查看网页防篡改防护列表 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全>企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在“主动防御>网页防篡改>防护配置”界面，查看服务器的防护状态。 说明 切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 状态说明 参数名称 说明 防护状态 防护中：HSS为该服务器提供静态网页防篡改防护。 动态防篡改状态 动态网页防篡改的状态。 已开启动态网页防篡改。 未开启动态网页防篡改。开启动态网页防篡改功能，要重启Tomcat才能生效。 静态防篡改攻击 检测静态网页文件被攻击、被篡改的行为次数。 动态防篡改攻击 检测web应用的漏洞利用、注入攻击等行为次数。 主机列表导出 1、登录管理控制台。 2、在页面左上角单击，选择“区域”，选择“安全>企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 4、选择“资产管理>主机管理”，选择“云服务器”界面。 5、在云服务器列表右上角单击，导出云服务器列表详情。 注意 当前云服务器详情导出单次最大支持1000台服务器。

开启防护 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 4、在左侧导航栏中，选择“资产管理 > 主机管理 > 云服务器”，进入“云服务器”界面。 5、选择所需开启安全防护的主机，单击“操作”列“开启防护”。您可以根据自己的实际场景选择“包年/包月”或者“按需计费”，开启主机防护。 说明 按需计费仅支持选择企业版。 包年/包月模式出现配额不足时需购买主机安全防护配额。 包年/包月： 在“开启方式”对话框中，“计费模式”选择“包年/包月”，选择目标版本、分配防护配额，阅读并确认“《主机安全免责声明》”。“选择配额”分配方式： 随机分配：下拉框选择“随机选择配额”，系统优先为主机分发服务剩余时间较长的配额。 指定分配：下拉框选择具体配额ID，您可以为主机分配指定的配额。 按需计费： 在“开启方式”对话框中，“计费模式”选择“按需计费”，选择目标版本，阅读并勾选“《主机安全免责声明》。 注意 基础版在首次开启时可免费体验30天，体验结束后需购买基础版的包年/包月模式才能使用。 6、单击“确认”，开启防护。开启主机安全防护后，请在控制台上查看主机安全服务的开启状态。若目标主机的“防护状态”为“开启”，则表示基础版/企业版/旗舰版防护已开启。 您也可以通过在“主机管理 > 防护配额”页面的“操作”列中，单击“绑定主机”，为主机绑定防护配额，HSS自动为主机开启防护。 一个配额只能绑定一个主机，且只能绑定Agent在线的主机。 开启主机防护后，HSS将根据您购买的服务版本，自动对您的主机执行服务版本对应的安全检测。 自动执行的安全检测

本文带您规避Intel处理器芯片存在的Meltdown和Spectre安全漏洞可能带来的问题。 问题描述 2018年1月3日，Intel处理器芯片被曝出存在严重的Meltdown和Spectre安全漏洞，漏洞详情如下： 漏洞名称：Intel处理器存在严重芯片级漏洞 漏洞编号：CVE20175753、CVE20175715、CVE20175754 漏洞级别：严重 漏洞描述：攻击者可以利用Meltdown （CVE20175754） 和Spectre （CVE20175715/CVE20175753） 绕过内存安全隔离机制，越权访问操作系统和其他程序的核心数据，造成敏感信息泄露。 问题影响 该漏洞不会引起不同弹性云主机之间的攻击，但可能会引起如下问题： 弹性云主机内多个应用之间，可能存在攻击。 对于同一弹性云主机，多个帐号之间可能存在攻击。 使用公共镜像的弹性云主机，云平台会对公共镜像依次修复，不会对您的业务带来影响。 使用私有镜像的弹性云主机，请根据漏洞影响评估是否更新补丁，以规避风险，更新补丁的具体操作请参见本节内容。 前提条件 为避免发生意外，修复漏洞前，建议进行充分测试，并完成弹性云主机的数据备份操作，避免发生意外。 Windows弹性云主机处理方法 1. 登录弹性云主机。 2. 更新补丁。 方式一：使用Windows自动更新功能安装补丁。 a. 打开Windows Update，并单击“检查更新”。 b. 根据需要下载安装相关安全补丁。 方式二：手动下载补丁并安装。 下载官方发布的补丁进行安装，如KB4078130。 3. 重启弹性云主机，使补丁生效。 4. 验证是否升级成功。 a. 检查系统运行情况是否正常。 b. 检查已安装的补丁清单是否满足微软官方的要求。

账号安全配置 目前数据库安全网关支持配置安全认证、登录超时、账号有效期策略，默认都不开启。 安全认证 ：在菜单栏选择“安全运维 > 数据库访问账号 > 账号安全配置”进入页面，单击击用户认证模块的“修改”按钮，开启安全认证开关，当启用安全认证后，若运维人员未能及时前往进行身份验证，系统将自动禁止其使用已分配的数据库访问账号进行数据库的登录操作。若验证通过后在验证有效时间段内访问数据库方可登录。 登录超时 ：在菜单栏选择“安全运维 > 数据库访问账号 > 账号安全配置”进入页面，单击击用户认证模块的“修改”按钮，开启登录超时开关，当启用登录超时后，若数据库访问账号在设定的时长内未对数据库进行任何操作，系统将自动默认阻断其会话连接，若该账号需要重新进行数据库操作，必须重新进行登录验证。 账号有效期 ：在菜单栏选择“安全运维 > 数据库访问账号 > 账号安全配置”进入页面，单击击用户认证模块的“修改”按钮，开启账号有效期开关，当启用账号有效期后，新建的数据库访问账号将自动被赋予一个默认的有效期限，一旦账号达到其设定的有效期，系统将自动阻断该账号对数据库的访问权限，直至账号更新有效期。 配置项说明： 配置项 说明 安全认证 可启用或禁用，默认禁用。 验证有效时间 有效值143200 分钟，默认5 分钟，验证通过后该时间段内访问数据库登录放行。 登录超时 可启用或禁用，默认禁用。 登录超时时间 有效值1120 分钟，默认10 分钟，当数据库访问账号超过设定时长对数据库无操作时默认阻断，再次操作需重新登录。 账号有效期 可启用或禁用，默认禁用。 账号有效期时间 有效值159999 天，默认值180 天，数据库访问账号新建时默认有有效期，若超过有效期则阻断。

