检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
Algorithm域名生成算法)是一种使用时间，字典，硬编码的常量利用一定的算法生成的域名。 DGA生成的域名具有微随机性，用于中心结构的僵尸网络中与C&C服务器的连接，以逃避域名黑名单检测技术。 父主题： 产品咨询
的恶意活动和未经授权行为，识别潜在威胁并生成告警信息，助您维护云上业务安全。 产品介绍 立即使用 成长地图 由浅入深，带您玩转MTD 弹性云服务器一 01 了解 了解威胁检测服务的功能特性和应用场景，有助于您更准确的匹配实际业务，有效配置云上安全威胁防护策略。 产品介绍 什么是威胁检测服务
服务简介展开 单击右上角“关闭”后，“服务简介”模块将不再默认显示。 当您未在当前Region购买威胁检测服务时，服务简介模块会默认开启且无法关闭。 查看流程引导。 威胁检测服务分为“购买威胁检测服务”、“创建检测引擎”和“数据存储与同步”三个流程。 购买威胁检测服务 每一个Re
创建检测引擎成功所示，表示检测引擎创建成功。 图2 创建检测引擎成功 步骤二：配置追踪器 创建完威胁检测引擎后，总览页界面提示“以下服务无法直接获取日志数据，需要您进行配置”的提示框，如图 追踪器配置提醒所示。 图3 追踪器配置提醒 单击“创建追踪器”，跳转至CTS追踪器页面，
步骤二：配置追踪器 在创建威胁检测引擎时，默认开启了CTS服务日志检测，但是此时MTD服务不能正常获取CTS服务的日志数据源，为了保证威胁检测服务能正常获取CTS服务的日志数据源，您需要配置追踪器。 本章节将介绍配置追踪器的详细操作。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。
步骤二：配置追踪器 在创建威胁检测引擎时，默认开启了CTS服务日志检测，但是此时MTD服务不能正常获取CTS服务的日志数据源，为了保证威胁检测服务能正常获取CTS服务的日志数据源，您需要配置追踪器。 本章节将介绍配置追踪器的详细操作。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。
威胁检测服务能够解决什么其他安全服务解决不了的问题？ 威胁检测服务可以检测IAM账号安全风险，以及利用DNS进行攻击暴露出来的风险，还有在CTS日志中各种入侵行为暴露出来的风险，这几类安全风险其他任何安全服务暂时无法解决或能力较弱。 父主题： 产品咨询
访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请
检测主机异地登录行为并进行告警。 异地登录检测信息包括“登录源IP”、“登录时间”，攻击者尝试登录主机时使用的“用户名”和“云服务器名称”。 若在非常用登录地登录，则触发安全事件告警。 若账户暴力破解成功，登录到云主机，则触发安全事件告警。 异常行为 识别分布式暴破攻击 有效检测通过HTTP隧道使用随机公网IP
None 操作指导 威胁检测服务 MTD 配置追踪器 02:02 配置追踪器 云容器引擎 CCE 熟悉云容器引擎控制台 07:25 熟悉云容器引擎控制台
发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。
发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。
开启日志检测 前提条件 已购买威胁检测服务且已创建检测引擎。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 检测设置”，进入“检测设置”界面。
要，建议您终止当前ECS，根据需要使用新ECS来做代替。 DDoSTcp 在租户侧网络场景下，检测到某些ECS可能正被用于TCP协议进行DoS攻击，使入口 | 出口流量会瞬间暴增。 默认严重等级：高危。 数据源：VPC流日志。 此调查结果通知您，检测到某些ECS可能正被用于TCP协议进行DoS攻击，使入口
要，建议您终止当前ECS，根据需要使用新ECS来做代替。 DDoSTcp 在租户侧网络场景下，检测到某些ECS可能正被用于TCP协议进行DoS攻击，使入口 | 出口流量会瞬间暴增。 默认严重等级：高危。 数据源：VPC流日志。 此调查结果通知您，检测到某些ECS可能正被用于TCP协议进行DoS攻击，使入口
4所示。 图4 告警对象文件 数据同步开启后，如果您需要对“结果更新频率”或“存储路径”进行更改，可通过操作步骤进入“数据同步”页面，单击“编辑”可对“结果更新频率”和“存储路径”进行更改，如图5所示。 图5 数据已开启同步
相关概念 检测器 检测器是一个区域（Region）实体，当您在某个区域（Region）启用威胁检测服务时，将在该区域（Region）生成一个检测器，威胁检测服务的所有检测结果都与检测器关联。 数据源 数据源是指威胁检测服务分析、处理的各类服务日志。为了检测各种未经授权的恶意活动，
威胁检测服务可以跨区域使用吗？ 不可以。 威胁检测服务是Region级服务，您只能在购买时选择的Region下使用。 父主题： 区域与可用区
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
