【产品技术】进一步了解主机安全

存在弱口令

使用弱口令的账户被破解成功的风险非常高，需要高度重视。弱口令检测可检测出主机系统中使用弱口令的账户，您可以在控制台查看主机中的口令风险。

弱口令并没有严格和准确的定义，从安全领域来看，容易被猜到或者被暴力破解的口令都是弱口令。弱口令通常具有以下特征：

1. 口令长度太短、太简洁

2. 口令全部或大部分字符串已经出现在网络中的密码字典中或相关列表中

3. 口令中携带了个人信息

如果您的主机被检测出弱口令风险，建议立即修改为安全性更高的口令。

修复验证：修复后，建议您立即执行手动检测进行验证。若您未进行手动验证，主机防护每日凌晨进行全量检测，您修复后需要等到次日凌晨检测后才能查看修复效果。

口令复杂度策略太简单

对于Linux主机，建议用户安装PAM（Pluggable   Authentication Modules ）。企业主机安全检测PAM的口令复杂度策略，识别风险并提供修改建议。建议用户按照提示修改口令复杂度策略。采用更安全的复杂度策略之后，新增或者修改账户的口令时，口令复杂度会按照策略要求执行限制，提高新口令的安全性。

修复验证：修复后，建议您立即执行手动检测进行验证。若您未进行手动验证，主机防护每日凌晨进行全量检测，您修复后需要等到次日凌晨检测后才能查看修复效果。

存在风险账号

您可以根据风险账号检测结果中的信息删除主机中无用的账号，按照权限最小化原则限制主机中可疑账号的权限。详细操作请参见控制风险账号。详细操作请参见控制风险账号。

存在不安全配置项

系统中的关键应用如果采用不安全配置，有可能被黑客利用作为入侵主机系统的手段。例如：SSH采用了不安全的加密算法；Tomcat服务采用root权限启动。

企业主机安全服务可以检测系统中关键软件的配置风险并给出详细的加固方法，请根据修复建议进行修复。

如果评估后确认某些配置项无害，可以忽略该配置风险，无需修复。

主机存在恶意程序

恶意程序可能是黑客入侵成功之后植入的木马、后门等，用于窃取数据或攫取不当利益。典型场景比如黑客入侵之后植入木马，将受害主机作为挖矿、DDoS肉鸡使用。这类程序会大量占用主机的CPU资源或者网络资源，破坏用户业务的稳定性。

企业主机安全服务提供的恶意程序检测功能，能实时检测出系统中的恶意程序。如果您的主机被检测出存在恶意程序，建议您立即对该程序进行确认：

• 如果该程序属于正常业务，您可以忽略该事件，该告警将不会再次触发。

• 如果是未知程序或者经确认是恶意程序，建议立即执行进程查杀并隔离程序源文件。

您可以对已检测出的恶意程序或疑似恶意程序，执行一键隔离查杀一键隔离查杀。

企业主机安全服务提供恶意程序自动隔离查杀功能。可对目前部分主流勒索病毒、DDOS木马等进行主动防护和主动隔离。建议您启用该功能，加固主机安全防线。

• 如果事后确认该程序是无害程序或者查杀该程序影响了业务，可以取消查杀并从隔离区还原程序源文件。

账户被破解

账户被破解，是指企业主机安全服务检测到账户遭受暴力破解攻击，并且攻击者猜中了正确的账户密码，攻击者在企业主机安全对源IP完成封禁前成功登录了主机系统。此时企业主机安全服务会立即发送告警。

该告警事件需要您高度重视。建议您立即确认源IP是否是已知的合法IP，如果确认该IP是已知的合法登录的用户IP，您可以忽略该次告警并手工解除IP封禁。如果该源IP是未知IP，那么您的主机系统可能已经被黑客入侵成功。建议您立即登录系统并修改账户密码，同时全面排查系统风险，避免主机系统遭受进一步破坏。

账户破解预警

如果您在“实时告警通知”项目中勾选了“账户破解预警”，当企业主机安全服务检测到账户正在被攻击并且存在被破解的风险时会实时发送账户破解预警。

存在被破解风险包括但不限于以下这些情况：

1. 系统存在弱口令，同时正在遭受暴力破解攻击

2. 数次口令输错（但未达到封禁源IP条件）后成功登录

建议您立即确认发起攻击的源IP是否是已知的合法IP，如果确认该IP是合法登录的用户IP，您可以忽略该告警。如果该源IP是未知IP，则您的ECS可能正在遭受黑客攻击，您需要排查该账号是否存在弱口令等风险项并尽快修复。如果确认发生攻击并且告警消息提示黑客已经成功登录，您需要立即登录系统，修改账户密码，同时全面排查系统风险，避免主机系统遭受进一步破坏。

主机异地登录成功

如果账户在异地登录成功，企业主机安全服务会立即发送告警。

建议您立即确认该源IP是否是已知的合法IP，如果确认该IP是合法登录的用户IP，您可以忽略该次告警，如果该登录地是合法的常用登录地，您可以将该地区加入常用登录地列表。如果该源IP是未知IP，那么您的主机系统已经被入侵成功，需要您高度重视。建议您立即登录系统并修改账户密码，同时全面排查系统风险，避免系统遭受进一步破坏。

关键文件被修改

篡改系统关键文件（例如：ls、ps、login、top等），通常是黑客入侵成功后进行身份隐藏或者发起下一步攻击的准备工作。

如果关键文件被修改并且确认非用户主动行为，建议立即将该文件替换为操作系统的标准版本。

若您确认检测结果中的文件变更是正常操作，则无需关注。关键文件变更检测结果在7天后会自动清除。

主机存在网站后门

网站后门是指以php、jsp等网页文件形式存在的一种命令执行环境。黑客在入侵了一个网站后，通常会将后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问php或者jsp后门，得到一个命令执行环境，以达到控制网站服务器的目的。

如果企业主机安全服务检测到了网站后门文件，会立即发送告警通知。建议您立即确认该文件是否是合法的业务文件。如果是合法文件可以忽略告警；如果不是合法文件，建议立即执行隔离。

主机登录成功

如果您在“实时告警通知”项目中勾选了“登录成功通知”选项，则任何账户登录成功的事件都会向您实时发送告警信息。

如果您所有ECS上的账户都由个别管理员负责管理，通过该功能可以对系统账户进行严格的监控。

如果系统账户由多人管理，或者不同主机由不同管理员负责管理，那么运维人员可能会因为频繁收到不相关的告警而对运维工作造成困扰，此时建议您登录企业主机安全服务控制台关闭该告警项。

登录成功并不代表发生了攻击，需要您确认登录IP是否是已知的合法IP。

账号信息

o     一个账号，有多少台服务器正在使用

o     一台服务器，创建了多少账号

o     一台服务器，账号的历史变动信息

帮助用户进行账户安全性管理。

开放端口

o     一个端口，有多少台服务器正在监听

o     一台服务器，监听了多少端口

对系统中开放的端口进行全面检测和统计，帮助用户识别出其中的危险端口和未知端口。

进程运行

o     一个进程，有多少台服务器正在运行

o     一台服务器，运行了多少进程

帮助用户自主清点合法进程、发现异常进程。

Web目录

o     一个Web目录，有多少台服务器正在运行

o     一台服务器，有多少Web服目录

帮助用户进行Web资源管理。

软件信息

o     一个软件，有多少台服务器正在使用

o     一台服务器，使用了多少软件

o     一台服务器，软件的历史变动信息

帮助用户清点软件资产，识别不安全的软件版本。