场景四：端口不匹配问题 域名配置的端口与访问请求到的端口不匹配时，会导致出现403。具体报错如下： 解决方案：如果是访问时指定了错误的端口，请调整为正确端口后，再发起请求。如果是域名配置的端口不准确，请在控制台进行端口配置调整，配置生效后，再重新发起请求。 场景五：安全与加速服务的安全策略，被边缘节点拦截。 网站接入安全与加速服务之后，当访问请求有可能对网站造成安全威胁时，安全防护节点拦截这些请求，并响应403错误给浏览器，拦截信息如下图所示： 解决方案：当请求响应403拦截时，您可以通过边缘安全加速控制台查看具体的攻击拦截信息，其中事件ID跟拦截请求响应内容中的RequestID对应，具体查看方式WAF攻击日志。 若存在误拦截等情况，可进行修改相应的安全策略或进行规则加白。

安全体检产品采用预付费模式，默认购买周期为一年。 计费模式 安全体检产品采用预付费。 计费周期 支持包月、包年订购，享受包年实付10个月折扣价。 用户可自订单生效之日起享受购买期限内的服务，当购买的服务到期后，服务自动停止。 计费项 服务为按照IP数量定价。 产品价格 单个互联网安全体检规格包含5个互联网IP授权，详细价格参考如下表格（本服务当前仅支持按年购买、不支持按月付费）： 产品规格 产品描述 标准价格（元/月） 年付价格（元/年） 互联网安全体检 提供5个及以内互联网IP安全体检服务，发现IP风险暴露情况、漏洞开放情况，推送安全体检报告。 280 2800 试用版 试用授权IP数量5个，试用次数为1次。 免费 免费 说明 试用仅对未开通过商用资源的用户有权限，若您已经购买过安全体检付费版本，无论商用资源是否还在有效期内，均无试用权限。试用结束后，您仍然可以通过产品控制台预览、下载体检报告。如您希望继续使用本产品，请您及时完成订购。

参数 描述 虚拟私有云 文档数据库实例所在的虚拟专用网络，可对不同业务进行网络隔离，方便地管理、配置内部网络，进行安全、快捷的网络变更。您需要创建或选择所需的虚拟私有云。说明： 实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 实例创建成功后，可以修改子网分配的内网地址，具体请参见 安全组 安全组限制安全访问规则，加强文档数据库服务与其它服务间的安全访问。 说明 请确保所选取的安全组允许客户端访问数据库实例（如协议选择为TCP，方向选择为入方向，端口设置为8635，源地址设置为实例所属子网或所属安全组）。

