本节主要介绍管理事件记录。 进入“操作跟踪”>“管理事件记录”，可以查看近6个月内的管理事件，如您希望查看并保存更长时间的操作记录，可以点击该页面的“创建跟踪”，创建一个事件跟踪日志，管理事件日志文件将保存在指定的Bucket中。 可以根据需要，选择子用户名、访问密钥、事件ID、事件名称、事件源、资源名称、资源类型进行查询，同时也可以选择操作类型（包括：全部类型、读操作、写操作）、起止时间进行搜索。默认显示所有的管理操作。 在“自定义列”，可以选择时间显示的项：事件时间、用户、事件名称、资源类型、资源名称、事件源、事件ID、请求ID、访问密钥、源IP地址、操作类型、错误代码。其中默认显示事件时间、用户、事件名称、资源类型、资源名称。 查看详细事件 点击对应事件，可以查看事件的详细信息。 表1：事件详细信息描述 项目 描述 请求时间 事件发生的时间。 事件ID 由跟踪生成的用来唯一标识每个事件的ID。 事件源 处理请求的服务端。 如果是对象存储网络： OOS：ooscn.ctyunapi.com。 操作跟踪：ooscncloudtrail.ctyunapi.cn。 IAM：ooscniam.ctyunapi.cn。 统计API：ooscnmg.ctyunapi.cn。 自服务门户：ooscn.ctyun.cn。 如果是对象存储网络2： OOS：ooscn2.ctyunapi.com。 操作跟踪：ooscn2cloudtrail.ctyunapi.cn。 IAM：ooscn2iam.ctyunapi.cn。 统计API：ooscn2mg.ctyunapi.cn。 自服务门户：ooscn2.ctyun.cn。 用户 用户名。 资源类型 操作涉及的资源模块： OOS Bucket：存储桶。 CloudTrail：操作跟踪。 IAM User：IAM用户。 IAM Group：IAM用户组。 IAM Policy：IAM权限策略。 IAM AccessKey：IAM密钥。 IAM MfaDevice：IAM MFA。 ：事件对应资源类型的所有资源，或者不涉及。 源IP地址 用户发起请求的源IP地址。 访问密钥 用户发起操作使用的密钥ID： ：表示控制台访问。 请求ID 发送请求后，服务端返回的xamzrequestid响应。 事件名称 请求操作的名称。 操作类型 操作类型： 读操作。 写操作。 资源名称 操作访问的资源： ：表示事件对应的所有资源。 错误代码 产生的错误码： ：表示正确访问，无错误码。 点击事件中的“查看事件”，可以查看事件的详细信息，如下例所示： plaintext { "eventId": "7486360614268895607", "resource": [ { "name": "test1111111", "type": "CloudTrail Trail", "arn": "arn:ctyun:cloudtrail::32fefj64y54gc:trail/test1111111" } ], "eventVersion": "1.06", "eventSource": "ooscn.ctyun.cn", "requestParameters": { "Name": "test1111111" }, "userAgent": "ooscn.ctyun.cn", "readOnly": true, "userIdentity": { "accountId": "32fefj64y54gc", "principalId": "32fefj64y54gc", "type": "Root", "arn": "arn:ctyun:iam::32fefj64y54gc:root" }, "eventType": "ApiCall", "serviceName": "CloudTrail", "sourceIp": "124.127.58.136", "requestId": "38701ee164e04054", "requestURL": " "eventTime": "20250116 15:10:22 UTC+0800", "eventName": "GetTrailStatus", "requestRegion": "cn", "managementEvent": true } 事件信息描述 字段 描述 eventId 事件ID。 resource 资源信息。 eventVersion 操作跟踪版本。 eventSource 事件源。 requestParameters 请求参数。 userAgent 用户代理。 发送API请求的客户端代理标识，除控制台外，都按照客户端API发出的UserAgent请求头展示，如无法获取到则不展示。 请求由用户通过控制台发出，显示ooscn.ctyun.cn。 readOnly 是否为只读操作： true：读操作。 false：写操作。 userIdentity 用户信息。 eventType 事件请求类型。 serviceName 服务名称。 sourceIp 源IP。 requestId 请求ID。 requestURL 请求URL。 eventTime 事件发生的时间。 eventName 事件名称。 requestRegion 请求区域。 managementEvent 是否为管理事件： true：是管理事件。 false：非管理事件。

处理异常行为检测事件操作指导。 DSC服务根据敏感数据规则识别OBS存储桶中的数据，并对识别出的敏感数据进行监控。一旦监控到与敏感数据相关的异常事件操作，就会将监控结果展示在异常事件处理页面中，您可以根据需要处理异常事件。 前提条件 当前异常事件处理页面含有异常事件。 操作步骤 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择“安全 > 数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中选择“数据风险检测 > 数据使用审计”。 5. 在异常事件列表中，在需要处理的异常事件所在行的“操作”列，单击“处理”。 6. 在弹出的对话框中，选择处理方式，并单击“确定”。 一共有以下2种处理方式： “确认该事件为违规事件”：若您确认该事件的识别结果确实为违规事件，请勾选该选项。一旦将异常事件设定为违规确认，DSC仍会继续对该事件进行警告提示，即该事件仍会在异常事件列表中显示。 “确认该事件为正常情况，无需进行处理”：若您确认该事件的识别结果为正常操作，无需进行处理，请勾选该选项。一旦将异常事件设定为正常确认，DSC将不再对该事件进行警告提示，即该事件将不会在异常事件列表中显示。

