检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
什么是DGA域名生成算法？ DGA(Domain Generate Algorithm域名生成算法)是一种使用时间，字典，硬编码的常量利用一定的算法生成的域名。 DGA生成的域名具有微随机性，用于中心结构的僵尸网络中与C&C服务器的连接，以逃避域名黑名单检测技术。
情报：也称作黑名单，指受访问时被禁止的IP或域名。 操作步骤 登录管理控制台。 在左侧导航树中，单击，选择“安全与合规>威胁检测服务”，进入威胁检测服务界面，选择“设置>威胁情报”，按照图1所示。 图1 进入威胁情报页面 添加情报/白名单。 添加情报。
目前只能新增1个白名单文件，文件内可容纳10000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，IP地址范围必须每行显示一个，详情请参见如何编辑Plaintext格式的对象？。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。
情报：也称作黑名单，指受访问时被禁止的IP或域名，目前只能新增1个情报文件，文件内可容纳10000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，IP地址范围必须每行显示一个，详情请参见如何编辑Plaintext格式的对象？。 父主题： 威胁情报管理
通过弹性画像模型、无监督模型、有监督模型实现对风险口令、凭证泄露、Token利用、异常委托、异地登录、未知威胁、暴力破解七大IAM高危场景实现了异常行为的智能检测。
什么是威胁检测服务 威胁检测服务（Managed Threat Detection，简称MTD），通过接入目标区域中您在华为云操作所涉及到的IAM日志、DNS日志、CTS日志、OBS日志、VPC日志，持续实时检测日志中访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警
通过弹性画像模型、无监督学习模型、有监督学习模型实现对风险口令、凭证泄露、Token利用、异常委托、异地登录、未知威胁、暴力破解七大IAM高危场景进行智能检测。通过SVM、随机森林、神经网络等算法实现对隧道域名、DGA域名以及异常行为的智能检测。
此调查结果通知您，发现一个与历史情报相似的CNC服务器访问。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。 Exploit 发现与历史情报相似的漏洞利用域名访问。 默认严重级别：中危。 数据源：DNS日志。
MTD实时检测日志中访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警，您可通过本实践操作步骤快速掌控MTD检测潜在威胁，对已发现的告警信息按照告警等级由高至低的优先级对告警信息进行核查、处理，保障您所使用服务的安全和运行能力。
此调查结果通知您，发现一个与历史情报相似的CNC服务器访问。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。 Exploit 发现与历史情报相似的漏洞利用域名访问。 默认严重级别：中危。 数据源：DNS日志。
创建打算上传至OBS桶的白名单和情报对象文件时，对象文件仅支持Plaintext格式，文件内可写入的IP或域名条数上限为10000条。 Plaintext格式即您想要上传至OBS桶的白名单列表或情报列表中，IP地址或域名范围必须用回车键隔开，每行只显示一个，如下图所示。
日志、VPC日志，持续实时监控日志中访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警。
修复建议： 如果此用户使用的客户端，不是业务常规使用方式，请修复受损的OBS存储桶权限访问策略，或者增加OBS防盗链增加威胁情报。 UserFirstCrossDomainAccess OBS实例的行为方式可能表明它正在被不属于您账户下的用户首次访问。 默认严重级别：低危。
修复建议： 如果此用户使用的客户端，不是业务常规使用方式，请修复受损的OBS存储桶权限访问策略，或者增加OBS防盗链增加威胁情报。 UserFirstCrossDomainAccess OBS实例的行为方式可能表明它正在被不属于您账户下的用户首次访问。 默认严重级别：低危。
BlindIpLoginSuccess 未授权IP账号登录成功。 默认严重级别：高危。 数据源：IAM日志。 此调查结果通知您，本IAM账号被未授权IP登录成功，口令疑似已泄露。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。
此服务集成了AI智能引擎、威胁情报、规则基线三种检测方式，智能检测来自多个云服务（包含IAM服务、DNS服务、CTS服务、OBS服务、VPC服务）日志数据中的访问行为，去发现是否存在潜在威胁，对可能存在威胁的访问行为生成告警信息，输出告警结果。
BlindIpLoginSuccess 未授权IP账号登录成功。 默认严重级别：高危。 数据源：IAM日志。 此调查结果通知您，本IAM账号被未授权IP登录成功，口令疑似已泄露。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。
此调查结果通知您，发现一个与历史情报相似的恶意IP尝试调用API，该API通常用于在您的账户中添加、修改或删除IAM用户、组或策略。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。
类型 威胁情报文件的类型，包括“IP”和“域名”。 格式 威胁情报文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间 威胁情报文件的上传时间。 父主题： 威胁情报管理
通过弹性画像模型、无监督模型、有监督模型实现对风险口令、凭证泄露、Token利用、异常委托、异地登录、未知威胁、暴力破解七大IAM高危场景实现了异常行为的智能检测。可有效对化整为零低频次的分布式暴破攻击行为进行成功捕获。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