《计算机信息网络国际联网安全保护管理办法》（公安部第33号令） （1997年12月11日国务院批准 1997年12月30日公安部第33号令发布） 第一章 总则 第一条 为了加强对计算机信息网络国际联网的安全保护，维护公共秩序和社会稳定，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》和其他法律、行政法规的规定，制定本办法。 第二条 中华人民共和国境内的计算机信息网络国际联网安全保护管理，适用本办法。 第三条 公安部计算机管理监察机构负责计算机信息网络国际联网的安全保护管理工作。公安机关计算机管理监察机构应当保护计算机信息网络国际联网的公共安全，维护从事国际联网业务的单位和个人的合法权益和公众利益。 第四条 任何单位和个人不得利用国际联网危害国家安全、泄露国家秘密，不得侵犯国家的、社会的、集体的利益和公民的合法权益，不得从事违法犯罪活动。 第五条 任何单位和个人不得利用国际联网制作、复制、查阅和传播下列信息： (一) 煽动抗拒、破坏宪法和法律、行政法规实施的； (二) 煽动颠覆国家政权，推翻社会主义制度的； (三) 煽动分裂国家、破坏国家统一的； (四) 煽动民族仇恨、民族歧视，破坏民族团结的； (五) 捏造或者歪曲事实，散布谣言，扰乱社会秩序的； (六) 宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖，教唆犯罪的； (七) 公然侮辱他人或者捏造事实诽谤他人的； (八) 损害国家机关信誉的； (九) 其他违反宪法和法律、行政法规的。 第六条 任何单位和个人不得从事下列危害计算机信息网络安全的活动： (一) 未经允许，进入计算机信息网络或者使用计算机信息网络资源的； (二) 未经允许，对计算机信息网络功能进行删除、修改或者增加的； (三) 未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的； (四) 故意制作、传播计算机病毒等破坏性程序的； (五) 其他危害计算机信息网络安全的。 第七条 用户的通信自由和通信秘密受法律保护。任何单位和个人不得违反法律规定，利用国际联网侵犯用户的通信自由和通信秘密。 第二章 安全保护责任 第八条 从事国际联网业务的单位和个人应当接受公安机关的安全监督、检查和指导，如实向公安机关提供有关安全保护的信息、资料及数据文件，协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为。 第九条 国际出入口信道提供单位、互联单位的主管部门或者主管单位，应当依照法律和国家有关规定负责国际出入口信道、所属互联网络的安全保护管理工作。 第十条 互联单位、接入单位及使用计算机信息网络国际联网的法人和其他组织应当履行下列安全保护职责： (一) 负责本网络的安全保护管理工作，建立健全安全保护管理制度； (二) 落实安全保护技术措施，保障本网络的运行安全和信息安全； (三) 负责对本网络用户的安全教育和培训； (四) 对委托发布信息的单位和个人进行登记，并对所提供的信息内容按照本办法第五条进行审核； (五) 建立计算机信息网络电子公告系统的用户登记和信息管理制度； (六) 发现有本办法第四条、第五条、第六条、第七条所列情形之一的，应当保留有关原始记录，并在二十四小时内向当地公安机关报告； (七) 按照国家有关规定，删除本网络中含有本办法第五条内容的地址、目录或者关闭服务器。 第十一条 用户在接入单位办理入网手续时，应当填写用户备案表。备案表由公安部监制。 第十二条 互联单位、接入单位、使用计算机信息网络国际联网的法人和其他组织（包括跨省、自治区、直辖市联网的单位和所属的分支机构），应当自网络正式联通之日起三十日内，到所在地的省、自治区、直辖市人民政府公安机关指定的受理机关办理备案手续。 前款所列单位应当负责将接入本网络的接入单位和用户情况报当地公安机关备案，并及时报告本网络中接入单位和用户的变更情况。 第十三条 使用公用账号的注册者应当加强对公用账号的管理，建立账号使用登记制度。用户账号不得转借、转让。 第十四条 涉及国家事务、经济建设、国防建设、尖端科学技术等重要领域的单位办理备案手续时，应当出具其行政主管部门的审批证明。前款所列单位的计算机信息网络与国际联网，应当采取相应的安全保护措施。 第三章 安全监督 第十五条 省、自治区、直辖市公安厅（局），地（市）、县（市）公安局，应当有相应机构负责国际联网的安全保护管理工作。 第十六条 公安机关计算机管理监察机构应当掌握互联单位、接入单位和用户的备案情况，建立备案档案，进行备案统计，并按照国家有关规定逐级上报。 第十七条 公安机关计算机管理监察机构应当督促互联单位、接入单位及有关用户建立健全安全保护管理制度。监督、检查网络安全保护管理以及技术措施的落实情况。 公安机关计算机管理监察机构在组织安全检查时，有关单位应当派人参加。公安机关计算机管理监察机构对安全检查发现的问题，应当提出改进意见，作出详细记录，存档备查。 第十八条 公安机关计算机管理监察机构发现含有本办法第五条所列内容的地址、目录或者服务器时，应当通知有关单位关闭或者删除。 第十九条 公安机关计算机管理监察机构应当负责追踪和查处通过计算机信息网络的违法行为和针对计算机信息网络的犯罪案件，对违反本办法第四条、第七条规定的违法犯罪行为，应当按照国家有关规定移送有关部门或者司法机关处理。 第四章 法律责任 第二十条 违反法律、行政法规，有本办法第五条、第六条所列行为之一的，由公安机关给予警告，有违法所得的，没收违法所得，对个人可以并处五千元以下的罚款，对单位可以并处一万五千元以下的罚款；情节严重的，并可以给予六个月以内停止联网、停机整顿的处罚，必要时可以建议原发证、审批机构吊销经营许可证或者取消联网资格；构成违反治安管理行为的，依照治安管理处罚条例的规定处罚；构成犯罪的，依法追究刑事责任。 第二十一条 有下列行为之一的，由公安机关责令限期改正，给予警告，有违法所得的，没收违法所得；在规定的限期内未改正的，对单位的主管负责人员和其他直接责任人员可以并处五千元以下的罚款，对单位可以并处一万五千元以下的罚款；情节严重的，并可以给予六个月以内的停止联网、停机整顿的处罚，必要时可以建议原发证、审批机构吊销经营许可证或者取消联网资格。 (一) 未建立安全保护管理制度的； (二) 未采取安全技术保护措施的； (三) 未对网络用户进行安全教育和培训的； (四) 未提供安全保护管理所需信息、资料及数据文件，或者所提供内容不真实的； (五) 对委托其发布的信息内容未进行审核或者对委托单位和个人未进行登记的； (六) 未建立电子公告系统的用户登记和信息管理制度的； (七) 未按照国家有关规定，删除网络地址、目录或者关闭服务器的； (八) 未建立公用账号使用登记制度的； (九) 转借、转让用户账号的。 第二十二条 违反本办法第四条、第七条规定的，依照有关法律、法规予以处罚。 第二十三条 违反本办法第十一条、第十二条规定，不履行备案职责的，由公安机关给予警告或者停机整顿不超过六个月的处罚。 第五章 附则 第二十四条 与香港特别行政区和台湾、澳门地区联网的计算机信息网络的安全保护管理，参照本办法执行。 第二十五条 本办法自发布之日起施行。

本文以Windows客户端为例介绍如何配置SSL VPN双因子认证接入VPC。 前提条件 已经在天翼云华东1地域创建了vpc1，且VPC中均使用弹性云主机部署了相关业务。 VPC实例名称 VPC实例所属地域 VPC实例的网段 VPC实例ID 弹性云主机实例名称 弹性云主机实例IP地址 vpc1 华东1 192.168.0.0/16 vpctooedro7nb ecm371c 192.168.1.3 您已经了解VPC中弹性云主机实例所应用的安全组规则，并确保安全组规则允许客户端地址池对VPC内业务的访问。 场景示例 某公司在华东1地域创建了VPC，网段为192.168.1.0/24。因业务发展，出差员工需要使用Windows客户端访问云上VPC资源。 可以在云上创建VPN网关，配置SSL服务端并开启双因子认证。Windows客户端通过SSL VPN接入云上VPC，不仅要进行证书认证，还需要认证密码，认证通过后才可以访问云上资源，提高了VPN连接的安全性和可管理性。 配置步骤 步骤一：创建VPN网关 1. 登录控制中心。 2. 单击控制中心左上角的，选择VPN网关实例所在地域。 3. 在广域云网产品中选择“VPN连接”，进入VPN连接页面。 4. 在VPN网关页面，单击“创建VPN网关”，进入订购页面，按照提示配置参数。 参数 说明 取样 地域 VPN网关所在的资源池。 华东1 名称 VPN网关的名称。 vpngateway1 网关类型 选择VPN网关的类型。 普通 实例类型 选择VPN网关的实例类型。 SSL 企业项目 选择当前VPN网关归属项目。 default 本端类型 选择资源类型（VPC、云间高速）。 虚拟私有云VPC 虚拟私有云 选择要使用的VPC作为本端资源。 vpc1 子网 选择当前VPC中本端的子网资源。 subnet682f (192.168.1.0/24) SSL带宽 VPN网关要通过弹性IP访问公网，这里选择对应的弹性IP带宽大小，单位 Mbps，5M 起售。 20M SSL并发连接数 选择对应的SSL VPN并发连接数。 20 购买时长 包年包月场景需要选择，购买VPN网关实例的时长。 6个月 自动续订 按月购买：自动续订周期为一个月。 按年购买：自动续订周期为一年。 关闭 5. 单击“下一步”。 6. 在购买确认页，勾选服务协议，点击“确认下单”，进入订单列表。 7. 在订单页面，单击“立即支付”，支付成功后，VPN网关创建成功。 记录VPN网关的IP地址，步骤五配置客户端的时候要用。

