检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
此调查结果通知您，有不属于您账户下的用户首次访问桶，此客户端没有此桶的历史访问记录。 修复建议： 如果此用户不是此桶的授权用户，则可能表明凭据已被公开或您的OBS权限限制性不够，请修复受损的OBS存储桶权限访问策略。 UserAccessFrequencyAbnormal 发现用户访问特定桶的频率出现异常。
检测设置”，进入“检测设置”界面。 在页签“日志数据源”，可查看开启/未开启日志数据源的检测服务，如图2所示，单击对应服务的开关可关闭/开启对应服务的日志数据源检测，相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 ：开启状态 ：关闭状态 累计流量
威胁情报”，进入“威胁情报”界面。 查看威胁情报的详细信息，如表1所示。 表1 威胁情报 参数 说明 文件名称 威胁情报文件的名称。 类型 威胁情报文件的类型，包括“IP”和“域名”。 格式 威胁情报文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间
选择“白名单”页签，查看白名单的详细信息，如表1所示。 表1 白名单 参数 说明 文件名称 白名单文件的名称。 类型 白名单文件的类型，包括“IP”和“域名”。 格式 白名单文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间
发生次数 该告警产生的次数，可单击切换排序。 首次发生 该告警首次发生的具体时间，可单击切换排序。 最近发生 该告警最近一次发生的具体时间，可单击切换排序。 单击“标题”列的值可查看“结果详情”，如图图3所示，您可根据告警结果详情的资源名称、ID、类型、区域以及攻击这些主要信息，为处理潜在威胁提供方向。
修复建议：如果此事件为异常行为，则您的ECS有可能遭到攻击，请查看是否存在可疑进程，并清除任何发现的恶意软件，如有必要，建议您终止当前ECS，根据需要使用新ECS来做代替。 UnusualTrafficFlow 在租户侧网络场景下，检测到某些ECS生成大量的网络出口流量，此网络出口流量偏离了正常基线值，并全部流向到远程主机。
修复建议：如果此事件为异常行为，则您的ECS有可能遭到攻击，请查看是否存在可疑进程，并清除任何发现的恶意软件，如有必要，建议您终止当前ECS，根据需要使用新ECS来做代替。 UnusualTrafficFlow 在租户侧网络场景下，检测到某些ECS生成大量的网络出口流量，此网络出口流量偏离了正常基线值，并全部流向到远程主机。
PI通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议：
如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。 Tunnel 访问通过算法生成的域隧道通信。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域隧道通信。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。
此调查结果通知您，有不属于您账户下的用户首次访问桶，此客户端没有此桶的历史访问记录。 修复建议： 如果此用户不是此桶的授权用户，则可能表明凭据已被公开或您的OBS权限限制性不够，请修复受损的OBS存储桶权限访问策略。 UserAccessFrequencyAbnormal 发现用户访问特定桶的频率出现异常。
PI通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 严重级别：非固定，MTD根据告警实际威胁程度定级。 数据源：CTS日志。 此调查结果通知您，发现与历史情报相似的恶意IP尝试调用一个API，该API通常用于更改您的账户中的安全组、路由和ACL的网络访问权限。 修复建议：
查看告警类型详情 IAM告警类型详情 CTS告警类型详情 DNS告警类型详情 OBS告警类型详情 VPC告警类型详情
如果此IP为您正常使用IP，请添加到MTD的白名单中。 BlackList 发现与历史情报相似的黑名单IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 CnC
如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。 Tunnel 访问通过算法生成的域隧道通信。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域隧道通信。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。
如果此IP为您正常使用IP，请添加到MTD的白名单中。 BlackList 发现与历史情报相似的黑名单IP访问。 默认严重级别：中危。 数据源：IAM日志。 此调查结果通知您，有发现与历史情报相似的恶意攻击IP访问IAM账号。 修复建议： 如果此IP为您正常使用IP，请添加到MTD的白名单中。 CnC
查看告警示例及统计 IAM告警类型详情 CTS告警类型详情 DNS告警类型详情 OBS告警类型详情 VPC告警类型详情
当您未在当前Region创建检测引擎并开启全部的日志检测时，流程引导模块会默认开启且无法关闭。 关闭后，可单击界面上方的“流程引导”，再次显示流程引导模块的内容。 查看规格包详情。页面右上角会显示购买的规格包名称，鼠标移动至规格包，弹出规格包详情如图4所示。 图4 查看规格包信息 查看告警示例类型或告警信息，详情请参见查看检测结果。
服务的日志实时检测已开启，如图2所示。 图2 已开启服务日志检测 首次开启CTS的服务日志会出现需配置追踪器的提示框，需要您手动配置追踪器，威胁检测服务才能正常对接日志进行威胁检测。 单击提示框中的“创建追踪器”，可跳转至追踪器页面配置追踪器，操作详情请参见配置追踪器。 单击提示
数据同步开启后，可在对象存储服务（OBS）查看同步的告警数据。 MTD数据同步开启后，OBS会产生一定的存储费用，默认计费模式为按需计费，计费详情请参见计费说明，无存储空间限制。 如果您是购买的包年包月的固定存储空间，您可以对更历史的数据进行清理，但前提是存储的数据需满足至少存储180天，所需容量可查看OBS已存储的MTD告警数据文件大小作为参考。
MTD服务是检测您在目标区域所使用的华为云全局服务的IAM日志、DNS日志、CTS日志、OBS日志、VPC日志，如图1所示。MTD实时检测日志中访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警，您可通过本实践操作步骤快速掌控MTD检测潜在威胁，对已发现的告警信息按照告警等级由高至低的优先级对
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
