Consulta da lista de intrusões detectadas_Host Security Service

Função

Essa API é usada para consultar a lista de intrusões detectadas.

Método de chamada

Para obter detalhes, consulte Chamada de APIs.

URI

GET /v5/{project_id}/event/events

**Tabela 1** Parâmetros de caminho
Parâmetro	Obrigatório	Tipo	Descrição
project_id	Sim	String	ID do projeto Mínimo: 20 Máximo: 64

**Tabela 2** Parâmetros de consulta
Parâmetro	Obrigatório	Tipo	Descrição
category	Sim	String	Categoria do evento. Seu valor pode ser: host: evento de segurança do host container: evento de segurança do container Mínimo: 0 Máximo: 32
enterprise_project_id	Não	String	ID do projeto empresarial. Para consultar todos os projetos empresariais, defina este parâmetro como all_granted_eps. Mínimo: 0 Máximo: 64
last_days	Não	Integer	Número de dias a serem consultados. Este parâmetro é mutuamente exclusivo com begin_time e end_time. Mínimo: 1 Máximo: 30
host_name	Não	String	Nome de servidor Mínimo: 1 Máximo: 64
host_id	Não	String	ID do host Mínimo: 0 Máximo: 64
private_ip	Não	String	Endereço IP do servidor Mínimo: 1 Máximo: 256
public_ip	Não	String	Endereço IP público do servidor Mínimo: 1 Máximo: 256
container_name	Não	String	Nome da instância do container
offset	Não	Integer	Deslocamento, que especifica a posição inicial do registro a ser retornado. O valor deve ser um número. Mínimo: 0 Máximo: 2000000 Padrão: 0
limit	Não	Integer	Número de registros exibidos em cada página Mínimo: 10 Máximo: 1000 Padrão: 10
event_types	Não	Array	Tipo de evento. Seu valor pode ser: 1001: malware comum 1002: vírus 1003: worm 1004: cavalo de Troia 1005: rede de bots 1006: backdoor 1010: Rootkit 1011: ransomware 1012: ferramenta de hacker 1015: web shell 1016: mineração 1017: shell reverso 2001: exploração de vulnerabilidade comum 2012: execução remota de código 2047: exploração da vulnerabilidade do Redis 2048: exploração da vulnerabilidade de Hadoop 2049: exploração da vulnerabilidade de MySQL 3002: escalonamento de privilégios de arquivo 3003: escalonamento de privilégio de processo 3004: alteração crítica de arquivo 3005: alteração de arquivo/diretório 3007: comportamento anormal do processo 3015: execução de comandos de alto risco 3018: shell anormal 3026: escalonamento de privilégio de crontab 3027: tarefa crontab suspeita 3029: proteção do sistema desativada 3030: exclusão de backup 3031: operações de registro suspeitas 3036: bloqueio de imagem de container 4002: ataque de força bruta 4004: logon anormal 4006: contas inválidas 4014: conta adicionada 4020: roubo de senha 6002: verificação de porta 6003: verificação do servidor 13001: exclusão de eventos do Kubernetes 13002: comportamento anormal do pod 13003: enumeração de informações do usuário 13004: vinculação de função de cluster Mínimo: 1000 Máximo: 30000 Comprimento da matriz: 1–500
handle_status	Não	String	Status. Seu valor pode ser: unhandled handled Mínimo: 1 Máximo: 32
severity	Não	String	Nível de ameaça. Seu valor pode ser: Security Low Medium High Critical Mínimo: 1 Máximo: 32
begin_time	Não	String	Hora de início personalizada de um segmento. O carimbo de data/hora tem precisão de segundos. O begin_time não deve ser mais do que dois dias antes do end_time. Este parâmetro é mutuamente exclusivo com a duração consultada. Mínimo: 13 Máximo: 13
end_time	Não	String	Hora de término personalizada de um segmento. O carimbo de data/hora tem precisão de segundos. O begin_time não deve ser mais do que dois dias antes do end_time. Este parâmetro é mutuamente exclusivo com a duração consultada. Mínimo: 13 Máximo: 13
event_class_ids	Não	Array	ID do evento. Seu valor pode ser: container_1001: namespace do container container_1002: porta de container ativada container_1003: opções de segurança de container container_1004: diretório de montagem de container containerescape_0001: chamada de sistema de alto risco containerescape_0002: ataque de shocker containerescape_0003: ataque de Dirty Cow containerescape_0004: escape de arquivo de container dockerfile_001: modificação do arquivo de container protegido definido pelo usuário dockerfile_002: modificação de arquivos executáveis no sistema de arquivos do container dockerproc_001: processo de container anormal fileprotect_0001: escalonamento de privilégios de arquivo fileprotect_0002: alteração de arquivo-chave fileprotect_0003: alteração do caminho do arquivo-chave fileprotect_0004: alteração de arquivo/diretório av_1002: vírus av_1003: worm av_1004: cavalo de Troia av_1005: rede de bots av_1006: backdoor av_1007: spyware av_1008: adware malicioso av_1009: phishing av_1010: Rootkit av_1011: ransomware av_1012: ferramenta de hacker av_1013: grayware av_1015: web shell av_1016: software de mineração login_0001: quebra de força bruta login_0002: quebra bem-sucedida login_1001: logon bem-sucedido login_1002: logon remoto login_1003: senha fraca malware_0001: relatório de alteração do shell malware_0002: relatório de shell reverso malware_1001: programa malicioso procdet_0001: detecção de comportamento anormal do processo procdet_0002: escalonamento de privilégios de processo crontab_0001: escalonamento de privilégios do script crontab crontab_0002: