文档首页/ 主机安全服务 HSS/ 用户指南（安卡拉区域）/ 安全运营/ 策略管理/ 查看策略组
更新时间：2024-04-15 GMT+08:00
查看PDF

查看策略组

企业主机安全提供灵活的策略管理能力，用户可以根据需要自定义安全检测规则，并可以为不同的主机组、主机、容器节点应用不同的策略，以满足不同应用场景的主机安全需求。

约束限制

需开启企业版、旗舰版、网页防篡改版、容器版中任一版本。

操作须知

  • 开启企业版主机防护时，默认绑定“租户侧企业版策略组”（包含“弱口令检测”和“网站后门检测”策略），应用于全部的云服务器，不需要单独部署策略。
  • 开启“旗舰版”或者“网页防篡改赠送旗舰版”后，开启旗舰版/网页防篡改版防护时，默认绑定了“租户侧旗舰版策略组”。

    用户也可以通过复制“租户侧旗舰版策略组”的方式，创建自定义策略组，将“租户侧旗舰版策略组”替换为用户的自定义策略组，更加灵活的应用于不同的云服务器或者云服务器组。

策略列表

策略名称

策略说明

支持的操作系统

企业版

旗舰版

网页防篡改版

容器版

资产发现

检测系统中的软件信息，包含软件名称、软件路径、主要应用等，帮助用户识别异常资产。

Linux，Windows

×

√

√

√

AV检测

检测服务器资产，对发现的病毒进行上报、隔离查杀。

检测的告警结果将按照病毒类别在“入侵检测 > 安全告警事件 > 主机安全告警 > 事件类型 > 恶意软件”下的子类别中分别呈现。

开启AV检测后资源占用情况如下：

CPU资源占用不超过单vCPUs的40%，实际占用情况需根据主机情况而定。

Windows

√

√

√

×

配置检测

对常见的Tomcat配置、Nginx配置、SSH登录配置进行检查，帮助用户识别不安全的配置项。

Linux，Windows

×

√

√

√

容器信息收集

收集主机中的所有容器相关信息，包括端口、目录等，对存在风险的信息进行告警上报。

Linux

×

×

×

√

弱口令检测

检测系统账户口令是否属于常用的弱口令，针对弱口令提示用户修改。

Linux

√

√

√

√

集群入侵检测

检测容器高权限的变动，在关键信息中的创建及病毒入侵等异常行为。

Linux

×

×

×

√

容器逃逸

检测容器是否容器逃逸行为，存在容器逃逸行为即进行告警上报。

Linux

×

×

×

√

Webshell检测

检测云服务器上Web目录中的文件，判断是否为Webshell木马文件。

Linux，Windows

√

√

√

√

容器文件监控

检测违反安全策略的文件异常访问，安全运维人员可用于判断是否有黑客入侵并篡改敏感文件。

Linux

×

×

×

√

容器进程白名单

检测违反安全策略的进程启动。

Linux

×

×

×

√

镜像异常行为

配置目标黑白名单，自定义权限对异常行为进行忽略或告警上报。

Linux

×

×

×

√

HIPS检测

主要针对注册表、文件及进程进行检测，对异常变更等操作行为进行告警上报。

Windows

√

√

√

√

文件保护

检测操作系统、应用程序软件和其他组件的文件，确定文件是否发生了可能遭受攻击的更改。

Linux

√

√

√

√

登录安全检测

检测SSH、FTP、MySQL等账户遭受的口令破解攻击。

如果30秒内，账户暴力破解次数（连续输入错误密码）达到5次及以上，HSS就会拦截该源IP，禁止其再次登录，防止主机因账户破解被入侵。

SSH类型攻击默认拦截12小时，其他类型攻击默认拦截24小时。根据账户暴力破解告警详情，如“攻击源IP”、“攻击类型”和“拦截次数”，您能够快速识别出该源IP是否为可信IP，如果为可信IP，您可以通过手动解除拦截的方式，解除拦截的可信IP。

