开通天翼云网站安全监测服务，须注册天翼云账户并确保已实名认证。 1、天翼云账号注册指导文档： 2、实名认证说明文档： 也可参考开通步骤如下： 【步骤1】注册并登录天翼云官网； 天翼云官网登录页面 【步骤2】未实名认证的用户需完成实名认证才能开通网站安全监测服务； 【步骤3】实名认证后进入网站安全监测产品详情页快速了解产品，之后单击“立即开通”； 产品详情页面 【步骤4】在购买页面选择适合的版本和所需功能，勾选并阅读服务协议，确认无误后点击“立即开通”，网站安全监测服务即开通； 产品开通页 【步骤5】网站安全监测服务开通后，便可以根据操作手册去控制台开始接入您要监测的域名（天翼云网站安全监测控制台

OOS与自建服务器存储有如下区别： 弹性扩展：OOS按使用量计费，用户无需考虑由于业务需求的增长而扩充初期投资成本。 降低成本：使用OOS，您可以根据业务需求确定资源投入，避免投资和运营成本（电费、维护成本等）浪费。 安全可靠：云存储通过以下几种方式来保证数据安全： 通过数据自动切片、分布保存、每片签名等技术，保障数据存储的安全。 通过SSL加密技术和MD5校验技术，保障数据传输的安全。 通过用户鉴权、ACL访问控制等方式，保障数据使用的安全。 通过724的专业运维团队、原厂的金牌服务，保障数据运维的安全。 自建存储需要开发者自己从技术角度去实现安全防护，比如防火墙配置、加密技术等，对开发者要求较高，而且容易出现安全漏洞。而 OOS有专业的技术安全团队进行安全防护，同时运维团队724小时的安全监控也能及时得弥补安全漏洞。

步骤二：添加数据库并开启审计 购买数据库安全审计后，您需要先将目标数据库添加至数据库安全审计实例并开启该数据库的审计功能。 1. 登录管理控制台。 2. 在页面上方选择“区域”后，单击页面左上方的，选择“安全与合规 > 数据库安全服务”，进入数据库安全审计“总览”界面。 3. 在左侧导航树中，选择“数据库列表”，进入数据库列表界面。 4. 在“选择实例”下拉列表框中，选择需要添加数据库的实例，并单击“添加数据库”。 5. 在弹出的对话框中，如图所示。 6. 单击“确定”，该数据库添加到数据库列表中，且“审计状态”为“已关闭”。 7. 在该数据库所在行的“操作”列，单击“开启”，开启审计功能。 步骤三：添加Agent 1. 在数据库所在行的“Agent”列，单击“添加Agent”，如图所示。 2. 在弹出的对话框中，选择添加方式。在数据库端添加Agent 3. 单击“确定”，Agent添加成功。 步骤四：添加安全组规则 Agent添加完成后，您需要为数据库安全审计实例所在的安全组添加入方向规则TCP协议（8000端口）和UDP协议（70007100端口），使Agent与审计实例之间的网络连通，数据库安全审计才能对添加的数据库进行审计。 如果该安全组已配置安装节点的入方向规则，请执行步骤五：安装Agent。 如果该安全组未配置安装节点的入方向规则，请按照本节内容进行配置。 注意 安全组规则也可以在成功安装Agent后进行添加。 1. 在数据库列表的上方，单击“添加安全组规则”。 2. 在弹出的弹框中，记录数据库安全审计实例的“安全组名称”（例如default），如图所示。 3. 单击“前往处理”，进入“安全组”界面。 4. 在列表右上方的搜索框中输入安全组“default”后，单击或按“Enter”，列表显示“default”安全组信息。 5. 单击“default”，进入“基本信息”页面。 6. 选择“入方向规则”页签，单击“添加规则”，如图所示。 7. 在“添加入方向规则”对话框中，为安装节点IP添加TCP协议（端口为8000）和UDP协议（端口为70007100）规则，如图所示。 8. 单击“确定”，完成添加入方向规则。

态势感知（专业版）支持对云上资产全面自动盘点，也可灵活纳管云外各种资产，点清所有资产，并呈现资产实时安全状态。 在资产管理中，可以查看当前工作空间所在region中所有资源的安全状态统计信息，包括资源的名称、所属服务、安全状况等，帮助您快速定位安全风险问题并提供解决方案。

本文帮助您快速熟悉设置IPv4/IPv6双栈安全组的操作方法。 在“网络控制台”→“访问控制”→“安全组”中，可点击安全组名称进行IPv6出、入方向规则设置。具体可参考“添加安全组规则”部分，并在类型选择“IPv6”,源地址或目的地址填写IPv6地址。