缺点 资源冗余，需要部署两套生产环境。 新版本故障影响范围大。 A/B测试 概念 A/B测试是一种通过对比实验优化产品决策的技术方法。它会将用户流量随机分配到两个或多个不同版本（A版和B版）的服务或界面中，在相同运行环境下收集各版本的用户行为数据。这是一种基于请求内容匹配的灰度发布策略，只有匹配特定规则的请求才会被引流到新版本，常见的做法包括基于HTTP Header和Cookie。 这种方案既能验证新功能/改版的实际效果，又能有效控制产品迭代风险。由于采用实时分流机制，整个过程无需停机切换，且可以随时终止实验恢复原状。 如下图所示，某服务当前版本为v1，现在新版本v2要上线。希望安卓用户可以尝鲜新功能，其他系统用户保持不变。通过在监控平台观察旧版本与新版本的成功率、RT对比，当新版本整体服务符合预期后，即可将所有请求切换到新版本v2，最后为了节省资源，可以逐步下线到旧版本v1。 优点 可以对特定的请求或者用户提供服务新版本，新版本故障影响范围小。 需要构建完备的监控平台，用于对比不同版本之间请求状态的差异。 缺点 仍然存在资源冗余，因为无法准确评估请求容量。 发布周期长。 金丝雀发布

对本地上传的代码包进行统一管理。 支持直接上传本地文件、本地压缩包。单次上传文件最多支持5个。 对于文件数量较多，建议使用压缩包上传。 上传完成后操作列点【在线编码】即可进入JupyterLab或VSCode进行编码。 说明 存储目录：/work目录可以被用作统一的文件管理，同时开发机中不同的实例或容器任务可以共享这个目录。 其中/work/mount目录是用于使用和挂载平台上的数据集模型、代码文件的，创建界面选择对应数据集和模型后，系统自动分配挂载路径，打开开发机即可看到这些路径，写代码直接读取这些路径即可读取数据和模型： a)存储时间:只在开发机运行中可使用，开发机关闭后mount目录会和容器取消挂载，也无法读取。 b)目录隔离:在不同开发机的目录内容是隔离的，每启动一个开发机都是自己的一套mount。 c)存储策略:mount 目录为挂载使用，用户在 mount 对应子目录下写入的代码或者拖入的文件会自动转存回原始数据集、代码包或者模型存储中。 【注意】: 自动转存的前提为文件或者文件夹写入到平台自动挂载的目录下，在/work/mount 目录下手动创建的目录(比如:/work/mount/abc)不会做自动转存，同时开发机销毁后自动清理。

请您根据以下处置建议，对系统展开检查，减少脆弱性暴漏。 体检完成后，您可以根据体检报告及漏洞详单查看互联网业务的漏洞开放、弱口令、高危端口开放等安全问题。体检报告包含推荐的处置建议，产线可根据这些建议，完成漏洞修复并及时更新线上系统，防止被攻击人员利用，造成损失。 通用处置建议 安全体检建议对存在漏洞的主机参考附件中提出的解决方案进行漏洞修补、安全增强。 建议所有Windows系统使用"Windows Update"进行更新。 对于大量终端用户而言，可以采用WSUS进行自动补丁更新，也可以采用补丁分发系统及时对终端用户进行补丁更新。 对于存在弱口令的系统，需在加强使用者安全意识的前提下，督促其修改密码，或者使用策略来强制限制密码长度和复杂性。 对于存在弱口令或是空口令的服务，在一些关键服务上，应加强口令强度，同时需使用加密传输方式，对于一些可关闭的服务来说，建议关闭该服务以达到安全目的。 对于UNIX系统订阅厂商的安全公告，与厂商技术人员确认后进行漏洞修补、补丁安装、停止服务等。 由于其他原因不能及时安装补丁的系统，考虑在网络边界、路由器、防火墙上设置严格的访问控制策略，以保证网络的动态安全。 建议网络管理员、系统管理员、安全管理员关注安全信息、安全动态及最新的严重漏洞，攻与防的循环，伴随每个主流操作系统、应用服务的生命周期。 建议采用安全体检系统定期对网络进行评估，真正做到未雨绸缪。 远程安全评估系统建议对存在不合规检查项的主机参考对应的检查点详情中提出的调整方案和标准值进行修正。

