文档中心

飞连

供应链安全

CLI 调用防护

CLI 调用防护用于管理命令行工具经过安全 Web 网关的 API 请求。管理员可以选择工具、生效对象和处置动作，记录调用，或拦截指定风险等级的请求。

功能介绍

员工使用 lark-cli、github-cli 等工具时，同一个工具可能执行查询、下载、写入或删除等不同操作。完成引流后，安全 Web 网关识别已支持的 CLI 应用及 API 行为，记录行为意图和风险等级，并按策略观察或拦截请求。

例如，需要限制某类高风险操作时，可选择对应 CLI 应用和员工范围，设置拦截的风险等级，再查看审计日志了解哪些请求被拦截。工具在终端上的安装和进程运行管控，应在 Agent 资产盘点中处理。

前提条件

配置 CLI 调用防护前，需要开通相关授权，并让需要管理的 CLI 请求经过安全 Web 网关。请确认已完成以下准备。

企业已开通安全 Web 网关授权，管理员具备对应功能的菜单及操作权限。

已配置企业自签根证书、证书自动安装范围和引流策略，使目标流量经过安全 Web 网关。对于 HTTPS 请求内容检查，还需配置 SSL 解密策略。

已在安全 Web 网关 > AI 访问安全中开启 AI 访问安全。

配置调用防护

调用防护策略用于指定需要管理的 CLI 工具、适用人员或设备，以及观察或拦截的处置方式。根据业务需要选择工具和生效对象，按以下步骤创建策略。

说明

资产盘点依赖日志上报。为了尽可能全面地统计企业内使用的、飞连已支持识别的 CLI 应用，建议先配置一条覆盖全员的低优先级策略，在CLI 应用中全选资源库提供的应用，将处置方式设为观察。经过安全 Web 网关并匹配该策略的 CLI 请求会生成日志，供资产盘点汇总使用情况。该范围由资源库中可选的应用决定。

登录飞连管理后台。

进入AI 安全 > 供应链安全 > CLI 调用防护。

切换至策略配置页签，单击新增策略。

在添加 CLI 安全策略页面，完成以下配置并单击确定。

基本信息

配置项	说明
策略名称	自定义易于识别的策略名称，最多 60 个字符。建议按管控目标命名，如“核心代码防泄露策略”“全员 AI 使用审计”等。
优先级	设置 0 ～ 100 的数值，默认值为 50。数值越大优先级越高。当 CLI 应用和生效对象与其他策略冲突时，系统仅执行优先级最高的一条。若优先级数值一致，则执行最新添加或修改的策略。
CLI 应用	从飞连提供的 CLI 防护资源库中选择需要管控的应用，支持多选，例如 lark-cli、github-cli。可选应用以列表为准。

处置方式

配置项	说明
观察	允许用户正常使用 CLI 应用，并记录相关日志。
拦截（Beta）	对选中的 CLI 应用，按请求风险等级执行拦截。支持在拦截风险中勾选高风险、中风险、低风险（至少选择一个），系统将阻断命中所选等级的 CLI 请求并生成日志。拦截功能目前处于 Beta 阶段，界面提示暂不保证稳定性。

生效对象

配置项
说明
生效对象
选择该策略适用的部门、成员、角色或特定的终端设备（组）。

配置结果：

观察模式：开发者可正常执行 CLI 命令，系统后台记录 API 调用路径与行为意图。

拦截模式：命中风险等级的 CLI 请求将被强制终止，终端命令行界面通常会返回网络连接错误。

日志审计：策略触发后，相关日志会记录在AI 安全 > 供应链安全 > CLI 调用防护 > 审计日志页面中。查看方法与字段说明见下文查看审计日志。

管理策略

在策略配置页面，可按策略名称、员工、设备、处置动作、生效状态和 CLI 应用筛选策略。通过策略卡片调整优先级、启用或停用策略；需要修改规则时单击编辑，不再使用时单击删除并确认。

查看审计日志

需要检查员工通过 CLI 工具执行了哪些操作、请求为何被观察或拦截时，进入AI 安全 > 供应链安全 > CLI 调用防护 > 审计日志，按时间、员工、设备及风险条件筛选记录。

日志按请求记录 github-cli、lark-cli 等命令行工具的 API 使用明细，既展示所用工具，也展示识别出的行为意图，帮助管理员了解具体业务操作。

核心字段

日志列表的主要字段说明如下，可用于核对请求的工具、行为意图、风险等级及命中策略。

字段	说明
触发时间	该次 CLI 请求发生的时间。
员工	发起请求的员工及所属部门。
设备	发起请求的终端设备。
执行动作	该次请求命中的处置动作：观察或拦截。
软件名称	识别出的具体 CLI 工具。将鼠标悬浮于名称上可查看请求的完整 URL。
行为意图	系统识别的调用目的（如：调用自定义 API、执行 Git 拉取等），帮助管理员了解调用的用途，判断是否符合企业使用要求。
风险等级	系统基于行为特征自动定级（高/中/低），作为排查优先级的重要依据。若系统预设的等级不符合企业实际业务场景，管理员可前往AI 安全 > 资产盘点 > CLI 页面，在对应工具的详情页中手动调整该行为的敏感等级。
命中策略	该次行为匹配到的具体防护规则。单击策略名称可直接跳转至策略配置页，方便管理员核实规则细节或快速调优。

查看日志详情

针对任一高风险或可疑记录，可单击操作栏的详情，查看事件细节。

触发事件信息：集中呈现触发 URL、命中策略、意图识别及风险分级等判定依据，明确“为什么被拦截/观察”。

详细日志记录：展示客户端 IP、URL、User-Agent 等网络请求信息。单击查看详情，可在基本信息和更多信息中查看请求时间、请求方法、HTTP URL、状态码、源端口、请求大小等已记录字段，进一步排查调用问题。

员工与设备信息：关联展示发起请求的员工基本信息（姓名、部门、账号状态）与终端设备信息（OS、IP、设备 ID），便于找到相关人员和设备。

您也可以在安全 Web 网关 > AI 访问安全中，通过策略配置和防护日志的对应页签配置规则、查看记录。

最近更新时间：2026.11.04 21:06:02

这个页面对您有帮助吗？

有用

无用

配置项	说明
生效对象	选择该策略适用的部门、成员、角色或特定的终端设备（组）。