Paramètres de protection des hôtes Défense proactive Détection et suppression des webshells Détection adaptative des menaces - Security Center

Security Center propose des fonctionnalités de sécurité telles que la défense contre les comportements malveillants sur les hôtes, la protection anti-ransomware (capture par leurre) et la défense contre les connexions via webshell. Cette rubrique décrit les fonctionnalités de protection des hôtes, les restrictions liées aux éditions et les méthodes de configuration.

Défense proactive

Security Center intercepte automatiquement les virus courants, les connexions réseau malveillantes et les connexions via webshell, et déploie des fichiers leurres pour capturer les ransomwares. Voici le détail de chaque sous-fonctionnalité.

Malicious Host Behavior Prevention

Éditions prises en charge : Anti-virus, Advanced Edition, Enterprise et Ultimate
Présentation : Intercepte et supprime automatiquement les virus réseau courants, notamment les ransomwares, les chevaux de Troie DDoS, les programmes de minage, les logiciels malveillants, les portes dérobées et les vers. Cette fonctionnalité est activée par défaut après l'achat de Security Center ; tous les serveurs sont automatiquement inclus dans le périmètre de détection.
Remarque
- Les virus infectieux intègrent du code malveillant dans des fichiers de programme normaux. Lorsqu'un grand nombre de programmes normaux sont infectés, ils sont détectés comme étant des hôtes compromis. Ces virus peuvent compromettre les processus système ; leur arrêt peut entraîner des risques pour la stabilité du système. Par conséquent, Security Center ne met pas automatiquement en quarantaine les virus infectieux. Vous devez les traiter manuellement.
- Pour créer des règles de défense différentes contre les comportements malveillants sur l'hôte pour différents serveurs, utilisez la fonctionnalité règles personnalisées.
Différences entre les éditions :
- Anti-virus et Advanced Edition : Bloque automatiquement les virus courants tels que les ransomwares et les programmes de minage.
- Enterprise et Ultimate : Intercepte les événements d'intrusion à grande échelle en se basant sur les scénarios d'attaque populaires du framework ATT&CK et les applications de service courantes, bloque le comportement de chiffrement des ransomwares et prend en charge les règles de défense personnalisées. Pour plus d'informations, consultez la section Gestion des règles d'hôte.

Anti-Ransomware (Bait Capture)

Éditions prises en charge : Anti-virus, Advanced Edition, Enterprise et Ultimate
Présentation : Déploie des fichiers leurres sur les serveurs pour capturer les nouveaux types de ransomwares et active automatiquement les défenses en fonction de l'analyse du comportement des virus. Les fichiers leurres servent uniquement à la détection et n'affectent pas vos opérations commerciales normales.
Emplacements des fichiers leurres : Après avoir activé la fonctionnalité de protection anti-ransomware (capture par leurre), Security Center crée des dossiers leurres masqués sur vos serveurs. Les chemins courants incluent le dossier !aegis (situé dans le répertoire racine de chaque lecteur ou dans un répertoire clé) et /root/.aegis/!~readme.txt. Ces fichiers et dossiers servent uniquement à la détection des ransomwares et n'affectent pas les opérations commerciales normales.
Comportement après désactivation : Après avoir désactivé la fonctionnalité de protection anti-ransomware (capture par leurre), les dossiers leurres déjà créés (tels que !aegis) ne sont pas automatiquement supprimés. Vous pouvez supprimer manuellement ces dossiers, mais nous vous recommandons de les conserver pour maintenir les capacités de détection des ransomwares.
Recommandation : Avant de désactiver la fonctionnalité de protection anti-ransomware (capture par leurre) ou de supprimer manuellement les fichiers leurres, nous vous recommandons de créer un snapshot de disque à des fins de sauvegarde.

Webshell Connection Prevention

Éditions prises en charge : Enterprise et Ultimate
Présentation :
- Intercepte automatiquement les connexions anormales initiées par des pirates informatiques via des webshells connus et met automatiquement en quarantaine les fichiers associés.
- Activée par défaut après l'achat de l'édition Enterprise ou Ultimate. Tous les serveurs sont automatiquement inclus dans le périmètre de détection.

Malicious Network Behavior Prevention

Éditions prises en charge : Enterprise et Ultimate
Présentation : Intercepte les communications réseau entre vos serveurs et les sources malveillantes connues pour renforcer la protection de sécurité des serveurs.

User Experience Optimization in Proactive Defense

Éditions prises en charge : Anti-virus, Advanced Edition, Enterprise et Ultimate
Présentation : Lorsqu'un serveur s'arrête de manière inattendue ou que les capacités de défense de sécurité sont manquantes, collecte automatiquement les données Kdump pour l'analyse de la protection de sécurité afin d'améliorer continuellement les capacités de défense de Security Center.