escalonamento de privilégios do caminho malicioso procreport_0001: comandos arriscados user_1001: alteração de conta user_1002: conta arriscada vmescape_0001: execução de comando sensível à VM vmescape_0002: acesso do processo de virtualização ao arquivo confidencial vmescape_0003: acesso anormal à porta da VM webshell_0001: web shell network_1001: mineração maliciosa network_1002: ataques DDoS network_1003: verificação maliciosa network_1004: ataque em áreas sensíveis ransomware_0001: ataque de ransomware ransomware_0002: ataque de ransomware ransomware_0003: ataque de ransomware fileless_0001: injeção de processo fileless_0002: injeção de biblioteca dinâmica fileless_0003: alteração na configuração da chave fileless_0004: alteração na variável de ambiente fileless_0005: processo de arquivo de memória fileless_0006: sequestro de VDSO crontab_1001: tarefa crontab suspeita vul_exploit_0001: exploração da vulnerabilidade do Redis vul_exploit_0002: exploração da vulnerabilidade de Hadoop vul_exploit_0003: exploração da vulnerabilidade de MySQL rootkit_0001: arquivo de rootkit suspeito rootkit_0002: módulo de kernel suspeito RASP_0004: upload de web shell RASP_0018: web shell sem arquivo blockexec_001: ataque de ransomware conhecido hips_0001: Windows Defender desativado hips_0002: ferramenta de hacker suspeita hips_0003: comportamento suspeito de criptografia de ransomware hips_0004: criação de conta oculta hips_0005: senha do usuário e leitura de credenciais hips_0006: exportação suspeita de arquivos SAM hips_0007: exclusão suspeita de cópia de sombra hips_0008: exclusão de arquivo de backup hips_0009: registro de ransomware suspeito hips_0010: processo anormal suspeito hips_0011: verificação suspeita hips_0012: script de ransomware suspeito em execução hips_0013: execução suspeita do comando de mineração hips_0014: desativação suspeita da central de segurança do Windows hips_0015: comportamento suspeito de desativar o serviço de firewall hips_0016: desativação suspeita de recuperação automática do sistema hips_0017: execução de arquivo executável em Office hips_0018: criação de arquivo anormal com macros em Office hips_0019: operação de registro suspeita hips_0020: execução remota de código do Confluence hips_0021: execução remota de código de MSDT portscan_0001: verificação de porta comum portscan_0002: verificação de porta secreta k8s_1001: exclusão de eventos do Kubernetes k8s_1002: criações de pods privilegiados k8s_1003: shell interativo usado no pod k8s_1004: pod criado com diretório sensível k8s_1005: pod criado com a rede do servidor k8s_1006: pod criado com espaço de PID do host k8s_1007: falha de autenticação quando pods comuns acessam o servidor da API k8s_1008: acesso ao servidor de API do pod comum usando cURL k8s_1009: exec no espaço de gerenciamento do sistema k8s_1010: pod criado no espaço de gerenciamento k8s_1011: criação de pod estático k8s_1012: criação de DaemonSet k8s_1013: criação de tarefa de cluster agendada k8s_1014: operação em segredos k8s_1015: enumeração de operação permitida k8s_1016: RoleBinding ou ClusterRoleBinding de alto privilégio k8s_1017: criação de ServiceAccount k8s_1018: criação de Cronjob k8s_1019: shell interativo usado para exec em pods k8s_1020: acesso não autorizado ao servidor da API k8s_1021: acesso ao servidor de API com curl k8s_1022: vulnerabilidade de entrada k8s_1023: ataque man-in-the-middle (MITM) k8s_1024: worm, mineração ou cavalo de Troia k8s_1025: exclusão de evento de K8s k8s_1026: SelfSubjectRulesReview imgblock_0001: bloqueio de imagem com base na lista branca imgblock_0002: bloqueio de imagem com base na lista negra imgblock_0003: bloqueio de tag de imagem com base na lista branca imgblock_0004: bloqueio de tags de imagem com base na lista negra imgblock_0005: criação de container bloqueada com base na lista branca imgblock_0006: criação de container bloqueada com base na lista negra imgblock_0007: bloqueio de container mount proc imgblock_0008: bloqueio de container seccomp unconfined imgblock_0009: bloqueio de privilégios de container imgblock_0010: bloqueio de recursos do container Comprimento da matriz: 1–200
severity_list	Não	Array	Nível de ameaça. As opções são as seguintes: Security Low Medium High Critical Mínimo: 0 Máximo: 32 Comprimento da matriz: 0–5
attack_tag	Não	String	Indica o sinalizador de ataque. As opções são as seguintes: attack_success: sucesso do ataque attack_attempt: tentativa de ataque attack_blocked: ataque bloqueado abnormal_behavior: comportamento anormal collapsible_host: host comprometido system_vulnerability: vulnerabilidade do sistema Mínimo: 0 Máximo: 32
asset_value	Não	String	Importância de ativo. As opções são as seguintes: important common test Mínimo: 0 Máximo: 128
tag_list	Não	Array	Lista de tags de evento, por exemplo, ["hot event"]. Mínimo: 0 Máximo: 10 Comprimento da matriz: 0–20
att_ck	Não	String	Estágio de ataque ATT&CK, incluindo: Reconnaissance Initial Access Execution Persistence Privilege Escalation Defense Evasion: desvio de defesa Credential Access Command and Control Impact: o dano é afetado. Mínimo: 0 Máximo: 32
event_name	Não	String	Nome do alarme Mínimo: 1 Máximo: 128

