本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的Bot人机识别功能。 功能介绍 边缘安全加速平台安全与加速服务提供的人机识别模块支持Cookie挑战、跳转挑战、人机挑战等一系列反爬能力，帮助客户及时且精准地拦截爬虫流量，保障网站业务安全。 注意 目前控制台尚未开放人机识别功能，如有防护需求请通过 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 购买Bot防护扩展服务，支持Bot防护相关功能。 人机识别功能 Cookie基础检测 客户端标识检测：客户端标识检测是Bot防护第一检测策略，校验下发的Cookie个数和完整性，无客户端标识、客户端标识缺失、客户端标识解析失败都需要配置。 无客户端标识：针对请求没有Cookie的情况进行处理。 处理动作：拦截/告警/跳转/放行。 拦截：拦截请求。 告警：仅记录请求。 跳转：GET请求启动302跳转策略，POST请求启动307跳转策略。 放行：不对该异常做处理，另外不会再校验其他的BOT防护规则。 统计粒度：静态Cookie/IP+UA/IP。 触发条件：达到触发条件的请求将对其执行处理动作，并支持配置处理动作持续时长（触发规则后的惩罚时间）。 客户端标识缺失：针对请求带回Cookie个数小于下发的个数（最多会下发四个）进行处理。 客户端标识解析失败：针对失败解析Cookie的情况下进行处理。 其他字段： 客户端标识过期时间：默认15天，单位天，最大值365天。 白名单：即例外条件，符合条件的请求不进行功能检测。

本章节主要向您介绍什么是IP地址组。 IP地址组 IP地址组是一个或者多个IP地址的集合，可关联至安全组、网络ACL，用于简化网络架构中IP地址的配置和管理。 对于需要统一管理的IP网段、单个IP地址，您可以将其添加到一个IP地址组内。IP地址组无法独立使用，需要将IP地址组关联至对应的资源，可关联IP地址组的资源说明如下表所示。 资源 说明 示例 安全组 添加安全组规则的时候，源地址和目的地址可以选择IP地址组。 如下图所示，安全组sgA的的入方向规则的源地址使用IP地址组ipGroupA。 网络ACL 添加网络ACL规则的时候，源地址和目的地址可以选择IP地址组。 如下图所示，网络ACLfwA的入方向规则的源地址使用IP地址组ipGroupA。 IP地址组应用示例 对于安全策略相同的多个IP地址，您可以将其添加到一个IP地址组内统一管理，并在安全组内添加针对该IP地址组的授权规则。当IP地址发生变化时，您只需要在IP地址组内修改IP地址，那么IP地址组对应的安全组规则将会随之变更，无需逐次修改安全组内的规则，降低了安全组管理的难度，提升效率。 IP地址组的使用限制 对于关联IP地址组的安全组，其中IP地址组相关的规则对某些类型的云主机不生效，不支持的规则如下： 通用计算型（S1型、C1型、C2型 ） 内存优化型（M1型） 高性能计算型（H1型） GPU加速型（G1型、G2型） 在网络ACL的规则中使用IP地址组时，有以下限制： 对于入方向规则，源地址和目的地址只能有一方使用IP地址组。 对于出方向规则，源地址和目的地址只能有一方使用IP地址组。比如网络ACL入方向规则中的源地址已使用IP地址组，则目的地址只能是IP地址，无法选择IP地址组。

没有安全经验的使用者要如何配置防护策略 您可能出于等保要求或者为了预防Web攻击而购买Web应用防火墙，但您之前从未了解过网站安全相关知识或者未使用过安全产品，这种情况可以参考本章内容进行域名的防护配置修改。在根据域名接入指引成功添加域名后（域名状态由配置中变更为 已启用 ），在“安全防护 > 安全基础配置”页面将防护开关置为开启并将处理动作置为拦截，然后在“安全防护 > 域名规则”中将域名规则开关置为拦截模式，完成这几步操作后WAF就可以帮助您自动识别、拦截绝大部分的Web攻击请求。 同时您也需要多关注概览、安全分析、日志管理、态势感知等数据统计分析页面，了解业务流量、数据情况和攻击威胁情况。查看相关数据报表可以让您对域名信息有更详细的了解，同时可以根据这些数据特征，联系天翼云安全专家沟通具体的解决方案，在天翼云安全专家的指导下进一步配置域名防护内容，对域名安全进一步加固。关于统计分析报表的详情介绍可查看相关文档：安全分析报表、WAF攻击日志、态势感知。 当您在攻击日志中发现正常的业务请求被误拦截，而您又不会根据误拦截内容进行防护配置变更时，您可以联系天翼云安全专家沟通具体的解决方案，联系方式见服务保障。

