查看策略组
企业主机安全提供灵活的策略管理能力,用户可以根据需要自定义安全检测规则,并可以为不同的主机组、主机、容器节点应用不同的策略,以满足不同应用场景的主机安全需求。
约束限制
需开启专业版、企业版、旗舰版、网页防篡改版、容器版中任一版本。
操作须知
- 开启企业版主机防护时,默认绑定“租户侧企业版策略组”(包含“弱口令检测”和“网站后门检测”策略),应用于全部的云服务器,不需要单独部署策略。
- 开启“旗舰版”或者“网页防篡改赠送旗舰版”后,开启旗舰版/网页防篡改版防护时,默认绑定了“租户侧旗舰版策略组”。
用户也可以通过复制“租户侧旗舰版策略组”的方式,创建自定义策略组,将“租户侧旗舰版策略组”替换为用户的自定义策略组,更加灵活的应用于不同的云服务器或者云服务器组。
策略列表
策略名称 |
策略说明 |
支持的操作系统 |
专业版 |
企业版 |
旗舰版 |
网页防篡改版 |
容器版 |
---|---|---|---|---|---|---|---|
资产发现 |
检测系统中的软件信息,包含软件名称、软件路径、主要应用等,帮助用户识别异常资产。 |
Linux,Windows |
× |
× |
√ |
√ |
√ |
AV检测 |
检测服务器资产,对发现的病毒进行上报、隔离查杀。 检测的告警结果将按照病毒类别在 下的子类别中分别呈现。开启AV检测后资源占用情况如下: CPU资源占用不超过单vCPUs的40%,实际占用情况需根据主机情况而定。 |
Windows |
√ |
√ |
√ |
√ |
× |
配置检测 |
对常见的Tomcat配置、Nginx配置、SSH登录配置进行检查,帮助用户识别不安全的配置项。 |
Linux,Windows |
× |
× |
√ |
√ |
√ |
容器信息收集 |
收集主机中的所有容器相关信息,包括端口、目录等,对存在风险的信息进行告警上报。 |
Linux |
× |
× |
× |
× |
√ |
弱口令检测 |
检测系统账户口令是否属于常用的弱口令,针对弱口令提示用户修改。 |
Linux |
√ |
√ |
√ |
√ |
√ |
集群入侵检测 |
检测容器高权限的变动,在关键信息中的创建及病毒入侵等异常行为。 |
Linux |
× |
× |
× |
× |
√ |
容器逃逸 |
检测容器是否容器逃逸行为,存在容器逃逸行为即进行告警上报。 |
Linux |
× |
× |
× |
× |
√ |
Webshell检测 |
检测云服务器上Web目录中的文件,判断是否为Webshell木马文件。 |
Linux,Windows |
√ |
√ |
√ |
√ |
√ |
容器文件监控 |
检测违反安全策略的文件异常访问,安全运维人员可用于判断是否有黑客入侵并篡改敏感文件。 |
Linux |
× |
× |
× |
× |
√ |
容器进程白名单 |
检测违反安全策略的进程启动。 |
Linux |
× |
× |
× |
× |
√ |
镜像异常行为 |
配置目标黑白名单,自定义权限对异常行为进行忽略或告警上报。 |
Linux |
× |
× |
× |
× |
√ |
HIPS检测 |
主要针对注册表、文件及进程进行检测,对异常变更等操作行为进行告警上报。 |
Windows |
× |
√ |
√ |
√ |
√ |
文件保护 |
检测操作系统、应用程序软件和其他组件的文件,确定文件是否发生了可能遭受攻击的更改。 |
Linux |
√ |
√ |
√ |
√ |
√ |
登录安全检测 |
检测SSH、FTP、MySQL等账户遭受的口令破解攻击。 如果30秒内,账户暴力破解次数(连续输入错误密码)达到5次及以上,HSS就会拦截该源IP,禁止其再次登录,防止主机因账户破解被入侵。 SSH类型攻击默认拦截12小时,其他类型攻击默认拦截24小时。根据账户暴力破解告警详情,如“攻击源IP”、“攻击类型”和“拦截次数”,您能够快速识别出该源IP是否为可信IP,如果为可信IP,您可以通过手动解除拦截的方式,解除拦截的可信IP。 |
Linux,Windows |
√ |
√ |
√ |
√ |
√ |
恶意文件检测 |
|
Linux |
√ |
√ |
√ |
√ |
√ |
端口扫描检测 |
检测用户指定的端口存在被扫描或者嗅探的行为,一旦发现进行告警上报。 |
Linux |
× |
× |
√ |
√ |
√ |
进程异常行为 |
通过对运行进程的管控,全局检测各个主机的运行信息,保障云主机的安全性。您可以建立自己的进程白名单,对于进程的非法行为、黑客入侵过程进行告警。 |
Linux |
√ |
× |
√ |
√ |
√ |
root提权 |
检测当前系统文件路径的root提权行为。 |
Linux |
√ |
√ |
√ |
√ |
√ |
实时进程 |
检测进程中高危命令的执行行为,发生高危命令执行时,触发告警。 |
Linux,Windows |
√ |
√ |
√ |
√ |
√ |
rootkit检测 |
检测服务器资产,对可疑的内核模块和可疑的文件或文件夹进行告警上报。 |
Linux |
√ |
√ |
√ |
√ |
√ |
自保护 |
保护企业主机安全的文件、进程、软件,防止恶意程序卸载企业主机安全Agent、篡改企业主机安全文件或停止企业主机安全进程。
|
Windows |
× |
× |
√ |
√ |
× |
查看策略组列表
- 登录管理控制台。
- 在页面左上角单击,选择“区域”,选择“安全 > 企业主机安全”,进入“企业主机安全”页面。
- 在左侧导航栏,选择“策略管理”界面,查看显示的策略组,字段说明如表1所示。
,进入
- tenant_linux_advanced_default_policy_group:专业版linux系统预置策略,仅可被查看,不可复制和删除。
- tenant_windows_advanced_default_policy_group:专业版windows系统预置策略,仅可被查看,不可被复制和删除。
- tenant_linux_container_default_policy_group:容器版linux系统预置策略,可通过复制该策略组来创建新的策略组。tenant_linux_enterprise_default_policy_group:企业版linux系统预置策略,仅可被查看,不可被复制和删除。
- tenant_windows_enterprise_default_policy_group:企业版windows系统预置策略,仅可被查看,不可被复制和删除。
- tenant_linux_premium_default_policy_group:旗舰版linux系统预置策略,可通过复制该策略组来创建新的策略组。
- tenant_windows_premium_default_policy_group:旗舰版windows系统预置策略,可通过复制该策略组来创建新的策略组。
- 可在列表右上角单击,手动刷新当前列表。
- 可单击关联服务器数的数量,查看策略组关联的服务器。
- 单击策略组名称,进入查看策略组详情界面,可以查看该策略组的策略列表,包括策略名称、状态、功能类别和支持的操作系统。
- “租户侧企业版策略组”中的所有策略默均为“已启用”状态。
- 若您不需要执行其中一项策略的检测,您可以在策略所在行的“操作”列单击“关闭”,关闭该策略项的检测。请根据您的需要“开启”或者“关闭”策略的检测。
- 单击策略名称,可以查看策略的详情。
若需要修改或配置策略,请参见编辑策略内容。