示例3 查询最近发生的1条系统事件信息。 plaintext [root@hblockserver CTYUNHBlockPlus3.10.0x64] ./stor event ls type system num 1 event ID: 0422e451e4bf4c28b7eb76c64ade653e module: target instance ID: targetc,iqn.201208.cn.ctyunapi.oos:targetc.10 event time: 20250812 14:17:52 name: TargetMigrated details: {"targetIqn":"iqn.201208.cn.ctyunapi.oos:targetc.10","ips":"192.168.0.67:3260"} 系统事件描述 项目 描述 event ID 系统事件ID。 moudle 系统事件所属模块。 instance ID 系统事件针对的实例ID。 ：表示无实例ID。 event time 系统事件发生的时间。 name 系统事件名称。 说明 系统事件名称描述详见系统事件列表。 details 系统事件详情。 ：表示无事件详情。 示例4 查询最近发生的5条系统事件。 plaintext [root@hblockserver CTYUNHBlockPlus3.10.0x64] ./stor event ls type system num 5 ++++++ Event Time Event ID Module Event Name Instance ID Details ++++++ 20220801 14:57:14 ad9a053dfa774494b0c5ad3c2131cf2a Disk PathAdded hblock1:/mnt/storage03 20220801 09:51:24 fad76652fc5143848c83e0fdd2ad0ecb Disk PathAdded hblock1:/mnt/storage02 20220728 18:18:05 2f13100075934b2fa3ed0b924e285e6c Server ServiceAvailable hblock1 {"message": "Service up","service": "ws"} 20220728 18:16:01 1eb1d604e2eb4018bcfc385e9c28bff7 Server ServiceAvailable hblock1 {"message": "Service up","service": "ms"} ++++++ 系统事件描述 项目 描述 Event Time 系统事件发生的时间。 Event ID 系统事件ID。 Moudle 事件所属模块。 Event Name 系统事件名称。 说明 事件名称描述详见系统事件列表。 Instance ID 系统事件针对的实例ID。 ：表示无实例ID。 Details 系统事件详情。 ：表示无系统事件详情。

本节主要介绍事件管理 新建事件 操作场景 对于MySQL类型实例，您可通过创建事件对特定操作定时响应。 当您将关系型数据库中参数eventscheduler设置为“ON”时，且事件处于“开启”状态时，支持事件管理相关操作。 当参数eventscheduler设置为“OFF”时，您可创建事件，即使事件处于“开启”状态，事件也无法生效。 操作步骤 1. 在顶部导航栏选择“库管理”，在对象列表页签下选择“事件”，单击页面“新建事件”。 2. 填写事件名称（必填项）、事情定义语句（必填项），设置事件执行时间、状态及备注信息，设置完成后单击“立即创建”。 事件定义语句 主要指编写当事件定时触发时需要执行的操作语句。 事件到期删除 对于执行时间定义为固定时间的事件，执行一次即删除。 对于执行时间定义为循环时间的事件，将在设定的执行结束时间点删除。 在确认事件定义脚本弹出框中，单击“执行脚本”，若无报错，该事件即可生效。 修改事件 操作步骤 1. 在顶部导航栏选择“库管理”，在对象列表页签下选择“事件”，在右侧操作栏单击“修改事件”。 2. 在修改事件编辑页面，修改事件信息，单击页面中下部的“立即修改”。 3. 在确认事件定义脚本弹出框中，单击“执行脚本”即可。 删除事件 操作步骤 1. 在顶部导航栏选择“库管理”，在对象列表页签下选择“事件”，在右侧操作栏单击“删除事件”。 2. 在确认删除事件弹出框中，单击“确定”即可。

事件参数 说明 事件ID 事件信息的ID。 事件名称 事件信息的名称。 事件级别 包含紧急、重要、次要、提示共4项级别。 产生时间 事件产生的时间。 对象 事件可能的原因提示。 序列号 系统产生的事件计数。 定位信息 定位事件的详细信息。主要包含以下信息： 来源：产生事件的集群名称 服务名：产生事件的服务名称 角色名：产生事件的角色名称 主机名：产生事件的主机名 附加信息 相关报错信息。 事件原因 事件可能的原因提示。 来源 集群名称。

本章节为您介绍事件下载功能模块。 云WAF将所有在防护事件模块下载的事件任务统一保存在事件下载中，用户可在事件下载列表中查看任务名称、事件条数、所属实例、文件大小、事件时间范围、创建时间、任务状态。 前提条件 已开通Web应用防火墙（原生版）实例。 已完成网站域名接入并正常防护。 已经创建事件下载任务 查询事件下载任务 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护事件 > 事件下载”，进入事件下载页面。 5. 在事件下载列表上方，可以设置筛选条件，支持设置多项匹配条件。 查询条件字段参数说明： 参数名称 参数说明 实例选择 选择需要下载事件报告所属的实例，默认展示所有实例。 任务名称 根据任务名称搜索要下载的事件报告。 创建时间 选择需要搜索的事件报告下载任务的创建时间。 下载防护事件 说明 下载时，核心 Web 攻击事件、CC 攻击事件、智能 BOT 事件、IP / 地域黑名单、攻击惩罚每类日志会单独生成一个 CSV 文件，每个文件一次最多支持导出 100 万条日志，若日志量存储不足 100 万条，将会按照存储实际数量导出，日志量过大时耗时较长请耐心等候。 在查询防护事件模块[添加下载任务](

