Включение защиты

1. Войдите в консоль управления.
2. Нажмите в верхнем левом углу и выберите регион или проект.
3. В верхнем левом углу страницы нажмите и выберите Security > Host Security Service.
4. В панели навигации слева выберите Asset Management > Servers & Quota.
5. Найдите сервер, статус агента которого Online.
6. Нажмите Enable в столбце Operation сервера.
7. Нажмите OK. Если Protection Status целевого сервера имеет значение Enabled, включена enterprise/premium edition.

   После включения защиты HSS отправляет политики защиты агентам в течение 2–3 минут. Защита считается успешной только после отправки всех политик. Чтобы проверить статусы политик, выберите Asset Management > Servers & Quota и нажмите имя сервера. На странице сведений о сервере выберите Security Operations > Policies. Если все статусы политик имеют значение Enabled, политики отправлены.

   Note

   • Квота может быть привязана к серверу для его защиты при условии, что агент на сервере находится в статусе online.
   • После включения HSS он будет сканировать ваши серверы на наличие проблем безопасности. Проверяемые элементы различаются в зависимости от включённой версии.

8. (Optional) Настройте уведомления об алертах, политики защиты, защиту входа на сервер и изоляцию и удаление вредоносных программ.
   • Настройка уведомлений об алертах

     После включения HSS алерты отображаются в консоли по умолчанию. Чтобы своевременно получать сведения о рисках безопасности серверов, контейнеров или веб‑страниц, вы можете включить уведомления об алертах, и HSS будет оповещать вас о рисках по SMS или электронной почте. Подробнее см. Alarm Configuration.

   • Настройка политик защиты

     Каждая версия HSS предоставляет набор политик защиты с предустановленными настройками по умолчанию. Вы можете включать или отключать политики и при необходимости корректировать правила защиты. Подробнее см. Policy Management.

   • Настройка защиты входа

     Вы можете повысить безопасность входа на сервер, Enabling 2FA, Configuring Common Login Locations, Configuring Common Login IP Addresses и Configuring an SSH Login IP Address Whitelist.

   • Включение изоляции и удаления вредоносных программ

     Если эта функция включена, HSS автоматически изолирует обнаруженные вредоносные программы, такие как бэкдоры, трояны и черви, чтобы помочь вам справиться с рисками безопасности. Подробнее см. Isolating and Killing Malicious Programs.

WTP может быть включена для одного или нескольких серверов одновременно. Если включить её для нескольких серверов одновременно, одинаковые настройки защищённых каталогов будут применены ко всем, и их нельзя будет настроить индивидуально для каждого сервера. Если у этих серверов разные каталоги для защиты, после включения WTP вы можете настроить защищённые каталоги или другие параметры для них отдельно. Подробности см. в Modifying Settings.

1. Войдите в консоль управления.
2. Нажмите в верхнем левом углу и выберите регион или проект.
3. В верхнем левом углу страницы нажмите и выберите Security > Host Security Service.
4. В панели навигации выберите Server Protection > Web Tamper Protection.
5. На вкладке Servers нажмите Add Server.
6. На странице Add Server выберите серверы и квоты, и нажмите Next. Для получения дополнительной информации см. Table 1.
   Table 1 Параметры выбора защищённых серверов

   Параметр	Описание	Пример значения
   OS	Выберите тип ОС сервера, который будет защищён WTP. Linux Windows	Linux
   Select Servers	Выберите серверы. Вы можете фильтровать серверы по типу программного обеспечения или другим атрибутам.	-

7. На странице Add Server настройте политики. Для получения дополнительной информации см. Table 2.
   Table 2 Параметры настройки правил

