- Descripción general del servicio
- Pasos iniciales
-
Guía del usuario
- Habilitación de HSS
- Descripción General de Riesgos
-
Gestión de activos
- Gestión de activos
- Gestión de servidores
- Gestión de contenedores
- Gestión de huellas dactilares de activos
- Gestión de cuotas de protección
- Prevención de Riesgos
- Prevención
- Detección de intrusiones
- Operaciones de seguridad
- Informe de seguridad
- Instalación & Configuración
- Auditoría
- Gestión de permisos
-
Referencia de la API
- Antes de empezar
- Llamadas a APIs
-
Descripción de la API
-
Gestión de línea de base
- Consulta de la lista de resultados de detección de contraseña débil
- Consulta del informe Detección de políticas de complejidad de contraseñas
- Consulta de la lista de resultados de la comprobación de configuración de seguridad del servidor
- Consulta del resultado de comprobación de un elemento de configuración de seguridad especificado
- Consulta de la lista de elementos de comprobación de un elemento de configuración de seguridad especificado
- Consulta de la lista de servidores afectados de un elemento de configuración de seguridad especificado
- Consulta del informe de un elemento de comprobación en una comprobación de configuración de seguridad
- Detección de intrusiones
- Gestión de host
- Gestión de vulnerabilidades
-
Gestión de línea de base
- APIs históricas
- Apéndices
-
Preguntas frecuentes
-
Acerca de HSS
- ¿Qué es Host Security Service?
- ¿Qué es Container Security Service?
- ¿Qué es Web Tamper Protection?
- ¿Cuáles son las relaciones entre imágenes, contenedores y aplicaciones?
- ¿Dónde está disponible el HSS?
- ¿Cómo uso HSS?
- Is HSS in Conflict with Any Other Security Software?
- ¿Cuáles son las diferencias entre HSS, VSS y WAF?
- ¿Qué es el agente de HSS?
- ¿Puedo actualizar mi HSS a una edición superior?
-
Preguntas Frecuentes de Agentes
- ¿Está el agente en conflicto con cualquier otro software de seguridad?
- ¿Cómo instalo el agente?
- ¿Cómo desinstalo el agente?
- ¿Qué debo hacer si falló la instalación del agente?
- ¿Cómo puedo arreglar un agente anormal?
- ¿Cuál es la ruta de instalación predeterminada del agente?
- ¿Cuántos recursos de CPU y memoria están ocupados por el agente cuando realiza escaneos?
- ¿WTP y HSS usan el mismo agente?
- ¿Cómo puedo ver los servidores donde no se han instalado agentes?
- ¿Qué puedo hacer si el estado del agente sigue "No instalado" después de la instalación?
- Defensa de ataque de fuerza bruta
- Contraseñas débiles y cuentas inseguras
-
Intrusiones
- ¿Qué hago si mis servidores están sujetos a un ataque minero?
- ¿Por qué un proceso todavía está aislado después de que fue incluido en la lista blanca?
- ¿Qué hago si se detecta un proceso de minería en un servidor?
- ¿Qué debo hacer si encuentro que mis servidores atacan a otros?
- ¿Por qué no se detectan algunos ataques a servidores?
- ¿Puedo desbloquear una dirección IP bloqueada por HSS y cómo?
- ¿Por qué una dirección IP bloqueada se desbloquea automáticamente?
- Inicios de sesión anormales
- Configuración insegura
- Gestión de vulnerabilidades
-
Otros
- ¿Qué son las Regiones y las AZ?
- ¿Qué debo hacer si la respuesta del teclado es lenta o si necesito ingresar dígitos consecutivos en el sistema operativo Windows chino?
- ¿Cómo uso la herramienta de conexión a escritorio remoto de Windows para conectarme a un servidor?
- ¿Cómo puedo comprobar los archivos de registro de HSS?
- ¿Cómo puedo habilitar el registro de errores de inicio de sesión?
-
Protección contra manipulación de la web
- ¿Por qué necesito agregar un directorio protegido?
- ¿Cómo modifico un directorio protegido?
- ¿Qué debo hacer si WTP no se puede habilitar?
- ¿Cómo modifico un archivo después de que WTP esté habilitado?
- ¿Qué puedo hacer si habilité el WTP dinámico pero su estado está habilitado pero no está en efecto?
