本文介绍如何使用日志服务器。 功能介绍 使用日志服务器功能，将攻击日志、告警日志投递至syslog日志服务器。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 开通套餐为免费版及以上版本。 新建syslog日志服务器 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【日志服务日志服务器】菜单，点击新增。 3. 配置说明如下： 配置说明 配置项 说明 服务器名称 日志服务器的名称 状态 启用时直接开始外发日志；禁用时只是添加记录，不会立即外发日志 协议 默认UDP，下拉支持选择TCP 服务器地址 syslog服务器地址 端口 syslog服务器端口 描述 非必填 日志类型 攻击日志：当前客户的攻击日志 管理日志服务器 新建完日志服务器后，可以进行禁用/启用日志服务器、编辑、删除等管理操作。

问题现象 请求KMS报错或使用云服务加密功能报错。 报错信息为：httpcode401,codeAPIGW.0301,MsgIncorrect IAM authentication information: current ip:xx.xx.xx.xx refused。 可能原因 用户在IAM服务中设置了访问控制。 IAM控制策略默认范围为全地址访问，若用户设置了允许访问的IP地址或者网段，则未允许的IP地址/网段均无法访问KMS，或无法使用云服务加密特性。 解决方法 通过云服务控制台访问KMS（如OBS加密）：需要开放10.0.0.0/8、11.0.0.0/8、26.0.0.0/8网段。 通过API调用KMS接口：根据访问的源IP地址设置开放。 开放IP地址操作步骤 步骤 1 登录管理控制台。 步骤 2 单击页面左侧，选择“管理与监督 > 统一身份认证服务 IAM”，默认进入“用户”界面。 步骤 3 选择“安全设置 > 访问控制”，查看“允许访问的IP地址区间”和“允许访问的IP地址或网段”是否包含请求的源IP地址。 说明 需在“控制台访问”和“API访问”中都包含请求的源IP地址。

本小节介绍态势感知产品优势。 安全态势可视化 提供全局态势、资产态势、脆弱性态势、威胁态势四种大屏，实时监测用户网络存在的风险与威胁，可视化呈现威胁攻击路径动态可视、威胁告警实时滚动播放、受攻击资产和受攻击部门TOP排行、安全态势评分、资产漏洞威胁趋势和分布等，帮助用户全面掌控网络安全态势。 应急协同联动 通过对接权威的网络安全监测平台，将最新的漏洞信息、安全咨询、威胁情报等数据推送至态势感知系统，与国家互联网应急中心（CNCERT）形成协同联动，提升网络安全风险与威胁的发现能力和效率。 多维度风险评估 通过资产属性信息、资产存在的脆弱性以及产生的威胁事件，进行关联分析，以威胁事件的发生为起点，该资产是否存在此类威胁事件相关的漏洞关联，通过自动化收集的资产属性信息确认该资产是否为关键资产，以及该资产是否存在漏洞相关的应用组件或服务，完成多维度风险评估。 威胁事件快速研判 通过威胁事件聚合分析、关联分析、详情分析、攻击原始数据分析等手段，结合威胁情报，快速研判威胁事件的影响范围，还原整个攻击过程，提升威胁事件研判能力和效率。

本文主要介绍 管理备份磁盘 操作场景 备份磁盘通过云备份服务提供的功能实现。 本章节指导用户为磁盘设置备份策略。通过备份策略，就可以实现周期性备份磁盘中的数据，从而提升数据的安全性。 说明 只有当磁盘的状态为“可用”或者“正在使用”，则可以创建备份。 购买云硬盘备份存储库并设置备份策略 步骤 1 登录云备份管理控制台。 1. 登录管理控制台。 2. 选择“存储 > 云备份 > 云硬盘备份”。 步骤 2 在界面右上角单击“创建云硬盘备份存储库”。 步骤 3 （可选）在磁盘列表中勾选需要备份的磁盘，勾选后将在已选磁盘列表区域展示。 图 选择磁盘 说明 所选磁盘的状态必须为“可用”或“正在使用”。 若不勾选磁盘，如需备份可在创建存储库后绑定磁盘即可。 步骤 4 输入存储库容量。此容量为绑定磁盘所需的总容量。存储库的空间不能小于备份磁盘的空间。取值范围为[磁盘总容量，10485760]GiB。 步骤 5 选择是否配置自动备份。 立即配置：配置后会将存储库绑定到备份策略中，整个存储库绑定的磁盘都将按照备份策略进行自动备份。可以选择已存在的备份策略，也可以创建新的备份策略。 暂不配置：存储库将不会进行自动备份。 步骤 6 如开通了企业项目，需要为存储库添加已有的企业项目。 企业项目是一种云资源管理方式，企业项目管理提供统一的云资源按项目管理，以及项目内的资源管理、成员管理，默认项目为default。 步骤 7 输入待创建的存储库的名称。 只能由英文字母、数字、下划线、中划线组成，且长度小于等于64个字符。例如：vault612c。 说明 也可以采用默认的名称，默认的命名规则为“vaultxxxx”。 步骤 8 单击“立即购买”。 步骤 9 根据页面提示，完成创建。 步骤 10 返回云硬盘备份页面。可以在存储库列表看到成功创建的存储库。

