威胁分析与响应服务响应编排SOAR (Security Orchestration, Automation and Response) 是一种综合性的安全解决方案，通过将不同的系统或服务按照一定的逻辑进行编排连接，实现安全运维的自动化编排和快速响应，旨在加强企业安全防御，提高安全事件响应效率。本文介绍如何使用响应编排功能。
背景信息
在基础安全领域，安全专家有大量日常琐碎的简单工作，如安全审核、木马和挖矿软件处理等。这些工作占用了高级安全专家的大量精力。熟悉企业内部环境、了解对手信息、具备研究攻击者行为模式的安全专家，没有办法投入更多精力到重要的网络对抗和安全研究等工作中。
而响应编排的目标是将日常工作自动化、流程化，提升安全响应速度，将安全专家从日常繁重琐碎的工作中解放出来，集中精力对抗高级持续攻击（APT）。日常工作流程也可作为可解释、可执行的规范沉淀在产品内，更利于经验的传承。
基本概念
开始使用响应编排之前，您需要先了解以下概念：
概念 | 解释 |
剧本（PlayBook） | 编写一个自动化流程与绘制一个标准流程图相同，包括开始、判断、动作和结束节点。您可以创建自动通知、自动止血等各种类型的自动化流程。流程由多个相连接的组件构成。流程定义完成后可被外部触发，例如，当新工单产生时自动触发自动审核工单流程。 您可以通过可视化流程编辑画布，定义每个节点的组件动作，例如，定义终端管理组件的禁用网络动作。 |
组件（Component） | 组件对应一个外部的系统或服务，例如WAF、防火墙、工单系统、数据库或通知服务。通过扩展组件的方式丰富产品能力。组件可以理解为是一个连接外部服务的连接器（Connector），组件自身不承担复杂逻辑，复杂逻辑都是由组件连接的系统或服务提供。选择组件后，您还需要选择组件对应的资产和动作。 组件包含流程编排组件、基础编排组件和安全应用组件。 |
资源实例（Resource Instance） | 资产可以理解为是外部服务的连接信息。以MySQL组件为例，企业内部可能存在多套MySQL系统，您首先需要确定连接到哪个数据库中。 |
动作（Action） | 动作是组件提供的能力，一个组件可以有多个动作。以终端管理软件为例，会有禁用账号、隔离网络、推送通知等动作。 |
步骤一：新增剧本
剧本是指预先定义好的逻辑流程或脚本，用于对安全事件进行识别、分类、判断和响应。剧本包括一系列步骤，用于执行特定的操作，以确定是否存在安全威胁，如何响应和缓解威胁。剧本可以根据不同的安全事件类型和级别进行定制和配置，以适应不同的安全需求。通过使用剧本，响应编排可以帮助您提高安全响应的效率和一致性。
登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。
在左侧导航栏，选择。
在剧本页签，单击新增剧本。
在新增剧本面板，输入剧本名称和描述信息，然后单击确定。
在剧本编辑页面，根据需求编排剧本。
序号
说明
1
菜单栏，显示操作按钮。
保存：在画布中编辑剧本后，单击保存，将当前的剧本保存为草稿版。
草稿版为短期状态，使用正式版回滚后，可能会覆盖已保存的草稿版。如果需要将剧本持久化保存，请单击保存并发布。
检测：检查剧本流程是否异常，仅当检测无异常时才可发布剧本。
保存并发布：保存剧本，并将剧本发布为正式版。发布后的剧本才可被添加到自动响应规则中使用。
您可以在剧本的详情页面查看剧本的版本信息。具体操作，请参见相关操作。
调试：单击调试，在页面下方的调试区域输入参数，可调试当前剧本能否正常运行。
断点调试：在画布编辑组件时，您可以选中组件后单击
图标，为该组件添加断点，此时运行调试时，系统仅执行至该节点的上游节点。查看线上：查看当前剧本最新发布的正式版。
更多：单击更多，可进行保存为XML、导入XML、保存为图片、撤销、删除等操作。
2
剧本组件，包括开始、结束、条件网关、多路汇聚、子剧本节点。每个流程必须有一个开始节点作为起始点，可以有多个结束节点。
说明您可以移动鼠标到节点图标上，查看组件节点的使用介绍。
3
基础编排组件，包含IT类通用组件，例如写入数据库、向SLS写入数据、调用Python 3.0进行脚本处理等。
4
安全处置组件，包含阿里云安全产品的组件，例如安骑士结束进程、阿里云防火墙封禁组件等。
5
画布区域，您可以将需要添加的组件拖动至画布区域，在画布中根据组件之间的逻辑关系进行连接。
在画布区域双击开始节点（
图标），可设置开始节点的基本信息以及流程的输入方式和触发方式。在画布区域双击基础编排组件或安全处置组件节点，可设置组件的基本信息、执行条件、执行动作等信息。