本节介绍如何使用文件检测功能。 步骤一：创建检测规则 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 语料安全 > 检测规则”。 3. 点击“新增”, 举例自定义检测内容包含关键字“机密”等。 步骤二：上传验证文件 方式一：在客户代理模型上传包含步骤一中关键字内容的文件。 方式二：进入“内容安全 > 语料安全 > 文件检测”页面，点击“上传文件”上传包含步骤一中关键字内容的文件。 可以看到，上传的文件被成功拦截。

网络 参数 参数说明 区域 集群的工作区域。 可用区 显示创建集群时所选择的可用区信息。 虚拟私有云 VPC信息，创建集群时所选。 VPC即虚拟私有云，是通过逻辑方式进行网络隔离，提供安全、隔离的网络环境。 DWS集群创建成功后，其虚拟私有云将不能更改为其他的虚拟私有云，但是您可以编辑和修改当前的虚拟私有云。单击此处的虚拟私有云名称，进入虚拟私有云详情页面，您可以对虚拟私有进行设置。有关虚拟私有云的详细操作，请参见《虚拟私有云》帮助文档中的“虚拟私有云VPC管理”和“子网管理”章节。 子网 子网信息，创建集群时所选。 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 DWS集群创建成功后，其子网将不能更改为其他子网，但是您可以编辑和修改当前的子网。单击此处的子网名称，进入子网详情页面，您可以对子网进行设置。有关子网的详细操作，请参见《虚拟私有云》帮助文档中的“虚拟私有云VPC管理”和“子网管理”章节。 安全组 显示创建集群时所选择的安全组信息。 DWS集群创建成功后，其安全组将不能更改为其他安全组，但是您可以编辑和修改当前的安全组，在当前的安全组中添加、删除或修改安全组规则。 单击此处的安全组名称，进入安全组详情页面，您可以对安全组进行设置。有关安全组的详细操作，请参见《虚拟私有云》帮助文档中的“安全组”章节。

本小节介绍筛选未安装Agent的主机 1、录管理控制台。 2、在页面左上角单击选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。 4、在安装与配置页面，选择“Agent管理 > Agent不在线”页签，查看未安装Agent的云服务器。

安全专区支持安全报告功能，支持对安全报告进行自定义配置。 功能说明 通过自定义报告内容、报告展示的数据类型和接收人邮箱地址，满足告警资产安全状况数据的需求。运营管理支持报告类型分不同种类，例如周报、月报、季报、年报。 存在自定义时间段查询，根据开始时间和结束时间进行查询并对安全运营模块进行实时监控和检查，该功能模块支持邮件定期发送及指定特定接收人。 自定义时间查询报告，默认展示一周的漏洞趋势数据，可选择时间段，选择开始时间和结束时间进行查询。 操作方法 1.对于查询，可点击“安全运营”，点击所查询事项，将可在右侧展示栏获取相关信息。 2.确定每日邮件发送时间，设置为定时任务，确定好每日邮件接收人，提交『保存配置』即可完成（系统则按该时间每天进行发送）。 3.在每日邮件接收人编辑框，输入要接收的邮箱后确认添加，点击【保存配置】按钮。 4.点击【报告预览】按钮，系统会下载一份pdf格式的安全报告。

接口功能介绍 查询桌面已绑定安全组v3 接口约束 无 URI GET /v3/securityGroup/desktop/bindSecurityGroupInfo 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 regionId 是 String 资源池ID xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx desktopOid 是 String 虚机ID 请求参数 请求头header参数 无 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 状态码。可能值： 800：请求成功。 900：请求失败。 800 error String 错误码。 ECPC1000 message String 提示信息。 OK. returnObj Object 返回数据对象 returnObj 表 returnObj 参数 参数类型 说明 示例 下级对象 securityGroupInfoList Array of Objects 桌面已绑定安全组信息 securityGroupInfoList 表 securityGroupInfoList 参数 参数类型 说明 示例 下级对象 desktopOid String 桌面id securityGroupOid String 安全组id foreignGroupId String 安全组UUID securityGroupName String 安全组名称 portOid String 网卡id portName String 网卡名称 portNickName String 网卡别名 addDate Long 加入时间，unix时间戳（毫秒）

本文介绍SSL VPN相关术语。 SSL VPN SSL（Secure Sockets Layer，安全套接层）及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。 SSL VPN是一种远程安全接入技术，因为采用SSL协议而得名。因为Web浏览器都内嵌支持SSL协议，使得SSL VPN可以做到“无客户端”部署，从而使得远程安全接入的使用非常简单，而且整个系统更加易于维护。SSL VPN一般采用插件系统来支持各种TCP和UDP的非Web应用，使得SSL VPN真正称得上是一种VPN，并相对IPSec VPN更符合应用安全的需求，成为远程安全接入主要手段和选择。

