华为云用户手册

网络信息规划 本案例中规划的设备选型、网络数据、业务数据等均为示例，仅供参考，请根据实际项目要求调整。 表1 网络信息规划 设计项 设计要点 设计内容 管理员设计 租户帐户 租户帐号名称：test@huawei.com 租户帐号密码：Admin@1234 架构规划 网络拓扑 见图1 设备选型 AR：AR6300 核心交换机：S5731S-H 接入交换机：S5731S-S AP：按场景选AP款型，参见官网的WLAN网络规划指导 站点 站点名称：Site1 站点类型：AR、LSW、云AP 设备接口互联 见图1 设备上线规划 AR接入Internet的方式 采用Web网管配置 主用接口：GE0/0/1接口，PPPoE拨号 备用接口：GE0/0/2接口，PPPoE拨号 AR注册上线的方式 采用Web网管配置 华为乾坤云平台URL地址为：device.qiankun-saas.huawei.com，端口号为：10020 AR下挂的设备获取IP地址方式 IP地址获取方式：DHCP动态获取，AR作为DHCP Server IP地址范围：10.1.1.0/24 AR下挂的设备注册上线方式 DHCP Option148方式：在华为乾坤云平台配置，配置对象是AR NAT 在出口网关AR上开启NAT功能 用户上线规划 用户接入 员工（无线接入） 访客（无线接入） 哑终端（有线接入） 用户终端的IP地址 IP地址获取方式：DHCP动态获取，核心交换机作为DHCP Server IP地址范围： − 员工：10.1.2.0/24 − 访客：10.1.4.0/24 − 哑终端：10.1.6.0/24 用户所属的VLAN 员工：VLAN 10 访客：VLAN 20 哑终端：VLAN 30 终端接入与认证方式 员工Wi-Fi：SSID名称为Employee，PSK认证 访客Wi-Fi：SSID名称为Guest，Portal认证（短信认证） 哑终端：有线子网DumbDevice，无需认证 核心交换机和AR互联配置 互联VLAN：VLAN 5 互联网段：10.1.10.0/28 路由方式：静态路由 用户业务规划 QoS 单个员工终端带宽限制：5Mbit/s 单个访客终端带宽限制：5Mbit/s

华为乾坤云服务登录地址是什么 当前华为乾坤云服务可登录的地址有两个，分别在“区域一”和“区域二”，如下表所示。 通过“区域一”注册的存量用户，只能登录区域一控制台；通过“区域二”注册的用户，只能登录区域二控制台。 表1 控制台地址 所属区域 控制台地址 说明 区域一（原有） https://qiankun-saas.huawei.com/unisso/login.action 用于原在“区域一”创建的存量用户。 如果新注册云管理网络服务用户，需要跳转到区域二进行注册后在“区域二”登录。 如果新注册安全云服务用户，需要通过邮箱huaweiqiankun@huawei.com联系工作人员进行注册，注册成功后可继续在“区域一”进行登录。 区域二（新增） https://2nd.qiankun-saas.huawei.com/unisso/login.action 新注册的云管理网络服务的用户，需要在“区域二”进行登录。 父主题： 常见FAQ

组网需求 某商超希望构筑有线无线一体的网络，同时支持办公接入和访客接入，方便统一部署和高效管理。 该商超具有如下特点和诉求： 员工、访客一张网，通过逻辑隔离技术隔离员工、访客等不同业务。 终端类型包含有线接入终端、无线接入终端。 远程自动化业务发放和运维，避免专业技术人员上站。 云 管理网络平台 帮助实现智能运维，全网质量可视，故障自动分析。 基于该商超的诉求及其实际情况，可采用华为乾坤云管理网络进行网络建设。如果商超有IT人员，可以选择由租户进行自建和自维。 该商超网络架构如图1所示，部署一台路由器作为出口网关，路由器下挂一台核心交换机，作为有线和无线接入的用户网关。 具体说明如下： 网络层：网络层由物理设备组成，主要包括AR、核心交换机、接入交换机、AP等网络设备。 AR：作为出口网关，提供出口特性。 核心交换机：有线和无线接入的用户网关。 接入交换机：连接有线终端，并且为AP提供POE供电。 AP：部署在室内，用于接入无线终端，根据需求按需部署。 终端层：终端层是指接入商超网络的各种终端设备，例如收银系统、手机、打印机、摄像头等。 图1 AR+核心LSW+接入LSW+云AP组网拓扑图示例 父主题： AR+核心交换机+接入交换机+云AP组网场景

