How to handle security events and security alerts - Security Center

Security Center regroupe les alertes de sécurité connexes en un seul événement de sécurité, vous offrant ainsi une vue unifiée de l'étendue complète d'une attaque. Pour résoudre un événement, évaluez sa gravité et son impact, exécutez des actions de réponse pour contenir la menace, puis renforcez votre système afin d'éviter toute récidive.

Organigramme de traitement des incidents de sécurité

Évaluer un événement de sécurité

Avant de traiter un événement, évaluez minutieusement sa gravité, l'étendue de son impact et la probabilité qu'il s'agisse d'un faux positif. Cette étape est essentielle pour élaborer la stratégie de réponse appropriée.

Accéder à la page des détails de l'événement

Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, choisissez Detection and Response > Incidents

Remarque
Si vous avez souscrit au service Agentic SOC, choisissez Agentic SOC (Legacy) > Incidents.
Spécifiez la plage de temps d'occurrence des événements que vous souhaitez afficher pour localiser l'événement de sécurité cible.
Important
- La page Incidents vous permet uniquement d'afficher les événements survenus au cours des 180 derniers jours.
- Vous pouvez activer les notifications liées aux événements dans System Configuration > Notification Settings. Vous pourrez ainsi localiser rapidement les événements cibles en fonction des informations reçues, telles que les noms des événements.
Cliquez sur Details dans la colonne Actions pour accéder à la page des détails de l'événement.

Méthodes et exemples d'évaluation

Vous pouvez évaluer les événements à l'aide du Alibaba Cloud Security Large Model, des informations de l'aperçu des événements, des informations de la chronologie, des alertes et des informations sur les entités afin d'évaluer l'urgence et la portée des événements, et de déterminer s'il s'agit de faux positifs.

Security AI Assistant

Le Security AI Assistant utilise un agent d'analyse des entités pour évaluer de manière exhaustive le niveau de risque des entités malveillantes et fournit des suggestions de traitement.

Exemples d'évaluation :

Security AI Assistant panel showing the risk level of a malicious entity and the suggested handling actions

Zone Overview

Cette section décrit les informations de base sur l'événement et ses étapes d'attaque ATT&CK. Vous pouvez évaluer si l'événement de sécurité doit être traité en vous basant sur les données de cette section, telles que le nombre d'actifs affectés, le nombre d'alertes associées, l'heure d'occurrence et les sources des alertes.

Exemples d'évaluation :

Nombre d'actifs affectés : Un nombre élevé indique un impact significatif. Si des actifs métier essentiels, tels que des serveurs de base de données ou d'applications, sont concernés, l'événement peut avoir un impact majeur et doit être traité en priorité.
Alertes associées : Un plus grand nombre d'alertes suggère une portée plus large et un risque potentiel plus important.
Heure d'occurrence : Les événements récents peuvent encore avoir un impact et doivent être traités avec plus d'urgence que les événements historiques.
Source de l'alerte : La crédibilité et la gravité des alertes varient selon leur source. Les alertes provenant de modules de détection faisant autorité, tels qu'un module dédié à l'analyse antivirus, indiquent des risques d'événement plus élevés.

Diagramme de la chaîne d'événements

Dans cet onglet, vous pouvez afficher la chronologie de l'attaque et le diagramme de la chaîne d'événements. Le moteur d'analyse Big Data traite, agrège et visualise les données pour générer un graphique montrant comment l'événement s'est produit. Cela vous aide à identifier la cause de l'événement et à élaborer une stratégie de gestion des événements dans les plus brefs délais. Cliquez sur les nœuds de l'événement pour afficher les détails du nœud et évaluez si l'événement de sécurité doit être traité en vous basant sur la chronologie. Exemples d'évaluation :

Remarque

Si vous avez souscrit à l'option Security Operations Agent dans Agentic SOC, l'agent d'enquête sur les incidents extrait automatiquement les points d'entité clés et reconstruit les comportements clés entre les entités sous forme de diagramme de la chaîne d'événements. Il fournit également une explication de la chronologie.