本小节介绍切换主机安全版本。 您可以根据需要将主机安全服务的版本切换为基础版、企业版（按需计费）、企业版（包年/包月）、旗舰版。 切换说明 相同版本的不同计费模式（按需、包年/包月）目前只支持企业版和容器版。 按需变更为包周期时，需要您单独购买包周期配额，购买后在云服务器列表页面，单击目标服务器“操作”列“开启防护”，选择购买的包周期防护配额，开启防护。 容器版和网页防篡改版支持切换为基础版、企业版、旗舰版，但不支持将基础版、企业版、旗舰版切换为容器版或网页防篡改。 若主机安全服务的版本由高版本版切换为低版本，主机遭受攻击的可能性将升高。 切换版本前准备 主机安全服务 > 资产管理 > 主机管理”页面“云服务器”中目标主机的“Agent状态”为“在线”，且已开启主机防护。 切换为包周期配额版本时，需重新为主机指定相应的配额，变更版本前请先购买数量充足的配额。 切换为低版本前，请对主机执行相应的检测，处理已知风险并记录操作信息，避免运维失误，使您的主机遭受攻击。 切换版本 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 说明 切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 4、在左侧导航栏中，选择“资产管理 > 主机管理 > 云服务器”，进入“云服务器”界面。 5、根据需要可进行单台服务器或多服务器的版本切换。 单台服务器切换 您可以根据自己的实际场景选择“包年/包月”或者“按需计费”，为主机切换版本。 包年/包月： 在目标服务器“操作”列单击“切换版本”，在“开启方式”对话框中，“计费模式”选择“包年/包月”，选择目标版本、分配防护配额，阅读并确认“《主机安全免责声明》”。“防护配额”分配方式： 随机分配：下拉框选择“随机选择配额”，系统优先为主机分发服务剩余时间较长的配额。 指定分配：下拉框选择具体配额ID，您可以为主机分配指定的配额。 按需计费： 在目标服务器“操作”列单击“切换版本”，在“开启方式”对话框中，“计费模式”选择“按需计费”，选择目标版本，阅读并确认“《主机安全免责声明》”。 注意 仅支持企业版。 批量切换 勾选多台目标服务器前的选框，单击上方“开启防护”，在弹窗中确认服务器信息，依次选择计费模式、版本及配额。 开启防护参数配置说明 参数名称 参数说明 取值样例 计费模式 包年/包月： 支持基础版、企业版、旗舰版选择。 无试用期，按照订单的购买周期来进行结算。 相对于按需付费，包年/包月购买方式能够提供更大的折扣，对于长期使用者，推荐该方式。 按需计费 ： 支持企业版。 按实际使用的时长收费，以小时为单位，每小时整点结算，不设最低消费标准。 包年/包月 版本选择 提供基础版、企业版、旗舰版选择。 基础版：用于测试、个人用户防护主机帐户安全，无数量限制，只支持部分功能的检测能力，不支持防护能力，不支持等保认证，首次开启可免费体验30天。 企业版：满足等保认证的需求，支持资产指纹管理、漏洞管理、恶意程序检测、Webshell检测、进程异常行为检测等能力。 旗舰版：满足等保认证的需求，支持应用防护、勒索防护、高危命令检测、提权检测、异常shell检测等能力。 企业版 选择配额 选择需要绑定的防护配额。 默认随机：随机分配防护配额至服务器。 固定ID配额：选择一个配额，批量开启时选择的配额只能绑定一台服务器，其余未绑定的服务器将随机绑定目标版本配额。 说明 若提示可用配额为0时，表示配额不足，需要进行购买才可开启防护。 随机选择配额 6、单击“确定”切换版本。切换主机安全版本后，请在云服务器列表页面查看目标服务器的版本。若目标主机的“版本”为切换后的主机安全版本，则表示主机安全版本已切换成功。

本小节介绍SWR私有镜像管理。 私有镜像仓库中的镜像来源于容器镜像服务(SWR)的自有镜像，企业主机安全支持对这些共享镜像手动执行漏洞、恶意文件、软件信息、文件信息、基线检查、敏感信息的扫描并提供扫描报告。 约束限制 仅HSS容器版支持该功能。 仅支持对Linux镜像执行安全扫描。 查看私有镜像 1、 登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 3、 在左侧导航栏中，选择“资产管理 > 容器管理” ，进入容器管理界面，选择“容器镜像 > SWR私有镜像”页签。 4、单击“从SWR更新自有镜像”，可以同步SWR所有自有镜像。 手动扫描私有镜像 您可以手动执行全量、批量或单镜像的安全扫描。安全扫描的时长主要取决于镜像的大小。一般情况下扫描一个镜像可以在三分钟之内完成，扫描完成后，单击“安全报告”查看安全报告。 SWR私有镜像支持的安全扫描项如下： 扫描项 说明 漏洞 检测镜像中存在的漏洞。 恶意文件 检测镜像中存在的恶意文件。 软件信息 统计镜像中的软件信息。 文件信息 统计镜像中的文件信息。 基线检查 配置检查： − 检测CentOS 7、Debian 10、EulerOS和Ubuntu16镜像的系统配置项。 − 检测SSH应用配置项。 弱口令检查：检测镜像中存在的弱口令。 口令复杂度检查：检测镜像中不安全的口令复杂度策略。 敏感信息 检测镜像中含有敏感信息的文件。 默认不检测的路径如下： − /usr/ − /lib/ − /lib32/ − /bin/ − /sbin/ − /var/lib/ − /var/log/ − /nodemodules/ / .md − /nodemodules//test/ − /service/iam/examplestest.go − /grafana/public/build/.js 说明 可在“漏洞报告>敏感信息”页面，单击“敏感文件过滤路径管理”，设置不需要检测的Linux路径，最多可添加20个路径。 不检测的场景如下： − 文件大于20M。 − 文件类型为二进制、常用进程和自动生成类型。 软件合规 检测不允许使用的软件和工具。 基础镜像信息 检测未使用基础镜像构建的业务镜像。 1、登录管理控制台，进入企业主机安全页面。 2、在左侧导航栏中，选择“资产管理 > 容器管理”，进入容器管理界面。 3、选择“容器镜像 > 私有镜像仓库”，展开镜像名称，单击“操作”列的“安全扫描”，扫描单个镜像。 4、 在弹出的提示框中，单击“确定”，启动扫描任务。 5、待目标镜像“扫描状态”列显示为“扫描完成”，即扫描结束。