- ¿Cuáles son las diferencias entre las funciones de protección contra manipulaciones Web de HSS y WAF?
- Container Guard Service
- Protección de ransomware
-
Acerca de HSS
- Actualmente, el contenido no está disponible en el idioma seleccionado. Sugerimos consultar la versión en inglés.
- What's New
- Function Overview
- Product Bulletin
- Technology Poster
- Billing
-
Best Practices
- HSS Best Practices You May Need
-
Suggestions on How to Fix Official Disclosed Vulnerabilities Provided by HSS
- Git Credential Disclosure Vulnerability (CVE-2020-5260)
- SaltStack Remote Command Execution Vulnerabilities (CVE-2020-11651 and CVE-2020-11652)
- OpenSSL High-risk Vulnerability (CVE-2020-1967)
- Adobe Font Manager Library Remote Code Execution Vulnerability (CVE-2020-1020/CVE-2020-0938)
- Windows Kernel Elevation of Privilege Vulnerability (CVE-2020-1027)
- Windows CryptoAPI Spoofing Vulnerability (CVE-2020-0601)
- Third-Party Servers Accessing HSS Through a Direct Connect and Proxy Servers
- Connecting Third-Party Servers to HSS Through Direct Connect and VPC Endpoint
- Installing the HSS Agent Using CBH
- Using HSS to Improve Server Login Security
- Using HSS and CBR to Defend Against Ransomware
- Using HSS to Scan and Fix Vulnerabilities
- Using HSS to Prevent Weak Passwords
- Using HSS to Scan for Trojans
- Using HSS to Handle Mining Attacks
- Using HSS to Monitor the Integrity of Linux Server Files
- Whitelist Can Be Used to Avoid False Alarm Reporting
- SDK Reference
- Videos
-
More Documents
-
User Guide (Ankara Region)
- Introduction
- Enabling HSS
- Server Security Dashboard
- Asset Management
- Risk Prevention
- Prevention
- Intrusion Detection
- Security Operations
- Security Report
- Installation & Configuration
- Permissions Management
-
FAQs
-
About HSS
- What Is HSS?
- What Is Container Security Service?
- What Is Web Tamper Protection?
- What Are the Relationships Between Images, Containers, and Applications?
- How Do I Use HSS?
- Can HSS Protect Local IDC Servers?
- Is HSS in Conflict with Any Other Security Software?
- What Are the Differences Between HSS and WAF?
- What Is the HSS Agent?
-
Agent FAQs
- Is the Agent in Conflict with Any Other Security Software?
- How Do I Install the Agent?
- How Do I Uninstall the Agent?
- What Should I Do If Agent Installation Failed?
- How Do I Fix an Abnormal Agent?
- What Is the Default Agent Installation Path?
- How Many CPU and Memory Resources Are Occupied by the Agent When It Performs Scans?
- Do WTP and HSS Use the Same Agent?
- How Do I View Servers Where No Agents Have Been Installed?
-
Brute-force Attack Defense
- How Does HSS Intercept Brute Force Attacks?
- How Do I Handle a Brute-force Attack Alarm?
- How Do I Defend Against Brute-force Attacks?
- How Do I Do If the Account Cracking Prevention Function Does Not Take Effect on Some Linux Accounts?
- How Do I Unblock an IP Address?
- What Do I Do If HSS Frequently Reports Brute-force Alarms?
- What Do I Do If My Remote Server Port Is Not Updated in Brute-force Attack Records?
- Weak Passwords and Unsafe Accounts
-
Intrusions
- What Do I Do If My Servers Are Subjected to a Mining Attack?
- Why a Process Is Still Isolated After It Was Whitelisted?
- What Do I Do If a Mining Process Is Detected on a Server?
- Why Some Attacks on Servers Are Not Detected?
- Can I Unblock an IP Address Blocked by HSS, and How?
- Why a Blocked IP Address Is Automatically Unblocked?
- How Often Does HSS Detect, Isolate, and Kill Malicious Programs?
- What Do I Do If an IP Address Is Blocked by HSS?
- How Do I Defend Against Ransomware Attacks?
- Abnormal Logins
- Unsafe Settings
- Vulnerability Management
-
Web Tamper Protection
- Why Do I Need to Add a Protected Directory?