本页介绍天翼云TeleDB数据库如何报告可能的安全漏洞或安全缺陷。 天翼云数据库团队欢迎您通过工单或邮件（teledb@chinatelecom.cn）向我们报告数据库产品可能存在的安全漏洞或安全缺陷，我们将第一时间处理并向您反馈结论。 为提高确认安全漏洞的效率，欢迎您在相关报告中明确发现产品或组件版本，复现问题的具体方法。相关安全漏洞在未经天翼云确认前，请勿向互联网或第三方公开。 天翼云数据库团队漏洞处理的大概流程： 报告者将可能的安全漏洞报告给天翼云数据库团队; 团队记录并第一时间安排专家复现验证，分析原因； 与报告者私下沟通确认更多漏洞细节； 无论是否确认为安全漏洞，均答复报告者具体原因和后续方案； 若为超危、高危安全漏洞的且无法短时间修复的，将先输出临时解决方案，再进行完整修复； 若为新增安全漏洞的，将按照国家相关规定，向国内相关漏洞收录组织报告； 修复完成后，通过合适手段向天翼云数据库用户公开漏洞信息和修复方案。

SSL VPN统一业务安全接入平台,帮助用户在任何时间、任何地点、使用任何主流终端,安全、快速地接入业务系统,可满足移动办公、分支互联、协同办公、应用虚拟化、APP安全加固业务需求。

本文主要介绍设备相关策略。 功能说明 设备终端越来越多，企业的系统被各类设备访问，安全管理若无法有效区分是否是安全设备、还是非法设备，则有可能导致攻击者窃取账号后，直接使用非法设备进行登录访问，获取数据。本文主要针对设备可设定一定策略，保障企业设备管理安全。 注意 设备授信功能需要客户端版本号为2.3.x及以上，设备策略能力针对不同版本开放，点此查看 操作步骤 1. 登录边缘安全加速控制台。 2. 支持在AOne零信任、AOne终端管理工作台操作。 3. 在左侧导航栏终端终端资产设备策略，查看并管控配置。 设备共享 设定是否允许设备多人使用，避免存在安全风险。 配置说明 允许共享：开启/关闭，开启后允许授信设备共享，即不同用户可使用相同设备进行登录，可点击查看目前共享设备有多少台。 用户新设备激活 主要针对用户已绑定设备，若再使用其他新设备登录时，需要进行新设备激活，可通过旧设备认证或管理员认证激活才可使用。

步骤 三 ：创建筛选规则 1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东华东1。 2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 3. 在左侧导航栏，选择“流量镜像筛选条件”选项。 4. 在筛选条件页面，点击右上角的“创建筛选条件”按钮。 5. 在创建筛选条件弹窗中，填写筛选条件的名称和描述。 6. 进入对应筛选条件的详情页，添加入方向规则。 7. 进入对应筛选条件的详情页，添加出方向规则。 步骤 四 ：购买镜像会话 1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东华东1。 2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 3. 在左侧导航栏，选择“流量镜像镜像会话”选项。 4. 在镜像会话页面，点击右上角的“创建镜像会话”按钮。 5. 在创建镜像会话界而中，填写镜像会话的名称、VNI和描述，点击”下一步”。 6. 选择筛选条件，这里我们选择已创建的mirror1，点击”下一步”。 7. 选择镜像源，这里我们选择ENI1和ENI2，点击”下一步”。 8. 选择镜像目的，这里我们选择ENI3，点击”下一步”。 9. 选择我已阅读并同意相关协议，单击“创建”，完成镜像会放的创建。 步骤五：配置镜像目的安全组 1. 登录天翼云控制台，在控制中心页面左上角选择区域，本文我们选择华东华东1。 2. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 3. 在左侧导航栏，选择“访问控制安全组”选项。 4. 在安全组列表页面，找到您需要添加规则的安全组名称，点击安全组名称，进入安全组详情页。 5. 点击“添加规则”，根据界面提示配置安全组规则，确定授权策略、优先级、协议类型、端口范围、源/目的地址等信息。 具体参数配置信息如下表： 参数 说明 取值样例 IP版本 IPv4、IPv6 IPv4 授权策略 允许、拒绝 允许 优先级 安全组规则优先级可选范围为1100，默认值为1，即最高优先级。优先级数字越小，级别越高。优先级相同的情况下，拒绝策略优先于允许策略。 1 协议 网络协议，取值范围为：TCP，UDP，ICMP，Any。 UDP 端口范围 安全组规则的端口范围，取值范围为：1～65535。支持同时输入多个端口，以英文逗号分隔。多个端口值按照多条规则分别下发，占用多个配额。 4789 源地址/目的地址 源地址/目的地址支持类型：IP地址、安全组、前缀列表。支持同时输入多个IP地址/安全组/前缀列表，按照多条规则分别下发，占用多个配额。 10.2.1.1/32 描述 安全组规则的描述信息，非必填项。 6. 点击“确认”按钮。

