查看追踪事件 在您开启了云审计服务后，系统开始记录云服务资源的操作。云审计服务管理控制台保存最近7天的操作记录。 介绍如何在云审计服务管理控制台查看最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域和项目。 3. 单击“服务列表”，选择“管理与部署 > 云审计服务2.0”，进入云审计服务信息页面。 4. 在左侧导航树，单击“事件列表”，进入事件列表信息页面。 5. 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。 其中，筛选类型选择“按事件名称”时，还需选择某个具体的事件名称。 选择“按资源ID”时，还需选择或者手动输入某个具体的资源ID。 选择“按资源名称”时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 起始时间、结束时间：可通过选择时间段查询操作事件。 6. 在需要查看的记录左侧，单击展开该记录的详细信息。 7. 在需要查看的记录右侧，单击“查看事件”，在弹出框中显示该操作事件结构的详细信息。

事件名称 事件ID 事件级别 事件说明 处理建议 事件影响 更新磁盘 updateVolume 次要 更新一个云硬盘的名称和描述。 无需处理。 无。 扩容磁盘 extendVolume 次要 对云硬盘进行扩容。 无需处理。 无。 删除磁盘 deleteVolume 重要 删除一个云硬盘。 无需处理。 删除的磁盘将不能被恢复。 磁盘性能达到QoS上限 reachQoS 重要 磁盘性能频繁达到该规格的QoS上限，从而触发流控，导致IO访问时延变大。 建议提升磁盘规格。 IO访问时延变大

云数据库GaussDB(for MySQL)支持的事件列表 事件名称 事件ID 事件级别 事件说明 处理建议 事件影响 实例增量备份业务失败 TaurusIncrementalBackupInstanceFailed 重要 实例增量备份失败产生的事件，一般是管理节点到实例网络或者实例到OBS存储的网络异常，或者实例备份环境异常。 提交工单。 无法完成实例备份业务操作。 添加只读节点失败 addReadonlyNodesFailed 重要 创建实例只读节点失败产生的事件，一般是底层资源耗尽导致。 检查并释放资源后重新创建。 无法创建数据库实例只读节点。 创建实例业务失败 createInstanceFailed 重要 创建实例失败产生的事件，一般是配额大小不足，底层资源耗尽导致。 检查配额大小，释放资源后重新创建。 无法创建数据库实例。 主备切换异常 activeStandBySwitchFailed 重要 主备切换异常主要是由于网络、物理机有某种故障导致只读节点没有接管主节点的业务，短时间内会恢复到原主节点继续提供服务。 提交工单。 无法完成主备切换（只读升主）。 规格变更业务失败 flavorAlterationFailed 重要 规格变更失败产生的事件，一般是配额大小不足，底层资源耗尽导致。 提交工单。 无法完成规格变更。 实例运行状态异常 TaurusInstanceRunningStatusAbnormal 重要 实例运行状态异常产生的事件，可能原因是实例进程故障，或者实例到DFV存储间通信问题。 提交工单。 实例异常，业务可能受损。 实例运行状态异常已恢复 TaurusInstanceRunningStatusRecovered 重要 实例运行状态异常后恢复产生的事件。 观察业务运行情况。 无。 节点运行状态异常 TaurusNodeRunningStatusAbnormal 重要 运行节点状态异常产生的事件，可能原因是节点进程故障，或者节点到DFV存储间通信问题。 观察实例状态和业务运行情况。 节点异常，可能触发只读升主。 节点运行状态异常已恢复 TaurusNodeRunningStatusRecovered 重要 节点运行状态异常后恢复产生的事件。 观察业务情况。 无。 删除只读节点失败 TaurusDeleteReadOnlyNodeFailed 重要 删除只读节点失败产生的事件，可能原因是管理面到实例节点通信异常或者请求IaaS删除虚机失败。 提交工单。 无法完成删除只读节点操作。 实例重置密码失败 TaurusResetInstancePasswordFailed 重要 实例重置密码失败产生的事件，可能原因是管理面到实例通信异常或者实例状态异常件。 检查确认实例状态后重试，未解决则提交工单。 无法完成实例重置密码操作。 实例重启失败 TaurusRestartInstanceFailed 重要 实例重启失败产生的事件，可能原因是管理面到实例通信异常或者实例状态异常件。 检查确认实例状态后重试，未解决则提交工单。 无法完成实例重启操作。 恢复到新实例失败 TaurusRestoreToNewInstanceFailed 重要 恢复到新实例失败产生的事件，一般是新创建实例配额大小不足，底层资源耗尽导致或者数据恢复逻辑出错。 如果是新创建实例失败，检查配额大小，释放资源后重新恢复到新实例，其他情况提交工单。 无法完成恢复到新实例。 实例绑定EIP失败 TaurusBindEIPToInstanceFailed 重要 实例绑定EIP失败产生的事件，绑定任务执行错误。 提交工单。 无法完成绑定EIP操作。 实例解绑EIP失败 TaurusUnbindEIPFromInstanceFailed 重要 实例解绑EIP失败产生的事件，绑定任务执行错误。 提交工单。 无法完成解绑EIP操作。 实例修改参数失败 TaurusUpdateInstanceParameterFailed 重要 实例修改参数失败产生的事件，一般是管理节点到实例网络异常，或者实例状态异常。 检查确认实例状态后重试，未解决则提交工单。 无法完成实例修改参数操作。 实例参数组应用失败 TaurusApplyParameterGroupToInstanceFailed 重要 实例参数组应用失败产生的事件，一般是管理节点到实例网络异常，或者实例状态异常。 检查确认实例状态后重试，未解决则提交工单。 无法完成实例参数组应用操作。 实例全量备份业务失败 TaurusBackupInstanceFailed 重要 实例全量备份失败产生的事件，一般是管理节点到实例网络或者实例到OBS存储的网络异常，或者实例备份环境异常。 提交工单。 无法完成实例备份业务操作。 实例发生主备倒换 TaurusActiveStandbySwitched 重要 实例发生主备倒换，主要是由于主节点的网络，物理机以及数据库运行出现故障时，GaussDB HA系统会按照倒换优先级将1个只读节点升为主机，以持续提供服务。 收到事件后，查看业务运行是否正常。看是否继续收到“实例只读升主业务失败”告警。 倒换时业务连接会短时间中断，升主完成后可重新连接数据库。 数据库设置为只读模式 NodeReadonlyMode 重要 数据库设置为只读状态，只支持查询类操作。 提交工单。 数据库设置只读状态后，所有写业务返回失败。 数据库设置为读写模式 NodeReadWriteMode 重要 数据库设置为读写状态 提交工单。 无 实例容灾切换 DisasterSwitchOver 重要 实例故障不可用，通过主备切换保证数据库继续对外提供服务。 联系技术支持团队处理。 访问数据库的业务出现闪断，高可用服务通过切换机制保证新机器升主继续对外提供服务。 数据库进程重新启动 TaurusDatabaseProcessRestarted 重要 一般是内存不足、负载过高导致数据库进程停止。 通过云监控的数据，查看是否有内存飙升、CPU长期过高等的情况，可以选择提升CPU内存规格或者优化业务逻辑。 数据库进程挂掉的时候，该节点业务中断。高可用服务会自动拉起进程，尝试恢复业务。

