检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
在左侧导航栏,选择“安装与配置 > 容器安装与配置”,进入“容器安装与配置”页面。 在“集群”页签,单击“安装容器安全Agent”,弹出“容器资产接入与安装”对话框。 选择“非CCE集群(公网接入)”,并单击“开始配置”。 配置集群接入信息,并单击“生成命令”。
安装插件 开通容器安全防护后,如果您需要使用镜像阻断功能,请参照本章节安装Docker插件。 安装插件 登录管理控制台。 在页面左上角选择“区域”,单击,选择“安全与合规 > 企业主机安全”,进入主机安全平台界面。
容器安全提供对告警的处理,操作详情请参见处理容器告警事件。 父主题: 检测与响应
Agent是企业主机安全(Host Security Service, HSS)提供的Agent,用于执行检测任务,全量扫描主机/容器;实时监测主机/容器的安全状态,并将收集的主机/容器信息上报给云端防护中心。
容器 HSS暂仅支持为Docker和Containerd运行时的容器提供安全防护。 开启防护 根据您需要开启防护的版本,参考以下操作开启防护。 开启基础版/专业版/企业版/旗舰版防护 登录管理控制台。
主机指纹 容器指纹 容器指纹采集容器的账号、开放端口、进程、软件、自启动项、Web站点、Web框架、中间件、Web服务、Web应用、数据库、集群、服务、工作负载和实例资产,并展示资产的详细信息,帮助用户排查发现异常容器资产。 容器指纹 父主题: 安全
方案概述 企业主机安全(Host Security Service,HSS)是以工作负载为中心的安全产品,集成了主机安全、容器安全和网页防篡改,旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。HSS不受地理位置影响,为主机、容器等提供统一的可视化和控制能力。
容器安全 容器安全是HSS为容器提供的一种防护能力,通过部署在容器宿主机中的Agent,能够扫描镜像中的漏洞与配置信息,帮助企业解决传统安全软件无法感知容器环境的问题;同时容器安全提供容器进程白名单、文件只读保护和容器逃逸检测功能,可以有效防止容器运行时安全风险事件的发生。
如需对部分容器不检测容器逃逸行为,可设置镜像、进程、Pod名称白名单。
如需使用“网页防篡改版”或“容器版”,请先购买“网页防篡改版”或“容器安全”的配额,再开启网页防篡改版或容器版防护,购买操作请参见购买防护配额。 前提条件 在“资产管理 > 主机管理”页面,“云服务器”列表中,待切换防护配额的服务器防护状态为“防护中”。
您需要购买企业版、旗舰版、容器版或者网页防篡改版才能满足等保二级及以上的认证,基础版的功能无法满足整改要求。 购买企业版、旗舰版、网页防篡改版、容器版详情请参见购买主机安全防护配额。 父主题: 产品咨询
Agent每日凌晨定时执行安全检测任务,全量扫描主机或容器,实时监测主机或容器的安全状态,并将收集的主机或容器信息(包含不合规配置、不安全配置、入侵痕迹、软件列表、端口列表、进程列表等信息)上报给云端防护中心;此外Agent也会根据您配置的安全策略,阻止攻击者对主机或容器的攻击行为
容器安全 容器镜像安全 即使在Docker Hub下载的官方镜像中也常常包含了漏洞,而研发人员在使用大量开源框架时更加剧了镜像漏洞问题的出现。 容器镜像安全对镜像进行安全扫描,将镜像中存在的各种风险(镜像漏洞、账号、恶意文件等)进行展示,提示用户及时修改,消除安全隐患。
接入概述 主机/容器节点接入企业主机安全HSS并开启防护的流程如图 接入HSS流程所示。
如需使用“网页防篡改版”或“容器版”,请先购买“网页防篡改版”或“容器安全”的配额,再开启网页防篡改版或容器版防护,购买操作请参见购买防护配额。 前提条件 在“资产管理 > 主机管理”页面,“云服务器”列表中,待切换防护配额的服务器防护状态为“防护中”。
进入容器防护配额列表页面: 在左侧导航栏中,选择“资产管理 > 容器管理”。 在容器管理页面,选择“防护配额”页签。 在目标配额所在行的“操作”列,单击“更多 > 到期转按需”。 单击“确认”,跳转至费用中心的“到期转按需”页面。
具体支持防护的容器类型如表 容器防护限制所示。 表1 容器防护限制 类别 支持防护的容器类型 约束与限制 华为云 CCE集群容器 非集群纳管的容器 容器运行时限制:Docker、Containerd。 集群类型限制:CCE标准版、CCE Turbo版。
建议普通服务器开启企业版及以上防护,容器节点服务器开启容器版防护。 防护中 主机已开启防护。企业主机安全会持续优化迭代Agent版本,以便为您提供更好的服务器。请您参考以下操作检查Agent版本。
主机选择“主机资产”页面,查看主机指纹信息;容器节点选择“容器资产”页面,查看容器指纹信息。 在指纹列表中,选择具体的指纹类型,可查看对应指纹的详细信息。
容器镜像阻断 在Docker环境中容器启动前,对镜像异常行为策略中指定的不安全容器镜像进行告警并阻断。 暴力破解 检测“尝试暴力破解”和“暴力破解成功”等暴力破解。 检测账户遭受的口令破解攻击,封锁攻击源,防止云主机因账户破解被入侵。