本小节介绍关闭容器安全防护。 您可以为已开启容器版防护的服务器关闭安全防护，关闭后可释放配额，可供其他服务器防护使用。 操作须知 关闭防护对业务不会产生影响，但关闭后服务器被入侵的风险会急剧上升，建议保持开启防护的状态。 操作步骤 1、 登录管理控制台。 2、在弹窗界面单击“体验新版”，切换至企业主机安全页面。 注意 切换至新版后，在总览页左上角单击“返回旧版”，可切换至企业主机安全（旧版）。 3、 在左侧导航树中，选择“资产管理 > 容器管理”，进入“容器节点管理”页面。 4、根据需求可选择批量关闭防护和单服务器关闭防护。 单服务器关闭防护 a.在“节点列表”中目标服务器的“操作”列单击“关闭防护”。 b.在弹窗中确认关闭服务器的信息，确认无误，单击“确认”，防护关闭。 c.关闭后在“资产管理 > 容器管理 > 节点列表”页面查看目标服务器的“容器防护状态”为“未防护”，关闭成功。 说明 关闭防护对业务不会产生影响，但关闭后服务器被入侵的风险会急剧上升，建议保持开启防护的状态。 批量关闭防护 a.在“节点列表”中勾选多个目标服务器前的选框，单击上方“关闭防护”。 b.在弹窗中确认关闭服务器的信息，确认无误，单击“确认”，防护关闭。 c.关闭后在“资产管理 > 容器管理 > 节点列表”页面查看目标服务器的“容器防护状态”为“未防护”，关闭成功。 注意 关闭防护对业务不会产生影响，但关闭后服务器被入侵的风险会急剧上升，建议保持开启防护的状态。

本文介绍API安全模块中API标签管理功能。 功能介绍 用户可对API资产进行标签标记，以便对API资产按照不同的维度进行分组分类。API安全提供两种标签类型，一类是平台内置标签，一类是用户自定义标签。 平台内置标签包括：来源、敏感信息、业务用途、自发现标签。 来源：包括手动、自动。若API资产是通过用户手动添加，则会标记为手动；若API资产是通过自发现生成，则会标记为自动。标签名称及内容不可编辑、删除。 敏感信息：在API自发现过程中，若识别到API接口涉及敏感信息的传输，则会标记相应敏感信息，如地址、手机号等。用户可配置是否启用对于某项标签内容的识别。 业务用途：在API自发现过程中，若识别到API接口特征与某业务用途相匹配，则会标记相应业务用途，如登录认证、数据导出等。用户可配置是否启用对于某项标签内容的识别。 自发现标签：下发自发现任务时，可定义本次自发现标签，则本次任务中发现的API资产均会打上对应标签。标签名称不可编辑、删除。标签内容支持新增、编辑、删除。 自定义标签：用户自定义标签名称及标签内容。 说明 API标签的使用范围为所有域名下的API资产，即在域名A下新增的API标签，可在域名B的API资产中使用。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。

本文主要介绍绑定弹性公网IP 操作场景 集群实例创建成功后，支持用户绑定弹性公网IP，通过公共网络访问数据库实例，绑定后也可根据需要解绑。 注意事项 在访问数据库前，您需要在虚拟私有云申请一个弹性公网IP，并将访问数据库的IP地址，或者IP段加安全组入方向的访问规则。 集群实例仅支持mongos节点绑定弹性公网IP。对于已绑定弹性公网IP的节点，需解绑后，才可重新绑定其他弹性公网IP。 绑定弹性IP 步骤 1 在“实例管理”页面，选择指定的集群实例，单击实例名称。 步骤 2 在左侧导航树，单击“连接管理”。在“基本信息”区域的mongos节点上，单击“绑定弹性IP”。 您也可以在“基本信息”页面的节点信息区域，选择指定mongos节点，单击操作列的“更多 > 绑定弹性IP”。 步骤 3 在弹出框的弹性IP列表中，显示“未绑定”状态的弹性IP，选择所需绑定的弹性IP，单击“确定”，提交绑定任务。如果没有可用的弹性IP，单击“查看弹性IP”，创建新的弹性IP。 步骤 4 在mongos节点的“弹性IP”列，查看绑定成功的弹性IP。 解绑弹性IP 步骤 1 对于已绑定弹性IP的节点，在“实例管理”页面，选择指定的集群实例，单击实例名称。 步骤 2 在左侧导航树，单击“连接管理”。在“基本信息”区域的mongos节点上，单击“解绑弹性IP”。 您也可以在“基本信息”页面的节点信息区域，选择指定mongos节点，单击操作列的“更多 > 解绑弹性IP”。 步骤 3 在弹出框中，单击“确定”，解绑弹性IP。

复制规则 通过复制规则，只需修改少量配置参数，用户即可快速创建一个和已有规则类似的规则。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“IaC安全 > 规则管理”，进入规则管理页面。 3. 选择需要添加规则的类型。 4. 在规则列表中找到目标规则，单击操作列的“复制”。 5. 在弹出的窗口中，修改规则参数。参数说明请参见添加自定义规则。 6. 参数修改完成后，单击“确认”。 启用/禁用规则 为了控制检查规则“误报”和“漏报”之间的均衡关系，系统提供规则开关，用户可自定义开启或关闭文件规则检查项。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“IaC安全 > 规则管理”，进入规则管理页面。 3. 选择要操作的规则类型。 4. 在规则列表的启用状态列，可以打开或关闭某一规则。 或勾选多个规则，单击规则列表右上方的“启用”、“禁用”按钮，可以批量启用/禁用规则。 编辑规则 说明 仅支持对自定义规则进行编辑，系统内置规则（创建人为“内置”）不可编辑。 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“IaC安全 > 规则管理”，进入规则管理页面。 3. 选择需要添加规则的类型。 4. 在规则列表中找到目标规则，单击操作列的“编辑”。 5. 在弹出的窗口中，修改规则参数。参数说明请参见[添加自定义规则](

