主机安全密码破解基于网络安全防御和主机入侵检测能力，为主机提供密码暴力破解行为实时监控。
操作指南
查看密码破解事件
登录主机安全租户端控制台，在左侧导航中，选择【入侵检测】>【密码破解】，进入密码破解页面，可查看密码破解事件列表。
字段说明：
- 主机名称/实例ID：检测到存在密码破解行为的服务器名称和实例ID。
- IP地址：检测到存在密码破解行为的服务器IP地址。
- 来源 IP：攻击来源 IP 地址。
- 来源地：攻击来源 IP 所在地域。
- 协议：攻击者通过的协议，含 ssh/rdp。
- 登录用户名：攻击者登录使用的用户名。
- 端口：攻击者登录使用的端口。
- 首次攻击时间：主机安全首次监控到密码破解行为的时间。
- 最近攻击时间：该事件最近再次发生的时间。
- 尝试次数：攻击 IP 尝试密码破解的次数统计。
- 破解状态：破解成功、破解失败。
- 阻断状态：阻断、未阻断。
- 告警状态：待处理、已加入白名单、已处理、已忽略。
- 操作：
- 标记已处理：若您已人工对该告警进行处理，可将告警标记为已处理。
- 加入白名单：对当前告警的域名创建放行策略，当再次发生相同攻击时将不再进行告警，同时当前告警状态将变更为“已加白”。
- 忽略：仅将本次告警进行忽略，若再有相同情况发生依然会进行告警。
- 删除记录：删除该告警记录，控制台将不再显示，无法恢复记录，请慎重操作。
配置白名单
配置白名单后，属于白名单来源 IP 的密码破解行为将不会被阻断与告警，操作步骤如下：
- 登录主机安全租户端控制台，在左侧导航中，选择【入侵检测 】> 【密码破解】，进入密码破解页面。
- 在密码破解页面，单击【白名单管理】，进入白名单管理页面。
- 在白名单管理页面，单击【添加白名单】，进入创建白名单页面中。
- 在右侧弹出窗中，填写来源 IP 及生效范围。
注意：
添加白名单后，该来源 IP 的密码破解行为将不会被阻断与告警，请慎重操作。若有非白名单来源 IP 尝试登录，并命中暴力破解规则时，系统将自动发出异常告警或阻断。
字段说明：
- 来源 IP：支持填写单个 IP、IP 范围（如1.1.1.1-1.1.1.10）或 IP 段（如1.1.1.0/24）。
- 生效范围：
- 全部服务器（请谨慎选择）：将对用户 AppID 下所有服务器添加信任该白名单条件。
- 自定义服务器范围：自定义选择添加信任该白名单条件的服务器范围。
- 备注：建议您输入相关规则备注。
开启告警通知
登录主机安全租户端控制台，在左侧导航中，选择【设置中心】>【告警设置】，在告警设置中，开启告警通知开关，当前产生密码破解事件时，会以站内信、短信、邮件、企业微信等方式进行通知。
密码破解事件处置指引
- 当用户接收密码破解事件告警时，登录主机安全租户端控制台，在左侧导航中，选择【入侵检测】>【密码破解】，进入密码破解页面。
- 查看告警事件列表中的对应攻击来源 IP。
- 若确认是可信来源 IP，用户需在该事件右侧操作栏中，单击【处理】 >【加入白名单】，设置白名单条件和生效范围（请谨慎添加白名单）。配置成功后，预计5分钟内生效，后续来自该来源 IP 的密码破解行为将不再进行告警或者阻断。
若确认是不可信来源 IP，且服务器已被攻击者密码破解成功。
针对已被密码破解入侵的服务器，建议用户立即重新设置复杂密码（大写+小写+特殊字符+数字组成的12-16位的复杂密码），并检查账号列表中是否存在陌生账号，若存在陌生账号，需将陌生账号删除或者禁用，同时排查系统异常情况。