H3C SecCenter CSAP-ESM主机安全管理系统

配置指导

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  录

1 Web配置概述··· 1-1

1.1 简介·· 1-1

2 Web配置指导-主机安全管理系统··· 2-1

2.1 基本配置·· 2-1

2.1.1 控制中心授权·· 2-1

2.1.2 客户端下载·· 2-3

2.2 主机概览·· 2-1

2.2.1 安全概况·· 2-2

2.2.2 威胁趋势·· 2-3

2.2.3 高危主机（TOP10）·· 2-4

2.2.4 高危病毒（TOP10）·· 2-5

2.2.5 待处置威胁·· 2-6

2.2.6 已处置威胁·· 2-8

2.2.7 待处理事项·· 2-9

2.2.8 安全防护·· 2-9

2.2.9 资产状态·· 2-10

2.3 主机管理·· 2-14

2.3.1 主机列表·· 2-15

2.3.2 主机分组·· 2-25

2.3.3 策略分发·· 2-34

2.3.4 主机详情展示·· 2-36

2.3.5 主机健康状态·· 2-46

2.4 策略管理·· 2-50

2.4.1 创建策略·· 2-51

2.4.2 策略概览·· 2-52

2.4.3 基本策略·· 2-53

2.4.4 病毒查杀·· 2-60

2.4.5 实时防护·· 2-66

2.4.6 信任名单·· 2-74

2.4.7 信息采集·· 2-79

2.4.8 异常告警·· 2-83

2.4.9 漏洞修复·· 2-84

2.4.10 桌面管控·· 2-88

2.4.11 数据防泄密·· 2-116

2.4.12 入侵防御·· 2-126

2.4.13 虚拟补丁·· 2-134

2.4.14 环境感知·· 2-136

2.5 资产清点·· 2-138

2.6 日常运维·· 2-140

2.6.1 病毒查杀·· 2-140

2.6.2 基线核查·· 2-142

2.6.3 漏洞扫描·· 2-147

2.6.4 弱口令扫描·· 2-149

2.6.5 主机发现·· 2-152

2.6.6 安全通告·· 2-155

2.6.7 文件分发·· 2-156

2.6.8 安全U盘·· 2-157

2.7 威胁检测·· 2-160

2.7.1 待处置威胁·· 2-160

2.7.2 已处置威胁·· 2-166

2.8 数据检索·· 2-170

2.8.1 日志检索·· 2-170

2.8.2 威胁检索·· 2-171

2.8.3 水印检索·· 2-171

2.9 系统管理·· 2-173

2.9.1 产品授权·· 2-173

2.9.2 升级管理·· 2-176

2.9.3 系统账号·· 2-183

2.9.4 云查管理·· 2-193

2.9.5 联动响应·· 2-198

2.9.6 系统报表·· 2-199

2.9.7 系统设置·· 2-200

2.9.8 其他设置·· 2-231

2.9.9 主机部署·· 2-234

2.9.10 调整内存·· 2-235

3 Web配置指导-主机安全管理系统（团队版）··· 3-236

3.1 系统管理员配置·· 3-236

3.1.1 登录·· 3-236

3.1.2 概览·· 3-238

3.1.3 授权池·· 3-238

3.1.4 授权绑定·· 3-240

3.1.5 授权查询·· 3-241

3.1.6 租户列表·· 3-242

3.1.7 日志·· 3-243

3.1.8 角色管理·· 3-244

3.1.9 账号管理·· 3-244

3.1.10 系统升级·· 3-252

3.1.11 全局参数·· 3-258

3.1.12 网络配置·· 3-261

3.1.13 云查管理·· 3-265

3.1.14 界面自定义·· 3-269

3.1.15 外部接口·· 3-270

3.1.16 客户端管理·· 3-275

3.1.17 授权服务器·· 3-276

3.1.18 控制中心迁移·· 3-277

3.1.19 数据备份·· 3-277

3.1.20 告警设置·· 3-278

3.1.21 调整内存使用·· 3-279

3.2 团队管理员配置·· 3-280

3.2.1 团队管理员注册·· 3-280

3.2.2 分发客户端程序·· 3-283

3.2.3 主机概览·· 3-286

3.2.4 主机管理·· 3-286

3.2.5 策略管理·· 3-286

3.2.6 日常运维·· 3-286

3.2.7 威胁检测·· 3-286

3.2.8 数据检索·· 3-286

3.2.9 系统管理·· 3-286

4 Linux客户端命令行··· 4-1

 

 

 

1 Web配置概述

1.1  简介

为了方便网络或设备系统管理员对新华三技术有限公司（以下简称H3C）的H3C i-Ware Software，Version 3.1，ESS 6902P14终端安全管理系统或终端安全管理系统（团队版）进行配置操作及维护，管理员可以通过Web界面直观和便捷地管理和维护该系统。

2  Web配置指导-主机安全管理系统

2.1  基本配置

 

2.1.1  控制中心授权

控制中心部署完成后，首次使用控制中心时必须在控制中心导入授权。

打开Web浏览器，使用HTTPS协议在地址栏输入控制中心地址和端口，输入格式：https://ServerIP:7443，请将ServerIP替换为控制中心实际IP地址，例如浏览器地址栏输入“https://192.168.10.10:7443”，页面提示用户导入授权。

使用手机APP扫一扫功能扫描页面图片二维码，或互联网环境下点击“License使用指南”链接打开授权文件使用指南查看授权文件说明，在获取授权文件后，点击<导入授权文件>，如下图所示。

图2-1 提示导入授权

 

点击<导入授权文件>按钮，在弹出的页面选择授权文件，“导入后自动绑定到根分组”勾选，点击<确定>按钮，如下图所示。

图2-2 选择授权文件导入

 

 

授权文件导入成功后，页面自动刷新，显示Web登录界面，如下图所示。

图2-3 控制中心登录界面

 

控制中心在出厂时内置有默认的Web登录账户信息。

默认的Web登录账户信息包括：

·     用户名：“admin”

·     密码：“admin”

输入系统内置的Web登录账户信息，点击<登录>按钮。

首次登录admin账户，提示修改默认密码。

图2-4 修改登录密码

 

登录admin账户后，Web页面如下图所示。

图2-5 管理员视图

 

 

2.1.2  客户端下载

 

 

高于E6902P12版本（含）安装升级到E6902P13版本或直接安装E6902P13版本的控制中心，在浏览器地址栏输入“https://控制中心IP”（如输入“https://192.168.10.10”），出现客户端下载页面。

低于E6902P11版本（含）安装升级到E6902P13，在浏览器地址栏输入“http://控制中心IP”（如输入“http://192.168.10.10”），出现客户端下载页面。

在客户端下载页面，选择相应的客户端点击<下载>按钮开始下载客户端。

图2-6 客户端下载页面

 

使用管理员权限运行下载的客户端，安装成功后客户端后会自动向控制中心注册上线。

2.2  主机概览

 

 

浏览器与控制中心之间通过HTTS协议进行登录管理。

打开浏览器，在地址栏输入控制中心地址和端口，输入格式：https://ServerIP:7443（请将ServerIP替换为控制中心实际IP地址，如“https://192.168.10.10:7443”），显示输入账户信息登录页面。

图2-7 账户信息输入

 

输入系统管理员账户和密码登录控制中心，登录后首页内容为主机概览，展示了在控制中心已注册的主机概况、威胁趋势、高危主机和病毒、防护概况、待处置事项、安全防护和设备状态信息等。

图2-8 登录首页

 

2.2.1  安全概况

安全概况从安全、低可疑、高可疑、已沦陷、未知五种安全等级对全网主机进行归类统计。

图2-9 安全概况

 

在“安全概况”中，根据主机已感染的病毒种类和数量、是否产生异常通信链路、是否存在系统可疑账号等威胁信息，将在控制中心注册主机的安全概况分为“安全主机”、“低可疑主机”、“高可疑主机”、“已沦陷主机”和“未知主机”五个安全等级，系统统计数据给出了不同安全状态的主机数量和比例，并用环形图形式以不同颜色区分显示。

表2-1 安全概况名词解释

编号	名词	说明
1	安全主机	没有以下任何情况的主机。
2	低可疑主机	有其他病毒的主机。
3	高可疑主机	有其他病毒≥3或异常通信链路的主机。
4	已沦陷主机	有勒索病毒、Webshell、挖矿木马，其他病毒≥6或可疑账号的主机。
5	未知主机	主机安全状态未知，重新对主机扫描后状态更新，当主机列表没有健康状态显示未知状态的主机时，安全概况不显示未知主机统计。

 

 

2.2.2  威胁趋势

展示了病毒、事件和勒索威胁趋势。

图2-10 威胁趋势

 

表2-2 威胁趋势名词解释

编号	名词	说明
1	病毒	当日的病毒数量总和。
2	事件	当日的可疑账号、异常通信链路端点、资源消耗异常端点数量总和。
3	勒索	当日的勒索病毒数量总和。

 

点击“病毒”可以在威胁趋势中隐去病毒威胁的安全数据，再次点击“病毒”时在威胁趋势中展示病毒威胁的安全数据；同样可以隐去和展示事件、勒索的安全趋势。

2.2.3  高危主机（TOP10）

存在病毒数量最多的10个主机端点。

图2-11 高危主机（TOP10）

 

红色柱状图表示病毒数量危险值，每个主机IP对应一个主机危险值。用鼠标移动到柱状图上，可以展示更多信息，如主机名称、Mac地址、私有IP、公有IP、病毒数量等信息。将鼠标移动到IP地址为192.168.31.205的高危主机上，显示信息如下。

图2-12 高危主机详情

 

2.2.4  高危病毒（TOP10）

按照病毒名称分类统计病毒数量，显示数量最多的10种病毒名称和数量。

图2-13 高危病毒（TOP10）

 

在高危病毒TOP10视图栏，可以展示24小时和最近7天蔓延的前TOP10病毒。

图2-14 病毒蔓延速度展示

 

鼠标移动到柱状图上，可以展示病毒的SHA256哈希值。

图2-15 高危病毒详情

 

2.2.5  待处置威胁

从12个维度实时展现系统的安全防护概况。

图2-16 待处置威胁

 

表2-3 名词解释

编号	名词	说明
1	发现恶意代码	发现的未处理的病毒病总数，处理过的病毒不显示在防护概况，处理过的病毒可在数据检索中查询。
2	发现勒索病毒	发现的未处理的勒索病毒总数，处理过的不显示在防护概况。
3	发现webshell后门	发现的未处理的webshell后门总数，处理过的不显示在防护概况。
4	发现挖矿木马	发现的处理的挖矿木马总数，处理过的不显示在防护概况。
5	发现可疑账户	发现克隆账户等可疑账号总数。
6	主机异常通信链路	发现的WiFi连接、网络违规外联主机总数。
7	主机资源消耗异常	发现的主机资源（CPU、内存、硬盘）使用异常主机总数。
8	隔离主机	已被网络隔离的主机总数。
9	发现暴力破解	发现的针对主机暴力破击攻击的次数。
10	弱口令	发现的弱口令账户总数。
11	漏洞终端	存在漏洞的主机台数。
12	漏洞总数	所有漏洞个数（相同编号的重复漏洞只记1次）

 

 

2.2.6  已处置威胁

管理员通过平台已处置、客户端自动处置或由用户使用客户端处置的威胁事件，点击下钻到威胁检测菜单已处置页面。

图2-17 已处置威胁

 

表2-4 名词解释

编号	名词	说明
1	恶意代码	平台统计的已处理的恶意代码数，包含忽略处置方式。
2	勒索病毒	平台统计的已处理的勒索病毒数，包含忽略处置方式。
3	webshell后门	平台统计的已处理的webshell后门数，包含忽略处置方式。
4	挖矿木马	平台统计的已处理的挖矿木马数，包含忽略处置方式。
5	漏洞修复	平台统计的Windows系统漏洞处理数，包括已修复漏洞和已忽略漏洞。
6	高危行为	平台统计的已处理的危险行检测、勒索病毒行为、勒索诱捕事件、挖矿木马行为和内存防御事件数。
7	勒索病毒行为	平台统计的勒索行为攻击防御数，如勒索命令，包括告警和拦截。
8	勒索病毒诱捕	平台统计的通过勒索诱捕功能捕获的勒索病毒事件数。
9	内存防御	平台统计的通过powershell命令攻击、VBS脚本攻击和利用应用软件（office、pdf、浏览器、视频播放器）攻击的防御事件数，包括告警和拦截。
10	虚拟补丁	平台统计的针对Linux系统漏洞、中间件漏洞、大数据组件漏洞等的攻击防护数，包括拦截数和告警数。
11	异常登录	平台统计的主机上触发系统异常登录的事件
12	端口扫描	平台统计的对主机发起端口扫描行为的事件

 

 

2.2.7  待处理事项

系统捕捉到安全事件，等待管理员用户处置。

待处置事项包括：病毒事件、异常通信链路、资源消耗异常、可疑账号、管理员弱口令。

图2-18 待处理事项

 

事件信息内容包括“主机名”、“IP地址”、“时间”；通过右侧滚动条可以上下滑动浏览更多待处理的事件。

 

 

2.2.8  安全防护

展示主机软硬件国产化比例和主机基线检查合格率、主机版本升级率、病毒库升级率和主机补丁修复率。

图2-19 安全防护

 

表2-5 主机国产化名词解释

编号	名词	说明
1	全国产	在控制中心中注册的，使用国产操作系统和CPU的主机数占注册主机总数的比例。
2	国产硬件	在控制中心中注册的，使用国产CPU的主机数占注册主机总数的比例。
3	国产Linux	在控制中心中注册的，使用国产操作系统的主机数占注册主机总数的比例。

 

表2-6 检测合格率名词解释

编号	名词	说明
1	基线检查合格率	基线核查结果，合格主机数与控制中心注册主机数的比值。
2	主机版本升级率	升级到最新版本的主机与控制中心注册主机数的比例。
3	主机病毒库升级率	病毒库和人工智能模型升级到最新版的主机数与控制中心注册主机数的比例。
4	主机补丁修复率	通过控制中心执行主机漏洞扫描，完成漏洞修复的主机与Windows主机总数比例。 只统计严重漏洞和重要漏洞，控制中心执行主机漏洞修复模式时，不会实时更新补丁修复率，需要在控制中心再次执行漏洞扫描。

 

2.2.9  资产状态

1. 受控主机统计

展示了在控制中心注册的主机总数和在线主机数。

图2-20 受控主机

 

2. 操作系统类型统计

展示了在控制中心注册的Windows操作系统计算机总数和Linux操作系统（含国产操作系统）计算机总数。

图2-21 主机类型

 

将鼠标移动到主机类型统计数，显示windows 桌面主机数、windwos服务器主机数，如下图。

图2-22 主机类型详细信息显示

 

3. 未受控主机统计

探测发现全网未安装客户端的主机总数和首次发现的未安装客户端的主机数量（相同的主机只计算1次）。

图2-23 未受控主机

 

最新发现的主机，是通过在“日常运维>主机发现”页面，创建扫描任务新探测到的主机，未受控主机在安装客户端软件后，系统会自动将其从未受控主机中移除。

4. 管理员事项

显示了等待管理员处置的安全事件总数和主机总数。

图2-24 管理员事项

 

 

5. 资源监控

显示服务器CPU、内存、硬盘资源使用情况。

在首页右上角，点击资源监控图标打开服务器资源使用，如下图所示。

图2-25 监控服务器资源

 

6. NTP同步时间

显示了控制中心平台时间，设置从NTP服务器同步时间。

图2-26 设置从NTP服务器同步时间

 

 

7. 其它

显示了控制中心病毒库升级时间、AI模型升级时间和安全守护时间。

图2-27 设备状态

 

图2-28 安全守护时间

 

2.3  主机管理

网络内计算机主机安装客户端软件后，主机安全管理系统可快速获得计算机主机名称信息、主机IP地址、主机健康状态、安全评分（需策略中心开启配置）、主机资产登记、系统类型和平台架构等信息，系统管理员可以通过“主机管理”功能项对已安装客户端软件的全网主机进行分组管理、策略管理和即时命令下发等操作。

主机管理页面左侧视图区域为主机分组管理、右侧视图区域为主机列表，如下图所示。

图2-29 主机管理视图

 

2.3.1  主机列表

查看主机列表信息，如下图所示。

图2-30 主机列表

 

主机列表显示了网内已安装客户端的全部主机。主机列表展示的内容有主机名称、IP地址（若公网地址和私有地址相同，公网地址以“-”表示）、MAC地址、健康状态、引擎状态、基线核查、主机分组、策略集、策略执行状态、安全评分、操作系统、主机资产登记、虚拟化平台、硬件架构、客户端组件版本、病毒库升级日期、主机上线和下线时间等；显示主机列表更多内容，请点击右侧的“…”图标对需要显示的列勾选，如图所示。

图2-31 主机列表显示更多

 

在主机列表可对选定的主机执行移动到组、策略分发、取消策略、立即升级、远程协助、即时消息、卸载客户端、执行网络隔离、取消网络隔离、系统重启或关机等操作和查看主机详情信息，可设置主机备注名称、修改主机资产信息和查看主机详情信息。

主机列表提供了默认视图、版本视图、资产视图、全量视图四个页面显示，如下图所示。

图2-32 主机列表视图选项

 

1. 即时命令

在主机列表对主机勾选，点击<更多操作>按钮显示主机即时命令，如下图所示。

图2-33 即时命令

 

在即时命令选项，<迁移主机>命令将1台在线主机从当前控制中心迁移到另一台控制中心；<卸载客户端>命令远程卸载客户端软件，卸载命令不会导致远程计算机重启；<隔离主机>命令执行后主机与控制中心保持通信、与其他IP地址网络隔离，重启时恢复网络；<移除主机>功能仅对离线主机生效，不能移除在线主机；当发生其他原因显示主机未授权时，可使用<更新授权>功能对主机重新分配授权。

 

2. 即时消息

在主机列表对主机勾选，点击<即时消息>按钮，弹出安全通告编辑对话框，输入即时消息标题、内容、紧急程度后点击<确定>按钮，如下图所示。

图2-34 即时消息

 

即时消息下发成功后，接收消息的主机屏幕弹出提示消息，如下图所示。

图2-35 客户端弹出即时消息

 

该功能对Linux操作系统只有文本命令行的客户端无效、只对有窗口UI的客户端的生效，当主机用户阅读即时消息后该消息不会存储在客户端。

3. 立即升级

在主机列表对主机勾选，点击<立即升级>按钮对在线主机执行病毒库版本、客户端程序的立即升级。

立即升级客户端程序功能，须先在“系统管理>系统升级>客户端升级”配置页面，添加需要升级的客户端IP地址段。

4. 远程协助

远程协助功能提供给管理员的远程到主机进行工作协助、问题排查的便捷途径，Windows操作系统使用远程桌面、Linux系统使用远程Shell连接到主机，且用户接收管理员远程协助时才能使用远程协助功能，管理员不能任意连接到主机计算机，保护远程用户计算机数据秘密。

(1)     配置远程协助策略

首先需要在WEB管理页面，选择“安全策略>基本策略”配置页面将“客户端显示远程协助配置选项”开启，如下图。

图2-36 策略开启显示远程协助

 

Windows客户端“远程协助”功能可配置成禁用模式（管理员不能连接到远程计算机桌面）、运维模式（管理员能够连接到远程计算机桌面）、询问模式（管理员连接远程计算机桌面时客户端弹出询问对话框，由计算机用户选择允许被远程控制或禁止被远程控制），缺省情况下客户端处于询问模式，如下图所示。

图2-37 客户端远程协助工作模式

 

Linux计算机有UI窗口操作界面时远程协助配置和Window相同。

Linux计算机没有UI窗口界面、只有文本命令行界面时使用客户端命令配置远程协助工作模式，进入目录“/KvEdr”，以root权限执行开启允许远程协助功能命令，如下图所示。

命令：/KvEdr/KvEdrCmd --set assistance mode enable

图2-38 Linux命令行开启远程协助功能

 

(2)     连接远程主机

运维模式时，在主机列表选择，选择1台在线Winsdows主机，点击<远程协助>按钮，如下图所示。

图2-39 运维模式下Windows远程协助

 