本文主要介绍 查看追踪事件 操作场景 开通了云审计服务后，系统开始记录云服务资源的操作。云审计服务管理控制台保存最近7天的操作记录。 本节介绍如何在云审计服务管理控制台查看最近7天的操作记录。 操作步骤 1.登录管理控制台。 2.选择“服务列表 > 管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 3.单击左侧导航树的“事件列表”，进入事件列表信息页面。 4.事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件类型、事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。 其中筛选类型选择事件名称时，还需选择某个具体的事件名称。 选择资源ID时，还需选择或者手动输入某个具体的资源ID。 选择资源名称时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“Normal”、“Warning”、“Incident”，只可选择其中一项。 时间范围：可选择查询最近七天内任意时间段的操作事件。 在需要查看的事件左侧，单击展开该记录的详细信息。 5.在需要查看的记录右侧，单击“查看事件”，弹出一个窗口显示该操作事件结构的详细信息。 6.关于事件结构的关键字段详解，“事件结构”和“事件样例”章节。

本节介绍了事件监控。 事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源的操作事件收集到云监控服务，并在事件发生时进行告警。 事件即云监控服务保存并监控的RDS资源的关键操作，您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作，如重置数据库管理员密码、修改备份策略等。 事件监控默认开通，您可以在事件监控中查看系统事件和自定义事件的监控详情，目前支持的系统事件请参见事件监控支持的事件说明。 事件监控为您提供上报自定义事件的接口，方便您将业务产生的异常事件或重要变更事件采集上报到云监控服务。

本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录。 场景描述 云审计服务能够为您提供云服务资源的操作记录，记录的信息包括发起操作的用户身份、IP地址、具体的操作内容的信息，以及操作返回的响应信息。根据这些操作记录，您可以很方便地实现安全审计、问题跟踪、资源定位，帮助您更好地规划和利用已有资源、甄别违规或高危操作。 什么是事件 事件即云审计服务追踪并保存的云服务资源的操作日志，操作包括用户对云服务资源新增、修改、删除等操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作。 约束与限制 用户通过云审计控制台只能查询最近7天的操作记录，过期自动删除，不支持人工删除。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务（OBS）或云日志服务（LTS），才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 用户对云服务资源做出创建、修改、删除等操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 在CTS查看审计事件 1. 登录控制台，单击左上角，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 2. 单击左侧导航栏的“事件列表”，进入事件列表信息页面。 3. 在页面右上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 4. 事件列表支持通过筛选来查询对应的操作事件。 参数名称 说明 事件类型 事件类型分为“管理事件”和“数据事件”。 管理类事件，即用户对云服务资源新建、修改、删除等操作事件。 数据类事件，即OBS服务上报的OBS桶中的数据的操作事件，例如上传数据、下载数据等。 云服务 在下拉选项中，选择触发操作事件的云服务名称。 资源类型 在下拉选项中，选择操作事件涉及的资源类型。 支持的资源类型请参见云审计服务支持的态势感知（专业版）操作列表。 筛选类型 筛选类型分为“资源ID”、“事件名称”和“资源名称”。 资源ID：操作事件涉及的云资源ID。 当该资源类型无资源ID，或资源创建失败时，该字段为空。 事件名称：操作事件的名称。 支持审计的操作事件的名称请参见云审计服务支持的态势感知（专业版）操作列表。 资源名称：操作事件涉及的云资源名称。 当事件所涉及的云资源无资源名称，或对应的API接口操作不涉及资源名称参数时，该字段为空。 操作用户 触发事件的操作用户。 下拉选项中选择一个或多个操作用户。 查看事件中的tracetype的值为“SystemAction”时，表示本次操作由服务内部触发，该条事件对应的操作用户可能为空。 事件级别 可选项包含“所有事件级别”、“Normal”、“Warning”、“Incident”，只可选择其中一项。 Normal代表操作成功。 Warning代表操作失败。 Incident代表比操作失败更严重的情况，如引起其他故障等。 5. 选择完查询条件后，单击“查询”。 6. 在事件列表页面，您还可以导出操作记录文件和刷新列表。 单击“导出”按钮，云审计服务会将查询结果以CSV格式的表格文件导出，该CSV文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击按钮，可以获取到事件操作记录的最新信息。 7. 在需要查看的事件左侧，单击展开该记录的详细信息。 8. 在需要查看的记录右侧，单击“查看事件”，会弹出一个窗口显示该操作事件结构的详细信息。

本文为您介绍创建事件订阅任务的操作场景、前提条件和操作步骤。 操作场景 场景一：事件通知 使用云监控事件订阅功能，可以及时通过短信、邮件等通知渠道，实时感知云资源异常事件。 场景二：事件数据存储及分析 使用云监控事件订阅功能，您可将资源监控的事件数据，实时地推送到归档数据库或数据仓库。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 注意 事件订阅任务，如选择“配置事件订阅”，需提前创建订阅渠道。（入口：云监控服务>数据订阅>订阅渠道） 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“管理与部署”，单击“云监控”，进入监控概览页面。 4. 单击左侧“事件监控”>"事件订阅"菜单，进入事件订阅任务列表。 5. 单击“创建事件订阅”功能，进入事件订阅创建二级页面。 6. 创建订阅任务参数配置如下： 模块 参数 参数说明 配置示例 备注 选择订阅事件 服务维度 选择需要订阅数据的服务维度信息，支持多选 云主机云主机 选择订阅事件 监控对象类型 具体实例 选择订阅事件 监控对象 选择资源实例对象 具体实例 选择订阅事件 监控事件 选择监控事件，支持多选 选择订阅事件 策略 发生即触发/X分钟内，累计发送N次 发生即触发 选择订阅事件 沉默时间 选择通知沉默时间 5分钟 表示同一类事件重复发生，事件通知后进入某段时间（默认5分钟）的沉默期，沉默期内不再重复通知 通知方式 通知联系人组 配置事件通知 接收对象 选择通知对象联系组 配置事件通知 触发场景 事件发生 配置事件通知 通知渠道 选择事件通知渠道，包括:邮箱、短信、语音（需订购语音资源包） 短信 配置事件通知 接口URL 填写回调webhook地址，最多支持填写5个地址 配置事件通知 推动渠道 选择已创建的订阅渠道 订阅信息 名称 填写自定义事件订阅任务名称 testtask 订阅信息 描述 填写事件订阅任务描述信息 说明 1、事件订阅任务下事件通知、事件订阅至少需填写一项。

