检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
量IP上的活跃端口，属于慢攻击探测远程端口。 修复建议：如果此事件为异常行为，则您的ECS有可能遭到攻击，请查看是否存在可疑进程，并清除任何发现的恶意软件，如有必要，建议您终止当前ECS，根据需要使用新ECS来做代替。 PortScan VPC侦测到ECS存在端口扫描访问数量异常。
威胁检测服务（Managed Threat Detection，简称MTD），通过接入目标区域中您在华为云操作所涉及到的IAM日志、DNS日志、CTS日志、OBS日志、VPC日志，持续实时监控日志中访问者的IP或域名是否存在潜在的恶意活动和未经授权行为并进行告警。此服务集成了AI智能引擎、威胁情
检测服务，当前流程的编号会显示为。 创建检测引擎 每个Region单独配置一个检测器，当您所在区域已创建检测引擎，当前流程的编号会显示为。 数据存储。 存储至OBS桶。 威胁检测服务默认为您存储近30天的检测结果数据，您需要存储更长的时间（为满足合规要求，您的数据需要存储180天
找到“追踪器类型”为“管理事件”的唯一默认追踪器，如图 管理事件追踪器所示。 “追踪器类型”为“管理事件”的追踪器无需创建，系统默认生成。 图4 管理事件追踪器 单击目标追踪器“操作”列的“配置”，在弹出的“配置追踪器”窗口中，单击“事件分析”后的，开启事件分析，如图 开启事件分
一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。 在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户，可以选择“非洲-约翰内斯堡”区域。 在拉丁美洲地区有业务的用户，可以选择“拉美-圣地亚哥”区域。
该章节指导您删除导入的威胁情报文件。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 威胁情报”，进入“威胁情报”界面。 在待删除的威胁情报
在创建威胁检测引擎时，默认开启了CTS服务日志检测，但是此时MTD服务不能正常获取CTS服务的日志数据源，为了保证威胁检测服务能正常获取CTS服务的日志数据源，您需要配置追踪器。 本章节将介绍配置追踪器的详细操作。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规
DGA(Domain Generate Algorithm域名生成算法)是一种使用时间，字典，硬编码的常量利用一定的算法生成的域名。 DGA生成的域名具有微随机性，用于中心结构的僵尸网络中与C&C服务器的连接，以逃避域名黑名单检测技术。 父主题： 产品咨询
关闭日志检测 该章节指导您关闭Region下的服务日志检测，关闭后停止对服务新产生的日志数据的检测，不影响历史已检测的数据及结果。 前提条件 已购买威胁检测服务且已创建检测引擎。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 >
单击“存储至OBS桶”后的开启转存，如图2所示，将检测结果按照指定的频率存储至OBS桶，相关参数说明如表1所示。 图2 存储至OBS桶 表1 存储检测结果 参数名称 参数说明 取值样例 结果更新频率 威胁检测服务是实时检测的方式，你可自定义将检测结果数据存储到OBS桶的频率。 每30分钟更新一次
删除白名单 该章节指导您删除上传的白名单文件。 操作步骤 登录管理控制台。 单击左上角的，选择区域或项目。 在左侧导航树中，单击，选择“安全与合规 > 威胁检测服务”，进入威胁检测服务界面，如图1所示。 图1 威胁检测服务首页 在左侧选择“设置 > 威胁情报”，进入“威胁情报”界面。
在页签“日志数据源”，可查看开启/未开启日志数据源的检测服务，如图2所示，单击对应服务的开关可关闭/开启对应服务的日志数据源检测，相关参数说明如表1所示。 图2 日志数据源 表1 日志检测 参数 说明 开关状态 是否开启该服务的日志检测。 ：开启状态 ：关闭状态 累计流量 从开启服务日志检测到当前，累计的日志检测总量。
设置告警通知 MTD可以将检测出的异常行为（潜在的恶意活动、未经授权行为等）通过短信或邮件的方式发送给用户。 设置告警通知需要联动态势感知服务（SA）对接消息通知服务（SMN）来实现，具体操作方法见本章节进行处理。 前提条件 已购买MTD并创建威胁检测引擎，具体操作请参见购买和创建威胁检测引擎。
需要您给用户的用户组授权。 授予用户的用户组策略权限，操作详情请参见给用户的用户组授权。 约束条件 目前仅“华南-广州”、“华东-上海一”、“华北-北京四”区域支持购买威胁检测服务。 在使用威胁检测服务购买威胁检测引擎时，您只能选择被检测数据的服务所在区域。 操作步骤 登录管理控制台。
威胁情报”，进入“威胁情报”界面。 查看威胁情报的详细信息，如表1所示。 表1 威胁情报 参数 说明 文件名称 威胁情报文件的名称。 类型 威胁情报文件的类型，包括“IP”和“域名”。 格式 威胁情报文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间
述，按照告警等级由高到低的优先级进行处理。 受影响资源 受到威胁攻击的资源个数。 发生次数 该告警产生的次数，可单击切换排序。 首次发生 该告警首次发生的具体时间，可单击切换排序。 最近发生 该告警最近一次发生的具体时间，可单击切换排序。 单击“标题”列的值可查看“结果详情”，如
修改查看告警类型详情。 2021-11-17 第六次正式发布。 新增细粒度授权，增加创建用户组并授权使用MTD。 修改步骤二：配置追踪器 修改告警类型为大驼峰命名。 2021-10-30 第五次正式发布。 购买时新增入门包和初级包的选择说明。 2021-09-29 第四次正式发布。 补充OBS告警类型描述：查看告警类型详情。
选择“白名单”页签，查看白名单的详细信息，如表1所示。 表1 白名单 参数 说明 文件名称 白名单文件的名称。 类型 白名单文件的类型，包括“IP”和“域名”。 格式 白名单文件的格式，目前仅支持Plaintext格式的文件，详情请参见如何编辑Plaintext格式的对象？。 上传时间 白名单文件的上传时间。
导入白名单 该章节指导您导入Plaintext格式的可信IP列表，导入后服务将基于您情报内的IP地址或域名进行威胁检测。 前提条件 Plaintext格式的白名单已上传至对象存储服务，上传白名单至对象存储服务的具体方法请参见上传文件。 目前只能新增1个白名单文件，文件内可容纳10000条IP或域名记录。
量IP上的活跃端口，属于慢攻击探测远程端口。 修复建议：如果此事件为异常行为，则您的ECS有可能遭到攻击，请查看是否存在可疑进程，并清除任何发现的恶意软件，如有必要，建议您终止当前ECS，根据需要使用新ECS来做代替。 PortScan VPC侦测到ECS存在端口扫描访问数量异常。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
