调用DescribeSuspEvents查询未聚合安全告警事件列表-云安全中心-阿里云-云安全中心(Security Center)-阿里云帮助中心

查询未经过告警聚合的安全告警事件的列表。

调试

您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。

调试

授权信息

下表是API对应的授权信息，可以在RAM权限策略语句的Action元素中使用，用来给RAM用户或RAM角色授予调用此API的权限。具体说明如下：

操作：是指具体的权限点。
访问级别：是指每个操作的访问级别，取值为写入（Write）、读取（Read）或列出（List）。
资源类型：是指操作中支持授权的资源类型。具体说明如下：
- 对于必选的资源类型，用前面加 * 表示。
- 对于不支持资源级授权的操作，用全部资源表示。
条件关键字：是指云产品自身定义的条件关键字。
关联操作：是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限，操作才能成功。

操作

访问级别

资源类型

条件关键字

关联操作

yundun-sas:DescribeSuspEvents

get

*全部资源

*

无

请求参数

名称	类型	必填	描述	示例值
SourceIp	string	否	访问源的 IP 地址。	192.168.XX.XX
Dealed	string	否	要查询的告警事件是否已处理。取值： N：待处理 Y：已处理	N
Name	string	否	受该告警事件影响的资产的名称。	ecs-xxx
Levels	string	否	要查询的告警事件处理的紧急程度，多个紧急程度之间使用半角逗号（,）分隔，紧急程度依次递减。取值： serious：紧急 suspicious：可疑 remind：提醒	serious
ParentEventTypes	string	否	要查询的告警事件的告警类型。取值：进程异常行为网站后门异常登录异常事件敏感文件篡改恶意进程（云查杀）异常网络连接异常账号应用入侵事件云产品威胁检测精准防御应用白名单持久化后门 Web 应用威胁检测恶意脚本威胁情报恶意网络行为容器集群异常网站后门（本地查杀）漏洞利用恶意进程（本地查杀）可信异常其他	other
EventNames	string	否	告警事件的子类型。多个类型之间使用半角逗号（,）隔开。	WEBSHELL
Remark	string	否	要查询的告警名称或资产的信息。说明支持模糊查询。资产信息包含资产名称、公网 IP、内网 IP。	192.168.XX.XX
Status	string	否	要查询的告警事件状态。取值： 0：全部 1：待处理 2：已忽略 4：已确认 8：已标记为误报 16：处理中 32：处理完毕 64：已经过期 128：已经删除 512：自动拦截中 513：自动拦截完毕	1
PageSize	string	否	设置分页查询时，每页显示的告警事件的数量。默认值为 20，表示每页显示 20 条告警事件。最大值为 100。	20
CurrentPage	string	否	设置从返回结果的第几页开始显示查询结果。默认值为 1，表示从第 1 页开始显示。	1
Lang	string	否	设置请求和接收消息的语言类型。默认值为 zh。取值： zh：中文 en：英文	zh
AlarmUniqueInfo	string	否	告警事件的唯一标识 ID。说明如果查询单个告警事件的异常事件信息，需要提供告警事件的唯一标识 ID，该 ID 可调用 DescribeSuspEvents 接口获取。	8df914418f4211fb****
UniqueInfo	string	否	安全告警的唯一 key。	73fc06fb175a7405697e402f52864****
Id	integer	否	记录告警事件的唯一标识 ID。	123
From	string	否	告警事件所属数据源标识，固定为 sas。	sas
Source	string	否	告警来源。	aegis_suspicious_file_v2
GroupId	integer	否	受告警事件影响的资产的分组 ID。	18768
Uuids	string	否	要查询告警的服务器的 UUID，多个 UUID 使用半角逗号（,）分隔。	bb5d2484-f10e-450d-8917-3e79667e**,0e7c2fcd-7100-42c7-a21a-db6e4f32**
ClusterId	string	否	需要查询告警事件的集群 ID。	c4af4fdf38a98496a9b63c2be5dae****
