# 扫描病毒 #### 操作场景 病毒文件一旦启动就可能化身恶意进程，成为服务器的巨大安全隐患，因此建议您及时为服务器扫描并清理病毒。 企业主机安全的病毒查杀功能，提供快速查杀、全盘查杀、自定义查杀三种扫描方式供您选择，具体介绍请参见[表1]。 表1病毒扫描方式说明 | 扫描方式 | 说明 | 扫描目录范围 | |:---|:---|:---| | [快速查杀] | 节约时间成本的快速病毒扫描任务，查杀预置的系统关键文件和目录。 | - Windows - 用户的桌面、下载、文档目录 - 开始菜单启动项 - 系统目录 C:\\Windows\\System、C:\\Windows\\System32、C:\\Windows\\SysWOW64 - 临时目录 C:\\Users\\\[用户名\]\\AppData\\Local\\Temp\\、C:\\Temp、C:\\Windows\\Temp - 浏览器下载目录 Chrome浏览器、Edge浏览器、Firefox浏览器 - Linux - 标准系统目录 /bin、/sbin、/lib、/lib64、/usr/bin、/usr/sbin、/usr/lib、/usr/lib64、/usr/local/lib、/usr/local/lib64、/usr/local/bin、/usr/local/sbin - 其他重要目录 /tmp、/root、/home、/boot、/opt、/data、/var/tmp、/var/run、/var/lib、/dev/shm、/etc、/etc/sysconfig、/usr/local/src、/usr/share、根目录/ - 启动项对应可执行文件目录 /etc/rc.d、/etc/init.d | | [全盘查杀] | 比较耗费时间的全磁盘病毒扫描任务，全面清扫服务器中的病毒文件。 | 除网络目录外的所有目录。不扫描网络目录的主要原因如下： - 扫描效率低 网络目录通常包含大量文件，总容量可能达到上百TB，这将显著降低扫描效率。 - 占用网络带宽 访问网络目录时需要占用网络带宽，大规模扫描可能导致带宽被完全占满，进而影响到您正常业务的运行，包括但不限于网络速度变慢、网络延迟增加等。 如需扫描网络目录，可以使用自定义查杀任务。 | | [自定义查杀] | 您可以根据自身需求自定义的病毒扫描任务。 | 用户自定义 | #### 支持扫描的文件类型 表2扫描文件类型 | 类别 | 文件类型 | |:---|:---| | 可执行文件 | .exe、.dll、.sys、.app、.dylib、.bundle、.msi、.dex、.com、.pyc、.pyo、.pyd、.elf、.bin、.so、.o、.cpl、.gadget、.class、.ko、.gho、.msc、.msp、.mst、.nsi、.paf、.reg、.rgs、.scr、.sct、.shb、.shs、.u3p、.wll、.wwl、.wim | | 压缩文件 | .zip、.rar、.cab、.7z、.gz、.gzip、.xz、.ace、.tar、.lzh、.lha、.bz、.bz2、.iso、.jar、.apk、.bzip、.chm | | 脚本文件 | .sh、.php、.js、.jsp、.jspx、.asp、.aspx、.ashx、.asmx、.hta、.vbs、.vbscript、.script、.bat、.ps1、.psm1、.psd1、.cmd、.py、.pyw、.rb、.jse、.wsf、.swf、.swc、.swz、.au3、.vbe、.cs、.vb、.frm、.frx、.vbp、.vbproj、.ws、.aut、.bash、.vba、.wsh | | 文档 | .rtf、.docx、.xlsx、.pptx、.accdb、.docm、.dotm、.txt、.html、.htm、.xml、.pdf、.msg、.iqy、.eml、.ttf、.doc、.xls、.ppt、.mdb、.vsd、.xlm、.url、.css、.uue、.uu、.xll_、.xla_、.xla5、.xla8、.xlt、.xlsm、.xltx、.xltm、.xlsb、.xla、.xlam、.xll、.xlw、.pot、.pps、.ppa、.ppam、.pptm、.potx、.potm、.ppsx、.ppsm、.sldx、.sldm、.pa、.accda、.accde、.accdt、.accdr、.accdu、.mda、.mde、.csv、.docb、.dot、.dotx、.dwg、.dxf、.ecf、.emf、.eps、.inf1、.ins、.inx、.isu、.iss、.lnk、.odt、.one、.pgp、.pif、.pub、.wbk、.wmf、.wll、.xpm、.xps、.xxe、.ppm | | 图片 | .bmp、.jpg、.jpeg、.png、.gif、.tif、.tiff、.psd、.ico、.jp2、.sgi | | 音视频 | .flv、.mp3、.mp4、.avi、.mov、.cdr、.wav、.mpg | #### 约束限制 - 病毒查杀过程中会占用较多的内存、CPU、IO等资源，请在服务器空闲时进行病毒查杀。