shield_lock
JinDaGe
← Back to skills
extension
Category: OtherNo API key required

Sangfor XDR Security Operations

深信服XDR每日安全运营自动化助手。使用场景： (1) 日常安全运营巡检 - 自动读取XDR数据并分析 (2) 安全事件处置 - AI研判+用户审批+自动处置 (3) 生成每日运营报告 - 包含处置结果和整体态势 适用于使用深信服XDR进行安全运营的安全工程师，尤其适合初级工程师快速上手。

personAuthor: hexing19hubclawhub
open_in_newRepositorydownloadDownload package

深信服XDR每日安全运营

本Skill指导AI完成深信服XDR的每日安全运营工作，包括设备巡检、安全事件分析、告警处置、风险主机处理，最终生成运营报告。

核心流程

第一步：首次配置（仅首次）→ 第二步：确认登录 → 第三步：设备巡检 → 第四步：安全事件 → 第五步：安全告警 → 第六步：风险主机 → 第七步：汇总审批 → 第八步：执行处置 → 第九步：生成报告

第一步：首次启动 - 确认XDR地址

1.1 检查配置

检查是否存在已保存的XDR地址和企业微信Webhook配置。

1.2 首次使用提示

如果未配置，提示用户输入：

🔧 首次使用，请先配置

请输入深信服XDR的登录地址（如：https://xdr.sangfor.com.cn）

是否配置企业微信Webhook？（Y/N）
如选择Y，请输入Webhook地址：
（格式：https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=xxx）

1.3 默认Webhook

如果用户未输入，使用默认企业微信Webhook：

https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=3860713e-c82b-4bed-aa45-6aae205298f0

1.4 保存配置

将XDR地址和企业微信Webhook保存到本地配置文件中，供后续使用。

第三步：确认登录

  1. 使用browser工具连接XDR（profile="chrome"）
  2. 确认已登录深信服XDR（xdr.sangfor.com.cn）
  3. 如果未登录，提示用户先登录

第二步：设备巡检

2.1 产品接入三个Tab

产品接入菜单下包含三个Tab：

  1. 深信服产品接入 - EDR、STA、AF、SIP等
  2. 联动产品接入 - 第三方安全设备联动
  3. 日志分析接入 - 日志数据源接入

2.2 读取数据

  1. 点击「深信服设备」Tab，读取：

    • EDR（终端防护）在线/离线数量
    • STA（流量检测）在线/离线数量
    • AF（防火墙）在线/离线数量
    • SIP（威胁情报）在线/离线数量
    • EDR-探针版在线/离线数量

  2. 点击「第三方设备」Tab，读取：

    • 第三方设备在线/离线数量

2.3 输出格式

┌─────────────────────────────────────────────────────────────────────────┐
│ 设备巡检结论                                                             │
├───────────────────┬──────────────┬──────────────┬──────────────────────┤
│ 设备类型           │ 总数         │ 在线/离线    │ 状态                 │
├───────────────────┼──────────────┼──────────────┼──────────────────────┤
│ 深信服设备         │              │              │                      │
│  ├─ EDR           │ XX台         │ XX/XX        │ ⚠️/✅              │
│  ├─ STA           │              │              │                      │
│  ├─ AF            │              │              │                      │
│  └─ SIP           │              │              │                      │
├───────────────────┼──────────────┼──────────────┼──────────────────────┤
│ 第三方设备         │ XX台         │ XX/XX        │ ⚠️/✅              │
└───────────────────┴──────────────┴──────────────┴──────────────────────┘

2.4 记录待审批事项

  • 任何离线设备记录到待审批事项

第三步：安全事件

3.1 入口

左侧菜单：「检测响应」→「安全事件处理」

3.2 读取数据

  1. 筛选「待处置」的事件
  2. 点击每个事件查看详情，包括：
    • 事件名称、等级
    • 影响资产（IP、主机名）
    • 攻击过程描述
    • GPT研判结论
    • 设备来源

3.3 输出格式

┌─────────────────────────────────────────────────────────────────────────┐
│ 安全事件分析                                                             │
├───────────────────┬────────┬────────────┬──────────────────────────────┤
│ 事件名称           │ 等级   │ 影响资产    │ 结论与建议                   │
├───────────────────┼────────┼────────────┼──────────────────────────────┤
│ XXX               │ 严重/高危│ XX        │ 需处理/已处置               │
└───────────────────┴────────┴────────────┴──────────────────────────────┘