部署架构 华为乾坤是华为面向企业市场推出的云服务，包含云管理网络和安全云服务，通过利用数字地图、云计算、大数据等技术，云管理网络对外提供网络集中化管理、极致智能的网络部署和运维、重点用户和应用体验保障等能力，实现网络全生命周期的一站式智能化管理，助力企业网络管理更简单、运维更智能；安全云服务对外提供安全威胁信息、边界防护及响应、 漏洞扫描 、 云日志 审计、终端安全防护及响应等能力，保证企业网络的安全。 华为乾坤支持分布式部署能力和基于B/S架构的集中式管理能力，主要软件架构如下图所示： 华为乾坤云业务范围： 网络云服务：云网络管理 安全云服务：边界防护及响应、漏洞扫描、云日志审计、终端安全防护及响应 解决方案：等保合规、安全重保、防勒索等套餐 华为乾坤云部署架构： 华为云（公有云）：提供华为乾坤云服务运行环境，包括基础设施资源（E CS 、EVS、OBS、CCE、RDS、VPN等）和平台服务（如： MRS 、 CSS 、DCS等）。 平台基础VPC：主要部署基础服务，例如数字地图、 数据治理 、运营、运维等基础业务。 网络VPC：主要部署网络业务服务，例如云管理网络、网络智能分析、控制器等。 安全VPC：主要部署安全业务服务，例如边界防护及响应、漏洞扫描、云日志审计、终端安全防护及响应等。 沙箱VPC：提供云沙箱独立的运行环境，隔离病毒类程序对业务的影响。 DMZ-VPC：用于漏洞扫描等与客户网络环境有交互的云服务Agent运行环境，隔离客户网络，避免客户网络风险影响乾坤云业务环境。 地端机房：MSP场景下支持客户自己部署控制器接入乾坤云，从云入口接入地端服务。 南向接入： 天关：负责客户网络侧IPS威胁检测，流量日志（metadata）/安全日志（IPS）/取证文件（pcap）接入、解析，以及执行安全策略。 交换机、AP、WAC：负责客户侧网络的接入、认证等，接入控制器进行管理，性能数据可上报分析器进行智能分析。 EDR终端：部署于客户环境的电脑上的安全终端软件，用于提供终端安全和防护能力，可联动网络业务实现零信任接入等高阶能力。 CTA终端：部署于客户环境的电脑上，使用云上网络安全内网体检服务时，负责将云端的扫描流量转发至客户内部网络，完成客户内网资产的扫描。 北向接入： 门户：按角色提供个性化门户（如：租户、MSSP、安全运营），主要包括运营、运维、租户门户。 移动APP：面向租户提供手机接入乾坤云平台的能力，包括天关管理、安全态势感知、安全、网络产品/服务等部分简易展现和配置能力。 华为乾坤云服务涉及的用户： 租户：最终购买乾坤云服务的企业客户。 MSSP：销售渠道伙伴，负责乾坤云服务线下销售及支持服务。 安全运营人员：负责企业网络安全运营分析、响应处置。 平台运营人员：负责乾坤云服务的运营管理，包括运营分析、市场营销。 平台运维人员：负责乾坤云服务的运维管理，包括服务监控、日志管理、告警管理、拨测管理、调用链分析等。 父主题： 产品介绍

如何登录华为乾坤控制台 打开华为乾坤控制台。 通过“区域一”注册的存量用户，只能登录区域一控制台；通过“区域二”注册的用户，只能登录区域二控制台。 图1 登录华为乾坤控制台（区域二） 通过账号密码登录或验证码登录控制台。 账号密码登录：在控制台登录页面输入“用户名/手机号”和“密码”后单击“登录”。 验证码登录：在控制台登录页面单击“验证码登录”并输入“手机号”和“验证码”后单击“登录”。若该手机号码未注册过华为乾坤，则无法直接登录，需要先注册再登录。 注册并登录控制台即可免费使用云管理网络的基础纳管功能，如设备注册、配置下发、准入认证、设备基础监控和设备升级功能。 通过“区域一”注册的存量用户，只能登录区域一控制台；通过“区域二”新注册的用户，只能登录区域二控制台。 请牢记注册的华为乾坤账号和密码，避免无法登录。 如果连续5次登录失败，界面会自动锁定（禁止登录）10分钟。 登录后不进行任何操作，30分钟后该账号将自动登出。 父主题： 常见FAQ

硬件安装云化设备 根据部署规划时的网络设备安装点位设计、设备间互联等信息，完成网络设备的硬件安装、连线、上电等操作，参见表1。 表1 硬件安装与布线任务一览表 任务 任务说明 参考链接 安装硬件设备 硬件设备安装需要遵循施工规范，常见的硬件施工规范有： 物理设备必须可靠接地。 物理设备谨慎搬运，要连带外纸箱或泡沫垫，不要裸机搬运。 所有光纤、网线、高速电缆和电源线分开布线，规范折弯有序捆扎。 所有光纤、网线和电源线需要考虑长度和传输距离是否能够满足环境的需求。 请单击以下设备名称，进入“硬件安装与维护指南”手册，查看对应设备款型的安装指导。 若无法找到，请在搜索框中输入设备款型查找安装指导。 AR 交换机 AP 连接线缆 根据布线规划完成线缆连接，连接时注意按照规范在线缆两端打上标签。 设备配电、上电 请按照规划的配电参数和各个产品的产品文档来执行设备上电操作。

登录控制台时提示用户名或密码错误怎么办 登录控制台时提示用户名或密码错误，检查输入的用户名或密码是否存在空格，是否区分大小写。若以上情况都不存在，对于已成功绑定手机号或邮箱的华为乾坤账号，您可以找回密码；否则，将无法找回密码，请重新注册账号。 找回密码步骤如下： 访问华为乾坤控制台。 单击右下角“忘记密码”，进入密码找回页面。 图1 控制台登录页 输入用户名和图形验证码。 填写手机号或者邮箱进行身份验证。 验证通过后，进行密码重置，具体请参见密码设置规范。 父主题： 常见FAQ

