华为云业主机安HSS战Agent安装、漏洞与基线及入侵告处置

一、背景：为什么云服务器还需要主机安全

很多人觉得，ECS 已经放在 VPC 里、配了安全组，就足够安全了。但安全组只管"哪些端口能被访问"，管不了端口背后发生的事情：SSH 弱口令被暴力破解、Web 应用被上传 WebShell、系统组件存在已公开漏洞长期未修、有人用 root 在半夜从陌生 IP 登录……这些风险都发生在主机内部，需要一个能"看进主机里"的工具。

华为云企业主机安全（Host Security Service，HSS）就是做这件事的：在服务器上安装一个轻量 Agent，由云端统一做资产盘点、漏洞检测、基线检查和入侵检测，并在控制台集中展示和告警。本文以几台 Linux ECS 为例，走一遍从开通到日常运维的完整流程。

二、整体思路

使用 HSS 可以概括为四步：

1. 选择版本并绑定配额：不同版本（基础版、企业版、旗舰版、网页防篡改版等，以控制台当前在售为准）能力不同，配额需要绑定到具体主机才生效。
2. 安装 Agent：华为云较新的公共镜像通常默认集成了 Agent，其余主机需要手动安装。
3. 开启检测能力：漏洞扫描、基线检查、入侵检测等。
4. 处置与闭环：配置告警通知，按风险等级处理漏洞和告警，定期复查。

三、创建配置步骤

1. 确认主机列表与 Agent 状态

进入"企业主机安全"控制台，在"资产管理 > 主机管理"中可以看到当前区域下的云服务器列表。重点关注两列：

• Agent 状态：在线 / 离线 / 未安装。
• 防护状态：已开启 / 未防护。

注意 HSS 是按区域管理的，如果你的主机分布在多个区域，需要在控制台左上角切换区域分别查看。

2. 安装 Agent（Linux）

对未安装的主机，在控制台"安装 Agent"页面选择操作系统类型，复制页面给出的安装命令，登录 ECS 用 root 执行即可。命令通常形如"下载安装脚本 + 执行"，请以控制台生成的命令为准，因为其中包含区域相关的下载地址，不要从网上抄别人的命令。

安装后可以在主机上确认进程是否正常：

# 查看 HSS Agent 相关进程
ps -ef | grep -i hostguard | grep -v grep

# 查看服务状态（不同版本服务名可能略有差异）
systemctl status hostguard

一般几分钟后，控制台的 Agent 状态会变为"在线"。

3. 开启防护并绑定配额

在主机列表中勾选主机，点击"开启防护"，选择版本和对应配额。基础版适合体验和最基本的检测；生产环境通常建议使用企业版及以上，以获得更完整的漏洞管理和入侵检测能力。具体每个版本包含哪些功能，以官方"版本功能对比"文档为准。

4. 配置告警通知

在"安装与配置 > 告警配置"中，可以设置：

• 告警通知方式：通过消息通知服务 SMN 主题推送到邮件、短信等。
• 告警等级：建议至少订阅"高危""严重"等级的告警，避免被大量低风险提示淹没。
• 每日汇总：可以开启每日告警汇总，便于例行复查。

如果还没有 SMN 主题，需要先在 SMN 控制台创建主题并添加订阅（订阅邮件需要在邮箱里点确认链接，否则收不到）。

四、核心功能实战

1. 资产管理：先搞清楚机器上有什么

HSS 会盘点主机上的账号、开放端口、进程、软件、自启动项等信息。这一步很有价值：很多安全问题源于"自己都不知道开着的端口"。

建议做一次例行排查：

• 开放端口：有没有非预期的监听端口（例如测试时开的 8080、调试端口）。
• 账号信息：有没有不认识的账号、有没有除 root 外 UID 为 0 的账号。
• 自启动项：有没有来源不明的定时任务或服务。

也可以在主机上交叉验证：

# 列出监听端口及对应进程
ss -lntup

# 查找 UID 为 0 的账号
awk -F: '$3==0 {print $1}' /etc/passwd

# 查看 root 的定时任务
crontab -l -u root

2. 漏洞管理

HSS 会检测 Linux 软件漏洞、Windows 系统漏洞以及部分应用漏洞，并按风险等级展示。处理建议：

1. 先看"需紧急修复"或高危漏洞，结合漏洞详情里的影响组件和修复建议。
2. 在测试环境验证升级不影响业务后，再在生产环境升级。
3. 修复后在控制台点击"验证"或等待下一次扫描，确认漏洞状态变化。

