什么是主機(jī)安全告警事件
怎么處理主機(jī)安全告警事件
當(dāng)發(fā)生安全告警事件后，為了保障您的云服務(wù)器安全，可以根據(jù)以下方式處理安全告警事件。
說(shuō)明：
由于網(wǎng)絡(luò)攻擊手段、病毒樣本在不斷演變，實(shí)際的業(yè)務(wù)環(huán)境也有不同差異，因此，無(wú)法保證能實(shí)時(shí)檢測(cè)防御所有的未知威脅，建議您基于安全告警處理、漏洞、基線檢查等安全能力，提升整體安全防線，預(yù)防黑客入侵、盜取或破壞業(yè)務(wù)數(shù)據(jù)。
操作步驟
1、登錄管理控制臺(tái)，在頁(yè)面左上角選擇“區(qū)域”，單擊，選擇“安全與合規(guī) > 企業(yè)主機(jī)安全”，進(jìn)入主機(jī)安全平臺(tái)界面。
2、在彈窗界面單擊“體驗(yàn)新版”，切換至主機(jī)安全服務(wù)頁(yè)面。
3、在左側(cè)導(dǎo)航欄中，單擊“入侵檢測(cè) > 安全告警事件 > 主機(jī)安全告警”，進(jìn)入“主機(jī)安全告警”頁(yè)面。
安全告警統(tǒng)計(jì)說(shuō)明
|
告警事件狀態(tài)
|
告警事件狀態(tài)說(shuō)明
|
|---|---|
存在告警的服務(wù)器 |
展示存在告警的服務(wù)器數(shù)量。 |
待處理告警事件 |
展示您資產(chǎn)中所有待處理告警的數(shù)量。 安全告警處理頁(yè)面默認(rèn)展示所有待處理告警信息，更多詳細(xì)內(nèi)容請(qǐng)參見(jiàn)主機(jī)告警事件類(lèi)型說(shuō)明。 |
已處理告警事件 |
展示您資產(chǎn)中所有已處理的告警事件數(shù)量。 |
已攔截IP |
展示已攔截的IP。單擊“已攔截IP”，可查看已攔截的IP地址列表。 已攔截IP列表展示“服務(wù)器名稱(chēng)”、“攻擊源IP”、“攻擊類(lèi)型”、“攔截次數(shù)”、“開(kāi)始攔截時(shí)間”、“最近攔截時(shí)間”、“攔截時(shí)長(zhǎng)”和“攔截狀態(tài)”。 如果您發(fā)現(xiàn)有合法IP被誤封禁（比如運(yùn)維人員因?yàn)橛涘e(cuò)密碼，多次輸錯(cuò)密碼導(dǎo)致被封禁），可以手工解除攔截。如果發(fā)現(xiàn)某個(gè)主機(jī)被頻繁攻擊，需要引起重視，建議及時(shí)修補(bǔ)漏洞，處理風(fēng)險(xiǎn)項(xiàng)。 須知：解除被攔截的IP后，主機(jī)將不會(huì)再攔截該IP地址對(duì)主機(jī)執(zhí)行的操作。 |
已隔離文件 |
主機(jī)安全可對(duì)檢測(cè)到的威脅文件進(jìn)行隔離處理，被成功隔離的文件會(huì)添加到“主機(jī)安全告警”的“文件隔離箱”中。 被成功隔離的文件一直保留在文件隔離箱中，您可以根據(jù)自己的需要進(jìn)行一鍵恢復(fù)處理，關(guān)于文件隔離箱的詳細(xì)信息，請(qǐng)參見(jiàn)管理文件隔離箱。 |
4、處理告警事件。
說(shuō)明：
● 告警事件展示在“主機(jī)安全告警”頁(yè)面中，事件列表僅展示最近30天的告警事件。
● 您需要根據(jù)自己的業(yè)務(wù)需求，自行判斷并處理告警。告警事件處理完成后，告警事件將從“未處理”狀態(tài)變更為“已處理”。主機(jī)安全將不再對(duì)已處理的事件進(jìn)行統(tǒng)計(jì)，并且不在“總覽”頁(yè)展示。
?批量處理全量告警
