huawei-cloud-hss-query

Huawei Cloud HSS 主机安全技能

概述

此技能为 Huawei Cloud HSS（主机安全服务）提供 AI エージェント能力，涵盖日常安全检查、风险诊断和告警处理。hcloud CLI を使用して、主机资产、漏洞、安全基线、入侵告警（木马、暴力破解攻击）和登录审计日志的查询，以及告警处理状态的更新をサポートします。

范围限制：

• ✅ 查询：主机资产、漏洞、安全基线、入侵告警、登录审计日志
• ✅ 诊断：风险评分、高风险漏洞分析、异常登录分析
• ✅ 管理：更新告警处理状态（标记为已处理、已忽略等）
• ❌ 不会创建或删除主机资源
• ❌ 不会执行隔离、杀毒或其他高风险操作
• ❌ 不会执行实时拦截或终止进程

前提条件

1. hcloud CLI 已安装，并使用有效的 AK/SK 凭据完成身份验证。
   • 安装指南：请参阅 references/cli-installation-guide.md
   • 验证：hcloud configure list 显示有效配置文件
2. 在目标 ECS 实例上部署 HSS agent（必须在控制台中启用 HSS）
3. IAM 权限：查询操作需要 HSS 读取权限，告警处理需要 HSS 写入权限。
   • 最小权限策略请参阅 references/iam-policies.md
4. 区域：HSS 按区域区分。使用 --cli-region 指定目标区域（例如 {your-region}）

工作流程

1. Identify target → region, project_id, optional host_id filter
2. Query phase → list assets / vulnerabilities / baselines / alerts / login logs
3. Diagnose phase → risk score, high-risk items, abnormal login patterns
4. Handle phase → update alert handling status (requires user confirmation)
5. Output → structured JSON risk list + readable summary report

核心命令

1. 主机资产

列出所有受保护主机及其 agent 状态、操作系统类型和风险标记：

hcloud HSS ListHostStatus --cli-region={region} --project_id={project_id} \
  [--host_id={host_id}] [--host_name={host_name}] [--os_type={linux|windows}] \
  [--agent_status={installed|not_installed|online|offline}] \
  [--has_vul=true] [--has_intrusion=true] [--has_baseline=true] \
  [--asset_value={important|common|test}] [--limit=10] [--offset=0]

显示主机统计信息（主机总数、受保护数量、风险分布）：

hcloud HSS ShowHostsStatistics --cli-region={region} --project_id={project_id}

查询指定主机的风险状态：

hcloud HSS ListHostsRisk --cli-region={region} --project_id={project_id} \
  --host_id_list.1={host_id_1} [--host_id_list.2={host_id_2}]

2. 漏洞

列出所有漏洞，并按类型、状态和严重程度筛选：

hcloud HSS ListVulnerabilities --cli-region={region} --project_id={project_id} \
  [--vul_id={vul_id}] [--vul_name={vul_name}] [--cve_id={cve_id}] \
  [--type={linux_vul|windows_vul|web_cms|app_vul|urgent_vul}] \
  [--status={vul_status}] [--handle_status={handle_status}] \
  [--repair_priority={critical|high|medium|low}] \
  [--asset_value={important|common|test}] [--limit=10] [--offset=0]

列出指定主机上的漏洞：

hcloud HSS ListHostVuls --cli-region={region} --project_id={project_id} \
  --host_id={host_id} [--type={linux_vul|windows_vul|web_cms|app_vul|urgent_vul}] \
  [--limit=10] [--offset=0]

列出受指定漏洞影响的主机：

hcloud HSS ListVulHosts --cli-region={region} --project_id={project_id} \
  --type={linux_vul|windows_vul|web_cms|app_vul|urgent_vul} --vul_id={vul_id} \
  [--limit=10] [--offset=0]

显示漏洞详情（按类型选择）：

# Linux vulnerability
hcloud HSS ShowLinuxVulDetail --cli-region={region} --project_id={project_id} \
  --vul_id={vul_id} --limit=10 --offset=0

# Windows vulnerability
hcloud HSS ShowWindowsVulDetail --cli-region={region} --project_id={project_id} \
  --vul_id={vul_id} --limit=10 --offset=0

# Web-CMS vulnerability
hcloud HSS ShowCmsVulDetail --cli-region={region} --project_id={project_id} \
  --vul_id={vul_id} --limit=10 --offset=0

显示漏洞统计信息：

hcloud HSS ShowVulStatics --cli-region={region} --project_id={project_id}

3. 安全基线

显示基线检查概览（上次检查时间、检查统计信息、通过率、主要风险）：

hcloud HSS ShowBaselineOverview --cli-region={region} --project_id={project_id}

显示基线统计信息：

hcloud HSS ShowBaselineStatistic --cli-region={region} --project_id={project_id}

列出受指定基线检查规则影响的主机：

hcloud HSS ListHostCheckRules --cli-region={region} --project_id={project_id} \
  --check_name={check_name} --standard={cn_standard|hw_standard} --host_id={host_id} \
  [--check_rule_name={rule_name}] [--limit=10] [--offset=0]

