检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
”依然显示为“故障”，并且该服务器的CPU使用率或内存使用率即将达到100%。 图1 采集节点故障 图2 采集通道故障 可能原因 用户配置的连接器或解析器在语法或者语义上存在错误，导致采集器无法正常运行，不断重启导致CPU、内存被占满。 问题定位 远程登录采集节点所在的ECS。
roller_linux.sh restart 说明：使用此命令将先停止isap-agent进程，并重新启动该进程。此命令用于isap-agent启动失败，或者节点因为机器故障导致的进程不存在情况。 启动 sh /opt/cloud/isap-agent/action/agent_controller_linux
file_info为文件目录信息，判断是否异常，如果异常，则联系对应资源负责人处理。 确定变更的影响范围：首先需要确定目录变更对哪些文件产生了影响，以及这些文件对业务的影响程度。如果变更的影响范围比较大，需要立即采取措施防止进一步的损失。 恢复关键文件：如果目录/文件异常变更，需要及时恢
process_name 否 String 进程名 process_path 否 String 进程执行文件路径 process_pid 否 Integer 进程id process_uid 否 Integer 进程用户id process_cmdline 否 String 进程命令行 process_parent_name
节点的名称/ID。 健康状态 节点的健康状态。 区域 节点所在区域。 IP地址 节点的IP地址。 CPU使用率 节点的CPU使用率。 内存使用率 节点的内存使用率。 磁盘使用率 节点的磁盘使用率。 网络速率 节点的网络速率。 标签 节点的标签信息。 心跳过期失联标识 节点是否心跳过期失联。
process_name String 进程名 process_path String 进程执行文件路径 process_pid Integer 进程id process_uid Integer 进程用户id process_cmdline String 进程命令行 process_parent_name
process_name 否 String 进程名 process_path 否 String 进程执行文件路径 process_pid 否 Integer 进程id process_uid 否 Integer 进程用户id process_cmdline 否 String 进程命令行 process_parent_name
process_name String 进程名 process_path String 进程执行文件路径 process_pid Integer 进程id process_uid Integer 进程用户id process_cmdline String 进程命令行 process_parent_name
process_name 否 String 进程名 process_path 否 String 进程执行文件路径 process_pid 否 Integer 进程id process_uid 否 Integer 进程用户id process_cmdline 否 String 进程命令行 process_parent_name
陷的主机进行加固。 入侵成功典型告警 主机防线 主机安全日志 主机-进程和端口信息隐匿、主机-异常文件属性修改 及时判断是否是内部人员操作，是否为误操作。如果是异常进程，或文件存在恶意行为，执行相关命令结束进程。 防御绕过典型告警 主机防线 主机安全告警日志 主机-rootkit事件
节点的名称/ID。 健康状态 节点的健康状态。 区域 节点所在区域。 IP地址 节点的IP地址。 CPU使用率 节点的CPU使用率。 内存使用率 节点的内存使用率。 磁盘使用率 节点的磁盘使用率。 网络速率 节点的网络速率。 标签 节点的标签信息。 心跳过期失联标识 节点是否心跳过期失联。
process_name 否 String 进程名 process_path 否 String 进程执行文件路径 process_pid 否 Integer 进程id process_uid 否 Integer 进程用户id process_cmdline 否 String 进程命令行 process_parent_name
process_name String 进程名 process_path String 进程执行文件路径 process_pid Integer 进程id process_uid Integer 进程用户id process_cmdline String 进程命令行 process_parent_name
步骤七：安装日志采集组件（Logstash） 本章节将介绍如何安装安全云脑日志采集组件（Logstash），配置日志采集进程。 安装日志采集组件 登录管理控制台。 在页面左上角单击，选择“安全与合规 > 安全云脑 SecMaster”，进入安全云脑管理页面。 在左侧导航栏选择“工作空间
息，在“事件管理”中记录存档，便于后续跟踪运营。 控制事件。 通过告警和日志信息，确定攻击类型、影响主机和业务进程信息。 通过HSS文件隔离查杀脚本对涉及进程软件进行进程查杀、软件隔离操作。降低后续影响。 排查感染范围，有感染风险都需要进行排查，一旦有沦陷及时处理控制。 同时也可
process_cmdline String 进程文件命令行。 process_filename String 进程文件名。 process_start_time Long 进程启动时间。 process_gid Integer 进程组ID。 process_egid Integer 进程有效组ID。 process_euid
process_name String 进程名 process_path String 进程执行文件路径 process_pid Integer 进程id process_uid Integer 进程用户id process_cmdline String 进程命令行 process_parent_name
主机-扫描侦查 sec-hss-alarm 推荐开启 -- -- 主机-关键文件路径变更 sec-hss-alarm 推荐开启 -- 新增 主机-异常外联行为 sec-hss-alarm 推荐开启 -- 新增 主机-文件/目录变更 sec-hss-alarm 推荐开启 -- 新增 主机-尝试暴力破解
（可选）步骤一：购买ECS 本章节将介绍如何购买ECS，用于安装日志采集器。 采集数据需要一台用于安装日志采集的各项配置的ECS主机，且ECS的系统内存 ≥ 50 GB。若已有满足条件的ECS，则跳过此步骤。 前提条件 已获取IAM管理员账号信息。 购买ECS 查看ECS信息。 使用IAM管理员账号登录管理控制台。
度的优化配置，此处主要提供日志配置log4j2.properties、jvm.options运行内存优化配置。 jvm运行内存配置 图1 jvm.options 表1 jvm运行内存配置 配置项 配置类型 默认值 配置说明 -Djava.awt.headless boolean true
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
