主动采集志源获取日志数据。

新增数据库日志源

该功能用于添加数据库日志源。日志数据存储在各种关系型数据库中，采集器必须先连接上数据库才能成功添加数据库日志源并读取日志数据。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集页面。

2. 单击<新增>按钮，进入主动采集日志源信息页面，选择新增“数据库日志源”。

3. 填写数据库日志源的相关信息后，单击<确认>按钮完成操作。

○ 名称：数据库日志源的名称。

○ 数据库名称：存放日志信息的数据库的名称。

○ 数据库类型：数据库的类型。

○ 数据库IP：数据库的IP地址。

○ 端口号：数据库的端口号。

○ 用户名：采集器登录数据库使用的用户名。

○ 密码：采集器登录数据库使用的密码。

○ 采集器名称：与该日志源关联的采集器名称，选择采集器后，日志源将上报日志信息给该采集器。

○ 采集器IP：与该日志源关联的采集器IP地址。

○ 描述：数据库日志源的描述信息。

○ 数据库日志源表信息：先配置第一条表项的参数，完成配置后，单击保存按钮。如需添加多条表项，再点击<新增>按钮，配置需要上报的日志信息，以便采集器可以根据这些信息获取日志数据。

○ 表名：采集器从该表格中读取日志数据。

○ 主键名：存放日志的表格的主键名称，用于标记上一次读取地址，避免重复读取。

○ 设备类型：生成日志的设备的设备类型。

○ 编码方式：日志的编码方式，可通过下拉菜单选择编码方式。

○ 厂商：生成日志的设备的生产厂商。

○ 设备型号：生成日志的设备的设备型号。

○ 日志类型：选择指定类型后，采集器将采集该类日志数据。不同类型的设备默认选择的日志类型不同，请以设备实际情况为准。

· 处于离线状态的采集器不能进行关联。

· 如设备类型、厂商、设备型号下拉菜单中均无选项,则表示系统暂不支持适配该日志源，可联系H3C技术人员进行定制化适配。

· 设备型号、类型、厂商均指产生日志的设备的信息，配置错误会导致日志解析结果不准确。

修改数据库日志源

该功能用于修改数据库日志源的配置信息。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集页面。

2. 选择需要修改的日志源，单击<编辑>按钮，进入编辑日志源页面，页面参数说明请参见新增数据库日志源。

3. 填写数据库日志源的相关信息后，单击<确认>按钮完成操作。

· 处于离线状态的采集器不能进行关联。

· 如设备类型、厂商、设备型号下拉菜单中均无选项,则表示系统暂不支持适配该日志源，可联系H3C技术人员进行定制化适配。

· 设备型号、类型、厂商均指产生日志的设备的信息，配置错误会导致日志解析结果不准确。

新增共享文件日志源

该功能用于增加数共享文件日志源。日志数据存储在FTP服务器中，采集器必须先连接上服务器才能成功添加共享文件日志源并读取日志文件数据。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集页面。

2. 单击<新增>按钮，进入主动采集日志源信息页面，选择新增“共享文件日志源”。

3. 填写共享文件日志源的相关信息后，单击<确认>按钮完成操作。

○ 名称：共享文件日志源的名称。

○ 上报协议：该日志源上报日志的协议类型。

○ FTP地址：存放日志文件的FTP服务器的IP地址。

○ FTP端口：FTP服务器的端口号。

○ 用户名，采集器登录FTP服务器使用的用户名。

○ 密码：采集器登录FTP服务器使用的密码。

○ 采集器名称：与该日志源关联的采集器名称，选择采集器后，日志源将上报日志信息给该采集器。

○ 采集器IP：与该日志源关联的采集器IP地址。

○ 写入类型：可选择文件和文件夹，文件表示获取文件路径的日志文件；文件夹表示获取文件路径下所有文件夹中的日志文件。

○ 文件路径：日志文件的存放路径，采集器根据此路径获取目标日志文件。写入类型选择“文件”时，文件路径必须填写目标日志文件的绝对路径。

○ 文件编码：日志文件中日志的编码方式。

○ 设备类型：生成该日志文件的设备的类型。

○ 厂商：生成该日志文件的设备的生产厂商。

○ 设备型号：生成该日志文件的设备的型号。

○ 描述：文件共享日志源的描述信息，通过编写合理的描述信息，有助于管理员快速理解和识别该日志源。

○ 选择日志类型：当选择某类日志时，采集器将采集该类日志数据。不同类型的设备默认选择的日志类型不同，请以设备实际情况为准。

· 处于离线状态的采集器不能进行关联。

· 如设备类型、厂商、设备型号下拉菜单中均无选项,则表示系统暂不支持适配该日志源，可联系H3C技术人员进行定制化适配。

· 设备型号、类型、厂商均指产生日志的设备的信息，配置错误会导致日志解析结果不准确。

· 写入类型选择文件夹时，建议该路径下只存放厂商、设备类型、设备型号均相同的日志文件，否则会导致日志解析结果不准确。

修改共享文件日志源

该功能用于增加共享文件日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集页面。

2. 选择需要修改的日志源，单击<编辑>按钮进入编辑日志源页面，页面参数说明请参见新增共享文件日志源。

3. 填写日志源的相关信息后，单击<确认>按钮完成操作。

· 处于离线状态的采集器不能进行关联。

· 如设备类型、厂商、设备型号下拉菜单中均无选项,则表示系统暂不支持适配该日志源，可联系H3C技术人员进行定制化适配。

· 设备型号、类型、厂商均指产生日志的设备的信息，配置错误会导致日志解析结果不准确。

· 写入类型选择文件夹时，建议该路径下只存放厂商、设备类型、设备型号均相同的日志文件，否则会导致日志解析结果不准确。

导入主动采集日志源

该功能用于批量导入主动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集日志源页面。

2. 单击<导入>按钮，选择数据库日志源导入或共享文件日志源导入，进入相应的导入页面后，单击“XXX日志源模板下载”，下载数据库日志源或共享文件日志源导入模板。

3. 下载对应的模板后，按模板要求填写日志源信息并保存。

4. 点击上传或拖拽模板文件到页面中，单击<确认>按钮，完成导入操作。

5. 再次单击<导入>按钮，选择操作结果，可以查看导入的操作结果。

导出主动采集日志源

该功能用于导出主动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集日志源页面。

2. 选择需要导出的数据库日志源或共享文件日志源，单击<导出>按钮，完成导出操作。导出文件为Excel格式。

查询主动采集日志源

此功能用于用户查看已添加日志源信息。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集页面。

2. 输入日志源名称、选择日志源采集类型或启用状态，点击<查询>按钮筛选日志源信息，默认显示所有日志源信息。

3. 点击<重置>按钮可重置查询条件，默认查询条件为空。

删除主动采集日志源

该功能用于删除主动日志源，删除后采集器不再采集该日志源的日志数据。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 主动采集”进入主动采集日志源页面。

2. 选择需要删除的日志源，点击操作列的<删除>按钮即可删除该日志源；选中一条或多条日志源，单击的<删除>按钮可批量删除日志源。

被动采集

该功能用于管理被动采集日志源，包括日志源的增加、删除、修改及查询操作。配置被动采集日志源后，日志源设备将定期主动上报日志数据到采集器。

新增被动采集日志源

该功能用于用户新增被动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 单击<新增>按钮进入新增日志源页面。

3. 填写被动采集日志源相关信息，配置完成后单击<确认>按钮完成操作。

○ 名称：日志源名称。

○ IP：日志源的IPv4地址。

○ 设备类型：日志源设备类型。

○ 厂商：日志源设备的生产厂商。

○ 设备型号：日志源设备型号。

○ 采集器名称：与日志源关联的采集器名称，选择采集器后，日志源将上报日志信息给该采集器。

○ 采集器IP：与日志源关联的采集器的IP地址。

○ 新增端口信息：先在第一条空白的端口信息表项中配置日志源上报的日志的相关信息，完成配置后单击操作列下的保存按钮。如需添加多条端口信息，需要在完成第一条表项配置后，单击新增按钮，继续添加。

§ 上报协议：该日志源上报日志的协议类型。

§ 上报端口：采集器使用该端口接收日志源上报的日志数据。

§ 编码：日志的编码方式。

§ 日志类型：选择指定类型后，采集器将采集该类日志数据。不同类型的设备默认选择的日志类型不同，请以设备实际情况为准。

· 对于同一日志源通过多种协议上报的日志数据，采集器必须使用不同端口接收。

· 添加被动采集日志源时，如设备类型、厂商、设备型号下拉菜单中均无选项,则表示系统暂不支持适配该日志源，可联系H3C技术人员进行定制化适配。

· 处于离线状态的采集器不能进行关联。

· 当日志源上报的日志为二进制格式（如Netstream、AAA服务上报的日志）时，对应的字符集必须选择bin，否则会导致解析失败。

· 设备型号、类型、厂商均指产生日志的设备的信息，配置错误会导致日志解析结果不准确。

· 系统当前仅支持解析SNMPv2c协议的trap日志。

· 当SNMP协议产生的日志中含有中文时，中文将以十六进制的格式进行展示。

修改被动采集日志源

该功能用于修改被动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 单击<编辑>按钮进入编辑日志源页面，页面参数说明请参见新增被动采集日志源。

