安全-华为云

安全云脑 SECMASTER-采集节点或采集通道故障:问题定位

问题定位远程登录采集节点所在的E CS 。您可以登录弹性云服务器控制台，在“弹性云服务器”列表中，单击“远程登录”登录主机，详细操作请参见在云服务器控制台上登录主机。如果您的主机已经绑定了弹性IP，您也可以使用远程管理工具（例如：PuTTY、Xshell等）登录主机，并使用root账号在主机中安装组件控制器。执行如下命令，命令查看当前系统的运行状态： top 当显示如下图所示时，则表示ECS中Java进程占用了大量CPU资源。图3 运行状态执行如下命令，查看采集器运行日志： docker logs isap-logstash -f 通过查看日志，定位到当前采集通道filter部分（解析器）配置有误，如下图所示：图4 采集器运行日志执行以下命令，进入采集通道配置文件所在路径。 cd /opt/cloud/logstash/config/files 执行以下命令，查看filter部分是否存在异常。 cat 配置文件名当出现如下图所示内容时，则表示当前filter部分存在异常：图5 filter部分存在异常

安全云脑 SECMASTER

安全云脑 SECMASTER-安全云脑的数据来源是什么？

安全云脑的数据来源是什么？安全云脑基于云上威胁数据和华为云服务采集的威胁数据，通过大数据挖掘和机器学习，分析并呈现威胁态势，并提供防护建议。一方面采集全网流量数据，以及安全防护设备日志等信息，通过大数据智能AI分析采集的信息，呈现资产的安全状况，并生成相应的威胁告警。另一方面汇聚主机安全服务（Host Security Service，HSS）、DDoS高防（Advanced Anti-DDoS，AAD）、 Web应用防火墙（Web Application Firewall，WAF）等安全防护服务上报的告警数据，从中获取必要的安全事件记录，进行大数据挖掘和机器学习，智能AI分析并识别出攻击和入侵，帮助用户了解攻击和入侵过程，并提供相关的防护措施建议。安全云脑通过对多方面的安全数据的分析，为安全事件的处置决策提供依据，实时呈现完整的全网攻击态势。接入数据详细操作请参见接入数据。父主题：产品咨询

安全云脑 SECMASTER

安全云脑 SECMASTER-组件控制器常用命令

组件控制器常用命令如果组件控制器（isap-agent）安装失败，在故障排查过程中，可能需要使用命令进行处理，其中，常用命令如下：重启 sh /opt/cloud/isap-agent/action/agent_controller_linux.sh restart 说明：使用此命令将先停止isap-agent进程，并重新启动该进程。此命令用于isap-agent启动失败，或者节点因为机器故障导致的进程不存在情况。启动 sh /opt/cloud/isap-agent/action/agent_controller_linux.sh start 说明：当isap-agent因为机器宕机，容灾自拉起时间未到，用户可使用此命令启动isap-agent。停止 sh /opt/cloud/isap-agent/action/agent_controller_linux.sh stop 说明：此命令用于停止isap-agent，使用此命令将自动清理定时自拉起检测，使得isap-agent进程停止。查看进程 ps -ef|grep isap-agent 说明：此命令用于查看当前机器上isap-agent是否存在。查看日志 tail -100f /opt/cloud/isap-agent/log/run.log 说明：用于查看isap-agent服务，最近100行日志，用于通过日志定位agent异常问题。磁盘分区 sh /opt/cloud/isap-agent/action/agent_controller_linux.sh partition 说明：用于在节点安装采集器，手动挂载磁盘，并进行磁盘分区的场景。父主题：数据采集故障排查

安全云脑 SECMASTER 数据采集故障排查

安全云脑 SECMASTER-安全云脑如何变更版本规格？

安全云脑如何变更版本规格？购买安全云脑后，如果需要升级版本、增加资产配额或追加增值包功能，即需要升级版本、扩充“主机配额”或新增“增值包”。标准版仅支持通过包周期计费模式进行购买。不支持部分配额购买标准版和专业版。增值包中的“安全大屏”、“智能分析”、“安全编排”为标准版和专业版额外选购付费项目，如需使用，请先购买标准版或专业版。升级版本：详细操作请参见升级版本。购买增值包：详细操作请参见购买增值包。增加配额：详细操作请参见增加资产配额。父主题：购买咨询

