Consulta de la lista de archivos aislados_Gestión de evento_Descripción de la API_Referencia de la API

Función

Esta API se utiliza para consultar la lista de archivos aislados.

Método de invocación

Para obtener más información, consulte Invocación a las API.

URI

GET /v5/{project_id}/event/isolated-file

**Tabla 1** Parámetros de ruta
Parámetro	Obligatorio	Tipo	Descripción
project_id	Sí	String	ID de proyecto Mínimo: 20 Máximo: 64

**Tabla 2** Parámetros de consulta
Parámetro	Obligatorio	Tipo	Descripción
enterprise_project_id	No	String	ID de proyecto empresarial. Para consultar todos los proyectos empresariales, establezca este parámetro en all_granted_eps. Mínimo: 0 Máximo: 64
file_path	No	String	Ruta del archivo
nombre_host	No	String	Nombre del servidor Mínimo: 1 Máximo: 64
private_ip	No	String	Dirección IP privada del servidor Mínimo: 1 Máximo: 256
public_ip	No	String	Dirección IP pública del servidor Mínimo: 1 Máximo: 256
file_hash	No	String	El valor hash calculado utilizando el algoritmo SHA256.
asset_value	No	String	Importancia del activo. Las opciones son las siguientes: important common test Mínimo: 0 Máximo: 128
offset	No	Integer	Desfase, que especifica la posición inicial del registro que se va a devolver. El valor debe ser un número. Mínimo: 0 Máximo: 2000000 Valor predeterminado: 0
limit	No	Integer	Número de registros mostrados en cada página. Mínimo: 10 Máximo: 1000 Valor predeterminado: 10

Parámetros de solicitud

**Tabla 3** Parámetros de encabezado de solicitud
Parámetro	Obligatorio	Tipo	Descripción
X-Auth-Token	Sí	String	Token de usuario. Se puede obtener invocando a la API de IAM utilizada para obtener un token de usuario. El valor de X-Subject-Token en el encabezado de respuesta es un token. Mínimo: 1 Máximo: 32768
region	Sí	String	ID de región Mínimo: 0 Máximo: 128

Parámetros de respuesta

Código de estado: 200

**Tabla 4** Parámetros del cuerpo de respuesta
Parámetro	Tipo	Descripción
total_num	Integer	Número total
data_list	Array of IsolatedFileResponseInfo objects	Detalles del archivo aislado Longitud de matriz: 0 - 100

**Tabla 5** IsolatedFileResponseInfo
Parámetro	Tipo	Descripción
os_type	String	Tipo de sistema operativo. Su valor puede ser: Linux Windows
host_id	String	ID de host
host_name	String	Nombre del servidor
file_hash	String	Hash de archivo
file_path	String	Ruta del archivo
file_attr	String	Atributo de archivo
isolation_status	String	Estado de aislamiento. Las opciones son las siguientes: isolated restored isolating restoring
private_ip	String	Dirección IP privada del servidor
public_ip	String	Dirección IP elástica
asset_value	String	Importancia de activos
update_time	Integer	Hora en que se actualiza la lista blanca de eventos, en milisegundos.
agent_version	String	Versión del agente
isolate_source	String	Fuente de aislamiento. Las opciones son las siguientes: event: evento de alarma de seguridad antivirus: detección y eliminación de virus
event_name	String	Nombre del evento
agent_event_info	IsolateEventResponseInfo object	Detalles del evento de aislamiento
antivirus_result_info	AntivirusResultDetailInfo object	Resultados del escaneo y eliminación de virus