本文介绍如何查看ECI实例事件。 前提条件 部署ECI实例后，您可以通过弹性容器实例控制台查看该ECI实例的事件信息。 操作步骤 1. 在弹性容器实例控制台左侧导航栏中选择“容器组”，进入容器组列表页。 2. 在容器组列表中找到该实例，点击实例名称进入实例详情页面。参考如下图： 3. 在实例详情页面点击事件页签查看该实例的事件列表。参考如下图： 4. 最终展示该实例的所有事件信息。参考如下图：

参数名称 参数说明 威胁告警 呈现最近7天内未处理威胁告警，可快速了解资产遭受的威胁告警类型和数量，呈现威胁告警的统计结果。 此处严重等级含义如下： 致命：即致命风险，表示您的资产中检测到了入侵事件，建议您立即查看告警事件的详情并及时进行处理。 高危：即高危风险，表示资产中检测到了可疑的异常事件，建议您立即查看告警事件的详情并及时进行处理。 其他：即其他类型（中危、低危、提示）风险，表示服务器中检测到了有风险的异常事件，建议您及时查看该告警事件的详情。 单击威胁告警模块，系统将列表实时呈现近7天内TOP5的威胁告警事件，可快速查看威胁告警详情，监控威胁告警状况。 列表呈现近7天TOP5的威胁告警事件的信息，包括威胁告警名称、告警等级、资产名称、告警发现时间。 若列表显示内容为空，表示近7天无威胁告警事件。 单击“查看更多”，可跳转到“检测结果”页面，查看更多的威胁告警信息，并可自定义过滤条件查询告警信息。 漏洞 展示您资产中TOP5漏洞类型，以及近24小时内还未修复的漏洞总数和不同漏洞风险等级对应的数量。 此处严重等级含义如下： 致命：即致命风险，表示您的资产中检测到了漏洞事件，建议您立即查看漏洞事件的详情并及时进行处理。 高危：即高危风险，表示资产中检测到了可疑的异常事件，建议您立即查看漏洞事件的详情并及时进行处理。 其他：即其他类型（中危、低危、提示）风险，表示服务器中检测到了有风险的异常事件，建议您及时查看该漏洞的详情。 单击漏洞模块中的“实时监控最新漏洞风险事件Top5”栏，系统将列表实时呈现近24小时内TOP5的漏洞事件，可快速查看漏洞详情。 列表呈现当日最新TOP5漏洞事件详情，包括漏洞名称、漏洞等级、资产名称、漏洞发现时间。 若列表显示内容为空，表示当日无漏洞事件。 单击“查看更多”，可跳转到“检查结果”页面，查看更多的漏洞信息，并可自定义过滤条件查询漏洞信息。 合规检查 展示您资产中近30天内存在的合规风险总数量和不同危险等级的合规检查风险对应的数量。 此处严重等级含义如下： 致命：即致命风险，表示您的资产中检测到了不合规的配置，建议您立即查看合规异常事件的详情并及时进行处理。 高危：即高危风险，表示资产中检测到了可疑的异常配置，建议您立即查看合规异常事件的详情并及时进行处理。 其他：即其他类型（中危、低危、提示）风险，表示服务器中检测到了有风险的异常配置，建议您及时查看该合规检查项目的详情。 单击合规检查异常模块，系统将列表实时呈现近30天内TOP5的合规检查异常事件，可快速查看合规检查详情。 列表呈现最近一次合规检查中TOP的合规异常事件详情，包括合规检查项目名称、等级、资产名称、发现时间。 若列表显示内容为空，表示近30天无合规异常事件。 单击“查看更多”，可跳转到“检查结果”页面，查看更多的合规异常信息，并可自定义过滤条件查询合规检查信息。

操作类事件 事件名称 事件ID 事件级别 事件说明 重置数据库管理员密码 resetPassword 重要 重置数据库管理员密码。 集群扩容等操作 instanceAction 重要 磁盘扩容、规格变更。 删除集群下的实例 deleteInstance 次要 删除集群下的实例。 修改备份策略 setBackupPolicy 次要 修改备份策略。 修改参数组 updateParameterGroup 次要 修改参数组。 删除参数组 deleteParameterGroup 次要 删除参数组。 重置参数组 resetParameterGroup 次要 重置参数组。 修改数据库端口号 changeInstancePort 重要 修改数据库端口号。 实例主备切换 PrimaryStandbySwitched 重要 实例主备切换。

操作场景 在您开通了云审计服务后，系统开始记录云监控资源的操作。云审计服务管理控制台保存最近7天的操作记录。 本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 单击“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 5. 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 1. 事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。 其中筛选类型选择事件名称时，还需选择某个具体的事件名称。 选择资源ID时，还需选择或者手动输入某个具体的资源ID。 选择资源名称时，还需选择或手动输入某个具体的资源名称。 2. 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 3. 事件级别：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 4. 时间范围：可选择查询最近七天内任意时间段的操作事件。 6. 在需要查看的记录左侧，单击展开该记录的详细信息，展开记录如图所示。 7. 在需要查看的记录右侧，单击“查看事件”，弹出一个窗口，如图所示，显示了该操作事件结构的详细信息。

本文主要介绍查看云审计日志。 操作场景 开启了云审计服务后，系统开始记录CCE资源的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 步骤 1 登录管理控制台。 步骤 2 在管理控制台左上角单击图标，选择区域。 步骤 3 单击页面上方的“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务信息页面。 步骤 4 单击左侧导航树的“事件列表”，进入事件列表信息页面。 步骤 5 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。其中，事件来源选择“CCE”。 当筛选类型选择事件名称时，还需选择某个具体的事件名称。 选择资源ID时，还需选择或者手动输入某个具体的资源ID。 选择资源名称时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 时间范围：可选择查询最近七天内任意时间段的操作事件。 步骤 6 在需要查看的记录左侧，单击展开该记录的详细信息，展开记录如下图所示。 图 展开记录 步骤 7 在需要查看的记录右侧，单击“查看事件”，将会弹出一个窗口显示该操作事件结构的详细信息。 图查看事件