安全云脑 SECMASTER 购买咨询

安全云脑 SECMASTER-安全云脑中的日志存储时间是多久？

安全云脑中的日志存储时间是多久？安全云脑支持接入WAF、HSS、OBS等云产品的日志数据，接入后可以对数据进行查询分析、智能建模等。对于已接入安全云脑的日志数据的具体存储时长如下所示：表1 支持接入的日志云服务日志描述日志日志生命周期范围 Web应用防火墙（Web Application Firewall，WAF）攻击日志 waf-attack 7~10 天访问日志 waf-access 安全云脑（SecMaster）合规基线日志 secmaster-baseline 7~10 天对象存储服务（Object Storage Service，OBS）访问日志 obs-access 7~10 天入侵防御系统（Intrusion Prevention System，IPS）攻击日志 nip-attack 7~10 天统一身份认证（Identity and Access Management， IAM ）审计日志 iam-audit 7~10 天主机安全服务（Host Security Service，HSS）主机安全告警 hss-alarm 7~10 天主机漏洞扫描结果 hss-vul 主机安全日志 hss-log Anti-DDoS流量清洗（Anti-DDoS）攻击日志 ddos-attack 7~10 天数据库安全服务（Database Security Service，DBSS）告警日志 dbss-alarm 7~10 天云审计服务（Cloud Trace Service， CTS ）云审计服务日志 cts-audit 7~10 天云防火墙（Cloud Firewall，CFW）访问控制日志 cfw-block 7~10 天流量日志 cfw-flow 攻击事件日志 cfw-risk API网关（API Gateway）访问日志 apig-access 7~30 天父主题：产品咨询

安全云脑 SECMASTER

安全云脑 SECMASTER-为什么主机最大配额不能小于主机数量？

为什么主机最大配额不能小于主机数量？主机最大配额是授权检测主机的最大数量。在购买安全云脑时，选择的最大配额需等于或大于当前账户下主机总数量，且不支持减少。如果购买的最大配额小于主机数量，可能会造成未授权检测的主机被攻击后，不能及时感知威胁，造成数据泄露等风险。主机配额配置说明如表1所示。表1 主机配额参数说明参数说明主机配额主机资产支持防护的最大主机数量。请根据当前账户下所有主机资产总数设置配额数，可设置最大主机配额需等于或大于当前账户下主机总数量，且不支持减少。说明：主机配额最大限制为10000台。为避免主机资产在防护配额外，不能及时感知攻击威胁，而造成数据泄露等安全风险。当主机资产数量增加后，请及时增加配额数。父主题：产品咨询

安全云脑 SECMASTER

安全云脑 SECMASTER-为什么没有看到攻击数据或者看到的攻击数据很少？

为什么没有看到攻击数据或者看到的攻击数据很少？安全云脑支持检测云上资产遭受的各类攻击，并进行客观的呈现。但是，如果您的云上资产在互联网上的暴露面非常少（所谓“暴露面”是指资产可被攻击或利用的风险点，例如，端口暴露和弱口令都可能成为风险点），那么遭受到攻击的可能性也将大大降低，所以，安全云脑可能会显示您的系统当前遭受的攻击程度较低。如果您认为安全云脑未能真实反映系统遭受攻击的状况，欢迎您向客服反馈问题。父主题：产品咨询