3.4 记录待审批事项

  • 每个待处置事件记录到待审批事项，包括：
    • 事件名称和等级
    • 影响资产
    • 建议的处置方式

第四步：安全告警

需要分析以下4个维度：

4.1 优先分析

  • 入口：「安全告警分析」→「优先分析」
  • 读取未处置的严重/高危告警

4.2 漏洞相关告警

  • 入口：「安全告警分析」→「漏洞」
  • 读取漏洞利用相关告警

4.3 勒索软件告警

  • 入口：「安全告警分析」→「勒索」
  • 读取勒索软件相关告警

4.4 读取数据（每个维度）

对于每个维度：

  1. 设置时间范围（首次运行30天，后续24小时）
  2. 读取告警列表
  3. 对每个高危告警，点击查看详情：
    • 告警名称、等级
    • 主机/资产IP
    • 检测设备、检测引擎
    • 攻击行为描述
    • 攻击结果

4.5 输出格式

┌─────────────────────────────────────────────────────────────────────────┐
│ 高危告警分析（优先分析）- XXX时间范围                                    │
├───────────────────┬────────┬────────────┬──────────────────────────────┤
│ 告警名称           │ 等级   │ 主机/资产  │ 建议处置                   │
├───────────────────┼────────┼────────────┼──────────────────────────────┤
│ XXX               │ 严重   │ XX         │ ☐联动封禁                 │
└───────────────────┴────────┴────────────┴──────────────────────────────┘

【举证说明】
1. XXX告警：
   - 检测设备：XXX
   - 检测引擎：XXX
   - 行为：XXX
   - 结果：XXX

4.6 记录待审批事项

  • 每个高危告警记录到待审批事项，包括：
    • 告警名称和等级
    • 主机/资产
    • 举证说明
    • 建议的联动处置方式

第五步：风险主机

5.1 入口

左侧菜单：「检测响应」→「风险主机分析」

5.2 读取数据

  1. 读取风险主机列表
  2. 重点关注严重/高危主机
  3. 获取：主机IP、风险等级、事件数、漏洞数、弱密码数、风险工具数

5.3 输出格式

┌─────────────────────────────────────────────────────────────────────────┐
│ 风险主机分析                                                             │
├───────────────────┬────────┬────────────┬──────────────────────────────┤
│ 主机IP             │ 风险等级│ 风险类型   │ 建议                       │
├───────────────────┼────────┼────────────┼──────────────────────────────┤
│ 192.168.x.x       │ 严重   │ 终端+黑客工具│ ☐立即杀毒/重装          │
└───────────────────┴────────┴────────────┴──────────────────────────────┘

5.4 记录待审批事项

  • 每个严重/高危主机记录到待审批事项

第六步：待审批事项汇总

6.1 汇总所有待审批项

将第二至五步记录的待审批事项汇总，按类别分组：

┌─────────────────────────────────────────────────────────────────────────┐
│ 待审批事项汇总 - 共X项                                                   │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                          │
│ 【设备相关】共Y项                                                        │
│ ☐ XX离线 - XXX                                                         │
│                                                                          │
│ 【事件相关】共Y项                                                        │
│ ☐ 事件"XXX" - XXX                                                      │
│                                                                          │
│ 【告警相关】共Y项                                                        │
│ ☐ XXX告警 - XXX建议联动XXX                                             │
│                                                                          │
│ 【主机相关】共Y项                                                        │
│ ☐ XXX主机 - XXX风险，建议XXX                                           │
│                                                                          │
├─────────────────────────────────────────────────────────────────────────┤
│ 请选择：                                                                  │
│ [1] 处置以上事项                                                        │
│ [2] 不处置，直接生成报告                                                 │
└─────────────────────────────────────────────────────────────────────────┘

