-
“MTD+OBS”数据同步 - 威胁检测服务 MTD
“MTD+OBS”数据同步 场景说明 按照等保合规要求数据需存储至少180天,MTD默认存储最近30天数据,如需长期存储数据,您需要将MTD告警数据转存至OBS桶。 数据下载至本地存储至少180天也可满足合规要求,但MTD服务本身目前还不支持下载告警数据,您可在OBS对告警数据进行下载保存至少180天,也可满足等保合规要求。
-
与其他云服务的区别 - 威胁检测服务 MTD
FTP账户 SQL Server账户 MySQL账户 其他服务账户 账户暴力攻击 支持导入威胁情报及白名单来自定义威胁检测的范围,威胁检测服务会忽略白名单中IP地址的活动,对发现与历史情报相似的IP或域名访问直接触发告警。 在IAM锁定时间窗口登录失败,或跨多个region登录、调用token直接触发告警。
-
OBS告警类型详情 - 威胁检测服务 MTD
发现OBS中有特定用户(user)首次访问桶对象。 默认严重级别:低危。 数据源:OBS日志。 此调查结果通知您,有用户首次访问这个桶,此用户没有此桶的历史访问记录。 修复建议: 如果此用户不是此桶的授权用户,则可能表明凭据已被公开或您的OBS权限限制性不够,请修复受损的OBS存储桶的权限访问策略。 IPFirstAccess
-
OBS告警类型详情 - 威胁检测服务 MTD
发现OBS中有特定用户(user)首次访问桶对象。 默认严重级别:低危。 数据源:OBS日志。 此调查结果通知您,有用户首次访问这个桶,此用户没有此桶的历史访问记录。 修复建议: 如果此用户不是此桶的授权用户,则可能表明凭据已被公开或您的OBS权限限制性不够,请修复受损的OBS存储桶的权限访问策略。 IPFirstAccess
-
IAM告警类型详情 - 威胁检测服务 MTD
发现与历史情报相似的爬虫IP访问。 默认严重级别:中危。 数据源:IAM日志。 此调查结果通知您,有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议: 如果此IP为您正常使用IP,请添加到MTD的白名单中。 DDoS 发现与历史情报相似的DDoSIP访问。 默认严重级别:中危。 数据源:IAM日志。
-
IAM告警类型详情 - 威胁检测服务 MTD
发现与历史情报相似的爬虫IP访问。 默认严重级别:中危。 数据源:IAM日志。 此调查结果通知您,有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议: 如果此IP为您正常使用IP,请添加到MTD的白名单中。 DDoS 发现与历史情报相似的DDoSIP访问。 默认严重级别:中危。 数据源:IAM日志。
-
威胁检测服务是否支持自动防御措施? - 威胁检测服务 MTD
威胁检测服务目前暂不支持自动防御措施功能。目前只支持对云服务(包含IAM服务、CTS服务、OBS服务、VPC服务、DNS服务)日志数据中的访问行为进行检测,去发现是否存在潜在威胁,对可能存在威胁的访问行为生成告警信息,输出告警结果。 父主题: 功能类
-
威胁检测服务可以检测哪些风险? - 威胁检测服务 MTD
威胁检测服务可以检测哪些风险? 威胁检测服务接入全量的统一身份认证(IAM)、虚拟私有云(VPC)、云解析服务(DNS)、云审计服务(CTS)、对象存储服务(OBS)的日志数据,利用AI智能引擎、威胁情报、规则基线模型一站式检测,持续监控暴力破解、恶意攻击、渗透、挖矿攻击等恶意活
-
DNS告警类型详情 - 威胁检测服务 MTD
发现与历史情报相似的广告软件访问。 默认严重级别:中危。 数据源:DNS日志。 此调查结果通知您,发现一个与历史情报相似的恶意广告软件访问。 修复建议: 如果此虚拟机IP为您正常使用IP,请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器访问。 默认严重级别:中危。 数据源:DNS日志。
-
MTD权限管理 - 威胁检测服务 MTD
的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全的控制华为云资源的访问。 通过IAM,