安全云脑 SECMASTER

安全云脑 SECMASTER-如何处理暴力破解告警事件？:处理告警事件

处理告警事件 HSS通过暴力破解检测算法和全网IP黑名单，如果发现暴力破解主机的行为，对发起攻击的源IP进行拦截，并上报告警事件。当接收到来源于HSS的告警事件时，请登录HSS管理控制台确认并处理告警事件。如果您的主机被爆破成功，检测到入侵者成功登录主机，账户下所有云服务器可能已被植入恶意程序，建议参考如下措施，立即处理告警事件，避免进一步危害主机的风险。请立即确认登录主机的源IP的可信情况。请立即修改被暴力破解的系统账户口令。请立即执行检测入侵风险账户，排查可疑账户并处理。请及时执行恶意程序云查杀，排查系统恶意程序。如果您的主机被暴力破解，攻击源IP被HSS拦截，请参考如下措施，加固主机安全。请及时确认登录主机的源IP的可信情况。请及时登录主机系统，全面排查系统风险。请根据实际需求升级HSS防护能力。请根据实际情况加固主机安全组、防火墙配置。详情请参见HSS如何处理账户暴力破解事件？。

安全云脑 SECMASTER 产品咨询

企业主机安全 HSS-HSS与其他云服务的关系:消息通知服务

消息通知服务消息通知服务（Simple Message Notification，简称 SMN ），是一个可拓展的高性能消息处理服务。开启告警通知前，您需先配置“消息通知服务”。开启消息通知服务后，当您的主机遭受攻击或被检测出有高危风险时，您将接收到企业主机安全发送的各项风险告警通知。在“告警通知”界面，您可以根据运维计划选择“每日告警通知”和“实时告警通知”。关于SMN的详细内容，请参见《消息通知服务用户指南》。

企业主机安全 HSS

企业主机安全 HSS-HSS与其他云服务的关系:云容器引擎

云容器引擎云容器引擎（Cloud Container Engine，CCE）基于云服务器快速构建高可靠的容器集群，将节点纳管到集群，企业主机安全通过在集群所在节点上部署Hostguard-agent，为集群中所有可用节点上的容器应用提供防护。云容器引擎提供高可靠、高性能的企业级容器应用管理服务，支持Kubernetes社区原生应用和工具，简化云上自动化容器运行环境搭建。更多信息请参见《云容器引擎用户指南》。

企业主机安全 HSS

企业主机安全 HSS-产品功能:安装与配置

安装与配置安装与配置提供Agent管理、常用登录地、常用登录IP、SSH登录IP白名单、恶意程序自动隔离查杀、双因子认证、告警配置、容器安装与配置等功能，可满足不同应用场景的主机/ 容器安全需求。表26 安装与配置功能介绍服务功能功能概述基础版专业版企业版旗舰版网页防篡改版容器版 Agent管理可查看所有服务器的Agent状态，可进行升级、卸载、安装等操作。支持的操作系统：Linux、Windows。 √ √ √ √ √ √ 常用登录地配置常用登录地后，服务将对非常用地登录主机的行为进行告警。每个主机可被添加在多个登录地中。支持的操作系统：Linux、Windows。 √ √ √ √ √ √ 常用登录IP 配置常用登录IP，服务将对非常用IP登录主机的行为进行告警。支持的操作系统：Linux、Windows。 √ √ √ √ √ √ 配置SSH登录IP白名单 SSH登录IP白名单功能是防护账户爆破的一个重要方式，主要是限制需要通过SSH登录的服务器。配置了白名单的服务器，只允许白名单内的IP通过SSH登录到服务器，拒绝白名单以外的IP。支持的操作系统：Linux。 √ √ √ √ √ √ 恶意程序隔离查杀开启恶意程序隔离查杀后，HSS对识别出的后门、木马、蠕虫等恶意程序，提供自动隔离查杀功能，帮助用户自动识别处理系统存在的安全风险。支持的操作系统：Linux、Windows。检测周期：实时检测。 × √ √ √ √ √ 双因子认证通过密码+短信/邮件认证的方式，彻底防范账号暴力破解行为。支持的操作系统：Linux、Windows。按需：× 包年/包月：√ √ √ √ √ √ 插件管理对插件进行安装、卸载、升级及统一管理。支持的操作系统：Linux。 × × × × × √ 容器安装与配置提供集群接入HSS入口，同时支持集群、非集群容器的Agent升级、卸载操作。支持的操作系统：Linux。 √ √ √ √ √ √