权限 授权项 权限类型（读/写） 权限描述 管理者aisec admin 查看者aisec viewer 使用者aisec user 大模型安全卫士 查询已绑定的弹性网卡 aisec:llmGuard:queryBindEni 读 查询已绑定的弹性网卡 √ √ √ 查询可绑定的弹性网卡 aisec:llmGuard:queryUnbindEni 读 查询可绑定的弹性网卡 √ √ √ 查询已绑定的Eip aisec:llmGuard:queryBindEip 读 查询已绑定的Eip √ √ √ 查询可绑定的Eip aisec:llmGuard:queryUnbindEip 读 查询可绑定的Eip √ √ √ 查询可绑定的安全组 aisec:llmGuard:querySecurityGroup 读 查询可绑定的安全组 √ √ √ 查询实例VNC信息 aisec:llmGuard:queryVnc 读 查询实例VNC信息 √ √ √ 查询实例列表 aisec:llmGuard:querylnstanceList 读 查询实例列表 √ √ √ 获取实例单点登录地址 aisec:llmGuard:queryUserAccess 读 获取实例单点登录地址 √ √ √ 绑定/解绑弹性网卡 aisec:llmGuard:updateEni 写 绑定/解绑弹性网卡 √ × √ 绑定/解绑Eip aisec:llmGuard:updateEip 写 绑定/解绑Eip √ × √ 绑定/解绑安全组 aisec:llmGuard:updateSecurityGroup 写 绑定/解绑安全组 √ × √ 操作实例机器 aisec:llmGuard:operateEcs 写 操作实例机器 √ × √ 订购 aiseC:CTYUNAISECAISECLLMGUARD:purchase 写 订购 √ × √ 续订 aisec:CTYUNAISECAISECLLMGUARD:renew 写 续订 √ × √ 升配 aisec:CTYUNAISECAISECLLMGUARD:upgrade 写 升配 √ × √ 退订 aiseC:CTYUNAISECAISECLLMGUARD:refund 写 退订 √ × √ 大模型安全测评 订购 aisec:CTYUNAISECAISECLLMEVAL:purchase 写 订购 √ × √ 续订 aisec:CTYUNAISECAISECLLMEVAL:renew 写 续订 √ × √ 升配 aisec:CTYUNAISECAISECLLMEVAL:upgrade 写 升配 √ × √ 退订 aisec:CTYUNAISECAISECLLMEVAL:refund 写 退订 √ × √ 大模型安全护栏 订购 aisec:CTYUNAISECAISECLLMGUARDRAILS:purchase 写 订购 √ × √ 续订 aiseC:CTYUNAISECAISECLLMGUARDRAILS:renew 写 续订 √ × √ 升配 aiseC:CTYUNAISECAISECLLMGUARDRAILS:upgrade 写 升配 √ × √ 退订 aiseC:CTYUNAISECAISECLLMGUARDRAILS:refund 写 退订 √ × √

本文介绍如何配置RBI云端浏览器 适用场景 RBI云端浏览器通过隔离浏览环境进行数据隔离、运行隔离，限制员工行为，保障员工终端安全，敏感数据不落地，提供全流程的行为审计，保证恶意行为证据可追溯，主要针对互联网威胁（防钓鱼、防恶意勒索等）、企业内部数据安全管理提供轻量化、一站式的解决方案。 注意事项 注意 配置该能力前需先购买【RBI云端浏览器】服务，并保障零信任服务已接入，详情见 配置说明 如您需要配置使用RBI云端浏览器，请提交工单给天翼云客服，并提供以下信息，由其帮您配置。 配置需求 填写内容 备注 需求场景 提供具体需求场景 互联网安全访问 是否开启该能力 默认是否，若是是则开启互联网安全访问，则会提供一个互联网安全访问地址，通过该地址访问互联网资源（如www.ctyun.cn），则会经过云端浏览器进行处理。 否则不开启。 互联网安全访问 使用人员范围 互联网安全访问若开启，则需提供使用人员范围，默认全部。 互联网安全访问 访问管控：是否限制复制，粘贴，下载 互联网安全访问若开启，则需管控限制，默认全部不限制。 内网安全访问 配置应用资源 提供具体应用名称(即应用配置时的应用名称，仅针对web应用的入口地址有效)。 内网安全访问 使用人员范围 默认全部。 内网安全访问 访问管控：是否限制复制，粘贴，下载 默认全部不限制。