⚠️ --standard 为必填参数。

显示指定主机的安全检查报告：

hcloud HSS ShowSecurityCheckHostReport --cli-region={region} --project_id={project_id} \
  --host_id={host_id} --scan_time={scan_time_ms}

⚠️ --scan_time 为必填参数（毫秒级时间戳）。

显示风险配置详情：

hcloud HSS ShowRiskConfigDetail --cli-region={region} --project_id={project_id} \
  --check_name={check_name} --standard={cn_standard|hw_standard} \
  [--host_id={host_id}]

⚠️ --standard 为必填参数（cn_standard=等保合规标准，hw_standard=云安全实践标准）。

4. 入侵告警 — 木马与恶意软件

按事件类型、严重程度和处理状态筛选并查询告警事件历史：

hcloud HSS ListEventHandleHistory --cli-region={region} --project_id={project_id} \
  [--event_type={event_type}] [--event_class_ids.1={event_class_id}] \
  [--severity={critical|high|medium|low}] [--handle_status={handled|unhandled}] \
  [--host_ip={ip}] [--host_name={name}] [--attack_tag={tag}] \
  [--asset_value={important|common|test}] [--limit=10] [--offset=0]

恶意软件常见的 event_class_id：

event_class_id	说明
av_1002	病毒
av_1003	蠕虫
av_1004	木马
av_1005	僵尸网络
av_1006	后门
av_1010	Rootkit
av_1011	勒索软件
av_1015	Webshell
av_1016	挖矿软件

列出主机防护历史：

hcloud HSS ListHostProtectHistoryInfo --cli-region={region} --project_id={project_id} \
  --start_time={start_time_ms} --end_time={end_time_ms} [--limit=10] [--offset=0] \
  [--host_id={host_id}] [--file_path={path}]

⚠️ --start_time / --end_time 为必填参数（毫秒级时间戳，两者间隔不得超过 30 天）；--host_id 为可选参数。

列出受防病毒保护的主机：

# List antivirus-protected hosts (scan_type: quick/full; start_type: now/period)
hcloud HSS ListAntiVirusHost --cli-region={region} --project_id={project_id} \
  --limit=10 --offset=0 --scan_type={quick|full} --start_type={now|period} \
  [--host_id={host_id}] [--policy_id={policy_id}]

⚠️ --limit / --offset / --scan_type / --start_type 为必填参数。 --scan_type 可选值：quick（快速扫描）/ full（全盘扫描）；--start_type 可选值：now（立即启动）/ period（周期启动）。其他值（如 all/manual/auto）会被 API 静默忽略，并返回空结果。

5. 入侵告警 — 暴力破解

查询暴力破解攻击事件（login_0001 = 尝试，login_0002 = 成功）：

hcloud HSS ListEventHandleHistory --cli-region={region} --project_id={project_id} \
  --event_class_ids.1=login_0001 --event_class_ids.2=login_0002 \
  [--severity={critical|high|medium|low}] [--handle_status={handled|unhandled}] \
  [--host_ip={ip}] [--limit=10] [--offset=0]

列出弱密码检测结果：

hcloud HSS ListWeakPasswordUsers --cli-region={region} --project_id={project_id} \
  [--host_id={host_id}] [--limit=10] [--offset=0]

6. 登录审计日志

查询常用登录 IP：

hcloud HSS ListLoginCommonIp --cli-region={region} --project_id={project_id} \
  [--ip_addr={ip}]

查询常用登录位置：

hcloud HSS ListLoginCommonLocation --cli-region={region} --project_id={project_id} \
  [--area_code={area_code}]

⚠️ 这两项操作仅支持 --ip_addr / --area_code 过滤器（实测不支持 --host_id/--limit/--offset），不可添加分页参数。

7. 风险诊断

查询总体风险评分：

hcloud HSS ShowRiskScore --cli-region={region} --project_id={project_id}

查询指定主机的风险状态：

hcloud HSS ListHostsRisk --cli-region={region} --project_id={project_id} \
  --host_id_list.1={host_id_1}

8. アラート対応ステータスの更新（告警处置）— ⚠️ 変更を伴う操作、確認が必要です

アラートイベントに対応します（処理済みとしてマーク、無視など）。

hcloud HSS ChangeEvent --cli-region={region} --project_id={project_id} \
  --operate_event_list.1.event_class_id={event_class_id} \
  --operate_event_list.1.event_id={event_id} \
  --operate_event_list.1.event_type={event_type} \
  --operate_event_list.1.occur_time={occur_time_ms} \
  --operate_type={operate_type}