企业主机安全 HSS

企业主机安全 HSS-产品功能:主机安全自保护

主机安全自保护主机安全自保护是企业主机安全的自我保护功能。表27 主机安全自保护功能介绍服务功能功能概述基础版专业版企业版旗舰版网页防篡改版容器版 Windows自保护防止恶意程序卸载Agent、篡改企业主机安全文件或停止企业主机安全进程。支持的操作系统：Windows。说明：自保护功能依赖AV检测、HIPS检测或者勒索病毒防护功能使能驱动才能生效，只有这三个功能开启一个以上时，开启自保护才会生效。开启自保护策略后的影响如下： Agent不支持通过主机的控制面板卸载，支持通过企业主机安全控制台卸载。企业主机安全的进程无法被终止。 Agent安装路径C:\Program Files\HostGuard下除了log目录、data目录（如果Agent升级过，再加上upgrade目录）外的其他目录无法访问。 × × × √ √ × Linux自保护防止恶意程序停止企业主机安全进程、卸载Agent。支持的操作系统：Linux。说明：开启自保护策略后的影响如下： Agent不支持通过命令卸载，支持通过企业主机安全控制台卸载。企业主机安全的进程无法被终止。 × × × √ √ √

企业主机安全 HSS

企业主机安全 HSS-产品功能:白名单管理

白名单管理白名单功能包含告警白名单、登录告警白名单和系统用户白名单，如需避免某些告警误报发生，可以将告警事件加入对应的白名单。表21 白名单管理功能介绍功能名称功能概述基础版专业版企业版旗舰版网页防篡改版容器版告警白名单处理告警事件时，将告警事件加入到告警白名单。支持的操作系统：Linux、Windows。检测周期：实时检测。 √ √ √ √ √ √ 登录告警白名单将目标登录端IP和登录端用户名加入登录告警白名单，HSS将对白名单内的IP和用户的访问行为进行忽略，不再告警。支持的操作系统：Linux、Windows。检测周期：实时检测。 √ √ √ √ √ √ 系统用户白名单对于主机中新添加的root用户组权限用户（非root用户）可添加到系统用户白名单，避免HSS进行风险账号告警。支持的操作系统：Linux、Windows。检测周期：实时检测。 √ √ √ √ √ √

企业主机安全 HSS

企业主机安全 HSS-产品功能:策略管理

策略管理用户可以根据需要进行策略管理配置，自定义安全检测规则，并可为不同的主机组或主机/容器应用不同的策略，以满足不同应用场景的主机/容器安全需求。表22 策略管理功能介绍服务功能功能概述基础版专业版企业版旗舰版网页防篡改版容器版策略管理支持自定义检测策略配置与下发，能够为每组或每台主机灵活配置检测规则，便于精细化安全运营。查看策略组列表依据默认策略组和已创建的策略组添加策略组自定义策略修改和删除策略组针对策略组包含的策略，进行修改和关闭策略在“主机管理”页面可以对主机进行批量部署策略支持的操作系统：Linux、Windows。检测周期：实时检测。 × √（仅支持默认专业版策略组） √（仅支持默认企业版策略组） √ √ √

企业主机安全 HSS

企业主机安全 HSS-产品功能:容器审计

容器审计容器审计支持监控和记录集群容器、非集群容器以及SWR镜像仓的各类操作和活动，以日志记录呈现在HSS控制台供用户查看和分析。表25 容器审计功能介绍服务功能功能概述基础版专业版企业版旗舰版网页防篡改版容器版容器审计容器审计功能支持对容器集群中的各种操作和活动进行监控和记录，可帮助用户洞察容器生命周期的各个阶段，包括创建、启动、停止和销毁等，以及容器之间的网络通信和数据传输情况。用户通过审计和分析，可以及时发现并处理安全问题，从而确保容器集群的安全性、稳定性。支持的操作系统：Linux。检测周期：实时检测。 × × × × × √

企业主机安全 HSS

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线