约束或注意事项 AP、交换机、AR在华为乾坤云平台上线后，设备缺省密码会失效，平台统一下发并覆盖设备帐号和密码。后续登录设备Web/CLI界面均需使用平台下发的帐号和密码，操作如下。 登录华为乾坤控制台。 在控制台首页地图选择“Site1”站点，单击站点首页右上角“站点配置”。 在站点配置左侧导航栏选择“站点通用配置”，选择“本地用户”页签。 缺省情况下平台支持admin和accampus用户，单击“创建”可自定义用户名和密码。若使用默认账号，因密码是平台随机生成的，需单击重置密码。

操作步骤 打开华为乾坤APP。 登录华为乾坤APP。 尚未注册华为乾坤账号 新用户注册 输入手机号码+验证码+用户名+密码进行注册。 由于服务器【qiankun-saas.huawei.com】资源不足，新注册账号将默认分配至【2nd.qiankun-saas.huawei.com】服务器。 已经注册华为乾坤账号 使用密码登录 网站控制台注册的租户账号可以用于登录华为乾坤APP。 已使用华为乾坤APP完成新用户注册，可以输入帐户名+密码进行登录。 使用验证码登录 输入手机号码+验证码进行登录。 使用华为乾坤APP（首页） 华为乾坤APP功能持续上新中，下图为示例界面，如果示例界面和下载安装后APP的界面略有差异，请以软件实际安装的界面为准。 首页总览 华为乾坤APP“首页”功能布局如表1所示。 表1 首页功能布局 序号 功能描述 1 点击查看地图：直观显示各站点的设备数量和安全信息。 2 我的站点：站点设备信息，可以切换站点，并展示各站点的拓扑。 3 网络体验：网络质量信息，可以切换站点，显示网络环境各评估维度的得分。 4 安全态势：安全告警趋势动态信息，单击安全告警类型（如外部攻击），可查看并处置安全告警。 5 发现：华为乾坤最新资讯。 6 工具：网络实用工具。 7 我的：用户中心，支持工单创建查询等操作。 添加设备：首次登录后请先根据提示扫码或者手动输入设备SN码添加设备，可以连续添加多台设备。首次添加设备后APP将设备添加到默认站点中。 创建站点：当您确定已录入全部设备后，请点击“下一步”选择或创建站点，默认站点名称为“我的网络”，直接点击“下一步”会创建默认站点。 设备连线：请根据指示完成设备的连线和初始配置。 当APP中已有站点时，如果需要新增其他站点，可以点击右上角的“+”或者点击“我的站点”模块内的“创建站点”新增站点（请以实际界面为准），然后根据提示在新增站点中添加设备。 如果站点中已有设备，请点击右上角的“+”，点击“扫描添加设备”添加新设备。 如果扫描后未能成功添加设备，可以使用手动输入的方式添加设备。 此处以添加AP为例，不同设备添加过程可能存在少许差异，请根据实际界面操作。 只有添加AP时，才提示编辑WiFi。 查看网络体验： 点击APP“首页”的“网络体验”进入网络体验的“概览”界面。点击“全部站点”可以切换站点，上方根据您选择的站点显示网络环境各评估维度的得分，下方显示设备信息和接入用户的信息。 点击“网络体验”中的“设备”或“接入用户”分别进入网络体验对应的界面。 “设备”界面：点击“全部站点”可以切换站点，您也可以筛选设备的状态以及设备类型，下方显示您筛选设备的相关信息。 “接入用户”界面：点击“全部站点”可以切换站点，下方显示接入用户的相关信息。 查看安全态势：点击APP“首页”的“安全态势”进入安全态势的“总览”界面。“总览”界面显示全部事件的数量，最多可以查看近30天内的威胁事件信息、资产风险等级、威胁事件类型。 安全态势的“总览”界面可以展示近30天或近7天或近24小时的安全态势，此处以近30天为例，点击“近7天”也可切换至近7天的安全态势信息。 处置威胁事件：点击下方“事件”可切换至“威胁事件”界面。“威胁事件”界面根据事件的状态、时间、级别显示相应的信息，点击“威胁事件”名称可以对其处置。 此处以处置“外部攻击源”为例，“失陷主机”和“恶意文件”处置方法与处置“外部攻击源”一致，可以参考处置“外部攻击源”。 查看资产：点击下方“资产”可切换至“资产”界面。“资产”界面根据资产的等级和状态显示相应的信息，点击具体的资产名称可查看资产具体信息。 查看站点拓扑：在首页进入站点后，点击右上角“查看拓扑”进入设备的“真实拓扑”界面，可以直观的体现设备之间的连接情况。手指滑动可以放大和缩小界面，点击右侧“还原”按钮可还原至初始大小。 WIFI管理：您可以在AP上创建Wi-Fi，创建完成后即可连接此Wi-Fi接入网络。 Wi-Fi调优：优化Wi-Fi的网络速度。 视频测速：分别使用720P/1080P/4K测试当前Wi-Fi播放视频的流畅情况。 您也可以在“工具”界面使用此功能。 升级管理：对当前在线的设备进行版本升级。 黑白名单：可以为天关创建和编辑IP黑名单、 域名 黑名单和白名单。 此处以创建“IP黑名单”为例，“域名黑名单”和“白名单”操作方法与创建“IP黑名单”相近，可以参考创建“IP黑名单”。 漫游测试：测试Wi-Fi覆盖率，比如在A房间已安装一个AP，在B房间测试Wi-Fi的信号强度、时延等，以决定在B房间是否也要安装一个AP。 您也可以在“工具”界面使用此功能。 Wi-Fi测速：测试当前连接Wi-Fi的下载速度、上传速度、网络延时。 您也可以在“工具”界面使用此功能。 Wi-Fi体检：从覆盖测试、业务体验、网络安全维度全面评估Wi-Fi的使用体验，并提示用户当前Wi-Fi可优化项。 您也可以在“工具”界面使用此功能。 设备密码：修改当前站点所有设备的admin账户的密码，忘记设备admin账户密码时，可以使用此功能重置密码。 AP指示灯：打开或者关闭AP指示灯，通过打开或者关闭AP指示灯可以快速找到AP所在的位置 。 AP计算器：快速计算网络覆盖需要的AP数量。 您也可以在“工具”界面使用此功能。 AP诊断：对未上云AP进行诊断，如果诊断结果是设备正常，您可以扫描设备上云，如果异常请根据提示修复。 下图示例中AP的模式为云管理模式，如果AP为非云管理模式，APP会提示用户切换云管理模式。 您也可以在“工具”界面使用此功能。 终端拨测：测试某个地点的Wi-Fi综合性能指标，包括信号强度、时延、网页连通性，互联网性能（上传/下载的速度）、Wi-Fi干扰等。 iobox：快速搜索和连接附近的蓝牙信号。 您也可以在“工具”界面使用此功能。 使用华为乾坤APP（工具）。 华为乾坤APP功能持续上新中，下图为示例界面，如果示例界面和下载安装后APP的界面略有差异，请以软件实际安装的界面为准。 工具总览 表2 功能布局 序号 功能名称 功能描述 1 Wi-Fi测速 测试当前连接Wi-Fi的下载速度、上传速度、网络延时。 2 Wi-Fi体检 从覆盖测试、业务体验、网络安全维度全面评估Wi-Fi的使用体验，并提示用户当前Wi-Fi可优化项。 3 AP计算器 快速计算网络覆盖需要的AP数量。 4 AP诊断 对未上云AP进行诊断，如果诊断结果是设备正常，您可以扫描设备上云，如果异常请根据提示修复。 5 漫游测试 测试Wi-Fi覆盖率，比如在A房间已安装一个AP，在B房间测试Wi-Fi的信号强度、时延等，以决定在B房间是否也要安装一个AP。 6 视频测速 分别使用720P/1080P/4K测试当前Wi-Fi播放视频的流畅情况。 7 IOBOX 快速搜索和连接附近的蓝牙信号。 8 安全报表 查看乾坤云服务月报的相关信息。 9 扫码查看端口 可以通过扫码或手动输入SN码的方式添加设备。 10 Ping 输入IP地址检测网络的连通情况。 11 Tracert 网络诊断工具，探测数据包从源地址到目的地址经过的路由器IP地址

