一、进入防护配置
1. 登录云安全中心控制台。
2. 在左侧导航栏，选择告警中心。
3. 单击右上角的策略管理，选择防护配置页签。
注意：说明：
二、定时扫描
用于定期扫描主机木马病毒文件，增强安全性。
1. 在防护配置页签中，打开文件查杀-定时扫描开关。
2. 配置以下配置项后，单击保存。
| 配置项 | 说明 |
| 检测周期 | 定时检测周期及具体时间窗口。如：每天，02:00～07:00。 |
| 检测模式 | 检测模式决定检测范围：快速检测：仅检测运行中进程、关键目录、驱动加载等。全盘检测：检测系统所有分区。自选路径：自定义检测范围。 |
| 异常进程检测 | 深度检测内存中的异常进程，可能造成一定程度的资源占用率升高，请谨慎选择。 |
| 超时设置 | 单次扫描超出设定时长（如：02:00）即视为扫描失败。 |
| 扫描资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
三、实时监控
用于实时监控 Web 目录、系统关键目录，查杀木马病毒文件；开启后命中即上报告警。
1. 在防护配置页签中，打开文件查杀-实时监控开关。
2. 选择监控模式后，单击保存。
| 监控模式 | 说明 |
| 标准（推荐） | 监控并扫描检测常见目录下增量文件 |
| 深度 | 监控并扫描检测所有目录下增量文件 |
| 自选路径 | 自定义监控范围 |
四、自动隔离
自动隔离检测出的恶意文件，部分恶意文件仍需用户手动确认隔离，建议你检查文件查杀中的告警列表，确保已全部处理。若出现误隔离，请在已隔离列表中对文件进行恢复。
1. 在防护配置页签中，打开文件查杀-自动隔离开关。
2. 配置以下项后，单击保存。
| 配置项 | 说明 |
| 杀掉进程 | 杀掉该文件相关进程（建议勾选）。 |
| 防护模式 | 标准模式（推荐）：仅针对勒索/挖矿告警进行自动隔离，更适合日常安全运营。重保模式：对恶意文件自动隔离，可能存在误拦截风险，适合重保场景，请谨慎开启并限定隔离范围。说明：查杀文件范围，仅重保模式下可配置。全部恶意文件（脚本类文件除外）：自动隔离非脚本类恶意文件。全部恶意文件（请谨慎开启）：包含脚本类恶意文件；隔离脚本可能导致业务无法正常运行，请谨慎开启。 |
| 生效资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
五、异常登录配置
注意：说明：
注意：本项与主机安全（CWP）配置保持同步，两边调整会互相生效。
异常登录检测分为以下两类：
·内置检测：无需配置。覆盖威胁情报黑 IP 登录、密码破解成功后登录、弱口令账户登录、非法账户登录、登录后存在入侵行为。
·可选检测：包括境外 IP 登录、非常用登录地登录、非工作时间登录。默认关闭，需要时在下方检测配置中开启。
六、检测配置
异常登录监控主机的登录行为，并对可疑登录产生告警。
1. 在防护配置页签中，展开异常登录的检测配置。
2. 在检测配置中，按需勾选检测规则并选择告警等级，按需开启自学习白名单基线，选择生效资产后，单击保存。
| 配置项 | 说明 |
| 境外 IP 登录 | 对白名单以外的境外 IP 登录告警。可在该项旁配置告警等级。 |
| IP 非常用登录地 | 对不在白名单常用登录地内的来源 IP 登录告警。可在该项旁配置告警等级。 |
| 非工作时间登录 | 选择星期和时间段，对该时间以外的登录行为告警。可在该项旁配置告警等级。 |
| 自学习白名单基线 | 开启后，系统自动学习登录基线并生成白名单，把未触发内置检测规则的首次登录地域加入信任白名单。关闭后再次开启会重新学习，并对白名单去重，白名单只增不减。 |
| 生效资产 | 全部主机（可剔除资产）、按标签选择、自选主机。 |
注意：说明：
注意：境外 IP 登录、IP 非常用登录地、非工作时间登录检测默认关闭。如需这些场景的告警，请在检测配置中勾选开启。
七、异常登录白名单
白名单按登录源 IP、登录用户名、登录时间、常用登录地识别，四项为与关系。某一项留空表示该维度不限制。
1. 在防护配置页签中，展开异常登录白名单，查看已有规则。
2. 单击添加白名单，配置以下项后，单击确定。
| 配置项 | 说明 |