态势感知的数据来源。 态势感知基于云上威胁数据和云服务采集的威胁数据，通过大数据挖掘和机器学习，分析并呈现威胁态势，并提供防护建议。 一方面采集全网流量数据，以及安全防护设备日志等信息，通过大数据智能AI分析采集的信息，呈现资产的安全状况，并生成相应的威胁告警。 另一方面汇聚企业主机安全（Host Security Service，HSS）等安全防护服务上报的告警数据，从中获取必要的安全事件记录，进行大数据挖掘和机器学习，智能AI分析并识别出攻击和入侵，帮助用户了解攻击和入侵过程，并提供相关的防护措施建议。 态势感知通过对多方面的安全数据的分析，为安全事件的处置决策提供依据，实时呈现完整的全网攻击态势。

介绍分布式消息服务RabbitMQ安全方案 安全价值 RabbitMQ的安全性对用户具有重要的价值，以下是一些方面的价值： 1. 数据保护：RabbitMQ的安全性可以保护用户的消息和数据免受未经授权的访问和篡改。通过合适的安全配置，可以确保消息在传输和存储过程中的机密性和完整性。 2. 身份认证和授权：RabbitMQ的安全性可以确保只有经过身份验证的用户可以访问和操作消息队列。通过身份认证和授权机制，可以限制用户的访问权限，防止未经授权的访问和操作。 3. 防止拒绝服务攻击：RabbitMQ的安全性可以帮助用户防止拒绝服务（DoS）攻击。通过限制资源的使用和设置合适的配额，可以防止恶意用户或程序对消息队列进行过载和耗尽资源的攻击。 4. 监控和审计：RabbitMQ的安全性可以提供监控和审计功能，帮助用户跟踪和记录对消息队列的访问和操作。这可以帮助用户发现异常行为和安全事件，并进行及时的响应和调查。 5. 合规性要求：对于一些行业和法规，如金融、医疗等，安全性是必要的要求。RabbitMQ的安全性可以帮助用户满足合规性要求，确保消息和数据的保密性和完整性。 综上所述，RabbitMQ的安全性对用户具有重要的价值，可以保护用户的数据和消息的安全，防止未经授权的访问和篡改，防止拒绝服务攻击，并满足合规性要求。