（1）通過(guò)“事件類(lèi)型”選中需要全量處理的告警項(xiàng)，單擊“事件列表”下方的“批量處理”。
（2）在彈窗中選擇處理方式，確認(rèn)無(wú)誤，單擊“確認(rèn)”，完成全量告警處理。
說(shuō)明：批量處理后的告警無(wú)法進(jìn)行二次批量處理，若需二次處理告警事件，只能逐條處理。
?批量處理勾選的告警
（1）任意選中“事件類(lèi)型”，在事件列表勾選多個(gè)目標(biāo)告警，單擊“事件列表”下方的“批量處理”。
（2）在彈窗中選擇處理方式，確認(rèn)無(wú)誤，單擊“確認(rèn)”，完成勾選告警處理。
?處理單個(gè)告警
（1）選中目標(biāo)“事件類(lèi)型”，單擊目標(biāo)告警事件“操作”類(lèi)的“處理”。
（2）在彈窗中選擇處理方式，確認(rèn)無(wú)誤，單擊“確認(rèn)”，完成單個(gè)告警處理。
處理主機(jī)安全告警的方式有哪些
|
處理方式
|
處理方式說(shuō)明
|
|---|---|
忽略 |
僅忽略本次告警。若再次出現(xiàn)相同的告警信息，HSS會(huì)再次告警。 |
隔離查殺 |
選擇隔離查殺后，該程序無(wú)法執(zhí)行“讀/寫(xiě)”操作，同時(shí)該程序的進(jìn)程將被立即終止。HSS將程序或者進(jìn)程的源文件加入文件隔離箱，被隔離的文件不會(huì)對(duì)主機(jī)造成威脅。 您可以單擊“文件隔離箱”，查看已隔離的文件，詳細(xì)信息請(qǐng)參見(jiàn)管理文件隔離箱。 有以下告警事件支持線上隔離查殺。 ● 惡意程序 ● Webshell ● 勒索軟件 ● 進(jìn)程異常行為 說(shuō)明：程序被隔離查殺時(shí)，該程序的進(jìn)程將被立即終止，為避免影響業(yè)務(wù)，請(qǐng)及時(shí)確認(rèn)檢測(cè)結(jié)果，若隔離查殺有誤報(bào)，您可以執(zhí)行取消隔離/忽略操作。 |
手動(dòng)處理 |
選擇手動(dòng)處理。您可以根據(jù)自己的需要為該事件添加“備注”信息，方便您記錄手動(dòng)處理該告警事件的詳細(xì)信息。 |
加入登錄白名單 |
如果確認(rèn)“賬號(hào)暴力破解”和“賬戶(hù)異常登錄”類(lèi)型的告警事件是誤報(bào)，且不希望主機(jī)安全再上報(bào)該告警，您可以將本次登錄告警事件加入登錄白名單。 主機(jī)安全不會(huì)對(duì)登錄白名單內(nèi)的登錄事件上報(bào)告警。加入登錄白名單后，若再次出現(xiàn)該登錄事件，則主機(jī)安全不會(huì)告警。 有以下告警事件支持加入登錄白名單。 ● 暴力破解 ● 異常登錄 |
加入告警白名單 |
如果確認(rèn)以下類(lèi)型的告警事件是誤報(bào)，且不希望主機(jī)安全再上報(bào)該告警，您可以將本次告警事件加入告警白名單。 主機(jī)安全不會(huì)對(duì)告警白名單內(nèi)的告警事件上報(bào)告警。加入告警白名單后，若再次出現(xiàn)該告警事件，則HSS不會(huì)告警。 有以下告警事件支持加入告警白名單。 ● 反彈Shell ● 勒索軟件 ● 惡意程序 ● Webshell ● 進(jìn)程異常行為 ● 進(jìn)程提權(quán) ● 文件提權(quán) ● 高危命令執(zhí)行 ● 惡意軟件 ● 關(guān)鍵文件變更 ● 文件/目錄變更 ● 異常Shell ● Crontab可疑任務(wù) ● 非法系統(tǒng)帳號(hào) ● 一般漏洞利用 ● Redis漏洞利用 ● Hadoop漏洞利用 ● MySQL漏洞利用 |