操作場景

工作空間（ Workspace ）屬于安全云腦頂層工作臺(tái)，單個(gè)工作空間可綁定普通項(xiàng)目、企業(yè)項(xiàng)目和Region，可支撐不同場景下的工作空間運(yùn)營模式。

在使用安全云腦的基線檢查、告警管理、日志審計(jì)、安全編排等功能前，需要先創(chuàng)建工作空間，它可以將資源劃分為各個(gè)不同的工作場景，避免資源冗余查找不便，影響日常使用。

本章節(jié)介紹如何新增工作空間。

約束與限制

• 付費(fèi)版本安全云腦：單賬號(hào)單Region內(nèi)最多創(chuàng)建5個(gè)工作空間。
• 免費(fèi)版本安全云腦：單賬號(hào)單Region內(nèi)最多創(chuàng)建1個(gè)工作空間。
• 新創(chuàng)建的工作空間需要初始化，工作空間創(chuàng)建完成后需要等待約10分鐘后刷新查看。查看工作空間請參見查看工作空間。

新增工作空間

1. 登錄安全云腦 SecMaster控制臺(tái)。
2. 單擊管理控制臺(tái)左上角的，選擇區(qū)域和項(xiàng)目。
3. 在頁面左上角單擊，選擇“ 安全與合規(guī) > 安全云腦 SecMaster”，進(jìn)入安全云腦管理頁面。
4. 在左側(cè)導(dǎo)航欄選擇“工作空間 > 空間管理”，進(jìn)入工作空間管理頁面。
   圖1 工作空間管理頁面
   

5. （可選）首次進(jìn)入空間管理頁面時(shí)，需要進(jìn)行授權(quán)操作。
   1. 在空間管理頁面上方單擊“服務(wù)委托授權(quán)-當(dāng)前租戶”，右側(cè)彈出授權(quán)頁面。
   2. 在授權(quán)頁面中，默認(rèn)已勾選所需的全部權(quán)限，請勾選權(quán)限下方的“同意授權(quán)”，并單擊“確認(rèn)”。

6. 在工作空間管理頁面中，單擊“新增”，系統(tǒng)從右側(cè)彈出新增工作空間頁面。
7. 配置新建工作空間參數(shù)，參數(shù)說明如下表所示：

   表1 新增工作空間

   參數(shù)名稱	參數(shù)說明
   區(qū)域	選擇待新增工作空間所在區(qū)域。
   項(xiàng)目類型	選擇待新增工作空間所屬的項(xiàng)目類型。
   工作空間名稱	自定義工作空間的名稱。命名規(guī)則如下： 可輸入中文字符、英文大寫字母（A～Z）、英文小寫字母（a～z）、數(shù)字（0～9）和特殊字符（-_()）。 長度不能超過64個(gè)字符。
   標(biāo)簽(可選)	可選參數(shù)，添加該工作空間的標(biāo)簽，用于標(biāo)識(shí)工作空間，方便您對工作空間進(jìn)行分類和跟蹤。 如果您需要使用同一標(biāo)簽標(biāo)識(shí)多種云資源，即所有服務(wù)均可在標(biāo)簽輸入框下拉選擇同一標(biāo)簽，建議在TMS中創(chuàng)建預(yù)定義標(biāo)簽，也可以直接在此處創(chuàng)建標(biāo)簽。
   描述(可選)	可選參數(shù)，設(shè)置該工作空間的備注信息。

8. 單擊“確定”，完成工作空間的新增。
9. 工作空間配置完成后，在左側(cè)導(dǎo)航欄選擇“工作空間 > 空間管理”，進(jìn)入安全云腦工作空間管理頁面，可查看已新增的工作空間。

新增工作空間時(shí)初始化內(nèi)容

用戶新增工作空間后，系統(tǒng)會(huì)進(jìn)行頁面布局初始化、運(yùn)營對象初始化、劇本編排初始化、云服務(wù)接入初始化、模型初始化。詳細(xì)說明如下：