操作步骤 威胁事件支持“按事件类型”和“按终端”查看和处置。对于事件处置，两者入口不同，此处以“按事件类型”入口为例，介绍处置方法。 参考操作入口介绍选择一种操作入口，进入“病毒文件”的威胁事件列表。 本章节以“安全运营中心（威胁事件）”入口为例。 筛选待处置事件，即“事件处置状态”为“未处置”、“处置失败”和“事件超时关闭”的事件。 图1 病毒文件待处置事件 单击待处理事件的“事件名称”列，查看威胁事件详情，根据“处置建议”并结合实际情况，处置病毒威胁事件。 完成处置后，可以在“处置记录”页签查看处置记录。 图2 病毒文件威胁事件详情 快速处置 隔离：将相关恶意文件移至该终端的隔离区，30天后自动清理。在此之前，您可以在终端详情界面的隔离区中恢复隔离文件。 恢复：对于特定类型病毒（如：宏病毒）感染过的源文件，可恢复至感染前状态。执行恢复操作后，相关恶意文件先移至该终端的隔离区。如果源文件恢复成功，“事件处置状态”确认为“处置成功”；如果源文件恢复失败，“事件处置状态”确认为“处置失败”，并将隔离区相关恶意文件的文件名称加上“-restore”后，恢复至原路径。 网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。（只在服务首页入口的威胁事件列表中可操作） 标记状态 忽略：经过排查后发现事件无需处理或者是误报时，可以将此事件标记为“忽略”。标记为“忽略”后，后续无需再关注此事件。除打上“忽略”标记外不进行任何处理。 已人工处置：您已根据具体的事件采取人工处置，比如对异常主机执行病毒查杀，并确认此主机已无安全风险。确认风险主机中已清除病毒文件后，将事件标记为“已人工处置”。除打上“已人工处置”标记外不进行任何处理。 未处置：除打上“未处置”标记外不进行任何处理。 威胁分析：呈现与该病毒文件有关的威胁信息。 （可选）单击事件名称，可进入事件详情页面。 事件详情页面包含以下模块： 事件详情：展示严重级别、事件类型、攻击阶段、攻击次数、终端名称、最近发生时间、最近更新时间、首次处置时间等具体数据。 处置建议&处置记录：提供处置建议，并可通过单击“处置明细”查看处置记录。 安全分析：展示该事件的检测原理及风险危害。 威胁信息：若该病毒文件命中威胁信息库，展示具体数据；否则为空。 取证信息：检出该病毒文件时的终端信息和行为信息。 图3 病毒文件事件详情

