检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
该章节指导您导入Plaintext格式的可信IP列表,导入后服务将基于您情报内的IP地址或域名进行威胁检测。 前提条件 Plaintext格式的白名单已上传至对象存储服务,上传白名单至对象存储服务的具体方法请参见上传文件。 目前只能新增1个白名单文件,文件内可容纳10000条IP或域名记录。
参数说明如表1所示。 图2 存储至OBS桶 表1 存储检测结果 参数名称 参数说明 取值样例 结果更新频率 威胁检测服务是实时检测的方式,你可自定义将检测结果数据存储到OBS桶的频率。 每30分钟更新一次 每1小时更新一次(默认) 每3小时更新一次 每30分钟更新一次 桶名称 输入存储告警数据的OBS桶名称。
创建自定义策略。 用户登录并验证权限 新创建的用户登录控制台,切换至授权区域,验证权限: 在“服务列表”中选择除MTD外(假设当前策略仅包含MTD)的任一服务,若提示权限不足,表示MTD已生效。 父主题: 权限管理
相关参数说明如表1所示。 图2 存储至OBS桶 表1 存储检测结果 参数名称 参数说明 取值样例 结果更新频率 威胁检测服务采用实时检测的方式,您可自定义将检测结果数据存储到OBS桶的频率,自定义频率之后每次转存将只转存上一频率周期未转存的数据。 每30分钟更新一次 每1小时更新一次(默认)
的真实数据学习训练大致3个月,学习阶段检测结果可能存在误差,您可以在告警列表的“操作”列单击“反馈可信度”反馈出现的问题。 告警详细信息按照最新发生时间靠前的排序方式进行排序,相关参数说明如表1所示。 表1 告警信息 参数名称 参数说明 日志类型 产生该告警的服务日志。 统一身份认证服务(IAM)
仅支持Plaintext格式,文件内可写入的IP或域名条数上限为10000条。 Plaintext格式即您想要上传至OBS桶的白名单列表或情报列表中,IP地址或域名范围必须用回车键隔开,每行只显示一个,如下图所示。 编辑好的对象文件格式建议存储为.txt的文件扩展名格式。 父主题:
修订记录 发布日期 修改记录 2022-10-26 第十一次正式发布。 刷新计费说明章节,增加各版本包的计费模式说明。 2022-06-14 第十次正式发布。 新增计费说明章节。 2022-05-06 第九次正式发布。 刷新产品优势章节,新增智能化威胁响应相关描述,新增跨服务联动响应关于态势感知(SA)的描述。
修订记录 发布日期 修改说明 2022-02-15 第三次正式发布。 2021-07-10 第二次正式发布。 2021-05-27 第一次正式发布。
的真实数据学习训练大致3个月,学习阶段检测结果可能存在误差,您可以在告警列表的“操作”列单击“反馈可信度”反馈出现的问题。 告警详细信息按照最新发生时间靠前的排序方式进行排序,相关参数说明如表1所示。 表1 告警信息 参数名称 参数说明 日志类型 产生该告警的服务日志。 统一身份认证服务(IAM)
第三次正式发布。 购买时新增入门包和初级包的选择说明。 2021-09-29 第二次正式发布。 补充OBS告警类型描述。 2021-07-10 第一次正式发布。
实现账号分布式暴破攻击威胁的检测。 表2 MTD与HSS账号暴力破解的区别 功能项 威胁检测服务(MTD) 主机安全服务(HSS) 检测对象 您所使用服务的全量账户 SSH账户 RDP账户 FTP账户 SQL Server账户 MySQL账户 其他服务账户 账户暴力攻击 支持导
的检测包,不同的检测包每月所支持检测的日志量存在差异如表 版本规格说明所示。威胁检测服务有两种日志检测量计算方式,检测DNS和VPC服务日志按流量计算,检测CTS、IAM和OBS服务日志按事件(一个日志为一个事件)计算。 表1 版本规格说明 版本规格 DNS和VPC日志检测量 CTS日志检测事件数
的检测包,不同的检测包每月所支持检测的日志量存在差异如表 版本规格说明所示。威胁检测服务有两种日志检测量计算方式,检测DNS和VPC服务日志按流量计算,检测CTS、IAM和OBS服务日志按事件(一个日志为一个事件)计算。 表1 版本规格说明 版本规格 DNS和VPC日志检测量 CTS日志检测事件数
2021-08-25 第三次正式发布。 修改统计图显示相关的内容描述。 2021-07-10 第二次正式发布。 2021-01-20 第一次正式发布。
源及可信IP列表,导入后服务将优先关联检测您导入的情报内的IP地址或域名进行威胁检测。 前提条件 Plaintext格式的威胁情报已上传至对象存储服务,上传威胁情报至对象存储服务的具体方法请参见上传文件。 情报:也称作黑名单,指受访问时被禁止的IP或域名,目前只能新增1个情报文件
单击“创建检测引擎”下的“立即创建”,创建区域检测引擎,单击后待页面运行结束,页面右上角会提示“检测引擎创建成功”,页面会自动刷新一次,单击页面左上方流程引导的展开流程引导,显示如图 创建检测引擎成功所示,表示检测引擎创建成功。 图2 创建检测引擎成功 步骤二:配置追踪器 创建完威胁检测引擎后,总览页界面提示
议您尽快提交工单协助您将业务切换至安全云脑,以更好地为您提供业务支持。 各Region支持的检测类型 各Region支持的检测类型如表1所示。 表1 各Region支持的检测类型 名称 IAM检测 DNS检测 CTS检测 OBS检测 VPC检测 华南-广州 √ √ √ √ √ 华东-上海一
威胁检测服务可以跨区域使用吗? 不可以。 威胁检测服务是Region级服务,您只能在购买时选择的Region下使用。 父主题: 区域与可用区
DGA 访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 默认严重级别:高危。 数据源:DNS日志。 此调查结果通知您,发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 修复建议: 如果此虚拟机IP为您正常使用IP,请添加到MTD的白名单中。
DGA 访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 默认严重级别:高危。 数据源:DNS日志。 此调查结果通知您,发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 修复建议: 如果此虚拟机IP为您正常使用IP,请添加到MTD的白名单中。