华为云主机安全防护，核心产品就是企业主机安全，简称HSS。它不是部署完成就不用管的工具，需要结合业务选择合适版本、配置策略，定期查看检测结果。不少用户购买服务器之后，要么没开启HSS，或是仅启用基础版，以为防护已经到位，等到安全事件发生，才发现防护覆盖不足。
先明确基础事实。从华为云安全历史入侵事件统计来看，90%勒索攻击入口来自弱口令、漏洞利用、基线配置缺陷。绝大多数安全事故不是高级APT攻击造成，而是基础配置疏漏。HSS的作用就是持续检出这三类风险，并且提供一键修复入口。
版本选择这块，HSS一共有六个版本：基础版、专业版、企业版、旗舰版、容器版和网页防篡改版。基础版免费，不具备主动防护能力，仅识别漏洞、弱口令，适合个人测试。企业版适配等保二级，旗舰版适配等保三级，两者差距集中在入侵检测覆盖范围、勒索病毒防护能力。旗舰版覆盖35类以上攻击场景检测，企业版支持30类。主机绑定EIP、部署数据库或是对外开放API接口，直接选用旗舰版，不要在版本上压缩预算。容器业务选择容器版，网站业务担心页面被篡改，网页防篡改版防护静态、动态网页。
选定版本，下一步安装Agent。华为云公共镜像创建的ECS，默认预装Agent，无需手动操作。私有镜像或是从外部迁移过来的服务器，需要手动安装，控制台提供批量安装入口。Agent安装完成不等于防护生效，主机管理页面手动绑定配额，开启防护。很多人漏掉这一步，以为安装Agent自动开启保护，实际不是。开启防护有个细节，Windows主机需要授权启用Windows防火墙，防护周期不能关闭防火墙，一旦关闭，HSS无法拦截暴力破解攻击IP。
开启防护第一天不用急着查看检测报告。HSS每日全量检测在凌晨执行，白天开启防护，要等到次日凌晨生成完整报告。这时可以手动触发快速检测，优先排查明显的弱口令。
弱口令是风险高发项。HSS检测SSH、FTP、MySQL弱口令，每日凌晨自动扫描。打开控制台基线检查页面，切换经典弱口令风险标签页，展示存在弱口令的账号，包含主机名称、账号、账号类型。发现之后登录对应主机修改密码。修改完成回到控制台手动核验，确认新密码通过检测。弱口令处理完毕，基线配置风险不能忽略。HSS根据所选版本对应的检测标准评估，云安全实践、等保合规、通用安全标准三套标准可切换。筛查检查项内未通过条目，每条附带详情和修改建议，按指引处理。CentOS和EulerOS部分基线项支持一键修复，点击按钮直接修改，不用登录主机。
漏洞管理模块需要定期查看。HSS默认每周执行一次完整漏洞扫描，可以缩短检测周期改为每日扫描。漏洞列表划分紧急、高、中、低优先级，优先处理紧急、高危漏洞。Linux、Windows系统漏洞大多支持一键修复，CCE、MRS、BMS这类服务内核漏洞不支持自动修复，手动处理。Web-CMS漏洞、应用漏洞需要登录主机手动修复，控制台附带详细修复指引，依照步骤操作。修复内核漏洞前建议创建快照，修复故障业务异常，能够快速回滚。
勒索病毒防护仅旗舰版及更高版本提供。华为云依靠防入侵、防加密、防扩散三层引擎拦截，已知勒索病毒检出率高于99%。开启旗舰版防护，系统自动启用新病毒防护，Agent版本足够新时，会提示配置诱饵防护目录，开启新病毒备份。诱饵目录用来迷惑勒索病毒，诱导病毒加密诱饵文件，不触碰真实业务数据；备份用于遭遇加密攻击之后恢复数据。
网页防篡改版使用逻辑和普通版本不一样。购买网页防篡改版，可以使用旗舰版全部功能，但防护开启入口不在主机管理页面，在主机防御 > 网页防篡改 > 防护配置页面。在该页面开启防护，旗舰防护同步启用。手动添加防护目录，填写网站静态文件目录、模板目录，HSS监控目录内文件变动，拦截异常篡改行为。
最后一个容易忽略的点，HSS主机管理页面有风险主机视图，开启防护后优先查看这里。所有检出风险的主机集中展示，点击查看风险条目和处置方案。保持每周至少查看一次页面，比出事之后翻日志省事。安全防护不存在一次性配置永久生效，持续巡检、持续修复才是常态。