相关操作 病毒文件事件支持导出，单次最多可导出10万条数据，具体导出方法如下所示。 在病毒文件事件列表中，按需筛选并导出病毒文件。 导出全部病毒文件：单击“导出”，选择“导出全部”。 导出部分病毒文件：勾选部分数据，单击“导出”，选择“导出选中”。 在风险提示窗口，勾选“我已仔细阅读操作提示并充分理解此操作的业务影响”，单击“确定”。 导出完成后，单击导出提示框的“下载中心”进入详情页面，在需要下载的文件的操作列，单击“下载”即可。

背景信息 病毒文件是指终端上的病毒文件，包括木马病毒、灰色软件等，会破坏用户文件、影响系统运行。 租户需要对“未处置”病毒威胁事件进行处置，处置方法包括“快速处置”、“标记状态”等。 快速处置：使用系统推荐的快速处置方式，租户需核实确认并进行处置下发。处置过程中病毒文件事件显示为“处置中”，处置成功则返回状态“处置成功”，处置失败则返回状态“处置失败”。 标记状态：租户可手动对病毒文件事件进行标记，标记后处置状态分别显示为“忽略”、“已人工处置”。 网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。（只在服务首页入口的威胁事件列表中可操作）

后续处理 卸载探针 在终端图1列表单击“卸载探针”。 不支持动态卸载：此操作将会关闭所有已防护应用的防护开关，停止探针的运行并清除相关数据，并不会彻底卸载注入到应用中的字节码。 如果您想要为目标应用彻底卸载探针，自动接入的应用请在进行此操作后重启，手动接入的应用则需要您手动删除修改的启动脚本或JVM参数后重启。 取消授权 在图2界面单击“取消授权”。 取消授权后的应用重启后将不再自动接受纳管和防护，如果想要继续接入应用防护，则需要您手动进行操作。 此操作并不影响当前已经接入RASP的应用防护功能。 关闭防护 在图2界面单击“防护状态”列已处在开启状态的开关。 修改防护策略 方式一：在图2界面单击“防护策略”列的策略名，切换防护策略后单击“下发”。 方式二：在防护策略界面编辑修改除默认default之外的自定义策略，会将对所有已经引用此策略的应用重新下发修改后的策略。

背景信息 RASP（Runtime Application Self-Protection，运行时应用自我保护）。RASP使应用程序在运行环境中具备运行时自我防护能力，可监测应用运行环境中（如JVM）中的应用程序执行情况（应用逻辑、配置、数据和事件流等），在符合特定安全条件时进行控制，采取必要的防护措施（如终止用户会话、终止应用程序、告警）。 检测更精确：RASP与传统的基于流量监测的安全防护方式相比，可以忽略各种绕过流量检测的攻击方式（如分段传输，加密传输等），只关注功能运行时的传参是否会产生安全威胁，基于行为来精准识别攻击。 覆盖场景广：RASP可监控和拦截绝大多数类型对应用程序的攻击。除了全面覆盖OWASPTOP10及其它常见漏洞外，还可以抵御传统WAF无法识别的攻击，例如加密变形攻击Payload、0-Day等。 攻击更可见：RASP的防护层深入应用的代码上下文，当检测到漏洞攻击时，安全事件中包含攻击来源、攻击目标、攻击原始请求详情、危险行为特征、代码调用堆栈等信息，可以协助安全团队迅速定位问题并快速制定解决方案。 漏洞SLA时间短：RASP 能够对应用服务制作拦截插件，紧急规避官方/社区还未修复的漏洞。特别是对大型复杂系统，不允许重新启动的情况下，热加载机制能够及时对漏洞进行止血，大大降低漏洞被利用的时间，在较短时间内完成服务的安全加固。

相关操作 终端登记管理支持查看、导出历史记录。 在终端登记列表右上角选择“终端登记历史记录”，同时可以按照终端名称或IP筛选并导出终端登记历史记录。 图3 终端登记历史记录 查看终端登记历史列表的敏感信息：单击需要查看的信息项后的图标即可。 筛选终端登记历史记录：在图3的搜索框中，可以按照终端名称或IP进行筛选。 导出终端登记历史记录： 单击图3的“导出”。 按需勾选“导出原始的姓名、电话号码和邮箱。” 勾选“我已仔细月度操作提示并充分理解此操作的业务影响。” 单击“导出”。 图3 终端登记历史记录导出风险提示 已登记且在线的终端支持解绑功能。 按需选择需要解除绑定的终端，单击“解绑”。 终端登记管理支持吊销证书。 按需选择终端需要吊销的证书，并单击此证书操作栏的“吊销”。 图5 吊销证书