Parâmetros de solicitação

**Tabela 3** Parâmetros de cabeçalho de solicitação
Parâmetro	Obrigatório	Tipo	Descrição
X-Auth-Token	Sim	String	Token do usuário. Ele pode ser obtido chamando a API do IAM usada para obter um token de usuário. O valor de X-Subject-Token no cabeçalho da resposta é um token. Mínimo: 1 Máximo: 32768
region	Sim	String	ID da região Mínimo: 0 Máximo: 128

Parâmetros de resposta

Código de status: 200

**Tabela 4** Parâmetros do corpo de resposta
Parâmetro	Tipo	Descrição
total_num	Integer	Número total de eventos de alarme Mínimo: 0 Máximo: 2147483647
data_list	Array of EventManagementResponseInfo objects	Lista de eventos Comprimento da matriz: 0–1000

**Tabela 5** EventManagementResponseInfo
Parâmetro	Tipo	Descrição
event_id	String	ID do evento
event_class_id	String	Categoria do evento. Seu valor pode ser: container_1001: namespace do container container_1002: porta aberta do container container_1003: opção de segurança de container container_1004: diretório de montagem do container containerescape_0001: chamada de sistema de alto risco containerescape_0002: ataque de Shocker containerescape_0003: ataque de Dirty Cow containerescape_0004: escape do arquivo do container dockerfile_001: modificação do arquivo de container protegido definido pelo usuário dockerfile_002: modificação de arquivos executáveis no sistema de arquivos de container dockerproc_001: processo de container anormal fileprotect_0001: escalonamento de privilégio de arquivo fileprotect_0002: alteração do arquivo de chave fileprotect_0003: alteração do caminho do AuthorizedKeysFile fileprotect_0004: alteração do diretório de arquivos login_0001: tentativa de ataque com força bruta login_0002: ataque de força bruta foi bem-sucedido login_1001: logon bem-sucedido login_1002: logon remoto login_1003: senha fraca malware_0001: mudança de shell malware_0002: shell reverso malware_1001: programa malicioso procdet_0001: comportamento anormal do processo procdet_0002: escalonamento de privilégio do processo procreport_0001: comando de alto risco user_1001: alteração de conta user_1002: conta insegura vmescape_0001: comando sensível executado na VM vmescape_0002: arquivo sensível acessado pelo processo de virtualização vmescape_0003: acesso anormal à porta de VM webshell_0001: web shell network_1001: mineração network_1002: ataques DDoS network_1003: verificação maliciosa network_1004: ataque em áreas sensíveis ransomware_0001: ataque de ransomware ransomware_0002: ataque de ransomware ransomware_0003: ataque de ransomware fileless_0001: injeção de processo fileless_0002: injeção de biblioteca dinâmica fileless_0003: alteração na configuração da chave fileless_0004: alteração na variável de ambiente fileless_0005: processo de arquivo de memória fileless_0006: sequestro de VDSO crontab_1001: tarefa crontab suspeita vul_exploit_0001: exploração da vulnerabilidade do Redis vul_exploit_0002: exploração da vulnerabilidade de Hadoop vul_exploit_0003: exploração da vulnerabilidade de MySQL rootkit_0001: arquivo de rootkit suspeito rootkit_0002: módulo de kernel suspeito RASP_0004: upload de web shell RASP_0018: web shell sem arquivo blockexec_001: ataque de ransomware conhecido hips_0001: Windows Defender desativado hips_0002: ferramenta de hacker suspeita hips_0003: comportamento suspeito de criptografia de ransomware hips_0004: criação de conta oculta hips_0005: senha do usuário e leitura de credenciais hips_0006: exportação suspeita de arquivos SAM hips_0007: exclusão suspeita de cópia de sombra hips_0008: exclusão de arquivo de backup hips_0009: registro de ransomware suspeito hips_0010: processo anormal suspeito hips_0011: verificação suspeita hips_0012: script de ransomware suspeito em execução hips_0013: execução suspeita do comando de mineração hips_0014: desativação suspeita da central de segurança do Windows hips_0015: comportamento suspeito de desativar o serviço de firewall hips_0016: desativação suspeita de recuperação automática do sistema hips_0017: execução de arquivo executável em Office hips_0018: criação de arquivo anormal com macros em Office hips_0019: operação de registro suspeita hips_0020: execução remota de código do Confluence hips_0021: execução remota de código de MSDT portscan_0001: verificação de porta comum portscan_0002: verificação de porta secreta k8s_1001: exclusão de eventos do Kubernetes k8s_1002: criações de pods privilegiados k8s_1003: shell interativo usado no pod k8s_1004: pod criado com diretório sensível k8s_1005: pod criado com a rede do servidor k8s_1006: pod criado com espaço de PID do host k8s_1007: falha de autenticação quando pods comuns acessam o servidor da API k8s_1008: acesso ao servidor de API do pod comum usando cURL k8s_1009: exec no espaço de gerenciamento do sistema k8s_1010: pod criado no espaço de gerenciamento k8s_1011: criação de pod estático k8s_1012: criação de DaemonSet k8s_1013: criação de tarefa de cluster agendada k8s_1014: operação em segredos k8s_1015: enumeração de operação permitida k8s_1016: RoleBinding ou ClusterRoleBinding de alto privilégio k8s_1017: criação de ServiceAccount k8s_1018: criação de Cronjob k8s_1019: shell interativo usado para exec em pods k8s_1020: acesso não autorizado ao servidor da API k8s_1021: acesso ao servidor de API com curl k8s_1022: vulnerabilidade de entrada k8s_1023: ataque man-in-the-middle (MITM) k8s_1024: worm, mineração ou cavalo de Troia k8s_1025: exclusão de evento de K8s k8s_1026: SelfSubjectRulesReview imgblock_0001: bloqueio de imagem com base na lista branca imgblock_0002: bloqueio de imagem com base na lista negra imgblock_0003: bloqueio de tag de imagem com base na lista branca imgblock_0004: bloqueio de tags de imagem com base na lista negra imgblock_0005: criação de container bloqueada com base na lista branca imgblock_0006: criação de container bloqueada com base na lista negra imgblock_0007: bloqueio de container mount proc imgblock_0008: bloqueio de container seccomp unconfined imgblock_0009: bloqueio de privilégios de container imgblock_0010: bloqueio de recursos do container