本节介绍如何在云审计服务管理控制台查看最近7天的操作记录。 开启了云审计服务后，系统开始记录DCS资源的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 在管理控制台左上角单击，选择区域和项目。 说明 此处请选择与您的应用服务相同的区域。 3. 单击页面上方的“服务列表”，选择“管理与部署 > 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： 事件来源、资源类型和筛选类型。 在下拉框中选择查询条件。其中，事件来源选择“DCS”。 其中筛选类型选择事件名称时，还需选择某个具体的事件名称。 选择资源ID时，还需选择或者手动输入某个具体的资源ID。 选择资源名称时，还需选择或手动输入某个具体的资源名称。 操作用户：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 事件级别：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 起始时间、结束时间：可通过选择时间段查询操作事件。 5. 在需要查看的记录左侧，单击展开该记录的详细信息 6. 在需要查看的记录右侧，单击“查看事件”，弹出一个窗口，如下图所示，显示了该操作事件结构的详细信息。 查看事件

本文介绍如何开启SQL Server的审计日志。 功能说明 使用审计功能，可以对服务器级别和数据库级别事件组以及各个事件进行审核。表1介绍了服务器级审核操作组，并提供了适用的等效SQL Server事件类。 表1 审计操作组 操作组名称 描述 APPLICATIONROLECHANGEPASSWORDGROUP 更改应用程序角色的密码引发事件。 DATABASECHANGEGROUP 创建、更改、删除数据库。 DATABASEOBJECTCHANGEGROUP 针对数据库对象（如架构）执行create/alter/drop语句时将引发此事件。 DATABASEOBJECTOWNERSHIPCHANGEGROUP 在数据库范围内更改对象所有者时，将触发此事件。 DATABASEOBJECTPERMISSIONCHANGEGROUP 针对数据库对象（例如，程序集和架构）发出GRANT、REVOKE或DENY语句时将引发此事件。 DATABASEOWNERSHIPCHANGEGROUP 使用alter authorization语句更改数据库的所有者时，引发此事件。 DATABASEPERMISSIONCHANGEGROUP sqlserver中任何主体针对某语句权限发出的GRANT、REVOKE或DENY语句时均引发此事件（仅适用于数据库事件，例如授予对某数据库的权限） DATABASEPRINCIPALCHANGEGROUP 在数据库中创建、更改或删除主体（如用户）时，将引发此事件。 DATABASEROLEMEMBERCHANGEGROUP 向数据库角色添加登录名或从中删除登录名时将引发此事件。 FAILEDLOGINGROUP 指示主体尝试登录到SQL Server，但是失败。此类中的事件有新连接引发或由连接池中重用的连接引发。 LOGINCHANGEPASSWORDGROUP 通过alter login语句或sppassword 存储过程更改登录密码时，将引发此事件。 SCHEMAOBJECTCHANGEGROUP 针对架构执行create、alter或drop 操作时引发此事件。 SCHEMAOBJECTOWNERSHIPCHANGEGROUP 检查更改架构对象（例如表、过程或函数）的所有者的权限时，会引发此事件。 SCHEMAOBJECTPERMISSIONCHANGEGROUP 对架构对象执行grant、deny或revoke语句时将引发此事件。 SERVEROBJECTCHANGEGROUP 针对服务器对象执行create、alter、drop操作时引发此事件。 SERVEROBJECTOWNERSHIPCHANGEGROUP 服务器范围中的对象的所有者发生更改时将引发此事件。 SERVEROBJECTPERMISSIONCHANGEGROUP sqlserver中的任何主体针对某服务器对象权限发出grant、revoke、deny语句时，将引发此事件。 SERVERPERMISSIONCHANGEGROUP 为获取服务器范围内的权限而发出grant、revoke、deny语句时，将引发此事件。 SERVERPRINCIPALCHANGEGROUP 创建、更改、删除服务器主体时将引发此事件。 SERVERROLEMEMBERCHANGEGROUP 向固定服务器角色添加登录名或从中删除登录名时将引发此事件。 SERVERSTATECHANGEGROUP 修改SQL Server服务状态时将引发此事件。 USERCHANGEPASSWORDGROUP 每当使用alter user语句更改包含数据库用户的密码时，都将引发此事件。（SQL Server 2008版本不涉及）

本小节介绍如何新增事件过滤规则。 事件过滤规则是对采集到的日志进行过滤，将不需要审计的日志条件填入规则，不再审计过滤的日志。可对事件过滤规则进行新增、查看、编辑、删除操作。 新增事件过滤规则 1. 登录日志审计（原生版）控制台。 2. 在左侧导航栏选择“风险分析 > 事件策略 > 事件过滤规则”。 3. 单击“新增规则”，弹出新增规则窗口。 4. 配置过滤规则，填写完成后单击“提交”。 参数 参数说明 取值样例 规则名称 自定义过滤规则名称。 Test 相关采集器 选择日志采集器，目前仅可选择“logp” logp 过滤规则 根据业务实际情况填写过滤规则。 目标端口等于8080 相关操作 规则配置完成后，在规则列表，支持查询规则、查看规则详情、编辑规则、删除规则。 查询规则：在查询栏中，填写需要查询的条件，点击搜索图标，列表展示过滤后的规则。 查看规则详情：单击规则列表操作列的“查看”按钮，查看事件过滤规则详情。 修改规则：单击规则列表操作列的“修改”按钮，弹出修改界面，修改事件过滤规则。 删除规则：单击规则列表操作列的“更多 > 删除”按钮，在弹出的提示框中，单击“确定”。

为什么查看事件窗口中，有些事件的IP、code、request、response和message字段为空？ IP、code、request、response和message字段并非云审计服务规定的必备字段： IP：当trace type为SystemAction时，表示本次操作由服务内部触发，此时缺失IP字段为正常情况。 request/response/code：这三个字段是表示本次操作所对应的请求内容、请求结果及HTTP返回码，在有些情况下，这些字段本身为空，或不具备业务意义，产生该事件的云服务会根据实际情况选择某字段留空。 message：该字段为预留字段，若其他云服务基于业务需要，需要增加额外信息时，可附加在该字段内，缺失为正常情况。 为什么事件列表中有些事件的为超链接可以跳转，有些为非超链接？ 目前CTS仅支持部分ECS、EVS、VBS、IMS、AS、CES和VPC的操作通过跳转到对应云资源的详情页面，该功能正在逐步完善。 为什么事件列表中的某些操作被记录了两次？ 对于异步调用事件，会产生两条事件记录，其事件名称、资源类型、资源名称等字段相同。在事件列表中，看起来是重复记录了操作（例如，Workspace的deleteDesktop事件），但实际上，这两条事件是相互关联、但内容不同的两条记录，典型的异步调用场景时间如下： 第一条事件：记录用户发起的请求； 第二条事件：记录用户请求的操作结果，通常与第一条时间记录有数分钟的延迟，记录用户请求的实际响应结果。 两条事件需要结合在一起，才能反映用户本次操作的真实结果。 为什么在事件列表中按照操作用户进行筛选时，存在useraccount/opservice用户？ 当用户发起的某些请求涉及后台一些高权限要求的操作或涉及调用其他服务时，可能存在用户自身的权限不足的问题，因此在确保符合安全要求的前提下，会临时对该请求中的用户身份进行提权，请求完成后提权结束，但会将提权行为记录到该请求发送到CTS的日志当中，此时的操作用户将记录为useraccount/opservice。