试用套餐申请说明 智能终端安全服务试用套餐目前仅支持线上申请方式，提供终端防护服务试用版、终端防护服务试用版（PC专业版）、终端防护服务试用版（服务器版）等套餐规格，各试用套餐对应的产品功能分别与PC标准版、PC专业版、Windows Server服务器版一致，操作系统要求请参见表3。 用户需在华为乾坤商城向华为乾坤运营人员进行试用套餐申请，具体操作请参见《服务开通》的“购买与开通服务”章节。 表3 试用套餐规格介绍 套餐名称 套餐规格 操作系统支持 终端防护服务试用版 资产数：100 Windows 7 专业版、旗舰版、企业版 (32/64位) Windows 10（32位/64位） Windows 11（64位） 终端防护服务试用版（PC专业版） 终端防护服务试用版（服务器版） 资产数：20 Windows 7 专业版、旗舰版、企业版 (32/64位) Windows 10（32位/64位） Windows 11（64位） Windows Server 2012 R2及以上（64位） Linux Server版 资产数：10 CentOS 7及以上 RedHat 8及以上 Euler 2.0及以上 Debian 10及以上 SUSE 12/15 Ubuntu16/18/20/22（X86/ARM） Huawei Cloud EulerOS 2.0 标准版（64位） 信创PC版 资产数：10 银河麒麟桌面操作系统V10及以上 统信桌面操作系统V20以上

前提条件 已确认待安装HiSec Endpoint Agent的终端满足安装要求，具体要求如表1所示。 表1 终端约束与限制 硬件要求 操作系统要求 CPU 内存 硬盘 2核CPU 4GB及以上 可用磁盘空间不少于10GB Windows 7 专业版、旗舰版、企业版 (32/64位) Windows 10（32位/64位） Windows 11（64位） Windows Server 2012 R2及以上（64位） 2核CPU 4GB及以上 可用磁盘空间不少于10GB 银河麒麟桌面操作系统V10及以上 统信桌面操作系统V20以上 CentOS 7及以上 Euler 2.0及以上 RedHat 8及以上 Euler 2.0及以上 SUSE 12/15 UOS Server 20 Debian 10及以上 Ubuntu16/18/20/22（X86/ARM） 2核CPU 4GB及以上 可用磁盘空间不少于10GB macOS 11及以上

后续处理 HiSec Endpoint Agent安装完成后，在线状态下会周期性检查云端是否有版本更新并自动升级。租户也可自行访问华为安全智能中心，对HiSec Endpoint Agent进行升级。升级完成后，HiSec Endpoint Agent自动启动，与云端保持连接，且HiSec Endpoint Agent的相关配置不会丢失。 HiSec Endpoint Agent的相关使用操作请参考《用户指南》。

相关操作 勒索事件支持导出，单次最多可导出10万条数据，具体导出方法如下所示。 在勒索事件列表中，按需筛选并导出勒索事件。 导出全部高级威胁事件：单击“导出”，选择“导出全部”。 导出部分高级威胁事件：勾选部分数据，单击“导出”，选择“导出选中”。 在风险提示窗口，勾选“我已仔细阅读操作提示并充分理解此操作的业务影响”，单击“确定”。 导出完成后，单击导出提示框的“下载中心”进入详情页面，在需要下载的文件的操作列，单击“下载”即可。

背景信息 勒索事件是指因勒索软件产生的威胁事件，包括文件篡改、漏洞利用等。 针对勒索事件，云端有如下几种处置方式： 云端智能分析后推荐处置规则，并成功终止进程和隔离相关文件，其状态显示为“处置成功”。 云端智能分析后无法推荐处置规则，由安全运营专家进一步分析后手动下发处置规则，成功终止进程和隔离相关文件，其状态显示为“处置成功”。 云端智能分析和安全运营专家根据现有信息无法处置，需要租户进行人工处置时，其状态显示为“未处置”。 租户需要对“未处置”的勒索事件进行处置，处置方法包括“快速处置”和“标记状态”。 快速处置：使用系统推荐的快速处置方式，租户需核实确认并进行处置下发。处置过程中勒索事件显示为“处置中”，处置成功则返回状态“处置成功”，处置失败则返回状态“处置失败”。 标记状态：租户可手动对勒索事件进行标记，标记后处置状态分别显示为“忽略”、“已人工处置”。 网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。（只在服务首页入口的威胁事件列表中可操作）

