DescribeAlarmEventDetail - Security Center - Centre de documentation Alibaba Cloud

Obtient les détails d'un événement d'alerte de sécurité. Les événements d'alerte sont classés en alertes et exceptions. Un événement d'alerte contient plusieurs événements d'exception.

Testez maintenant

Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale. Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale.

Test

Autorisation RAM

Le tableau ci-dessous décrit les autorisations nécessaires pour appeler cette API. Vous pouvez les définir dans une politique Resource Access Management (RAM). Les colonnes du tableau sont détaillées ci-dessous :

Action : les actions peuvent être utilisées dans l'élément Action des instructions de politique de permissions RAM pour accorder les autorisations nécessaires à l'exécution de l'opération.
API : l'API que vous pouvez appeler pour exécuter l'action.
Niveau d'accès : le niveau d'accès prédéfini accordé pour chaque API. Valeurs valides : create, list, get, update et delete.
Type de ressource : le type de ressource qui prend en charge l'autorisation pour exécuter l'action. Il indique si l'action prend en charge les permissions au niveau de la ressource. La ressource spécifiée doit être compatible avec l'action. Sinon, la politique sera inefficace.
- Pour les API avec permissions au niveau de la ressource, les types de ressource requis sont marqués d'un astérisque (*). Spécifiez l'Alibaba Cloud Resource Name (ARN) correspondant dans l'élément Resource de la politique.
- Pour les API sans permissions au niveau de la ressource, la valeur All Resources est affichée. Utilisez un astérisque (*) dans l'élément Resource de la politique.
Clé de condition : les clés de condition définies par le service. La clé permet un contrôle granulaire, applicable aux actions seules ou aux actions associées à des ressources spécifiques. En plus des clés de condition propres au service, Alibaba Cloud fournit un ensemble de clés de condition communes applicables à tous les services pris en charge par RAM.
Action dépendante : les actions dépendantes requises pour exécuter l'action. Pour mener à bien l'opération, l'utilisateur RAM ou le rôle RAM doit disposer des permissions pour toutes les actions dépendantes.

yundun-sas:DescribeAlarmEventDetail

get

*Toutes les ressources.

*

Aucune

Paramètres de requête

Paramètre	Type	Requis	Description	Exemple
SourceIp	string	Non	L'adresse IP source de la requête.	192.168.XX.XX
Lang	string	Non	La langue de la requête et de la réponse. Valeur par défaut : zh. Valeurs valides : zh : chinois en : anglais	zh
AlarmUniqueInfo	string	Oui	L'identifiant unique de l'événement d'alerte. Remarque Pour interroger les détails d'un événement d'alerte, vous devez fournir l'identifiant unique de l'événement d'alerte. Vous pouvez appeler l'opération DescribeSuspEvents pour obtenir cet identifiant.	9f62555666f177aa84ee1eaf465a****
From	string	Oui	La source de la requête. Définissez la valeur sur sas.	sas
ResourceDirectoryAccountId	integer	Non	L'identifiant de compte Alibaba Cloud des comptes membres dans l'annuaire de ressources. Remarque Vous pouvez appeler l'opération DescribeMonitorAccounts pour obtenir ce paramètre.	127608589417****

