检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如果没有可选择的OBS桶，可单击“查看/创建桶”，进入对象存储服务管理控制台进行创建，更多详细操作请参见创建桶。 obs-mtd-beijing4 对象名称 存储告警信息的对象名称。可填写桶内已有对象名称，也可自行定义，自定义对象名称若不存在，OBS桶将自行创建，建议您自定义对象名称。 mtd-warning-data
实现账号分布式暴破攻击威胁的检测。 表2 MTD与HSS账号暴力破解的区别 功能项 威胁检测服务（MTD） 主机安全服务（HSS） 检测对象 您所使用服务的全量账户 SSH账户 RDP账户 FTP账户 SQL Server账户 MySQL账户 其他服务账户 账户暴力攻击 支持导
总览页，“流程引导”显示如图3所示，表示已购买成功，但还需要您在该区域创建检测引擎，威胁检测服务才会开始检测日志数据。 图3 购买成功 单击“创建检测引擎”下的“立即创建”，创建区域检测引擎，单击后待页面运行结束，页面右上角会提示“检测引擎创建成功”，页面会自动刷新一次，单击页面
总览页，“流程引导”显示如图3所示，表示已购买成功，但还需要您在该区域创建检测引擎，威胁检测服务才会开始检测日志数据。 图3 购买成功 单击“创建检测引擎”下的“立即创建”，创建区域检测引擎，单击后待页面运行结束，页面右上角会提示“检测引擎创建成功”，页面会自动刷新一次，单击页面
如何通过主账号对子账号赋予MTD权限？ 当您使用子账号对服务进行创建检测引擎或其它操作时，需要您通过主账号对子账号进行授权才可使用子账号对MTD服务进行操作。 前提条件 已经创建用户并添加到用户组。 步骤一：创建自定义策略 登录统一身份认证服务控制台。 在统一身份认证服务，左侧导航窗格中，选择“权限管理
示例流程 图1 给用户授权服务权限流程 创建用户组并授权 在统一身份认证控制台创建用户组，并授予MTD权限。 创建用户并加入用户组 在统一身份认证控制台创建用户，并将其加入1中创建的用户组。 创建自定义策略 创建自定义策略。 用户登录并验证权限 新创建的用户登录控制台，切换至授权区域，验证权限：
该章节指导您关闭Region下的服务日志检测，关闭后停止对服务新产生的日志数据的检测，不影响历史已检测的数据及结果。 前提条件 已购买威胁检测服务且已创建检测引擎。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。
威胁检测服务首页 单击“创建检测引擎”下的“立即创建”，创建区域检测引擎，单击后待页面运行结束，页面右上角会提示“检测引擎创建成功”，页面会自动刷新一次，单击页面左上方流程引导的展开流程引导，显示如图 创建检测引擎成功所示，表示检测引擎创建成功。 图2 创建检测引擎成功 步骤二：配置追踪器
如何编辑Plaintext格式的对象？ 创建打算上传至OBS桶的白名单和情报对象文件时，对象文件仅支持Plaintext格式，文件内可写入的IP或域名条数上限为10000条。 Plaintext格式即您想要上传至OBS桶的白名单列表或情报列表中，IP地址或域名范围必须用回车键隔开，每行只显示一个，如下图所示。
总览页界面提示“以下服务无法直接获取日志数据，需要您进行配置”的提示框，如图1所示。 图1 追踪器配置提醒 单击“创建追踪器”，跳转至CTS追踪器页面，在追踪器列表找到“追踪器类型”为“管理事件”的唯一默认追踪器，如图2所示。 图2 管理事件追踪器 单击目标“操作”列的“配置”，进入配置追踪器页面。
如果没有可选择的OBS桶，可单击“查看/创建桶”，进入对象存储服务管理控制台，查看/创建OBS桶，更多详细操作请参见创建桶。 obs-mtd-beijing4 对象名称 存储告警信息的对象名称。可填写桶内已有对象名称，也可自行定义，自定义对象名称若不存在，OBS桶将自行创建，建议您自定义对象名称。
总览页界面提示“以下服务无法直接获取日志数据，需要您进行配置”的提示框，如图1所示。 图1 追踪器配置提醒 单击“创建追踪器”，跳转至CTS追踪器页面，在追踪器列表找到“追踪器类型”为“管理事件”的唯一默认追踪器，如图2所示。 图2 管理事件追踪器 单击目标“操作”列的“配置”，进入配置追踪器页面。
什么是区域和可用区？ 什么是区域、可用区？ 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region
在页签“日志数据源”，可查看开启/未开启日志数据源的检测服务，如图2所示，单击对应服务的开关可关闭/开启对应服务的日志数据源检测，相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 ：开启状态 ：关闭状态 累计流量 从开启服务日志检测到当前，累计的日志检测总量。
选择需要开启检测的服务日志，单击，服务日志下的图标变为，表示目标服务的日志实时检测已开启，如图2所示。 图2 已开启服务日志检测 首次开启CTS的服务日志会出现需配置追踪器的提示框，需要您手动配置追踪器，威胁检测服务才能正常对接日志进行威胁检测。 单击提示框中的“创建追踪器”，可跳转至追踪器页面配置追踪器，操作详情请参见配置追踪器。
确认信息无误，单击“确定”，导入的文件显示在白名单列表，表示白名单导入成功。 在“威胁情报”页面，选择“情报”或“白名单”页签，可查看已添加的情报/白名单详情列表，如图4/图5所示。 图4 情报列表 图5 白名单列表 添加情报示例 假设：创建需上传至OBS桶的情报对象文件名称为“mtd-
护策略。 产品介绍 什么是威胁检测服务 功能特性 产品优势 应用场景 03 入门 通过创建威胁检测引擎和配置追踪器开启威胁检测服务，帮您实时检测目标区域中各服务的日志数据源。 开启威胁检测 创建检测引擎 配置追踪器 05 实践 基于业务场景及客户需求的最佳实践，助您快速使用MTD
威胁检测服务分为“购买威胁检测服务”、“创建检测引擎”和“数据存储与同步”三个流程。 购买威胁检测服务 每一个Region需单独购买套餐包，当您所在区域已购买威胁检测服务，当前流程的编号会显示为。 创建检测引擎 每个Region单独配置一个检测器，当您所在区域已创建检测引擎，当前流程的编号会显示为。
DGA 访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
忽略。 IP 桶名称 对象文件所在的OBS桶名称。 说明： 如果没有可选择的OBS桶，可单击“查看/创建桶”，进入对象存储服务管理控制台，查看/创建OBS桶，更多详细操作请参见创建桶。 obs-mtd-bejing4 对象名称 桶内存储情报信息的对象名称。 须知： 填写对象名称时文件扩展名也需要填写。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