event_type	Integer	Tipo de evento. Seu valor pode ser: 1001: malware comum 1002: vírus 1003: worm 1004: cavalo de Troia 1005: rede de bots 1006: backdoor 1010: Rootkit 1011: ransomware 1012: ferramenta de hacker 1015: web shell 1016: mineração 1017: shell reverso 2001: exploração de vulnerabilidade comum 2012: execução remota de código 2047: exploração da vulnerabilidade do Redis 2048: exploração da vulnerabilidade de Hadoop 2049: exploração da vulnerabilidade de MySQL 3002: escalonamento de privilégios de arquivo 3003: escalonamento de privilégio de processo 3004: alteração crítica de arquivo 3005: alteração de arquivo/diretório 3007: comportamento anormal do processo 3015: execução de comandos de alto risco 3018: shell anormal 3027: tarefa crontab suspeita 3029: proteção do sistema desativada 3030: exclusão de backup 3031: operações de registro suspeitas 3036: bloqueio de imagem de container 4002: ataque de força bruta 4004: logon anormal 4006: contas inválidas 4014: conta adicionada 4020: roubo de senha 6002: verificação de porta 6003: verificação do servidor 13001: exclusão de eventos do Kubernetes 13002: comportamento anormal do pod 13003: enumeração de informações do usuário 13004: vinculação de função de cluster
event_name	String	Nome do evento
severity	String	Nível de ameaça. Seu valor pode ser: Security Low Medium High Critical
container_name	String	Nome da instância do container. Esta API está disponível apenas para alarmes de container.
image_name	String	Nome da imagem. Esta API está disponível apenas para alarmes de container.
host_name	String	Nome de servidor
host_id	String	ID do host
private_ip	String	Endereço IP privado de servidor
public_ip	String	Endereço IP elástico
os_type	String	Tipo de SO. Seu valor pode ser: Linux Windows
host_status	String	Status do servidor. As opções são as seguintes: ACTIVE SHUTOFF BUILDING ERROR Mínimo: 1 Máximo: 32
agent_status	String	Status de agente. Seu valor pode ser: installed not_installed online offline install_failed installing Mínimo: 1 Máximo: 32
protect_status	String	Status de proteção. Seu valor pode ser: closed opened Mínimo: 1 Máximo: 32
asset_value	String	Importância de ativo. As opções são as seguintes: important common test Mínimo: 0 Máximo: 128
attack_phase	String	Fase de ataque. Seu valor pode ser: reconnaissance weaponization delivery exploit installation command_and_control actions
attack_tag	String	Tag de ataque. Seu valor pode ser: attack_success attack_attempt attack_blocked abnormal_behavior collapsible_host system_vulnerability
occur_time	Integer	Tempo de ocorrência, com precisão de milissegundos.
handle_time	Integer	Tempo de manipulação, em milissegundos. Esta API está disponível apenas para alarmes manipulados.
handle_status	String	Status de processamento. Seu valor pode ser: unhandled handled
handle_method	String	Método de manipulação. Esta API está disponível apenas para alarmes manipulados. As opções são as seguintes: mark_as_handled ignore add_to_alarm_whitelist add_to_login_whitelist isolate_and_kill
handler	String	Observações. Esta API está disponível apenas para alarmes manipulados.
operate_accept_list	Array of strings	Operação de processamento suportada
operate_detail_list	Array of EventDetailResponseInfo objects	Lista de detalhes da operação (não exibida na página) Comprimento da matriz: 0–100
forensic_info	Object	Informações de ataque, em formato JSON.
resource_info	EventResourceResponseInfo object	Informações de recurso
geo_info	Object	Localização geográfica, em formato JSON.
malware_info	Object	Informações de malware, em formato JSON.
network_info	Object	Informações de rede, em formato JSON.
app_info	Object	Informações da aplicação, em formato JSON.
system_info	Object	Informações do sistema, em formato JSON.
extend_info	Object	Informações de evento estendidas, no formato JSON
recommendation	String	Sugestões de manipulação
description	String	Descrição do alarme Mínimo: 0 Máximo: 1024
event_abstract	String	Resumo do evento Mínimo: 0 Máximo: 512
process_info_list	Array of EventProcessResponseInfo objects	Lista de informações do processo Comprimento da matriz: 0–100
user_info_list	Array of EventUserResponseInfo objects	Lista de informações do usuário Comprimento da matriz: 0–100
file_info_list	Array of EventFileResponseInfo objects	Lista de informações do arquivo Comprimento da matriz: 0–100
event_details	String	Breve descrição do evento. Mínimo: 0 Máximo: 204800
tag_list	Array of strings	Tags Mínimo: 0 Máximo: 10 Comprimento da matriz: 0–20
event_count	Integer	Ocorrências de eventos Mínimo: 0 Máximo: 2147483647

