Включение защиты

1. Войдите в консоль управления.
2. Нажмите в левом верхнем углу и выберите регион или проект.
3. В левом верхнем углу страницы нажмите и выберите Security > Host Security Service.
4. В панели навигации слева выберите Asset Management > Servers & Quota.
5. Найдите сервер, статус агента которого Online.
6. Нажмите Enable в столбце Operation сервера.
7. Нажмите OK. Если Protection Status целевого сервера имеет значение Enabled, включена enterprise или premium edition.

   После включения защиты HSS требуется 2–3 минуты, чтобы отправить политики защиты агентам. Защита считается успешной только после отправки всех политик. Чтобы проверить статусы политик, выберите Asset Management > Servers & Quota и нажмите имя сервера. На странице сведений о сервере выберите Security Operations > Policies. Если все статусы политик имеют значение Enabled, политики отправлены.

   Note

   • Квота может быть привязана к серверу для его защиты при условии, что агент на сервере находится в состоянии online.
   • После включения HSS он будет сканировать ваши серверы на наличие проблем безопасности. Проверяемые элементы различаются в зависимости от включённой edition.

8. (Optional) Настройте уведомления об алертах, политики защиты, защиту входа на сервер и изоляцию и удаление вредоносных программ.
   • Настройка уведомлений об алертах

     После включения HSS алерты отображаются в консоли по умолчанию. Чтобы своевременно узнавать о рисках безопасности серверов, контейнеров или веб‑страниц, вы можете включить уведомления об алертах, и HSS будет оповещать вас о рисках по SMS или электронной почте. Подробнее см. Alarm Configuration.

   • Настройка политик защиты

     Каждая версия HSS предоставляет набор политик защиты с предустановленными настройками по умолчанию. Вы можете включать или отключать политики и при необходимости корректировать правила защиты. Подробнее см. Policy Management.

   • Настройка защиты входа

     Вы можете повысить безопасность входа на сервер, Enabling 2FA, Configuring Common Login Locations, Configuring Common Login IP Addresses и Configuring an SSH Login IP Address Whitelist.

   • Включение изоляции и удаления вредоносных программ

     Если эта функция включена, HSS автоматически изолирует обнаруженные вредоносные программы, такие как бэкдоры, трояны и черви, чтобы помочь вам справиться с рисками безопасности. Подробнее см. Isolating and Killing Malicious Programs.

WTP можно включить для одного или нескольких серверов одновременно. При включении его для нескольких серверов одновременно одинаковые настройки защищённого каталога будут применены ко всем им и не могут быть настроены для каждого сервера отдельно. Если у этих серверов разные каталоги, которые нужно защищать, после включения WTP вы можете настроить защищённые каталоги или другие параметры для них отдельно. Для получения подробной информации см. Modifying Settings.

1. Войдите в консоль управления.
2. Нажмите в левом верхнем углу и выберите регион или проект.
3. В левом верхнем углу страницы нажмите и выберите Security > Host Security Service.
4. В панели навигации выберите Server Protection > Web Tamper Protection.
5. На вкладке Servers нажмите Add Server.
6. На странице Add Server выберите серверы и квоты и нажмите Next. Для получения дополнительной информации см. Table 1.
   Table 1 Параметры выбора защищённых серверов

   Parameter	Description	Example Value
   OS	Выберите тип ОС сервера, который будет защищён WTP. Linux Windows	Linux
   Select Servers	Выберите серверы. Вы можете фильтровать серверы по типу программного обеспечения или другим атрибутам.	-

7. На странице Add Server настройте политики. Для получения дополнительной информации см. Table 2.
   Table 2 Параметры настройки правил