本文帮助您快速熟悉弹性网卡基本知识。 弹性网卡是虚拟私有网络VPC中的虚拟网络接口，用于连接ECS与私有网络。 每个弹性网卡可以包含以下主要属性： 专有网络VPC、子网信息 VPC子网的IPv4地址范围内的一个主要私有IPv4地址 VPC子网的IPv4地址范围内的一个或者多个辅助私有IPv4地址 和一个公网IPv4地址绑定，将网卡的私网IP NAT成为公网IP 一个IPv6地址 一个MAC地址 一个或多个安全组 网卡类型 网卡类型包括主网卡和辅助网卡。随着云主机、物理机服务器等实例一起创建的网卡称为主网卡。VPC网络中的每个实例都有默认的主网卡，您无法独立创建主网卡，也无法从实例卸载主网卡。您可以创建并额外绑定到实例上的网卡，称为辅助网卡，辅助网卡可以灵活的和实例解绑、绑定。 私有IPv4地址 每个弹性网卡都有一个子网地址范围内的私有IPv4地址，称为主私网地址。您可以在创建辅助弹性网卡时指定主私网地址，如果不指定，我们将为您随机分配。此外，您还可以为弹性网卡分配一个或者多个辅助私有IPv4地址，辅助私有IP地址在取消分配后可以回收，然后再分配给其他弹性网卡。 私有IPv6地址 如果虚拟私有网络VPC和子网开通了IPv6网段，您可以为弹性网卡分配一个主私网IPv6地址。主私网IPv6地址在取消分配后可以回收。VPC内的IPv6地址支持VPC内网通信和公网通信，网卡绑定IPv6带宽或者加入共享带宽后，可以使用IPv6来访问公网或被公网访问。

本文帮助您快速熟悉弹性网卡基本知识。 弹性网卡是虚拟私有网络VPC中的虚拟网络接口，用于连接ECS与私有网络。 每个弹性网卡可以包含以下主要属性： 专有网络VPC、子网信息 VPC子网的IPv4地址范围内的一个主要私有IPv4地址 VPC子网的IPv4地址范围内的一个或者多个辅助私有IPv4地址 和一个公网IPv4地址绑定，将网卡的私网IP NAT成为公网IP 一个或者多个IPv6地址 一个MAC地址 一个或多个安全组 网卡类型 网卡类型包括主网卡和辅助网卡。随着云主机、物理机服务器等实例一起创建的网卡称为主网卡。VPC网络中的每个实例都有默认的主网卡，您无法独立创建和从实例卸载主网卡。您可以创建并额外绑定到实例上的网卡，称为辅助网卡，辅助网卡可以灵活的和实例解绑、绑定。 私有IPv4地址 每个弹性网卡都有一个子网地址范围内的私有IPv4地址，称为主私网地址。您可以在创建辅助弹性网卡时指定主私网地址，如果不指定，我们将为您随机分配。此外，您还可以为弹性网卡分配一个或者多个辅助私有IPv4地址，辅助私有IP地址在取消分配后可以回收，然后再分配给其他弹性网卡。 IPv6地址 如果虚拟私有网络VPC和子网开通了IPv6网段，您可以为弹性网卡分配一个或多个IPv6地址。IPv6地址在取消分配后可以回收。VPC内的IPv6地址支持VPC内网通信和公网通信，网卡绑定IPv6带宽或者加入共享带宽后，可以使用IPv6来访问公网或被公网访问。

基本信息 负载类型：选择守护进程DaemonSet。工作负载类型的介绍请参见工作负载概述。 负载名称：填写工作负载的名称。 命名空间：选择工作负载的命名空间，默认为default。您可以单击后面的“创建命名空间”，命名空间的详细介绍请参见创建命名空间。 容器运行时：CCE集群默认使用普通运行时。 时区同步：选择是否开启时区同步。开启后容器与节点使用相同时区（时区同步功能依赖容器中挂载的本地磁盘，请勿修改删除），时区同步详细介绍请参见时区同步。 容器配置 容器信息 Pod中可以配置多个容器，您可以单击右侧“添加容器”为Pod配置多个容器。 基本信息：容器基本信息 生命周期：设置容器生命周期 健康检查：设置容器健康检查 环境变量：设置环境变量 数据存储：存储概述 安全设置：对容器权限进行设置，保护系统和其他容器不受其影响。请输入用户ID，容器将以当前用户权限运行。 容器日志：使用ICAgent采集容器日志 说明 负载实例数大于1时，不支持挂载云硬盘类型的存储。 镜像访问凭证：用于访问镜像仓库的凭证，默认取值为defaultsecret，使用defaultsecret可访问SWR镜像仓库的镜像。defaultsecret详细说明请参见defaultsecret。 GPU显卡：默认为不限制。当集群中存在GPU节点时，工作负载实例可以调度到指定GPU显卡类型的节点上。

本节介绍服务器安全卫士（原生版）术语说明。 漏洞 是指在操作系统实现或安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问、破坏系统，或者窃取数据。 基线 指为了满足安全要求，相关操作系统、数据库及中间件等必须达到的一定标准和基本要求。通过对不同配置和策略的具体项目来评估是否达到安全基线，评估结果反映了服务器的安全性。 弱口令 指容易被攻击者破解的口令，一旦被攻击者破解，可用来直接登录系统，将使得系统及服务面临非常大的风险。 异常登录 采集服务器上RDP、SSH登录日志，对合法登录IP、合法登录事件、合法登录账号和合法登录时段之外的登录行为均提供告警。 暴力破解 攻击者对密码进行破解的行为，破解成功登录主机后，便可获得主机的控制权限，进行窃取用户数据、勒索加密、植入挖矿程序等恶意操作，严重危害主机的安全。 病毒查杀 基于特征病毒检测引擎，通过快速扫描、全盘扫描、自定义扫描三种检测模式对服务器文件进行全面扫描，并提供病毒文件处置能力。

