参数 说明 名称 自定义名称。 源安全域 安全域可根据业务情况选择。 源地址 源地址可根据业务情况选择。 目的地址 目的地址地址可根据业务情况选择，请输入防火墙网卡地址。 服务 根据业务主机开放端口选择服务。

本节介绍云等保专区产品的上线配置概览。 云等保专区整合了多个原子能力，部分原子能力需要进行安装配置后，才能正常使用。 原子能力 安装内容及步骤 参考文档 主机安全v1.0 Agent下载安装 请参考主机安全 主机安全v1.0 资产管理配置 请参考主机安全 主机安全v1.0 安全策略编辑 请参考主机安全 主机安全v1.0 日志查看 请参考主机安全 Web应用防火墙v1.0 绑定弹性IP 请参考Web应用防火墙 Web应用防火墙v1.0 全局配置 请参考Web应用防火墙 Web应用防火墙v1.0 添加站点 请参考Web应用防火墙 Web应用防火墙v1.0 配置策略 请参考Web应用防火墙 Web应用防火墙v1.0 验证URL 请参考Web应用防火墙 下一代防火墙v1.0 绑定弹性IP 请参考下一代防火墙 下一代防火墙v1.0 配置子网路由 请参考下一代防火墙 下一代防火墙v1.0 设置安全策略 请参考下一代防火墙 下一代防火墙v1.0 安全日志查看 请参考下一代防火墙 堡垒机v1.0 绑定弹性IP 请参考堡垒机 堡垒机v1.0 创建部门 请参考堡垒机 堡垒机v1.0 创建用户 请参考堡垒机 堡垒机v1.0 创建主机 请参考堡垒机 堡垒机v1.0 创建运维规则 请参考堡垒机 堡垒机v1.0 审计规则设置 请参考堡垒机 堡垒机v1.0 数据归档设置 请参考堡垒机 漏洞扫描v1.0 资产管理 请参考漏洞扫描 漏洞扫描v1.0 扫描策略设置 请参考漏洞扫描 漏洞扫描v1.0 创建扫描任务 请参考漏洞扫描 漏洞扫描v1.0 扫描报告查看 请参考漏洞扫描 日志审计v1.0 设置日志上传 请参考日志审计 日志审计v1.0 添加资产 请参考日志审计 日志审计v1.0 查询自查信息 请参考日志审计 日志审计v1.0 创建解决方案包 请参考日志审计 日志审计v1.0 订阅告警 请参考日志审计 日志审计v1.0 查看审计结果 请参考日志审计 数据库审计v1.0 安装Agent 请参考数据库审计 数据库审计v1.0 添加资产 请参考数据库审计 数据库审计v1.0 配置规则 请参考数据库审计 数据库审计v1.0 订阅报表和告警 请参考数据库审计

功能介绍 敏感词防护功能支持对网站返回的内容进行脱敏展示，过滤内容包括敏感信息（如身份证、手机号、银行卡、邮箱等）。您可以根据实际需要设置敏感词防护规则，满足数据安全保护和等保合规需求。 注意 防护敏感信息泄露功能目前只支持识别中华人民共和国境内（中国香港特别行政区、中国澳门特别行政区、中国台湾暂不支持）的身份证号、手机号、银行卡号、邮箱。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通套餐为基础版及以上版本，支持防护敏感信息泄露相关功能。 背景信息 个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。根据《GBT 352732017信息安全技术个人信息安全规范》解读：个人敏感信息包括：身份证号码，个人生物识别信息，银行账号，通信记录和内容，财产信息，征信信息，行踪轨迹，住宿信息，健康信息，交易信息，14岁以下（含）儿童的个人信息等。防护敏感信息泄露功能对网站的敏感内容脱敏处理，避免重要数据泄露带来的风险。 说明 默认脱敏显示您的联系方式等敏感信息，点击明文显示时，请您注意保护数据安全！

私有镜像计费说明 通过云主机创建系统盘镜像、数据盘镜像：免费。 系统盘镜像、数据盘镜像存储在ZOS桶中，但并非用户的私有桶，对用户不可见，镜像的管理维护必须通过镜像服务来实现，目前这部分存储免费供用户使用。 通过镜像文件创建系统盘镜像、数据盘镜像或ISO镜像：镜像文件需要先上传至对应资源池的对象存储桶，因此按镜像文件占用的对象存储空间收取费用。 创建整机镜像：不具备可用区的资源池创建整机镜像，涉及的费用为备份存储库的费用。通过云主机创建整机镜像，需要使用备份存储库，用户需要对备份存储库付费。 共享镜像 共享镜像是用户之间可以共享和重复使用的预先配置的操作系统和软件环境模板，它避免了重复的操作和配置工作。当一个用户创建满足特定需求的镜像时，其他用户可以通过共享该镜像快速获取相同配置的环境，提高部署效率和保持一致性。通过共享镜像，用户能够更高效地利用云计算资源，加快应用程序的部署和开发速度。 共享镜像计费说明 来源于他人共享的系统盘镜像、数据盘镜像：免费。 安全产品镜像 安全产品镜像仅用于加载CSSP、DAS、LAS、OSM等部分安全产品服务。 安全产品镜像使用说明 来源于天翼云平台共享给客户。 仅用于加载部分安全产品服务。 应用镜像 与基础的公共镜像相比，应用镜像预装了一些常见应用，可以实现快速部署特殊应用的目的。