本小节介绍处理容器告警事件。 企业主机安全可对您已开启的告警防御能力提供总览数据，帮助您快速了解安全告警概况包括存在告警的容器、待处理告警事件、已处理告警事件。 事件列表仅保留近30天内发生的告警事件，您可以根据自己的业务需求，自行判断并处理告警，快速清除资产中的安全威胁。 告警事件处理完成后，告警事件将从“未处理”状态转化为“已处理”。 约束限制 未开启防护的服务器不支持告警事件相关操作。 操作步骤 当发生安全告警事件后，为了保障您的云服务器安全，可以根据以下方式处理安全告警事件。 说明 由于网络攻击手段、病毒样本在不断演变，实际的业务环境也有不同差异，因此，无法保证能实时检测防御所有的未知威胁，建议您基于安全告警处理、漏洞、基线检查等安全能力，提升整体安全防线，预防黑客入侵、盗取或破坏业务数据。 1、登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 3、在左侧导航栏中，单击“入侵检测 > 安全告警事件 > 容器安全告警”，进入“容器安全告警”页面。 告警事件状态说明 告警事件状态 告警事件状态说明 存在告警的服务器 展示存在告警容器的数量。 待处理告警事件 展示您资产中所有待处理告警的数量。 安全告警处理页面默认展示所有待处理告警信息。 已处理告警事件 展示您资产中所有已处理的告警事件数量。 4、 处理告警事件。 告警事件展示在“容器安全告警”页面中，事件列表仅展示最近30天的告警事件。 您需要根据自己的业务需求，自行判断并处理告警。告警事件处理完成后，告警事件将从“未处理”状态变更为“已处理”。HSS将不再对已处理的事件进行统计。 批量处理勾选的告警 a.任意选中“事件类型”，在事件列表勾选多个目标告警，单击“事件列表”下方的“处理”。 b.在弹窗中选择处理方式，确认无误，单击“确认”，完成勾选告警处理，处理方式详情如表76所示。 处理单个告警 a.选中目标“事件类型”，单击目标告警事件“操作”类的“处理”。 b.在弹窗中选择处理方式，确认无误，单击“确认”，完成单个告警处理，处理方式详情如表所示。 处理方式 处理方式说明 忽略 仅忽略本次告警。若再次出现相同的告警信息，HSS会再次告警。 手动处理 选择手动处理。您可以根据自己的需要为该事件添加“备注”信息，方便您记录手动处理该告警事件的详细信息。

约束限制 仅支持开启网页防篡改版防护后才支持防篡改相关操作。 前提条件 云服务器的“Agent状态”为“在线”且“防护状态”为“开启”。 操作步骤 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在“主动防御 > 网页防篡改 > 防护配置”页面，单击目标服务器“操作”列的“查看报告”。 查看防护报告 5、在查看报告界面，查看防护记录详情。 网页防篡改防护记录 查看网页防篡改防护事件 开启静态网页防篡改防护后，主机安全服务将立即对您添加的防护目录执行全面的安全检测。您可以查看所有主机防护文件被非法篡改的记录。 约束限制 仅支持开启网页防篡改版防护后才支持防篡改相关操作。 前提条件 云服务器的“Agent状态”为“在线”且“防护状态”为“开启”。 已开启静态网页防篡改。 操作步骤 1、登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3 、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 说明 切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。 4、在“主动防御 > 网页防篡改 > 防护事件”页面，查看主机防护文件被篡改记录。 防护事件

安全体检产品定义，一款面向互联网IP的全面体检产品。 安全体检是一款面向具备互联网业务的用户，提供周期性、精准、全面的互联网IP安全检查的产品，帮助用户监测、发现业务风险，生成体检报告，实时掌握业务安全状况。安全体检产品支持弱口令检测、漏洞开放检测、高危端口开放检测等，帮助用户全面掌握互联网业务安全状况，并结合体检报告提供处置建议，帮助用户快速完成加固。

本小节介绍安全专区购买类常见问题。 安全专区是否支持试用？ 不支持。安全专区不支持试用，因安全组件需要虚机承载才可部署。 购买安全专区，是否另外还需要购买虚机？ 安全专区等保套餐内会自动包含所需云主机、存储、网络并自动计算价格，如您有闲置主机并满足硬件要求可在订购页面选择不够买云主机，主机硬件要求请参考价格详情内对应云主机基础要求。 套餐类型不同，对应产品的功能和性能是否一致？ 安全专区分为4种套餐及自定义一共5种订购方式。套餐类型不同为组件数量不同，单组件功能及性能并无差别，请根据自身防护需求选择不同套餐即可。

安全专区产品按等保级别订制4个套餐型号销售，本小节介绍安全专区套餐功能计费说明。 安全专区产品按等保级别订制4个套餐型号销售，套餐功能特性及安全组件规格如下： 等保级别 套餐型号 套餐安全功能特性 可选安全组件及规格 二级等保 入门版 云防火墙（含WAF/防篡改模块） 云防火墙：100M/200M/300M/400M/500M/800M/1G/1.6G 二级等保 入门版 云日志审计 云日志审计：10/20/50/100/200/300/500资产 二级等保 入门版 主机漏扫 安全管理中心基础版：10/20/50/100/200/300/500资产 二级等保 入门版 安全管理中心 二级等保 基础版 云防火墙（含WAF/防篡改模块） 云防火墙：100M/200M/300M/400M/500M/800M/1G/1.6G 二级等保 基础版 云日志审计 云日志审计：10/20/50/100/200/300/500资产 二级等保 基础版 终端安全EDR（防病毒/补丁/基线/微隔离） 终端安全EDR：实际资产数 二级等保 基础版 云堡垒机 云堡垒机：10/20/50/100/200/300/500资产 二级等保 基础版 主机漏扫 安全管理中心基础版：10/20/50/100/200/300/500资产 二级等保 基础版 安全管理中心 三级等保 高级版 云防火墙（含WAF/防篡改模块） 云防火墙：100M/200M/300M/400M/500M/800M/1G/1.6G 三级等保 高级版 云日志审计 云日志审计：10/20/50/100/200/300/500资产 三级等保 高级版 终端安全EDR（防病毒/补丁/基线/微隔离） 终端安全EDR：实际资产数 三级等保 高级版 云堡垒机 云堡垒机：10/20/50/100/200/300/500资产 三级等保 高级版 主机漏扫 安全管理中心基础版：10/20/50/100/200/300/500资产 三级等保 高级版 安全管理中心 三级等保 高级版 云数据库审计 云数据库审计：100M/200M/400M/600M 三级等保 旗舰版 云防火墙（含WAF/防篡改模块） 云防火墙：100M/200M/300M/400M/500M/800M/1G/1.6G 三级等保 旗舰版 云日志审计 云日志审计：10/20/50/100/200/300/500资产 三级等保 旗舰版 终端安全EDR（防病毒/补丁/基线微隔离） 终端安全EDR：实际资产数 三级等保 旗舰版 云堡垒机 云堡垒机：10/20/50/100/200/300/500资产 三级等保 旗舰版 主机漏扫 安全管理中心高级版：10/20/50/100/200/300/500资产 三级等保 旗舰版 应用漏扫 三级等保 旗舰版 安全管理中心 三级等保 旗舰版 云数据库审计 云数据库审计：100M/200M/400M/600M 安全专区根据等保等级要求配置所需的安全能力，不同套餐包含的安全组件参见上表，其中云防火墙及云数据库审计组件按应用吞吐量授权，安全管理中心、云日志审计、云堡垒机、终端安全EDR组件按资产数量授权。 用户在选定套餐后，根据业务的资产数及需求量选定组件规格。

