安全告警概述
云安全中心支持实时检测资产中的安全告警事件，覆盖网页防篡改、进程异常、网站...调用风险工具 检测模型发现您的服务器异常调用了风险工具，风险工具被攻击者用于代理、隧道、扫描工具等进一步入侵服务器的场景。反弹Shell 检测模型发现您的...
常见问题
我的ECS服务器被20 Mbps的流量攻击了，DDoS基础防护怎么不防护？DDoS基础防护是公共的DDoS防护服务，不对很小的流量攻击（小于100 MB）进行防护。如果云服务带宽低于系统可设置的最低清洗阈值，而攻击流量大于带宽小于清洗阈值，可能造成...
常见问题
基础版（DDoS基础防护）我的ECS服务器被20 Mb的流量攻击了，DDoS原生防护基础版怎么不防护？为什么使用DDoS基础防护时，黑洞不能立即取消？是否可以通过访问控制策略（ACL）屏蔽DDoS攻击及预防黑洞？为什么云监控、云产品流量监控中的流量...
快速搭建移动应用上传回调服务
应用服务器判断回调请求是否来自OSS 如果您的回调服务器被人恶意攻击了，例如恶意回调您的应用服务器，导致应用服务器收到一些非法的请求，影响正常逻辑，此时您就需要判断回调请求是否来自OSS。判断的方法主要是根据OSS给应用服务器返回的...
CREATE USER MAPPING
如果一个用户被授予了服务器上的USAGE特权，该用户可以为自己的用户名创建用户映射。参数说明 参数 说明 IF NOT EXISTS 如果给定用户到给定外部服务器的映射已经存在，则无需抛出错误。在这种情况下发出通知。说明 不能保证现有的用户映射...
CREATE USER MAPPING
如果一个用户被授予了服务器上的USAGE特权，该用户可以为自己的用户名创建用户映射。参数说明 参数 说明 IF NOT EXISTS 如果给定用户到给定外部服务器的映射已经存在，则无需抛出错误。在这种情况下发出通知。说明 不能保证现有的用户映射...
管理防护策略
删除防护策略下的服务器 重要 防护策略下的服务器被删除后，云安全中心对该服务器的勒索防护将失效，并且云安全中心将删除该服务器已备份的所有数据。备份数据删除后将无法找回，建议您谨慎删除防护策略下的服务器。如果您的某台服务器不再...
处理挖矿程序最佳实践
扫描模式 选择快速扫描，扫描范围 选择被挖矿程序攻击的服务器。在 病毒查杀 页面，单击目标告警操作列的 处理。在 告警处理 面板，选择 深度查杀，单击 下一步。系统开始处理告警。处理完成后，您可以查看处理结果和告警状态。步骤三：...
访问ECS实例异常时的问题排查和指引
所有服务器访问目标服务器均存在异常 如果所有服务器访问目标服务器均存在异常，则推断是目标服务器归属安全组或服务器内部自身存在异常所致，需要做进一步排查分析查看服务器内部访问是否正常，即通过 使用管理终端连接Linux实例 登录...
常见问题
申请解封服务器 由于挖矿病毒、被攻击等原因服务器会被锁定，您可以申请解封。解封入口，请参见 处罚列表。解封注意事项如下：自助解封仅能申请1次。申请解封成功后，3天会自动检测，如果再次被检测出现挖矿行为，会被再次封停无法解封。...
远程连接FAQ
检查是否感染挖矿等病毒 服务器被攻击，导致轻量应用服务器的公网IP地址进入黑洞，您可以手动解除后，再次尝试远程登录。具体操作，请参见 阿里云黑洞策略。检查服务器的远程桌面协议 检查Windows服务器是否开启远程桌面协议，如果没开启，...
售前常见问题
阿里云DDoS防护为阿里云用户免费防御不超过5 Gbps的DDoS攻击流量，但是当攻击流量超出5 Gbps时，阿里云会屏蔽被攻击IP的流量，从而避免用户产生超额费用。是否支持仅在业务被攻击时触发防护且收费，无攻击时不收费的DDoS高防服务？目前不...
售前常见问题
阿里云DDoS防护为阿里云用户免费防御不超过5 Gbps的DDoS攻击流量，但是当攻击流量超出5 Gbps时，阿里云会屏蔽被攻击IP的流量，从而避免用户产生超额费用。是否支持仅在业务被攻击时触发防护且收费，无攻击时不收费的DDoS高防服务？目前不...