3. 修改日志源相关信息。配置完成后单击<确认>按钮完成操作。

· 对于同一日志源通过多种服务上报的日志数据，采集器必须使用不同端口接收。

· 添加被动采集日志源时，如设备类型、厂商、设备型号下拉菜单中均无选项,则表示系统暂不支持适配该日志源，可联系H3C技术人员进行定制化适配。

· 处于离线状态的采集器不能进行关联。

· 当日志源上报的日志类型为二进制格式（如Netstream、AAA服务上报的日志）时，对应的字符集必须选择bin，否则解析失败。

· 设备型号、类型、厂商均指产生日志的设备的信息，配置错误会导致日志解析结果不准确。

导入被动采集日志源

该功能用于批量导入被动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 单击<导入>按钮选择“被动日志源导入”，进入导入被动日志源页面后，单击<被动日志源导入模板下载>，然后按模板要求填写日志源信息并保存。

3. 单击上传或拖拽模板文件到页面中，单击<确认>按钮，完成导入操作。

4. 再次单击<导入>按钮，选择“操作结果”，查看导入操作结果。

导出被动采集日志源

该功能用于导出被动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 选择需要导出的日志源，单击<导出>按钮，完成导出操作。导出文件为Excel格式。

查询被动采集日志源

该功能用于查看已添加的日志源信息。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 可通过输入日志源IP地址、选择设备类型、厂商、设备型号等条件筛选日志源信息，默认显示所有日志源信息。

3. 点击<重置>按钮可重置查询条件，默认查询条件为空。

删除被动采集日志源

该功能用于删除被动采集日志源。

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 选择需要删除的日志源，点击操作列的<删除>按钮即可删除该日志源；选中一条或多条日志源，单击的<删除>按钮可批量删除日志源。

特征报文捕获

该功能用于对流经威胁检测探针设备的报文进行捕获。方便管理员对报文进行分析。（本功能仅在E1147P03及以上版本支持。）

1. 选择“系统设置> 数据源配置 > 日志源管理 > 被动采集”进入被动采集页面。

2. 选择一个威胁检测探针类型的日志源，单击操作列下<特征报文捕获>按钮，进入特征报文捕获配置页面。配置相关参数。

3. 完成参数配置后，单击<下发>按钮，平台会将特征报文捕获配置下发到威胁检测探针设备。

○ 上报抓包文件周期：威胁检测探针设备上送抓包文件到本平台的间隔时间。

○ 上报抓包文件最大值：每个捕获文件的大小上限。

○ PCAP包缓存报文数：每个捕获文件中可以缓存的报文个数。

○ 开启上报抓包文件功能：用于选择开启或关闭威胁检测探针设备上的抓包文件功能。

○ Netconf over SSH 参数：单击滑块，配置NETCONF over SSH参数。

§ 录入方式：选择Netconf over SSH 参数的配置方式，支持手动配置以及模板导入。

§ 用户名：通过SSH方式登录设备时使用的用户名。

§ 密码：通过SSH方式登录设备时使用的密码。

§ 端口：通过SSH方式登录设备时使用的端口号。

§ 超时时间：表示平台在与设备通信时等待其响应的最长时间，单位为秒。

§ 重试次数：表示平台在与设备通信发生故障时的最大重试次数。

○ Netconf over SOAP 参数：单击滑块，配置NETCONF over SOAP参数。

§ 录入方式：选择Netconf over SOAP参数的配置方式，支持手动配置以及模板导入。

§ 访问URL协议：选择开启基于HTTPS或HTTP的NETCONF over SOAP功能。

§ 端口：SOAP协议使用的端口号。访问URL协议选择HTTPS时默认端口为832，选择HTTP时默认端口为80。

§ 访问路径：由访问URL协议、主机名或IP地址、端口号以及根路径后构成的完整SOAP/HTTP访问路径，通过该路径访问vManager的SOAP/HTTP接口。

§ 用户名：通过SOAP方式登录设备时使用的用户名。

§ 密码：通过SOAP方式登录设备时使用的密码。

Agent管理

Agent日志采集代理，用于采集不能主动外发日志的主机、服务、中间件等产生的日志信息。例如，一些基于Windows、Linux系统的主机或部署在主机上的数据库、中间件等服务不支持以syslog方式发送系统日志，此时，可以通过在主机上安装Agent采集代理，Agent将采集这些主机、数据库、中间件产生的日志（包括操作系统运行状态日志，如CPU利用率、磁盘利用率等），并以syslog方式发给日志采集器，采集器再上报到本平台进行分析和展示。

注意事项

· 仅默认租户下具有Agent管理菜单权限的用户可以下载Agent。

· Agent首次安装成功后属于默认租户，请联系管理员为其重新分配所属租户。

· 仅Agent 1.0.17及以后版本支持自动升级功能。如需使用Agent自动升级功能，请先手动卸载老版本Agent，然后在“Agent下载”页面下载并安装最新版本Agent。

本章包含如下内容：

· 查询Agent

· 删除Agent

· 数据库

· Agent下载

查询Agent

该功能用于管理Agent采集代理，包括查看Agent日志采集信息统计、修改Agent信息及启用状态、配置Agent关联的采集对象信息及删除Agent。

1. 选择“系统设置 > 数据源配置 > Agent管理 > Agent管理”页签，进入Agent管理页面，可执行如下操作：

2. 支持按Agent名称、部署主机IP、Agent状态等信息检索Agent信息，输入查询条件后单击<查询>按钮可查看满足条件的Agent信息，单击<重置>按钮可重置查询条件。

参数说明

· Agent名称：Agent注册成功后平台给该Agent分配的名称，格式为“安装该Agent代理的主机IP地址_编号”，例如“1.1.1.1_0”。

· 部署主机IP：部署安装Agent代理软件的主机IP地址。

· 部署主机系统：部署安装Agent代理软件的主机操作系统类型。

· Agent状态：标识Agent是否在线。

· 采集器IP：Agent关联的采集器IP地址，Agent采集到的日志将发送给该采集器。

· 注册时间：Agent首次注册到平台的时间。

· 软件版本：Agent当前软件版本号。

· 采集状态：标识Agent是否启用。只有处于启用状态的Agent才能采集日志。

· 自动升级：标识Agent自动升级功能是否启用。只有处于启用状态的Agent才能自动升级。

· 升级状态：Agent版本升级结果。

查看Agent采集统计信息

1. 单击统计按钮可进入监控汇总页面查看指定统计周期内，该Agent所采集到的日志统计信息。

启用日志采集功能

1. 选择一个或多个采集状态为“停用”的Agent，单击<启用采集>按钮批量启用Agent日志采集功能。

停用日志采集功能

1. 选择一个或多个采集状态为“启用”的Agent，单击<停用采集>按钮批量停用Agent采集功能，停用采集后，Agent将不再采集和上报日志。

开启自动升级功能

1. 选择一个或多个自动升级状态为“停用”的Agent，单击<启用自动升级>按钮批量开启Agent版本自动升级功能。

关闭自动升级功能

1. 选择一个或多个自动升级状态为“启用”的Agent，单击<停用自动升级>按钮批量关闭Agent版本自动升级功能。

手动升级Agent

1. 对于未升级或升级失败的Agent，单击<手动升级>按钮立即升级Agent的软件版本。

修改Agent信息

1. 单击操作列编辑按钮，可以修改当前Agent的名称及所属租户。

配置Agent关联的采集对象信息

1. 单击操作列配置按钮进入配置Agent管理页面，可新增或修改Agent关联的采集对象的配置信息。

删除Agent

1. 选择一个或多个Agent，单击<删除>按钮批量删除Agent；单击操作列<删除>按钮删除一个Agent。

查看采集情况

该页面用于展示选中Agent代理的日志采集情况，包括该Agent关联的所有采集对象上报的日志条数以及日志上报趋势。

1. 选择“系统设置 > 数据源配置 > Agent管理 > Agent管理”页签，单击进入Agent管理页面。

2. 选择需要查看的Agent，点击统计按钮即可进入监控汇总页面查看采集情况。

3. 支持按类型（如tomcat）、统计周期筛选采集数据，点击<重置>按钮可重置查询条件。

· 类型：采集对象的类型，如mysql、tomcat等。

· 总数目：显示各个采集对象在统计周期内上报日志的条数。

新增或修改采集对象

该功能用于管理Agent关联的采集对象的配置信息。Agent可采集目标主机上关键注册表、关键文件的操作日志、自定义文件中的日志信息，以及部署在主机上的数据库（MySQL、Oracle等）的运行日志。