**Tabla 6** IsolateEventResponseInfo
Parámetro	Tipo	Descripción
event_id	String	ID del evento
event_class_id	String	Categoría del evento. Su valor puede ser: container_1001: Espacio de nombres de contenedor container_1002: Puerto abierto de contenedor container_1003: Opción de seguridad de contenedor container_1004: Directorio de montaje de contenedor containerescape_0001: Llamada al sistema de alto riesgo containerescape_0002: Ataque Shocker containerescape_0003: Ataque Dirty Cow containerescape_0004: escape de archivo contenedor dockerfile_001: Modificación del archivo contenedor protegido definido por el usuario dockerfile_002: Modificación de archivos ejecutables en el sistema de archivos contenedor dockerproc_001: Proceso anormal del contenedor fileprotect_0001: Escalada de privilegios de archivo fileprotect_0002: Cambio de archivo clave fileprotect_0003: Cambio de ruta de acceso de AuthorizedKeysFile fileprotect_0004: Cambio de directorio de archivo login_0001: Intento de ataque de fuerza bruta login_0002: Ataque de fuerza bruta con éxito login_1001: Inicio de sesión exitoso login_1002: Inicio de sesión remoto login_1003: Contraseña débil malware_0001: Cambio de shell malware_0002: Shell inverso malware_1001: Programa malicioso procdet_0001: Comportamiento anormal de proceso procdet_0002: Escalada de privilegios de proceso procreport_0001: Comando de alto riesgo user_1001: Cambio de cuenta user_1002: Cuenta insegura vmescape_0001: Comando sensible ejecutado en VM vmescape_0002: Archivo sensible accedido por proceso de virtualización vmescape_0003: Acceso anormal a puerto de VM webshell_0001: Web shell network_1001: Minería network_1002: Ataques DDoS network_1003: Escaneo malicioso network_1004: Ataque en zonas sensibles ransomware_0001: ataque de ransomware ransomware_0002: ataque de ransomware ransomware_0003: ataque de ransomware fileless_0001: inyección de proceso fileless_0002: inyección de biblioteca dinámica fileless_0003: cambio de configuración clave fileless_0004: cambio de variable de entorno fileless_0005: proceso de archivos de memoria fileless_0006: secuestro de VDSO crontab_1001: tarea sospechosa de crontab vul_exploit_0001: explotación de vulnerabilidad de Redis vul_exploit_0002: explotación de vulnerabilidad de Hadoop vul_exploit_0003: explotación de vulnerabilidad de MySQL rootkit_0001: archivo de rootkit sospechoso rootkit_0002: módulo de kernel sospechoso RASP_0004: carga de web shell RASP_0018: web shell sin archivos blockexec_001: ataque de ransomware conocido hips_0001: Windows Defender deshabilitado hips_0002: herramienta de hacker sospechosa hips_0003: comportamiento sospechoso de encriptación de ransomware hips_0004: creación de cuentas ocultas hips_0005: lectura de contraseñas y credenciales de usuario hips_0006: exportación de archivos SAM sospechosa hips_0007: eliminación sospechosa de shadow copy hips_0008: eliminación del archivo de copia de respaldo hips_0009: registro de ransomware sospechoso hips_0010: proceso anormal sospechoso hips_0011: escaneo sospechoso hips_0012: ejecución sospechosa de secuencias de comandos de ransomware hips_0013: ejecución sospechosa de comandos de minería hips_0014: deshabilitación sospechosa del centro de seguridad de Windows hips_0015: comportamiento sospechoso al deshabilitar el servicio de firewall hips_0016: deshabilitación sospechosa de recuperación automática de sistema hips_0017: ejecución de archivos ejecutables en Office hips_0018: creación anormal de archivos con macros en Office hips_0019: operación de registro sospechosa hips_0020: Ejecución remota de código Confluence hips_0021: ejecución remota de código MSDT portscan_0001: escaneo de puertos comunes portscan_0002: escaneo de puertos secretos k8s_1001: eliminación de eventos de Kubernetes k8s_1002: creaciones de pod privilegiado k8s_1003: shell interactivo utilizado en pod k8s_1004: pod creado con un directorio sensible k8s_1005: pod creado con la red del servidor k8s_1006: pod creado con espacio PID de host k8s_1007: error de autenticación cuando los pods comunes acceden al servidor API k8s_1008: acceso al servidor API desde un pod común mediante cURL k8s_1009: exec en el espacio de gestión del sistema k8s_1010: pod creado en el espacio de gestión k8s_1011: creación de pod estático k8s_1012: creación de DaemonSet k8s_1013: creación programada de tarea de clúster k8s_1014: operación en secretos k8s_1015: enumeración de operaciones permitidas k8s_1016: RoleBinding o