CAS云计算管理平台V7.0 (E0718P03)未安装恶意代码防护软件

1、Wazuh（HIDS 主机入侵检测，免费开源，等保认可度最高）

• 能力：日志审计、文件完整性监控 FIM、rootkit 检测、暴力破解检测、异常行为告警、漏洞基线检查，满足【主机入侵防护】测评项；自带集成 ClamAV 病毒扫描能力。
• 部署架构：单独搭建一台管理虚拟机作为 Wazuh Server；CVK 宿主机、业务虚拟机只安装轻量 Agent。
• 优势：Agent 轻量、无内核驱动冲突风险；H3Linux 基于 CentOS7 衍生，agent 可直接兼容；只做检测告警，默认不自动阻断，不会误杀 CAS 核心进程。
• 注意：不要在 CVK 宿主机上部署 Wazuh 服务端，仅安装 agent。

2、ClamAV（开源免费恶意代码查杀，病毒库持续更新，满足恶意代码防护）

• 能力：Linux ELF 病毒、木马、恶意脚本扫描；支持离线病毒库升级；仅文件扫描，无内核实时防护（这点对 CVK 宿主机非常安全）。
• 推荐用法：
  • CVK 宿主机：仅定时手工 / 脚本扫描，关闭实时 on-access 实时监控（实时监控会大量扫描虚拟磁盘，IO 风暴，虚拟机卡顿）。
  • 业务虚拟机：可按需开启实时扫描，配置目录排除。

备选轻量方案：OSSEC（HIDS）

老牌开源 HIDS，功能和 Wazuh 接近，文件完整性监控、入侵告警；社区维护稳定，资源占用更小，适合低配环境。缺点可视化界面弱，告警能力弱于 Wazuh。

❌不推荐：带内核驱动、实时拦截类杀毒（如传统 Linux 杀毒），直接安装在 CVK 宿主机大概率导致 CAS 虚拟化异常。

二、CVK 宿主机（H3Linux）部署硬性约束（重中之重，防止平台故障）

1. 目录排除清单（必须配置，否则 CAS 崩溃） ClamAV/Wazuh 扫描配置，一定要排除下面目录

2. CVK 宿主机禁止开启实时文件拦截 / 实时 on-access 扫描，只能定时触发按需扫描；扫描任务安排在业务低峰期（凌晨）。
3. 不要修改 SELinux，H3Linux 定制 SELinux 策略，安全软件容易触发权限冲突。
4. 先在单台备用 CVK 节点做 72 小时压力验证，再批量上线生产 CVK，避免集群故障。

三、业务虚拟机防护（Windows/ Linux 虚拟机）

虚拟机内部可安装 ClamAV（Linux），Windows 虚拟机可使用 ClamWin；虚拟机不受 CVK 内核限制，可按需开启实时扫描，同样配置目录排除。

CAS 原生支持无代理杀毒（亚信 / 奇安信），但这个是商业授权，不是免费方案，本次整改不适用。

四、最简部署顺序（等保整改推荐）

1. 在 CAS 平台新建一台独立虚拟机，部署 Wazuh 服务端（CentOS7）。
2. 所有 CVK 宿主机安装 Wazuh Agent + ClamAV，关闭 ClamAV 实时监控，配置定时扫描 + 目录排除。
3. 所有业务虚拟机安装 Wazuh Agent，按需部署 ClamAV。
4. Wazuh 控制台统一接收告警，导出审计日志，输出等保测评需要的主机入侵检测、恶意代码检测日志。
5. 测评材料准备：导出扫描日志、告警记录、策略配置截图，证明具备恶意代码查杀 + 主机入侵检测。

五、补充说明 & 风险提示

1. 免费开源方案全部是检测告警模式（告警，不自动隔离阻断）；如果测评要求必须支持阻断，则开源方案不满足，需要采购商业主机安全。
2. H3 官方不支持在 CVK 宿主机安装第三方实时杀毒软件；如果安装，后续平台故障售后排查时，会要求临时卸载安全软件排查。
3. 替代思路（可选，减少 CVK 侧改动）：只给所有业务虚拟机部署防护，CVK 宿主机使用 HIDS（Wazuh）仅做入侵审计，不做病毒实时查杀，和测评机构沟通，宿主机作为虚拟化底层，不承载业务文件，仅做入侵行为监控，很多等保测评机构认可这种方案。

六、简易验证命令（CVK 宿主机）