1. 选择“系统设置 > 数据源配置 > Agent管理 > Agent管理”页签，单击进入Agent管理页面。

2. 选择需要查看的Agent，点击配置按钮进入配置Agent管理页面。

3. 新增或修改采集对象：选择对应页签，单击新增按钮可新增一个对应的采集对象并关联到当前Agent，单击编辑按钮可修改当前Agent关联的采集对象的配置信息。

注意事项

只有“在线”状态的Agent可以新增或修改采集对象配置信息。

删除采集对象

1. 选择“系统设置 > 数据源配置 > Agent管理 > Agent管理”页签，单击进入Agent管理页面。

2. 选择需要查看的Agent，点击配置按钮进入配置Agent管理页面。

3. 选择对应页签，点击删除按钮可删除对应的对象的配置信息。

数据库

该功能用于管理Agent关联的数据库配置信息。配置数据库相关参数后，Agent将定时采集该数据库的日志信息。一个Agent可关联多种类型的数据库，但每种类型数据库仅支持关联一个。

1. 在Agent管理页面，选择数据库页签。

2. 单击<添加>按钮新增一个数据库配置，配置相关参数后点击<确认>按钮完成操作。

○ 数据库类型：需要采集日志的数据类型。

○ 端口号：数据库的端口号。

○ 用户名：Agent连接数据库使用的用户名。

○ 密码：Agent连接数据库使用的密码。

○ 数据库名：需要采集日志的数据库的名称，MongoDB、DB2、Oracle类型的数据需要配置该参数。

○ 数据库权限：Agent连接数据库使用的账号权限，只有Oracle类型的数据需要配置该参数。

○ 慢查询时间：指定慢查询日志的时间，SQLServer、MongoDB、DB2、Oracle类型的数据需要配置该参数。

○ 模板：日志采集的模版，该参数仅用于维护人员调试使用。

○ 认证协议：Agent连接数据库时的验证协议，只有MongoDB类型的数据需要配置该参数。

○ 登录触发器：选择是否采集用户登录日志，SQLServer、Oracle类型的数据需要配置该参数。

关键文件

该功能用于管理Agent关联的关键文件路径信息。配置关键文件路径后，Agent将定时采集该路径下的文件操作日志。一个Agent最多可配置50个关键文件路径。

1. 在Agent管理页面，选择关键文件页签。

2. 单击<添加>按钮新增一个关键文件配置，配置相关参数后点击<确认>按钮完成操作。

○ 文件路径：目标日志文件路径，可填写到文件夹或具体到文件名，例如，/home、/home/file.txt，采集范围包括该路径下所有文件和子目录的文件。对于linux版本agent采集代理，该路径下包含的子目录数不能超过500个，否则无法保存配置。

关键注册表

该功能用于管理Agent关联的关键注册表路径信息，配置关键注册表路径后，Agent将定时采集该路径下的注册表操作日志。一个Agent最多可配置50个关键注册表路径。

1. 在Agent管理页面，选择关键注册表页签。

2. 单击<添加>按钮新增一个关键注册表配置，配置相关参数后点击<确认>按钮完成操作。

○ 文件路径：关键注册表路径，支持填写到具体注册表项，如：HKEY_CURRENT_CONFIG\Software。采集范围包括该路径下所有文件和子目录。

自定义文件

该功能用于管理Agent关联的自定义文件路径信息。配置自定义文件的存放路径后，Agent将定时采集该文件中新增的日志信息。一个Agent最多可配置50个自定义文件路径。

1. 在Agent管理页面，选择自定义文件页签。

2. 单击<添加>按钮新增一个自定义文件配置，配置相关参数后点击<确认>按钮完成操作。

○ 文件路径：自定义日志文件存放路径，可填写到文件夹或具体到文件名，例如/home/*、/home/file.txt。采集范围为该路径下所有文件（不包括子目录）中的日志信息。如需采集某个文件夹下所有文件中的日志，路径必须以*结尾，如/home/*，若只配置文件夹路径，未以*结尾，Agent将不进行日志采集。

○ 读取方式：支持追加读取和从头读取，追加读取表示只采集该文件中新增信息；从头读取表示采集该文件中所有信息（已采集的信息不会重复采集）。

Agent下载

该功能用于下载最新版本Agent采集代理软件，并支持在线预览Agent安装指导。

1. 选择“系统设置 > 数据源配置 > Agent管理 > Agent下载”页签，单击进入Agent下载页面，可执行如下操作：

2. 在线预览/下载帮助文档：提供Agent采集代理软件安装指导在线预览和下载功能，用于指导用户安装Agent软件。

3. 下载Agent：点击对应版本即可下载相应版本Agent采集代理软件。

日志导入

该功能用于导入离线日志，可导入本地.log或.txt格式的日志文件到系统进行分析。当不能通过主动或被动日志源上传日志时，可将日志文件存储到本地再上传到本系统。仅支持处理日志文件中日志产生时间与当前平台系统时间相差24小时以内的日志，超过24小时的日志会被系统忽略不会进行解析。

本章包含如下内容：

· 导入日志文件

· 删除日志导入记录

导入日志文件

该功能用于导入本地日志文件，系统支持导入.log或.txt格式的日志文件，导入的日志文件大小必须大于0KB，否则导入失败。

1. 选择“系统设置 > 数据源配置 > 日志导入”进入日志导入页面。

2. 单击<新增>按钮进入新增导入任务页面。

3. 配置相关参数后，单击<确认>按钮完成操作。

○ 日志源名称：导入日志的日志源名称。

○ 设备类型：生成该日志文件的设备的类型。

○ 厂商：生成该日志文件的设备的生产厂商。

○ 设备型号：生成该日志文件的设备的型号。

○ 文件编码：该日志文件中日志的编码方式。

○ 上报协议：上传该日志文件的协议类型。

○ 日志文件：选择需要上传的日志文件。一次只能上传一个日志文件。

删除日志导入记录

该功能用于删除日志导入记录。

1. 选择“系统设置 > 数据源配置 > 日志导入”进入日志导入页面。

2. 选中多条日志导入记录，单击<删除>按钮即可批量删除导入记录；单击操作列的<删除>按钮即可删除选中的导入记录。

该操作仅会删除导入记录，不会影响日志文件上传到采集器。

数据转发

该功能用于将本平台收集的原始日志、安全事件、平台系统日志和操作日志等数据转发到其他日志分析平台或日志接收系统。

本章包含如下内容：

· 新增转发任务

· 删除转发任务

新增转发任务

该功能用于新增数据转发任务。

1. 选择“系统设置 > 数据源配置 > 数据转发”进入数据转发页面。

2. 点击<新增>按钮可新增日志转发任务。其中，转发任务中支持配置的参数与软件版本有关，请以实际情况为准。

3. 根据实际需求，配置转发基础参数，如任务名称、目的IP等。

4. 选择转发内容，系统支持转发原始日志、安全事件、平台系统日志和平台操作日志。选择指定日志后，可单击<配置转发字段>按钮，进入配置转发字段页面，定制该日志转发的具体字段。

5. 在配置转发字段页面，可通过配置过滤条件，对日志进行筛选。在“转发字段”区域，可以通过单击具体转发字段右侧的<X>按钮，将其移动到“待选字段”区域，系统将不会转发该字段。