• 頁面布局初始化：新增工作空間時(shí)會(huì)初始化頁面布局，布局用于提供頁面的展示樣式。進(jìn)入工作空間管理頁面，在左側(cè)導(dǎo)航欄選擇“安全編排 > 頁面布局”，默認(rèn)進(jìn)入布局管理頁面可查看內(nèi)置的布局。新增工作空間時(shí)空間初始化涉及的布局有告警列表、告警詳情、事件列表、事件詳情、情報(bào)列表、情報(bào)詳情、漏洞列表、漏洞詳情、資產(chǎn)列表、資產(chǎn)詳情、日報(bào)、月報(bào)、周報(bào)。查看布局詳細(xì)操作請參見查看布局。
• 運(yùn)營對象初始化：關(guān)于運(yùn)營對象的基本概念請參見運(yùn)營對象管理概述?？臻g初始化時(shí)會(huì)完成數(shù)據(jù)類和類型管理的初始化。
  • 初始化的數(shù)據(jù)類：指標(biāo)、漏洞、通用上下文、策略記錄、策略、告警、資產(chǎn)、業(yè)務(wù)系統(tǒng)、基線檢查、部門、事件、證據(jù)。查看數(shù)據(jù)類詳細(xì)操作請參見查看數(shù)據(jù)類。
  • 初始化的類型：告警類型、事件類型、威脅情報(bào)、漏洞類型，系統(tǒng)內(nèi)置的類型請參見內(nèi)置類型。查看告警類型請參見查看已有告警類型，查看事件類型請參見查看已有事件類型，查看威脅情報(bào)類型請參見查看已有威脅情報(bào)類型，查看漏洞類型請參見查看已有漏洞類型。
• 劇本編排初始化：劇本和流程的概念請參見安全編排概述。新增工作空間時(shí)會(huì)初始化劇本、流程和插件，詳細(xì)列表如下：

