Security Center:Dépannage des problèmes client

Processus de l'agent

Étapes de diagnostic : vérifiez que les deux processus principaux, AliYunDun et AliYunDunUpdate, sont en cours d'exécution.

• Linux : exécutez la commande ps -ef | grep AliYunDun pour vérifier.

• Windows : ouvrez le Gestionnaire des tâches et accédez à l'onglet Détails ou Services pour trouver les processus et services associés.

Résolution : redémarrez manuellement les processus de l'agent.

Connexion réseau

Étapes de diagnostic : vérifiez que votre pare-feu ou groupe de sécurité autorise le trafic sortant vers les adresses IP ou les noms de domaine du service Security Center, tels que jsrv.aegis.aliyun.com ou update.aegis.aliyun.com. L'agent peut également passer hors ligne si le serveur ne parvient pas à se connecter au service Security Center.

Résolution :

1. Vérifiez que le service DNS sur le serveur fonctionne correctement.

   Si le service DNS ne fonctionne pas, redémarrez le serveur ou dépannez le service DNS.

2. Vérifiez si des politiques d'accès réseau sont configurées sur le serveur.

   1. Règles ACL du pare-feu

      Ajoutez les adresses IP ou les noms de domaine du service Security Center à la liste d'autorisation de votre pare-feu pour permettre l'accès réseau. Vous devez uniquement configurer des règles pour le trafic sortant.

      Remarque

      Si vous utilisez Alibaba Cloud Firewall, consultez Créer une politique de contrôle d'accès sortant pour le trafic d'un réseau interne vers Internet pour obtenir des instructions.

      Exemple de configuration de pare-feu (iptables) :

      # Allow access to the control service
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 80 -j ACCEPT
      
      # Allow access to the update service
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 80 -j ACCEPT
      

   2. Règles de groupe de sécurité Alibaba Cloud

      Si vous utilisez une instance ECS, consultez Gérer les groupes de sécurité pour connaître les étapes spécifiques.

      Remarque

      Autorisez le trafic sortant vers les plages CIDR de Security Center. Vous pouvez soit laisser le port non restreint, soit autoriser le trafic sur les ports 80 et 443.

      Voici un exemple de configuration pour la plage CIDR 100.100.0.0/16 :

      • Direction : Sortant

      • Politique d'autorisation : Autoriser

      • Type de protocole : TCP

      • Plage de ports : 80/443

      • Objet d'autorisation : 100.100.0.0/16

   3. Vérifiez les pare-feu internes du serveur

      En plus des règles de groupe de sécurité Alibaba Cloud et des ACL de pare-feu, le pare-feu interne du système d'exploitation du serveur (tel que iptables, firewalld ou Windows Firewall) peut également bloquer la communication entre l'agent et le point de terminaison du service Security Center. Si le dépannage de la connectivité réseau ne résout pas le problème, vérifiez la configuration du pare-feu interne sur le serveur.

      Linux - iptables/firewalld

      Étapes de diagnostic :

      • Exécutez iptables -L -n ou firewall-cmd --list-all pour afficher les règles de pare-feu actuelles.

      • Vérifiez s'il existe des règles qui bloquent les connexions sortantes vers les points de terminaison du service Security Center (tels que jsrv2.aegis.aliyun.com et update.aegis.aliyun.com).

      Solution :

      • Assurez-vous que le trafic sortant vers les adresses IP ou les noms de domaine du service Security Center est autorisé (ports 80 et 443).

      • Pour une vérification temporaire, vous pouvez désactiver le pare-feu interne à des fins de test :

        • iptables : iptables -F

        • firewalld : systemctl stop firewalld

      Pare-feu Windows

      Étapes de diagnostic :

      • Ouvrez Control Panel > Windows Defender Firewall et vérifiez les règles entrantes et sortantes pour détecter les règles qui bloquent la communication avec l'agent Security Center.

      • Ouvrez cmd ou PowerShell en tant qu'administrateur et exécutez netsh advfirewall firewall show rule name=all pour afficher toutes les règles de pare-feu.

      Solution :

      • Dans les règles sortantes, autorisez l'accès réseau pour l'agent Security Center (AliYunDun et AliYunDunUpdate), ou autorisez le trafic sortant vers les noms de domaine du service Security Center sur les ports 80 et 443.

      • Pour une vérification temporaire, exécutez netsh advfirewall set allprofiles state off dans une invite de commandes administrateur pour désactiver le pare-feu à des fins de test.

Ressources système

Étapes de diagnostic :

Vérifiez que le serveur dispose de ressources suffisantes. L'agent peut cesser de fonctionner si les ressources du serveur sont épuisées.

• Processeur/Mémoire : utilisez top (Linux) ou le Gestionnaire des tâches (Windows) pour vérifier l'utilisation.

• Espace disque : utilisez df -h (Linux) ou Ce PC (Windows) pour vérifier l'espace disque restant.

