失陷主机
前提条件
已完成黑白名单授权。
背景信息
华为乾坤按照以下顺序判定威胁事件是否为失陷主机。
- 如果是信任域内的主机存在攻击行为，判定为失陷主机。信任域的具体信息请参见配置设备安全域。
- 如果是全局白名单内的IP地址存在攻击行为，判定为失陷主机。全局白名单的具体信息请参见配置全局白名单。
- 如果是在不可信内网地址内的主机存在攻击行为，不判定为失陷主机。不可信内网地址的具体信息请参见配置不可信内网地址。
- 如果是缺省私网网段内的IP地址存在攻击行为，判定为失陷主机。缺省私网网段指10.0.0.0～10.255.255.255、172.16.0.0～172.31.255.555、192.168.0.0～192.168.255.255。
根据失陷类型的不同，安全运营专家可以为失陷主机打上“勒索”、“挖矿”、“蠕虫”、“远控”、“漏洞攻击”、“不安全配置”等标签，暂未识别失陷类型的归入“其他”。
针对失陷主机，华为乾坤向租户发送短信和邮件告警，失陷主机的状态置为“未处置”。租户需要进一步确认和处置，处置方法包括隔离主机和标记状态（已人工处置、忽略）。
USG6000F-C系列天关、USG6000F系列防火墙、USG12000系列防火墙从V600R023C10及之后的版本支持下发域名黑名单功能；USG6000E-C系列天关、USG6000E系列防火墙支持自动下发域名黑名单功能，并且开通如下版本时，才能使用自动下发域名黑名单功能。
- 同时购买边界防护与响应服务标准版+自动阻断
- 边界防护与响应服务试用版
- 边界防护与响应服务高级版
操作步骤
- 登录华为乾坤控制台，选择“
> 我的服务 > 边界防护与响应”。 - 在右上角菜单栏选择“威胁事件”。
- 查看失陷主机概览，并单击数据或“查看更多”进入相应处理页面。
图1 失陷主机概览
- 针对未处置的失陷主机事件执行处置操作，包括以下几种处置方法。
- 隔离主机
当确认此失陷主机上无业务运行，或者隔离后不影响正常业务，此时可在操作列单击“隔离主机”下发IP黑名单。
华为乾坤向天关/防火墙下发IP黑名单后，由天关/防火墙对黑名单IP执行隔离操作，来自黑名单IP的请求和去往黑名单IP的请求都会被阻断。
设备存在绑定热备场景。当两台设备均已成功上线并绑定热备，主设备无法正常工作时，备设备会在短时间内进行替代，完全实现主设备功能。以事件维度进行隔离主机操作时，会对绑定热备的两台设备同时下发IP黑名单，在历史IP黑名单中显示两条记录。
图2 隔离主机
如果失陷主机的处置状态被打上
标记，表示“隔离已解除”。 - 标记状态
- 处置建议中可能包含处置手册下载链接，可供您参考。
- 如果您不知如何处置，或者处置后未能有效解决，请求助对应安全云服务商或渠道商。
- 隔离主机
后续处理
- 您可以单击失陷主机列表中的“录入资产”按钮，将失陷主机录入云平台。
使用IPv6地址的失陷主机不支持录入资产，资产录入的参数说明请参见《租户操作指南》中“资产录入”章节。
对于已录入的资产，您可以单击失陷主机列表中的资产名称，对资产信息进行编辑。
- 您可以单击失陷主机列表中的失陷主机IP，查看此失陷主机详情页面。
图3 失陷主机列表
- 失陷主机详情页面包含处置建议、处置记录、失陷类型分析和关联告警事件列表等信息。
- 您可以单击“导出详情”，导出包含失陷主机详细信息的Word格式文件。
图4 失陷主机详情页面
若租户同时购买智能终端安全服务，并检测到失陷主机存在挖矿行为或感染病毒，可以在详情页面的“处置建议”区域中进行处置。
- 一键隔离：隔离操作将会杀死该主机上的全部挖矿进程，并隔离这些进程文件。
- 病毒查杀：根据查杀结果，手动处理病毒文件（立即终止运行进程并将病毒文件移动到隔离区，或忽略不处置）。
若失陷主机上存在多个挖矿或病毒事件，对单个事件进行处置时，此失陷主机上的其余事件也会被同步处置。处置完成后，所有事件都会被标识为“已人工处置”状态。
导出完成后，请单击右上角帐号，选择“下载”，下载对应文件。
图5 下载中心
- 您可以单击失陷主机详情页面中关联告警事件列表中的事件名称，查看此事件的详情页面。
图6 事件详情页面
失陷主机详情页面可能涉及公网地址，仅用于事件信息展示以帮助用户了解威胁事件，服务不会主动发起与这些公网地址的连接。
- 您可以单击“导出详情”，导出包含失陷主机详细信息的Word格式文件。