6. 点击<确认>按钮完成操作。

相关说明：

○ 目的IP：接收本平台转发的日志数据的目的IPv4地址。

○ 目的端口：接收本平台转发的日志数据的目的端口。

○ 日志协议：平台转发日志使用的日志协议。（不需要配置）

○ 传输协议：平台转发日志使用的传输协议。（不需要配置）

删除转发任务

该功能用于删除日志转发任务。删除指定任务后，平台将不再按该任务中配置的参数转发日志。

1. 选择“系统设置 > 数据源配置 > 数据转发”进入数据转发页面。

2. 选中多个任务，点击<删除>按钮可批量删多个数据转发任务；选择一个任务，点击操作列<删除>按钮，可删除对应的转发任务。

数据共享

该功能用于对第三方资产进行监控和管理。通过数据共享任务，系统可从第三方平台批量同步资产信息，同步信息如下：

· 资产：资产基本信息，包括资产名称、资产IP、资产类型、生产厂商。

· 区域：资产所属区域信息。

· 漏洞：资产存在的漏洞信息。

· 弱口令：资产存在的弱口令信息。

· 合规检查：资产存在的基线合规检查信息，合规检查数据来源及介绍请参见H3C服务器安全监测系统和终端安全管理系统配套资料。

· 配置风险：资产存在的配置风险信息。

数据共享配置步骤如下：

1. 选择“配置中心 > 数据源配置 > 数据共享”进入数据共享页面。

2. 单击<新增>按钮，进入新增数据共享任务页面，配置相关参数。

3. 单击<测试连接>按钮，可测试第三方平台是否可用，提高系统可靠性。

4. 单击<确认>按钮，完成数据共享任务的配置。

5. 选中多条任务，单击<删除>按钮可批量删除任务；单击指定任务右侧操作列下的<删除>按钮，可删除选中的任务。

6. 单击指定任务右侧操作列下的<编辑>按钮，可修改选中任务的配置信息。

7. 单击指定任务右侧操作列下的<同步>按钮，可触发第三方平台同步数据到本平台。

相关说明：

· 数据来源：资产信息同步来源，选择数据来源后，系统将从该第三方平台获取资产信息。

· 接口URL ：系统通过该接口URL访问第三方平台。

· 用户名：系统登录第三方平台使用的用户名。

· 密码：系统登录第三方平台使用的密码。

· 同步数据：需要获取的资产信息，不同的第三方平台可同步的资产信息不同，请以界面实际情况为准。

· 区域：数据共享任务同步的资产所属的区域。

· 执行时间：

○ 立即同步：配置完成后系统将立即执行任务。

○ 每天：需要指定任务执行时间，例如，指定任务执行时间为20:30:00，系统将会在每天20:30:00执行任务。

注意事项

· 数据共享功能仅在E1147P02及以上版本支持。

· 从iMC EPS 鹰视系统同步资产和区域时，若同步区域失败，则同步的资产放置在数据共享任务配置的区域中。

· 从iMC EIA 终端智能接入和终端安全管理系统同步资产时，系统根据资产IP自动匹配所属区域，若匹配失败，则同步的资产放置在数据共享任务配置的区域中。

适配规则管理

日志适配规则可对采集到的日志进行归类，并从中提取重要字段信息，解析成本平台能够识别的格式。通过适配规则管理模块，用户可灵活管理平台日志适配规则的版本。

1. 选择“系统设置 > 数据源配置 > 适配规则管理”进入适配规则管理页面。

2. 在当前版本信息区域，单击<导入文件>按钮，选择日志适配规则文件（格式为.dat）上传到本平台即可升级日志适配规则。

3. 升级成功后，可在“历史操作记录”页面查看操作记录。

仅默认租户下的管理员角色的用户拥有版本升级权限。

威胁情报

威胁情报是包含了上下文信息的关于威胁的知识。通过威胁情报可以识别渗透、数据盗取等网络安全事件，以及攻击者的动机、攻击过程及所用设施等。威胁情报通过与关联规则联动可快速检测出可疑流量，以便管理员提前判断是否需要在网络中增强相关安全防护能力。

本章包含如下内容：

· IP情报

· 域名情报

· URL情报

· MD5情报

· 云端配置

IP情报库

该功能用于展示IP情报信息。系统支持预定义和自定义IP情报。其中，预定义情报由系统获取H3C官网上最新的情报库生成，自定义情报通过用户手动添加或导入的方式生成。

预定义IP情报

该功能用于查询预定义IP情报信息，同时支持启用或停用预定义情报。

· 查询情报：输入IP地址后单击按钮即可查看相应的IP情报信息，单击操作列的<详情>按钮可查看该情报的详细信息。

· 启用情报：选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择一条或多条启用的情报，单击<停用>按钮完成操作。

自定义IP情报

用户可对自定义情报执行以下操作：

· 新增情报：选择“自定义IP情报”页签，单击<新增>按钮进入新增自定义IP情报页面，配置相关参数后单击<确认>按钮完操作。

· 查询情报：选择“自定义IP情报”页签，输入IP后单击按钮即可查看相应的IP情报信息。

· 启用情报：选择“自定义IP情报”页签，选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择“自定义IP情报”页签，选择一条或多条启用的情报，单击<停用>按钮完成操作。

· 批量导入情报：选择“自定义IP情报”页签，单击<导入>按钮，选择“导入”，进入导入自定义IP情报库页面，单击“自定义IP情报导入模板”，下载导入模板，按模板要求填写情报信息后保存配置，并将保存后的模板文件导入到系统即可。导入结果可在“操作结果”中查看。

· 删除情报：选择“自定义IP情报”页签，选中多条自定义情报信息，单击页面中的<删除>按钮可批量删除自定义情报；单击操作列的<删除>按钮可删除选中的情报。

新增自定义情报参数说明：

· IP地址：用于对网络流量进行过滤。

· 情报类型：该IP地址对应的攻击分类。

· 方向：该IP地址被标识为特定攻击时的匹配方向，包括源、目的及双向。

· 可靠性：该自定义IP情报的准确度，值越大准确度越高。

· 端口：用于对网络流量的目的端口进行过滤。

· 情报状态：选择是否启用该自定义情报。

注意事项

· 停用情报后，该情报将立刻失效，但不影响停用前匹配该情报的报文统计信息。

域名情报库

该功能用于展示域名情报信息。系统支持预定义和自定义域名情报。其中，预定义情报由系统获取H3C官网上最新的情报库生成，自定义情报通过用户手动添加或导入的方式生成。

预定义域名情报

该功能用于查询预定义域名情报信息，同时支持启用或停用预定义情报。

· 查询情报：输入域名后单击按钮即可查看相应的域名情报信息，单击操作列的<详情>按钮可查看该情报的详细信息。

· 启用情报：选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择一条或多条启用的情报，单击<停用>按钮完成操作。

自定义域名情报

该功能用于管理自定义情报，用户可对自定义情报执行以下操作：

· 新增情报：选择“自定义域名情报”页签，单击<新增>按钮进入新增自定义域名情报页面，配置相关参数后单击<确认>按钮完操作。

· 查询情报：选择“自定义域名情报”页签，输入域名后单击按钮即可查看相应的域名情报信息。

· 启用情报：选择“自定义域名情报”页签，选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择“自定义域名情报”页签，选择一条或多条启用的情报，单击<停用>按钮完成操作。

· 批量导入情报：选择“自定义域名情报”页签，单击<导入>按钮，选择“导入”，进入导入自定义域名情报库页面，单击“自定义域名情报导入模板”，下载导入模板，按模板要求填写情报信息后保存配置，并将保存后的模板文件导入到系统即可。导入结果可在“操作结果”中查看。

· 删除情报：选择“自定义域名情报”页签，选中多条自定义情报信息，单击页面中的<删除>按钮可批量删除自定义情报；单击操作列的<删除>按钮可删除选中的情报。

新增自定义情报参数说明：

· 域名：用于对网络流量进行过滤，不包含http://或者https://协议头。

· 情报类型：该域名对应的攻击分类。

· 可靠性：该自定义域名情报的准确度，值越大准确度越高。

· 匹配方式：系统对域名匹配的方式，包括精确匹配和模糊匹配。选择精确匹配时，网络流量的域名必须与域名情报完全一致才认为匹配成功；选择模糊匹配时，只需要网络流量的根域名与域名情报一致即认为匹配成功。

· 情报状态：选择是否启用该自定义情报。

注意事项

· 停用情报后，该情报将立刻失效，但不影响停用前匹配该情报的报文统计信息。

URL情报库

该功能用于展示URL情报信息。系统支持预定义和自定义URL情报。其中，预定义情报由系统获取H3C官网上最新的情报库生成，自定义情报通过用户手动添加或导入的方式生成。

预定义URL情报

该功能用于查询预定义URL情报信息，同时支持启用或停用预定义情报。

· 查询情报：输入URL后单击按钮即可查看相应的URL情报信息，单击操作列的<详情>按钮可查看该情报的详细信息。

· 启用情报：选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择一条或多条启用的情报，单击<停用>按钮完成操作。

自定义URL情报

该功能用于管理自定义情报，用户可对自定义情报执行以下操作：

· 新增情报：选择“自定义URL情报”页签，单击<新增>按钮进入新增自定义URL情报页面，配置相关参数后单击<确认>按钮完操作。

· 查询情报：输入URL后单击<查询>按钮即可查看相应的URL情报信息。

· 启用情报：选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择一条或多条启用的情报，单击<停用>按钮完成操作。

· 批量导入情报：单击<导入>按钮，选择“导入”，进入导入自定义URL情报库页面，单击“自定义URL情报导入模板”，下载导入模板，按模板要求填写情报信息后保存配置，并将保存后的模板文件导入到系统即可。导入结果可在“操作结果”中查看。

· 删除情报：选中多条自定义情报信息，单击页面中的<删除>按钮可批量删除自定义情报；单击操作列的<删除>按钮可删除选中的情报。

新增自定义情报参数说明：

· URL：用于对网络流量进行过滤，不包含http://或者https://协议头。

· 情报类型：该URL对应的攻击分类。

· 可靠性：该自定义URL情报的准确度，值越大准确度越高。

· 情报状态：选择是否启用该自定义情报。

注意事项

· 停用情报后，该情报将立刻失效，但不影响停用前匹配该情报的报文统计信息。

MD5情报库

该功能用于展示MD5情报信息。系统支持预定义和自定义MD5情报。其中，预定义情报由系统获取H3C官网上最新的情报库生成，自定义情报通过用户手动添加或导入的方式生成。

预定义MD5情报

该功能用于查询预定义MD5情报信息，同时支持启用或停用预定义情报。

· 查询情报：输入MD5值后单击按钮即可查看相应的MD5情报信息。

· 启用情报：选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择一条或多条启用的情报，单击<停用>按钮完成操作。