产品版本说明 WAF云SaaS模式：根据支持防护的业务规模以及提供的防护功能不同，提供基础版、标准版、企业版、旗舰版四个版本供用户选择。 如果使用“域名接入”方式，可选择基础版、标准版、企业版、旗舰版。 如果使用“ELB接入”方式，可选择标准版、企业版、旗舰版。 标准版、企业版、旗舰版主套餐支持选择购买资源扩展包，用户可以通过升级实例版本或购买额外的资源扩展包，以满足更多域名、更大流量的防护需求。 WAF独享模式 ：提供单机版、集群版供用户选择，且支持选择购买域名扩展包和带宽扩展包。 版本规格说明 分类 功能点 WAF云SaaS模式 WAF独享模式 分类 功能点 基础版 标准版 企业版 旗舰版 单机版 （1节点/实例） 集群版 （4~12节点/实例） 适用场景 适合个人网站、小型网站等只需要满足基础安全需求，对业务没有特殊安全需求的用户，不适合企业用户使用 适用于对少量用户提供业务服务，没有大量高频访问中小型网站，没有特殊安全需求，仅需要满足基础防护能力 适用中大型企业或服务对互联网公众开放，有较高访问频率，并有较高数据安全与网络安全防护需求的网站防护 适用于大型及超大型复杂业务网站防护或有特殊定制安全需求的用户（支持定制需求，定制需求需要和客户经理联系） 适用于资源在天翼云上的01Gbps的IP防护场景 适用于资源在天翼云上的110Gbps，需要集群高可用的防护场景 套餐基础信息 业务QPS峰值 100QPS/实例 3000QPS/实例 5000QPS/实例 10000QPS/实例 3000QPS/实例 20000QPS/实例 套餐基础信息 支持主域名个数 1个/实例 2个/实例 5个/实例 8个/实例 100个/实例 100个/实例 套餐基础信息 支持所有防护域名个数 10个/实例 20个/实例 50个/实例 80个/实例 100个/实例 100个/实例 套餐基础信息 支持防护的ELB监听器个数 × 600个/实例 2500个/实例 10000个/实例 × × 套餐基础信息 泛域名防护 × √ √ √ √ √ 套餐基础信息 IPv6 防护 × √ √ √ √ √ 套餐基础信息 HTTP/HTTPS非标准端口防护 仅支持80、443 √ √ √ √ √ 套餐基础信息 支持防护端口数量 2个/实例 20个/实例 30个/实例 60个/实例 不限制，最大65535个（常用端口除外） 不限制，最大65535个（常用端口除外） 套餐基础信息 带宽弹性上限 10Mbps 超过10Mbps即丢包 200Mbps，超过弹性带宽上限不超过带宽保护上限的流量将直接转发，可通过扩展业务扩展包的形式增加弹性上限 300Mbps，超过弹性带宽上限不超过带宽保护上限的流量将直接转发，可通过扩展业务扩展包的形式增加弹性上限 400Mbps，超过弹性带宽上限不超过带宽保护上限的流量将直接转发，可通过扩展业务扩展包的形式增加弹性上限 200Mbps，超过弹性带宽上限不超过带宽保护上限的流量将直接转发，可通过扩展业务扩展包的形式增加弹性上限 1000Mbps，超过弹性带宽上限不超过带宽保护上限的流量将直接转发，可通过扩展业务扩展包的形式增加弹性上限 套餐基础信息 带宽保护上限 400Mbps，超过带宽保护上限的流量将会被直接丢弃，可通过购买业务扩展包的形式增加保护上限 600Mbps，超过带宽保护上限的流量将会被直接丢弃，可通过购买业务扩展包的形式增加保护上限 800Mbps，超过带宽保护上限的流量将会被直接丢弃，可通过购买业务扩展包的形式增加保护上限 400Mbps，超过带宽保护上限的流量将会被直接丢弃，可通过购买业务扩展包的形式增加保护上限 2000Mbps，超过带宽保护上限的流量将会被直接丢弃，可通过购买业务扩展包的形式增加保护上限 套餐基础信息 回源连接数 1000个/域名 1000个/域名 6000个/域名 6000个/域名 50000个/域名 50000个/域名 基础安全防护 规则白名单 √，10条/实例 √，20条/实例 √，50条/实例 √，100条/实例 √，最大20条 √，最大50条 基础安全防护 Web基础规则防护引擎 √，仅支持默认规则组的防护 √，支持自定义 √，支持自定义 √，支持自定义 √，支持自定义 √ 基础安全防护 自定义防护规则组 × √，20个/实例 √，20个/实例 √，20个/实例 最大20个 20个/实例 基础安全防护 0Day漏洞虚拟补丁 √ √ √ √ √ √ 基础安全防护 IP黑白名单 × √，200条/实例 √，500条/实例 √，1000条/实例 √，200条/实例 √，500条/实例 基础安全防护 地域封禁 × √，20条/实例 √，50条/实例 √，100条/实例 √，20条/实例 √，50条/实例 基础安全防护 自定义精准防护策略 × √，100条/实例 √，200条/实例 √，500条/实例 √，100条/实例 √，200条/实例 基础安全防护 CC防护（包括紧急模式） × √ √ √ √ √ 基础安全防护 自定义CC防护规则 × √，100条/实例 √，200条/实例 √，500条/实例 100条/实例 200条/实例 高级安全防护 公开 BOT 类型防护 × √ √ √ √ √ 高级安全防护 BOT协议特征防护 × √ √ √ √ √ 高级安全防护 BOT自定义会话特征防护 × √，100条/实例 √，200条/实例 √，500条/实例 √，100条/实例 √，200条/实例 高级安全防护 动态防护 × × √，与BOT防护共享规则 √，与BOT防护共享规则 × √，与BOT防护共享规则 高级安全防护 BOT攻击惩罚策略上限 × 1000个/实例 1000个/实例 1000个/实例 1000条/实例 1000条/实例 高级安全防护 攻击惩罚防护策略上限 × × 1000个/实例 1000个/实例 1000条/实例 1000条/实例 高级安全防护 数据统计分析 √ √ √ √ √ √ 高级安全防护 敏感信息保护 × × √，50个/实例 √，50个/实例 √，50条/实例 √，50条/实例 高级安全防护 网页防篡改 × √，20条/实例 √，50条/实例 √，100条/实例 √，20条/实例 √，50条/实例 高级安全防护 Cookie防篡改 × × √ √ √ √ 高级安全防护 隐私屏蔽 × √，20条/实例 √，50条/实例 √，100条/实例 √，20条/实例 √，50条/实例 高级安全防护 重保防护场景 × √，1000个IP/实例 √，1000个IP/实例 √，1000个IP/实例 × × 高级安全防护 全局防护白名单 × √，20条/实例 √，50条/实例 √，100条/实例 × × 高级安全防护 全局精准访问控制 × √，100条/实例 √，200条/实例 √，500条/实例 × ×

产品名称 规格类型 功能适用 系统支持 普通AI云电脑 2核4G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 2核8G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 4核8G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 4核16G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 8核16G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 8核32G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 16核32G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 16核64G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 32核64G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 32核128G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 普通AI云电脑 64核128G 120GB SAS 系统盘 性能强劲，满足企业安全办公、大内存软件运行、多任务处理、数据分析、高效运维等需求 Windows、Ubuntu、CentOS 120 GB SAS 系统盘 80 GB 默认系统盘 + 40 GB 赠送存储

本节介绍了弹性云主机安全配置类问题。 弹性云主机怎么防DDoS攻击的？ 首先，我们的监控系统会在发现您的流量异常时自动启动流量清洗并建议您封闭不用的端口。同时，我们提供了防DDoS的服务（AntiDDoS服务），它可以阻止您的弹性云主机受到非法的攻击。 如何保护弹性云主机安全？ 我们提供了虚拟化防病毒（从云市场购买）、漏洞扫描服务（Vulnerability Scan Service, VSS）、主机加固与防护（从云市场购买）、AntiDDoS流量清洗、Web应用防火墙等安全产品服务；同时我们也提供了虚拟私有云服务，您可以利用安全组服务保证您网络的逻辑安全隔离。