参数 是否必填 参数类型 说明 示例 下级对象 billMode 是 String 订购类型（仅创建单独付费计算增强型云电脑有效）。取值范围： Cycle：包周期。 osType 是 String 操作系统类型（Windows;Linux），XC型规格暂只支持Linux cycleType 否 String 周期类型（仅创建单独付费云电脑有效）。取值范围： Month：按月。（仅订购类型为包周期类型有效） cycleCnt 否 Integer 周期数（仅创建单独付费云电脑有效）。取值范围： 136。（仅订购类型为包周期类型有效） autoPay 否 Boolean 是否自动支付（仅创建单独付费云电脑有效），默认false。取值范围： true:是。（仅订购类型为包周期类型有效，需账号有足够金额） false:否。（仅订购类型为包周期类型有效） templateOid 是 String 规格模板ID processorType 否 String 处理器类型。创建XC型规格时必填。取值范围： kp：鲲鹏。 hg：海光。 imageOid 是 String 镜像ID subnetOid 是 String VPC子网ID securityGroupOid 是 String 安全组ID sysDiskType 是 String 系统盘类型（uhio超高IO） sysDiskSize 是 Integer 系统盘大小（单位：GB） 镜像系统盘大小（创建单独付费云电脑，不支持自定义大小） （创建资源包云电脑，支持自定义大小） instanceNum 是 Integer 实例数量

手动删除 1 登录云堡垒机系统。 2 选择“系统 > 数据维护 > 存储配置”，进入系统存储配置管理页面。 3 在“手动删除”区域，选择一个日期。 4 单击“删除”，则可立即删除该日期之前的全部数据。 手动删除 创建数据本地备份 为加强对系统数据的容灾管理，云堡垒机支持配置日志备份，提高审计数据安全性和系统可扩展性。 本小节主要介绍如何创建系统本地备份。 注意 支持系统本地备份的日志包括系统登录日志、资源登录日志、命令操作日志、文件操作日志、双人授权日志； 系统本地备份创建成功后，会在系统数据盘生成一个日志文件。 前提条件 用户已获取“系统”模块管理权限。 操作步骤 1 登录云堡垒机系统。 2 选择“系统 > 数据维护 > 日志备份”，进入系统日志备份配置管理页面。 3 在“本地备份”区域，单击“新建”，弹出日志本地备份窗口，配置需备份日志和备份日期范围。 参数 说明 日志内容 选择需备份的日志类型。 l 可勾选系统登录日志、资源登录日志、命令操作日志、文件操作日志、双人授权日志。 l 至少需勾选一个类型。 时间范围 设置需备份的日志时间范围。 l 至少需选择一天。 备注 简要描述该备份信息。 l 最长128个汉字或字符。 4 单击“确认”，返回日志备份管理页面，查看创建的系统本地备份信息。

参数 描述 数据库实例名称 默认为创建同步任务时选择的数据库实例，不可进行修改。 帐号认证数据库 填写的数据库帐号所属的数据库名称。例如：DDS实例默认的帐号认证数据库为admin。 数据库用户名 目标数据库对应的数据库用户名。 数据库密码 目标数据库的登录密码。 SSL安全连接 通过该功能，用户可以选择是否开启对同步链路的加密。如果开启该功能，需要用户上传SSL CA根证书。 说明 最大支持上传500KB的证书文件。 如果不启用SSL安全连接，请自行承担数据安全风险。

本章介绍Adobe Font Manager库远程代码执行漏洞。 当Windows Adobe Type Manager库未正确处理经特殊设计的多主机Adobe Type 1 PostScript格式字体时，Microsoft Windows中存在远程代码执行漏洞。 对于除Windows 10之外的所有系统，成功利用此漏洞的攻击者可以远程执行代码。对于运行Windows 10的系统，成功利用此漏洞的攻击者可以利用受限的特权和功能在AppContainer沙盒上下文中执行代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 攻击者可通过多种方式利用此漏洞，包括诱导用户打开经特殊设计文档或在Windows预览窗格中查看。 漏洞编号 CVE20201020 CVE20200938 漏洞名称 Adobe Font Manager库远程代码执行漏洞 漏洞描述 对于除Windows 10之外的所有系统，成功利用远程代码执行漏洞的攻击者可以远程执行代码。 对于运行Windows 10的系统，成功利用此漏洞的攻击者可以利用受限的特权和功能在AppContainer沙盒上下文中执行代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 影响范围 所有Windows系统 官方解决方案 官方建议受影响的用户尽快安装最新的漏洞补丁。 详情请参见< 检测与修复建议 天翼云企业主机安全服务支持对该漏洞的便捷检测与修复。 1. 检测并查看漏洞详情，详细的操作步骤请参见漏洞管理。 手动检测漏洞 2. 漏洞修复与验证，详细的操作步骤请参见漏洞管理。