sectiond1d6713199dc6481) 安全监控 安全趋势 各个板块数据统计周期及更新频率如下表所示： 参数名称 统计周期 更新频率 说明 安全评分 实时 每天2:00自动更新 随手动单击“重新检测”更新而更新 根据是否开启各安全服务防护、未处理的配置问题等级及个数、未处理的漏洞等级及个数、未处理的威胁事件等级及个数等计算而来，详细评分信息请参见安全评分。 威胁告警 近7天 每5分钟 当前工作空间内，“威胁管理 > 告警管理”中的告警总和。 漏洞 近7天 每5分钟 当前工作空间内，“风险预防 > 漏洞管理”中的漏洞总和。 合规检查 实时 每5分钟 当前工作空间内，“风险预防> 基线检查”中的问题总和。 安全趋势 近7天 每5分钟 “安全趋势”板块展示近7天内您的整体资产安全健康得分的趋势图。 安全评分 “安全评分”板块根据态势感知（专业版）的威胁检测能力，评估整体资产安全健康得分，可快速了解未处理风险对资产的整体威胁状况。 安全评分每天凌晨2:00自动更新，也支持通过单击“重新检测”来进行实时更新。 分值范围为0～100，分值越大表示风险越小，资产更安全，安全分值详细说明请参见[安全评分](/document/10564662/11084525

技术亮点 CodeLlama 是基于 Llama 2 定制开发的代码专用版本，通过在特定的代码数据集上进一步训练 Llama 2 模型创建而成。这一训练过程涉及从数据集中更深入地采样和更长时间的训练，以专注于代码相关的任务。从本质上讲，Code Llama 强化了其编码功能，使其能够更精准地响应代码生成和自然语言提示相关的需求。它不仅能够根据自然语言提示生成代码，还能对代码进行描述（例如，“生成一个输出斐波那契数列的函数”），甚至可以辅助代码完成和调试工作。 CodeLlama 支持当今广泛使用的多种编程语言，包括但不限于Python、C++、Java、PHP、TypeScript（作为JavaScript的超集）、C 以及Bash等。这种广泛的语言支持使得Code Llama在多种编程环境中都能发挥重要作用。 在人工智能领域，尤其是针对编码任务的LLM（大型语言模型），开放式的开发方法对于促进创新和提升安全性至关重要。公开可用的特定代码模型，如Code Llama，能够激发新技术的开发和应用，从而推动社会进步和改善人们的生活质量。通过发布这样的模型，整个社区可以共同评估其能力、识别潜在问题并协同修复漏洞，进一步推动技术的健康发展。 免责声明 CodeLlama34BInstruct模型来源于第三方，本平台不保证其合规性，请您在使用前慎重考虑，确保合法合规使用并遵守第三方的要求。

本章节会介绍通过内网连接PostgreSQL实例的流程。 本章介绍如何在管理控制台创建Microsoft SQL Server实例，并通过内网使用弹性云主机上连接Microsoft SQLServer实例。 步骤一：创建实例。根据业务需求，确认Microsoft SQL Server实例的规格、存储、网络配置、数据库帐户配置信息等。 步骤二：设置安全组规则。 ECS与RDS实例在相同安全组时，默认ECS与RDS实例互通，无需设置安全组规则，执行步骤三：通过内网连接Microsoft SQL Server实例。 ECS与RDS实例在不同安全组时，需要为RDS和ECS分别设置安全组规则。 设置RDS安全组规则：为RDS所在安全组配置相应的入方向规则。 设置ECS安全组规则：安全组默认规则为出方向上数据报文全部放行，此时，无需对ECS配置安全组规则。当在ECS所在安全组为非默认安全组且出方向规则非全放通时，需要为ECS所在安全组配置相应的出方向规则。 步骤三：通过内网连接Microsoft SQL Server实例。