询问模式时，选择1台在线Winsdows主机，点击<远程协助>按钮，如下图所示。

图2-40 询问模式下Windows远程协助

 

在主机列表选择，选择已配置允许远程协助的Linux主机，点击<远程协助>按钮，选择控制台（命令行shell或远程桌面）如下图所示。

图2-41 Linux远程协助选项

 

当选择控制台时，连接到Linux客户端主机功能，如下图所示。

图2-42 Linux通过控制台远程协助

 

当选择远程桌面时，连接到Linux客户端主机功能，如下图所示。

图2-43 Linux通过远程桌面远程协助

 

Linux主机远程桌面需要主机支持X11协议，查看主机是否支持该协议命令如下截图。

图2-44 查看Linux主机是否支持X11协议

 

对于Linux远程桌面功能使用前，需要先在Linux主机上登录用户桌面然后才能在WEB管理端使用远程协助的远程桌面功能；对于Ubuntu系统，需要使用Xorg方式登录到用户桌面后才能在WEB管理端使用远程协助的远程桌面功能。

图2-45 Ubuntu使用Xorg登录选项

 

5. 主机查询

在主机列表页面，可按照主机IP地址、主机唯一标识、主机名称、MAC地址、操作系统类型、虚拟化、硬件架构、授权状态、责任人、资产编号、使用位置等信息查询主机。主机查询如下图所示。

图2-46 主机查询选项

 

例如，按操作系统类型查询主机，如下图所示。

图2-47 按操作系统查询

 

6. 导出资产

在主机列表页面，能够选择分组导出主机资产excel文件，如下图所示。

图2-48 导出资产

 

7. 更新资产

将导出的主机资产报表excel文件的资产登记信息编辑，支持对责任人、所属部门、所属单位资产编号等资产登记信息编辑更新到控制中心。

图2-49 编辑资产登记信息

 

图2-50 更新资产

 

图2-51 成功更新资产

 

 

8. 列表视图

在主机列表选择要查看的列表视图，能够切换到版本视图、资产视图、全量视图查看主机列表。

图2-52 选择列表视图

 

9. 显示配置

主机列表的显示列是可配置的，系统管理员根据关注点，配置主机列表显示的列内容。点击主机列表顶端标题行最右侧的省略号，在“表格显示数据”通过打钩或去掉勾选，来配置主机列表显示的列内容，如下图所示。

图2-53 主机列表显示配置

 

2.3.2  主机分组

主机分组管理用于创建树形单位组织机构，可以根据主机IP地址或主机所属部门实现自动化分组。

进入“主机管理”页面，在页面左侧区域建立分组名称。

1. 分组基本操作

(1)     分组编辑

查看未分组主机、分组策略分发、重命名、导出分组主机、添加/删除分组。

选中一级分组，第1个功能图标可查看全部主机或未分组主机。

图2-54 点击查看未分组主机

 

图2-55 点击查看全部主机

 

第2个功能图标可对根分组下发安全策略，第3个图标对分组取消安全策略，如下图所示。

图2-56 对根分组下发策略

 

 

图2-57 对根分组取消策略

  

 

第4个功能图标实现导出分组、导入分组和自动分组功能，导出的分组名称为“export_group.xlsx”，可将导出的分组导入控制中心，如下图所示。

图2-58 备份分组和自动分组

 

也可根据添加的IP分组规则执行自动分组。

第5个功能图标实现分组添加、重命名、从AD域同步分组主机和导出分组主机。

图2-59 备份分组和自动分组

 

点击<添加>按键，输入下级分组名称点击<确定>，对本分组添加下级分组。

图2-60 添加下级分组

 

 

系统支持10级以上分组层级。

图2-61 十级分组层级

 

图2-62 重命名分组

 

图2-63 导出分组主机

 

(2)     分组排序

左键选中分组名称稍作停留，保持鼠标左键按下状态上移或下移将分组拖动排序。

图2-64 移动分组

 

2. 主机移动分组

在主机列表中选中1台或多台主机勾选，点击<移动到组>按钮。

图2-65 移动到组

 

在展开的单位分组树，选择相应的分组后点击<确定>按钮，如下图所示。

图2-66 选择分组

 

3. 自动分组管理

支持按IP地址段、资产登记项的所在部门字段进行自动分组。

(1)     按IP地址段自动分组

在主机分组视图区域选中分组，如上海市，在主机列表点击分组规则，如下图所示。

图2-67 选中分组名称和规则

 

在分组规则设置中，点击<新增规则>按钮，弹出新增策略规则对话框，输入分组对应的IP地址段，如下图所示。

图2-68 输入分组对应的IP地址段

 

点击自动分组命令按钮，弹出自动分组对话框，自动分组方式选择基于IP地址段，如下图。

图2-69 基于IP地址段自动分组

 

 

(2)     基于所属部门自动分组

当主机进行了资产登记或管理员在控制中心填写了资产登记后，能够按照资产登记项的所属部门对未分组终端进行主机分组。使用按部门自动分组时，资产登记项所属部门需要填写完整的部门信息，如根节点下存在分组1、分组2，分组1和分组2下都有信息部门，填写所属部门时使用斜杠“/”分割，例如要写成“分组1/信息部门”、“分组2/信息部门”，如下图所示。

图2-70 填写所属部门的完整信息

 

点击自动分组，选择基于所属部门，如下图所示。

图2-71 填写所属部门的完整信息

 

 

4. AD域同步分组

控制中心从域控（AD）服务器同步计算机组织单位和计算机。

在主机分组更多菜单，打开AD域同步设置。

 

图2-72 AD域同步

 

在AD域同步设置界面，配置AD域参数，如下图所示。

图2-73 AD域同步配置参数

 

填写AD域服务器的IP地址或域名，如上图中填写AD服务器IP地址192.168.31.130。

输入AD域服务器的管理员账号，管理员账号形式是“域管理员账号名称@域名”，例如填写：[email protected]，

输入管理员密码。

基准目录（Base DN）内容修改第1个DC字段为域控服务器的域名字段，如域名是xjfz.com时将第1个DC字段内容从“Domain”修改成“xjfz”，例如填写：DC=xjfz,DC=com

组织框架路径添加，并设置第1个DC字段为域控服务器的域名字段，例如填写：DC=xjfz,DC=com

保持缺省配置项：服务器类型、组织过滤条件、组织段名称、主机过滤条件、主机名称字段。

其他配置参数可由管理员自主配置。

 

 

5. 导出分组

导出分组功能将整个单位组织树（从AD域同步的分组除外）导出成excel表，如下图所示。

图2-74 导出分组

 

6. 导入分组

以导出分组的excel表格为模板，编辑分组和IP分组规则，将编辑完成的excel表格导入到控制中心。分组上下级节点之间使用斜杠“/”分割，如“上级分组/下级分组”，分组规则以公有IP开始-公有IP结束-私有IP开始-私有IP结束，多个分组规则使用英文分号分割，例如“192.168.31.10-192.168.31.20-192.168.31.10-192.168.31.20;192.168.41.10-192.168.41.20-192.168.41.10-192.168.41.20;”，将分组excel表文件编辑成如下所示。

图2-75 编辑excel分组

 

选择编辑好的分组excle表格导入，如下图所示。

图2-76 编辑excel分组

 

 

2.3.3  策略分发

·     按主机下发策略：支持对单台或多台主机下发安全策略。

·     按分组下发策略：支持按照主机分组下发安全策略，可选择是否对子分组分发安全策略，缺省状态对子分组执行分发安全策略。

1. 对主机下发策略

选择“主机管理”，在主机列表将主机勾选，点击<策略分发>按钮，弹出策略分发选择界面，选中安全策略名称后点击<下发策略>按钮，如下图所示。

图2-77 选择策略分发

 

2. 对分组下发策略

对主机组进行策略分发仅对该分组内的当前主机生效，后续新加入到该分组的主机并不会执行之前给主机组下发的安全策略，若想安全策略对分组内新增主机同样生效需要重新执行对主机分组的策略分发。

在主机分组视图区域选中某一分组，点击<下发策略>按钮，如下图所示。

图2-78 对分组下发策略

 

弹出策略分发选择界面，选择策略名称、勾选策略分发范围包含下级子分组，点击<下发策略>按钮，如下图所示。

图2-79 选择分组策略

 

 

下发安全策略后，主机列表自动显示策略执行状态，如下图所示。

图2-80 策略执行状态

 

2.3.4  主机详情展示

鼠标移动到主机名称，双击主机名称展出主机详情信息，如下图所示。

图2-81 双击查看主机详情

 

在主机详情中，管理员可以查看主机概览、主机性能使用、操作系统启动项、系统服务、进程快照、主机硬件信息、已安装软件信息、客户端隔离区和客户端信任区情况。

1. 主机概览

主机概览展现内容如下图所示。

图2-82 主机详情概览

 

主机详情展示的内容如下：

·     主机唯一标识：在控制中心显示计算机身份标志，全网唯一。

·     资产信息：硬件架构、操作系统、主机名称（计算机名）、MAC地址、主机品牌、型号（限品牌机）或虚拟化平台。

·     IP地址：当主机通过NAT设备或方式访问网络连通主机安全管理系统控制中心时，系统会展示主机的公网IP地址、私有IP地址，否则公有IP地址和私有IP地址相同。

·     主机状态：显示主机在线、离线状态，上线时间、下线时间。

·     健康状态：安全状态、低可疑状态、高可疑状态、沦陷状态、未知状态。

·     基线状态：合格/不合格，依据安全基线模板对主机安全评估的结果。

·     资产登记信息：主机所属单位、所属部门、资产编号、主机责任人、联系电话等

·     客户端组件信息：防病毒组件信息（包括组件版本、病毒库日期、人工智能模型日期），桌管组件版本、EDR组件版本等。

·     配置信息：主机分组和策略集配置。

2. 主机性能

展现了主机计算机CPU、内存、硬盘、网卡硬件资源配置和当前使用状态。

(1)     CPU/内存性能

显示主机CPU名称和使用率、内存大小和使用率、主板信息。

图2-83 主机CPU/内存性能

 

(2)     硬盘性能

显示主机硬盘的名称、磁盘分区空间、磁盘温度等，主机安全管理系统不采集虚拟机硬盘参数和使用状态。

图2-84 主机硬盘性能

 

不显示虚拟机硬盘信息。

(3)     网卡性能

显示主机网卡描述、网卡带宽、网卡发送和接收的数据量。

图2-85 主机网卡性能

 

3. 系统信息

展现了主机上的系统账号信息、系统启动项、任务计划、系统服务、环境变量和驱动信息。

(1)     账号信息

显示主机上存在的账户名、账户权限、账户是否克隆和账号启用状态，与主机上账号信息一致。

图2-86 系统信息-账号

 

(2)     启动项

启动项内容包括启动项名称、执行文件路径、注册表位置、启动项所属用户和启动项启用/禁用状态，与主机上的启动项一致。

图2-87 系统信息-启动项

 

(3)     计划任务

显主机上任务名称、路径、状态、执行路径、执行参数，与主机任务计划一致。

图2-88 系统信息-计划任务

 

(4)     系统服务

展现了主机上存在服务项内容，包括服务项名称、类型、路径、服务描述、启动方式等，与操作系统服务一致。

图2-89 系统信息-系统服务

 

(5)     环境变量

展现了主机系统环境变量、用户环境变量。

图2-90 系统信息-系统环境变量

 

图2-91 系统信息-用户环境变量

 

(6)     驱动信息

展现了主机驱动程序加载运行信息。

图2-92 系统信息-驱动信息

 

4. 进程列表

在线主机即时进程快照信息。包括进程ID、进程创建时间、进程资源使用情况、进程路径等信息。

图2-93 进程列表

 

5. 网络信息

网络信息展现的是主机当前的网络连接行为和网络配置参数。

(1)     网络连接

显示连网的进程ID、创建时间、通信端口、通信协议和进程路径。

在主机详情界面，选择“网络信息>网路连接”，查看主机当前的网络连接。

图2-94 网络信息-网络连接

 

(2)     网络配置

显示网卡类型、IP地址、MAC地址、子网掩码、连网方式等。

在主机详情界面，选择“网络信息>网络配置”，查看主机当前的网络配置，可在网络配置页面的“网卡描述”切换其它网卡查看网卡信息。

图2-95 网络信息-网络配置

 

6. 硬件信息

展示了主板信息、CPU/内存信息、硬盘信息、网卡信息、其它（光驱、显卡、音视频控制器）信息。

(1)     主板信息

在主机详情界面，选择“硬件信息>主板信息”，查看主机主板名称、版本、品牌、厂商信息。

图2-96 硬件信息-主板信息

 

(2)     CPU/内存信息

在主机详情界面，选择“硬件信息>CPU/内存信息”，查看主机CPU名称、核数和内存大小信息。

图2-97 硬件信息-CPU/内存信息

 

(3)     硬盘信息

显示硬盘型号、物理序列号、大小、是否固态盘、传输模式、温度状态等信息。

在主机详情界面，选择“硬件信息>硬盘信息”，查看主机硬盘信息。

图2-98 硬件信息-硬盘信息

 

在硬盘信息界面，选择“硬盘名称”切换查看其它硬盘信息。

不显示虚拟机硬盘信息。

(4)     网卡信息

显示网卡IP、MAC、DNS配置、网卡描述和总线类型等信息。

在主机详情界面，选择“硬件信息>网卡信息”，查看主机网卡信息。

图2-99 硬件信息-网卡信息

 

(5)     其它硬件

在主机详情界面，选择“硬件信息>其它”，查看主机光驱和显卡信息。

图2-100 硬件信息-其它

 

7. 软件信息

展示主机上已安装软件的软件名称、软件发行商、安装时间、软件版本信息，如下图所示。

图2-101 软件信息

 

8. 隔离区

展示主机上隔离区文件，能够对主机隔离区文件恢复到原始路径、提取隔离区文件、删除隔离区文件。

图2-102 隔离区

 

9. 信任区

对主机配置的本地信任区远程查看、删除和添加。

图2-103 信任区

 

2.3.5  主机健康状态

在“主机列表”区域，将鼠标移动到某台主机上，左键点击主机的健康状态图标，显示该主机安全健康状态详情，如下图所示。

图2-104 点击健康状态查看详情

 

1. 健康概览

显示主机上存在的恶意代码、资源使用异常、通信链路异常、可疑账号、弱口令和漏洞。

图2-105 健康概览

 

2. 恶意代码

显示主机上存在的所有病毒，显示信息包括病毒类型、病毒名称、病毒路径、扫描引擎等，能够远程提取和下载扫描出的恶意文件。

图2-106 恶意代码列表

 

3. 勒索病毒

显示勒索病毒名称、病毒路径、文件哈希信息，能够远程提取和下载扫描出的恶意文件。

图2-107 勒索病毒

 

4. WebShell

显示Webshell后门名称、病毒路径、文件哈希信息，能够远程提取和下载扫描出的恶意文件。

图2-108 Webshell后门

 

5. 挖矿木马

显示挖矿木马名称、路径、文件哈希信息。

图2-109 挖矿木马

 

 

6. 异常通信链路

显示主机连接Wi-Fi信息、专网违规外联和互联网违规外联的异常通信链路。

图2-110 Wi-Fi异常通信链路

 

图2-111 专网违规外联

 

 

图2-112 互联网违规外联

 

7. 资源消耗异常

显示主机CPU、内存、硬盘、网络流量使用异常的信息。

图2-113 资源异常

 

8. 可疑账号

显示主机系统上存在的可疑账号、账号权限、是否克隆和使用状态信息。

图2-114 可疑账号信息

 

 

9. 弱口令

显示主机系统账户弱口令、应用软件和数据库弱口令。

图2-115 系统账户弱口令

 

 

10. 漏洞

显示主机存在的漏洞信息，包括漏洞编号、漏洞名称、漏洞等级、漏洞描述等信息。

图2-116 漏洞

 

2.4  策略管理

系统管理员创建的1个安全策略名称为1个安全策略集，1个安全策略集包括Windows安全策略和Linux安全策略，客户端在执行安全策略集时根据操作系统类型自动选择对应的安全策略执行。

1个安全策略集的安全策略配置项包括基本策略配置、病毒查杀配置、实时防护配置、信任名单配置、信息采集配置、异常告警配置、漏洞修复配置、桌面管控配置、数据防泄密配置、入侵防御配置、虚拟补丁配置和环境感知配置。

 

 

2.4.1  创建策略

选择“策略中心”，策略中心视图左侧区域为策略列表，右侧区域为某个安全策略的配置项。

在策略列表中，点击策略添加按钮，如下图所示。

图2-117 添加策略

 

在弹出的对话框，输入策略名称，类型选择“策略”，如下图所示。

图2-118 输入策略名称

 

在策略管理页面，选中某条策略后可将该策略设置为默认策略，策略设置为默认策略时，后续注册上线的主机将自动执行默认策略，如下图所示。

图2-119 设置默认策略

 

2.4.2  策略概览

选择“策略中心”，策略中心视图左侧区域为策略列表，在策略列表中选择一条安全策略集，策略中心视图右侧显示出该安全策略集的安全配置项，策略安全配置项如下图所示。

图2-120 策略配置项

 

在策略配置项页面，无Windows操作系统和Linux操作系统的配置项（如基本策略），表明该策略分发给主机后，Windows操作系统主机和Linux操作系统主机都会执行该策略项；显示Windows操作系统和Linux操作系统的配置项（如病毒查杀），客户端执行该条安全策略集时会根据自身系统类型自动选择Windows安全策略或Linux安全策略执行。

2.4.3  基本策略

配置主机用户进行资产信息登记、查看管理员联系方式、客户端密码保护、客户端自身安全防护、CPU占用率和内存熔断设置、升级选项、自定义功能（客户端显示远程协助配置选项、客户端显示文件分发配置选项）、自定义客户端界面（隐藏漏洞修复页面、隐藏安全加固页面、隐藏安全工具页面）、免打扰模式、其他选项配置（客户端与控制中心时间同步），如下图所示。

图2-121 基本配置

 

1. 资产登记信息

配置开启后，主机用户可以通过客户端填写主机资产和责任人信息，并在控制中心Web主机列表显示责任人、资产编号、信息编号、资产位置等资产登记信息；能够支持管理员添加自定义资产项；对未进行资产登记或资产登记不完整的主机，支持主机重启时自动弹出资产登记；支持锁定资产登记，锁定后主机用户不能修改资产登记项；支持开启强制规范分组，只允许主机用户从平台管理员创建的组织架构中选择分组部门。

 

 

资产登记字段支持用户自定义显示或隐蔽、支持自定义名称资产登记项、添加新的资产登记项；其中，责任人和所属部门是必填的资产登记且名称不可编辑，通过点击编辑资产登记字段。

图2-122 编辑资产登记项

通过点击增加一个资产登记项显示在客户端，对已显示的资产登记项点击在客户端隐蔽资产登记项。

 

打开客户端界面，选择“资产登记”，弹出资产登记界面，单击<编辑>按钮。

图2-123 客户端填写资产登记

 

当策略开启强制规范分组功能后，在客户端选择组织架构，如下图。

图2-124 选择组织架构

 

在资产登记项输入主机资产信息，点击<提交>上报控制中心资产信息。

图2-125 登记主机资产信息

 

2. 管理员联系方式

配置开启后，主机用户查看系统管理员的联系方式，以便问题咨询和事件反馈。

图2-126 管理员填写联系方式

 

图2-127 客户端查看管理员信息

 

3. 开启密码保护

密码保护功能开启后，主机用户在退出、卸载客户端、修改控制IP地址或停止由控制中心下发的病毒扫描任务时执行密码保护策略，输入正确的密码后操作方可执行成功。

图2-128 开启客户端密码保护策略

 

客户端退出时，需要输入密码验证。

图2-129 客户端密码保护策略

 

4. 自身安全

自身安全功能开启后，客户端进程、服务、文件、注册表项将启用保护状态，不能从任务管理器、系统服务中结束进程和服务。该功能针对Windows系统客户端，Linux系统客户端未实现该功能。