- How Do I Modify a Protected Directory?
- What Should I Do If WTP Cannot Be Enabled?
- How Do I Modify a File After WTP Is Enabled?
- What Can I Do If I Enabled Dynamic WTP But Its Status Is Enabled but not in effect?
- What Are the Differences Between the Web Tamper Protection Functions of HSS and WAF?
- Container Guard Service
- Ransomware Protection
-
Security Configurations
- How Do I Clear the SSH Login IP Address Whitelist Configured in HSS?
- What Can I Do If I Cannot Remotely Log In to a Server via SSH?
- How Do I Use 2FA?
- What Do I Do If I Cannot Enable 2FA?
- Why Can't I Receive a Verification Code After 2FA Is Enabled?
- Why Does My Login Fail After I Enable 2FA?
- How Do I Add a Mobile Phone Number or Email Address for Receiving 2FA Verification Notifications?
- If I Choose to Use Verification Code for 2FA, How Do I Get the Code?
- How Do I Disable the SELinux Firewall?
- Quotas
-
Others
- How Do I Use the Windows Remote Desktop Connection Tool to Connect to a Server?
- How Do I Check HSS Log Files?
- How Do I Enable Logging for Login Failures?
- How Do I Clear an Alarm on Critical File Changes?
- Is HSS Available as Offline Software?
- How Do I Enable HSS Self-Protection?
- What Do I Do If HSS Self-Protection Cannot Be Disabled?
-
About HSS
- Change History
-
User Guide (ME-Abu Dhabi Region)
- Introduction
- Enabling HSS
- Server Security Dashboard
- Asset Management
- Risk Prevention
-
Prevention
- Application Protection
- WTP
- Ransomware Prevention
- File Integrity Monitoring
-
Container Firewalls
- Container Firewall Overview
- Creating a Policy (for a Cluster Using the Container Tunnel Network Model)
- Creating a Policy (for a Cluster Using the VPC Network Model)
- Managing Policies (for a Cluster Using the Container Tunnel Network Model)
- Managing Policies (for a Cluster Using the VPC Network Model)
- Intrusion Detection
- Security Operations
- Security Report
- Installation & Configuration
- Audit
- Permissions Management
- Manually Upgrading HSS
-
FAQs
- About HSS
-
Agent FAQs
- Is the Agent in Conflict with Any Other Security Software?
- How Do I Uninstall the Agent?
- What Should I Do If Agent Installation Failed?
- How Do I Fix an Abnormal Agent?
- What Is the Default Agent Installation Path?
- How Many CPU and Memory Resources Are Occupied by the Agent When It Performs Scans?
- Do WTP and HSS Use the Same Agent?
- How Do I View Servers Where No Agents Have Been Installed?
- What Can I Do If the Agent Status Is Still "Not installed" After Installation?
- What Do I Do If the HSS Upgrade Fails?
-
Brute-force Attack Defense
- How Does HSS Intercept Brute Force Attacks?
- How Do I Handle a Brute-force Attack Alarm?
- How Do I Defend Against Brute-force Attacks?
- What Do I Do If the Account Cracking Prevention Function Does Not Take Effect on Some Accounts for Linux Servers?
- How Do I Unblock an IP Address?
- What Do I Do If HSS Frequently Reports Brute-force Alarms?
- What Do I Do If My Remote Server Port Is Not Updated in Brute-force Attack Records?
- Weak Passwords and Unsafe Accounts
-
Intrusions
- What Do I Do If My Servers Are Subjected to a Mining Attack?
- Why a Process Is Still Isolated After It Was Whitelisted?
- What Do I Do If a Mining Process Is Detected on a Server?
- Why Some Attacks on Servers Are Not Detected?
- Can I Unblock an IP Address Blocked by HSS, and How?
- Why a Blocked IP Address Is Automatically Unblocked?
- How Often Does HSS Detect, Isolate, and Kill Malicious Programs?
- What Do I Do If an IP Address Is Blocked by HSS?
- How Do I Defend Against Ransomware Attacks?
- Abnormal Logins
- Unsafe Settings
- Vulnerability Management
-
Web Tamper Protection
- Why Do I Need to Add a Protected Directory?
- How Do I Modify a Protected Directory?
