# 修改容器网页防篡改配置
#### 操作场景
本章节为您介绍开启容器网页防篡改防护后，如何修改防护配置。可修改的防护配置内容如下：
- **修改标签**：HSS会根据集群资源标签获取网站应用的Deployment，在Deployment升级策略为滚动升级时，将Deployment中匹配防护镜像的容器设置为只读模式。您可以修改需要设置只读模式的容器范围。
- **调整防护目录**：新增、修改、删除防护目录，适用于防护目录变更的场景。
- **修改防护模式**：容器网页防篡改支持"告警模式"和"拦截模式"，您可以根据实际业务情况按需设置。
- **开启进程监控或设置特权进程**：如需HSS记录潜在篡改行为的进程信息，可开启进程监控。如需添加特权进程修改防护目录下的文件，可在开启进程监控后，设置特权进程。仅Linux内核版本5.10及以上的节点支持此项功能。
 
#### 修改容器网页防篡改防护配置
1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。
2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。
3. 在左侧导航树中，选择"主动防御 \> 网页防篡改"，进入"网页防篡改"界面。
4. 选择"容器网页防篡改"页签，在目标镜像所在行的"操作"列单击"编辑"。
5. 在"编辑"页面中，修改容器网页防篡改配置。 
   图1编辑防护资产   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002489448364.png "点击放大")
   - **修改标签**：当容器网页防篡改防护模式为"拦截模式"时，HSS会根据集群资源标签获取网站应用的Deployment，在Deployment升级策略为滚动升级时，将Deployment中匹配防护镜像的容器设置为只读模式。您可以修改需要设置只读模式的容器范围。最多支持添加10个标签。在添加了多个标签的情况下，仅具备所有标签的Deployment才会被匹配上。
   
   - **调整防护目录**
     您可以添加、修改、删除防护目录。
     - 修改防护目录 防护目录防护成功后，如需修改防护目录、排除子目录、排除文件路径、本地备份路径，可在目标防护目录所在行的"操作"列，单击"编辑"，进行修改；排除文件类型可在编辑页面直接修改。相关参数说明请参见[表1]。
        表1防护目录设置参数说明 
       | 参数           | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                         | 取值样例               |
       |:---|:---|:---|
       | 防护目录         |  容器网页防篡改对指定的目录进行防护，自动备份防护目录中的文件，实时监控防护目录和文件的变化；在拦截模式下HSS会尝试对文件修改进行拦截，若检测到文件被篡改会立即备份恢复原始文件。 防护目录请添加需要防护的容器网站应用路径，添加规则如下： - 目录名不能包含英文分号字符，不能以空格开头，不能以/结尾，防护目录长度不得超过256个字符。  - 每个镜像最多可添加50个防护目录。  - 每个防护目录下的文件夹层级不超过100。  - 所有防护目录下的文件夹个数不超过900000。   **请勿将网络目录添加为防护目录**，主要原因如下： - 检测效率低 网络目录通常包含大量文件，总容量可能达到上百TB，这将显著降低检测效率。   - 占用网络带宽 访问网络目录时需要占用网络带宽，大规模检测可能导致带宽被完全占满，进而影响到您正常业务的运行，包括但不限于网络速度变慢、网络延迟增加等。    | /etc/lesuo         |
       | 排除子目录（可选）    | 如果防护目录内存在无需防护的子目录，可排除该子目录。 子目录添加规则如下： - 可以直接输入子目录名称，或输入相对于防护目录的目录路径。当输入子目录名称时，所有与之匹配的子目录都会被排除，无论位于防护目录下的哪一层。  - 子目录的名称或路径不能以/开头或结尾，最大长度不能超过256个字符。  - 最多可添加10个子目录，多个子目录用英文分号（;）隔开。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 | data/cache或cache   |
       | 排除文件路径列表（可选） | 如果防护目录内存在无需防护的文件，可排除该文件。 排除文件路径添加规则如下： - 可以直接输入文件名称，或输入相对于防护目录的文件路径。当输入文件名称时，所有与之匹配的文件都会被排除，无论位于防护目录下的哪一层。  - 文件名称或路径不能以/开头或结尾，最大长度不能超过256个字符；  - 最多可添加50个文件，多个文件用英文分号（;）隔开。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                | data/ma.txt或ma.txt |
       | 排除文件类型（可选）   | 如果防护目录内存在无需防护的文件类型，可排除该文件类型（无文件类型限制），例如log类型的文件。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                           | log                |
          
       
     
     - 删除防护目录 如果随着业务调整，部分防护目录无需再进行防护，可在目标防护目录所在行的"操作"列，单击"删除"，删除该目录。
       
     
     - 添加防护目录 单击"添加防护目录"，在弹出的对话框中填写防护目录信息，并单击"确定"，可添加一条新的防护目录。相关参数说明请参见[表1]。
       
      
   
   - **修改防护模式**
     防护模式是指监控到文件被篡改时采取的应对方式，您可以在下拉框中选择目标模式：
     - 告警模式：当HSS检测到防护目录内的文件被篡改时，不会对篡改行为进行阻止，仅向用户发送告警通知，由用户自行判断并处理篡改事件。此模式适用于网页内容有临时修改需求的场景。
     
     - 拦截模式：当HSS检测到防护目录内的文件被篡改时，会阻止所有篡改操作，防止未经授权的更改，以保护网页文件的完整性。此模式适用于网页内容无需频繁修改的场景。
      
   
   - **开启进程监控或设置特权进程**
     对于Linux内核版本5.10及以上的镜像，建议开启进程监控。
     单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002516124795.png)开启，开启后，HSS将提供以下功能：
     - **记录触发篡改事件的进程信息**
       检测到篡改事件时同步获取进程路径、进程命令行，上报告警事件到防护事件列表，供用户定位可疑进程。
       
     
     - **支持设置特权进程**
       **特权进程** 是指被授权可以修改**防护目录**的进程。
       开启容器网页防篡改后，防护目录内的所有文件将被禁止修改。
       如果您需要修改防护目录内的文件或更新网站，可添加特权进程进行修改。特权进程被授权访问防护目录，需确保特权进程安全可靠。
       开启特权进程，同时需要设置以下参数：
       - **特权进程文件路径**
         特权进程文件路径即进程完整路径。多个特权进程文件路径以换行符分隔，最多可添加10个特权进程。
         
       
       - **子进程可信**
         开启"子进程可信"，企业主机安全将对添加的**所有** **特权进程**文件路径下5个层级内的子进程可信。允许子进程修改防护目录。
         
        
      
    
   
   

6. 确认修改的配置无误，在"编辑"页面中，单击"确定"，完成修改。
7. 验证修改结果。 
   由于配置生效需要一些时间，建议您配置完，等待3-5分钟后进行验证。
   - 标签修改 您所选中的标签对应的容器全部设置为了只读文件系统，表示修改成功。
     
   
   - 防护目录 在目标镜像所在行的"防护容器"列，单击数值，查看防护目录详情。
     查看添加或修改的防护目录信息正确，且"防护状态"为防护成功，表示添加或修改成功。
     查看删除的防护目录不在防护目录列表，表示删除防护目录成功。
     
   
   - 防护模式 当您尝试修改文件时，HSS按照您选择的防护模式，执行防护动作，表示防护模式设置成功。
     
   
   - 进程监控 上报的防护事件中具有进程路径、进程命令行信息，表示进程监控成功。
     
   
   - 特权进程 通过特权进程修改网页成功，表示特权进程设置成功。