# 查看并处理基线检查结果 #### 操作场景 当基线检查功能检测到并提示您服务器上存在的基线配置风险、弱口令以及口令复杂度策略风险时，请及时查看并处理基线配置风险为您的服务器进行安全加固。 当服务器配置了多条基线检查策略时，系统将仅展示最近一次执行的基线检查结果。 #### 约束限制 仅企业主机安全企业版、旗舰版、网页防篡改版和容器版支持基线配置检查。 #### 检测说明 Linux系统的MySQL基线检测基于MySQL5安全配置规范指导，如果您主机上装有版本号为8的MySQL软件，以下检查项因已废弃不会出现在检测结果中，只在MySQL版本为5的服务器中呈现检测结果。 - 规则：old_passwords不能设置为 1 - 规则：secure_auth设置为1或ON - 规则：禁止设置skip_secure_auth - 规则：设置log_warnings为2 - 规则：配置MySQL binlog日志清理策略 - 规则：sql_mode参数包含NO_AUTO_CREATE_USER - 规则：使用MySQL审计插件 #### 查看基线检查概览信息 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 在左侧导航树中，选择"风险预防 \> 基线检查"，进入基线检查页面。 4. （可选）如果您已开通企业项目，可在页面上方"企业项目"下拉框中选择企业项目，查看目标企业项目下的相关信息和数据。 5. 在"基线检查"页面，查看检测数据统计，相关参数说明请参见表。 如果您想查看不同的基线检查策略下服务器的检查数据统计，您可以通过切换"基线检查策略"进行查看。 图1基线检查 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002396857680.png "点击放大") 表1基线检查概览 | 参数名称 | 参数说明 | |:---|:---| | 基线检查策略 | 单击页面左上角![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002409116949.png)，可以选择要查看的基线策略检测结果。 | | 检测主机数 | 已检测的主机总数。 | | 基线检查通过率 | 未通过检查项数量占已检查项的比例。 | | 未通过检查项/已检查项 | 未通过检查项数量和已检查项总数。 | | 未通过主机/主机总数 | 未通过主机数量和主机总数量。 | | xx条策略 | 表示当前已创建的基线检查策略数量。 | | 主机配置基线通过率 | 按基线类型分别统计已通过的配置检查项占总检查项的比例。 | | 基线风险统计 | 统计未通过的检查项总数以及对应高、中、低危分布。 | | 主机弱口令检测统计 | 统计所有主机的弱口令检测情况，包括有弱口令、未开启检测、无弱口令的主机数。 | | 主机配置风险TOP5 | 展示高危且风险总数最多的前5台主机，如果不存在高危，则依次为中危、低危。 | | 基线配置风险 | 以"检查项"和"基线"两种维度统计资产存在的配置风险，并提供修改建议。 | | 口令复杂度策略风险 | 统计口令复杂度策略不满足基线标准的资产，并提供修改建议。 | | 经典弱口令风险 | 统计资产存在的弱口令账号信息，并提供修改建议 | #### 查看并处理基线配置风险 基线配置风险提供"检查项视图"和"基线视图"两种视图，方便用户根据使用习惯高效处理风险。 - [在检查项视图查看并处理基线配置风险] 1. 选择"基线配置风险 \> 检查项视图"，进入检查项视图。 图2基线配置风险 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002375648258.png "点击放大") 表2检查项参数说明 | 参数名称 | 参数说明 | |:---|:---| | 检查类型 | 检查项所属类型。 | | 检查项 | 检查项名称。 | | 风险等级 | 检查项所属风险等级。 | | 所属基线 | 检查项所属基线。 | | 基线分类 | 检查项所属基线分类。 | | 影响服务器数 | 检查未通过的服务器数量。单击数值，可查看检查项详细描述、修改建议、影响服务器详细信息。 | | 状态 | 检查项处理状态。包括： - 已通过：该检查项的所有主机都已通过检查。 - 未通过：该检查项中至少存在一台主机的状态为"未通过"、"修复中"、"验证中"或"修复失败"。 - 已处理：该检查项中的所有主机状态均为"已通过"、"已忽略"或"已加白"，并且至少有一台主机的状态为"已忽略"或"已加白"。 | | 最近检测时间 | 最近一次检查的时间。 | 2. 在状态栏选择"未通过"，筛选出未通过的检查项。 3. 在目标检查项所在行的"操作"列，单击"详情"，进入检查项详情页面，查看检查项详细描述、修改建议、影响服务器详细信息。 4. 结合上述步骤得到的信息，您可以选择以下方式处理检查未通过的服务器。 - **忽略检查结果** 忽略后的检查项结果将一直展示在已处理列表中，且再次执行检查时，将不会告警。 1. 返回检查项列表，在目标检查项"操作"列单击"更多 \> 忽略"，忽略检查项。或者勾选多个目标检查项前的选框，单击上方出现的"忽略"按钮，进行批量忽略。 您也可以进入检查项详情页面，忽略部分服务器。 2. 在系统弹出的对话框中，单击"确认"，完成忽略。 3. 您可以在检查项列表上方，选择"已处理"，查看已处理列表，在已处理列表中，单击"详情"，可查看该检查项不通过的服务器处理状态。 - **修复检查未通过的服务器** **配置** 1. 根据检查项详情页面的"修改建议"，修复所有受影响服务器中的异常配置。 ![](https://support.huaweicloud.com/usermanual-hss2.0/public_sys-resources/note_3.0-zh-cn.png) - 目前部分EulerOS、CentOS 8、HCE2.0基线已支持一键修复，单击"修复"，可直接修复异常配置，部分检查项修复时需填写参数值，保持默认值即可。 - 建议您及时优先修复"威胁等级"为"高危"的关键配置，根据业务实际情况修复威胁等级为"中危"或"低危"的关键配置。 2. 修改完成后，单击"验证"，验证受影响服务器的异常配置修复结果。 3. 如果目标检查项已做修复处理，您可通过验证来更新目标检查项状态。验证限制如下： - Windows暂不支持基线验证。 - 目标主机Agent状态必须为在线。 - 单次只能执行一条风险项验证，其他风险项需要等正在验证的风险项验证完成才能继续验证。 - Linux支持验证的基线：Apache2、Docker、MongoDB、Redis、MySQL5、Nginx、Tomcat、SSH、vsftp、CentOS7、CentOS8、EulerOS、Debian9、Debian10、Debian11、Red Hat6、Red Hat7、Red Hat8、Ubuntu12、Ubuntu14、Ubuntu16、Ubuntu18、Suse 12、Suse 15、HCE1.1、HCE2.0。 4. 单击"确定"，开始验证。 5. 在检查项详情页面，查看每台受影响服务器的状态。 "状态"变更为"验证中"，系统开始自动验证，验证结束后查看"状态"的变化。如果状态为"已通过"，表示修复成功。 - **加白检查结果** 加白后的检查结果，将一直展示在白名单管理列表中，且再次检查时，不会对加白的服务器执行该项检查。 1. 在目标检查项"操作"列单击"加白名单"，加白检查项。或者勾选多个目标检查项前的选框，单击列表上方出现的"加白名单"按钮，进行批量加白处理。 您也可以进入检查项详情页面，加白部分服务器。 2. 在系统弹出的"加白名单"页面，确认要加白的服务器信息是否正确、确认是否勾选全局加白以及添加备注信息。 如果您想要加白的检查项全局生效，即所有服务器均不检测该检查项，可勾选全局加白。 3. 单击"确定"，完成加白。 您可以返回基线检查界面，在右上方单击"基线白名单管理"，查看加白的检查项。管理白名单操作请参见[管理基线白名单](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0750.html)。 - [在基线视图查看并处理基线配置风险] 1. 选择"基线配置风险"页签，查看资产存在的基线配置风险，参数说明如[表3]所示。 图3查看基线配置风险 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002375507436.png "点击放大") 表3基线配置风险参数说明 | 参数名称 | 参数说明 | |:---|:---| | 基线名称 | 基线名称。 | | 风险等级 | 按照基线标准匹配检测结果划分的等级。 - 高危 - 低危 - 中危 - 无风险 | | 基线分类 | 基线所属分类。 - 云安全实践 - 等保合规 - 通用安全标准 | | 未通过检查项/已检查项 | 检查未通过项数量和累计检查的检查项总数。 | | 扫描主机总数 | 目标基线所扫描的服务器总数。 | | 最新检测时间 | 最近一次检测的时间。 | | 描述 | 目标基线的描述说明。 | 2. 单击列表中目标基线名称，查看所有检查项详情和主机检测结果。 图4查看基线检查详情 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002409147985.png "点击放大") 3. 对于状态未通过的检查项，可选择以下方式进行处理。 - **忽略检查结果** 忽略后的检查结果，状态会变更为已处理，且再次检查时，将不会再告警。 1. 在目标检查项"操作"列单击"更多 \> 忽略"，忽略该检查项的检查结果。或者勾选多个目标检查项前的选框，单击上方出现的"忽略"按钮，进行批量忽略处理。 您也可以单击"详情"，进入详情页面，忽略部分服务器。 2. 在系统弹出的对话框中，单击"确认"，完成忽略。 - **修复检查未通过的服务器** **配置** 1. 单击目标检查项"操作"列的"详情"，查看检查项详情。 2. 查看检查项详细描述、修改建议、影响服务器，根据"修改建议"修复所有受影响服务器中的异常配置。 ![](https://support.huaweicloud.com/usermanual-hss2.0/public_sys-resources/note_3.0-zh-cn.png) - 目前部分EulerOS、CentOS 8、HCE2.0基线已支持一键修复，您单击目标服务器"操作"列的"修复"，可直接修复服务器配置，部分检查项修复时需填写参数值，保持默认值即可。 - 建议您及时优先修复"威胁等级"为"高危"的关键配置，根据业务实际情况修复威胁等级为"中危"或"低危"的关键配置。 3. 修复完成后，单击"验证"，验证受影响服务器的异常信息修复结果。 如果目标检查项已做修复处理，您可通过验证来更新目标检查项状态。验证限制如下： - Windows暂不支持基线验证。 - 目标主机Agent状态必须为在线。 - 单次只能执行一条风险项验证，其他风险项需要等正在验证的风险项验证完成才能继续验证。 - Linux支持验证的基线：Apache2、Docker、MongoDB、Redis、MySQL5、Nginx、Tomcat、SSH、vsftp、CentOS7、CentOS8、EulerOS、Debian9、Debian10、Debian11、Red Hat6、Red Hat7、Red Hat8、Ubuntu12、Ubuntu14、Ubuntu16、Ubuntu18、Suse 12、Suse 15、HCE1.1、HCE2.0。 4. 单击"确定"，开始验证。 5. 在检查项详情页面，查看目标风险项的状态。 "状态"变更为"验证中"，系统开始自动验证，验证结束后查看"状态"的变化。如果状态为"已通过"，表示修复成功。 - **加白检查结果** 加白后的检查结果，将一直展示在白名单管理列表中，且再次检查时，不会对加白的服务器执行该项检查。 1. 在目标检查项"操作"列单击"加白名单"，加白检查项。或者勾选多个目标检查项前的选框，单击列表上方出现的"加白名单"按钮，进行批量加白处理。 您也可以进入检查项详情页面，加白部分服务器。 2. 在系统弹出的"加白名单"页面，确认要加白的服务器信息是否正确、确认是否勾选全局加白以及添加备注信息。 如果您想要加白的检查项全局生效，即所有服务器均不检测该检查项，可勾选全局加白。 3. 单击"确定"，完成加白。 您可以返回基线检查界面，在右上方单击"基线白名单管理"，查看加白的检查项。管理白名单操作请参见[管理基线白名单](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0750.html)。 #### 查看并处理口令复杂度策略风险 1. 选择"口令复杂度策略风险"页签，查看口令复杂度策略检测的风险统计项及修改建议，参数说明如[表4]所示。 图5查看口令复杂度策略风险 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002323839164.png "点击放大") 表4口令复杂度策略风险参数说明 | 参数名称 | 参数说明 | |:---|:---| | 服务器名称/ID | 被检测服务器的名称和ID。 | | IP地址 | 被检测服务器的公网和私网IP。 | | 口令复杂度策略风险 | 服务器当前设置的口令复杂度策略存在的不满足项。 | | 最新检测时间 | 最近一次执行口令复杂度策略检测的时间。 | | 建议 | 口令复杂度策略风险的修改建议。 | 2. 处理口令复杂度策略检测结果。 - **修改口令复杂度策略** 1. 根据检测结果中给出的"建议"，修改主机中的口令复杂度策略。 - 如需监测Linux主机中的口令复杂度策略，请先在主机中安装PAM（Pluggable Authentication Modules），详细操作请参见[如何为Linux主机安装PAM？](https://support.huaweicloud.com/hss2.0_faq/hss_01_0043.html) - 修改Linux主机中口令复杂度策略的详细操作请参见[如何在Linux主机上设置口令复杂度策略？](https://support.huaweicloud.com/hss2.0_faq/hss_01_0043.html#section1) - 修改Windows主机中口令复杂度策略的详细操作请参见[如何在Windows主机上设置口令复杂度策略？](https://support.huaweicloud.com/hss2.0_faq/hss_01_0095.html) 2. 修改完成后，单击"基线检查"页面上方的"手动检测"，查看修复结果。 如果您未进行手动验证，HSS会在次日凌晨执行自动验证。 - **忽略** **口令复杂度策略检测结果** 忽略后的检测结果可以在"已忽略"页签查看。 - 单条忽略 在目标服务器检测结果所在行的"操作"列，单击"忽略"。 - 批量忽略 勾选目标检测结果，单击列表左上方的"忽略"。批量忽略单次最多支持忽略200条检测结果。 图6忽略多条检测结果 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002323841208.png "点击放大") - 全量忽略 直接单击列表左上方的"忽略"。全量忽略单次最多支持忽略1000条检测结果，如果您需要忽略的口令复杂度策略检测结果较多，请分批忽略。 图7忽略全量检测结果 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002357760345.png "点击放大") #### 查看并处理经典弱口令风险 1. 选择"经典弱口令风险"页签，查看服务器中存在风险的弱口令账号的统计，参数说明如[表5]所示。 图8查看经典弱口令风险 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002357601277.png "点击放大") 表5经典弱口令风险参数说明 | 参数名称 | 参数说明 | |:---|:---| | 账号类型 | 账号的类型。 | | 账号名称 | 目标服务器中被检测出是弱口令的账号。 | | 脱敏弱口令 | 经过脱敏处理后展示的弱口令。以下是弱口令脱敏展示规则： - "\*\*\*\*\*\*\*\*"表示口令长度小于8。 - "\*\*\*a\*\*\*\*"表示口令只包含小写字母。 - "\*\*\*B\*\*\*"表示口令只包含大写字母。 - "\*\*a\*\*B\*\*"表示口令只包含大小写字母。 - "\*\*a\*\*A\*\*\*@\*\*1\*\*"表示口令为常见的弱口令。 | | 弱口令使用时长（单位：天） | 目标弱口令使用的时间周期。 | | 服务器名称/ID | 存在弱口令的服务器名称和ID。 | | IP地址 | 服务器的公网和私网IP地址。 | | 最新检测时间 | 最近一次完成检测的时间。 | | 建议 | 弱口令修改建议。您可以根据修改建议确认口令不安全的原因，并据此修改口令。 | 2. 登录主机系统修改弱密码。 ![](https://support.huaweicloud.com/usermanual-hss2.0/public_sys-resources/note_3.0-zh-cn.png) - 为保障您的主机安全，请您及时修改登录主机系统时使用弱口令的账号，如SSH账号。 - 为保障您主机内部数据信息的安全，请您及时修改使用弱口令的软件账号，如MySQL账号和FTP账号等。 - 口令设置建议：设置长度超过8个字符且均包含大写字母、小写字母、数字和特殊字符。 3. 完成弱口令修改后，单击"基线检查"页面上方的"手动检测"，查看修复结果。 如果您未进行手动验证，HSS会在次日凌晨执行自动验证。