# 管理应用防护策略 #### 操作场景 应用防护策略支持添加、编辑、删除，具体使用场景如下： - [添加防护策略]：企业主机安全提供了"默认策略"，其中包含的检测规则请参见[默认策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0390.html#hss_01_0390__section8357957154113)，默认策略仅支持检测不支持阻断。如果您需要为服务器定制防护策略或配置阻断模式，可单独添加防护策略，对策略中的检测规则项及规则配置进行自定义选择和设置。最多支持添加20条自定义策略。 - [编辑防护策略]：对于您自定义添加的防护策略，如需修改，可编辑该策略。 - [删除防护策略]：对于不需要的自定义防护策略（未关联服务器），可直接删除；系统默认策略不支持删除。 #### 添加防护策略 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 在左侧导航栏，选择"主动防御 \> 应用防护"，进入应用防护界面。 4. 在界面右上角单击"策略管理"，进入策略管理页面。 5. 单击"添加防护策略"，进入添加防护策略页面。 6. 根据界面提示，自定义防护策略。相关参数说明请参见[表1]。 图1添加防护策略 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002489592406.png "点击放大") 表1添加防护策略参数说明 | 参数名称 || 参数说明 | |:---|---|:---| | 防护策略名称 || 自定义当前添加的策略名称。 | | 策略描述（可选） || 描述策略内容或用途。 | | 操作系统类型 || 选择防护策略适用的服务器操作系统类型。 | | 防护策略 | 检测规则标识 | 检测规则的唯一标识。如果需要启用则勾选目标检测规则即可，不启用则不勾选。 | | 防护策略 | 防护动作 | 检测规则识别到异常事件时采取的应对方式。 - 告警：仅告警并记录异常事件。 - 告警并阻断：告警并记录异常事件，同时阻断异常行为继续执行。 说明： "告警并阻断"功能当前处于公测阶段，如需使用请[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通。 新建策略时，防护动作仅支持配置为"告警"，建议您先试用告警模式至少7天，7天后可编辑策略，将防护动作切换为"阻断"，编辑策略的操作详情请参见[编辑防护策略]。如果应用防护过程中出现误告警，您可通过配置白名单规则，屏蔽误告警的事件。 | | 防护策略 | 检测规则描述 | 检测规则的检测对象及行为的描述。 | | 防护策略 | 白名单数量 | 已添加的白名单数量。 | | 防护策略 | 配置检测规则 | 检测规则XSS、WebShellUpload、FileDirAccess、zeroDayDetect支持自定义配置黑白名单。 单击"检测规则配置"，系统弹出检测规则配置对话框，您可以按需进行配置。 - XSS：自定义配置XSS的屏蔽规则。例如：xml;doctype;xmlns;import;entity - WebShellUpload：自定义文件后缀黑名单。例如：.jspx;.jsp;.jar;.phtml;.asp;.php;.ascx;.ashx;.cer - FileDirAccess：自定义配置路径检测黑名单。例如：/etc/passwd;/etc/shadow;/etc/gshadow; - zeroDayDetect：自定义配置zeroDay白名单堆栈。 | | 防护策略 | 配置白名单 | 为确保您的业务正常运转，避免应用防护过程中误告警、误阻断的情况，建议您配置防护策略时同步配置白名单。 一个检测规则最多支持添加25个白名单条件，多个白名单之间为"或"关系，只要事件满足任一白名单条件就不会触发告警或阻断。 单击"配置白名单"，系统弹出配置白名单对话框，单击"新增条件"，选择"加白模式"，"匹配逻辑"和"匹配内容"。 - 加白模式：选择需要加白的规则类型，可选择如下： - 请求URL：对特定的请求地址（URL）加白。 - 攻击载荷：对特定的恶意内容加白。 - 攻击探针：对特定的攻击探测行为加白。 - 特性规则：对特定的安全规则加白。 - 源ip地址：对特定的源IP地址进行加白。 - 匹配逻辑：选择白名单匹配逻辑。可选择如下： - 相等：当事件内容与设定的匹配内容完全一致时，不会触发告警。 - 不相等：当事件内容与设定的匹配内容不一致时，不会触发告警。 - 包含：当事件内容包含设定的匹配内容时，不会触发告警。 - 不包含：当事件内容不包含设定的匹配内容时，不会触发告警。 - 前缀匹配：当事件内容以设定的匹配内容开始时，不会触发告警。 - 后缀匹配：当事件内容以设定的匹配内容结束时，不会触发告警。 - 匹配内容：输入加白的具体内容，必须与"加白模式"的类型相对应。 | 7. 策略配置完成后，单击"确定"，添加完成。 #### 编辑防护策略 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 在左侧导航栏，选择"主动防御 \> 应用防护"，进入应用防护界面。 4. 在界面右上角单击"策略管理"，进入策略管理页面。 5. 在目标策略所在行的"操作"列，单击"编辑"，进入"编辑防护策略"页面。 6. 根据界面提示，修改防护策略。相关参数说明请参见[表2]。 图2编辑防护策略 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002489432546.png "点击放大") 表2编辑防护策略参数说明 | 参数名称 || 参数说明 | |:---|---|:---| | 防护策略名称 || 自定义策略名称。 | | 策略描述（可选） || 描述策略内容或用途。 | | 操作系统类型 || 不支持修改。 | | 防护策略 | 检测规则标识 | 检测规则的唯一标识。如果需要启用则勾选目标检测规则即可，不启用则不勾选。 | | 防护策略 | 防护动作 | 检测规则识别到异常事件时采取的应对方式。 - 告警：仅告警并记录异常事件。 - 告警并阻断：告警并记录异常事件，同时阻断异常行为继续执行。 说明： "告警并阻断"功能当前处于公测阶段，如需使用请[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)申请开通。 建议您先试用告警模式至少7天，7天后再将防护动作切换为"阻断"。将防护动作切换为"阻断"时，请您同步配置白名单，防止出现误阻断的情况，确保您的业务稳定运行。 | | 防护策略 | 检测规则描述 | 检测规则的检测对象及行为的描述。 | | 防护策略 | 白名单数量 | 已添加的白名单数量。 | | 防护策略 | 配置检测规则 | 检测规则XSS、WebShellUpload、FileDirAccess、zeroDayDetect支持自定义配置黑白名单。 单击"检测规则配置"，系统弹出检测规则配置对话框，您可以按需进行配置。 - XSS：自定义配置XSS的屏蔽规则。例如：xml;doctype;xmlns;import;entity - WebShellUpload：自定义文件后缀黑名单。例如：.jspx;.jsp;.jar;.phtml;.asp;.php;.ascx;.ashx;.cer - FileDirAccess：自定义配置路径检测黑名单。例如：/etc/passwd;/etc/shadow;/etc/gshadow; - zeroDayDetect：自定义配置zeroDay白名单堆栈。 | | 防护策略 | 配置白名单 | 为确保您的业务正常运转，避免应用防护过程中误告警、误阻断的情况，建议您配置防护策略时同步配置白名单。 一个检测规则最多支持添加25个白名单条件，多个白名单之间为"或"关系，只要事件满足任一白名单条件就不会触发告警或阻断。 单击"配置白名单"，系统弹出配置白名单对话框，单击"新增条件"，选择"加白模式"，"匹配逻辑"和"匹配内容"。 - 加白模式：选择需要加白的规则类型，可选择如下： - 请求URL：对特定的请求地址（URL）加白。 - 攻击载荷：对特定的恶意内容加白。 - 攻击探针：对特定的攻击探测行为加白。 - 特性规则：对特定的安全规则加白。 - 源ip地址：对特定的源IP地址进行加白。 - 匹配逻辑：选择白名单匹配逻辑。可选择如下： - 相等：当事件内容与设定的匹配内容完全一致时，不会触发告警。 - 不相等：当事件内容与设定的匹配内容不一致时，不会触发告警。 - 包含：当事件内容包含设定的匹配内容时，不会触发告警。 - 不包含：当事件内容不包含设定的匹配内容时，不会触发告警。 - 前缀匹配：当事件内容以设定的匹配内容开始时，不会触发告警。 - 后缀匹配：当事件内容以设定的匹配内容结束时，不会触发告警。 - 匹配内容：输入加白的具体内容，必须与"加白模式"的类型相对应。 | 7. 策略修改完成后，单击"确定"，修改完成。 #### 删除防护策略 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 在左侧导航栏，选择"主动防御 \> 应用防护"，进入应用防护界面。 4. 在界面右上角单击"策略管理"，进入策略管理页面。 5. 在目标策略所在行的"操作"列，单击"删除"，系统弹出"删除防护策略"对话框。 6. 确认待删除的防护策略信息，确认无误后，输入"DELETE"并单击"确定"，完成删除。 策略列表中，无该策略，表示删除成功。