本文为您介绍云审计服务涉及的相关概念。 事件 事件是用户通过天翼云控制台、OpenAPI对云上服务进行操作所产生的记录。事件包含事件来源、操作人员、资源信息、操作时间、操作请求、操作结果等。 跟踪 跟踪是云审计的一种配置，可用于将云审计事件投递至对象存储桶实现180天以上存储。支持用户选择投递事件类型范围、投递目标等。

说明 运维安全中心（云堡垒机）仅支持二类节点部署的云审计服务。 开启了云审计服务后，系统开始记录运维安全中心（云堡垒机）实例的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 单击管理控制台左上角的，选择区域。 3. 在页面左上角单击，选择“管理与部署> 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 5. 事件列表支持通过筛选来查询对应的操作事件。当前事件列表支持四个维度的组合查询，详细信息如下： “事件来源”、“资源类型”和“筛选类型”。 在下拉框中选择查询条件，例如：依次选择“CBH”>“cbh”>“按事件名称”>“createInstance”，单击“查询”，查询所有创建CBH实例的操作。 事件名称：选择具体的事件名称，例如createInstance。 资源ID：选择或者手动输入需要查看审计日志的CBH实例ID。 资源名称：选择或手动输入需要查看审计日志的CBH实例名称。 “操作用户”：在下拉框中选择某一具体的操作用户，此操作用户指用户级别，而非租户级别。 “事件级别”：可选项为“所有事件级别”、“normal”、“warning”、“incident”，只可选择其中一项。 “起始时间”、“结束时间”：可通过选择时间段查询操作事件。 6. 在需要查看的记录左侧，单击展开该记录的详细信息。 7. 在需要查看的记录右侧，单击“查看事件”，查看该操作事件结构的详细信息。

事件名称 事件ID 事件级别 删除桶 deleteBucket 重要 删除桶policy配置 deleteBucketPolicy 重要 设置桶的ACL setBucketAcl 次要 设置桶的策略 setBucketPolicy 次要

参数名 说明 录制回调 当有录像文件生成时，会向服务器发送事件状态。 设备状态回调 当设备状态发生改变时，会向服务器发送事件状态。 流状态回调 当流状态发生改变时，会向服务器发送事件状态。 AI事件通知回调 当有AI事件发生时，会向服务器发送事件状态。

本页面主要介绍天翼云数据传输服务DTS对接的云审计服务使用和查看方法。 操作场景 数据传输服务DTS现已对接天翼云云审计服务，云审计服务提供对各种云资源操作的记录和查询功能，用于支撑合规审计、安全分析、操作追踪和问题定位等场景，同时提供事件跟踪功能，将操作日志转储至对象存储实现永久保存。 云审计可提供的功能服务具体如下： 记录审计日志：支持用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 使用限制 云审计服务本身免费，包括时间记录以及7天内的存储和检索。 用户通过云审计能查询到多久前的操作事件：7天。 用户操作后多久可以通过云审计查询到数据：5分钟。 其它限制请参考使用限制云审计。 关键操作列表 操作事件 字段 创建实例 dtsCreateInstance 删除实例 dtsDeleteInstance 任务启动 dtsStartJob 任务暂停 dtsStopJob 操作步骤 1. 开通云审计服务。 参见开通云审计服务云审计。 2. 查看云审计事件。 参见查看审计事件云审计。 3. 在事件列表页，根据需要选择时间段、设置筛选条件，如：读写类型、事件级别、操作用户、事件来源、资源类型、资源名称、事件名称等。点击查询即可。 4. 在审计事件查询结果列表右侧操作列点击详情，可以看到更详细的事件信息。 更多云审计相关使用说明和常见问题请参考用户指南、常见问题。

当您需通过事件源如对象存储ZOS触发函数执行时，可授予该事件源触发函数的权限，该权限是触发器级别的，每个触发器的委托均可以被授予相应权限，该委托也可以同时被授予不同触发器。本文以授予ZOS访问函数计算的权限为例，介绍授予事件源访问函数计算权限的应用场景和操作步骤。 应用场景 以ZOS事件源触发函数计算代码执行为例，当存在一个ZOS Bucket A和函数B，需要将此Bucket A的上传文件事件触发函数计算的函数B时，您需要创建一个ZOS触发器并授予相应权限策略。访问控制提供系统授权策略CtyunServicelnlineDelegationPolicyForEb，该策略具有S3事件源触发函数计算代码执行的权限。在创建触发器时，您可以为触发器绑定一个委托，既可以新建一个新委托也可以使用已有委托。然后将策略CtyunServicelnlineDelegationPolicyForEb绑定到该委托内，成功绑定该策略后ZOS事件源就可以触发函数计算代码执行。 操作步骤 1. 登录函数计算控制台，在左侧导航栏，单击函数。 2. 在顶部菜单栏，选择地域，然后在函数页面，单击目标函数。 3. 在函数配置页面，选择配置 页签，在左侧导航栏，单击触发器 ，然后单击创建触发器。 4. 在创建触发器面板，填写相关信息，然后单击确定。 说明 其他类型的触发器的权限配置过程基本一致，按需选择相应的服务类型即可。 配置项 操作 本文示例 触发器类型 选择对象存储 ZOS。 对象存储ZOS 名称 填写自定义的触发器名称。 zostrigger 版本或别名 默认值为LATEST ，如果您需要创建其他版本或别名的触发器，需先在函数详情页的版本或别名 下拉列表选择该版本。关于版本和别名的简介，请参见版本管理和别名管理。 LATEST Bucket 名称 选择已创建的ZOS Bucket。 testbucket 文件前缀 输入要匹配的文件名称的前缀。建议您配置文件前缀和后缀，避免触发事件嵌套循环触发引起额外费用。此外，一个Bucket的不同触发器如果指定了相同的事件类型，则前缀和后缀不能重复。 myfolder 文件后缀 输入要匹配的文件名称的后缀。强烈建议您配置前缀和后缀，避免触发事件嵌套循环触发引起额外费用。另外，一个Bucket的不同触发器如果指定了相同的事件类型，则前缀和后缀不能重复。 zip 触发事件 选择一个或多个触发事件。关于对象存储ZOS的事件类型。本示例选择zos:ObjectCreated:Put。 zos:ObjectCreated:Put 委托名称 选择CtyunServiceDelegateRoleForEb。如果您第一次创建该类型的触发器，则需要在单击确定后，在弹出的对话框中选择立即授权。 CtyunServiceDelegateRoleForEb