该功能默认未启用、由主机用户自主配置。

5. CPU占用限制和内存熔断设置

配置客户端对主机或服务器硬件资源的使用，使得客户端对CPU占用不超过设定数值，客户端内存占用达到设定值时执行自身熔断重启，保证业务系统对硬件资源的优先使用。

图2-130 客户端熔断策略

 

 

6. 升级选项

配置客户端软件和病毒库自动升级（默认配置）、定时升级（按天、周、月等）和关闭自动升级功能，设置关闭策略后客户端不检测版本更新。

图2-131 升级策略配置

 

 

7. 自定义功能

开启<客户端显示远程协助配置选项>和<客户端显示文件分发配置选项>后，客户端设置菜单显示远程协助授权按钮、文件分发授权按钮。只有主机用户通过客户端授权后，管理员才能使用远程协助功能远程到主机计算机，或使用文件分发功能在平台往主机推送软件。

该功能默认为配置是禁用状态，必须由主机用户授权后才能正常使用。

图2-132 远程协助客户端授权

 

图2-133 文件分发客户端授权

 

8. 自定义客户端界面

控制客户端界面是否显示和隐藏漏洞修复功能界面、安全加固功能界面和安全工具界面，隐藏时主机用户无法使用对应的功能模块。

图2-134 自定义客户端界面

 

 

9. 免打扰模式

默认关闭状态，当主机检测到病毒文件时会在桌面右下角弹窗提示；开启状态时，客户端检测到病毒时无弹窗提示。

图2-135 免打扰模式

 

10. 其它选项

开启<客户端本地时间自动与服务器进行同步>功能后，客户端会自动向控制中心服务器同步时间。

使用该功能前，请先检查服务器时区正确、时间准确。

图2-136 同步主机时间

 

 

2.4.4  病毒查杀

配置内容包括配置扫描文件类型、配置压缩包扫描、配置扫描引擎、配置病毒文件处理方式、配置扫描速度（客户端资源占用）、配置定时扫描、Windows Defender工作模式（限Windows策略配置）、配置U盘自动扫描，如下图所示。

图2-137 配置Windows病毒查杀策略

 

图2-138 配置Linux病毒查杀策略

 

 

1. 配置扫描文件类型

一般选择默认配置，系统管理员也可以自定义扫描文件类型。

“不扫描的文件后缀”为空时表示扫描所有类型文件，如配置病毒扫描时忽略以“txt”、“bat”为后缀的文件，文件后缀名使用英文逗号分割，配置如下图所示。

图2-139 设置忽略扫描文件类型

 

选择“扫描自定义文件后缀”只对特定类型的文件进行病毒扫描，当后缀为空时不对任何文件扫描，如配置为仅扫描以“rar”为后缀的文件，配置如下图所示。

图2-140 设置自定义扫描文件类型

 

2. 配置扫描压缩包

配置病毒扫描时对超过设定大小的压缩包跳过扫描，对超过压缩层级的压缩文件跳过扫描、对超过设定值大小的单个文件跳过扫描；同时扫描文件大小还受到主机内存大小的限制，如下图。

图2-141 配置扫描压缩包

 

3. 配置多引擎

病毒扫描模块集成了传统的基因特征引擎、人工智能引擎、行为检测引擎和云查杀引擎，系统管理员可以配置使用哪种引擎查杀病毒，并可配置人工智能引擎查杀时的积极模式、均衡模式、谨慎模式，如下图所示。

图2-142 配置扫描引擎

 

4. 配置病毒处理方式

配置病毒扫描时发现病毒文件或可疑文件后的处理方式，有仅上报、系统自动处理（隔离文件到安全区）、交由用户处理3种处理方式，一般选择默认配置

图2-143 配置病毒处理方式

 

5. 配置病毒处理措施

配置病毒扫描时发现病毒文件或可疑文件后的处理措施，一般选择推荐配置。

图2-144 配置病毒处理措施

 

6. 配置资源占用

提供病毒扫描时多线程、多任务支持，依据扫描过程对CPU资源消耗占用情况分为节能模式（扫描速度最慢）、高速模式（扫描速度居中）、极速模式（扫描速度最快）。

图2-145 配置扫描速度

 

资源占用配置的有效性对CPU要求见下表。

表2-7 病毒扫描速度配置要求

编号	资源占用	CPU配置要求
1	节能模式	无要求。
2	高速模式	CPU核数≥4且内存≥6G。
3	极速模式	CPU核数≥6且内存≥12G。

 

7. Windows Defender工作模式

控制杀毒客户端和Windows Defender的工作模式，可控制只运行客户端软件，或者客户端软件与Windows Defender共同运行。

图2-146 配置Windows Defender运行

 

8. 配置定时查杀

配置客户端定时进行病毒扫描任务，支持按每天、每周、每月时间设置和快速扫描、全盘扫描和扫描速度配置。

图2-147 配置定时查杀

 

 

9. U盘扫描

主机上接入U盘时客户端自动扫描U盘文件进行控制。

图2-148 U盘扫描

 

2.4.5  实时防护

配置客户端文件实时防护的启用和禁用、防护级别、监控的文件类型和多引擎设置，配置勒索防御策略、挖矿防御策略、内存防御和网络拦截（限Windows）、ARP防御（限Windows）策略，配置界面如下图所示。

图2-149 配置实时防护

 

1. 实时防护开关

开启配置后，客户端对文件动作起到实时防护功能，客户端实时防护功能默认处于开启状态。

图2-150 防护状态

 

2. 防护级别

配置客户端文件实时防护等级，默认处于“中”等级。

图2-151 防护级别

 

3. 文件类型

配置客户端文件实时防护的文件对象，默认监控可执行文件和压缩文件。

图2-152 防护文件类型

 

支持防护文件类型设置过滤文件类型和指定文件类型防护，不同文件类型之间使用英文逗号分割。

4. 勒索防御

客户端检测勒索命令行为并通过勒索诱捕功能，围猎勒索病毒攻击，客户端默认开启此功能。

图2-153 勒索防御

 

(1)     勒索行为防御

具有客户端界面的缺省策略，当监测到勒索行为发生时会弹窗提示，并进行30秒的倒计时，倒计时结束前可由主机用户选择阻止或忽略，选择阻止时会终止勒索行为并上报平台，选择忽略时仅上报平台不会隔离文件；倒计时结束时如果用户未做任何处置，客户端会默认阻止勒索行为并上报平台。

图2-154 勒索行为防御

 

只有命令行界面Linux操作系统上，客户端缺省的策略配置是阻止勒索行为并上报平台。

(2)     勒索诱捕

具有客户端界面的缺省策略，当成功勒索诱捕时会弹窗提示，并进行30秒的倒计时，倒计时结束前可由主机用户选择阻止或忽略，选择阻止时会隔离勒索病毒文件并上报平台，选择忽略时仅上报平台不会隔离文件；倒计时结束时如果用户未做任何处置，客户端会默认隔离勒索病毒文件并上报平台。

图2-155 勒索诱捕

 

只有命令行界面Linux操作系统上，客户端缺省的策略配置是隔离勒索病毒文件并上报平台。

5. 挖矿防御

客户端监测到挖矿木马程序访问恶意域名地址等挖矿行为时，对挖矿木马查杀，客户端默认开启此功能。

图2-156 挖矿防御

 

具有客户端界面的缺省策略，当发现挖矿行为时会弹窗提示，并进行30秒的倒计时，倒计时结束前可由主机用户选择阻止或忽略，选择阻止时会隔离挖矿木马文件并上报平台，选择忽略时仅上报平台不会隔离文件；倒计时结束时如果用户未做任何处置，客户端会默认隔离挖矿木马并上报平台。

图2-157 挖矿木马行为

 

只有命令行界面Linux操作系统上，客户端缺省的策略配置是隔离挖矿木马并上报平台。

6. 内存防御

对powershell命令、vbs命令脚本监测防御，阻止恶意命令和脚本运行；对Office办公软件、PDF阅读器、浏览器、视频播放器打开文件实时监测，通过应用软件运行恶意命令的行为监测防御；客户端默认开启此功能。

图2-158 内存防御配置

 

(1)     脚本防御

客户端监测主机执行的异常powshell命令和VBS脚本，拦截告警上报平台。

当发现恶意脚本命令运行时会弹窗提示，并进行30秒的倒计时，倒计时结束前可由主机用户选择阻止或忽略，选择阻止时会阻止恶意命令并上报平台，选择忽略时仅上报平台不会拦截；倒计时结束时如果用户未做任何处置，客户端会默认阻止并上报平台。

图2-159 powershell命令防御

 

图2-160 VBS脚本防御

 

(2)     应用程序加固防御

对Microsoft Office/WPS/Adobe PDF/福昕阅读器/IE/Edge/Chrome/Media Player/VLC应用程序安加固，客户端监测应用程序运行异常命令时拦截告警上报平台。

当发现应用程序运行异常命令时会弹窗提示，并进行30秒的倒计时，倒计时结束前可由主机用户选择阻止或忽略，选择阻止时会阻止异常命令并上报平台，选择忽略时仅上报平台不会拦截；倒计时结束时如果用户未做任何处置，客户端会默认阻止并上报平台。例如Microsoft Office运行异常命令时被客户端检测拦截，如下图。

图2-161 Office应用加固防御

 

7. 网络拦截

Windows客户端防御主机发起的访问恶意IP地址、恶意域名地址。

图2-162 Windows网络拦截策略配置

 

8. ARP防御

Windows客户端防御对主机发起的ARP病毒攻击，该功能默认关闭，需要策略开启后功能正常使用。

图2-163 Windows系统ARP防御策略配置

 

2.4.6  信任名单

设置客户端病毒扫描的信任白名单，支持设置文件和目录白名单、设置文件哈希白名单、设置厂商证书签名白名单和行为白名单，客户端执行病毒扫描时不会查杀白名单文件，对误报误杀的文件可以通过将文件加入信任名单处理；能够设置客户端白名单功能使用权限。

1. 目录白名单

选择“信任名单>Winodows>路径白名单”，在路径编辑框中输入目录路径，如输入“C:\Users\xjwd\Desktop\avtest300\”，点击<添加>按钮设置目录白名单，如下图所示。

图2-164 设置Windows路径白名单

 

在路径编辑框中输入文件全路径，点击<添加>按钮设置文件白名单，如下图所示。

图2-165 设置Windows文件白名单

 

配置Linux路径白名单，在路径编辑框中输入目录路径“/root/桌面/avtest300/”，点击<添加>按钮设置Linux目录白名单，如下图所示。

图2-166 设置Linux路径白名单

 

在路径编辑框中输入文件全路径“/bin/test.sh”，点击<添加>按钮设置Linux文件白名单，如下图所示。

图2-167 设置Linux文件白名单

 

配置路径白名单：Windows目录必须以“\”为结尾，Linux目录必须以“/”为结尾，目录

配置完成后，对整个目录下的文件及其子目录下的文件生效。

配置文件白名单：文件路径中填入文件绝对路径，精确匹配。

 

使用字符串通配符设置白名单，对以docx后缀的所有文件设置信任免杀，如下图所示。

图2-168 使用通配符设置文件白名单

 

使用字符串通配符设置白名单，对C盘下以test开头的目录和文件设置信任免杀，如下图所示。

图2-169 使用通配符设置目录白名单

 

使用字符串通配符设置白名单，对路径中包含字符串“Oracle”的路径设置免杀，如下图所示。

图2-170 使用通配符设置路径白名单

 

2. 文件哈希白名单

选择“信任名单>Windows>文件哈希白名单”，在“MD5/SHA256”编辑框输入文件哈希后点击<添加>按钮。

图2-171 设置Windows文件哈希白名单

 

图2-172 设置Linux文件哈希白名单

 

在新增哈希白名单设置界面，填写文件的md5值或sha256值，路径可以不填写。

 

3. 签名证书白名单

选择“信任名单>Windows>签名证书白名单”，在“签名证书厂商”编辑框输入软件的数字签名信息，点击<添加>按钮，如下图所示。

图2-173 签名证书白名单设置

 

 

由于Linux操作系统厂商来源众多及系统的开源化，文件并非由特定厂商统一签名，Linux系统目前不支持签名证书白名单设置。

4. 行为白名单

选择“信任名单>Windows>行为白名单”，在“行为白名单”编辑框输入运行参数，点击<添加>按钮，如下图所示。

图2-174 行为白名单设置

 

 

5. 白名单设置

选择“信任名单>Windows>白名单设置”，在“白名单权限”设置客户端本地白名单功能使用权限，对客户端本地白名单设置允许使用、禁止使用和密码保护使用权限，如下图所示。

图2-175 白名单权限

 

配置主机用户对控制中心在本主机下发的策略白名单查看权限，如下图所示。

图2-176 配置白名单显示

 

2.4.7  信息采集

 

信息采集功能从主机行为数据采集、文件追踪数据采集和日志采集三个方面采集主机数据，如下图所示。

图2-177 信息采集选项设置

 

1. 主机行为数据采集

采集主机上发生的应用程序行为、注册表行为、本地文件操作行为、网络访问行为、账号操作行为、文件打印行为和外设接入行为共7个维度的主机行为数据，采集项如下表所示。

表2-8 主机行为数据采集

编号	采集项名称	采集数据内容
1	应用程序信息采集	采集主机上的进程创建、进程退出、模块加载和驱动加载，详细信息包括进程的pid、进程创建时间、进程退出时间、入库时间。
2	注册表信息采集	采集主机上注册表键值修改、删除、添加行为，仅限Windows系统
3	文件信息采集	采集主机上文件创建、删除操作，默认只采集主机桌面和下载目录，仅限Windows系统。
4	网络行为信息采集	采集主机上网络访问行为，可选择网络连接、域名访问、url访问进行采集。
5	账号信息采集	采集主机上存在的系统账号信息，包括异常账号，如隐藏的克隆账号。
6	打印信息采集	采集主机打印的文档名称、打印时间，仅限Windows系统。
7	外设信息采集	采集主机上插拔外设的行为事件，采集外接设备信息。

 

文件信息采集，支持对Windows操作系统上文件采集、不对Linux系统进行文件采集；默认只采集主机操作系统的桌面和下载目录、采集主机往U盘中拷贝的文件。

在“文件信息采集”选项点击<配置采集路径>，管理员设置需要采集的文件路径，并<保存提交>，如图所示。

图2-178 自定义文件采集路径配置

 

网络行为信息采集，管理员通过<配置过滤规则>功能设置不需要采集的网络连接；策略默认开启“常用网站过滤”功能，该功能自动过滤了1万个常用网址域名（包含大型公司、教育机构等域名网址）；管理员可自定义网站过滤，添加到自定义过滤规则的IP、域名、URL不会被客户端采集，配置点击页面的<保存提交>按钮，配置如下图所示。

图2-179 配置过滤规则

 

2. 文件追踪数据采集

采集主机上发生的文件出站和文件入站事件信息，包括出入站的文件名、发生时间，入库时间、主机IP和端口、远程IP和端口等，采集项如下表所示

表2-9 文件追踪数据采集

编号	采集项名称	采集数据内容
1	FTP文件传输	采集以FTP协议进行明文传输时下载文件和上传文件信息，包括文件名、时间、IP等。
2	邮件传输（SMTP和POP3）	采集电子邮件通过SMTP协议和POP3协议以明文传输时的发件附件文件和接收附件文件信息，包括文件名、时间、IP等。
3	HTTP文件传输	采集浏览器以HTTP协议进行明文传输的文件信息，包括文件名、时间、IP等。
4	网络共享文件监控	采集通过文件共享协议（SMB协议）以明文传输时下载文件和上传的文件信息，包括文件名、时间、IP等等。

 

 

3. 日志采集

采集操作系统安全日志和部分应用软件日志，采集项如下表所示。

表2-10 日志采集

编号	采集项名称	采集数据内容
1	操作系统日志采集	采集主机操作系统日志。
2	数据库日志采集	采集mysql数据库服务日志，须开启mysql软件的常规日志功能。
3	WEB容器日志采集	采集Tomcat服务日志。
4	FTP日志采集	采集Filezilla Server服务日志。
5	邮箱系统日志采集	采集MDaemon邮箱服务日志。

 

2.4.8  异常告警

异常告警功能探测主机上的CPU、内存、硬盘、网络带宽使用状态，对硬件资源使用异常的主机监测告警，设置主机离线天数告警，如下图所示。

图2-180 异常告警设置

 

选择“策略中心>异常告警”，通过“开启主机异常和故障告警”开关打开告警功能，开启异常告警功能后，系统会定期对主机资源进行检测，检测周期最短3分钟，选择告警项和配置参数并点击<保存>按钮。

表2-11 异常告警

编号	采集项名称	采集数据内容
1	CPU监控	对CPU使用率监控，若配置每3分钟检测一次，连续检测3次、告警阈值设置超过90%，则连续9分钟内CPU使用超过90%时会产生CPU告警。
2	内存监控	对物理内存使用率监控，若配置每3分钟检测一次，连续检测3次、告警阈值设置超过90%，则连续9分钟内物理内存使用超过90%时会产生内存告警。
3	硬盘监控	对硬盘使用率监控，若配置每3分钟检测一次，连续检测3次、告警阈值设置超过90%，则连续9分钟硬盘使用超过存储空间的90%时会产生硬盘告警；对于多硬盘主机，当磁盘使用超过总容量90%时会产生告警，单个数据磁盘使用超过90%且未超过总容量90%时不会告警；Windows系统所在分区使用超过90%时也会产生告警。 硬盘监控功能对虚拟机无效。
4	流量监控	对网卡上的数据流量监控，若配置每3分钟检测一次，连续检测3次、告警阈值设置超过90%，则连续9分钟网卡使用带宽的90%时会产生流量告警；对于多网卡主机，只要1个网卡达到流量告警值时就会产生告警信息。
5	主机离线告警	对主机离线超过阈值参数后在数据检索记录为异常离线主机事件。

 

系统采集的异常告警信息，可选择“威胁检测>安全事件>主机资源消耗异常”或选择“数据检索>异常告警”进行查询；主机离线告警信息，选择“数据检索>异常离线”进行查询。

 

2.4.9  漏洞修复

对Windows操作系统安全漏洞的提供统一的补丁加固，由于Linux操作系统不存在统一的漏洞补丁，不支持Linux系统漏洞补丁修复。

1. 修复策略

选择“策略中心>漏洞修复>修复策略”，将“漏洞修复”开启，显示漏洞修复策略配置界面，支持互联网环境、内网WSUS环境和本地扫描3种工作模式，如下图所示。

图2-181 漏洞修复工作模式选择

 

漏洞修复3种工作模式的应用场景。

·     互联网环境：该工作模式适用于客户机可以访问互联网资源情形，不需要单独部署WSUS补丁服务器，客户端使用微软提供的WSUS补丁服务器给主机提供补丁服务，该模式面向政企单位外网。

·     内网WSUS环境：该工作模式适用于用户网络与互联网隔离的情形，客户机无法访问互联网资源或客户机只能访问特定互联网资源无法自由访问互联网资源，需要在用户内网单独部署内网WSUS补丁服务器给主机提供补丁服务，该模式面向政企单位内网。

·     本地扫描：客户端使用自身携带的漏洞库特征，并从已配置好的补丁服务器下载补丁（通过HTTP或HTTPS下载补丁文件，本地扫描时获取补丁文件方式阅读2.9.2  升级章节）。

(1)     互联网环境

选择“互联网环境”后点击<保存>按钮，客户端执行漏洞扫描后，点击<修复>按钮时从互联网下载安装补丁。

图2-182 点击<修复>按钮

 

(2)     内网WSUS环境

用户内网中，若客户机已加入网络域并且管理员在域服务器上统一设置了漏洞修复策略，则在主机安全管理系统上配置漏洞修复策略为“不设置WSUS参数”，如下图所示。

图2-183 网络域环境下补丁修复模式配置

 

 

用户内网中，若客户机未使用域服务器配置漏洞修复策略或未加入域环境，可使用便捷配置（IP和端口）、高级配置模式/专家配置模式（导入配置文件）。

便捷模式配置，填入用户网络中实际部署的WSUS补丁服务器的IP地址和端口即可，端口使用默认的8530，点击<保存提交>按钮完成配置。

一般情况下，内网WSUS补丁服务选择便捷模式即可。

图2-184 WSUS补丁服务便捷配置

 

