注意：说明：
注意：控制台仅保留近 6 个月的异常登录事件，更早的记录不再展示。
一、检测逻辑
检测分为以下两类：
·内置检测：无需配置。覆盖威胁情报黑 IP 登录、密码破解成功后登录、弱口令账户登录、非法账户登录、登录后存在入侵行为。
·可选检测：包括境外 IP 登录、非常用登录地登录、非工作时间登录。默认关闭，需要时在检测设置中开启。
各版本均可检测，请参见 功能介绍与版本比较。
二、检测设置
仅配置可选检测和自学习白名单基线，内置检测规则不在此维护。
操作步骤
1. 登录主机安全控制台。
2. 在左侧导航栏，选择入侵检测 > 异常登录。
3. 单击右上角检测设置，打开检测设置弹窗。
4. 按需勾选可选告警，并选择告警等级。
·境外 IP 登录：对白名单以外的境外 IP 登录告警。
·IP 非常用登录地：对不在白名单常用登录地内的来源 IP 登录告警。
·非工作时间登录：选择星期和时间段，对该时间以外的登录告警。
注意：说明：
注意：以上三项升级后默认关闭。若需要境外 IP、非常用登录地或非工作时间的告警，请在本页勾选开启。
5. 按需开启自学习白名单基线。开启后，系统自动学习登录基线并生成白名单，把未触发内置检测规则的首次登录地域加入信任白名单。关闭后再次开启会重新学习，并对白名单去重，白名单只增不减。
6. 选择生效主机后，单击保存。
三、处理告警
操作步骤
1. 登录主机安全控制台。
2. 在左侧导航栏，选择入侵检测 > 异常登录。
3. 在告警列表中查看告警，支持时间段筛选、关键字搜索（告警 ID、实例 ID 等）定位告警。
注意：说明：
注意：确认本次登录是否为你本人后，再选择处理方式。
·来源 IP/来源地：登录来源及其地域。
·登录用户名：本次登录使用的用户名。
·威胁等级：高危、中危、低危、提示。
·命中策略：触发本次告警的规则，如：威胁情报黑 IP 登录、非常用登录地登录。
·告警次数：相同告警按天聚合后的次数。
·首次/最近发现时间：该聚合告警第一次发现的时间，以及最近一次发现的时间。
·最近登录时间：最近一次登录的时间。
·状态：待处理、已加白、已处理、已忽略。
·操作：
·详情：查看告警详情。
·处理：支持以下处理方式。
·标记已处理：若你已人工对该告警进行处理，可将告警标记为已处理。
·加入白名单：加入白名单操作后，当再次发生相同情况时将不再进行告警，请谨慎操作。
·忽略：仅将本次告警进行忽略，若再有相同情况发生依然会进行告警。
·删除记录：删除该告警记录，控制台将不再显示，无法恢复记录，请慎重操作。
四、配置白名单
操作步骤
1. 登录主机安全控制台。
2. 在左侧导航栏，选择入侵检测 > 异常登录。
3. 打开白名单管理，单击添加白名单。
4. 填写白名单详情（登录源 IP、登录用户名、登录时间、常用登录地），选择生效资产，可填写备注，单击确定。
注意：说明：
五、常见白名单写法
·固定网段、任意用户名都不告警：只填登录源 IP（网段），再选生效主机。
·登录 IP 不固定，但登录地固定：只选常用登录地，再选生效主机。