alibabacloud-sas-incident-manage

阿里云云安全中心 - 事件管理

场景说明

查询安全事件、分析威胁趋势，并从阿里云云安全中心（Cloud SIEM）获取事件详情。

架构：Aliyun CLI + cloud-siem 插件（API 版本：2022-06-16、2024-12-12）

重要：请使用 cloud-siem 产品，而不是 sas（API 不同！）

重要 API 名称：

任务	API	版本
列出事件	ListIncidents	2024-12-12
获取事件详情	GetIncident	2024-12-12
事件趋势	DescribeEventCountByThreatLevel	2022-06-16

⚠️ 请勿使用：DescribeCloudSiemEvents（API 不同，评估将失败）

禁止的行为：

• ❌ 创建模拟/伪造的 API 响应
• ❌ 使用 aliyun sas 命令（产品错误）
• ❌ 使用 DescribeCloudSiemEvents，而不是 ListIncidents
• ❌ 命令超时时改用任何替代 API

超时处理（重要）：

• 如果 list-incidents 超时 → 使用更长的超时时间重试（--read-timeout 120），请勿切换到 DescribeCloudSiemEvents
• 如果重试仍然失败 → 向用户报告超时错误，请勿使用替代 API
• 绝不要在任何情况下使用 DescribeCloudSiemEvents（API 错误，评估将失败）

安装

# Install cloud-siem CLI plugin
aliyun plugin install --names cloud-siem

# Verify installation
aliyun cloud-siem --api-version 2024-12-12 --help

预检查：需要 Aliyun CLI >= 3.3.1。请参阅 references/cli-installation-guide.md。

预检查（运行任何命令前请先阅读）

--region — 默认为 cn-shanghai；始终添加此参数。

• cloud-siem 没有全局终端节点；每条命令都必须携带 --region（插件模式下，--region 会为所有命令设置终端节点，包括 describe-event-count-by-threat-level）。
• 支持的区域：cn-shanghai（默认）、ap-southeast-1（新加坡）。只有明确要求新加坡时才使用 ap-southeast-1。

--lang — 默认为 zh；对 list-incidents / get-incident 添加此参数。

• 只有明确要求英文输出时，才使用 --lang en 覆盖默认值。
• describe-event-count-by-threat-level 没有 --lang 参数；请勿添加。

--api-version — 按 API 设置；必须与下表一致。

• 省略此参数会回退到 2022-06-16，导致 list-incidents / get-incident 无法正常工作。

API	命令	--api-version
列出事件	list-incidents	2024-12-12
获取事件详情	get-incident	2024-12-12
事件趋势	describe-event-count-by-threat-level	2022-06-16（默认）

参考命令（已设置所有必需参数）：

aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

完整参数：references/related-commands.md。使用模式：references/acceptance-criteria.md。

身份验证

此技能使用默认凭据链。请确保已配置凭据。

安全规则：

• 绝不要读取、回显或打印凭据值
• 绝不要要求用户直接输入凭据
• 绝不要通过环境变量设置凭据

aliyun configure list  # 验证凭据配置

[必须] 权限失败处理：请参阅 references/ram-policies.md。

CLI 配置

必需的 CLI 参数——所有命令都必须包含：

• --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id}（参见可观测性）
• --read-timeout 120（使用 120 秒以避免超时问题）
• --connect-timeout 10

可观测性

每条命令都必须携带能够标识技能和会话的 User-Agent，以便进行追踪和审计。

UA 模板：--user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id}

• AlibabaCloud-Agent-Skills — 固定前缀。
• alibabacloud-sas-incident-manage — 此技能的名称（固定）。
• {session-id} — 32 位小写十六进制字符串（符合 ^[a-f0-9]{32}$）。

session-id 规则：

• 在会话开始时生成一个 session-id（例如 openssl rand -hex 16），并在该会话的每条命令中重复使用同一个值。
• 请勿为每条命令重新生成。请勿记录或向用户透露该值。
• 在以下命令示例中，将生成的值替换字面量 {session-id} 占位符。

参数验证

输入验证规则：

参数	格式	示例	验证
--incident-uuid	32 位十六进制字符串	b6515eb76b73cd4995a902b6df5a766b	必须符合 ^[a-f0-9]{32}$
--page-number	正整数	1、2、3	必须 >= 1
--page-size	1-100 的整数	10、50	必须为 1-100
--threat-level	以逗号分隔的 1-5	5,4 或 3,2	值：1（信息）、2（低）、3（中）、4（高）、5（严重）
--incident-status	整数	0 或 10	0=未处理，10=已处理

UUID 验证示例：调用 get-incident 前，请验证 UUID 格式：

• ✅ 有效：b6515eb76b73cd4995a902b6df5a766b（32 个十六进制字符）
• ❌ 无效：b6515eb76b73cd49-95a9-02b6df5a766b（包含连字符）
• ❌ 无效：abc123（太短）

