检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
议。更多说明请参见态势感知与其他安全服务之间的关系与区别。 与ECS的关系 态势感知为弹性云服务器(Elastic Cloud Server,ECS)提供资产安全管理服务,结合HSS主机防护状态,全方位呈现当前ECS安全风险态势,并提供相应防护建议。 与IAM的关系 统一身份认证服务(Identity
Control,简称C&C)域名的技术,常被用于逃避域名黑名单功能的检测。 攻击者利用DGA生产恶意域名后,选择部分域名进行注册并指向C&C服务器。当受害者运行恶意程序后,主机将通过恶意域名连接至C&C服务器,攻击者即可远程操控主机。
使用远程管理工具(例如:“Xshell”、“SecureCRT”、“PuTTY”),通过弹性IP地址登录到待开通授权的弹性云服务器。 也可使用弹性云服务器的“远程登录”功能,登录弹性云服务器。 执行复制的命令(这里用“SecureCRT”工具登录)。 提示“Install Success”时则执行成功,完成Linux主机授权。
SL、Apache、MySQL等)是否存在的漏洞,呈现漏洞结果,并提供修复建议。 Windows系统漏洞检测 通过订阅微软官方更新,判断服务器上的补丁是否已经更新,并推送微软官方补丁,呈现漏洞结果,并提供修复建议。 Web-CMS漏洞检测 通过对Web目录和文件进行检测,识别出Web-CMS漏洞,呈现漏洞结果。
mnit checkin木马、被入侵后执行wannacry勒索病毒相关的DNS解析请求、被入侵后尝试下载木马程序,被入侵后访问HFS下载服务器等。 僵尸主机事件 “实时检测”资产被入侵后对外发起攻击的威胁。共支持检测7种子类型的僵尸主机威胁。 对外发起SSH暴力破解 对外发起RDP暴力破解
通知设置”,并在设置页面选择“扫描任务”页签,进入扫描任务设置页面。 图1 扫描任务设置页面 在“主机漏洞扫描&主机基线扫描”栏下,单击“一键同步”,同步当前账号下的弹性服务器IP信息,刷新“IP地址”列表。 在“主机漏洞扫描&主机基线扫描”栏下,选择需要执行扫描的主机,单击“开始扫描”,启动扫描任务。 “扫描状态”为“已完成”时,可在“态势感知
自动执行基线检查。 立即检查:如果您新增或修改了自定义的基线检查计划,您可以在基线检查页面选择该基线检查计划,立即执行基线检查,实时查看服务器中是否存在对应的基线风险。 约束限制 “立即检查”任务在10分钟内仅能执行一次。 手动立即执行“定期自动检查任务”在10分钟内仅能执行一次。
当接收到来源于HSS的告警事件时,请登录HSS管理控制台确认并处理告警事件。 若您的主机被爆破成功,检测到入侵者成功登录主机,账户下所有云服务器可能已被植入恶意程序,建议参考如下措施,立即处理告警事件,避免进一步危害主机的风险。 请立即确认登录主机的源IP的可信情况。 请立即修改被暴力破解的系统账户口令。
462fcc", "name" : "ecs-s3_large_2_win-20200828214727", "type" : "cloudservers", "provider" : "ecs", "region_id" : "xx-xx-1"
基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。例如:针对SA服务,管理员能够控制IAM用户仅能对某一类云服务器资源进行指定的管理操作。SA支持的授权项请参见权限及授权项。 如表1所示,包括了SA的所有系统权限。 表1 SA系统权限 策略名称 描述
态势感知支持实时检测整体资产的安全状态,评估整体资产安全健康得分。通过查看安全评分,可快速了解未处理风险对资产的整体威胁状况。 资产安全风险修复后,为降低安全评分的风险等级,目前需手动忽略或处理告警事件,刷新告警列表中告警事件状态。告警事件状态刷新并启动重新检测后,安全评分将更新。 图1 安全评分
新增的子检查项: “身份认证”新增 3项子检查项,包括IAM用户多因素认证检查、管理员账户AK/SK启用检查、ECS密钥对登录检查。 “访问控制”新增 5项子检查项,包括ECS实例安全组规则检查、DDS实例安全组规则检查、DCS实例安全组规则检查、ELB实例访问控制启用检查、WAF回源配置检查。
联网上的暴露面非常少(所谓“暴露面”是指资产可被攻击或利用的风险点,例如端口暴露和弱口令都可能成为风险点),那么遭受到攻击的可能性也将大大降低,所以态势感知可能会显示您的系统当前遭受的攻击程度较低。 如果您认为态势感知未能真实反映系统遭受攻击的状况,欢迎您向客服反馈问题。 详细说明请参见态势感知工作原理和功能介绍。
格配置如下: 服务版本+主机配额:标准版+1台ECS主机 用了一段时间后,用户发现当前规格态势感知无法满足业务需要,于2023/06/18进行了升级。服务版本升级为专业版。升级后,规格配置如下: 服务版本+主机配额:专业版+1台ECS主机 那么在6~7月份,总共产生多少费用呢? 计费构成分析
态势感知 > 综合大屏”,单击“主机安全态势”,查看华为云主机安全态势大屏。 查看“TOP5风险云主机”窗口,如图2。可查看TOP5风险主机的名称、主机系统和安全风险等级,并按照风险等级从高到低的依次排序。TOP5风险云主机最多展示5条。安全风险等级由高到低分别是“致命”、“高危”、“中危”、“低危”和“提示”。
处理建议 SSH暴力破解 中危 检测到ECS实例被不断尝试SSH登录,代表有攻击者正在尝试对ECS实例做SSH暴力破解攻击尝试。 攻击发生主要原因是SSH端口开放到公网,因此建议按照如下方式处理: 在安全组设置中限制外部SSH访问; 在ECS操作系统中配置hosts.deny。 RDP暴力破解
漏洞攻击类威胁处理建议 威胁告警名称 告警等级 威胁说明 处理建议 MySQL漏洞攻击 低危 检测到ECS实例被尝试利用MySQL漏洞攻击,代表ECS实例被尝试使用MySQL漏洞进行攻击。 攻击发生主要原因是ECS实例在公网上开放了MySQL服务,因此建议按照如下方式处理: 配置安全组规则,限制MySQL服务公网访问;
处理建议 当检测到后门木马类威胁时,ECS实例存在木马程序网络请求,代表ECS实例已经存在被植入木马的特征,如尝试做wannacry勒索病毒相关DNS解析请求、尝试下载exe类木马程序等,属于“高危”告警级别威胁。因此建议按照如下方式处理: 关闭被攻击ECS实例; 检查实例所在子网的其他主机是否被入侵;
风险主机趋势 TOP5风险云主机 如图6所示,TOP5风险云主机按照安全风险等级由高到低展示了当天受威胁主机的相关信息,包括主机名称、主机系统及受到的攻击程度。TOP5风险云主机最多展示5条。安全风险等级由高到低分别是致命、高危、中危、低危和提示。 图6 风险云主机 近7天暴力破解趋势
处理建议 当检测到僵尸主机类威胁时,检测到ECS实例存在挖矿特性行为(如访问矿池地址等)、对外发起DDoS攻击或暴力破解攻击,代表ECS实例可能已经被植入挖矿木马或后门程序,可能变成僵尸网络,属于“高危”告警级别威胁。因此建议按照如下方式处理: 对ECS实例做病毒木马查杀,查杀失败则关闭该实例;