本页介绍了公网连接实例如何设置安全组规则。 安全组 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互信任的弹性云服务器和文档数据库服务实例提供访问策略。 为了保障文档数据库服务的安全性和稳定性，在使用文档数据库服务实例之前，您需要设置相应的安全组规则，开通需访问数据库的IP地址和端口。 使用公网连接文档数据库服务实例时，需要为文档数据库服务所在安全组配置相应的“入方向”规则。 白名单 白名单是在安全组之上，针对单个文档数据库实例更细粒度的IP地址访问安全管理。 入方向规则配置步骤 1. 进入TeleDB数据库控制台。 2. 在“DDS”>“实例管理”页面，选择指定的目标实例，单击实例名称，进入“基本信息”页面。 3. 在“基本信息 > 网络 > 安全组”处，单击编辑，选择安全组。 4. 单击vpc名称，进入网络控制台，选择“访问控制 > 安全组”。 5. 在安全组页面，选择指定安全组，单击名称，进入安全组详情页面。 6. 在入方向规则页签下，单击“添加规则”，弹出添加入方向规则窗口。 7. 根据界面提示配置安全组规则。 8. 单击“确定”。 白名单公网访问设置 1. 进入TeleDB数据库控制台。 2. 点击“DDS”>“实例管理”进入实例列表页面。 3. 点击实例状态是“运行中”实例的实例名称，进入到该实例详情页。 4. 点击选择“白名单管理”页，点击“添加白名单分组”按钮，或者对已有的白名单分组，点击操作栏的“修改”按钮。 5. 在弹窗页中，业务访问类型选择“公网访问”、再配置允许访问的公网IP名单信息，点击“确定”按钮即可完成白名单分组添加或修改。具体可参考白名单管理。

本页介绍天翼云TeleDB数据库管理安全。 除了技术要求以外，数据库管理团队也应参考信息安全等级保护（三级）确保数据库被安全管理，例如： 应安排专人进行数据库的运维管理，安全管理和审计工作。 应建立安全管理小组，并及时处置相关安全风险。 应建立应急响应机制和备份恢复策略，并定期演练。 应定期进行数据库巡检，及时进行数据库升级工作，确保产品的缺陷和安全漏洞进行修复。 应建立与天翼云的服务团队的常规联系，确保紧急情况下联系畅通。

阶段 项目活动 工作内容 第一阶段：咨询服务启动 等保测评技术指导、讲解 介绍整体服务工作 第一阶段：咨询服务启动 等保测评技术指导、讲解 测评内容介绍 第一阶段：咨询服务启动 等保测评技术指导、讲解 确认保密管理内容 第一阶段：咨询服务启动 等保测评技术指导、讲解 介绍风险管理措施 第一阶段：咨询服务启动 等保测评技术指导、讲解 讲解等保要求细则 第一阶段：咨询服务启动 等保测评技术指导、讲解 输出《等保测评技术指导》 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 依据等级保护要求，对客户系统进行安全自评估，进行差距分析 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全物理环境 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全通信网络 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全区域边界 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 安全计算环境 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 差距分析 第二阶段：安全自测评 环境检查系统检查安全检查差距分析 输出《差距分析评估》 第三阶段：整改建议 （仅标准版提供） 根据差距分析，提供整改建议 差距分析整理，提供差距建议，输出《差距整改方案》

本文介绍WAF针对DeepSeek安全防护场景提供的Web防护方案。 背景介绍 随着人工智能技术的快速发展，很多企业选择在GPU云主机或GPU裸金属上搭建DeepSeek私有化服务，在这个过程中，用户不仅享受到了强大的AI算力资源，同时也面临着复杂的网络威胁，如DDoS攻击、SQL注入、跨站脚本（XSS）等。 为了保障AI算力资源、训练数据及服务API链路的安全性，部署Web应用防火墙成了必不可少的安全举措。Web应用防火墙支持多种定制化的安全防护策略，帮助企业有效应对各种网络威胁，确保DeepSeek服务的稳定运行，保障DeepSeeK安全性。 DeepSeek安全防护场景示意图 在DeepSeek Web安全防护场景中，用户的DeepSeeK服务部署在GPU云主机或GPU裸金属上，WAF作为前端的安全网关，负责过滤所有进入的流量。通过WAF的定制化规则和先进的内容检测引擎，恶意流量被有效拦截，确保AI算力资源和训练数据的安全。 安全风险及应对方案 风险名称 风险描述 WAF应对方案 相关文档 Web UI漏洞 Open WebUI 0.1.105版本存在文件上传漏洞，ComfyUI多个插件存在安全漏洞。部署大模型过程中，通常会使用大模型自带的WebUI组件，开源的Web UI组件以及老旧的版本，为大模型的部署和应用带来了巨大的入侵风险。 开启WAF的Web攻击防护功能，为Web UI提供必要的安全防护能力。 Web基础防护 企业敏感信息泄露 企业利用私有数据进行数据训练时，私有数据可能包含商业敏感信息，存在数据泄露风险。 根据企业机密信息内容，通过WAF精准访问控制功能，对敏感信息进行检测拦截，保障企业数据安全。 精准访问控制 大模型输入输出内容违规 私有化大模型输入输出内容可能涉及政治、赌博、色情、违法犯罪等违规内容，影响企业声誉。 通过WAF敏感信息防泄漏功能，自动屏蔽违规内容，保障企业声誉安全。 防敏感信息泄露 应用层CC攻击及API互联网暴露风险 由于多用户同时使用或单用户对大模型API接口的频繁调度导致大模型token被大量占用，服务器繁忙无法为用户提供正常服务；大模型API接口的暴露，会为用户的API接口带来安全风险。 采用WAF的CC防护限速功能，保证大模型连续可用性；建设API安全监测与分析能力，降低因API漏洞造成的安全风险。 CC防护 API安全

