威胁分析与响应API参考概览-云安全中心-阿里云

本产品（cloud-siem/2022-06-16）的OpenAPI采用RPC签名风格，签名细节参见签名机制说明。我们已经为开发者封装了常见编程语言的SDK，开发者可通过下载SDK直接调用本产品OpenAPI而无需关心技术细节。如果现有SDK不能满足使用需求，可通过签名机制进行自签名对接。由于自签名细节非常复杂，需花费 5个工作日左右。因此建议加入我们的服务钉钉群（147535001692），在专家指导下进行签名对接。

在使用API前，您需要准备好身份账号及访问密钥（AccessKey），才能有效通过客户端工具（SDK、CLI等）访问API。细节请参见获取AccessKey。

多账号管控

API	标题	API概述
ListRdUsers	查看资源目录下用户信息	列举已经接入威胁分析多账号管控的阿里云账号，被纳管到威胁分析的阿里云账号才可以使用威胁分析日志接入、事件处置等功能。

日志接入

API	标题	API概述
ListAccountsByLog	按日志查看账号列表	按日志查看账号列表。
DescribeUserBuyStatus	查看阿里云用户威胁分析购买情况	查看当前阿里云用户或对应的阿里云企业组织账号是否已经购买威胁分析。
ListProjectLogStores	自动查找SLS的LogStore信息	根据云产品默认的sls project名字的pattern， logstore名字的pattern查找是否存在对应的project和logstore。
ModifyDataSource	修改数据源	修改已经添加的数据源描述信息。
ModifyDataSourceLog	修改日志	修改数据源下添加的日志相关说明信息。
ModifyBindAccount	修改已经绑定的云账号	修改已经绑定的云账号。
ListImportedLogsByProd	查看该产品下日志接入详情	查看该产品下日志接入详情。
ListDataSourceTypes	枚举数据源类型	枚举目前威胁分析支持的多云接入数据源类型。
ListDataSourceLogs	查看数据源下的日志列表	查看数据源下的日志列表。
ListBindDataSources	枚举所有数据源	枚举所有数据源。
ListAllProds	查看云产品列表	查看当前威胁分析已经支持的数据接入的云产品列表。
EnableServiceForCloudSiem	开通资源目录权限	为威胁分析开通资源目录授权，需要使用资源目录管理员调用。
EnableAccessForCloudSiem	创建威胁分析SLR	用户授权接口，点击将创建威胁分析角色AliyunServiceRoleForSasCloudSiem。
DescribeServiceStatus	查看资源目录是否已给威胁分析授权	查看资源目录是否已给威胁分析授权。
DescribeProdCount	查看多云产品数量	查看阿里云、腾讯云、华为云已经支持接入到威胁分析的云产品数量。
DescribeImportedLogCount	查看接入日志的数量	查看接入日志的数量。
DescribeDataSourceParameters	获取数据源参数详情	获取数据源参数详情。
DescribeDataSourceInstance	查看数据源详情	查看数据源详情。
DescribeAuth	检查是否已经开通SIEM权限	检查阿里云账号是否已经给SIEM授权，已经创建了AliyunServiceRoleForSasCloudSiem角色。
DeleteDataSourceLog	删除日志	删除日志。
DeleteDataSource	删除数据源	如果已添加的数据源不再使用，可以调用接口删除数据源。
DeleteBindAccount	删除已经绑定的多云账号	解除已经绑定到威胁分析数据源模块的多云（腾讯云、华为云）子账号AK，解绑后可以更换账号重新绑定。
BindAccount	绑定多云账号	绑定云安全中心功能设置-多云资产中设置的多云账号到威胁分析。
AddUserSourceLogConfig	添加日志接入	添加日志接入任务，将对应的日志数据接入到威胁分析中以便后续的告警、事件分析。
AddDataSourceLog	添加日志	添加日志。
AddDataSource	添加数据源	在该绑定的多云账号下添加数据源。
ListBindAccount	列举已经绑定的账号列表	列举已经绑定到威胁分析的多云账号列表。
ListAccountAccessId	查看已绑定AK列表	查看已经绑定的多云AccessKeyId列表。
SubmitImportLogTasks	提交接入任务	批量提交接入任务。

安全告警

API	标题	API概述
DescribeAlertsWithEntity	获取实体关联告警列表	获取实体关联的告警列表。
DescribeAlerts	获取告警列表	获取用户的告警列表。
DescribeAlertSource	获取告警数据源列表	获取告警数据源列表。
DescribeAlertsCount	获取告警不同级别计数	获取告警不同级别计数。

事件处置

API	标题	API概述
ListEntities	查询实体列表	查询实体列表。
DescribeEntityInfo	获取实体详情	获取实体详情。
PostEventDisposeAndWhiteruleList	提交事件处置信息	提交事件处置信息。
DescribeWafScope	获取作用域用户名下waf实例的域名防护列表	获取作用域用户名下waf实例的域名防护列表。
DescribeEventDispose	获取事件历史处置策略	获取事件历史处置策略。
DescribeEventCountByThreatLevel	获取事件各类型计数	获取事件各类型计数。
DescribeDisposeAndPlaybook	获取需要被处置的实体列表与剧本列表	获取需要被处置的实体列表与剧本列表。
DescribeCloudSiemEvents	获取事件列表	获取威胁分析与响应事件列表。
DescribeCloudSiemEventDetail	获取事件详情	获取事件详情。
DescribeCloudSiemAssetsCounter	获取事件关联各类型资产计数	获取事件关联各类型资产计数。
DescribeCloudSiemAssets	获取事件关联资产列表	获取事件关联资产列表。
DescribeAlertsWithEvent	获取事件关联的告警列表	获取事件关联的告警列表。
DescribeAlertSourceWithEvent	获取事件关联告警数据源列表	获取事件关联告警数据源列表。