本文将介绍如何使用边缘安全加速平台安全与加速服务的防护规则引擎功能。 功能介绍 规则防护引擎使用基于正则的规则防护引擎和基于机器学习的 AI 防护引擎，进行 Web 漏洞和未知威胁防护。 目前防护 Web 攻击包括：SQL 注入、XSS 攻击、恶意扫描、命令注入攻击、Web 应用漏洞、WebShell 上传、不合规协议、木马后门等17类通用的 Web 攻击。 支持规则模板配置（安全基础配置—漏洞防护配置），用户可根据实际业务需要选择适合的模板，同时提供基于指定域名 URL 和规则 ID 白名单处置策略，进行误报处理。 背景信息 在控制台添加加速域名时，系统将通过一系列问题确认网站的防护场景，并为您推荐默认生效的防护规则集，支持选择防护动作为告警或拦截。接入边缘安全加速平台安全与加速业务成功后，将默认生效此防护规则集。 规则防护引擎基于各类防护场景，设定了七套防护规则集，能够满足各种网站业务防护需求，帮助网站抵御大量的Web攻击并提供漏洞防护。目前边缘安全加速平台安全团队总共已经维护五百多条防护规则，支持自动更新Web 0day漏洞攻击防护规则。

此小节介绍企业主机安全服务优势。 主机安全服务是一个用于全面保障主机整体安全的服务，能帮助您高效管理主机的安全状态，并构建服务器安全体系，降低当前服务器面临的主要安全风险。 集中管理 实现检测和防护的一体化管控，降低管理的难度和复杂度。 将Agent安装在ECS服务器中，您可以集中管理同一区域内多样化部署的主机。 您可以在安全控制台上统一查看同一区域内主机中各项风险的来源，根据各项风险的处理建议处理主机中的各项风险；利用多样化检索、批量处理等功能，快速分析同一区域内所有主机的风险。 精准防御 拥有先进的检测技术和丰富的检测库，提供精准防御。 全面防护 提供事前预防、事中防御、事后检测的全面防护，全面降低入侵风险。 轻量Agent Agent占用资源极少，不影响主机系统的正常运行。 网页防篡改 使用第三代网页防篡改技术，内核级事件触发技术，锁定用户目录下的文件后，有效阻止非法篡改行为。 篡改监测自动恢复技术，在主机本地和远端服务器上实时备份已授权的用户所修改的文件，保证备份资源的时效性。当主机安全服务检测到非法篡改行为时，将使用备份文件主动恢复被篡改的网页。

本小节介绍安装与配置。 开启防护后，您可配置常用登录地、常用登录IP、SSH登录IP白名单，以及开启恶意程序自动隔离查杀，进一步提升云服务器的安全。 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 配置常用登录地 配置常用登录地后，企业主机安全将对非常用地登录主机的行为进行告警。每个主机可被添加在多个登录地中。 1、 选择“安装与配置 > 安全配置 > 常用登录地”，单击“添加常用地登录”。 2、在弹出的对话框中依次选择地理位置、国家名称、城市名称，选择后勾选需要生效登录地信息的云服务器，可勾选多个服务器，确认无误单击“确认”，添加操作完成。 3、返回“安装与配置 > 安全配置 > 常用登录地”页面查看是否已新增，出现新增表示添加成功。 配置常用登录IP 配置常用登录IP，企业主机安全将对非常用IP登录主机的行为进行告警。 1、选择“安装与配置 > 安全配置 > 常用登录IP”，单击“添加常用登录IP”。 2、在弹出的对话框中输入“常用登录IP”，勾选需要生效的云服务器，可勾选多个服务器，确认无误单击“确认”，添加操作完成。 说明 “常用登录IP”必须填写公网IP或者IP段。如果设置的非公网IP地址，您将无法SSH远程登录您的服务器。 单次只能添加一个IP，若需添加多个IP，需重复操作添加动作，直至全部IP添加完成，且最多可添加20个登录IP。 3、返回“安装与配置 > 安全配置 > 常用登录IP”页面查看是否已新增，出现新增表示添加成功。

参数 描述 虚拟私有云 TaurusDB数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如果没有可选的虚拟私有云，TaurusDB数据库服务默认为您分配资源。 内网安全组 内网安全组限制实例的安全访问规则，加强TaurusDB数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。如果不创建内网安全组或没有可选的内网安全组，TaurusDB数据库服务默认为您分配内网安全组资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建TaurusDB实例的子网默认开启DHCP功能，不可关闭。 创建实例时TaurusDB会自动配置内网地址。创建实例时支持选择IPv6子网。选择IPv6子网后，实例的数据浮动IP地址将绑定IPv6地址，连接数据库时也可使用IPv6地址进行连接。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 IPv6实例的约束限制：创建实例所选规格需要支持IPv6；创建实例所选的可用区支持IPv6。

