华为云用户手册

新版&旧版功能说明 目前 容器安全服务 已整合至 企业主机安全 控制台进行统一管理，优化了既有功能的能力，同时新增了部分新功能。 表1 新版&旧版CGS功能说明 功能项 CGS旧版（原CGS） CGS新版（HSS新版） 容器资产指纹管理 × √ 容器节点管理 √ √ 私有镜像管理 √ √ 本地镜像管理 √ √ 官方镜像管理 √ × 共享镜像管理 × √ 镜像漏洞检测 √ √ 镜像恶意文件检测 √ √ 镜像基线检查 √ √ 漏洞逃逸攻击 √ √ 文件逃逸攻击 √ √ 容器进程异常 √ √ 容器配置异常 √ √ 容器异常启动 √ √ 容器恶意程序 √ √ 高危系统调用 √ √ 敏感文件访问 √ √ 容器软件信息 √ √ 容器文件信息 √ √ 白名单管理 √ √ 容器策略管理 √ √

监控安全风险 云监控服务 （Cloud Eye， CES ）为用户的云上资源提供了立体化监控平台。通过 云监控 您可以全面了解云上的资源使用情况、业务的运行状况，并及时收到异常告警做出反应，保证业务顺畅运行。 HSS提供基于云监控服务的资源监控能力，帮助用户监控账号下的服务器防护情况，执行自动实时监控、告警和通知操作。用户可以实时监控未开启防护服务器数量、有风险服务器数量和未安装/已离线Agent数量等信息。 关于HSS支持的监控指标，以及如何创建监控告警规则等内容，请参见监控。 父主题： 安全

云容器引擎 云容器引擎（Cloud Container Engine，CCE）基于云服务器快速构建高可靠的容器集群，将节点纳管到集群，企业主机安全通过在集群所在节点上部署Hostguard-agent，为集群中所有可用节点上的容器应用提供防护。 云容器引擎提供高可靠、高性能的企业级容器应用管理服务，支持Kubernetes社区原生应用和工具，简化云上自动化容器运行环境搭建。更多信息请参见《云容器引擎用户指南》。

消息通知 服务 消息通知服务（Simple Message Notification，简称 SMN ），是一个可拓展的高性能消息处理服务。 开启告警通知前，您需先配置“消息通知服务”。 开启消息通知服务后，当您的主机遭受攻击或被检测出有高危风险时，您将接收到企业主机安全发送的各项风险告警通知。 在“告警通知”界面，您可以根据运维计划选择“每日告警通知”和“实时告警通知”。 关于SMN的详细内容，请参见《消息通知服务用户指南》。

责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的 云安全 挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。 安全性是华为云与您的共同责任，如图1所示。 华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。 租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、 虚拟主机 和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。 图1 华为云安全责任共担模型 父主题： 安全

免费服务 企业主机安全HSS提供以下两种免费服务： 免费试用HSS基础版30天 购买华为云弹性云服务器（Elastic Cloud Server，E CS ）时，可以勾选免费试用一个月主机安全基础版， 免费体验 HSS基础版30天。HSS基础版提供操作系统漏洞检测、弱口令检测、暴力破解检测等功能，具体功能支持详情请参见产品功能。免费试用更多内容，请参见免费试用HSS基础版30天。 免费体检 HSS为未开启防护的华为云弹性云服务器（Elastic Cloud Server，ECS）、华为云云耀云服务器（Hyper Elastic Cloud Server，HECS）和开启了免费体检的华为云云容器引擎（Cloud Container Engine，CCE）提供每月一次的免费体检服务，支持检测服务器的软件资产、操作系统漏洞以及弱口令风险并生成安全报告供用户查看。免费体检更多内容，请参见免费体检。

服务韧性 HSS提供四层可靠性架构，通过检测、承受、恢复三个方面保障系统在收到攻击后可以手动、自动恢复服务能力，保障服务和数据的持久性和可靠性。 表1 可靠性架构保证数据稳定 能力分类 能力项 目标 分类 检测 态势感知 对接态势感知服务，利用企业主机安全上报的告警/漏洞/基线检查结果评估资产风险 系统 云监控服务 对接云监控服务，监控HSS的资源使用情况、业务的运行状况，并及时收到异常报警做出反应，保证业务顺畅运行 系统 承受 防攻击 Agent提供自防护能力，防KILL、防篡改能力 安全 数据备份 支持关键数据100%备份，即使数据库遭到完全损坏，也可以根据以前备份数据恢复业务。 系统 业务自保护 HSS采用微服务化部署，微服务独立部署和启停。 Agent严格控制资源占用，资源超限进行隔离或逃生，不影响租户业务功能，系统可用资源不足降级。 系统 恢复 系统恢复 虚拟机故障/业务系统故障，支持自动重建和手工重建 系统 进程保护 进程退出时，自动拉起微服务进程，保证业务快速恢复。 系统 父主题： 安全