本章节主要介绍通过Windows弹性云主机访问。 MRS支持通过Windows弹性云主机访问开源组件Web站点。该方式操作较为复杂，推荐不支持EIP功能的MRS集群使用。 1. 在MRS管理控制台，单击“集群列表”。 2. 在 “现有集群” 列表中，单击指定的集群名称。 记录集群的“可用区”、“虚拟私有云”、“集群控制台地址”、“安全组”。 说明 集群控制台地址获取方式：远程登录Master2节点，执行“ifconfig”命令，系统回显中“eth0:wsom”表示集群控制台地址，请记录“inet”的实际参数值。如果在Master2节点无法查询到集群控制台地址，请切换到Master1节点查询并记录。如果只有一个Master节点时，直接在该Master节点查询并记录。 3. 在ECS管理控制台，创建一个新的弹性云主机。 弹性云主机的“可用区”、“虚拟私有云”、“安全组”，需要和待访问集群的配置相同。 选择一个Windows系统的公共镜像。例如，选择一个标准镜像“Windows Server 2012 R2 Standard 64bit(40GB)”。 其他配置参数详细信息，请参见“弹性云主机 > 用户指南 > 快速入门 > 创建并登录Windows弹性云主机”。 说明 如果ECS的安全组和MRS集群的“安全组”不同，用户可以选择以下任一种方法修改配置： 将ECS的安全组修改为MRS集群的安全组，请参见“ 用户指南 > 安全组 > 更改安全组”。 在集群Master节点和Core节点的安全组中添加两条安全组规则使ECS可以访问集群，“协议”需选择为“TCP”，“端口”需分别选择“28443”和“20009”。请参见“虚拟私有云 > 用户指南 > 安全性 > 安全组 > 添加安全组规则”。 4. 在VPC管理控制台，申请一个弹性IP地址，并与ECS绑定。 具体请参见“虚拟私有云>用户指南 > 弹性公网IP > 为弹性云主机申请和绑定弹性公网IP”。 5. 登录弹性云主机。 登录ECS需要Windows系统的帐号、密码，弹性IP地址以及配置安全组规则。具体请参见“弹性云主机> 用户指南 > 实例 > 登录弹性云主机 > 登录Windows弹性云主机”。 6. 在Windows的远程桌面中，打开浏览器访问Manager。 例如Windows 2012操作系统可以使用Internet Explorer 11。 Manager访问地址形式为 https:// 集群控制台地址 :28443/web 。访问时需要输入MRS集群的用户名和密码，例如“admin”用户。 说明 集群控制台地址：远程登录Master2节点，执行“ifconfig”命令，系统回显中“eth0:wsom”表示集群控制台地址，请记录“inet”的实际参数值。如果在Master2节点无法查询到集群控制台地址，请切换到Master1节点查询并记录。如果只有一个Master节点时，直接在该Master节点查询并记录。 如果使用其他MRS集群用户访问Manager，第一次访问时需要修改密码。新密码需要满足集群当前的用户密码复杂度策略。 默认情况下，在登录时输入5次错误密码将锁定用户，需等待5分钟自动解锁。 7. 请参考开源组件Web站点页面提供的站点地址访问开源组件Web站点。

本文介绍如何环境设置。 集群创建前，需要完成对VPC、子网及安全组的设置，本章节介绍如何完成集群的环境设置。 步骤一：创建虚拟私有云 您需要创建虚拟私有云(Virtual Private Cloud，以下简称VPC)，提供一个隔离的、用户自主配置和管理的虚拟网络环境，提升公有云中资源的安全性，简化用户的网络部署。如果用户已有VPC，可重复使用，不需多次创建。关于创建VPC的详细信息可以参考虚拟私有云创建虚拟私有云VPC。 步骤二：创建子网 创建子网之前需要提前创建好虚拟私有云，如果用户已有子网，可重复使用，不需多次创建。关于子网创建的详细信息可参考虚拟私有云创建子网。 步骤三：设置安全组 设置安全组之前需提前创建好安全组。配置时需要在出方向、入方向分别添加允许6443、9080、9443、2379、2380端口的设置，关于安全组设置的详细信息可参见虚拟私有云安全组配置示例。

本小节介绍漏洞扫描术语解释。 漏洞扫描服务 漏洞扫描服务是针对服务器进行漏洞扫描的一种安全检测服务。 扫描器 扫描器是一类自动检测本地或远程主机安全弱点的程序，它能够快速准确地发现扫描目标存在的漏洞并提供给使用者扫描结果。 漏洞库 包含各种已知漏洞信息的大型数据库，用于查找和识别系统中存在的漏洞。 弱口令 密码强度低，或广泛被使用，容易被攻击者破解的口令。 开放端口（SYN扫描） 端口扫描是计算机入侵者常用的一种漏洞发现方式，攻击者可以通过它了解到主机攻击弱点，一个开放端口就是一个潜在的通信通道，也就是一个入侵通道。 弱口令检测 通过弱口令字典，检测用户SSH、RDP等服务是否使用了弱密码，及时更改弱口令有效防备暴力破解入侵。 配置脆弱性检测 配置脆弱性检测也就是基线检查，针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。

安全概览 提供统一可视化界面展示网页业务的整体安全状态，包括防护统计数据、网站流量分析数据等。 攻击事件报表 支持通过控制台界面，实时查看攻击信息和事件详情。并支持订阅和下载防护日报、周报和月报。 API安全 为用户提供API资产管理、API资产发现、API生命周期监测，将API资产作为串联Web应用安全运营的核心，在DeepSeek等全新应用场景中，为用户建立API资产发现、画像及监测的一体化自动响应能力。

