Security Center:Install the Security Center agent

Permisos insuficientes para ejecutar el script

Síntoma: el sistema devuelve un error Permission denied al ejecutar el script de instalación.

Solución: cambie a una cuenta con permisos de administrador o root y vuelva a ejecutar el comando de instalación.

Autoprotección

Síntoma: la reinstalación del agente de Security Center falla después de eliminar un virus. Un mensaje de error indica que la autoprotección está activa y le solicita desinstalarla o deshabilitarla primero en la consola de Security Center.

Solución: reinicie el servidor. Esta acción detiene el proceso de autoprotección y le permite instalar el agente.

Procesos del agente

Pasos de diagnóstico: compruebe que los dos procesos principales, AliYunDun y AliYunDunUpdate, se estén ejecutando.

• Linux: ejecute el comando ps -ef | grep AliYunDun para comprobarlo.

• Windows: abra el Task Manager y vaya a la pestaña Details o Services para buscar los procesos y servicios relacionados.

Solución: reinicie manualmente los procesos del agente.

Conexión de red

Pasos de diagnóstico: compruebe que su firewall o security group permita el tráfico saliente hacia las direcciones IP o los nombres de dominio del servicio de Security Center, como jsrv.aegis.aliyun.com o update.aegis.aliyun.com. El agente también puede quedar sin conexión si el servidor no logra comunicarse con el servicio de Security Center.

Solución:

1. Compruebe que el servicio DNS del servidor funcione correctamente.

   Si el servicio DNS no se está ejecutando, reinicie el servidor o solucione el problema del servicio DNS.

2. Revise si hay políticas de acceso de red configuradas en el servidor.

   1. Reglas ACL del firewall

      Agregue las direcciones IP o los nombres de dominio del servicio de Security Center a la lista de permitidos de su firewall para habilitar el acceso de red. Solo es necesario configurar reglas para el tráfico saliente.

      Nota

      Si utiliza Alibaba Cloud Firewall, consulte Create an outbound access control policy for traffic from an internal network to the Internet para ver las instrucciones.

      Ejemplo de configuración de firewall (iptables):

      # Allow access to the control service
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 80 -j ACCEPT
      
      # Allow access to the update service
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 80 -j ACCEPT
      

   2. Reglas del security group de Alibaba Cloud

      Si utiliza una instancia de ECS, consulte Manage security groups para ver los pasos específicos.

      Nota

      Permita el tráfico saliente hacia CIDR blocks de Security Center. Puede dejar el puerto sin restricciones o permitir el tráfico en los puertos 80 y 443.

      A continuación se muestra un ejemplo de configuración para el bloque CIDR 100.100.0.0/16:

      • Direction: Outbound

      • Authorization policy: Allow

      • Protocol type: TCP

      • Port range: 80/443

      • Authorization object: 100.100.0.0/16

   3. Revise los firewalls internos del servidor

      Además de las reglas del security group de Alibaba Cloud y las ACL del firewall, el firewall interno del sistema operativo del servidor (como iptables, firewalld o Windows Firewall) también podría bloquear la comunicación entre el agente y el endpoint del servicio de Security Center. Si la solución de problemas de conectividad de red no resuelve la situación, revise la configuración del firewall interno en el servidor.

      Linux - iptables/firewalld

      Pasos de diagnóstico:

      • Ejecute iptables -L -n o firewall-cmd --list-all para consultar las reglas actuales del firewall.

      • Compruebe si existen reglas que bloqueen las conexiones salientes hacia los endpoints del servicio de Security Center (como jsrv2.aegis.aliyun.com y update.aegis.aliyun.com).

      Solución:

      • Asegúrese de que se permita el tráfico saliente hacia las direcciones IP o los nombres de dominio del servicio de Security Center (puertos 80 y 443).

      • Para verificarlo temporalmente, deshabilite el firewall interno durante la prueba:

        • iptables: iptables -F

        • firewalld: systemctl stop firewalld

      Windows Firewall

      Pasos de diagnóstico:

      • Abra Control Panel > Windows Defender Firewall y revise las reglas de entrada y salida para identificar las que bloquean la comunicación con el agente de Security Center.

      • Abra cmd o PowerShell como administrador y ejecute netsh advfirewall firewall show rule name=all para consultar todas las reglas del firewall.

      Solución:

      • En las reglas de salida, permita el acceso de red para el agente de Security Center (AliYunDun y AliYunDunUpdate), o bien permita el tráfico saliente hacia los nombres de dominio del servicio de Security Center en los puertos 80 y 443.

      • Para verificarlo temporalmente, ejecute netsh advfirewall set allprofiles state off en un cmd con privilegios de administrador para deshabilitar el firewall durante la prueba.

Recursos del sistema

Pasos de diagnóstico:

Compruebe que el servidor cuente con recursos suficientes. El agente podría dejar de ejecutarse si se agotan los recursos del servidor.