枚举值 类型 说明 connected String 成功连接事件 disconnected String 连接断开事件 authenticate String 客户端认证事件 subscribe String 客户端订阅事件 unsubscribe String 客户端取消订阅事件

本章节介绍如何配置追踪器。 操作场景 云审计服务管理控制台支持对已创建的数据类追踪器增加OBS转储、LTS转储等相关配置。 用户可以选择是否将已记录的事件发送到OBS桶永久保存。 配置追踪器完成后，系统立即以新的规则开始记录操作。 本节介绍如何配置数据类事件追踪器。 前提条件 已开通云审计服务，且已创建一个数据类事件追踪器。 配置数据类事件追踪器 1. 登录管理控制台。 2. 在管理控制台右上角单击图标，选择区域和项目。 3. 单击左上角，选择“管理与部署 > 云审计服务 CTS”，进入云审计服务详情页面。 4. 单击左侧导航树的“追踪器”，进入追踪器信息页面。 5. 在数据类追踪器信息右侧，单击操作下的“配置”。 6. 在选择追踪对象页面，设置相关参数，参数详情见表 选择转储事件参数表，单击“下一步”。 7. 在配置转储页面可以修改该追踪器的转储信息。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务（OBS）或配置转储到云日志服务（LTS）。具体参数说明参见表 配置转储到OBS参数列表和表 配置转储到LTS参数列表。 8. 单击“下一步 > 配置”，完成配置数据类事件追踪器。 追踪器配置成功后，您可以在追踪器信息页面查看配置的追踪器的详细信息。 说明 因为CTS所存储的事件是周期性转储到OBS桶的，因此当您配置了追踪器所对应的OBS桶后，当前转储周期内（通常为数分钟）已收到事件会转储到配置后的OBS桶中。例如当前转储周期为12:00~12:05，用户在12:02分修改了当前追踪器对应的OBS桶，那么12:00~12:02分之间收到的事件会在12:05分时转储到新配置的OBS桶中。 9. （可选）在追踪器页面，单击标签列下的，可以为该追踪器添加标签。 标签以键值对的形式表示，用于标识追踪器，便于对追踪器进行分类和搜索。此处的标签仅用于追踪器的过滤和管理。一个追踪器最多添加20个标签。 如果您的组织已经设定云审计服务的相关标签策略，则需按照标签策略规则为追踪器添加标签。详情参考表 标签说明。 表 选择转储事件参数表 参数名称 参数说明 数据事件来源 数据事件的存储容器，默认为OBS桶。 OBS桶名称 默认为您创建数据类追踪器时设置的OBS桶名称，不可以修改。 事件操作类型 数据操作类型分为“读操作”和“写操作”，读操作指的是从OBS桶中获取或下载对象数据，写操作指的是向OBS桶中上传或写入对象数据。 勾选“读操作”后，CTS只会记录读操作类型的数据事件。 勾选“写操作”后，CTS只会记录写操作类型的数据事件。 您可以在OBS服务的页面的“表2 云审计服务支持的OBS数据事件操作列表”中，查看当前支持云审计的全部OBS操作数据事件，以及查看具体有哪些读操作类型事件和写操作类型事件。 表 配置转储到OBS参数列表 参数名称 参数说明 转储到OBS 当“转储到OBS”开关打开时，您可以选择已存在的OBS桶，并配置事件文件前缀。 如果“转储到OBS”开关关闭时，则无需配置相应参数。 选择OBS 选择已有OBS桶：选择当前区域已创建的OBS桶。 OBS桶名称 当“选择OBS”选择“新建OBS桶”时，直接新建OBS桶名称。OBS桶名称不能为空，仅支持小写字母、数字、“”和“.”，且长度范围为363个字符。禁止两个“.”相邻（如“my..bucket”），禁止“.”和“”相邻（如“my.bucket”和“my.bucket”），禁止使用ip为桶名称。 当“选择OBS”选择“选择已有OBS桶”时，可以选择已存在的OBS桶。 保存周期 转储至OBS桶中日志的保存周期。该配置会修改被选择桶的桶策略，影响范围为桶内的所有文件。不同类型、不同级别的合规认证标准对审计日志的保存时间有不同的要求，建议设置保存周期不低于180天。 数据类事件追踪器：保存周期支持设置为30天、60天、90天、180天、三年和沿用OBS配置。 事件文件名前缀 用于标识被转储的事件文件，该字段支持用户自定义，会自动添加在转储事件文件的文件名前端，方便用户快速进行筛选。事件文件名前缀只能由英文字母、数字、下划线（）、中划线（）和小数点（.）组成，且长度范围为064个字符。 表 配置转储到LTS参数列表 参数名称 参数说明 转储到LTS 当“转储到LTS”开关打开时，表示操作事件将转储到日志流中。 日志组名称 当“转储到LTS”开关打开时，日志组名称默认为“CTS”。如果“转储到LTS”开关关闭时，则无需配置该参数。 表 标签说明 参数 说明 举例 标签键 输入标签的键，同一个追踪器标签的键不能重复。键可以自定义，也可以选择预先在标签服务（TMS）创建好的标签的键。 键命名规则如下： 长度范围为1到128个字符。 可以包含任意语种字母、数字、空格和.:+@，但首尾不能含有空格，不能以sys开头。 Key0001 标签值 输入标签的值，标签的值可以重复，并且可以为空。 标签值的命名规则如下： 长度范围为0到255个字符。 可以包含任意语种字母、数字、空格和.:/+@。 Value0001