了解存储资源盘活系统的事件和日志功能。 点击左侧导航栏中的“运维”>“事件和日志” ，进入“事件和日志”页面，可以查看用户事件、系统事件和日志采集。 说明 系统可以保留6个月的事件。 用户事件 在“运维”页面，点击“用户事件”，可以查看或者导出用户事件信息。可以根据模块、请求者IP、事件名称进行搜索。点击“导出全部”，可以导出全部用户事件信息。 说明 该页面最多显示最近的1000条用户事件。 系统事件 在“事件和日志”页面，点击“系统事件” ，可以查看或者导出系统事件信息。可以根据模块、事件名称进行搜索。点击“导出全部”，可以导出全部系统事件信息。 说明 该页面最多显示最近的1000条系统事件。 日志采集 在“事件和日志”页面，点击“日志采集”，可以查看日志采集信息或者新建日志采集任务。 注意 日志信息以服务器的系统事件为准进行记录。时间被调整，或集群中服务器事件不统一，都可能导致日志信息不准确。但用户的业务数据不会受到影响。 日志采集的进程不能超过10个。

攻击类型 Code Name 常量值 前端涉及模块 备注 SQL 注入 SQLINJECTION 0 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 XSS XSS 1 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 机器人请求 BOT 2 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 目录穿越 PATHTRAVERSAL 3 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 Java 代码执行 JAVACODEEXECUTION 4 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 关键词规则 PHP 代码执行 PHPCODEEXECUTION 5 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 关键词规则 ASP 代码执行 ASPCODEEXECUTION 6 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 关键词规则 通用代码执行 CODEEXECUTION 7 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 Java 反序列化 JAVAUNSERIALIZE 8 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 PHP 反序列化 PHPUNSERIALIZE 9 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 本地文件包含 LOCALFILEINCLUSION 10 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 远程文件包含 REMOTEFILEINCLUSION 11 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 文件上传 FILEUPLOAD 12 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 目前只有文件名检测 CSRF CSRF 13 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 SSRF SSRF 14 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 命令注入 CMDINJECTION 15 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 信息泄露 INFOLEAK 16 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 模板注入 SSTI 17 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 XML 实体注入 XXE 18 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 IP 黑名单 IPACL 19 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 地域黑名单 GEOACL 20 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 CC 攻击 CC 21 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 Cookie篡改 COOKIETAMPERATTACK 22 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 Xpath 注入 XPATHINJECTION 23 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 前端暂未支持 攻击惩罚 ATTACKPENALTY 24 一期仅支持BOT和精准防护联动 LDAP注入 LDAPINJECTION 25 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 自定义精准攻击 CUSTOMEPRECISIONATTCK 62 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 未知攻击 UNKNOWN 63 防护事件>筛选条件>攻击类型 告警通知>新增通知策略>事件类型>自定义 新建规则白名单>不检查测项>特定规则类型 64 位整数最高位用来表示未知攻击

事件监控提供了事件类型数据上报、查询和告警的功能。方便您将业务中的各类重要事件或对云资源的操作事件收集到云监控服务，并在事件发生时进行告警。事件监控不依赖于Agent插件。 事件即云监控服务保存并监控的云服务资源的关键操作。您可以通过“事件”了解到谁在什么时间对系统哪些资源做了什么操作，如删除虚拟机、重启虚拟机等。 事件监控默认开通，您可以在事件监控中查看系统事件和自定义事件的监控详情。 事件监控为您提供上报自定义事件的接口，方便您将业务产生的异常事件或重要变更事件采集上报到云监控服务。

操作场景 文档数据库服务事件管理功能主要是用来便于用户查看相关实例系统通知的事件，事件管理分为计划内事件和历史事件，用户可以在“事件管理”中查看系统通知的事件。 操作步骤 1. 登录TeleDB数据库控制台首页。 2. 点击“DDS”>“事件管理"，即可看到历史事件页面。 3. 历史事件列表显示的都是计划内事件变更过来的数据。 4. 用户可以在历史事件页面的搜索框根据实例ID搜索指定实例的历史事件。