本节介绍了云数据库TaurusDB的数据库连接相关的问题与处理方法。 外部服务器能否访问TaurusDB数据库 对于开通公网访问功能的TaurusDB实例，可以通过外网进行访问。 具体请参见： 通过公网连接TaurusDB实例 未开通公网访问的实例 在虚拟私有云中开通虚拟专用网络（Virtual Private Network，简称VPN），通过虚拟专用网络连接TaurusDB。 将TaurusDB与弹性云主机创建在同一个虚拟专用网络下，通过弹性云主机来访问TaurusDB。 具体请参见： 通过内网连接TaurusDB实例 ECS无法连接到TaurusDB实例的原因 遇到该问题，参考以下步骤排查解决。 步骤 1 先确认弹性云主机和TaurusDB实例是否在同一个虚拟私有云下。 如果在，执行步骤2。 如果不在，需要重新创建弹性云主机实例，使之和TaurusDB实例在同一个虚拟私有云下。 步骤 2 查看弹性云主机实例是否添加安全组。 如果有，检查安全组的配置规则是否满足要求。 请参见“创建实例”中的“安全组”的描述，然后执行步骤3。 如果没有，从弹性云主机的实例详情页面，进入虚拟私有云页面，选择“安全组”，添加安全组。 步骤 2 在弹性云主机上，测试是否可以正常连接到TaurusDB实例地址的端口。 TaurusDB主备版实例的默认端口为3306。 telnet { 端口号 } 如果可以通信，说明网络是正常的。 如果端口不通，请联系售后技术支持协助排查

本小节介绍态势感知产品定义。 态势感知为用户提供统一的威胁检测平台。态势感知能够帮助用户检测云上资产遭受到的各种典型安全风险，还原攻击历史，感知攻击现状，预测攻击态势，为用户提供强大的事前、事中、事后安全管理能力。 态势感知系统通过资产管理、脆弱性评估、威胁检测等手段完成用户网络的安全检查、风险评估、可视化呈现。同时，通过与国家应急响应中心（CNCERT）权威监测平台的威胁情报、知识库对接，动态实时地完成应急协同、威胁情报接入、信息流转、防护规则更新等信息交换，做到用户安全风险的快速发现和信息闭环。

优势 概括词 简介文案 丰富 域名种类丰富 天翼云域名服务提供了丰富的域名种类供用户注册，可以提供中文、英文等几十种域名类型。 实时 实时注册 天翼云域名服务在注册时直连注册管理机构API，实现实时的注册和查询服务。 管理 完善的域名管理 在域名管理中心您可看到域名注册日期、到期日期、DNS配置、实名认证、域名证书信息等 安全 安全可信 天翼云域名服务提供一个安全可信的域名服务平台，保障用户个人隐私数据安全 性价比 高性价比 天翼云域名服务致力于让用户花最少的钱，为用户提供最好的产品和最优质的服务。

子网 云资源（例如云服务器、物理机等）必须部署在子网内。您可以在虚拟私有云内创建一个或多个子网，但是子网的网段必须在虚拟私有云网段范围内。同子网内网络默认互通，同VPC下不同子网之间默认互通。子网网段创建后无法修改。 安全组 安全组是一种网络安全防护机制，用于防止未经授权的访问和保护计算机网络免受恶意攻击。它是一种虚拟防火墙，用于限制入向和出向网络流量。安全组工作在网络层和传输层，它通过检查数据包的源地址、目标地址、协议类型和端口号等信息来决定是否允许通过。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。 区域和可用区 我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）指物理的数据中心。每个区域完全独立，这样可以实现最大程度的容错能力和稳定性。资源创建成功后不能更换区域。 可用区（AZ，Availability Zone）是同一区域内，电力和网络互相隔离的物理区域，一个可用区不受其他可用区故障的影响。一个区域内可以有多个可用区，不同可用区之间物理隔离，但内网互通，既保障了可用区的独立性，又提供了低价、低时延的网络连接。 下图阐明了区域和可用区之间的关系。 目前，天翼云已在全国多个地域开放，您可以根据需求选择适合自己的区域和可用区。更多信息请参见天翼云产品部署看板 。