扣分项 含义 扣分子项 条件 分数计算规则 内存使用率（memUsage） 一天的平均内存使用率。 严重事件 memUsage>90% min[3 + (memUsage0.9)50, 10] 内存使用率（memUsage） 一天的平均内存使用率。 警告事件 80%<memUsage<90% 1+(memUsage0.8)20 CPU使用率（cpuUsage） 一天的CPU平均使用率。 说明 多核CPU需要换算为单核进行计算。 严重事件 cpuUsage>80% min[3+(cpuUsage0.8)30,10] CPU使用率（cpuUsage） 一天的CPU平均使用率。 说明 多核CPU需要换算为单核进行计算。 警告事件 70%<cpuUsage<80% 1+(cpuUsage0.7)20 空间使用率（spaceUsage） （已使用空间的平均值/总空间）100%。 严重事件 spaceUsage > 90% min[3+(spaceUsage0.9)40,10] 空间使用率（spaceUsage） （已使用空间的平均值/总空间）100%。 警告事件 70%<spaceUsage<90% 1+(spaceUsage0.7)20 连接使用率（connectionRate） 一天内连接数的平均值/最大允许的连接数。 严重事件 connectionRate>80% 3 连接使用率（connectionRate） 一天内连接数的平均值/最大允许的连接数。 警告事件 70%<connectionRate<80% 1 IOPS使用率（iopsUsage） （一天内IOPS的平均值/最大允许IOPS值）100%。 严重事件 iopsUsage>90% 5 IOPS使用率（iopsUsage） （一天内IOPS的平均值/最大允许IOPS值）100%。 警告事件 70%<iopsUsage<90% 3 活跃会话（threadRunning） 一天内产生的活跃会话的个数。 严重事件 threadRunning>min(4cpuCores+8,96) 9 活跃会话（threadRunning） 一天内产生的活跃会话的个数。 警告事件 threadRunning>min(2cpuCores+8,64) 3 慢SQL数量（slowSqlCount） 一天内产生的慢SQL的总条数。 严重事件 slowSqlCount>500 18+(slowSqlCount10)/30 慢SQL数量（slowSqlCount） 一天内产生的慢SQL的总条数。 警告事件 100<slowSqlCount<500 4+(slowSqlCount100)/30 慢SQL数量（slowSqlCount） 一天内产生的慢SQL的总条数。 优化事件 0

本节介绍云审计服务支持审计的自身服务操作列表,以及如何查看云审计自身服务操作事件。 云审计服务支持记录云审计自身服务相关的操作事件，便于日后的查询、审计和回溯。 云审计服务支持的自身服务操作列表 事件名称 读写类型 开通云审计 写类型 新建跟踪任务 写类型 修改跟踪任务 写类型 删除跟踪任务 写类型 保存授权凭据 写类型 查询事件列表 读类型 查询筛选事件的条件列表 读类型 查询跟踪任务列表 读类型 查询跟踪任务详情 读类型 查看云审计自身服务事件 1. 开通云审计服务。 参见开通云审计服务。 2. 在事件列表中，上方时间选择需要筛选的时间段，筛选条件选择事件来源为“管理与部署”，资源类型选择“云审计”，点击“查询”即可。 3. 在审计事件右侧点击“查看详情”，可以看到更详细的事件信息。

本文介绍如何查看日志，包括攻击事件日志、访问控制日志、流量日志。 日志查询为您提供7天的日志记录。 攻击事件日志：查看检测到的危险流量的危险等级、受影响的端口、命中的规则、攻击事件类型等信息。 访问控制日志：查看根据访问控制策略放行或阻断的所有流量，以便更好的调整访问控制策略。 流量日志：查看通过的所有流量记录。 日志支持筛选、刷新、导出、显示/隐藏列的方式，助您使用。 前提条件 开启弹性公网IP防护。 配置入侵防御策略。 攻击事件日志 1. 登录天翼云控制中心。 2. 在左侧导航树中，单击左上方的“服务列表”，选择“安全 > 云防火墙”，进入云防火墙的概览页面。 3. 在左侧导航树中，选择“日志审计”，进入“攻击事件日志”页面。 4. 查看近一周的攻击事件详情。 参数 说明 发生时间 攻击事件发生的时间。 攻击类型 攻击事件所属类型，主要包括：IMAP、DNS、FTP、HTTP、POP3、TCP、UDP等。 危险等级 危险等级包括：严重、高、中、低。 规则ID 对应规则的ID号。 规则名称 规则库中相对应的命中规则名称。 源IP 攻击事件的来源IP。 源IP为WAF回源IP时，“源IP”会展示WAF回源IP和RealIP，其中RealIP展示XForwardedFor对应的第一个IP，即客户端的真实IP。 标签 IP类型标识。 其它标签：非WAF回源IP，无需特别处理。 WAF回源IP：“源IP”是WAF回源IP，如果本条记录的“响应动作”是阻断、阻断IP、丢弃，需手动设置放行。 操作方式：根据“规则ID”在IPS规则库中，在该规则的“操作”列，选择“观察”。 源国家/地区 攻击事件源IP所属的地理位置。 源端口 攻击事件的源端口。 目的IP 攻击事件中受到攻击的IP地址。 目的国家/地区 攻击事件目的IP所属的地理位置。 目的端口 攻击事件的目的端口。 协议 攻击事件的协议类型。 应用 攻击事件的应用类型。 方向 包括两个方向：出方向、入方向。 响应动作 防火墙的动作。 放行 阻断 阻断IP 丢弃 操作 操作：查看攻击事件的“基本信息”和“攻击payload”。

本文介绍函数运行时的addEventListener定义与用法。 此函数定义执行用户函数脚本的触发器。addEventListener仅支持注册一个事件监听器。当前仅支持fetch请求事件，通过注册fetch事件监听器，生成HTTP请求事件FetchEvent，进而实现对HTTP请求的处理。 定义 javascript addEventListener(type: string, listener: (event: FetchEvent) > void): void; 说明 如果注册多个"fetch"类型的监听器，当一个监听器未调用时event.respondWith()，运行时会将事件传递给下一个已注册的监听器。 如果对某个事件进行多次调用会形成调用链条。当某个回调函数调用respondWith函数时，调用链条会被终止，后面注册的回调函数不会再被调用。 参数 type string 事件类型，当前仅支持"fetch"，后续会支持"scheduled"。 listener function 事件监听器。用于处理事件回调。 示例 javascript // 注册请求事件监听器 addEventListener("fetch", event > { // 响应客户端请求 return event.respondWith( new Response("Hello world") ) }) 相关参考 示例代码：返回HTML页面 示例代码：返回JSON内容