   Параметр	Описание	Пример значения
   Защищённый каталог	WTP поддерживает статическую и динамическую защиту веб‑страниц. Статический WTP может блокировать защищённые каталоги или восстанавливать их данные из бэкапов в реальном времени, как только обнаружит изменения, внесённые злоумышленниками. Поэтому при настройке политики защиты необходимо указать каталоги, которые следует защищать. После защиты каталога файлы и папки в нём станут только для чтения. Требования к добавлению защищённого каталога следующие: Для Linux, Не может начинаться с пробела, заканчиваться косой чертой (/) или содержать точки с запятой (;). Допускается до 256 символов. Сервер может иметь до 50 защищённых каталогов. Уровни вложенности папок защищённого каталога не могут превышать 100. Общее количество папок в защищённых каталогах не может превышать 900 000. Для Windows, Допускается до 256 символов. Имя каталога не может начинаться с пробела или заканчиваться обратной косой чертой (\). Оно не может содержать следующие символы: ;/*?"<>| Сервер может иметь до 50 защищённых каталогов. Не добавляйте сетевые каталоги в качестве защищённых каталогов. Причины следующие: Неэффективное обнаружение Сетевой каталог обычно содержит большое количество файлов и может достигать сотен терабайт, что сильно замедляет сканирование. Потребление сетевой пропускной способности Доступ к сетевому каталогу потребляет сетевую пропускную способность. Масштабное сканирование может полностью занять пропускную способность сети и повлиять на ваши рабочие нагрузки. Например, скорость доступа может замедлиться, а сетевой задержки может увеличиться.	Linux: /etc/lesuo Windows: d:\web
   Исключённый подкаталог (необязательно)	Если защищённый каталог содержит подкаталоги, которые не нужно защищать, вы можете исключить подкаталоги. Требования к добавлению подкаталога следующие: Введите имя подкаталога или относительный путь к подкаталогу в защищённом каталоге. Если вы вводите имя подкаталога, все подкаталоги, соответствующие этому имени, будут исключены, независимо от их уровня. Имя или путь подкаталога не может начинаться или заканчиваться символом слеша (/), и может содержать до 256 символов. Можно добавить до 10 подкаталогов. Для разделения нескольких подкаталогов используйте точку с запятой (;).	Linux: data/cache или cache Windows: web\test или test
   Excluded File Path (Optional)	Этот элемент доступен только для серверов Linux. Если защищённый каталог содержит файлы, которые не нужно защищать, исключите файлы. Требования к добавлению исключаемых путей к файлам следующие: Введите имя файла или относительный путь к файлу в защищённом каталоге. Если вы вводите имя файла, все файлы, соответствующие этому имени, будут исключены, независимо от их уровня. Имя или путь файла не может начинаться или заканчиваться символом слеша (/), и может содержать до 256 символов. Можно добавить до 50 файлов. Для разделения нескольких файлов используйте точку с запятой (;).	data/ma.txt или ma.txt
   Local Backup Path	Этот элемент доступен только для серверов Linux. Установите Local Backup Path для защищённого каталога. После включения WTP файлы в защищённом каталоге автоматически резервируются в Local Backup Path. Как только система обнаружит, что файл в защищённом каталоге был изменён, она немедленно использует локальную резервную копию для восстановления изменённого файла. Требования к добавлению Local Backup Path следующие: Local Backup Path не может содержать точек с запятой (;), начинаться с пробела или заканчиваться косой чертой (/). Допустимо до 256 символов. Ключевые системные каталоги являются основной целью атак и не могут использоваться в качестве путей резервного копирования, включая, но не ограничиваясь /etc/, /bin/, /usr/bin/, /var/spool/, /usr/sbin/, /sbin/, /usr/lib/, /lib/, /lib64/, /usr/lib64/ и их подкаталоги. Описание правила Local backup: Local Backup Path должен быть действительным и не может пересекаться с путём защищённого каталога. Исключённые подкаталоги и типы файлов не резервируются. Обычно резервное копирование завершается в течение 10 минут. Фактическая продолжительность зависит от размера файлов в защищённом каталоге.	/backup