高级配置模式/专家配置模式，通过修改WSUS补丁服务器参数配置文件，并上传到控制中心。

图2-185 WSUS补丁服务高级配置

 

WSUS参数设置如下图所示。

图2-186 内网WSUS配置文件参数

 

(3)     本地扫描

本地扫描，使用客户端携带的本地漏洞库扫描，从控制中心下载补丁或将从第三服务器下载补丁（能够提供HTTP或HTTPS文件下载服务）。

图2-187 本地扫描配置

 

本地扫描时，获取补丁文件步骤请参考2.9.2  章节。

2. 忽略补丁

主机上的已安装软件和微软个别补丁可能会存在冲突导致系统蓝屏或软件异常的问题，或者微软发布的极个别补丁在主机上安装后存在系统异常问题，为避免这种情况发生，系统提供忽略特定漏洞的功能，客户端执行漏洞扫描修复时跳过设置的忽略漏洞。

选择“策略中心>漏洞修复>忽略补丁”，显示忽略补丁页面，在补丁编号输入框输入补丁编号，点击<添加>按钮和<保存提交>按钮完成，如下图所示。

图2-188 忽略补丁设置

 

2.4.10  桌面管控

对主机出入站访问进行网络管控，对主机外设使用进行外设管控，对Window主机上的程序安装运行进行进程黑白名单管控，对企业或单位内部网络的主机违规接入Wifi、互联网或其它非法网络的行为进行违规外联告警，配置Windows系统广告软件弹窗拦截和安装拦截，设置Windows桌面壁纸。

1. 防火墙

基于源地址、目的地址、源端口、目的端口、协议类型五元组的主机防火墙，控制外部对主机发起的数据访问（入站规则）和主机向外部发起的数据访问（出站规则），精准管控网络访问和阻断网络入侵行为，并对触发防火墙拦截规则的行为记录日志。

选择“桌面管控>Windows>防火墙”，打开“防火墙”开关，显示查看和添加网络管控规则配置页面。

图2-189 网络管控设置

 

在“防火墙”配置界面，选中“入站规则”点击<新增规则>按钮，显示弹出新增入站规则界面。

图2-190 新增入站规则配置

 

在“新增规则”配置界面，输入主机的IP地址和端口，地址和端口编辑框输入星号“*”时表示所有地址和端口；五元组协议类型可以选择TCP/UDP/ICMP或者选择“所有”；选中处理方式并应用规则后点击<保存提交>按钮使规则生效。

支持IP地址编辑框输入单个IP地址或IP地址段（如192.168.31.10/24）、不支持英文逗号分割多个IP地址方式填写；支持端口编辑框输入单个端口或端口范围（如135-139）、不支持英文逗号分割多个端口方式填写。

例如，在入站规则配置中，本地IP填写星号“*”、本地端口填写“445”，远程IP和远程端口填写星号“*”、协议类选择所有、处理方式选择“阻止”，该规则表示阻断外部所有IP对本主机的445端口请求访问。

出站规则和入站规则配置过程类似。

IPv6网络管控策略配置与IPv4网络管控策略配置步骤类似，如下图。

图2-191 新增IPv6入站规则

 

 

 

2. 进程管控

支持进程白名单、进程黑名单、进程红名单三种进程管控模式。

 

 

(1)     进程白名单

进程白名单模式下，已选白名单库中的进程能够在主机启动运行，可配置放行操作系统进程运行、具有厂商合法签名程序的运行；其他非白名单库的进程不能运行。

配置进程白名单步骤：

页面<进程管控>菜单启用、<进程白名单>开启。

编辑全局进程库，选择<白名单>，点击<添加白名单库>，输入白名单库名称，如下图。

图2-192 编辑全局白名单库

 

添加白名单进程，选中添加的白名单库名称，点击<添加白名单进程>按钮，输入白名单进程路径（必填）、软件名称等信息，如下图。

图2-193 编辑全局白名单库

 

 

启用白名单库，在“待选择的进程白名单库”选择白名单库名称勾选，点击符号“＞”将白名单库移动到“已选择的进程白名单库”，并点击页面上方的<保存提交>按钮，使得白名单生效，如下图。

图2-194 启用白名单库

 

取消白名单库步骤，在“已选择的进程白名单库” 选择白名单库名称勾选，点击符号“＜”将白名单库移动到“待选择的进程白名单库”，并点击页面上方的<保存提交>按钮，如下图。

图2-195 取消白名单库

 

 

(2)     进程黑名单

进程黑名单模式下，已选黑名单库中的进程禁止在主机启用运行，其他进程能够在主机启动运行。

配置进程黑名单步骤：

页面<进程管控>菜单启用、<进程黑名单>开启。

编辑全局进程库，选择<黑名单>，点击<添加黑名单库>，输入黑名单库名称，如下图。

图2-196 编辑全局黑名单库

 

添加黑名单进程，选中添加的黑名单库名称，点击<添加黑名单进程>按钮，输入黑名单进程路径（必填）、软件名称等信息，如下图。

图2-197 编辑全局黑名单库

 

 

启用黑名单库，在“待选择的进程黑名单库”选择黑名单库名称勾选，点击符号“＞”将黑名单库移动到“已选择的进程黑名单库”，并点击页面上方的<保存提交>按钮，使得黑名单生效，如下图。

图2-198 启用黑名单库

 

取消黑名单库步骤，在“已选择的进程黑名单库”选择黑名单库名称勾选，点击符号“＜”将黑名单库移动到“待选择的进程黑名单库”，并点击页面上方的<保存提交>按钮，如下图。

图2-199 取消黑名单库

 

 

(3)     进程红名单

进程红名单模式下，已选红名单库中的进程运行受到保护，当客户端发现红名单进程意外退出时会自动启动红名单进程。

配置进程红名单步骤：

页面<进程管控>菜单启用、<进程红名单>开启。

编辑全局进程库，选择<红名单>，点击<添加红名单库>，输入红名单库名称，如下图。

图2-200 编辑全局红名单库

 

添加红名单进程，选中添加的红名单库名称，点击<添加红名单进程>按钮，输入红名单进程路径（必填）、启动参数和运行权限，如下图。

图2-201 编辑全局黑名单库

 

 

启用红名单库，在“待选择的进程红名单库”选择红名单库名称勾选库，点击符号“＞”将红名单库移动到“已选择的进程红名单库”，并点击页面上方的<保存提交>按钮，使得红名单生效，如下图。

图2-202 启用红名单库

 

取消红名单库步骤，在“已选择的进程红名单库”选择红名单库名称勾选，点击符号“＜”将红名单库移动到“待选择的进程红名单库”，并点击页面上方的<保存提交>按钮，如下图。

图2-203 取消红名单库

 

 

3. 外设管控

对普通U盘、加密U盘（将普通U盘在客户端注册成为加密U盘）、内置光驱、USB光驱、USB外置网卡、无线网卡、手机/平板、图像设备（摄像头）、蓝牙、打印机等外设设备控制；可对USB端口、串口、并口等计算机外围端口配置启用/禁用；支持添加端口外设的黑、白名单功能。

(1)     外设启用/禁用状态

选择“桌面管控>Windows>外设管控”，开启外设管控开关，显示外设管控配置界面。

图2-204 Windows外设管控配置

 

 

表2-12 外设管控

编号	管控设备名称	外设控制说明
1	USB移动存储	控制USB接口的移动存储设备在主机上使用，可配置使用方式为设备读写、只读或禁用设备使用，默认不控制；不会影响USB接口的键盘鼠标正常使用。
2	内置光驱	控制计算机内置光驱设备在主机上使用，可配置使用方式为设备读写、只读或禁用设备使用，默认不控制。
3	外置光驱	控制计算机USB外接光驱设备在主机上使用，可配置使用方式为设备读写、只读或禁用设备使用，默认不控制。
4	USB外置网卡	禁用、启用控制。
5	无线网卡	禁用、启用控制。
6	手机/平板	禁用、启用控制。
7	蓝牙	禁用、启用控制。
8	打印机	禁用、启用控制。
9	调制解调器	禁用、启用控制。
10	红外	禁用、启用控制。
11	软驱	禁用、启用控制。
12	USB端口控制	禁用、启用控制，禁用后会禁用USB端口（不影响USB键盘鼠标使用），例如禁用USB移动存储设备和USB网卡，一般选择开启或不控制。
13	串口控制	禁用、启用控制，禁用后无法使用串口通信。
14	并口控制	禁用、启用控制，禁用后无法使用并口通信。
15	1394通信控制	禁用、启用控制，禁用后无法使用1394火线通信。
16	PCMCIA	禁用、启用控制，禁用后无法使用PCMCIA卡通信。
17	外设和端口黑名单	添加到黑名单的外设和端口，禁用在该主机上使用。
18	外设和端口白名单	添加到白名单的外设和端口，允许外设和端口在该主机上正常使用（即使外设控制策略已配置为禁止）。

 

选择“桌面管控>Linux>外设管控”，开启外设管控开关，显示外设管控配置界面。

图2-205 Linux外设管控配置

 

 

(2)     外设和端口白名单

外设和端口白名单设置后，即使策略禁用外设使用，白名单中的外设仍然可以正常接入主机使用（白名单优先）。

Windows系统添加设备白名单步骤：

打开终端计算机设备管理器，查看被禁用设备，终端上的移动光驱、移动硬盘、U盘已经被策略禁用，光驱在“DVD-CD/ROM驱动器”节点下、移动硬盘和U盘在“磁盘驱动器”节点下，如下图所示。

图2-206 查看被禁用设备

 

添加光驱白名单。

在设备属性界面，在DVD/CD-ROM驱动器节点下找到光驱，左键选中需要开启白名单的光驱，右键点击<属性>，如下图所示。

图2-207 打开设备属性

 

在设备属性界面，点击<详细信息>，属性选择“设备描述”（如果属性中有“友好名称”则必须使用友好名称），选中值，右键复制后临时保存，如下图所示。

图2-208 查看设备描述

 

在设备属性界面，点击<详细信息>，属性选择“硬件id”，可能会出现多个硬件id，选中与设备管理器中的光驱描述名称相似的字符最长的硬件id，右键复制后临时保存，如下图所示。

图2-209 查看硬件id

 

在设备属性界面，点击<详细信息>，属性选择“设备实例路径”，右键复制后临时保存，如下图所示。

图2-210 查看实例路径

 

在设备属性界面，点击<详细信息>，属性选择“服务”，右键复制后临时保存，如下图所示。

图2-211 服务

 

在设备属性界面，点击<详细信息>，属性选择“枚举”，右键复制后临时保存，如下图所示。

图2-212 查看枚举

 

在设备属性界面，点击<详细信息>，属性选择“父系”，右键复制后临时保存，如下图所示。

图2-213 查看父系

 

在外设控制页面的外设和白名控制选项，点击<添加>按钮弹出添加外设白名单选项，名称输入设备描述如“CD-ROM Drive”、类别选择“DVD/CD-ROM驱动器”、标识输入硬件id如“USBSTOR\CdRomDell____DVD+/-RW_DW316__A1C2”、设备示例路径“USBSTOR\CDROM&VEN_DELL&PROD_DVD+/-RW_DW316&REV_A1C2\K02L2JI0755_________&0”、服务“cdrom”、枚举“USBSTOR”、父系“USB\VID_413C&PID_9016\K02L2JI0755_________”，如下图所示。

图2-214 添加光驱外设白名单

 

点击<确定 >按钮，点击<保存提交>按钮保存策略，光驱白名单设置完成。

 

 

添加U盘白名单。

设备管理器打开U盘属性，在详细信息页面，查看设备友好名称，复制设备友好名称并临时保存，如下图所示。

图2-215 查看设备友好名称

 

查看设备id，可能会出现多个硬件id，选中与设备管理器中的U盘描述名称相似的字符最长的硬件id，右键复制后临时保存，如下图所示。

图2-216 查看U盘硬件id

 

查看设备实例路径，右键复制后临时保存，如下图所示。

图2-217 查看U盘设备实例路径

 

查看设备服务，右键复制后临时保存，如下图所示。

图2-218 查看U盘服务

 

查看设备枚举，右键复制后临时保存，如下图所示。

图2-219 查看U盘枚举

 

查看设备父系，右键复制后临时保存，如下图所示。

图2-220 查看U盘父系

 

在添加外设白名单界面，名称输入设备友好名称如“Kingston DataTraveler 3.0 USB Device”、类别选择“磁盘驱动器”、标识输入硬件id如“USBSTOR\DiskKingstonDataTraveler_3.0____”、实例路径“USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER_3.0&REV_\E0D55E6CBD13F430484608E6&0”、服务“disk”、枚举“USBSTOR”、父系“USB\VID_0951&PID_1666\E0D55E6CBD13F430484608E6”，如下图所示。

图2-221 添加U盘外设白名单

 

点击<确定>按钮，点击<保存提交>按钮保存策略，U盘白名单设置完成。

 

 

 

(3)     外设和端口黑名单

外设和端口黑名单配置与白名单配置类似，添加到黑名单的设备不能在主机上正常使用。

4. 违规外联

对企业或单位内部网络的主机违规接入Wifi、互联网或其它非法网络的行为进行违规外联告警，并对发现的网络违规外联主机采取安全处置策略，能够配置检测时间段和出口白名单IP，白名单的IP不会告警。

违规外联检测的类型包括：

·     Wi-FI热点外联检测

·     互联网违规外联检测

·     专网违规外联检测

(1)     Wi-Fi热点外联检测

应用场景：不允许网络内的主机私自连接Wi-Fi热点上网。

选择“策略中心>桌面管控>Windows>违规外联”，开启<Wi-Fi热点外联检测>开关。

图2-222 Wi-Fi热点外联检测配置

 

在“Wi-Fi热点外联”配置界面，对Wi-Fi外联主机可配置执行“异常通信链路告警”、“切断网络”、“锁定屏幕”安全策略；若不采取任何安全策略，当发生Wi-Fi热点外联时会被记录下来但不会显示在首页告警信息中，可以通过选择“数据检索>Wi-Fi连接”来查询。

在“Wi-Fi热点外联”配置界面，点击<合法热点列表>添加Wi-Fi热点，连接合法热点列表中的热点网络时不会产生告警、断网或锁屏策略，但主机发生违规外联时也会被记录下来，可以通过选择“数据检索>Wi-Fi连接”来查询。

(2)     互联网违规外联检测

应用场景：企业或单位不允许网络内的主机私自接入互联网。

选择“策略中心>桌面管控>Windows>违规外联”，打开互联网违规外联检测开关，默认配置为“白名单工作模式”。

图2-223 互联网违规外联检测配置

 

·     白名单工作模式：在开启了网络采集策略的情况下，主机首次成功连接互联网实时生成违规外联告警，后续每5分钟检测一次违规外联事件，当本地网络连接源地址或目的地址出现白名单外的IP地址时开启取证探测，一旦成功访问互联网会产生违规外联告警。在没有开启网络采集策略时，每1分钟自动检测一次违规外联事件，此时无论本地网络连接的IP是否在白名单（或白名单配置为空），只要主机成功访问互联网，都会产生违规外联告警。

·     黑名单工作模式：在开启了网络采集策略情况下，当本地网络连接中出现黑名单内的IP地址时开启取证探测，一旦成功访问互联网会产生违规外联告警；在没有开启网络采集策略时，主机每1分钟检测与互联网之间的网络通信、只要主机成功访问互联网就会产生违规外联告警。

·     取证服务器：部署在互联网，主机发生互联网违规外联时的取证，取证信息以内网主机和互联网之间的跨网流量为证明依据，可用于抗抵赖和保障零误报，系统管理员可以在“互联网违规外联”配置页面自定义取证服务器地址；支持添加多个取证服务器，支持检测所有取证服务器，勾选所有取证服务器时每个取证服务器均收到告警信息后判定主机互联网违规外联。

·     发现互联网违规外联：对互联网违规外联的主机采取的安全策略，包括产生告警、断网或锁屏。

·     检测时间和出口白名单：配置在指定时间内互联网连接行为检测告警，检测时间外的互联网连接行为不产生违规外联告警，配置对指定出口IP地址的互联网连接行为不告警。

 

 

(3)     专网违规外联检测

应用场景：单位或企业内部拥有多个业务不同、互相隔离的网络，不同业务域网络的主机不允许跨网访问。

选择“策略中心>桌面管控>Windows>违规外联”，打开专网违规外联检测开关，开启外联检测功能

图2-224 专网违规外联检测配置

 

 

专网违规外联检测配置必须配置取证服务器。

 

 

5. 弹窗拦截

拦截Windows系统上软件的广告弹窗，缺省状态时客户端未启用该功能。

图2-225 配置弹窗拦截

 

6. 软件拦截

检测Windows系统上使用下载器下载软件、捆绑安装软件的行为。

图2-226 软件拦截

 

7. 桌面壁纸

设置Windows系统桌面壁纸，删除壁纸设置后能够恢复桌面原有壁纸。

图2-227 设置桌面壁纸

 

 

2.4.11  数据防泄密

 

 

数据防泄密实现了屏幕水印功能，系统支持明水印和隐水印。

·     明水印：水印内容直观的显示在主机用户的计算机屏幕上，肉眼可视，明水印用在对屏幕内容拍照事件溯源或给主机用户桌面提示信息。

·     隐水印：水印内容不能通过肉眼在主机用户的计算机屏幕上直接观测，通过技术处理后显示出肉眼可视的水印内容，隐水印用在主机用户对文档资料截屏发送事件进行溯源。

1. 明水印

(1)     文本水印

在用户主机计算机屏幕上显示文本信息。在配置页面输入想要在屏幕上显示文件，可选择显示主机名、显示MAC地址、显示IP地址、显示日期，字体水印的颜色及描边色，选择“平铺”后文本将铺满整个屏幕，明/隐水印选择“明水印”，点击<保存提交>按钮，如下图所示。

图2-228 屏幕文本水印配置

 

图2-229 屏幕文本水印显示

 

(2)     印章水印

在用户主机计算机屏幕上显示印章，明/隐水印选择“明水印”。

图2-230 屏幕印章水印配置

 

图2-231 印章水印显示

 

(3)     二维码水印

在用户主机计算机屏幕上二维码，明/隐水印选择“明水印”。

图2-232 屏幕印章水印配置

 

图2-233 屏幕二维码水印

 

使用手机APP扫一扫功能扫描二维码，显示可读的主机的信息，如下图所示。

图2-234 显示可读主机信息

 

(4)     点阵水印

以点阵组合图的形式铺满在用户主机计算机屏幕，明/隐水印选择“明水印”，点阵水印的配置如下图所示。

图2-235 屏幕点阵水印配置

 

图2-236 点阵水印显示

 

点阵水印可在“数据检索>水印检索”中进行查询，定位到具体的主机。

Linux屏幕水印功能仅支持CentOS 7.x版本和Kylin V4.0.2桌面版/V10桌面版。

2. 隐水印

在明/隐水印选择时选择“隐水印”。

主机用户打开文档并对秘密文档关键内容截图发送，图片被截取，根据截获的图片内容溯源照片通过哪台主机发送。

显示隐藏水印步骤如下。

(1)     打开图片

通过photoshop软件打开截获的图片，如下图所示。

图2-237 使用ps打开图片

 

(2)     新建一个图层

在ps软件界面，选择“图层>新建>图层”创建1个新的图层，如下图所示。

图2-238 新建图层

 

(3)     填充图层

同时按下“shift+F5”键，弹出图层填充设置对话框，填充选择“黑色”、混合模式选择“颜色加深”，如下图所示。

图2-239 填充图层

 

在ps软件界面右侧选中新创建的图层，如下图所示。

图2-240 选中图层

 

设置颜色加深，如下图所示。

图2-241 选择颜色加深

 

图片显示隐水印信息，如下图所示。

图2-242 隐藏水印显示结果

 