**Tabela 6** EventDetailResponseInfo
Parâmetro	Tipo	Descrição
agent_id	String	ID do agente
process_pid	Integer	ID do processo
is_parent	Boolean	Se um processo é um processo pai
file_hash	String	Hash de arquivo
file_path	String	Caminho do arquivo
file_attr	String	Atributo de arquivo
private_ip	String	Endereço IP privado de servidor
login_ip	String	Endereço IP de origem de logon
login_user_name	String	Nome de usuário de logon
keyword	String	Palavra-chave de evento de alarme, que é usada apenas para a lista branca de alarmes.
hash	String	Hash de evento de alarme, que é usado apenas para a lista branca de alarme.

**Tabela 7** EventResourceResponseInfo
Parâmetro	Tipo	Descrição
domain_id	String	ID da conta de usuário
project_id	String	ID do projeto
enterprise_project_id	String	ID do projeto empresarial
region_name	String	Nome da região
vpc_id	String	ID de VPC
cloud_id	String	ID do ECS
vm_name	String	Nome da VM
vm_uuid	String	Especifica o UUID da VM, ou seja, o ID do host.
container_id	String	ID do container
container_status	String	Status do container
pod_uid	String	UID do pod
pod_name	String	Nome do pod
namespace	String	namespace
cluster_id	String	ID do cluster
cluster_name	String	Nome do cluster
image_id	String	ID da imagem
image_name	String	Nome da imagem
host_attr	String	Atributo do host
service	String	Serviço
micro_service	String	Microsserviço
sys_arch	String	Arquitetura da CPU do sistema
os_bit	String	Versão de bit do SO
os_type	String	Tipo de SO
os_name	String	Nome de SO
os_version	String	Versão de SO

**Tabela 8** EventProcessResponseInfo
Parâmetro	Tipo	Descrição
process_name	String	Nome do processo
process_path	String	Caminho do arquivo de processo
process_pid	Integer	ID do processo Mínimo: 0 Máximo: 2147483647
process_uid	Integer	ID do usuário do processo Mínimo: 0 Máximo: 2147483647
process_username	String	Nome de usuário do processo
process_cmdline	String	Linha de comando do arquivo de processo
process_filename	String	Nome do arquivo do processo
process_start_time	Long	Hora de início do processo Mínimo: 0 Máximo: 9223372036854775807
process_gid	Integer	ID do grupo de processos Mínimo: 0 Máximo: 2147483647
process_egid	Integer	ID de grupo de processos válido Mínimo: 0 Máximo: 2147483647
process_euid	Integer	ID de usuário do processo válido Mínimo: 0 Máximo: 2147483647
ancestor_process_path	String	Caminho do arquivo de processo avô
ancestor_process_pid	Integer	ID do processo avô Mínimo: 0 Máximo: 2147483647
ancestor_process_cmdline	String	Linha de comando do arquivo de processo avô
parent_process_name	String	Nome do processo pai
parent_process_path	String	Caminho do arquivo do processo pai
parent_process_pid	Integer	ID do processo pai Mínimo: 0 Máximo: 2147483647
parent_process_uid	Integer	ID de usuário do processo pai Mínimo: 0 Máximo: 2147483647
parent_process_cmdline	String	Linha de comando do arquivo do processo pai
parent_process_filename	String	Nome do arquivo do processo pai
parent_process_start_time	Long	Hora de início do processo pai Mínimo: 0 Máximo: 9223372036854775807
parent_process_gid	Integer	ID do grupo de processos pai Mínimo: 0 Máximo: 2147483647
parent_process_egid	Integer	ID do grupo de processos pai válido Mínimo: 0 Máximo: 2147483647
parent_process_euid	Integer	ID de usuário do processo pai válido Mínimo: 0 Máximo: 2147483647
child_process_name	String	Nome do subprocesso
child_process_path	String	Caminho do arquivo do subprocesso
child_process_pid	Integer	ID do subprocesso Mínimo: 0 Máximo: 2147483647
child_process_uid	Integer	ID do usuário do subprocesso Mínimo: 0 Máximo: 2147483647
child_process_cmdline	String	Linha de comando do arquivo do subprocesso
child_process_filename	String	Nome do arquivo do subprocesso
child_process_start_time	Long	Hora de início do subprocesso Mínimo: 0 Máximo: 9223372036854775807
child_process_gid	Integer	ID do grupo de subprocessos Mínimo: 0 Máximo: 2147483647
child_process_egid	Integer	ID de grupo de subprocessos válido Mínimo: 0 Máximo: 2147483647
child_process_euid	Integer	ID de usuário de subprocesso válido Mínimo: 0 Máximo: 2147483647
virt_cmd	String	Comando de virtualização
virt_process_name	String	Nome do processo de virtualização
escape_mode	String	Modo de escape
escape_cmd	String	Comandos executados após o escape
process_hash	String	Hash do arquivo de inicialização do processo
process_file_hash	String	Hash do arquivo de processo
parent_process_file_hash	String	Hash do arquivo do processo pai
block	Integer	Indica se o bloqueio foi bem-sucedido. 1: sim 0: não Mínimo: 0 Máximo: 1