   Excluded File Type	Если защищённый каталог содержит файлы определённых типов, которые не требуется защищать, исключите эти типы файлов, например, logs. Вы можете исключить любые типы файлов. Чтобы фиксировать состояние серверов в реальном времени, исключите файлы журналов в защищённом каталоге. Вы можете установить высокие требования к правам чтения и записи журналов, чтобы злоумышленники не могли просматривать или изменять файлы журналов.	log
   Тип	Действие, предпринимаемое при обнаружении изменения файла. Alarm: Только тревоги сообщаются. Block: Сообщается тревога, и файл восстанавливается в состояние до изменения.	Block
   Запланированная защита (необязательно)	Вы можете запланировать, когда отключать статический WTP. В незащищённый период вы можете изменять, обновлять или публиковать веб‑страницы. нажмите , чтобы включить запланированную защиту и настроить следующие параметры: Диапазон времени без защиты Диапазон времени, в течение которого WTP отключён в течение дня, например, с 10:05 до 15:35. Требования: Диапазон времени должен быть не менее 5 минут. Диапазоны времени (за исключением тех, которые начинаются в 00:00 или заканчиваются в 23:59) не могут перекрываться и должны иметь минимум 5‑минутный интервал. Все диапазоны времени привязаны к системному времени сервера. Незащищённые дни недели Static WTP автоматически отключается в указанные дни недели, например, в среду и в четверг.	, 10:05-15:35, среда
   Dynamic WTP (Необязательно)	Dynamic WTP в основном используется для защиты приложений Tomcat в Linux. Он может обнаруживать и предотвращать подделку динамических данных, таких как данные базы данных, в реальном времени во время работы приложения. В настоящее время dynamic WTP может защищать приложения Tomcat, используя JDK 8, JDK 11 и JDK 17. Чтобы включить dynamic WTP, нажмите и введите полный путь к каталогу bin Tomcat, например, /usr/workspace/apache-tomcat-8.5.15/bin. Система предустанавливает скрипт setenv.sh в каталоге bin для настройки параметров запуска программы защиты от подделки.	, /usr/workspace/apache-tomcat-8.5.15/bin
   Настройка привилегированных процессов (Необязательно)	Привилегированный процесс — это процесс, уполномоченный изменять защищённый каталог. Если WTP включён, все файлы в защищённых каталогах устанавливаются только для чтения и не могут быть изменены. Вы можете добавить привилегированные процессы и использовать их для изменения файлов в защищённых каталогах или обновления веб‑сайтов. Убедитесь, что указанные привилегированные процессы, уполномоченные на доступ к защищённым каталогам, являются безопасными и надёжными. Эта функция совместима с Linux и Windows. Для Linux поддерживаются только дистрибутивы, использующие ядра версии 5.10 и новее. Нажмите , чтобы включить привилегированные процессы и настроить следующие параметры: Путь к файлу процесса Укажите один или несколько полных путей к файлам привилегированных процессов. Размещайте каждый путь к файлу привилегированного процесса в отдельной строке. Допускается до 10 привилегированных процессов. Trust Subprocess Если Trust Subprocess включен, HSS будет доверять всем подпроцессам до пяти уровней вложенности в подкаталогах указанных каталогов и позволит подпроцессам изменять защищённые каталоги.	Linux: /Path/Software.type Windows: C:\Path\Software.type