您在使用云应用引擎托管应用之前，需要完成一些准备工作，包括开通服务、创建VPC和创建命名空间。VPC为您构建隔离的网络环境，命名空间为您构建隔离的资源环境。 步骤一：开通服务并授权（天翼云账号） 使用 CAE 前，您需要开通 CAE 服务并对天翼云账号授权。CAE 支持免费开通服务，开通后可以按照实际使用量进行计费。CAE计费方式为按量付费。详细说明，请参见计费概述。 1. 登录 CAE产品主页。 2. 单击免费开通。 3. 在登录 页面，输入阿里云账号和密码，单击登录。 4. 在云应用引擎 页面，选中我已阅读并同意云应用引擎服务协议 ，并单击立即开通。 5. 在开通完成 页面，单击管理控制台 ，在控制台首页弹出的欢迎使用云应用引擎 CAE 对话框，单击确认创建。 步骤二：创建VPC VPC为您的应用提供了完全隔离的网络环境，处于同一VPC的应用可以互相访问，从网络层面提高应用的安全性。具体操作，请参见创建和管理专有网络。 说明 如果您尚未开通专有网络 VPC 服务，请依据页面提示开通 VPC 服务。 请提前规划 VPC 和命名空间需要创建的地域。创建 VPC 时选择的地域必须与步骤三：创建命名空间时选择的地域保持一致。

接口功能介绍 弱口令定时扫描配置查询接口 接口约束 此功能为收费功能。确认已经购买系统配额，并且开启服务器防护。如果没有购买配额，可按照页面提示进行购买。如果没有开启防护，请在服务器列表页开启机器防护。 URI GET /v1/weakpw/conf 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 ContentType 是 String ContentType application/json 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 error String 返回码 CTCSSCN000000：成功 CTCSSCN000001：失败 CTCSSCN000003：用户未签署协议，安全卫士系统无法正常使用 CTCSSCN000004：鉴权错误 CTCSSCN000005：用户没有付费版配额，功能不可用 CTCSSCN000000 message String 返回信息 success returnObj Object 返回对象 returnObj traceId String traceId 211111111111111111111 statusCode String 状态码 200成功 200 表 returnObj 参数 参数类型 说明 示例 下级对象 status Integer 状态 1开启 其他关闭 1 day Integer 检测频率 1 hour Integer 扫描时间小时，1代表每间隔day天的凌晨1点minute分开始 1 minute Integer 扫描时间分钟，0代表每间隔day天的hour点的0分开始 0 checkType String 扫描类型，多个逗号分割 1：系统弱口令:2：应用弱口令 1,2 agentGuidList Array of Strings guid列表 scopeOPTIONAL时有效 ["guid1","guid2"] scope String 生效范围 OPTIONAL自选机器 ALL所有机器 OPTIONAL

本文主要介绍弹性负载均衡后端云主机常见问题。 为什么后端主机组上收到的健康检查报文间隔和设置的间隔时间不一致？ ELB的每个lvs、nginx节点都会探测后端云主机组，每个节点的间隔时间与设置的间隔时间保持一致。后端云主机收到的是多个节点的探测报文，故在间隔时间内会收到多个检查报文。 使用负载均衡器后，后端云主机能否访问公网？ 后端云主机能否访问公网和负载均衡器没有关系，如果后端云主机本身可以访问公网，使用了负载均衡器以后仍可以访问，如果云主机本身不可以访问公网，使用负载均衡器之后仍不可以。 负载均衡器是否支持非天翼云的云主机/服务器？ 共享型负载均衡不支持，必须是天翼云后端云主机。 独享型负载均衡实例支持混合负载均衡的能力，后端主机组不仅支持添加天翼云上VPC内的云主机，还支持添加云下数据中心的服务器。 为什么100开头的IP在频繁访问后端云主机？ 100开头的IP为弹性负载均衡服务与后端云主机通信所使用的内部IP，所属网段为100.125.0.0/16网段。负载均衡实例以该网段IP作为源地址，向后端云主机转发前端业务流量及健康检查探测（假设您已启用健康探测）。 因此，为了保证您所配置的负载均衡实例可正常提供服务，请确保后端云主机的安全策略已放通100.125.0.0/16网段。

本文介绍WAF功能收费详情。 WAF防护 价格标准 价格 安全加速WAF基础防护 必选（包含10个域名、基础WAF防护功能） 2000元/月 安全加速WAF防护请求数 按量收费，可购买套餐包 0.18元/万次 安全加速WAF域名数量 按量收费，若基础防护不满足可购买 200元/月/个 安全加速WAF域名扩展包 包周期，包含10个域名，域名不区分主子域名 1000元/月

本节主要介绍分布式缓存服务Redis版认证与访问控制方式 分布式缓存服务Redis版支持CTIAM身份认证和多种访问控制，多维度保障您数据的安全。 身份认证 CTIAM 统一身份认证（Identity and Access Management， 简称：CTIAM）是提供用户进行权限管理的基础服务，可以帮助您安全的控制天翼云服务和资源的访问及操作权限，包括：用户身份认证、权限分配、访问控制等功能。具体介绍请参考统一身份认证产品介绍。 您可以创建IAM用户，并为其设置关分布式缓存服务Redis版实例权限，该用户就可以通过用户名和密码访问授权的实例资源。具体请参见统一身份认证快速入门创建IAM用户。 访问控制 权限控制 购买分布式缓存服务Redis版实例之后，您可以使用CTIAM为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，通过CTIAM进行精细的权限管理。 VPC和子网 虚拟私有云（Virtual Private Cloud，VPC）为分布式缓存服务Redis版构建隔离、私密的虚拟网络环境，提升数据库的安全性，并简化用户的网络部署。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。通过子网与其他网络隔离，独享网络资源，提高网络安全性。具体内容请参见虚拟私有云用户指南创建虚拟私有云和子网 。 安全组 安全组是一个逻辑上的分组，可以为同一个虚拟私有云内具有相同安全保护需求并相互信任的Redis实例提供相同的访问策略。您可以通过为数据库实例设置安全组，开通需访问Redis实例的IP地址和端口，来保证保障其运行环境的安全性和稳定性。具体请参见修改实例安全组