- What Should I Do If WTP Cannot Be Enabled?
- How Do I Modify a File After WTP Is Enabled?
- What Can I Do If I Enabled Dynamic WTP But Its Status Is Enabled but not in effect?
- What Are the Differences Between the Web Tamper Protection Functions of HSS and WAF?
- Container Guard Service
-
Security Configurations
- What Can I Do If I Cannot Remotely Log In to a Server via SSH?
- How Do I Use 2FA?
- Why Can't I Receive a Verification Code After 2FA Is Enabled?
- Why Does My Login Fail After I Enable 2FA?
- How Do I Add a Mobile Phone Number or Email Address for Receiving 2FA Verification Notifications?
- How Do I Disable the SELinux Firewall?
- Others
- Change History
-
User Guide (Paris)
- Introduction
- Enabling HSS
- Server Security Dashboard
-
Asset Management
- Asset Management
- Server Fingerprints
- Container Fingerprints
- Server Management
- Container Management
- Risk Prevention
-
Prevention
- WTP
- Ransomware Prevention
- File Integrity Monitoring
-
Container Firewalls
- Container Firewall Overview
- Creating a Policy (for a Cluster Using the Container Tunnel Network Model)
- Creating a Policy (for a Cluster Using the VPC Network Model)
- Managing Policies (for a Cluster Using the Container Tunnel Network Model)
- Managing Policies (for a Cluster Using the VPC Network Model)
- Intrusion Detection
- Security Operations
- Security Report
- Installation & Configuration
- Audit
- Permissions Management
- Manually Upgrading HSS
-
FAQs
- About HSS
-
Agent FAQs
- Is the Agent in Conflict with Any Other Security Software?
- How Do I Uninstall the Agent?
- What Should I Do If Agent Installation Failed?
- How Do I Fix an Abnormal Agent?
- What Is the Default Agent Installation Path?
- How Many CPU and Memory Resources Are Occupied by the Agent When It Performs Scans?
- Do WTP and HSS Use the Same Agent?
- How Do I View Servers Where No Agents Have Been Installed?
- What Can I Do If the Agent Status Is Still "Not installed" After Installation?
- What Addresses Do ECSs Access After the Agent Is Installed?
-
Brute-force Attack Defense
- How Does HSS Intercept Brute Force Attacks?
- How Do I Handle a Brute-force Attack Alarm?
- How Do I Defend Against Brute-force Attacks?
- What Do I Do If the Account Cracking Prevention Function Does Not Take Effect on Some Accounts for Linux Servers?
- How Do I Unblock an IP Address?
- What Do I Do If HSS Frequently Reports Brute-force Alarms?
- What Do I Do If My Remote Server Port Is Not Updated in Brute-force Attack Records?
- Weak Passwords and Unsafe Accounts
-
Intrusions
- What Do I Do If My Servers Are Subjected to a Mining Attack?
- Why a Process Is Still Isolated After It Was Whitelisted?
- What Do I Do If a Mining Process Is Detected on a Server?
- Why Some Attacks on Servers Are Not Detected?
- Can I Unblock an IP Address Blocked by HSS, and How?
- Why a Blocked IP Address Is Automatically Unblocked?
- How Often Does HSS Detect, Isolate, and Kill Malicious Programs?
- What Do I Do If an IP Address Is Blocked by HSS?
- How Do I Defend Against Ransomware Attacks?
- Abnormal Logins
- Unsafe Settings
-
Vulnerability Management
- How Do I Fix Vulnerabilities?
- What Do I Do If an Alarm Still Exists After I Fixed a Vulnerability?
- Why a Server Displayed in Vulnerability Information Does Not Exist?
- Do I Need to Restart a Server After Fixing its Vulnerabilities?
- Can I Check the Vulnerability and Baseline Fix History on HSS?
- What Do I Do If Vulnerability Fix Failed?
- Why Can't I Select a Server During Manual Vulnerability Scanning or Batch Vulnerability Fixing?
-
Web Tamper Protection
- Why Do I Need to Add a Protected Directory?
- How Do I Modify a Protected Directory?
- What Should I Do If WTP Cannot Be Enabled?
- How Do I Modify a File After WTP Is Enabled?
- What Can I Do If I Enabled Dynamic WTP But Its Status Is Enabled but not in effect?
