主机安全-入侵检测篇原创

本期内容将介绍入侵检测各模块功能及操作步骤。对于正在数字化转型的企业而言，主机是承载数据、资产和业务管理的基础设施，而黑客将会在未经授权情况下远程入侵控制主机，以达到各种目的。入侵检测模块将对黑客的入侵行为进行检测及实时监控告警处理，包括文件查杀、异常登录、密码破解、恶意请求、高危命令、本地提纯、反弹、share检测。文件查杀页面在顶部可以对文件查杀进行设置，查杀设置功能为专业版付费功能，需升级为专业版主机安全进行使用，开启或关闭自动隔离均需要进行配置，实际生效存在几分钟延迟，不知道如何处理安全事件。这里提供专业的安全专家团队和多样化服务。文件查杀。使用云查杀隐。

擎、AI引擎、虚拟机检测引擎、异常分析、威胁情报、攻击防御等六款检测引擎，用户可以进行一键检测，包括全盘检测和快速检测。从详情中可以了解到当前检测的详细信息。事件列表以检测出的风险文件为单位，显示目标风险文件的服务器名称、IP路径并读名、首次发现时间、最近检测时间、处理状况信息。用户可以复制路径信息，下载目标样本。异常登录页面包含异常登录和白名单管理两个部分。实验列表以异常登录事件为单位，显示目标异常登录事件的服务器名称、IP来源、IP来源地、登录用户名、登录时间、微信等级状态信息、密码。破解页面包含事件列表、白名单管理两个部分，开启自动阻断开关，设置阻断模式。

默认提供三条判断，爆破规则可以添加或删除规则，命中任意规则将判断为暴力破解行为，提供两种阻断模式，标准阻断和深度阻断。事件列表以密码破解事件为单位，显示目标异常登录的服务器名称IP来源IP来源地协议登录用户名端口首次攻击时间最近攻击时间尝试次数破解状态阻断状态信息恶意请求页面包含事件列表、白名单管理两个部分。事件列表以恶意请求事件为单位，显示目标恶意请求的服务器名称IP恶意请求域名请求次数进程危害描述状态最近请求时间高温命令页面包含事件列表、用户规则配置两个部分。事件列表以高危命令事件为单位，显示目标高危命令的服务器名称、IP、命中规则名、规则类别、威胁等。

及命令内容、数据来源，发生时间、处理时间、状态信息。本地提权页面包含事件列表和白名单管理两个部分，事件列表以本地提权事件为单位，显示目标本地提权的服务器名称，IP、提权用户附进程附进程所属用户发现时间、状态信息。反弹share页面包含事件列表、白名单管理两个部分，时间列表以反弹share事件为单位，显示目标反弹share事件的服务器名称、IP、连接进程、执行命令、副进程、目标主机、目标端口发现时间、检测方法、状态信息。