本文介绍域名接入边缘安全加速平台后,如何为域名配置合适的防盗链策略。 CDN流量盗刷，是指恶意用户通过各种非法手段大量获取网站资源，从而产生大量的流量，这些流量不仅消耗了网站的带宽，还可能导致过高的费用和服务性能下降。 CDN流量被盗刷，常见的动机和行为如下： 1.盗链：为节省自身的带宽费用，盗链者从自己的网站直接链接到目标网站的资源（如图片、视频等），而不是将资源下载到自己的服务器上。 2.恶意爬虫：为了试图搜集网站的敏感信息、竞争对手商业信息等，爬虫者通过爬虫工具、自动化脚本频繁、大批量地获取网站内容或下载文件。 3.CC攻击：出于恶意竞争、敲诈勒索等目的，攻击者模拟真实用户行为，向目标网站发送大量请求，故意消耗目标服务器带宽及连接资源。 操作前提 已经在边缘安全加速平台控制台完成接入域名，并且域名已处于已启用的状态。 操作内容须知 本文描述都是建立在您已经完成域名新增，并且域名状态处于已启用的前提下进行操作，您可以参考功能的描述文档开启并设置相对应的功能。 1. 登录边缘安全加速控制台。 2. 在左侧导航栏，选择域名>域名管理。 相对于传统的CDN加速服务，AOne在CDN加速的基础上叠加了更加全面的安全防御手段，能够有效识别CDN盗刷行为，为网站提供加速和安全能力的同时防护盗链。

支持根据自身的业务防护场景配置告警策略,并支持查看告警记录与发送告警信息。 功能介绍 网站接入后，您可以通过设置告警策略，当网站请求流量到达边缘节点时，若检测到攻击事件、异常流量并触发告警策略时，将向您发送告警通知，帮助您及时掌握业务的安全状态。本文介绍如何设置告警策略和查看告警记录。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 配置了对应的安全防护策略，才会生成告警，您可以按需配置防护策略，请参见网站防护配置概述。 说明 默认脱敏显示您的联系方式等敏感信息，点击明文显示时，请您注意保护数据安全！ 设置告警策略 1. 登录边缘安全加速控制台，在左侧导航栏中进入【运营管理】—【告警管理】—【告警策略】页面； 2. 单击【新增】按钮，可以根据需要配置适合的告警，支持配置的告警类型有Web防护告警、CC防护告警、DDoS防护告警、BOT防护告警、访问控制告警。 告警配置新增页面

设置弹性云主机安全组规则 1.单击弹性云主机名称，查看弹性云主机详情，在弹性云主机详情页面，选择“安全组”。 2.在“安全组”界面，单击“更改安全组规则”，进入安全组详情界面。 3.在安全组详情界面，单击“添加规则”，弹出添加规则窗口。 4.根据界面提示配置安全组规则。 部署JavaWeb环境需为弹性云主机添加两个安全组规则。 a.为云主机添加ICMP安全组规则。 如果云主机默认设置是禁止ICMP规则，当ping弹性服务器IP时会显示超时。因此首先为云主机添加ICMP规则。 图 添加ICMP规则 b.为云主机添加web项目分配端口的访问规则，以8080 端口为例。 图 添加8080端口 安装jdk 1.执行如下命令，进入jdk目录。 cd /home/webDemo/jdk 2.解压jdk安装包到jdk目录下。 tar xvf jdk17linuxx64bin.tar.gz C /home/webDemo/jdk/ 3.配置环境变量。 vi /etc/profile 4.在底部添加以下内容。 set java environment JAVAHOME/home/webDemo/jdk/jdk17.0.x JREHOME$JAVAHOME PATH$JAVAHOME/bin:$PATH CLASSPATH.:$JAVAHOME/lib/dt.jar:$JREHOME/lib/tools.jar export JAVAHOME JREHOME PATH CLASSPATH 说明： “jdk17.0.x”表示jdk安装包的具体版本，实际值需要从步骤2的返回值中获取。 例如：jdk17.0.3 5.执行以下命令保存并退出。 :wq 6.执行以下命令使/etc/profile里的配置生效。 source /etc/profile 7.验证安装。 java version 8.回显信息如下所示验证安装jdk成功。 [root@ecsc525web ~]

