主機(jī)資產(chǎn)指紋識(shí)別
主機(jī)安全提供資產(chǎn)管理功能，主動(dòng)檢測(cè)主機(jī)中的開放端口、系統(tǒng)運(yùn)行中的進(jìn)程、主機(jī)中的Web目錄和自啟動(dòng)項(xiàng)。通過資產(chǎn)管理，您能集中清點(diǎn)主機(jī)中的各項(xiàng)資產(chǎn)信息，及時(shí)發(fā)現(xiàn)主機(jī)中含有風(fēng)險(xiǎn)的各項(xiàng)資產(chǎn)。資產(chǎn)管理僅提供風(fēng)險(xiǎn)檢測(cè)功能，若發(fā)現(xiàn)有可疑資產(chǎn)信息，請(qǐng)手動(dòng)處理。
識(shí)別資產(chǎn)指紋
賬號(hào)信息管理、開放端口檢測(cè)：實(shí)時(shí)檢測(cè)。開放端口檢測(cè)結(jié)果每6小時(shí)刷新一次統(tǒng)計(jì)數(shù)據(jù)。
進(jìn)程信息管理、Web目錄管理、軟件信息管理、自啟動(dòng)：每日凌晨自動(dòng)進(jìn)行一次檢測(cè)。
|
功能項(xiàng)
|
功能描述
|
檢測(cè)周期
|
|---|---|---|
賬號(hào)信息管理 |
檢測(cè)主機(jī)系統(tǒng)中的賬號(hào)，列出當(dāng)前系統(tǒng)的賬號(hào)信息，幫助用戶進(jìn)行賬戶安全性管理。 根據(jù)賬號(hào)的實(shí)時(shí)信息和歷史變動(dòng)，您可以快速排查主機(jī)中的可疑賬號(hào)。 ● 賬號(hào)的實(shí)時(shí)信息包括賬號(hào)的“賬號(hào)名稱”、“服務(wù)器數(shù)”以及具體賬號(hào)對(duì)應(yīng)的“服務(wù)器名稱/IP”、“登錄權(quán)限”、“ROOT權(quán)限”、“用戶組”、“用戶目錄”、“用戶啟動(dòng)Shell”和“最近掃描時(shí)間”。 ● 賬號(hào)的歷史變動(dòng)記錄包括“服務(wù)器名稱/IP”、“變動(dòng)狀態(tài)”、“登錄權(quán)限”、“ROOT權(quán)限”、“用戶組”、“用戶目錄”、“用戶啟動(dòng)Shell”和“最近掃描時(shí)間”。 |
實(shí)時(shí)檢測(cè) |
開放端口檢測(cè) |
檢測(cè)主機(jī)系統(tǒng)中的端口，列出當(dāng)前系統(tǒng)開放的端口列表，幫助用戶識(shí)別出其中的危險(xiǎn)端口和未知端口。 根據(jù)“本地端口”、“協(xié)議類型”以及具體端口對(duì)應(yīng)的“服務(wù)器名稱/IP”、“狀態(tài)”、“進(jìn)程PID”、“程序文件”，您能夠快速排查主機(jī)中含有風(fēng)險(xiǎn)的端口。 ● 手動(dòng)關(guān)閉風(fēng)險(xiǎn)端口 如果檢測(cè)到開放了危險(xiǎn)端口或者開放了不必要的端口，需要排查這些端口是否是正常業(yè)務(wù)使用，如果不是正常業(yè)務(wù)端口，建議關(guān)閉端口。對(duì)于危險(xiǎn)端口建議進(jìn)一步檢查程序文件，如果存在風(fēng)險(xiǎn)建議刪除或者隔離源文件。 建議您及時(shí)優(yōu)先處理危險(xiǎn)程度為“危險(xiǎn)”的端口，根據(jù)業(yè)務(wù)實(shí)際情況處理危險(xiǎn)程度為“未知”的端口。 ● 忽略風(fēng)險(xiǎn)：如果檢測(cè)出的危險(xiǎn)端口是業(yè)務(wù)正在使用的正常端口，您可以忽略該條告警。忽略之后將不再作為危險(xiǎn)項(xiàng)進(jìn)行記錄，也不再發(fā)送告警。 |
實(shí)時(shí)檢測(cè) |
進(jìn)程信息檢測(cè) |
