检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
利用内核漏洞进行root提权。 关键文件变更 对于系统关键文件进行监控，文件被修改时告警，提醒用户关键文件存在被篡改的可能。 文件/目录变更 对于系统文件/目录进行监控，文件/目录被修改时告警，提醒用户文件/目录存在被篡改的可能。 进程异常行为 检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。
支持的操作系统：Linux、Windows。 进程异常行为 检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。 对于进程的非法行为、黑客入侵过程进行告警。 进程异常行为可以监控以下异常行为： 监控进程CPU使用异常。 检测进程对恶意IP的访问。 检测进程并发连接数异常等。 支持的操作系统：Linux、Windows。
检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。 对于进程的非法行为、黑客入侵过程进行告警。 进程异常行为可以监控以下异常行为： 监控进程CPU使用异常。 检测进程对恶意IP的访问。 检测进程并发连接数异常等。 高危系统调用 Linux系统调用是用户进程进入内核执行任务的请求通道。CGS监控容
自保护是企业主机安全的自我保护功能，具体功能如下： Windows自保护：防止恶意程序卸载Agent、篡改企业主机安全文件或停止企业主机安全进程。 Linux自保护：防止恶意程序停止企业主机安全进程、卸载Agent。 自保护功能默认是关闭状态，如果需要开启/关闭该功能，请参考本章节操作。 约束限制 仅企业主机
Agent重启次数≥17次，当天Agent将进入静默状态，第二天恢复正常。 主机内存不足：主机内存不足50MB时会导致Agent防护降级。如果主机内存不足，持续大约3分钟左右，Agent会逐渐降级并最终进入静默状态。待主机可用内存充足（大于250MB）时，Agent状态才会恢复正常。 图1 Agent防护降级
资产概览 展示您所使用全量资产的状态和清点情况。包括Agent状态、防护状态、配额情况以及账号、端口、进程、软件、自启动项的清点情况。 约束限制 未开启防护不支持查看资产概览。 查看资产概览 登录管理控制台。 在页面左上角选择“区域”，单击，选择“安全与合规 > 企业主机安全”，进入主机安全平台界面。
通过CBH安装HSS的Agent 主机防护 防御勒索病毒 护网/重保 02 购买 根据业务的实际情况，您可以灵活选择HSS的服务版本。 服务规格 服务版本 如何计费 价格体系 如何购买 购买防护配额 04 使用 根据业务发展需要，您可以随时切换版本、修改安全防护配置。此外，HSS还
企业主机安全升级失败怎么处理？ Agent升级说明 无论升级前还是升级后同一台主机都会同时在企业主机安全新、旧版呈现，服务器状态以使用的控制台版本为准。 整个升级Agent过程均为免费。 升级时查看“Agent状态”为“在线”才能正常升级。 升级过程中不影响您在云服务器上业务的正常使用。
如果Agent运行时占用主机内存超限自动重启或其他原因导致Agent重启，在30分钟内重启次数达12次，Agent当天会进入为空载状态，在第二天恢复正常。空载状态下Agent所有防护功能关闭，仅可通过控制台执行升级、卸载操作。Agent占用主机内存的详细说明请参见内存占用峰值。 如需手动
行的应用进程特征，将应用进程划分为可信进程、恶意进程和可疑进程，允许可疑、可信进程正常运行，对恶意进程运行进行告警，帮助用户构建安全的应用进程运行环境，避免服务器遭受不受信或恶意应用进程的破坏。 支持的操作系统：Linux、Windows。 检测周期：实时检测。 × × × √ √
Linux Agent相关进程 Agent进程运行账号：root。 Agent包含以下进程： 表1 Linux主机Agent运行进程 Agent进程名称 进程功能 进程所在路径 hostguard 该进程用于系统的各项安全检测与防护、Agent进程的守护和监控。 /usr/lo
体验。 Agent运行时的进程 Linux主机 Agent运行账号为“root”，运行时包含的进程如表 Linux主机Agent运行进程所示。 表1 Linux主机Agent运行进程 Agent进程名称 进程功能 进程所在路径 hostguard 该进程用于系统的各项安全检测与防护、Agent进程的守护和监控。
勒索攻击 fileless_0001 : 进程注入 fileless_0002 : 动态库注入进程 fileless_0003 : 关键配置变更 fileless_0004 : 环境变量变更 fileless_0005 : 内存文件进程 fileless_0006 : vdso劫持
扫描病毒 静态病毒文件一旦启动就可能化身恶意进程，成为服务器的巨大安全隐患，因此提前查杀静态病毒文件是防护服务器安全的关键之一。HSS的病毒查杀功能，支持扫描服务器上的病毒文件，并提供以下三种病毒扫描方式供您扫描病毒： 快速查杀：节约时间成本的快速病毒扫描任务，查杀预置的系统关键文件和目录。
测的路径，多个路径可通过回车换行分隔。 模糊匹配 /usr/sbin/hald 内存型进程 内存型进程：开启/关闭内存型进程检测。 ：开启。 ：关闭。 全量进程检测：开启/关闭对全量进程的内存型进程威胁检测。 ：开启。 ：关闭。 白名单匹配规则：即您配置好的“路径白名单”匹配规则，单击选择白名单匹配规则，可选项如下：
击 容器信息模块 容器命名空间、容器开放端口、容器安全选项、容器挂载目录 容器进程白名单 容器进程异常事件上报 无文件攻击检测 进程注入、动态库注入、内存文件进程 文件保护 文件目录变更、关键文件变更、文件提权 HIPS检测 Windows Defender防护被禁用、可疑的黑客
无法选中待升级的服务器。 在弹框中确认需要升级的云服务器，确认无误，单击“确认”，平台自动执行升级操作。 升级时可在步骤3进入的企业主机安全（旧版）界面查看目标云服务器的“Agent状态”为“升级成功”表示升级成功。 升级过程中出现升级失败或完成后仍然显示未安装处理办法可参见Ag
毒类型等信息，帮助您快速排查溯源定位处理攻击源。 进程树：当告警事件含进程信息时，调查取证栏目会展示进程树。进程树信息包含进程ID、进程文件路径、进程命令行、进程启动时间、进程文件hash等信息，您可以根据这些进程信息定位恶意进程。 文件取证信息：当告警事件含文件信息时，调查取证
勒索攻击 fileless_0001 : 进程注入 fileless_0002 : 动态库注入进程 fileless_0003 : 关键配置变更 fileless_0004 : 环境变量变更 fileless_0005 : 内存文件进程 fileless_0006 : vdso劫持
× √ 容器进程白名单 检测违反安全策略的进程启动。 Linux 未启用 × × × × √ 镜像异常行为 配置目标黑白名单，自定义权限对异常行为进行忽略或告警上报。 Linux 未启用 × × × × √ HIPS检测 主要针对注册表、文件及进程进行检测，对异常变更等操作行为进行告警上报。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