本文主要介绍步骤一：准备环境。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为Kafka实例提供一个隔离的、用户自主配置和管理的虚拟网络环境。 步骤 1 在创建Kafka实例前，确保已存在可用的虚拟私有云和子网。 创建方法，请参考《虚拟私有云用户指南》的“创建虚拟私有云和子网”。如果您已有虚拟私有云和子网，可重复使用，不需要多次创建。 在创建VPC和子网时应注意如下要求： 创建的VPC与使用的Kafka服务应在相同的区域。 创建VPC和子网时，配置参数建议使用默认配置。 步骤 2 在创建Kafka实例前，确保已存在可用的安全组。 创建方法，请参考《虚拟私有云用户指南》的“创建安全组”。如果您已有安全组，可重复使用，不需要多次创建。 在创建安全组时应注意如下要求： 创建安全组时，“模板”选择“自定义”。 使用Kafka实例必须添加下表所示安全组规则，其他规则请根据实际需要添加。 表 安全组规则 方向 协议 端口 源地址 说明 入方向 TCP 9094 0.0.0.0/0 通过公网访问Kafka实例（关闭SSL加密）。 入方向 TCP 9092 0.0.0.0/0 使用内网通过同一个VPC访问Kafka实例（关闭SSL加密）。 入方向 TCP 9095 0.0.0.0/0 通过公网访问Kafka实例（开启SSL加密）。 入方向 TCP 9093 0.0.0.0/0 使用内网通过同一个VPC访问Kafka实例（开启SSL加密）。 入方向 TCP 9999 0.0.0.0/0 访问Kafka Manager。 入方向 TCP 9011 0.0.0.0/0 使用DNAT访问Kafka实例（开启SSL加密和关闭SSL加密都适用）。 说明 安全组创建后，系统默认添加入方向“允许安全组内的弹性云主机彼此通信”规则和出方向“放通全部流量”规则。此时使用内网通过同一个VPC访问Kafka实例，无需添加上表的规则。

查看容器审计日志 1. 登录管理控制台。 2. 在页面左上角单击，选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。 3. 在左侧导航栏，选择“安全运营 > 容器审计”，进入“容器审计”页面。 4. 根据以下操作查看不同类型的审计日志。 查看集群容器审计 1. 选择“集群容器审计”页签。 2. 单击目标集群名称，进入集群容器审计详情页面，查看容器运行指令的日志记录。 查看容器实例审计 1. 选择“容器实例审计”页签。 2. 单击目标容器实例名称，进入容器实例审计详情页面，查看容器日志、容器运行指令的日志记录。 查看镜像仓日志审计 选择镜像仓日志审计页签，查看镜像仓日志审计的记录。

本文介绍如何更新仓库镜像。 镜像列表会定期自动更新，也可以通过手动更新列表，来更新节点和仓库中存在的镜像资产。 前提条件 已添加镜像仓库，详细操作请参见配置镜像仓库。 更新仓库镜像列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“镜像安全”，进入镜像安全页面。 3. 选择“仓库镜像”页签，单击仓库镜像列表右上角的“更新镜像”，可拉取仓库中的所有仓库镜像。 4. 选择更新范围：支持更新全部仓库镜像、单个仓库内的镜像、单个仓库项目内的镜像三种更新方式。 5. 单击“确定”，完成更新操作。 更新节点镜像列表 1. 登录容器安全卫士控制台。 2. 在左侧导航栏选择“镜像安全”，进入镜像安全页面。 3. 选择“节点镜像”页签，单击节点镜像列表右上角的“更新镜像”，可拉取集群中的所有节点镜像。 4. 选择更新范围：支持更新全部节点镜像、更新集群内的镜像两种更新方式。 5. 单击“确定”，完成更新操作。

本文介绍如何订购大模型安全测评套餐。 操作步骤 1. 选择“大模型安全测评”。 2. 单击“立即购买”后，在配置清单中选择要购买的大模型安全测评套餐和数量，单击“立即购买”。 3. 确定订单信息之后，单击“立即支付”。 支付后显示支付成功。

参数名称 说明 计费模式 WAF独享引擎实例支持按需和包年包月计费，实例从创建成功开始计费到删除实例时结束计费，按实际使用时长（精确到秒）计费。 区域 原则上，在任何一个区域申请的WAF支持防护所有区域的Web业务。但是为了提高WAF的转发效率，建议您在申请WAF时，根据防护业务的所在区域就近选择申请的WAF区域。 可用区 选择区域中的可用区。 WAF实例名称前缀 设置WAF实例名称前缀，申请多个实例时，实例前缀名称相同。 WAF实例数量 设置申请的WAF实例个数。 WAF实例规格 选择实例的规格。WAF支持500Mbit/s和100Mbit/s两种规格。 CPU架构 选择实例的CPU架构。 CPU规格 选择实例的CPU规格。 预计最终规格 吞吐量的性能参考值。 虚拟私有云 Web应用防火墙（独享版）需要配合VPC使用，购买时选择被防护源站所在的VPC即可。 业务网卡 选择VPC中已配置的子网。 安全组 选择区域中已有的安全组，或者单击“管理安全组”，跳转到VPC管理控制台创建新的安全组。选择安全组后，该实例将受到该安全组访问规则的保护。 安全组建议配置以下访问规则： 入方向规则：根据业务需求添加指定端口入方向规则，放通指定端口入方向网络流量。例如，需要放通“80”端口时，您可以添加“策略”为“允许”的“TCP”、“80”协议端口规则。 出方向规则：默认。放通全部出方向网络流量。 如果WAF独享引擎实例与源站不在同一个VPC中，需要在安全组中设置实例与源站的子网互通。