因某些操作系统默认配置的颜色深度较低（Windows XP/Windows Server 2008），导致不能正常显示隐水印信息或者远程连接这些系统时的截图不能显示隐水印信息，此时需要手动配置主机操作系统颜色深度，步骤 如下。

Windows XP系统，运行“gpedit.msc”命令打开系统组策略编辑器，选择“计算机配置>管理模版>windows组件>主机服务>限制最大颜色深度”, 配置已启用、颜色深度设置为24位（最大数）。

图2-243 配置颜色深度

 

Windows  Server 2008系统，运行“gpedit.msc”命令打开系统组策略编辑器，选择“组策略编辑器>管理模板>Windows组件>远程桌面服务>远程桌面会话主机>远程会话环境>限制最大颜色深度”，配置已启用、颜色深度设置为32位。

图2-244 配置颜色深度

 

对于远程桌面连接的，还需要保证Windows远程桌面客户端的“显示>颜色”颜色深度为32位。

图2-245 远程会话颜色深度

 

1. 因某些操作系统默认配置的颜色深度较低（Windows XP/Windows Server 2008），导致不能正常显示隐水印信息或者远程连接这些系统时的不能显示隐水印信息，此时需要手动配置主机操作系统颜色深度，步骤 如下。

Windows XP系统，运行“gpedit.msc”命令打开系统组策略编辑器，选择“计算机配置>管理模版>windows组件>主机服务>限制最大颜色深度”, 配置已启用、颜色深度设置为24位（最大数）。

图2-246 配置颜色深度

 

Windows  Server 2008系统，运行“gpedit.msc”命令打开系统组策略编辑器，选择“组策略编辑器>管理模板>Windows组件>远程桌面服务>远程桌面会话主机>远程会话环境>限制最大颜色深度”，配置已启用、颜色深度设置为32位。

图2-247 配置颜色深度

 

对于远程桌面连接的，还需要保证Windows远程桌面客户端的“显示>颜色”颜色深度为32位。

图2-248 远程会话颜色深度

 

2.4.12  入侵防御

 

(1)     防暴力破解

对网络Windows系统RDP协议、SMB协议和Linux系统SSH协议、TELNET协议的密码暴力破解攻击进行检测告警并对攻击IP实施有效网络阻断，守护远程桌面、文件共享、远程登录安全。

选择“策略中心>高级防御>防暴力破解”，显示开启防暴力破解配置页面。

图2-249 Windows防暴力破解配置

 

支持设置信任IP，被添加到信任IP的主机在连续输入错误密码次数达到爆破阈值时不会产生告警。

 

 

图2-250 Linux防暴力破解配置

 

支持设置信任IP，被添加到信任IP的主机在连续输入错误密码次数达到爆破阈值时不会产生告警。

在“防暴力破解”配置页面，打开“暴力破解检测与自动封停”开关，配置暴力破解告警和自动封停时间。当主机遭受到暴力破解攻击次数达到阈值时将产生暴力破解告警、执行自动封停攻击源IP，可通在“威胁检测>待处置威胁>暴力破解”查看暴力破解攻击事件。

图2-251 查看破解攻击事件

 

 

(2)     登录加固

登录加固功能实现了系统本地登录加固和远程登录的二次密码验证，能够针对时间段、账号配置登录加固策略，设置登录加固二次密码，能够设置远程登录时文件加白二次验证密码；远程登录加固支持设置信任IP地址，使用信任IP远程登录时不受登录加固策略限制。

本地登录加固策略配置，如下图所示。

图2-252 本地登录加固策略

 

远程登录加固策略配置，如下图所示。

图2-253 远程登录加固策略

 

对执行了本地登录加固策略后的Windows主机，用户登录时提示如下图所示。

图2-254 本地登录Windows主机

 

对执行了远程登录加固策略后的Windows主机，从网络远程登录时需要输入系统密码和增加密码（即二次验证密码），提示如下图所示。

图2-255 RDP远程登录Windows主机

 

对执行了本地登录加固策略后的Linux主机，用户登录时提示如下图所示

图2-256 本地登录Linux主机

 

对执行了远程登录加固策略后的Linux主机，用户登录时提示如下图所示

图2-257 远程登录Linux主机

 

 

对执行了远程登录文件加白二次验证策略后的Windows主机，RDP远程主机使用客户端对文件加白时需要输入增加密码，提示如下图所示。

图2-258 RDP远程Windows主机在本地信任区添加文件要求密码验证

 

对执行了远程登录文件加白二次验证策略后的Linux主机，ssh远程主机使用客户端对文件加白时需要输入增加密码，提示如下图所示。

图2-259 SSH远程Linux主机在本地信任区添加文件要求密码验证

 

(3)     异常登录

审计在敏感时间登录系统账号的行为，包括本地登录和远程登录，对异常登录行为告警，支持设置信任IP名单，使用信任IP登录不会产生告警。

图2-260 本地异常系统登录策略配置

 

图2-261 远程异常系统登录策略配置

 

(4)     端口扫描

主机遭受端口窥探扫描时，客户端检测告警并执行网络阻断扫描源IP；支持设置信任IP，使用信任IP对主机进行端口扫描时不会生成告警。

图2-262 端口扫描策略

 

 

2.4.13  虚拟补丁

 

 

对Linux系统、WEB       组件、数据库组件、大数据组件等应用软件存在的漏洞，在不提供软件升级的情况下提供安全防护，能够设置告警和拦截、防护目标对象。

入侵防御菜单下开启虚拟补丁功能，需要同时配置防护规则和防护对象，防护规则只对防护对象中已添加目标生效。

图2-263 防护规则配置告警

 

图2-264 防护对象配置

 

 

2.4.14  环境感知

根据主机计算环境上存在病毒文件、系统漏洞、系统风险配置、系统风险端口暴露、系统风险服务运行、系统账户弱口令、网络环境、以及存在风险的进程、软件，对在线主机进行实时或定期的安全评分，安全评分执行间隔建议30分钟或以上，安全评分项配置如下图所示。

图2-265 环境感知配置

 

图2-266 环境感知配置

 

病毒扫描、漏洞扫描、弱口令和基线核查结果产生实时安全评分，其它安全评分项由系统定期核查。

 

2.5  资产清点

 

 

对主机上的资产清点统计展示，可清点的资产包括：进程、服务、驱动、端口、操作系统、环境变量、启动项、系统账号、口令复用、应用软件、计划任务、WEB服务、WEB站点、WEB应用、WEB框架、数据库、注册表，支持用户配置资产清点时间，显示资产清点任务状态和进度。

图2-267 防护对象配置

 

 

 

2.6  日常运维

 

管理员远程执行主机病毒扫描、安全基线核查、漏洞扫描、弱口令扫描、主机发现或定时任务，下发安全通告信息和执行文件分发功能，对主机用户通过客户端注册安全U盘的事件查看审批，便于系统管理员安全执勤任务和运维工作。

2.6.1  病毒查杀

1. 创建查杀任务

选择“日常运维>病毒查杀”，点击<创建任务>按钮，弹出创建病毒查杀任务界面，输入任务名称，任务类型选择“全盘查杀”或“快速查杀”，扫描方式可以选择“极速”、“高速”、“节能”；发现病毒处理方式可以选择“不处理”或“隔离病毒文件”，扫描主机范围选择可以按照组织单位进行病毒查杀、选择在线主机、IP筛选主机进行病毒查杀，在线病毒查杀任务配置如下图所示。

图2-268 日常运维-病毒查杀任务配置

 

查看病毒查杀任务状态，停止或取消任务后，主机停止杀毒，任务完成后可导出任务查杀报表。

图2-269 查看病毒查杀任务状态

 

在病毒查杀任务列表，点击<详情>菜单查看主机病毒查杀结果，显示扫描文件数、病毒数，点击病毒清单显示本次扫描任务发现的病毒文件。

图2-270 查看病毒查杀任务详情

 

2. 处置病毒文件

选择某台主机查看病毒清单，查看该主机上病毒感染详情和是否处置信息，如下图所示。

图2-271 查看主机的病毒清单详情

 

 

3. 导出查杀记录

对任务状态显示“完成”病毒查杀任务，可以导出报表。

点击<导出>按钮，页面提示管理员下载《主机安全管理系统查杀报告》，点<下载>按钮可下载报告。

图2-272 导出报表

 

2.6.2  基线核查

系统管理员可以使用预定义的安全基线模板，对在线主机的安全配置项进行基线核查，系统支持管理员对预定义基线模板做出适当的自定义调整。

1. 核查模板

(1)     Windows核查模板

Windows基线核查模板检查项。

表2-13 Windows基线核查说明

编号	基线核查项名称	基线核查项内容说明
1	密码策略	核查密码复杂性、密码长度最小值、密码最长使用期限配置和弱口令。
2	账户锁定策略	核查账户锁定配置、账户锁定时间配置。
3	账号检查	核查是否开启Guest账户使用、是否开启开机系统自动登录配置，核查系统终中是否存在隐藏的克隆账户。
4	默认共享检查	核查是否开启了系统默认的共享路径。
5	安全审计策略	核查系统安全审核策略的配置，包括策略更改审计配置、登录事件审计配置、对象访问审计配置、系统事件审计配置、账户管理审计配置等共9项安全审计策略配置。
6	Windows开启防火墙	核查Windows防火墙的是否开启。
7	Windows自动更新	核查Windows自动更新开关。
8	非必须服务	核查Remote Registry服务、Windows Remote Management服务、Telnet服务、Print Spooler服务、Server服务、Remote Desktop Services服务、WLAN AutoConfig服务、Task Scheduler服务是否关闭。
9	非必须端口	核查135端口、139端口、445端口、3389端口、5355端口是否关闭。
10	防暴力破解	核查网络访问不允许SAM账户和共享的匿名枚举配置。
11	网络入侵防范	核查源路由欺骗保护配置、碎片攻击保护配置、防SYN洪水攻击配置。
12	屏保密码保护	核查主机本地屏保时间、屏保密码配置。
13	自动播放	核查Windows系统自动播放配置。
14	防病毒软件	核查防病毒软件安装情况。

 

(2)     Linux基线模板

Linux基线核查模板检查项。

表2-14 Linux基线核查说明

编号	基线核查项名称	基线核查项内容说明
1	密码策略	核查密码复杂性、密码长度最小值、密码最长使用期限配置和弱口令。
2	账户锁定策略	核查账户锁定配置、账户锁定时间配置。
3	账号检查	核查禁用非root超级账户配置、核查禁用非wheel组账户切换root权限配置。
4	开启防火墙	核查防火墙是否开启且随机启动配置。
5	非必须服务	核查inet服务、telnet服务、ftp服务、portmap/rpcbind服务、rlogin服务、smbd服务、lpd服务是否关闭且不随机启动配置
6	SSH安全监测	核查SSH协议版本、SSH登录配置。
7	防病毒软件	核查防病毒软件安装情况。

 

图2-273 查看和配置基线模板

 

支持复制基线模板后，对需要检测的基线配置项自行选择，只关心弱口令基线项时，将弱口令检查项开启、将其他检查项关闭，基线模板如截图。

图2-274 创建弱口令基线模板

 

2. 执行基线核查

 

选择“日常运维>基线核查”，进入基线核查页面，对主机勾选，点击<创建任务>按钮，在弹出的页面勾选主机，点击<确定>按钮，如下图所示。

图2-275 选定主机基线核查

 

支持创建基线模板定时任务，创建每天、每周、每月，固定时长间隔的基线核查定时任务。

图2-276 配置基线核查定时扫描

 

3. 查看核查结果

基线核查任务页面显示任务状态，点击详情查看主机基线扫描结果，如下图所示。

图2-277 主机执行基线核查结果

 

选择1台基线核查完成的主机，点击<详情>按钮弹出基线核查结果界面，如下图所示。

图2-278 查看基线核查结果

 

4. 导出结果报表

基线核查任务完成后，可将核查结果导出报表，如下图。

图2-279 基线核查结果导出报表

 

2.6.3  漏洞扫描

对在线的Windows操作系统主机进行系统安全漏扫扫描和修复，支持在线Linux系统主机进行漏洞扫描，支持忽略漏洞补丁设置。

 

1. 执行漏洞扫描

选择“日常运维>漏洞扫描”，点击<创建任务>按钮，在弹出的页面上选择主机或分组，如下图所示，如下图所示。

图2-280 创建漏洞扫描任务

 

支持对Windows系统扫描模式（不修复），扫描并修复模式，漏洞扫描功能支持创建定时任务。

 

 

2. 查看漏洞扫描结果

漏洞扫描完成后，页面显示出主机漏洞扫描的结果，如下图所示。

图2-281 漏洞扫描结果

 

点击详情，查看每台终端漏洞详情统计，如下图。

图2-282 终端漏洞统计

 

点击系统上存在的漏洞数，查看具体的漏洞。

图2-283 查看漏洞详情

 

3. 导出

在漏洞扫描任务界面导出漏洞扫描结果，支持导出HTML、WORD格式的报表，支持选择字段导出。

图2-284 导出漏洞报表

 

4. 漏洞忽略清单

配置漏洞忽略清单，漏洞扫描时自动忽略漏洞清单设置的漏洞。

图2-285 配置漏洞忽略清单

 

2.6.4  弱口令扫描

对操作系统账号弱口令、应用软件弱口令和数据库弱口令扫描。

1. 弱口令字典

在“日常运维>弱口令扫描”界面，点击“弱口令字典”，能够添加弱口令密码字典和弱口令规则字典，如下图。

图2-286 弱口令字典

 

点击通用弱口令，创建通用弱口令分组，选中创建的通用弱口令分组后可以添加弱口令密码或者导入弱口令。添加弱口令比较简单，直接输入弱口令密码。导入弱口令的使用txt文件，每行1个口令密码，导入弱口令限定txt文件最多有5000行弱口令，弱口令密码字典如下图所示。

图2-287 弱口令字典格式

 

导入弱口令密码字典，如下图。

图2-288 导入弱口令字典

 

在弱口令字典页面，点击“弱口令字典”，点击添加分组输入分组名称，选中窗口的弱口令规则分组名称，点击添加规则按钮，配置弱口令规则，如下图所示。

图2-289 添加弱口令规则

 

2. 弱口令扫描

在弱口令扫描页面，点击创建任务，选择弱口令字典，能够对存在弱口令的系统普通账户进行停用/启用，对存在弱口令的系统管理员账号进行弹窗提示或执行网络隔离，如下图所示。

图2-290 创建弱口令扫描任务

 

弱口令扫描支持创建定时任务。

 

 

3. 查看弱口令

弱口令扫描任务完成后，点击详情查看存在弱口令的主机，如下图所示。

图2-291 查看弱口令主机

 

在弱口令主机列表选择1台主机，点击弱口令个数，显示弱口令类型详细信息，如下图。

图2-292 查看弱口令详情

 

2.6.5  主机发现

使用Nmap协议和Arp协议探测网络中活跃的未知IP，扫描出未安装客户端软件的资产。

1. 执行主机发现

在“日常运维>主机发现”界面，点击“创建任务”，选择默认的自动选择主机执行，如下图。

图2-293 创建主机发现任务

 

主机发现功能支持创建定时任务。

2.  主机发现结果

主机发现任务页面，<主机总览>菜单下查看被探测主机的IP地址、MAC地址等资产信息，发现者IP及发现者所属分组，如下图所示。

图2-294 主机发现结果

 

 

3. 导出主机发现记录

主机总览页面点击<导出>按钮，将主机发现结果导出记录，点击<下载>按钮下载《主机发现报表》，如下图所示。

图2-295 导出主机发现报表

 

当正在执行主机发现扫描任务时，不能执行报表导出操作。

 

4. 审批入网

路由器、防火墙、交换机、摄像头等设备被扫描后出现在未受控终端列表且无法安装客户端，通过点击审批入网按钮，填写资产信息，审批入网后选择未受控筛选时不再显示该IP资产，审批入网登记如下图所示。

图2-296 审批入网

 

查看审批入网设备，如下图所示。

图2-297 查看审批入网设备

 

2.6.6  安全通告

对主机下发安全通告，可设置安全通告的时间有效性和对指定主机下发安全通告。

在线主机即时接收安全通告，离线主机在安全通告有效时间内上线后自动获取安全通告。

在日常运维页面，点击安全通告>添加通告，弹出下发安全通告对话框，如下图所示。

图2-298 选择主机下发安全通告

 

客户端接收并显示安全通告，如下图所示。

图2-299 客户端显示安全通告

 

2.6.7  文件分发

 

点击<文件列表>上传文件，如下图所示。

图2-300 <文件列表>上传文件

 

创建文件分发任务，如下图。

图2-301 创建文件分发任务

 

2.6.8  安全U盘

1. 注册安全U盘

在主机接入普通U盘，打开客户端界面，在安全工具菜单下点击安全U盘管理，选择U盘点击注册，如下图。

图2-302 点击注册

 

在注册界面，输入注册信息，如下图。

图2-303 点击注册

 

客户端弹出注册成功后，关闭对话框，如下图所示。

图2-304 注册成功

 

安全弹出U盘，如下图所示。

图2-305 注册成功

 

 

2. 审批安全U盘

在“日常运维>安全U盘”界面，点击“审批通过”，如下图。

图2-306 审批安全U盘

 

支持对已审批的安全U盘撤销审批或删除后，无法正常使用安全U盘。

3. 使用安全U盘

将已审批通过的安全U盘接入安装有客户端的主机，客户端弹出挂载安全U盘对话框，输入安全U盘的密码，点击确定，如下图。

图2-307 自动挂载安全U盘

 

 

用户手动挂载安全U盘，如下图所示。

图2-308 手动挂载安全U盘

 

2.7  威胁检测

威胁检测显示了待处置威胁和已处置威胁信息。待处置威胁包括：病毒威胁检测、安全事件威胁检测、暴力破解威胁检测、弱口令和漏洞，支持系统管理员对被攻击的或受到威胁的主机下发通告和执行网络隔离、病毒处置；已处置威胁包括：病毒威胁（忽略或已处置的勒索病毒、挖矿木马、webshell）、漏洞修复（已修复系统漏洞）、高危行为（勒索病毒行为、勒索病毒诱捕、挖矿木马行为、内存攻击防御）、虚拟补丁（虚拟补丁防护）、异常登录和端口扫描。

 

 

2.7.1   待处置威胁

1. 病毒威胁

支持从主机视角和病毒视角查看全部恶意代码、勒索病毒、Webshell病毒和挖矿病毒，支持查看处理未处置病毒和客户端隔离区病毒文件，支持设置全局白名单。

(1)     主机视角

在待处置-病毒威胁页面，点击主机视角，查看未处置病毒。

点击<处置威胁>按钮，弹出对话框显示病毒详情和处置手段，可执行清除、信任、忽略和提取病毒文件，如下图所示。

图2-309 主机视角-待处置病毒

 

在主机视角查看隔离区，显示主机隔离区文件数量，点击隔离区数量弹出页面，能够查看隔离区中病毒文件路径，支持对隔离区文件恢复、删除或提取操作，如下图所示。

图2-310 主机视角-隔离区

 

(2)     病毒视角

在待处置-病毒威胁页面，点击病毒视角，查看待处置病毒列表。

选中未处置病毒后显示存在该病毒的终端，点击处置威胁，在弹出的页面对病毒隔离、信任、忽略或提取病毒文件，如下图所示。

图2-311 病毒视角-待处置病毒

 

在病毒视角查看隔离区，显示隔离区病毒列表和主机，点击隔离区数量弹出页面，能够查看隔离区中病毒文件路径，支持对隔离区文件恢复、删除或提取操作，如下图所示。

图2-312 病毒视角-隔离区

 

(3)     全局白名单

在病毒威胁页面，点击全局白名单，支持添加文件、目录、哈希、签名证书和行为白名单，配置的全局白名单对所有主机生效，配置全局白名单时支持主机将隔离区中存在的全局白名单文件自动恢复到文件初始位置。

点击全局白名单按钮，选中路径白名单后点击添加分组，选中已添加的分组，点击添加路径配置全局路径白名单，如下图所示。

图2-313 配置全局路径白名单

 

点击全局白名单按钮，选中哈希白名单后点击添加分组，选中已添加的分组，点击添加哈希配置全局哈希白名单，如下图所示。

图2-314 配置全局哈希白名单

 

