ExportSuspEvents - Security Center: Central de Documentação do Alibaba Cloud

Exporta as informações sobre exceções para um arquivo.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.
API: A API que você pode chamar para executar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

Ação

Nível de acesso

Tipo de recurso

Chave de condição

Ação dependente

yundun-sas:ExportSuspEvents

none

*All Resource

*

Nenhuma

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
SourceIp	string	Não	O endereço IP de origem da solicitação. O valor deste parâmetro é especificado pelo sistema.	127.0.XX.XX
Dealed	string	Não	O status do evento de alerta. Valores válidos: N: não tratado Y: tratado	Y
TimeStart	string	Não	O início do intervalo de tempo durante o qual a exceção é detectada.	2022-10-01 00:00:00
TimeEnd	string	Não	O fim do intervalo de tempo durante o qual a exceção é detectada.	2022-12-05 00:00:00
Name	string	Não	O nome completo da exceção.	WEBSHELL
Levels	string	Não	A severidade do evento de alerta. Separe múltiplas severidades com vírgulas (,). Valores válidos: serious suspicious remind	serious,suspicious,remind
ParentEventTypes	string	Não	O tipo de alerta do evento de alerta. Valores válidos: Suspicious process Webshell Unusual logon Exception Sensitive file tampering Malicious process (cloud threat detection) Suspicious network connection Suspicious account Application intrusion event Cloud threat detection Precise defense Application whitelist Persistent webshell Web application threat detection Malicious script Threat intelligence Malicious network activity Cluster exception Webshell (on-premises threat detection) Vulnerability exploitation Malicious process (on-premises threat detection) Trusted exception Others	WEBSHELL
Remark	string	Não	As observações.	remark
Status	string	Não	O status de tratamento da exceção. Valores válidos: 0: todos os status 1: pendente de tratamento 2: ignorado 4: confirmado 8: marcado como falso positivo 16: em tratamento 32: tratado 64: expirado 128: excluído	0
Lang	string	Não	O idioma do conteúdo na solicitação e na resposta. Valor padrão: zh. Valores válidos: zh: chinês en: inglês	zh
From	string	Não	A fonte de dados da exceção. Defina o valor como sas.	sas
ClusterId	string	Não	O ID do cluster que você deseja consultar. Nota Você pode chamar a operação DescribeGroupedContainerInstances para consultar os IDs dos clusters.	c4af4fdf38a98496a9b63c2be5dae****
ContainerFieldName	string	Não	A chave da condição usada para consultar eventos de alerta em contêineres. Valores válidos: instanceId: o ID do ativo appName: o nome da aplicação clusterId: o ID do cluster regionId: o ID da região nodeName: o nome do nó namespace: o namespace clusterName: o nome do cluster image: o nome da imagem imageRepoName: o nome do repositório de imagens imageRepoNamespace: o namespace ao qual o repositório de imagens pertence imageRepoTag: a tag adicionada à imagem imageDigest: o digest da imagem	clusterId
ContainerFieldValue	string	Não	O valor da condição usada para consultar eventos de alerta em contêineres.	c819391d2d520485fa3e81e2dc2ea****
TargetType	string	Não	A dimensão a partir da qual você deseja configurar o recurso. Valores válidos: uuid: o UUID do ativo image_repo: o ID do repositório de imagens Cluster: o ID do cluster	uuid
PageSize	string	Não	O número de entradas a serem retornadas em cada página. Valor padrão: 20.	20
CurrentPage	string	Não	O número da página a ser retornada.	1
AssetsTypeList	array	Não	Os tipos de ativos.
	string	Não	Os tipos de ativos.	ECS
Uuid	string	Não	O ID exclusivo da instância associada.	18b7336e-d469-473b-af83-8e5420f9****
UniqueInfo	string	Não	A chave exclusiva do evento de alerta.	1fbe8d16727f61d1478a674d6fa0****
Id	integer	Não	O ID exclusivo do evento de alerta.	17821
OperateErrorCodeList	array	Não	Os códigos de status dos eventos de alerta.
	string	Não	O código de status do evento de alerta. Formato: Tipo de operação.Código de status da operação. Os seguintes tipos de operação são suportados: Common: realiza operações comuns. deal: trata o evento de alerta. ignore: ignora o evento de alerta. offline_handled: marca o alerta como tratado. mark_mis_info: marca o alerta como falso positivo adicionando-o à whitelist. rm_mark_mis_info: cancela um falso positivo removendo o alerta da whitelist. quara: coloca em quarentena o arquivo de origem do processo malicioso. kill_and_quara: encerra o processo malicioso e coloca em quarentena o arquivo de origem. kill_virus: exclui o arquivo de origem do processo malicioso. block_ip: bloqueia o endereço IP de origem. manual_handled: trata manualmente o evento de alerta. advance_mark_mis_info: adiciona o evento de alerta à whitelist configurada para defesa precisa. advance_mark_mis_info.System: adiciona automaticamente o evento de alerta à whitelist configurada para defesa precisa. advance_mark_mis_info.User: adiciona manualmente o evento de alerta à whitelist configurada para defesa precisa. Os seguintes códigos de status são suportados: Success: a operação foi bem-sucedida. Failure: a operação falhou. AgentOffline: o agente está offline.	ignore. Success
GroupId	integer	Não	O ID do grupo de ativos.	9454789

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object
RequestId	string	O ID da solicitação.	EF145C20-6A19-529A-8BDD-0671DXXXXXX
FileName	string	O nome do arquivo exportado.	suspicious_event_20221209
Id	integer	O ID do registro de exportação do evento anômalo.	1

Exemplos

Resposta de sucesso

JSON formato

{
  "RequestId": "EF145C20-6A19-529A-8BDD-0671DXXXXXX",
  "FileName": "suspicious_event_20221209",
  "Id": 1
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro
400	IllegalParam	Illegal param
400	FreeVersionNotPermit	Free version is not permitted.
500	ServerError	ServerError
403	NoPermission	caller has no permission

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.