Si la chronologie montre qu'une alerte d'attaque de sondage initiale à petite échelle évolue rapidement vers plusieurs alertes d'attaque étroitement liées de différents types en peu de temps, que le rythme de l'attaque s'accélère continuellement et que la portée des actifs affectés ne cesse de s'étendre, l'événement de sécurité présente un risque élevé. Nous vous recommandons de le traiter immédiatement.
Si aucune nouvelle alerte connexe n'apparaît dans la chronologie pendant une longue période et que l'attaque ne montre aucun signe de propagation, la priorité de traitement peut être réduite.

Alert

Dans cet onglet, vous pouvez afficher la liste de toutes les alertes de sécurité regroupées dans l'événement. Vous pouvez obtenir davantage d'informations à partir de statistiques d'alerte multidimensionnelles, telles que le nombre d'alertes, les mesures de défense et l'heure d'occurrence, afin de déterminer la méthode et l'étape de l'attaque, et de décider d'une solution de traitement. Exemples d'évaluation :

Plusieurs alertes de mêmes types ou de types connexes peuvent indiquer une attaque à grande échelle ou une menace plus grave.
En ce qui concerne les mesures de défense, vérifiez si les défenses déployées ont effectivement bloqué l'attaque. Si les défenses échouent ou sont insuffisantes, l'urgence du traitement de l'événement augmente.
Si l'heure d'occurrence des alertes de sécurité récentes se concentre sur une période spécifique, l'attaque est probablement en phase active durant cette période.

Entity

Affiche les objets d'entité extraits de l'événement. Les types d'entités pris en charge incluent les hôtes, les fichiers, les processus, les adresses IP et les comptes d'hôte. Vous pouvez afficher et gérer les entités selon les dimensions suivantes :

Toutes les entités : Affiche toutes les entités extraites de l'événement. Vous pouvez consulter le nombre d'événements associés, d'alertes associées et de tâches de traitement associées au cours des 30 derniers jours, et exécuter des playbooks.
Actifs affectés : Affiche les actifs affectés par l'événement, ce qui vous aide à évaluer rapidement la portée des actifs impactés.

Vous pouvez évaluer si l'événement de sécurité doit être traité en vous basant sur les entités affectées. Exemples d'évaluation :

Dans les détails de l'entité, vous pouvez afficher les informations de base, les renseignements sur les menaces d'Alibaba Cloud, les événements associés au cours des 30 derniers jours, les alertes associées au cours des 30 derniers jours et les tâches de traitement associées à l'entité d'adresse IP. Si ces nombres sont élevés, un attaquant utilise peut-être continuellement l'adresse IP pour lancer des attaques. Prenez des mesures contre l'adresse IP, comme son blocage.
Dans l'onglet Overview, si plusieurs actifs sont attaqués par la même adresse IP durant la même période, cela indique probablement une attaque ciblée contre une adresse IP spécifique. Prenez des mesures contre l'adresse IP, comme son blocage.

Timeline

Fonctionnalités principales : Response Activity enregistre l'intégralité du processus d'analyse des risques et de gestion des réponses, et fournit des points d'entrée de gestion pour les stratégies de réponse clés, les tâches et le Alert afin de permettre aux membres de l'équipe de partager l'avancement de l'enquête et les informations de traitement lors de la collaboration. Après l'événement, vous pouvez revoir le processus d'activité pour tirer des enseignements.
Point d'entrée opérationnel : Accédez à la page des détails de l'événement cible et cliquez sur Entity.

Répondre aux événements de sécurité

Gérer les événements de sécurité

Solution	Description
politiques de gestion recommandées	Les méthodes de gestion des événements que Security Center résume sur la base de l'expérience des experts en sécurité d'Alibaba Cloud sont collectivement appelées politiques de gestion recommandées. Lorsque vous utilisez les politiques de gestion recommandées pour traiter les entités malveillantes dans un événement de sécurité, le statut de l'événement et les statuts des alertes associées à cet événement sont mis à jour simultanément. Remarque Si le panneau politiques de gestion recommandées est vide, aucune politique de gestion intégrée n'est disponible pour l'entité actuelle.
Affected Asset	Response Activity : ajoute les programmes, adresses IP ou comportements confirmés comme inoffensifs à la liste blanche afin qu'ils ne déclenchent plus d'alertes.
Exécuter un playbook	Sur la base de l'expérience des experts en sécurité d'Alibaba Cloud, Security Center fournit un ensemble de playbooks intégrés pour vous aider à gérer les entités malveillantes. Parmi les exemples figurent la vérification hors ligne de l'hôte, l'analyse antivirus approfondie et le blocage des adresses IP via WAF.
Activity Log	Si l'événement est un faux positif ou si vous avez géré manuellement toutes les alertes de sécurité et entités de l'événement, modifiez le statut de l'événement en Response Activity. Pour les événements traités, vous pouvez également réinitialiser le statut de l'événement à Add Alert to Whitelist ou Add Alert to Whitelist.

