主机安全 高危命令

注意：说明：

注意：高危命令仅支持 Linux 系统的专业版、旗舰版主机，拦截仅旗舰版可用，版本差异请参见 功能介绍与版本比较。

一、处理告警

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 高危命令。

3. 在告警列表中，查看告警记录。

·命中策略类型：系统策略或用户自定义策略。

·命中策略：策略名称，如：系统规则(标准)、系统规则(重保)，或用户自定义策略的名称。

注意：说明：

注意：内置策略有以下三种，不能编辑或删除，只能切换生效状态。

·威胁等级：高危、中危或低危。

·命令内容：命令具体内容。

·登录用户：登录用户名。

·告警次数：该命令被发现的次数。

·数据来源：bash 日志、bash 内存扫描或实时监控。

·首次/最近发现时间：第一次发现/最近一次发现该命令的时间。

·状态：待处理、已加白、已处理、已忽略、已拦截。

·操作：

·详情：查看告警详情。

·处理：支持以下处理方式。

·标记已处理：参照告警详情中的修复建议，人工对该告警进行处理，处理后可将告警标记为已处理。

·加入白名单：对告警的命令加入白名单操作后，当再次发生相同情况时将不再进行告警，同时当前告警状态将变更为已加白。

·创建自定义拦截策略：对当前告警创建拦截策略，当再次发生相同攻击时将为你进行自动拦截。

·忽略：仅将本次告警进行忽略，若再有相同情况发生依然会进行告警。

·删除记录：删除该告警记录，控制台将不再显示，无法恢复记录，请慎重操作。

二、配置自动拦截

拦截原理

高危命令自动拦截采用终止命中规则进程的方式，例如 A 创建/bin/bash -i 进程（bash -i 已被加黑），此时创建的/bin/bash 进程会被终止（或者创建失败），A 进程不影响。

注意：说明：

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 高危命令。

3. 在告警列表中，打开高危命令自动拦截开关。

4. 在自动拦截设置弹窗中，选择防护模式，单击确定。

·标准模式：仅针对高置信度的风险进行自动防护，更适合日常安全运营使用（推荐）。

·重保模式：综合多个引擎检测结果，针对中、高置信度的风险进行自动拦截。可能存在误拦截风险，适合重保防护，请谨慎启用。

三、创建自定义策略

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 高危命令。

3. 打开策略配置，单击创建策略。

4. 填写基本信息和匹配内容，选择生效主机，单击保存。

·策略名称：限 20 个字符。

·策略描述：限 200 个字符。

·启用状态：打开后策略生效。

·黑/白名单：黑名单可选告警或拦截。白名单为放行。

·威胁等级：高危、中危、低危。

·匹配内容：

注意：说明：

注意：示例：

·生效主机范围：全部主机或自选主机。