托管检测与响应服务（原生版）具备100%处置闭环率、持续保障、快速响应、标准化服务等核心优势。 100%处置闭环率 自动处置能力联动全网威胁情报，实时处置高级威胁，结合云端专家处置升级策略，保证重大事件处置闭环率100%。 持续安全保障 提供N × 24小时的安全保障，持续对云上资产进行告警分析、安全事件监测、漏洞情报捕获。 快速响应及时止损 第一时间介入安全事件发生的环境，对安全事件进行处置，避免类似情况再次发生，防止数据遭受泄露造成经济损失。 标准化服务内容 依托顶尖服务团队及行业标准，提供标准化服务流程和交付内容，保证服务质量。

本小节介绍容器安全的日志处理机制。 容器安全每隔10分钟更新一次log文件，如果文件大于30M，则将最近30M的日志信息写入对应的日志备份文件，当前日志文件内容清空。 日志备份文件的文件名为日志源文件名加上“ .last ”后缀，如 “shield.log”的备份文件为 “shield.log.last”。

本文将向您介绍如何通过边缘安全加速平台安全与加速服务提供的访问控制功能。 功能介绍 通过访问控制功能，您可以设置根据请求中不同字段内容进行匹配，对满足匹配条件的请求进行拦截、重定向等动作。 如您可以拦截来自指定IP、指定IP段与指定地域的IP地址请求。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 开通免费版及以上版本，支持使用访问控制功能，不同版本限制规则数不同，具体请见安全与加速服务版本差异对比。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【访问控制/限流】菜单，并在左侧域名列表选择您要防护的域名。 3. 进入防护能力高级安全防护【访问控制】详细设置。 配置说明 配置项 说明 优先级 配置访问控制策略的优先级，数字越小，优先级越高。 开关 访问控制策略的开关，支持开启或关闭。 处理动作 告警：对命中该规则的请求仅告警不阻断，记录攻击日志。 加白：对命中该规则的请求放行，不记录攻击日志。当防护粒度选择响应头、状态码时，不适用于"加白"动作。 攻击标记：命中该规则的请求将继续匹配后续防护策略。若命中，则产生对应类型的攻击日志，但不会阻断请求。当防护粒度选择响应头、状态码时，对响应报文进行攻击检测。 拦截：对命中该规则的请求进行拦截，并返回响应页面。当防护粒度选择响应头、状态码时，不适用于"拦截"动作。选择拦截动作，可设置自定义拦截页面。 丢弃：对命中该规则的请求拦截但不会响应页面，减少带宽。当防护粒度选择响应头、状态码时，不适用于"丢弃"动作。 重定向：对命中该规则的请求302重定向到指定的页面。仅适用于静态类请求。当防护粒度选择响应头、状态码时，不适用于"重定向"动作。 JavaScript挑战：对命中该规则的请求进行JavaScript挑战验证。仅适用于GET请求的HTML静态页面。当防护粒度选择响应头、状态码时，不适用于"JavaScript挑战"动作。 图片验证码：对命中该规则的请求响应图片验证码进行人机校验。仅适用于GET请求的HTML静态页面。当防护粒度选择响应头、状态码时，不适用于"图片验证码"动作。 规则名称 访问控制策略的规则名称。 规则描述 访问控制策略的规则描述。 防护范围 支持配置多个防护粒度，多个防护粒度为且关系，满足所有条件时，才触发处理动作。 防护粒度：支持选择IP、IPS、地理位置、URI、PATH等十几种粒度。具体粒度介绍见下方【防护粒度说明】。 关系：等于/不等于。 匹配内容：不同的粒度支持输入不同的匹配内容。一般支持输入多条，多条内容用英文符号;分隔。 防护周期 若您希望访问控制策略只在某个周期生效，可以配置防护周期，并支持且条件。防护周期支持配置每日、每周、每月。 配置示例： 1. 每周一至周二：周期包含12。 2. 每周日至周一的7点至9点：周期包含每周 71 且 周期包含每天07:0009:00。 3. 每月19号的23点到次日1点：周期包含每月 1919 且 周期包含每天23:0001:00。 4. 每周二或每周四的7点至9点：周期包含每周 22;44 且 周期包含每天07:0009:00。

本节主要介绍如何查看已有布局模板。 操作场景 布局中已有 告警管理 、 事件管理 、 漏洞管理 、 分析报告 、 情报管理 、安全大屏页面布局的管理页和详情页面模板。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 布局管理”，进入布局管理页面后，选择“模板”页签，进入布局模板页面。 5. 在布局模板页面，查看模板信息。 可以通过“布局类型”、“页面类型”，并输入关键字来搜索指定布局模板。 可以查看当前已有模板的名称、页面类型、创建时间等信息。 可以对已有模板的名称、模板内的布局进行编辑。 可以删除已有模板。