Activer les capacités de défense

Remarque

Si toutes les fonctionnalités de la section Défense proactive sont désactivées, les virus détectés s'affichent sous forme d'alertes de sécurité nécessitant une intervention manuelle dans la console. Nous vous recommandons d'activer toutes les fonctionnalités de la section Défense proactive pour renforcer la sécurité de vos serveurs. Pour plus d'informations sur la gestion des alertes de sécurité, consultez la section Évaluer et gérer les alertes de sécurité.

Accédez à la console Security Center - Paramètres système - Paramètres des fonctionnalités. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland. Sélectionnez l'onglet System Configuration > Host Protection Settings. Dans la section Proactive Defense, activez les interrupteurs pour Malicious Host Behavior Prevention, Anti-Ransomware (Bait Capture), Webshell Connection Prevention et Malicious Network Behavior Prevention.
Cliquez sur Management à droite d'un type de défense proactive, sélectionnez le périmètre des serveurs sur lesquels l'interception des virus ou des comportements malveillants doit s'appliquer, puis cliquez sur OK.
(Facultatif) Cochez la case User Experience Optimization in Proactive Defense. L'activation de l'optimisation de l'expérience de défense proactive aide Security Center à obtenir des données de protection de sécurité lorsque les serveurs rencontrent des anomalies, améliorant ainsi les capacités de protection de sécurité. Nous vous recommandons de sélectionner cette option.

Consulter et gérer les alertes de défense

Consulter les alertes

Sur la page Detection and Response > Alert ou Agentic SOC > Alert, définissez la condition de recherche sur Handled et le type d'alerte sur Precise Defense ou Proactive Defense for Containers. Vous pouvez ensuite consulter les virus automatiquement interceptés par la fonctionnalité de défense proactive dans l'onglet CWPP.
Suggestions de gestion

Après avoir activé les fonctionnalités de prévention des comportements malveillants sur l'hôte, de protection anti-ransomware (capture par leurre) et de défense contre les connexions via webshell de la défense proactive, certains programmes peuvent faire l'objet de faux positifs ou ne pas pouvoir être mis en quarantaine. Pour plus d'informations sur la gestion de ces problèmes, consultez la section Évaluer et gérer les alertes de sécurité.
- Si un fichier est mis en quarantaine en raison d'un faux positif, vous pouvez restaurer le fichier depuis la liste de quarantaine.
- Pour les événements qui n'ont pas pu être mis en quarantaine, vous pouvez les mettre manuellement en quarantaine dans l'onglet CWPP de Detection and Response > Alert ou Agentic SOC > Alert.

Détection et suppression des webshells

Security Center utilise son moteur de détection propriétaire pour détecter les webshells et les chevaux de Troie dans les serveurs web et les répertoires web. Il combine une détection statique périodique avec une détection dynamique et propose une mise en quarantaine manuelle en un clic. L'agent Security Center effectue la détection des webshells uniquement après que la détection et la suppression des webshells ont été activées pour le serveur.

Éditions prises en charge : L'édition Free prend en charge la détection de seulement certains types de webshells. Les autres éditions payantes prennent en charge la détection de tous les types de webshells.

Remarque
Pour une détection plus complète des webshells, nous vous recommandons de mettre à niveau vers l'édition Anti-virus, Advanced Edition, Enterprise ou Ultimate.
Description de la fonctionnalité :
- Effectue une analyse statique complète des répertoires web quotidiennement et déclenche automatiquement des analyses dynamiques lorsque les fichiers des répertoires web changent.
- Vous permet de configurer le périmètre des ressources pour la détection des webshells.
- Vous permet de mettre en quarantaine, de restaurer et d'ignorer les fichiers webshell détectés.

Désactiver la détection et la suppression des webshells

Security Center active par défaut la détection et la suppression des webshells pour tous les serveurs sur lesquels l'agent est installé. Nous vous recommandons d'activer cette détection pour tous les serveurs qui fournissent des services web accessibles publiquement. Si un serveur se trouve sur un réseau interne complètement isolé, vous pouvez désactiver la détection et la suppression des webshells pour ce serveur en suivant les étapes ci-dessous.

Accédez à la console Security Center - Paramètres système - Paramètres des fonctionnalités. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.
Sélectionnez l'onglet System Configuration > Host Protection Settings. Dans la section Webshell Detection and Removal, cliquez sur Management.
Dans le panneau Configure Servers for Webshell Detection and Removal, décochez les cases correspondant aux serveurs pour lesquels vous souhaitez désactiver la détection et la suppression des webshells, puis cliquez sur OK.

Consulter et gérer les alertes de webshell

Consulter les alertes

Sur la page Detection and Response > Alert ou Agentic SOC > Alert, définissez le type d'alerte dans la condition de recherche sur Webshell. Dans l'onglet CWPP, vous pouvez consulter les alertes de webshell associées dans la liste des alertes.
Suggestions de gestion

Les alertes de webshell non gérées peuvent représenter des menaces graves pour la sécurité des ressources. Pour plus d'informations sur leur gestion rapide, consultez la section Évaluer et gérer les alertes de sécurité. Les méthodes de gestion pour les utilisateurs des différentes éditions sont les suivantes :
- Utilisateurs de l'édition Free : La fonctionnalité de gestion en un clic n'est pas prise en charge. Vous devez d'abord mettre à niveau vers une édition payante.
- Édition Anti-virus et supérieures : Prend en charge la mise en quarantaine en un clic des fichiers webshell détectés dans la console.