本服务等级协议（Service Level Agreement，简称 “SLA”）规定了天翼云向客户提供的短信成功率等级指标及赔偿方案。 1.定义 1）服务周期 客户首次申请开通短信业务，并建立应用，以应用开通之日起计算，至当月月末为第一个服务周期，后续每个自然月为一个服务周期。 2）月度期服务费用 客户在一个服务周期中就短信产品，所支付的实际服务费用总额。 3）明确失败 由于天翼云的原因，客户提交的有效号码及短信（验证码短信、通知短信）通过天翼云云通信平台，无法提交至有效号码终端出现的失败数量。 4）有效号码 客户提交的号码中可正常使用的号码为有效号码，其中不包括: 空号、停机等运营商标识为非正常使用的号码 终端号码由于用户原因造成的无法正常接收短信，包含但不限于欠费、关机、不在服务区、未订购短信服务、终端网络信号不稳定等状态 天翼云云通信平台、运营商定义的黑名单号码 5）服务月度 服务月度是指您购买本服务的服务期限所包含的各个自然月度，例如，您购买三个月本服务，服务开通之日为6月3日，则包含4个服务月度，其中第1个服务月度是指6月3日到6月30日，第2个服务月度是指7月1日到7月31日，第3个服务月度是指8月1日到8月31日，第4个服务月度是指9月1日到9月2日。服务可用性按服务月度单独核算。 6）有效短信数 指提交给有效号码的短信（验证码短信、通知短信），成功提交至天翼云平台拆分后的总条数（一条短信如超过一定长度将被自动拆分为多条短信）。

本章节介绍微服务云应用平台应用路由能力 概述 应用的外部访问入口包含K8s Ingress应用路由。便于在创建路由规则时关联后端应用暴露的服务，不仅可以作为外部的流量入口，还可以作为微服务的网关，实现用户对流量的统一调度和管理。微服务云应用平台应用路由目前仅支持Nginx Ingress路由。 路由列表 1. 登录微服务云应用控制台，选择“应用运维 > 容器应用实例>应用路由” 2. 点击“应用路由>Ingress路由”，查看路由列表 “名称”：Ingress路由规则名称 “类型”：nginx，目前仅支持nginx应用路由 “端点”：通过Ingress规则暴露的服务的入口地址，这个服务的端点就是实际处理请求的目标地址。Ingress控制器会根据Ingress资源中的规则将外部请求转发给相应的服务端点 “k8s集群名称”：k8s集群名 “k8s命名空间”：k8s集群命名空间 “转发规则”：路由转发规则 “创建时间”：应用路由的创建时间 创建Ingress 前提条件 1. k8s集群需要在“云容器引擎>插件市场“”安装“nginxingresscontroller插件” 2. 对于nginxingresscontroller而言，需要确保外部流量能够正确地路由到这个控制器上。在““云容器引擎>网络>服务”创建一个Service类型为LoadBalancer或者NodePort，以便于从集群外部访问到这个入口控制器，从而实现对集群内服务的HTTP/HTTPS请求的路由 3. 在“云容器引擎>命名空间>编辑命名空间”，针对指定命名空间开启Ingress服务

前置条件 客户端（预览版、移动端）:V3.11以上 开通方式、操作步骤 1.功能开通 （1）进入免费试用页面 操作路径：协同套件量子加密服务前往试用 （2）添加需要进行量子安全防护的用户 选择需要添加的用户 设置量子安全策略 配置说明： 量子安全介质： 软模块：仅允许用户使用软模块登录； 量子安全盾：仅允许用户使用量子安全盾登录； 软模块+量子安全盾：允许用户使用软模块或量子安全盾登录，量子安全盾优先（用于多终端登录，如大屏端使用量子安全盾登录，移动端使用软模块登录）。 限制普通登录： 是：量子安全登录失败时，不允许使用普通方式接入云电脑； 否：量子安全登录失败时，允许使用普通方式接入云电脑。

如何访问主机迁移服务 公有云提供了Web化的服务管理平台，即管理控制台和基于HTTPS请求的API（Application programming interface）管理方式。 管理控制台 请使用管理控制台方式访问主机迁移服务。可直接登录管理控制台，从主页选择“主机迁移服务”。 API 通过调用API的方式访问主机迁移服务，具体请咨询天翼云客服人员。

权限 授权项 权限类型（读/写） 权限描述 安全体检管理者admin 安全体检查看者viewer 编辑试用记录 ctnsc:trialRecord:edit 写 编辑试用记录 √ × 查询试用记录 ctnsc:trialRecord:query 读 试用记录分页查询 √ √ 保存试用资源 ctnsc:trialResource:add 写 保存使用资源 √ × 查询安全体检报告 ctnsc:report:query 读 查询安全体检报告数据 √ √ 下载安全体检报告 ctnsc:report:download 读 下载安全体检报告 √ √ 创建安全体检任务 ctnsc:checkupTask:add 写 创建体检任务 √ × 查询安全体检任务 ctnsc:checkupTask:query 读 查询安全体检任务列表 √ √ 通知移除通知人 ctnsc:noticeReceiver:delete 写 通知移除通知人 √ × 通知查询分组 ctnsc:noticeGroup:query 读 通知查询分组 √ √ 通知添加通知人 ctnsc:noticeReceiver:add 写 通知添加通知人 √ × 通知查询通知人 ctnsc:noticeReceiver:query 读 通知查询通知人 √ √ 查询用户IP ctnsc:userIp:query 读 查询用户IP √ √ 体检IP连通性验证 ctnsc:checkupIp:ping 读 体检IP连通性验证 √ √ 删除体检IP ctnsc:checkupIp:delete 写 删除体检IP √ × 添加体检IP ctnsc:checkupIp:add 写 添加体检IP √ × 查询体检IP ctnsc:checkupIp:query 读 查询体检IP √ √ 查询用户资源 ctnsc:userResource:query 读 查询用户资源 √ √