• CPU/memoria: utilice top (Linux) o el Task Manager (Windows) para revisar el uso.

• Espacio en disco: utilice df -h (Linux) o This PC (Windows) para revisar el espacio restante en disco.

Solución:

• Uso elevado de recursos

  • Si la causa es el proceso AliYunDun, póngase en contacto con el soporte técnico y proporcione los registros correspondientes.

  • Si la causa son otros procesos de negocio, optimice sus aplicaciones o considere actualizar la configuración del servidor.

• Espacio insuficiente en disco: elimine los archivos innecesarios para liberar espacio.

ID de agente duplicados

Pasos de diagnóstico: este problema suele ocurrir cuando se crean varios servidores a partir de la misma imagen de sistema. Compruebe si el campo uuid de los siguientes archivos de configuración está duplicado en varios servidores.

• Linux: /usr/local/aegis/aegis_client.conf

• Windows:

  • 32 bits: C:\Program Files\Alibaba\aegis\aegis_client.conf

  • 64 bits: C:\Program Files (x86)\Alibaba\aegis\aegis_client.conf

Solución:

Antes de crear varias imágenes a partir de un único servidor de plantilla, desinstale y limpie el agente anterior, y luego obtain a new installation command.

Conflictos de software

Pasos de diagnóstico: compruebe si en el servidor está instalado Huorong Security Software, 360 Safeguard u otro software de sistema de detección de intrusiones basado en host (HIDS), de detección y respuesta en endpoints (EDR) o antivirus. Este tipo de software puede generar conflictos con el agente de Security Center. Si ya desinstaló el software de seguridad de terceros, pero el agente sigue sin instalarse o permanece sin conexión, busque archivos y servicios residuales:

• Revise si quedan servicios relacionados con Huorong o 360 en la lista de servicios.

• Compruebe si existen carpetas residuales en los directorios de instalación. Las rutas residuales más comunes incluyen:

  • Huorong: C:\Program Files\Huorong

  • 360: C:\Program Files\360

Solución:

1. Cierre el programa principal del software de seguridad de terceros.

2. Utilice el desinstalador integrado del software. Para desinstalar Huorong Security Software, ejecute uninst.exe en el directorio de instalación. Para desinstalar 360 Safeguard, use el Control Panel.

3. Si una desinstalación anómala previa, como eliminar directamente el directorio de instalación, dejó archivos o servicios residuales, reinstale el software de seguridad sobre la instalación existente. Después, vuelva a usar el desinstalador integrado. En el caso de Huorong, ejecute nuevamente uninst.exe.

4. Reinicie el servidor.

5. Compruebe que se hayan eliminado los archivos y servicios residuales. Asegúrese de que la lista de procesos, la lista de servicios y los directorios de instalación ya no contengan elementos residuales del software de seguridad. Además, confirme que el proceso del agente de Security Center AliYunDun se esté ejecutando de nuevo.

6. En un servidor Linux, utilice aegis_checker.bin para ejecutar diagnósticos y analizar registros si la instalación sigue fallando por un error de descarga de archivo o porque el antivirus la bloquea tras haberlo desinstalado. Siga el mismo procedimiento si los componentes residuales siguen restringiendo el acceso a /usr/local/aegis. Para realizar diagnósticos desde la consola, consulte Agent Troubleshooting.

7. Descargue el script de desinstalación que corresponda al tipo de servidor:

   • Instancia de ECS:

     wget http://update2.aegis.aliyun.com/download/uninstall.sh

   • Servidor fuera de Alibaba Cloud:

     wget http://update.aegis.aliyun.com/download/uninstall.sh

8. Después de usar el script de desinstalación, compruebe si existe /usr/local/aegis. Elimine /usr/local/aegis únicamente tras confirmar que es un residuo del agente de Security Center desinstalado.

9. Vuelva a ejecutar el comando de instalación del agente.

Una vez instalado el agente de Security Center, puede reiniciar o reinstalar el software de seguridad de terceros original según lo requiera.

Registros del agente

Pasos de diagnóstico: revise los registros del agente para identificar mensajes de error específicos. Los archivos de registro se encuentran en los siguientes directorios:

• Linux: /usr/local/aegis/aegis_client/aegis_12_xx/data/.

  Nota

  El marcador aegis_xx_xx representa el directorio de la versión del agente en ejecución. Para encontrar la ruta exacta, consulte la salida del comando ps -ef|grep AliYunDun.

• Windows: C:\Program Files (x86)\Alibaba\Aegis\aegis_client\aegis_12_xx\data\.

Solución:

Resuelva el problema con base en los mensajes de error de los registros. Si no logra solucionarlo, póngase en contacto con el soporte técnico y proporcione los archivos de registro completos.