Security Center:Configuration du client

Présentation de la fonctionnalité

Agent Protection est un mécanisme de protection intégré qui garantit le fonctionnement stable de l'agent Security Center. Il intercepte proactivement les opérations non autorisées, telles que la désinstallation et l'arrêt des processus, pour empêcher la désactivation de l'agent par des attaquants ou des processus anormaux. Ainsi, Security Center peut assurer une protection continue de vos serveurs.

• Principaux avantages

  • Prévention de la désinstallation malveillante : empêche les attaquants de supprimer l'agent de sécurité après avoir compromis un serveur.

  • Garantie de la stabilité des processus : protège les processus principaux de l'agent contre une terminaison accidentelle ou malveillante.

  • Continuité de la protection : évite les interruptions de la protection de sécurité causées par des défaillances de l'agent.

• Notes de compatibilité : cette fonctionnalité dépend de systèmes d'exploitation et versions de noyau spécifiques. Si l'environnement du serveur est incompatible, l'état de la fonctionnalité s'affiche sous la forme « Protection failed: incompatible kernel version » et la fonctionnalité ne prend pas effet.

Portée

• Limites liées à l'édition : cette fonctionnalité est disponible pour les utilisateurs gratuits et payants de Security Center.

• Limites liées au système d'exploitation et à la version du noyau : pour plus d'informations, consultez la section Annexe : Systèmes d'exploitation et versions de noyau pris en charge par Agent Protection.

Activer Agent Protection pour les serveurs

Une fois le mode de défense d'Agent Protection activé, la fonctionnalité est automatiquement appliquée aux serveurs sur lesquels l'agent est installé et qui se trouvent dans le périmètre de protection d'Agent Protection.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez System Configuration > Feature Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sélectionnez l'onglet Feature Settings > Agent Settings. Dans la section Agent Protection, activez l'interrupteur Defense Mode.

4. À droite de Protection Scope:, cliquez sur Management.

5. Dans le panneau Agent Protection, sélectionnez les serveurs pour lesquels vous souhaitez activer Agent Protection, puis cliquez sur OK.

   Remarque

   Une fois Self-Protection Status activé pour un serveur, le mécanisme d'autoprotection prend effet immédiatement. Après la désactivation d'Agent Protection pour un serveur, le mécanisme d'autoprotection est désactivé au bout de 5 minutes.

Afficher l'état d'Agent Protection

Vous pouvez utiliser la méthode suivante pour vérifier si Agent Protection est activé pour un serveur.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Asset Center > Host. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Localisez le serveur cible dans la liste des serveurs, puis cliquez sur son nom ou sur Actions dans la colonne View.

4. Sur la page des détails du serveur, cliquez sur l'onglet Basic Information > Details. Dans la section Defense Status, consultez l'état de Self-Protection Status.

Notes sur la désinstallation

Une fois Agent Protection activé, la désinstallation de l'agent est restreinte. Vous ne pouvez désinstaller l'agent que par les méthodes autorisées suivantes :

1. Désinstallation depuis la console : désinstallez directement l'agent dans la console Security Center.

2. Désinstallation sur le serveur : désactivez Agent Protection pour le serveur dans la console, puis désinstallez l'agent sur le serveur.

Présentation de la fonctionnalité

• Le moteur de détection de fichiers locaux est un moteur de détection des menaces sur les fichiers locaux développé en interne par Alibaba Cloud Security Center. Ce moteur réduit la surcharge de performance liée au téléchargement des données et aux échanges de données d'analyse basés sur le cloud, tout en offrant une efficacité de détection élevée.

• Lorsque vous activez cette fonctionnalité, les fichiers sont analysés en mode double moteur, combinant l'analyse locale et l'analyse basée sur le cloud. Le système utilise d'abord le moteur local pour analyser les fichiers. Si aucune menace n'est détectée, les fichiers sont téléchargés vers le cloud pour une confirmation secondaire, garantissant ainsi une détection complète.

Portée

• Abonnement : Enterprise ou Ultimate (si votre édition actuelle ne prend pas en charge cette fonctionnalité, effectuez une mise à niveau).

  Remarque

  L'édition de protection du serveur doit correspondre à l'édition que vous avez achetée. Pour plus d'informations, consultez la section Associer une édition de protection de serveur.

• Paiement à l'utilisation : le service Host and Container Security en paiement à l'utilisation est activé (s'il n'est pas activé, achetez-le).

  Remarque

  Le niveau de protection du serveur doit être défini sur Comprehensive Host Protection ou Full Protection for Hosts and Containers. Pour plus d'informations, consultez la section Associer un niveau de protection de serveur.

Activer la détection de fichiers locaux

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez System Configuration > Feature Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sélectionnez l'onglet Settings > Agent Settings. Dans la section Local File Detection Engine, activez l'interrupteur File Test.

4. À droite de Installation Scope, cliquez sur Management.

5. Dans le panneau Local File Detection Engine, sélectionnez les serveurs pour lesquels vous souhaitez activer la détection de fichiers locaux, puis cliquez sur OK.

Portée

• Abonnement : Enterprise ou Ultimate (si votre édition actuelle ne prend pas en charge cette fonctionnalité, effectuez une mise à niveau).

  Remarque

  L'édition de protection du serveur doit correspondre à l'édition que vous avez achetée. Pour plus d'informations, consultez la section Associer une édition de protection de serveur.

• Paiement à l'utilisation : le service Host and Container Security en paiement à l'utilisation est activé (s'il n'est pas activé, achetez-le).

  Remarque

  Le niveau de protection du serveur doit être défini sur Comprehensive Host Protection ou Full Protection for Hosts and Containers. Pour plus d'informations, consultez la section Associer un niveau de protection de serveur.

Activer la détection approfondie

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez System Configuration > Feature Settings. Dans l'angle supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sélectionnez l'onglet Settings > Agent Settings. Dans la section In-depth Detection Engine, activez l'interrupteur Depth Test.

4. À droite de Installation Scope, cliquez sur Management.

5. Dans le panneau In-depth Detection Engine, sélectionnez les serveurs pour lesquels vous souhaitez activer la détection approfondie, puis cliquez sur OK.

Modes de gestion des ressources

Configurer un mode de protection

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez System Configuration > Feature Settings. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sélectionnez l'onglet Feature Settings > Agent Settings. Dans la section Client Resource Management, repérez Smooth Mode ou Custom Mode, puis cliquez sur Management à droite.

4. Dans le panneau Smooth Mode ou Custom Mode, sélectionnez les serveurs pour lesquels vous souhaitez ajuster le mode de gestion des ressources de l'agent, puis cliquez sur OK.

   Chaque serveur ne peut utiliser qu'un seul des modes de gestion des ressources suivants : Smooth Mode et Custom Mode. Par exemple, si un serveur utilise actuellement le mode Smooth Mode et que vous lui configurez le mode Custom Mode, le mode de protection du serveur devient Custom Mode.

   Remarque

   En mode Custom Mode, davantage de types d'alertes sont détectés et le moteur de détection est plus sensible. Le nombre d'alertes générées augmente et le taux de faux positifs peut s'accroître. Nous vous recommandons de surveiller et de traiter les alertes en temps utile.

5. (Facultatif) Si le mode Custom est configuré pour un serveur, vous pouvez modifier les seuils d'utilisation de la mémoire et du CPU de ce serveur.

   Un seuil d'utilisation de la mémoire ou du CPU plus élevé offre une protection plus précise. Nous vous recommandons de définir des seuils appropriés.