典型的 Linux 修复方式就是升级对应软件包，例如：

# CentOS / EulerOS / openEuler 等
yum update openssl -y

# Ubuntu / Debian
apt-get update && apt-get install --only-upgrade openssl -y

注意：内核类漏洞升级后通常需要重启才能生效，务必安排维护窗口。对于确认不受影响或暂时无法修复的漏洞，可以标记为"忽略"并写明原因，避免列表长期堆积。

3. 基线检查

基线检查主要包括三类：

• 口令风险：弱口令、口令复杂度策略不达标。
• 配置风险：例如 SSH 允许 root 密码登录、未设置登录失败锁定等，常参照 CIS 等通用基线。
• 经典弱口令检测：对系统账号和常见中间件。

比较常见的整改项是 SSH 配置。整改示例（修改前请确保已有可用的密钥登录方式，防止把自己锁在外面）：

# 备份配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# 编辑 /etc/ssh/sshd_config，建议项示例：
# PermitRootLogin prohibit-password
# PasswordAuthentication no
# MaxAuthTries 4

# 检查语法后重载
sshd -t && systemctl reload sshd

整改后重新执行基线检查，确认对应检查项变为通过。

4. 入侵检测与告警处置

入侵检测是 HSS 最核心的能力之一，常见告警类型包括：

• 暴力破解：短时间内大量失败登录。HSS 可以对攻击源 IP 自动拦截一段时间。
• 异常登录：非常用地点、非常用时间或非白名单 IP 的成功登录。
• 恶意程序 / WebShell：检测到可疑文件或进程。
• 反弹 Shell、高危命令执行、关键文件变更等（具体能力因版本而异）。

一个推荐的处置流程：

1. 确认真伪：看告警详情中的来源 IP、登录账号、时间、进程路径。如果是自己或同事的正常操作，可以加入白名单（例如登录 IP 白名单）。
2. 止损：若确认是入侵，先通过安全组收紧入方向规则、隔离相关文件或结束可疑进程；必要时对系统盘打快照保留现场。
3. 排查：检查 /var/log/secure（或 /var/log/auth.log）、last、history、定时任务和新增账号。
4. 修复与加固：修改所有相关口令、更换密钥、修复被利用的漏洞，必要时用干净镜像重建主机。
5. 在控制台标记处理结果，形成闭环记录。

排查时常用的几条命令：

# 最近的成功登录记录
last -n 20

# 失败登录统计（CentOS 类系统）
grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

# 最近 1 天内修改过的可执行文件（按需调整目录）
find /usr/bin /usr/sbin /tmp -type f -mtime -1 -ls

五、注意事项

1. 配额要绑定才生效：只购买不绑定，主机依然处于未防护状态。
2. Agent 需要能访问 HSS 服务端：如果主机所在子网对出方向做了严格限制，需放通 Agent 与服务端通信所需的地址和端口（以官方文档为准），否则会显示离线。
3. 按区域管理：跨区域主机需要分别查看和配置。
4. 白名单要谨慎：加白名单能减少误报，但范围过大会造成漏报，建议精确到具体 IP 或路径。
5. 自动拦截不是万能的：暴力破解拦截只是缓解手段，根本还是禁用密码登录、使用强口令和密钥。
6. 安全工具不替代最小权限：安全组只开必要端口，IAM 按最小权限授权，HSS 负责主机内部的"兜底发现"。

六、常见问题

Q1：Agent 一直显示离线怎么办？
先在主机上确认 Agent 进程是否在运行；再检查主机能否正常解析和访问 HSS 服务端地址（DNS 配置、出方向安全组、网络 ACL）；最后确认主机时间是否正确。仍不行可卸载后按控制台命令重新安装。

Q2：漏洞修复后控制台还显示未修复？
检测有周期，可以手动触发验证或等待下一次扫描。内核漏洞需要重启后加载新内核才算修复，可用 uname -r 确认当前运行的内核版本。

Q3：自己的登录也被报"异常登录"？
通常是从新的网络环境登录导致。确认无误后，将常用运维出口 IP 加入登录白名单，或通过堡垒机统一登录。

Q4：告警太多处理不过来？
先按等级过滤，只处理高危和严重；对确认的误报加白名单；同时做好基线整改，从源头减少告警数量。

Q5：容器环境能用吗？
HSS 有面向容器的防护能力（容器安全相关版本/功能），具体支持范围以官方文档为准；本文只讨论普通 ECS 主机场景。

七、总结

安全组解决"谁能进门"，HSS 解决"进门之后发生了什么"。一套可落地的主机安全实践可以是：所有主机安装 Agent 并绑定合适版本 → 订阅高危告警 → 每周处理高危漏洞和基线不通过项 → 对入侵告警按"确认—止损—排查—加固—闭环"流程处置。配合禁用密码登录、最小化开放端口和定期快照备份，就能把大多数常见的主机入侵风险挡在门外，即使出问题也能第一时间发现。