8. После настройки политики нажмите OK.
9. На вкладке Servers проверьте статический и динамический статус WTP сервера.

   Статус Protected указывает, что защита включена. После включения динамического WTP перезапустите Tomcat, чтобы применить настройки.

   После включения защиты HSS отправляет политики защиты агентам в течение 2–3 минут. Защита считается успешной только после отправки всех политик. Чтобы проверить статусы политик, выберите Asset Management > Servers & Quota и нажмите имя сервера. На странице сведений о сервере выберите Security Operations > Policies. Если все статусы политик Enabled, политики отправлены.

10. (Optional) Настройте уведомления о тревогах, политики защиты, защиту входа на сервер и изоляцию и удаление вредоносных программ.

    Помимо защиты от подмены веб‑контента, издание HSS WTP также предоставляет функции проактивной защиты, сканирования уязвимостей и проверки базовых линий. Подробную информацию о функциях см. в Features. Вы можете настраивать их по мере необходимости. Ниже перечислены способы настройки базовых функций:

    • Настройка уведомлений о тревогах

      После включения HSS тревоги отображаются в консоли по умолчанию. Чтобы своевременно узнавать о рисках безопасности серверов, контейнеров или веб‑страниц, вы можете включить уведомления о тревогах, и HSS будет оповещать вас о рисках по SMS или электронной почте. Подробности см. в разделе Alarm Configuration.

    • Настройка политик защиты

      Каждое издание HSS предоставляет набор политик защиты с предустановленными настройками по умолчанию. Вы можете включать или отключать политики и при необходимости корректировать правила защиты. Подробности см. в Policy Management.

    • Настройка защиты входа

      Вы можете повысить безопасность входа на сервер, Enabling 2FA, Configuring Common Login Locations, Configuring Common Login IP Addresses и Configuring an SSH Login IP Address Whitelist

    • Включение изоляции и удаления вредоносных программ

      Если эта функция включена, HSS автоматически изолирует обнаруженные вредоносные программы, такие как бэкдоры, трояны и черви, чтобы помочь вам справиться с рисками безопасности. Для получения подробной информации см. Isolating and Killing Malicious Programs.

1. Войдите в консоль управления.
2. Нажмите в левом верхнем углу и выберите регион или проект.
3. В левом верхнем углу страницы нажмите и выберите Security > Host Security Service.
4. В панели навигации выберите Asset Management > Containers & Quota.
5. В строке сервера нажмите Enable Protection в столбце Operation. Появится диалоговое окно подтверждения.

   Убедитесь, что на узле есть активный контейнер. Если его нет, запустите его.

6. Подтвердите информацию об узле и выберите режим биллинга.
   Caution

   Квота безопасности контейнеров защищает один узел кластера.

7. Прочитайте Host Security Service Disclaimer и выберите I have read and agree to the Container Guard Service Disclaimer.
8. Нажмите OK. Если Protection Status узла изменится на Protected, защита будет включена.

   После включения защиты HSS отправляет политики защиты агентам в течение 2–3 минут. Защита считается успешной только после отправки всех политик. Чтобы проверить статусы политик, выберите Asset Management > Servers & Quota и нажмите имя сервера. На странице сведений о сервере выберите Security Operations > Policies. Если все статусы политик Enabled, политики отправлены.

9. (Optional) Настройте уведомления об алертах, политики защиты, защиту входа в сервер и изоляцию и удаление вредоносных программ.
   • Настройка уведомлений об алертах

     После включения HSS, алерты отображаются в консоли по умолчанию. Чтобы своевременно узнавать о рисках безопасности серверов, контейнеров или веб‑страниц, вы можете включить уведомления об алертах, и HSS будет оповещать вас о рисках по SMS или электронной почте. Для получения подробной информации см. Alarm Configuration.

   • Настройка политик защиты

     Каждое издание HSS предоставляет набор политик защиты с предустановленными настройками по умолчанию. Вы можете включать или отключать политики и при необходимости корректировать правила защиты. Для получения подробной информации см. Policy Management.

   • Настройка защиты входа

     Вы можете повысить безопасность входа в сервер, Enabling 2FA, Configuring Common Login Locations, Configuring Common Login IP Addresses и Configuring an SSH Login IP Address Whitelist

   • Включение изоляции и удаления вредоносных программ

     Если эта функция включена, HSS автоматически изолирует обнаруженные вредоносные программы, такие как бэкдоры, трояны и черви, чтобы помочь вам справиться с рисками безопасности. Для получения подробной информации см. Isolating and Killing Malicious Programs.