点击全局白名单按钮，选中签名证书白名单后点击添加分组，选中已添加的分组，点击添加证书配置全局证书白名单，如下图所示。

图2-315 配置全局证书白名单

 

点击全局行为按钮，选中行为白名单后点击添加分组，选中已添加的分组，点击添加行为配置全局行为白名单，如下图所示。

图2-316 配置全局行为白名单

 

 

2. 安全事件

 

 

展示可疑常账号（克隆账号）、主机异常通信链路（连接Wi-Fi、非法外联）和主机资源使用异常的主机，可对主机执行网路隔离或下发安全通告，如下图所示。

图2-317 安全事件

 

3. 暴力破解威胁检测

 

 

展示了Windows系统远程桌面（RDP协议）、文件共享（SMB协议）暴力破解检测拦截事件和Linux SSH、TELNET登录的密码暴力破解事件。

图2-318 暴力破解威胁检测

 

4. 账户弱口令

展示了主机上存在的弱口令账户和分类，包括管理员操作系统弱口令、应用软件弱口令和数据库弱口令，如下图所示。

图2-319 弱口令信息

 

5. 漏洞

从主机视角和漏洞视角展示漏洞信息。

主机视角从主机角度，查看主机存在的漏洞，包括漏洞编号、漏洞等级、漏洞补丁介绍等，如下图所示。

图2-320 漏洞-主机视角

 

漏洞视角从漏洞信息角度，查看存在该漏洞的主机信息，如下图所示。

图2-321 漏洞-漏洞视角

 

2.7.2  已处置威胁

1. 病毒威胁

已处置的病毒威胁数据，展示主机名称、IP地址、处置病毒的操作类型、病毒文件类型、病毒标签、病毒文件名称、病毒路径、病毒哈希、查杀引擎等，如下图。

图2-322 病毒威胁

 

2. 漏洞修复

显示了Windows系统漏洞的修复记录，包括主机IP地址、漏洞名称、漏洞编号、漏洞发布日期和漏洞链接等信息，如下图。

图2-323 漏洞修复

 

3. 高危行为

显示勒索诱捕、挖矿木马、命令攻击内存防御、恶意IP拦截、恶意域名拦截已处置事件和攻击步骤序列图，如下图所示。

图2-324 高危行为

 

点击攻击步骤序列图，展示攻击进程父子关系、命令行参数等信息，如下图。

图2-325 攻击步骤序列图

 

图2-326 挖矿木马进程详情

 

4. 虚拟补丁

 

 

对Linux系统漏洞或数据库中间件等存在的漏洞，通过虚拟补丁防护的数据，例如对Redis存在的漏洞（CVE-2022-0543）的攻击时，通过虚拟补丁防护拦截信息，显示攻击源IP、攻击端口等信息，如下图所示。

图2-327 虚拟补丁防护详情

 

5. 异常登录

显示主机异常登录行为，记录发生时间、账号、远程登录源IP地址、本地异常登录或远程异常登录类型，如下图所示。

图2-328 异常登录事件

 

6. 端口扫描

显示对主机发起的端口扫描行为，记录发生事件、攻击源IP、命中端口，如下图所示。

图2-329 端口扫描事件

 

2.8  数据检索

数据检索接口是采集的所有主机信息仓库，可进行日志检索、危险检索、水印检索。

 

2.8.1  日志检索

内容包括进程启停信息、模块加载信息、驱动加载信息、进程注册表信息、网络连接信息、HTTP请求信息、DNS请求信息、WiFi连接信息、违规外联信息、账号操作信息、日志信息、打印信息、外设操作信息、文件操作信息、文件追踪信息、病毒查杀信息、漏洞扫描信息、暴力破解信息、异常告警信息、代理部署信息、升级日志信息、虚拟补丁信息、行为检测信息、登录系统信息、端口扫描、本地提权、防火墙阻断日志和异常离线主机，给管理员提供了按照事件类型分类查询的接口，可按照事件时间、主机IP、事件类型组合查询。

图2-330 日志检索

 

数据检索过滤条件支持详细筛选，如选择网络连接事件类型，点击过滤端口，如下图所示。

图2-331 详细过滤筛选

 

2.8.2  威胁检索

检索主机运行特定文件、主机访问特定IP、RUL、DNS的高危事件。

类型选择“哈希”，检索内容可输入文件的md5、sha1、sha256哈希值进行进程文件检索。

威胁检索页面，如下图所示。

图2-332 威胁检索

 

2.8.3  水印检索

通过检索点阵水印定位主机信息。水印检索选择区域由9个图案供用户选择，左上角红色区域为定位符、其余的8个图案成的绿色部分为标识符，如下图所示。

图2-333 水印检索图案选择

 

点击定位符区域，弹出选择定位符界面，选择其中一个与屏幕点阵水印相一致的图案，屏幕水印可能有多个和定位符相一致的图案选择一个即可，假定选择的图案是第2行第1个，如下图所示。

图2-334 选择定位符

 

在屏幕点阵水印图案上找到与定位符形状相同的图案，并向右寻找2个图案、向下寻找2个图案，形成一组“3x3九宫格”图案，如下图所示。

图2-335 点阵水印九宫格图案

 

在水印检索图案选择的绿色区域依次选择与屏幕点阵水印九宫格对应的图案，如下图所示。

图2-336 选择与屏幕水印一致图案

 

点击<水印检索>按钮，定位到主机，如下图所示。

图2-337 完成图案选择

 

如果定位出的主机大于1台，请在点阵水印符号页面重新选择红色区域定位符，多次筛选后最终定位主机。

2.9  系统管理

2.9.1  产品授权

1. 授权导入

 

产品续期导入授权、追加授权类型。

使用手机APP扫一扫图片二维码，或点击“License使用指南”链接获取授权文件使用指南，获取授权文件后，点击<导入授权>，选择授权文件导入。

图2-338 授权导入配置

 

系统支持导入多个授权文件，导入授权文件后，须在授权绑定页面将授权文件与分组绑定，该分组内的主机自动获取授权。若授权文件未与任何分组绑定，管理页面会显示主机未授权。

一般情况下将授权文件绑定到根分组即可。

当距离系统授权到期时间还有1个月时，会弹出授权提醒，如下图所示。

图2-339 授权提醒

 

支持配置授权提醒设置，WEB登录时下次提醒或关闭授权提醒，如下图。

图2-340 配置授权提醒

 

2. 授权拆分

将导入的授权文件按照操作系统种类、数量拆分成若干子授权，已拆分的子授权可灵活的和主机分组绑定，实现分组具有独立的授权，分组授权使用完毕后会使用根分组的授权。

图2-341 授权拆分配置

 

 

3. 授权绑定

将导入的授权或拆分的授权与分组绑定，绑定后会更新该分组的授权的操作系统类型和数量。

图2-342 授权绑定配置

 

4. 授权排序

一个分组可绑定多个授权文件，当分组绑定多个授权文件或拆分授权时，点击<授权排序>按钮，上下拖动授权后点击<确定提交>按钮，该分组将优先使用排序靠前的授权文件。

图2-343 授权排序

 

5. 授权服务器

部署授权服务器后，能够通过授权服务器向控制中心分发授权。授权服务器WEB登录使用HTTPS协议8021端口，授权服务器使用TCP协议9680端口和控制中心通信，在控制中心配置授权服务器地址，如下图所示。

图2-344 设置授权服务器地址

 

2.9.2  升级管理

配置控制中心升级、客户端升级、病毒库、漏洞规则库和虚拟补丁库升级。

1. 升级控制中心

选择“系统管理>系统升级>控制中心升级”，点击<上传并升级>按钮，在弹出的页面选择控制中心升级包。

图2-345 控制中心升级

 

升级完成后，如果界面显示异常，请刷新浏览器缓存后再次登录Web管理页面。

 

2. 升级客户端

(1)     升级包类型

客户端升级程序如下表。

表2-15 客户端升级包

编号	升级包名称	说明
1	pack_h3c_edr_x86_windows_2.2504.4.0.zip	32位Windows客户端升级包
2	pack_h3c_edr_x86_64_windows_2.2504.4.0.zip	64位Windows客户端升级包
3	pack_h3c_edr_x86_64_linux_2.2504.1.0.zip	X86平台Linux客户端升级包
4	pack_h3c_edr_arm64_linux_2.2504.1.0.zip	Arm平台Linux客户端升级包
5	pack_h3c_edr_loongarch64_linux_2.2504.1.0.zip	龙芯3A5000平台Linux客户端升级包
6	pack_h3c_edr_mips64el_linux_2.2504.1.0.zip	龙芯3A4000平台Linux客户端升级包
7	pack_h3c_edr_sw_64_linux_2.2504.1.0.zip	申威平台Linux客户端升级包

 

(2)     上传升级包

选择“系统管理>系统升级>客户端升级”，点击<软件升级>按钮，打开软件升级页面，点击<上传并升级>按钮，选择客户端软件升级包，将升级包上传至控制中心。

图2-346 上传客户端升级包

 

(3)     配置升级范围

导入客户端软件升级包后，并在指定需要升级的主机地址段范围，只有落在该地址段内的主机才会升级。如下图所示。

图2-347 置客户端升级范围

 

配置了客户端升级范围后，在线的客户端会定期查询并自动升级客户端程序，为将升级负载均衡化，客户端升级周期为4小时查询一次。

3. 病毒库升级

选择“系统管理>系统升级>病毒库升级”，病毒库升级配置界面分为左右两部分，分别用于配置传统基因特征病毒库升级（简称“病毒库升级”）和人工智能模型、规则库、IP情报库等升级（简称“人工智能模型”）升级。

支持控制中心离线升级病毒库和在线升级病毒库。

点击<上传并升级>按钮，选择病毒库离线升级包导入控制中心，如下图所示。

图2-348 病毒库升级配置

 

控制中心能够连通互联网时会显示互联网云端病毒库版本，能够配置自动从互联网同步病毒库，或点击立即同步将互联网云端的病毒库更新到本地控制中心。

对控制中心病毒库更新后，在线的客户端会自动完成病毒库更新。为将升级负载均衡化，客户端升级周期为4小时查询一次。

4. 补丁库升级

当<策略中心>配置互联网模式或内网WSUS模式时，不需要单独进行补丁库升级，WSUS补丁服务器更新WSUS补丁时会自动更新WSUS补丁库。

当<策略中心>配置本地漏洞扫描时，需要更新补丁库和补丁文件。

(1)     漏洞特征库升级

点击并上传漏洞特征库文件，如下图所示。

图2-349 病毒库升级配置

 

控制中心能够连通互联网时会显示互联网云端漏洞特征库版本，能够配置自动从互联网同步漏洞库，或点击立即同步将互联网云端的漏洞库更新到本地控制中心。

对控制中心漏洞库更新后，在线的客户端会自动完成漏洞库更新。为将升级负载均衡化，客户端升级周期为4小时查询一次

(2)     补丁文件上传

漏洞修复有几种模式：

 

本地扫描方式下，获取补丁下载链接。

对主机下发本地扫描策略，扫描完成后查看主机上存在的漏洞信息，显示补丁文件下载地址。

在日常运维菜单创建漏洞扫描任务，查看补丁下载链接，如下图所示。

图2-350 查看补丁下载链接

 

访问补丁文件下载链接下载补丁文件。

在控制中心，选择磁盘充足的目录空间，创建补丁文件目录结构，共三级结构：

一级目录：patch

二级目录：windows

三级目录：2024-07-12，可创建多个三级目录，日期格式要求用横线分割。

例如，在控制中心创建1个补丁存放目录，命令：mkdir -p patch/windows/2024-07-12

图2-351 控制中心创建补丁存放目录

 

将下载的补丁上传到运控中心服务器补丁存放目录“patch/windows/2024-07-12”下，如下图。

图2-352 上传补丁目录

 

执行导入补丁命令：

/etc/kvedr_server/inst_dir/storage/bin/impatch.sh  -i /root/patch/

图2-353 执行导入补丁命令

 

页面显示已导入的补丁列表，如下图所示。

图2-354 WEB查看上传的补丁

 

 

对于集群部署的控制中心，将补丁文件上传到WEB/中心调度服务（192.168.31.180）后，执行导入补丁命令时须指定数据节点IP地址（192.168.31.181）。

命令：/etc/kvedr_server/inst_dir/storage/bin/impatch.sh -i /root/patch/ -s 192.168.31.181

图2-355 集群部署时导入补丁命令

 

5. 规则库升级

升级虚拟补丁规则库，如下图所示。

图2-356 升级规则库

 

6. 代理升级配置

当控制中心无法直接访问互联网资源，只有代理服务器才能访问互联网资源时，通过在控制中心配置代理服务器地址，能够实现控制中心自动同步病毒库，支持HTTP代理服务器或SOCKS5代理服务器，如下图所示。

图2-357 配置代理服务器升级病毒库

 

2.9.3  系统账号

配置账号角色、添加账号和查看管理员日志记录。

1. 账号管理

系统内置的默认的账户信息

·     默认账户：admin

·     默认密码：admin

(1)     添加账户

登录admin账户创建其他管理员账户。

选择“系统管理>账户管理”，点击<添加>按钮，输入姓名、账号（Web登录使用）、密码后点击<确定>按钮，如下图所示。

图2-358 添加账户

 

(2)     账户授权

授权账号的管理范围和功能权限，创建的账户必须经过授权后才能对主机管理。

选择创建的账户，点击<授权>按钮，如下图所示。

图2-359 账户授权

 

在弹出的账户授权界面，选择“分组”，选择分组树给账户分配管理范围，如下图所示。

图2-360 添加账户

 

在弹出的账户授权界面，选择“角色”，选择角色给账户的分配管理权限，如下图所示。

 

在完成账户授权后，可以使用新创建的账户Web登录控制中心。

(3)     密码安全策略

配置尝试登录账户超过阈值后对账户锁定策略，锁定期间内账户不能登录，配置未操作超时退出登录账户策略，管理员登录时显示上次WEB登录时间、登录IP、成功或失败的记录信息。

图2-361 设置WEB账户密码安全策略

 

配置了显示上次登录信息后，下次登录成功时弹出页面提示信息，如下图所示。

图2-362 上次登录信息显示

 

 

(4)     三权分立

三权分立功能将禁用admin账号登录管理平台页面，且不能从页面恢复使用admin账号登录。

开启三权分立功能后系统生成系统管理员（system）、安全管理员（safety）、安全审计员（audit）三种角色的管理员。

·     system账号：默认密码system，主要权限是产品授权管理、角色管理、网络配置和数据备份配置。

·     safety账号：默认密码safety，主要权限是主机概览查看、主机管理、策略中心、日常运维、威胁检测、数据检索、联动响应、系统升级、外部接口、云查管理、告警设置等。

·     audit账号：默认密码audit，主要权限是数据检索、系统报表、审计日志和数据清理配置。

 

(5)     登录IP限制

配置账号在允许在合法的IP上登录WEB页面，在非法的IP上不能登录账号。

在账号管理页面，选择账号点击编辑，对允许登录的IP地址进行勾选，添加登录IP地址，如下图所示。

图2-363 登录IP限制

 

 

(6)     双因子登录

配置登录账号使用账号密码+动态口令认证登录。

 

 

在账号管理页面，选择账号点击编辑，在弹出的页面登录安全设置配置项，登录方式选择账号密码时管理员登录WEB需要输入登录账号和密码，登录方式选择动态口令时管理员登录WEB需要输入登录账号和密码以及动态口令，只有账号密码验证通过并且动态口令验证通过后才能登录WEB管理页面。

登录方式选择动态口令，点击生成令牌，弹出令牌二维码，如下图所示。

图2-364 动态口令

 

在手机打开身份验证器APP，点击添加账户，如下图所示。

图2-365 添加账户

 

点击扫描二维码，扫描令牌二维码，如下图所示。

图2-366 扫描令牌二维码

 

扫描完成后，点击我已扫描保存令牌，如下图所示。

图2-367 点击<我已扫描保存令牌>

 

添加动态令牌成功，如下图所示。

图2-368 成功添加动态令牌

 

手机上身份验证器APP实时更新动态令牌，如下图所示。

图2-369 查看动态令牌

 

退出当前登录账号，重新登录，输入账号、密码后页面弹出输入页面输入动态口令，将身份验证器APP上的动态令牌输入，点击确定，如下图所示。

图2-370 输入身份验证器APP动态码登录

 

(7)     域管理员账号登录

与AD域联动，使用AD域管理员账号登录平台WEB管理页面。

图2-371 配置AD域账号登录

 

2. 角色管理

内置安全管理员、审计管理员、系统管理员三种角色，支持自定义不同功能权限的角色，并通过角色和账户绑定关系设置账户权限。

在角色管理界面，点击<添加>按钮，输入角色名称并选择对该角色分配的权限模块功能模块，如下图所示。

图2-372 添加角色

 

3. 审计日志

记录了管理员的登录、发布公告、策略制定操作行为日志信息和平台组件启停日志信息。

图2-373 操作日志

 

图2-374 系统日志

 

2.9.4  云查管理

启用云查情报库、用户添加自定义情报库黑名单或白名单，对本级控制中心下的所有主机生效。

1. 云查策略

云安全计划，默认处于关闭状态，当加入“云安全计划”后，系统自动把可疑文件上传到云安全中心进行分析，该功能需要连通互联网。

云查杀，配置系统启用云查杀功能。

云查杀文件类型设置，配置云查杀时扫描的文件类型。

在云查杀策略配置，点击立即同步按钮，控制中心从互联网云端同步情报库到本地，如下图所示。

图2-375 配置云查杀策略

 

2. 自定义情报库

管理员根据需要在增加平台黑样本情报、白样本情报、IP情报库、域名情报库和URL情报库，使用该功能需要先在云查杀策略页面将<启用自定义情报库>功能启用。

(1)     添加文件哈希情报库

点击文件哈希情报库>黑名单，点击<添加情报库>，在弹出界面输入黑名单库名称，如下图。

图2-376 添加黑名单文件哈希情报库

 

选中创建的黑名单库名称，点击<添加哈希>，在弹出的页面输入黑名单文件哈希sha256，如下图。

图2-377 添加黑名单样本sha256

 

同样的方法，可以添白名单文件哈希情报库。

(2)     添加签名证书情报库

点击签名证书情报库>白名单，点击<添加签名证书>，在弹出的界面输入文件厂商数字签名信息，如下图。

图2-378 添加白名单签名证书情报库

 

同样的方法，可以添加黑名单签名证书情报库。

 

(3)     添加IP情报库

点击IP情报库，点击<添加情报库>，在弹出的界面输入情报库名称，选择情报库名称，点击添加IP，输入可疑恶意IP地址，如下图。

图2-379 添加IP情报库

 

主机对IP情报库的地址发起TCP连接网络访问，客户端检测告警，如下图。

图2-380 检测拦截对恶意IP访问

 

(4)     添加DNS情报库

点击DNS情报库，添加DNS情报库名称，选中DNS情报库名称添加危险域名，如下图。

图2-381 添加DNS情报库

 

主机对DNS情报库的地址发起DNS网络访问，客户端检测告警，如下图。

 

图2-382 检测拦截对恶意DNS访问

 

(5)     添加URL情报库

点击URL情报库，添加URL情报库名称，选中URL情报库名称添加恶意URL链接地址，如下图。

图2-383 添加URL情报库

 

主机对非加密的URL情报库的地址发起网络访问，客户端检测告警，如下图。

图2-384 检测拦截对恶意URL访问

 

2.9.5  联动响应

 

客户端与控制中心策略联动，通过在控制中心的联动策略，当客户端触发联动规则时自动执行联动响应。

1. 配置联动规则

选择“联动响应>联动规则”，在联动配置界面，点击<添加规则>按钮，弹出添加联动规则界面。

图2-385 新增联动规则

 

类型可以选择“IP地址和端口”、“目的域名”、“目的URL”、“文件MD5”、“文件名”五种类型，选定某一类型后对应有一组行为动作，选择需要的行为动作，如“提醒”、“切断连接”、“终止进程”，选定某一类型后输入响应对象，类型选择若是“目的域名”在响应对象填入域名地址、类型若是“文件名”在响应对象填入文件名，最后配置截止时间，点击<确定>按钮和<全部应用>按钮。