容器安全 容器镜像安全 即使在Docker Hub下载的官方镜像中也常常包含了漏洞，而研发人员在使用大量开源框架时更加剧了镜像漏洞问题的出现。 容器镜像安全对镜像进行安全扫描，将镜像中存在的各种风险（镜像漏洞、账号、恶意文件等）进行展示，提示用户及时修改，消除安全隐患。 容器运行时安全 通常容器的行为是固定不变的，容器安全服务帮助企业制定容器行为的白名单，确保容器以最小权限运行，有效阻止容器安全风险事件的发生。 满足等保合规 安全计算环境是等保合规的关键项，容器安全服务的核心功能够满足入侵防范与恶意代码防范等保条款，能够协助用户保护容器安全、系统安全。

主机安全 等保合规 主机安全是等保合规的关键项，企业主机安全提供的检测与响应功能，能协助各企业保护企业云服务器账户、系统的安全。 申请等保认证，您需购买企业版及以上（包含企业版、旗舰版、网页防篡改版）版本。 统一安全管理 企业主机安全提供统一的主机安全管理能力，帮助用户更方便地管理云服务器的安全配置和安全事件，降低安全风险和管理成本。 安全风险评估 对主机系统进行安全评估，将系统存在的各种风险（账户、端口、软件漏洞、弱口令等）进行展示，提示用户及时加固，消除安全隐患。 账户安全保护 提供覆盖事前、事中和事后的账户安全保护功能。支持双因子认证登录，防止用户云服务器上的账户遭受暴力破解攻击，提高云服务器的安全性。 主动安全防御 通过清点主机安全资产，管理主机漏洞与不安全配置，预防安全风险；通过网络、应用、文件主动防护引擎主动防御安全风险。 黑客入侵检测 提供主机全攻击路径检测能力，能够实时、准确地感知黑客入侵事件，并提供入侵事件的响应手段，对业务系统“零”影响，有效应对APT攻击等高级威胁。

身份认证与访问控制 使用 统一身份认证 服务（Identity and Access Management，简称 IAM ）对租户纳管的HSS资源进行精细的权限管理，您可以： 根据企业的业务组织，在您的华为云账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用HSS资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将HSS资源委托给更专业、高效的其他华为云账号或者云服务，这些账号或者云服务可以根据权限进行代运维。 有关创建HSS权限策略的详细介绍，请参见创建用户并授权使用HSS。 父主题： 安全

资产识别与管理 HSS会收集账号、进程、开放端口、自启动项、软件、Web框架、Web站点等16类主机和容器资产信息，并展示资产清点情况，帮助用户及时发现主机和容器中存在风险的资产。 表1 HSS的资产管理相关功能 功能 说明 详细介绍 资产概览 资产概览展示用户全量主机和容器资产的清点情况，包括Agent状态、配额状态、账号、端口、进程、软件、自启动项等。方便用户在一个页面了解全量资产数据。 资产概览 主机指纹 主机指纹采集主机的账号、开放端口、进程、软件、自启动项、Web站点、Web框架、中间件、内核模块、Web服务、Web应用、数据库资产，并展示资产的详细信息，帮助用户排查发现异常主机资产。 主机指纹 容器指纹 容器指纹采集容器的账号、开放端口、进程、软件、自启动项、Web站点、Web框架、中间件、Web服务、Web应用、数据库、集群、服务、工作负载和实例资产，并展示资产的详细信息，帮助用户排查发现异常容器资产。 容器指纹 父主题： 安全

数据保护技术 HSS通过如下数据保护手段和特性，保障HSS中的数据安全可靠。 数据保护手段 说明 传输加密（HTTPS） 微服务间管理数据传输进行加密，防止数据在传输过程中泄露或被篡改。用户的配置数据传输采用安全协议HTTPS，防止数据被窃取。 数据冗余存储 资产信息、告警事件等数据存储均具备副本备份恢复能力。 数据加密 存储 HSS通过敏感数据加密保证用户数据的安全性。 除此之外，服务节点可开通HSS服务网页防篡改功能，实现对业务数据的防护。 网页防篡改功能开通详情请参见开启网页防篡改。 父主题： 安全

