huawei-cloud-hss-query

Huawei Cloud HSS 主机安全技能

概述

此技能为 Huawei Cloud HSS（Host Security Service / 主机安全服务）提供 AI Agent 能力， 涵盖日常安全检查、风险诊断和告警处理。支持通过 hcloud CLI 查询主机资产、 漏洞、安全基线、入侵告警（木马、暴力破解）和登录审计日志， 以及更新告警处理状态。

范围边界：

• ✅ 查询：主机资产、漏洞、安全基线、入侵告警、登录审计日志
• ✅ 诊断：风险评分、高危漏洞分析、异常登录分析
• ✅ 管理：更新告警处理状态（标记为已处理、已忽略等）
• ❌ 不会创建或删除主机资源
• ❌ 不会执行隔离、杀毒或其他高风险操作
• ❌ 不会执行实时拦截或结束进程

前提条件

1. 已安装 hcloud CLI，并使用有效的 AK/SK 凭证完成身份验证。
   • 安装指南：参见 references/cli-installation-guide.md
   • 验证：hcloud configure list 显示有效配置文件
2. 已在目标 ECS 实例上部署 HSS agent（必须在控制台中启用 HSS）
3. IAM 权限：查询操作需要 HSS 读取权限，告警处理需要 HSS 写入权限。
   • 最小权限策略参见 references/iam-policies.md
4. 区域：HSS 按区域提供服务。使用 --cli-region 指定目标区域（例如 {your-region}）

工作流

1. Identify target → region, project_id, optional host_id filter
2. Query phase → list assets / vulnerabilities / baselines / alerts / login logs
3. Diagnose phase → risk score, high-risk items, abnormal login patterns
4. Handle phase → update alert handling status (requires user confirmation)
5. Output → structured JSON risk list + readable summary report

核心命令

1. 主机资产（主机资产）

列出所有受保护主机及其 agent 状态、操作系统类型和风险标记：

hcloud HSS ListHostStatus --cli-region={region} --project_id={project_id} \
  [--host_id={host_id}] [--host_name={host_name}] [--os_type={linux|windows}] \
  [--agent_status={installed|not_installed|online|offline}] \
  [--has_vul=true] [--has_intrusion=true] [--has_baseline=true] \
  [--asset_value={important|common|test}] [--limit=10] [--offset=0]

显示主机统计信息（主机总数、受保护数量、风险分布）：

hcloud HSS ShowHostsStatistics --cli-region={region} --project_id={project_id}

查询指定主机的风险状态：

hcloud HSS ListHostsRisk --cli-region={region} --project_id={project_id} \
  --host_id_list.1={host_id_1} [--host_id_list.2={host_id_2}]

2. 漏洞（漏洞）

按类型、状态和严重程度筛选并列出所有漏洞：

hcloud HSS ListVulnerabilities --cli-region={region} --project_id={project_id} \
  [--vul_id={vul_id}] [--vul_name={vul_name}] [--cve_id={cve_id}] \
  [--type={linux_vul|windows_vul|web_cms|app_vul|urgent_vul}] \
  [--status={vul_status}] [--handle_status={handle_status}] \
  [--repair_priority={critical|high|medium|low}] \
  [--asset_value={important|common|test}] [--limit=10] [--offset=0]

列出指定主机上的漏洞：

hcloud HSS ListHostVuls --cli-region={region} --project_id={project_id} \
  --host_id={host_id} [--type={linux_vul|windows_vul|web_cms|app_vul|urgent_vul}] \
  [--limit=10] [--offset=0]

列出受指定漏洞影响的主机：

hcloud HSS ListVulHosts --cli-region={region} --project_id={project_id} \
  --type={linux_vul|windows_vul|web_cms|app_vul|urgent_vul} --vul_id={vul_id} \
  [--limit=10] [--offset=0]

显示漏洞详情（按类型选择）：

# Linux vulnerability
hcloud HSS ShowLinuxVulDetail --cli-region={region} --project_id={project_id} \
  --vul_id={vul_id} --limit=10 --offset=0

# Windows vulnerability
hcloud HSS ShowWindowsVulDetail --cli-region={region} --project_id={project_id} \
  --vul_id={vul_id} --limit=10 --offset=0

# Web-CMS vulnerability
hcloud HSS ShowCmsVulDetail --cli-region={region} --project_id={project_id} \
  --vul_id={vul_id} --limit=10 --offset=0