Éléments de réponse

Élément	Type	Description	Exemple
	object
RequestId	string	L'identifiant de la requête, qui est un identifiant unique généré par Alibaba Cloud pour la requête. Vous pouvez utiliser cet identifiant pour résoudre les problèmes.	7EA50837-2F0B-5BCC-AB61-4968D88D75AD
Data	object	Les détails de l'événement d'alerte.
Type	string	Le type d'alerte. Valeurs valides : Processus suspect Web shell Connexion inhabituelle Événement anormal Falsification de fichier sensible Processus malveillant (analyse cloud) Connectivité réseau suspecte Autre Compte suspect Événement d'intrusion d'application Détection des menaces des produits cloud Défense de précision Liste blanche d'applications Porte dérobée de persistance Détection des menaces d'applications web Scripts malveillants Renseignement sur les menaces Comportement réseau malveillant Exception de cluster de conteneurs Web shell (analyse locale) Exploitations de vulnérabilités Processus malveillant (analyse locale) Exception de confiance Processus suspect Webshell Connexion inhabituelle Logiciel malveillant Falsification de fichier sensible Connexion réseau inhabituelle Autre Compte suspect Détection des menaces cloud Défense de précision Liste blanche d'applications Persistance Détection des menaces d'applications web Scripts malveillants Activité réseau malveillante Comportement anormal K8s Porte dérobée de site web (moteur local) Exploit Analyse d'image Exception de confiance	Webshell
InternetIp	string	L'adresse IP publique de l'instance associée.	172.16.XX.XX
K8sClusterName	string	Le nom du cluster Kubernetes.	TestK8sCluser
ContainerImageId	string	L'identifiant de l'image de conteneur.	cadb7a725641
AlarmEventDesc	string	La description de l'événement d'alerte.	Le modèle de détection a identifié l'exécution d'une auto-mutation sur votre serveur. Un cheval de Troie à auto-mutation est un programme malveillant doté d'une fonction d'auto-mutation. Il modifie son hachage ou se copie en grand nombre dans différents chemins, et s'exécute en arrière-plan pour éviter d'être nettoyé
AlarmUniqueInfo	string	L'identifiant unique de l'événement d'alerte. Remarque Pour interroger les détails d'un événement d'alerte, vous devez fournir l'identifiant unique de l'événement d'alerte. Vous pouvez appeler l'opération DescribeSuspEvents pour obtenir cet identifiant.	9f62555666f177aa84ee1eaf465a****
CanCancelFault	boolean	Indique si l'alerte peut être annulée. Valeurs valides : true : l'alerte peut être démarquée comme faux positif. false : l'alerte ne peut pas être démarquée comme faux positif.	false
AppName	string	Le nom de l'application conteneurisée.	app:msdp-uat-service
CanBeDealOnLine	boolean	Indique si l'alerte peut être traitée en ligne. Valeurs valides : true : le marquage comme faux positif peut être annulé. false : le démarquage comme faux positif ne peut pas être effectué.	false
ContainerImageName	string	Le nom de l'image de conteneur.	jenkins/jenkins:latest
K8sClusterId	string	L'identifiant du cluster Kubernetes.	c562cf0d68e9749ee9fe544a7ab2f****
ContainHwMode	boolean	Indique si le mode d'assurance de sécurité pour les activités importantes est activé.	true
InstanceName	string	Le nom de l'instance.	i-wz92q7m5hsbgfhdss***
K8sNodeId	string	L'identifiant du nœud Kubernetes.	i-bp14a1ay8e0aa9t0l***
Solution	string	La solution pour l'événement d'alerte.	Une adresse IP source de connexion non valide a été détectée. Si vous reconnaissez cette tentative de connexion, nous vous recommandons d'ajouter l'adresse IP source de connexion actuelle à la liste des adresses IP source de connexion valides pour éviter de futures alertes. Si vous ne reconnaissez pas cette tentative de connexion, nous vous recommandons de modifier le mot de passe
DataSource	string	La source de données de l'événement d'alerte.	aegis_***
IntranetIp	string	L'adresse IP privée de l'instance associée.	172.25.30.**
AlarmEventAliasName	string	Le nom de l'événement d'alerte.	Connexion depuis un emplacement inhabituel
EndTime	integer	L'horodatage de la fin de l'événement d'alerte. Unité : millisecondes.	1542366542000
Uuid	string	L'UUID de l'instance d'actif.	6690a46c-0edb-4663-a641-3629d1a9****
StartTime	integer	L'horodatage du début de l'événement d'alerte. Unité : millisecondes.	1542378601000
ContainerId	string	L'identifiant de l'application conteneurisée.	container_1606995441910_394868_01_000***
K8sPodName	string	Le nom du pod Kubernetes.	myapp-pod
K8sNamespace	string	L'espace de noms Kubernetes.	sit-saic-trip
K8sNodeName	string	Le nom du nœud Kubernetes.	cn-hangzhou.10.188.139.**
Level	string	Le niveau de gravité de l'événement d'alerte. Valeurs valides : serious : critique. suspicious : suspect. remind : rappel.	serious
CauseDetails	array<object>	La cause de l'événement d'alerte (informations de traçage).
	array<object>
Key	string	La clé des informations de traçage de l'événement d'alerte.	842e314e69b1a2c45d5c1a2f88a16***
Value	array<object>	La valeur des informations de traçage de l'événement d'alerte.
	object	Les informations d'affichage du traçage.
Type	string	Le type d'affichage du champ d'informations de traçage. Valeurs valides : text : texte brut. html : texte enrichi.	html
Value	string	La valeur du champ d'informations de traçage.	Dans certains cas rares, Yundun peut interpréter à tort les tentatives répétées causées par l'oubli ou la saisie incorrecte du mot de passe par l'administrateur comme une attaque par force brute réussie. Veuillez vérifier en fonction du numéro de compte et de l'heure indiqués dans les détails de l'alerte. Une fois confirmé qu'il ne s'agit pas d'une initiative de l'administrateur, il est recommandé de bloquer immédiatement l'adresse IP. Vous pouvez également activer PAM pour héberger le mot de passe de connexion de l'hôte, améliorant ainsi l'efficacité des connexions à distance et les capacités de contrôle de sécurité, et suivre les meilleures pratiques de protection de la sécurité des comptes ECS pour modifier le mot de passe de connexion et consolider les actifs
Name	string	Le nom du champ d'informations de traçage.	sshd