本文主要介绍了RDSPostgreSQL产品的高级防护优势，主要体现为：访问控制、网络隔离、数据销毁、防DDoS攻击、安全保护。 访问控制 RDSPostgreSQL实例创建时，可以在虚拟私有云中对实例所在的安全组入站和出站规则进行限制，从而实现基于安全组的访问控制。这样就能够控制可以连接数据库的网络范围，从而提升数据库的安全性。 网络隔离 为了实现对数据库服务的网络隔离，可以利用虚拟私有云（Virtual Private Cloud，简称VPC）和网络安全组等网络安全技术。使用虚拟私有云可以让租户配置入站IP地址范围，这样就能够控制可以连接数据库的IP地址段。同时，RDSPostgreSQL实例可以运行在租户独立的虚拟私有云内，这样就能够提升数据库实例的安全性。通过综合运用子网和安全组的配置，可以进一步实现对关系数据库实例的网络隔离。 数据销毁 在删除关系数据库PostgreSQL版实例时，存储在数据库实例中的数据都会被删除，并且不会被恢复或重新创建。安全删除不仅包括数据库实例所挂载的磁盘，同时还包括备份数据的存储空间。这样可以确保数据得到完全的清除和保护，防止数据被不当使用或者泄露给未经授权的人员。 安全保护 RDSPostgreSQL处于天翼云多层防火墙保护之下，能够有效抗击各种恶意攻击，保障数据的安全性。在防御DDoS攻击、防SQL注入等方面具有优异的性能。为了进一步提升数据库的安全性，建议您使用内网方式访问RDSPostgreSQL实例，这样可以有效地避免DDoS攻击的影响。

本节将介绍如何下载报告至本地。 操作场景 态势感知（专业版）创建并生成报告后，可以将报告下载至本地。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“态势感知 > 安全报告”，进入安全报告页面。 5. 在安全报告管理页面，单击待下载报告右下角“更多”按钮，在功能下拉菜单中单击“下载”。 6. 弹出报告预览页面，单击预览页面上方的“下载”按钮，并在弹出的对话框中，选择报告格式后，单击“确定”。系统将自动下载对应格式的报告到本地。

本小节主要介绍态势感知与其他云服务之间的关系。 与安全服务的关系 态势感知从企业主机安全（Host Security Service，HSS 2.0）等安全防护服务中获取必要的安全事件记录，进行大数据挖掘和机器学习，智能AI分析并识别出攻击和入侵，帮助用户了解攻击和入侵过程，并提供相关的防护措施建议。 与ECS的关系 态势感知为弹性云主机（Elastic Cloud Server，ECS）提供资产安全管理服务，结合HSS主机防护状态，全方位呈现当前ECS安全风险态势，并提供相应防护建议。 与OBS的关系 通过对象存储（Object Storage Service，OBS），您可以将SA日志存储至OBS桶中，确保日志不丢失，实现数据持久化。

本文介绍了API业务监测的相关功能。 功能介绍 API业务监测功能帮助用户实时查看API的业务运行数据包括QPS趋势图、源站状态码响应趋势图、天翼云节点状态码响应趋势图、响应时长趋势图、QPS峰值排行、响应时长排行，同时帮助用户发现和分析业务异常。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 操作步骤 1. 登录边缘安全加速平台控制台。 2. 在左侧导航栏中选择【安全能力】，进入【API安全】菜单，并在左侧域名列表选择您要管理的域名。 3. 您可以在资产列表中选择具体一项API资产，在操作栏中点击【业务监测】跳转查看单一API粒度的业务监测数据；也可以在API资产表头右侧点击【业务监测】查看域名粒度业务监测数据。

本文将介绍针对网站风险监测产生的风险日志。 当在安全与加速服务网站风险监测中配置漏洞扫描任务，您可通过网站风险日志查看网站的风险问题。 操作步骤 1. 登录边缘安全加速控制台。 2. 在左侧导航栏，选择运营管理>日志服务>网站风险日志。 3. 网站风险日志的记录范围为：网站风险监测中漏洞扫描任务中发现的风险。 4. 可针对需求进行查询相关日志情况。 注意 需开通安全与加速服务，并且在【安全能力】【网站风险监测】中配置漏洞监测任务。 最多支持查询或导出六个月的数据，若有长时间导出日志需求，可 字段说明 字段 字段说明 漏洞名称 展示漏洞的名称 发现时间 风险发现的时间 风险URL 有发现风险的URL 风险等级 风险的等级，分为：高危、中危、低危 处理状态 展示对处置的状态，分为：未处理、已处理、误报、白名单 操作 当前对风险支持的处置操作为：标记为已处理、标记为误报、加入白名单