显示漏洞统计信息：

hcloud HSS ShowVulStatics --cli-region={region} --project_id={project_id}

3. 安全基线（安全基线）

显示基线检查概览（最近检查时间、检查统计、通过率、主要风险）：

hcloud HSS ShowBaselineOverview --cli-region={region} --project_id={project_id}

显示基线统计信息：

hcloud HSS ShowBaselineStatistic --cli-region={region} --project_id={project_id}

列出受指定基线检查规则影响的主机：

hcloud HSS ListHostCheckRules --cli-region={region} --project_id={project_id} \
  --check_name={check_name} --standard={cn_standard|hw_standard} --host_id={host_id} \
  [--check_rule_name={rule_name}] [--limit=10] [--offset=0]

⚠️ --standard 为必填参数。

显示指定主机的安全检查报告：

hcloud HSS ShowSecurityCheckHostReport --cli-region={region} --project_id={project_id} \
  --host_id={host_id} --scan_time={scan_time_ms}

⚠️ --scan_time 为必填参数（毫秒级时间戳）。

显示风险配置详情：

hcloud HSS ShowRiskConfigDetail --cli-region={region} --project_id={project_id} \
  --check_name={check_name} --standard={cn_standard|hw_standard} \
  [--host_id={host_id}]

⚠️ --standard 为必填参数（cn_standard=等保合规标准，hw_standard=云安全实践标准）。

4. 入侵告警 — 木马和恶意软件（木马/恶意软件告警）

按事件类型、严重程度和处理状态筛选并查询告警事件历史记录：

hcloud HSS ListEventHandleHistory --cli-region={region} --project_id={project_id} \
  [--event_type={event_type}] [--event_class_ids.1={event_class_id}] \
  [--severity={critical|high|medium|low}] [--handle_status={handled|unhandled}] \
  [--host_ip={ip}] [--host_name={name}] [--attack_tag={tag}] \
  [--asset_value={important|common|test}] [--limit=10] [--offset=0]

恶意软件常见的 event_class_id：

event_class_id	描述
av_1002	病毒
av_1003	蠕虫
av_1004	木马
av_1005	僵尸网络
av_1006	后门
av_1010	Rootkit
av_1011	勒索软件
av_1015	Webshell
av_1016	挖矿软件

列出主机防护历史记录：

hcloud HSS ListHostProtectHistoryInfo --cli-region={region} --project_id={project_id} \
  --start_time={start_time_ms} --end_time={end_time_ms} [--limit=10] [--offset=0] \
  [--host_id={host_id}] [--file_path={path}]

⚠️ --start_time / --end_time 为必填参数（毫秒级时间戳，间隔不超过 30 天）；--host_id 可选。

列出受防病毒保护的主机：

# List antivirus-protected hosts (scan_type: quick/full; start_type: now/period)
hcloud HSS ListAntiVirusHost --cli-region={region} --project_id={project_id} \
  --limit=10 --offset=0 --scan_type={quick|full} --start_type={now|period} \
  [--host_id={host_id}] [--policy_id={policy_id}]

⚠️ --limit / --offset / --scan_type / --start_type 为必填参数。 --scan_type 枚举：quick（快速扫描）/ full（全盘扫描）；--start_type 枚举：now（立即启动）/ period（周期启动）。其他值（如 all/manual/auto）会被 API 静默忽略并返回空结果。

5. 入侵告警 — 暴力破解（暴力破解告警）

查询暴力破解攻击事件（login_0001 = 尝试，login_0002 = 成功）：

hcloud HSS ListEventHandleHistory --cli-region={region} --project_id={project_id} \
  --event_class_ids.1=login_0001 --event_class_ids.2=login_0002 \
  [--severity={critical|high|medium|low}] [--handle_status={handled|unhandled}] \
  [--host_ip={ip}] [--limit=10] [--offset=0]

列出弱密码检测结果：

hcloud HSS ListWeakPasswordUsers --cli-region={region} --project_id={project_id} \
  [--host_id={host_id}] [--limit=10] [--offset=0]

6. 登录审计日志（登录审计日志）

查询常用登录 IP：

hcloud HSS ListLoginCommonIp --cli-region={region} --project_id={project_id} \
  [--ip_addr={ip}]

查询常用登录地点：

hcloud HSS ListLoginCommonLocation --cli-region={region} --project_id={project_id} \
  [--area_code={area_code}]

⚠️ 这两个操作仅支持 --ip_addr / --area_code 过滤器（实测不支持 --host_id / --limit / --offset），不可添加分页参数。

7. 风险诊断（风险诊断）

查询整体风险评分：

hcloud HSS ShowRiskScore --cli-region={region} --project_id={project_id}

查询指定主机的风险状态：

hcloud HSS ListHostsRisk --cli-region={region} --project_id={project_id} \
  --host_id_list.1={host_id_1}