   Параметр	Описание	Пример значения
   Защищённый каталог	WTP поддерживает статическую и динамическую защиту веб‑страниц. Статический WTP может блокировать защищённые каталоги или восстанавливать их данные из бэкапов в реальном времени, как только обнаружит изменения, внесённые злоумышленниками. Поэтому при настройке политики защиты необходимо указать каталоги, которые следует защищать. После защиты каталога файлы и папки в нём станут только для чтения. Требования к добавлению защищённого каталога следующие: Для Linux, Не может начинаться с пробела, заканчиваться слешем (/) или содержать точки с запятой (;). Допускается до 256 символов. Сервер может иметь до 50 защищённых каталогов. Уровни вложенности папок защищённого каталога не могут превышать 100. Общее количество папок в защищённых каталогах не может превышать 900 000. Для Windows, Допускается до 256 символов. Имя каталога не может начинаться с пробела или заканчиваться обратным слешем (\\). Оно не может содержать следующие символы: ;/*?"<>| Сервер может иметь до 50 защищённых каталогов. Не добавляйте сетевые каталоги в качестве защищённых каталогов. Причины следующие: Неэффективное обнаружение Сетевой каталог обычно содержит большое количество файлов и может достигать сотен терабайт, что сильно замедляет сканирование. Потребление сетевой пропускной способности Доступ к сетевому каталогу потребляет сетевую пропускную способность. Масштабное сканирование может полностью занять пропускную способность сети и повлиять на ваши рабочие нагрузки. Например, скорость доступа может замедлиться, а задержка сети может увеличиться.	Linux: /etc/lesuo Windows: d:\web
   Исключённый подкаталог (необязательно)	Если защищённый каталог содержит подкаталоги, которые не нужно защищать, вы можете исключить подкаталоги. Требования к добавлению подкаталога следующие: Введите имя подкаталога или относительный путь к подкаталогу в защищённом каталоге. Если вы вводите имя подкаталога, все подкаталоги, соответствующие этому имени, будут исключены независимо от их уровня. Имя или путь подкаталога не может начинаться или заканчиваться символом слеша (/) и может содержать до 256 символов. Можно добавить до 10 подкаталогов. Для разделения нескольких подкаталогов используйте точку с запятой (;).	Linux: data/cache или cache Windows: web\test или test
   Excluded File Path (Optional)	Этот элемент доступен только для серверов Linux. Если защищённый каталог содержит файлы, которые не нужно защищать, исключите файлы. Требования к добавлению исключаемых путей к файлам следующие: Введите имя файла или относительный путь к файлу в защищённом каталоге. Если вы вводите имя файла, все файлы, соответствующие этому имени, будут исключены независимо от их уровня. Имя или путь файла не может начинаться или заканчиваться символом слеша (/), и может содержать до 256 символов. Можно добавить до 50 файлов. Для разделения нескольких файлов используйте точку с запятой (;).	data/ma.txt или ma.txt
   Local Backup Path	Этот элемент доступен только для серверов Linux. Установите local backup path для защищённого каталога. После включения WTP файлы в защищённом каталоге автоматически резервируются в local backup path. Как только система обнаружит, что файл в защищённом каталоге был изменён, она немедленно использует локальный резерв для восстановления изменённого файла. Требования к добавлению local backup paths следующие: local backup path не может содержать точек с запятой (;), начинаться с пробела или заканчиваться косой чертой (/). Допустимо до 256 символов. Ключевые системные каталоги являются основной целью атак и не могут использоваться в качестве путей резервного копирования, включая, но не ограничиваясь /etc/, /bin/, /usr/bin/, /var/spool/, /usr/sbin/, /sbin/, /usr/lib/, /lib/, /lib64/, /usr/lib64/, и их подкаталоги. Описание правила Local backup: local backup path должен быть действительным и не может пересекаться с путём защищённого каталога. Исключённые подкаталоги и типы файлов не резервируются. Обычно резервное копирование завершается в течение 10 минут. Фактическая продолжительность зависит от размера файлов в защищённом каталоге.	/backup