关联资源与企业项目 企业项目可以将云资源按企业项目统一管理。 买企业主机安全时选择企业项目 在购买页面，“企业项目”下拉列表中选择目标企业项目，实现资源与企业项目关联。 资源迁入 对于帐号下的存量弹性云服务器/裸金属服务器，您可以在“企业项目管理”页面将资源迁入目标企业项目。 “default”为默认企业项目，帐号下原有资源和未选择企业项目的资源均在默认企业项目内。 管理所有项目 如果您已开通企业项目，您可以在“所有项目”中，对您拥有的所有主机进行批量安全配置，可避免您到每个企业项目中对主机进行重复配置。 绑定主机配额 在“所有项目”中，任意一个企业项目中的配额绑定给任意一个企业项目中的主机，实现配额共享使用，但计费仍归属于配额所在企业项目。 批量安全配置 对所有主机进行安全配置，包含告警白名单、登录白名单、恶意程序自动隔离查杀和告警通知等。 部署策略组 “所有项目”中的策略组，可以部署给您所在的任意企业项目中的任意一台开启旗舰版防护的主机。 “所有项目”中的策略组独立于其他每一个企业项目的策略组，与其他企业项目的策略组互不干扰。 订阅所有项目安全报告 “所有项目”的安全报告独立于其他每一个企业项目的安全报告，订阅设置与报告内容互不干扰。 在“所有项目”中进行批量配置后，若对其中某一个企业项目中的安全配置有差异化需求，您可以到具体的企业项目中进行单独配置。在某个企业项目中的差异化配置是独立的，对其他企业项目不产生影响。

解决方案 虚拟化安全产品兼容国内外主流的虚拟化平台，可实现多异构环境的统一部署与管理； 无代理模式因为不需要在每个虚机部署Agent，部署效率高，资源占用率低，非常适合客户云桌面场景； 同时，针对客户的物理服务器资源以及深信服虚拟化平台，采用有代理的方式实现与虚拟化环境的统一管理与运维。 项目亮点 山东省税务局项目面对友商的激烈竞争最终仍能够突破重围取得成功，对产品线及税务行业来说都是极大的鼓舞，“山东模式”无论在省内地市以及全国其他省份、地市的税务行业都具有标杆意义，为虚拟化安全产品在全国税务行业的推广提供了宝贵的项目经验。 基于国税《税务系统云计算安全规范》的标准要求，该项目在内网环境中以天擎覆盖终端安全，虚拟化安全覆盖服务器安全。在服务器侧虚拟化安全采取无代理部署模式，在保障资源低消耗的前提下对用户的服务器环境，包含物理服务器、虚拟机以及云桌面进行统一安全防护。 通过虚拟化安全的部署实施，在满足税务行业规范以及等保2.0要求的基础上，产品为客户提供服务器复杂环境下的安全防护，包括恶意代码防护、入侵防护、虚拟机环境访问控制等，有效的帮助客户筑起服务器安全护城河。 山东省局项目落地，首先有助于虚拟化安全产品在省内各地市、区县局虚拟化平台及用户桌面云场景迅速复制推广，已陆续有济南、临沂等地市甚至区县客户申请测试。

参数 描述 虚拟私有云 TaurusDB数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离，以提高网络安全性。 您需要选择所需的虚拟私有云和子网。如果没有可选的虚拟私有云，TaurusDB会为您分配一个默认的虚拟私有云（defaultvpc），您也可以使用已有、新建VPC和子网。 须知 TaurusDB实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 内网安全组 内网安全组限制实例的安全访问规则，加强TaurusDB数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，TaurusDB数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。

本节介绍跨域互联关联的VPC如果需要互通,桌面安全组规则需允许对端访问的操作说明。 跨域互联关联的VPC如果需要互通，桌面安全组规则需允许对端访问。 规则方向：入方向 规则类型：允许 远端地址：对端VPC子网网段 1.进入“AI云电脑（政企版）”管理控制台； 2.点击“网络管理”，点击“访问控制”，再点击“安全组”，选择“新增安全组”，添加安全组策略，出入方向放通相关互访网段（没特殊要求可全部放通）； 3.在“AI云电脑（政企版）”管理控制台页面，点击“策略管理”，点击“基础策略管理”，再点击“新建策略”，将上述创建安全组绑定到该策略； 4.在操作的基础策略实例中点击“分配”，将策略分配至对应桌面即可。 注意 若原有桌面已经有安全组及相关策略，则修改放通即可。

本文介绍网络层安全报表所展示的数据。 使用场景 业务接入DDoS高防（边缘云版）后，您可以通过网络层安全报表查询网络层防护的相关统计数据。 前提条件 已开通DDoS高防（边缘云版）。 说明 网络层防护根据内置的智能识别算法进行攻击判断，未开放控制台配置。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【安全分析】【安全报表】【网络层安全报表】页面。 查询功能 您可以在网络层安全报表头部指定您要查询的时间范围。默认将展示最近7天。 报表内容： 说明 卡片栏 展示网络层攻击事件数、DDoS防护带宽峰值、DDoS峰值时间、DDoS攻击平均时长。 攻击趋势 展示被攻击的服务IP的攻击趋势图。（服务IP，即提供DDoS防护能力CNAME解析出的IP地址。） TOP攻击类型 根据攻击流量大小，计算攻击类型的占比情况。 攻击时长分布 根据攻击事件的持续时长，计算攻击时长的分布情况。

本节介绍云安全中心产品咨询类问题。 云安全中心是否只是对其他云安全产品日志进行采集分析? 云安全中心产品除了采集其他安全产品的日志进行统一管理外，还提供编排响应以及处置的能力，能够对告警形成自己的处置流程，并进行自动化处置。云安全中心打通了云上的各类安全产品形成联动响应处置，帮助用户提升威胁响应处置效率。 云安全中心如何帮助客户满足等保合规要求? 云安全中心提供的插件管理、威胁运营、编排响应等功能，可以满足等保的“边界防护”、“访问控制”、“入侵防范”、“恶意代码和垃圾邮件防范”、“安全审计”、“恶意代码防范”、“集中管控”等要求。具体可参见等级保护测评解读。 云安全中心支持采集云上哪些安全日志? 云安全中心目前支持采集云上安全产品的安全告警日志，包括Web应用防火墙（原生版）、服务器安全卫士（原生版）、云等保专区、数据库审计、云堡垒机（原生版）企业版等产品。具体的日志类型请参见支持的日志类型。 短信使用余量是否会进行提醒？ 云安全中心会在短信剩余500条时、以及短信全部使用完时，提醒用户短信剩余量。