业务接入高防后存在卡顿、延迟、访问不通等问题
受攻击端口 有延时、丢包 未被攻击端口 有延时、丢包 问题分析处理 是 否 说明不是清洗策略的原因，清洗策略未导致误杀。建议您查看后端服务器状态是否异常，确认后端服务器的抗攻击性能。若服务器抗攻击能力较弱，DDoS高防需要收紧防御...
Web客户端漏洞类型
由于重要操作的所有参数都是可以被攻击者猜到，攻击者即可伪造请求，利用用户身份完成攻击操作，如发布文章、购买商品、转账、修改资料甚至密码等。常见发生位置：所有由用户（包括管理员）发起的操作点。防御措施：辅助验证方法：使用验证...
DDoS基础防护和黑洞
大流量的DDoS攻击都是针对WAF IP，从攻击流量中无法得知具体哪个域名被攻击。您可以使用域名拆分来获知哪个域名被攻击。例如，您可以将部分域名解析到WAF，部分域名解析到其他地址（ECS源站、CDN或SLB 等），如果拆分之后WAF不再被黑洞，...
检测响应常见问题
产生异常登录告警时，登录是成功了还是被拦截了？产生异常登录告警表示已经登录成功，但是这个登录行为被云安全中心判定为可疑行为，所以产生该可疑行为的告警事件。异常登录告警已确定为黑客登录，我该怎么办？登录云安全中心控制台。在...
工作负载安全保护
6 暴力破解 服务器被一个IP使用多个无效的用户名尝试登录，并最后登录成功 7 矿池通信 服务器存在与矿池IP通信的流量，您的服务器可能已被攻击者入侵并用于挖矿。8 内网横向移动 存在异常的内网连接，可能是攻击者入侵服务器后，进行内网...
常见问题
未开启病毒拦截，我的服务器遭受挖矿攻击，该如何处理？我不小心将挖矿告警加入了白名单，该如何取消？如何查看我已开启了哪些防御能力？如何确认病毒自动拦截已生效？phpinfo为什么会产生告警，是否为误报？是否可以自动隔离WebShell文件...
附件四：常见漏洞危害及定义（先知计划）
存储型XSS攻击：XSS攻击代码会被存储在服务器中，由于用户可能会主动浏览被攻击页面，此种方法危害较大。DOM型XSS攻击：通过修改页面的DOM节点形成XSS，严格来讲也可划为反射型XSS。常见发生位置 所有涉及到用户可控的输入输出点，如个人...
CLB健康检查工作原理
如果目标后端服务器存在异常，正处于健康检查失败时间窗，而健康检查还未达到检查失败判定次数（默认为三次），则相应请求还是会被分发到该后端服务器，进而导致前端访问请求失败。健康检查响应超时和健康检查间隔示例 以如下健康检查配置...
自动定时重启ECS云服务器
安全原因：定时重启服务器，可以降低被黑客攻击的风险，因为黑客往往需要一段时间来探测和攻击系统，定时重启可以打乱他们的计划。日志文件：一些程序会定期生成日志文件，长时间运行可能会导致日志文件过大，占用过多硬盘空间。通过定时...
应用行为分析
应用分析功能提供了应用行为、应用接入、被攻击服务器、攻击防护趋势等统计数据，为应用系统加固提供数据参考，帮助您快速了解应用程序的安全防护水平，降低应用安全管理的复杂度。本文介绍如何查看和使用应用分析数据。查看攻击防护效果 ...
ICP备案服务器（接入信息）检查
如果您将互联网信息服务托管在自己的服务器（自建服务器或自建机房）上，您需要联系网络提供商进行ICP备案，如联通、电信等。备案服务器（接入信息）检查 如果您将互联网信息服务托管在阿里云服务器上，通过 阿里云ICP代备案管理系统 进行...
云服务器ECS安全性
79%的受访者表示，他们遇到过勒索软件攻击，35%的受访者承认曾有一次或多次受到攻击导致其无法访问数据和系统。59%的安全团队表示，他们必须投入大量时间和资源进行补救，这一比例高于一年前的42%。因网络安全事件而遭受计划外停机的业务...
IP防护策略
ICMP协议禁用 流量清洗时直接丢弃ICMP协议流量，过滤ICMP攻击并减少服务器被探测的风险。攻击时生效√攻击时生效 ICMP协议禁用对白名单中IP也会生效，即开启该策略后，来自白名单IP的ICMP协议流量也会被丢弃。重要 禁用后会导致ping命令将...