  表2 初始化的劇本、流程、插件

  類別	初始化內(nèi)容
  劇本	主機(jī)資產(chǎn)風(fēng)險(xiǎn)統(tǒng)計(jì)通知
  	資產(chǎn)防護(hù)狀態(tài)統(tǒng)計(jì)通知
  	新增主機(jī)資產(chǎn)防護(hù)狀態(tài)通知
  	告警指標(biāo)提取
  	主機(jī)Rootkit事件攻擊自動(dòng)化處置
  	同步 WAF 黑IP到情報(bào)
  	同步 CFW 黑IP到情報(bào)
  	主機(jī)告警狀態(tài)同步
  	網(wǎng)絡(luò)防線告警關(guān)聯(lián)歷史處置信息
  	身份防線告警關(guān)聯(lián)歷史處置信息
  	應(yīng)用防線告警關(guān)聯(lián)歷史處置信息
  	主機(jī)防線告警關(guān)聯(lián)歷史處置信息
  	統(tǒng)一買
  	關(guān)鍵運(yùn)維操作實(shí)時(shí)通知
  	重復(fù)告警自動(dòng)關(guān)閉
  	攻擊鏈路分析告警通知
  	HSS 文件隔離查殺
  	高危告警自動(dòng)通知
  	低危告警自動(dòng)關(guān)閉
  	主機(jī)反彈Shell攻擊自動(dòng)化處置
  	云腦WAF地址組關(guān)聯(lián)策略
  	Web登錄爆破攔截
  	關(guān)聯(lián)內(nèi)外部IP畫像情報(bào)
  	自動(dòng)更新告警名稱
  	高危漏洞自動(dòng)通知
  	挖礦主機(jī)隔離
  	未關(guān)閉告警自動(dòng)統(tǒng)計(jì)通知
  	高危告警自動(dòng)化安全封堵
  	告警ip指標(biāo)打標(biāo)
  	HSS高危告警攔截通知
  	勒索主機(jī)隔離
  	WAF刪除空防護(hù)策略
  流程	主機(jī)告警狀態(tài)同步
  	CIS_ PostgreSQL 限制連接 數(shù)據(jù)庫 的IP地址
  	資產(chǎn)防護(hù)信息通知
  	主機(jī)自動(dòng)存儲(chǔ)AirGap熔斷
  	CIS_MySQL開啟數(shù)據(jù)庫審計(jì)日志
  	策略管理_ VPC
  	主機(jī)自動(dòng)備份及副本防篡改操作
  	WAF地址組取消綁定策略
  	CIS_啟用 LTS 主機(jī)全量日志功能
  	CIS_啟用 ELB 訪問日志記錄功能
  	高危漏洞自動(dòng)通知
  	CIS_啟用LTS服務(wù)并采集容器日志
  	CIS_確保設(shè)置密碼最短使用時(shí)間
  	WAF一鍵攔截
  	HSS高危告警攔截通知
  	CIS_啟用 FunctionGraph 函數(shù)日志功能
  	網(wǎng)絡(luò)防線告警關(guān)聯(lián)歷史處置信息
  	策略管理-CFW取消阻斷
  	策略管理-WAF阻斷
  	CIS_確保管理員賬號(hào)已啟用MFA
  	創(chuàng)建情報(bào)
  	主機(jī)防線告警關(guān)聯(lián)歷史處置信息-威脅建模-登錄類
  	CIS_備份數(shù)據(jù)刪除建議開啟二次確認(rèn)
  	CIS_ DDS 開啟加密通信
  	CIS_使用專屬資源池
  	CIS_啟用訪問密鑰保護(hù)
  	一鍵解封
  	關(guān)聯(lián)內(nèi)外部IP畫像情報(bào)
  	CIS_MySQL禁止使用默認(rèn)端口
  	WAF地址組綁定策略
  	CIS_使用IP白名單的方式接入notebook
  	Web登錄爆破攔截
  	高危告警自動(dòng)化安全封堵
  	中風(fēng)險(xiǎn)主機(jī)自動(dòng)快照及策略配置
  	CIS_ GaussDB WAL歸檔配置
  	策略管理_CFW
  	CIS_啟用 CTS 的關(guān)鍵操作通知功能
  	CIS_DDS限制最大連接數(shù)
  	CIS_確保任何單個(gè) IAM 用戶僅有一個(gè)可用的活動(dòng)訪問密鑰
  	CIS_PostgreSQL開啟用戶登錄時(shí)日志記錄功能
  	CIS_DDS設(shè)置秒級(jí)監(jiān)控和告警規(guī)則
  	告警指標(biāo)提取
  	高風(fēng)險(xiǎn)主機(jī)自動(dòng)快照及策略配置
  	應(yīng)用防線告警關(guān)聯(lián)歷史處置信息
  	同步CFW黑IP到情報(bào)
  	查詢歷史告警
  	CIS_GaussDB用戶密碼的安全策略
  	攻擊鏈路分析告警通知
  	CIS_確保私有 鏡像 開啟了加密
  	CIS_開啟Kerberos認(rèn)證
  	主機(jī)防線告警關(guān)聯(lián)歷史處置信息
  	策略管理-IAM賬號(hào)阻斷
  	CIS_MySQL避免綁定 EIP 直接通過互聯(lián)網(wǎng)訪問
  	策略管理_WAF
  	策略管理-WAF取消阻斷
  	CIS_GaussDB安全認(rèn)證配置
  	策略管理_IAM
  	主機(jī)一鍵解封
  	CIS_ GaussDB數(shù)據(jù)庫 連接的最大并發(fā)連接數(shù)配置
  	漏洞處理
  	HSS文件隔離查殺
  	自動(dòng)更改告警名稱
  	CIS_PostgreSQL開啟備份功能設(shè)置合理的備份策略
  	CIS_PostgreSQL禁止使用默認(rèn)端口
  CIS_DDS開啟數(shù)據(jù)庫審計(jì)日志
  CIS_確保不創(chuàng)建允許通配符管理權(quán)限的IAM策略
  同步WAF黑IP到情報(bào)
  重復(fù)告警自動(dòng)關(guān)閉
  實(shí)時(shí)自動(dòng)關(guān)閉告警
  CFW一鍵攔截
  CIS_使用密鑰對安全登錄 BMS
  CIS_PostgreSQL開啟數(shù)據(jù)庫審計(jì)日志
  CIS_啟用CFW日志管理能力
  CIS_確保不創(chuàng)建管理員權(quán)限的IAM用戶
  CIS_集群apiserver不要暴露到公網(wǎng)
  CIS_集群節(jié)點(diǎn)不要暴露到公網(wǎng)
  告警打ip標(biāo)簽
  高危告警自動(dòng)通知
  Labeled Hosts Backup
  CIS_MySQL數(shù)據(jù)庫版本更新到最新版本
  身份防線告警關(guān)聯(lián)歷史處置信息
  主機(jī)防線告警關(guān)聯(lián)歷史處置信息-威脅建模-進(jìn)程類
  CFW一鍵解封
  CIS_PostgreSQL配置客戶端認(rèn)證超時(shí)時(shí)間
  CIS_啟用HSS的 容器安全 版
  低風(fēng)險(xiǎn)主機(jī)自動(dòng)快照及策略配置
  關(guān)鍵運(yùn)維操作實(shí)時(shí)通知
  主機(jī)防線告警關(guān)聯(lián)歷史處置信息-自動(dòng)轉(zhuǎn)告警
  一鍵阻斷
  WAF刪除空防護(hù)策略
  統(tǒng)一買
  CIS_啟用VPC流量日志功能
  策略管理-IAM賬號(hào)取消阻斷
  CIS_開啟日志文件完整性校驗(yàn)
  CIS_配置 IAM 的網(wǎng)絡(luò)訪問控制策略
  未關(guān)閉高風(fēng)險(xiǎn)告警統(tǒng)計(jì)自動(dòng)通知
  主機(jī)資產(chǎn)風(fēng)險(xiǎn)統(tǒng)計(jì)通知
  CIS_開啟日志文件加密存儲(chǔ)
  基線檢查結(jié)果反饋
  WAF一鍵解封
  策略管理-CFW阻斷
  主機(jī)隔離-惡意軟件
  策略管理-安全組阻斷
  策略管理-安全組取消阻斷
  主機(jī)一鍵隔離
  資產(chǎn)防護(hù)狀態(tài)統(tǒng)計(jì)通知
  CIS_DDS開啟磁盤加密
  CIS_DDS關(guān)閉腳本運(yùn)行功能
  插件	SecMasterWebTools
  	SMN
  	FunctionGraph
  	DDS
  	ELB
  	EPS
  	IMS
  	LTS
  	CFW
  	Kafka
  	SFS
  	SecMasterBiz
  	CS BS
  	VPC
  	HTTP
  	DBSS
  	HSS
  	ECS
  	BSS
  	IAM
  	ThreatBook
  	HBRD
  	EVS
  	SecMasterUtilities
  	RMS
  	GaussDB
  	EIP
  	OBS
  	WAF
  	CCE
  	SecMaster
  	VoiceCall
  	RDS
  	CTS
  	BMS
  	Organizations
  	MRS
  	ModelArts
  	APIE