在画布区域双击结束节点（
图标），可设置结束节点的基本信息。
6
调试区域，单击调试或者右下角的
图标，展开调试区域，可调试剧本能否正常运行。输入参数（调试）：在该页签下，输入调试参数，然后单击运行。
调试参数仅支持标准JSON格式。您可以单击查看输入样例，查看输入的参数示例。
执行日志：运行剧本后，可单击执行日志，查看剧本的运行结果、详情等信息。
历史调试记录：查看历史调试记录。
调试并且检测流程无误后，单击保存并发布。
在弹出的发布说明对话框，输入剧本的发布信息，然后单击确定。
如果您当前的版本不是首次发布，单击保存并发布后，您可以查看当前版本与最新发布版本的对比结果以及检测结果，您需要在确认版本信息准确后，单击确定。
步骤二：配置自动响应规则
自动响应规则用于在触发告警或事件时自动执行预定的响应动作。自动响应规则可以基于特定的安全事件类型（例如恶意软件感染、入侵尝试等）或执行特定的响应动作（例如将恶意软件文件隔离、中止网络连接等）。
新增自动响应规则后，威胁分析与响应会根据您根据设定的规则策略匹配新增的安全事件，匹配成功后，威胁分析与响应会执行预设的规则动作，帮助您更快地响应和缓解安全威胁。
登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。
在左侧导航栏，选择。
在自动响应规则页签，单击新增规则。
在创建自动响应规则面板，配置自动响应规则，然后单击确定。
配置项
说明
基础信息
设置自动响应规则的规则名称和规则的执行方式。规则的执行方式即规则的生效时间，支持以下执行方式：
告警触发：通过匹配告警特征字段和规则策略字段，当匹配成功时，对触发告警的处置实体（IP、文件或进程）执行自动响应规则动作。
事件触发：通过匹配事件特征字段和规则策略字段，当匹配成功时，对触发事件的处置实体（IP、文件或进程）执行自动响应规则动作。
规则策略设置
您可以单击+ 新增字段，添加多条策略。如果您同时添加了多条策略，仅当所有策略都匹配成功后，才会触发执行规则动作。
说明选择不同执行方式时，需要配置的特征字段不同，请根据实际情况配置。
规则动作
设置告警或事件命中自动响应规则策略时，针对处置实体执行动作。
单击新增，设置需要执行的动作。执行方式为告警触发时，仅支持设置为运行剧本；执行方式为事件触发时，支持设置为运行剧本、修改事件状态和修改威胁等级。
运行剧本：命中规则策略时，自动执行选中的剧本流程。
重要自动响应规则只能关联已配置固定格式入参的剧本，支持选择的剧本必须在开始节点设置了以下入参类型：请求IP、主机进程、主机文件、主机或为云账户。
修改事件状态：命中规则策略时，自动修改事件的状态为已处理。
修改威胁等级：命中规则策略时，自动修改事件的威胁等级为高危、中危或低危。
您可以单击+ 新增字段，添加多条规则动作。如果您添加了多条规则动作，当命中规则策略后，威胁分析与响应会同时执行所有规则动作。
在自动响应规则页签，单击自动响应规则的
图标，开启自动响应规则。
相关操作
管理剧本
新增剧本后，您可以在剧本页签查看剧本的详细信息、编辑剧本等。
查看剧本详情
在剧本列表，单击剧本ID或者详情，进入剧本详情页面，查看剧本的基础信息、剧本详情和历史执行记录。在剧本详情页面，您可以进行以下操作：
在剧本详情页面左上角，单击剧本名称右侧的
，选择查看其他剧本详情。在基础信息页签，您可以查看剧本的基础信息、启用或停用剧本、查看剧本的历史版本等。
重要执行版本回滚后，您在剧本编辑页面保存但未发布的草稿版将会被覆盖，并且无法找回，请谨慎操作。
在发布历史区域，单击回滚并发布，将当前版本覆盖到编辑页面的草稿版，并发布上线。
在发布历史区域，单击回滚到编辑，将当前版本覆盖到编辑页面的草稿版。
在剧本页签，您可以查看不同版本的剧本流程、运行某个版本的剧本、进入剧本编辑页面等。
在历史执行记录页签，您可以通过版本号、执行结果、执行时间来查询剧本的历史执行记录。
编辑剧本
在剧本列表，单击剧本对应的编辑，进入剧本编辑页面，您可以修改剧本信息。
删除剧本
在剧本列表，单击剧本对应的删除，可删除剧本。
说明系统预定义的剧本不允许删除。
管理自动响应规则
新增自动响应规则后，您可以在自动响应规则页签查看规则的详细信息、编辑规则等。
编辑自动响应规则
在自动响应规则列表，单击规则对应的编辑，进入剧本编辑页面，可修改规则信息。
删除自动响应规则
在自动响应规则列表，单击规则对应的删除，可删除规则。
- 本页导读 （1）