资源占用情况请参见[Agent检测时资源占用情况](https://support.huaweicloud.com/hss2.0_faq/hss_01_0116.html)。 - HSS专业版仅支持快速查杀。 - 全盘查杀不扫描网络目录。 - Agent下载病毒库需要一段时间，请您开启防护10分钟后再进行病毒查杀。 - 如果您已自定义了恶意hash规则，则病毒查杀过程中不仅会自动匹配系统内置规则库，还会匹配自定义添加的黑hash规则。 #### 快速查杀 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 选择"主动防御 \> 病毒查杀"，进入"病毒查杀"界面。 4. 单击"快速查杀"，弹出"快速查杀"对话框。 5. 根据界面提示，填写"快速查杀"任务相关参数。 表3快速查杀参数说明 | 参数名称 | 参数说明 | 取值样例 | |:---|:---|:---| | 任务名称 | 企业主机安全会根据任务创建时间（精确到秒）自动生成一个任务名称，您可以按需修改。 | 快速查杀-20250425173536 | | 启动类型 | 选择查杀任务的执行方式。 - 立即启动：立即执行一次查杀任务，不生成查杀策略。 - 稍后启动：按您设置的稍后启动时间执行一次查杀任务并生成查杀策略。查杀策略支持编辑，具体操作请参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。 - 周期启动：按您设置的扫描周期，周期执行查杀任务并生成查杀策略。查杀策略支持编辑，具体操作请参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。 | 稍后启动 | | 稍后启动时间 | 仅启动类型选择"稍后启动"时，需要配置病毒查杀执行的启动时间。稍后启动时间可选一个月内的时间。 | 2025/04/25 18:10 | | 扫描周期 | 仅启动类型选择"周期启动"时，需要配置病毒查杀执行的周期。 可配置每天、每周的某天或每月的某天。 | 每天00:00 | | 选择扫描模式 | 选择本次扫描任务的执行模式。 - 无限制扫描任务：扫描免费，且可执行无限制次数的扫描任务。如果服务器使用的是企业主机安全专业版、企业版、旗舰版、网页防篡改版或容器版，可选择无限制扫描任务。 - 按次付费扫描任务：按每台服务器的病毒扫描次数进行收费的扫描任务。如果服务器使用的企业主机安全基础版或未使用企业主机安全，可选择按次付费扫描任务。 | 无限制扫描任务 | | 选择服务器 | 选择需要执行快速查杀的服务器。 满足以下所有条件的服务器，支持选择并执行病毒查杀。 - Agent在线，并且Agent符合以下要求。安装Agent请参见[安装主机安全Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0233.html)。 - 无限制扫描任务：Windows Agent版本≥4.0.20，Linux Agent版本≥3.2.9。 - 按次付费扫描任务：Windows Agent版本≥4.0.23，Linux Agent版本≥3.2.12。 - 已开启AV检测策略。开启AV检测策略请参见[配置策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0044.html)。 - 当前不在扫描中。 | - | | 处置策略 | 选择检测到的病毒文件后的处理方式。 - 自动处置：企业主机安全自动隔离检测到的恶意文件，部分未被确认为病毒的可疑文件会打上"可疑"标签需用户确认后手动处置。 注意： 存在极小概率的误隔离情况，若误隔离，您可以在文件隔离箱中恢复隔离文件，具体操作请参见[恢复已隔离文件](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0605.html#hss_01_0605__section209218505517)。 - 人工处置：仅对检测到的病毒文件进行告警，不自动隔离，需人工确认后进行处置。 | 自动处置 | 6. 单击"开始扫描"，立即启动查杀任务。 #### 全盘查杀 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 选择"主动防御 \> 病毒查杀"，进入"病毒查杀"界面。 4. 单击"全盘查杀"，弹出"全盘查杀"对话框。 5. 根据界面提示，填写"全盘查杀"任务相关参数。 表4全盘查杀参数说明 | 参数名称 | 参数说明 | 取值样例 | |:---|:---|:---| | 任务名称 | 企业主机安全会根据任务创建时间（精确到秒）自动生成一个任务名称，您可以按需修改。 | 全盘查杀-20250425174038 | | 启动类型 | 选择查杀任务的执行方式。 - 立即启动：立即执行一次查杀任务，不生成查杀策略。 - 稍后启动：按您设置的稍后启动时间执行一次查杀任务并生成查杀策略。查杀策略支持编辑，具体操作请参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。 - 周期启动：按您设置的扫描周期，周期执行查杀任务并生成查杀策略。查杀策略支持编辑，具体操作请参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。 | 稍后启动 | | 稍后启动时间 | 仅启动类型选择"稍后启动"时，需要配置病毒查杀执行的启动时间。稍后启动时间可选一个月内的时间。 | 2025/04/25 18:10 | | 扫描周期 | 仅启动类型选择"周期启动"时，需要配置病毒查杀执行的周期。 可配置每天、每周的某天或每月的某天。 | 每天00:00 | | 选择扫描模式 | 选择本次扫描任务的执行模式。 - 无限制扫描任务：扫描免费，且可执行无限制次数的扫描任务。如果服务器使用的是企业主机安全专业版、企业版、旗舰版、网页防篡改版或容器版，可选择无限制扫描任务。 - 按次付费扫描任务：按每台服务器的病毒扫描次数进行收费的扫描任务。如果服务器使用的企业主机安全基础版或未使用企业主机安全，可选择按次付费扫描任务。 | 无限制扫描任务 | | 选择服务器 | 选择需要执行全盘查杀的服务器。 满足以下所有条件的服务器，支持选择并执行病毒查杀。 - Agent在线，并且Agent符合以下要求。安装Agent请参见[安装主机安全Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0233.html)。 - 无限制扫描任务：Windows Agent版本≥4.0.20，Linux Agent版本≥3.2.9。 - 按次付费扫描任务：Windows Agent版本≥4.0.23，Linux Agent版本≥3.2.12。 - 已开启AV检测策略。开启AV检测策略请参见[配置策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0044.html)。 - 当前不在扫描中。 | - | | 处置策略 | 选择检测到的病毒文件后的处理方式。 - 自动处置：企业主机安全自动隔离检测到的恶意文件，部分未被确认为病毒的可疑文件会打上"可疑"标签需用户确认后手动处置。 注意： 存在极小概率的误隔离情况，若误隔离，您可以在文件隔离箱中恢复隔离文件，具体操作请参见[恢复已隔离文件](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0605.html#hss_01_0605__section209218505517) - 人工处置：仅对检测到的病毒文件进行告警，不自动隔离，需人工确认后进行处置。 | 自动处置 | 6. 单击"开始扫描"，立即启动查杀任务。 #### 自定义查杀 1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。 3. 选择"主动防御 \> 病毒查杀"，进入"病毒查杀"界面。 4. 单击"自定义查杀"，弹出"自定义查杀"对话框。 5. 根据界面提示，配置"自定义查杀"策略参数。参数说明请参见[表 自定义查杀策略参数说明]。 表5自定义查杀策略参数说明 | 参数名称 | 参数说明 | 取值样例 | |:---|:---|:---| | 任务名称 | 企业主机安全会根据任务创建时间（精确到秒）自动生成一个任务名称，您可以按需修改。 | 自定义查杀-20250425180036 | | 启动类型 | 选择查杀任务的执行方式。 - 立即启动：立即执行一次查杀任务，不生成查杀策略。 - 稍后启动：按您设置的稍后启动时间执行一次查杀任务并生成查杀策略。查杀策略支持编辑，具体操作请参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。 - 周期启动：按您设置的扫描周期，周期执行查杀任务并生成查杀策略。查杀策略支持编辑，具体操作请参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。 | 稍后启动 | | 稍后启动时间 | 仅启动类型选择"稍后启动"时，需要配置病毒查杀执行的启动时间。稍后启动时间可选一个月内的时间。 | 2025/04/25 18:10 | | 扫描周期 | 仅启动类型选择"周期启动"时，需要配置病毒查杀执行的周期。 | - | | 防护文件类型 | 扫描文件类型，勾选即对该文件类型进行扫描。当前支持扫描的文件类型： - 可执行：可执行文件和动态链接库，常见exe、dll、so等。 - 压缩：压缩包和安装包文件，常见zip、rar、tar等。 - 脚本：脚本文件，常见的bat、py、ps1等。 - 文档：文档文件，常见的txt、doc、pdf等。 - 图片：图片文件，常见的bmp、jpg、gif等。 - 音视频：音视频文件，常见的mp3、mp4、flv等。 | 全选 | | 目录设置（可选） | 需要扫描病毒文件的目录。不配置时，默认进行全盘扫描，全盘扫描不扫描网络目录。 警告： 不建议扫描网络目录，原因如下： - 扫描效率低 网络目录通常包含大量文件，总容量可能达到上百TB，这将显著降低扫描效率。 - 占用网络带宽 访问网络目录时需要占用网络带宽，大规模扫描可能导致带宽被完全占满，进而影响到您正常业务的运行，包括但不限于网络速度变慢、网络延迟增加等。 | - | | 排除指定目录（可选） | 无需扫描病毒文件的目录。 | - | | 选择扫描模式 | 仅启动类型选择"立即启动"和"稍后启动"时，可选择扫描模式。 - 无限制扫描任务：扫描免费，且可执行无限制次数的扫描任务。如果服务器使用的是企业主机安全专业版、企业版、旗舰版、网页防篡改版或容器版，可选择无限制扫描任务。 - 按次付费扫描任务：按每台服务器的病毒扫描次数进行收费的扫描任务。如果服务器使用的企业主机安全基础版或未使用企业主机安全，可选择按次付费扫描任务。 | 无限制扫描任务 | | 选择服务器 | 选择需要查杀服务器。 满足以下所有条件的服务器，支持选择并执行病毒查杀。 - Agent在线，并且Agent符合以下要求。安装Agent请参见[安装主机安全Agent](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0233.html)。 - 无限制扫描任务：Windows Agent版本≥4.0.20，Linux Agent版本≥3.2.9。 - 按次付费扫描任务：Windows Agent版本≥4.0.23，Linux Agent版本≥3.2.12。 - 已开启AV检测策略。开启AV检测策略请参见[配置策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0044.html)。 - 符合策略启动要求： - 启动类型为"立即启动"的策略：服务器当前不在扫描中。 - 启动类型为"稍后启动"的策略：服务器未关联与当前策略"稍后启动时间"相同的自定义查杀策略。 - 启动类型为"周期启动"的策略：服务器未关联"周期启动"自定义查杀策略。 | - | | 处置策略 | 选择检测到的病毒文件后的处理方式。 - 自动处置：企业主机安全自动隔离检测到的恶意文件，部分未被确认为病毒的可疑文件会打上"可疑"标签需用户确认后手动处置。 注意： 存在极小概率的误隔离情况，若误隔离，您可以在文件隔离箱中恢复隔离文件，具体操作请参见[恢复已隔离文件](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0605.html#hss_01_0605__section209218505517) - 人工处置：仅对检测到的病毒文件进行告警，不自动隔离，需人工确认后进行处置。 | 自动处置 | 6. 单击"开始扫描"，启动查杀任务。 #### 查看病毒查杀执行情况 启动查杀任务后，您可以参考本小节查看查杀任务的执行情况。 1. 在病毒查杀界面，单击"扫描任务"，系统弹出扫描任务页面。 图1查看扫描任务 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002295420657.png "点击放大") 2. 在扫描任务页面，可以查看任务启动时间、任务状态、扫描情况等信息。 - 如果您需要筛选查看部分扫描任务信息，可在扫描任务列表上方搜索框中添加条件进行搜索。 - 如果您需要停止正在执行的扫描任务，您可以在目标扫描任务所在行的"操作"列，单击"取消"。 - 如果扫描任务执行失败，您可以在目标扫描任务所在行的"操作"列，单击"重新扫描"。 图2扫描任务 ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002295533797.png "点击放大") 3. 单击扫描任务前的![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002295533865.png)，可展开查看具体各服务器的扫描状态和已扫描的文件数量等信息。 - 如果您需要停止扫描某台服务器，您可以在目标服务器所在行的"操作"列，单击"取消"。 - 如果单台服务器扫描失败，您可以在目标服务器所在行的"操作"列，单击"重新扫描"。 #### 相关文档 病毒查杀任务执行完成后，对于检测到的病毒文件，您需要根据自身业务情况判断并进行人工处置，详细操作请参见[查看并处理病毒](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0585.html)。 启动类型为"稍后启动"或"周期启动"的扫描任务会生成查杀策略，如需修改查杀策略内容可参见[编辑自定义查杀策略](https://support.huaweicloud.com/usermanual-hss2.0/hss_01_0586.html#hss_01_0586__section1866113357102)。