• 云服務(wù)接入初始化：用于接入其他云服務(wù)日志到安全云腦，安全云腦支持接入的云服務(wù)日志請參見支持接入的云服務(wù)日志，手動(dòng)接入云服務(wù)日志操作指導(dǎo)請參見接入日志數(shù)據(jù)。新增工作空間時(shí)默認(rèn)接入的云服務(wù)日志參見下表：

  表3 默認(rèn)接入的日志

  服務(wù)	服務(wù)類型	日志	日志描述
  企業(yè)主機(jī)安全 （HSS）	租戶側(cè)云服務(wù)	hss-alarm	主機(jī)安全告警
  		hss-log	主機(jī)安全日志
  Web應(yīng)用防火墻 （WAF）	租戶側(cè)云服務(wù)	waf-attack	WAF攻擊日志
  		waf-access	WAF訪問日志
  云審計(jì) 服務(wù)（CTS）	租戶側(cè)云服務(wù)	cts-audit	云審計(jì)服務(wù)日志
  NIP	華為設(shè)備	nip-attack	IPS攻擊日志
  云防火墻 （CFW）	租戶側(cè)云服務(wù)	cfw-block	訪問控制日志
  		cfw-risk	攻擊事件日志

• 模型初始化：安全云腦支持利用模型對管道中的日志數(shù)據(jù)進(jìn)行掃描，如果檢測到有滿足模型中設(shè)置觸發(fā)條件的內(nèi)容時(shí)，系統(tǒng)將產(chǎn)生告警提示。模型是基于模板而創(chuàng)建的，因此，需利用已有模型模板創(chuàng)建模型。安全云腦根據(jù)常用場景內(nèi)置了多種模型模板，新增工作空間時(shí)，默認(rèn)系統(tǒng)自動(dòng)創(chuàng)建的模型參見下表。查看模型請參見查看模型，管理模型請參見管理模型。

工作空間相關(guān)操作

新增工作空間后，用戶可以進(jìn)行如下相關(guān)操作。具體功能是否支持取決于購買的安全云腦版本，不同版本支持的功能不同，具體請參見產(chǎn)品功能。

• 查看態(tài)勢總覽、查看安全大屏、安全報(bào)告、任務(wù)中心：查看工作空間的安全態(tài)勢、創(chuàng)建安全報(bào)告以及處理待辦，通過安全大屏一覽安全態(tài)勢。
• 資產(chǎn)管理：對資產(chǎn)進(jìn)行統(tǒng)一管理。
• 風(fēng)險(xiǎn)預(yù)防：進(jìn)行風(fēng)險(xiǎn)預(yù)防，包括基線檢查、漏洞管理、應(yīng)急漏洞公告、策略管理。
• 威脅管理：進(jìn)行威脅管理，包括事件管理、告警管理、情報(bào)管理。
• 安全編排：進(jìn)行安全編排，將企業(yè)和組織在安全運(yùn)營過程中涉及的不同系統(tǒng)或者同一個(gè)系統(tǒng)不同組件的安全功能按照一定的邏輯關(guān)系組合到一起，以完成某個(gè)特定的安全運(yùn)營過程和規(guī)程。旨在幫助企業(yè)和組織的安全團(tuán)隊(duì)快速并高效地響應(yīng)網(wǎng)絡(luò)威脅，實(shí)現(xiàn)安全事故的高效自動(dòng)化響應(yīng)處置。主要內(nèi)容包括運(yùn)營對象管理、劇本編排管理、頁面布局管理、插件管理、目錄定制。