用途
本技能用于从阿里云安全中心（云安全中心 / Cloud SIEM）查询安全事件、分析威胁趋势并获取事件详情。它通过 Aliyun CLI 的 cloud-siem 插件调用相关 API 完成操作。
主要能力
技能覆盖三类核心操作：
- 列出事件：使用 ListIncidents（API 版本 2024-12-12），支持按事件状态、威胁等级、分页等条件筛选。
- 获取事件详情：使用 GetIncident（API 版本 2024-12-12），需提供 32 位十六进制的事件 UUID。
- 事件趋势统计：使用 DescribeEventCountByThreatLevel（API 版本 2022-06-16），按威胁等级统计指定时间范围内的事件数量。
支持的筛选参数包括：
- --incident-status：0 表示未处理，10 表示已处理。
- --threat-level：逗号分隔的 1-5，1 为 info、2 为 low、3 为 medium、4 为 high、5 为 critical。
- --page-number：正整数，从 1 开始。
- --page-size：1-100 之间的整数。
区域支持 cn-shanghai（默认）与 ap-southeast-1（新加坡），仅当明确要求新加坡时使用后者。
使用方式
安装
安装 cloud-siem CLI 插件：
aliyun plugin install --names cloud-siem
验证安装：
aliyun cloud-siem --api-version 2024-12-12 --help
前置要求：Aliyun CLI 版本需不低于 3.3.1。
认证
技能使用默认凭证链，需确保凭证已配置。安全规则要求：不得读取、回显或打印凭证值；不得要求用户直接输入凭证；不得通过环境变量设置凭证。可使用 aliyun configure list 验证凭证配置。
命令参数要求
所有命令必须包含以下参数：
- --region：cloud-siem 无全局端点，每条命令都必须携带。
- --api-version：按 API 指定，list-incidents 与 get-incident 使用 2024-12-12，describe-event-count-by-threat-level 使用 2022-06-16（默认）。省略会回退到 2022-06-16，导致 list-incidents / get-incident 失败。
- --user-agent：格式为 AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id}，其中 session-id 为 32 位小写十六进制字符串（匹配 ^[a-f0-9]{32}$），每个会话生成一次并复用，不得逐命令重新生成，也不得记录或暴露给用户。
- --read-timeout 120
- --connect-timeout 10
--lang 默认 zh，用于 list-incidents / get-incident；仅在明确要求英文输出时使用 --lang en。describe-event-count-by-threat-level 没有 --lang 参数，不要添加。
参考命令
aliyun cloud-siem list-incidents --api-version 2024-12-12 --region cn-shanghai --page-number 1 --page-size 10 --lang zh --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-incident-manage/{session-id} --read-timeout 120 --connect-timeout 10
常用查询示例
- 基础列表：使用上述参考命令。
- 未处理事件：追加 --incident-status 0。
- 高危事件：追加 --threat-level 5,4。
- 中低风险：追加 --threat-level 3,2。
- 已处理事件：追加 --incident-status 10。
- 分页：修改 --page-number。
- 新加坡区域：将 --region 改为 ap-southeast-1。
- 获取详情：aliyun cloud-siem get-incident --api-version 2024-12-12 --region cn-shanghai --incident-uuid <UUID> --lang zh --user-agent ... --read-timeout 120 --connect-timeout 10
- 7 天趋势：START=$(($(date -v-7d +%s) * 1000)) && END=$(($(date +%s) * 1000)) && aliyun cloud-siem describe-event-count-by-threat-level --region cn-shanghai --start-time $START --end-time $END --user-agent ... --read-timeout 120 --connect-timeout 10
- 30 天趋势：将 -v-7d 改为 -v-30d。
默认行为：未提及具体筛选条件时，使用不带筛选的基础查询。
多步骤工作流
工作流 A：周报。先执行 7 天趋势统计，再执行高危事件列表查询，两步都必须执行。
工作流 B：完整排查。先列出高危事件（--threat-level 5,4），从返回的 Incidents[0].IncidentUuid 提取 UUID，再调用 get-incident 获取详情，两步都必须执行。
适用场景
- 安全事件排查与追踪。
- 高危事件列表查询与详情获取。
- 周报、月报等安全统计报告。
- 按威胁等级分析事件趋势。
限制与注意事项
- 必须使用 cloud-siem 产品，不能使用 sas（API 不同）。
- 禁止使用 DescribeCloudSiemEvents（API 不同，会导致评估失败）。
- 禁止创建模拟/伪造 API 响应。
- 命令超时时应使用更长超时重试（--read-timeout 120），不得切换到 DescribeCloudSiemEvents 或其他替代 API；重试仍失败则向用户报告超时错误。
- 输出处理：不得在面向用户的输出中暴露原始 IP 地址（如 192.168.1.100 → 192.168..**）；非必要时不显示完整实例 ID；向用户展示时应汇总事件数据而非直接输出原始 JSON。
- UUID 必须为 32 位十六进制字符串，不能包含连字符或过短。
- 权限失败处理参见 references/ram-policies.md。
参考文档
- references/ram-policies.md：RAM 权限策略。
- references/related-commands.md：命令语法与参数。
- references/acceptance-criteria.md：正确用法模式。
- references/verification-method.md：验证方法。
- references/cli-installation-guide.md：CLI 安装指南。