此小节介绍企业主机安全资产管理。 HSS提供资产管理功能，主动检测主机中的开放端口、系统运行中的进程、主机中的Web目录和自启动项，并对账号信息和软件信息的变动情况进行记录。 通过资产管理，您能集中清点主机中的各项资产信息，及时发现主机中含有风险的各项资产。 资产管理仅提供风险检测功能，若发现有可疑资产信息，请手动处理。 检测周期 账号信息管理、开放端口检测：实时检测。开放端口检测结果每6小时刷新一次统计数据。 进程信息管理、Web目录管理、软件信息管理、自启动：每日凌晨自动进行一次检测。 查看主机中的资产信息 1、登录管理控制台。 2、在页面左上角选择“区域”，单击，选择“安全 > 企业主机安全”，进入企业主机安全页面。 3、进入“资产管理”页面，选择不同页签，查看HSS检测到的您服务器上的所有资产。 进入资产管理页面 账号信息管理 历史变动状态说明： 变动状态：新建（新建了账号）、删除（删除了账号）、修改（修改了账号名、管理员权限或用户组等信息）。 发生变动时间：由于为周期收集，变动记录的时间是获取到改动的时间，非真实发生的时间。 根据实时账号数据和历史变动记录，您可以统一管理所有主机中的账号信息。若发现系统中有不必要的多余账号，或者发现有超级权限的账号（拥有root权限），需要排查这些账号是否是正常业务使用，如果不是则建议删除多余账号或者修改账号的权限，避免账号被黑客利用。

容器镜像服务（Software Repository for Container）是一种支持容器镜像全生命周期管理的服务， 提供简单易用、安全可靠的镜像管理功能，帮助用户快速部署容器化服务。 您可以使用控制台或CLI上传、下载和管理容器镜像，并对接云容器引擎完成容器应用部署。

本节主要介绍智能视图服务的向上级联功能概述。 级联定义 级联：两个信令安全路由网关之间是上下级关系，下级信令安全路由网关主动向上级信令安全路由网关发起注册，经上级信令安全路由网关鉴权认证后才能进行上下级系统间通信。 用户可在智能视图服务控制台，创建本级平台，并选择当前已接入的设备/平台，重新组织排序后，共享给第三方平台以供调阅使用，即向上级联。 级联功能说明 创建本级平台时，支持填写上级平台信息，以虚拟业务组或行政区划结构推送至上级平台进行级联。 支持本平台级联的启停、级联状态查阅、设备增减等平台管理操作。 支持第三方上级平台对本平台级联设备的实时预览、录像回放、云台控制等操作。 支持的设备目录模式 智能视图服务已提供虚拟业务组 及行政区划两种设备目录模式，以方便用户对级联至上级平台的设备进行管理和排序。 虚拟业务组及行政区划的操作说明请参考【向上级联管理级联组织树】。 虚拟业务组 虚拟业务组模式下，支持随意对目录、设备进行归并与排序，无目录层级限制。

本文指导您通过企业路由器将流量引至云防火墙，并验证网络的连通性。 前提条件 流量互通，确定流量未经过防火墙时正常通信。流量验证请参见《企业路由器用户指南> 验证网络互通情况》。 通过配置企业路由器将流量引至云防火墙 1. 创建VPC边界防火墙，具体操作请参见“创建VPC边界防火墙”。 2. 在左侧导航栏中，单击左上方的，选择“安全> 云防火墙”，进入云防火墙的总览页面。 3. （可选）当前账号下仅存在单个防火墙实例时，自动进入防火墙详情页面，存在多个防火墙实例时，单击防火墙列表“操作”列的“查看”，进入防火墙详情页面。 4. 在左侧导航栏中，选择“资产管理> VPC边界防火墙管理”，进入“VPC边界防火墙管理”页面。 5. 添加VPC连接。 单击“防火墙状态”侧的“编辑防护VPC”，进入企业路由器页面，在企业路由器中添加连接，支持添加的连接类型请参见《企业路由器用户指南》中“连接概述”章节。 下文以防护两个VPC为例（至少需要添加两条VPC连接，用于连接两个VPC和ER之间）。操作步骤请参见《企业路由器用户指南 > 企业路由器中添加VPC连接》。 说明 防火墙创建后自动生成一条防火墙连接（名称：cfwerautoattach，连接类型：云防火墙（CFW）），防护VPC的连接需手动添加；每增加一个防护的VPC，都需要增加一条连接。 例如：对VPC1连接命名为vpc1；对VPC2连接命名为vpc2，需防护VPC3时，增加连接命名为vpc3。 如需防护其它账号（如账号B）下的VPC，请将当前账号A的企业路由器共享至账号B，共享步骤请参见《企业路由器用户指南 > 创建共享》，共享成功后在账号B中添加连接，后续配置仍在账号A中进行。 6. 创建两个路由表，作为关联路由表 和传播路由表分别用于连接需防护的VPC和连接防火墙。 单击“路由表”页签，进入路由表设置页面，单击“创建路由表”，参数详情见下表。 参数名称 参数说明 名称 输入路由表的名称。 命名规则如下： 长度范围为1~64位。 名称由中文、英文字母、数字、下划线（）、中划线（）、点（.）组成。 描述 您可以根据需要在文本框中输入对该路由表的描述信息。 标签 您可以在创建路由表的时候为路由表绑定标签，标签用于标识云资源，可通过标签实现对云资源的分类和搜索。 7. 配置关联路由表。 1. 设置关联功能：在路由表设置页面，选择关联路由表，单击“关联”页签，单击“创建关联”，参数详情见下表。 参数名称 参数说明 连接类型 选择连接类型“虚拟私有云（VPC）”。 连接 在连接下拉列表中，选择需防护的VPC连接。 说明 关联至少需要添加两条，每增加一个防护的VPC，都需增加一条关联。 例如：选择VPC1的连接vpc1以及VPC2的连接vpc2，需防护VPC3时，增加一条关联，选择连接vpc3。 2. 设置路由功能：单击“路由”页签，单击“创建路由”，根据实际数量创建路由功能，参数详情见下表。 参数名称 参数说明 目的地址 设置目的地址。 0.0.0.0/0：VPC的所有流量都会经过云防火墙防护 网段：该网段的流量会经过云防火墙防护 黑洞路由 建议您保持关闭状态；开启后如果路由匹配上黑洞路由的目的地址，则该路由的报文会被丢弃。 连接类型 选择连接类型“虚拟私有云（VPC）”。 下一跳 在下拉列表中，选择自动生成的防火墙连接（cfwerautoattach）。 描述 （可选）路由的描述信息。 8. 配置传播路由表。 1. 设置关联功能：在路由表设置页面，选择传播路由表，单击“关联”页签，单击“创建关联”，参数详情见下表。 参数名称 参数说明 连接类型 选择连接类型“虚拟私有云（VPC）”。 连接 在下拉列表中，选择自动生成的防火墙连接（cfwerautoattach）。 2. 设置传播功能：单击“传播”页签，单击“创建传播”，参数详情见下表。 参数名称 参数说明 连接类型 选择连接类型“虚拟私有云（VPC）”。 连接 在传播下拉列表中，选择需防护的VPC连接。 说明 传播至少需要添加两条，每增加一个防护的VPC，都需增加一条传播。 例如：选择VPC1的连接vpc1以及VPC2的连接vpc2，需防护VPC3时，增加一条传播，选择连接vpc3。 创建传播后，会自动将连接的路由信息学习到ER路由表中，生成“传播路由”。同一个路由表中，不同传播路由的目的地址可能相同，连接配置不支持修改和删除。 您也可以手动在路由表中配置连接的静态路由，同一个路由表中，静态路由的目的地址不允许重复，连接配置支持修改和删除。 如果路由表中存在多条路由目的地址相同，则优先级：静态路由> 传播路由。 9. 修改VPC的路由表。 1. 在左侧导航栏中，选择“网络> 虚拟私有云 > 路由表”，进入“路由表”页面。 2. 在“名称/ID”列，单击对应VPC的路由表名称，进入路由表“基本信息”页面。 3. 单击“添加路由”，参数详情见下表。 参数 说明 目的地址类型 选择“IP地址”。 目的地址 流量到达的网段。 例如两个VPC间防护时，VPC1中添加的路由“目的地址”填写VPC2的网段。 说明 不能与已有路由和VPC下子网网段冲突。 下一跳类型 在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述 （可选）路由的描述信息。 说明 描述信息内容不能超过255个字符，且不能包含“ ”。 说明 至少需要为两个VPC添加路由，每增加一个防护的VPC，都需为该VPC增加一条路由。