Appliquer une politique de gestion recommandée

Procédure

Sur la page Incidents, localisez l'événement cible et cliquez sur Handled > Recommended Response.

Remarque
Vous pouvez également accéder à la page des détails de l'événement et cliquer sur Recommended Handling dans le coin inférieur gauche.
Dans le panneau des politiques de gestion recommandées, sélectionnez les entités malveillantes que vous souhaitez traiter.
(Facultatif) Modifiez la politique de gestion : cliquez sur Edit dans la colonne Actions pour l'entité. Dans le panneau Actions, modifiez les paramètres tels que le compte de destination vers lequel les règles de blocage sont appliquées et la période de validité de l'action.
- Période de validité de l'action : durée pendant laquelle la politique de gestion reste effective. La politique expire automatiquement à l'issue de cette période.
- Compte de destination : le compte actuel ou tout compte membre que vous gérez. Pour plus de détails, consultez Gestion de la sécurité multi-comptes.
Cliquez sur Resolve. Dans la boîte de dialogue Update Incident Status, sélectionnez Incident Status pour Edit Policy ou Handled, puis cliquez sur OK.

Important
Une fois cette étape terminée, Security Center crée automatiquement une politique de gestion et exécute la tâche de gestion. Si la tâche échoue, le statut de l'événement passe à Failed. Sinon, il prend le statut que vous avez spécifié.
- Handling : outre l'opération de gestion en cours, d'autres actions liées à la gestion des événements sont encore nécessaires, telles que le confinement, la traçabilité de la source et la correction des vulnérabilités.
- Handled : aucune autre action liée à la gestion n'est requise en plus de l'opération de gestion en cours. Impacts :
  - Le statut des alertes associées est mis à jour en « Handled Manually ».
  - Les alertes ultérieures génèrent de nouveaux événements de sécurité au lieu d'être associées à l'événement actuel.

Impacts

Security Center interagit avec d'autres produits Alibaba Cloud pour répondre aux événements et gérer les entités malveillantes, par exemple en bloquant des adresses IP.
Si vous utilisez les politiques de gestion recommandées pour modifier le statut de l'événement en Handled afin de passer le statut de l'événement à Handling, le système met à jour les statuts de toutes les alertes non traitées associées à l'événement en

Important
Pour les alertes CWPP Precision Defense, le statut d'alerte par défaut est Handled (défense uniquement, pas de notifications). Les mises à jour du statut de l'événement de sécurité n'affectent pas le statut de ces alertes.
Si vous utilisez les politiques de gestion recommandées pour modifier le statut de l'événement en Handled, les statuts des alertes associées restent inchangés. Les alertes ultérieures peuvent toujours être associées à l'événement actuel.
Sur la page Incident Response, les Handled et Handled Manually correspondants sont générés.

