Security Command Center 响应概览

Security Command Center 响应 (Response) 提供了一组功能来帮助组织应对威胁和漏洞。借助 Response，组织可以减少与各种耗时的流程相关的重复劳动，例如：

  • 通知资产所有者有关威胁或漏洞的信息。
  • 对漏洞和威胁作出明确约定的修复响应。

Response 引入了一种称为 playbook 的机制。每个 playbook 都由按顺序执行的一个或多个操作组成。您可以在 Security Command Center 中对发现结果手动执行 playbook。例如，运行一个 playbook 会发送电子邮件并安排用于对发现结果执行应对措施的其他操作。

支持的 playbook

本部分介绍支持的 playbook。

playbook 名称 说明 相关发现结果类别
仅通知 向发现结果的技术联系人发送通知 全部
强制执行存储桶政策 将对象级 IAM 绑定移至存储桶级层

操作：
  1. 将对象级访问权限政策复制到存储桶级层政策。
  2. 删除所有对象级访问权限政策。
  3. 向发现结果的技术联系人发送通知。
可选：您可以设置等待时间。		 BUCKET_POLICY_ONLY_DISABLED
停用公共 IP 地址 停用虚拟机 (VM) 实例的外部 IP 地址

操作：
  1. 将虚拟机的外部 IP 地址设置为“无”，或提供允许的 IP 地址列表。
  2. 向发现结果的技术联系人发送通知。
可选：您可以设置等待时间。		 PUBLIC_IP_ADDRESS
屏蔽项目范围的 SSH 密钥 屏蔽虚拟机实例的项目范围的 SSH 密钥

操作：
  1. 重置与发现结果关联的虚拟机实例，以屏蔽项目范围的 SSH 密钥。
  2. 向发现结果的技术联系人发送通知。
可选：您可以设置等待时间。		 COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

您可以使用以下选项配置 playbook：

  1. 电子邮件：当您对发现结果运行 playbook 时，playbook 会触发电子邮件通知。电子邮件通知会从重要联系人发送给技术联系人。默认电子邮件已预先填充了有关如何响应此发现结果的说明，但您可以根据自己的需要修改此电子邮件。请务必定义技术联系人。如果未定义此发现结果的联系人，则 playbook 运行将失败。
  2. 等待时间：选定的延迟宽限期（天数）。当您触发 playbook 时，系统会先发送邮件通知，然后再触发其他操作。该延迟功能让电子邮件收件人有时间在 playbook 操作运行之前取消操作。如需详细了解如何运行 playbook 以及设置等待时间，请参阅运行 playbook。

后续步骤