该章节指导您通过Web应用防火墙服务下载仅记录和拦截的攻击事件数据，可下载5天内的全量防护事件数据，当天的防护事件数据，在次日凌晨生成到防护事件数据csv文件。 前提条件 已添加防护网站。 已生成了防护事件数据文件。 规格限制 单个文件的事件总数量最大值为5000，超过5000就会生成另一个文件。 在WAF控制台只能下载5天内的全量防护事件数据。 操作步骤 步骤1 登录管理控制台。 步骤2 单击管理控制台右上角的，选择区域或项目。 步骤3 单击页面左上方的，选择“安全 > Web应用防火墙（独享版）”。 步骤4 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 步骤5 选择“下载”页签，下载防护数据文件，参数说明如表。 参数名称 参数说明 :: 文件名称 样式为文件名称.csv。 事件数量 被拦截和仅记录的事件总数量。 说明 单个文件的事件总数量最大值为5000，超过5000就会生成另一个文件。 步骤6 在目标时间段所在行的“操作”列，单击“下载数据”，下载到本地。 防护数据文件字段参数说明 字段 字段说明 示例 ::: action 防护事件的防护动作。 block attack 攻击的类型。 SQL Injection body 攻击者的请求实体内容。 cookie 攻击者的Cookie。 headers 攻击者的消息头。 host 防护的网站域名或IP。 www.example.com id 标识防护事件的ID。 02111620201121060347feb42002 payload 攻击者对防护网站造成伤害的组成部分。 pythonrequests/2.20.1 payloadlocation 攻击者对防护网站造成伤害的位置或访问URL的次数。 useragent policyid 标识防护策略ID。 d5580c8f6cd4403ebbf85892d4bbb8e4 requestline 攻击者的请求行。 GET / rule 防护事件对应的规则编号。 81066 sip Web访问者的公网IP地址（攻击者IP地址）。 time 防护事件发生的时间。 2020/11/21 0:20:44 url 防护域名的URL。 /

Web应用防火墙（边缘云版）依托天翼云云安全节点形成云安全边缘网络，区别于传统WAF需要在源站前端部署，Web应用防火墙（边缘云版）把安全能力赋能在所有边缘节点，利用分布式节点部署使计算能力更强，有效降低源站计算压力，提升了用户访问质量的同时保护了源站数据的安全。本节介绍了Web应用防火墙（边缘云版）产品的优势。 自主可控的安全防护能力 基于 AI+ 规则双引擎的 Web 攻击识别，构建一体化应用业务安全防护。 业务流量识别与分析，自定义规则匹配用户业务，避免误拦截、漏拦截。 支持Bot流量管理和智能CC防护。 弹性扩容无惧突发风险 分布式集群防护，单点故障自动转移，确保网站的高可用性。 动态调整边缘节点，无缝扩展QPS 防护能力，可达亿级别防护规模。 利用大平台优势，基于全网、全行业流量的攻击数据，结合机器学习算法，构建一套智能防护体系。 便捷的运营与管理 零部署、零运维，支持多云、混合云环境，一键CNAME接入，云端安全专家配置策略。 集中监控和分散维护相结合，NOC 工程师7×24小时集中监控，网络工程师 7×24 小时在线支持，节点现场服务工程师进行服务保障。 支持一键开启IPv6功能，无缝处理IPv4和IPv6流量。 提供可视化报表、态势感知大屏，深入分析安全隐患，清晰把控全局。 敏感的威胁情报感知 0day漏洞快速修复，天翼云安全团队724小时监测，主动发现新型攻击并24小时内响应，帮助用户抵御最新威胁。

本文介绍使用天翼云CDN加速后网站访问速度较慢的可能原因及解决方案。 背景说明 使用天翼云CDN加速后，正常情况下网站各个维度的性能指标均会得到明显提升，具体的性能指标以及相关参数信息，详情请见：性能指标。如果使用CDN加速后没有得到预期的性能提升，可参见本文提到的多个因素。 详细信息 使用CDN加速后网站访问速度较慢，是一个较为复杂的综合性问题，我们可以通过了解CDN加速原理（详情请见：天翼云CDN加速简介 里的加速原理模块），以及CDN加速涉及到的各个环节，初步判断可能是哪些方面的原因。CDN加速（CDN，Content Delivery Network）,即内容分发网络，是基于天翼云遍布全球的网络节点提供的内容分发加速服务。它将源站内容分发至最接近用户的节点，使用户可就近获取所需内容，解决因跨运营商、跨地域、服务器带宽及性能瓶颈带来的访问延迟问题，提高用户访问的响应速度和成功率。而一个完整的用户请求涉及的环节如下：DNS解析>TCP建联>SSL建联（如为https访问则涉及此环节）>客户端发送请求>服务端响应首包>服务端响应完整文件，这其中各个环节均可能影响到最终访问速度的快慢。 要系统性的衡量某个域名或网站经过天翼云CDN加速后的访问效果数据，建议使用第三方拨测工具，例如，基调听云、博睿数据平台，或通过在APP中自行开发客户端监测工具，搜集大数据进行分析。 注意 基调和博睿为外部第三方平台，需要付费使用。 结合上述拨测或监测工具的综合分析数据，可从如下维度逐个分析访问慢的原因： 首先，判断是否局部区域访问慢，还是全局性访问慢。通过基调或博睿的访问性能数据，可以看到各省份运营商的性能表现，如从运营商和省份角度均未看到明显性能差的部分，则可初步判断是全局性访问慢。

