文档中心

当您创建策略组后，需要修改策略内容时，可按照本文档的指导完成策略内容的修改。

须知：

• 策略内容的修改，只在当前所修改的策略组生效。
• 默认策略组有默认配置，不建议修改。
• Windows的HIPS策略目前不支持修改。

约束限制

需开启高级版、企业版、旗舰版、网页防篡改版、容器版中任一版本。

进入策略管理

1、登录管理控制台。

2、在页面左上角单击 ，选择“区域”，选择“安全 > 企业主机安全”，进入“企业主机安全”页面。

3、在弹窗界面单击“体验新版”，切换至主机安全服务页面。

说明：

切换至新版后，在总览页左上角单击“返回旧版”，可切换至主机安全（旧版）。

4、在左侧导航栏，选择“安全运营 > 策略管理”，进入“策略管理”界面，查看显示的策略组，字段说明如表所示。

• tenant_linux_container_default_policy_group：容器版linux系统预置策略，仅可被查看，不可复制和删除。
• tenant_linux_enterprise_default_policy_group：企业版linux系统预置策略，仅可被查看，不可被复制和删除。
• tenant_windows_enterprise_default_policy_group：企业版windows系统预置策略，仅可被查看，不可被复制和删除。
• tenant_linux_premium_default_policy_group：旗舰版linux系统预置策略，可通过复制该策略组来创建新的策略组。
• tenant_windows_premium_default_policy_group：旗舰版windows系统预置策略，可通过复制该策略组来创建新的策略组。
• 可在列表右上角单击 ，手动刷新当前列表。
• 可单击关联服务器数的数量，查看策略组关联的服务器。

表-策略组列表字段说明

5、单击目标策略组名称，进入策略详情列表，单击策略名称对不同策略进行修改。

图- Linux策略组详情

资产发现

1、单击“资产发现”，弹出“资产发现”策略详情界面。

2、在弹出的资产管理界面中，修改“策略内容”，参数说明如表8-4所示。

图- 修改资产发现策略

表-资产管理策略内容参数说明

3、确认无误，单击“确认”，完成修改。

弱口令检测

弱口令/密码不归属于某一类漏洞，但其带来的安全隐患却不亚于任何一类漏洞。数据、程序都储存在系统中，若密码被破解，系统中的数据和程序将毫无安全可言。

主机安全服务会对使用经典弱口令的用户帐号告警，主动检测出主机中使用经典弱口令的帐号。您也可以将疑似被泄露的口令添加在自定义弱口令列表中，防止主机中的帐户使用该弱口令，给主机带来危险。

1、单击“弱口令检测”，弹出“弱口令检测”策略详情界面。

2、在弹出的“策略内容”界面中，修改“策略内容”，参数说明如表所示。

图-修改弱口令检测

表-弱口令检测策略内容参数说明

3、确认无误，单击“确认”，完成修改。

配置检测

1、单击“配置检测”，弹出“配置检测”策略详情界面。

2、在“配置检测”界面，修改“策略内容”，参数说明如表所示。

图-修改配置检测

表-系统配置检测策略内容参数说明

3、勾选需要检测的基线或自定义基线。

说明：

若有等保合规的需求，可按需勾选“标准类型”为“等保合规”的基线项。

4、确认无误，单击“确认”，完成修改。

Webshell检测

Webshell检测功能只有设置了“用户指定扫描路径”之后才会生效。

1、单击“Webshell检测”，弹出“Webshell检测”策略详情界面。

2、在弹出的“Webshell检测”界面中，修改“策略内容”，参数说明如表所示。

图-修改Webshell检测策略

表-Webshell检测策略内容参数说明

3、确认无误，单击“确认”，完成修改。

文件保护

1、单击“文件保护”，弹出“文件保护”策略详情界面。

2、在弹出的文件保护界面中，修改“策略内容”，参数说明如表所示。

图- 修改文件保护策略

表-文件保护策略内容参数说明

参数	说明
文件提权检测	l 启用：是否开启文件提权检测。 −：开启。 −：关闭。 l 忽略的文件路径：填写需要忽略的文件路径。文件路径以“/”开头，不能以“/”结尾，多个路径通过回车换行分隔且名称中不能包含空格。
关键文件完整性检测	l 启用：是否开启关键文件完整性检测。 −：开启。 −：关闭。 l 监控文件：配置监控文件。
关键文件目录变更检测	l 启用：是否开启关键文件目录变更检测。 −：开启。 −：关闭。 l 开启Audit：是否开启Audit检测功能，开启后，请注意系统的inotify使用限制，超过限制，部分文件目录变更将检测不到。 −：开启。 −：关闭。 l 会话IP白名单：如果操作文件的进程属于以上IP的会话，则不予审计。 l 忽略监控文件类型后缀：忽略监控的文件类型的后缀。 l 忽略监控的文件路径：配置忽略监控文件的路径。 l 监控登录密钥：是否开启监控登录密钥。 −：开启。 −：关闭。