规则管理

API	标题	API概述
DescribeAlertType	获取自定义规则可选威胁类型列表	获取自定义规则可选威胁类型列表。
DeleteCustomizeRule	删除自定义规则	根据指定ID自定义规则。
DescribeAggregateFunction	获取自定义规则聚合函数列表	获取自定义规则支持的聚合函数列表。
DescribeCustomizeRuleCount	获取自定义规则计数	获取自定义规则计数。
DescribeCustomizeRuleTest	获取模拟测试场景下的历史模拟数据	获取模拟测试场景下的历史模拟数据。
DescribeCustomizeRuleTestHistogram	获取自定义规则业务测试结果图表	获取自定义规则业务测试结果图表。
DescribeLogFields	获取自定义规则可配置字段列表	获取自定义规则可配置字段列表。
DescribeLogSource	获取自定义规则可配置日志源列表	获取自定义规则可配置日志源列表。
DescribeLogType	获取自定义规则可配置日志类型	获取自定义规则可配置日志类型。
DescribeOperators	获取自定义规则操作符列表	获取自定义规则操作符列表。
ListCloudSiemCustomizeRules	获取自定义规则列表	获取自定义规则列表。
ListCloudSiemPredefinedRules	获取预定义规则列表	获取预定义规则列表。
ListCustomizeRuleTestResult	获取自定义规则测试结果列表	获取自定义规则测试结果列表。
PostCustomizeRule	添加或者更新自定义规则	添加或者更新自定义规则。
PostCustomizeRuleTest	提交自定义规则测试	提交自定义规则测试。
PostFinishCustomizeRuleTest	结束自定义规则测试	结束自定义规则测试。
PostRuleStatusChange	更新自定义规则状态	更新自定义规则状态。

响应规则

API	标题	API概述
DescribeScopeUsers	获取剧本作用域用户列表	获取剧本作用域用户列表。
DeleteAutomateResponseConfig	删除自动化响应规则	删除指定ID的自动化响应规则。
DescribeAutomateResponseConfigCounter	获取自动化响应规则计数	获取自动化响应规则计数。
DescribeAutomateResponseConfigFeature	获取自动化规则策略可配置字段及操作符	获取自动化规则策略可配置字段及操作符。
ListAutomateResponseConfigs	获取自动化响应规则列表	获取自动化响应规则列表。
PostAutomateResponseConfig	添加或更新自动化响应规则	添加或更新自动化响应规则。
UpdateAutomateResponseConfigStatus	更新自动化响应规则状态	更新自动化响应规则状态。

处置中心

API	标题	API概述
ListDisposeStrategy	获取处置策略列表	获取系统推荐处置策略列表。
DescribeDisposeStrategyPlaybook	获取处置策略使用的剧本列表	获取处置策略使用的剧本列表。

存储管理

API	标题	API概述
RestoreCapacity	置空已有的存储	释放存储空间，降低存储使用量，注意，该操作不可逆，存在数据丢失的风险，谨慎使用。
GetCapacity	获取当前企业威胁分析存储的使用量及购买量	获取当前威胁分析存储的使用量以及预付费的购买量，单位为GB。
SetStorage	保存用户设置的存储信息	保存用户设置的存储天数，存储地域（region）等信息。
DescribeStorage	判断威胁分析用户的存储是否存在	判断威胁分析用户的存储（用户侧日志服务中LogStore）是否正常。
GetStorage	获取设置的存储信息	获取威胁分析与响应产品在用户SLS中创建的存储设置，包含存储天数、存储地域等信息。

投递管理

API	标题	API概述
ListDelivery	展示接入威胁分析的日志投递状态	查看整个企业或者普通成员接入威胁分析的产品、日志列表，以及这些日志的数据投递情况。
OpenDelivery	开通日志的投递	开通已经接入产品日志的投递。
CloseDelivery	关闭威胁分析已接入的云产品日志的投递	关闭某个已经接入的云产品日志的投递，关闭后用户侧的LogStore里不再有对应日志的新内容。

告警加白

API	标题	API概述
UpdateWhiteRuleList	添加或更新告警加白规则	添加或更新告警加白规则。
PostEventWhiteruleList	提交告警加白规则	提交告警加白规则。
DescribeWhiteRuleList	获取告警加白规则列表	获取告警加白规则列表。
DescribeAlertScene	获取告警加白规则场景列表	获取告警加白场景。
DescribeAlertSceneByEvent	获取告警加白场景与加白对象列表	获取告警加白场景与加白对象列表。
DeleteWhiteRuleList	删除告警加白规则	删除指定ID的告警加白规则。