APM 服务中调用链相关的参数说明 apm-traceid: apm服务采集到调用链的唯一标识。 图1 采集调用链的唯一标识 apm-gtraceid: apm服务中未被采样到的调用关系的唯一标识。 apm服务的调用链具有一定采样率，所以用apm-gtrace-id来表示未被采样的调用链的唯一标识。 apm-spanid:在某个调用链的微服务之间调用，表示某一个微服务的id，示例如下。 图2 调用链的微服务之间调用

背景信息 在外部请求激增、负载突变等场景下，极易出现应用性能问题，比如外部请求响应变慢、部分请求异常等。快速识别发现、定位处理应用性能问题成为越来越常见的日常运维场景。 APM作为云应用性能问题诊断服务，拥有强大的分析工具，通过拓扑图、调用链可视化地展现应用状态、调用过程、用户对应用的各种操作，快速定位问题和改善性能瓶颈。 例如，通过APM拓扑功能可视化服务间的调用关系，迅速找到有问题的实例；通过APM调用链功能下钻到服务内部，根据出现问题的方法调用链路，确认问题根因。

操作步骤 生成一个含有解密方法的jar包，假设jar包名为demo.jar , 内置解密类为com.demo.DecryptDemo，解密方法为decrypt（注意decrypt的是静态方法）。然后将该jar打包一个镜像，上传到镜像仓，获取密钥方法参见访问密钥。 在CCE deployment yaml中添加一个initContainer属性，如下所示。 示例： 步骤1中上传的镜像地址为swr.cn-north-5.myhuaweicloud.com/hwstaff_pub_apmpaasw3/decrypt:v2 解密的类名为com.demo.DecryptDemo，解密方法为decrypt。 按如下方式添加一个initContainer，注意替换加粗部分。 initContainers: - name: init-secret image: swr.cn-north-5.myhuaweicloud.com/hwstaff_pub_apmpaasw3/decrypt:v2 command: - /bin/sh - '-c' - cp /root/com.demo.DecryptDemo.jar /var/init/secret/apm-javaagent/ext; sed -i 's%#decrypt.className=.*%decrypt.className=com.demo.DecryptDemo%g' /var/init/secret/apm-javaagent/apm.config; sed -i 's%#decrypt.methodName=.*%decrypt.methodName=decrypt%g' /var/init/secret/apm-javaagent/apm.config; resources: limits: cpu: 100m memory: 100Mi requests: cpu: 100m memory: 100Mi volumeMounts: - name: paas-apm2 mountPath: /var/init/secret 添加该initContainer可以实现将jar包复制到apm-javaagent/ext目录下，以及修改配置文件的目的。 在apm页面获取AK 和SK，然后对sk进行加密处理，将AK和加密后的SK替换yaml文件中的如下值。 保存配置对CCE实例进行升级即可。

漏洞公告 华为云弹性云服务器提供了重置密码功能，当弹性云服务器的密码丢失或过期时，可使用该功能进行一键式重置密码。 2022年1月14日以前的旧版本一键式重置密码插件“CloudResetPwdUpdateAgent ”使用了Apache Log4j2组件，会被安全工具扫描出漏洞。 表1 漏洞信息 漏洞类型 CVE-ID 漏洞级别 披露/发现时间 华为云修复时间 Apache Log4j2 远程代码执行 CVE-2021-44228 严重 2021-12-09 2022-1-14 Apache Log4j2 远程代码执行 CVE-2021-45046 严重 2021-12-15 2022-1-14 Apache Log4j2 拒绝服务 CVE-2021-45105 中 2021-12-18 2022-1-14 Apache Log4j2 远程代码执行 CVE-2021-44832 中 2021-12-29 2022-1-14 Apache Log4j2 信息泄露 CVE-2020-9488 低 2020-04-27 2022-1-14