ECS安全组实践（安全组设置）
仅对需要公网访问的云服务器分配公网IP 不论是经典网络还是专有网络（VPC）中，合理地分配公网IP可以让系统更加方便地进行公网管理，同时减少系统受攻击的风险。在专有网络的场景下，创建虚拟交换机时，建议您尽量将需要公网访问的服务区的...
跨地域Web安全加速（海外域名）
全球加速依托阿里云优质BGP带宽和全球传输网络，通过联动DDoS高防和Web应用防火墙，可以有效防御DDoS攻击和Web攻击，同时可以通过全局流量管理实现故障隔离或流量切换，为Web服务商提供一套高安全的跨地域加速方案。背景信息 某Web服务部署...
HTTPS相关常见问题
HTTPS请求数会被计费，当命中某些策略规则，返回403和404的状态码时，该请求是被正确响应了的，所以会被记一次HTTPS请求数；该条请求由于不携带任何的资源内容，所以请求的流量会非常小，计费流量也极小。源站已经配置了HTTPS，CDN上还需要...
常用监控指标
如果不是攻击，而是API调用，则需要判断是否需要调整阈值或者单独放行固定服务器的调用。status:499 客户端发起请求，服务端未返回数据，超过客户端设置的等待时间后，客户端主动断链，服务端返回给客户端该状态码。检查源站是否异常，如...
常用监控指标
如果不是攻击，而是API调用，则需要判断是否需要调整阈值或者单独放行固定服务器的调用。status:499 客户端发起请求，服务端未返回数据，超过客户端设置的等待时间后，客户端主动断链，服务端返回给客户端该状态码。检查源站是否异常，如...
WAF常见问题
WAF可以保护任何公网路由可达的服务器，不论是阿里云服务、其他的云服务、IDC机房等环境，都可以使用WAF。重要 要接入中国内地WAF实例的域名必须按照工信部要求完成ICP备案，否则不支持接入。WAF支持云虚拟主机吗？支持，WAF的所有版本都...
安全FAQ
例如，您在ECS实例上搭建Nginx服务时，通信端口选择监听在TCP 8000，但您的安全组只放行了80端口，则您需要添加安全规则，保证Nginx服务能被访问。其他场景，请参见 安全组应用案例。安全组规则中协议和端口之间是什么关系？添加安全组规则...
日志类别及字段说明
应用防护日志 sas-rasp-log 记录应用防护功能的攻击告警信息的日志，包括攻击类型、行为数据、攻击者IP等关键信息。通过记录和分析应用防护告警日志，您可以了解应用程序中发生的安全事件，进而采取相应的响应和防御措施，提高应用程序的...
日志类别及字段说明
应用防护日志 sas-rasp-log 记录应用防护功能的攻击告警信息的日志，包括攻击类型、行为数据、攻击者IP等关键信息。通过记录和分析应用防护告警日志，您可以了解应用程序中发生的安全事件，进而采取相应的响应和防御措施，提高应用程序的...
资产管理规则
资产管理规则执行后，您可以在 资产中心 的 服务器 页签下的 服务器组 或者 标签 下查看规则执行的结果，满足资产管理规则条件的服务器将被移动到对应的服务器分组或者标签下。修改资产管理规则 在 多云配置管理 页签下，单击 资产管理规则...
阿里云黑洞策略
警告 如果您频繁更换或释放被攻击的ECS地址、EIP地址、SLB地址、轻量服务器等云上资产，对整体云租户产生扩散影响，可能会引起平台限制措施。无。DDoS原生防护 通过控制台解除。具体操作，请参见 解除黑洞。调用DDoS原生防护API中的 ...
放行WAF回源IP段
适用场景 CNAME接入 方式下，如果您的源站服务器上使用了安全狗、云锁等安全软件或应用了特定的访问控制策略，您必须在源站设置放行 WAF回源IP段，避免由WAF转发回源站服务器的正常流量被误判断为异常攻击而被拦截，影响Web业务正常访问。...
防御挂马攻击最佳实践
建议您采用以下解决方法：网络安全层面 建议您使用 ECS安全组、负载均衡白名单、云防火墙 等服务限制不必要的服务端口暴露在外网，防止暴露的服务器端口被黑客利用。主机系统层面 建议您使用 堡垒机 管理ECS的登录方式，并针对不同运维人员...
常见问题
完成购买后，如果您出于防护需求，对不包含在购买授权数范围内的服务器（即非阿里云服务器、线下IDC服务器和新购买的ECS）安装了客户端，云安全中心会统计出您实际已安装客户端的服务器数量是超出了购买时选择的授权数的。那么云安全中心会...
- 产品推荐
- 这些文档可能帮助您