使用云监控服务对重点审计事件进行实时监控告警 云审计会将华为云ECS、VPC、EVS等云服务重点审计事件如: deleteServer、deleteVpc、deleteVolume等发送CES事件监控中，您可使用该服务监控自己的云上资源操作频率，执行自动实时监控、告警和通知操作，帮助您实时掌握特定云服务云上资源操作频次、操作返回状态、发生时间等信息。云监控服务不需要开通，当启用CTS服务后，CTS服务自动将特定云服务审计事件上报CES。 关于云监控服务的更多介绍，请参见云监控服务产品介绍。 下面以IAM服务用户登录、登出事件为例，选择CES的事件监控，选择用户登录时间。 图1 事件监控 设置告警策略，可以设置一个事件周期，阀值超过设置可视为此用户登录异常产生。 图2 告警策略 父主题： CTS安全最佳实践

CTS安全最佳实践 安全性是华为云与您的共同责任。华为云负责云服务自身的安全，提供安全的云；作为租户，您应当使用云服务提供的安全能力对业务及数据安全保护，安全地使用云。详情请参见责任共担。 本文提供了CTS使用过程中的安全最佳实践，旨在为提高整体安全能力提供可操作的规范性指导。根据该指导文档您可以持续评估CTS资源的安全状态，更好的组合使用CTS提供的多种安全能力，保护存储在CTS内的数据不泄露、不被篡改，以及数据传输过程中不泄露、不被篡改。 本文从以下几个维度给出建议，您可以评估CTS使用情况，并根据业务需要在本指导的基础上进行安全配置。 启用云审计服务，便于云上用户对操作的事后审查 开启云审计服务配置OBS桶，将审计事件归档OBS永久存储 开启云审计服务，请配置审计事件通知 建议对不同角色的IAM用户仅设置最小权限，避免权限过大导致数据泄露 使用云监控服务对重点审计事件进行实时监控告警 使用最新版本的SDK获得更好的操作体验和更强的安全能力

启用云审计服务，便于云上用户对操作的事后审查 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 您开通云审计服务并创建和配置追踪器后，CTS可记录CTS的管理事件审计。详情请参考开通云审计。 云审计服务支持多维度资源查询，便于云上用户事后精准审查定位。 图1 事件列表 父主题： CTS安全最佳实践

开启云审计服务，请配置审计事件通知 云审计提供了事件通知能力，便于用户实时接收重点审计事件通知，操作详情：启用审计事件通知。当您在比较关注对华为云的资源增加删除比较关注时，您可启用云审计事件通知规则并配置相应资源的服务类型、资源类型、动作，云审计服务将实时根据您配置邮件或短信的规则通过消息通知服务（SMN）发送通知。以ECS服务为例，在云审计界面选择事件通知，选择ECS服务，选择ECS的资源类型ecs，选择对应的action，然后订阅SMN通知即可。具体操作和邮件通知范例如下图： 图1 关键操作通知 图2 邮件通知 父主题： CTS安全最佳实践

处理结果 若用户触发账号的登录/登出操作，订阅服务类型日志被触发，日志会直接调用用户函数，通过函数代码对当前登录/出的账号进行IP过滤，若不在白名单内，可收到SMN发送的通知消息邮件，如图1所示。 图1 告警消息邮件通知 邮件信息中包含非法请求ip地址和用户执行的动作（login/logout）。 可以通过函数指标查看函数的调用情况，如图2所示。 图2 函数指标 父主题： 结合函数工作流对登录/登出进行审计分析