ContainerFieldName	string	否	容器检索项。取值： instanceId：实例 ID appName：应用名 clusterId：集群 ID regionId：地域 nodeName：节点名 namespace：命名空间 clusterName：集群名称 image：镜像名称 imageRepoName：镜像的仓库名称 imageRepoNamespace：镜像的仓库命名空间 imageRepoTag：镜像的标签 imageDigest：镜像摘要	instanceId
ContainerFieldValue	string	否	容器检索项对应值。	ccf9769c22b844ff9b8d57417683b****
TargetType	string	否	容器检索目标类型。取值： containerId：容器 ID uuid：服务器 UUID imageUuid：镜像 UUID	containerId
TacticId	string	否	ATT&CK 的战术 ID。	TA0001
OperateErrorCodeList	array	否	告警事件处理结果码集合。
	string	否	告警事件处理结果码。格式为：操作类型.操作结果码。包括以下操作类型： Common：通用操作 deal：处理 ignore：忽略 offline_handled：告警已确认 mark_mis_info：加白名单 rm_mark_mis_info：取消加白名单 quara：隔离 kill_and_quara：普通查杀 kill_virus：深度清理 block_ip：阻断 manual_handled：手工处理 advance_mark_mis_info：精准防御加白名单 advance_mark_mis_info.System：精准防御加白名单自动加白 advance_mark_mis_info.User：精准防御加白名单手动加白操作结果码： Success：成功 Failure：失败 AgentOffline：客户端离线	ignore. Success
OperateTimeStart	string	否	处理时间开始时间戳。	2022-07-05 13:50:38
OperateTimeEnd	string	否	处理时间结束时间戳。	2022-07-06 13:50:38
TimeStart	string	否	最新发生时间起始时间。格式为 YYYY-MM-DD HH:mm:ss。	2022-07-05 13:50:38
TimeEnd	string	否	最新发生时间结束时间。格式为 YYYY-MM-DD HH:mm:ss。	2022-07-06 13:50:38
SortColumn	string	否	自定义排序字段，默认 operateTime，取值： lastTime：最新发生时间。 operateTime：处理时间。说明该字段作用于 Dealed 为 Y。	operateTime
SortType	string	否	自定义排序类型，默认 desc，取值： asc：升序。 desc：倒叙。说明该字段作用于 Dealed 为 Y。	desc
AssetsTypeList	array	否	资产类型集合。
	string	否	资产类型。 ECS：云服务器 CONTAINER：容器 K8S：K8s 集群	ECS
ResourceDirectoryAccountId	integer	否	资源目录成员账号主账号 ID。说明调用 DescribeMonitorAccounts 接口可以获取该参数。	16670360956*****
StrictMode	string	否	是否属于严格模式告警标识。 N：否 Y：是	Y
MultiAccountActionType	integer	否	多账号查询类型。默认值为 0。取值： 0：查询当前账号数据 1：查询所有账号数据	0
SourceAliUids	array	否	产生告警的阿里云账号 ID 列表。
	integer	否	产生告警的阿里云账号 ID。	196072141348****
SupportOperateCodeList	array	否	告警支持的操作类型列表。
	string	否	告警支持的操作类型： AI.false_positive：疑似误报 AI.real_attack：真实攻击 AI.Insufficient_information_to_evaluate：无法研判	AI.real_attack
DetectSource	string	否	发现来源（无效字段）	linux

