Security Center:FAQ sur Asset Center

Comment dissocier (libérer) une ressource non Alibaba Cloud ?

Si un serveur non Alibaba Cloud ne nécessite plus de protection, dissociez-le manuellement dans Security Center. Pour obtenir des instructions, consultez Gérer le statut de protection du serveur.

Une fois le serveur dissocié, Security Center ne le protège plus. Aucune donnée relative à cette ressource, y compris les alertes, les vulnérabilités et les informations sur les attaques, n'est disponible dans la console Security Center.

Comment Security Center dissocie-t-il un serveur ECS Alibaba Cloud ?

Security Center ne permet pas de dissocier un serveur ECS Alibaba Cloud. Un serveur ECS Alibaba Cloud acheté reste dans la liste des serveurs avec le statut Hors ligne, même après la désinstallation de l'agent Security Center. Le serveur est supprimé de la liste uniquement après sa libération dans la console ECS.

Deux serveurs aux informations identiques apparaissent dans la liste des serveurs : l'un en ligne, l'autre hors ligne

Symptômes du problème

Après avoir réinstallé le système d'exploitation et l'agent Security Center sur un serveur non Alibaba Cloud, deux serveurs identiques apparaissent dans la liste : l'un est en ligne et l'autre est hors ligne.

Cause

Pour un serveur non Alibaba Cloud, Security Center utilise l'UUID de l'agent comme identifiant unique. La réinstallation du système d'exploitation et de l'agent génère un UUID différent du précédent, ce qui explique pourquoi la console affiche deux enregistrements pour le même serveur.

Solution

Dissociez le serveur hors ligne dans la liste des serveurs. La dissociation libère son quota, que vous pouvez utiliser pour associer un nouveau serveur. Pour savoir comment dissocier un serveur non Alibaba Cloud, consultez Dissocier les serveurs non Alibaba Cloud.

Pourquoi une erreur operation not permitted se produit-elle lors de l'exécution d'une commande ou de l'arrêt d'un processus sur un hôte ?

Vérifiez les causes possibles suivantes.

• Autorisations insuffisantes

  Assurez-vous que l'utilisateur actuel est root. Si l'utilisateur actuel n'est pas root, basculez vers root avant d'effectuer l'opération.

• Interception par l'autoprotection de l'agent

  Le processus d'autoprotection de l'agent (AliSecGuard) peut intercepter les tentatives d'arrêt d'un processus ou de modification de fichiers liés à l'agent Security Center. La console affiche alors une alerte de sécurité. Désactivez l'autoprotection de l'agent dans la console avant de réessayer l'opération. Procédez comme suit :

  • Désactiver l'autoprotection de l'agent pour un hôte spécifique

    1. Connectez-vous à la console Security Center. Dans la section Asset Center > Host de la liste des ressources, sélectionnez le serveur pour lequel vous souhaitez désactiver l'autoprotection de l'agent.

    2. Dans la colonne Actions, cliquez sur View pour ouvrir la page des détails de la ressource. Sous l'onglet Basic Information, sélectionnez le sous-onglet Defense Status, puis désactivez Self-Protection Status.

  • Désactiver l'autoprotection de l'agent pour tous les hôtes

    1. Connectez-vous à la console Security Center. Accédez à System Configuration > Feature Settings, sélectionnez l'onglet Settings, puis sélectionnez le sous-onglet Agent Settings.

    2. Dans la section Agent Protection, désactivez Defense Mode:.

• L'opération a déclenché une règle de détection de logiciels malveillants de Security Center et est bloquée par la défense contre les comportements malveillants de l'hôte (processus AliHips).

  La défense contre les comportements malveillants de l'hôte peut bloquer l'exécution de certaines commandes ou actions si elles déclenchent une règle de détection de logiciels malveillants de Security Center. La console affiche une alerte de sécurité correspondante dans Detection and Response > Security Alerts > Precision Defense. Vous pouvez procéder comme suit :

  • Ajoutez l'alerte bloquée à la liste d'autorisation via Malicious Host Behavior Prevention. Pour obtenir des instructions, consultez Créer des règles de défense personnalisées.

  • Accédez à System Configuration > Feature Settings, sélectionnez l'onglet Settings, puis sélectionnez le sous-onglet Protection Settings. Désactivez Malicious Host Behavior Prevention.

Pourquoi la gestion des quotas affiche-t-elle un nombre négatif de cœurs utilisés ou actifs ?

Un nombre négatif de cœurs utilisés ou actifs dans la gestion des quotas (par exemple, active -220 cores) indique généralement que le nombre total de cœurs des serveurs actuellement connectés dépasse le quota effectif. Cela peut aussi résulter d'un écart de calcul suite à un ajustement de quota, tel qu'une rétrogradation ou une résiliation d'abonnement.

Comparez le nombre total de cœurs des serveurs actuellement connectés au quota acheté et effectif.

Comment résoudre un délai d'expiration de session de connexion à un site web ou un message d'accès restreint ?

Un délai d'expiration de session de connexion à un site web ou un message d'accès restreint est généralement dû aux restrictions de connexion du site, aux règles de code ou à des fichiers endommagés, plutôt qu'à un blocage direct par Security Center. Résolvez le problème dans l'ordre suivant :

1. Vérifiez la politique de restriction de connexion du site web et les règles de code.

2. Si vous soupçonnez que des logiciels malveillants ont endommagé des fichiers, désinstallez et réinstallez l'agent Security Center, puis exécutez une analyse antivirus.

3. Si des fichiers personnalisés du site web sont confirmés comme étant endommagés, réparez le code du site web.

Un serveur peut-il rejoindre plusieurs groupes de serveurs ?

Non. Un serveur ne peut appartenir qu'à un seul groupe de serveurs (groupe de ressources) et ne peut pas rejoindre plusieurs groupes de serveurs.

Si vous souhaitez classer les serveurs selon plusieurs dimensions, utilisez la fonctionnalité tag. Un serveur peut avoir plusieurs tags. Utilisez Manage Server Groups pour déterminer l'appartenance unique d'un serveur, et Manage Server Tags pour une classification multidimensionnelle. Choisissez une méthode de gestion en fonction des différences entre ces deux fonctionnalités.

Pourquoi Security Center n'enregistre-t-il pas les journaux de connexion SSH ?

Résolvez le problème dans l'ordre suivant :

1. Connectez-vous au serveur et vérifiez le journal système local (par exemple, /var/log/auth.log) pour confirmer qu'il contient des enregistrements de connexion SSH.

2. Si le journal local contient des enregistrements mais pas Security Center, vérifiez que l'agent Security Center fonctionne normalement.

3. Dans la console Security Center, accédez à Risk Governance > Log Analysis > Log Management Settings, et confirmez que l'interrupteur de livraison pour les événements de connexion et les autres types de journaux d'hôte est activé.