扫描能力 通过公网IP直接扫描公网主机 通过跳板机扫描内网主机 操作系统安全补丁扫描 支持 支持 远程服务/协议漏洞扫描 支持 不支持 说明 远程服务/协议类漏洞的扫描依赖于扫描器与被测目标的相关端口直接交互，因此不能通过跳板机完成测试验证。 操作系统安全配置扫描 支持 支持 Web中间件安全配置扫描 支持 支持 等保合规扫描 支持 支持

本节介绍了云数据库GaussDB 的产品优势。 高安全 云数据库GaussDB 拥有TOP级的商业数据库安全特性：数据动态脱敏，TDE透明加密，行级访问控制，密态计算。能够满足政企&金融级客户的核心安全诉求。 健全的工具与服务化能力 云数据库GaussDB 已经拥有云服务商用服务化部署能力，同时支持DAS、DRS等生态工具。有效保障用户开发、运维、优化、监控、迁移等日常工作需要。

本节介绍天翼云数据安全中心服务协议。 天翼云数据安全中心服务协议

本节介绍了如何在控制台变更域名的服务区域。 使用场景 根据域名所提供服务的区域，用户可选择与之相匹配的边缘安全加速平台服务区域。例如：某站点的主要客户群体在中国内地，则域名接入边缘安全加速平台后，选择“中国内地”服务区域。客户端访问域名站点的流量，就会就近接入进入中国内地区域的边缘节点。 当服务区域为中国内地，站点请求会被调度到中国内的节点。 当服务区域为全球（不含中国内地），站点请求会被调度到全球（不含中国内地）的节点。 当服务区域为全球，站点请求会被调度到中国内地或全球（不含中国内地）的节点。 前提条件 订购边缘安全加速服务，加速区域为“全球”的套餐。加速区域为“中国内地”或者“全球（不含中国内地）”的套餐，不可变更域名的服务区域。 域名状态为“已启用”。 使用说明 1.登录边缘安全加速控制台。 2.进入安全与加速工作台域名域名管理页面。 3.在域名操作栏点击“区域变更”，选择服务区域后点击确定即可。 注意 1、不同服务区域对应不同资费标准，服务区域包含中国内地时，域名请先完成在中国大陆的ICP备案，同时完成公安网的备案。 2、修改服务区域，由于服务节点变更，短期内回源的流量会增加，命中率会下降，请您留意源站运行情况。 3、 修改服务区域可能会引起回源IP变更，如果您的源站有回源IP白名单限制，请通过 4.进入后台自动化配置流程（正常情况15分钟以内），流程结束后会自动变成“已启用”状态。若“配置中”状态持续时间过长，可创建工单获取支持。

本章节为您介绍综合安全网关日志审计相关的内容。 日志审计功能是记录机构用户的操作日志，并提供查看详情，审核，批量审核，验签等功能。 查看日志操作记录并审核 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“管理审计日志”，进入“管理审计日志页面”。 3. 查看“操作名称”列的操作情况，进行审计。 4. 单击“操作”列的“验签”按钮，若验签成功则单击“审核”按钮进行审计。 导出日志 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“管理审计日志”，进入“管理审计日志页面”。 3. 若您需要导出所有日志可单击“导出全部”按钮，若您需要导出部分日志可勾选需要导出的日志后单击“导出所选”。

本文向您介绍如何解决修改Linux弹性云主机的默认SSH端口后,使用新端口无法登录。 新端口无法登录的原因可能有：安全组没有放通新端口，防火墙没有放通新端口，sshd文件未添加新端口等。 检查安全组规则 以新的SSH端口号为2222为例，安全组规则在确保 “入方向”需要放通2222端口。如果没有此规则，须在安全组中添加2222入方向端口 检查防火墙规则 检查iptables防火墙是否放通新的SSH端口，以2222端口为例。 1）登录Linux弹性云主机。以CentOS 7.6操作系统为例，执行以下命令编辑iptables文件。 vi /etc/sysconfig/iptables 2）添加2222端口规则 A INPUT m state state NEW m tcp p tcp dport 2222 j ACCEPT 3）修改完成后重启iptables服务。 systemctl restart iptables 检查SSH配置文件 1）登录弹性云主机检查ssh配置文件。执行如下命令，查看是否配置了 Port 2222。 vi /etc/ssh/sshdconfig 2）如未配置，请将“Port 22”替换为“Port 2222”。 3）执行如下命令，重启ssh服务。 service sshd restart

