Security Center:Install the Security Center agent

Droits d'exécution de script insuffisants

Symptôme : le système renvoie une erreur Permission denied lors de l'exécution du script d'installation.

Solution : basculez vers un compte disposant des droits d'administrateur ou root, puis exécutez à nouveau la commande d'installation.

Autoprotection

Symptôme : la réinstallation de l'agent Security Center échoue après la suppression d'un virus. Un message d'erreur indique que l'autoprotection est active et vous invite à la désinstaller ou à la désactiver au préalable dans la console Security Center.

Solution : redémarrez le serveur. Cette action désactive le processus d'autoprotection et permet l'installation de l'agent.

Processus de l'agent

Étapes de diagnostic : vérifiez que les deux processus principaux, AliYunDun et AliYunDunUpdate, sont en cours d'exécution.

• Linux : exécutez la commande ps -ef | grep AliYunDun pour effectuer la vérification.

• Windows : ouvrez le Task Manager et accédez à l'onglet Details ou Services pour localiser les processus et services associés.

Solution : redémarrez manuellement les processus de l'agent.

Connexion réseau

Étapes de diagnostic : assurez-vous que votre pare-feu ou votre groupe de sécurité autorise le trafic sortant vers les adresses IP ou les noms de domaine du service Security Center, tels que jsrv.aegis.aliyun.com ou update.aegis.aliyun.com. L'agent peut également passer hors ligne si le serveur ne parvient pas à se connecter au service Security Center.

Solution :

1. Vérifiez que le service DNS du serveur fonctionne correctement.

   Si le service DNS ne fonctionne pas, redémarrez le serveur ou dépannez le service DNS.

2. Vérifiez si des politiques d'accès réseau sont configurées sur le serveur.

   1. Règles ACL du pare-feu

      Ajoutez les adresses IP ou les noms de domaine du service Security Center à la liste d'autorisation de votre pare-feu afin d'autoriser l'accès réseau. Vous devez uniquement configurer des règles pour le trafic sortant.

      Remarque

      Si vous utilisez Alibaba Cloud Firewall, consultez Créer une politique de contrôle d'accès sortant pour le trafic d'un réseau interne vers Internet pour obtenir des instructions.

      Exemple de configuration de pare-feu (iptables) :

      # Allow access to the control service
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 80 -j ACCEPT
      
      # Allow access to the update service
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 80 -j ACCEPT
      

   2. Règles de groupe de sécurité Alibaba Cloud

      Si vous utilisez une instance ECS, consultez Gérer les groupes de sécurité pour connaître les étapes spécifiques.

      Remarque

      Autorisez le trafic sortant vers les plages CIDR de Security Center. Vous pouvez soit laisser le port non restreint, soit autoriser le trafic sur les ports 80 et 443.

      Voici un exemple de configuration pour la plage CIDR 100.100.0.0/16 :

      • Direction : Sortant

      • Politique d'autorisation : Autoriser

      • Type de protocole : TCP

      • Plage de ports : 80/443

      • Objet d'autorisation : 100.100.0.0/16

   3. Vérifier les pare-feu internes du serveur

      Outre les règles de groupe de sécurité Alibaba Cloud et les listes de contrôle d'accès (ACL) du pare-feu, le pare-feu interne du système d'exploitation du serveur (tel qu'iptables, firewalld ou Windows Firewall) peut également bloquer la communication entre l'agent et le point de terminaison du service Security Center. Si le dépannage de la connectivité réseau ne résout pas le problème, vérifiez la configuration du pare-feu interne sur le serveur.

      Linux - iptables/firewalld

      Étapes de diagnostic :

      • Exécutez iptables -L -n ou firewall-cmd --list-all pour afficher les règles de pare-feu actuelles.

      • Vérifiez s'il existe des règles qui bloquent les connexions sortantes vers les points de terminaison du service Security Center (tels que jsrv2.aegis.aliyun.com et update.aegis.aliyun.com).

      Solution :

      • Assurez-vous que le trafic sortant vers les adresses IP ou les noms de domaine du service Security Center est autorisé (ports 80 et 443).

      • Pour une vérification temporaire, vous pouvez désactiver le pare-feu interne à des fins de test :

        • iptables : iptables -F

        • firewalld : systemctl stop firewalld

      Windows Firewall

      Étapes de diagnostic :

      • Ouvrez Control Panel > Windows Defender Firewall et vérifiez les règles entrantes et sortantes pour détecter les règles qui bloquent la communication avec l'agent Security Center.

      • Ouvrez cmd ou PowerShell en tant qu'administrateur et exécutez netsh advfirewall firewall show rule name=all pour afficher toutes les règles de pare-feu.

      Solution :

      • Dans les règles sortantes, autorisez l'accès réseau pour l'agent Security Center (AliYunDun et AliYunDunUpdate), ou autorisez le trafic sortant vers les noms de domaine du service Security Center sur les ports 80 et 443.

      • Pour une vérification temporaire, exécutez netsh advfirewall set allprofiles state off dans une invite de commandes administrateur pour désactiver le pare-feu à des fins de test.

Ressources système

Étapes de diagnostic :

Vérifiez que le serveur dispose de ressources suffisantes. L'agent peut cesser de fonctionner si les ressources du serveur sont épuisées.