本小节介绍SSL VPN的产品特性。 身份安全——多因素身份认证 在用户身份安全方面，SSL VPN提供用户名密码、USB KEY、动态令牌、第三方认证（HTTP/HTTPS）、硬件特征码、数字证书、短信认证、LDAP、Radius多种身份认证方式保障用户接入身份的合法性。 终端安全——PC端移动端，全面保障 针对普通PC终端，可进行登录前系统安全状态检查，针对注册表、杀毒软件、系统版本、文件和应用等进行全面检查，确保只有安全终端才可以登录VPN访问业务服务器。在用户结束访问以后会自动清除Cookies、临时文件等遗留在客户端计算机上的信息，实现“零痕迹”访问，避免安全隐患。 权限安全——更细粒度，基于URL和业务账号进行授权 在应用授权方面，可针对每个部门、每个用户进行细致到应用、URL级别的授权，并可针对用户终端安全环境、登录时间、网络地址不同情况下的差别授权及灵活控制。采用了业内独有的主从账号绑定技术，对用户登录SSL VPN后访问应用的账号进行强制指定，防止采用他人账号的越权访问行为。通过更细粒度的授权机制，有效降低了黑客入侵的影响，提升业务系统安全性。 传输安全——加密强度持续关注 SSL VPN支持国际商用加密算法，用户可根据业务系统重要程度按需选择加密算法和密钥长度。通过标准加密算法保障数据传输安全。

回退独享引擎实例版本 仅支持回退到升级前的版本。 1. 登录管理控制台。 2. 单击页面顶部的区域选择框，选择区域。 3. 单击页面左上角的“服务列表”，选择“安全> Web应用防火墙（独享版）”。 4. 在左侧导航树中，选择“系统管理 > 独享引擎”，进入“独享引擎”页面。 5. 在目标实例所在行的“操作”列，单击“更多 > 回退”。 6. 在弹出的对话框中，确认满足并勾选以下三个条件后单击“确认”。 必须满足以下条件，才支持回退实例： 实例所在的ELB后端服务器组中存在多个活动实例，或该实例未接入业务。 ELB已开启HTTP/HTTPS健康检查。 ELB已关闭会话保持。 切换独享引擎实例安全组 当“实例类别”为“资源租户类”时，您可以切换独享引擎所属的安全组。切换安全组后，实例将受到该安全组访问规则的保护。 1. 登录管理控制台。 2. 单击页面顶部的区域选择框，选择区域。 3. 单击页面左上角的“服务列表”，选择“安全> Web应用防火墙（独享版）”。 4. 在左侧导航树中，选择“系统管理 > 独享引擎”，进入“独享引擎”页面。 5. 在目标实例所在行的“操作”列，单击“更多 > 切换安全组”。 6. 在弹出的对话框中，选择目标安全组后，单击“确认”，切换独享引擎实例安全组。

本文介绍零信任服务能力。 什么是零信任远程办公 边缘安全加速平台提供零信任远程办公服务，帮助企业快速构建比传统VPN更安全、更便捷的零信任办公安全体系。企业在边缘安全加速平台完成配置和操作后，能够实现员工远程零信任办公、上网行为流量管控和终端基线安全准入等场景效果。本文主要介绍零信任远程办公能力情况，帮助您更好的的理解。 注意事项 目前零信任远程办公服务整体能力基于购买边缘安全加速平台零信任远程办公服务后提供该能力。 服务能力 为便于理解产品、快速进行相关接入，可点击零信任远程办公快速接入了解。 功能 描述 身份管理 用于管理企业员工信息、组织关系、用户组等，企业员工在登录零信任客户端时需要进行身份认证，以及如何管控账户安全。 应用管理 应用资源主要指您需要通过零信任访问的地址，一般是企业内网应用系统。零信任网络支持TCP四层所有协议，包括SSH、RDP等协议，以及UDP等相关协议应用。目前对比传统VPN，除了提供IP接入外，还提供域名接入管理，可以更精细化管理权限，并且避免业务IP频繁变更的问题。 网络管理 网络管理的核心是通过连接器实现企业网络的高效整合。在部署连接器之后，您能够实现： 企业内部系统资源到零信任服务边缘节点网络连通性，从而支持客户端访问； 企业数据双向传输（暂不支持官网自助，如有需要可联系我们）； 连接器使企业网络分布管理更灵活，尤其是解决多数据中心、混合云的企业场景。 安全策略 主要是指丰富的零信任安全管控策略，来提高企业安全性，目前仅开放部分安全能力自助，如有企业办公安全需求，可联系我们。 终端管理 终端管理主要针对用户登录的终端设备进行相关管控，包含终端相关策略。 终端资产 企业员工使用的资产情况，设备情况、设备策略等。 日志分析 提供丰富的日志进行相关分析。 待办事项 针对权限申请、问题反馈等流程进行相关处理。 零信任设置概述 提供企业账户的相关设置，包含企业认证标识、限速、保留网段等能力。