自定义MD5情报

该功能用于管理自定义情报，用户可对自定义情报执行以下操作：

· 新增情报：选择“自定义MD5情报”页签，单击<新增>按钮进入新增自定义MD5情报页面，配置相关参数后单击<确认>按钮完操作。

· 查询情报：选择“自定义MD5情报”页签，输入MD5后单击按钮即可查看相应的MD5情报信息。

· 启用情报：选择“自定义MD5情报”页签，选择一条或多条停用的情报，单击<启用>按钮完成操作。

· 停用情报：选择“自定义MD5情报”页签，选择一条或多条启用的情报，单击<停用>按钮完成操作。

· 批量导入情报：选择“自定义MD5情报”页签，选择“导入”，进入导入自定义MD5情报页面，单击“自定义MD5情报导入模板”，下载导入模板，按模板要求填写情报信息后保存配置，并将保存后的模板文件导入到系统即可。导入结果可在“操作结果”中查看。

· 删除情报：选择“自定义MD5情报”页签，选中多条自定义情报信息，单击页面中的<删除>按钮可批量删除自定义情报；单击操作列的<删除>按钮可删除选中的情报。

新增自定义情报参数说明：

· MD5值：恶意文件MD5值，格式为32位16进制字符串。

· 家族名称：MD5值对应的病毒家族名称。

· 危害等级：该MD5值对应的危害等级，值越大危害越高。

· 情报状态：选择是否启用该自定义情报。

注意事项

· 停用情报后，该情报将立刻失效，但不影响停用前匹配该情报的报文统计信息。

· MD5情报仅支持精确查询，不支持模糊查询。

云端配置

该功能用于配置本平台与云端平台（即云端情报中心）对接，对接成功后，平台可定期从云端平台获取情报信息，丰富平台情报库。同时，支持情报溯源和情报误报反馈功能，详细介绍请参见安全事件详情。

用户必须购买并安装威胁情报更新升级License后，平台才能从云端平台同步情报信息，有关License的详细介绍，请参见《H3C SecCenter [CSAP][SMP]系列产品 License使用指南》。

1. 选择“系统设置 > 威胁情报> 云端配置”，进入云端配置页面。

2. 打开同步状态开关。缺省情况下，同步状态开关已打开，无需修改。

注意事项

· 本平台与云端平台之间必须网络互通，否则无法使用本功能。

· 关闭同步状态开关后，平台不再从云端平台获取情报，以前获取的情报信息不受影响。

· 威胁情报更新升级License过期后，平台不再从云端平台获取情报，以前获取的情报信息不受影响。

白名单

当用户通过查看安全事件发现存在误报的情况时，可配置白名单功能，将某类安全事件加入白名单，系统将不展示该类事件，降低误报率。配置白名单后，系统将对关联规则或UEBA规则输出的安全事件进行白名单匹配，匹配上白名单的事件不会在安全事件页面展示，未匹配白名单的事件则进行分析和丰富，并在安全事件页面展示。有关关联规则和UEBA规则的介绍请参见“配置中心 > 关联规则”和“配置中心 > UEBA规则”。

白名单启用规则如下：

· 启用白名单后，对采集器上报的事件先进行关联规则或UEBA规则匹配，再进行白名单匹配，若匹配白名单成功系统将不展示事件；停用或删除该白名单后，系统将重新展示该事件。

· 启用白名单后，已经展示事件也会做白名单匹配，若匹配成功则不再展示该事件，但不会从系统中删除该事件数据；停用或删除该白名单后，该事件将会重新展示。

本章包含如下内容：

· 新增/编辑白名单

· 删除白名单

新增/编辑白名单

该功能用于新增或修改白名单信息。建议通过安全事件的白名单图标新增白名单，各参数字段将自动关联，不需要手动配置。用户可根据实际情况选择安全事件进行过滤。

1. 选择“系统设置 > 白名单”进入白名单配置页面。

2. 单击<新增>按钮可新增一条白名单；单击<编辑>按钮可修改选中白名单的配置信息。

3. 进入新增或编辑白名单配置页面，配置相关参数后单击<确认>按钮完操作（各参数的支持情况与软件版本有关，请以实际情况为准）。

相关说明：

○ 事件等级：安全事件的威胁等级（可多选），匹配该等级的事件将不在安全事件页面进行展示。

○ 确信度：安全事件的可信程度（可多选），匹配该确信度的事件将不在安全事件页面进行展示。

○ 规则名称：可选择关联规则和和UEBA规则（可多选），配置规则名称后，命中该关联规则或UEBA规则的事件将不在安全事件页面进行展示。

○ 情报IOC：通过情报类型的关联规则输出的安全事件，将用情报中的域名、IP地址或MD5值作为该安全事件的情报IOC。对于匹配该情报IOC的事件将不在安全事件页面进行展示。

○ 访问域名：安全事件的访问域名，例如www.example.com。最多支持输入10个域名，域名之间使用“|”分隔。

○ 访问URL：安全事件的访问URL，例如www.example.com/index。最多支持输入10个URL，URL之间使用“|”分隔。

○ 源端口：安全事件的源端口，支持配置为端口或端口范围（例如20-3000）。

○ 目的端口：安全事件的目的端口，支持配置为端口或端口范围（例如20-3000）。

○ 源IP：安全事件的源IP地址，匹配该源IP的事件将不在安全事件页面进行展示。

§ IP类型：选择IP地址的类型，取值包括IPv4和IPv6。

§ 网段类型：选择IP地址的网段类型，取值包括IP地址、IP地址范围以及子网。

§ IP/IP地址范围/IP子网：当网段类型为IP地址范围时，需要输入开始地址和结束地址；当网段类型为子网时，需要输入子网地址和子网掩码长度；当网段类型为IP地址时，需要输入指定的IP地址。

○ 目的IP：安全事件的目的IP地址，匹配该目的IP的事件将不在安全事件页面进行展示。

§ IP类型：选择IP地址的类型，取值包括IPv4和IPv6。

§ 网段类型：选择IP地址的网段类型，取值包括IP地址、IP地址范围以及子网。

○ 启用状态：选择是否启用该白名单。

4. 对于已配置的白名单可通过<启用>和<停用>按钮改变其运行状态。

注意事项

· 添加“漏洞扫描系统”类型的资产成功后，系统将自动生成一个名为漏扫设备+IP（如“漏扫设备192.168.0.1”）的白名单，避免系统将漏扫设备的正常扫描行为误报为安全事件。该类白名单不能手动删除或修改，但可通过删除对应的资产进行关联删除。

· 资产探针注册成功后，系统将自动生成一个名为资产探针+IP（如“资产探针192.168.0.1”）的白名单，避免系统将探针的正常扫描行为误报为安全事件。该类白名单不能手动删除或修改，但可通过删除对应的资产探针进行关联删除。

· 当规则名称中包含如下规则时，源IP参数将失效：外网拒绝服务攻击、内网弱口令登录、主机配置风险、外网扫描侦测、外网暴力破解、外网扫描探测攻击、外网协议暴力破解、外网应用暴力破解、外网拒绝服务。

· 当规则名称中包含如下规则时，目的IP参数将失效：内网漏洞利用攻击、内网暴力破解、内网畸形报文攻击、内网扫描攻击、内网访问风险主机、内网扫描侦测、恶意主机外联、恶意域名事件、恶意URL事件、恶意DGA域名通信、恶意DNS隧道通信、内网协议暴力破解、内网应用暴力破解、对外协议暴力破解、内网拒绝服务。

其中，恶意DGA域名通信、恶意DNS隧道通信规则仅安全威胁发现与运维管理平台增强版支持。

· 当规则名称中包含如下规则时，情报IOC参数将失效：恶意DGA域名通信、恶意DNS隧道通信、内网口令爆破、内网DOS攻击、内网渗透、内网探测、内网端口扫描、内网Web漏洞爆破、内网Web扫描、对外暴力破解、对外拒绝服务攻击、对外端口扫描、对外Web漏洞爆破、对外Web扫描和知识大脑推理攻击。

其中，恶意DGA域名通信、恶意DNS隧道通信规则仅安全威胁发现与运维管理平台增强版支持。

删除白名单

该功能用于删除白名单信息。

1. 选择“系统设置 > 白名单”进入白名单配置页面。

2. 选择一条或多条白名单，单击页面上方<删除>按钮批量删除白名单；单击指定白名单操作列下的<删除>按钮可删除选中白名单。

注意事项

· 名称为漏扫设备+IP（如“漏扫设备192.168.0.1”）的白名单不能手动删除或修改，只能停用或启用。删除该白名单对应的资产后，系统将自动删除该白名单。有关资产的详细介绍请参见“资产中心 > 资产配置”。

· 名称为资产探针+IP（如“资产探针192.168.0.1”）的白名单不能手动删除或修改，只能停用或启用。删除该白名单对应的资产探针后，系统将自动删除该白名单。有关资产探针的详细介绍请参见“资产中心 > 资产探针”。

· 若白名单中“规则名称”字段引用的关联规则和UEBA规则均被删除，那么，该白名单也将被同步删除。

关联规则

关联规则用于对一段时间内采集器上报的日志，按照一定的规则进行关联分析，匹配“关联规则”的日志将会输出一个安全事件，并在“威胁中心>事件台账”页面进行展示。以便用户可实时监控整网安全情况，用户也可以根据事件的描述、关注点等字段进行有针对性的排查并采取相应的措施，确保网络安全。系统支持以下两种类型的关联规则：