• CPU/Mémoire : utilisez top (Linux) ou le Task Manager (Windows) pour vérifier l'utilisation.

• Espace disque : utilisez df -h (Linux) ou This PC (Windows) pour vérifier l'espace disque restant.

Solution :

• Utilisation élevée des ressources

  • Si le processus AliYunDun est à l'origine du problème, contactez le support technique et fournissez les journaux pertinents.

  • Si d'autres processus métier sont à l'origine du problème, optimisez vos applications ou envisagez de mettre à niveau la configuration du serveur.

• Espace disque insuffisant : supprimez les fichiers inutiles pour libérer de l'espace disque.

Identifiants d'agent en double

Étapes de diagnostic : ce problème survient souvent lorsque vous créez plusieurs serveurs à partir de la même image système. Vérifiez si le champ uuid dans les fichiers de configuration suivants est dupliqué sur plusieurs serveurs.

• Linux : /usr/local/aegis/aegis_client.conf

• Windows :

  • 32 bits : C:\Program Files\Alibaba\aegis\aegis_client.conf

  • 64 bits : C:\Program Files (x86)\Alibaba\aegis\aegis_client.conf

Solution :

Avant de créer plusieurs images à partir d'un serveur modèle unique, désinstallez et nettoyez l'ancien agent, puis obtenez une nouvelle commande d'installation.

Conflits logiciels

Étapes de diagnostic : vérifiez si Huorong Security Software, 360 Safeguard ou tout autre système de détection d'intrusion basé sur l'hôte (HIDS), solution de détection et de réponse aux points de terminaison (EDR) ou logiciel antivirus est installé sur le serveur. Ces logiciels peuvent entrer en conflit avec l'agent Security Center. Si le logiciel de sécurité tiers a été désinstallé mais que l'agent ne parvient toujours pas à s'installer ou reste hors ligne, vérifiez la présence de fichiers et de services résiduels :

• Vérifiez si des services liés à Huorong ou à 360 restent présents dans la liste des services.

• Vérifiez si des dossiers résiduels existent dans les répertoires d'installation. Les chemins résiduels courants incluent :

  • Huorong : C:\Program Files\Huorong

  • 360 : C:\Program Files\360

Solution :

1. Fermez le programme principal du logiciel de sécurité tiers.

2. Utilisez le programme de désinstallation intégré du logiciel. Pour désinstaller Huorong Security Software, exécutez uninst.exe dans le répertoire d'installation. Pour désinstaller 360 Safeguard, utilisez le Control Panel.

3. Si une désinstallation précédente anormale, telle que la suppression directe du répertoire d'installation, a laissé des fichiers ou des services résiduels, réinstallez le logiciel de sécurité par-dessus l'installation existante. Ensuite, utilisez à nouveau le programme de désinstallation intégré. Pour Huorong, exécutez à nouveau uninst.exe.

4. Redémarrez le serveur.

5. Vérifiez que les fichiers et services résiduels ont été supprimés. Assurez-vous que la liste des processus, la liste des services et les répertoires d'installation ne contiennent plus d'éléments résiduels du logiciel de sécurité, et confirmez que le processus de l'agent Security Center AliYunDun est à nouveau en cours d'exécution.

6. Pour un serveur Linux, utilisez aegis_checker.bin pour exécuter des diagnostics et analyser les journaux si l'installation échoue toujours avec une erreur de téléchargement de fichier ou parce qu'un logiciel antivirus la bloque après la désinstallation de l'antivirus. Utilisez la même procédure si des composants résiduels restreignent toujours l'accès à /usr/local/aegis. Pour les diagnostics basés sur la console, consultez Dépannage de l'agent.

7. Téléchargez le script de désinstallation correspondant au type de serveur :

   • Instance ECS :

     wget http://update2.aegis.aliyun.com/download/uninstall.sh

   • Serveur non Alibaba Cloud :

     wget http://update.aegis.aliyun.com/download/uninstall.sh

8. Après avoir utilisé le script de désinstallation, vérifiez si /usr/local/aegis existe. Supprimez /usr/local/aegis uniquement après avoir confirmé qu'il s'agit de fichiers résiduels de l'agent Security Center désinstallé.

9. Exécutez à nouveau la commande d'installation de l'agent.

Une fois l'agent Security Center installé, vous pouvez redémarrer ou réinstaller le logiciel de sécurité tiers d'origine selon vos besoins.

Journaux de l'agent

Étapes de diagnostic : examinez les journaux de l'agent pour identifier les messages d'erreur spécifiques. Les fichiers journaux se trouvent dans les répertoires suivants :

• Linux : /usr/local/aegis/aegis_client/aegis_12_xx/data/.

  Remarque

  L'espace réservé aegis_xx_xx représente le répertoire de version de l'agent en cours d'exécution. Pour trouver le chemin exact, vérifiez la sortie de la commande ps -ef|grep AliYunDun.

• Windows : C:\Program Files (x86)\Alibaba\Aegis\aegis_client\aegis_12_xx\data\.

Solution :

Dépannez le problème en vous basant sur les messages d'erreur contenus dans les journaux. Si vous ne parvenez pas à résoudre le problème, contactez le support technique et fournissez les fichiers journaux complets.