Linux，Windows

√

√

√

√

恶意文件检测
  • 反弹shell：实时监控用户的进程行为，可及时发现并阻断进程的非法Shell连接操作产生的反弹Shell行为。
  • 异常shell：检测系统中异常Shell的获取行为，包括对Shell文件的修改、删除、移动、复制、硬链接、访问权限变化。

Linux

√

√

√

√

端口扫描检测

检测用户指定的端口存在被扫描或者嗅探的行为，一旦发现进行告警上报。

Linux

×

√

√

√

进程异常行为

通过对运行进程的管控，全局检测各个主机的运行信息，保障云主机的安全性。您可以建立自己的进程白名单，对于进程的非法行为、黑客入侵过程进行告警。

Linux

×

√

√

√

root提权

检测当前系统文件路径的root提权行为。

Linux

√

√

√

√

实时进程

检测进程中高危命令的执行行为，发生高危命令执行时，触发告警。

Linux，Windows

√

√

√

√

rootkit检测

检测服务器资产，对可疑的内核模块和可疑的文件或文件夹进行告警上报。

Linux

√

√

√

√

自保护

保护企业主机安全的文件、进程、软件，防止恶意程序卸载企业主机安全Agent、篡改企业主机安全文件或停止企业主机安全进程。

  • 自保护功能依赖AV检测、HIPS检测或者勒索病毒防护功能使能驱动才能生效，只有这三个功能开启一个以上时，开启自保护才会生效。
  • 开启自保护策略后的影响如下：
    • 企业主机安全的Agent不支持通过主机的控制面板卸载，支持通过企业主机安全控制台卸载。
    • 企业主机安全的进程无法被终止。
    • Agent安装路径C:\Program Files\HostGuard下除了log目录、data目录（如果Agent升级过，再加上upgrade目录）外的其他目录无法访问。

Windows

×

√

√

×

查看策略组列表

  1. 登录管理控制台。
  2. 在页面左上角单击，选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。
  3. 在左侧导航栏，选择“安全运营 > 策略管理”，进入“策略管理”界面，查看显示的策略组，字段说明如表1所示。

    • tenant_linux_container_default_policy_group：容器版linux系统预置策略，仅可被查看，不可复制和删除。
    • tenant_linux_enterprise_default_policy_group：企业版linux系统预置策略，仅可被查看，不可被复制和删除。
    • tenant_windows_enterprise_default_policy_group：企业版windows系统预置策略，仅可被查看，不可被复制和删除。
    • tenant_linux_premium_default_policy_group：旗舰版linux系统预置策略，可通过复制该策略组来创建新的策略组。
    • tenant_windows_premium_default_policy_group：旗舰版windows系统预置策略，可通过复制该策略组来创建新的策略组。
    • wtp_主机名称：网页防篡改版策略，每台主机开启网页防篡改防护时都会默认生成对应的网页防篡改策略组。
    • 可在列表右上角单击，手动刷新当前列表。
    • 可单击关联服务器数的数量，查看策略组关联的服务器。
    表1 策略组列表字段说明

    字段

    说明

    策略组名称

    策略组的名称。

    ID

    策略组的ID号，对策略组的唯一标识。

    描述

    对策略组的描述。

    支持的版本

    策略组支持的企业主机安全的版本。

    支持的操作系统

    策略支持的操作系统类型。

    关联服务器数

    策略关联的服务器数。

  4. 单击策略组名称，进入查看策略组详情界面，可以查看该策略组的策略列表，包括策略名称、状态、功能类别和支持的操作系统。

    • “租户侧企业版策略组”中的所有策略默均为“已启用”状态。
    • 若您不需要执行其中一项策略的检测，您可以在策略所在行的“操作”列单击“关闭”，关闭该策略项的检测。请根据您的需要“开启”或者“关闭”策略的检测。

  5. 单击策略名称，可以查看策略的详情。

    若需要修改或配置策略，请参见编辑策略内容。

父主题： 策略管理