Après l'installation de l'agent Security Center, celui-ci démarre des processus tels que AliYunDun et AliYunDunMonitor sur votre serveur afin de collecter les informations système et de détecter les menaces. Vérifiez l'état des processus pour déterminer si la protection de sécurité est active. Cette rubrique décrit en détail les fichiers et les processus de l'agent Security Center.
Architecture de l'agent
L'agent Security Center repose sur une architecture modulaire composée de processus résidents principaux et de processus fonctionnels. Cette structure garantit le fonctionnement stable des fonctionnalités de base et l'orchestration efficace des fonctionnalités avancées.
Processus résidents : Les processus
AliYunDun,AliYunDunMonitoretAliYunDunUpdatecommuniquent avec le serveur Security Center, maintiennent les signaux de présence (heartbeats), rapportent les données de sécurité de base et effectuent les mises à jour automatiques. Ils assurent ainsi les capacités d'exécution fondamentales de l'agent.Processus fonctionnels (non résidents) : Les processus
AliHipsetAliNetsont téléchargés et démarrés à la demande uniquement après l'activation des fonctionnalités de défense avancées correspondantes dans la console, telles que la prévention des comportements malveillants de l'hôte et la protection contre la falsification de pages web.
Détails des processus
Afin d'éviter tout dysfonctionnement de l'agent, ne terminez pas manuellement les processus associés et ne supprimez pas leurs fichiers.
Pour supprimer les fichiers liés à l'agent, consultez la section Configuration du client afin de désactiver l'autoprotection de l'agent.
Processus principaux
Les processus principaux garantissent la communication entre l'agent et le cloud, ainsi que le bon fonctionnement des capacités de surveillance de base. Ils démarrent automatiquement après l'installation de l'agent.
À partir de la version aegis_12_3x, les processus AliSecureCheckAdvanced et AliDetect sont fusionnés au sein du processus AliSecCheck. Les versions antérieures ne sont pas concernées.
|
Nom du processus |
Dossier |
Description |
|
|
|
Communique avec le serveur Security Center, envoie les signaux de présence, reçoit les instructions, transmet les données et applique l'autoprotection de l'agent. |
|
|
|
Surveille la sécurité de l'hôte, notamment la collecte et la détection d'informations relatives aux ressources, aux processus, aux ports et aux comptes. |
|
|
|
Met à jour automatiquement la version de l'agent et les bibliothèques de règles. |
|
|
|
Exécute les tâches d'analyse et de détection de sécurité, y compris les analyses de vulnérabilités, les vérifications des lignes de base de conformité et la détection en temps réel des programmes malveillants tels que les mineurs de cryptomonnaies et les chevaux de Troie. |
Processus fonctionnels
Les processus fonctionnels sont associés à des fonctionnalités payantes spécifiques et ne démarrent qu'après l'activation de la fonctionnalité correspondante.
|
Nom du processus |
Dossier |
Description |
Condition de démarrage |
|
|
|
Fournit une protection au niveau réseau pour bloquer les comportements tels que les accès depuis des adresses IP malveillantes et les attaques sortantes. |
Activez Malicious Network Behavior Prevention. |
|
|
|
Assure la prévention des intrusions sur l'hôte pour bloquer les comportements malveillants, prévenir les ransomwares et se défendre contre les connexions via des webshells. |
Activez l'une des fonctionnalités suivantes : Malicious Host Behavior Prevention, Anti-Ransomware (Bait Capture) ou Webshell Connection Prevention. |
|
|
|
Effectue la protection contre la falsification de pages web et la surveillance des fichiers essentiels. |
Activez Web Tamper Proofing ou Core File Monitoring. |
|
|
|
Exécute des tâches telles que la génération de rapports de sécurité, la détection d'anomalies et la surveillance en temps réel. |
Activez Anti-ransomware for Servers. |
|
|
|
Exécute des tâches telles que la sauvegarde des données, la restauration des données, la surveillance des pannes et la planification des tâches. |
|
|
|
|
Processus proxy de sauvegarde de base de données qui exécute des tâches telles que la sauvegarde initiale de la base de données, la sauvegarde incrémentielle, la restauration des sauvegardes, la planification et la gestion, ainsi que la journalisation et la surveillance. |
Activez Anti-ransomware for Databases. |
Relation entre les processus et les fonctionnalités
|
Nom de la fonctionnalité |
Processus associé |
Limites liées à l'édition/niveau de protection |
Documentation |
|
Self-Protection Status |
|
Aucune |
|
|
Malicious Network Behavior Prevention |
|
|
|
|
Malicious Host Behavior Prevention |
|
|
|
|
Anti-Ransomware (Bait Capture) |
|
|
|
|
Webshell Connection Prevention |
|
|
|
|
Web Tamper Proofing |
|
Aucune Important
Cette fonctionnalité est un service à valeur ajoutée qui doit être acheté séparément. |
|
|
File Tamper Proofing |
|
|
Utiliser la fonctionnalité de surveillance des fichiers essentiels |
|
Anti-ransomware for Servers |
|
Aucune Important
Cette fonctionnalité est un service à valeur ajoutée (Managed Anti-ransomware) qui doit être acheté séparément. |
|
|
Anti-ransomware for Databases |
|
Aucune Important
Cette fonctionnalité est un service à valeur ajoutée (Managed Anti-ransomware) qui doit être acheté séparément. |
Relation entre les processus et l'état de l'agent
Security Center évalue l'état de connexion de l'agent en surveillant la communication entre le processus AliYunDun et le serveur. L'état de l'agent passe de En ligne à Hors ligne lorsque l'une des situations suivantes se produit.