操作步骤 参考操作入口介绍选择一种操作入口，进入“勒索事件”的威胁事件列表。 本章节以“安全运营中心（威胁事件）”入口为例。 筛选待处置事件，即“事件处置状态”为“未处置”、“处置失败”和“事件超时关闭”的事件。 图1 待处置勒索事件 单击待处理事件的“事件名称”列，查看威胁事件详情，根据“处置建议”并结合实际情况，处置勒索事件。 完成处置后，可以在“处置记录”页签查看处置记录。 快速处置：运行中的进程和相关文件会按照“推荐处置动作”处置。 忽略：除打上忽略标记外不进行任何处理。 终止：立刻终止运行中的进程。 隔离：将相关恶意文件移至该终端的隔离区，30天后自动清理。在此之前，您可以在终端详情界面的隔离区中恢复隔离文件。 删除：删除由威胁事件衍生的恶意定时任务。 标记状态 忽略：经过排查后发现事件无需处理或者是误报时，可以将此事件标记为“忽略”。标记为“忽略”后，后续无需再关注此事件。除打上“忽略”标记外不进行任何处理。 已人工处置：您已根据具体的事件采取人工处置，比如对异常主机执行病毒查杀，并确认此主机已无安全风险。确认风险主机中已清除病毒文件后，将事件标记为“已人工处置”。除打上“已人工处置”标记外不进行任何处理。 未处置：除打上“未处置”标记外不进行任何处理。 已人工处置：您已根据具体的事件采取人工处置，比如对异常主机执行病毒查杀，并确认此主机已无安全风险。确认风险主机中已清除病毒文件后，将事件标记为“已人工处置”。除打上“已人工处置”标记外不进行任何处理。 网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。（只在服务首页入口的威胁事件列表中可操作） 单击具体事件名称，可以查看事件详情、处置建议以及处置记录。 当前，针对“检测到勒索病毒 WannaCry”这一特定勒索事件，安全运营专家提供了更为详细的处置手册。如果您不知如何处置，或者快速处置后未能有效解决，可以单击事件名称，在“处置建议”区域单击“处置手册”进行下载，按照指导步骤进一步深度清理。 图2 下载处置手册 （可选）如果用户需要查看勒索事件详细信息，可在“威胁分析”中查看。 威胁分析：展示攻击源和目的终端，以及对应事件的安全分析、取证信息和威胁信息。 路径分析：展示对应事件的攻击链和进程树。 图3 路径分析 单击“路径分析”页签后，云端将通过智能分析关联到新的风险项并自动添加到快速处置项中，可单击“快速处置”对攻击链上所有恶意进程或文件进行清理。若攻击链上涉及到暴力破解威胁事件，将一并进行处置，同时封禁外部攻击源。 忽略：除打上忽略标记外不进行任何处理。 终止：立刻终止运行中的进程。 隔离：将相关恶意文件移至该终端的隔离区，30天后自动清理。在此之前，您可以在终端详情界面的隔离区中恢复隔离文件。 删除：删除由威胁事件衍生的恶意定时任务。

后续处理 删除设备安全域： 您可以选择需要删除的设备安全域，单击操作栏的“删除”，删除指定设备安全域。 您可以选中多个需要删除的设备安全域后，单击右上方的“删除”按钮，批量删除设备安全域。 删除操作可能会影响失陷主机、外部攻击源事件的生成及威胁自动阻断功能，请谨慎操作。 更新安全域标签：您可以根据实际需求，通过调整安全域类型，帮助华为乾坤判定威胁事件。 您可以选择需要更新标签的设备，单击操作栏的“更新标签”，修改其安全域的类型。 您可以选中多个需要更新标签的设备后，单击右上方的“更新标签”按钮，批量修改其安全域的类型。 （可选）切换设备安全域显示视图： 单击可将设备安全域管理以卡片的视图呈现。单击卡片中的，以鼠标拖动的方式调整安全域的类型，完成后单击设备卡片右上角的“保存”按钮即可。

背景信息 华为乾坤需要识别攻击的发出区域、到达区域属于的安全域类型用于分析威胁事件。 华为乾坤提供以下几种类型的安全域： 信任域：用户信任的安全区域，通常用来定义用户的内部网络，华为乾坤不会对该区域发起的“威胁流量”进行封禁。 混合域：介于信任域和非信任域之间安全区域，属于一个特殊的网络，华为乾坤不会对该区域发起的“威胁流量”进行封禁。 非信任域：属于用户不信任的安全区域，通常用来定义Internet等不安全的网络，华为乾坤会自动封禁从该区域发起的“威胁流量”。

相关操作 RASP防护事件支持导出，单次最多可导出10万条数据，具体导出方法如下所示。 在RASP防护事件列表中，按需筛选并导出RASP防护事件。 导出全部RASP防护事件：单击“导出”，选择“导出全部”。 导出部分RASP防护事件：勾选部分数据，单击“导出”，选择“导出选中”。 在风险提示窗口，勾选“我已仔细阅读操作提示并充分理解此操作的业务影响”，单击“确定”。 导出完成后，单击导出提示框的“下载中心”进入详情页面，在需要下载的文件的操作列，单击“下载”即可。

背景信息 RASP（ Runtime Application Self-Protection ，运行时应用自我保护）。RASP使应用程序在运行环境中具备运行时自我防护能力，可监测应用运行环境中（如JVM）中的应用程序执行情况（应用逻辑、配置、数据和事件流等），在符合特定安全条件时进行控制，采取必要的防护措施（如终止用户会话、终止应用程序、告警）。 RASP防护事件存在聚合机制，对于终端、事件名称、进程ID、攻击源IP、攻击路径uri、攻击内容payload都相同的告警事件在一天内不会重复展示，只会增加攻击次数。

背景信息 每台终端均有一个黑白名单策略。云端会根据HiSec Endpoint Agent上报的进程信息，与黑白名单策略进行比对，用于判断该终端上是否存在恶意进程，并对相关进程进行管控。 如果进程在白名单中，表示用户认可该进程不存在潜在风险，系统将忽略其可能触发的风险行为，不会再上报给云端进行检测和处置。 如果进程在黑名单中，表示用户不希望该进程继续运行，如果检测到该进程启动，用户可以选择手动处置或开启自动处置功能，系统将在进程启动后自动关闭该进程。