ClusterRoleBinding de alto privilegio k8s_1017: creación de ServiceAccount k8s_1018: creación de Cronjob k8s_1019: shell interactivo utilizado para exec en pods k8s_1020: acceso no autorizado al servidor API k8s_1021: acceso al servidor API con curl k8s_1022: vulnerabilidad Ingress k8s_1023: ataque man-in-the-middle (MITM) k8s_1024: gusano, minería o troyano k8s_1025: eliminación de evento K8s k8s_1026:SelfSubjectRulesReview imgblock_0001: bloqueo de imágenes basado en lista blanca imgblock_0002: bloqueo de imágenes basado en listas negras imgblock_0003: bloqueo de etiquetas de imagen basado en lista blanca imgblock_0004: bloqueo de etiquetas de imágenes basado en listas negras imgblock_0005: bloqueo de creación de contenedor basado en lista blanca imgblock_0006: bloqueo de creación de contenedor basado en lista negra imgblock_0007: bloqueo de proc de montaje de contenedor imgblock_0008: bloqueo no confinado de seccomp de contenedor imgblock_0009: bloqueo de privilegio de contenedor imgblock_0010: bloqueo de capacidades de contenedor
tipo_evento	entera	Tipo de evento. Su valor puede ser: 1001: malware común 1002: virus 1003:gusano 1004: Troyano 1005: botnet 1006: backdoor 1010: Rootkit 1011: ransomware 1012: herramienta hacker 1015: web shell 1016: minería 1017: shell inverso 2001: explotación de vulnerabilidad común 2012: ejecución remota de código 2047: explotación de vulnerabilidad de Redis 2048: explotación de vulnerabilidad de Hadoop 2049: explotación de vulnerabilidades de MySQL 3002: escalamiento de privilegios de archivo 3003: escalada de privilegios de proceso 3004: cambio crítico de archivos 3005: cambio de archivo/directorio 3007: comportamiento del proceso anormal 3015: ejecución de comandos de alto riesgo 3018: shell anormal 3027: tarea sospechosa de crontab 3029: protección del sistema deshabilitada 3030: eliminación de copias de respaldo 3031: operaciones de registro sospechosas 3036: bloqueo de imágenes de contenedor 4002: ataque por fuerza bruta 4004: inicio de sesión anormal 4006: cuentas no válidas 4014: cuenta agregada 4020: robo de contraseñas 6002: escaneo de puerto 6003: escaneo de servidor 13001: eliminación de eventos de Kubernetes 13002: comportamiento anormal de pod 13003: enumeración de la información de usuario 13004: vinculación de rol de clúster
event_name	String	Nombre del evento
severity	String	Nivel de amenaza. Su valor puede ser: Security Low Medium High Critical
container_name	String	Nombre de instancia del contenedor. Esta API solo está disponible para alarmas de contenedores.
image_name	String	Nombre de la imagen. Esta API solo está disponible para alarmas de contenedores.
host_name	String	Nombre del servidor
host_id	String	ID de host
private_ip	String	Dirección IP privada del servidor
public_ip	String	Dirección IP elástica
os_type	String	Tipo de sistema operativo. Su valor puede ser: Linux Windows
host_status	String	Estado del servidor. Las opciones son las siguientes: ACTIVE SHUTOFF BUILDING ERROR Mínimo: 1 Máximo: 32
agent_status	String	Estado de agente. Su valor puede ser: installed not_installed: online offline install_failed installing Mínimo: 1 Máximo: 32
protect_status	String	Estado de protección. Su valor puede ser: closed opened Mínimo: 1 Máximo: 32
asset_value	String	Importancia del activo. Las opciones son las siguientes: important common test Mínimo: 0 Máximo: 128
attack_phase	String	Fase de ataque. Su valor puede ser: reconnaissance weaponization delivery exploit installation command_and_control actions
attack_tag	String	Etiqueta de ataque. Su valor puede ser: attack_success attack_attempt attack_blocked abnormal_behavior collapsible_host system_vulnerability
occur_time	Integer	Tiempo de ocurrencia, exacto a milisegundos.
handle_time	Integer	Tiempo de gestión, en milisegundos. Esta API solo está disponible para alarmas gestionadas.
handle_status	String	Estado de procesamiento. Su valor puede ser: unhandled handled
handle_method	String	Método de solución. Esta API solo está disponible para alarmas gestionadas. Las opciones son las siguientes: mark_as_handled ignore add_to_alarm_whitelist add_to_login_whitelist isolate_and_kill
handler	String	Observaciones. Esta API solo está disponible para alarmas gestionadas.
recommendation	String	Sugerencia de gestión
description	String	Descripción de alarma Mínimo: 0 Máximo: 1024
event_abstract	String	Resumen de alarmas Mínimo: 0 Máximo: 512
event_count	Integer	Ocurrencias de eventos Mínimo: 0 Máximo: 2147483647