本小节介绍微隔离防火墙操作类常见问题。 Windows系统在安装客户端时，提示访问被拒绝 问题现象：如下图所示 解决方法：使用管理员权限运行CMD，并执行安装命令。 安装过程中无报错，但管理中心中未出现新安装的云主机？ 查看License是否已到期或可接入数量已用满。 自适应微隔离产品的管理控制台登录方式？ 自适应微隔离产品提供镜像模式，请访问基于此镜像启动云主机的IP地址，访问请忽略证书安全性要求，继续访问即可。 安装了Agent在云主机内，为什么在管理中心看不到新接入的工作负载？ 接入失败存在以下情况： 当接入的工作负载总数超过了授权允许的接入总数或者授权已经到期，将无法接入新的工作负载，请联系厂商获取新的授权。确认是否因为授权限制，可以登录到页面后在右上角的位置查看“系统管理”。 因为授权码无效或者客户端安装失败造成接入失败，可查看在客户端安装过程中的提示信息是否失败，也可以查看/opt/dynarose/log/nodeclient.Info文件是否有授权失败信息。 如何确定是否在云主机内安装自适应微隔离的Agent成功？

日志下载步骤 1. 登录边缘安全加速控制台。 2. 左侧导航栏选择【运营管理】【日志服务】【域名离线日志】。 3. 筛选产品服务为：安全与加速，筛选对应域名和时间后，单击下载对应域名的日志。 注意 已生效域名提供节点访问日志数据下载，默认支持近30天内的日志下载。 若有长时间导出日志需求，请

查看网关服务详情 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“SSL网关服务 > 网关服务管理”，选择需要查看详情的网关服务，单击“操作”列的“详情”即可查看网关服务详情。 删除网关服务 注意 删除后的网关数据无法恢复，请您谨慎进行删除操作。 1. 登录综合安全网关实例。 2. 在左侧导航栏选择“SSL网关服务 > 网关服务管理”，选择需要删除的网关服务，单击“操作”列的“删除”。 3. 在弹出的对话框中，单击“确定”即可完成删除。