2. 查看联动响应事件

联动规则响应的结果在“联动响应>规则响应”中查看。

 

 

2.9.6  系统报表

1. 报表生成

导出控制中心生成的全网主机风险报告、系统补丁报表和基线核查报表，如下图所示。

图2-386 报表生成

 

2. 报表下载

对导出的主机风险报表、系统补丁报表、基线核查报表、病毒查杀报表、漏洞扫描报表、主机详情报表、主机发现报表下载查看，如下图所示。

图2-387 报表下载

 

2.9.7  系统设置

1. 网络配置

管理员通过Web登录控制中心，对控制中心服务器的IP地址、默认网关地址、DNS地址、路由网关进行配置，如下图所示。

图2-388 网络配置

 

(1)     工作模式

在网络配置页面，点击<配置>按钮，打开<配置列表>页面。

弹出网络配置列表页面，如下图所示。

图2-389 配置列表

 

在配置列表页面，点击<配置>菜单，对IPv4/IPv6网络的配置网卡参数。

设置开机后网卡自动连接和网卡工作模式，自动连接配置选中“开启”，工作模式选择“手动”，如下图所示。

图2-390 工作模式配置

 

 

(2)     配置IP地址

在网卡参数配置页面，设置服务器的IP、网关和DNS地址，如下图所示。

图2-391 配置IP地址

 

输入IP地址、掩码、网关（可填）、DNS服务器（可填），点击<确定>按钮，完成控制中心IP地址的修改。

 

 

(3)     配置路由网关

路由网关配置一般应用在服务器多网卡或多IP环境中，服务器只使用1个网卡和IP的情况下通常可以不用配置路由网关。

在<编辑网络配置>页面，在路由配置项点击<新增>按钮，输入目标网络地址、掩码长度和网关，如下图所示。

图2-392 配置路由网关

 

输入目标网络、掩码和网关地址后，点击<确定>按钮，完成控制中心路由网关配置。

默认路由（0.0.0.0的目标网络）的网关请勿在路由配置项添加，“默认网关”项填写默认网关即可。

 

 

2. 全局参数

配置全网客户端升级带宽管理、文件分发带宽管理和心跳周期，设置客户端默认连接的控制中心IP地址和域名，配置使用的管理端口。

(1)     带宽设置

点击全局参数，升级带宽和心跳周期配置，如下图所示。

图2-393 升级带宽和心跳周期配置

 

在网带宽资源紧张有限时，可适当减少最大支持同时在线升级主机数、降低带宽占用、增加心跳时间；在网带宽资源充足时，可适当增加最大支持同时在线升级主机数、增加带宽占用、缩短心跳时间。

(2)     客户端设置

配置客户端软件安装包名称中的IP地址或域名，客户端软件安装后连接该IP地址或域名，如下图所示。

图2-394 客户端连接默认中心地址配置

 

当选择默认自动获取时，下载的客户端地址为通过浏览器访问控制中心时输入的IP地址；当选择自定义后，可以配置客户端软在安装后自动连接的控制中心IP地址或域名地址。

 

主机列表显示的主机公网IP地址默认是由控制中心获获取的IP地址，可使用客户端主动上报公网IP地址，如下图所示。

图2-395 客户端公网IP获取方式

 

(3)     端口设置

点击端口参数设置，Web管理默认使用HTTPS协议7443端口，客户端下载默认使用HTTPS协议443端口，支持管理员更改Web管理端口、客户端下载端口，支持客户端下载端口使用HTTP协议配置，如下图所示。

图2-396 端口配置

 

3. 告警设置

通过邮件、企业微信、钉钉和手机短信的方式接收平台外发的告警信息，如平台授权到期、授权不足、磁盘剩余空间不足告警以及勒索、挖矿病毒告警。

点击系统管理>告警设置>告警通知，对告警通知方式设置。

(1)     邮箱告警

支持网易邮箱、新浪邮箱、QQ邮箱等主流邮箱告警配置。

第一步：在邮箱启用发送邮件服务

下面以网易邮箱告警配置步骤为例，其他邮箱配置方法类似。

点击邮箱设置，进入POP3/SMTP/IMAP设置页面，如下图所示。

图2-397 进入邮箱设置菜单

 

邮箱配置界面如下图所示

图2-398 邮箱设置界面

 

在开启服务内容配置项，将POP3/SMTP服务开启，开启过程页面会弹出二维码，用手机扫一扫并发送验证码，点击已发送后页面弹出授权密码，如下图所示。

图2-399 生成授权密码

 

复制授权密码保存，后面的配置步骤需要在平台上填写该授权密码。

邮箱设置启用POP3/SMTP服务后，服务开启状态和服务器地址如下图所示。

图2-400 已开启POP3/SMTP服务

 

后面的配置步骤需要在平台填写SMTP服务器地址。

第二步：在平台填写发送件邮箱信息和接收邮箱地址

打开管理平台邮箱告警设置页，填写上面步骤保存的发送者授权密码，发送者邮箱地址（开启POP3/STMP服务的邮箱），SMTP服务器地址，支持使用默认的非加密的25端口或SSL加密的465端口通信，填写接收告警信息的邮件地址，发送邮箱地址可以使用和发送邮箱相同的地址相同或者其他邮箱，配置完成如下图所示。

图2-401 开启邮箱告警配置

 

平台开启病毒事件告警，当客户端发现未处置的病毒时，邮箱接收到的病毒告警信息如下图所示。

图2-402 邮箱接收病毒告警

 

(2)     企业微信群消息告警

第一步：创建企业微信群机器人

在企业微信群（2个以上成员），在群聊天窗口右上角点击找到添加群机器人按钮，如下图所示。

图2-403 添加微信群机器人按钮

 

在弹出的界面，点击添加机器人，如下图所示。

图2-404 添加机器人

 

在弹出的界面，点击新创建一个机器人，如下图所示。

图2-405 新创建一个机器人

 

输入机器人名称，点击添加机器人，如下图所示。

图2-406 新创建一个机器人

 

提示添加机器人成功，复制webhook地址中的key字段值，在平台设置企业微信告警配置中需要填写key值，如下图所示。

 

图2-407 复制key地址

 

第二步：平台配置企业微信告警

企业微信告警配置页面，点击添加，企业微信群机器人网络钩子输入key值，如下图所示。

图2-408 配置企业微信告警

 

 

平台开启病毒事件告警，当客户端发现未处置的病毒时，企业微信群接收到的病毒告警信息如下图所示。

图2-409 企业微信收到病毒告警

 

(3)     钉钉群消息告警

第一步：添加群机器人

在钉钉群点击设置菜单，如下图所示。

图2-410 点击群设置

 

在群设置界面，点击机器人，如下图所示。

图2-411 点击机器人

 

点击添加机器人，如下图所示。

图2-412 点击机器人

 

在弹出的界面，点击添加机器人，如下图所示

图2-413 点击添加机器人

 

选择自定义，如下图所示。

图2-414 点击添加机器人

 

在弹出的页面，安全设置<加签>勾选，复制Webhook地址和加签数值保存，如下图所示。

图2-415 安全设置加签

 

第二步：平台配置钉钉告警

平台钉钉告警配置页面，令牌输入Webhook地址中的token值，加签输入钉钉机器人加签字符串，如下图所示。

图2-416 添加钉钉告警配置

 

 

平台开启病毒事件告警，当客户端发现未处置的病毒时，钉钉群接收到的病毒告警信息如下图所示。

图2-417 钉钉收到病毒告警

 

(4)     手机短信告警

支持通过阿里云短信平台向安全管理员手机推送病毒告警短信。

第一步：在阿里云短信服务平台进行资产认证、签名和创建模板

在阿里云短信服务平台国内消息页面，资产管理菜单新增资质，并等待阿里云通过。

图2-418 新增资质

 

添加签名，例如填写公司名称，并等待阿里云通过审核。

图2-419 添加签名

 

 

添加模板，模板类型选择通知短信，关联上面步骤的签名、输入模板名称、模板内容。

 

 

图2-420 添加模板

 

已通过审批的短信模板，如下图所示。

图2-421 添加模板

 

 

生成密钥标识和密钥内容，鼠标移动到阿里云账号登录页面右上角点击AccessKey管理，创建AccessKey ID和AccessKey Secret，如下图所示。

图2-422 点击AccessKey管理

 

完成AccessKey创后，请保存AccessKey ID和AccessKey Secret，如下图所示。

图2-423 创建AccessKey

 

 

 

第二步：在主机安全管理平台配置短信告警参数

在主机安全管理系统短信告警配置页面，输入密钥标识AccessKey ID对应的字符串值、输入密钥内容AccessKey Secret对应的字符串值、输入短信签名、短信模板，配置页面如下图所示。

图2-424 创建AccessKey

 

平台开启病毒事件告警，当客户端发现未处置的病毒时，手机短信收到的病毒告警信息如下图所示。

图2-425 手机接收病毒告警短信示例

 

(5)     告警事件

配置平台磁盘不足外发告警阈值、授权不足外发告警触发阈值，发现病毒外发告警触发阈值，选择告警方式，如下图所示。

图2-426 告警事件配置

 

 

4. 数据备份

 

 

自动或手动备份恢复系统的主机、策略、账户、全局参数等关键配置信息。

点击<开始导出>后导出备份文件，如下图所示。

图2-427 数据备份

 

 

选择自动备份文件备份文件点击<恢复>或选择已导出的备份文件点击<开始导入>按钮，当进度100%时完成恢复。

图2-428 数据恢复

 

5. 数据清理

自动清理控制中心的磁盘存储的安全事件数据和日志数据，以免磁盘空间耗尽；自动清理离线超过一定时间的主机信息，配置如下图所示。

图2-429 数据清理配置

 

 

因网络故障等原因可能导致主机离线，建议离线主机清理时间设置在30天以上。

6. 外部接口

控制中心提供对安全态势系统等其他设备的外部接口，通过外部接口调用实现syslog日志上报设置上报、远程运维设置、接口授权设置和环境感知上报设置，支持控制中心向多个平台上报syslog日志。

(1)     syslog日志上报

选择“系统管理>系统设置>外部接口>syslog服务配置”，添加Syslog服务器的IP地址和端口，选择网络协议，配置上报内容，点击<应用>按钮，如下图所示。

图2-430 Syslog服务器配置

 

 

选择“系统管理>系统设置>外部接口>syslog上报配置”，开启需要上报的日志类型，点击<应用>按钮。

当授权时ESM授权时，syslog上报设置，如下图所示。

图2-431 ESM授权时syslog上报设置

 

当授权时ESM授权时，syslog上报设置，如下图所示。

图2-432 ESM-AV授权时syslog上报设置

 

 

支持将控制中心的数据检索日志通过kafka上报。

添加kafka brokers，如下图所示。

图2-433 添加Brokers

 

添加topic，如下图所示

图2-434 添加topic

 

 

(2)     远程运维接口

允许调用服务器接口，对服务器重启或关机，缺省状态下重启和关机接口处于关闭状态，如下图。

图2-435 远程运维接口配置

 

(3)     环境感知上报

选择“系统管理>系统设置>外部接口>环境感知设置”，点击添加按钮填写环境感知接收服务器的URL地址，支持向多个设备上报环境感知评分，如下图所示。

图2-436 安全评分上报配置

 

 

(4)     接口授权设置

接口授权设置通过创建一个APIKey，提供接口调用使用。

选择“系统管理>外部接口>接口授权设置”，点击<添加授权>按钮，输入appname名称，如下图所示。

图2-437 添加授权

 

7. 客户端管理

更新客户端程序安装包、显示和隐藏客户端程序安装包，遇到客户端程序故障或升级完控制中心平台后需要更新安装包时进行更新替换，如下图所示。

图2-438 更新客户端、显示/隐藏配置

 

当控制中心升级到6902P14版本时，客户端下载页面显示的客户端版本未更新，可以在此页面更新客户端下载页面的程序版本到最新。

将6902P14版本控制中心安装包里面的客户端程序解压后，在客户端管理页面更新即可。

客户端解压目录如下图所示。

图2-439 客户端解压目录

 

 

8. 界面自定义

用户自定义客户端显示的名称、图标、版本信息，自定义控制中心WEB页面显示的名称、图标、版本信息，如下图所示。

图2-440 自定义客户端界面

 

图2-441 自定义控制中心WEB界面

 

9. 控制中心迁移

将1台控制中心的客户端迁移到另一台控制中心或者将网络版控制中心的客户端迁移到SAAS团队版控制中心租户下。

(1)     网络版向网络版迁移

启用控制中心迁移功能，输入控制中心IP地址，迁移模式选择白名单并添加需要迁移的主机IP网段，点击保存按钮，配置完成后，白名单中的主机重启时会自动重新连接到新的控制中心，如下图所示。

图2-442 网络版向网络版控制中心迁移

 

(2)     网络版向团队版迁移

启用控制中心迁移功能，输入控制中心IP地址，启用迁移到SaaS团队版本并输入租户PIN码，迁移模式选择白名单并添加需要迁移的主机IP网段，点击保存按钮，白名单中的主机重启时会自动迁移到新的控制中心指定的租户下，配置如下图所示。

图2-443 网络版向SaaS团队版控制中心迁移

 

2.9.8  其他设置

1. 发布公告

系统支持公告发布，主机用户使用浏览器输入控制中心IP地址浏览已发布公告。

选择“系统管理>发布公告”，输入公告标题、内容后点击<保存提交>按钮，如下图所示。

图2-444 发布公告

 

2. 软件管理

系统管理员在控制中心Web界面软件管理添加最常用软件，用户可非常方便的使用浏览器打开控制中心地址下载所需的软件。添加软件配置如下图所示。

图2-445 添加软件

 

3. 问题反馈

查看主机用户反馈的问题。

客户端提交问题反馈，如下图所示

图2-446 客户端反馈问题

 

图2-447 查看问题反馈

 

4. 态感大屏

显示主机安全态势感知大屏，如下所示。

图2-448 态感大屏

 

2.9.9  主机部署

在用户主机通过命令行部署客户端，Linux系统命令行部署客户端需要主机操作系统支持wget命令，适用root账户或具有sudo权限的账户进行部署安装。将命令复制后在linux操作系统后台运行完成客户端的部署。

windows系统命令行部署客户端需要主机操作系统支持powershell命令且控制中心安装有可信任机构办法的证书，否则只能支持HTTP部署。将命令复制后在windows操作系统管理员权限运行cmd后运行部署命令完成客户端的部署，windows系统上推荐适用页面下载部署。

支持定义设置下载地址基础路径，当后台管理员admin修改了客户端下载端口时要求基础下载路径的端口要保持一致，例如后台管理员把192.168.31.10的平台https下载客户端的端口修改成3443，则下载地址基础路径填写：https://192.168.31.10:3443，对于存在NAT映射的情况，基础下载路径要适用NAT设备转换前的IP地址（主机用户可访问的IP地址）进行替换。

主机部署如下图所示。

图2-449 发布公告

 

2.9.10  调整内存

 

 

在宿主机上安装控制中心服务时默认独占宿主机物理内存，支持修改控制中心服务对物理内存使用或者物理内存增大后扩大控制中心对物理内存使用。

命令：/etc/kvedr_server/inst_dir/storage/bin/chmem.sh

图2-450 修改使用内存命令

 

脚本文件提示输入物理内存大小，输入合理的内存大小，如下图。

图2-451 输入内存大小

 

输入完成后控制中心服务自动重启。

 

 

3 Web配置指导-主机安全管理系统（团队版）

3.1  系统管理员配置

 

 

3.1.1  登录

主机安全管理系统（团队版）部署完成后，打开Web浏览器，使用HTTPS协议在地址栏输入控制中心地址和端口，输入格式：https://ServerIP:7443，请将ServerIP替换为控制中心实际IP地址，例如浏览器地址栏输入https://192.168.10.10:7443，打开账号登录页面。

控制中心在出厂时内置默认的系统管理员登录账户信息。

默认的Web登录账户信息包括：

·     用户名：“admin”

·     密码：“admin”

输入系统内置的系统管理员登录账户信息，点击<登录>按钮。

图3-1 登录系统管理员

 

 

首次登录admin账户，提示修改默认密码。

图3-2 修改登录密码

 

登录admin账户后，Web页面如下图所示。

图3-3 系统管理员视图

 

 

3.1.2  概览

概览信息展示：租户总数、活跃租户数、授权使用情况、软件版本信息、平台版本和客户端升级包级病毒库版本、客户端操作系统类型和数量信息、授权即将不足租户、授权已经不足租户和控制中心的运行状态（CPU/内存/磁盘），如下图所示。

图3-4 概览

 

3.1.3  授权池

系统管理员将授权文件上传到授权池，通过授权绑定功能将授权池中的授权按照主机操作系统类型和数量分配给团队租户使用。

 

 

获取授权文件后，使用admin账户登录系统管理页面，选择<授权池>，点击<导入授权>按钮，如下图所示。

图3-5 点击<导入授权>按钮

 

在弹出的页面，选择授权文件，点击<确定>按钮，如下图所示。

图3-6 导入授权文件

 

成功导入授权文件后，如下图所示。

图3-7 成功导入授权文件

 

3.1.4  授权绑定

在系统管理员页面，点击<授权绑定>按钮，显示授权绑定页面；在授权绑定页面右侧视图区域，点击选择公司，如下图所示。

图3-8 选择公司

 

1. 绑定授权

在授权绑定页面选择公司后，操作类型选择“绑定授权”，选择占用授权时长、授权类型和各类型授权剩余数后，点击<搜索>按钮，搜索出可用的授权文件，选择可用的授权文件后点击<绑定>按钮，如下图所示。

图3-9 绑定授权

 

在弹出的授权拆分页面，输入分配给租户的主机授权数，如下图所示。

图3-10 分配授权

 

对团队或公司绑定授权后，团队管理员登录后可对本团队主机进行策略下发和安全管理。

 

 

2. 撤销授权

在授权绑定页面选择公司后，操作类型选择“查询授权”，点击<搜索>按钮，搜索出团队/公司使用的授权，点击<撤销>按钮，如下图所示。

图3-11 撤销授权

 

被撤销授权自动回收到授权池中，可以继续给其他租户使用。

3.1.5  授权查询

在系统管理员页面，点击<授权查询>按钮，显示授权查询视图页面，授权查询页面显示空闲授权查询和租户授权查询。

1. 空闲授权查询

在空闲授权查询页面，选择“产品类型”、“授权时长”、“授权启用时间-授权到期时间”和授权剩余数选项，点击<搜索>按钮，如下图所示。

图3-12 空闲授权查询

 

2. 租户授权查询

在租户授权查询页面，显示租户使用授权，如下图所示。

图3-13 租户授权查询

 

3.1.6  租户列表

显示租户注册时间、租户公司名称、租户公司地址、注册手机号、注册天数、租户授权状态、是否活跃租户等信息，添加租户，如下图所示。

图3-14 租户列表

 

当租户开启托管权限后，SaaS平台系统管理员能够管理租户终端，点击管理终端跳转到租户页面。

租户管理员登录后点击账号编辑，开启托管权限，如下图所示，

图3-15 租户管理员开启托管

 

3.1.7  日志

日志信息记录了团队企业注册日志、管理员添加日志、授权导日志。

图3-16 企业注册日志

 

管理员添加日志记录了团队管理员的添加日志信息。

图3-17 管理员添加日志

 

授权日志记录了授权文件的导入、绑定和撤销日志。

图3-18 授权日志

 

3.1.8  角色管理

通过角色管理功能对角色分配不同权限的功能模块，并可通过角色和账户绑定关系设置账户权限。

点击<添加>按钮，输入角色名称、勾选角色权限，点击<确定>按钮，完成添加角色，如下图所示。

图3-19 添加角色

 

3.1.9  账号管理

1. 添加账号

添加系统管理员账户，通过将账户和角色绑定，对账户进行权限设置。

在账号管理页面，点击<添加>按钮，弹出添加账户页面，输入姓名、账号和密码，点击<确定>按钮，如下图所示。

图3-20 添加账户

2. 账号授权

在添加的一条账户信息右侧，点击<授权>按钮，如下图所示。

图3-21 点击<授权>

 