3、确认无误，单击“确认”，完成修改。

登录安全检测

1、单击“登录安全检测”，弹出“登录安全检测”策略详情界面。

2、在弹出的“登录安全检测”策略内容中，修改“策略内容”，参数说明如表所示。

图-修改安全检测策略

表-登录安全检测策略内容参数说明

参数	说明
阻断攻击IP	开启阻断攻击IP后，HSS将阻断爆破行为的IP登录。 Agent会修改系统配置，阻断帐户爆破IP。 l：开启。 l：关闭。
封禁时间（分钟）	可设置存在爆破行为IP的封禁时间，封禁时间内不可登录，封禁时间结束后自动解封，可配置范围为“1~43200”。
破解行为判断阈值（秒）	与“破解行为判断阈值（登录失败次数）”一起配置使用。可配置范围为“5~3600”。 例如：破解行为判断阈值“30”，破解行为判断阈值（登录失败次数）“5”，表示“30秒内同一IP发生5次登录失败会被判定为帐户爆破行为。”
破解行为判断阈值（登录失败次数）	与破解行为判断阈值一起配置使用，可配置范围为“1~36000”。
慢破解行为判断阈值（秒）	与慢破解行为判断阈值（登录失败次数）一起配置使用。可配置范围为“600~86400”。 例如：慢破解行为判断阈值“3600”，慢破解行为判断阈值（登录失败次数）“15”，表示“3600秒内同一IP发生15次登录失败会被判定为帐户爆破行为。”
慢爆破行为判断阈值（登录失败次数）	与慢破解行为判断阈值一起配置使用。可配置范围为“6~100”。
破解行为判定解除时间（秒）	清理破解行为出现登录失败记录的时间间隔，可配置范围为“60~86400”。 解除的暴破IP为已出现暴力破解告警的IP。
是否审计登录成功	l 开启此功能后，HSS将上报登录成功的日志。 −：开启。 −：关闭。

3、确认无误，单击“确认”，完成修改。

恶意文件检测

1、单击“恶意文件检测”，弹出“恶意文件检测”策略详情界面。

2、在弹出的恶意文件检测界面中，修改“策略内容”，参数说明如表所示。

图- 修改恶意文件检测策略

表-恶意文件检测策略内容参数说明

参数	说明
反弹shell忽略的进程文件路径	反弹shell忽略的进程文件的路径。 文件路径以“/”开头，不能以“/”结尾。多个路径通过回车换行分隔且名称中不能包含空格。
反弹shell扫描周期（秒）	反弹shell扫描的周期，可配置范围为“30-86400”。
Audit检测增强	l 选择是否开启Audit检测增强，建议开启。 −：开启。 −：关闭。
进程打开文件上限	进程打开文件的上限数，可配置范围为“10-300000”。
反弹shell检测	l 选择是否开启反弹shell检测，建议开启。 −：开启。 −：关闭。
异常shell检测	l 选择是否开启异常shell检测，建议开启。 −：开启。 −：关闭。

3、确认无误，单击“确认”，完成修改。

进程异常行为

1、单击“进程异常行为”，弹出“进程异常行为”策略详情界面。

2、在弹出的进程异常行为管理界面中，修改“策略内容”，参数说明如表所示。

图- 修改进程异常行为检测策略

表-进程异常行为策略内容参数说明

3、确认无误，单击“确认”，完成修改。

root提权

1 、单击“root提权”，弹出“root提权”策略详情界面。

2 、在弹出的root提权界面中，修改“策略内容”，参数说明如表所示。

图-修改root提权策略

表-root提权策略内容参数说明

3、确认无误，单击“确认”，完成修改。

实时进程

1、单击“实时进程”，弹出“实时进程”策略详情界面。

2、在弹出的实时进程界面中，修改“策略内容”，参数说明如表所示。

图-修改实时进程策略

表-实时进程策略内容参数说明

3、确认无误，单击“确认”，完成修改。