若您希望监测共享带宽实例的运行状况和使用情况，可建立阈值报警规则。当共享带宽实例的监测指标达到预设的报警条件时，云监控将自动发送报警通知，协助您及时察觉异常监测数据，并能够快速采取应对措施。 1. 登录云监控服务控制台。 2. 在顶部菜单栏处，选择地域。 3. 在左侧导航栏，单击“云服务监控>弹性公网IP监控”。 单击“共享带宽”或者“弹性IP”然后在操作列单击“创建告警规则”。 4. 在创建报警规则页面，根据配置信息，创建报警规则，然后单击“确定” 。 告警规则设置一旦完成，系统将在匹配规则的告警触发时，自动进行通知。

本文介绍网站提示证书存在风险的相关场景及解决方案。 背景说明 网站已经在天翼云DDoS高防（边缘云版）控制台开启了HTTPS功能，并配置对应证书，但是用户使用浏览器访问该网站时提示证书存在风险。本文主要介绍可能的原因及应对方案。 可能原因及方案 场景一：域名配置的对应证书已过期 处理方式：您可以前往DDoS高防（边缘云版）控制台更换新的证书。具体操作时，可先上传新的证书，再在【域名接入】【网站配置】【请求协议】中选择新证书对应的备注名，单击【保存】即可。 场景二：配置了自签名HTTPS证书 自签名证书是由个人或企业自行签署的证书，而不是由受信任的证书机构签发的证书。此类证书容易被伪造、安全系数低、有效期不稳定，各大浏览器基本都不信任此类证书。 处理方式：通过正规证书机构购买相应证书，购买后到DDoS高防（边缘云版）控制台重新上传证书并关联对应域名。 场景三：系统时间错误 请检查浏览器系统时间是否准确。如果系统时间不在ssl证书开始截止日期之内，则可能导致浏览器提示ssl证书过期或不生效。 处理方式： 更新浏览器本地系统时间。 场景四：使用了过低的TLS版本 处理方式：天翼云默认开启了TLS 1.0/1.1/1.2/1.3，目前公认的安全性更高的协议是TLSv1.2和TLSv1.3，您可选择关闭TLS 1.0/1.1，只开启 TLSv1.2 和 TLSv1.3。

本节介绍Web应用防火墙（独享版） 网站反爬虫类问题。 开启网站反爬虫后，为什么有些请求被WAF拦截但查不到拦截记录？ 当您开启网站反爬虫后，WAF将对该域名的第一个访问请求返回一个JavaScript代码，然后根据浏览器解析执行结果返回的数据来判断是否为合法的浏览器或爬虫工具。 网站反爬虫正常的检测流程如下： 1. 客户端访问网站，实际请求首先发送到WAF上。 2. WAF返回JavaScript代码到客户端。 3. 客户端解析JavaScript代码，并将执行结果返回给WAF。步骤3 WAF根据客户端返回的结果判断客户端是否为合法的浏览器。 1. 如果合法，则WAF将请求发送给源站服务器。 2. 如果非法，则WAF产生告警日志。 注意 开启网站反爬虫，要求客户端浏览器具有JavaScript的解析能力，并开启了Cookie。 如果客户端不满足以上要求，则只能完成步骤1和步骤2，此时： 对于客户端，请求没有成功获取到页面。 对于WAF，客户端并没有发送解析JavaScript代码的执行结果，因此没有拦截日志记录。 请您排查业务侧是否存在这种场景。如果您的网站有非浏览器访问的场景，建议您关闭网站反爬虫功能。

当您的网站接入Web应用防火墙（Web Application Firewall，简称WAF）并开启Web基础防护后，WAF会根据您设置的Web基础防护规则检测并拦截命中规则的请求。如果业务正常请求命中Web基础防护规则被WAF误拦截，可能导致正常请求访问网站显示异常，此时，您可以通过误报处理使WAF不再拦截该请求，提升Web基础防护效果。 前提条件 “防护事件”页面可以查看误拦截事件。 约束条件 同一个事件不能重复进行误报处理，即如果该事件已进行了误报处理，则不能再对该事件进行误报处理。 使用场景 业务正常请求被WAF拦截。例如，您在天翼云ECS服务器上部署了一个Web应用，将该Web应用对应的公网域名接入WAF并开启Web基础防护后，该域名的请求流量命中了Web基础防护规则被WAF误拦截，导致通过域名访问网站显示异常，但直接通过IP访问网站正常。 系统影响 拦截事件处理为误报后，“防护事件”页面中将不再出现该事件，您也不会收到该类事件的告警通知。 拦截事件处理为误报后，该误报事件对应的规则将添加到全局白名单（原误报屏蔽）规则列表中，您可以在“防护策略”界面的“全局白名单（原误报屏蔽）”页面查看、关闭、删除或修改该规则。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的区域选择框，选择区域或项目。 步骤 3 单击页面左上方的“服务列表”，选择“安全> Web应用防火墙 （独享版）”。 步骤 4 在左侧导航树中，选择“防护事件”，进入“防护事件”页面。 步骤 5 在防护事件列表中，根据防护网站、事件类型、源IP、URL等信息筛选误拦截事件。 步骤 6 在误拦截事件所在行的“操作”列中，单击“详情”，查看事件详细信息，确认为误拦截事件。 步骤 7 在误拦截事件所在行的“操作”列中，单击“更多 > 误报处理”。 步骤 8 在弹出的对话框中，点击“前去处理”，点击全局白名单（原误报屏蔽）的“自定义全局白名单规则”，跳转至全局白名单列表页，点击页面左上方“添加规则”，添加白名单处理规则。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的Bot情报库功能。 功能介绍 支持针对搜索引擎IP放行、针对恶意Bot请求IP封禁，目前Bot虫情报库已维护接近10万条数据。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 购买Bot防护扩展服务，支持Bot防护相关功能。 背景信息 边缘安全加速平台安全团队基于天翼云积累的海量威胁情报库，并经过离线分析技术，收集国内外公开的、已知的恶意爬虫IP；另外，通过反向解析技术，收录了众多SE类别的爬虫信息，两者结合形成爬虫情报库，内置近10万条友好爬虫与已知恶意爬虫IP信息，目前仍持续更新中。 针对已知爬虫，边缘云WAF为爬虫情报进行标识与分类，例如搜索引擎类的爬虫，分为谷歌爬虫、360爬虫、百度爬虫等各类标识，您可以仅针对其中的某类搜索引擎标识进行加白的动作，则后续此类爬虫IP将不经过边缘云WAF的Bot防护策略。对于恶意爬虫，您也可以对其进行一键封禁的操作，边缘云WAF将会对其进行拦截，避免网站业务遭受已知恶意爬虫的攻击。