   Excluded File Type	Если защищённый каталог содержит файлы определённых типов, которые не требуется защищать, исключите эти типы файлов, например, журналы. Вы можете исключить любой тип файлов. Чтобы фиксировать состояние серверов в реальном времени, исключите файлы журналов в защищённом каталоге. Вы можете установить высокие требования к правам чтения и записи журналов, чтобы злоумышленники не могли просматривать или изменять файлы журналов.	log
   Тип	Действие, предпринимаемое при обнаружении изменения файла. Alarm: Сообщаются только алерты. Block: Сообщается алерт, и файл восстанавливается в состояние до изменения.	Block
   Запланированная защита (необязательно)	Вы можете запланировать отключение статической WTP. В незашищённый период вы можете изменять, обновлять или публиковать веб‑страницы. нажмите для включения запланированной защиты и настройки следующих параметров: Незащищённый диапазон времени Диапазон времени, в течение которого WTP отключён в течение дня, например, 10:05–15:35. Требования: Диапазон времени должен быть не менее 5 минут. Диапазоны времени (за исключением тех, которые начинаются в 00:00 или заканчиваются в 23:59) не могут перекрываться и должны иметь минимум 5‑минутный интервал. Все диапазоны времени привязаны к системному времени сервера. Незащищённые дни недели Static WTP автоматически отключается в указанные дни недели, например, в среду и в четверг.	, 10:05-15:35, среда
   Dynamic WTP (Необязательно)	Dynamic WTP в основном используется для защиты приложений Tomcat в Linux. Он может обнаруживать и предотвращать подделку динамических данных, таких как данные базы данных, в реальном времени во время работы приложения. В настоящее время dynamic WTP может защищать приложения Tomcat, используя JDK 8, JDK 11 и JDK 17. Чтобы включить dynamic WTP, нажмите и введите полный путь к каталогу bin Tomcat, например, /usr/workspace/apache-tomcat-8.5.15/bin. Система предустанавливает скрипт setenv.sh в каталоге bin для настройки параметров запуска программы защиты от подделки.	, /usr/workspace/apache-tomcat-8.5.15/bin
   Настройка привилегированных процессов (Необязательно)	Привилегированный процесс — это процесс, уполномоченный изменять защищённый каталог. Если WTP включён, все файлы в защищённых каталогах устанавливаются только для чтения и не могут быть изменены. Вы можете добавить привилегированные процессы и использовать их для изменения файлов в защищённых каталогах или обновления веб‑сайтов. Убедитесь, что указанные привилегированные процессы, уполномоченные на доступ к защищённым каталогам, являются безопасными и надёжными. Эта функция совместима с Linux и Windows. Для Linux поддерживаются только дистрибутивы, использующие ядра версии 5.10 и новее. Нажмите , чтобы включить привилегированные процессы и настроить следующие параметры: Путь к файлу процесса Укажите один или несколько полных путей к файлам привилегированных процессов. Размещайте каждый путь к файлу привилегированного процесса в отдельной строке. Допускается до 10 привилегированных процессов. Trust Subprocess Если Trust Subprocess включён, HSS будет доверять всем подпроцессам до пяти уровней вложенности в подкаталогах указанных каталогов и позволит подпроцессам изменять защищённые каталоги, и позволит подпроцессам изменять защищённые каталоги.	Linux: /Path/Software.type Windows: C:\Path\Software.type