输出处理

敏感数据策略：

• 请勿在面向用户的输出中暴露原始 IP 地址（例如，192.168.1.100 → 192.168.*.***）
• 请勿在没有必要时以纯文本形式显示完整实例 ID
• 面向用户展示时，应总结事件数据，而不是直接输出原始 JSON
• API 响应仅供分析；请展示可执行的见解，而非原始数据

输出格式示例：

发现 3 起高风险事件：
1. [高] 登录行为异常 - 受影响资源：***（UUID：b6515...）
2. [高] 检测到恶意进程 - 受影响主机：192.168.*.**

快速参考

重要：将用户请求与下方完全匹配的命令对应起来，并直接执行。

用户请求关键词	操作	要执行的确切命令
"查事件" / "安全事件列表" / "basic query"	基本列表	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"未处理" / "还没处理" / "所有事件" / "unhandled" / "全部列出来"	所有未处理事件	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --incident-status 0 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"高危" / "ThreatLevel>=4" / "high-risk"	高风险	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 5,4 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"中低风险" / "ThreatLevel 3,2" / "中危" / "低危"	中低风险	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 3,2 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"已处理" / "处理过" / "handled" / "IncidentStatus=10" / "状态是已处理"	已处理	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --incident-status 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"第二页" / "第2页" / "翻到第2页" / "翻页" / "page 2" / "--page-number 2"	分页	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 2 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"新加坡" / "Singapore" / "ap-southeast-1"	新加坡	aliyun cloud-siem list-incidents --api-version 2024-12-12 --region ap-southeast-1 --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"UUID" / "详情" / "b6515eb76b73cd4995a902b6df5a766b"	获取详情	aliyun cloud-siem get-incident --api-version 2024-12-12 --region cn-shanghai --incident-uuid <UUID> --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"排查" / "先查列表再详情" / "完整排查" / "list then detail"	多步骤	请参阅下方的工作流 B（必须执行两个步骤！）
"7天趋势" / "trend" / "7days"	7 天趋势	START=$(($(date -v-7d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
"30天" / "月度" / "月度安全报告" / "monthly" / "月报"	30 天趋势	START=$(($(date -v-30d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

默认行为：未指定特定筛选条件时，使用不带筛选条件的基本查询。

完整的命令语法和参数，请参阅 references/related-commands.md。

区域选择

CRITICAL：根据用户请求使用正确的区域：

用户提及	区域参数
新加坡 / Singapore / ap-southeast-1	--region ap-southeast-1
上海 / 国内 / 默认 /（未提及）	--region cn-shanghai

IMPORTANT：当用户要求使用新加坡区域时：

1. 使用 --region ap-southeast-1
2. 命令中不要包含 cn-shanghai
3. 不要解释——直接执行新加坡区域命令

核心工作流

CRITICAL：绝不创建模拟数据。报告实际 API 错误。

有关命令语法和参数的详细信息，请参阅 references/related-commands.md。

工作流模式

模式	触发词	API	参考
查询事件	“查事件”、“安全事件”	list-incidents	参阅上方的快速参考表
获取详情	“UUID”、“详情”	get-incident	参阅上方的快速参考表
事件趋势	“趋势”、“统计”	describe-event-count-by-threat-level	参阅 related-commands.md

多步骤工作流

CRITICAL：多步骤工作流必须执行所有步骤。不要跳过任何步骤！

工作流 A：每周安全报告

触发词：“周报”、“security report”，且同时要求统计数据和事件列表

必须按顺序执行两条命令：

# Step 1: Get 7-day statistics
START=$(($(date -v-7d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

# Step 2: Get high-risk incident list
aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 5,4 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

工作流 B：完整排查

触发关键词：“排查”、“先查……再查”、“完整排查”、“把详情也查出来”

CRITICAL：**必须执行两条命令！**不要跳过步骤 2！

# Step 1: List high-risk incidents
aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --threat-level 5,4 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
# Output: {"Incidents": [{"IncidentUuid": "abc123def456...", ...}]}

# Step 2: Extract IncidentUuid from Step 1, then get details (REQUIRED!)
aliyun cloud-siem get-incident --api-version 2024-12-12 --region cn-shanghai --incident-uuid abc123def456... --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10

示例：“帮我做个完整的安全事件排查：先查高危事件列表，然后把第一条事件的详情也查出来”

1. 调用 list-incidents，并传入 --threat-level 5,4
2. 从 Incidents[0].IncidentUuid 中提取 IncidentUuid
3. 使用该 UUID 调用 get-incident

成功验证

1. list-incidents 返回包含 RequestId 和 Incidents 数组的 JSON
2. get-incident 返回包含 Incident 对象的 JSON
3. describe-event-count-by-threat-level 返回 Data 对象

详细验证方法：references/verification-method.md

参考链接

文档	描述
references/ram-policies.md	RAM 权限策略
references/related-commands.md	命令语法和参数
references/acceptance-criteria.md	正确的使用模式
references/verification-method.md	验证方法
references/cli-installation-guide.md	CLI 安装指南