本节主要介绍分布式缓存Redis的连接约束 分布式缓存服务Redis实例可以被兼容Redis协议的任何客户端访问。您可以根据自己的应用需求选择适合的Redis客户端。有关Redis支持的客户端列表，请参考Redis官网，有关各客户端的连接方式，请参考通过客户端连接方式。 使用分布式缓存Redis实例前，请注意以下约束条件： 1.Redis默认安全组未配置规则时，禁止所有入站流量。如需允许同VPC内云主机访问，必须显式添加允许Redis服务端口（6379）的入站规则。 2.在您的弹性云主机安装客户端后，必须要与需要连接的Redis实例处于同一虚拟私有云（VPC）内，并配置相同的安全组。如果使用不同的安全组，则您需设置安全组连通规则，以确保弹性云主机与Redis实例之间的网络连接正常。目前暂不支持弹性云主机与Redis实例跨VPC访问。 3.当使用公网访问Redis实例时，Redis缓存实例配置了正确的安全组规则，其安全组入方向规则，必须允许外部地址访问实例端口。具体配置请参考常见问题网络与连接如何配置安全组。

参数 配置说明 文件安全属性 不同步：源端文件的用户权限等安全属性不同步到备端； 同步：源端文件的用户权限等安全属性同步到备端。

本文介绍源站存在安全防护等原因导致访问域名返回错误状态码的潜在场景及处理建议。 CDN节点请求回源，如果源站有相关安全策略，其链路大致是：客户端>CDN边缘节点>CDN中间节点>源站安全策略>源站。所以当CDN中间节点的IP触发源站的安全相关策略时，即会出现503、502、403等相关状态码。 以比较常见的场景为例： 1. 某些情况下，源站可能会临时关闭或限制访问，以应对网络攻击、恶意行为或滥用。 2. 503状态码表明这种限制或停止服务可能是基于安全考虑而做出的决策。 3. 如CDN节点IP回源请求时触发源站相关安全策略，导致源站返回503状态码，需要源站将回源的CDN中间节点IP放开拦截，解除封禁。

本文介绍如何通过内网及psql命令行客户端连接实例。 RDSPostgreSQL支持客户通过PostgreSQL客户端在内网连接实例。 前提条件 1.登录弹性云主机 创建并登录弹性云主机。 通过弹性云主机连接RDSPostgreSQL实例，需要具备以下条件： 该弹性云主机与目标实例在同一个VPC内。 该弹性云主机必须处于目标实例所属安全组允许访问的范围内。 如果目标实例安全组为default，则无需特别设置。(仅部分资源池支持实例安全组变更，其余资源池默认为default安全组规则)。 如果目标实例安全组为非默认安全组，请查看安全组规则是否允许该弹性云主机访问。具体操作参考VPC安全组配置指引。 2.安装PostgreSQL客户端 请参见数据库基本使用如何安装PostgreSQL客户端。 命令行连接 登录云主机后执行如下命令： psql h p U d 参数说明： ：主机IP，即控制台页面的“实例列表”页面该集群对应的实例列表中，您想连接的实例“vip”列信息。 ：数据库端口，为“实例详情”页面中的数据库端口。 ：用户名，即 RDSPostgreSQL数据库帐号（默认管理员帐号为 root）。 ：数据库名，即RDSPostgreSQL实例里面的数据库，默认初始化的数据库名是postgres。 示例： psql h xx.xx.xx.xx p xxxx U root –d postgres

导入初始数据 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“内容安全 > 语料安全 > 业务设置”，选择“其他”页签。 3. 选择对应的分类点击 。

本文为您介绍数据安全中心的相关名词的主要含义。 API API（Application Programming Interface，应用程序编程接口）是一些预先定义的函数，应用将自身的服务能力封装成API，并通过API网关开放给用户调用。API包括基本信息、前后端的请求路径和参数以及请求相关协议。 安全风险 安全风险是对资产安全状况的综合评估，反映了一段时间内资产遭受的安全风险。安全风险通常体现为一个量化的数值，便于用户理解目前资产的安全状况，数值大小并不代表资产的绝对安全或危险，仅作为资产遭受攻击严重程度的参考。 数据脱敏 指对某些敏感信息通过脱敏规则进行数据的变形，实现敏感隐私数据的可靠保护。 数据源 是指业务上首次正式发布某项数据的应用系统，经过数据管理专业组织认证，作为唯一数据源头被周边系统调用。 数据库数据库实例（DWS） 一个数据库实例是一个进程以及它控制的数据库文件。在集群的一个物理节点上安装多个数据库实例，集群各节点上所安装的GTM、CM、CN、DN统称为实例。一个数据库实例也被称为一个逻辑节点。 数据库实例（RDS） 数据库实例是在云中运行的独立数据库环境。它是RDS的基本构建模块。一个数据库实例可以包含多个由数据库用户创建的数据库，并且可以使用与独立数据库实例相同的客户端工具和应用程序进行访问。 索引 数据库索引，是数据库管理系统中一个排序的数据结构，以协助快速查询、更新数据库表中数据。