检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。
相关概念 检测器 检测器是一个区域（Region）实体，当您在某个区域（Region）启用威胁检测服务时，将在该区域（Region）生成一个检测器，威胁检测服务的所有检测结果都与检测器关联。 数据源 数据源是指威胁检测服务分析、处理的各类服务日志。为了检测各种未经授权的恶意活动，
发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账
发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账
FTP账户 SQL Server账户 MySQL账户 其他服务账户 账户暴力攻击 支持导入威胁情报及白名单来自定义威胁检测的范围，威胁检测服务会忽略白名单中IP地址的活动，对发现与历史情报相似的IP或域名访问直接触发告警。 在IAM锁定时间窗口登录失败，或跨多个region登录、调用token直接触发告警。
访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警。 此服务集成了AI智能引擎、威胁情报、规则基线三种检测方式，智能检测来自多个云服务（包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务）日志数据中的访问行为，去发现是否存在潜在威胁，对可能存在威胁的访问
什么是威胁检测服务？ 此服务集成了AI智能引擎、威胁情报、规则基线三种检测方式，智能检测来自多个云服务（包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务）日志数据中的访问行为，去发现是否存在潜在威胁，对可能存在威胁的访问行为生成告警信息，输出告警结果。您可通过告警描
上限为10000条。 Plaintext格式即您想要上传至OBS桶的白名单列表或情报列表中，IP地址或域名范围必须用回车键隔开，每行只显示一个，如下图所示。 编辑好的对象文件格式建议存储为.txt的文件扩展名格式。 父主题： 功能类
数据源：DNS日志。 此调查结果通知您，发现一个与历史情报相似的恶意广告软件访问。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器访问。 默认严重级别：中危。 数据源：DNS日志。 此调查结果通知您，发现一个与历史情报相似的CNC服务器访问。
数据源：DNS日志。 此调查结果通知您，发现一个与历史情报相似的恶意广告软件访问。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器访问。 默认严重级别：中危。 数据源：DNS日志。 此调查结果通知您，发现一个与历史情报相似的CNC服务器访问。
威胁检测服务目前支持3种检测方式，分别是威胁情报、规则基线、AI引擎，详情如表2所示。涵盖68种告警类型。 单条告警根据计算方式和风险系数结果存在单个告警等级或多个告警等级。 表2 检测方式详情 检测方式 检测描述 检测数据源及数量 AI引擎 利用机器学习挖掘陌生访问行为来发现陌生行为是否存在潜在威胁。
版本规格说明所示。威胁检测服务有两种日志检测量计算方式，检测DNS和VPC服务日志按流量计算，检测CTS、IAM和OBS服务日志按事件（一个日志为一个事件）计算。 表1 版本规格说明 版本规格 DNS和VPC日志检测量 CTS日志检测事件数 IAM日志检测事件数 OBS日志检测事件数
版本规格说明所示。威胁检测服务有两种日志检测量计算方式，检测DNS和VPC服务日志按流量计算，检测CTS、IAM和OBS服务日志按事件（一个日志为一个事件）计算。 表1 版本规格说明 版本规格 DNS和VPC日志检测量 CTS日志检测事件数 IAM日志检测事件数 OBS日志检测事件数
威胁检测服务分为“购买威胁检测服务”、“创建检测引擎”和“数据存储与同步”三个流程。 购买威胁检测服务 每一个Region需单独购买套餐包，当您所在区域已购买威胁检测服务，当前流程的编号会显示为。 创建检测引擎 每个Region单独配置一个检测器，当您所在区域已创建检测引擎，当前流程的编号会显示为。 数据存储。 存储至OBS桶。
中访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警。此服务集成了AI智能引擎、威胁情报、规则基线三种检测方式，智能检测来自多个云服务（包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务）日志数据中的访问行为，去发现是否存在潜在威胁，对可能存在威胁的访问
新增1个情报文件，文件内可容纳10000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，IP地址范围必须每行显示一个，详情请参见如何编辑Plaintext格式的对象？。 父主题： 威胁情报管理
IPSwitchAbnormal IP切换异常。 默认严重级别：低危。 数据源：OBS日志。 此调查结果通知您，在此时间段范围内，这个桶被多个IP操作访问API，使用IP的数量和您历史行为不一致。 修复建议： 如果此访问方式异常，不是业务常规使用方式，则可能表明您的OBS权限限制
IPSwitchAbnormal IP切换异常。 默认严重级别：低危。 数据源：OBS日志。 此调查结果通知您，在此时间段范围内，这个桶被多个IP操作访问API，使用IP的数量和您历史行为不一致。 修复建议： 如果此访问方式异常，不是业务常规使用方式，则可能表明您的OBS权限限制
选择消息通知主题。 通过下拉框选择已有的主题，或者单击“查看消息通知主题”创建新的主题，具体操作请参见创建主题。 每个消息通知主题可添加多个订阅，并可选择多种订阅终端（例如短信、邮件等），详细订阅说明请参见添加订阅。 在选择主题前，请确保您主题中订阅状态为“已确认”，即当前订阅终端可用，否则可能不能收到告警通知。
目前只能新增1个白名单文件，文件内可容纳10000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，IP地址范围必须每行显示一个，详情请参见如何编辑Plaintext格式的对象？。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