· 自定义关联规则：用户可根据实际需求自定义关联规则并对其进行管理，包括新增、删除、启用、停用关联规则。

· 预定义关联规则：系统内置的关联规则算法，可以在海量日志和流量中关联分析出异常信息。系统预定义关联规则如下：

○ 外网漏洞利用攻击

该关联规则用于对一段时间内，系统对接收到的外网攻击者利用内网主机漏洞来进行攻击活动的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 内网漏洞利用攻击

该关联规则用于对一段时间内，系统对接收到的攻击者在内网利用内网主机漏洞来进行攻击活动的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及 X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 外网投递恶意程序

该关联规则用于对一段时间内，系统对接收到的外网攻击者向内网主机投递恶意文件来进行攻击活动的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 外网拒绝服务攻击

该关联规则用于对一段时间内，系统对接收到的外网攻击者向内网主机发起FLOOD攻击的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名相同的日志聚合成一条，生成一个安全事件。

○ 外网畸形报文攻击

该关联规则用于对一段时间内，系统对接收到的攻击者在外网向内网主机发起畸形协议或者数据攻击的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 外网扫描探测攻击

该关联规则用于对一段时间内，系统对接收到的外网攻击源向内网主机发起地址扫描侦察攻击的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 多设备暴力破解

该关联规则用于对一段时间内，系统对接收到的攻击者在外网向内网主机多次请求登录失败的日志进行解析聚合，并将用户登录IP相同的日志聚合成一条，生成一个安全事件。

○ 外网暴力破解

该关联规则用于对一段时间内，系统对接收到的攻击者在外网向内网主机多次发起暴力破解的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 单设备多次登录失败

该关联规则用于对一段时间内，系统对接收到的攻击者在外网通过单台设备向内网主机多次（50次以上）请求登录失败的日志进行解析聚合，并将产生日志设备IP相同的日志聚合成一条，生成一个安全事件。

○ 单主机暴力破解成功

此规则为嵌套规则，单主机暴力破解成功规则里嵌套单主机被单一源暴力破解成功规则。其中，单主机被单一源暴力破解成功规则是将一段时间内，系统接收到的攻击者（一个来源）多次登录主机失败尝试后，最后登录成功的日志聚合成一条，生成一个安全事件；单主机暴力破解成功规则是将一段时间内，系统接收到的攻击者（多个来源）多次登录主机失败尝试后，最后登录成功的日志聚合成一条，生成一个安全事件。当“单主机被单一源暴力破解成功规则”有符合匹配规则的安全事件生成时，不输出“单主机暴力破解成功”规则生成的安全事件；当“单主机被单一源暴力破解成功规则”没有符合匹配规则的安全事件生成时，输出“单主机暴力破解成功”规则生成的安全事件。

○ 恶意网站访问

该关联规则用于对一段时间内，系统对接收到的用户或者主机在内网访问恶意网站的日志进行解析聚合，并将攻击子分类、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 源主机存在恶意文件

该关联规则用于对一段时间内，系统对接收到的内网主机存在恶意文件的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及X-Forwarded-For字段值相同的日志聚合成一条，并根据攻击子分类生成对应的安全事件。

○ 目的主机存在恶意文件

该关联规则用于对一段时间内，系统对接收到的内网主机存在恶意文件的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，并根据攻击子分类生成对应的安全事件。

○ 内网暴力破解

该关联规则用于对一段时间内，系统对接收到的内网主机发起暴力破解来进行权限获取的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 内网畸形报文攻击

该关联规则用于对一段时间内，系统对接收到的攻击者在内网通过内网主机发起畸形协议或者数据攻击的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 内网扫描攻击

该关联规则用于对一段时间内，系统对接收到的攻击者在内网通过内网主机发起地址扫描侦察攻击的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 恶意主机外联

该规则用于对流量探针、终端主机上报的内网主机访问特定外网主机（被列入系统威胁情报中的C&C、网络蠕虫、远控木马等IP库里的外网主机IP）的日志进行解析聚合，并将源IP、目的IP相同的日志聚合成一条，生成一个安全事件。

○ 恶意域名事件

该规则用于对流量探针、防火墙、上网行为管理系统及终端主机上报的内网主机访问特定外网域名（被列入系统威胁情报中的C&C、网络蠕虫、远控木马等域名库里的外网域名）的日志进行解析聚合，并将源IP、访问域名相同的日志聚合成一条，并根据攻击子分类生成对应的安全事件。

○ 内部发起恶意通信

该关联规则用于对一段时间内，系统对接收到的攻击者在内网主机发起恶意通信请求的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及X-Forwarded-For字段值同的日志聚合成一条，并根据攻击子分类生成对应的安全事件。

○ 外部发起恶意通信尝试

该关联规则用于对一段时间内，系统对接收到的攻击者在外网尝试向内网主机发起恶意通信的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 恶意URL事件

该规则用于对流量探针、防火墙、上网行为管理系统及终端主机上报的内网主机访问特定外网URL（被列入系统威胁情报中的C&C、网络蠕虫、远控木马等URL库里的外网URL）的日志进行解析聚合，并将源IP、访问URL相同的日志聚合成一条，生成一个安全事件。

○ 内网访问风险主机

该关联规则用于对一段时间内，系统对接收到的攻击者在内网利用内网主机漏洞来进行攻击活动的日志进行解析聚合，并将攻击分类、攻击子分类、目的IP及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 目的主机存在风险

该关联规则用于对一段时间内，系统对接收到的攻击者在外网利用内网主机漏洞来进行攻击活动的日志进行解析聚合，并将攻击分类、攻击子分类、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 恶意通信成功

该关联规则用于对一段时间内，系统对接收到的攻击者向内网主机发起恶意通信日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，并根据攻击子分类生成对应的安全事件。

○ 主机配置风险

该关联规则用于对一段时间内，系统对接收到的内网主机存在配置风险的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 源主机疑似感染恶意程序

该关联规则用于对一段时间内，系统对接收到的内网主机存在恶意文件的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP及X-Forwarded-For字段值的日志聚合成一条，生成一个安全事件。

○ 终端MD5情报

该规则用于对终端上报的内网主机存在操作恶意文件（即文件MD5值在系统威胁情报中恶意文件库里的文件）行为的日志进行解析聚合，并将终端MAC地址、文件MD5值相同的日志聚合成一条，生成一个安全事件。

○ 内网弱口令登录

该关联规则用于对一段时间内，系统对接收到的攻击者在内网利用内网主机弱口令来进行攻击活动的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 外网弱口令登录

该关联规则用于对一段时间内，系统对接收到的外网攻击者利用内网主机弱口令来进行攻击活动的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 外网风险访问

该关联规则用于对一段时间内，系统对接收到的外网攻击者利用内网主机开放端口来进行攻击活动的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ 内网暴破成功

该关联规则用于对一段时间内，系统对接收到的内网主机向内网主机发起暴力破解并成功获取权限的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

○ Web安全风险

该关联规则用于对一段时间内，系统对接收到的外网访问内网主机产生的Web安全的日志进行解析聚合，并将攻击子分类、攻击名称、目的IP、目的端口、访问域名及X-Forwarded-For字段值相同的日志聚合成一条，生成一个安全事件。

本章包含如下内容：

新增自定义关联规则

该功能用于新增自定义关联规则。主要包括规则定义、事件输出和规则配置三个部分。

1. 选择“系统设置 > 规则配置>关联规则”，进入关联规则页面。

2. 单击<新增>按钮进入新增关联规则页面。

3. 配置规则定义相关参数后，单击<下一步>按钮。

○ 规则名称：规则的唯一标识。

○ 规则描述：规则的描述，通过合理编写描述信息，便于管理员快速理解和识别该规则。

○ 时间窗：规则匹配事件的时间段，只有在时间窗内到达系统的事件才会进行匹配。时间窗单位为分钟，必须是正整数。时间窗长度可输入1-60分钟。。

○ 溯源描述：规则生成安全事件后在溯源分析中的描述，可直接描述或通过在特定字段前后加占位符%来进行变量替换，例如：%攻击源%向%攻击目的%发起暴力破解尝试，共登录%攻击次数%次。

○ 风险危害：该规则生成的安全事件的风险危害，例如，"危害：主机很可能已被黑客控制，正与黑客主机通信。原理：内部主机失陷后会直接或者通过隧道等方式外联黑客主机，甚至被当成肉鸡攻击互联网其他主机,通过本地主机是否发起恶意通信进行检测。"

○ 处置建议：该规则生成的安全事件的处置建议，例如，"如果主机是普通PC或服务器无相关代理服务，则建议使用杀毒工具进行全盘查杀。"

4. 配置事件输出相关参数后，单击<下一步>按钮。

○ 事件名称：该规则生成的安全事件的名称，长度为1～20个字符，可文字描述或通过在特定字段前后加占位符%来进行变量替换，例如：%攻击类型%攻击。

○ 事件描述：该规则生成的安全事件的详细描述，可直接描述或通过在特定字段前后加占位符%来进行变量替换，例如：发现%攻击目的%遭受%攻击类型%攻击，攻击名称为%攻击名称%。