流程执行简介 概述 工作流执行是指对流程的一次具体运行。创建流程后，您可以多次执行同一个流程，每次执行可根据实际需求传入不同的输入参数。 执行属性 下文列出了执行的属性，除了 执行名称 和 执行输入 是开始执行输入外，其他是执行的输出信息。 执行名称(executionName): 执行的名称。可以为空。 工作流执行时定义 (executionWorkflowDsl): 执行时对应工作流定义的快照,工作流定义详情见工作流定义。 执行输入(input): 执行的输入,不可为空，必须是JSON对象格式。 执行输出(output): 执行完成后的输出，JSON对象格式。 执行模式(executionMode): 执行模式。包含 快速模式(express)、标准模式(standard)。 执行状态(status): 执行的状态。包含started、completed、faulted、canceled 执行开始时间(startTime): 执行的开始时间。 执行结束时间(endTime): 执行的结束时间。 执行事件历史 通常，一个流程包含多个步骤。在执行过程中，每个步骤都会产生相应的事件，这些事件详细记录了步骤的执行状态。通过这些事件，您可以清晰了解流程当前所处的步骤、输入输出、执行时长及失败原因等信息。同时，云工作流服务会利用这些状态数据实时跟踪流程执行，保障系统的高可用性。 您可以通过下述信息了解执行事件（Event）的属性。其中，事件详情（EventDetail）为 JSON 对象格式字符串，不同事件类型（Type）对应的事件详情内容可能有所差异。 事件类型(eventType): 事件类型。包含 started、 submitted、failed、succeeded 。 状态名称(taskName)：步骤名称。对应流程定义语言中的步骤名称。 状态类型(taskType): 步骤类型，如http、cloudflow:executionworkflow、cf:invokeFunction、noop、sleep、switch、parallel、foreach。 事件执行时间(eventTime): 事件发生时间。 执行输入(input): 事件发生时的输入。 执行输出(output): 事件发生时的输出。

事件名称 事件ID 事件级别 禁用密钥 disableKey 重要 计划删除密钥 scheduleKeyDeletion 次要 退役授权 retireGrant 重要 撤销授权 revokeGrant 重要

本节介绍如何查看AntiDDoS云审计日志。 开启了云审计服务后，系统开始记录AntiDDoS资源的操作。云审计服务管理控制台保存最近7天的操作记录。 操作步骤 1. 登录管理控制台。 2. 选择区域。 3. 选择“管理与部署> 云审计服务”，进入云审计服务信息页面。 4. 单击左侧导航树的“事件列表”，进入事件列表信息页面。 5. 在下拉框中选择“云服务”，输入“AntiDDoS”，按“Enter”。 6. 在查询结果中单击事件名称，查看事件详情。 事件列表支持通过高级搜索来查询对应的操作事件，您可以在筛选器组合一个或多个筛选条件： 事件名称、资源名称、资源ID、事件ID：需要输入某个具体的名称或ID。 资源名称：当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。 资源ID：当该资源类型无资源ID或资源创建失败时，该字段为空。 云服务、资源类型：在下拉框中选择对应的云服务名称或资源类型。 操作用户：在下拉框中选择一个或多个具体的操作用户。 事件级别：可选项为“normal”、“warning”、“incident”，只可选择其中一项。 normal：表示操作成功。 warning：表示操作失败。 incident：表示比操作失败更严重的情况，如引起其他故障等。 时间范围：可选择查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近1周内任意时间段的操作事件。

事件名称 事件ID 事件级别 删除VPC deleteVpc 重要 修改VPC modifyVpc 次要 删除Subnet deleteSubnet 次要 修改Subnet modifySubnet 次要 修改带宽 modifyBandwidth 次要 删除VPN deleteVpn 重要 修改VPN modifyVpn 次要

事件 中文名称 im.message.receivev1 用户发送新消息至机器人或群聊后推送事件 im.message.messagereadv1 消息被阅读事件 im.chat.member.bot.addedv1 机器人被添加至群聊时推送事件 im.chat.member.bot.deletedv1 机器人被移出群聊时推送事件

常见问题 端口启用失败怎么办？ 可能原因一：端口被其他服务占用 解决办法：通过“编辑策略”操作，添加其他空闲的端口。 可能原因二：系统资源不足 解决办法：清理部分系统资源后，请通过“编辑策略”操作先去勾选服务器并保存，再通过“编辑策略”操作重新勾选绑定该服务器。 查看并处理蜜罐防护事件 操作场景 动态端口蜜罐功能默认主动连接蜜罐端口的主机都是内网失陷主机，一旦发现可疑的连接行为将会上报告警。 本节介绍如何查看并处理这些防护告警事件。 操作步骤 1、登录管理控制台。 2、在页面右上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、选择“主动防御 > 动态端口蜜罐”，进入“动态端口蜜罐”界面。 4、（可选）如果您已开通企业项目，可在界面上方的“企业项目”下拉列表中选择目标主机所在的企业项目。 5、在操作指引下方，查看防护信息概览。 您可以查看防护策略数量、防护服务器数量、防护事件数量等信息。 如果您有新增主机需要默认开启动态端口蜜罐功能时，可开启“新增主机自动绑定默认策略”，按钮状态为表示开启。 6、选择“防护事件”页签，查看蜜罐防护事件。 参数名称 参数说明 告警名称 告警事件名称。单击告警名称，可查看告警详情。 告警等级 告警威胁等级，蜜罐防护事件分为以下两个等级： 高危：远端主机多次连接蜜罐端口。 中危：远端主机连接了蜜罐端口。 告警摘要 告警事件关键信息摘要，您可以根据这些信息了解可能失陷的主机和该主机与蜜罐端口建立的连接行为。 影响资产 失陷主机连接的动态端口蜜罐服务器。 告警发生时间 告警发生的时间。 状态 告警处理状态，分为“已处理”和“待处理”。 操作 您可以对告警事件进行“处置”操作。 7、确认告警信息后，在“状态”为“待处理”的防护事件所在行的“操作”列，单击“处置”，弹出“处理告警事件”对话框。 如果您需要批量处理多个告警事件，可在告警事件列表左上角，单击“批量处理”。 8、选择处理措施。 参数名称 参数说明 处理方式 忽略：忽略本次防护告警事件，当下一次威胁事件发生时仍为您告警。 手动处理：您自行手动对失陷主机进行隔离端口等处理。 加入告警白名单：触发告警事件的主机是您信任的主机，将该告警事件加入到告警白名单中，后续类似威胁事件发生时不再告警。 批量处理 如果您需要同时处理相同告警事件，可以勾选。 备注描述（可选） 为了方便后续易辨别本次处理操作的情况，可作补充描述。 9、单击“确认”，完成处理。

本文介绍函数运行时的addEventListener定义与用法。 此函数定义了执行用户函数脚本的触发器。addEventListener仅支持注册一个事件监听器。当前仅支持fetch请求事件，通过注册fetch事件监听器，生成HTTP请求事件FetchEvent，进而实现对HTTP请求的处理。 定义 javascript addEventListener(type: string, listener: (event: FetchEvent) > void): void; 说明 如果注册了多个"fetch"类型的监听器，当一个监听器未调用时event.respondWith()，运行时会将事件传递给下一个已注册的监听器。 如果对某个事件进行多次调用会形成调用链条。当某个回调函数调用了respondWith函数时，调用链条会被终止，后面注册的回调函数不会再被调用。 参数 type string 事件类型，当前仅支持"fetch"，后续会支持"scheduled"。 listener function 事件监听器。用于处理事件回调。 示例 javascript // 注册请求事件监听器 addEventListener("fetch", event > { // 响应客户端请求 return event.respondWith( new Response("Hello world") ) }) 相关参考 示例代码：返回HTML页面 示例代码：返回JSON内容