6.2 等待用户决策

  • 用户选择[1]：进入第七步
  • 用户选择[2]：进入第八步（选择不处置的流程）

第七步：执行处置

7.1 处置普通操作（自动执行）

对于以下操作，直接执行：

  • 标记「处置完成」
  • 标记「误报」
  • 添加「白名单」

操作步骤：

  1. 在事件/告警列表中勾选对应项
  2. 点击「处置」按钮
  3. 选择处置方式
  4. 填写处置说明（如需要）
  5. 确认提交

7.2 敏感操作（确认后执行）

对于以下操作，先询问用户确认：

  • 联动EDR隔离主机
  • 联动AF封禁IP

确认格式：

⚠️ 敏感操作确认：
即将执行：[联动EDR隔离主机 192.168.x.x]
请回复：[YES]确认执行  [NO]取消

用户确认后执行，否则跳过。

7.3 处置记录

记录每个处置操作的结果：

✅ 已完成：XXX - 处置方式 - 处置详情

第八步：生成每日运营报告

8.1 用户选择[1]处置

生成包含处置结果的报告：

┌─────────────────────────────────────────────────────────────────────────┐
│ 每日安全运营报告 - XXXX年X月X日 | 周期：XXX                            │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                          │
│ 【本次处置结果】                                                          │
│ ┌────────────────────┬────────────┬────────────────────────────────────┐ │
│ │ 事项               │ 状态       │ 处置详情                           │ │
│ ├────────────────────┼────────────┼────────────────────────────────────┤ │
│ │ XXX               │ ✅ 已处置   │ XXX                                │ │
│ │ XXX               │ ⚠️ 待处理   │ 需线下处理                         │ │
│ └────────────────────┴────────────┴────────────────────────────────────┘ │
│                                                                          │
│ 【整体态势】                                                              │
│ • 设备在线率：XX% (XX/XX) | 离线XX台 ⚠️                               │
│ • 安全事件：XX个（已处置XX个）                                           │
│ • 高危告警：XX条（已处置XX条）                                         │
│ • 风险主机：XX台（已处理XX台）                                         │
│                                                                          │
│ 【待跟进事项】                                                            │
│ • XX - XXX                                                             │
│                                                                          │
│ 【明日待办】                                                              │
│ ☐ XXX                                                                  │
│                                                                          │
├─────────────────────────────────────────────────────────────────────────┤
│ 报告已生成 | 请确认                                                      │
└─────────────────────────────────────────────────────────────────────────┘

8.3 发送企业微信通知

生成报告后，自动发送企业微信通知：

  1. 读取配置：从配置文件读取企业微信Webhook地址

  2. 发送通知：使用webhook发送报告摘要

  3. 消息格式：

【深信服XDR安全运营日报】
📅 日期：2026年3月8日
📊 周期：30天

【整体态势】
• 设备在线率：62.5% (25/40) | 离线15台 ⚠️
• 安全事件：9846个（已处置）
• 高危告警：1044条
• 风险主机：81台

【本次处置】
✅ 已处置：X项
⚠️ 待处理：X项

【需关注】
⚠️ 15台设备离线
⚠️ 日志0条上报
⚠️ Mimikatz告警X次

详细报告请登录XDR查看
  1. 发送方式：调用企业微信Webhook API发送text消息

8.2 用户选择[2]不处置

先确认不处置：

┌─────────────────────────────────────────────────────────────────────────┐
│ 确认不处置以下事项：                                                      │
│ ☐ XXX                                                                  │
│                                                                          │
│ [1] 是，直接生成报告                                                     │
│ [2] 否，返回重新选择                                                     │
└─────────────────────────────────────────────────────────────────────────┘

用户确认后，生成无处置数据的报告：

┌─────────────────────────────────────────────────────────────────────────┐
│ 每日安全运营报告 - XXXX年X月X日 | 周期：XXX                            │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                          │
│ 【本次处置结果】                                                          │
│ 本次选择不处置，无处置记录                                                │
│                                                                          │
│ 【整体态势】                                                              │
│ • 设备在线率：XX% (XX/XX) | 离线XX台 ⚠️                               │
│ • 安全事件：XX个（未处置）                                              │
│ • 高危告警：XX条（未处置）                                              │
│ • 风险主机：XX台（未处理）                                              │
│                                                                          │
│ 【未处置事项】（建议尽快处理）                                             │
│ ⚠️ XXX - XXX                                                           │
│                                                                          │
├─────────────────────────────────────────────────────────────────────────┤
│ 报告已生成 | 如需处置，可随时运行Skill重新处理                           │
└─────────────────────────────────────────────────────────────────────────┘

重要提示

  1. 时间周期：

    • 首次运行：过去30天
    • 后续运行：最近24小时

  2. 数据读取：必须使用browser工具读取XDR的实时数据，不能假设或编造数据

  3. 输出格式：所有分析结果必须使用表格呈现，清晰展示结论和举证

  4. 用户审批：所有需要处置的事项必须等待用户确认后才能执行

  5. 敏感操作：封禁IP、隔离主机等敏感操作必须先询问用户确认

  6. 登录状态：如果浏览器连接断开或登录失效，提示用户重新登录