AI大数据协同 依托强大的自研防护集群优势，结合 AI 智能引擎持续优化防护策略等多维算法，实现大数据联动防护 通过多维度的频率控制、多重的人机挑战，叠加AI离线分析能力，精准识别虚假流量，高效过滤垃圾访问，保障大规模CC攻击时网站稳定运行 极简管理 CNAME接入，源端隐藏，提供可视化自助管理界面，对自身业务一目了然 7X24小时全网监控+智能调度服务，避免单点故障，保证业务稳定性 7X24小时服务，一对一专业安全运营对接，响应时长不超过30分钟

本节介绍网站漏洞扫描一次需要多久。 网站漏洞扫描的时长，跟多种因素相关，包括网站规模（即自动爬取的页面数）、网站响应速度、页面复杂度、网络环境等，通常扫描时长为小时级别，最长不超过24小时。 测试环境下，200个页面的网站完成一次全量扫描耗时约1个小时，这里仅供参考，请以实际扫描时间为准。 另外扫描的过程中会向网站发送一定数量的检测请求，可能会导致网站的负载小幅度增大。

本文介绍CC安全报表所展示的数据。 使用场景 业务接入DDoS高防（边缘云版）后，您可以通过CC攻击报表查询CC攻击防护的相关统计数据。 前提条件 已开通DDoS高防（边缘云版）。 开启CC防护配置，并触发产生CC攻击事件。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【安全分析】【安全报表】【CC安全报表】页面。 查询功能 您可以在CC安全报表头部指定您要查询的域名、时间范围。默认将展示最近7天，用户名下所有域名的统计数据。 报表内容： 说明 卡片栏 展示CC攻击事件数、CC攻击峰值、峰值取值时间、遭受CC攻击的网站数量。 攻击区域分布 国内攻击来源城市分布，按照攻击次数的范围展示为不同的颜色。 威胁事件排序情况：按照攻击次数的从多到少，将攻击来源区域进行TOP10排序，并计算不同攻击来源区域的占比。 攻击趋势 展示被攻击域名的QPS趋势图。 TOP攻击域名 按照请求数从多到少，展示被攻击域名的TOP10排序，并计算请求数的占比。 TOP URL排名 按照请求数从多到少，展示被攻击URL的TOP10排序，并计算请求数的占比。 TOP攻击IP 按照请求数从多到少，展示TOP攻击源IP，并展示其请求次数、区域及运营商。

本文介绍网站提示证书存在风险的相关场景及解决方案。 背景说明 网站已经在天翼云CDN控制台开启了HTTPS功能，并配置对应证书，但是用户使用浏览器访问该网站时提示证书存在风险。本文主要介绍可能的原因及应对方案。 可能原因及方案 场景一：域名配置的对应证书已过期 处理方式：您可以前往CDN控制台更换新的证书。具体操作时，可先上传新的证书，再在【域名管理】中的【HTTPS配置】中选择新证书对应的备注名，单击【提交保存】即可。详情请见：新增证书，HTTPS配置。 场景二：配置了自签名HTTPS证书 自签名证书是由个人或企业自行签署的证书，而不是由受信任的证书机构签发的证书。此类证书容易被伪造、安全系数低、有效期不稳定，各大浏览器基本都不信任此类证书。 处理方式：通过正规证书机构购买相应证书，购买后到CDN控制台重新上传证书并关联对应域名。 场景三：系统时间错误 请检查浏览器系统时间是否准确。如果系统时间不在ssl证书开始截止日期之内，则可能导致浏览器提示ssl证书过期或不生效。 处理方式： 更新浏览器本地系统时间。 场景四：使用了过低的TLS版本 处理方式：天翼云默认开启了TLS 1.0/1.1/1.2/1.3，目前公认的安全性更高的协议是TLSv1.2和TLSv1.3，您可选择关闭TLS 1.0/1.1，只开启 TLSv1.2 和 TLSv1.3。

本节介绍漏洞扫描服务的扫描IP有哪些。 如果您的网站设置了防火墙或其他安全策略，将导致VSS的扫描IP被当成恶意攻击者而误拦截。因此，在使用VSS前，请您将以下VSS的扫描IP添加至网站访问的白名单中：114.217.39.79，222.93.127.109 说明 VSS会模拟客户端使用随机端口连接被测试设备，建议放通来自vss这些ip的全量端口。