修订记录 发布日期 修改记录 2024-3-19 第六十次正式发布。 新增取消委托管理员权限。 2024-03-08 第五十九次正式发布。 更新支持审计的服务及操作列表：新增“产品数字化协同平台云服务”、“工业仿真工具链云服务”。 2023-01-19 第五十八次正式发布。 新增组织追踪器：云审计服务支持组织云服务的多账号关系的管理能力。 2023-12-27 第五十七次正式发布。 更新支持审计的服务及操作列表：新增“成本中心服务”。 2023-12-15 第五十六次正式发布。 更新配置管理类事件追踪器和配置数据类事件追踪器，新增添加标签功能。 更新支持审计的服务及操作列表：新增“需求管理服务”、“云盘服务”、“应用平台服务”、“安全云脑”。 2023-11-01 第五十五次正式发布。 更新查询审计事件，新增“在新版事件列表查看审计事件”和“在旧版事件列表查看审计事件”说明。 2023-08-31 第五十四次正式发布。 更新支持审计的服务及操作列表：新增“板级EDA工具链云服务”、“智能数据洞察服务”。 2023-08-28 第五十三次正式发布。 更新查询审计事件。 更新查询转储事件：新增“查询OBS中转储事件”和“查询LTS中转储事件”操作说明。 更新追踪器资料，原“管理追踪器”章节，现分为管理类事件追踪器和数据类事件追踪器。 更新配置追踪器，新增“排除KMS事件”说明。 更新云审计服务应用示例，补充新版云审计控制台操作说明。 更新跨租户转储授权。 2023-08-15 第五十二次正式发布。 更新跨租户转储授权。 2023-07-17 第五十一次正式发布。 更新支持审计的服务及操作列表：新增“工业数字模型驱动引擎”、“企业路由器”、“媒体处理”、“IAM身份中心”、“流水线”、“编译构建”、“云性能测试服务”、“应用管理与运维平台”。 2023-02-28 第五十次正式发布。 修改支持审计的服务及操作列表。 2022-11-15 第四十九次正式发布。 修改审计操作列表。 更新数据类事件追踪器。 新增跨租户转储授权。 2022-07-15 第四十八次正式发布。 修改审计操作列表。 2020-11-27 第四十七次正式发布。 新增知识图谱审计操作列表。 2020-09-28 第四十六次正式发布。 新增分布式消息服务RabbitMQ审计操作列表。 2019-08-30 第四十五次正式发布。 新增数据湖治理中心审计操作列表。 2019-07-11 第四十四次正式发布。 新增企业管理服务审计操作列表。 新增云容器实例审计操作列表。 2019-06-30 第四十三次正式发布。 新增创建追踪器。 新增权限管理。 修改配置追踪器。 排查修改界面词，删除与LTS相关描述等。 修改分布式消息服务Kafka审计操作列表。 2019-05-25 第四十二次正式发布。 修改文档数据库服务审计操作列表。 修改应用管理与运维平台审计操作列表。 2019-05-30 第四十一次正式发布。 新增云数据库GeminiDB审计操作列表。 修改分布式缓存服务审计操作列表。 2019-05-20 第四十次正式发布。 新增云连接审计操作列表。 2019-04-30 第三十九次正式发布。 新增慧眼HiLens审计操作列表。 新增云存储网关服务审计操作列表。 新增应用与数据集成平台ROMA Connect审计操作列表。 修改存储容灾服务审计操作列表。 修改ModelArts审计操作列表。 修改水智能体审计操作列表。 修改弹性云服务器审计操作列表。 修改DDoS高防服务审计操作列表。 修改弹性负载均衡审计操作列表。 2019-04-08 第三十八次正式发布。 新增流水线审计操作列表。 新增云备份服务审计操作列表。 新增水智能体审计操作列表。 修改代码托管审计操作列表。 修改云监控审计操作列表。 2019-02-14 第三十七次正式发布。 新增配额调整。 2019-01-30 第三十六次正式发布。 新增对接云手机服务。 新增对接云日志服务。 Web应用防火墙服务更新事件。 配置追踪器，事件文件支持转储至其他用户OBS桶。 2018-12-29 第三十五次正式发布。 新增对接代码托管服务。 新增对接视频分析服务。 新增对接快速数据集成。 对话机器人服务新增事件。 2018-12-07 第三十四次正式发布。 新增对接ROAM联接服务。 新增对接ModelArts服务。 新增关键操作，修改关键操作列表，涉及资料： 弹性云服务器的关键操作列表 应用管理与运维平台的关键操作列表 对话机器人服务的关键操作列表 配置追踪器，新增创建OBS桶操作的日志记录说明。 2018-11-15 第三十三次正式发布。 新增对接存储容灾服务。 2018-10-30 第三十二次正式发布。 新增对接虚拟私有云终端节点服务 新增对接容器安全服务 新增对接云运营中心 新增对接云速建站 更新专属企业存储服务的关键操作列表 2018-09-30 第三十一次正式发布。 新增对接基因检测服务 新增对接图像搜索 2018-08-30 第三十次正式发布。 