本章节主要介绍如何查看事件列表。 事件列表显示了集群中的所有事件信息，如重启服务、停止服务等。 事件列表默认按时间顺序排列，时间最近的告警显示在最前端。 事件信息中的各字段说明如下表事件说明所示。 参数 参数说明 事件ID 事件的ID。 事件级别 事件级别。 MRS 3.x之前版本集群事件级别为： 致命 严重 一般 提示 MRS 3.x及之后版本集群事件级别为： 紧急 重要 次要 提示 事件名称 产生事件的名称。 生成时间 产生事件的时间。 定位信息 定位事件的详细信息。 按钮说明 按钮 说明 在下拉框中选择刷新事件列表的周期。 每30s刷新一次 每60s刷新一次 停止 单击，手动刷新事件列表。 高级搜索 单击“高级搜索”显示事件搜索区域，设置查询条件后，单击“搜索”，查看指定的事件信息。单击“重置”清除输入的搜索条件。 导出事件 1.选择“集群列表 > 现有集群”，单击集群名称进入集群详情页面。 2.单击“告警管理 > 事件”。 3.单击“全部导出”。 4.在弹框内选择保存类型，单击“确定”。

本小节介绍查看容器告警事件。 企业主机安全可对您已开启的告警防御能力提供总览数据，帮助您快速了解安全告警概况包括存在告警的容器、待处理告警事件、已处理告警事件。 事件列表仅保留近30天内发生的告警事件，您可以根据自己的业务需求，自行判断并处理告警，快速清除资产中的安全威胁。 告警事件处理完成后，告警事件将从“未处理”状态转化为“已处理”。 约束限制 未开启防护的服务器不支持告警事件相关操作。 操作步骤 1、登录管理控制台。 2、在左侧导航栏中选择“入侵检测 > 安全告警事件 > 容器安全告警”，进入“容器安全告警”页面，查看容器告警事件信息。 查看容器告警事件概览。 安全告警统计：您可以查看存在告警的容器数量，以及待处理和已处理告警事件数量。 威胁等级：您可以查看容器存在的告警等级分布数量。 TOP事件类型：您可以查看容器中告警数量排在前五的事件类型。 查看容器告警事件分类列表。 在“事件类型”栏，选择告警事件类型，查看每个事件类型对应的告警事件列表。在告警事件列表中可以查看告警威胁等级、告警名称、受影响容器实例名称等信息。 查看容器告警事件详细信息。 单击目标告警事件的告警名称，进入告警事件详情页面，可以查看容器ID、IP地址、虚拟机名称、镜像ID等信息。

本文主要介绍云日志服务中查看告警事件历史。 告警事件历史展示当前租户下所有告警事件历史，支持筛选及查看详情。 功能入口 1. 登录云日志服务控制台。 2. 在左侧导航栏中选择告警管理告警事件历史。 功能说明 告警事件历史页面展示当前租户下所有告警事件信息。 支持对事件名称、事件状态、事件对象进行筛选。 事件名称：显示告警规则名称。 事件状态：显示事件当前状态是告警中、已恢复、静默。 事件对象：指触发告警的日志项目。 支持查看事件详情。 支持查看告警详情。

本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录。 操作场景 用户进入云审计服务创建管理类追踪器后，系统开始记录云服务资源的操作。在创建数据类追踪器后，系统开始记录用户对OBS桶中数据的操作。云审计服务管理控制台会保存最近7天的操作记录。 在事件列表查看审计事件 1. 登录管理控制台。 2. 单击页面左上角的“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务页面。 3. 单击左侧导航栏的“事件列表”，进入事件列表信息页面。 4. 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件类型、事件来源、资源类型和筛选类型，在下拉框中选择查询条件。 筛选类型按资源ID筛选时，还需手动输入某个具体的资源ID。 筛选类型按事件名称筛选时，还需选择某个具体的事件名称。 筛选类型按资源名称筛选时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“Normal”、“Warning”、“Incident”，只可选择其中一项。 时间范围：可选择查询最近7天内任意时间段的操作事件。 单击“导出”按钮，云审计服务会将查询结果以CSV格式的表格文件导出，该CSV文件包含了本次查询结果的所有事件，且最多导出5000条信息。 5. 选择完查询条件后，单击“查询”。 6. 在事件列表页面，您还可以导出操作记录文件和刷新列表。 单击“导出”按钮，云审计服务会将查询结果以CSV格式的表格文件导出，该CSV文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击“刷新”按钮，可以获取到事件操作记录的最新信息。 7. 在需要查看的事件左侧，单击“展开”图标，展开该记录的详细信息。 8. 在需要查看的记录右侧，单击“查看事件”，会弹出一个窗口显示该操作事件结构的详细信息。 9. 关于事件结构的关键字段详解，请参见事件结构和事件样例。

本文主要介绍如何采集Windows事件日志。 您可以通过天翼云云日志服务提供的lmtagent采集器采集Windows事件日志。本文介绍如何通过日志服务控制台采集Windows事件日志。 前提条件 已经在目标Windows云主机上安装日志采集器lmtagent。 目标云主机持续产生日志。 创建步骤 1. 登录云日志服务控制台。 2. 左侧菜单栏点击“日志接入”，进入接入管理页面。 3. 在“数据导入”模块中，点击“Windows事件日志”。 4. 选择目标日志项目和日志单元，单击下一步。 5. 在选择主机组页面，选择目标主机组。 6. 在采集配置页面，设置事件采集规则，可以同时配置多个事件采集规则，每个采集规则的字段说明如下： 字段 说明 事件通道 指采集应用程序通道中的事件日志，包括Application、Security、Setup、System。可在Windows系统中查看通道名称信息。 采集起始点 支持设置自定义时间与全量采集。 事件ID过滤 支持正向过滤单个值(例:20)或范围(例:020)，也支持反向过滤单个值(例:20)。多个过滤项之间可由逗号隔开，例:1200,100表示采集1200范围内除了100以外的事件日志 事件来源过滤 根据事件来源过滤日志。您可以使用半角逗号（,）指定多个事件来源名称，例如设置为App1, App2表示只采集来源名字为App1和App2的事件日志，其他事件日志都会被忽略。事件名称需为全称，默认为空，表示采集所有来源的事件。 事件等级 根据Windows事件等级过滤采集。仅支持Windows Vista及以上的操作系统。 7. 创建索引。默认开启全文索引，您也可以根据需要手动创建字段索引用于字段查询。 8. 点击完成，即可完成导入任务创建。等待1分钟左右，在查询日志界面能查询到日志，则说明接入成功。