Résolution :

• Utilisation élevée des ressources

  • Si le processus AliYunDun est la cause, contactez le support technique et fournissez les journaux pertinents.

  • Si d'autres processus métier sont la cause, optimisez vos applications ou envisagez de mettre à niveau la configuration du serveur.

• Espace disque insuffisant : supprimez les fichiers inutiles pour libérer de l'espace disque.

Identifiants d'agent en double

Étapes de diagnostic : ce problème survient souvent lorsque vous créez plusieurs serveurs à partir de la même image système. Vérifiez si le champ uuid dans les fichiers de configuration suivants est dupliqué sur plusieurs serveurs.

• Linux : /usr/local/aegis/aegis_client.conf

• Windows :

  • 32 bits : C:\Program Files\Alibaba\aegis\aegis_client.conf

  • 64 bits : C:\Program Files (x86)\Alibaba\aegis\aegis_client.conf

Résolution :

Avant de créer plusieurs images à partir d'un seul serveur modèle, désinstallez et nettoyez l'ancien agent, puis obtenez une nouvelle commande d'installation.

Conflits logiciels

Étapes de diagnostic : vérifiez si Huorong Security Software, 360 Safeguard ou tout autre système de détection d'intrusion basé sur l'hôte (HIDS), système de détection et de réponse aux menaces (EDR) ou logiciel antivirus est installé sur le serveur. Ces logiciels peuvent entrer en conflit avec l'agent Security Center. Si le logiciel de sécurité tiers a été désinstallé mais que l'agent échoue toujours à s'installer ou reste hors ligne, vérifiez la présence de fichiers et de services résiduels :

• Vérifiez si des services liés à Huorong ou à 360 restent dans la liste des services.

• Vérifiez si des dossiers résiduels existent dans les répertoires d'installation. Les chemins résiduels courants incluent :

  • Huorong : C:\Program Files\Huorong

  • 360 : C:\Program Files\360

Résolution :

1. Fermez le programme principal du logiciel de sécurité tiers.

2. Utilisez le programme de désinstallation intégré du logiciel. Pour désinstaller Huorong Security Software, exécutez uninst.exe dans le répertoire d'installation. Pour désinstaller 360 Safeguard, utilisez le Panneau de configuration.

3. Si une désinstallation anormale précédente, telle que la suppression directe du répertoire d'installation, a laissé des fichiers ou des services résiduels, réinstallez le logiciel de sécurité par-dessus l'installation existante. Ensuite, utilisez à nouveau le programme de désinstallation intégré. Pour Huorong, exécutez à nouveau uninst.exe.

4. Redémarrez le serveur.

5. Vérifiez que les fichiers et services résiduels ont été supprimés. Assurez-vous que la liste des processus, la liste des services et les répertoires d'installation ne contiennent plus d'éléments résiduels du logiciel de sécurité, et confirmez que le processus de l'agent Security Center AliYunDun est de nouveau en cours d'exécution.

6. Pour un serveur Linux, utilisez aegis_checker.bin pour exécuter des diagnostics et analyser les journaux si l'installation échoue toujours avec une erreur de téléchargement de fichier ou parce qu'un logiciel antivirus la bloque après la désinstallation de l'antivirus. Utilisez la même procédure si des composants résiduels restreignent toujours l'accès à /usr/local/aegis. Pour les diagnostics basés sur la console, consultez Agent Troubleshooting.

7. Téléchargez le script de désinstallation correspondant au type de serveur :

   • Instance ECS :

     wget http://update2.aegis.aliyun.com/download/uninstall.sh

   • Serveur non Alibaba Cloud :

     wget http://update.aegis.aliyun.com/download/uninstall.sh

8. Après avoir utilisé le script de désinstallation, vérifiez si /usr/local/aegis existe. Supprimez /usr/local/aegis uniquement après avoir confirmé qu'il s'agit de fichiers résiduels de l'agent Security Center désinstallé.

9. Exécutez à nouveau la commande d'installation de l'agent.

Une fois l'agent Security Center installé, vous pouvez redémarrer ou réinstaller le logiciel de sécurité tiers d'origine selon vos besoins.

Journaux de l'agent

Étapes de diagnostic : examinez les journaux de l'agent pour rechercher des messages d'erreur spécifiques. Les fichiers journaux se trouvent dans les répertoires suivants :

• Linux : /usr/local/aegis/aegis_client/aegis_12_xx/data/.

  Remarque

  L'espace réservé aegis_xx_xx représente le répertoire de version de l'agent en cours d'exécution. Pour trouver le chemin exact, vérifiez la sortie de la commande ps -ef|grep AliYunDun.

• Windows : C:\Program Files (x86)\Alibaba\Aegis\aegis_client\aegis_12_xx\data\.

Résolution :

Dépannez le problème en fonction des messages d'erreur dans les journaux. Si vous ne parvenez pas à résoudre le problème, contactez le support technique et fournissez les fichiers journaux complets.