操作前提 在进行事件文件完整性校验前，您需先了解 云审计 摘要文件的签名方式： 云审计摘要文件使用RSA数字签名，对于每个摘要文件，云审计执行以下操作： 创建数字签名字符串（由指定摘要文件字段构成），获取RSA私钥。 将数字签名字符串的哈希值和私钥传递给RSA算法，生成数字签名，将数字签名编码成十六进制格式。 将该数字签名放入摘要文件对象的meta-signature元数据属性中。 数字签名字符串包含以下摘要文件字段： UTC扩展格式的摘要文件结束时间戳（2017-03-28T02-09-17Z）。 当前摘要文件的OBS存储路径。 当前摘要文件（压缩后的）的哈希值（十六进制编码）。 前一摘要文件的十六进制数字签名。

使用限制 一个组织只允许开启一个组织追踪器。 目前仅管理类事件追踪器支持组织功能，数据类事件追踪器不支持组织功能。 取消委托管理员前请先禁用组织追踪器，然后在组织服务界面取消委托管理员。 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的 CTS /system-trace日志流下面去查看。 组织追踪器功能依赖组织服务某些接口，涉及企业项目权限管理的用户如需升级此能力，需要单独配置IAM权限，否则原有仅对CTS:*授权的用户将无法使用组织服务的多账号关系管理能力。

操作场景 由于云审计采用了行业标准、可公开使用的签名算法和哈希函数，因此，您可以自行创建用于校验云审计事件文件完整性的工具。原则上进行完整性校验时必须包含字段time、service_type、resource_type、trace_name、trace_rating、trace_type，其他字段由各服务自己定义。 启用事件文件完整性校验后，云审计将摘要文件提交到您的OBS桶中，您可以使用这些文件实现自己的校验解决方案。有关摘要文件的更多信息，请参阅摘要文件。

支持审计的关键操作 云审计服务（CloudTrace Service，以下简称CTS）为您提供云服务资源的操作记录，供您查询、审计和回溯使用。 通过云审计服务，您可以记录云审计自身服务相关的操作事件，便于日后的查询、审计和回溯。 表1 云审计服务支持的自身服务操作列表 操作名称 资源类型 事件名称 创建追踪器 tracker createTracker 修改追踪器 tracker updateTracker 停用追踪器 tracker updateTracker 启用追踪器 tracker updateTracker 删除追踪器 tracker deleteTracker 创建关键操作通知 notification createNotification 删除关键操作通知 notification deleteNotification 修改关键操作通知 notification updateNotification 修改关键操作通知状态 notification updateNotificationStatus 停用关键操作通知 notification updateNotification 启用关键操作通知 notification updateNotification 导出事件列表事件 trace getTrace

关联服务 对象存储服务 （Object Storage Service，简称OBS）：存储事件文件。 由于云审计服务需要高频次的访问转储的OBS桶，因此必须选择使用标准存储类型的OBS桶。 数据加密服务（Data Encryption Workshop，简称DEW）：为事件文件加密功能提供密钥。 云日志 服务（Log Tank Service，简称LTS）：提供日志存储功能。 消息通知服务（Simple Message Notification，简称SMN）：检测到关键操作时，调用消息通知服务向用户发送邮件、短信通知。

操作场景 用户首次进入云审计服务时，在追踪器页面单击“开通云审计服务”，系统会自动为您创建一个名为system的管理追踪器，之后您也可以在追踪器页面创建多个数据追踪器。管理追踪器会自动识别并关联当前租户所使用的所有云服务，并将当前租户的所有操作记录在该追踪器中。数据追踪器会记录租户对OBS桶中的数据操作的详细信息。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。

入门实践 当您完成了查看审计事件、配置追踪器等基本操作后，可以根据自身的业务需求使用云审计服务提供的一系列常用实践。 表1 常用最佳实践 实践 描述 结合 函数工作流 对登录/登出进行审计分析 该实践介绍如何通过CTS云审计服务，完成对公有云账户的各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。再由SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理。

在LTS日志流中查看历史事件记录 您已经配置了system追踪器将事件转储至LTS日志流，系统立即以新的规则开始记录操作，您现在可以在LTS日志流中查看历史事件文件。 在追踪器页面，system追踪器的“存储服务”一栏，会显示您在配置转储时设置的LTS日志流“CTS/system-trace”，单击日志流名称，页面跳转到云日志服务控制台上“CTS/system-trace”日志流界面。 图4 单击日志流名称 在“CTS/system-trace”日志流界面，您可以查看历史操作事件日志信息。 关于云审计服务事件结构的关键字段详解，请参见事件结构和事件样例。 图5 system-trace日志流页面 单击按钮，您可以下载日志文件到本地。