本文介绍云主机错误状态及解决方案。 一、引言 随着云计算技术的快速发展，云主机已经成为企业、个人和开发者们进行互联网应用的首选。然而，使用云主机的过程并非完全顺利，可能会遇到各种错误状态。本文将详细探讨云主机错误状态的类型、原因以及解决方案，帮助用户更好地管理和维护自己的云主机。 二、云主机错误状态类型 1. 网络错误 网络错误是云主机使用过程中最常见的错误类型之一。网络错误可能包括网络连接超时、无法连接到远程服务器或网络连接中断等。这些错误通常是由于网络配置问题、网络设备故障或网络拥堵等原因引起的。 2. 服务器错误 服务器错误通常包括服务器启动失败、运行异常、过载等。这类错误可能是由于服务器硬件故障、软件问题、操作系统故障或服务器资源不足等原因引起的。 3. 应用程序错误 应用程序错误是指运行在云主机上的应用程序出现错误。这类错误可能包括应用程序崩溃、运行缓慢、内存泄漏等。这些错误可能是由于应用程序本身的问题，如代码错误、不兼容性或配置问题等引起的。 4. 安全错误 安全错误是指与安全相关的错误，如身份验证失败、权限问题或安全策略冲突等。这些错误可能是由于用户名或密码错误、权限配置错误或安全策略设置不当等原因引起的。 三、云主机错误状态原因分析 1. 网络问题 网络问题可能是由于网络设备故障、网络连接问题或网络配置不当等原因引起的。例如，如果云主机的网络设备出现故障，或者网络连接被中断，那么就会出现网络错误。此外，如果网络配置不正确，例如DNS解析不正确，也可能会导致无法连接到远程服务器。 2. 服务器硬件故障 服务器硬件故障可能是由于服务器硬件设备出现故障或服务器资源不足等原因引起的。例如，如果服务器的硬盘出现故障，那么服务器可能无法启动或运行异常。此外，如果服务器的资源不足，例如内存不足或CPU过载，也可能会导致服务器运行异常。 3. 应用程序问题 应用程序问题可能是由于应用程序本身的问题，如代码错误、不兼容性或配置问题等引起的。例如，如果应用程序的代码存在错误，那么应用程序可能无法正常运行。此外，如果应用程序的配置不正确，例如数据库连接不正确或文件路径错误，也可能会导致应用程序运行异常。 4. 安全问题 安全问题可能是由于身份验证失败、权限问题或安全策略冲突等原因引起的。例如，如果用户名或密码不正确，那么身份验证可能会失败。此外，如果权限配置不正确，例如权限设置过于宽松或过于严格，也可能会导致权限问题。另外，如果安全策略设置不当，例如过于宽松的安全策略或过于严格的安全策略，也可能会导致安全问题。

云防火墙的应用场景及限制。 约束限制 CFW ALG标签功能受限。 CFW默认不开启网络层流量类型DDoS攻击与IP欺骗防御功能。 域名防护依赖于用户配置的域名服务器。默认域名服务器可能存在域名解析对应的IP地址不全，建议优先使用自定义域名服务器。 CFW长连接业务场景限制，配置策略的时候需要同时开启双向放通的安全策略，如果只开启单向策略，部分场景（开启和关闭防护、扩容引擎）需要客户端重新发起连接。 外部入侵防御 通过云防火墙，对已开放公网访问的服务资产进行安全盘点，可一键开启入侵检测与防御。 主动外联管控 云防火墙支持基于域名的访问控制，可对主动外联行为进行精准管控。 VPC间互访控制 云防火墙支持VPC间流量的访问控制，实现内部业务互访活动的可视化与安全防护。 等保合规 云防火墙可满足《网络安全等级保护2.0》中对区域边界防护、网络入侵防范、网络访问控制、安全日志审计等检查要求。

