# 使用HSS扫描并修复漏洞
#### 应用场景
HSS漏洞管理支持扫描Linux漏洞、Windows漏洞、Web-CMS漏洞、应用漏洞和应急漏洞，并提供多种漏洞处理方式，帮助您全面掌握和及时修复资产中的漏洞，规避可能的风险。
本文介绍通过HSS发现并修复漏洞的实践教程。
#### 操作视频
<video controls="controls" preload="none" id="object10488104318514" class="idp-external-video" src="https://res-video.hc-cdn.com/cloudbu-site/china/zh-cn/support/hss-video/1720753938603847951.mp4" title="扫描并修复漏洞" poster="https://support.huaweicloud.com/bestpractice-hss2.0/zh-cn_image_0000002347663548.jpg" height="340.0000" width="600.0000"></video>
#### 前提条件
主机已开启HSS专业版/企业版/旗舰版/网页防篡改版/容器版防护。详细操作请参见[HSS接入概述](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0230.html)。
#### 判定漏洞修复的紧急程度
如果您的资产中，检测出多个漏洞时，您可以通过如下方式综合判断漏洞修复的紧急程度，优先修复紧急程度高、会对服务器造成影响的漏洞。
- 通过**漏洞修复优先级** 判定
  您可以通过漏洞修复优先级过滤出需要尽快修复的漏洞。一般来讲，"修复优先级"为"紧急"的漏洞需立即修复。
  漏洞修复优先级是由漏洞最高CVSS分值、漏洞发布时间和漏洞影响的资产重要性进行加权计算得出，反映了漏洞修复的紧急程度。
  ![](https://support.huaweicloud.com/bestpractice-hss2.0/public_sys-resources/note_3.0-zh-cn.png)
  默认情况下资产重要性为"一般资产"，您可以为服务器关联匹配的重要等级，详细操作请参考[管理服务器重要性](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0381.html)。
  漏洞修复优先级主要分为紧急、高、中、低四个等级，您可以参考修复优先级优先修复对您的服务器影响较大的漏洞。
  - 紧急：您必须立即修复的漏洞，攻击者利用该漏洞会对主机造成较大的破坏。
  
  - 高：您需要尽快修复的漏洞，攻击者利用该漏洞会对主机造成损害。
  
  - 中：您需要修复的漏洞，为提高您主机的安全能力，建议您修复该类型的漏洞。
  
  - 低：该类型的漏洞对主机安全的威胁较小，您可以选择修复或忽略。
   
- 通过**实际业务情况** 判定
  您可以查看漏洞详情，结合实际业务和受影响的服务器情况，来判定是否需要尽快修复漏洞。
  
 
#### 扫描和修复漏洞
1. **扫描漏洞。**
   
   1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。
   
   2. 在控制台左上角，单击![](https://support.huaweicloud.com/bestpractice-hss2.0/zh-cn_image_0000002418804153.png)图标，选择区域或项目。
   
   3. 在左侧导航树，选择"风险预防 \> 漏洞管理"，进入漏洞管理页面。
   
   4. 在"漏洞管理"页面右上角，单击"手动扫描"。
   
   5. 在"漏洞扫描"对话框，选中所有"漏洞类型"，并选择"扫描范围"为"全部服务器"，确保能扫描到所有服务器可能存在的各类漏洞。
      图1配置手动扫描参数   
      ![](https://support.huaweicloud.com/bestpractice-hss2.0/zh-cn_image_0000001981731942.png) 
   
   6. 在"漏洞管理"页面右上角，单击"任务管理"。在"扫描任务"页签，确认手动扫描任务已完成，确保所检测的漏洞信息是即时的。
   
   
   
   
2. **修复漏洞。**
   
   ![](https://support.huaweicloud.com/bestpractice-hss2.0/public_sys-resources/caution_3.0-zh-cn.png)
   - 执行主机漏洞修复可能存在漏洞修复失败导致业务中断，或者中间件及上层应用出现不兼容等风险，并且无法进行回滚。为了防止出现不可预料的严重后果，建议您通过云备份（CBR）为ECS创建备份，详细操作请参见[创建云服务器备份](https://support.huaweicloud.com/qs-cbr/cbr_02_0028.html)。然后，使用空闲主机搭建环境充分测试，确认不影响业务正常运行后，再对主机执行漏洞修复。
   
   - 在线修复主机漏洞时，需要连接Internet，通过外部镜像源提供漏洞修复服务。
     - Linux系统：如果主机无法访问Internet，或者外部镜像源提供的服务不稳定时，可以使用华为云提供的镜像源进行漏洞修复。为了保证漏洞修复成功，请在执行在线升级漏洞前，确认主机中已配置华为云提供的对应操作系统的镜像源，详细的配置操作请参见[配置镜像源](https://support.huaweicloud.com/ecs_faq/zh-cn_topic_0106199430.html)。
     
     - Windows系统：如果主机无法访问Internet，请确保拥有自建的补丁服务器。
      
    
   1. 筛选需要修复的漏洞。
      - 单击"需紧急修复漏洞"上的数字，筛选各类需紧急修复的漏洞。
      
      - 在扫描出的漏洞列表，筛选出修复优先级高的漏洞，例如"漏洞视图"下，设置"修复优先级"为"紧急"、"高"，"主机视图"下，设置"主机风险等级"为"高危"、"中危"。
       