告警名称 威胁告警说明 DDoS “实时检测”互联网主机的DDoS攻击。 共支持检测100+种子类型DDoS威胁。 网络层攻击 NTP Flood攻击、CC攻击等。 传输层攻击 SYN Flood攻击、ACK Flood攻击等。 会话层攻击 SSL连接攻击等。 应用层攻击 HTTP Get Flood攻击、HTTP Post Flood攻击等。 暴力破解 “实时检测”入侵资产的行为和主机资产内部的风险，检测SSH、RDP、FTP、SQL Server、MySQL等账户是否遭受的口令破解攻击，以及检测资产账户是否被破解异常登录。 共支持检测22种子类型的暴力破解威胁。 支持检测的暴力破解威胁 包括SSH暴力破解（2种）、RDP暴力破解、MSSQL暴力破解、MySQL暴力破解、FTP暴力破解、SMB暴力破解（3种）、HTTP暴力破解（4种）、Telnet暴力破解。 接入的HSS服务上报的告警事件 包括SSH暴力破解、RDP暴力破解、FTP暴力破解、MySQL暴力破解、IRC暴力破解、Webmin暴力破解、其他端口被暴力破解、系统被成功爆破事件。 Web攻击 “实时检测”Web恶意扫描器、IP、网马等威胁。 共支持检测38种子类型的Web攻击威胁。 支持检测的Web攻击威胁 包括Webshell攻击（3种）、跨站脚本攻击、代码注入攻击（7种）、SQL注入攻击（9种）、命令注入攻击。 接入的HSS服务上报的告警事件 包括Webshell攻击、Linux网页篡改、Windows网页篡改。 接入的WAF服务上报的告警事件 包括跨站脚本攻击、命令注入攻击、SQL注入攻击、目录遍历攻击、本地文件包含、远程文件包含、远程代码执行、网站后门、网站信息泄露、漏洞攻击、IP信誉库、恶意爬虫、网页防篡改、网页防爬虫。 后门木马 “实时检测”资产系统是否存在后门木马风险，以及被后门木马程序入侵后的恶意请求行为。 共支持检测5种子类型的后门木马威胁。 检测主机资产上Web目录中的PHP、JSP等后门木马文件类型。 检测资产被植入木马特性 检测内容包括资产系统存在win32/ramnit checkin木马、被入侵后执行wannacry勒索病毒相关的DNS解析请求、被入侵后尝试下载木马程序，被入侵后访问HFS下载服务器等。 僵尸主机 “实时检测”资产被入侵后对外发起攻击的威胁。 共支持检测7种子类型的僵尸主机威胁。 对外发起SSH暴力破解 对外发起RDP暴力破解 对外发起Web暴力破解 对外发起MySQL暴力破解 对外发起SQLServer暴力破解 对外发起DDoS攻击 被入侵后安装挖矿程序 异常行为 “实时检测”资产系统异常变更和操作行为。 共支持检测21种子类型的异常行为威胁。 支持检测的异常行为威胁 包括文件系统被扫描、CMS V1.0漏洞、敏感文件被访问。 接入的HSS服务上报的告警事件 包括系统成功登录审计事件、文件目录变更监测事件、混杂模式网卡、异常权限用户、反弹Shell、异常Shell、高危命令执行、异常自启动、文件提权、进程提权、Rootkit程序。 接入的WAF服务上报的告警事件 包括自定义规则、白名单、黑名单、地理访问控制、扫描器爬虫、IP黑白名单、非法访问。 漏洞攻击 “实时检测”资产被尝试使用漏洞进行攻击。 共支持检测2种子类型的漏洞攻击威胁。 WebCMS漏洞攻击 命令控制 “实时检测”资产可能被命令与控制服务器（C&C，Command and Control Server）远程控制，访问与恶意软件或建立与恶意软件之间的链接。 共支持检测3种子类型的命令控制威胁。 监控主机存在访问DGA域名行为 监控主机存在访问恶意C&C域名行为 监控主机存在恶意C&C通道行为

后续配置 添加防护对象后，网站访问流量将经过WAF保护，您还需要完善以下防护配置，才能实现针对性的网站防护。 配置 说明 相关文档 Web基础防护 覆盖OWASP常见安全威胁，支持SQL注入、XSS、文件包含、远程命令执行、目录穿越、文件上传、CSRF、SSRF、命令注入、模板注入、XML实体注入等攻击检测和拦截。 Web基础防护 CC防护 CC防护支持默认防护策略及灵活的自定义防护策略。自定义策略支持依托精准访问控制规则进行特征识别，并根据访问源IP/ SESSION控制访问频率，恶意流量通过阻断、人机验证等处置手段有效缓解CC攻击。 CC防护 BOT防护 提供公开类型、协议特征、自定义会话特征等多种判定维度的防护策略，支持根据BOT会话行为特征设置BOT对抗策略，对BOT行为进行处理，有效防护搜索引擎、扫描器、脚本工具等爬虫攻击。 BOT防护 精准访问控制 支持基于IP、URL、Referer、UserAgent等请求特征进行多维度组合，定义访问匹配条件过滤访问请求，实现针对性的攻击阻断。 精准访问控制 IP黑白名单 支持添加始终拦截与始终放行的黑白名单IP/IP地址段，增强防御准确性。 IP黑白名单 地域访问控制 支持针对地理位置的黑名单封禁，可指定需要封禁的国家、地区，阻断该区域的来源IP的访问。 地域访问控制 防敏感信息泄露 支持对网站返回的内容进行过滤（拦截、脱敏展示），过滤内容包括敏感信息、关键字和响应码。 防敏感信息泄露 网页防篡改 通过缓存页面和锁定访问请求，可避免页面被恶意篡改而带来的负面影响，对重点静态页面进行保护。 网页防篡改 Cookie防篡改 通过对Cookie中的字段增加完整性校验保护，WAF会新增一个Cookie字段用于篡改校验。 Cookie防篡改 隐私屏蔽 通过设置隐私屏蔽规则，可屏蔽用户隐私信息，避免用户隐私信息出现在系统记录的日志中。 隐私屏蔽