使用说明 由于云审计服务的关键操作通知需要使用消息通知服务向相关的订阅者发送通知，因此需要提前了解消息通知服务的创建主题、添加订阅等操作。 云审计服务支持创建100个关键操作通知： 自定义类型的关键操作通知支持单独设置触发操作范围、指定操作用户和通知主题。 完整类型的关键操作通知，支持通知主题。 如果云审计服务和云监控服务使用同一消息主题，则接受终端一样，但是发送的内容不同。 单个关键操作通知支持最多对10个用户组的50个用户发起的操作进行通知配置。单个关键操作通知不支持一次选择多个用户组，但是可以分次添加不同用户组中的用户在同一个关键操作通知。

开启云审计服务，请配置审计事件通知 云审计提供了事件通知能力，便于用户实时接收重点审计事件通知，操作详情：启用审计事件通知。当您在比较关注对华为云的资源增加删除比较关注时，您可启用云审计事件通知规则并配置相应资源的服务类型、资源类型、动作，云审计服务将实时根据您配置邮件或短信的规则通过消息通知服务（SMN）发送通知。以ECS服务为例，在云审计界面选择事件通知，选择ECS服务，选择ECS的资源类型ecs，选择对应的action，然后订阅SMN通知即可。具体操作和邮件通知范例如下图： 图1 关键操作通知 图2 邮件通知 父主题： CTS安全最佳实践

准备工作 为用户添加云审计服务（CTS）和云日志服务（LTS）操作权限。 如果您是以主账号登录华为云，请跳到步骤一：开通云审计服务并配置system追踪器。 如果您是以IAM用户登录华为云，需要联系CTS管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限。授权方法请参见给IAM用户授权。 联系LTS管理员（主账号或admin用户组中的用户）对IAM用户授予LTS FullAccess权限。 使用云日志服务（LTS）日志存储功能，这会产生额外费用，LTS的计费详情请参考产品价格详情。

步骤二：在LTS中查询事件 在云审计控制台的追踪器页面，单击system追踪器右侧的LTS日志流名称，进入到system-trace日志流详情页面。 图3 单击日志流名称 图4 system-trace日志流页面 单击右上角的“15分钟(相对)”，设置查询的时间范围。 在搜索框中输入access_key_id:{access_key_id}，单击“查询”。 {access_key_id}请替换为您自己的AccessKey ID。 查询日志时报错提示：access_key_id 字段未配置字段索引，不支持查询该字段。 可能原因：用户没有配置字段索引。 解决方法：请您在索引配置中创建access_key_id字段的字段索引，重新执行查询语句。配置说明请参考配置索引。 图5 搜索access_key_id 单击搜索框右侧的图标，可以创建快速查询。输入快速查询名称后，单击“确定”。 图6 创建快速查询 创建快速查询后，您可以在云日志服务控制台的CTS日志组页面直接选择该快速查询。 图7 快速查询

使用云监控服务对重点审计事件进行实时监控告警 云审计会将华为云ECS、VPC、EVS等云服务重点审计事件如: deleteServer、deleteVpc、deleteVolume等发送CES事件监控中，您可使用该服务监控自己的云上资源操作频率，执行自动实时监控、告警和通知操作，帮助您实时掌握特定云服务云上资源操作频次、操作返回状态、发生时间等信息。云监控服务不需要开通，当启用CTS服务后，CTS服务自动将特定云服务审计事件上报CES。 关于云监控服务的更多介绍，请参见云监控服务产品介绍。 下面以IAM服务用户登录、登出事件为例，选择CES的事件监控，选择用户登录时间。 图1 事件监控 设置告警策略，可以设置一个事件周期，阀值超过设置可视为此用户登录异常产生。 图2 告警策略 父主题： CTS安全最佳实践

建议对不同角色的IAM用户仅设置最小权限，避免权限过大导致数据泄露 为了更好的进行权限隔离和管理，建议您配置独立的IAM管理员，授予IAM管理员IAM策略的管理权限。 IAM管理员可以根据您业务的实际诉求创建不同的用户组，用户组对应不同的数据访问场景。 通过将用户添加到用户组并将IAM策略绑定到对应用户组，IAM管理员可以为不同职能部门的员工按照最小权限原则授予不同的数据访问权限，详情请参见CTS权限管理。 父主题： CTS安全最佳实践