# 购买并开启容器安全防护 #### 操作场景 节点是容器集群组成的基本元素，企业主机安全容器版以节点为防护单元，提供容器防火墙、容器集群防护、容器镜像安全扫描等功能，可帮助企业解决传统安全软件无法感知的容器环境问题。关于企业主机安全容器版提供安全防护功能请参见[产品功能](https://support.huaweicloud.com/productdesc-hss2.0/hss_01_0136.html#section2)。 本文以如下配置为例，介绍购买并开启容器安全防护的操作指导。 - 容器节点：EulerOS 2.9华为云弹性云服务器 - 防护配额： - 计费模式：包年/包月 - 版本规格：容器版 - 数量：1 #### 操作流程 | 操作步骤 | 说明 | |:---|:---| | [准备工作] | 注册华为账号并开通华为云，实名认证，为账户充值，为IAM用户授权以及准备需要防护的容器节点资源。 | | [步骤一：购买防护配额] | 设置容器安全防护的计费模式、版本规格等信息，为目标容器节点购买防护配额。 | | [步骤二：安装Agent] | 为目标容器节点安装Agent。 | | [步骤三：开启防护] | 为目标容器节点开启防护。 | #### 准备工作 1. 在购买容器安全防护之前，请先注册华为账号并开通华为云。具体操作详见[注册华为账号并开通华为云](https://support.huaweicloud.com/usermanual-account/account_id_001.html)、[实名认证](https://support.huaweicloud.com/usermanual-account/zh-cn_topic_0071343161.html)。 如果您已开通华为云并进行实名认证，请忽略此步骤。 2. 请保证账户有足够的资金，以避免购买HSS防护配额失败。具体操作请参见[账户充值](https://support.huaweicloud.com/usermanual-billing/bills-topic_30000002.html)。 3. 若使用IAM用户进行操作，请确保已为IAM用户赋予"HSS FullAccess"权限。具体操作请参见[创建用户并授权使用HSS](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0133.html)。 购买HSS防护配额时，还需要为IAM用户授予"BSS Administrator"和"Tenant Guest"权限。 4. 已准备好用于开启容器安全防护的华为云容器节点。 #### 步骤一：购买防护配额 1. 进入[购买主机安全](https://console.huaweicloud.com/unibuy/?locale=zh-cn#/buy/cloudService/hss)页面。 2. 配置购买参数。 表1购买主机安全参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 区域 | **华北-北京四** | 选择容器节点所在区域。购买后无法更换区域，请谨慎选择。 | | 计费模式 | **包年/包月** | 选择HSS的计费模式。更多信息，请参见[计费说明](https://support.huaweicloud.com/price-hss2.0/hss_02_0001.html)。 - 包年/包月：按订单的购买周期计费，费用方面比"按需"付费方式更优惠，如果您长期使用，建议包年/包月购买。 - 按需计费：按实际使用的时长计费，以小时为单位，每小时整点结算，不设最低消费标准。 | | 版本规格 | **容器版** | HSS提供基础版、专业版、企业版、旗舰版、网页防篡改版和容器版供您选择，不同版本之间功能有所差异，各版本的功能支持详情，请参见[产品功能](https://support.huaweicloud.com/productdesc-hss2.0/hss_01_0136.html)。 | | 企业项目 | **default** | 仅当使用企业类型的账号购买防护配额时，会显示该参数。 用于按项目统一管理云资源。 | | 标签 | **暂不添加** | 标签用于标识容器安全，方便分类及管理云资源。 | | 自动绑定 | **暂不勾选** | 勾选后，若有新增的主机或容器节点，在首次安装Agent成功但未绑定配额时，将为您自动绑定空闲可用包年/包月配额。 仅自动绑定剩余可用配额，**不会产生新增订单及费用**。 | | 购买时长 | **1个月** | 根据需求选择购买时长，购买周期越长，享受的折扣越大。"按需"计费模式无需配置。 | | 自动续费 | **暂不勾选** | 勾选后，当服务期满时，系统会自动按照购买周期进行续费，"按需"计费模式无需配置。 | | 购买数量 | **1台** | 根据实际的容器节点数量设置数值。 | 3. 在页面右下角，单击"立即购买"，进入"订单确认"界面。 4. 确认订单无误后，请阅读《主机安全免责声明》并勾选"我已阅读并同意《主机安全免责声明》"。 5. 单击"去支付"，进入付款页面，单击"确定"，完成支付，购买成功。 6. 单击"返回企业主机安全控制台"，返回企业主机安全控制台。 #### 步骤二：安装Agent 1. 在企业主机安全控制台左侧导航栏选择"安装与配置 \> 主机安装与配置"，进入"主机安装与配置"页面。 2. 在页面右上方单击"安装主机安全Agent"，弹出"安装主机安全Agent"对话框。 3. 选择"弹性云服务器ECS安装"，并单击"开始配置"。 4. 选择安装方式，参数说明请参见[表2]。 图1安装Agent ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002207418244.png) 表2安装Agent参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 选择安装模式 | **命令行安装** | - 界面安装：需要您提供服务器账号密码或密钥，用于安装Agent，HSS不会保存您提交的密码文件。使用此方式前需确保同VPC内至少有一台Agent在线的ECS主机，因为安装Agent时会选择同VPC内的主机作为执行机。 - 命令行安装：需要登录服务器执行命令行或脚本，首次安装Agent需采用此方式。 | | 选择服务器所在账号 | **本账号** | - 本账号：指的是服务器和您购买的企业主机安全配额在同一个账号下，您登录该账号获取安装命令或脚本为目标服务器安装Agent。 - 跨账号：指的是服务器和您购买的企业主机安全配额不在同一账号下，您登录A账号获取安装命令或脚本，为B账号下的目标服务器安装Agent，Agent安装成功后，可以在A账号的"资产管理 \> 主机管理"页面查看到目标服务器。 | | 选择服务器操作系统 | **Linux** | 根据服务器的操作系统类型选择。 | | 选择安装数量 | **单台** | 根据需要安装Agent的服务器数量选择。 | 5. （可选）选择需要打通网络安装Agent的服务器，并单击"下一步"。 - 仅"华东二"、"西南-贵阳一"区域，需要执行此操作。执行完成后，HSS会自动在VPCEP为您创建一个终端节点，这将占用一个您的虚拟私有云子网IP。每个虚拟私有云仅会为您创建一个终端节点，以确保服务器和HSS服务端能够正常通信。 - 其他区域，请确保您的服务器已放通安全组出方向100.125.0.0/16网段的10180端口，该端口用于与HSS服务端通信。 6. 根据界面提示，安装Agent。 "华东二"、"西南-贵阳一"区域请等待网络打通完成（即VPCEP创建完成）后执行如下操作。 1. 单击控制台界面"安装主机安全Agent"对话框中![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002207260748.png)复制安装命令。 图2复制安装命令 ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002207420516.png) 2. 以root账号登录服务器，并粘贴执行安装命令。 界面回显如[图 Agent安装完成]所示，表示Agent安装完成。 图3Agent安装完成 ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002242420661.png) 7. 等待5\~10分钟，返回企业主机安全控制台，在"主机安装与配置 \> Agent管理 \> 已安装主机"页面，查看目标服务器Agent状态。 Agent状态显示在线，表示Agent安装成功。 #### 步骤三：开启防护 1. 在企业主机安全控制台左侧导航栏选择"资产管理 \> 容器管理"，进入容器管理页面。 2. 在目标服务器所在行的"操作"列，单击"开启防护"。 3. 在"开启防护"弹窗中，选择开启方式。 表3开启防护参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 计费模式 | **包年/包月** | 与[步骤一：购买防护配额]中选择的计费模式保持一致。 | | 版本选择 | **容器版** | 与[步骤一：购买防护配额]中选择的版本规格保持一致。 | | 选择配额 | **709440b9-0d6c-407e-a51c-ac7169beada9** | 选择[步骤一：购买防护配额]中购买的配额。 | 4. 确认信息无误后，请阅读《容器安全服务免责声明》并勾选"我已阅读并同意《容器安全服务免责声明》"。 5. 单击"确定"，开启防护。 6. 