步骤5：检查配置是否准确 检查网站信息是否填写正确，包括域名、端口、协议、回源IP等内容。 检查是否有特殊端口。如果有特殊端口需求，您可以将需要使用的HTTP/HTTPS访问端口提交工单，由天翼云客服人工配置。只有专业版和旗舰版支持配置特殊端口。 检查上传的HTTPS证书是否正确，证书是否合法有效，证书链是否完整。 检查源站是否有防火墙或访问限制，是否已加白WAF的回源IP。 步骤6：验证业务是否正常 验证在各环境下是否都能正常访问业务系统，观察请求的状态码是否异常。 验证业务系统登录后的会话是否保持正常。 如果有手机端业务，检查是否有SNI兼容问题。 是否有配置只允许WAF回源IP访问源站，防止攻击者绕过WAF直接攻击源站。 步骤7：安全运营 统计分析 您可以通过该模块查看CC攻击报表、WAF攻击报表、业务分析、热门分析等功能，详情请参考：安全运营统计分析。 告警管理 您可以通过该模块配置告警规则及查看告警记录，详情请参考：安全运营告警管理。 日志服务 该模块提供了WAF攻击日志、CC攻击日志的查看与导出功能，以及下载业务的访问日志的功能，详情请参考：安全运营日志服务。 态势感知 通过态势感知模块，您可以实时查看到业务整体的攻击情况，详情请参考：安全运营态势感知。

本章节为您介绍API风险监测资源模块内容。 资源是指系统审计到的应用、API、文件、账号等信息。 资源是通过识别镜像流量的信息，确认为有效信息后添加到资源列表中。 应用 应用展示从流量中发现的全量应用资源信息，提供多维度的应用资源的描述。 登录API风险监测应用，在左侧导航栏选择“资源 > 应用”即可进入应用管理页面。 说明 应用资源入库，定时任务每小时的30分执行一次。例如：12:30分执行一次入库操作。 修改应用信息 勾选需要修改修改应用的信息，单击“修改”按钮，在弹出的对话框中修改应用信息。 合并应用 勾选两个及以上应用，单击“应用合并”按钮，弹出“应用合并”弹窗，可以选择或输入应用名称以及应用域名，单击“保存”按钮，进行应用合并。 说明 应用合并期间建议不要进行生命周期配置、流量过滤配置、API合并操作。

内容下载时间 监测一个页面时，从页面角度看，浏览器或客户端接收WEB服务器返回第一个数据包，到所有内容传输完成的时间。

违规管控记录快速查询 当天翼云对您使用的产品或服务进行处置时，会将相关违规信息与处置类型以通知形式发送给您： 您可查收账号绑定手机的短信以了解处置通知信息，也可登录邮箱或站内信查询管控详细信息； 您可通过服务热线4008109889或提交工单联系客服查询。 安全事件管控记录查询常见问题 我收到了管控通知，但不清楚是哪里违规？ 您可参考《++安全违规信息类型说明++》、《++安全违规行为类型说明++》中有关规则进行排查。同时建议您检查网站或操作系统是否存在黑客入侵或病毒，从而导致出现违规行为。 我想查询违规信息的详细内容/快照？ 天翼云不会直接向您透露违规信息的详细内容/快照，若您对违规管控存在异议，请通过工单入口提交诉求，工作人员将在13个工作日内给予您反馈。 我收到了欺诈相关告警，请问我哪里涉诈了？ 您的产品或服务可能传播、存储了涉嫌欺诈的相关信息，或您用于搭建应用的工具、模板可能广泛应用于欺诈等违法行为。请您先根据《++安全违规信息类型说明++》（欺诈类细则）、《++欺诈类违规管控快速处理++》排查是否存在规则中已明确的欺诈相关信息，若您已完成整改或确认业务场景合规，可前往工单提交相关说明，天翼云会在13个工作日内予以反馈。

当WAF与访问者之间并无代理设备时，通过源IP来检测攻击行为较为精确，建议直接使用IP限速的方式进行访问频率限制。 攻击案例 竞争对手控制数台主机，持续向网站“www.example.com”发起HTTP Post请求，网站并无较大的负载能力，网站连接数、带宽等资源均被该攻击者大量占用，正常用户无法访问网站，最终竞争力急剧下降。 防护措施 步骤1 根据服务访问请求统计，判断网站是否有大量单IP请求发生，如果有则说明网站很有可能遭受了CC攻击。 步骤2 登录管理控制台，将您的网站成功接入Web应用防火墙。关于域名接入的具体操作请参见网站接入WAF。 步骤3 在目标域名所在行的“防护策略”栏中，单击“已开启N项防护”，进入“防护策略”页面，确认“CC攻击防护”的“状态”为“开启”。 步骤4 开启WAF的“CC攻击防护”后，添加CC防护规则，配置对指定路径下的请求进行基于IP限速的检测，针对业务特性，设置限速频率，并配置人机验证，防止误拦截正常用户，针对网站所有URL进行防护。 限速模式：选择“源限速”、“IP限速”，根据IP区分单个Web访问者。 限速频率：单个Web访问者在限速周期内可以正常访问的次数，如果超过该访问次数，Web应用防火墙服务将暂停该Web访问者的访问。 防护动作：防止误拦截正常用户，选择“人机验证”。 人机验证：表示在指定时间内访问超过次数限制后弹出验证码，进行人机验证，完成验证后，请求将不受访问限制。 阻断：表示在指定时间内访问超过次数限制将直接阻断。 仅记录：表示在指定时间内访问超过次数限制将只记录不阻断。 当用户访问超过限制后需要输入验证码才能继续访问。进入防护事件页面，可以查看攻击事件详情。