告警和事件关系说明 本部分介绍告警和事件的含义、区别，告警转事件的原因和告警关联事件的原因。 告警和事件的含义与区别 类别 告警 事件 定义 告警是运维中的一种异常信号的通知，通常是由监控系统或安全设备在检测到系统或网络中的异常情况时自动生成的。例如，当服务器的CPU使用率超过90%时，系统可能会发出告警。这些异常情况可能包括系统故障、安全威胁或性能瓶颈等。 告警通常有明确的指示性，能够明确指出异常发生的位置、类型和影响。同时，告警可以按照严重程度来进行分类，如紧急、重要、一般等，以便运维人员根据告警的严重程度来决定哪些需要优先处理。 告警的目的是及时通知相关人员，以便能够迅速响应并采取措施解决问题。 事件是一个更广泛的概念，可以包括告警，但不限于此。事件可以是系统正常操作的一部分，也可以是异常或错误。在运维和安全领域，事件通常指的是已经发生并需要被关注、调查和处理的问题或故障。事件可能由一条或多条告警触发，也可能由其他因素（如用户操作、系统日志等）引发。 事件的目的更广泛，可以是为了记录、分析、报告或审计，通常用于记录和报告系统的历史行为，以便于分析和审计。 处理流程 告警的处理流程通常包括接收、确认、分析、响应和关闭等步骤。当监控系统发出告警时，运维人员首先需要确认告警的真实性，然后分析告警的原因和影响范围，最后采取相应的措施来解决问题，并关闭告警。 事件的处理流程则更加复杂和全面。除了包含告警处理流程中的各个环节外，事件处理还需要进行事件调查、影响评估、风险分析、制定应急计划、执行应急响应、事后总结等步骤。事件处理的目标是彻底解决问题，防止类似事件再次发生，并减少事件对业务的影响。 重要性与紧急程度 告警一般需要立即评估和响应。 每条告警的紧急程度和重要性各不相同，取决于告警的类型、级别和影响的范围。一些告警可能只是简单的提醒或预警，而另一些告警则可能表示系统已经遭受严重攻击或面临重大故障风险。 事件可能需要记录、分析或在某些情况下采取行动，但不一定需要立即响应。 事件通常比告警具有更高的重要性和紧急程度。因为事件已经发生并产生了实际的影响，需要立即采取措施来应对和解决问题。如果事件得不到及时处理，可能会给组织带来重大的经济损失或声誉损害。 告警转事件或关联事件的原因 告警通常是在系统或服务出现异常或潜在故障时产生的通知。这些异常可能会直接影响业务的正常运行，因此告警需要被及时处理，以防止业务异常。告警通常需要采取相应的措施来清除故障，否则可能会因为这些异常或故障引起业务的异常。 事件则是在系统或服务在正常运行状态下产生的通知，它可能涉及到一些重要的状态变化，但不一定会引起业务异常。因此，事件一般不需要进行处理，主要用于帮助分析、定位问题。 类别 说明 告警转事件原因 当告警的严重性达到一定程度，或者持续出现，或者其影响范围广泛时，它可能不再仅仅是一个需要关注的信号，也可能表明系统或网络中存在一个持续性的问题，此时，它已经演变成了一个需要立即处理的事件，这种情况下，可以将告警转化为事件来处理，以便深入调查问题的根源，并采取相应的措施来彻底解决。通常告警转事件的原因有以下几个方面： 信息聚合与分类 告警通常是对某个特定条件或阈值被违反的即时响应。随着时间的推移，大量的告警可能会被触发，如果直接处理这些独立的告警，可能会变得非常混乱和低效。将这些告警聚合成事件，可以帮助相关人员根据告警的类型、来源、影响等维度进行分类，从而更有效地处理它们。 简化工作流程 告警到事件的转换过程，通常伴随着对告警的过滤、去重、聚合等处理。这些处理使得原本可能触发多个相似告警的情况，被整合为一个更具代表性的事件。这样不仅减少了处理单个告警的工作量，也使得处理过程更加条理清晰，便于跟踪和记录。 提升问题解决效率 将告警转换为事件后，由于事件通常提供了比单个告警更全面的上下文信息，因此相关人员可以更容易地识别出问题的根本原因，有助于更快地定位问题，并采取有效的解决措施。 便于历史回顾与趋势分析 事件记录了问题的发生、发展、解决的全过程，这为后续的问题预防、系统优化等提供了宝贵的历史数据。通过对事件进行趋势分析，可以发现系统中潜在的薄弱环节，提前采取措施进行改进。 增强跨部门协作 在大型组织中，不同的部门可能需要共同参与问题的处理。将告警转换为事件后，可以更容易地在不同部门之间共享相关信息，促进跨部门协作，提高问题解决的效率。 总而言之，将告警转换为事件助于简化工作流程、提升问题解决效率、便于历史回顾与趋势分析。 告警关联事件原因 告警关联事件是监控和故障管理中的一个重要环节，它涉及到将多个独立但可能相互关联的事件或告警组合起来，以便更好地理解问题的根源和范围，从而更有效地进行故障排查和响应。通常告警关联事件的原因有以下几个方面： 依赖关系 在复杂的系统中，各个组件之间往往存在复杂的依赖关系。当一个组件出现故障时，可能会影响依赖它的其他组件的正常工作，进而引发一系列告警。例如，在微服务架构中，一个服务的崩溃可能导致调用该服务的其他服务也出现问题。 资源共享 当多个系统或服务共享同一资源（如服务器、数据库、网络设备等）时，该资源的问题可能导致多个系统或服务同时发出告警。例如，共享数据库服务器的性能下降可能会触发多个依赖该数据库的应用程序的性能告警。 连锁反应 某些情况下，一个初始的故障可能触发一系列连锁反应，导致更多的组件或系统受到影响。这种连锁反应可能由于系统设计不当、错误处理机制不完善或资源限制（如内存泄漏导致的性能下降）等原因引起。 配置错误 配置错误或不一致的配置可能导致系统行为异常，进而触发多个看似不相关的告警。例如，错误的路由配置可能导致流量被错误地路由到不稳定的服务器，从而引发多个与性能相关的告警。 软件缺陷 软件中的缺陷（如bug）可能导致程序在特定条件下表现异常，并触发告警。如果这些缺陷影响了多个组件或系统，则可能引发多个关联告警。 外部因素 外部因素如自然灾害（如地震、洪水）、网络攻击、基础设施故障（如电力中断、网络中断）等也可能导致多个系统或组件同时出现问题，并触发大量告警。