安全配置-华为云

企业主机安全 HSS-如何清除HSS中配置的SSH登录IP白名单？:已冻结/冻结期满，配额被删除

已冻结/冻结期满，配额被删除当配额状态为“已冻结”时，或者冻结期满，配额被彻底删除后，HSS均不会再防护您的主机，您无法通过管理控制台清除SSH登录IP白名单。清除配置的SSH登录IP白名单，操作步骤如下所示。登录需要清除SSH登录IP白名单的云主机。执行以下命令，查看“/etc/sshd.deny.hostguard”文件，如图1所示。 cat /etc/sshd.deny.hostguard 图1 查看文件内容执行以下命令，打开“/etc/sshd.deny.hostguard”文件。 vim /etc/sshd.deny.hostguard 按“i”进入编辑模式，删除“ALL”。按“Esc”退出编辑，输入“:wq”保存并退出。

企业主机安全 HSS 安全配置

企业主机安全 HSS-开启恶意软件高检出模式:操作场景

操作场景 HSS默认根据AV检测、WebShell检测策略中设置的防护文件类型和扫描文件路径检测恶意软件，存在检测范围限制。查看AV检测、WebShell检测策略内容操作请参考配置策略。恶意软件高检出模式支持对主机全盘进行检测，且覆盖所有文件类型，以高灵敏度模式检测恶意软件，所有疑似Webshell、恶意软件的可疑文件都会被告警上报；可帮助用户全面识别系统中可能存在的安全风险。开启恶意软件高检出模式，可能会存在误报情况，用户可以处理告警事件时，将误报告警加入告警白名单。

企业主机安全 HSS 常用安全配置

WEB应用防火墙 WAF-通过WAF提升客户端访问域名的通道安全:应用场景

应用场景 HTTPS协议是由TLS（Transport Layer Security，传输层安全性协议）+HTTP协议构建的可进行加密传输、身份认证的网络协议。当域名接入WAF时，如果客户端采用HTTPS协议请求访问服务器，即防护域名的“对外协议”配置为“HTTPS”时，您可以通过为域名配置最低TLS版本和加密套件来确保网站安全，详细说明如下：最低TLS版本最低TLS版本是客户端通过TLS访问网站时，被允许访问网站的最低TLS版本。配置最低TLS版本后，只有满足最低TLS版本的请求，才能正常访问网站，可以满足行业网站的安全需求。截止目前，TLS已发布了三个版本（TLS v1.0、TLS v1.1、TLS v1.2），TLS v1.0和TLS v1.1版本由于发布时间久远，某些加密算法（如SHA1、RC4算法）很容易被黑客攻击，且在性能上，TLS v1.0和TLS v1.1已经无法满足呈几何级增长的数据传输加密，存在安全隐患。同时，为了保障通信协议的安全，满足支付卡行业数据安全标准（PCI DSS），支付卡行业安全标准委员会（PCI SSC）规定，TLS v1.0安全通信协议于2018年6月30日不再生效。火狐、Safari、Chrome、Edge等主流浏览器厂商也声明将于2020年全面停止支持TLS v1.0和TLS v1.1。您可以通过查看网站TLS版本，检测网站支持的TLS版本。加密套件加密套件是多种加密算法的集合。配置安全性更高的加密套件，可以保障网站的保密性和数据完整性。

WEB应用防火墙 WAF 源站安全配置

WEB应用防火墙 WAF-通过WAF提升客户端访问域名的通道安全:支持配置的最低TLS版本说明

支持配置的最低TLS版本说明 WAF默认配置的最低TLS版本为“TLS v1.0”，为了确保网站安全，建议您根据业务实际需求进行配置，支持配置的最低TLS版本如表2所示。表2 支持配置的最低TLS版本说明场景最低TLS版本（推荐）防护效果网站安全性能要求很高（例如，银行金融、证券、电子商务等有重要商业信息和重要数据的行业） TLS v1.2 WAF将自动拦截TLS v1.0和TLS v1.1协议的访问请求。网站安全性能要求一般（例如，中小企业门户网站） TLS v1.1 WAF将自动拦截TLS1.0协议的访问请求。客户端APP无安全性要求，可以正常访问网站 TLS v1.0 所有的TLS协议都可以访问网站。