-
名单库策略提升检测效率 - 威胁检测服务 MTD
名单库策略提升检测效率 场景说明 MTD服务支持添加所有服务发现的情报/白名单IP或域名至名单库,添加后MTD将优先关联检测名单库中的IP或域名,及时发现(情报)/忽略(白名单)名单库中IP/域名地址的活动,降低检测响应时间,提升检测效率,减轻MTD运行负载。 如果目标IP或域名
-
CTS告警类型详情 - 威胁检测服务 MTD
户中的安全组、路由和ACL的网络访问权限。 严重级别:非固定,MTD根据告警实际威胁程度定级。 数据源:CTS日志。 此调查结果通知您,发现与历史情报相似的恶意IP尝试调用一个API,该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议: 如果此IP为您
-
如何通过主账号对子账号赋予MTD权限? - 威胁检测服务 MTD
输入策略名称 在所有操作页签,勾选“选择所有操作”。 图3 选择所有操作 单击“确定”。 步骤二:给用户的用户组授权 在统一身份认证服务中,左侧导航栏选择“用户组”。 在目标子账号所属的用户组所在行的“操作”列,单击“权限配置”。 图4 权限配置 在弹出的“授权记录”界面,单击“授权”。
-
导入威胁情报 - 威胁检测服务 MTD
该章节指导您导入Plaintext格式的第三方威胁情报数据源及可信IP列表,导入后服务将优先关联检测您导入的情报内的IP地址或域名进行威胁检测。 前提条件 Plaintext格式的威胁情报已上传至对象存储服务,上传威胁情报至对象存储服务的具体方法请参见上传文件。 情报:也称作黑名单,指受访问时被禁止的IP或域名,
-
DNS告警类型详情 - 威胁检测服务 MTD
发现与历史情报相似的广告软件访问。 默认严重级别:中危。 数据源:DNS日志。 此调查结果通知您,发现一个与历史情报相似的恶意广告软件访问。 修复建议: 如果此虚拟机IP为您正常使用IP,请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器访问。 默认严重级别:中危。 数据源:DNS日志。
-
与其他云服务的关系 - 威胁检测服务 MTD
对象存储服务(Object Storage Service,简称OBS)提供海量、安全、高可靠、低成本的数据存储能力,可供用户存储任意类型和大小的数据。用户根据需要可开启数据转存,可将威胁检测结果存储至OBS,满足合规要求,详情请参见同步检测结果。 与消息通知服务的关系 消息通知服务(Simple
-
创建用户组并授权使用MTD - 威胁检测服务 MTD
在统一身份认证控制台创建用户组,并授予MTD权限。 创建用户并加入用户组 在统一身份认证控制台创建用户,并将其加入1中创建的用户组。 创建自定义策略 创建自定义策略。 用户登录并验证权限 新创建的用户登录控制台,切换至授权区域,验证权限: 在“服务列表”中选择除MTD外(假设当前策略
-
什么是威胁检测服务? - 威胁检测服务 MTD
线三种检测方式,智能检测来自多个云服务(包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务)日志数据中的访问行为,去发现是否存在潜在威胁,对可能存在威胁的访问行为生成告警信息,输出告警结果。您可通过告警描述对告警信息进行核查、处理,在未造成信息泄露等重大损失之前,及时
-
CTS告警类型详情 - 威胁检测服务 MTD
户中的安全组、路由和ACL的网络访问权限。 严重级别:非固定,MTD根据告警实际威胁程度定级。 数据源:CTS日志。 此调查结果通知您,发现与历史情报相似的恶意IP尝试调用一个API,该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议: 如果此IP为您
-
VPC告警类型详情 - 威胁检测服务 MTD
JunkMail 在租户侧网络场景下,检测到某些ECS正在基于端口25,跟远程主机通讯并发送垃圾邮件。 默认严重等级:中危。 数据源:VPC流日志。 此调查结果通知您,检测到某些ECS正在基于端口25,跟远程主机通讯并发送垃圾邮件。 修复建议:如果此事件为异常行为,则您的ECS有可