Exemples

JSON format

{
  "RequestId": "7EA50837-2F0B-5BCC-AB61-4968D88D75AD",
  "Data": {
    "Type": "Webshell",
    "InternetIp": "172.16.XX.XX",
    "K8sClusterName": "TestK8sCluser",
    "ContainerImageId": "cadb7a725641",
    "AlarmEventDesc": "Le modèle de détection a identifié l'exécution d'un processus d'auto-mutation sur votre serveur. Un cheval de Troie à auto-mutation est un programme malveillant doté d'une fonction d'auto-mutation. Il modifie son hachage ou se copie en grand nombre dans différents chemins, et s'exécute en arrière-plan pour éviter d'être nettoyé",
    "AlarmUniqueInfo": "9f62555666f177aa84ee1eaf465a****",
    "CanCancelFault": false,
    "AppName": "app:msdp-uat-service",
    "CanBeDealOnLine": false,
    "ContainerImageName": "jenkins/jenkins:latest",
    "K8sClusterId": "c562cf0d68e9749ee9fe544a7ab2f****",
    "ContainHwMode": true,
    "InstanceName": "i-wz92q7m5hsbgfhdss***",
    "K8sNodeId": "i-bp14a1ay8e0aa9t0l***",
    "Solution": "Une adresse IP source de connexion non valide a été détectée. Si vous reconnaissez cette tentative de connexion, nous vous recommandons d'ajouter l'adresse IP source actuelle à la liste des adresses IP sources de connexion valides pour éviter de futures alertes. Si vous ne reconnaissez pas cette tentative de connexion, nous vous recommandons de modifier le mot de passe",
    "DataSource": "aegis_***",
    "IntranetIp": "172.25.30.**",
    "AlarmEventAliasName": "Connexion depuis un emplacement inhabituel",
    "EndTime": 1542366542000,
    "Uuid": "6690a46c-0edb-4663-a641-3629d1a9****",
    "StartTime": 1542378601000,
    "ContainerId": "container_1606995441910_394868_01_000***",
    "K8sPodName": "myapp-pod",
    "K8sNamespace": "sit-saic-trip",
    "K8sNodeName": "cn-hangzhou.10.188.139.**",
    "Level": "serious",
    "CauseDetails": [
      {
        "Key": "842e314e69b1a2c45d5c1a2f88a16***",
        "Value": [
          {
            "Type": "html",
            "Value": "Il existe une faible probabilité que Yundun juge à tort les tentatives répétées causées par l'oubli ou la saisie d'un mot de passe incorrect par l'administrateur comme une attaque par force brute réussie. Veuillez vérifier en fonction du numéro de compte et de l'heure indiqués dans les détails de l'alerte. Une fois qu'il est confirmé que cela ne provient pas de l'administrateur, il est recommandé de bloquer immédiatement l'adresse IP. Vous pouvez également activer PAM pour héberger le mot de passe de connexion de l'hôte, améliorant ainsi l'efficacité des connexions à distance et les capacités de contrôle de sécurité, et suivre les meilleures pratiques de protection de la sécurité des comptes ECS pour modifier le mot de passe de connexion et consolider les actifs",
            "Name": "sshd"
          }
        ]
      }
    ]
  }
}

Codes d'erreur

Code de statut HTTP	Code d'erreur	Message d'erreur
400	RdCheckNoPermission	Resource directory account verification has no permission.
500	ServerError	ServerError
500	RdCheckInnerError	Resource directory account service internal error.
403	NoPermission	caller has no permission

Consultez Codes d'erreur pour la liste complète.

Notes de version

Consultez Notes de version pour la liste complète.