一、HSS到底能做什么？先搞清楚再动手

很多人把HSS当成一个"装了就完事"的工具，这是最大的误区。HSS是一套完整的主机安全体系，集成了三大核心能力：

第一，主机安全。 这是基础盘。包括资产管理（自动清点开放端口、运行进程、Web目录、自启动项）、风险预防（基线检查、弱口令检测、漏洞扫描）、入侵检测（恶意程序识别、Webshell检测、反弹Shell监控、异常登录告警）、高级防御（暴力破解拦截、文件提权检测、进程提权检测）。

第二，容器安全。 针对容器运行时环境，提供镜像漏洞扫描、容器进程白名单、文件只读保护和容器逃逸检测，解决传统安全软件感知不到容器内部的问题。

第三，网页防篡改。 实时监控网站目录，一旦检测到文件被非法修改，立即通过本地备份或远端备份自动恢复，保障网页、电子文档、图片等文件不被黑客篡改。

这三项能力共用同一个Agent，只需在主机上安装一次，即可全面激活。

二、启用防护的前置条件：Agent是一切的根基

HSS的所有能力都建立在Agent之上。没有Agent，或者Agent状态异常，HSS就是一具空壳。

必须确认的两件事：

1. Agent已安装且状态为"在线"。 在管理控制台的"资产管理 > 主机管理"页面中，目标主机的Agent状态必须显示"在线"，才能开启防护。
2. Windows主机必须授权开启系统防火墙。 这一点极其关键——HSS拦截暴力破解攻击源IP的机制，依赖于Windows防火墙的规则联动。如果使用期间关闭了Windows防火墙，HSS将无法拦截暴力破解的攻击源IP，即使之后重新开启防火墙，也可能导致拦截功能永久失效。

特别提醒：使用鲲鹏计算EulerOS（ARM架构）的主机，在遭受SSH账户破解攻击时，HSS仅支持告警，不会对攻击IP进行拦截，这是架构层面的限制，需要通过其他手段弥补。

三、七步开启HSS防护：从零到"防护中"

第一步：购买防护配额。 HSS按配额计费，一个配额绑定一台主机。根据业务需求选择版本——企业版满足基础防护，旗舰版增加勒索病毒防护和动态诱饵欺骗，网页防篡改版则同步开启旗舰版全部功能。

第二步：安装Agent。 根据主机操作系统版本选择对应的安装命令或安装包进行部署。网页防篡改、容器安全与主机安全共用同一个Agent，无需重复安装。

第三步：进入开启防护界面。 登录管理控制台，选择"安全 > 企业主机安全"，在左侧导航栏选择"资产管理 > 主机管理"，进入云服务器列表。

第四步：选择目标主机，点击"开启防护"。 确保该主机Agent状态为"在线"、防护状态为"未防护"。

第五步：选择主机安全版本。 在弹出的对话框中选择对应版本。如果Linux主机Agent版本在3.2.10及以上，或Windows主机Agent版本在4.0.22及以上，开启旗舰版防护时，系统会自动部署诱饵文件，并对可疑加密进程执行自动隔离。

第六步：确认开启。 点击"确定"后，目标主机的防护状态变更为"防护中"，表示防护已生效。一个配额只能绑定一台主机，且只能绑定Agent在线的主机。

第七步（可选但强烈建议）：开启告警通知。 防护开了不看等于没开。在"安装与配置 > 告警配置"页面，建议同时开启"每日告警通知"和"实时告警通知"，并将告警等级设为"全部"。每日告警在凌晨检测完成后于上午10:00发送，实时告警则在攻击发生时立即推送。告警方式可选消息中心或消息通知主题，建议配置为邮箱订阅，确保不遗漏任何风险事件。

四、入侵检测：HSS到底在"看"什么？

开启防护后，HSS会立即对主机执行全面检测，并持续监控以下核心维度：

检测机制分为两层：每日凌晨全量扫描（覆盖账号、Web目录、漏洞、恶意程序、关键配置）和实时行为监控（对进程行为、网络连接、文件变更进行7×24小时不间断检测）。对于进程信息，30天未检测到的进程会自动清除；对于开放端口，检测结果每6小时刷新一次。