   
   2. 修复漏洞。
      - **自动修复漏洞** ：仅Linux漏洞、Windows漏洞支持。此处以漏洞视角下，修复Linux漏洞为例，进行介绍。
        由于贸然修复内核漏洞，可能会导致主机功能不可用，因此针对CCE、MRS、BMS的主机内核漏洞，HSS不支持自动修复，HSS在执行批量自动修复漏洞任务时也会自动过滤不修复这些类型的漏洞。
        1. 在"漏洞管理"页面，单击目标漏洞"操作"的"修复"。
        
        2. 在修复对话框，确认待修复的漏洞数量和影响资产数量，单击![](https://support.huaweicloud.com/bestpractice-hss2.0/zh-cn_image_0000002019376829.png)，开启备份。
           图2确认漏洞和创建备份   
           ![](https://support.huaweicloud.com/bestpractice-hss2.0/zh-cn_image_0000002042172404.png) 
        
        3. 单击"管理"，在创建备份弹窗，编辑服务器本次备份文件的名称后，单击"确定"。
        
        4. 在修复对话框，勾选知晓风险后，单击"自动修复"。
        
        5. 单击漏洞名称，在漏洞详情页，选择"历史处置记录"页签，在目标漏洞"状态"列，查看漏洞修复状态。
           - "修复成功"表示该漏洞已被成功修复。更多状态说明，请参见[表 漏洞修复状态说明](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0141.html#hss_01_0141__table1309111182315)。
           
           - "修复失败"表示该漏洞修复失败，可能因为漏洞已不存在或漏洞已经被更改。您可以查看修复失败原因，参考HSS提供的方法，修复漏洞。具体操作，请参见[漏洞修复失败怎么办？](https://support.huaweicloud.com/hss2.0_faq/hss_01_0523.html)
            
         
      
      - **手动修复漏洞** ：Web-CMS漏洞、应用漏洞和应急漏洞不支持自动修复，需参考漏洞修复建议手动修复。
        1. 在"漏洞管理"页面，单击目标漏洞名称，在漏洞详情页面，查看修复建议。
        
        2. 参考漏洞修复方案，根据业务情况选择一个方案修复漏洞。 **方案一：创建新的虚拟机执行漏洞修复**
           适用于第一次对主机漏洞执行修复，且不确定漏洞修复的影响。新创建的ECS主机建议采用按需计费的方式创建，待业务切换完成后可以根据需要转换为包周期计费模式。如果漏洞修复不成功可以随时释放以节省开销。
           1. 为需要修复漏洞的ECS主机创建镜像，详细操作请参见[通过云服务器创建整机镜像](https://support.huaweicloud.com/zh-cn/usermanual-ims/ims_01_0216.html)。
           
           2. 使用该镜像创建新的ECS主机，详细操作请参见[通过镜像创建云服务器](https://support.huaweicloud.com/zh-cn/usermanual-ims/ims_01_0302.html)。
           
           3. 在新启动的主机上执行漏洞修复并验证修复结果。
           
           4. 确认修复完成之后将业务切换到新主机。
           
           5. 确定切换完成并且业务运行稳定无故障后，可以释放旧的主机。如果业务切换后出现问题且无法修复，可以将业务立即切换回原来的主机以恢复功能。
            
           **方案二：在当前主机执行修复**
           适用于已经有同类主机执行过修复，漏洞修复方案已经比较成熟可靠的场景。
           1. 为需要修复漏洞的ECS主机创建备份，详细操作请参见[创建云服务器备份](https://support.huaweicloud.com/qs-csbs/zh-cn_topic_0072046354.html)。
           
           2. 在当前主机上直接进行漏洞修复。
           
           3. 如果漏洞修复后出现业务功能问题且无法及时修复，立即使用备份恢复功能将主机恢复到修复前的状态，详细操作请参见[使用备份恢复服务器](https://support.huaweicloud.com/usermanual-csbs/zh-cn_topic_0056584619.html)。
             
         
      
      - **忽略漏洞** 、**漏洞添加白名单**
        如果某漏洞暂时无害，您可以忽略该漏洞。忽略仅忽略当次告警，下一次漏洞扫描仍然上报该漏洞。如果某漏洞不会对业务产生影响，可将漏洞加入白名单。加入白名单后，已扫描出的漏洞会被处理为忽略，不再上报，且下一次扫描时不再扫描该漏洞。具体操作，请参见[忽略漏洞](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0141.html#section4)、[漏洞添加白名单](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0141.html#section4)。
        
       
   
   
   
   
3. **重启主机。**
   
   "Windows系统漏洞"和"Linux系统Kernel类的漏洞"修复完成后，需要重启服务器，重启服务器后漏洞修复才会生效，否则企业主机安全仍认为您的漏洞未完成修复，将持续为您告警。其他类型的漏洞修复后，则无需重启服务器。
   
   
4. **修复验证。**
   
   在您手动修复漏洞完成后，建议您验证漏洞修复结果。具体操作，请参见[修复验证](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0141.html#section5)。
   
   
 
#### 相关操作
- HSS支持查看已处理漏洞的历史处置记录。您可以筛选"已处理"的漏洞，单击"漏洞名称"，在漏洞详情面板，查看"历史处置记录"。具体操作，请参见[查看漏洞历史处置记录](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0503.html)。
- HSS支持导出漏洞列表。具体操作，请参见[导出漏洞列表](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0574.html)。