WEB应用防火墙 WAF 源站安全配置

WEB应用防火墙 WAF-通过WAF提升客户端访问域名的通道安全:支持配置的加密套件说明

支持配置的加密套件说明 WAF默认配置的加密套件为“加密套件1”，可以满足浏览器兼容性和安全性，各加密套件相关说明如表3所示。表3 加密套件说明加密套件名称支持的加密算法不支持的加密算法说明默认加密套件说明： WAF默认给网站配置的是“加密套件1”，但是如果请求信息不携带sni信息，WAF就会选择缺省的“默认加密套件”。 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL DH EDH AESGCM 兼容性：较好，支持的客户端较为广泛安全性：一般加密套件1 ECDHE-ECDSA-AES256-GCM-SHA384 HIGH MEDIUM LOW aNULL eNULL DES MD5 PSK RC4 kRSA 3DES DSS EXP CAMELLIA 推荐配置。兼容性：较好，支持的客户端较为广泛安全性：较高加密套件2 EECDH+AESGCM EDH+AESGCM - 兼容性：一般，严格符合PCI DSS的FS要求，较低版本浏览器可能无法访问。安全性：高加密套件3 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-SHA384 RC4 HIGH MD5 aNULL eNULL NULL DH EDH 兼容性：一般，较低版本浏览器可能无法访问。安全性：高，支持ECDHE、DHE-GCM、RSA-AES-GCM多种算法。加密套件4 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-SHA384 AES256-SHA256 RC4 HIGH MD5 aNULL eNULL NULL EDH 兼容性：较好，支持的客户端较为广泛安全性：一般，新增支持GCM算法。加密套件5 AES128-SHA:AES256-SHA AES128-SHA256:AES256-SHA256 HIGH MEDIUM LOW aNULL eNULL EXPORT DES MD5 PSK RC4 DHE 仅支持RSA-AES-CBC算法。加密套件6 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256 - 兼容性：一般安全性：较好 WAF提供的加密套件对于高版本的浏览器及客户端都可以兼容，不能兼容部分老版本的浏览器。TLS版本不同，加密套件的浏览器或客户端兼容情况也不同。以TLS v1.0协议为例，加密套件的浏览器及客户端兼容性说明如表4所示。建议您以实际客户端环境测试的兼容情况为准，避免影响现网业务。表4 加密套件不兼容的浏览器/客户端参考说明（TLS v1.0）浏览器/客户端默认加密套件加密套件1 加密套件2 加密套件3 加密套件4 加密套件5 加密套件6 Google Chrome 63 /macOS High Sierra 10.13.2 × √ √ √ × √ √ Google Chrome 49/ Windows XP SP3 × × × × × √ √ Internet Explorer 6/Windows XP × × × × × × × Internet Explorer 8/Windows XP × × × × × × × Safari 6/iOS 6.0.1 √ √ × √ √ √ √ Safari 7/iOS 7.1 √ √ × √ √ √ √ Safari 7/OS X 10.9 √ √ × √ √ √ √ Safari 8/iOS 8.4 √ √ × √ √ √ √ Safari 8/OS X 10.10 √ √ × √ √ √ √ Internet Explorer 7/Windows Vista √ √ × √ √ × √ Internet Explorer 8～10/Windows 7 √ √ × √ √ × √ Internet Explorer 10/Windows Phone 8.0 √ √ × √ √ × √ Java 7u25 √ √ × √ √ × √ OpenSSL 0.9.8y × × × × × × × Safari 5.1.9/OS X 10.6.8 √ √ × √ √ × √ Safari 6.0.4/OS X 10.8.4 √ √ × √ √ × √

WEB应用防火墙 WAF 源站安全配置

WEB应用防火墙 WAF-通过WAF提升客户端访问域名的通道安全:资源与成本规划

资源与成本规划表1 资源和成本规划资源资源说明每月费用 Web应用防火墙云模式-标准版：计费模式：包年/包月域名数量：10个防护域名（最多支持1个一级域名） QPS配额：2,000QPS业务请求支持带宽峰值：云内100Mbps/云外30Mbps 独享模式：计费模式：按需计费域名数量：2,000个（支持2,000个一级域名） WAF实例规格选择WI-500，参考性能： HTTP业务：建议QPS 5,000；极限QPS 10,000 HTTPS业务：建议QPS 4,000；极限QPS 8,000 Websocket业务：支持最大并发连接5,000 最大回源长连接：60,000 WAF实例规格选择WI-100，参考性能： HTTP业务：建议QPS 1,000；极限QPS 2,000 HTTPS业务：建议QPS 800；极限QPS 1,600 Websocket业务：支持最大并发连接1,000 最大回源长连接：60,000 具体的计费方式及标准请参考计费说明。

WEB应用防火墙 WAF 源站安全配置

主机安全服务（新版）HSS-如何添加双因子认证的手机号或邮箱？

如何添加双因子认证的手机号或邮箱？当您开启双因子认证，选择“短信邮件验证”，才可以在消息通知服务主题中添加手机号/邮箱接收验证码。 “选择消息通知服务”下拉列表中，只展示状态已确认的消息通知服务主题。如果没有主题，请单击“查看消息通知服务主题”进行创建。创建完成后，单击“添加订阅”，设置需要接受通知的手机号码或邮箱。如果已有主题，需要添加或者修改手机号码、邮箱：添加手机号码或邮箱单击“查看消息通知服务主题”进入主题页面，单击“添加订阅”，添加需要接受消息通知的手机号码或邮箱。删除手机号码或邮箱单击“查看消息通知服务主题”进入主题页面，单击主题名称，进入主题详情页面，选择订阅总数页签，单独删除或批量删除目标终端即可。父主题：安全配置

主机安全服务（新版）HSS 安全配置

企业主机安全（旧版）HSS-如何清除HSS中配置的SSH登录IP白名单？:已冻结/冻结期满，配额被删除

已冻结/冻结期满，配额被删除当配额状态为“已冻结”时，或者冻结期满，配额被彻底删除后，HSS均不会再防护您的主机，您无法通过管理控制台清除SSH登录IP白名单。清除配置的SSH登录IP白名单，操作步骤如下所示。登录需要清除SSH登录IP白名单的云主机。执行以下命令，查看“/etc/sshd.deny.hostguard”文件，如图3所示。 cat /etc/sshd.deny.hostguard 图3 查看文件内容执行以下命令，打开“/etc/sshd.deny.hostguard”文件。 vim /etc/sshd.deny.hostguard 按“i”进入编辑模式，删除“ALL”。按“Esc”退出编辑，输入“:wq”保存并退出。

企业主机安全（旧版）HSS 安全配置

云服务器内容精选

安全配置

7*24

备案

专业服务

退订

建议反馈

售前咨询热线