五、自动阻断：从"看见"到"挡住"的关键一跃

检测到威胁只是第一步，能不能自动阻断才是HSS的核心价值。

阻断能力一：暴力破解IP自动拦截。 当HSS检测到SSH、RDP、FTP等服务遭受暴力破解攻击时，会在Windows防火墙中自动添加入站规则，直接阻断攻击源IP。这不是告警后等人处理，而是毫秒级自动响应。前提是：Windows防火墙必须保持开启状态。

阻断能力二：恶意程序自动隔离。 开启"恶意程序隔离查杀"功能后，HSS会自动隔离识别到的后门、木马、蠕虫等恶意程序。被隔离的文件进入"文件隔离箱"，无法执行读写操作，彻底失去破坏力。极小概率存在误隔离，建议配合告警白名单机制使用。

阻断能力三：勒索病毒秒级查杀。 旗舰版防护内置"防入侵、防加密、防扩散"三防检测引擎和动态诱饵欺骗技术。当可疑进程触碰诱饵文件时，系统判定为勒索攻击，立即对加密进程执行自动隔离，同时通过快照备份实现业务数据分钟级恢复。根据安全评估数据，HSS旗舰版配合小时级永久备份，可将勒索攻击后的恢复概率提升至90%以上。

阻断能力四：网页防篡改实时恢复。 静态网页防护采用驱动级文件锁定，攻击者无法修改防护目录下的任何文件。一旦检测到篡改行为，立即使用本地备份自动恢复；本地备份失效时，还可通过远端备份服务恢复。动态网页防护则基于RASP技术，实时过滤应用程序的恶意行为。

六、告警通知配置：别让防护变成"聋子的耳朵"

很多人开了防护却从不看告警，等于把城门打开后假装有守卫。建议按以下策略配置：

• 每日告警：接收全部通知项，包括危险端口、紧急漏洞、配置检查、经典弱口令、恶意程序、Webshell、反弹Shell、异常登录等。建议订阅邮箱，每天上午10:00统一查看。
• 实时告警：必须全部开启。攻击者不会等你上班再动手，实时告警是唯一能在攻击进行中就做出响应的通道。
• 告警等级：选择"全部"，不要自作聪明地过滤。你以为不重要的"中等"告警，可能正是攻击链的早期信号。
• 屏蔽事件：仅在确认某类告警为持续误报后再屏蔽，不要一上来就关。

七、进阶配置：让防护真正贴合你的业务

登录保护加固。 配置双因子认证、常用登录IP白名单、常用登录地限制。把SSH登录IP收紧到只有运维堡垒机的出口IP，暴力破解的攻击面直接缩小99%。

病毒查杀定期执行。 HSS提供快速查杀、全盘查杀、自定义查杀三种模式。建议每周执行一次快速查杀，每月执行一次全盘查杀。处置策略建议选"自动处置"——确认病毒后自动隔离，可疑文件打标签等待人工确认，兼顾效率与安全。

基线检查持续整改。 HSS会检测主机的基线配置通过率，列出风险TOP5。90%的勒索攻击入口集中在基线风险，提前修复比事后救火成本低十倍。

网页防篡改的特别注意。 开启后如果需要更新网站，必须先临时关闭防护，完成更新后再开启，否则会造成网站更新失败。关闭期间网站不受保护，务必速战速决。

写在最后

主机安全不是"装了就安全"，而是"持续运营才安全"。HSS给了你一套完整的武器——入侵检测是眼睛，自动阻断是拳头，告警通知是神经，基线整改是免疫系统。但武器再好，不用就是废铁。

从今天起，检查你的每一台主机：Agent是否在线？防护是否开启？告警是否在接收？Windows防火墙是否还开着？这四个问题的答案，决定了你的主机是"固若金汤"还是"裸奔待宰"。

安全从来不是一蹴而就的事，但每一步正确的配置，都在把风险挡在门外。