名称 服务阶段 主要服务项 过程文件及交付物 数据安全风险评估托管服务 风险评估范围圈定 基于企业数据治理结果，结合企业所在行业标准规范指南识别相关业务系统的敏感数据，通过对不同安全级别的数据类型进行确认，对选取的业务条线中敏感数据的范围进行划分，有助于后续针对敏感数据进行威胁发现。 《敏感数据清单》 数据安全风险评估托管服务 风险评估范围圈定 基于业务场景（调研业务流和数据流）的数据安全风险评估是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。 《业务数据调研表》 数据安全风险评估托管服务 风险评估范围圈定 基于业务场景（调研业务流和数据流）的数据安全风险评估是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。 《敏感数据流图》 数据安全风险评估托管服务 风险评估活动开展 安全威胁分析主要针对已识别的敏感数据资产，根据业务目标、模式、流程，信息系统基础架构、网络拓扑与边界等，基于威胁分析方法，从业务流、数据流等威胁来源，分析重要敏感数据资产面临的威胁，对威胁的严重性（影响）进行分级标识。 《数据安全风险评估报告》 （以选取的单一业务条线为单位） 数据安全风险评估托管服务 风险评估活动开展 通过工具监测、人工核查、技术测试、文档查阅等手段，分别分析管理以及技术层面在数据安全管理、系统运维管理、数据库、数据应用各模块具体内容的数据安全脆弱性节点，明确数据安全脆弱性分布。 《数据安全风险评估报告》 （以选取的单一业务条线为单位） 数据安全风险评估托管服务 风险评估总结应用 从安全管理和安全技术两方面着手，以敏感数据为中心、以数据生命周期为主线、以敏感数据场景为着力点，关注敏感数据场景、承载敏感数据的业务流程、敏感数据流转、相应业务活动中涉及的各类业务执行人员及权限，分析并评估相关业务处理活动中存在的权限提升、信息泄露、用户冒用、数据篡改，行为抵赖等数据安全威胁及风险。 《数据安全风险评估报告》 （以选取的单一业务条线为单位） 数据安全风险评估托管服务 风险评估总结应用 汇总形成基于业务场景的数据安全风险评估报告。 《数据安全风险评估报告》 （以选取的单一业务条线为单位）

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的Bot人机识别功能。 功能介绍 边缘安全加速平台安全与加速服务提供的人机识别模块支持Cookie挑战、跳转挑战、人机挑战等一系列反爬能力，帮助客户及时且精准地拦截爬虫流量，保障网站业务安全。 注意 目前控制台尚未开放人机识别功能，如有防护需求请通过 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 购买Bot防护扩展服务，支持Bot防护相关功能。 人机识别功能 Cookie基础检测 客户端标识检测：客户端标识检测是Bot防护第一检测策略，校验下发的Cookie个数和完整性，无客户端标识、客户端标识缺失、客户端标识解析失败都需要配置。 无客户端标识：针对请求没有Cookie的情况进行处理。 处理动作：拦截/告警/跳转/放行。 拦截：拦截请求。 告警：仅记录请求。 跳转：GET请求启动302跳转策略，POST请求启动307跳转策略。 放行：不对该异常做处理，另外不会再校验其他的BOT防护规则。 统计粒度：静态Cookie/IP+UA/IP。 触发条件：达到触发条件的请求将对其执行处理动作，并支持配置处理动作持续时长（触发规则后的惩罚时间）。 客户端标识缺失：针对请求带回Cookie个数小于下发的个数（最多会下发四个）进行处理。 客户端标识解析失败：针对失败解析Cookie的情况下进行处理。 其他字段： 客户端标识过期时间：默认15天，单位天，最大值365天。 白名单：即例外条件，符合条件的请求不进行功能检测。

下载取证 威胁事件支持下载数据包取证，单击列表右侧操作列的“下载取证”。 忽略 威胁事件支持针对事件和规则的忽略，单击列表右侧操作列的“忽略”。 忽略规则，包括忽略此条检测规则和此资产IP相关的事件。 忽略事件，仅忽略当前一条事件日志。 取消忽略 忽略的规则，通过“系统管理 > 系统设置 > 忽略规则管理”页面管理，将已经忽略的规则删除后，规则将继续生效。 警告配置 攻击源警告 “威胁检测 > 警告配置”页面的攻击源警告，用于对攻击源警告。当系统检测到远端IP地址存在恶意入侵或者探测行为时，可以对相应的IP进行告警，对其推送告警界面，以做警示，并记录告警事件时间和攻击源IP地址。 恶意网站警告 “威胁检测 > 警告配置”页面的恶意网站警告，用于对系统用户警告。当系统用户访问恶意网站时，对自己的用户推送提示页面，可以使用默认的提示内容，也可以自定义提示页面，自定义页面仅支持上传html的文件包。 恶意网站的数据，来源于国家能力中心。也支持用户自定添加，用户将自己整理的恶意网站的名称、域名添加到系统中，系统支持对自定义添加的恶意网站进行编辑、删除、停用、启用。 恶意网站检测通过开关控制，开关在“系统管理 > 功能配置 > 威胁检测”配置，默认关闭。

本节为您介绍数据库迁移工具连接监测。 数据库迁移工具提供源端数据库连接检测功能，用于启动订阅任务前确认源库的连通性。通过连接检测过，方能进行订阅。

与自建服务对比 对比项 自建节点 ECX 搭建效率 全国寻找洽谈资源。 分钟级全国算力快速下发。 资金投入 一次性投入大量资金建设。 按需租用，用完即走。 运维复杂度 建设自有运维平台。 批量可视化自动运维。 可靠性 缺乏有效的监测恢复手段。 24小时监控告警服务，专业运维支撑团队。 与传统服务对比 ECX相对传统的IDC服务，将计算、存储、网络能力从中心云经由电信网络下沉至城域网甚至区县，时延可降至毫秒级，可为用户提供属地化云服务。通过云边端协同，将数据处理下沉至边缘，提高数据处理响应的速度，同时提升数据存储、处理的安全性，敏感数据处理只在边缘进行，更适合对低时延、高效率、高安全性有要求的客户，如工业互联、智慧交通、智慧园区等。 与其它服务对比 ECX与其他服务相比，具有覆盖范围广、低时延等优势。 服务 位置及覆盖 提供能力 适用场景 ECX 各地市，全网边缘 提供多元算力，满足多种业务需求，用户通过就近部署业务，有效降低网络时延。 直播、视频、边缘渲染加速、游戏等。 CDN 各地市，全网边缘 提高用户访问网站的响应速度与网站的可用性，解决网络带宽小、用户访问量大、网点分布不均等问题。 内容加速、网站加速、文件下载加速等。 IDC 运营商机房 机房基础风、火、水、电服务。 服务器托管等本地化业务。 弹性云主机 各省中心云 提供传统中心云计算涉及的计算、存储、网络等IaaS功能。 密集算力需求，对于可靠性要求高、时延及本地化相对要求低的场景。 一体机iStack 客户现场机房 预装场景化PaaS能力的软硬一体化服务。 物联网、智能工厂、城市智能化等场景。

