防护配置
下载
聚焦模式
字号
防护配置用于按检测能力（文件查杀、异常登录、密码破解、AI-Link、反弹 Shell、网络攻击等）进行开关与调参，决定对应场景是否产生告警记录及自动处置动作。
进入防护配置
1. 登录云安全中心控制台。
2. 在左侧导航栏，选择告警中心。
3. 单击右上角的策略管理，选择防护配置页签。
说明：
检测规则的执行动作、自定义规则与加白，详情请参见规则管理。
单击右上角实践配置可按场景（日常运营/重保）查看推荐配置项。
与主机安全（CWP）配置同步：原主机安全转用云安全中心的客户，异常登录、密码破解配置将同步主机安全的配置，后续调整仍互相生效。
文件查杀配置
定时扫描
用于定期扫描主机木马病毒文件，增强安全性。
1. 在防护配置页签中，打开文件查杀-定时扫描开关。
2. 配置以下配置项后，单击保存。
配置项 | 说明 |
检测周期 | 定时检测周期及具体时间窗口。如：每天，02:00～07:00。 |
检测模式 | 检测模式决定检测范围： 快速检测：仅检测运行中进程、关键目录、驱动加载等。 全盘检测：检测系统所有分区。 自选路径：自定义检测范围。 |
异常进程检测 | 深度检测内存中的异常进程，可能造成一定程度的资源占用率升高，请谨慎选择。 |
超时设置 | 单次扫描超出设定时长（如：02:00）即视为扫描失败。 |
扫描资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
实时监控
用于实时监控 Web 目录、系统关键目录，查杀木马病毒文件；开启后命中即上报告警。
1. 在防护配置页签中，打开文件查杀-实时监控开关。
2. 选择监控模式后，单击保存。
监控模式 | 说明 |
标准（推荐） | 监控并扫描检测常见目录下增量文件 |
深度 | 监控并扫描检测所有目录下增量文件 |
自选路径 | 自定义监控范围 |
自动隔离
自动隔离检测出的恶意文件，部分恶意文件仍需用户手动确认隔离，建议您检查文件查杀中的告警列表，确保已全部处理。若出现误隔离，请在已隔离列表中对文件进行恢复。
1. 在防护配置页签中，打开文件查杀-自动隔离开关。
2. 配置以下项后，单击保存。
配置项 | 说明 |
杀掉进程 | 杀掉该文件相关进程（建议勾选）。 |
防护模式 | 标准模式（推荐）：仅针对勒索/挖矿告警进行自动隔离，更适合日常安全运营。 重保模式：对恶意文件自动隔离，可能存在误拦截风险，适合重保场景，请谨慎开启并限定隔离范围。 说明： 查杀文件范围，仅重保模式下可配置。 全部恶意文件（脚本类文件除外）：自动隔离非脚本类恶意文件。 全部恶意文件（请谨慎开启）：包含脚本类恶意文件；隔离脚本可能导致业务无法正常运行，请谨慎开启。 |
生效资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
异常登录配置
说明：
本项与主机安全（CWP）配置保持同步，两边调整会互相生效。
异常登录检测分为以下两类：
内置检测：无需配置。覆盖威胁情报黑 IP 登录、密码破解成功后登录、弱口令账户登录、非法账户登录、登录后存在入侵行为。
可选检测：包括境外 IP 登录、非常用登录地登录、非工作时间登录。默认关闭，需要时在下方检测配置中开启。
检测配置
异常登录监控主机的登录行为，并对可疑登录产生告警。
1. 在防护配置页签中，展开异常登录的检测配置。
2. 在检测配置中，按需勾选检测规则并选择告警等级，按需开启自学习白名单基线，选择生效资产后，单击保存。
配置项 | 说明 |
境外 IP 登录 | 对白名单以外的境外 IP 登录告警。可在该项旁配置告警等级。 |
IP 非常用登录地 | 对不在白名单常用登录地内的来源 IP 登录告警。可在该项旁配置告警等级。 |
非工作时间登录 | 选择星期和时间段，对该时间以外的登录行为告警。可在该项旁配置告警等级。 |
自学习白名单基线 | 开启后，系统自动学习登录基线并生成白名单，把未触发内置检测规则的首次登录地域加入信任白名单。关闭后再次开启会重新学习，并对白名单去重，白名单只增不减。 |
生效资产 | 全部主机（可剔除资产）、按标签选择、自选主机。 |
说明：
境外 IP 登录、IP 非常用登录地、非工作时间登录检测默认关闭。如需这些场景的告警，请在检测配置中勾选开启。
异常登录白名单
白名单按登录源 IP、登录用户名、登录时间、常用登录地识别，四项为与关系。某一项留空表示该维度不限制。
1. 在防护配置页签中，展开异常登录白名单，查看已有规则。
2. 单击添加白名单，配置以下项后，单击确定。