本节针对企业主机安全的基线检查和整改的最佳实践进行介绍。 企业主机安全HSS每日凌晨会自动执行基线检查，待检查完成后，可查看并修复配置、弱口令风险。 整改弱口令 “账号暴力破解攻击”是最常见的入侵方式之一，当主机中存在弱口令时，极易被攻击方通过弱口令完成入侵，因此弱口令风险需要优先修复。 企业主机安全HSS支持SSH、FTP、MYSQL类型弱口令，系统中应用的弱口令或默认口令需要您自行排查，如nacos、weblogic等。 步骤： 1、登录管理控制台。 2、选择页面左上角的按钮，选择“企业主机安全”，进入主机安全平台界面。 3、选择左侧导航树的“风险预防 > 基线检查”，进入基线检查界面。 4、在“经典弱口令”页签，查看检测出的弱口令。 5、登录所有含弱口令的主机，修改弱口令。 整改配置检查高风险项 1、登录管理控制台。 2、选择页面左上角的按钮，选择“企业主机安全”，进入主机安全平台界面。 3、在左侧导航树中，选择“风险预防 > 基线检查”，进入基线检查界面。 4、选择“配置检查”页签，查看并修复所有高风险基线。 单击基线名称，进入基线详情页面。 选择“ 检查项 > 未通过 ”页签，单击高风险检查项所在行 “操作” 列的 “检测详情”，查看修改建议。 按建议修改完成后，单击操作列的“验证”，验证修改结果。

本小节介绍查看容器告警事件。 企业主机安全可对您已开启的告警防御能力提供总览数据，帮助您快速了解安全告警概况包括存在告警的容器、待处理告警事件、已处理告警事件。 事件列表仅保留近30天内发生的告警事件，您可以根据自己的业务需求，自行判断并处理告警，快速清除资产中的安全威胁。 告警事件处理完成后，告警事件将从“未处理”状态转化为“已处理”。 约束限制 未开启防护的服务器不支持告警事件相关操作。 操作步骤 1、登录管理控制台。 2、在左侧导航栏中选择“入侵检测 > 安全告警事件 > 容器安全告警”，进入“容器安全告警”页面，查看容器告警事件信息。 查看容器告警事件概览。 安全告警统计：您可以查看存在告警的容器数量，以及待处理和已处理告警事件数量。 威胁等级：您可以查看容器存在的告警等级分布数量。 TOP事件类型：您可以查看容器中告警数量排在前五的事件类型。 查看容器告警事件分类列表。 在“事件类型”栏，选择告警事件类型，查看每个事件类型对应的告警事件列表。在告警事件列表中可以查看告警威胁等级、告警名称、受影响容器实例名称等信息。 查看容器告警事件详细信息。 单击目标告警事件的告警名称，进入告警事件详情页面，可以查看容器ID、IP地址、虚拟机名称、镜像ID等信息。

接口功能介绍 查询虚机网卡与可绑定安全组信息v3 接口约束 无 URI GET /v3/securityGroup/desktop/describe 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 regionId 是 String 资源池ID xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx desktopOid 是 String 虚机ID 请求参数 请求头header参数 无 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode Integer 状态码。可能值： 800：请求成功。 900：请求失败。 800 error String 错误码。 ECPC1000 message String 提示信息。 OK. returnObj Object 返回数据对象 returnObj 表 returnObj 参数 参数类型 说明 示例 下级对象 portList Array of Objects 虚机网卡信息，当portOid为0，代表全部网卡 portList securityGroupList Array of Objects 虚机可绑定安全组信息 securityGroupList portSgList Array of Objects 虚机网卡和安全组的关联，portOid为0时代表全部网卡 portSgList 表 portList 参数 参数类型 说明 示例 下级对象 portOid String 网卡id portName String 网卡名称 portNickName String 网卡别名 ipAddress String 网卡IP subnetName String 所属子网名称 表 securityGroupList 参数 参数类型 说明 示例 下级对象 securityGroupOid String 安全组id securityGroupName String 安全组名称 表 portSgList 参数 参数类型 说明 示例 下级对象 portOid String 网卡id securityGroupOid String 安全组id

本章节主要介绍安全认证原理和认证机制。 功能 开启了 Kerberos认证的安全模式集群，进行应用开发时需要进行安全认证。 Kerberos这一名词来源于希腊神话“三个头的狗——地狱之门守护者”，后来沿用作为安全认证的概念，使用Kerberos的系统在设计上采用“客户端/服务器”结构与AES等加密技术，并且能够进行相互认证（即客户端和服务器端均可对对方进行身份认证）。可以用于防止窃听、防止replay攻击、保护数据完整性等场合，是一种应用对称密钥体制进行密钥管理的系统。 结构 Kerberos的原理架构如下图所示，各模块的说明如下图所示。 原理架构 模块说明 模块 说明 Application Client 应用客户端，通常是需要提交任务（或者作业）的应用程序。 Application Server 应用服务端，通常是应用客户端需要访问的应用程序。 Kerberos 提供安全认证的服务。 KerberosAdmin 提供认证用户管理的进程。 KerberosServer 提供认证票据分发的进程。 步骤原理说明： 应用客户端（Application Client）可以是集群内某个服务，也可以是客户二次开发的一个应用程序，应用程序可以向应用服务提交任务或者作业。 1. 应用程序在提交任务或者作业前，需要向Kerberos服务申请TGT（TicketGranting Ticket），用于建立和Kerberos服务器的安全会话。 2. Kerberos服务在收到TGT请求后，会解析其中的参数来生成对应的TGT，使用客户端指定的用户名的密钥进行加密响应消息。 3. 应用客户端收到TGT响应消息后，解析获取TGT，此时，再由应用客户端（通常是rpc底层）向Kerberos服务获取应用服务端的ST（Server Ticket）。 4. Kerberos服务在收到ST请求后，校验其中的TGT合法后，生成对应的应用服务的ST，再使用应用服务密钥将响应消息进行加密处理。 5. 应用客户端收到ST响应消息后，将ST打包到发给应用服务的消息里面传输给对应的应用服务端（Application Server）。 6. 应用服务端收到请求后，使用本端应用服务对应的密钥解析其中的ST，并校验成功后，本次请求合法通过。

