处置威胁事件-华为云

华为乾坤-失陷主机:背景信息

背景信息华为乾坤按照以下顺序判定威胁事件是否为失陷主机。如果是信任域内的主机存在攻击行为，判定为失陷主机。信任域的具体信息请参见配置设备安全域。如果是全局白名单内的IP地址存在攻击行为，判定为失陷主机。全局白名单的具体信息请参见配置全局白名单。如果是在不可信内网地址内的主机存在攻击行为，不判定为失陷主机。不可信内网地址的具体信息请参见配置不可信内网地址。如果是缺省私网网段内的IP地址存在攻击行为，判定为失陷主机。缺省私网网段指10.0.0.0～10.255.255.255、172.16.0.0～172.31.255.555、192.168.0.0～192.168.255.255。根据失陷类型的不同，安全运营专家可以为失陷主机打上“勒索”、“挖矿”、“蠕虫”、“远控”、“漏洞攻击”、“不安全配置”等标签，暂未识别失陷类型的归入“其他”。针对失陷主机，华为乾坤向租户发送短信和邮件告警，失陷主机的状态置为“未处置”。租户需要进一步确认和处置，处置方法包括隔离主机和标记状态（已人工处置、忽略）。 USG6000F-C系列天关、USG6000F系列防火墙、USG12000系列防火墙暂不支持下发域名黑名单功能；USG6000E-C系列天关、USG6000E系列防火墙支持自动下发域名黑名单功能，并且开通如下版本时，才能使用自动下发域名黑名单功能。同时购买边界防护与响应服务标准版+自动阻断边界防护与响应服务试用版边界防护与响应服务高级版

华为乾坤处置威胁事件

华为乾坤-失陷主机:后续处理

后续处理您可以单击失陷主机列表中的“录入资产”按钮，将失陷主机录入云平台。使用IPv6地址的失陷主机不支持录入资产，资产录入的参数说明请参见《租户操作指南》中“资产录入”章节。对于已录入的资产，您可以单击失陷主机列表中的资产名称，对资产信息进行编辑。您可以单击失陷主机列表中的失陷主机IP，查看此失陷主机详情页面。图3 失陷主机列表失陷主机详情页面包含处置建议、处置记录、失陷类型分析和关联告警事件列表等信息。您可以单击“导出详情”，导出包含失陷主机详细信息的Word格式文件。图4 失陷主机详情页面若租户同时购买智能终端安全服务，并检测到失陷主机存在挖矿行为或感染病毒，可以在详情页面的“处置建议”区域中进行处置。一键隔离：隔离操作将会杀死该主机上的全部挖矿进程，并隔离这些进程文件。病毒查杀：根据查杀结果，手动处理病毒文件（立即终止运行进程并将病毒文件移动到隔离区，或忽略不处置）。若失陷主机上存在多个挖矿或病毒事件，对单个事件进行处置时，此失陷主机上的其余事件也会被同步处置。处置完成后，所有事件都会被标识为“已人工处置”状态。导出完成后，请单击右上角帐号，选择“下载”，下载对应文件。图5 下载中心您可以单击失陷主机详情页面中关联告警事件列表中的事件名称，查看此事件的详情页面。图6 事件详情页面失陷主机详情页面可能涉及公网地址，仅用于事件信息展示以帮助用户了解威胁事件，服务不会主动发起与这些公网地址的连接。

华为乾坤处置威胁事件

华为乾坤-处置高级威胁:背景信息

背景信息高级威胁事件是指因终端上的恶意进程产生的威胁事件，包括异常登录、暴力破解、异常事件等非法入侵行为。针对高级威胁事件，云端有如下几种处置方式：云端智能分析后推荐处置规则，并成功终止进程和隔离相关文件，其状态显示为“处置成功”。云端智能分析后无法推荐处置规则，由安全运营专家进一步分析后手动下发处置规则，成功终止进程和隔离相关文件，其状态显示为“处置成功”。云端智能分析和安全运营专家根据现有信息无法处置，需要租户进行人工处置时，其状态显示为“未处置”。租户需要对“未处置”的高级威胁事件进行处置，处置方法包括“快速处置”和“标记状态”。快速处置：使用系统推荐的快速处置方式，租户需核实确认并进行处置下发。处置过程中高级威胁事件显示为“处置中”，处置成功则返回状态“处置成功”，处置失败则返回状态“处置失败”。标记状态：租户可手动对高级威胁事件进行标记，标记后处置状态分别显示为“忽略”、“已人工处置”。网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。

华为乾坤处置威胁事件

云服务器内容精选

处置威胁事件

7*24

备案

专业服务

退订

建议反馈

售前咨询热线