本节介绍OpenSSL漏洞修复最佳实践。 OpenSSL简介 OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份。这个包广泛被应用在互联网的网页服务器上，因此需要注重OpenSSL安全漏洞的修复。 OpenSSL用途 加密和解密数据：OPENSSL支持对称和非对称加密算法，可以用于安全的数据加密和解密操作。 数字签名：OPENSSL可以对数据进行数字签名，提高数据的可信度和合法性。还可以验证数字签名和证书的有效性。 SSL/TLS协议实现：OPENSSL支持SSL、TLS等协议，可以用于建立安全的网络连接，对数据进行加密传输，提高网络的安全性。 生成和管理数字证书：OPENSSL可以生成和管理各种类型的数字证书，包括服务器证书、客户端证书等。数字证书是实现安全通信的重要工具之一。 伪随机数生成器：OPENSSL可以生成高质量的伪随机数，用于各种密码算法中的随机数种子。 其他的密码学工作：除了上述主要用途外，OPENSSL还包括了各种密码学工具和库，可以实现密码算法的实现和分析。 依赖OpenSSL的软件或协议 MongoDB 4.4 Nginx KeepAlived Https OpenSSH SSH VPN 电子邮件 OpenSSL漏洞扫描 您可以参考漏洞扫描最佳实践进行漏洞扫描。 OpenSSL常见漏洞 CVE20160705 OpenSSL DSA代码双重释放漏洞 漏洞危害 OpenSSL 1.0.2及更早版本、1.0.1及更早版本解析畸形DSA密钥中存在双重释放漏洞，可导致受影响应用拒绝服务或内存破坏。 影响版本 OpenSSL 1.0.2及更早版本 OpenSSL 1.0.1及更早版本 修复建议 目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：< CVE20160799 OpenSSL‘BIOprintf’函数安全漏洞 漏洞危害 OpenSSL 1.0.2及更早版本、1.0.1及更早版本在BIOprintf函数的实现上存在内存破坏漏洞，可导致内存泄露等。 影响版本 OpenSSL 1.0.2及更早版本 OpenSSL 1.0.1及更早版本 修复建议 目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：< CVE20162842 OpenSSL doaproutch函数拒绝服务漏洞 漏洞危害 OpenSSL 1.0.1 < 1.0.1s、1.0.2 < 1.0.2g版本，crypto/bio/bprint.c/doaproutch函数未验证某些内存分配结果，这可使远程攻击者造成拒绝服务。 影响版本 OpenSSL 1.0.1 < 1.0.1s OpenSSL 1.0.2 < 1.0.2g 修复建议 目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：< CVE20162108 OpenSSL ASN.1编码器内存破坏漏洞 漏洞危害 OpenSSL中的ASN.1解析器在对数据解析时没有正确处理特定标签，当遇到VASN1NEGINTEGER和VASN1NEGENUMERATED标签时，ASN.1解析器也会将其视作ASN1ANY类型，从而解析其中的数据。当数据再次编码序列化时，可能造成数据越界写入，引起内存损坏。 影响版本 OpenSSL Project OpenSSL 1.0.2 OpenSSL Project OpenSSL 1.0.1 不受影响版本 OpenSSL Project OpenSSL 1.0.2c OpenSSL Project OpenSSL 1.0.1o 修复建议 目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：<

漏洞扫描及验证 通过网站安全监测系统平台，在无需用户采购任何Web应用扫描产品前提下，即可获得网站的漏洞态势，以及每个漏洞的详情介绍和修补建议；统计分析看板直观获取不同等级漏洞类型、易受攻击目标等数据，漏洞趋势分析摸底网站漏洞发展情况，同时兼具实时大屏态势感知功能方便跟踪漏洞发生大盘状态，方便及时作出处置。 服务支持远程扫描Web漏洞和按照国际权威安全机构WASC分类的25种Web应用漏洞，全面覆盖OWASP Top 10 Web应用风险。 如采购漏洞专家验证服务，还会提供针对中高危漏洞提供专家验证，确保漏洞真实存在，并协助客户完成漏洞复验，更好的完成漏洞生命周期管理。 安全事件监测 使用静态分析和动态解析相结合的主动挂马监测技术，通过解析引擎模拟环境监控记录URL页面运行行为，生成日志；通过后端引擎根据预定义规则高效、准确识别网站页面中的恶意代码，以及黄赌毒私服等词汇的恶意链接，使网站管理员能够及时清除网页木马及黑链，避免给访问者带来安全威胁，影响网站信誉。 使用前后页面对比的方式，辅以恶意文本核查分析，实时监测目标网站页面的篡改情况，支持监测静态文本内容的变化以及DOM树结构的变化；发现页面被篡改情况，第一时间通知用户，避免篡改事件影响扩散，给自身带来声誉和法律风险。 实时监测目标站点的页面内容，如出现个人敏感信息（包含手机号、银行卡号、身份证号码）泄露问题，第一时间告警通知客户。 内容安全监测 网站文本、图片内容的合规性监测，监测类别包含涉黄、涉毒、涉政、赌博、暴恐、邪教；支持监测的图像格式包括但不限于JPEG、GIF、PNG、BMP、TIFF、JPEG2000；支持监测的文本格式包括但不限于Big5、UTF8、GBK、GB2312，内容类型至少支持txt、html、wmlc、wml、xhtml、mht。 基于大量数据训练的深度学习模型，对待监测页面进行文本、图片元素的敏感内容监测，输出相关敏感信息和类别。 发现页面出现敏感信息后，第一时间通知用户。用户可参考天翼云提供的安全建议及时删除敏感内容，避免事件影响扩散，给自身带来声誉和法律风险。用户也可以自定义所关心的敏感关键词。 可用性监测 多线路远程实时监测目标站点在多种网络协议下的响应速度、可访问性等反映网站性能状况的内容，一旦发现网站无法访问，或访问出现延迟。根据事先定义好的网站通断级别，第一时间通知用户。风险日志详细展示存在的访问性问题，问题时长以及各监测点的诊断信息。用户也可以视情况选择合适的网站响应时间告警阈值。 DNS监测 从各省运营商网络线路远程实时监测各地主流ISP的DNS缓存服务器和用户DNS授权服务器的解析过程及结果。一旦发现用户域名无法解析或解析不正确，第一时间通知用户。避免出现由于DNS解析失败产生的网站无法访问，以及域名劫持等安全风险。 业务管理能力 提供态势感知大屏服务，满足客户大屏监控场景需求，以一站式全局视角，实时跟踪目标系统的风险情况，及时定位问题。 提供在线统计分析看板服务，态势感知帮助用户进行业务指标跟踪，能够多维度展示监测数据情况，数据统计分析能力赋能用户分析聚焦漏洞问题。 提供网站安全评估报告和漏洞扫描报告生成和下载服务，聚合任务监测的风险结果，让您整体掌握网站的风险状况及安全趋势。