**Tabela 9** EventUserResponseInfo
Parâmetro	Tipo	Descrição
user_id	Integer	UID do usuário Mínimo: 0 Máximo: 2147483647
user_gid	Integer	GID do usuário Mínimo: 0 Máximo: 2147483647
user_name	String	Nome de usuário
user_group_name	String	Nome do grupo de usuários
user_home_dir	String	Diretório inicial do usuário
login_ip	String	Endereço IP de logon do usuário
service_type	String	Tipo de serviço. As opções são as seguintes: system mysql redis
service_port	Integer	Porta de serviço de logon Mínimo: 0 Máximo: 2147483647
login_mode	Integer	Modo de logon Mínimo: 0 Máximo: 2147483647
login_last_time	Long	Hora do último logon Mínimo: 0 Máximo: 9223372036854775807
login_fail_count	Integer	Número de tentativas de logon com falha Mínimo: 0 Máximo: 2147483647
pwd_hash	String	Hash de senha
pwd_with_fuzzing	String	Senha mascarada
pwd_used_days	Integer	Idade da senha (dias) Mínimo: 0 Máximo: 2147483647
pwd_min_days	Integer	Período mínimo de validade da senha Mínimo: 0 Máximo: 2147483647
pwd_max_days	Integer	Período máximo de validade da senha Mínimo: 0 Máximo: 2147483647
pwd_warn_left_days	Integer	Aviso prévio de expiração da senha (dias) Mínimo: 0 Máximo: 2147483647

**Tabela 10** EventFileResponseInfo
Parâmetro	Tipo	Descrição
file_path	String	Caminho do arquivo
file_alias	String	Alias do arquivo
file_size	Integer	Tamanho do arquivo Mínimo: 0 Máximo: 2147483647
file_mtime	Long	Hora em que um arquivo foi modificado pela última vez Mínimo: 0 Máximo: 9223372036854775807
file_atime	Long	Hora em que um arquivo foi acessado pela última vez Mínimo: 0 Máximo: 9223372036854775807
file_ctime	Long	Hora em que o status de um arquivo foi alterado pela última vez Mínimo: 0 Máximo: 9223372036854775807
file_hash	String	O valor de hash calculado usando o algoritmo SHA256.
file_md5	String	Arquivo MD5
file_sha256	String	Arquivo SHA256
file_type	String	Tipo de arquivo
file_content	String	Conteúdo do arquivo
file_attr	String	Atributo de arquivo
file_operation	Integer	Tipo de operação de arquivo Mínimo: 0 Máximo: 2147483647
file_action	String	Ação de arquivo
file_change_attr	String	Atributo anterior/novo
file_new_path	String	Novo caminho de arquivo
file_desc	String	Descrição do arquivo
file_key_word	String	Palavra-chave do arquivo
is_dir	Boolean	Se é um diretório
fd_info	String	Informações sobre o identificador de arquivo
fd_count	Integer	Número de identificadores de arquivo Mínimo: 0 Máximo: 2147483647

Exemplo de solicitações

Consultar os primeiros 50 eventos de servidor não processados cujo projeto empresarial é xxx.

GET https://{endpoint}/v5/{project_id}/event/events?offset=0&limit=50&handle_status=unhandled&category=host&enterprise_project_id=xxx