- What Are the Differences Between the Web Tamper Protection Functions of HSS and WAF?
- Container Guard Service
-
Security Configurations
- How Do I Clear the SSH Login IP Address Whitelist Configured in HSS?
- What Can I Do If I Cannot Remotely Log In to a Server via SSH?
- How Do I Use 2FA?
- What Do I Do If I Cannot Enable 2FA?
- Why Can't I Receive a Verification Code After 2FA Is Enabled?
- Why Does My Login Fail After I Enable 2FA?
- How Do I Add a Mobile Phone Number or Email Address for Receiving 2FA Verification Notifications?
- If I Choose to Use Verification Code for 2FA, How Do I Get the Code?
- How Do I Modify Alarm Notification Recipients?
- Why No Topics Are Available for Me to Choose When I Configure Alarm Notifications?
- Can I Disable HSS Alarm Notifications?
- How Do I Modify Alarm Notification Items?
- How Do I Disable the SELinux Firewall?
-
Others
- How Do I Use the Windows Remote Desktop Connection Tool to Connect to a Server?
- How Do I Check HSS Log Files?
- How Do I Enable Logging for Login Failures?
- How Do I Clear an Alarm on Critical File Changes?
- Is HSS Available as Offline Software?
- Why Is a Deleted ECS Still Displayed in the HSS Server List?
- Change History
-
User Guide (Ankara Region)
Copiado.
Eventos de alarma de servidor
El servicio genera alarmas en 13 tipos de eventos de intrusión, incluidos ataques de fuerza bruta, comportamiento de procesos anormales, web shells, inicios de sesión anormales y procesos maliciosos. Puede aprender todos estos eventos en la consola y eliminar los riesgos de seguridad en sus activos de manera oportuna.
Tipos de alarma de servidor
Tipo de evento |
Nombre de la alarma |
Descripción |
Edición empresarial |
Edición prémium |
Web Tamper Protection |
---|---|---|---|---|---|
Malware |
Malicious programs |
Los programas maliciosos incluyen troyanos y web shells implantados por hackers para robar sus datos o controlar sus servidores. Por ejemplo, los hackers probablemente usarán sus servidores como mineros o zombies DDoS. Esto ocupa un gran número de recursos de CPU y de red, lo que afecta a la estabilidad del servicio. Comprobar malware, como shells web, caballos de Troya, software de minería, gusanos y otros virus y variantes, y matarlos con un solo clic. El malware se encuentra y elimina mediante el análisis de las características y comportamientos del programa, algoritmos de huellas dactilares de imagen AI y escaneo y matanza en la nube. |
√ (Isolate and kill) |
√ (Isolate and kill) |
√ (Isolate and kill) |
Ransomware |
Compruebe el ransomware incrustado en medios como páginas web, software, correos electrónicos y medios de almacenamiento. El ransomware se utiliza para cifrar y controlar sus activos de datos, como documentos, correos electrónicos, bases de datos, código fuente, imágenes y archivos comprimidos, para aprovechar la extorsión de las víctimas. |
× |
√ |
√ |
|
Web shells |
Compruebe si los archivos (a menudo archivos PHP y JSP) en sus directorios web son shells web. Puede configurar la regla de detección de shell web en la regla de Web Shell Detection en la página Policies. HSS comprobará si hay comandos sospechosos o ejecutados remotamente. Es necesario agregar un directorio protegido en la gestión de políticas. Para más detalles, consulte Detección de Web Shell. |
× |
√ |
√ |
|
Reverse shells |
Supervise los comportamientos de los procesos del usuario en tiempo real para detectar shells inversos causados por conexiones no válidas. Se pueden detectar shells inversos para protocolos como TCP, UDP e ICMP. Puede configurar la regla de detección de shell inverso en la regla de Malicious File Detection de la página Policies. HSS comprobará si hay comandos sospechosos o ejecutados remotamente. |
× |
√ |
√ |
|
Exploits Used |
Exploit Attack |
Detecte intrusiones en el servidor explotando vulnerabilidades en tiempo real y reporte alarmas. |
√ |
√ |
√ |
Abnormal system behavior |
File privilege escalations |
Después de que los piratas informáticos intruyan los servidores, intentarán explotar las vulnerabilidades para concederse los permisos de root o agregar permisos para los archivos. De esta manera, pueden crear cuentas del sistema ilegalmente, modificar permisos de cuenta y manipular archivos. HSS detecta la escalada de privilegios para procesos y archivos en el sistema actual. Se pueden detectar las siguientes operaciones de escalada de privilegios anormales:
|
× |
√ |
√ |
Process privilege escalations |
|||||
Important file changes |
Si los hackers informáticos se introducen en su sistema, es probable que alteren los archivos importantes del sistema para forjar identidades o prepararse para ataques adicionales.
