# 购买并开启主机安全防护 #### 操作场景 企业主机安全是提升主机整体安全性的服务，通过主机管理、风险预防、入侵检测、主动防御、安全运营等功能，可全面识别并管理主机中的信息资产，实时监测主机中的风险并阻止非法入侵行为，帮助企业构建服务器安全体系，降低当前服务器面临的主要安全风险。关于企业主机安全提供的服务器安全防护功能请参见[产品功能](https://support.huaweicloud.com/productdesc-hss2.0/hss_01_0136.html#section2)。 本文以如下配置为例，介绍购买并开启主机安全防护的操作指导。 - 主机：EulerOS 2.9华为云弹性云服务器 - 防护配额： - 计费模式：包年/包月 - 版本规格：专业版 - 数量：1 #### 操作流程 | 操作步骤 | 说明 | |:---|:---| | [准备工作] | 注册华为账号并开通华为云，实名认证，为账户充值，为IAM用户授权以及准备需要防护的云服务器资源。 | | [步骤一：购买防护配额] | 设置主机安全防护的计费模式、版本规格等信息，为目标云服务器购买防护配额。 | | [步骤二：安装Agent] | 为目标云服务器安装Agent。 | | [步骤三：开启防护] | 为目标云服务器开启防护。 | #### 准备工作 1. 在购买主机安全防护之前，请先注册华为账号并开通华为云。具体操作详见[注册华为账号并开通华为云](https://support.huaweicloud.com/usermanual-account/account_id_001.html)、[实名认证](https://support.huaweicloud.com/usermanual-account/zh-cn_topic_0071343161.html)。 如果您已开通华为云并进行实名认证，请忽略此步骤。 2. 请保证账户有足够的资金，以避免购买HSS防护配额失败。具体操作请参见[账户充值](https://support.huaweicloud.com/usermanual-billing/bills-topic_30000002.html)。 3. 若使用IAM用户进行操作，请确保已为IAM用户赋予"HSS FullAccess"权限。具体操作请参见[创建用户并授权使用HSS](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0133.html)。 购买HSS防护配额时，还需要为IAM用户授予"BSS Administrator"和"Tenant Guest"权限。 4. 已准备好用于开启主机安全防护的华为云弹性云服务器。 #### 步骤一：购买防护配额 1. 进入[购买主机安全](https://console.huaweicloud.com/unibuy/?locale=zh-cn#/buy/cloudService/hss)页面。 2. 配置购买参数。 表1购买主机安全参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 区域 | **华北-北京四** | 选择主机所在区域。购买后无法更换区域，请谨慎选择。 | | 计费模式 | **包年/包月** | 选择HSS的计费模式。更多信息，请参见[计费说明](https://support.huaweicloud.com/price-hss2.0/hss_02_0001.html)。 - 包年/包月：按订单的购买周期计费，费用方面比"按需"付费方式更优惠，如果您长期使用，建议包年/包月购买。 - 按需计费：按实际使用的时长计费，以小时为单位，每小时整点结算，不设最低消费标准。 | | 版本规格 | **专业版** | HSS提供基础版、专业版、企业版、旗舰版、网页防篡改版和容器版供您选择，不同版本之间功能有所差异，各版本的功能支持详情，请参见[产品功能](https://support.huaweicloud.com/productdesc-hss2.0/hss_01_0136.html)。 | | 企业项目 | **default** | 仅当使用企业类型的账号购买防护配额时，会显示该参数。 用于按项目统一管理云资源。 | | 标签 | **暂不添加** | 标签用于标识主机安全，方便分类及管理云资源。 | | 自动绑定 | **暂不勾选** | 勾选后，若有新增的主机或容器节点，在首次安装Agent成功但未绑定配额时，将为您自动绑定空闲可用包年/包月配额。 仅自动绑定剩余可用配额，**不会产生新增订单及费用**。 | | 购买时长 | **1个月** | 根据需求选择购买时长，购买周期越长，享受的折扣越大。"按需"计费模式无需配置。 | | 自动续费 | **暂不勾选** | 勾选后，当服务期满时，系统会自动按照购买周期进行续费，"按需"计费模式无需配置。 | | 购买数量 | **1台** | 根据实际的主机数量设置数值。 | 3. 在页面右下角，单击"立即购买"，进入"订单确认"界面。 4. 确认订单无误后，请阅读《主机安全免责声明》并勾选"我已阅读并同意《主机安全免责声明》"。 5. 单击"去支付"，进入付款页面，单击"确定"，完成支付，购买成功。 6. 单击"返回企业主机安全控制台"，返回企业主机安全控制台。 #### 步骤二：安装Agent 1. 在企业主机安全控制台左侧导航栏选择"安装与配置 \> 主机安装与配置"，进入"主机安装与配置"页面。 2. 在页面右上方单击"安装主机安全Agent"，弹出"安装主机安全Agent"对话框。 3. 选择"弹性云服务器ECS安装"，并单击"开始配置"。 4. 选择安装方式，参数说明请参见[表2]。 