此小节介绍避免勒索 事前举措 由于勒索攻击高强度加密算法的难破解性和数字货币交易方式的隐蔽性， 解决勒索攻击的首要是构建“安全能力前置”，提升自身的“免疫力” 。 建议按照如下加固方式开展事前勒索防护： 收敛互联网暴露面： 定期扫描外部端口，保证公开范围最小化。 减少系统风险入口： 定期开展漏洞扫描及系统风险配置参数扫描，第一时间修复漏洞及风险项，减小系统风险等级。同时，应关注软件厂商发布的安全漏洞信息和补丁信息，及时做好漏洞管理和修复工作。 加强网络访问控制： 各企业应具有明确的网络安全区域划分、访问限制规则，最小化开放访问权限，及时更新访问控制规则。 关键数据备份： 加强重要数据备份工作，可靠的数据备份可以最小化勒索软件带来的损失。需要主动加密存储和定期备份关键业务数据，并合理设置备份保留策略，确保被勒索攻击后存在有效副本可以恢复数据。 加强帐号权限管控： 通过身份管理、细粒度权限控制等访问控制规则为企业不同角色分配帐号并授权，同时应提升特权账户的安全性。在另一方面，企业关键业务资产，需要妥善设置并保存帐号及口令信息。关键资产上，配置双因素认证鉴别登录人员身份，可有效防范系统爆破风险。 搭建高可靠业务架构： 采用集群模式的云服务部署模式。当某一个节点发生紧急问题，业务切换至备用节点，提升业务系统可靠性能力，也可防止数据丢失。在资源允许的条件下，企业或组织可以搭建同城或异地容灾备份系统，当主系统出现发生勒索事件后，可以快速切换到备份系统，从而保证业务的连续性。 制定安全事件应急预案： 建立应对勒索病毒攻击等网络安全突发事件的应急组织体系和管理机制，明确工作原则、职责分工、应急流程、关键措施等。一旦发生勒索病毒攻击事件，立即启动内部网络安全应急预案，标准化开展应急处置工作来减轻、消除勒索病毒攻击影响。 加强企业员工安全意识： 通过培训、演练等方式提高员工网络安全意识，明确国家网络安全法令及公司网络安全规范，能够识别网络钓鱼等常见的网络安全攻击，具备一定的事件处理能力，知晓安全事件带来的后果和影响。

无证书连接 说明 该方式不对服务端进行证书校验，用户无需下载SSL证书。 步骤 1 通过JDBC连接RDS for MySQL数据库实例，代码中的JDBC连接格式如下： plaintext jdbc:mysql:// : / ?useSSLfalse 表 变量说明 变量 说明 请替换为实例的IP地址。 说明 如果通过弹性云主机连接，“instanceip”是实例的“内网地址”。您可以在该实例的“连接管理”页面查看。 如果通过公网连接，“instanceip”为该实例已绑定的“弹性公网IP”。您可以在该实例的“连接管理”页面查看。 请替换为实例的数据库端口，默认为3306。 说明 您可以在该实例的“连接管理”页面查看。 请替换为连接实例使用的数据库名，默认为mysql。 代码示例（连接MySQL数据库的java代码）： plaintext import java.sql.Connection; import java.sql.DriverManager; import java.sql.ResultSet; import java.sql.Statement; // 认证用的用户名和密码直接写到代码中有很大的安全风险，建议在配置文件或者环境变量中存放(密码应密文存放，使用时解密)，确保安全。 // 本示例以用户名和密码保存在环境变量中为例，运行本示例前请先在本地环境中设置环境变量(环境变量名称请根据自身情况进行设置)EXAMPLEUSERNAMEENV和EXAMPLEPASSWORDENV。 public class MyConnTest { final public static void main(String[] args) { Connection conn null; // url中所需的连接参数根据实际情况配置 String url "jdbc:mysql:// : / ?param1value1¶m2value2"; String USER System.getenv("EXAMPLEUSERNAMEENV"); String PASS System.getenv("EXAMPLEPASSWORDENV"); try { Class.forName("com.mysql.jdbc.Driver"); conn DriverManager.getConnection(url,USER,PASS); System.out.println("Database connected"); Statement stmt conn.createStatement(); ResultSet rs stmt.executeQuery("SELECT FROM mytable WHERE columnfoo 500"); while (rs.next()) { System.out.println(rs.getString(1)); } rs.close(); stmt.close(); conn.close(); } catch (Exception e) { e.printStackTrace(); System.out.println("Test failed"); } finally { // release resource .... } } } 结束

本章节主要介绍安全认证原理和认证机制。 功能 开启了 Kerberos认证的安全模式集群，进行应用开发时需要进行安全认证。 Kerberos这一名词来源于希腊神话“三个头的狗——地狱之门守护者”，后来沿用作为安全认证的概念，使用Kerberos的系统在设计上采用“客户端/服务器”结构与AES等加密技术，并且能够进行相互认证（即客户端和服务器端均可对对方进行身份认证）。可以用于防止窃听、防止replay攻击、保护数据完整性等场合，是一种应用对称密钥体制进行密钥管理的系统。 原理 Kerberos的原理架构和各模块的说明如下图所示： 原理架构 模块说明 App Client：应用客户端，通常是需要提交任务（或者作业）的应用程序。 App Server：应用服务端，通常是应用客户端需要访问的应用程序。 Key Distribution Center（KDC）：提供安全认证的服务。 Database：存储Principal数据。 Authentication Server（AS）：认证服务器，认证客户端身份，发放客户访问TGS的票据授权票据（TGT）。 Ticket Granting Server（TGS）：票据授予服务器，发放应用客户端访问应用服务端所需的服务票据（ST）。 步骤原理说明 应用客户端（App Client）可以是集群内某个服务，也可以是客户二次开发的一个应用程序，应用程序可以向应用服务提交任务或者作业。 1. ASREQ：App Client在提交任务或者作业前，需要向AS申请TGT，用于建立和TGS的安全会话。 2. ASREP：AS在收到TGT请求后，会解析其中的参数来生成对应的TGT，使用App Client指定的用户名的密钥进行加密响应消息。 3. TGSREQ：App Client收到TGT响应消息后，解析获取TGT，此时，再由App Client（通常是RPC底层）向TGS获取应用服务端的ST。 4. TGSREP：TGS在收到ST请求后，校验其中的TGT合法后，生成对应的App Server的ST，再使用App Server密钥将响应消息进行加密处理。 5. APREQ：App Client收到ST响应消息后，将ST打包到发给App Server的消息里面传输给对应的App Server。 6. APREP：App Server端收到请求后，使用App Server对应的密钥解析其中的ST，并校验成功后，本次请求合法通过。 说明 1. Kerberos认证时需要配置Kerberos认证所需要的文件参数，主要包含keytab路径，Kerberos认证的principal，Kerberos认证所需要的客户端配置krb5.conf文件。 2. 方法login()为调用的UserGroupInformation的方法执行Kerberos认证，生成TGT票据。 3. 方法doSth()调用hadoop的接口访问文件系统，此时底层RPC会自动携带TGT去Kerberos认证，生成ST票据。

