检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
仅支持Plaintext格式，文件内可写入的IP或域名条数上限为10000条。 Plaintext格式即您想要上传至OBS桶的白名单列表或情报列表中，IP地址或域名范围必须用回车键隔开，每行只显示一个，如下图所示。 编辑好的对象文件格式建议存储为.txt的文件扩展名格式。 父主题：
图1 进入数据同步页面 单击“存储至OBS桶”后的，如图2所示，可将检测结果按照指定的频率存储至OBS桶，相关参数说明如表1所示。 图2 存储至OBS桶 表1 存储检测结果 参数名称 参数说明 取值样例 结果更新频率 威胁检测服务采用实时检测的方式，您可自定义将检测结果数据存储
最新动态 本文介绍了威胁检测服务（MTD）各特性版本的功能发布和对应的文档动态，新特性将在各个区域（Region）陆续发布，欢迎体验。 2022年05月 序号 功能名称 功能描述 阶段 相关文档 1 支持设置告警通知 设置告警通知后，MTD检测到潜在的恶意活动和未经授权行为将通过短信或邮件的方式通知您。
组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 MTD部署时通过物理区域划分，为项目级服务。授权时，“作用范围”需要选择“区域级项目”，然后在指定区域对应的项目中设置相关权限，并且该权限仅对此项目生效
检测设置”，进入“检测设置”界面。 在页签“日志数据源”，可查看开启/未开启日志数据源的检测服务，如图2所示，单击对应服务的开关可关闭/开启对应服务的日志数据源检测，相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 ：开启状态 ：关闭状态 累计流量
威胁检测服务提供包周期（包年/包月）计费模式，使用越久越便宜。 计费项 威胁检测服务根据您购买的服务规格、使用时长和超出服务规格的检测量进行计费。 表1 计费项信息 计费项 计费说明 服务规格（必选） 按购买的服务规格：入门包、初级包、基础包、高级包计费。 叠加包 按实际检测量超出您所购买的服务规格部分计费。
000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，IP地址范围必须每行显示一个，详情请参见如何编辑Plaintext格式的对象？。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。
的真实数据学习训练大致3个月，学习阶段检测结果可能存在误差，您可以在告警列表的“操作”列单击“反馈可信度”反馈出现的问题。 告警详细信息按照最新发生时间靠前的排序方式进行排序，相关参数说明如表1所示。 表1 告警信息 参数名称 参数说明 日志类型 产生该告警的服务日志。 统一身份认证服务（IAM）
的真实数据学习训练大致3个月，学习阶段检测结果可能存在误差，您可以在告警列表的“操作”列单击“反馈可信度”反馈出现的问题。 告警详细信息按照最新发生时间靠前的排序方式进行排序，相关参数说明如表1所示。 表1 告警信息 参数名称 参数说明 日志类型 产生该告警的服务日志。 统一身份认证服务（IAM）
的检测包，不同的检测包每月所支持检测的日志量存在差异如表 版本规格说明所示。威胁检测服务有两种日志检测量计算方式，检测DNS和VPC服务日志按流量计算，检测CTS、IAM和OBS服务日志按事件（一个日志为一个事件）计算。 表1 版本规格说明 版本规格 DNS和VPC日志检测量 CTS日志检测事件数
的检测包，不同的检测包每月所支持检测的日志量存在差异如表 版本规格说明所示。威胁检测服务有两种日志检测量计算方式，检测DNS和VPC服务日志按流量计算，检测CTS、IAM和OBS服务日志按事件（一个日志为一个事件）计算。 表1 版本规格说明 版本规格 DNS和VPC日志检测量 CTS日志检测事件数
数据同步”，进入“数据同步”界面。 存储检测结果。 单击“存储至OBS桶”后的开启转存，如图2所示，将检测结果按照指定的频率存储至OBS桶，相关参数说明如表1所示。 图2 存储至OBS桶 表1 存储检测结果 参数名称 参数说明 取值样例 结果更新频率 威胁检测服务是实时检测的方式，你可自定义将检测结果数据存储到OBS桶的频率。
情报：也称作黑名单，指受访问时被禁止的IP或域名，目前只能新增1个情报文件，文件内可容纳10000条IP或域名记录。 Plaintext格式：您的可信IP列表和情报列表中，IP地址范围必须每行显示一个，详情请参见如何编辑Plaintext格式的对象？。 父主题： 威胁情报管理
威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 威胁情报”，进入“威胁情报”界面。 查看威胁情报的详细信息，如表1所示。 表1 威胁情报 参数 说明 文件名称 威胁情报文件的名称。 类型 威胁情报文件的类型，包括“IP”和“域名”。 格式 威胁情报文件的格式
txt 确认信息无误，单击“确定”，导入的文件显示在白名单列表，表示白名单导入成功。 在“威胁情报”页面，选择“情报”或“白名单”页签，可查看已添加的情报/白名单详情列表，如图4/图5所示。 图4 情报列表 图5 白名单列表 添加情报示例 假设：创建需上传至OBS桶的情报对象文件名
处理，对服务安全进行升级加固，从而保护您的账户安全、保障服务稳定运行。 各Region支持的检测类型 各Region支持的检测类型如表1所示。 表1 各Region支持的检测类型 名称 IAM检测 DNS检测 CTS检测 OBS检测 VPC检测 华南-广州 √ √ √ √ √ 华东-上海一
s OBS实例的行为方式可能表明它正在被不属于您账户下的用户首次访问。 默认严重级别：低危。 数据源：OBS日志。 此调查结果通知您，有不属于您账户下的用户首次访问桶，此客户端没有此桶的历史访问记录。 修复建议： 如果此用户不是此桶的授权用户，则可能表明凭据已被公开或您的OBS权
s OBS实例的行为方式可能表明它正在被不属于您账户下的用户首次访问。 默认严重级别：低危。 数据源：OBS日志。 此调查结果通知您，有不属于您账户下的用户首次访问桶，此客户端没有此桶的历史访问记录。 修复建议： 如果此用户不是此桶的授权用户，则可能表明凭据已被公开或您的OBS权
DGA 访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
DGA 访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 默认严重级别：高危。 数据源：DNS日志。 此调查结果通知您，发现一台虚拟机访问通过算法生成的域。此类域通常由恶意软件使用，并且可能表示虚拟机被盗用。 修复建议： 如果此虚拟机IP为您正常使用IP，请添加到MTD的白名单中。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