告警转事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。 5. 在告警管理列表中，单击目标告警所在行“操作”列的“转事件”，右侧弹出转事件配置页面。 同时，还可以在某条告警详情页面，单击页面上方的“告警转事件”。 6. 在转事件配置页面中，填写“事件名称”并选择“类型”。 事件名称将自动填入当前告警的名称，可以根据需要进行修改。 7. 设置完成后，单击“确认”。 8. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面查看事件信息，详细操作指导和事件参数解释请参见查看事件信息。 告警关联事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 告警管理”，进入告警管理页面。 5. 在告警管理列表中，勾选需要关联事件的告警，并单击列表上方的“关联事件”，弹出绑定事件对话框。 6. 在绑定事件对话框中，勾选需要绑定的事件，并单击“确认”。 关联完成后，在告警列表中单击目标告警类型，进入告警详情页面后，选择“关联已有事件”页签，查看关联信息。

智能洞察支持对应用或接口进行定时巡检，并且可以针对巡检到的事件给出具体的根因分析。本文介绍如何查看智能洞察巡检结果。 说明 当前华北2资源池暂不支持智能洞察 功能入口 1. 登录 应用性能监控APM 控制台。 2. 在左侧导航栏选择智能洞察 > 事件列表。 事件列表 事件列表展示了所有事件对应的事件类型、描述、异常类型和持续时间。 其中异常类型字段展示了产生该事件的原因（命中检测阈值/命中算法检测），若是命中算法检测，可查看详情分析根因。 单击事件右侧操作 列的查看详情，可以查看目标事件的详细信息。 智能洞察详情 事件详情页面展示事件发生时间点对应的指标趋势图、根因分析和故障传播链，其中根因分析 仅支持对命中算法检测的事件进行分析。 应用服务整体响应时间突增 应用服务整体响应时间突增类型的事件详情页面展示了事件发生时间点的平均响应时间和请求数趋势图、根因分析和故障传播链。 应用服务整体错误率突增 应用服务整体错误率突增类型的事件详情页面显示了事件发生时间点的错误数和请求数趋势图、根因列表和问题传播链。

在CTS旧版事件列表查看审计事件 1. 登录控制台，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 2. 单击左侧导航栏的“事件列表”，进入事件列表信息页面。 3. 用户每次登录云审计控制台时，控制台默认显示新版事件列表，单击页面右上方的“返回旧版”按钮，切换至旧版事件列表页面。 4. 在页面右上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 5. 事件列表支持通过筛选来查询对应的操作事件，如图所示。 6. 参数名称 说明 事件类型 事件类型分为“管理事件”和“数据事件”。 管理类事件，即用户对云服务资源新建、修改、删除等操作事件。 数据类事件，即OBS服务上报的OBS桶中的数据的操作事件，例如上传数据、下载数据等。 云服务 在下拉选项中，选择触发操作事件的云服务名称。 资源类型 在下拉选项中，选择操作事件涉及的资源类型。 各个云服务的资源类型请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 筛选类型 筛选类型分为“资源ID”、“事件名称”和“资源名称”。 资源ID：操作事件涉及的云资源ID。 当该资源类型无资源ID，或资源创建失败时，该字段为空。 事件名称：操作事件的名称。 各个云服务支持审计的操作事件的名称请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 资源名称：操作事件涉及的云资源名称。 当事件所涉及的云资源无资源名称，或对应的API接口操作不涉及资源名称参数时，该字段为空。 操作用户 触发事件的操作用户。 下拉选项中选择一个或多个操作用户。 查看事件中的tracetype的值为“SystemAction”时，表示本次操作由服务内部触发，该条事件对应的操作用户可能为空。 事件级别 可选项包含“所有事件级别”、“Normal”、“Warning”、“Incident”，只可选择其中一项。 Normal代表操作成功。 Warning代表操作失败。 Incident代表比操作失败更严重的情况，如引起其他故障等。 7. 选择完查询条件后，单击“查询”。 8. 在事件列表页面，您还可以导出操作记录文件和刷新列表。 1. 单击“导出”按钮，云审计服务会将查询结果以CSV格式的表格文件导出，该CSV文件包含了本次查询结果的所有事件，且最多导出5000条信息。 2. 单击按钮，可以获取到事件操作记录的最新信息。 9. 在事件的“是否篡改”列中，您可以查看该事件是否被篡改： 1. 上报的审计日志没有被篡改，显示“否”； 2. 上报的审计日志被篡改，显示“是”。 10. 在需要查看的事件左侧，单击展开该记录的详细信息。 11. 在需要查看的记录右侧，单击“查看事件”，会弹出一个窗口显示该操作事件结构的详细信息。 12. （可选）在旧版事件列表页面，单击右上方的“体验新版”按钮，可切换至新版事件列表页面。