添加主机时，如果硬件联通及测试主机失败，则您需要添加安全组，放通监控插件端口。 问题现象 添加主机时，测试连通及硬件检测失败。 原因分析 监控插件端口未放通。 解决方案 添加安全组，放通端口。出现如下图所示，则表示执行成功。

添加主机时，如果硬件联通及测试主机失败，则您需要添加安全组，放通监控插件端口。 问题现象 添加主机时，测试连通及硬件检测失败。 原因分析 监控插件端口未放通。 解决方案 添加安全组，放通端口。出现如下图所示，则表示执行成功。

添加主机时，如果硬件联通及测试主机失败，则您需要添加安全组，放通监控插件端口。 问题现象 添加主机时，测试连通及硬件检测失败。 原因分析 监控插件端口未放通。 解决方案 添加安全组，放通端口。出现如下图所示，则表示执行成功。

添加主机时，如果硬件联通及测试主机失败，则您需要添加安全组，放通监控插件端口。 问题现象 添加主机时，测试连通及硬件检测失败。 原因分析 监控插件端口未放通。 解决方案 添加安全组，放通端口。出现如下图所示，则表示执行成功。

查看日志详情 1. 在日志列表操作列点击“查看”。 2. 在弹出的详情模态框中查看完整信息。 数据字段说明： 分类 字段 说明 基本信息 日志ID 每条日志的唯一标识符。 基本信息 时间 日志记录的具体时间。 内容信息 输入内容 用户向大模型发送的原始内容。 内容信息 输出内容 大模型返回的响应内容。 检测结果 输入结果 系统对输入内容的安全检测结果。 检测结果 输出结果 系统对输出内容的安全检测结果。 检测结果 敏感类别 检测到的敏感内容类别。 处理信息 处理方式 系统对请求的处理方式。 处理信息 原因 显示检测结果的具体原因说明，如果没有原因则显示“”，（排查时查看的主要字段） 处理信息 策略名称 使用的策略名称。 异步检测 异步检测 异步安全检测的处理状态。 异步检测 异步引擎 检测使用的引擎。 系统信息 终端名称 发起请求的终端设备名称。 系统信息 代理模型 使用的代理模型名称。 系统信息 来源地址 请求的来源IP地址。 系统信息 用户 发起请求的用户信息。

本节介绍了RabbitMQ 接入方式。 安全接入点 RabbitMQ 安全接入点支持 "PLAIN"、"AMQPLAIN" 授权机制。 1、访问控制 RabbitMQ "PLAIN"、"AMQPLAIN"授权机制需要创建用户，从而获得对应虚拟主机的访问权限。 2、接入步骤 （1）新建用户（集群管理>用户>新建用户） （2）运行demo 客户端关键参数设置 "PLAIN"、"AMQPLAIN" 授权机制的客户端关键参数配置 String host "192.168.0.0"; //安全接入点ip Integer port 5672; //安全接入点port String username "xxx"; //集群管理用户列表的用户名 String password "xxx"; String vhost "/"; ConnectionFactory connectionFactory new ConnectionFactory(); connectionFactory.setHost(host); connectionFactory.setPort(port); connectionFactory.setUsername(username); connectionFactory.setPassword(password); connectionFactory.setVirtualHost(vhost); SSL接入点 RabbitMQ 安全接入点支持 "EXTERNAL" 授权机制 1、访问控制 无 2、接入步骤 （1）下载SSL证书（实例概览>导出服务>下载SSL文件） （2）运行demo 客户端关键参数设置 "EXTERNAL" 授权机制的客户端关键参数配置 java String host "192.168.0.0"; //SSL接入点ip int port 5671; //SSL接入点port //以下2个ssl文件可通过控制台获取安装包, 具体的获取方式可以查看2.2.1接入步骤的第二小节 String ksFile "D:tmpsslclientrabbitmqkey.p12"; String tksFile "D:tmpssltruststore"; String vhost "/"; char[] keyPassphrase "W3zT98Zz9Io".toCharArray(); KeyStore ks KeyStore.getInstance("PKCS12"); ks.load(new FileInputStream(ksFile), keyPassphrase); KeyManagerFactory kmf KeyManagerFactory.getInstance("SunX509"); kmf.init(ks, keyPassphrase); char[] trustPassphrase null; trustPassphrase "W3zT98Zz9Io".toCharArray(); KeyStore tks KeyStore.getInstance("JKS"); tks.load(new FileInputStream(tksFile), trustPassphrase); TrustManagerFactory tmf TrustManagerFactory.getInstance("SunX509"); tmf.init(tks); SSLContext c SSLContext.getInstance("tlsv1.2"); c.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null); ConnectionFactory connectionFactory new ConnectionFactory(); connectionFactory.setHost(host); connectionFactory.setPort(port); connectionFactory.setVirtualHost(vhost); connectionFactory.setSaslConfig(DefaultSaslConfig.EXTERNAL); connectionFactory.useSslProtocol(c);