本章节主要介绍集群（未启用Kerberos认证）安全配置建议。 Hadoop社区版本提供两种认证方式Kerberos认证（安全模式）和Simple认证（普通模式），在创建集群时，MRS支持配置是否启用Kerberos认证。 在安全模式下MRS集群统一使用Kerberos认证协议进行安全认证。 而普通模式下MRS集群各组件使用原生开源的认证机制，一般为Simple认证方式。而Simple认证，在客户端连接服务端的过程中，默认以客户端执行用户（例如操作系统用户“root”等）自动完成认证，管理员或业务用户不显示感知认证。而且客户端在运行时，甚至可以通过注入UserGroupInformation来伪装成任意用户（包括superuser），集群资源管理接口和数据控制接口在服务端无认证和鉴权控制，很容易被黑客利用和攻击。 所以在普通模式下，必须通过严格限定网络访问权限来保障集群的安全。操作建议如下： 尽量将业务应用程序部署在同VPC和子网下的ECS中，避免通过外网访问MRS集群。 配置严格限制访问范围的安全组规则，禁止对MRS集群的入方向端口配置允许Any或0.0.0.0的访问规则。 如需从集群外访问集群内组件原生页面，请参考创建连接MRS集群的SSH隧道并配置浏览器进行配置。

本小节介绍容器安全内容。 容器安全能够扫描镜像中的漏洞与配置信息，帮助企业解决传统安全软件无法感知容器环境的问题；同时提供容器进程白名单、容器文件监控、容器信息收集和容器逃逸检测功能，有效防止容器运行时安全风险事件的发生。

本章节介绍了云上使用分布式消息服务RocketMQ需要准备的云主机、网络等相关环境。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为RocketMQ实例提供一个隔离的、用户自主配置和管理的虚拟网络环境。 1. 在创建RocketMQ实例前，确保已存在可用的虚拟私有云和子网。 创建方法，请参考创建虚拟私有云和子网。如果您已有虚拟私有云和子网，可重复使用，不需要多次创建。 在创建VPC和子网时应注意如下要求： 创建的VPC与使用的分布式消息服务RocketMQ应在相同的区域。 创建VPC和子网时，配置参数建议使用默认配置。 2. 在创建RocketMQ实例前，确保已存在可用的安全组。 创建方法，请参考创建安全组。如果您已有安全组，可重复使用，不需要多次创建。 在创建安全组时应注意如下要求： 创建安全组时，“模板”选择“自定义”。 使用分布式消息服务RocketMQ必须添加表1所示安全组规则，其他规则请根据实际需要添加。 表1 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 8100 0.0.0.0/0 通过内网访问元数据节点的端口 入方向 TCP 1010010199 0.0.0.0/0 访问业务节点的端口 说明 安全组创建后，系统默认添加的入方向“允许安全组内的弹性云主机彼此通信”规则和出方向“放通全部流量”规则。此时使用内网通过同一个VPC访问RocketMQ实例，无需添加表1的规则。

3、开启账号的安全验证 设置登录验证、重点操作（关机、重启、重装等）验证方式，实现关键动作双验证，提升账号安全性。 设置登录验证：登录天翼云官网，路径：账号中心安全设置，登录保护登录认证，建议设置登录认证方式为“短信二次认证”或“MFA二次验证”。 设置操作保护：登录天翼云官网，路径：账号中心安全设置，登录保护操作保护，建议设置操作保护为“开启”。 4、开启MFA 保护功能 虚拟 MFA 设备是能产生 6 位数字认证码的应用程序，遵循基于时间的一次性密码 （TOTP）标准。可在用户名和密码之外再额外增加一层安全保护，是一种简单有效的安全实践方法。 操作方法请参考：绑定/解绑虚拟MFA

本节介绍服务器安全卫士（原生版）应用场景。 场景一：入侵行为检测 实时监测发现云服务器的漏洞、异常登录、暴力破解、弱口令等问题，全面了解服务器的安全状态，实现服务器安全的持续保护。 方案优势 提供异常登录、暴力破解的告警和防御，可以快速地发现黑客对企业服务器的渗透扫描行为，及时预警。 提供病毒查杀能力，有效检出恶意病毒文件，并提供病毒文件隔离和删除功能。 场景二：安全管理 提供统一的服务器安全管理能力，帮助用户更方便地管理云服务器的安全配置和安全事件，降低安全风险和管理成本。 方案优势 支持多操作系统：支持在Windows、CentOS、Ubuntu等多种操作系统的物理/虚拟主机上部署。 统一的安全管理能力：帮助用户统一查看所有的服务器资产、资产指纹以及安全事件，便于精细化安全运营。 场景三：等保合规 服务器安全是等保合规的关键项，服务器安全卫士提供的入侵检测功能，能协助各企业保护企业云服务器账户、系统的安全。 方案优势 满足入侵防范条款：入侵检测、漏洞管理功能满足等保的主机入侵防范条款。 满足不同行业监管要求：基于基线检测功能，提供多种基线标准模板，企业可自定义基线策略，支持一键检测和定时检测，根据检测结果提供处理建议。