8. После настройки политики нажмите OK.
9. На вкладке Servers проверьте статический и динамический статус WTP сервера.

   Статус Protected указывает, что защита включена. После включения динамического WTP перезапустите Tomcat, чтобы применить настройки.

   После включения защиты HSS отправляет политики защиты агентам в течение 2–3 минут. Защита считается успешной только после отправки всех политик. Чтобы проверить статусы политик, выберите Asset Management > Servers & Quota и нажмите имя сервера. На странице сведений о сервере выберите Security Operations > Policies. Если все статусы политик Enabled, политики отправлены.

10. (Optional) Настройте уведомления о тревогах, политики защиты, защиту входа на сервер и изоляцию и удаление вредоносных программ.

    Помимо защиты от подделки веб‑контента, издание HSS WTP также предоставляет функции защиты серверов, сканирования уязвимостей и проверки базовых линий. Подробную информацию о функциях см. в Features. Вы можете настраивать их по мере необходимости. Ниже перечислены способы настройки базовых функций:

    • Настройка уведомлений о тревогах

      После включения HSS тревоги отображаются в консоли по умолчанию. Чтобы своевременно узнавать о рисках безопасности серверов, контейнеров или веб‑страниц, вы можете включить уведомления о тревогах, и HSS будет оповещать вас о рисках по SMS или электронной почте. Подробности см. в Alarm Configuration.

    • Настройка политик защиты

      Каждое издание HSS предоставляет набор политик защиты с предустановленными настройками по умолчанию. Вы можете включать или отключать политики и при необходимости корректировать правила защиты. Подробности см. в Policy Management.

    • Настройка защиты входа

      Вы можете повысить безопасность входа на сервер, Enabling 2FA, Configuring Common Login Locations, Configuring Common Login IP Addresses и Configuring an SSH Login IP Address Whitelist

    • Включение изоляции и удаления вредоносных программ

      Если эта функция включена, HSS автоматически изолирует обнаруженные вредоносные программы, такие как бэкдоры, трояны и черви, чтобы помочь вам справиться с рисками безопасности. Для получения подробной информации см. Isolating and Killing Malicious Programs.

1. Войдите в консоль управления.
2. Нажмите в левом верхнем углу и выберите регион или проект.
3. В левом верхнем углу страницы нажмите и выберите Security > Host Security Service.
4. В панели навигации выберите Asset Management > Containers \u0026 Quota.
5. In the row of a server, click Enable Protection in the Operation column. The confirmation dialog box is displayed.

   Убедитесь, что на узле есть активный контейнер. Если его нет, запустите его.

6. Подтвердите информацию об узле и выберите режим биллинга.
   Caution

   Квота безопасности контейнеров защищает один узел кластера.

7. Read the Host Security Service Disclaimer and select I have read and agree to the Container Guard Service Disclaimer.
8. Click OK. If the Protection Status of the node changes to Protected, protection has been enabled.

   After the protection is enabled, it takes 2 to 3 minutes for HSS to send protection policies to agents. The protection is successful only after all policies are sent. To check policy statuses, choose Asset Management > Servers & Quota and click a server name. On the server details page, choose Security Operations > Policies. If all the policy statuses are Enabled, the policies have been sent.

9. (Optional) Настройте уведомления об Алертах, политики защиты, защиту входа в сервер и изоляцию и удаление вредоносных программ.
   • Настройка уведомлений об Алертах

     После включения HSS алерты отображаются в консоли по умолчанию. Чтобы своевременно узнавать о рисках безопасности серверов, контейнеров или веб‑страниц, вы можете включить уведомления об Алертах, и HSS будет оповещать вас о рисках по SMS или электронной почте. Для получения подробной информации см. Alarm Configuration.

   • Настройка политик защиты

     Каждая редакция HSS предоставляет набор политик защиты с предустановленными настройками по умолчанию. Вы можете включать или отключать политики и при необходимости корректировать правила защиты. Для получения подробной информации см. Policy Management.

   • Настройка защиты входа

     Вы можете повысить безопасность входа в сервер, Enabling 2FA, Configuring Common Login Locations, Configuring Common Login IP Addresses и Configuring an SSH Login IP Address Whitelist

   • Включение изоляции и удаления вредоносных программ

     Если эта функция включена, HSS автоматически изолирует обнаруженные вредоносные программы, такие как бэкдоры, трояны и черви, чтобы помочь вам справиться с рисками безопасности. Для получения подробной информации см. Isolating and Killing Malicious Programs.