修改ECS的安全组规则（管理控制台） 本节介绍登录管理控制台后修改ECS安全组规则的操作步骤和方法。本章节以ECS为例介绍如何修改DNS和添加安全组，BMS操作步骤类似。 1. 在ECS详情页，单击安全组页签。 进入安全组列表页。 2. 单击具体的安全组名。 3. 单击“更改安全组规则”。 进入安全组详情页。 注：BMS的操作步骤： 1. 请单击表格中左上角的安全组ID。 2. 在对应安全组“操作”列单击“配置规则”。 3. 在“出方向规则”页签下单击“添加规则”。 4. 按下表所示添加规则。 表 安全组规则 协议 端口 类型 目的地址 说明 TCP 80 IPv4 100.125.0.0/16 用于从OBS桶下载Agent包到ECS或BMS中、获取ECS或BMS的元数据信息与鉴权信息。 TCP、UDP 53 IPv4 100.125.0.0/16 用于DNS解析域名，下载Agent时解析OBS地址、发送监控数据时解析云监控服务Endpoint地址。 TCP 443 IPv4 100.125.0.0/16 采集监控数据到云监控服务端。

本章节主要介绍物理机的安全。 安全组 安全组是一种虚拟防火墙，具备状态检测和数据包过滤功能，用于设置弹性云主机、物理机服务器、负载均衡、数据库等实例的网络访问控制，是重要的网络安全隔离手段。 您可以通过配置安全组规则，允许安全组内的实例对公网或私网的访问。 安全组是一个逻辑上的分组，您可以将同一区域内具有相同安全保护需求的物理机服务器加入到同一个安全组内。 同一安全组内的BMS实例之间默认内网网络互通，不同安全组内的实例之间默认内网不通。 您可以随时修改安全组的规则，新规则立即生效。 密钥对 密钥对概述 密钥对，也称SSH密钥对，是区别于用户名+密码的远程登录Linux实例的认证方式。通过加密算法生成一对密钥，一个对外界公开，称为公钥，另一个由用户自己保留，称为私钥。公钥和私钥组成密钥对。密钥对的工作原理是使用公钥加密某个数据（例如一个密码），用户可以使用私钥解密数据。 天翼云只会存储公钥，您需要存储私钥。拥有您的私钥的任何人都可以解密您的登录信息，因此将您的私钥保存在一个安全的位置非常重要。 密钥对的功能优势 相比用户名+密码认证方式，密钥对在安全性和便捷性上都更具优势，如下表所示。 表 密钥对与密码对比 对比项 密钥对 用户名 + 密码 安全性 安全强度远高于常规用户口令，可以杜绝暴力破解威胁。 可能通过公钥推导出私钥。 安全性较低。 便捷性 便于远程登录大量Linux实例，方便管理。 一次只能登录一台Linux实例，不利于批量维护。

本小节介绍购买容器安全防护配额。 如果您想在使用镜像前就感知到镜像安全和容器运行时安全状态，您可以购买云企业主机安全提供的容器安全，检测镜像安全以及容器运行时的安全。及时感知安全威胁，保障业务安全。 购买说明 一个配额只能防护一个节点且只能在购买时选择的区域使用。 购买容器安全配额后，请到企业主机安全控制台“容器管理”页面开启容器节点防护。 前途条件 账号具备BSS Administrator、HSS Administrator权限，若没有相应权限请使用主账号购买配额或使用主账号对子账号进行授权后进行购买配额。 操作步骤 1、 登录管理控制台。 2、在页面左上角选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版） 4、 在左侧导航树中，选择“资产管理 > 容器管理”，进入容器管理页面。 5、 在页面右上角，单击“购买容器安全”，进入“购买主机安全配额”页面。 6、 在购买主机安全配额界面，选择“容器版”，并设置容器版配额的规格。 购买容器版 配额参数说明 参数名称 参数说明 取值样例 计费模式 仅支持包年/包月模式 包年/包月 区域 配额的“区域”建议与主机的“区域”相同。 HSS不支持跨区域使用，如果您购买了与主机不在同一区域的配额，请退订配额后重新购买主机所在区域的配额。 苏州 版本选择 仅支持企业版。若需开启按需计费，你可参照开启容器节点防护直接开启防护即可。 企业版 购买节点数 购买的容器版配额数量。 10 购买时长 根据您的需求选择时长。 为避免因服务到期未及时续费导致您的主机遭受攻击，建议勾选“自动续费”。 勾选“自动续费”后，当购买的企业主机安全到期时，如果账号余额充足，系统将自动为购买的企业主机安全续费，续费周期与购买时长保持一致。 1年 标签 标签用于标识云资源，当您拥有相同类型的许多云资源时，可以使用标签按各种维度（例如用途、所有者或环境）对云资源进行分类。如果需要该功能，您的账号需要具备TMS administrator权限，没有该权限您无法为防护配额添加标签并且界面会有“permission error”的错误提示。 cgsdata 7、 在页面右下角，单击“立即购买”，进入“订单确认”界面。 8、单击“立即支付”，进入付款页面，单击“确认付款”，完成支付，购买成功。