本小节介绍开启节点防护。 开启节点防护的同时，系统会自动为该节点安装容器安全插件。 1、 登录管理控制台。 2、 在左侧导航树中，选择“资产管理 > 容器管理”，进入容器管理界面。 3、在节点列表的“操作”列，单击“开启防护”，为需要开启防护的节点开启防护。 4、 单击“确定”，开启节点防护，节点的“防护状态”为“已开启”，说明该节点已开启防护。 说明 一个企业主机安全配额防护一个集群节点。

3.1 升级系统 升级系统，确保软件包更新到最新，减少安全风险。下面的命令升级除内核相关之外的包，其中包含bug修复相关的包。 plaintext dnf y x 'kernel' update bugfix 3.2 配置ssh服务器 下面是对ssh服务器的一些配置。 plaintext sed e "s/^ ?PubkeyAuthentication./PubkeyAuthentication yes/g" e "s/^ ?PasswordAuthentication./PasswordAuthentication yes/g" e "s/^ ?PermitRootLogin./PermitRootLogin yes/g" e "s/^ ?UseDNS./UseDNS no/g" e "s/^ ?GSSAPIAuthentication./GSSAPIAuthentication no/g" i.bak /etc/ssh/sshdconfig 说明： PubkeyAuthentication yes：允许公钥认证访问。使用公钥认证访问通常更为安全。 PasswordAuthentication yes：允许使用密码认证访问。密码认证访问不如公钥认证访问安全。但默认镜像中没有公钥（在镜像中捆绑固定的公钥可能有安全隐患），需要使用密码认证访问。您可以在装机登录后配置好ssh公钥，然后禁用密码认证访问。 PermitRootLogin yes：允许root用户登录。允许root用户登录可能不够安全。但默认镜像中不创建其他普通用户。在镜像中创建普通用户并为其捆绑固定的密码可能有安全隐患。物理机装机时只会为root用户设置密码。您可以在装机登录后创建其他用户，然后禁用root用户登录。 UseDNS no：禁用反向DNS解析。未连通公网的机器上DNS不可用，会导致ssh连接缓慢或失败。 GSSAPIAuthentication no：禁用GSSAPI认证访问。GSSAPI认证需要自行配置才能使用。开启可能会导致ssh连接缓慢或失败。 注意 请不要在镜像中留ssh公钥或新建非root用户，可能有安全隐患。若相应的ssh私钥或用户密码泄露，继续使用该镜像会扩大受影响范围。

弹性云主机(CTECS,Elastic Cloud Server)是一种可随时获取、弹性可扩展的计算服务。云主机由 CPU、内存、镜像、云硬盘组成,同时结合VPC、安全组、数据多副本保存等能力,打造一个既高效又可靠安全的计算环境,确保服务持久稳定运行。

切换镜像 1. 进入“天翼AI云电脑（政企版）”控制台； 2. 点击“计算增强型AI云电脑”，进入“计算增强型AI云电脑”页面； 3. 在需要切换镜像的实例所在行，点击“管理”，选择“切换镜像”操作； 4. 选择执行时间； 立即执行：实例立即执行切换镜像的程序； 暂不执行：用户或管理员选择系统重装操作时，实例才执行切换镜像的程序； 5. 点击“确认”，即完成实例的镜像切换。 注意 镜像切换后，安装在系统盘的程序、数据将清除，数据盘的数据将保留，若非实例故障，通常不建议使用此功能。 安全组管理 1. 进入“天翼AI云电脑（政企版）”控制台； 2. 点击“计算增强型AI云电脑”，进入“计算增强型AI云电脑”页面； 3. 在需要管理安全组的实例所在行，点击“管理”， 选择“安全组管理”操作； 4. 点击新建，选择需要绑定的安全组和对应的网卡，点击“确定”，即完成实例的安全组绑定。 网卡管理 1. 进入“天翼AI云电脑（政企版）”控制台； 2. 点击“计算增强型AI云电脑”，进入“计算增强型AI云电脑”页面； 3. 在需要管理网卡的实例所在行，点击“管理”， 选择“网卡管理”操作； 4. 点击添加网卡，选择 VPC 子网并填写 IP 地址，点击“确定”，即完成实例网卡的创建。

