华为云企业主机安全HSS完全对接使用指南：从Agent安装到API深度集成
1. 企业主机安全HSS概述
企业主机安全（Host Security Service，HSS）是华为云推出的以工作负载为中心的安全产品，集成了主机安全、容器安全和网页防篡改三大核心能力。HSS旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求，不受地理位置影响，为主机、容器等提供统一的可视化和控制能力。
HSS的核心功能涵盖资产管理、漏洞检测、基线检查、入侵检测、勒索防护及网页防篡改等多个维度。通过在主机中安装Agent，主机将受到HSS云端防护中心全方位的安全保障，用户可以在安全控制台可视化界面上统一查看并管理同一区域内所有主机的防护状态和主机安全风险。
需要先登录华为云控制台，点击：华为云控制台，还没有账号，点击：注册并关联，已有账号点击：登录后关联
1.1 版本与规格选择
HSS提供多个版本以满足不同场景的安全需求，主要包括基础版、专业版、企业版、旗舰版、网页防篡改版和容器版。各版本在功能支持上存在差异，用户应根据自身业务需求选择合适的版本。
基础版适用于测试或个人用户防护主机账户安全，提供部分功能的检测能力但不支持防护能力。企业版适用于等保二级认证需求。旗舰版功能最为完整，支持自定义策略组，适用于等保三级认证需求。网页防篡改版在开启防护时会同步开启旗舰版防护。容器版专门为容器工作负载设计，提供容器全生命周期的安全防护。
2. Agent安装部署
Agent是HSS的核心组件，安装在主机和容器节点上，用于与HSS云端防护中心进行数据交互，实现对主机和容器的安全检测与防护。安装Agent后，用户才能使用企业主机安全的完整功能。
2.1 华为云主机Agent安装
对于华为云弹性云服务器（ECS）或裸金属服务器（BMS），Agent的安装过程相对简单。登录HSS控制台后，在左侧导航栏选择"主机安装与配置"，进入页面后点击右上角"安装主机安全Agent"。在弹出的对话框中选择"弹性云服务器ECS安装"并开始配置。系统会自动识别当前账号下的ECS实例，用户只需选择目标服务器并确认安装即可。安装完成后等待5到10分钟，返回控制台查看Agent状态，若显示"在线"则表示安装成功。
2.2 第三方云主机与线下IDC Agent安装
对于能够访问公网的第三方云主机或线下数据中心（IDC），可以通过公网直接下载安装Agent。操作步骤如下：
登录HSS控制台，在"主机安装与配置"页面点击"安装主机安全Agent"，选择"三方云/数据中心服务器安装"并开始配置。选择网络模式为"公网接入"，根据服务器操作系统选择Linux或Windows。如果是单台安装，直接复制系统生成的安装命令，以root账号登录服务器后粘贴执行即可。界面回显安装完成信息后，等待5到10分钟返回控制台确认Agent状态为"在线"。
对于多台Linux主机的批量安装，操作流程类似，选择"多台"安装数量后系统会生成相应的批量安装命令。
2.3 无法访问公网的主机接入方案
如果主机不能访问公网，需要接入HSS进行防护，可以通过以下两种方案实现：
接入"华东二"或"西南-贵阳一"区域的主机，可通过专线和终端节点接入HSS。接入其他区域的主机，则通过专线和代理服务器接入HSS。代理服务器方案需要先在云上创建一个能够访问公网的ECS作为代理，线下IDC通过云专线服务与云上VPC实现网络互通，再通过代理服务器接入HSS。
2.4 容器环境Agent安装
对于容器化环境，HSS支持在CCE集群中安装Agent。在HSS控制台选择"容器安装与配置"，在集群页面点击"安装容器Agent"。配置完成后，HSS会自动为现有集群节点安装Agent，并在集群扩缩容时自动为新节点安装或为移除节点卸载Agent。
3. HSS控制台使用与防护配置
3.1 开启主机防护
Agent安装完成且状态为"在线"后，即可开启主机防护。在HSS控制台左侧导航栏选择"云服务器"，找到目标主机，在操作列点击"开启防护"。确认后，目标主机的防护状态将变为"防护中"。开启防护后，HSS需要2到3分钟向Agent下发防护策略，所有策略下发完成才表示防护成功。用户可以在服务器详情页面查看策略启用状态，均为"已启用"表示策略下发完成。