返回参数

名称	类型	描述	示例值
	object	告警事件返回数据。
Count	integer	分页查询时，当前页显示的数据条数。	20
CurrentPage	integer	分页查询时，当前页的页码。	1
PageSize	integer	分页查询时，每页数据显示的最大条数。	20
RequestId	string	本次请求的 ID。	0D6E20E4-8326-1D03-A553-2182BE9E82F9
SuspEvents	array<object>	告警事件信息。
	array<object>
Advanced	boolean	是否离线分析的告警。	true
AlarmEventName	string	告警事件名称。	login_common_location
AlarmEventNameDisplay	string	告警名称。	Login with unusual location
AlarmEventType	string	告警事件类型。	Unusual Logon
AlarmEventTypeDisplay	string	告警事件类型。	Unusual Logon
AlarmUniqueInfo	string	告警事件的唯一标识 ID。	8df914418f****
AppName	string	告警事件所属应用的名称。	pro-deploy-tibasic
AutoBreaking	boolean	是否自动防御。	true
CanBeDealOnLine	boolean	是否支持在线处理告警事件，例如隔离。取值包括： true：支持在线处理 false：不支持在线处理	true
CanCancelFault	boolean	能否取消标记为误报。取值： true：可以取消 false：不能取消	false
ContainHwMode	boolean	是否为服务器开启了重保护模式。取值： true：已开启。 false：未开启。	false
ContainerId	string	容器 ID。	container_1648601865161_14925_02_000****
ContainerImageId	string	容器镜像 ID。	sha256:2e5a3b0ae5f452b3cb458789a9a7542ef40035a84318469a8528c5e444db1****
ContainerImageName	string	容器镜像名称。	centos7_apache:v1.0.1
DataSource	string	数据来源（可忽略）。	aegis_suspicious_****
DeepAnalyzeReportUrl	string	文件深度分析报告下载链接。说明仅对开通了 AgenticEDR 功能的机器触发文件深度分析。
Desc	string	告警事件的影响概况描述。	webshell
Details	array<object>	告警事件详情。
	object	异常事件详情。
NameDisplay	string	告警事件显示名称。	Login with unusual location
Type	string	告警事件类型。	text
Value	string	告警事件发生路径。	/etc/crontab
ValueDisplay	string	告警事件发生路径。	/etc/crontab
DetectSource	string	发现来源（无效字段）	linux
DisplaySandboxResult	boolean	支持云沙箱检出。取值包括： true：支持。 false：不支持。	true
EventNotes	array<object>	告警事件的备注信息。
	object
Note	string	备注信息。	Test
NoteId	integer	事件记录 ID。	123
NoteTime	string	事件记录时间。格式为 YYYY-MM-DD HH:mm:ss。	2018-09-26 01:51:01
EventStatus	integer	告警事件的状态。取值包括： 1：PENDING（待处理） 2：IGNORE（已忽略） 4：HANDLED（已确认） 8：FAULT（已标记误报） 16：DEALING（处理中） 32：DONE（处理完毕） 64：EXPIRE（已经过期） 604：SYSTEM_FAULT（系统标记为误报）	8
EventSubType	string	告警事件子类型。	login_common_location
HasTraceInfo	boolean	告警事件是否有溯源信息。取值： true：有溯源 false：无溯源	true
Id	integer	告警事件的唯一标识 ID。	1000
ImageUuid	string	镜像 UUID。	70489fb520cea585ad9761d5a842****
InstanceId	string	受告警事件影响的资产实例的 ID。	i-9dp6dwsxdl9z5u1e2f****
InstanceName	string	关联实例的名称。	nginx
InternetIp	string	关联实例的公网 IP。	1.2.XX.XX
IntranetIp	string	关联实例的私网 IP。	100.100.XX.XX
K8sClusterId	string	K8s 集群 ID。	c517b37e1401e4961b3951863a49a****
K8sClusterName	string	K8s 集群名称。	test-daily
K8sNamespace	string	K8s 命名空间。	default
K8sNodeId	string	K8s 节点 ID。	i-bp14a1ay8e0aa9t0****
K8sNodeName	string	K8s 节点名称。	N/A
K8sPodName	string	K8sPod 名称。	myapp-pod
LargeModel	boolean	是否支持大模型分析标签。取值包括： true：支持。 false：不支持。	true
LastTime	string	告警事件最近发生时间。格式为 YYYY-MM-DD HH:mm:ss。	2018-09-26 01:51:01
LastTimeStamp	integer	最后一次发生的时间戳，单位为毫秒。	1631699497000
Level	string	告警事件的危险等级。取值包括： serious：紧急 suspicious：可疑 remind：提醒	serious
MaliciousRuleStatus	string	恶意行为防御规则状态。取值包括： open：开启 close：关闭	open
MarkList	array	告警事件标签集合。
	string	告警事件标签。	mark
MarkMisRules	string	高级加白规则。	1. &nbsppath &nbspcontain &nbsp232
Name	string	告警事件的完整名称。	Unusual Logon-Login with unusual location
OccurrenceTime	string	告警事件首次发生的时间。格式为 YYYY-MM-DD HH:mm:ss。	2018-09-26 01:51:01
OccurrenceTimeStamp	integer	首次发生的时间戳，单位为毫秒。	1631699497000
OperateErrorCode	string	告警事件操作的错误码。	kill_and_quara.Success
OperateMsg	string	告警事件操作的备注信息。	success
OperateTime	integer	告警事件操作的时间戳，单位为毫秒。	1631699497000
SaleVersion	string	告警事件检测支持的产品售卖版本。取值包括： 0：基础版本 1：企业版本	1
SecurityEventIds	string	告警事件关联的告警事件的 ID。	270789
SourceAliUid	integer	产生告警的阿里云账号 ID。	196072141348****
Stages	string	攻击阶段。	"["authority_maintenance"]"
SupportOperateCode	string	告警支持的操作类型： AI.false_positive：疑似误报 AI.real_attack：真实攻击 AI.Insufficient_information_to_evaluate：无法研判	AI.real_attack
TacticItems	array<object>	攻击阶段展示名。
	object
TacticDisplayName	string	ATT&CK 的战术名称。	Malicious scripts-Malicious script code execution
TacticId	string	ATT&CK 攻击阶段信息。	TA0001
UniqueInfo	string	安全告警的唯一 key。	e17e****
Uuid	string	关联实例的唯一标识。	bf6b30d3-eea8-4924-9f0a-****
clusterId	string	集群 ID。	c2051775877374cccbf68af596e6****
TotalCount	integer	告警事件的总数量。	100

