检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
由于网络攻击手段、病毒样本在不断演变，实际的业务环境也有不同差异，因此，无法保证能实时检测防御所有的未知威胁，建议您基于安全告警处理、漏洞、基线检查等安全能力，提升整体安全防线，预防黑客入侵、盗取或破坏业务数据。 登录管理控制台。 在页面左上角选择“区域”，单击，选择“安全与合规
角来描述攻击中各阶段用到的技术的模型。 表2 ATT&CK攻击阶段说明 ATT&CK攻击阶段 说明 侦查 攻击者尝试发现您的系统或网络中的漏洞。 初始访问 攻击者尝试进入您的系统或网络。 执行 攻击者尝试运行恶意代码。 持久化 攻击者尝试保持住它们入侵的进攻点。 权限提升 攻击者尝试获取更高等级的权限。
秒级计费，按小时结算。 适用计费项 配额版本：基础版、专业版、企业版、旗舰版、网页防篡改版和容器版。 配额版本：企业版、容器版。 病毒查杀（按次收费）：扫描每台主机成功的次数。 关闭防护是否计费 按订单的购买周期计费。主机、容器关闭防护对包年/包月计费无影响。 关闭防护后不计费。 是否支持变更计费模式
用于远端备份的服务器，需满足以下条件： 华为云Linux服务器。 “服务器状态”为“运行中”。 已安装HSS的Agent且“Agent状态”为“在线”。 Linux备份服务器与防护服务器间网络可通时即可使用远程备份功能，但为保证备份功能的正常工作，建议您将同一内网中的服务器设置为备份服务器。
CPU占用比例超过1vCPU的25%，Agent将自动重启。 Agent定时检测任务会基于使用地时间在每日00：00-04：00执行，全量扫描主机，不会影响主机系统的正常运行。 如果Agent正在执行病毒查杀任务，病毒查杀程序会额外占用部分CPU，占用最多不超过多核的30%。关于病毒查杀的详细介绍请参见病毒查杀。
如果HSS完成服务器学习后，发现的可疑进程事件中存在较多信任的应用进程运行事件，您可以设置HSS扩展进程白名单，通过比对HSS已学习到的应用进程和资产指纹功能扫描到的进程指纹，进一步扩展HSS应用进程情报库，补充可信进程白名单。 （可选）重新学习服务器 已完成进程白名单扩展，但仍然存在较多可信进程运
Agent Agent通过HTTPS和WSS协议与HSS云端防护中心进行连接通信，默认端口：10180。 每日凌晨定时执行检测任务，全量扫描主机；实时监测主机的安全状态；并将收集的主机信息（包含不合规配置、不安全配置、入侵痕迹、软件列表、端口列表、进程列表等信息）上报给云端防护中心。
用于长期、稳定的业务需求。以下是一些适用于包年/包月计费模式的业务场景： 稳定业务需求：对于长期运行且资源需求相对稳定的业务，如企业官网、在线商城、博客等，包年/包月计费模式能提供较高的成本效益。 长期项目：对于周期较长的项目，如科研项目、大型活动策划等，包年/包月计费模式可以确保在整个项目周期内资源的稳定使用。
高检出模式下的进程异常行为告警可能存在误报情况。 单击目标策略组名称，进入策略列表页面。 单击“webshell检测”名称，进入策略详情页面，编辑策略。 在“用户指定扫描路路径”中添加您的Web目录，防止因HSS未能自动识别Web目录，导致漏报告警。 图3 编辑webshell检测策略 策略修改完成，单击“”，修改完成。
科学计算。 适用计费项 以下计费项支持按需计费： 表1 适用计费项 计费项 说明 配额版本 包括企业版、容器版。 病毒查杀（按次收费） 按扫描每台主机成功的次数计费。 计费周期 按需计费企业主机安全资源按秒计费，每一个小时整点结算一次费用（以UTC+8时间为准），结算完毕后进入新的计费周期。
防护策略对应的防护等级说明 策略名称 防护等级 集群入侵检测 1 容器逃逸 1 容器文件监控 1 容器进程白名单 1 镜像异常行为 1 无文件攻击检测 1 端口扫描检测 1 进程异常行为 1 root提权 1 rootkit检测 1 AV检测 1 外联检测 1 容器防逃逸 1 容器信息收集 2 webshell检测
Linux 已启用 √ √ √ √ √ 外联检测 检测进程主动连接到外部网络的行为。 Linux 已启用 √ √ √ × √ 端口扫描检测 检测用户指定的端口存在被扫描或者嗅探的行为，一旦发现进行告警上报。 Linux 未启用 × × √ √ √ 进程异常行为 通过对运行进程的管控，全局监
host_public_ip String 服务器公网IP host_private_ip String 服务器私网IP scan_time Long 扫描时间(ms) failed_num Integer 风险项数量 passed_num Integer 通过项数量 请求示例 查询企业项目i
在“处理告警事件”对话框中，单击“确定”，处置告警完成。 相关操作 在使用HSS+CBR之外，建议按照如下方式从其他方面提升自身“免疫力”： 收敛互联网暴露面：定期扫描外部端口，保证公开范围最小化。 加强网络访问控制：各企业应具有明确的网络安全区域划分、访问限制规则，最小化开放访问权限，及时更新访问控制规则。
user_home_dir String 用户目录 shell String 用户启动shell recent_scan_time Long 最近扫描时间 container_id String 容器id container_name String 容器名称 请求示例 默认查询账号为daemon的服务器列表
服务器ip version String 版本号 update_time Long 软件更新时间 recent_scan_time Long 最近扫描时间 请求示例 默认查询前10条开始时间为1700446175490，结束时间为1701050975490的软件信息的历史变动记录 GET
String 采用sha256算法生成的文件hash值 run_user String 运行用户 recent_scan_time Long 最近扫描时间 请求示例 默认查询前10条自启动项名称为S50multi-queue的服务列表 GET https://{endpoint}/v5/
String 版本号 update_time Long 更新时间，最近一次更新的时间，用毫秒表示 recent_scan_time Long 最近扫描时间，用毫秒表示 container_id String 容器id container_name String 容器名称 请求示例 默认查询前10条软件名称为acl的服务器列表
package_path String 包路径 is_embedded Integer 显示的是否是嵌套包 record_time Long 扫描时间 请求示例 默认查询前10条中间件名称为log4j-core-2.8.2.jar，类别为主机的服务器列表 GET https://{e
行告警。 文件保护原理 基于行为特征进行分析，关注可疑的行为或活动。 侧重关注文件的完整性，使用对比的方法来确定当前文件状态是否不同于上次扫描该文件时的状态。 支持的操作系统 文件提权：Linux 文件/目录变更：Windows、Linux Linux 优势 不仅能监控文件，还能
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