Handling

Procédure

Accédez à la page des détails de l'événement, sélectionnez les alertes de sécurité que vous souhaitez gérer dans l'onglet Alert View, puis cliquez sur Handling Policies dans la colonne Actions.
(Facultatif) Créez des règles de liste blanche d'alertes : cliquez sur Handling Tasks pour configurer plusieurs règles de liste blanche.
Important
- Plusieurs règles ont une relation OU. Une alerte qui satisfait à n'importe quelle règle est ajoutée à la liste blanche.
- Assurez-vous que les règles sont précises pour éviter une portée excessivement large. Par exemple, une règle large telle que « Path contains: /data/ » peut ajouter accidentellement des sous-répertoires sensibles à la liste blanche, ce qui augmente les risques de sécurité.
Chaque règle contient quatre zones de configuration de gauche à droite. Voici la description de ces zones :
1. Champ d'information d'alerte : vous pouvez afficher les champs d'information d'alerte pris en charge par l'alerte actuelle dans la section Add Alert to Whitelist de la page des détails.
2. Type de condition : les opérateurs pris en charge incluent la correspondance regex, supérieur à, égal à, inférieur à et contient. Voici la description de certains types de conditions :
  - Expression régulière : fait correspondre précisément le contenu selon des modèles spécifiques. Par exemple, pour ajouter tout le contenu du dossier /data/app/logs/ à la liste blanche, définissez la règle sur « Path matches regex: ^/data/app/logs/.$ ». La règle correspond à tous les fichiers ou processus dans le dossier et ses sous-répertoires.
  - Contient un mot-clé : fait correspondre tous les événements dont les chemins contiennent la chaîne spécifiée. Par exemple, la règle « Path contains: D:\programs\test\ » ajoute à la liste blanche tous les événements dont les chemins contiennent le dossier.
3. Valeur de condition : accepte les constantes ou les expressions régulières.
4. Actifs applicables :
  - Tous les actifs : s'applique à tous les actifs connectés et aux nouveaux actifs ajoutés.
  - Uniquement pour l'actif actuel : s'applique uniquement aux actifs impliqués dans l'alerte actuelle.
Cliquez sur Handle Now.

Impacts

Avertissement

Une fois qu'une alerte est ajoutée à la liste blanche, les notifications pour les alertes identiques ou celles qui répondent aux règles de la liste blanche ne sont plus envoyées. Procédez avec prudence.

Sur l'alerte actuelle :
- L'alerte actuelle passe à « Handled » et son statut devient Add Alert to Whitelist.
- Lorsque la même alerte se produit à nouveau, aucune nouvelle donnée d'alerte n'est générée. Seule l'heure de la dernière occurrence de l'alerte actuelle est mise à jour.
  Qu'est-ce qui constitue une même alerte ?
  Les alertes sont considérées comme identiques si elles signalent une menace de sécurité avec des caractéristiques hautement cohérentes. Exemples :
  - Alertes de virus : même actif, chemin du fichier virus et MD5 du fichier virus.
  - Alertes de connexion anormale : même actif et adresse IP de connexion.
Sur les alertes ultérieures :
- Si des règles de liste blanche spécifiques sont configurées, Security Center n'associe plus les alertes qui répondent aux règles de la liste blanche aux événements de sécurité.
- Lorsqu'une alerte qui répond à une règle de liste blanche personnalisée se produit à nouveau, l'alerte entre automatiquement dans la liste des éléments traités avec le statut Create Rule. Aucune notification d'alerte n'est envoyée.
Autres alertes : la règle de liste blanche s'applique uniquement aux alertes portant le nom d'alerte spécifié qui répondent aux conditions de la règle. Les alertes pour lesquelles aucune règle n'est configurée ne sont pas affectées.

Annuler la mise en liste blanche

Annuler une règle de liste blanche automatique
Important
- Cette action n'affecte que les futures alertes. Les alertes qui correspondent à la règle ne seront plus automatiquement ajoutées à la liste blanche.
- Elle n'affecte pas les alertes déjà traitées ; leur statut reste inchangé.
1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez More Information > Alert.
  
  Remarque
  Si vous avez souscrit à Agentic SOC, choisissez Manually Allowlisted > Automatically Add to Whitelist.
2. Dans l'onglet Detection and Response, cliquez sur Cloud Workload Coverage Alert Management dans le coin supérieur droit et sélectionnez Agentic SOC (Legacy).
3. Sur la page Alert, dans la section Alert Handling Rule, sélectionnez Automatically Add to Whitelist comme méthode de gestion.
4. Localisez la règle cible et cliquez sur Supprimer dans la colonne Actions pour annuler la règle de liste blanche automatique.
Supprimer une alerte de la liste blanche

Important
Après avoir supprimé une alerte de la liste blanche, elle réapparaît dans la liste des alertes Alert Settings, ce qui nécessite de l'évaluer et de la gérer à nouveau.
1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Alert Settings > Alert.
  
  Remarque
  Si vous avez souscrit à Agentic SOC, choisissez Agentic SOC (Legacy) > Unhandled.
2. Dans l'onglet CWPP, définissez le filtre Alert sur Agentic SOC (Legacy).
3. Localisez l'alerte que vous souhaitez supprimer de la liste blanche et cliquez sur Alert dans la colonne Actions.
  