查看目标服务器的防护状态为"防护中"，表示开启防护成功。 开启防护后，企业主机安全需要2-3分钟向Agent下发防护策略，所有策略下发完成才表示防护成功。如有需要您可以在"资产管理 \> 主机管理"页面，单击服务器名称，进入服务器详情页面，选择"安全运营 \> 策略管理"，查看策略启用状态，均为"已启用"，表示策略下发完成。 图4查看防护状态 ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000001775375146.png) #### 相关操作 **开启容器节点服务器防护功能** 企业主机安全**容器版** 为服务器提供了一些主动防护功能，这些功能在开启容器安全防护时并未开启或未完全开启，您可以根据自身的业务情况综合考虑是否使用这些功能，需要您自行选择开启的功能及说明如[表4]。 表4容器节点防护功能说明 | 功能 | 说明 | |:---|:---| | [容器镜像安全扫描](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0297.html) | 容器镜像安全扫描功能能够扫描镜像中的漏洞、恶意文件等信息，建议您定期扫描，以便您能及时处理镜像安全风险。 | | [勒索病毒防护](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0348.html) | 勒索病毒入侵主机后，会对主机数据进行加密勒索，导致主机业务中断、数据泄露或丢失，主机所有者即使支付赎金也可能难以挽回所有损失，因此勒索病毒是当今网络安全面临的最大挑战之一。企业主机安全支持静态、动态勒索病毒防护，定期备份主机数据，可以帮助您抵御勒索病毒，降低业务损失风险。 开启容器版防护会自动为您开启勒索病毒防护，在您的主机上部署诱饵文件，并对可疑加密程序执行自动隔离。您可以修改勒索病毒防护策略，同时建议您开启勒索备份以提升勒索事后恢复能力。 | | [应用防护](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0389.html) | 应用防护功能旨在为运行时的应用提供安全防御。您无需修改应用程序文件，只需将探针注入到应用程序，即可为应用提供强大的安全防护能力。 | | [应用进程控制](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0531.html) | 应用进程控制功能支持管控应用进程运行，通过学习服务器中运行的应用进程特征，将应用进程划分为可信进程、恶意进程和可疑进程，允许可疑、可信进程正常运行，对恶意进程运行进行告警，帮助用户构建安全的应用进程运行环境，避免服务器遭受不受信或恶意应用进程的破坏。 | | [病毒查杀](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0582.html) | 病毒查杀功能使用特征病毒检测引擎，支持扫描服务器中的病毒文件，扫描文件类型覆盖可执行文件、压缩文件、脚本文件、文档、图片、音视频文件；用户可根据自身需要，自主对服务器执行"快速查杀"、"全盘查杀"、"自定义查杀"扫描任务，并及时处置检测到的病毒文件，增强业务系统的病毒防御能力。 | | [容器集群防护](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0537.html) | 容器集群防护功能支持在容器镜像启动时检测其中存在的不合规基线、漏洞和恶意文件，并可根据检测结果告警和阻断未授权或含高危安全风险的容器镜像运行。 用户可根据自身业务场景灵活配置容器集群防护策略，加固集群安全防线，防止含有漏洞、恶意文件和不合规基线等安全威胁的镜像部署到集群，降低容器生产环境的安全风险。 | | [容器防火墙](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0498.html) | 容器防火墙是一种为容器环境提供的防火墙服务，支持对容器集群内部与外部的网络流量进行控制和拦截，防止恶意访问和攻击。 | | [策略管理](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0045.html) | 企业主机安全提供了多个版本，包括基础版、专业版、企业版、旗舰版、网页防篡改版和容器版；除了基础版外，企业主机安全其他每个防护版本都有对应的默认防护策略组；策略组是多个策略的集合，这些策略应用于容器节点上，用于集中管理和配置企业主机安全检测和防护容器节点的灵敏度、规则、范围等。如果您在使用企业主机安全过程中，对资产管理、基线检查、入侵检测等检测策略有定制化需求，可以根据业务需求自定义配置策略。策略组中的部分策略未默认启用，您也可以结合自身需求，选择启用。 |