⚠️ --operate_type はトップレベルのパラメーターです（operate_event_list 配列には含まれません）。配列内の event_class_id／event_id／event_type／occur_time はすべて必須です。

ChangeEvent の operate_type の値：

• mark_as_handled — 処理済みとしてマーク（処理済みとしてマーク）
• ignore — 無視（無視）
• add_to_alarm_whitelist — アラームの許可リストに追加（アラームの許可リストに追加）
• add_to_login_whitelist — ログインの許可リストに追加（ログインの許可リストに追加）
• unhandle — 未処理に戻す（未処理に戻す）
• do_not_ignore — 無視を取り消す（無視を取り消す）
• remove_from_alarm_whitelist — アラームの許可リストから削除（アラームの許可リストから削除）
• remove_from_login_whitelist — ログインの許可リストから削除（ログインの許可リストから削除）

⚠️ ⛔ isolate_and_kill（隔離・駆除）、do_not_isolate_or_kill は API でサポートされている値ですが、このスキルでは隔離／ウイルス駆除などの高リスクな操作を明示的に実行しません。AI は使用してはいけません。

脆弱性の対応ステータスを更新します。

hcloud HSS ChangeVulStatus --cli-region={region} --project_id={project_id} \
  --operate_type={ignore|not_ignore|immediate_repair|manual_repair|verify|add_to_whitelist} \
  --data_list.1.vul_id={vul_id} --host_data_list.1.host_id={host_id}

⚠️ 脆弱性とホストは、--data_list.[N].vul_id と --host_data_list.[N].host_id を介して関連付けて渡します（トップレベルの --vul_id／--host_id パラメーターはありません）。

⚠️ ChangeEvent と ChangeVulStatus はどちらも変更を伴う操作です。実行前に、必ずユーザーに確認してください。

パラメーターの確認

パラメーター	必須	説明	例
--cli-region	はい	対象リージョン	{your-region}
--project_id	はい	プロジェクト ID（省略した場合は自動検出）	CLI プロファイルから自動取得
--host_id	いいえ	ホスト ID で絞り込み	xxxxxxxx-xxxx-xxxx
--severity	いいえ	リスクの重大度フィルター	critical、high、medium、low
--type	いいえ	脆弱性の種類	linux_vul、windows_vul、web_cms
--repair_priority	いいえ	脆弱性の修復優先度	critical、high、medium、low
--handle_status	いいえ	アラート対応ステータスのフィルター	handled、unhandled
--event_class_ids.N	いいえ	イベントクラス ID のフィルター（インデックス付き）	av_1004（トロイの木馬）
--limit	いいえ	ページサイズ（デフォルトは 10）	10
--offset	いいえ	ページオフセット（デフォルトは 0）	0
--enterprise_project_id	いいえ	エンタープライズプロジェクトのフィルター	デフォルトの場合は 0
--asset_value	いいえ	資産の重要度フィルター	important、common、test

出力形式

すべてのコマンドは、デフォルトで JSON を返します。検査レポートの場合、このスキルは複数のクエリ結果を構造化されたリスク概要に集約します。

{
  "inspection_time": "2026-08-28T10:00:00Z",
  "region": "{region}",
  "host_summary": { "total": 10, "protected": 8, "at_risk": 3 },
  "vulnerabilities": { "critical": 2, "high": 5, "medium": 12, "low": 8 },
  "baselines": { "pass_rate": "85%", "failed_rules": 7 },
  "alerts": { "unhandled_trojan": 1, "unhandled_brute_force": 3 },
  "risk_score": 72,
  "recommendations": ["Fix 2 critical vulnerabilities on host xxx", "Handle 1 unhandled trojan alert"]
}

参考ドキュメント

• references/cli-installation-guide.md — hcloud CLI のインストールと認証
• references/iam-policies.md — HSS の最小権限 IAM ポリシー
• references/verification-method.md — 検証およびテスト方法
• references/dataflow-diagram.md — データフロー図
• references/acceptance-criteria.md — 受け入れ基準
• references/hss-event-class-reference.md — HSS イベントクラス ID リファレンス

KooCLI コマンド形式の標準

hcloud HSS ListHostStatus --cli-region={region} --project_id={project_id} [--key=value ...]

機能	説明	例
サービス名	HSS（KooCLI の正確なサービス名）	HSS
操作名	パスカルケース	ListHostStatus、ShowVulStatics、ChangeEvent
リージョンパラメーター	--cli-region=<value>	--cli-region={region}
単純なパラメーター	--key=value	--host_id=xxx
インデックス付きパラメーター	--key.1=value1	--host_id_list.1=xxx