本文介绍保护直播内容安全的多种策略。 背景信息 视频直播提供了完善的内容安全保护机制，用于保护用户直播源站的资源不被非法下载盗用。用户根据不同场景，可选择IP黑白名单、Referer防盗链、UA防盗链、URL鉴权、HTTPS、远程鉴权以及禁推等策略，保障直播内容安全。 实现原理 视频直播支持在主播推流、用户拉流播放阶段，提供完善的内容保护机制，保障直播内容不被非法下载和非法盗链，如下图所示。 主播推流 支持通过URL鉴权、IP黑白名单和推流禁推等机制确保直播流内容安全。 用户拉流播放 支持通过URL鉴权、IP黑白名单、UA防盗链、referer防盗链、远程鉴权、HTTPS等机制确保直播流内容安全。 详细信息，请参见HTTPS配置、访问控制和流管理。

配置示例 示例一： 参数名 配置示例 头部值 AccessControlAllowOrigin 跨域验证 关闭 取值 结果说明：全站加速响应头部固定响应“AccessControlAllowOrigin:”。 示例二： 参数名 配置示例 头部值 AccessControlAllowOrigin 跨域验证 开启 取值 结果说明： 1.用户请求携带的Origin头是 2.用户请求携带的Origin头是

配置CNAME完成后，客户端发起的请求将被自动解析至边缘云节点上，可通过探测CNAME来验证加速是否生效。 前提条件 您已经完成添加服务域名并配置CNAME，如果您未配置，请参考配置CNAME。 验证方式 1、您可以 ping 或 dig 您接入边缘安全加速平台安全与加速服务的域名（例如www.ctyun.cn），在返回的解析结果中查看是否指向分配的CNAME域名。 2、如果CNAME状态为“已生效”，即代表当前站点域名已被边缘安全加速平台—安全与加速服务加速。

介绍分布式消息服务Kafka认证与访问控制方式 分布式消息服务Kafka支持CTIAM身份认证和多种访问控制，多维度保障您数据的安全。 身份认证 CTIAM 统一身份认证（Identity and Access Management， 简称：CTIAM）是提供用户进行权限管理的基础服务，可以帮助您安全的控制天翼云服务和资源的访问及操作权限，包括：用户身份认证、权限分配、访问控制等功能。具体介绍请参考统一身份认证产品介绍。 您可以创建IAM用户，并为其设置关联分布式消息服务Kafka实例权限，该用户就可以通过用户名和密码访问授权的实例资源。具体请参见统一身份认证快速入门创建IAM用户。 访问控制 权限控制 购买分布式消息服务Kafka实例之后，您可以使用CTIAM为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，通过CTIAM进行精细的权限管理。 VPC和子网 虚拟私有云（Virtual Private Cloud，VPC）为分布式消息服务Kafka构建隔离、私密的虚拟网络环境，提升数据库的安全性，并简化用户的网络部署。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。通过子网与其他网络隔离，独享网络资源，提高网络安全性。具体内容请参见虚拟私有云用户指南创建虚拟私有云和子网 。 安全组 安全组是一个逻辑上的分组，可以为同一个虚拟私有云内具有相同安全保护需求并相互信任的Kafka实例提供相同的访问策略。您可以通过为数据库实例设置安全组，开通需访问Kafka实例的IP地址和端口，来保证保障其运行环境的安全性和稳定性。具体请参见配置安全组

本文介绍零信任服务态势大屏。 背景说明 零信任态势大屏功能可协助企业快速查看对应的办公态势，内容包括企业终端安全、风险设备数、软件运行情况、设备资产、内网应用访问情况、内网安全防护、用户分布。 操作步骤 1. 登录边缘安全加速平台控制台，进入【零信任】控制台。 2. 在左侧导航栏，单击【态势大屏】。 功能说明 注意 零信任态势大屏功能需零信任服务套餐版本为企业版，详细版本差异可查看 基本设置 管理员可选择统计周期，刷新间隔，支持切换到边缘安全加速平台其他产品的态势大屏。 终端安全 统计企业终端设备的安全情况，展示合规检测、待处理病毒个数。 风险设备数 软件运行情况

本文介绍SSL VPN相关术语。 SSL VPN SSL（Secure Sockets Layer，安全套接层）及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。 SSL VPN是一种远程安全接入技术，因为采用SSL协议而得名。因为Web浏览器都内嵌支持SSL协议，使得SSL VPN可以做到“无客户端”部署，从而使得远程安全接入的使用非常简单，而且整个系统更加易于维护。SSL VPN一般采用插件系统来支持各种TCP和UDP的非Web应用，使得SSL VPN真正称得上是一种VPN，并相对IPSec VPN更符合应用安全的需求，成为远程安全接入主要手段和选择。

提升操作系统访问安全性 使用密钥对登录实例 密钥对由公钥和私钥组成，是一种安全的身份认证方式，相较于传统账号密码登录，具备更高安全性与便捷性,为提高安全性，建议使用密钥对登录实例。 天翼云密钥对默认采用 RSA2048 位加解密算法，密钥对的安全强度远高于常规密码，能有效杜绝暴力破解风险，避免因密码泄露导致的实例被非法登录。将公钥配置在 Linux 实例后，用户可在本地或其他实例中，通过私钥直接登录目标实例，无需重复输入密码，对于批量管理多台 Linux 实例场景，密钥对登录能大幅提升运维效率。 配置建议：创建实例时可直接指定密钥对，或在实例创建后绑定密钥对；建议在 SSH 配置文件中禁用密码登录，仅支持密钥对登录，进一步强化登录安全。更多信息，请参见++密钥对使用场景介绍++ 避免敏感端口 0.0.0.0/0 授权 未对端口授权进行管理的情况下，云主机允许任意来源的访问，可能导致网络中的攻击者在未经授权的情况下，通过Linux操作系统22端口（用于SSH连接）或Windows操作系统的3389端口（用于RDP远程桌面服务）登录到操作系统中，对系统进行攻击。安全组是一种网络安全防护机制，用于防止未经授权的访问和保护计算机网络免受恶意攻击。它是一种虚拟防火墙，用于限制入向和出向网络流量。安全组工作在网络层和传输层，它通过检查数据包的源地址、目标地址、协议类型和端口号等信息来决定是否允许通过。更多信息，请参见++安全组概述++。 安全加固操作系统