新增对接云堡垒机 新增对接语音识别 新增对接图像识别 支持对七天以内的操作记录以CSV格式导出。 2018-07-30 第二十九次正式发布。 新增对接云文件服务 新增对接内容审核 函数工作流关键操作列表更新 对象存储服务的关键操作列表，按照“桶”和“对象”的资源类型，提供不同的查看方式。 2018-06-30 第二十八次正式发布。 新增对接云数据迁移 新增对接安全专家服务 新增对接主机迁移服务 2018-05-31 第二十七次正式发布。 支持对关键操作通知进行自定义配置，新增“配置关键操作通知”章节。 新增对接安全中心 新增对接数据湖工厂服务 2018-04-25 第二十六次正式发布，新增对接。 应用编排服务。 函数服务 对话机器人服务 DDos高防服务 应用运维管理 区块链服务 镜像容器服务 2018-03-09 第二十五次正式发布。 优化了支持审计的服务章节。 对接Elasticsearch服务 对接边缘计算服务 对接UPredict服务 2018-01-30 第二十四次正式发布。 “关键事件通知”触发条件新增“完整”场景，配置追踪器章节新增功能说明和配置说明。 对接专属企业存储服务 对接API网关 对接对象存储服务 2017-12-30 第二十三次正式发布。 对接文档数据库服务 对接弹性文件服务 对接深度学习服务 对接关系引擎服务 补充说明CTS转储的OBS桶类型只能选择标准存储类型的桶。 2017-11-25 第二十二次正式发布。 事件文件完整性校验功能，新增“事件文件完整性校验”和“校验云审计事件文件完整性”章节。 新增对接应用管理与运维平台ServiceStage。 “开通云审计服务”章节新增说明，支持一键为当前局点所有region创建追踪器。 关键事件通知新增“用户登录”功能。 2017-10-26 第二十一次正式发布。 新增对接分布式数据库中间件。 新增对接Web漏洞扫描。 新增对接机器学习服务。 2017-09-30 第二十次正式发布。 配置追踪器支持对待转储的事件文件进行KMS加密。 常见问题新增“对事件文件进行KMS加密是否收费？”章节。 新增对接函数工作流服务。 新增对接主机安全服务。 新增对接数据接入服务。 新增对接CloudTable服务。 新增对接对象存储迁移服务。 新增对接安全体检服务。 2017-08-30 第十九次正式发布。 新增对接数据仓库服务。 新增对接语音通话服务。 新增对接消息&短信服务。 配置追踪器支持在配置追踪器页面创建OBS桶。 2017-07-20 第十八次正式发布。 新增对接网络入侵检测服务。 新增对接数据查询服务。 新增对接内容分发网络服务。 配置追踪器增加关键事件通知功能描述。 2017-06-27 第十七次正式发布。 新增关系型数据库服务。 2017-06-14 第十六次正式发布。 新增对接证书管理服务。 新增对接数据库防火墙服务。 新增对接渗透测试服务。 新增对接关系型数据库服务。 2017-05-26 第十五次正式发布。 新增对接Web应用防火墙服务。 新增对接主机漏洞检测服务。 2017-04-28 第十四次正式发布。 新增对接程序运行认证服务。 新增对接网页防篡改服务。 2017-03-30 第十三次正式发布。 新增对接云目录服务 新增对接云报表服务。 2017-02-27 第十二次正式发布。 对应事件筛选功能的优化，在“查看追踪事件”中修改相应的描述。 在事件结构中修改了user字段的说明。 2017-02-08 第十一次正式发布。 优化对应事件筛选功能，在“查看追踪事件”中修改相应的描述。 在配置追踪器章节中增加关于事件周期转储的说明。 在云审计服务事件参考中增加关于本章节描述视角的说明，并优化部分事件字段的说明。 2017-02-03 第十次正式发布。 新增常见问题“为什么时间列表中的某些操作被记录了两次？”对异步操作场景进行说明。 增加说明：消息通知服务中的“删除主题”操作中删除订阅信息操作不被记录。 在“开通云审计服务中”修改描述：“追踪器记录创建追踪器的该租户的云服务资源的相关操作。” 在事件结构中修改“user”、“request”和“response”字段的说明。 2017-01-20 第九次正式发布。 对接服务：ELB、VBS、CCE、MRS 增加VBS和IMS在trace list中，通过Resource ID跳转到对应的资源页面。 2016-12-30 第八次正式发布。 新增对接更多服务。 2016-12-15 第七次正式发布。 OBS桶转储区分服务类型。 2016-11-30 第六次正式发布。 优化界面显示。 2016-11-15 第五次正式发布。 新增对接更多服务。 2016-10-30 第四次正式发布： OBS桶转储区分服务类型。 2016-10-15 第三次正式发布。 增加事件级别。 2016-09-30 第二次正式发布。 支持运维查询所有接口trace。 2016-09-15 第一次正式发布。