需要注意的是，一个配额只能绑定一个主机，且只能绑定Agent在线的主机。开启主机防护后，HSS将根据服务版本自动执行对应的安全检测。
3.2 策略管理与部署
HSS的每个版本都对应一组预置的防护策略组。针对旗舰版和容器版策略组，支持通过复制的方式创建自定义策略组，方便灵活管理服务器防护策略。
创建自定义策略组的步骤如下：在HSS控制台选择"安全运营 > 策略管理"，复制对应的默认策略组（Linux或Windows），在弹出的对话框中输入策略组名称和描述后确认。点击已创建的策略组名称进入策略页面，修改具体的策略内容。策略内容修改完成后，点击策略所在行的"开启"或"关闭"并刷新页面，使策略生效。
部署策略时，在"资产管理 > 主机管理"的云服务器列表中，选中需要部署策略的一台或多台服务器，点击"更多 > 部署策略"，选择策略组后确认。策略组将在1分钟内部署到所选主机上。对于离线状态的主机，策略部署不会立即生效，需等主机再次上线后才会生效。
3.3 告警通知配置
开启告警通知功能后，用户能接收到HSS发送的告警通知，及时了解主机、容器或网页内的安全风险。告警通知设置仅在当前区域生效。
在HSS控制台左侧导航树选择"告警配置"，根据页面提示配置告警通知参数。告警通知分为两类：每日告警通知在每日凌晨检测主机风险，汇总后于上午10点发送检测结果；实时告警通知在攻击者入侵主机时立即发送。每日告警内容较多，建议使用邮箱接收；实时告警紧急度高，建议使用短信接收。
配置时需选择消息通知服务主题，主题的订阅终端支持短信、邮件等协议。用户可以根据运维计划创建多个主题以接收不同类型的告警通知。
4. HSS API对接与SDK集成
HSS提供了REST风格API，支持通过HTTPS请求调用。用户可以使用API对企业主机安全进行相关操作。华为云提供了服务端SDK，用户可以直接集成SDK来调用HSS的相关API。
4.1 开发前准备
使用HSS API或SDK前需要完成以下准备工作：
- 已完成华为云实名认证
- 开发环境支持Python 3及以上版本
- 已获取华为云账号的Access Key（AK）和Secret Access Key（SK），在控制台"我的凭证 > 访问密钥"页面创建和查看
- 已获取HSS对应区域的项目ID，在控制台"我的凭证 > API凭证"页面查看
4.2 安装Python SDK
执行以下命令安装HSS的Python SDK：
# 安装核心库
pip install huaweicloudsdkcore
# 安装HSS服务库
pip install huaweicloudsdkhss
具体的SDK版本号请参考华为云SDK开发中心。
4.3 Python SDK代码示例
以下示例展示如何通过Python SDK查询主机列表：
import os
from huaweicloudsdkcore.auth.credentials import BasicCredentials
from huaweicloudsdkcore.exceptions import exceptions
from huaweicloudsdkhss.v1 import *
from huaweicloudsdkhss.v1.region.hss_region import HssRegion
if __name__ == "__main__":
# 认证用的AK和SK建议在环境变量中密文存放，确保安全
ak = os.environ["HUAWEICLOUD_SDK_AK"]
sk = os.environ["HUAWEICLOUD_SDK_SK"]
credentials = BasicCredentials(ak, sk)
# 初始化HSS客户端
client = HssClient.new_builder() \
.with_credentials(credentials) \
.with_region(HssRegion.CN_NORTH_4) \
.build()
try:
# 配置请求参数
request = ListHostsRequest()
request.offset = 0
request.limit = 10
# 发送请求
response = client.list_hosts(request)
print(response)
