操作步骤

1. 在左侧导航栏，选择Agentic SOC > 安全事件。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

2. 在安全事件页面，在目标事件的操作列单击响应 > 使用推荐处置策略。

3. 在使用推荐处置策略面板，选中需处置的恶意实体，并单击确定，并更新事件状态。

   支持修改推荐策略生效的实体和动作时效。您可以在使用推荐处置策略面板，单击对应实体操作列的编辑，在编辑策略面板，修改封禁规则下发的目标账号、动作时效等参数。面板左侧可按实体类型（IP地址、文件、主机进程）筛选，右侧表格包含处置实体、运行剧本、剧本参数、目标账号UID、动作时效等列。此处关联的运行剧本为内置阿里云WAF封禁入方向高危IP，动作时效为7天。

4. 在更新事件状态对话框，选择事件状态为处理中或已处理，单击确定。

   • 处理中：表示除当前处置操作外，还有其他后续动作，如止血、溯源、修复漏洞等。

   • 已处理：表示当前处置操作已完成，无其他后续处置动作。

   完成该步骤操作后，CTDR将自动创建处置策略并执行处置任务，如果处置任务执行失败，事件状态将更新为处理失败。否则，事件状态将更新为您在此处设置的状态。

5. 在该事件详情的响应活动 > 处置策略页签，可以查看CTDR自动生成的推荐处置策略详情。

   处置策略列表包含策略ID、实体对象、实体类型、剧本/剧本ID、剧本参数、目标账号、策略状态和操作列。例如，关联剧本为内置阿里云WAF批量封禁入方向IP的策略，其策略状态显示为有效。单击策略详情或查看任务可进一步查看对应策略的执行信息。

前提条件

• 已将阿里云WAF告警日志接入CTDR。接入云产品日志的具体操作，请参见接入阿里云云产品日志。

• 已完成与业务相关请求的白名单配置，以避免业务请求被拦截。具体操作，请参见安全事件。

操作步骤

1. 在左侧导航栏，选择Agentic SOC > 管理 > 响应规则。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

2. 在响应规则页面自动化规则页签，单击新增规则。

3. 在创建自动化规则面板，配置响应规则，并单击确定。

   配置以下参数：规则名称设置为 waf_event_handle，执行方式选择事件触发。在规则策略中，特征选择 incident_type，条件选择 in，条件值设置为 net-attack。在规则动作中，动作选择运行剧本，具体动作选择使用系统推荐内置剧本。

4. 在响应规则页面自动化规则页签，打开已创建规则启用状态列的开关启用规则。

5. 等待WAF已接入域名有攻击事件发生。已接入WAF的域名被攻击后，您可以在安全事件页面查看对应的事件。

6. 在响应活动页签，可查看事件命中自动响应规则后，运行剧本对攻击IP下发的处置策略和处置任务。

   • 自动响应规则创建的处置策略

     在云安全中心控制台左侧导航栏选择处置中心，单击处置策略页签，可查看自动响应规则创建的处置策略列表。页面顶部展示处置策略数、有效策略数、失效策略数、处置任务数等统计信息，表格列包括策略ID、实体对象、实体类型、剧本/剧本ID、剧本参数、目标账号、策略状态和操作。

   • 自动响应规则创建的处置任务

     在处置中心页面选择处置任务页签，可查看任务列表，包含任务ID、实体对象、实体类型、处置组件、剧本/剧本ID、剧本参数、任务状态等列。对于状态为生效中的任务，可在操作列执行重试或解除封禁。

7. 在Web应用防火墙控制台，查看CTDR自动新增的攻击IP拦截规则。

   下述步骤以WAF 3.0控制台为例介绍操作步骤。

   1. 登录Web应用防火墙3.0控制台。在顶部菜单栏，选择WAF实例的资源组和地域（中国内地、非中国内地）。

   2. 在左侧导航栏，选择防护配置 > Web 核心防护。

   3. 在Web 核心防护页面自定义规则区域，查看CTDR自动下发的攻击IP拦截规则。

      规则以模板形式组织，展开模板可查看子规则详情，包括规则条件（IP 属于 指定攻击 IP 地址）、规则类型（访问控制）及规则动作等信息。