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的 IaaS、PaaS 和 SaaS 类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的 IaaS、PaaS 和 SaaS 类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API 网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

使用说明 由于云审计服务的关键操作通知需要使用消息通知服务向相关的订阅者发送通知，因此需要提前了解消息通知服务的创建主题、添加订阅等操作。 云审计服务支持创建100个关键操作通知： 自定义类型的关键操作通知支持单独设置触发操作范围、指定操作用户和通知主题。 完整类型的关键操作通知，支持通知主题。 如果云审计服务和云监控服务使用同一消息主题，则接受终端一样，但是发送的内容不同。 单个关键操作通知支持最多对10个用户组的50个用户发起的操作进行通知配置。单个关键操作通知不支持一次选择多个用户组，但是可以分次添加不同用户组中的用户在同一个关键操作通知。

操作场景 云审计服务管理控制台支持对已创建的管理类追踪器增加OBS转储、LTS转储等相关配置。 用户可以选择是否将已记录的事件发送到OBS桶永久保存。如果用户想要对管理类事件进行统一管理，还可以设置将多个账号记录的事件统一转储到一个OBS桶。 OBS桶有标准存储、低频访问存储和归档存储三种类型。由于云审计服务需要高频次的访问转储的OBS桶，因此必须使用标准存储类型的OBS桶。 配置追踪器完成后，系统立即以新的规则开始记录操作。 本节介绍如何配置管理类事件追踪器。

使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

操作场景 云审计服务管理控制台支持配置已开启的追踪器的OBS桶、LTS转储和配置已创建的追踪器关键事件操作通知。 用户可选择已存在的OBS桶。云审计服务会自动为该OBS桶挂载转储所需的桶策略。 当配置云审计服务的追踪器中的“事件文件前缀”时，不影响对应OBS桶的策略。 如果用户想要对数据类事件进行统一管理，可以设置将多个追踪对象的事件转储到同一个OBS桶。 OBS桶有标准存储、低频访问存储和归档存储三种类型。由于云审计服务需要高频次的访问转储的OBS桶，因此必须使用标准存储类型的OBS桶。 配置追踪器完成后，系统立即以新的规则开始记录操作。 本节介绍如何配置数据类事件追踪器。

使用说明 由于云审计服务的关键操作通知需要使用消息通知服务向相关的订阅者发送通知，因此需要提前了解消息通知服务的创建主题、添加订阅等操作。 云审计服务支持创建100个关键操作通知： 自定义类型的关键操作通知支持单独设置触发操作范围、指定操作用户和通知主题。 完整类型的关键操作通知，支持通知主题。 如果云审计服务和云监控服务使用同一消息主题，则接受终端一样，但是发送的内容不同。 单个关键操作通知支持最多对10个用户组的50个用户发起的操作进行通知配置。单个关键操作通知不支持一次选择多个用户组，但是可以分次添加不同用户组中的用户在同一个关键操作通知。

关联服务 对象存储服务（Object Storage Service，简称OBS）：存储事件文件。 由于云审计服务需要高频次的访问转储的OBS桶，因此必须选择使用标准存储类型的OBS桶。 数据加密服务（Data Encryption Workshop，简称DEW）：为事件文件加密功能提供密钥。 云日志服务（Log Tank Service，简称LTS）：提供日志存储功能。 消息通知服务（Simple Message Notification，简称SMN）：检测到关键操作时，调用消息通知服务向用户发送邮件、短信通知。

操作场景 用户首次进入云审计服务时，在追踪器页面单击“开通云审计服务”，系统会自动为您创建一个名为system的管理追踪器，之后您也可以在追踪器页面创建多个数据追踪器。管理追踪器会自动识别并关联当前租户所使用的所有云服务，并将当前租户的所有操作记录在该追踪器中。数据追踪器会记录租户对OBS桶中的数据操作的详细信息。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。

使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。 云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。