# 开启容器防护 #### 操作场景 企业主机安全容器版提供对容器全生命周期的安全防护能力。本章节介绍如何为容器节点开启防护。 #### 前提条件 - 企业主机安全提供包年/包月和按需计费两种计费模式。如果您选择包年/包月的防护方案，请确保已购买充足的防护配额，购买配额操作请参见[购买企业主机安全](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0229.html)。按需计费模式采用先使用后付款的方式，无需提前购买配额。 - 请确保已为容器节点安装Agent，且Agent状态为"在线"。为单一节点安装Agent请参见[为华为云主机安装Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0234.html)、[为第三方云主机或线下IDC安装Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0235.html)。为集群安装Agent请参见[安装容器安全Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0636.html)。 #### 约束限制 企业主机安全暂仅支持为Docker、Containerd、CRI-O、Podman、isulad运行时的容器提供安全防护。 #### 开启容器版防护 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 在左侧导航树中，选择"资产管理 \> 容器管理"，进入"容器节点管理"页面。 4. 在目标服务器所在行的"操作"列，单击"开启防护"，弹出"您确认要对以下容器节点开启防护吗？"对话框。 列表默认仅展示所有安装了Agent的Linux服务器（即可开启容器版防护的服务器），如果您的服务器尚未安装Agent请参考[安装主机安全Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0233.html)、[安装容器安全Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0636.html)。 图1开启容器防护 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000001900618980.png "点击放大") 5. 确认节点信息并选择开启方式。 您可以根据自己的实际场景选择"包年/包月"或者"按需计费"，开启节点防护。 - **包年/包月** - 计费模式：选择"包年/包月" - 选择配额：选择配额分配方式。 - 随机分配：下拉框选择"随机选择配额"，系统优先为主机分发服务剩余时间较长的配额。 - 指定分配：下拉框选择具体配额ID，您可以为主机分配指定的配额。 ![](https://support.huaweicloud.com/usermanual-hss2.0/public_sys-resources/caution_3.0-zh-cn.png) - 一个容器安全配额防护一个集群节点。 - 如果Linux主机安装的Agent版本为3.2.10及以上版本或Windows主机安装的Agent版本为4.0.22及以上版本，开启容器版防护时，系统会自动为主机开启勒索病毒防护，在主机上部署诱饵文件，并对可疑加密进程执行自动隔离（极小概率存在误隔离）；此外，建议您同时开启勒索备份，提升勒索防护的事后恢复能力，最小化降低业务受损程度。详细操作请参见[开启勒索备份](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0562.html)。 6. 阅读并勾选《容器安全服务免责声明》。 7. 单击"确定"，开启节点防护，目标节点的"容器防护状态"变更为"防护中"，说明该节点已开启防护。 开启防护后，企业主机安全需要2-3分钟向Agent下发防护策略，所有策略下发完成才表示防护成功。如有需要您可以在"资产管理 \> 主机管理"页面，单击服务器名称，进入服务器详情页面，选择"安全运营 \> 策略管理"，查看策略启用状态，均为"已启用"，表示策略下发完成。 8. （可选）配置告警通知、防护策略、主机登录保护以及开启恶意程序隔离查杀。 - **配置告警通知** 企业主机安全防护开启成功后，默认将检测到的风险告警信息呈现在控制台，如需及时了解主机、容器或网页存在的安全风险，您可以开启告警通知，开启后，一旦企业主机安全检测到风险，将通过短信或邮件等方式通知您。具体操作请参见[告警配置](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0241.html)。 - **配置防护策略** 每个企业主机安全版本都对应一组防护策略，这些策略默认预置了防护规则。您可以根据自身业务需求，开启或关闭防护策略、调整防护规则。具体操作请参见[策略管理](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0045.html)。 - **配置登录保护** 您可以通过[双因子认证](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0568.html)、[配置常用登录地](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0566.html)、[配置常用登录IP](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0761.html)以及[配置SSH登录IP白名单](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0760.html)，来增强主机登录安全性。 - **开启恶意程序隔离查杀** 开启恶意程序隔离查杀功能后，企业主机安全将自动隔离识别到的后门、木马、蠕虫等恶意程序，帮助您自动处理系统存在的安全风险。具体操作请参见[开启恶意程序隔离查杀](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0567.html)。 #### 查看检测详情 开启防护后，企业主机安全将立即对主机执行全面的检测，检测时间可能较长，请您耐心等待。待检测完成后，您可以参考如下方式查看检测详情： 1. 在"资产管理 \> 主机管理 \> 云服务器"页面中，找到目标服务器。 2. 在目标服务器所在行的"风险状态"列，查看服务器风险检测状态。 表1风险状态说明 | 状态 | 说明 | |:---|:---| | 未检测 | 服务器未开启防护，未检测风险。 | | 无风险 | 已对服务器进行了全面的安全检查，未发现风险，或者开启防护不久，还未检测到风险。 | | 有风险 | 服务器存在安全风险。 | 3. 鼠标悬停在风险状态上方，可查看风险分布。 单击风险数值，可进入详情页面，查看具体内容。 #### 高级防御功能 企业主机安全容器版提供了一系列高级防御功能，您可以结合业务实际情况选择开启或使用，以增强主机和容器的安全防护水平。具体请参见[表4](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0260.html#hss_01_0260__table1716835162714)。 表2高级防御功能 | 功能 | 说明 | |:---|:---| | [容器镜像安全](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0686.html) | 容器镜像安全旨在保障镜像在开发、部署及运行的整个生命周期中的安全性，通过扫描系统漏洞、应用漏洞、恶意文件、软件信息、文件信息、基线配置、弱口令、敏感信息、软件合规和基础镜像信息，帮助用户识别并修复潜在的风险问题，确保所有部署到生产环境的镜像都已通过严格的安全检查，从而保障系统和应用安全稳定的运行。 | | [集群环境安全](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0747.html) | 集群环境安全功能支持对Kubernetes集群管理面和数据面资源进行全面扫描，识别基础设施即代码风险、漏洞、配置风险、配置合规性、敏感信息以及权限管理问题，并提供相应的修复方案，助力用户构建全方位的集群安全防护体系。 | | [应用防护](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0610.html) | 应用防护功能旨在为运行时的应用提供安全防御。您无需修改应用程序文件，只需将探针注入到应用程序，即可为应用提供强大的安全防护能力。 | | [勒索病毒防护](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0602.html) | 勒索病毒防护功能能够实现对勒索病毒的检测和防御；同时，还提供数据备份功能，支持定时自动备份和勒索即刻备份，帮助您抵御勒索病毒，降低业务受损风险。 开启容器版防护会自动为您开启勒索病毒防护，在您的主机上部署诱饵文件，并对可疑加密程序执行自动隔离。您可以修改勒索病毒防护策略，同时建议您开启勒索备份以提升勒索事后恢复能力。 | | [应用进程控制](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0530.html) | 应用进程控制是一种用于保障服务器上运行的应用程序和进程安全的功能。它能够自动识别并分析应用进程，将其划分为可信、可疑及恶意三类，同时允许可信进程运行，针对可疑、恶意进程运行进行告警，可以帮助用户构建安全的应用进程运行环境，避免服务器遭受不受信或恶意应用进程的破坏。 | | [病毒查杀](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0583.html) | 病毒查杀功能采用云端与本地相结合的病毒防护机制，能够全面扫描主机中的病毒文件，扫描文件类型覆盖可执行文件、压缩文件、脚本文件、文档、图片、音视频文件；用户可以根据实际需求，自主对服务器执行"快速查杀"、"全盘查杀"、"自定义查杀"任务，及时发现并清理病毒文件，增强业务系统的病毒防御能力。 | | [动态端口蜜罐](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0599.html) | 动态端口蜜罐功能是一种主动防御措施，通过利用真实端口作为诱饵端口诱导攻击者访问；在内网横向渗透场景下，可有效地检测到攻击者的扫描行为，识别失陷主机，延缓攻击者攻击真正目标，从而保护用户的真实资源。 | | [容器防火墙](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0498.html) | 容器防火墙能够实现Pod、工作负载以及节点粒度的网络隔离，可有效抵御横向渗透攻击，确保业务权限最小化，从而保障用户业务的安全性和稳定性。 | | [容器集群防护](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0537.html) | 容器集群防护功能支持在容器镜像启动时检测其中存在的不合规基线、漏洞和恶意文件，并可根据检测结果告警和阻断未授权或含高危安全风险的容器镜像运行。 |