# 处理主机告警事件
企业主机安全可对您已开启的告警防御能力提供总览数据，帮助您快速了解安全告警概况包括需紧急处理告警、告警总数、存在告警的服务器、已拦截IP和已隔离文件等。
事件列表仅保留近30天内发生的告警事件，您可以根据自己的业务需求，自行判断并处理告警，快速清除资产中的安全威胁。
告警事件处理完成后，告警事件将从"未处理"状态转化为"已处理"。
![](https://support.huaweicloud.com/usermanual-hss2.0/public_sys-resources/note_3.0-zh-cn.png)
AV检测和HIPS检测的告警分类会按照具体的告警情况在不同的告警类型中呈现。
- AV检测告警结果只在恶意软件下的不同类别呈现。
- HIPS检测的告警结果会根据实际种类在所有类型的子类别中呈现。
AV检测和恶意程序隔离查杀都可以对病毒自动隔离查杀，但处理逻辑有所不同。
- AV检测：配置策略后，Agent端会直接隔离查杀检测出的勒索类型恶意程序，并对置信度≥95的其他高危病毒自动隔离。具体操作请参见[AV检测](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0044.html#hss_01_0044__section49471117133816)。
- 恶意程序隔离查杀：开启查杀后，经过情报库和多引擎检测，对置信度≥95的病毒进行自动隔离查杀。具体操作请参见[开启恶意程序隔离查杀](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0567.html)。
 
#### 约束与限制
- 如果不需要检测高危命令执行、提权操作、反弹Shell、异常Shell或者Webshell，您可以通过"策略管理"页面手动关闭指定策略的检测。关闭检测后，HSS不对策略组关联的服务器进行检测，详细信息请参见[查看和创建策略组](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0045.html)。
- 其他检测项不允许手动关闭检测。
- 未开启防护的服务器不支持告警事件相关操作。
- 图引擎检测告警不支持批量处理。
 
#### 处理主机告警事件
当发生安全告警事件后，为了保障您的云服务器安全，可以根据以下方式处理安全告警事件。
![](https://support.huaweicloud.com/usermanual-hss2.0/public_sys-resources/note_3.0-zh-cn.png)
由于网络攻击手段、病毒样本在不断演变，实际的业务环境也有不同差异，因此，无法保证能实时检测防御所有的未知威胁，建议您基于安全告警处理、漏洞、基线检查等安全能力，提升整体安全防线，预防黑客入侵、盗取或破坏业务数据。
1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。
2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。
3. 在左侧导航栏中，单击"检测与响应 \> 安全告警事件 \> 主机安全告警"，进入"主机安全告警"页面。 
   图1主机安全告警   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002212774781.png "点击放大")
   
   
4. （可选）如果您已开通企业项目，可在页面上方"企业项目"下拉框中选择企业项目，查看目标企业项目下的相关信息和数据。
5. 单击告警名称，查看告警信息和处理建议。
6. 处理告警事件。 
   您需要根据自己的业务需求，自行判断并处理告警。告警事件处理完成后，告警事件将从"未处理"状态变更为"已处理"。
   - 处理单个告警事件 在目标告警事件所在行的操作列，单击"处理"。
     
   
   - 批量处理告警事件 勾选所有目标告警事件，并在告警事件列表上方单击"批量处理"。
     
   
   - 全量处理告警事件 在告警列表左侧的"待处理告警"栏，选择一类告警类型，并在告警事件列表上方单击"全量处理"。
     图2全量处理告警事件   
     ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000001734300200.png "点击放大") 
   
   
   
   
7. 在"处理告警事件"弹窗中，选择处理方式。处理方式说明请参见[表 告警事件处理方式说明]。
   
   处理单个告警事件或批量处理告警事件时，可在"处理告警事件"弹窗中勾选"同时处理重复告警"，将重复告警一并处理。处理图引擎告警时，多个可疑进程或文件支持选择不同的处理方式。
    表1告警事件处理方式说明 
   | 处理方式      | 处理方式说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                        |
   |:---|:---|
   | 忽略        | 仅忽略本次告警。如果再次出现相同的告警信息，HSS会再次告警。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
   | 隔离查杀      | 选择隔离查杀后，该程序无法执行"读/写"操作，同时该程序的进程将被立即终止。HSS将程序或者进程的源文件加入文件隔离箱，被隔离的文件不会对主机造成威胁。 您可以单击"文件隔离箱"，查看已隔离的文件，详细信息请参见[管理文件隔离箱](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0331.html)。 对应告警事件支持隔离查杀的情况详情请参见[主机安全告警事件概述](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0277.html)。 说明： 程序被隔离查杀时，该程序的进程将被立即终止，为避免影响业务，请及时确认检测结果，如果隔离查杀有误报，您可以执行取消隔离/忽略操作。                                                                                                                                                                                                                                                                                                       |
   | 我已手动处理    | 您已手动处理风险事件，可选择"我已手动处理"，您可以根据自己的需要为该事件添加"备注"信息，方便您记录手动处理该告警事件的详细信息。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                            |
   | 加入进程白名单   | 如果确认是可信进程的运行触发告警事件，您不希望HSS再上报该告警，您可以将应用进程告警事件加入进程白名单。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         |
   | 加入登录告警白名单 | 如果确认"暴力破解"和"异常登录"类型的告警事件是误报，且不希望HSS再上报该告警，您可以将本次登录告警事件加入登录告警白名单。 HSS不会对登录告警白名单内的登录事件上报告警。加入登录告警白名单后，如果再次出现该登录事件，则HSS不会告警。 有以下告警事件支持加入登录告警白名单。 - 暴力破解  - 异常登录                                                                                                                                                                                                                                                                                                                                                                                   |
   | 加入告警白名单   | 如果确认告警事件是误报，且不希望HSS再上报该告警，您可以将本次告警事件加入告警白名单。 HSS不会对告警白名单内的告警事件上报告警。加入告警白名单后，如果再次出现该告警事件，则HSS不会告警。 选中"加入告警白名单"后，可单击"新增规则"，自定义设置白名单规则；可定义的规则类型因告警类型而不同，包括进程路径、进程命令行、进程用户、父进程路径、父进程命令行、IP。当HSS检测到的告警事件相等或包含您填写的规则信息时，HSS不会告警。 对应告警事件支持隔离查杀的情况详情请参见[主机安全告警事件概述](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0277.html)。 新增规则时支持自定义资产范围： - 全部资产：规则对当前全部资产及后续新增资产生效。  - 仅针对当前资产：规则仅对当前全部资产生效。  - 指定资产：选择生效的资产。   |
      
   
   
8. 单击"确定"，完成处理。 
   告警事件处理完成后，您可以查看已处理的告警记录，详细操作请参见[历史处置记录](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0508.html)。
   
   
 
#### 查看已处理告警事件的处理方式
1. 在告警事件列表，筛选"已处理"的告警。
2. 鼠标悬停在目标告警事件的"状态"上方，可查看告警事件的具体处理方式。 
   图3查看告警处理方式   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002212787921.png "点击放大")
   
   
 
#### 取消处理主机告警事件
对于处理完成的告警事件，支持取消处理。
1. 在告警事件列表，筛选"已处理"的告警。
2. 在目标告警事件所在行的"操作"列，单击"处理"。
3. 在"处理告警事件"弹窗中，单击"确定"，取消上次处理。
 
#### 相关文档
如果存在告警误报您可以通过告警白名单或检测策略白名单进行处理，具体操作请参见[利用白名单机制避免告警误报](https://support.huaweicloud.com/bestpractice-hss2.0/hss_01_0067.html)。