except exceptions.ClientRequestException as e:
print(e.status_code)
print(e.request_id)
print(e.error_code)
print(e.error_msg)
该示例首先从环境变量中获取AK和SK进行身份认证，然后初始化HSS客户端并指定区域（此处为华北-北京四），最后调用list_hosts接口查询主机列表。
4.4 API调用限制说明
HSS API存在调用频率限制：单API流量每分钟限制访问次数为600次，其中单用户每分钟访问单API次数最大为5次，单IP地址每分钟访问单API次数最大为5次。在进行大规模自动化操作时需注意控制调用频率。
5. 告警与日志对接
5.1 云监控服务CES告警规则
HSS支持通过云监控服务（CES）创建告警规则，自定义监控目标与通知策略。创建指标监控告警规则时，需选择云产品为"主机安全服务-主机安全"或"主机安全服务-主机实例"。前者监控企业项目维度的指标（如服务器总数、未开启防护服务器数量等），后者监控主机维度的指标（如主机防护状态、Agent运行状态等）。
创建告警规则时需设置告警策略、触发条件以及通知方式（邮件、短信、HTTP/HTTPS等）。当监控指标触发设定的阈值或监控事件触发时，CES会通过消息通知服务实时告知用户。
5.2 日志对接与安全云脑集成
安全云脑支持集成HSS等多种华为云产品的日志数据。集成后可以检索并分析所有收集到的日志，默认存储7天。安全云脑接入HSS云服务日志时采用日志接入方式实现。
此外，云审计服务（CTS）可以记录HSS相关的操作事件，用于支撑安全分析、合规审计、资源跟踪、问题回溯和问题定位等场景。
6. 安全最佳实践
6.1 身份认证与凭证管理
HSS基于统一身份认证服务（IAM）进行身份认证，支持用户名密码、访问密钥、临时访问密钥三种方式。建议使用临时AK/SK进行业务处理，通过IAM委托获取的临时AK/SK到期自动过期失效，可以有效降低凭证泄露造成的数据泄露风险。如必须使用永久AK/SK，建议定期轮换并加密存储。
6.2 权限管理
使用IAM进行精细的权限管理，为不同员工设置不同的访问权限，实现权限隔离。遵循最小权限原则，仅授予完成工作所需的最低权限。
6.3 主机登录保护
HSS提供多种登录保护机制：双因子认证、配置常用登录地、配置常用登录IP、配置SSH登录IP白名单。这些功能可以有效防止账户遭受暴力破解攻击，提高云服务器的安全性。
在为Windows主机开启防护时，需要同步授权开启Windows防火墙，用于拦截暴力破解的攻击源IP；如果不开启，HSS仅会在检测到暴力破解攻击时进行告警而不会拦截。
6.4 恶意程序隔离查杀
开启恶意程序隔离查杀功能后，HSS将自动隔离识别到的后门、木马、蠕虫等恶意程序，帮助自动处理系统存在的安全风险。
7. 常见问题解答
问：HSS的Agent安装后需要重启服务器吗？
答：不需要。Agent安装完成后会自动启动并与云端防护中心建立连接，无需重启服务器。安装后等待5到10分钟，在控制台确认Agent状态为"在线"即可。
问：一个HSS配额可以绑定多台主机吗？
答：不可以。一个配额只能绑定一个主机，且只能绑定Agent在线的主机。关闭主机安全防护或删除主机后，该配额可以释放并分配给其他主机使用。
问：HSS每日何时进行安全检测？
答：HSS每日凌晨定时执行全量检测任务，全量扫描主机。检测结果会汇总并于每日上午10点通过每日告警通知发送给用户。
问：第三方云主机能否接入华为云HSS？
答：可以。对于能够访问公网的第三方云主机，可以通过公网直接下载安装Agent接入。对于不能访问公网的主机，可以通过专线和代理服务器或专线和终端节点的方式接入。
问：HSS的告警通知会产生额外费用吗？
答：告警通知功能本身不收费，但触发产生的告警消息由消息通知服务（SMN）发送，SMN服务可能会产生少量费用，具体请参考华为云产品价格说明。
问：如何验证HSS的防护是否生效？
答：开启防护后可以在HSS控制台查看主机的"防护状态"是否为"防护中"。在服务器详情页面的策略管理中可以查看各策略的启用状态，均为"已启用"表示策略下发完成。此外，可以查看漏洞管理、基线检查等页面的检测结果来确认防护是否正常工作。