参数 参数类型 说明 示例 下级对象 securityGroupID String 安全组ID sgxxxxxxxx7x securityGroupName String 安全组名称 DefaultSecurityGroup

云网通产品主要功能有： 高带宽入云专线 提供私网入云接入，支持高达100M/1000M bps的基于MPLS网络的PON/LAN链路入云专线，为企事业用户提供灵活的入云组网。 高安全的天翼云 天翼云具有领先的安全防护能力，全国通过中央网信办安全审查的资源池有八个，天翼云占了六个，天翼云网络攻击防护系统“云堤”，防攻击能力达到3000G，天翼云获得许多奖项，在许多重大型项目都经受了考验。 支持多个远端子网 用户可以配置多个用户侧子网，便于用户内部网络拓扑规划，用户侧子网不能和云资源池VPC下的子网冲突。

参数 描述 虚拟私有云 文档数据库实例所在的虚拟专用网络，可对不同业务进行网络隔离，方便地管理、配置内部网络，进行安全、快捷的网络变更。您需要创建或选择所需的虚拟私有云。 说明 实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 实例创建成功后，可以修改子网分配的内网地址。 说明 目前支持选择IPV4和IPV6网段的子网。 内网安全组 内网安全组限制安全访问规则，加强文档数据库服务与其它服务间的安全访问。 说明 请确保所选取的安全组允许客户端访问数据库实例（如协议选择为TCP，方向选择为入方向，端口设置为8635，源地址设置为实例所属子网或所属安全组）。 数据库端口 数据库端口默认8635，实例创建成功后可修改。文档数据库服务访问的数据库端口与数据库缺省值有区别，且需在安全组中添加相应规则，以免影响使用。 跨网段访问配置 现在设置 通过内网连接副本集实例时，当客户端和副本集实例部署在不同网段时，且客户端所在的网段不在“192.168.0.0/16”，“172.16.0.0/24”和“10.0.0.0/8”时，需要进行跨网段访问配置，以实现网络互通。 说明 源端ECS连接实例的前提是与实例节点网络通信正常，如果网络不通，可以配置“对等连接”。 跨网段访问配置当前最多可支持配置9个源端网段， 源端网段之间允许重叠但不能重复。即设置的源端网段之间可以有交集但不能完全一样，禁止使用127开头的网段，允许的IP掩码范围为832。 创建后设置 暂不配置源端对应网段。 IPV6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 企业项目 该参数针对企业用户使用，如需使用该功能，请联系客服申请开通。 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 请在下拉框中选择所在的企业项目，其中，default为默认项目。

当您使用浏览器登录邮箱发送邮件失败时,可以参考本文。 问题描述 在使用浏览器登录邮箱时直接使用 HTTP 协议，其端口号默认为 80，邮件主机之间还是使用邮件发送协议：SMTP 协议。通过浏览器发送邮件，则需要开放 TCP 出方向端口为 80。 处理方法 1. 在弹性云主机页面找到对应的安全组，单击安全组“ID”，进入“安全组”页面。 2. 在安全组界面，单击“添加规则”。 3. 在弹出的窗口，选择“出方向”，协议为“TCP”，设置端口为“80”单击“确定”完成添加。 在使用邮件客户端收发邮件时，邮件收发使用不同的协议： 发件协议一般使用 SMTP 协议，其端口号为 25； 收件协议使用 POP3 协议，其端口号为 110。 具体操作请参见 1～3。 说明 ：需要添加“入方向”：协议为“TCP”； 端口为“110”和“出方向”：协议为“TCP”，端口 为“25”的规则。

添加安全组规则 1. 点击云主机名称进入云主机详情页。 2. 选择云主机详情页下方的安全组页签。 3. 点击默认安全组展开详情按钮。 4. 点击“添加规则”，在端口范围处填写7860，点击确定。 5. 再次点击“添加规则”，在端口范围处填写7861，点击确定。

参数名称 值 描述 ssl on 默认启用SSL连接，不可修改。 sslcertfile /CA/server.pem SSL服务器证书文件的位置，不可修改。 sslciphers ALL:!ADH:!LOW:!EXP:!MD5:!3DES:!DES:@STRENGTH; 指定一个SSL密码列表，用于安全连接。用户可根据安全要求进行修改。推荐使用 EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EDH+aRSA+AESGCM:EDH+aDSS+AESGCM:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!SRP:!RC4 sslkeyfile /CA/server.key SSL服务器私钥文件的位置，不可修改。 sslminprotocolversion TLSv1.2 设置要使用的最小SSL/TLS协议版本，用户可根据安全要求进行修改，推荐使用TLSv1.2及以上版本。