# 查看并处理蜜罐防护事件
#### 操作场景
动态端口蜜罐默认主动连接蜜罐端口的主机都是内网失陷主机，一旦检测到可疑的连接行为将会上报蜜罐防护告警事件。蜜罐防护事件中会包含发起连接的主机IP，但不会提供具体的进程细节。您可以将蜜罐防护事件作为辅助线索，结合其他攻击防护事件进行综合分析，从而有效地排查和定位内网中潜在的失陷主机。
本章节介绍如何查看并处理蜜罐防护事件。
#### 查看并处理蜜罐防护事件
1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。
2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。
3. 选择"主动防御 \> 动态端口蜜罐"，进入"动态端口蜜罐"界面。
4. （可选）如果您已开通企业项目，可在界面上方的"企业项目"下拉列表中选择目标主机所在的企业项目。
5. 在操作指引下方，查看防护信息概览。 
   - 您可以查看防护策略数量、防护服务器数量、防护事件数量等信息。
   
   - 如果您有新增主机需要默认开启动态端口蜜罐功能时，可开启"新增主机自动绑定默认策略"，按钮状态为![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000001843488301.png)表示开启。
   
   
   图1防护信息概览   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002011179229.png "点击放大")
   
   
6. 选择"防护事件"页签，查看蜜罐防护事件。防护事件列表的参数说明请参见[表 防护事件列表参数说明]。
   
    表1防护事件列表参数说明 
   | 参数名称   | 参数说明                                                                                                                                                                                                                                                           |
   |:---|:---|
   | 告警名称   | 告警事件名称。单击告警名称，可查看告警详情，告警详情信息请参见[表 告警详情参数说明]。                                                                                                                                                                                  |
   | 告警等级   | 告警威胁等级，蜜罐防护事件分为以下两个等级： - 高危：远端主机多次连接蜜罐端口。  - 中危：远端主机连接了蜜罐端口。   |
   | 告警摘要   | 告警事件关键信息摘要，您可以根据这些信息了解疑似失陷的主机和该主机与蜜罐端口建立的连接行为。                                                                                                                                                                                                                 |
   | 影响资产   | 疑似失陷主机连接的动态端口蜜罐服务器。                                                                                                                                                                                                                                            |
   | 告警发生时间 | 告警发生的时间。                                                                                                                                                                                                                                                       |
   | 状态     | 告警处理状态，分为"已处理"和"待处理"。                                                                                                                                                                                                                                          |
      
   
   
7. 确认告警信息后，在"状态"为"待处理"的防护事件所在行的"操作"列，单击"处理"，弹出"处理告警事件"对话框。 
   如果您需要批量处理多个告警事件，可在告警事件列表左上角，单击"批量处理"。
   
   
8. 选择处理措施。处理措施说明请参见[表 处理告警事件参数说明]。
   
    表2处理告警事件参数说明 
   | 参数名称     | 参数说明                                                                                                                                                                                                                                                                                                                                                      |
   |:---|:---|
   | 处理方式     | - **忽略**：忽略本次防护告警事件，当下一次威胁事件发生时仍为您告警。  - **我已手动处理**：您已自行手动对失陷主机进行隔离等处理。  - **加入告警白名单**：触发告警事件的主机是您信任的主机，将该告警事件加入到告警白名单中，后续类似威胁事件发生时不再告警。   |
   | 批量处理     | 如果您需要同时处理相同告警事件，可以勾选。                                                                                                                                                                                                                                                                                                                                     |
   | 备注描述（可选） | 为了方便后续易辨别本次处理操作的情况，可做补充描述。                                                                                                                                                                                                                                                                                                                                |
      
   
   
9. 单击"确定"，完成处理。
 
#### 告警详情参数说明
告警详情页的相关参数说明请参见[表 告警详情参数说明]。
 表3告警详情参数说明 
| 参数名称      | 参数说明                                 |
|:---|:---|
| 情报引擎      | HSS采用的检测引擎，包括病毒检测引擎、AI检测引擎、恶意情报检测引擎。 |
| 攻击状态      | 当前威胁攻击服务器的状态。                        |
| 首次告警发生时间  | 首次发生告警的时间。                           |
| 告警ID      | 告警的唯一ID。                             |
| Att\&CK阶段 | 攻击者在各阶段用到的攻击技术模型。                    |
| 最新告警发生时间  | 最近一次发生告警的时间。                         |
| 告警信息      | 告警的详细信息说明，包括告警说明、告警摘要、受影响资产和处置建议。    |
| 调查取证      | 动态端口蜜罐功能排查溯源定位到攻击源的网络取证信息。           |
| 相似告警      | 与本次告警事件相似的告警。您可以根据相似告警的处置方法处理本次告警。   |
   
#### 筛选不同处理状态的防护事件
在防护事件列表左上方的状态下拉框中，选择目标处理状态的防护事件进行查看。
图2筛选防护事件   
![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000001843655261.png "点击放大")