企業主機安全支持賬戶暴力破解、進程異常行為、網站后門、異常登錄、惡意進程等13大類入侵檢測能力，用戶可通過事件管理全面了解告警事件類型，幫助用戶及時發現資產中的安全威脅、實時掌握資產的安全狀態。

約束限制

未開啟防護不支持告警事件相關操作。

主機告警事件支持情況說明

事件類型
告警名稱
告警說明
企業版
旗艦版
網頁防篡改版
加入告警白名單
隔離查殺
惡意軟件
惡意程序
惡意程序可能是黑客入侵成功之后植入的木馬、后門等，用于竊取數據或攫取不當利益。
例如：黑客入侵之后植入木馬，將受害主機作為挖礦、DDoS肉雞使用，這類程序會大量占用主機的CPU資源或者網絡資源，破壞用戶業務的穩定性。 通過程序特征、行為檢測，結合AI圖像指紋算法以及云查殺，有效識別后門、木馬、挖礦軟件、蠕蟲和病毒等惡意程序，也可檢測出主機中未知的惡意程序和病毒變種，并提供一鍵隔離查殺能力。
√
√
√
√
√
勒索軟件
檢測來自網頁、軟件、郵件、存儲介質等介質捆綁、植入的勒索軟件。 勒索軟件用于鎖定、控制您的文檔、郵件、數據庫、源代碼、圖片、壓縮文件等多種數據資產，并以此作為向您勒索錢財的籌碼。
×
√
√
√
×（部分支持）
Webshell
檢測云服務器上web目錄中的文件，判斷是否為Webshell木馬文件，支持檢測常見的PHP、JSP等后門文件類型。 您可以在“策略管理”的“Webshell檢測”中配置Webshell檢測，HSS會實時檢測執行的可疑指令，主機被遠程控制執行任意命令等。
×
√
√
√
×
反彈Shell
實時監控用戶的進程行為，及時發現進程的非法Shell連接操作產生的反彈Shell行為。 支持對TCP、UDP、ICMP等協議的檢測。 您可以在“策略管理”的“惡意文件檢測”中配置反彈Shell檢測，HSS會實時檢測執行的可疑指令，主機被遠程控制執行任意命令等。
×
√
√
√
×
漏洞利用
一般漏洞利用
實時檢測利用漏洞入侵主機的行為，對發現的入侵行為進行告警上報。
√
√
√
√
×
系統異常行為
文件提權
當黑客成功入侵主機后，會嘗試利用漏洞進行root提權或者文件提權，從而達到非法創建和修改系統帳號的權限或者篡改文件的目的。 HSS檢測當前系統的“進程提權”和“文件提權”操作。
檢測以下異常提權操作： 利用SUID程序漏洞進行root提權。 利用內核漏洞進行root提權。 對文件的提權。
√
√
√
√
×
進程提權
檢測以下進程提權操作并進行告警：
利用SUID程序漏洞進行root提權。
利用內核漏洞進行root提權。
√
√
√
√
×
關鍵文件變更
篡改系統關鍵文件，通常是黑客入侵成功后進行身份隱藏或者發起下一步攻擊的準備工作。
對系統關鍵文件（例如：ls、ps、login、top等）及目錄進行監控，一旦文件被修改就進行告警，提醒用戶關鍵文件存在被篡改的可能。監控的關鍵文件的路徑請參見關鍵文件變更監控路徑。
關鍵文件變更信息包括“被更改的關鍵文件路徑”、“文件最后修改時間”以及配置文件所在的“服務器名稱”。
文件/目錄變更信息包括“文件別名”、“被更改的關鍵文件路徑”以及配置文件所在的“服務器名稱”。
添加關鍵文件指紋庫，收集關鍵文件信息，便于清點合法文件信息，檢測異常文件。 對于關鍵文件變更，HSS只檢測目錄或文件是否被修改，不關注是人為或者某個進程修改的。
√
√
√
√
×
文件/目錄變更
實時監控系統文件/目錄，對創建、刪除、移動、修改屬性或修改內容的操作進行告警，提醒用戶文件/目錄可能被篡改。
√
√
√
√
×
進程異常行為
檢測各個主機的進程信息，包括進程ID、命令行、進程路徑、行為等。 對于進程的非法行為、黑客入侵過程進行告警。 進程異常行為可以監控以下異常行為：
監控進程CPU使用異常。
檢測進程對惡意IP的訪問。
檢測進程并發連接數異常等。
√
√
√
√（部分支持）
×
高危命令執行
您可以在“策略管理”的“高危命令檢測”中預置高危命令。 HSS實時檢測當前系統中執行的高危命令，當發生高危命令執行時，及時觸發告警。
√
√
√
√
×
異常Shell
檢測系統中異常Shell的獲取行為，包括對Shell文件的修改、刪除、移動、復制、硬鏈接、訪問權限變化。 您可以在“策略管理”的“惡意文件檢測”中配置異常Shell檢測，HSS會實時檢測執行的可疑指令，主機被遠程控制執行任意命令等。
√
√
√
√
×
Crontab可疑任務
檢測并列出當前所有主機系統中自啟動服務、定時任務、預加載動態庫、Run注冊表鍵或者開機啟動文件夾的匯總信息。 幫助用戶通過自啟動變更情況，及時發現異常自啟動項，快速定位木馬程序的問題。
×
×
√
√
×
用戶異常行為
暴力破解
黑客通過帳戶暴力破解成功登錄主機后，便可獲得主機的控制權限，進而竊取用戶數據、植入挖礦程序，DDoS木馬攻擊等惡意操作，嚴重危害主機的安全。 檢測SSH、RDP、FTP、SQL Server、MySQL等帳戶遭受的口令破解攻擊。
如果30秒內，帳戶暴力破解次數（連續輸入錯誤密碼）達到5次及以上，HSS就會攔截該源IP，禁止其再次登錄，防止主機因帳戶破解被入侵。 SSH類型攻擊默認攔截12小時，其他類型攻擊默認攔截24小時。
根據帳戶暴力破解告警詳情，如“攻擊源IP”、“攻擊類型”和“攔截次數”，您能夠快速識別出該源IP是否為可信IP，如果為可信IP，您可以通過手動解除攔截的方式，解除攔截的可信IP。
√
√
√
√
×
異常登錄
檢測“異地登錄”和“帳戶暴力破解成功”等異常登錄。若發生異常登錄，則說明您的主機可能被黑客入侵成功。
檢測主機異地登錄行為并進行告警，用戶可根據實際情況采取相應措施（例如：忽略、修改密碼等）。 異地登錄檢測信息包括被攔截的“登錄源IP”、“登錄時間”，攻擊者嘗試登錄主機時使用的“用戶名”和“云服務器名稱”。 若在非常用登錄地登錄，則觸發安全事件告警。
若帳戶暴力破解成功，登錄到云主機，則觸發安全事件告警。
√
√
√
√
×
非法系統帳號
黑客可能通過風險帳號入侵主機，以達到控制主機的目的，需要您及時排查系統中的帳戶。 HSS檢查系統中存在的可疑隱藏帳號、克隆帳號；若存在可疑帳號、克隆帳號等，則觸發告警。
√
√
√
√
×

關鍵文件變更監控路徑