Détection adaptative des menaces

La détection adaptative des menaces est désactivée par défaut et doit être activée manuellement. Après activation, le système effectue les actions suivantes :

Déclenche automatiquement le mode strict : Lorsque le système détecte qu'un serveur présente des problèmes à haut risque (c'est-à-dire qu'il génère des alertes de gravité élevée), il active automatiquement le « Mode d'alerte strict » pour ce serveur pendant sept jours.
Mécanisme de protection complet : En mode strict, toutes les règles de protection de sécurité et tous les moteurs de sécurité sont activés pour alerter sur tout comportement d'intrusion suspect et les menaces potentielles, permettant ainsi de capturer plus complètement les traces d'intrusion des pirates informatiques.
Persistance du mode : Si vous modifiez manuellement le mode de protection d'un serveur pendant la période de validité de sept jours, le système ne désactive plus automatiquement le mode strict après l'expiration des sept jours. Il conserve plutôt le statut de protection défini manuellement.

Restrictions liées aux éditions

Seules les éditions suivantes prennent en charge la détection adaptative des menaces :

Abonnement : Enterprise ou Ultimate (Si votre édition actuelle ne prend pas en charge cette fonctionnalité, mettez à niveau).

Remarque
L'édition de protection du serveur doit être définie sur l'édition que vous avez achetée. Pour plus d'informations, consultez la section Associer une édition de protection de serveur.
Paiement à l'utilisation : Le service Host and Container Security en paiement à l'utilisation est activé (S'il n'est pas activé, effectuez un achat).

Remarque
Le niveau de protection du serveur doit être défini sur Comprehensive Host Protection ou Full Protection for Hosts and Containers. Pour plus d'informations, consultez la section Associer un niveau de protection de serveur.

Activer la détection adaptative des menaces

Accédez à la console Security Center - Paramètres système - Paramètres des fonctionnalités. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.
Sélectionnez l'onglet System Configuration > Host Protection Settings. Dans la section Adaptive Threat Detection Capability, activez son interrupteur.
Première autorisation : Si vous activez cette fonctionnalité pour la première fois et n'avez pas autorisé Security Center, la page vous invite à compléter l'autorisation.
- Une fois l'autorisation réussie, Resource Access Management (RAM) crée automatiquement un rôle lié au service.
- Security Center utilise ce rôle pour accéder aux ressources d'autres services cloud afin de fournir une protection de sécurité. Pour plus d'informations, consultez la section Rôles liés au service.

Paramètres d'alerte

Comparaison des modes d'alerte

Security Center propose plusieurs modes d'alerte pour répondre aux exigences de sécurité de différents scénarios commerciaux. Par défaut, le mode Équilibré est activé pour tous les serveurs connectés.

Élément de comparaison	Mode équilibré (par défaut)	Mode strict
Fonctionnalités	Taux de faux positifs faible : Optimisé grâce à des tests complets réalisés par les experts d'Alibaba Cloud. Taux de détection élevé : Détecte autant de risques suspects que possible tout en garantissant moins de faux positifs. Bien équilibré : Équilibre la sécurité et la stabilité commerciale.	Haute sensibilité : Règles de détection plus strictes couvrant davantage de comportements suspects. Taux de détection élevé : Peut découvrir davantage de menaces potentielles cachées ou subtiles. Risque de faux positifs : Peut identifier des comportements commerciaux normaux comme étant anormaux.
Scénarios applicables	Surveillance opérationnelle quotidienne. Scénarios avec des exigences élevées en matière de continuité commerciale. La plupart des protections de serveur routinières.	Pendant les périodes de protection critiques (telles que les événements majeurs ou la sécurité pendant les vacances). Phase d'enquête intensive après une attaque. Ressources centrales extrêmement sensibles à la sécurité et pouvant tolérer un certain nombre de faux positifs.

Modifier le mode d'alerte pour les serveurs

Accédez à la console Security Center - Paramètres système - Paramètres des fonctionnalités. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.
Sélectionnez l'onglet System Configuration > Host Protection Settings. Dans la section Paramètres d'alerte, cliquez sur Management à droite de Mode strict.
Effectuez l'une des opérations suivantes en fonction de vos besoins commerciaux, puis cliquez sur OK.
- Passer en mode strict : Sélectionnez les serveurs cibles pour lesquels vous souhaitez activer le Mode strict.
- Revenir au mode équilibré : Décochez les cases des serveurs qui sont déjà en Mode strict.