檢測(cè)主機(jī)系統(tǒng)中運(yùn)行的進(jìn)程，對(duì)運(yùn)行中的進(jìn)程進(jìn)行收集及呈現(xiàn)，便于自主清點(diǎn)合法進(jìn)程發(fā)現(xiàn)異常進(jìn)程。 根據(jù)主機(jī)中“進(jìn)程路徑”以及具體進(jìn)程對(duì)應(yīng)的“服務(wù)器名稱/IP”、“啟動(dòng)參數(shù)”、“啟動(dòng)時(shí)間”、“運(yùn)行用戶”、“文件權(quán)限”、“進(jìn)程PID”以及“文件HASH”，您能夠快速排查主機(jī)中的異常進(jìn)程。 進(jìn)程信息管理檢測(cè)的機(jī)制是30天檢測(cè)不到進(jìn)程后，自動(dòng)清除進(jìn)程信息管理列表中的進(jìn)程信息。 |
實(shí)時(shí)檢測(cè) |
軟件信息管理 |
檢測(cè)并列出當(dāng)前系統(tǒng)安裝的軟件信息，幫助用戶清點(diǎn)軟件資產(chǎn)，識(shí)別不安全的軟件版本。 根據(jù)軟件的實(shí)時(shí)信息和歷史變動(dòng)，您能夠快速排查主機(jī)中含有風(fēng)險(xiǎn)的軟件。 ● 軟件的實(shí)時(shí)信息包括“軟件名稱”、“服務(wù)器數(shù)”以及具體軟件對(duì)應(yīng)的安裝該軟件的“服務(wù)器名稱/IP”和“版本”、“軟件更新時(shí)間”和“最近掃描時(shí)間”。 ● 軟件的歷史變動(dòng)記錄包括軟件的“服務(wù)器名稱/IP”、“變動(dòng)狀態(tài)”、“版本”、“軟件更新時(shí)間”和“最近掃描時(shí)間”。 |
每日凌晨自動(dòng)檢測(cè) |
自啟動(dòng)項(xiàng) |
檢測(cè)并列出當(dāng)前所有主機(jī)系統(tǒng)中的自啟動(dòng)項(xiàng)，幫助用戶及時(shí)發(fā)現(xiàn)異常自啟動(dòng)項(xiàng)，快速定位木馬程序的問題。 ● 自啟動(dòng)項(xiàng)的實(shí)時(shí)信息包括“名稱”、“類型”（自啟動(dòng)服務(wù)、開機(jī)啟動(dòng)文件夾、預(yù)加載動(dòng)態(tài)庫(kù)、Run注冊(cè)表鍵或者定時(shí)任務(wù)）、“服務(wù)器數(shù)”以及類型對(duì)應(yīng)的“服務(wù)器名稱/IP”、“路徑”、“文件HASH”、“運(yùn)行用戶”、以及“最近掃描時(shí)間”。 ● 自啟動(dòng)項(xiàng)的歷史變動(dòng)記錄包括“服務(wù)器名稱/IP”、“變動(dòng)狀態(tài)”、“路徑”、“文件HASH”、“運(yùn)行用戶”和“最近掃描時(shí)間”。 |
實(shí)時(shí)檢測(cè) |
Web站點(diǎn) |
統(tǒng)計(jì)、展示存放Web內(nèi)容的目錄及對(duì)外提供訪問的站點(diǎn)信息，您可以查看所有目錄及權(quán)限、以及和站點(diǎn)所關(guān)聯(lián)訪問路徑、對(duì)外端口、關(guān)鍵進(jìn)程等信息。 |
1次/周（每周一凌晨05：00） |
Web框架 |
統(tǒng)計(jì)、展示W(wǎng)eb內(nèi)容對(duì)外呈現(xiàn)時(shí)所使用框架的詳細(xì)信息，您可查看所有框架的版本、路徑、關(guān)聯(lián)進(jìn)程等信息。 |
1次/周（每周一凌晨05：00） |
中間件 |
統(tǒng)計(jì)、展示所使用到的所有軟件信息，您可查看所有中間件所關(guān)聯(lián)的服務(wù)器、版本號(hào)、路徑、關(guān)聯(lián)進(jìn)程等信息。 |
1次/周（每周一凌晨05：00） |
內(nèi)核模塊 |
統(tǒng)計(jì)、展示運(yùn)行在內(nèi)核層的全量程序模塊文件，您可查看所有模塊所關(guān)聯(lián)的服務(wù)器、版本號(hào)、模塊描述、驅(qū)動(dòng)文件路徑、文件權(quán)限、文件哈希等信息。 |
1次/周（每周一凌晨05：00） |