系统采用智能流量与威胁数据抽样统计技术,即使在处理海量日志时,也能兼顾查询准确性与响应效率。 功能介绍 实时分析您的域名请求量级智能判定您的域名是否符合抽样条件，当抽样系统判定您的域名符合抽样条件时，会进行流量与威胁日志数据抽样，触发规则如下： 访问日志过去1小时请求量级达 1000 万次以上，按10%抽样； 攻击日志过去1小时请求量级达 100 万次以上，按10%抽样； 全量日志过去1小时请求量级达 100 万次以上，按10%抽样； 达到访问日志/攻击日志/全量日志任意一种抽样条件条件后，则触发对应日志的抽样，若您的域名请求量级持续下降，安全与加速将自动为您取消抽样机制。 说明 AOne安全与加速会根据平台日志数据的规模和用户的使用需求，持续调整优化抽样策略。如果您对安全与加速提供的流量与威胁分析查询结果有任何疑问，请通过提交工单给天翼云客服进行处理。 应用抽样数据统计模块 AOne安全与加速运用智能流量与威胁日志数据抽样技术来适应不同用户的日志数据量级，确保数据分析的准确性和效率。在以下数据查询场景中，AOne安全与加速控制台相关页面所展示的数据可能会经过抽样处理： 在安全攻击日志、日志分析您看到的数据可能是抽样结果，在这种情况下，可能会存在无法检索到部分请求ID 对应日志的情况； 在总览、安全防护分析、态势大屏、报告订阅、告警管理、API安全的业务监测，您看到的数据也可能是抽样结果。这是因为当用户在使用总览、报表等数据时，引用预计算结果，帮助用户快速得到精确的统计结果。但是当用户需要按照某些特定维度分析明细数据时，多维下钻分析需实时扫描海量明细数据，通过抽样机制来降低计算负载，为用户实现高效查询响应； 在API资产列表您看到的来自API自发现的API资产数据和活跃度标签可能是抽样结果，可能会存在无法查看到对应API资产的情况； 在异常行为智能识别进行智能算法和大数据行为分析，分析客户业务流量的特征也可能是抽样结果； 通过调用OpenAPI统计访问日志、攻击日志、全量日志也可能是抽样结果。

审计分析 对实时动态分析的日志进行归并处理和监测，可及时发现高危安全事件，如用户违规行为、数据泄露、攻击利用和主机通信异常。 关联分析策略是系统中的核心功能之一，主要关注各类日志之间的逻辑关联关系。它不仅支持以预定义规则进行事件关联，还能基于状态、时序和归并等方式发现关联。 系统可审计以下不同类型日志或事件（需结合相关设备，如防火墙和IPS等）：网络攻击、有害代码、漏洞、用户访问存取、系统运行、设备故障、配置状态、网络连接和数据库操作等。 关联事件的结果将在关联事件中显示，如果符合关联策略，将以告警形式在实时监控模块呈现给用户。用户可以对告警进行处理，以确保及时应对潜在的安全问题。 数据展示 提供可视化的总体概览，通过仪表板可以直观地展示日志数据的统计和分析结果，帮助用户快速了解系统的运行状态和问题。用户可以自定义展示安全事件以及各类审计分析信息，提供实时的审计分析可视化界面。 全局监视仪表板，可展示不同设备类型、不同安全区域的实时日志流曲线、统计图，以及网络整体运行态势、待处理告警信息等。 风险报表 用户可以根据自己的需求，自由选择需要包含在报表中的指标和数据，以便更好地满足特定的业务需求。系统还提供了对预置报表模板的选择和预览功能。用户可以浏览系统中已经存在的报表模板，并选择其中的一个进行生产。这有助于用户快速生成符合自己需求的报表，节省了手动设计和生成报表的时间和工作量。 在报表中，系统以柱状图、曲线图和饼状图的方式统计安全报警和原始日志情况。这种可视化的报表展示方式使得数据更加直观易懂，用户可以更轻松地分析和理解报表中的信息。报表格式方面，系统支持PDF、Word等文件格式的导出。用户可以根据需要选择合适的文件格式，以便将报表分享给其他人或保存到本地进行进一步分析。 此外，系统还支持周期性生成报表并通过邮件推送给用户。用户可以设置报表的生成周期，例如每天、每周或每月定期生成报表，并通过电子邮件将其发送给用户。这样，用户可以及时获得最新的安全报警和日志信息，以便及时采取相应的措施。

配置多个源站时Web应用防火墙（边缘云版）采用什么负载均衡策略？ Web应用防火墙（边缘云版）接入网站时，支持客户配置多个源站地址。多源站场景下，Web应用防火墙（边缘云版）默认使用多层级主备的负载均衡策略，支持设置源站的主备优先级和权重。如果您需要使用一致性哈希等其他负载均衡策略可通过提交工单，由天翼云客服人工配置。 Web应用防火墙（边缘云版）智能负载均衡技术能够自动分配访问流量，保障业务的高可用性和自动容灾能力，开通智能负载均衡能力后，可以自助配置静态文件缓存在云安全节点，实现低延时的访问，达到对网站的一个加速效果。若您需要使用智能负载均衡功能，需要先开通智能负载均衡服务。 Web应用防火墙（边缘云版）是否会解密HTTPS流量并记录请求内容？ Web应用防火墙（边缘云版）在防护HTTPS业务时，需要您上传网站对应的HTTPS证书用于解密HTTPS流量，通过检测解密后的流量来判断请求是否符合攻击特征。Web应用防火墙（边缘云版）使用您上传的HTTPS证书解密业务流量只是用于实时监测，Web应用防火墙（边缘云版）只会记录带有攻击特征的一部分请求信息，用于Web应用防火墙（边缘云版）控制台报表展示和攻击日志查询等功能。