在弹出的角色选择页面，选择已创建的角色，点击<确定>，如下图所示。

图3-22 选择<角色>

 

3. 密码安全策略

配置记录上次WEB登录成功、失败、登录IP和登录时间信息，配置登录失败锁定策略，配置登录后未操作超时退出策略、配置密码更换周期时间，如下图所示。

图3-23 配置密码安全策略

 

4. 三权分立

三权分立功能将禁用admin账号登录管理平台页面，且不能从页面恢复使用admin账号登录。

开启三权分立功能后系统生成系统管理员（system）、安全管理员（safety）、安全审计员（audit）三种角色的管理员。

·     system账号：默认密码system，数据备份权限。

·     safety账号：默认密码safety，概览查看、授权池、授权绑定、授权查询、租户列表、日志、系统升级、全局参数、网络配置、云查管理、界面自定义、外部接口、客户端管理等权限。

·     audit账号：默认密码audit，日志权限。

 

5. 登录IP限制

配置账号在允许在合法的IP上登录WEB页面，在非法的IP上不能登录账号。

在账号管理页面，选择账号点击编辑，对允许登录的IP地址进行勾选，添加登录IP地址，如下图所示。

图3-24 登录IP限制

 

 

6. 双因子登录

配置登录账号使用账号密码+动态口令认证登录。

 

 

在账号管理页面，选择账号点击编辑，在弹出的页面登录安全设置配置项，登录方式选择账号密码时管理员登录WEB需要输入登录账号和密码，登录方式选择动态口令时管理员登录WEB需要输入登录账号和密码以及动态口令，只有账号密码验证通过并且动态口令验证通过后才能登录WEB管理页面。

登录方式选择动态口令，点击生成令牌，弹出令牌二维码，如下图所示。

图3-25 动态口令

 

在手机打开身份验证器APP，点击添加账户，如下图所示。

图3-26 添加账户

 

点击扫描二维码，扫描令牌二维码，如下图所示。

图3-27 扫描令牌二维码

 

扫描完成后，点击我已扫描保存令牌，如下图所示。

图3-28 点击<我已扫描保存令牌>

 

添加动态令牌成功，如下图所示。

图3-29 成功添加动态令牌

 

手机上身份验证器APP实时更新动态令牌，如下图所示。

图3-30 查看动态令牌

 

退出当前登录账号，重新登录，输入账号、密码后页面弹出输入页面输入动态口令，将身份验证器APP上的动态令牌输入，点击确定，如下图所示。

图3-31 输入身份验证器APP动态码登录

 

7. 域管理员账号登录

与AD域联动，使用AD域管理员账号登录团队版的后台WEB管理页面。

图3-32 配置AD域账号登录

 

 

 

3.1.10  系统升级

配置控制中心升级、客户端升级、病毒库升级和漏洞规则库升级。

1. 升级控制中心

在系统升级页面选择控制中心升级，点击<上传并升级>按钮后选择控制中心升级包，如下图所示。

图3-33 升级控制中心

 

 

2. 客户端升级

客户端升级包有32位Windows版客户端升级包、64位Windows版客户端升级包、64位x86平台Linux客户端升级包、64位ARM平台Linux客户端升级包。

表3-1 客户端升级包

编号	升级包名称	说明
1	pack_h3c_edr_x86_windows_2.2501.4.0.zip	32位Windows客户端升级包
2	pack_h3c_edr_x86_64_windows_2.2501.4.0.zip	64位Windows客户端升级包
3	pack_h3c_edr_x86_64_linux_2.2501.6.0.zip	X86平台Linux客户端升级包
4	pack_h3c_edr_arm64_linux_2.2501.6.0.zip	Arm平台Linux客户端升级包
5	pack_h3c_edr_loongarch64_linux_2.2501.6.0.zip	龙芯3A5000平台Linux客户端升级包
6	pack_h3c_edr_mips64el_linux_2.2501.6.0.zip	龙芯3A4000平台Linux客户端升级包
7	pack_h3c_edr_sw_64_linux_2.2501.6.0.zip	申威平台Linux客户端升级包

 

在系统升级页面选择客户端升级，点击<上传并升级>按钮后选择客户端升级包，如下图所示。

图3-34 升级控制中心

 

客户端升级包上传完成后，选择升级包配置升级IP地址段，只有主机IP地址处于升级地址段的主机才会升级，如下图所示。

图3-35 配置客户端升级IP地址段

 

配置了客户端升级范围后，在线的客户端会定期查询并自动升级客户端程序，为将升级负载均衡化，客户端升级周期为4小时查询一次。

3. 病毒库升级

病毒库升级配置界面分为左右两部分，分别用于配置传统基因特征病毒库升级（简称“病毒库升级”）和人工智能模型、规则库、IP情报库等升级（简称“人工智能模型”）升级，点击<上传并升级>按钮，分别选择对应的升级包导入控制中心，如下图所示。

图3-36 病毒库升级配置

 

病毒库升级配置完成后，在线的客户端会自动完成软件更新或病毒库更新。为将升级负载均衡化，客户端升级周期为4小时查询一次。

4. 补丁库升级

当<策略中心>配置互联网模式或内网WSUS模式时，不需要单独进行补丁库升级，WSUS补丁服务器更新WSUS补丁时会自动更新WSUS补丁库。

当<策略中心>配置本地漏洞扫描时，需要更新补丁库和补丁文件。

(1)     漏洞特征库升级

点击并上传漏洞特征库文件，如下图所示。

图3-37 病毒库升级配置

 

控制中心能够连通互联网时会显示互联网云端漏洞特征库版本，能够配置自动从互联网同步漏洞库，或点击立即同步将互联网云端的漏洞库更新到本地控制中心。

对控制中心漏洞库更新后，在线的客户端会自动完成漏洞库更新。为将升级负载均衡化，客户端升级周期为4小时查询一次

(2)     补丁文件上传

漏洞修复有几种模式：

 

本地扫描方式下，获取补丁下载链接。

对主机下发本地扫描策略，扫描完成后查看主机上存在的漏洞信息，显示补丁文件下载地址。

在日常运维菜单创建漏洞扫描任务，查看补丁下载链接，如下图所示。

图3-38 查看补丁下载链接

 

访问补丁文件下载链接下载补丁文件。

在控制中心，选择磁盘充足的目录空间，创建补丁文件目录结构，共三级结构：

一级目录：patch

二级目录：windows

三级目录：2024-07-12，可创建多个三级目录，日期格式要求用横线分割。

例如，在控制中心创建1个补丁存放目录，命令：mkdir -p patch/windows/2024-07-12

图3-39 控制中心创建补丁存放目录

 

将下载的补丁上传到运控中心服务器补丁存放目录“patch/windows/2024-07-12”下，如下图。

图3-40 上传补丁目录

 

执行导入补丁命令：

/etc/kvedr_server/inst_dir/storage/bin/impatch.sh /root/patch/

图3-41 执行导入补丁命令

 

页面显示已导入的补丁列表，如下图所示。

图3-42 WEB查看上传的补丁

 

 

5. 规则库升级

升级虚拟补丁规则库，如下图所示。

图3-43 升级规则库

 

6. 代理升级配置

当控制中心无法直接访问互联网资源，只有代理服务器才能访问互联网资源时，通过在控制中心配置代理服务器地址，能够实现控制中心自动同步病毒库，支持HTTP代理服务器或SOCKS5代理服务器，如下图所示。

图3-44 配置代理服务器升级病毒库

 

3.1.11  全局参数

配置全网客户端升级带宽管理和心跳周期、客户端默认连接的控制中心IP地址和域名，配置使用的管理端口。

1. 带宽设置

升级带宽和心跳周期配置，如下图所示。

图3-45 升级带宽和心跳周期配置

 

在网带宽资源紧张有限时，可适当减少最大支持同时在线升级主机数、降低带宽占用、增加心跳时间；在网带宽资源充足时，可适当增加最大支持同时在线升级主机数、增加带宽占用、缩短心跳时间。

2. 客户端设置

配置客户端软件安装包名称中的IP地址或域名，客户端软件安装后连接该IP地址或域名，如下图所示。

图3-46 客户端连接默认中心地址配置

 

当选择默认自动获取时，下载的客户端地址为通过浏览器访问控制中心时输入的IP地址；当选择自定义后，可以配置客户端软在安装后自动连接的控制中心IP地址或域名地址。

 

主机列表显示的主机公网IP地址默认是由控制中心获获取的IP地址，可使用客户端主动上报公网IP地址，如下图所示。

图3-47 客户端公网IP获取方式

 

3. 端口设置

点击端口参数设置，Web管理默认使用HTTPS协议7443端口，客户端下载默认使用HTTPS协议443端口，支持管理员更改Web管理端口、客户端下载端口，支持客户端下载端口使用HTTP协议配置，如下图所示。

图3-48 端口配置

 

3.1.12  网络配置

1. 工作模式

在网络配置页面，点击<配置>按钮，打开<配置列表>页面。

弹出网络配置列表页面，如下图所示。

图3-49 配置列表

 

在配置列表页面，点击<配置>菜单，对IPv4/IPv6网络的配置网卡参数。

设置开机后网卡自动连接和网卡工作模式，自动连接配置选中“开启”，工作模式选择“手动”，如下图所示。

图3-50 工作模式配置

 

 

2. 配置IP地址

在网卡参数配置页面，设置服务器的IP、网关和DNS地址，如下图所示。

图3-51 配置IP地址

 

输入IP地址、掩码、网关（可填）、DNS服务器（可填），点击<确定>按钮，完成控制中心IP地址的修改。

 

 

3. 配置路由网关

路由网关配置一般应用在服务器多网卡或多IP环境中，服务器只使用1个网卡和IP的情况下通常可以不用配置路由网关。

在<编辑网络配置>页面，在路由配置项点击<新增>按钮，输入目标网络地址、掩码长度和网关，如下图所示。

图3-52 配置路由网关

 

输入目标网络、掩码和网关地址后，点击<确定>按钮，完成控制中心路由网关配置。

默认路由（0.0.0.0的目标网络）的网关请勿在路由配置项添加，“默认网关”项填写默认网关即可。

 

 

 

3.1.13  云查管理

启用云查情报库、用户添加自定义情报库黑名单或白名单、配置IP情报库、DNS情报库，对本级控制中心下的所有主机生效。

1. 云查策略

云安全计划，默认处于关闭状态，当加入“云安全计划”后，系统自动把可疑文件上传到云安全中心进行分析，该功能需要连通互联网。

云查杀，配置系统启用云查杀功能。

云查杀文件类型设置，配置云查杀时扫描的文件类型。

在云查杀策略配置，点击立即同步按钮，控制中心从互联网云端同步情报库到本地。

图3-53 配置云查杀策略

 

2. 自定义情报库

管理员根据需要在增加平台黑样本情报或白样本情报，使用该功能需要先在云查杀策略页面将<启用自定义情报库>功能启用。

以管理员自定义添加黑样本哈希情报和白样本文件签名情报举例配置。

(1)     添加文件哈希情报库

点击文件哈希情报库>黑名单，点击<添加情报库>，在弹出界面输入黑名单库名称，如下图。

图3-54 添加黑名单文件哈希情报库

 

选中创建的黑名单库名称，点击<添加哈希>，在弹出的页面输入黑名单文件哈希sha256，如下图。

图3-55 添加黑名单样本sha256

 

同样的方法，可以添白名单文件哈希情报库。

(2)     添加签名证书情报库

点击签名证书情报库>白名单，点击<添加签名证书>，在弹出的界面输入文件厂商数字签名信息，如下图。

图3-56 添加白名单签名证书情报库

 

同样的方法，可以添加黑名单签名证书情报库。

 

(3)     添加IP情报库

点击IP情报库，点击<添加情报库>，在弹出的界面输入情报库名称，选择情报库名称，添加IP，输入可疑恶意IP地址，如下图。

图3-57 添加IP情报库

 

主机对IP情报库的地址发起TCP连接网络访问，客户端检测告警，如下图。

图3-58 检测拦截对恶意IP访问

 

(4)     添加DNS情报库

点击DNS情报库，添加DNS情报库名称，选中DNS情报库名称添加危险域名，如下图。

图3-59 添加DNS情报库

 

主机对DNS情报库的地址发起DNS网络访问，客户端检测告警，如下图。

 

图3-60 检测拦截对恶意DNS访问

 

(5)     添加URL情报库

点击URL情报库，添加URL情报库名称，选中URL情报库名称添加恶意URL链接地址，如下图。

图3-61 添加URL情报库

 

主机对非加密的URL情报库的地址发起网络访问，客户端检测告警，如下图。

图3-62 检测拦截对恶意URL访问

 

3.1.14  界面自定义

自定义控制中心WEB页面显示的名称和图标，如下图所示。

图3-63 自定义控制中心WEB界面

 

3.1.15  外部接口

控制中心提供对安全态势系统等其他设备的外部接口，通过外部接口调用实现syslog日志设置、远程运维设置、接口授权设置以及环境感知设置（可与零信任联动）。

1. syslog日志上报

在“外部接口>syslog服务配置”页面，点击添加按钮，输入Syslog服务器的IP地址和端口，网络协议选择UDP，选择上报内容，点击<应用>按钮，如下图所示。

图3-64 Syslog服务器配置

 

在“外部接口>syslog上报设置”页面，开启需要上报的日志类型，点击<应用>按钮，如下图所示。

当授权时ESM授权时，syslog上报设置，如下图所示。

图3-65 ESM授权时syslog上报设置

 

当授权时ESM授权时，syslog上报设置，如下图所示。

图3-66 ESM-AV授权时syslog上报设置

 

 

支持将控制中心的数据检索日志通过kafka上报。

添加kafka brokers，如下图所示。

图3-67 添加Brokers

 

添加topic，如下图所示

图3-68 添加topic

 

 

2. 选择租户

选择上报的租户上报syslog日志和环境感知评分，如下图所示。

图3-69 选择租户

 

3. 远程运维接口

允许调用服务器接口，对服务器重启或关机，缺省状态下重启和关机接口处于关闭状态，对通过页面注册租户的行为进行管理，默认关闭页面注册租户功能，能够对页面注册的租户进行审核，只有审核通过后才能登录注册的租户，如下图。

图3-70 远程运维接口配置

 

4. 环境感知

通过接口上报主机计算环境的安全评分，实现与零信任设备的联动。

选择“外部接口>环境感知设置”，点击添加按钮，填写接收端的URL地址后点击<应用>按钮，如下图所示。

图3-71 环境感知配置

 

5. 接口授权设置

接口授权设置通过创建一个APIKey，提供接口调用使用，也可以通过接口创建APIKEY。

选择“系统管理>外部接口>接口授权设置”，点击<添加授权>按钮，输入appname名称，如下图所示。

图3-72 添加授权

 

3.1.16  客户端管理

更新客户端程序安装包、显示和隐藏客户端程序安装包，遇到客户端程序故障需要更新安装包时进行更新替换，如下图所示。

图3-73 更新客户端、显示/隐藏配置

 

当控制中心升级到6902P13版本时，客户端下载页面显示的客户端版本未更新，可以在此页面更新客户端下载页面的程序版本到最新。

将6902P13版本控制中心安装包里面的客户端程序解压后，在客户端管理页面更新即可。

客户端解压目录如下图所示。

图3-74 客户端解压目录

 

3.1.17  授权服务器

部署授权服务器后，能够通过授权服务器向控制中心授权池分发授权、通过授权服务器向租户分发授权。授权服务器WEB登录使用HTTPS协议8021端口，授权服务器使用TCP协议9680端口和控制中心通信，在控制中心配置授权服务器地址，如下图所示。

图3-75 设置授权服务器地址

 

 

3.1.18  控制中心迁移

将SaaS团队版客户端从1台SaaS控制中心迁移到新的SaaS控制中心，白名单范围内的主机在重启上线时会自动迁移，配置如下图所示。

图3-76 控制中心迁移

 

3.1.19  数据备份

 

 

对SaaS团队版平台上的租户、账号、角色、策略、全局参数等配置数据备份和恢复。

点击开始导出，显示数据备份进度，如下图。

图3-77 备份SaaS平台数据

 

在新的控制中心平台数据备份页面，点击恢复数据，选择之前导出的备份数据进行恢复，如下图所示。

图3-78 恢复SaaS平台数据

 

3.1.20  告警设置

SaaS团队版后台管理员设置告警事件、告警方式，如下图。

图3-79 团队版（SAAS）后台管理员配置告警

 

3.1.21  调整内存使用

 

 

在宿主机上安装控制中心服务后后默认独占物理内存使用，支持限制控制中心服务对物理内存使用或者物理内存增大后变更控制中心对物理内存使用。

命令：/etc/kvedr_server/inst_dir/storage/bin/chmem.sh

图3-80 修改使用内存命令

 

脚本文件提示输入物理内存大小，输入合理的内存大小，如下图。

图3-81 输入内存大小

 

输入完成后控制中心服务自动重启。

 

 

3.2  团队管理员配置

3.2.1  团队管理员注册

 

 

在主机安全管理系统（团队版）Web登录页面：https://IP:7443

点击<注册账号>按钮，如下图所示。

图3-82 点击<注册账号>按钮

 

根据页面向导提示，输入公司名称和公司地址，阅读《主机安全管理系统团队版隐私政策》并勾选，点击<继续>按钮，如下图所示。

图3-83 点击<继续>按钮

 

根据页面向导提示，输入注册手机号、验证码、和密码后，点击<注册>按钮，如下图所示。

图3-84 点击<注册>按钮

 

页面弹出“注册成功”，如下图所示。

图3-85 提示“注册成功”

 

页面自动跳转至团队管理员视图，如下图所示。

图3-86 团队管理员视图

 

团队管理员视图页面右上角显示该团队的PIN码，团队PIN码是团队在系统主机的身份标识。

3.2.2  分发客户端程序

1. 页面部署

在团队管理员视图页面，将鼠标移动至右上角显示该团队的PIN码区域，显示团队信息和客户端下载信息，如下图所示。

图3-87 团队客户端下载信息

 

点击<批量安装部署>按钮，页面跳转至<主机部署>页面，如下图 所示。

图3-88 获取客户端途径

 

比如选择“员工自助部署”，将客户端下载链接复制并发送给团队成员，团队成员可通过访问该链接选择对应的客户端下载安装，如下图所示。

图3-89 下载客户端

 

团队版Windows客户端名称如下图所示。

图3-90 团队版Windows客户端

 

团队版Linux客户端名称如下图所示。

图3-91 团队版Linux客户端

 

 

2. 命令行部署

在用户主机通过命令行部署客户端，Linux系统命令行部署客户端需要主机操作系统支持wget命令，适用root账户或具有sudo权限的账户进行部署安装。将命令复制后在linux操作系统后台运行完成客户端的部署。

windows系统命令行部署客户端需要主机操作系统支持powershell命令且控制中心安装有可信任机构办法的证书，否则只能支持HTTP部署。将命令复制后在windows操作系统管理员权限运行cmd后运行部署命令完成客户端的部署，windows系统上推荐适用页面下载部署。

支持定义设置下载地址基础路径，当后台管理员admin修改了客户端下载端口时要求基础下载路径的端口要保持一致，例如后台管理员把192.168.31.10的平台https下载客户端的端口修改成3443，则下载地址基础路径填写：https://192.168.31.10:3443，对于存在NAT映射的情况，基础下载路径要适用NAT设备转换前的IP地址（主机用户可访问的IP地址）进行替换。

图3-92 下载地址基础路径

 

3.2.3  主机概览

请参考2.2  章节主机概览配置。

3.2.4  主机管理

请参考2.3  章节主机管理配置。

3.2.5  策略管理

请参考2.4  章节策略管理配置。

3.2.6  日常运维

请参考2.6  章节日常运维配置。

3.2.7  威胁检测

请参考2.7  章节威胁检测配置。

3.2.8  数据检索

请参考2.8  章节数据检索配置。

3.2.9  系统管理

请参考2.9  章节系统管理配置。