○ 威胁等级：该规则生成的安全事件的威胁等级，可选择低危、中危、高危、严重和默认。其中选择默认时，将展示日志本身的威胁等级。

○ 关注点：该规则生成的安全事件的关注点，可选择关注源或目的。通过关注点字段用户可以关注资产的安全状态。

○ 攻击阶段：该规则生成安全事件时，该事件所属攻击链环节，攻击阶段总共分为扫描侦查、入侵、命令控制、横向渗透、网络黑产、数据盗取、系统破坏。

○ 确信度：该规则生成的安全事件的可信程度，包括已失陷、高可疑、低可疑。

5. 规则配置用于匹配原始日志的子规则。点击<新增子规则>按钮，进入新增子规则页面，配置相关参数后单击<确认>按钮完操作；点击<删除>按钮可删除已配置的子规则。

· 子规则名称：子规则的唯一标识，不能重复，不能包含字符“{}!_|<>/\%&'",;:*=?#”。

· 子规则描述：子规则的详细描述，通过合理编写描述信息，便于管理员快速理解和识别该规则。

· 条件属性：该规则只对此类型的日志进行匹配。

· 聚合：用于对满足条件的日志聚合上报事件。例如，若设备采集到100条满足匹配条件的暴力破解攻击日志，若未配置聚合功能，则对100条攻击日志均上报事件，若配置了聚合功能，则根据聚合条件的配置上报事件。系统默认未开启聚合功能。

○ 分组字段选择：根据所选的“关键字段”对所有满足匹配条件的日志进行首次分组聚合，关键字段取值相同的日志为一组，每组聚合为一条日志。例如，对于设备收到的100条满足匹配条件的暴力破解攻击日志，若需要根据攻击源聚合上报日志，则可以将分组字段选择配置为“用户登录IP”。

○ 分组字段统计次数：若根据分组字段聚合后的日志条数大于或等于配置的分组字段统计次数，且未配置解析字段选择，则将聚合日志上报为事件，若配置了解析字段选择则继续匹配解析字段条件；否则分组字段匹配失败，不上报事件。例如：对于设备收到的100条满足匹配条件的暴力破解攻击日志，假设配置的分组字段选择为“用户登录IP”，分组字段统计次数为10。即根据用户登录IP地址对设备收到的100条暴力破解日志进行分组，若分组个数大于等于10（登录用户的个数大于等于10），则上报事件，否则认为攻击规模不具有威胁性，不上报日志。

○ 解析字段选择：配置解析字段后，系统将根据解析字段所选的关键字对首次分组聚合的日志进行二次聚合，关键字段取值相同的日志为一组，每组聚合为一条日志。例如，假设经过首次聚合后，聚合输出20条来自不同登录IP的暴力破解攻击日志。若需要根据产生日志的设备IP再次聚合，则可以将解析字段选择配置为“产生日志的设备IP”。

○ 解析字段相同值统计次数：若聚合后的日志条数大于或等于配置的解析字段相同值统计次数，则继续进行后续判断。例如，假设经过首次聚合后，聚合输出20条来自不同登录IP的暴力破解攻击日志。若配置解析字段选择为“产生日志的设备IP”，解析字段相同值统计次数为1。即根据产生日志的设备IP地址对首次聚合后的攻击日志再次进行聚合，若再次聚合后的日志条数大于等于1（产生日志的设备个数大于等于1），则继续匹配解析字段不同值最小个数，否则认为攻击规模不具有威胁性，不上报日志。

○ 解析字段不同值最小个数：经过解析字段聚合后生成的日志条数，如果大于或等于配置的解析字段不同值最小个数，则在聚合的日志中依据继承策略选择一条日志上报为事件；否则不上报事件。例如，假设经过再次聚合后，聚合输出12条来自不同日志设备的暴力破解攻击日志。若配置解析字段不同值最小个数为10，则判断上一步聚合后的日志条数12大于10（产生日志的设备个数大于10），则依据继承策略选择一条日志上报事件，否则认为攻击规模不具有威胁性，不上报日志。

○ 继承策略：指定聚合日志输出和上报事件的时间依据。若选择“最早时间”，则选择产生时间最早的日志为聚合日志或上报事件；若选择“最晚时间”，则选择产生时间最晚的日志为聚合日志或上报事件。

· 匹配条件

○ 设置匹配条件间的逻辑关系：用于设置多个条件之间的逻辑关系，可选择与、或和自定义。在使用自定义的逻辑关系时，可使用OR和AND来组合成逻辑表达式，例如，1 and (2 or 3) and 4。

○ 设置匹配条件：指定匹配条件的关键字段和实际取值之间连接关系，包括：“=”、“！=”、“>”、“<”、“>=”、“<=”、“INLIST”、“NOTINLIST”、“IN”。其中，选择“INLIST”和“NOTINLIST”时指定关联列表，表示该关键字段的值是否存在指定的“关联列表”中；选择“IN” 可选择多个匹配字段。

○ 添加匹配条件：点击<+新增匹配条件>按钮可以增加一个匹配条件，点击按钮可以删除一个匹配条件。

· 子规则关系：一个关联规则下可添加多个子规则，多个子规则之间的匹配顺序可以选择全部匹配、任一匹配或顺序匹配。只有配置了多个子规则时才显示该字段。

6. 所有参数配置完成后，单击<确认>按钮，完成新增规则操作。

7. 对于已配置的规则可通过启用和停用按钮改变规则的状态。

配置举例

例如，用户需要自定义一条关联规则，用于根据流量日志来分析内网主机之间频繁访问的情况。该规则中要求一个内网IP至少访问其他内网IP 500次，且访问次数不少于50次的内网IP数至少为10个。自定义关联规则的操作步骤如下：

1. 单击<新增>按钮，进入新增关联规则页面，配置如下参数。

规则定义

○ 规则名称：内网主机频繁访问

○ 时间窗：1分钟

○ 溯源描述：【%规则名称%】 %源IP% 发起频繁访问

○ 风险危害：频繁访问

○ 处置建议：关注主机安全

事件输出

○ 事件名称：内网主机频繁访问

○ 事件描述：内网主机频繁访问

○ 威胁等级：默认

○ 关注点：源

○ 攻击阶段：其他

○ 确信度：低可疑

2. 单击<添加>按钮，进入新增子规则页面，配置如下参数。

规则配置

○ 子规则名称：内网主机频繁访问

○ 条件属性：网络流量日志

○ 聚合：勾选复选框

§ 分组字段选择：源IP

§ 分组字段统计次数：500

§ 解析字段选择：目的IP

§ 解析字段相同值统计次数：50

§ 解析字段不同值最小个数：10

§ 继承策略：最晚时间

○ 匹配条件：与

§ 第1个匹配条件：三个下拉框中分别选择日志子分类、IN、会话结束,会话开始&结束

§ 第2个匹配条件：三个下拉框中分别选择源内外网标识、IN、内网

§ 第3个匹配条件：三个下拉框中分别选择目的内外网标识、IN、内网。

3. 单击<确认>按钮，完成子规则配置。

4. 单击<确认>按钮，完成自定义关联规则配置。

注意事项

· 通过特定字段前后加占位符%方式表示安全事件信息时，特定字段将被替换为该字段的实际取值。

○ 事件名称、事件描述可配置的特定字段为攻击类型、攻击名称、攻击源、攻击目的、源IP、目的IP、主机名称、情报类型。

○ 溯源描述可配置的特定字段为攻击类型、攻击名称、攻击源、攻击目的、源IP、目的IP、主机名称、情报类型、事件名称、事件描述、规则名称、攻击次数。

其中攻击源、攻击目的若已配置资产名或用户名，则展示资产名或用户名，否则展示为IP地址。

· 建议不要配置过长的时间窗，否则会影响匹配性能。

· 嵌套规则：同一个时间窗口内，只要嵌套子规则有生成事件，则嵌套父规不会生成事件。建议嵌套子规则的匹配条件，是嵌套父规则匹配条件的一个特殊子集。

· 关联规则停用后，不会影响停用前匹配的数据展示。

查询关联规则

该功能用于查看已配置的关联规则。

1. 选择“系统设置 > 规则配置 > 关联规则”进入关联规则页面。

2. 支持按规则名称、事件名称、启用状态、威胁等级检索关联规则，输入查询条件，单击<查询>按钮页面将展示满足查询条件的关联规则信息；单击<重置>按钮可重置查询条件。默认展示所有关联规则。