Exemplo de respostas

Código de status: 200

Lista de intrusões

{
  "total_num" : 1,
  "data_list" : [ {
    "attack_phase" : "exploit",
    "attack_tag" : "abnormal_behavior",
    "event_class_id" : "lgin_1002",
    "event_id" : "d8a12cf7-6a43-4cd6-92b4-aabf1e917",
    "event_name" : "different locations",
    "event_type" : 4004,
    "forensic_info" : {
      "country" : "China",
      "city" : "Lanzhou",
      "ip" : "127.0.0.1",
      "user" : "zhangsan",
      "sub_division" : "Gansu",
      "city_id" : 3110
    },
    "handle_status" : "unhandled",
    "host_name" : "xxx",
    "occur_time" : 1661593036627,
    "operate_accept_list" : [ "ignore" ],
    "operate_detail_list" : [ {
      "agent_id" : "c9bed5397db449ebdfba15e85fcfc36accee125c68954daf5cab0528bab59bd8",
      "file_hash" : "e8b50f0b91e3dce0885ccc5902846b139d28108a0a7976c9b8d43154c5dbc44d",
      "file_path" : "/usr/test",
      "process_pid" : 3123,
      "file_attr" : 33261,
      "keyword" : "file_path=/usr/test",
      "hash" : "e8b50f0b91e3dce0885ccc5902846b139d28108a0a7976c9b8d43154c5dbc44d",
      "login_ip" : "127.0.0.1",
      "private_ip" : "127.0.0.2",
      "login_user_name" : "root",
      "is_parent" : false
    } ],
    "private_ip" : "127.0.0.1",
    "resource_info" : {
      "region_name" : "",
      "project_id" : "",
      "enterprise_project_id" : "0",
      "os_type" : "Linux",
      "os_version" : "2.5",
      "vm_name" : "",
      "vm_uuid" : "71a15ecc",
      "cloud_id" : "",
      "container_id" : "",
      "container_status" : "running / terminated",
      "image_id" : "",
      "pod_uid" : "",
      "pod_name" : "",
      "namespace" : "",
      "cluster_id" : "",
      "cluster_name" : ""
    },
    "severity" : "Medium",
    "extend_info" : "",
    "os_type" : "Linux",
    "agent_status" : "online",
    "asset_value" : "common",
    "protect_status" : "opened",
    "host_status" : "ACTIVE",
    "event_details" : "file_path:/root/test",
    "user_info_list" : [ {
      "login_ip" : "",
      "service_port" : 22,
      "service_type" : "ssh",
      "user_name" : "zhangsan",
      "login_mode" : 0,
      "login_last_time" : 1661593024,
      "login_fail_count" : 0
    } ],
    "process_info_list" : [ {
      "process_path" : "/root/test",
      "process_name" : "test",
      "process_cmdline" : "/bin/bash",
      "process_hash" : "e8b50f0b91e3dce0885ccc5902846b139d28108a0a7976c9b8d43154c5dbc44d",
      "process_filename" : "test",
      "process_file_hash" : "e8b50f0b91e3dce0885ccc5902846b139d28108a0a7976c9b8d43154c5dbc44d",
      "process_username" : "root",
      "process_pid" : 372612,
      "process_uid" : 10000,
      "process_gid" : 10000,
      "process_egid" : 10000,
      "process_euid" : 10000,
      "process_start_time" : 1661593024,
      "block" : 0,
      "parent_process_path" : "/usr/bin/bash",
      "parent_process_name" : "test",
      "parent_process_cmdline" : "/bin/bash",
      "parent_process_filename" : "test",
      "parent_process_file_hash" : "e8b50f0b91e3dce0885ccc5902846b139d28108a0a7976c9b8d43154c5dbc44d",
      "parent_process_pid" : 372612,
      "parent_process_uid" : 10000,
      "parent_process_gid" : 10000,
      "parent_process_egid" : 10000,
      "parent_process_euid" : 10000,
      "parent_process_start_time" : 1661593024,
      "child_process_path" : "/usr/bin/bash",
      "child_process_name" : "test",
      "child_process_cmdline" : "/bin/bash",
      "child_process_filename" : "test",
      "child_process_pid" : 372612,
      "child_process_uid" : 10000,
      "child_process_gid" : 10000,
      "child_process_egid" : 10000,
      "child_process_euid" : 10000,
      "child_process_start_time" : 1661593024,
      "virt_process_name" : "test",
      "virt_cmd" : "/bin/bash",
      "escape_cmd" : "/bin/bash",
      "escape_mode" : "0",
      "ancestor_process_pid" : 372612,
      "ancestor_process_cmdline" : "/bin/bash",
      "ancestor_process_path" : "/usr/bin/bash"
    } ],
    "description" : "",
    "event_abstract" : "",
    "tag_list" : [ "Hot Event" ]
  } ]
}

Código de amostra do SDK

O código de amostra do SDK é o seguinte.

Java

    
     
       
       
         package com.huaweicloud.sdk.test;

import com.huaweicloud.sdk.core.auth.ICredential;
import com.huaweicloud.sdk.core.auth.BasicCredentials;
import com.huaweicloud.sdk.core.exception.ConnectionException;
import com.huaweicloud.sdk.core.exception.RequestTimeoutException;
import com.huaweicloud.sdk.core.exception.ServiceResponseException;
import com.huaweicloud.sdk.hss.v5.region.HssRegion;
import com.huaweicloud.sdk.hss.v5.*;
import com.huaweicloud.sdk.hss.v5.model.*;

import java.util.List;
import java.util.ArrayList;

public class ListSecurityEventsSolution {

    public static void main(String[] args) {
        // The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security.
        // In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment
        String ak = System.getenv("CLOUD_SDK_AK");
        String sk = System.getenv("CLOUD_SDK_SK");

        ICredential auth = new BasicCredentials()
                .withAk(ak)
                .withSk(sk);

        HssClient client = HssClient.newBuilder()
                .withCredential(auth)
                .withRegion(HssRegion.valueOf("<YOUR REGION>"))
                .build();
        ListSecurityEventsRequest request = new ListSecurityEventsRequest();
        request.withCategory("<category>");
        request.withEnterpriseProjectId("<enterprise_project_id>");
        request.withLastDays(<last_days>);
        request.withHostName("<host_name>");
        request.withHostId("<host_id>");
        request.withPrivateIp("<private_ip>");
        request.withPublicIp("<public_ip>");
        request.withContainerName("<container_name>");
        request.withOffset(<offset>);
        request.withLimit(<limit>);
        request.withEventTypes();
        request.withHandleStatus("<handle_status>");
        request.withSeverity("<severity>");
        request.withBeginTime("<begin_time>");
        request.withEndTime("<end_time>");
        request.withEventClassIds();
        request.withSeverityList();
        request.withAttackTag("<attack_tag>");
        request.withAssetValue("<asset_value>");
        request.withTagList();
        request.withAttCk("<att_ck>");
        request.withEventName("<event_name>");
        try {
            ListSecurityEventsResponse response = client.listSecurityEvents(request);
            System.out.println(response.toString());
        } catch (ConnectionException e) {
            e.printStackTrace();
        } catch (RequestTimeoutException e) {
            e.printStackTrace();
        } catch (ServiceResponseException e) {
            e.printStackTrace();
            System.out.println(e.getHttpStatusCode());
            System.out.println(e.getRequestId());
            System.out.println(e.getErrorCode());
            System.out.println(e.getErrorMsg());
        }
    }
}