| 登录源 IP | 支持输入 IP、IP 范围或 IP 段，支持 IPv4/IPv6。IP 示例：1.1.1.1IP 范围示例：1.1.1.1-1.1.1.10IP 段示例：172.168.34.1/20支持同时添加多个 IP/IP 段，可使用英文“,”符号隔开，限制在 1024 字符内，约 60 个以上。 |
| 登录用户名 | 支持配置多个登录用户名，可使用英文“,”符号隔开，留空则代表所有用户名。 |
| 登录时间 | 设置常用登录的起止时间段。 |
| 常用登录地 | 选择可信的地理区域。说明：若同时设置登录源 IP 与常用登录地，系统将自动忽略常用登录地，仅按登录源 IP 及其他条件判定是否异常登录。建议二者只配置其一。 |
| 生效资产 | 全部主机、自选主机。 |
| 告警处理 | 系统将批量加白所有符合本条白名单规则的告警。 |
| 备注 | 可选，用于说明加白用途。 |
八、密码破解配置
注意：说明：
注意：本项与主机安全（CWP）配置保持同步，两边调整会互相生效。
密码破解告警检测及阻断逻辑如下：
·告警：命中你配置的登录规则，或命中内置暴破情报、漏洞利用情报时，产生告警。
·阻断：调用主机防火墙，Windows 使用 WFP，Linux 使用 iptables，并按最高优先级封禁攻击源 IP。已加入白名单的来源 IP 不阻断、不告警。
九、配置检测与阻断
配置检测规则与阻断规则，实时监控主机上 SSH、RDP 的密码破解行为并阻断。
1. 在防护配置页签中，展开密码破解配置。
2. 配置生效时长、自定义规则、内置情报规则及生效范围后，单击保存。
| 设置项 | 说明 |
| 生效设置 | 设置生效时长。命中暴破规则时，对不在白名单内的来源 IP 自动阻断一定时长。 |
| 自定义规则 | 配置检测规则。命中任一登录规则即判定为暴力破解。每条规则设置时间窗口和登录失败次数，可修改或删除。配置阻断规则。基于暴破检测规则阻断：对命中上述检测规则的来源 IP 阻断。说明：该场景误报率较高，如你发现误阻断情况可点击联系我们。智能过滤：来源 IP 攻击客户数小于 5 个、来源 IP 属于本账号下的公网 IP，或来源 IP 命中威胁情报白名单中的部分登录来源时，减少误阻断（推荐）。选择生效主机范围：全部主机或自选主机。 |
| 内置情报规则 | 勾选暴破攻击情报。按云端暴破攻击运营生产的黑 IP 阻断，由于规模庞大，大部分阻断将不在平台生成记录。选择生效主机范围：全部主机或自选主机。 |
十、高阶攻击检测
AI 串联时序攻击链路，识别横向移动与高阶组合攻击，多行为研判输出高确信告警。系统提供三类独立检测规则，可按业务场景灵活组合。
1. 在防护配置页签中，打开 AI-Link 智链引擎开关。
2. 配置以下项后，单击保存。
| 配置项 | 说明 |
| 规则模式 | 精准：覆盖已知攻击特征，极少误报。 均衡：覆盖常见攻击特征，并具备部分泛化检测能力，适用于日常运营场景。 深度：支持识别更多潜伏攻击行为，但存在一定的误报风险。适用于重保场景。说明：日常运营建议配置：开启“精准规则”+“均衡规则”。重保时期建议配置：开启“精准规则”+“均衡规则”+“深度规则”。 |
| 生效资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
注意：说明：
十一、反弹 Shell 配置
反弹 Shell -内网告警检测开启后，后台将检测内网反弹 Shell 告警。此类告警量较大，建议谨慎开启。
1. 在防护配置页签中，打开反弹 Shell-内网告警检测开关。
2. 配置生效资产后，单击保存。
十二、网络攻击配置
网络攻击-尝试攻击检测开启后，后台将检测尝试攻击告警，出现尝试攻击行为时进行告警通知。用于捕捉尚未在资产上形成实质利用的攻击弱信号；重保期间建议开启。
1. 在防护配置页签中，打开网络攻击-尝试攻击开关。
2. 配置以下项后，单击保存。
| 配置项 | 说明 |
| 告警处理状态 | 检测到尝试攻击告警时的默认处理状态：待处理、已处理或已忽略。 |
| 生效资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
十三、多账号管理
使用多账号管理功能（集团管理员场景）时，告警策略支持跨账号统一运维，防护配置采用单选切换模式（与规则管理的平铺展示不同）：
1. 默认展示当前登录账号的配置。
2. 切换到不同账号后，再查看和编辑对应配置。
3. 每个账号的防护配置相互独立。