剧本配置使用指南

剧本类型

云安全中心提供两种类型的剧本：

• 预定义剧本：云安全中心结合常见的安全威胁场景及解决方案，内置了一批剧本，无需配置您可直接使用。同时可复制预定义剧本另存为您的自定义剧本，并在此基础上根据实际情况进行调整修改，降低自定义剧本的配置难度。

• 自定义剧本：在面临复杂、个性化程度较高的安全威胁场景时，云安全中心提供了灵活性的自定义剧本。您可借助流程编辑器对各类组件进行自由配置，轻松实现自动化的安全处理方案。

剧本参数（输入输出参数）

• 输入参数：即配置触发剧本的条件。选择不同的条件，在调试时参数样例会随之变化。

• 输出参数：定义剧本执行结束后，输出的字段，可供后续节点使用，也可通过setOutput动作提供给被其他剧本引用。语法格式：${event.参数路径}。

  说明

  除自定义的输出参数外，还提供默认的系统参数，请参见剧本中的系统参数。

步骤一：创建剧本基本信息

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择Agentic SOC > 管理 > 响应规则。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

3. 在自定义剧本页签，单击新增剧本。

4. 在新增剧本面板，填写剧本名称和剧本描述，单击确定。

步骤二：配置剧本流程

1. 按步骤一创建剧本基本信息完毕后，会自动跳转至剧本流程配置页面。也可从自定义剧本列表页，单击操作列编辑按钮，进入配置页面。

2. 配置剧本输入输出参数

   1. 在剧本编辑页面，单击右上角的设置，在配置面板，单击输入输出配置。

      说明

      每个流程必须要有开始和结束节点，每个流程只能有一个开始节点，但可有多个结束节点。

      

   2. 在输入输出配置面板，配置剧本输入和输出参数。更多说明，请参见剧本参数（输入输出参数）。

3. 编排处置流程

   这是剧本的核心，需要将代表不同操作的组件拖拽到画布并连接起来。本文以DataFormat组件为例，其他组件参数配置说明请参见流程组件说明。

   重要

   • 开始节点使用event作为节点名称，所以在剧本编排的过程中，不要把组件的名称设置为event。

   • 您可根据业务需求选择多个流程组件，并设定各组件上下文联系。

   1. 选择组件动作

      在左侧基础组件中选择DataFormat组件，选择合适的动作例如：joindata、convertToJSON等后，将其拖拽至画布中。

   2. 配置组件参数

      在画布区域单击选择的DataFormat组件，或在基础信息配置页动作配置模块单击进入参数配置页面。参数配置请参见DataFormat组件。

      • 支持填写常量、变量参数、系统参数、表达式等，更多信息请参见组件参数及节点执行流程。

      • 也可手动填写参数配置，可在输入框节点下拉列表中，选择节点参数后会生成对应的语法。如下图所示：

        

4. 完成组件配置后，单击左上角菜单栏保存按钮。

   警告

   若不保存，直接退出会丢失已编辑的流程信息。

步骤三：流程调试

剧本设置完成后，需要进行调试以验证流程的正确性，确保流程节点的顺利运行。

1. 设置断点（可选）：

   • 操作说明：为验证复杂流程中的某个特定环节，可以在一个组件上设置断点。调试时，流程将执行到该断点的上游并暂停，方便检查中间结果。

     重要

     • 若流程有多个分支，系统仅调试设置了断点的分支。

     • 同一分支设置多个断点时，仅最后一个断点生效。

   • 操作方法：单击流程节点的按钮即可将当前节点设置为断点。

     

2. 执行调试

   1. 单击左上角调试按钮，打开调试参数面板，单击调试按钮。

      说明

      根据配置的剧本输入参数类型不同，调试参数配置也不相同。

   2. 加载参数样例：

      1. 单击输入样例。

      2. 在查看输入样例页面，单击加载样例。

   3. 修改参数：根据实际情况修改参数，然后单击确定。

      说明

      为方便修改，系统提供了更直观的可视化模式。

3. 查看调试结果

   可通过单击节点的按钮或调试区域的执行日志，查看节点详细输入输出数据和执行状态。部分输出参数说明如下：

   参数名称	说明
   datalist	结果预览数据。 重要 最多只显示3条预览数据，全量数据请从完整输出结果页签查看。
   total_data_successful	执行过程中处理成功的数据量。
   total_data	执行过程中处理总数据量。
   total_exe_successful	当前动作运行成功的次数。
   total_exe	当前动作运行总次数。
   total_data_with_dup	执行过程中处理成功后去重后的数据量

   

步骤四：保存并发布

调试通过后，单击左上角菜单栏发布按钮，将剧本转为正式版。

剧本回滚

若已发布的剧本恢复至历史版本，可选择回滚操作。操作步骤如下：

1. 在自定义剧本页签，找到需要回滚的剧本。单击操作列详情按钮，在详情页基本信息页签发布历史区域，查看剧本发布的历史版本。

2. 运行测试（可选）：选择需要回滚的版本，单击操作列查看按钮，跳转至剧本页签。在输入参数（运行）区域完成回滚版本的运行测试。

3. 选择需要回滚的版本，单击操作列回滚到编辑或回滚并发布。

   • 回滚并发布：将当前版本覆盖到编辑页面的草稿版，并发布上线。

   • 回滚到编辑：将当前版本覆盖到编辑页面的草稿版。

剧本导入

1. 在流程编辑器菜单栏，单击更多，并单击下拉列表导入JSON。

2. 在导入页面，上传导入JSON文件后单击确定

查看剧本执行记录

在剧本列表，单击剧本ID或操作列详情，进入剧本详情页面。在历史执行记录可查看基本执行记录。

修改剧本名称

在剧本列表，单击剧本ID或操作列详情，进入剧本详情页面。在基础信息单击剧本名称旁边的编辑按钮。

剧本编排相关的错误码

组件执行过程相关的错误码