图1安装Agent ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002207418244.png) 表2安装Agent参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 选择安装模式 | **命令行安装** | - 界面安装：需要您提供服务器账号密码或密钥，用于安装Agent，HSS不会保存您提交的密码文件。使用此方式前需确保同VPC内至少有一台Agent在线的ECS主机，因为安装Agent时会选择同VPC内的主机作为执行机。 - 命令行安装：需要登录服务器执行命令行或脚本，首次安装Agent需采用此方式。 | | 选择服务器所在账号 | **本账号** | - 本账号：指的是服务器和您购买的企业主机安全配额在同一个账号下，您登录该账号获取安装命令或脚本为目标服务器安装Agent。 - 跨账号：指的是服务器和您购买的企业主机安全配额不在同一账号下，您登录A账号获取安装命令或脚本，为B账号下的目标服务器安装Agent，Agent安装成功后，可以在A账号的"资产管理 \> 主机管理"页面查看到目标服务器。 | | 选择服务器操作系统 | **Linux** | 根据服务器的操作系统类型选择。 | | 选择安装数量 | **单台** | 根据需要安装Agent的服务器数量选择。 | 5. （可选）选择需要打通网络安装Agent的服务器，并单击"下一步"。 - 仅"华东二"、"西南-贵阳一"区域，需要执行此操作。执行完成后，HSS会自动在VPCEP为您创建一个终端节点，这将占用一个您的虚拟私有云子网IP。每个虚拟私有云仅会为您创建一个终端节点，以确保服务器和HSS服务端能够正常通信。 - 其他区域，请确保您的服务器已放通安全组出方向100.125.0.0/16网段的10180端口，该端口用于与HSS服务端通信。 6. 根据界面提示，安装Agent。 "华东二"、"西南-贵阳一"区域请等待网络打通完成（即VPCEP创建完成）后执行如下操作。 1. 单击控制台界面"安装主机安全Agent"对话框中![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002207260748.png)复制安装命令。 图2复制安装命令 ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002207420516.png) 2. 以root账号登录服务器，并粘贴执行安装命令。 界面回显如[图 Agent安装完成]所示，表示Agent安装完成。 图3Agent安装完成 ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002242420661.png) 7. 等待5\~10分钟，返回企业主机安全控制台，在"主机安装与配置 \> Agent管理 \> 已安装主机"页面，查看目标服务器Agent状态。 Agent状态显示在线，表示Agent安装成功。 #### 步骤三：开启防护 1. 在企业主机安全控制台左侧导航栏选择"资产管理 \> 主机管理"，进入云服务器列表页面。 2. 在目标服务器所在行的"操作"列，单击"开启防护"。 3. 在"开启防护"弹窗中，选择开启方式。 表3开启防护参数设置 | 参数 | 示例 | 说明 | |:---|:---|:---| | 计费模式 | **包年/包月** | 与[步骤一：购买防护配额]中选择的计费模式保持一致。 | | 版本选择 | **专业版** | 与[步骤一：购买防护配额]中选择的版本规格保持一致。 | | 选择配额 | **随机选择配额** | 选择[步骤一：购买防护配额]中购买的配额。 | 4. 确认信息无误后，请阅读《主机安全免责声明》并勾选"我已阅读并同意《主机安全免责声明》"。 5. 单击"确定"，开启防护。 6. 查看目标服务器的防护状态为"防护中"，表示开启防护成功。 开启防护后，企业主机安全需要2-3分钟向Agent下发防护策略，所有策略下发完成才表示防护成功。如有需要您可以在"资产管理 \> 主机管理"页面，单击服务器名称，进入服务器详情页面，选择"安全运营 \> 策略管理"，查看策略启用状态，均为"已启用"，表示策略下发完成。 图4查看防护状态 ![](https://support.huaweicloud.com/qs-hss2.0/zh-cn_image_0000002123550102.png) #### 相关操作 **开启服务器主动防护功能** 企业主机安全**专业版** 为服务器提供了一些主动防护功能，这些功能在开启主机防护时并未开启或未完全开启，您可以根据自身的业务情况综合考虑是否使用这些功能，需要您自行选择开启的功能及说明如[表4]。 表4服务器主动防护功能说明 | 功能 | 说明 | |:---|:---| | [病毒查杀](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0582.html) | 病毒查杀功能使用特征病毒检测引擎，支持扫描服务器中的病毒文件，扫描文件类型覆盖可执行文件、压缩文件、脚本文件、文档、图片、音视频文件；用户可根据自身需要，自主对服务器执行"快速查杀"、"全盘查杀"、"自定义查杀"扫描任务，并及时处置检测到的病毒文件，增强业务系统的病毒防御能力。 | | [策略管理](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0045.html) | 企业主机安全提供了多个版本，包括基础版、专业版、企业版、旗舰版、网页防篡改版和容器版；除了基础版外，企业主机安全其他每个防护版本都有对应的默认防护策略组；策略组是多个策略的集合，这些策略应用于主机上，用于集中管理和配置企业主机安全检测和防护主机的灵敏度、规则、范围等。如果您在使用企业主机安全过程中，对资产管理、基线检查、入侵检测等检测策略有定制化需求，可以根据业务需求自定义配置策略。策略组中的部分策略未默认启用，您也可以结合自身需求，选择启用。 |