检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
域（Region）启用威胁检测服务时，将在该区域（Region）生成一个检测器，威胁检测服务的所有检测结果都与检测器关联。 数据源 数据源是指威胁检测服务分析、处理的各类服务日志。为了检测各种未经授权的恶意活动，威胁检测服务会获取您授权开启检测的服务（包含IAM、DNS、CTS、
根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用
访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
产品咨询 什么是威胁检测服务？ 威胁检测服务的检测源头是什么？ 威胁检测服务的检测对象是什么？ 威胁检测服务能够解决什么其他安全服务解决不了的问题？ 威胁检测服务可以检测哪些风险？ 威胁检测服务购买后如何使用？ 什么是DGA域名生成算法？
该章节指导您导入Plaintext格式的第三方威胁情报数据源及可信IP列表，导入后服务将优先关联检测您导入的情报内的IP地址或域名进行威胁检测。 前提条件 Plaintext格式的威胁情报已上传至对象存储服务，上传威胁情报至对象存储服务的具体方法请参见上传文件。 情报：也称作黑名单，指受访问时被禁止
操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 威胁情报”，进入“威胁情报”界面。 查看威胁情报的详细信息，如表1所示。 表1 威胁情报
储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability
操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 威胁情报”，进入“威胁情报”界面。 选择“白名单”页签，查看白名单的详细信息，如表1所示。
添加的情报文件名称，建议自定义。 BlackList 对象类型 选择需要从OBS桶添加至MTD服务的对象文件类型。 IP：服务将基于您情报内的IP地址进行威胁检测。 域名：服务将基于您情报内的域名进行威胁检测。 添加至MTD情报后，威胁检测服务将优先关联检测情报内的IP或域名，对日志中存在相似的情报信息快速生成告警。
威胁检测服务快速使用流程 在华为云控制台通过购买威胁检测服务，创建威胁检测引擎，配置追踪器实现威胁检测服务的使用，配置流程如图1所示。 图1 威胁检测配置使用流程 步骤一：购买和创建威胁检测引擎 步骤二：配置追踪器
威胁检测服务使用 步骤一：购买和创建威胁检测引擎 步骤二：配置追踪器
此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议：
此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议：
2022-01-14 第八次正式发布。 增加检查VPC能力，优化内容描述。 将步骤一：购买和创建威胁检测引擎和步骤二：配置追踪器合入威胁检测服务使用。 修改查看告警类型详情。 2021-12-13 第七次正式发布。 修改查看告警类型详情。 2021-11-17 第六次正式发布。 新
2022-01-14 第六次正式发布。 增加检查VPC能力，优化内容描述。 将步骤一：购买和创建威胁检测引擎和步骤二：配置追踪器合入威胁检测服务快速使用流程。 修改查看告警示例及统计。 2021-12-13 第五次正式发布。 修改查看告警示例及统计。 2021-11-17 第四次正式发布。
访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警。此服务集成了AI智能引擎、威胁情报、规则基线三种检测方式，智能检测来自多个云服务（包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务）日志数据中的访问行为，去发现是否存在潜在威胁，对可能存在威胁的访问行
私密的虚拟网络环境。经用户授权后，威胁检测服务可以为VPC的日志数据提供恶意活动和未经授权的行为检测服务。 与云解析服务的关系 云解析服务（Domain Name Service，简称DNS）提供DNS服务和DNS管理服务。威胁检测服务可以为DNS提供对日志数据中访客可能存在的恶意活动和未经授权行为进行检测。
威胁检测服务能够解决什么其他安全服务解决不了的问题？ 威胁检测服务可以检测IAM账号安全风险，以及利用DNS进行攻击暴露出来的风险，还有在CTS日志中各种入侵行为暴露出来的风险，这几类安全风险其他任何安全服务暂时无法解决或能力较弱。 父主题： 产品咨询
什么是威胁检测服务？ 此服务集成了AI智能引擎、威胁情报、规则基线三种检测方式，智能检测来自多个云服务（包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务）日志数据中的访问行为，去发现是否存在潜在威胁，对可能存在威胁的访问行为生成告警信息，输出告警结果。您可通过告警描
威胁检测服务的检测对象是什么？ 威胁检测服务的检测对象为账号和云负载（云上资源或服务）。 父主题： 产品咨询
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