**Tabla 7** AntivirusResultDetailInfo
Parámetro	Tipo	Descripción
result_id	String	El ID de resultado del escaneo y eliminación de virus
malware_name	String	Nombre del virus
file_path	String	Ruta del archivo
file_hash	String	Hash de archivo
file_size	Integer	Tamaño del archivo
file_owner	String	Propietario de archivo
file_attr	String	Atributo de archivo
file_ctime	Integer	Hora de creación de archivo
file_mtime	Integer	Hora de actualización de archivo
update_time	Integer	Hora en que se actualiza la lista blanca de eventos, en milisegundos.
agent_id	String	ID de agente

Solicitudes de ejemplo

Consultar los primeros 10 archivos aislados.

GET https://{endpoint}/v5/{project_id}/event/isolated-file?limit=10&offset=0&enterprise_project_id=xxx

Ejemplo de respuestas

Código de estado: 200

Lista de archivos aislados

{
  "data_list" : [ {
    "file_attr" : "0",
    "file_hash" : "58693382bc0c9f60ef86e5b37cf3c2f3a9c9ec46936901eaa9131f7ee4a09bde",
    "file_path" : "C:\\Users\\Public\\Public Docker\\system32.exe",
    "os_type" : "Linux",
    "host_id" : "5a41ca47-8ea7-4a65-a8fb-950d03d8638e",
    "host_name" : "ecs-wi-800211",
    "isolation_status" : "isolated",
    "private_ip" : "127.0.0.2",
    "public_ip" : "127.0.0.1",
    "asset_value" : "common",
    "update_time" : 1698304933717,
    "agent_version" : "3.2.10",
    "isolate_source" : "event",
    "event_name" : "Spyware",
    "antivirus_result_info" : {
      "result_id" : "5a41ca47-8ea7-4a65-a8fb-950d03d8638e",
      "malware_name" : "Win32.Virus.Hidrag",
      "file_attr" : "0",
      "file_hash" : "58693382bc0c9f60ef86e5b37cf3c2f3a9c9ec46936901eaa9131f7ee4a09bde",
      "file_path" : "C:\\Users\\Public\\Public Docker\\system32.exe",
      "file_size" : 58460,
      "file_owner" : "Administrators",
      "file_ctime" : 1700039800,
      "file_mtime" : 1700039800,
      "update_time" : 1698304933717,
      "agent_id" : "5a41ca47-8ea7-4a65-a8fb-950d03d8638e"
    },
    "agent_event_info" : {
      "attack_phase" : "exploit",
      "attack_tag" : "abnormal_behavior",
      "event_class_id" : "lgin_1002",
      "event_id" : "d8a12cf7-6a43-4cd6-92b4-aabf1e917",
      "event_name" : "different locations",
      "event_type" : 4004,
      "handle_status" : "unhandled",
      "host_name" : "xxx",
      "occur_time" : 1661593036627,
      "private_ip" : "127.0.0.1",
      "severity" : "Medium",
      "os_type" : "Linux",
      "agent_status" : "online",
      "asset_value" : "common",
      "protect_status" : "opened",
      "host_status" : "ACTIVE",
      "description" : "",
      "event_abstract" : "",
      "image_name" : "image",
      "container_name" : "test",
      "host_id" : "5a41ca47-8ea7-4a65-a8fb-950d03d8638e",
      "public_ip" : "127.0.0.2",
      "handle_time" : 1698304933717,
      "handle_method" : "ignore",
      "recommendation" : "Handling suggestion",
      "event_count" : 1
    }
  } ],
  "total_num" : 1
}

Código de ejemplo del SDK

El código de ejemplo del SDK es el siguiente.

Java

    
     
       
       
         package com.huaweicloud.sdk.test;

import com.huaweicloud.sdk.core.auth.ICredential;
import com.huaweicloud.sdk.core.auth.BasicCredentials;
import com.huaweicloud.sdk.core.exception.ConnectionException;
import com.huaweicloud.sdk.core.exception.RequestTimeoutException;
import com.huaweicloud.sdk.core.exception.ServiceResponseException;
import com.huaweicloud.sdk.hss.v5.region.HssRegion;
import com.huaweicloud.sdk.hss.v5.*;
import com.huaweicloud.sdk.hss.v5.model.*;


public class ListIsolatedFileSolution {

    public static void main(String[] args) {
        // The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security.
        // In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment
        String ak = System.getenv("CLOUD_SDK_AK");
        String sk = System.getenv("CLOUD_SDK_SK");

        ICredential auth = new BasicCredentials()
                .withAk(ak)
                .withSk(sk);