事件通知消息结构 事件通知消息结构如下： { "Records": [ { "eventVersion": "", // 版本号 "eventSource": "", // 消息源，固定为"ctyun:s3" "awsRegion": "", // 事件所在的region "eventTime": "", // 事件时间，格式为ISO8601，示例：20230613 02:20:19.032936Z "eventName": "", // 触发事件通知的事件名 "userIdentity": { "principalId": "" // 触发事件的用户ID }, "requestParameters": { "sourceIPAddress": "" // 请求的源IP }, "responseElements": { "xamzrequestid": "", // 请求对应的requestid "xamzid2": "" // 帮助定位问题的特殊符号 }, "s3": { "s3SchemaVersion": "1.0", "configurationId": "", // 事件匹配的事件通知规则的名称 "bucket": { "name": "examplebkt", // 桶名 "ownerIdentity": { "principalId": "" // 桶拥有者的帐号ID }, "arn": "arn:aws:s3:::examplebkt", // 桶的ARN "id": "" // 桶id }, "object": { "key": "object", // 对象名 "size": 779, // 对象大小 "etag": "", // 对象ETag "versionId": "", // 对象版本Id "sequencer": "", // 确定某个特定对象事件顺序的标识 "metadata": [ { "key": "xamzmetaa", // 用户自定义元数据 "val": "2" } ], } }, "eventId": "" // 事件ID } ] } ‍使用方式 操作途径 使用方式 控制台 可参考：事件通知。

展示当前租户下所有告警事件历史,支持筛选及查看详情。 功能入口 1. 选择目标资源池，并登录APM组件控制台。 2. 在左侧导航栏中选择「 告警管理 」「 告警事件历史 」。 功能说明 展示当前租户下所有告警事件信息。 支持对事件名称、事件状态、事件对象和对象类型进行筛选 事件名称 ：显示告警规则名称。 事件状态 ：显示事件当前状态是告警中、已恢复、静默。 事件对象 ：监控对象，比如应用名称、集群名称等。 对象类型 ：告警事件对象的类型。 支持查看事件详情 支持查看告警详情 详情 ：显示告警发送的基础信息如告警对象、处理人、解决方案。 事件 ：显示触发告警的事件名称、状态和触发时间，点击可查看详情。 活动 ：显示包括认领、取消认领、指派处理人、告警关闭等在内的各种活动信息，支持筛选。

编辑事件 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“威胁管理 > 事件管理”，进入事件管理页面。 5. 在事件管理列表中，单击目标事件所在行“操作”列的“编辑”，右侧弹出编辑事件页面。 6. 在弹出的“编辑”页面中，编辑事件参数。 参数名称 参数说明 基础信息 事件名称 自定义事件名称，命名规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过255个字符。 基础信息 事件类型 选择事件类型。 基础信息 （可选）业务ID 填写事件对应的业务ID。 基础信息 事件等级 选择严重等级，可选择以下等级：提示、低危、中危、高危、致命。 基础信息 状态 选择事件状态，可选择以下状态：打开、阻塞、关闭。 基础信息 数据源产品名称 选择数据源产品的名称，不支持修改。 基础信息 数据源类型 选择数据源所属类型，不支持修改。 基础信息 （可选）责任人 选择事件的主要责任人。 时间线 首次发生时间 该事件首次发生时间。 时间线 （可选）最近发现时间 该事件最近一次发生的具体时间。 时间线 （可选）计划关闭时间 选择事件计划关闭时间。 其他 （可选）验证状态 选择事件的验证状态，标识事件的准确性。可选择以下状态：未知、确认、误报。 其他 （可选）阶段 选择您的事件阶段。 准备：准备资源处理事件。 检测与分析：检测与分析事件发生原因。 控制、清除、恢复：进行事件问题处理。 事件后活动：事件处理完成后的后续活动。 其他 （可选）模拟调试项 选择是否开启模拟调试功能，不支持修改。 其他 （可选）标签 填写事件的标签。 其他 描述 事件描述信息，输入规则如下： 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（ ()）。 长度不能超过1024个字符。 7. 单击“确认”，完成事件编辑。

操作事件 读写类型 重启实例节点 写事件 创建消息路由任务 写事件 删除消息路由任务 写事件 暂停消息路由任务 写事件 恢复消息路由任务 写事件 重发死信消息 写事件 更新Topic的读写模式 写事件 创建Acl用户 写事件 删除用户 写事件 更新用户 写事件 用户更新Topic权限 写事件 创建Connector任务 写事件 删除Connector任务 写事件 暂停Connector任务 写事件 恢复Connector任务 写事件 创建预付费实例 写事件 创建后付费实例 写事件 磁盘扩容 写事件 节点扩容 写事件 升规格 写事件 续订 写事件 退订 写事件