示例

正常返回示例

JSON格式

{
  "Count": 20,
  "CurrentPage": 1,
  "PageSize": 20,
  "RequestId": "0D6E20E4-8326-1D03-A553-2182BE9E82F9",
  "SuspEvents": [
    {
      "Advanced": true,
      "AlarmEventName": "login_common_location",
      "AlarmEventNameDisplay": "Login with unusual location",
      "AlarmEventType": "Unusual Logon",
      "AlarmEventTypeDisplay": "Unusual Logon",
      "AlarmUniqueInfo": "8df914418f****",
      "AppName": "pro-deploy-tibasic",
      "AutoBreaking": true,
      "CanBeDealOnLine": true,
      "CanCancelFault": false,
      "ContainHwMode": false,
      "ContainerId": "container_1648601865161_14925_02_000****",
      "ContainerImageId": "sha256:2e5a3b0ae5f452b3cb458789a9a7542ef40035a84318469a8528c5e444db1****",
      "ContainerImageName": "centos7_apache:v1.0.1",
      "DataSource": "aegis_suspicious_****",
      "DeepAnalyzeReportUrl": "",
      "Desc": "webshell",
      "Details": [
        {
          "NameDisplay": "Login with unusual location",
          "Type": "text",
          "Value": "/etc/crontab",
          "ValueDisplay": "/etc/crontab"
        }
      ],
      "DetectSource": "linux",
      "DisplaySandboxResult": true,
      "EventNotes": [
        {
          "Note": "Test",
          "NoteId": 123,
          "NoteTime": "2018-09-26 01:51:01\n"
        }
      ],
      "EventStatus": 8,
      "EventSubType": "login_common_location",
      "HasTraceInfo": true,
      "Id": 1000,
      "ImageUuid": "70489fb520cea585ad9761d5a842****",
      "InstanceId": "i-9dp6dwsxdl9z5u1e2f****",
      "InstanceName": "nginx",
      "InternetIp": "1.2.XX.XX",
      "IntranetIp": "100.100.XX.XX",
      "K8sClusterId": "c517b37e1401e4961b3951863a49a****",
      "K8sClusterName": "test-daily",
      "K8sNamespace": "default",
      "K8sNodeId": "i-bp14a1ay8e0aa9t0****\n",
      "K8sNodeName": "N/A",
      "K8sPodName": "myapp-pod\n",
      "LargeModel": true,
      "LastTime": "2018-09-26 01:51:01",
      "LastTimeStamp": 1631699497000,
      "Level": "serious",
      "MaliciousRuleStatus": "open",
      "MarkList": [
        "mark"
      ],
      "MarkMisRules": "1. &nbsppath &nbspcontain &nbsp232  ",
      "Name": "Unusual Logon-Login with unusual location",
      "OccurrenceTime": "2018-09-26 01:51:01",
      "OccurrenceTimeStamp": 1631699497000,
      "OperateErrorCode": "kill_and_quara.Success",
      "OperateMsg": "success",
      "OperateTime": 1631699497000,
      "SaleVersion": "1",
      "SecurityEventIds": "270789",
      "SourceAliUid": 0,
      "Stages": "\"[\"authority_maintenance\"]\"",
      "SupportOperateCode": "AI.real_attack",
      "TacticItems": [
        {
          "TacticDisplayName": "Malicious scripts-Malicious script code execution",
          "TacticId": "TA0001"
        }
      ],
      "UniqueInfo": "e17e****",
      "Uuid": "bf6b30d3-eea8-4924-9f0a-****",
      "clusterId": "c2051775877374cccbf68af596e6****"
    }
  ],
  "TotalCount": 100
}

错误码

HTTP status code	错误码	错误信息	描述
400	NoPermission	no permission	无此服务的访问权限。
400	UnknownError	UnknownError	未知错误，请稍后重试！
400	RdCheckNoPermission	Resource directory account verification has no permission.	资源目录账号校验无权限。
500	RdCheckInnerError	Resource directory account service internal error.	资源目录账号服务内部错误。
500	ServerError	ServerError	服务故障，请稍后重试！
403	NoPermission	caller has no permission	当前操作未被授权，请联系主账号在RAM控制台进行授权后再执行操作。

访问错误中心查看更多错误码。

变更历史

更多信息，参考变更详情。