HSS solo comprueba si los directorios o archivos han sido modificados, no si son modificados manualmente o por un proceso. |
√ |
√ |
√ |
|
File/Directory changes |
|||||
Abnormal process behavior |
Compruebe los procesos en los servidores, incluidos sus identificadores, líneas de comandos, rutas de proceso y comportamiento. Envíe alarmas sobre operaciones e intrusiones de procesos no autorizados. Se puede detectar el siguiente comportamiento anormal del proceso:
|
√ |
√ |
√ |
|
High-risk command executions |
Puede configurar qué comandos desencadenarán alarmas en la regla High-risk Command Scan en la página Policies. HSS comprueba los comandos ejecutados en tiempo real y genera alarmas si se detectan comandos de alto riesgo. |
× |
√ |
√ |
|
Abnormal shells |
Detecte acciones en shells anormales, como mover, copiar y eliminar archivos de shell, y modificar los permisos de acceso y los enlaces duros de los archivos. Puede configurar la regla de detección de shell anormal en la regla de Malicious File Detection de la página Policies. HSS comprobará si hay comandos sospechosos o ejecutados remotamente. |
× |
√ |
√ |
|
Crontab Suspicious Task |
Compruebe y enumere los servicios iniciados automáticamente, las tareas programadas, las bibliotecas dinámicas precargadas, las claves de registro de ejecución y las carpetas de inicio. Puede recibir una notificación inmediatamente cuando se detectan elementos de inicio automático anormales y localizar rápidamente troyanos. |
× |
√ |
√ |
|
Abnormal user behavior |
Brute-force attacks |
Si los hackers inician sesión en sus servidores a través de ataques de fuerza bruta, pueden obtener los permisos de control de los servidores y realizar operaciones maliciosas, como robar datos del usuario; implantar ransomware, mineros o troyanos; cifrar datos; o utilizar sus servidores como zombies para realizar ataques DDoS.
Detecte ataques de fuerza bruta en cuentas SSH, RDP, FTP, SQL Server y MySQL.
|
√ |
√ |
√ |
Abnormal logins |
Detecte un comportamiento de inicio de sesión anormal, como el inicio de sesión remoto y los ataques de fuerza bruta. Si se reportan inicios de sesión anormales, sus servidores pueden haber sido intruidos por piratas informáticos.
|
√ |
√ |
√ |
|
Invalid accounts |
Los hackers probablemente pueden descifrar cuentas inseguras en sus servidores y controlar los servidores. HSS comprueba cuentas ocultas sospechosas y cuentas clonadas y genera alarmas en ellas. |
√ |
√ |
√ |
Rutas de acceso de archivo importantes supervisadas
Tipo |
Linux |
---|---|
bin |
/bin/ls /bin/ps /bin/bash /bin/netstat /bin/login /bin/find /bin/lsmod /bin/pidof /bin/lsof /bin/ss |
usr |
/usr/bin/ls /usr/bin/ps /usr/sbin/ps /usr/bin/bash /usr/bin/netstat /usr/sbin/netstat /usr/sbin/rsyslogd /usr/sbin/ifconfig /usr/bin/login /usr/bin/find /usr/sbin/lsmod /usr/sbin/pidof /usr/bin/lsof /usr/sbin/lsof /usr/sbin/tcpd /usr/bin/passwd /usr/bin/top /usr/bin/du /usr/bin/chfn /usr/bin/chsh /usr/bin/killall /usr/bin/ss /usr/sbin/ss /usr/bin/ssh /usr/bin/scp |
sbin |
/sbin/syslog-ng /sbin/rsyslogd /sbin/ifconfig /sbin/lsmod /sbin/pidof |