云防火墙和安全组、网络ACL的访问控制有什么区别？ 云防火墙、安全组、网络ACL都可以实现通过IP地址/IP地址组设置访问控制策略，为您的互联网边界和VPC边界、弹性云服务器、子网提供防护。 云防火墙和安全组、网络ACL的主要区别如下所示。 类别 云防火墙 安全组 网络ACL 定义 云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持AI提升智能防御能力满足云上业务的变化和扩张需求，极简应用让用户快速灵活应对威胁。云防火墙服务是为用户业务上云提供网络安全防护的基础服务。 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器、云容器、云数据库等实例提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当实例加入该安全组后，即受到这些访问规则的保护。 网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的网络流量。 防护场景 互联网边界 VPC边界 SNAT场景 弹性云服务器 子网 功能特性 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。 支持通过地理位置、域名、域名组、黑/白名单过滤。 支持入侵防御系统（IPS）、病毒防御（AV）功能。 支持三元组（即协议、端口和对端地址）过滤。 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。

身份认证 CTIAM 统一身份认证（Identity and Access Management， 简称：CTIAM）是提供用户进行权限管理的基础服务，可以帮助您安全的控制天翼云服务和资源的访问及操作权限，包括：用户身份认证、权限分配、访问控制等功能。具体介绍请参考统一身份认证产品介绍。 您可以创建IAM用户，并为其设置关联分布式消息服务RabbitMQ实例权限，该用户就可以通过用户名和密码访问授权的实例资源。具体请参见统一身份认证快速入门创建IAM用户。 访问控制 权限控制 购买分布式消息服务RabbitMQ实例之后，您可以使用CTIAM为企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，通过CTIAM进行精细的权限管理。 VPC和子网 虚拟私有云（Virtual Private Cloud，VPC）为分布式消息服务RabbitMQ构建隔离、私密的虚拟网络环境，提升数据库的安全性，并简化用户的网络部署。您可以完全掌控自己的专有网络，VPC丰富的功能帮助您灵活管理云上网络，包括创建子网、设置安全组和网络ACL、管理路由表、申请弹性公网IP和带宽等。通过子网与其他网络隔离，独享网络资源，提高网络安全性。具体内容请参见虚拟私有云用户指南创建虚拟私有云和子网 。 安全组 安全组是一个逻辑上的分组，可以为同一个虚拟私有云内具有相同安全保护需求并相互信任的RabbitMQ实例提供相同的访问策略。您可以通过为数据库实例设置安全组，开通需访问RabbitMQ实例的IP地址和端口，来保证保障其运行环境的安全性和稳定性。具体请参见修改实例安全组。

本文主要介绍网络管理类问题。 一、集群安全组规则配置 CCE作为通用的容器平台，安全组规则的设置适用于通用场景。集群在创建时将会自动为Master节点和Node节点分别创建一个安全组，其中Master节点的安全组名称是： {集群名}ccecontrol{随机ID} ；Node节点的安全组名称是： {集群名}ccenode{随机ID} 。使用CCE Turbo集群时会额外创建一个ENI的安全组，名为 {集群名}cceeni{随机ID} 。 用户可根据安全需求，登录CCE控制台，单击服务列表中的“网络 > 虚拟私有云 VPC”，在网络控制台单击“访问控制 > 安全组”，找到CCE集群对应的安全组规则进行修改和加固。 如集群在创建时需要指定节点安全组，请参考集群自动创建的Node节点安全组规则放通指定端口，以保证集群中的正常网络通信。 注意 安全组规则的 修改和删除可能会影响集群的正常运行 ，请谨慎操作。如需修改安全组规则，请尽量避免对CCE运行依赖的端口规则进行修改。 Node节点安全组规则 入方向 集群自动创建Node节点的安全组名称为 {集群名}ccenode{随机ID} ，默认入方向规则如下图所示， 源地址属于本安全组的需全部放通 ，其余端口说明见下表。 VPC网络模型Node节点默认安全组 VPC网络模型Node节点安全组默认端口说明 端口 默认源地址 说明 是否可修改 修改建议 UDP：全部TCP：全部 VPC网段 Node节点之间互访、Node节点与Master节点互访。 不建议修改 不涉及 ICMP：全部 Master节点网段 Master节点访问Node节点。 不建议修改 不涉及 TCP：3000032767UDP：3000032767 所有IP地址 集群NodePort服务默认访问端口范围。 可修改 端口需对VPC网段、容器网段和ELB的网段放通。 全部 容器网段 节点与容器互访。 不建议修改 不涉及 全部 Node节点网段 Node节点之间互访。 不建议修改 不涉及 TCP：22 所有IP地址 允许SSH远程连接Linux弹性云服务器。 建议修改 不涉及 容器隧道网络模型Node节点默认安全组 容器隧道网络模型Node节点安全组默认端口说明 端口 默认源地址 说明 是否可修改 修改建议 UDP：4789 所有IP地址 容器间网络互访。 不建议修改 不涉及 TCP：10250 master节点网段 master的主动访问node的kubelet（如执行kubectl exec {pod}）。 不建议修改 不涉及 TCP：3000032767UDP：3000032767 所有IP地址 集群NodePort服务默认访问端口范围。 可修改 端口需对VPC网段、容器网段和ELB的网段放通。 TCP：22 所有IP地址 允许SSH远程连接Linux弹性云服务器。 建议修改 不涉及 全部 本安全组和VPC网段 源地址属于本安全组和VPC网段的需全部放通。 不建议修改 不涉及 出方向 对于 出方向规则 ，CCE创建的安全组默认全部放通，通常情况下不建议修改。如需加固出方向规则，请注意如下端口需要放通。 Node节点安全组出方向规则最小范围 端口 放通地址段 说明 UDP：53 子网的dns服务器 用于域名解析。 UDP：4789（仅容器隧道网络模型的集群需要） 所有IP地址 容器间网络互访。 TCP：5443 Master节点网段 master的kubeapiserver的监听端口。 TCP：5444 VPC网段、容器网段 kubeapiserver服务端口，提供k8s资源的生命周期管理。 TCP：6443 Master节点网段 TCP：8445 VPC网段 Node节点存储插件访问Master节点。 TCP：9443 VPC网段 Node节点网络插件访问Master节点。