检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
DNS告警类型详情 DGA 访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 默认严重级别:高危。 数据源:DNS日志。 此调查结果通知您,发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 修复建议: 如果此虚拟机IP为您正常使用IP,请添加到MTD的白名单中。
发现OBS中有特定用户(user)首次访问桶对象。 默认严重级别:低危。 数据源:OBS日志。 此调查结果通知您,有用户首次访问这个桶,此用户没有此桶的历史访问记录。 修复建议: 如果此用户不是此桶的授权用户,则可能表明凭据已被公开或您的OBS权限限制性不够,请修复受损的OBS存储桶的权限访问策略。 IPFirstAccess
如何编辑Plaintext格式的对象? 创建打算上传至OBS桶的白名单和情报对象文件时,对象文件仅支持Plaintext格式,文件内可写入的IP或域名条数上限为10000条。 Plaintext格式即您想要上传至OBS桶的白名单列表或情报列表中,IP地址或域名范围必须用回车键隔开,每行只显示一个,如下图所示。
DNS告警类型详情 DGA 访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 默认严重级别:高危。 数据源:DNS日志。 此调查结果通知您,发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用,并且可能表示虚拟机被盗用。 修复建议: 如果此虚拟机IP为您正常使用IP,请添加到MTD的白名单中。
发现OBS中有特定用户(user)首次访问桶对象。 默认严重级别:低危。 数据源:OBS日志。 此调查结果通知您,有用户首次访问这个桶,此用户没有此桶的历史访问记录。 修复建议: 如果此用户不是此桶的授权用户,则可能表明凭据已被公开或您的OBS权限限制性不够,请修复受损的OBS存储桶的权限访问策略。 IPFirstAccess
在所有操作页签,勾选“选择所有操作”。 图3 选择所有操作 单击“确定”。 步骤二:给用户的用户组授权 在统一身份认证服务中,左侧导航栏选择“用户组”。 在目标子账号所属的用户组所在行的“操作”列,单击“权限配置”。 图4 权限配置 在弹出的“授权记录”界面,单击“授权”。 图5 授权 在授权界面, “在以下作用范围”选择“区域级项目”。
此调查结果通知您,检测到某些ECS正在扫描远程资源的出站端口,可能从事非法活动。 修复建议:如果此事件为异常行为,则您的ECS有可能遭到攻击,请查看是否存在可疑进程,并清除任何发现的恶意软件,如有必要,建议您终止当前ECS,根据需要使用新ECS来做代替。 父主题: 查看告警类型详情
此调查结果通知您,有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议: 如果此IP为您正常使用IP,请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器IP访问。 默认严重级别:中危。 数据源:IAM日志。 此调查结果通知您,有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议:
通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别:非固定,MTD根据告警实际威胁程度定级。 数据源:CTS日志。 此调查结果通知您,发现与历史情报相似的恶意IP尝试调用一个API,该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议:
此调查结果通知您,有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议: 如果此IP为您正常使用IP,请添加到MTD的白名单中。 CnC 发现与历史情报相似的CNC服务器IP访问。 默认严重级别:中危。 数据源:IAM日志。 此调查结果通知您,有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议:
选择“白名单”页签,查看白名单的详细信息,如表1所示。 表1 白名单 参数 说明 文件名称 白名单文件的名称。 类型 白名单文件的类型,包括“IP”和“域名”。 格式 白名单文件的格式,目前仅支持Plaintext格式的文件,详情请参见如何编辑Plaintext格式的对象?。 上传时间
通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别:非固定,MTD根据告警实际威胁程度定级。 数据源:CTS日志。 此调查结果通知您,发现与历史情报相似的恶意IP尝试调用一个API,该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议:
查看告警类型详情 IAM告警类型详情 CTS告警类型详情 DNS告警类型详情 OBS告警类型详情 VPC告警类型详情
修复建议:如果此事件为异常行为,则您的ECS有可能遭到攻击,请查看是否存在可疑进程,并清除任何发现的恶意软件,如有必要,建议您终止当前ECS,根据需要使用新ECS来做代替。 Cryptomining 在租户侧网络场景下,检测到某些ECS可能正在访问与挖矿活动相关联的IP,可能从事非法活动。 默认严重等级:高危。
型示例”窗口,可查看所有告警类型示例和各服务日志分别的告警类型示例,详情请参见查看告警类型详情。 由于AI检测模型的普遍特性,一般上线后需要基于您的真实数据学习训练大致3个月,学习阶段检测结果可能存在误差,您可以在告警列表的“操作”列单击“反馈可信度”反馈出现的问题。 告警详细信
图4 管理事件追踪器 单击目标追踪器“操作”列的“配置”,在弹出的“配置追踪器”窗口中,单击“事件分析”后的,开启事件分析,如图 开启事件分析所示,然后单击“确定”完成追踪器的配置。 图5 开启事件分析 在左侧导航树中,单击,选择“安全与合规 > 威胁检测服务”,返回威胁检测服务界面。
检测设置”,进入“检测设置”界面。 在页签“日志数据源”,可查看开启/未开启日志数据源的检测服务,如图2所示,单击对应服务的开关可关闭/开启对应服务的日志数据源检测,相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 :开启状态 :关闭状态 累计流量
威胁情报”,进入“威胁情报”界面。 查看威胁情报的详细信息,如表1所示。 表1 威胁情报 参数 说明 文件名称 威胁情报文件的名称。 类型 威胁情报文件的类型,包括“IP”和“域名”。 格式 威胁情报文件的格式,目前仅支持Plaintext格式的文件,详情请参见如何编辑Plaintext格式的对象?。 上传时间
选择需要开启检测的服务日志,单击,服务日志下的图标变为,表示目标服务的日志实时检测已开启,如图2所示。 图2 已开启服务日志检测 首次开启CTS的服务日志会出现需配置追踪器的提示框,需要您手动配置追踪器,威胁检测服务才能正常对接日志进行威胁检测。 单击提示框中的“创建追踪器”,可跳转至追踪器页面配置追踪器,操作详情请参见配置追踪器。
威胁检测服务到期后,如何续费? 威胁检测服务续费是在原已购买的服务规格的基础上,延长使用时间,因此续费操作不能变更服务规格。续费后,您可以继续使用威胁检测服务。 服务到期前,系统会以短信或邮件的形式提醒您服务即将到期,请您收到提醒后及时完成续费操作。 服务到期后,如果您没有按时续