本章介绍网页防篡改、容器安全与主机安全共用Agent。 是的。同一服务器安装一次Agent即可满足网页防篡改、容器安全与主机安全所有版本的使用，无需多次安装。

接口描述：调用本接口可批量修改应用加速产品的域名配置 请求方式：post 请求路径：/ipa/domain/batchupdatedomainconfigurationinformation 使用说明： 修改域名之前，您需要先开通对应产品类型的服务，且保证按需服务有效； 该域名没有在途工单； 单个用户一分钟限制调用10次 请求参数说明： 参数名 类型 是否必选 名称 描述 productcode string 是 产品类型 固定值：“009”（应用加速） domain list 是 域名列表 单次调用域名个数最多不超过20个 origin object 否 回源信息 未传代表不修改 origin.origintype int 否 回源方式 1：择优回源方式，2：轮训回源方式，3：保持登录回源方式。未传代表不修改。 origin.probeport string 否 探测端口 origin.detail list 否 回源角色信息 不允许传空值 origin.detail[].address string 是 回源地址 origin.detail[].weight int 是 权重 origin.detail[].role int 是 源站角色 1：主，2：备 origin.detail[].level int 是 层级 角色为主时，层级取值为1；角色为备时，层级取值为15 dynamiccfg object 否 动态配置 未传代表不修改 dynamiccfg.routetype int 否 选路方式 1：快速选路，2：稳健选路 dynamiccfg.kcp int 否 kcp转发开关 1：开启，2：关闭 dynamiccfg.packageloss float 否 丢包率阈值 范围01 accesscontrol object 否 访问控制 未传代表不修改 accesscontrol.controlswitch int 是 ip黑白名单开关 1：开启，2：关闭 accesscontrol.matchtype int 否 匹配方式 1：掩码和ip段匹配，2：字符串匹配；若ip黑白名单开关开启，则该字段必填 accesscontrol.controltype int 否 访问控制类型 1：ip黑名单，2：ip白名单；若ip黑白名单开关开启，则需填写该字段 accesscontrol.iplist string 否 ip黑/白名单 若ip黑白名单开关开启，则需填写该字段，多ip以逗号分隔 返回参数说明： 参数 类型 是否必传 名称及描述 code int 是 状态码，成功100000 message string 是 描述信息，成功返回success，其他返回异常信息描述 successnumber int 否 操作成功的个数 domaindetails list 否 每个域名操作结果 domaindetails[].domain string 否 单个域名 domaindetails[].code string 否 单个域名操作的状态码，成功100000 domaindetails[].message string 否 单个域名操作的描述信息，成功返回success，其他返回异常信息描述

本文介绍如何在边缘虚拟机如何安装NVIDIA Data Center/Tesla类型驱动。 适用情况 驱动类型 适配芯片 操作系统 NVIDIA Data Center/Tesla A10 T4 Ubuntu 18.04 Ubuntu 20.04 Ubuntu 22.04 Ubuntu 24.04 NVIDIA驱动版本说明 NVIDIA驱动版本 说明 nvidiadriverxxx 桌面用专有驱动 nvidiadriverxxxopen 桌面用开源驱动 nvidiadriverxxxserver 服务器用专有驱动 nvidiadriverxxxserveropen 服务器用开源驱动 驱动安装快速安装 安装前准备 查询是否安装nouveau驱动，若是，禁用nouveau驱动。 步骤1、查询驱动安装情况。 shell lsmod grep nouveau 步骤2、若已安装nouveau驱动需禁用。 shell sudo bash c "echo 'blacklist nouveau' >> /etc/modprobe.d/blacklistnouveau.conf" sudo updateinitramfs u 安装步骤 步骤1、执行以下命令，添加NVIDIA图形驱动程序仓库。 shell sudo bash c "echo 'blacklist nouveau' >> /etc/modprobe.d/blacklistnouveau.conf" sudo updateinitramfs u 步骤2、同步远程存储库的最新软件包信息。 shell sudo apt update 步骤3、查找和安装NVIDIA的图形驱动程序。 shell sudo apt search nvidiadriver 步骤4、安装特定版本的NVIDIA驱动程序。 shell sudo apt install nvidiadriverxxxserveropen 步骤5、查看驱动安装结果。 shell nvidiasmi 驱动安装通用安装 说明 该安装方式为直接通过NVIDIA官网下载驱动进行安装。

此章节为您介绍如何更改云堡垒机的安全组。 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求并相互信任的弹性云服务器、云堡垒机等提供访问策略。 为了保障云堡垒机的安全性和稳定性，在使用云堡垒机之前，您需要设置安全组，开通需访问资源的IP地址和端口。但是若您在购买堡垒机的时候选择了不适用的安全组，也无法通过修改相应的安全组规则来放通这些IP地址和端口，这时候您可以通过更改堡垒机绑定的安全组来满足您的运维需求。 操作步骤 1.登录管理控制台。 2.选择“安全 > 云堡垒机（原生版）”，进入云堡垒机实例管理页面。 3.选择需要更改安全组的堡垒机实例，在实例详情页单击按钮。 4.在弹出的对话框中选择需要更改的安全组，选择完成后单击保存即可完成安全组的修改。

参数 参数类型 是否必填 说明 示例 clientToken String 是 客户端存根，用于保证订单幂等性。要求单个云平台账户内唯一 79fa97e3c48bxxxx9f466a13d8163678 regionID String 是 资源池ID 81f7728662dd11ec810800155d307d5b endpointServiceID String 是 终端节点关联的终端节点服务 endpser2amyfo9c7y protocol String 是 TCP:TCP协议,UDP:UDP协议 TCP serverPort Integer 是 服务端口(165535) 101 endpointPort Integer 是 节点端口(165535) 101