Web应用防火墙（原生版） Web应用防火墙（原生版）（CTWAF，Web Application Firewall，简称WAF）基于三大引擎（安全模型检测引擎+智能语义检测引擎+机器学习检测引擎），结合设备指纹、无感验证码、动态人机挑战、动态环境验证、随机化混淆策略、AI驱动的实时决策等关键技术，支持多种常见编码自动还原能力，提供深度攻击防逃逸功能，构建完整的动态防御闭环，有效检测 SQL 注入、XSS 等基于形式语言的攻击类型，有效应对自动化工具、0day漏洞攻击等高风险威胁。打造专业的Web安全防护能力。可为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。更多信息请参考++Web应用防火墙++ 配置方式： 如果您拥有弹性IP、公网NAT网关、弹性负载均衡等网络资产，并需要进行公网流量出入的互联网边界防护需求，您可以在云防火墙的“互联网边界开关”页面将这些网络资产接入云防火墙，并配置相关的互联网边界访问控制规则。具体操作，请参见++防火墙开关互联网边界防火墙++、++访问控制配置互联网边界防护规则++ 如果您拥有对等连接、云间高速、云专线等网络资产，并需要针对内网互访进行VPC边界防护，您可以在云防火墙的“VPC边界开关”页面将内网互访流量接入云防火墙，并配置相关的VPC边界访问控制规则。具体操作，请参见++防火墙开关VPC边界防火墙++、++访问控制配置VPC边界防护规则++

管理业务用途规则 规则创建完成后，支持对规则状态进行修改、编辑规则、删除规则。 规则状态：业务用途规则创建完成后，规则状态默认为“已启用”。用户可根据需要对规则状态进行修改。 编辑规则：单击操作列的“编辑”，对规则进行修改。业务用途规则的所有参数均支持修改。 删除规则：单击操作列的“删除”，在弹出的提示框中，单击“确定”，删除对应的规则。 配置生命周期 用户可通过设置监测周期、每天访问次数，来自定义低频访问API、失活API的判断标准。使得API检测更符合业务实际情况。 失活：在设定的监测周期内，每天的访问次数均小于或等于设置的失活阈值的API接口，将被判定为失活API。通常用来标识该接口不活跃或者无访问的情况。 低频访问：在设定的监测周期内，每天访问次数均小于等于设置的低频访问阈值的API接口，将被判定为低频访问API。通常用来标识有一定访问量，但不太活跃的接口，该类接口需要重点关注。 活跃：在设定的监测周期内，每天的访问次数大于设置的低频访问阔值的接口。通常用来标识该接口较为活跃。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“API安全 > 策略配置”，进入API策略配置页面。 5. 在“生命周期”模块，单击右下角的“配置”，进入API生命周期监测页面。 6. 在API生命周期监测页面，配置监测周期、每天访问次数，配置完成后，单击“确定”。 API生命周期监测参数说明如下： 参数 说明 周期监测 监测周期 请输入7~30的数字，默认值为7天。 每天访问次数 低频访问 设置低频访问阈值，最小值为2，默认值为10。 每天访问次数 失活 设置失活阈值，最小值为1，默认值为1。

网站目录被恶意篡改了怎么办？ 网页防篡改（原生版）具备实时监控和备份还原的能力，通过对比本地备份目录文件的指纹，发现网站目录文件被恶意篡改后，可立即对被篡改的文件进行自动还原。 监控防护目录大小是否有限制？ 防护目录有如下限制： 每台服务器最多可添加20个防护目录。 被防护的目录文件总大小不超过200GB。 所有被防护的目录下的文件夹个数不超过30000个。 开启网页防篡改后，如何修改文件？ 网页防篡改功能开启后，如果需要修改文件或更新网站，有如下两种方式： 方式一：暂时关闭网页防篡改功能 完成修改或更新后再重新开启。关闭网页防篡改期间，文件存在被篡改的风险，更新文件后请及时开启网页防篡改。 详细操作请参见关闭防护。 方式二：设置特权进程 特权进程为您信任的进程文件，可以对防护目录文件进行修改操作。请确保特权进程安全可靠。 详细操作请参见设置特权进程。

网站目录被恶意篡改了怎么办？ 网页防篡改（原生版）具备实时监控和备份还原的能力，通过对比本地备份目录文件的指纹，发现网站目录文件被恶意篡改后，可立即对被篡改的文件进行自动还原。 监控防护目录大小是否有限制？ 防护目录有如下限制： 每台服务器最多可添加20个防护目录。 被防护的目录文件总大小不超过2000GB。 所有被防护的目录下的文件夹个数不超过30000个。 开启网页防篡改后，如何修改文件？ 网页防篡改功能开启后，如果需要修改文件或更新网站，有如下两种方式： 方式一：暂时关闭网页防篡改功能 完成修改或更新后再重新开启。关闭网页防篡改期间，文件存在被篡改的风险，更新文件后请及时开启网页防篡改。 详细操作请参见关闭防护。 方式二：设置特权进程 特权进程为您信任的进程文件，可以对防护目录文件进行修改操作。请确保特权进程安全可靠。 详细操作请参见设置特权进程。