检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
Algorithm域名生成算法)是一种使用时间，字典，硬编码的常量利用一定的算法生成的域名。 DGA生成的域名具有微随机性，用于中心结构的僵尸网络中与C&C服务器的连接，以逃避域名黑名单检测技术。 父主题： 产品咨询
力破解七大高危场景实现了异常行为的智能检测。可有效对化整为零低频次的分布式暴破攻击行为进行成功捕获。同时可对Linux.Ngioweb僵尸网络、SystemdMiner挖矿木马、WatchBog挖矿木马、BadRabbit勒索病毒进行有效检测、捕获。 父主题： 产品咨询
实现对风险口令、凭证泄露、Token利用、异常委托、异地登录、未知威胁、暴力破解七大IAM高危场景进行智能检测。通过SVM、随机森林、神经网络等算法实现对隧道域名、DGA域名以及异常行为的智能检测。 AI引擎检测保持模型对真实数据的学习，保证数据对模型的反复验证和人工审查，精准制
我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region
的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议： 如果此IP
的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议： 如果此IP
步骤二：配置追踪器 在创建威胁检测引擎时，默认开启了CTS服务日志检测，但是此时MTD服务不能正常获取CTS服务的日志数据源，为了保证威胁检测服务能正常获取CTS服务的日志数据源，您需要配置追踪器。 本章节将介绍配置追踪器的详细操作。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。
步骤二：配置追踪器 在创建威胁检测引擎时，默认开启了CTS服务日志检测，但是此时MTD服务不能正常获取CTS服务的日志数据源，为了保证威胁检测服务能正常获取CTS服务的日志数据源，您需要配置追踪器。 本章节将介绍配置追踪器的详细操作。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。
UnusualTrafficFlow 在租户侧网络场景下，检测到某些ECS生成大量的网络出口流量，此网络出口流量偏离了正常基线值，并全部流向到远程主机。 默认严重等级：中危。 数据源：VPC流日志。 此调查结果通知您，检测到某些ECS生成大量的网络出口流量，此网络出口流量偏离了正常基线值，并全部流向到远程主机。
UnusualTrafficFlow 在租户侧网络场景下，检测到某些ECS生成大量的网络出口流量，此网络出口流量偏离了正常基线值，并全部流向到远程主机。 默认严重等级：中危。 数据源：VPC流日志。 此调查结果通知您，检测到某些ECS生成大量的网络出口流量，此网络出口流量偏离了正常基线值，并全部流向到远程主机。
服务的所有检测结果都与检测器关联。 数据源 数据源是指威胁检测服务分析、处理的各类服务日志。为了检测各种未经授权的恶意活动，威胁检测服务会获取您授权开启检测的服务（包含IAM、DNS、CTS、OBS、VPC）的日志数据，这些日志数据就是威胁检测服务的数据源。
挖掘数据特性，创新算法架构 在算法方面，分析DNS域名格式特点，创新的结合BERT思想构造三通道CNN模型，相比传统直接将域名输入到神经网络的方法具有更好的检测效果，在业界内较先采用。 多模型协同检测，准确识别威胁 威胁检测服务除威胁情报和规则基线检测外，还提供4类基于AI智能
功捕获。 捕获僵尸网络木马 威胁检测服务创新的结合BERT思想将DNS分成Bigram、Segment、Position三个Channel，构造三通道CNN模型，对已知/未知DGA和隧道域名、扫描行为、挖矿行为进行检测。模型可对Linux.Ngioweb僵尸网络、SystemdM
行检测。 与虚拟私有云的关系 虚拟私有云（Virtual Private Cloud，简称VPC）是用户在华为云上申请的隔离的、私密的虚拟网络环境。经用户授权后，威胁检测服务可以为VPC的日志数据提供恶意活动和未经授权的行为检测服务。 与云解析服务的关系 云解析服务（Domain
创建检测引擎成功所示，表示检测引擎创建成功。 图2 创建检测引擎成功 步骤二：配置追踪器 创建完威胁检测引擎后，总览页界面提示“以下服务无法直接获取日志数据，需要您进行配置”的提示框，如图 追踪器配置提醒所示。 图3 追踪器配置提醒 单击“创建追踪器”，跳转至CTS追踪器页面，在追踪器
发现与历史情报相似的洋葱网络IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 Zombie 发现与历史情报相似的恶意网站、僵尸网络IP访问。 默认严重级别：中危
发现与历史情报相似的洋葱网络IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 Zombie 发现与历史情报相似的恶意网站、僵尸网络IP访问。 默认严重级别：中危
为可信IP，如果为可信IP，您可以通过手动解除拦截的方式，解除拦截的可信IP。 账户异常登录 登录或获取token的成功率突变或总次数突增，触发威胁告警。 IP首次尝试登录或获取token，触发威胁告警。 IP异地登录，触发威胁告警。 检测主机异地登录行为并进行告警。 异地登录检
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