分类 规格 计费模式 退订说明 独享模式 WI100/WI500 按需 不支持退订，可通过删除实例停止计费 独享模式 WI100/WI500 包年包月 支持 内容安全 内容安全单次检测 按需（按次） 一次性付费服务，不支持退订 内容安全 文本安全监测 包年包月 支持退订，退订后不支持提供检测报告，请谨慎操作

DDoS安全报表 DDoS安全报表统计展示了攻击趋势、攻击类型分布、全国攻击分布、攻击来源地区排行四块报表的内容。 总览统计：展示了攻击事件数、DDoS防护峰值、DDoS攻击峰值时间信息。 攻击趋势统计：展示总攻击、SYNFlood、ACKFlood、UDPFlood、ICMPFlood的趋势信息。 攻击类型分布统计：展示各种攻击类型的占比信息。 全国攻击分布统计：展示全国的攻击分布信息。 攻击来源地区排行统计：按照传输速率展示攻击来源地区排行信息。 CC安全报表 CC安全报表统计展示了攻击趋势、TOP攻击URL、TOP攻击域名、TOP攻击源IP、全国攻击分布五个报表内容。 总览统计：展示攻击事件数、CC攻击峰值、峰值取值时间、CC攻击网站数信息。 攻击趋势统计：展示QPS峰值带宽趋势信息。 TOP攻击URL统计：展示攻击URL的请求数、占比排行信息。 TOP攻击域名统计：展示攻击域名的攻击次数排行信息。 TOP攻击源IP统计：展示攻击IP的所属区域、所属运营商、攻击次数及占比信息。 全国攻击分布统计：展示各个省份的攻击分布信息。 态势感知 态势感知大屏，分为安全与加速平台、网络层DDoS安全态势、CC攻击态势、Web应用安全、BOT攻击态势五个态势大屏。态势感知大屏的数据会根据用户的实时数据进行汇总更新，帮助您从全局统计分析的视角直观地查看网站各维度统计数据。您可通过边缘安全加速平台订购态势感知大屏服务，订购完成后即可查看各个大屏的统计分析的实时数据。

无法连接到集群如何处理？ 遇到该问题，请按照如下操作步骤排查解决。 1.先确认ECS实例和集群是否在同一个VPC。 如果在，执行步骤2。 如果不在，需要重新创建ECS实例，使之和集群在同一个VPC下。 2.查看集群的安全组的出方向和入方向是否已允许9200端口（TCP协议），或者允许的端口范围已包含9200端口（TCP协议）。 如果是，执行步骤3。 如果不是，请前往VPC页面，设置“安全组”的出方向和入方向已允许9200端口或允许的端口范围已包含9200端口。 3.查看ECS实例是否添加安全组。 如果有，检查安全组的配置规则是否满足要求，请参见“集群管理”中集群信息表格中“安全组”的描述，然后执行步骤4。 如果没有，从ECS的实例详情页面，进入VPC页面，选择“安全组”，添加安全组。 4.在ECS实例上，测试是否可以正常连接到集群。 ssh 说明 当集群包含多个节点时，需要逐个节点测试是否可以正常连接到该集群中的每个节点。 如果可以通信，说明网络是正常的。 如果端口不通，请联系技术支持协助排查。 为什么集群创建失败？ 集群创建失败原因有如下3种： 资源配额不足，无法创建集群。建议申请足够的资源配额。 如果集群配置信息中，“安全组”的“端口范围/ICMP类型”不包含“9200”端口，导致集群创建失败。请修改安全组信息或选择其他可用安全组。 7.6.2以及7.6.2之后的版本，集群内通信端口9300默认开放在用户VPC的子网上面。创建集群时需要确认所选安全组是否放通子网内的9300通信端口，如果未放通，请修改安全组信息或选择其他可用安全组。

本章节为您介绍UKEY的相关功能。 UKEY模块提供UKEY管理的相关功能，如：UKEY初始化、UKEY信息查询和备份历史查询等。 说明 首次使用UKEY需要在综合安全网关登录页面下载UKEY插件。 UKEY初始化 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“系统管理 > UKEY管理”，进入UKEY管理页面。 3. 单击“UKEY初始化”，进入UKEY初始化步骤。 4. 将UKEY设备连接，单击“刷新”按钮获取UKEY序列号。 5. 获取UKEY序列号后，输入PIN码并且二次输入进行确认完成初始化。 6. 重复第4步和第5步操作，完成后续步骤。 查看UKEY信息 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“系统管理 > UKEY管理”，进入UKEY管理页面。 3. 选择“UKEY信息”即可查看已经对接的信息。