检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
Plaintext格式的威胁情报已上传至对象存储服务，上传威胁情报至对象存储服务的具体方法请参见上传文件。 情报：也称作黑名单，指受访问时被禁止的IP或域名，目前只能新增1个情报文件，文件内可容纳10000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，I
威胁检测服务（MTD） 主机安全服务（HSS） 检测对象 您所使用服务的全量账户 SSH账户 RDP账户 FTP账户 SQL Server账户 MySQL账户 其他服务账户 账户暴力攻击 支持导入威胁情报及白名单来自定义威胁检测的范围，威胁检测服务会忽略白名单中IP地址的活动，对发现与历史情报相似的IP或域名访问直接触发告警。
您在某个区域（Region）启用威胁检测服务时，将在该区域（Region）生成一个检测器，威胁检测服务的所有检测结果都与检测器关联。 数据源 数据源是指威胁检测服务分析、处理的各类服务日志。为了检测各种未经授权的恶意活动，威胁检测服务会获取您授权开启检测的服务（包含IAM、DNS
检测设置”，进入“检测设置”界面。 选择需要开启检测的服务日志，单击，服务日志下的图标变为，表示目标服务的日志实时检测已开启，如图2所示。 图2 已开启服务日志检测 首次开启CTS的服务日志会出现需配置追踪器的提示框，需要您手动配置追踪器，威胁检测服务才能正常对接日志进行威胁检测。 单击提示框中
在统一身份认证控制台创建自定义策略，操作详情请参见创建自定义策略。 2. 需要您给用户的用户组授权。 授予用户的用户组策略权限，操作详情请参见给用户的用户组授权。 约束条件 目前仅“华南-广州”、“华东-上海一”、“华北-北京四”区域支持购买威胁检测服务。 在使用威胁检测服务购买威胁检测引擎时，您只能选择被检测数据的服务所在区域。
在统一身份认证控制台创建自定义策略，操作详情请参见创建自定义策略。 2. 需要您给用户的用户组授权。 授予用户的用户组策略权限，操作详情请参见给用户的用户组授权。 约束条件 目前仅“华南-广州”、“华东-上海一”、“华北-北京四”区域支持购买威胁检测服务。 在使用威胁检测服务购买威胁检测引擎时，您只能选择被检测数据的服务所在区域。
和大小的数据。用户根据需要可开启数据转存，可将威胁检测结果存储至OBS，满足合规要求，详情请参见同步检测结果。 与消息通知服务的关系 消息通知服务（Simple Message Notification，简称SMN）提供消息通知功能。威胁检测服务开启通知设置后，如果检测到恶意活动
Plaintext格式编写。Plaintext格式编写详情请参见如何编辑Plaintext格式的对象？。 情报：也称作黑名单，指受访问时被禁止的IP或域名。 操作步骤 登录管理控制台。 在左侧导航树中，单击，选择“安全与合规>威胁检测服务”，进入威胁检测服务界面，选择“设置>威胁情报”，按照图1所示。
在页签“日志数据源”，可查看开启/未开启日志数据源的检测服务，如图2所示，单击对应服务的开关可关闭/开启对应服务的日志数据源检测，相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 ：开启状态 ：关闭状态 累计流量 从开启服务日志检测到当前，累计的日志检测总量。
再次单击“云审计服务日志（CTS）”后的，开启CTS日志检测，页面右上角提示“设置成功！”，如图 开启云审计服务日志所示。 图7 开启云审计服务日志 在页面左上角选择“检测结果”进入检测结果页面，此时页面中“以下服务无法直接获取日志数据，需要您进行配置”的提示框已关闭，并且显示已开启云审计服务日志数据检测，表示配置追踪器成功。如图
再次单击“云审计服务日志（CTS）”后的，开启CTS日志检测，页面右上角提示“设置成功！”，如图 开启云审计服务日志所示。 图5 开启云审计服务日志 在页面左上角选择“检测结果”进入检测结果页面，此时页面中“以下服务无法直接获取日志数据，需要您进行配置”的提示框已关闭，并且显示已开启云审计服务日志数据检测，表示配置追踪器成功。如图
选择需要停止检测的服务日志数据源，单击，服务日志下的图标变为，表示目标服务的日志实时检测已关闭，如图2所示。 图2 已关闭服务日志数据源 关闭开关后，状态显示为“未开启”，MTD将停止对该服务新产生的日志进行检测，但现有的检测结果将会为您保留，且不受影响。 父主题： 日志检测管理
d-warning-data 确认信息无误，单击“确认”，页面弹出“操作成功”，数据转存开启。 数据同步示例 数据同步开启后，可在对象存储服务（OBS）查看同步的告警数据。 MTD数据同步开启后，OBS会产生一定的存储费用，默认计费模式为按需计费，计费详情请参见计费说明，无存储空间限制。
日志检测管理 开启日志检测 关闭日志检测 查看日志检测信息
查看检测结果 该章节指导您通过威胁检测服务查看被检测日志的告警详细信息。 前提条件 已购买威胁检测服务且已开启服务日志威胁检测。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。
威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 数据同步”，进入“数据同步”界面。 存储检测结果。 单击“存储至OBS桶”后的开启转存，如图2所示，将检测结果按照指定的频率存储至OBS桶，相关参数说明如表1所示。 图2 存储至OBS桶 表1 存储检测结果 参数名称 参数说明
作请参见同步检测结果。 单击右上角“关闭”后，“流程引导”模块将不再默认显示。 当您未在当前Region创建检测引擎并开启全部的日志检测时，流程引导模块会默认开启且无法关闭。 关闭后，可单击界面上方的“流程引导”，再次显示流程引导模块的内容。 查看规格包详情。页面右上角会显示购买
再次单击“云审计服务日志（CTS）”后的，开启CTS日志检测，页面右上角提示“设置成功！”，如图 开启云审计服务日志所示。 图5 开启云审计服务日志 在页面左上角选择“检测结果”进入检测结果页面，此时页面中“以下服务无法直接获取日志数据，需要您进行配置”的提示框已关闭，并且显示已开启云审计服务日志数据检测，表示配置追踪器成功。如图
威胁检测服务快速使用流程 应用场景 功能特性 日志检测 通过对日志源的开启或关闭，实现对服务新产生的日志数据的检测控制，开启或关闭后不影响历史已检测的数据及结果。 支持区域：“华南-广州”、“华东-上海一”、“华北-北京四”。 关闭日志检测 开启日志检测 查看日志检测信息 威胁情报管理 您可对威胁
产品介绍 什么是威胁检测服务 功能特性 产品优势 应用场景 03 入门 通过创建威胁检测引擎和配置追踪器开启威胁检测服务，帮您实时检测目标区域中各服务的日志数据源。 开启威胁检测 创建检测引擎 配置追踪器 05 实践 基于业务场景及客户需求的最佳实践，助您快速使用MTD检测云服务中潜在的恶意活动和未经授权行为。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