○ 规则名称：关联规则的唯一标识。

○ 类型：关联规则的类型，包括自定义和预定义。

○ 事件名称：该关联规则生成的安全事件的名称。

○ 事件描述：该关联规则生成的安全事件的描述信息，合理的描述信息有利于管理员快速了解该事件。

○ 威胁等级：该关联规则生成的安全事件的严重等级。

○ 命中次数：日志成功匹配该关联规则生成的安全事件数，点击次数可查看命中该规则的安全事件信息。

○ 启用状态：关联规则的使用状态，包括启用和停用。

删除自定义关联规则

该功能用于删除自定义关联规则。

1. 选择“系统设置 > 规则配置 > 关联规则”进入关联规则页面。

2. 选中多条规则，单击<删除>按钮可批量删除规则；单击操作列的<删除>按钮可删除选中的规则。

注意事项

删除规则时，若白名单中“规则名称”字段引用的关联规则均被删除，那么，该白名单也将被同步删除。

启用关联规则

该功能用于启用关联规则。

1. 选择“系统设置 > 规则配置 > 关联规则”进入关联规则页面。

2. 选中多条状态为“停用”规则，单击页面中的<启用>按钮可批量启用规则。

注意事项

批量启用关联规则时，一次最多只能启用单页面能展示的所有关联规则。

停用关联规则

该功能用于停用关联规则。

1. 选择“系统设置 > 规则配置 > 关联规则”进入关联规则页面。

2. 选中一条或多条状态为“启用”的规则，单击页面中的<停用>按钮可批量停用规则。

注意事项

批量停用关联规则时，一次最多只能停用单页面能展示的所有关联规则。

UEBA配置

该功能提供多个预定义异常流量检测规则，并支持对规则的关键检测参数进行配置和设置规则的启用状态。通过这些规则，系统可以及时发现网络中的异常流量事件并在安全事件页面展示，以便管理员尽早对全网安全威胁进行处理。

本章包含如下内容：

· 查询UEBA规则

· 设置规则启用状态

· 设置规则参数

查询UEBA规则

1. 选择“系统设置 > 规则配置 > UEBA配置”进入UEBA规则页面。

2. 支持按规则名称、事件名称、启用状态、威胁等级检索UEBA规则。单击<重置>按钮可重置查询条件。

设置规则启用状态

1. 选择“系统设置 > 规则配置 > UEBA配置”进入UEBA规则页面。

2. 支持单个或批量设置规则启用状态。选择一个或多个停用的规则，单击<启用>按钮可批量启用规则，被启用的规则将在下个检测周期执行检测任务；选择一个或多个启用的规则，单击<停用>按钮可批量停用规则，被停用的规则将不再在下个检测周期中执行检测任务。

设置规则参数

1. 选择“系统设置 > 规则配置 > UEBA配置”进入UEBA规则页面。

2. 选择要编辑的规则，点击操作列的<配置>按钮即可设置该规则的核心参数，有关各规则可配置参数的说明请参见各规则介绍。

注意事项

以下规则缺省处于停用状态，用户可根据实际需求手动启用：

· 内网访问速率异常_域名请求速率异常

· 内网访问速率异常_相同域名请求速率异常

· 内网访问速率异常_网站访问速率异常

· 内网违规访问_违规访问

· 内网隐蔽隧道_域名型DNS隧道（仅安全威胁发现与运维管理平台增强版中缺省处于停用状态）

· 外网隐蔽隧道_IP型DNS隧道

· 外网隐蔽隧道_域名型DNS隧道（仅安全威胁发现与运维管理平台增强版中缺省处于停用状态）

· 访问互联网速率异常_域名请求速率异常

· 访问互联网速率异常_相同域名请求速率异常

· 违规访问外网_翻墙行为

· 违规访问外网_违规外联成功

· 外网拒绝服务_DNS拒绝服务

· 网站违规搭建_网站违规搭建

· Domain-Flux僵尸网络域名C&C通信

· Fast-Flux僵尸网络域名C&C通信

· 高危端口挖矿通信_挖矿通信

· 应用端口异常_MSSQL端口异常

· 应用端口异常_MySQL端口异常

· 应用端口异常_RDP端口异常

· 应用端口异常_SMTP端口异常

· 应用端口异常_SSH端口异常

· 应用端口异常_Telnet端口异常

· 访问应用时间异常_访问应用时间异常

· 访问应用被阻断_访问应用被阻断

· 频繁访问应用_频繁访问应用

· 内网端口暴力破解_端口暴力破解尝试

· 外网端口暴力破解_端口暴力破解尝试

· 对外端口暴力破解_端口暴力破解尝试

Domain-Flux僵尸网络域名C&C通信

通过AI算法模型对内网主机建立未注册域名访问基线和未注册域名访问占比基线，从而检测内网主机是否存在Domain-Flux僵尸网络域名C&C通信。

· 域名白名单：系统对加入白名单列表中的域名不进行检测，可以减少误报。

注意事项

仅安全威胁发现与运维管理平台增强版支持该规则。

该规则用于检测是否存在内网主机对其他内网主机发起VNC暴力破解攻击。

· 请求包载荷阈值下限：VNC会话中，请求包载荷阈值的下限值，该值需小于请求包载荷阈值上限。

· 请求包载荷阈值上限：VNC会话中，请求包载荷阈值的上限值，该值需大于请求包载荷阈值下限。

· 会话数阈值：流量满足以上条件时的VNC会话数阈值。

内网应用暴力破解_Web后台登录暴力破解

该规则用于检测是否存在内网主机对其他内网主机发起Web后台登录暴力破解攻击。

· 相同URL访问次数阈值：源内网主机访问相同的URL次数阈值。

内网扫描侦测_端口垂直扫描

该规则用于检测是否存在内网主机对其他内网主机发起端口扫描攻击。

· 开放端口占比阈值：被扫描端口中，开放端口数与未知端口数比值阈值，最多保留2位小数。

内网扫描侦测_端口水平扫描

该规则用于检测是否存在内网主机对其他内网主机的高危端口发起端口探测攻击。

该规则用于检测内网用户请求域名速率异常行为。

· 不同域名数阈值：内网用户访问不同域名数阈值。

内网访问速率异常_相同域名请求速率异常

该规则用于检测内网用户请求相同域名速率异常行为。

参数说明

· 1秒内访问次数阈值：1秒内源端访问相同域名的次数阈值。

· 访问总次数阈值：5分钟内源端访问相同域名的总次数阈值。

内网访问速率异常_网站访问速率异常

该规则用于检测内网用户访问网站速率异常行为。

· 访问总次数阈值：内网源端访问相同域名总次数阈值。

· 访问次数变化率阈值：源内网IP访问相同域名访问次数变化率阈值。

内网违规访问_违规访问

该规则用于检测内网主机是否存在违规访问行为，即主机对没有访问权限的IP及端口发起访问，且交互流量大于指定阈值。单击<新增>按钮添加违规访问策略。

· 策略名称：违规访问策略的唯一标识。

· 目的IP范围：禁止访问的目的IP，支持IP地址范围和子网两种输入形式。

· 目的IP排除项：禁止访问的目的IP中的排除地址，仅支持以单个IP形式输入。

· 目的端口列表：禁止访问目的IP上的端口，以端口范围形式进行配置，且结束端口必须大于或等于起始端口。

· 源IP范围：禁止访问目的IP的源IP范围，支持IP地址范围和子网两种输入形式。若配置的源IP访问了目的IP/端口，且上、下行流量均大于设置的阈值，则认为源IP存在违规访问行为。

· 源IP排除项：源IP范围中的排除IP，即不对该源IP地址进行违规访问限制。仅支持以单个IP形式输入。

· 上行流量阈值：配置的源IP访问了目的IP/端口，且会话的上、下行流量均大于设置的阈值，则认为源IP存在违规访问行为。

该规则用于检测内网主机是否存在ICMP隐蔽隧道通信。

· 访问次数阈值：ICMP会话日志数阈值。

外网隐蔽隧道_IP型DNS隧道

该规则用于检测内网主机是否存在DNS隐蔽隧道通信。

· 请求包载荷阈值：DNS请求包载荷的下限阈值。

· 访问次数阈值：DNS会话日志数阈值。

外网隐蔽隧道_SSH隧道

该规则用于检测内网主机是否存在SSH隐蔽隧道通信。

· 上行流量阈值：请求流量阈值。

· 下行流量阈值：应答流量阈值。

该规则用于检测内网主机是否存在网站违规搭建的行为，必须先配置域名白名单，规则才能生效。

· 域名白名单：系统对加入白名单列表中的域名不进行检测，可以减少误报。

蠕虫病毒内网扩散_感染蠕虫病毒

该规则用于检测检测周期内，内网主机向其他大量内网IP发起蠕虫传播的行为。当源内网主机访问的内网不同主机数或访问具有相同C段特征的不同内网主机数超过设置的阈值时，则表示该主机可能感染蠕虫病毒。

· 主机数阈值：源内网主机访问内网不同主机数阈值。

· C段特征主机数阈值：访问目的IP为具有相同C段特征的不同内网主机数的阈值。

蠕虫病毒外网扩散_感染蠕虫病毒

该规则用于检测检测周期内，是否存在内网主机向大量外网IP发起蠕虫传播。

· 主机数阈值：源内网主机访问外网不同主机数阈值。

该规则用于检测内网主机是否存在违规访问外网行为，且交互流量大于阈值。

· 上行流量阈值：请求流量阈值。

· 下行流量阈值：应答流量阈值。

· 源IP范围：禁止访问互联网的内网IP地址范围。

高危端口挖矿通信_挖矿通信

该规则用于检测是否存在内网主机与互联网进行挖矿通信。