Consultez l'état de l'agent de vos serveurs sur la page Host : Hors ligne (
), En ligne (
).
Le serveur détecte une interruption de la communication avec l'agent, par exemple en raison d'anomalies réseau, de l'arrêt du processus
AliYunDunou de la désinstallation de l'agent.Le serveur n'a reçu aucune information rapportée par l'agent, telle que des signaux de présence ou des données de sécurité, depuis plus de 10 heures.
Autorisations d'exécution et chemins d'accès aux fichiers
Autorisations des processus
Pour offrir une surveillance et une protection de sécurité complètes, les processus de l'agent doivent s'exécuter avec des privilèges élevés dans le système d'exploitation. Ces privilèges permettent d'effectuer des opérations de bas niveau, telles que la surveillance au niveau du noyau, la protection du système de fichiers, l'analyse du comportement réseau et l'autoprotection des processus.
Sous Linux, les processus s'exécutent avec le compte
root.Sous Windows, les processus s'exécutent avec le compte
SYSTEM.
Chemins d'accès par défaut aux fichiers des processus
-
Windows :
32 bits : C:\Program Files\Alibaba\aegis.
64 bits : C:\Program Files (x86)\Alibaba\aegis.
Linux : /usr/local/aegis.
Comment vérifier l'état des processus
Utilisez les commandes suivantes pour vérifier rapidement si les processus et les services de l'agent fonctionnent correctement. Les exemples ci-dessous portent sur les processus principaux.
Linux
Commandes pour vérifier les processus :
# Check that AliYunDun, AliYunDunMonitor, and AliYunDunUpdate are all running.
ps -ef | grep -E 'AliYunDun|YunDunMonitor|YunDunUpdate'
# Check the service status. The output should show "active (running)".
systemctl status aegisExemple de sortie en état normal :
root 5472 1 0 Sep10 ? 00:00:18 /usr/local/aegis/aegis_update/AliYunDunUpdate
root 5524 1 0 Sep10 ? 00:01:34 /usr/local/aegis/aegis_client/aegis_12_61/AliYunDun
root 5546 1 0 Sep10 ? 00:03:13 /usr/local/aegis/aegis_client/aegis_12_61/AliYunDunMonitor
● aegis.service - LSB: Aegis service
Loaded: loaded (/etc/rc.d/init.d/aegis; generated)
Active: active (running) since Mon 2023-10-30 10:00:00 CST; 1 day 2h agoWindows
Méthode 1 : Vérifiez les processus dans le Gestionnaire des tâches. Ouvrez le Gestionnaire des tâches de Windows et accédez à l'onglet Processes. Confirmez que les processus suivants liés à Aegis fonctionnent normalement :
Alibaba Security Aegis Detect Service,Alibaba Security Aegis Update Service,Alibaba Security Monitor Detect Service,AliDetect.exe,AliWebGuard.exe. L'utilisation du processeur de chaque processus doit être proche de 0 % et l'utilisation de la mémoire doit varier de quelques Mo à plusieurs dizaines de Mo.-
Méthode 2 : Exécutez les commandes suivantes dans PowerShell.
Commandes pour vérifier les processus :
# Check that the three core processes are running. Get-Process | Where-Object {$_.Name -match '^(AliYunDun|AliYunDunMonitor|AliYunDunUpdate)$'} # Check the service status. The Status column should show "Running". Get-Service | Where-Object {$_.Name -match 'Aegis|AliYunDun'}Exemple de sortie en état normal :
Handles NPM(K) PM(K) WS(K) CPU(s) Id SI ProcessName ------- ------ ----- ----- ------ -- -- ----------- 380 26 15948 19656 615.75 6072 0 AliYunDun 599 31 47576 37356 968.73 2488 0 AliYunDunMonitor 257 14 8072 11336 232.03 2904 0 AliYunDunUpdate Status Name DisplayName ------ ---- ----------- Running Alibaba Securit... Alibaba Security Aegis Detect Service Running Alibaba Securit... Alibaba Security Aegis Update Service