        HssClient client = HssClient.newBuilder()
                .withCredential(auth)
                .withRegion(HssRegion.valueOf("<YOUR REGION>"))
                .build();
        ListIsolatedFileRequest request = new ListIsolatedFileRequest();
        request.withEnterpriseProjectId("<enterprise_project_id>");
        request.withFilePath("<file_path>");
        request.withHostName("<host_name>");
        request.withPrivateIp("<private_ip>");
        request.withPublicIp("<public_ip>");
        request.withFileHash("<file_hash>");
        request.withAssetValue("<asset_value>");
        request.withOffset(<offset>);
        request.withLimit(<limit>);
        try {
            ListIsolatedFileResponse response = client.listIsolatedFile(request);
            System.out.println(response.toString());
        } catch (ConnectionException e) {
            e.printStackTrace();
        } catch (RequestTimeoutException e) {
            e.printStackTrace();
        } catch (ServiceResponseException e) {
            e.printStackTrace();
            System.out.println(e.getHttpStatusCode());
            System.out.println(e.getRequestId());
            System.out.println(e.getErrorCode());
            System.out.println(e.getErrorMsg());
        }
    }
}

        

      

    
   

Python

    
     
       
       
         # coding: utf-8

from huaweicloudsdkcore.auth.credentials import BasicCredentials
from huaweicloudsdkhss.v5.region.hss_region import HssRegion
from huaweicloudsdkcore.exceptions import exceptions
from huaweicloudsdkhss.v5 import *

if __name__ == "__main__":
    # The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security.
    # In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment
    ak = __import__('os').getenv("CLOUD_SDK_AK")
    sk = __import__('os').getenv("CLOUD_SDK_SK")

    credentials = BasicCredentials(ak, sk) \

    client = HssClient.new_builder() \
        .with_credentials(credentials) \
        .with_region(HssRegion.value_of("<YOUR REGION>")) \
        .build()

    try:
        request = ListIsolatedFileRequest()
        request.enterprise_project_id = "<enterprise_project_id>"
        request.file_path = "<file_path>"
        request.host_name = "<host_name>"
        request.private_ip = "<private_ip>"
        request.public_ip = "<public_ip>"
        request.file_hash = "<file_hash>"
        request.asset_value = "<asset_value>"
        request.offset = <offset>
        request.limit = <limit>
        response = client.list_isolated_file(request)
        print(response)
    except exceptions.ClientRequestException as e:
        print(e.status_code)
        print(e.request_id)
        print(e.error_code)
        print(e.error_msg)

        

      

    
   

Go

    
     
       
       
         package main

import (
	"fmt"
	"github.com/huaweicloud/huaweicloud-sdk-go-v3/core/auth/basic"
    hss "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/hss/v5"
	"github.com/huaweicloud/huaweicloud-sdk-go-v3/services/hss/v5/model"
    region "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/hss/v5/region"
)

func main() {
    // The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security.
    // In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment
    ak := os.Getenv("CLOUD_SDK_AK")
    sk := os.Getenv("CLOUD_SDK_SK")

    auth := basic.NewCredentialsBuilder().
        WithAk(ak).
        WithSk(sk).
        Build()

    client := hss.NewHssClient(
        hss.HssClientBuilder().
            WithRegion(region.ValueOf("<YOUR REGION>")).
            WithCredential(auth).
            Build())

    request := &model.ListIsolatedFileRequest{}
	enterpriseProjectIdRequest:= "<enterprise_project_id>"
	request.EnterpriseProjectId = &enterpriseProjectIdRequest
	filePathRequest:= "<file_path>"
	request.FilePath = &filePathRequest
	hostNameRequest:= "<host_name>"
	request.HostName = &hostNameRequest
	privateIpRequest:= "<private_ip>"
	request.PrivateIp = &privateIpRequest
	publicIpRequest:= "<public_ip>"
	request.PublicIp = &publicIpRequest
	fileHashRequest:= "<file_hash>"
	request.FileHash = &fileHashRequest
	assetValueRequest:= "<asset_value>"
	request.AssetValue = &assetValueRequest
	offsetRequest:= int32(<offset>)
	request.Offset = &offsetRequest
	limitRequest:= int32(<limit>)
	request.Limit = &limitRequest
	response, err := client.ListIsolatedFile(request)
	if err == nil {
        fmt.Printf("%+v\n", response)
    } else {
        fmt.Println(err)
    }
}

        

      

    
   

Más información

Para obtener un código de ejemplo del SDK de más lenguajes de programación, consulte la pestaña Código de ejemplo en API Explorer. El código de ejemplo del SDK se puede generar automáticamente.

Códigos de estado

Código de estado	Descripción
200	Lista de archivos aislados

Códigos de error

Consulte Códigos de error.

Consulta de la lista de archivos aislados