8. 更新告警处置状态（告警处置）— ⚠️ 会修改数据，需要确认

处置告警事件（标记为已处理、忽略等）：

hcloud HSS ChangeEvent --cli-region={region} --project_id={project_id} \
  --operate_event_list.1.event_class_id={event_class_id} \
  --operate_event_list.1.event_id={event_id} \
  --operate_event_list.1.event_type={event_type} \
  --operate_event_list.1.occur_time={occur_time_ms} \
  --operate_type={operate_type}

⚠️ --operate_type 是顶层参数（不属于 operate_event_list 数组）；数组中的 event_class_id/event_id/event_type/occur_time 均为必填项。

ChangeEvent 的 operate_type 值：

• mark_as_handled — 标记为已处理（标记已处理）
• ignore — 忽略（忽略）
• add_to_alarm_whitelist — 加入告警白名单（加入告警白名单）
• add_to_login_whitelist — 加入登录白名单（加入登录白名单）
• unhandle — 恢复为未处理（恢复未处理）
• do_not_ignore — 取消忽略（取消忽略）
• remove_from_alarm_whitelist — 从告警白名单中删除（删除告警白名单）
• remove_from_login_whitelist — 从登录白名单中删除（删除登录白名单）

⚠️ ⛔ isolate_and_kill（隔离查杀）、do_not_isolate_or_kill 虽为 API 支持的值，但本技能明确不执行隔离/杀毒等高危操作，AI 不得使用。

更新漏洞处置状态：

hcloud HSS ChangeVulStatus --cli-region={region} --project_id={project_id} \
  --operate_type={ignore|not_ignore|immediate_repair|manual_repair|verify|add_to_whitelist} \
  --data_list.1.vul_id={vul_id} --host_data_list.1.host_id={host_id}

⚠️ 漏洞与主机通过 --data_list.[N].vul_id + --host_data_list.[N].host_id 关联传递（没有顶层 --vul_id/--host_id 参数）。

⚠️ ChangeEvent 和 ChangeVulStatus 都会修改数据。执行前务必先征求用户确认。

参数确认

参数	必填	说明	示例
--cli-region	是	目标区域	{your-region}
--project_id	是	项目 ID（如省略则自动检测）	从 CLI 配置文件自动获取
--host_id	否	按主机 ID 筛选	xxxxxxxx-xxxx-xxxx
--severity	否	风险严重性筛选条件	critical、high、medium、low
--type	否	漏洞类型	linux_vul、windows_vul、web_cms
--repair_priority	否	漏洞修复优先级	critical、high、medium、low
--handle_status	否	告警处置状态筛选条件	handled、unhandled
--event_class_ids.N	否	事件类别 ID 筛选条件（带索引）	av_1004（木马）
--limit	否	页面大小（默认值为 10）	10
--offset	否	页面偏移量（默认值为 0）	0
--enterprise_project_id	否	企业项目筛选条件	0 表示默认值
--asset_value	否	资产重要性筛选条件	important、common、test

输出格式

所有命令默认返回 JSON。对于巡检报告，该技能会将多个查询结果汇总为结构化风险摘要：

{
  "inspection_time": "2026-08-28T10:00:00Z",
  "region": "{region}",
  "host_summary": { "total": 10, "protected": 8, "at_risk": 3 },
  "vulnerabilities": { "critical": 2, "high": 5, "medium": 12, "low": 8 },
  "baselines": { "pass_rate": "85%", "failed_rules": 7 },
  "alerts": { "unhandled_trojan": 1, "unhandled_brute_force": 3 },
  "risk_score": 72,
  "recommendations": ["Fix 2 critical vulnerabilities on host xxx", "Handle 1 unhandled trojan alert"]
}

参考文档

• references/cli-installation-guide.md — hcloud CLI 安装和身份验证
• references/iam-policies.md — HSS 最小权限 IAM 策略
• references/verification-method.md — 验证和测试方法
• references/dataflow-diagram.md — 数据流图
• references/acceptance-criteria.md — 验收标准
• references/hss-event-class-reference.md — HSS 事件类别 ID 参考

KooCLI 命令格式规范

hcloud HSS ListHostStatus --cli-region={region} --project_id={project_id} [--key=value ...]

特性	说明	示例
服务名称	HSS（准确的 KooCLI 服务名称）	HSS
操作名称	PascalCase	ListHostStatus、ShowVulStatics、ChangeEvent
区域参数	--cli-region=<value>	--cli-region={region}
简单参数	--key=value	--host_id=xxx
带索引参数	--key.1=value1	--host_id_list.1=xxx