查看資產(chǎn)指紋詳情
資產(chǎn)管理僅提供風(fēng)險(xiǎn)檢測(cè)功能，若發(fā)現(xiàn)有可疑資產(chǎn)信息，請(qǐng)手動(dòng)處理。
1、登錄管理控制臺(tái)。在頁(yè)面左上角選擇“區(qū)域”，選擇“安全與合規(guī) > 企業(yè)主機(jī)安全”，進(jìn)入主機(jī)安全平臺(tái)界面。
2、選擇“資產(chǎn)管理 > 資產(chǎn)指紋”，進(jìn)入“資產(chǎn)指紋”頁(yè)面，選擇不同頁(yè)簽，查看主機(jī)安全檢測(cè)到的服務(wù)器上的所有資產(chǎn)。
查看歷史變動(dòng)記錄
主機(jī)安全提供的資產(chǎn)管理，主動(dòng)對(duì)賬號(hào)信息、軟件信息及自啟動(dòng)的變動(dòng)情況進(jìn)行記錄，您可根據(jù)維度和時(shí)間進(jìn)行選擇查看對(duì)應(yīng)的信息變動(dòng)詳情。
1、登錄管理控制臺(tái)。在頁(yè)面左上角選擇“區(qū)域”，選擇“安全與合規(guī) > 企業(yè)主機(jī)安全”，進(jìn)入主機(jī)安全平臺(tái)界面。
2、選擇“資產(chǎn)管理 > 資產(chǎn)指紋 > 歷史變動(dòng)記錄”，進(jìn)入“歷史變動(dòng)記錄”頁(yè)面，選擇維度和時(shí)間段，查看賬號(hào)、軟件、自啟動(dòng)項(xiàng)的歷史變動(dòng)記錄。
軟件信息管理
歷史變動(dòng)狀態(tài)說明：
● 變動(dòng)狀態(tài)：新增（新增的軟件）、刪除（刪除的軟件）。
● 最近掃描時(shí)間：由于為周期收集，變動(dòng)記錄的時(shí)間是獲取到改動(dòng)的時(shí)間，非真實(shí)發(fā)生的時(shí)間。
根據(jù)實(shí)時(shí)軟件數(shù)據(jù)和歷史變動(dòng)記錄，您可以統(tǒng)一管理所有主機(jī)中的軟件信息。若發(fā)現(xiàn)主機(jī)中的軟件版本過低或存在可疑的軟件，您可以及時(shí)升級(jí)低版本的軟件或刪除可疑和無需使用的軟件。
自啟動(dòng)項(xiàng)
大多數(shù)木馬通常通過創(chuàng)建自啟動(dòng)服務(wù)、定時(shí)任務(wù)、預(yù)加載動(dòng)態(tài)庫(kù)、Run注冊(cè)表鍵或者開啟啟動(dòng)文件夾的方式入侵主機(jī)，自啟動(dòng)管理會(huì)收集所有云主機(jī)自啟動(dòng)的匯總信息，包含自啟動(dòng)的名稱、類型和覆蓋主機(jī)數(shù)。您可以根據(jù)統(tǒng)計(jì)并展示的自啟動(dòng)信息，快速發(fā)現(xiàn)主機(jī)中可疑的自啟動(dòng)。
您可以查看自啟動(dòng)項(xiàng)對(duì)應(yīng)的服務(wù)器名稱/IP、變動(dòng)狀態(tài)、路徑、文件HASH、運(yùn)行用戶和最近掃描時(shí)間。
賬號(hào)信息管理
歷史變動(dòng)狀態(tài)說明：
● 變動(dòng)狀態(tài)：新建（新建了賬號(hào)）、刪除（刪除了賬號(hào)）、修改（修改了賬號(hào)名、管理員權(quán)限或用戶組等信息）。
● 最近掃描時(shí)間：服務(wù)器周期內(nèi)最新的掃描時(shí)間。
根據(jù)歷史變動(dòng)記錄和實(shí)時(shí)賬號(hào)數(shù)據(jù)，您可以統(tǒng)一管理所有主機(jī)中的賬號(hào)信息。若發(fā)現(xiàn)系統(tǒng)中有不必要的多余賬號(hào)，或者發(fā)現(xiàn)有超級(jí)權(quán)限的賬號(hào)（擁有root權(quán)限），需要排查這些賬號(hào)是否是正常業(yè)務(wù)使用，如果不是則建議刪除多余賬號(hào)或者修改賬號(hào)的權(quán)限，避免賬號(hào)被黑客利用。