检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
），攻击者利用漏洞可实现远程命令执行、读取服务器上任意文件、获取敏感信息等。 华为云提醒使用SaltStack的用户尽快安排自检并做好安全加固。 漏洞编号 CVE-2020-11651 CVE-2020-11652 漏洞名称 SaltStack远程命令执行漏洞 影响范围 影响版本：
如何为高危命令执行类告警添加白名单？ 如果您在服务器上执行了正常业务相关命令，HSS进行“高危命令执行”告警，您可以添加白名单，避免告警。 添加命令告警白名单方式如下： 登录管理控制台。 在页面左上角选择“区域”，单击，选择“安全与合规 > 企业主机安全”，进入主机安全平台界面。
Integer 子进程有效用户ID virt_cmd String 虚拟化命令 virt_process_name String 虚拟化进程名称 escape_mode String 逃逸方式 escape_cmd String 逃逸后后执行的命令 process_hash String
制作Agent安装包或安装命令 使用1台Linux服务器，制作Agent安装命令（Linux）或Agent安装包（Windows）。 制作Agent安装命令（Linux） 登录任一Linux服务器。 执行以下命令进入tmp目录。 cd /tmp 依次执行以下命令，将VPC终端节点IP写入private_ip
1.1.1d、OpenSSL 1.1.1e、OpenSSL 1.1.1f的高危漏洞（CVE-2020-1967），该漏洞可被用于发起DDoS攻击。 漏洞编号 CVE-2020-1967 漏洞名称 OpenSSL高危漏洞 影响范围 OpenSSL 1.1.1d OpenSSL 1
通过代理服务器制作Agent安装包或安装命令 根据第三方服务器操作系统类型，通过代理服务器制作对应的Agent安装命令（Linux）或Agent安装包（Windows）。 通过代理服务器制作Agent安装命令（Linux） 登录代理服务器 执行以下命令进入tmp目录。 cd /tmp 依次执行以下命令查看private_ip
检测各个主机的进程信息，包括进程ID、命令行、进程路径、行为等。 对于进程的非法行为、黑客入侵过程进行告警。 进程异常行为可以监控以下异常行为： 监控进程CPU使用异常。 检测进程对恶意IP的访问。 检测进程并发连接数异常等。 高危命令执行 实时检测当前系统中执行的高危命令，当发生高危命令执行时，及时触发告警。
√ √ root提权 检测当前系统文件路径的root提权行为。 Linux 已启用 √ √ √ √ √ 实时进程 检测进程中高危命令的执行行为，发生高危命令执行时，触发告警。 Linux，Windows 已启用 √ √ √ √ √ rootkit检测 检测服务器资产，对可疑的内核模块和可疑的文件或文件夹进行告警上报。
说明 高危命令 检测包含关键词的高危命令。命令输入只能包含字母、数字、下划线、空格和符号（/*\=>. : ' " +- ）。 说明： 暂不支持检测Shell内置命令。 白名单（不记录/不上报） 添加检测时放行、忽略的路径或程序名；同时可填写需要加白的命令行的正则表达式，命令行正则表达式非必填。
通过非CCE集群（私网）模式接入时，已完成镜像仓信息配置并生成命令，但未在集群节点上执行命令。可参考本章节进入修改接入信息的页面，查看并执行后续操作。 通过非CCE集群（公网）模式接入时，已完成接入信息配置并生成命令，但未在集群节点上执行命令。可参考本章节进入修改接入信息的页面，查看并执行后续操作。
helper的协议流中。受影响Git版本对恶意URL执行git clone命令时，会触发此漏洞，攻击者可利用恶意URL欺骗Git客户端发送主机凭据。 本实践介绍通过HSS检测与修复该漏洞的建议。 SaltStack远程命令执行漏洞（CVE-2020-11651/CVE-2020-11652）
您服务器的网卡和执行Agent安装的服务器已挂载的弹性网卡存在路由冲突，不支持打通VPC网络，建议通过命令行方式安装Agent。 通过命令行安装Agent失败 如果您通过“命令行”安装模式（即登录服务器执行命令）安装Agent失败，可参考本节根据执行命令后的界面回显处理问题。 Linux安装Agent失败 问题现象：网络不通，访问超时
基本概念 账户破解 账户破解指入侵者对系统密码进行猜解或暴力破解的行为。 基线 基线是指操作系统和数据库配置需要满足的最低安全配置要求，基线范围包括账号管理，口令策略配置，授权管理，服务管理，配置管理，网络配置，权限管理等。HSS提供等保合规基线、云安全实践基线、通用安全标准基线检测，可满足用户多种安全合规检测需求。
如果想进一步确定，请参考如下方式： Linux主机 您可以在“/var/log/secure”和“/var/log/message”路径下查看主机登录日志，或使用last命令查看登录记录中是否有异常登录。 Windows主机 您可以参考以下步骤查看主机登录日志： 打开“控制面板”。 选择“管理工具 > 事件查看器”，进入“事件查看器”页面。
ID前八位字符。 使用Administrator身份运行cmd命令行窗口。 执行如下命令，关闭HSS自保护。 "C:\Program Files\HostGuard\bin\HssClient.exe"1234abcd 命令中包含的1234abcd表示Agent ID前八位字符。以Agent
双击“密码长度最小值”，填入长度（建议大于等于8），单击“确定”，设置“密码长度最小值”策略。 使用Windows+R组合键，打开运行界面。 输入“cmd”并单击“确认”，进入命令提示符窗口。 执行以下命令，刷新策略。 gpupdate/force 刷新成功后，以上设置被应用于系统中。 父主题： 基线检查
启动Hostwatch后会自动拉起Hostguard。 Agent为4.0.18及以上版本： 以管理员administrator权限登录主机。 打开cmd命令提示符窗口，依次执行以下命令停止服务。 sc control hostwatch 198 sc control hostguard 198 如图 停止
企业主机安全支持检测容器安全风险，并将容器安全风险分为以下几类： 致命：恶意程序等 高危：勒索攻击、恶意程序、反弹shell、逃逸攻击、危险命令等 中危：Webshell、异常启动、进程异常、敏感文件访问等 低危：暴力破解等 为避免有中危及以上安全风险容器影响其他容器的正常运行和使
基线检查 > 口令复杂检测策略”页面，提供的建议中提示需安装PAM。 如果云服务器的操作系统为Debian或Ubuntu，请以管理员用户在命令行终端执行命令apt-get install libpam-cracklib进行安装。 CentOS、Fedora、EulerOS系统默认安装了PAM并默认启动。
私网自建集群接入HSS过程中，在集群上执行镜像上传命令上传镜像到私有镜像仓失败，报错“http: server gave HTTP response to HTTPS client”，如图 上传失败所示。 图1 上传失败 解决办法 使用如下命令，替换镜像上传命令中的“docker manifest
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