在CTS事件列表查看审计事件 1. 登录控制台，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 2. 单击左侧导航栏的“事件列表”，进入事件列表信息页面。 3. 在页面右上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 4. 事件列表支持通过高级搜索来查询对应的操作事件，您可以在筛选器组合一个或多个筛选条件。 表事件筛选参数说明 参数名称 说明 事件名称 操作事件的名称。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 各个云服务支持审计的操作事件的名称请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 示例：updateAlarm 云服务 云服务的名称缩写。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 示例：IAM 资源名称 操作事件涉及的云资源名称。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。 示例：ecsname 资源ID 操作事件涉及的云资源ID。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 当该资源类型无资源ID或资源创建失败时，该字段为空。 示例：{虚拟机ID} 事件ID 操作事件日志上报到CTS后，查看事件中的traceid参数值。 输入的值需全字符匹配，不支持模糊匹配模式。 示例：01d18a1b56ee11f0ac811e229 资源类型 操作事件涉及的资源类型。 输入的值区分大小写，需全字符匹配，不支持模糊匹配模式。 各个云服务的资源类型请参见《云审计服务用户指南》的“支持审计的服务及操作列表”章节。 示例：user 操作用户 触发事件的操作用户。 下拉选项中选择一个或多个操作用户。 查看事件中的tracetype的值为“SystemAction”时，表示本次操作由服务内部触发，该条事件对应的操作用户可能为空。 事件级别 下拉选项包含“normal”、“warning”、“incident”，只可选择其中一项。 normal代表操作成功。 warning代表操作失败。 incident代表比操作失败更严重的情况，如引起其他故障等。 5. 在事件列表页面，您还可以导出操作记录文件、刷新列表、设置列表展示信息等。 在搜索框中输入任意关键字，按下Enter键，可以在事件列表搜索符合条件的数据。 单击“导出”按钮，云审计服务会将查询结果以.xlsx格式的表格文件导出，该.xlsx文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击按钮，可以获取到事件操作记录的最新信息。

操作场景 本服务现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内时间的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 操作事件 读写类型 删除告警规则 写事件 创建告警规则 写事件 修改告警规则 写事件 开启一键告警 写事件 批量修改一键告警 写事件 任务中心任务下载 写事件 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表中，选择事件来源为“云监控”，上方时间选择需要筛选的时间段。点击查询即可。 4. 在审计事件右侧点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

介绍在CTS事件列表查看云审计事件。 操作场景 用户进入云审计服务创建管理类追踪器后，系统开始记录云服务资源的操作。在创建数据类追踪器后，系统开始记录用户对OBS桶中数据的操作。云审计服务管理控制台会保存最近7天的操作记录。 本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录。 使用限制 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。 查看审计事件 步骤1、登录管理控制台。 步骤2、单击左上角，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务页面。 步骤3、单击左侧导航树的“事件列表”，进入事件列表信息页面。 步骤4、事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件类型、事件来源、资源类型和筛选类型，在下拉框中选择查询条件。 筛选类型按资源ID筛选时，还需手动输入某个具体的资源ID。 筛选类型按事件名称筛选时，还需选择某个具体的事件名称。 筛选类型按资源名称筛选时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“Normal”、“Warning”、“Incident”，只可选择其中一项。 时间范围：可选择查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 步骤5、选择完查询条件后，单击“查询”。 步骤6、在事件列表页面，您还可以导出操作记录文件和刷新列表。 单击“导出”按钮，云审计服务会将查询结果以CSV格式的表格文件导出，该CSV文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击按钮，可以获取到事件操作记录的最新信息。 步骤7、在需要查看的事件左侧，单击展开该记录的详细信息。 步骤8、在需要查看的记录右侧，单击“查看事件”，会弹出一个窗口显示该操作事件结构的详细信息。

关键操作列表 操作事件 读写类型 创建伸缩组 写事件 修改伸缩组 写事件 删除伸缩组 写事件 停用伸缩组 写事件 启用伸缩组 写事件 手动移入实例 写事件 移出实例 写事件 开启或关闭伸缩组一个或多个实例保护 写事件 创建伸缩策略 写事件 修改伸缩策略 写事件 启用伸缩策略 写事件 停用伸缩策略 写事件 立即执行伸缩策略 写事件 删除伸缩策略 写事件 创建伸缩配置 写事件 修改伸缩配置 写事件 删除伸缩配置 写事件 查询伸缩活动 读事件 查询伸缩配置 读事件 查询伸缩组 读事件 查询伸缩组内的伸缩策略 读事件 查询伸缩组内云主机列表 读事件

本节介绍如何管理事件类型。 约束与限制 系统内置事件类型已默认关联已有布局，暂不支持自定义关联布局。 系统内置事件类型默认处于启用状态，暂不支持进行编辑、启用、禁用、删除操作。 自定义事件类型新增成功后，不支持修改“类型名称”、“类型标识”、“子类型标识”参数信息。 查看已有事件类型 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 运营对象”，进入运营对象的数据类页面后，选择“类型管理”页签，进入类型管理页面。 5. 在类型管理页面，选择“事件类型”页签，进入事件类型管理页面。 6. 在事件类型管理页面中，查看已有事件类型的详细信息，参数说明如下表所示。 参数名称 参数说明 类型名称 事件类型的名称。 子类型/子类型标识 事件子类型的名称和标识。 关联布局 事件类型已关联的布局。 启用状态 事件类型的启用状态。 启用：当前类型已启用。 禁用：当前类型已被禁用。 SLA 事件类型的SLA处理时间。 描述 事件类型的描述信息。 操作 可以对事件类型进行编辑、删除等操作。

本节介绍如何查看云安全中心审计事件。 支持审计的操作列表 事件名称 读写类型 资产管理资产导入模板下载 写类型 资产管理资产导入 写类型 告警管理工单处置小结上传文件 写类型 资产管理资产导出 读类型 分析中心图表分析导出 读类型 告警管理工单处置小结下载文件 读类型 查看云审计事件 1. 登录云审计产品控制台，默认进入云审计事件列表页面。 2. 事件来源 选择“安全”，资源类型选择“云安全中心”，单击“查询”，筛选云安全中心事件。 3. 在需要查看的事件左侧，单击展开该事件的详细信息。 4. 在需要查看的事件右侧，单击操作列的“查看详情”，弹出一个窗口显示该操作事件结构的详细信息。 关于事件详情中字段详解，请参见审计服务事件参考。