        

      

    
   

Python

    
     
       
       
         # coding: utf-8

from huaweicloudsdkcore.auth.credentials import BasicCredentials
from huaweicloudsdkhss.v5.region.hss_region import HssRegion
from huaweicloudsdkcore.exceptions import exceptions
from huaweicloudsdkhss.v5 import *

if __name__ == "__main__":
    # The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security.
    # In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment
    ak = __import__('os').getenv("CLOUD_SDK_AK")
    sk = __import__('os').getenv("CLOUD_SDK_SK")

    credentials = BasicCredentials(ak, sk) \

    client = HssClient.new_builder() \
        .with_credentials(credentials) \
        .with_region(HssRegion.value_of("<YOUR REGION>")) \
        .build()

    try:
        request = ListSecurityEventsRequest()
        request.category = "<category>"
        request.enterprise_project_id = "<enterprise_project_id>"
        request.last_days = <last_days>
        request.host_name = "<host_name>"
        request.host_id = "<host_id>"
        request.private_ip = "<private_ip>"
        request.public_ip = "<public_ip>"
        request.container_name = "<container_name>"
        request.offset = <offset>
        request.limit = <limit>
        request.event_types = 
        request.handle_status = "<handle_status>"
        request.severity = "<severity>"
        request.begin_time = "<begin_time>"
        request.end_time = "<end_time>"
        request.event_class_ids = 
        request.severity_list = 
        request.attack_tag = "<attack_tag>"
        request.asset_value = "<asset_value>"
        request.tag_list = 
        request.att_ck = "<att_ck>"
        request.event_name = "<event_name>"
        response = client.list_security_events(request)
        print(response)
    except exceptions.ClientRequestException as e:
        print(e.status_code)
        print(e.request_id)
        print(e.error_code)
        print(e.error_msg)

        

      

    
   

Go

    
     
       
       
         package main

import (
	"fmt"
	"github.com/huaweicloud/huaweicloud-sdk-go-v3/core/auth/basic"
    hss "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/hss/v5"
	"github.com/huaweicloud/huaweicloud-sdk-go-v3/services/hss/v5/model"
    region "github.com/huaweicloud/huaweicloud-sdk-go-v3/services/hss/v5/region"
)

func main() {
    // The AK and SK used for authentication are hard-coded or stored in plaintext, which has great security risks. It is recommended that the AK and SK be stored in ciphertext in configuration files or environment variables and decrypted during use to ensure security.
    // In this example, AK and SK are stored in environment variables for authentication. Before running this example, set environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment
    ak := os.Getenv("CLOUD_SDK_AK")
    sk := os.Getenv("CLOUD_SDK_SK")

    auth := basic.NewCredentialsBuilder().
        WithAk(ak).
        WithSk(sk).
        Build()

    client := hss.NewHssClient(
        hss.HssClientBuilder().
            WithRegion(region.ValueOf("<YOUR REGION>")).
            WithCredential(auth).
            Build())

    request := &model.ListSecurityEventsRequest{}
	request.Category = "<category>"
	enterpriseProjectIdRequest:= "<enterprise_project_id>"
	request.EnterpriseProjectId = &enterpriseProjectIdRequest
	lastDaysRequest:= int32(<last_days>)
	request.LastDays = &lastDaysRequest
	hostNameRequest:= "<host_name>"
	request.HostName = &hostNameRequest
	hostIdRequest:= "<host_id>"
	request.HostId = &hostIdRequest
	privateIpRequest:= "<private_ip>"
	request.PrivateIp = &privateIpRequest
	publicIpRequest:= "<public_ip>"
	request.PublicIp = &publicIpRequest
	containerNameRequest:= "<container_name>"
	request.ContainerName = &containerNameRequest
	offsetRequest:= int32(<offset>)
	request.Offset = &offsetRequest
	limitRequest:= int32(<limit>)
	request.Limit = &limitRequest
	handleStatusRequest:= "<handle_status>"
	request.HandleStatus = &handleStatusRequest
	severityRequest:= "<severity>"
	request.Severity = &severityRequest
	beginTimeRequest:= "<begin_time>"
	request.BeginTime = &beginTimeRequest
	endTimeRequest:= "<end_time>"
	request.EndTime = &endTimeRequest
	attackTagRequest:= "<attack_tag>"
	request.AttackTag = &attackTagRequest
	assetValueRequest:= "<asset_value>"
	request.AssetValue = &assetValueRequest
	attCkRequest:= "<att_ck>"
	request.AttCk = &attCkRequest
	eventNameRequest:= "<event_name>"
	request.EventName = &eventNameRequest
	response, err := client.ListSecurityEvents(request)
	if err == nil {
        fmt.Printf("%+v\n", response)
    } else {
        fmt.Println(err)
    }
}

        

      

    
   

Mais

Para obter o código de amostra do SDK de mais linguagens de programação, consulte a guia Código de amostra no API Explorer. O código de amostra do SDK pode ser gerado automaticamente.

Códigos de status

Código de status	Descrição
200	Lista de intrusões

Códigos de erro

Consulte Códigos de erro.

Consulta da lista de intrusões detectadas