HummerRisk 快速入门教程

1、一键部署

1. 部署服务器要求

操作系统要求：任何支持 Docker 的 Linux x64
CPU内存要求：最低要求 4C8G，推荐 8C16G
部署目录空间（默认/opt目录）要求： 50G
网络要求：可访问互联网（如遇内网环境，理论上除公有云安全检测、Github源码检测外，其他功能可照常使用）

2. 执行以下脚本进行一键安装：curl -sSL https://github.com/HummerRisk/HummerRisk/releases/latest/download/quick_start.sh -o quick_start.sh

3. HummerRisk 是一款 B/S 架构的产品，即浏览器/服务器结构，在服务器安装完成后，客户端通过浏览器访问以下地址，即可开始使用。

http://目标服务器 IP 地址：服务运行端口，例如：http: 82.157.130.20:80（默认端口为80，用户可在安装时自定义）
使用默认用户名 admin 密码 hummer 进行登录。

2、模块介绍

HummerRisk 主界面后可以看到界面左侧导航栏，有【首页】【混合云安全】【云原生安全】【任务编排】【检测管理】【系统设置】六大模块

3 、快速上手

3.1 场景一：混合云安全

3.1.1 绑定账号

添加/编辑云账号

进入云账号设置页面，首先需要绑定多云的账号信息（Access Key ID / Access Key Secret）。
点击左上角「创建云账号」按钮，可以添加云账号。
通过对应的云平台，获取账号信息（一般为AK/SK），填写信息并绑定，自动获取区域和认证等信息。
更详细的账号配置操作请参考多云检测

绑定完成后系统会自动校验账号的状态，状态显示为『有效』时即为绑定成功。
点击账号列表中操作按钮的第三个「编辑」，对已绑定的账号进行编辑。

云账号调参因为检测规则的参数可以灵活配置，不同的云账号可以有不同的安全合规标准，所以在此页面用户可以根据自身需求自定义规则的参数与任意区域。

通过账号列表第二个调参按钮，打开云账号调参页面。
保存参数后，执行检测将优先执行当前调参内容，而且在调参页面可以快速执行某一规则的某些区域快速检测。（注：不设置调参内容不影响检测，检测内容为内置默认参数和所有待检测区域）

3.1.2 执行检测

基于规则组进行检测

多云检测基于规则组进行场景检测的，例如检测 Aliyun ECS 最佳安全实践，将检测此规则组下一系列规则，达到覆盖场景的目的。有两种方式可以快速开始检测：
通过云账号列表第一个「一键检测」按钮选取多个规则组执行一键检测。
在规则组页面，选择希望执行的规则，选取某个云账号执行快速检测。

云资源检测结果

在点击上述一键检测后，将自动跳转云资源检测结果页面，检测结果将会显示正在执行。
等待检测执行完毕后获得检测结果的安全合规信息与优化建议。

漏洞检测主要用于扫描网络信息安全，通过设置目标地址信息即可。
绑定的目标地址可以是域名，也可以是 IP + 端口。

完成上述漏洞设置后，点击一键检测，将自动跳转漏洞检测结果页面，检测结果将会显示正在执行。
等待检测执行完毕后，获得检测结果的漏洞信息与优化建议。

3.1.3 查看报告

云资源合规报告

待云资源检测完毕后，根据检测结果生成合规报告，用户可查看和下载合规报告。详细的合规报告相关操作，请参考文档的多云检测

3.1.4 分析和审计

操作审计

云操作审计，帮助您监控并记录多云账号的活动，包括通过云控制台、OpenAPI、开发者工具对云上产品和服务的访问和使用行为。
用户可以查看这些行为事件，然后进行行为分析、安全分析、资源变更行为追踪和行为合规性审计等操作。

资源态势

根据绑定混合云账号信息，即可同步获取云资源汇总信息。
执行检测后，可以自动关联云资源态势信息，可以查看到具体哪些资源具有安全合规风险。

3.2 场景二：云原生安全

3.2.1 前置 K8s 配置

K8s 检测前置条件使用云原生 K8s 安全检测任务前需在 k8s 集群上安装 tirvy-operator

使用云原生 K8s 安全检测任务前需在 k8s 集群上安装 tirvy-operator
# 1.添加 chart 仓库
helm repo add hummer https://registry.hummercloud.com/repository/charts

# 2.更新仓库源
helm repo update

# 3.开始安装, 可以自定义应用名称和NameSpace
helm install trivy-operator hummer/trivy-operator \
 --namespace trivy-system \
 --set="image.repository=registry.cn-beijing.aliyuncs.com/hummerrisk/trivy-operator" \
 --create-namespace --set="trivy.ignoreUnfixed=true"

# 4.检测operator是否启动成功
kubectl get pod -A|grep trivy-operator
trivy-system   trivy-operator-69f99f79c4-lvzvs           1/1     Running            0          118s

K8s 账号添加校验

确定部署 hummerrisk 的主机可以访问该 k8s 集群的 6443 端口，需要网络可达、端口可以通，如果不通可以检查防火墙;
确定提供的 k8s Token 有足够的权限，hummerrisk 会通过该 Token 调用 k8s apiserver 的 api
k8s token 权限可以参考如下

创建 ServiceAccountcat

cat <<EOF > hummer-sa.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: hummer
  namespace: kube-system
EOF

创建 clusterrolebinding

cat <<EOF > hummer-clusterrolebinding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: hummer-user
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
  - kind: ServiceAccount
  name: hummer
  namespace: kube-system
EOF

创建资源

kubectl create -f ./hummer-sa.yaml
kubectl create -f ./hummer-clusterrolebinding.yaml

获取 token

# 获取 token
kubectl -n kube-system describe secret $(kubectl -n kube-system get secret | grep hummer | awk '{print $1}') | grep token: | awk '{print $2}'