配置项 | 说明 |
登录源 IP | 支持输入 IP、IP 范围或 IP 段，支持 IPv4/IPv6。 IP 示例：1.1.1.1 IP 范围示例：1.1.1.1-1.1.1.10 IP 段示例：172.168.34.1/20 支持同时添加多个 IP/IP 段，可使用英文“,”符号隔开，限制在 1024 字符内，约 60 个以上。 |
登录用户名 | 支持配置多个登录用户名，可使用英文“,”符号隔开，留空则代表所有用户名。 |
登录时间 | 设置常用登录的起止时间段。 |
常用登录地 | 选择可信的地理区域。 说明： 若同时设置登录源 IP 与常用登录地，系统将自动忽略常用登录地，仅按登录源 IP 及其他条件判定是否异常登录。建议二者只配置其一。 |
生效资产 | 全部主机、自选主机。 |
告警处理 | 系统将批量加白所有符合本条白名单规则的告警。 |
备注 | 可选，用于说明加白用途。 |
密码破解配置
说明：
本项与主机安全（CWP）配置保持同步，两边调整会互相生效。
密码破解告警检测及阻断逻辑如下：
告警：命中您配置的登录规则，或命中内置暴破情报、漏洞利用情报时，产生告警。
阻断：调用主机防火墙，Windows 使用 WFP，Linux 使用 iptables，并按最高优先级封禁攻击源 IP。已加入白名单的来源 IP 不阻断、不告警。
配置检测与阻断
配置检测规则与阻断规则，实时监控主机上 SSH、RDP 的密码破解行为并阻断。
1. 在防护配置页签中，展开密码破解配置。
2. 配置生效时长、自定义规则、内置情报规则及生效范围后，单击保存。
设置项 | 说明 |
生效设置 | 设置生效时长。命中暴破规则时，对不在白名单内的来源 IP 自动阻断一定时长。 |
自定义规则 | 配置检测规则。命中任一登录规则即判定为暴力破解。每条规则设置时间窗口和登录失败次数，可修改或删除。 配置阻断规则。 基于暴破检测规则阻断：对命中上述检测规则的来源 IP 阻断。 说明： 智能过滤：来源 IP 攻击客户数小于 5 个、来源 IP 属于本账号下的公网 IP，或来源 IP 命中威胁情报白名单中的部分登录来源时，减少误阻断（推荐）。 选择生效主机范围：全部主机或自选主机。 |
内置情报规则 | 勾选暴破攻击情报。按云端暴破攻击运营生产的黑 IP 阻断，由于规模庞大，大部分阻断将不在平台生成记录。 选择生效主机范围：全部主机或自选主机。 |
高阶攻击检测
AI 串联时序攻击链路，识别横向移动与高阶组合攻击，多行为研判输出高确信告警。系统提供三类独立检测规则，可按业务场景灵活组合。
1. 在防护配置页签中，打开 AI-Link 智链引擎开关。
2. 配置以下项后，单击保存。
配置项 | 说明 |
规则模式 | 精准：覆盖已知攻击特征，极少误报。 均衡：覆盖常见攻击特征，并具备部分泛化检测能力，适用于日常运营场景。 深度：支持识别更多潜伏攻击行为，但存在一定的误报风险。适用于重保场景。 说明： 日常运营建议配置：开启“精准规则”+“均衡规则”。 重保时期建议配置：开启“精准规则”+“均衡规则”+“深度规则”。 |
生效资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
说明：
AI-Link 的精准/均衡/深度规则模式，用以控制启用检测规则。
此处的精准/均衡/深度规则模式，与告警列表中的检测模式对应：
勾选即启用该检测模式下的规则。
未勾选时，对应规则不生效，告警中心不会产生该检测模式的新告警记录。
反弹 Shell 配置
反弹 Shell -内网告警检测开启后，后台将检测内网反弹 Shell 告警。此类告警量较大，建议谨慎开启。
1. 在防护配置页签中，打开反弹 Shell-内网告警检测开关。
2. 配置生效资产后，单击保存。
网络攻击配置
网络攻击-尝试攻击检测开启后，后台将检测尝试攻击告警，出现尝试攻击行为时进行告警通知。用于捕捉尚未在资产上形成实质利用的攻击弱信号；重保期间建议开启。
1. 在防护配置页签中，打开网络攻击-尝试攻击开关。
2. 配置以下项后，单击保存。
配置项 | 说明 |
告警处理状态 | 检测到尝试攻击告警时的默认处理状态：待处理、已处理或已忽略。 |
生效资产 | 全部付费资产（可剔除资产）、按标签选择、直接选择。 |
多账号管理
使用多账号管理功能（集团管理员场景）时，告警策略支持跨账号统一运维，防护配置采用单选切换模式（与规则管理的平铺展示不同）：
1. 默认展示当前登录账号的配置。
2. 切换到不同账号后，再查看和编辑对应配置。
3. 每个账号的防护配置相互独立。
文档反馈