背景信息 病毒文件会产生恶意进程，给终端造成了很大的安全隐患。智能终端安全服务支持对终端上的文件进行检测，筛查出病毒文件。 创建病毒扫描任务，是检测和处置病毒文件的前提。目前支持的病毒扫描任务创建模式为“快速查杀”、“全盘查杀”、“自定义查杀”。 快速查杀：建立节约时间的病毒扫描任务，使用系统默认的查杀策略对终端执行基本的病毒扫描。 全盘查杀：建立对于全磁盘的病毒扫描任务，对终端执行最彻底的病毒扫描。 自定义查杀：根据租户实际需求，使用针对性的查杀策略对终端执行病毒扫描任务。

操作步骤 参考操作入口介绍选择一种操作入口，进入“挖矿木马”的威胁事件列表。 本章节以“安全运营中心（威胁事件）”入口为例。 筛选待处置事件，即“事件处置状态”为“未处置”、“处置失败”和“事件超时关闭”的事件。 图1 挖矿木马待处置事件 单击待处理事件的“事件名称”列，查看威胁事件详情，根据“处置建议”并结合实际情况，处置挖矿木马事件。 完成处置后，可以在“处置记录”页签查看处置记录。 图2 挖矿木马事件详情 快速处置：默认情况下，运行中的进程和相关文件会按照“推荐处置动作”处置；如果用户期望对进程或文件进行自定义处置，可手动更改处置动作。 忽略：除打上忽略标记外不进行任何处理。 终止：立刻终止运行中的进程。 隔离：将相关恶意文件移至该终端的隔离区，30天后自动清理。在此之前，您可以在终端详情界面的隔离区中恢复隔离文件。 删除：删除由威胁事件衍生的恶意定时任务。 标记状态 忽略：经过排查后发现事件无需处理或者是误报时，可以将此事件标记为“忽略”。标记为“忽略”后，后续无需再关注此事件。除打上“忽略”标记外不进行任何处理。 已人工处置：您已根据具体的事件采取人工处置，比如对异常主机执行病毒查杀，并确认此主机已无安全风险。确认风险主机中已清除病毒文件后，将事件标记为“已人工处置”。除打上“已人工处置”标记外不进行任何处理。 未处置：除打上“未处置”标记外不进行任何处理。 网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。（只在服务首页入口的威胁事件列表中可操作） 单击具体事件名称，可以查看事件详情、处置建议以及处置记录。 （可选）如果用户需要查看挖矿木马详细信息，请单击“威胁分析”和“路径分析”查看。 威胁分析：展示攻击源和目的终端，以及对应事件的安全分析、取证信息和威胁信息。 路径分析：展示对应事件的攻击链和进程树。 图3 路径分析 单击“路径分析”页签后，云端将通过智能分析关联到新的风险项并自动添加到快速处置项中，可单击“快速处置”对攻击链上所有恶意进程或文件进行清理。若攻击链上涉及到暴力破解威胁事件，将一并进行处置，同时封禁外部攻击源。 忽略：除打上忽略标记外不进行任何处理。 终止：立刻终止运行中的进程。 隔离：将相关恶意文件移至该终端的隔离区，30天后自动清理。在此之前，您可以在终端详情界面的隔离区中恢复隔离文件。 删除：删除由威胁事件衍生的恶意定时任务。

相关操作 挖矿木马事件支持导出，单次最多可导出10万条数据，具体导出方法如下所示。 在挖矿木马事件列表中，按需筛选并导出挖矿木马事件。 导出全部高级威胁事件：单击“导出”，选择“导出全部”。 导出部分高级威胁事件：勾选部分数据，单击“导出”，选择“导出选中”。 在风险提示窗口，勾选“我已仔细阅读操作提示并充分理解此操作的业务影响”，单击“确定”。 导出完成后，单击导出提示框的“下载中心”进入详情页面，在需要下载的文件的操作列，单击“下载”即可。

背景信息 挖矿木马是指因挖矿软件产生的威胁事件，包括恶意域名访问、恶意样本创建、恶意IP连接等。 针对挖矿木马，云端有如下几种处置方式： 云端智能分析后推荐处置规则，并成功终止进程和隔离相关文件，其状态显示为“处置成功”。 云端智能分析后无法推荐处置规则，由安全运营专家进一步分析后手动下发处置规则，成功终止进程和隔离相关文件，其状态显示为“处置成功”。 云端智能分析和安全运营专家根据现有信息无法处置，需要租户进行人工处置时，其状态显示为“未处置”。 租户需要对“未处置”的挖矿木马事件进行处置，处置方法包括“快速处置”和“标记状态”。 快速处置：使用系统推荐的快速处置方式，租户需核实确认并进行处置下发。处置过程中挖矿木马事件显示为“处置中”，处置成功则返回状态“处置成功”，处置失败则返回状态“处置失败”。 标记状态：租户可手动对挖矿木马事件进行标记，标记后处置状态分别显示为“忽略”、“已人工处置”。 网络隔离：对存在风险的终端进行网络隔离。在智能终端安全服务首页概览页面单击“隔离终端”，在隔离终端列表可以执行“恢复”操作。（只在服务首页入口的威胁事件列表中可操作）