  Remarque
  Vous pouvez également sélectionner plusieurs alertes et cliquer sur CWPP en bas de la liste pour effectuer une suppression groupée.

Exécuter un playbook

Procédure

Sur la page des détails de l'événement, cliquez sur l'onglet Handled or Not et localisez les entités que vous souhaitez traiter.
Cliquez sur Handled dans la colonne Actions. Sur la page de gestion, configurez les paramètres du playbook comme décrit ci-dessous :
- Playbook : le système sélectionne automatiquement le playbook intégré approprié en fonction du type d'entité.
  
  Important
  Si les playbooks intégrés ne répondent pas à vos besoins, vous pouvez utiliser Remove from Whitelist et sa fonctionnalité Règles d'automatisation pour créer des playbooks personnalisés.
- Période de validité de l'action : durée pendant laquelle le playbook s'exécute. Le playbook s'arrête à l'issue de cette période.
- Compte de destination : le compte actuel ou tout compte membre que vous gérez. Pour plus de détails, consultez Gestion de la sécurité multi-comptes.
Cliquez sur Remove from Whitelist.

Impacts

L'événement est traité selon le processus configuré dans le playbook (tel que le blocage d'une adresse IP), et le statut de l'événement passe à Handled.

Update Incident Status

Procédure

Sur la page des détails de l'événement, cliquez sur Handle dans le coin supérieur droit et sélectionnez Agentic SOC dans la liste déroulante. Vous pouvez également, sur la page Événements de sécurité, localiser l'événement cible, cliquer sur Resolve dans la colonne Actions, puis sur Update Incident Status dans la liste déroulante.
Dans la boîte de dialogue Incident Response, sélectionnez Update Incident Status, Unhandled ou Handling.
(Facultatif) Saisissez des remarques telles que « Géré manuellement », « Ignoré », « Ajouté manuellement à la liste blanche » ou « Retraiter ».

Impacts

Si vous modifiez le statut en Update Incident Status :
- Les statuts de toutes les alertes non traitées associées à l'événement sont uniformément mis à jour en Handled, et des informations sur les opérations de l'événement de sécurité sont ajoutées aux remarques des détails de l'alerte.
  
  Important
  Pour les alertes CWPP Precision Defense, le statut d'alerte par défaut est Handled (défense uniquement, pas de notifications). Les mises à jour du statut de l'événement de sécurité n'affectent pas le statut de ces alertes.
- Les alertes ultérieures ne sont plus associées à l'événement de sécurité actuel. Elles génèrent de nouveaux événements de sécurité.
Si vous modifiez le statut en Unhandled ou Handling : vous pouvez sélectionner à nouveau une méthode de gestion pour l'événement actuel.

Gérer les propriétés de l'événement

Opération

Description

Handled

La gestion des événements de sécurité nécessite souvent une collaboration transversale entre équipes et membres. Pour garantir une transmission claire des tâches, vous pouvez attribuer ou modifier manuellement le propriétaire de l'événement à différentes étapes de sa gestion.

Handled Manually

Ajustez le niveau d'évaluation des risques de l'événement. Lors de l'évaluation de l'événement, si le niveau de risque déterminé automatiquement ne correspond pas à la situation réelle (trop élevé ou trop faible), vous pouvez modifier manuellement le niveau de l'événement. Cela aide l'équipe à ajuster avec précision les priorités de réponse et garantit que les ressources sont correctement allouées aux événements les plus urgents.

Unhandled

Procédure

Accédez à la page des détails de l'événement, cliquez sur Handling dans le coin supérieur droit, puis cliquez sur Update Owner. Vous pouvez également, sur la page Événements de sécurité, localiser l'événement cible, cliquer sur Response dans la colonne Actions, puis sur Update Owner dans la liste déroulante.
Dans la boîte de dialogue, configurez les informations suivantes et cliquez sur OK.
- Update Owner : vous pouvez sélectionner des utilisateurs RAM du compte actuel et de ses comptes membres.
  
  Important
  Assurez-vous que le Response (utilisateur RAM) cible dispose des autorisations requises pour gérer les événements de sécurité.
- Update Owner : saisissez des instructions de transmission, des suggestions de gestion ou des précautions pour aider le nouveau propriétaire à comprendre rapidement le contexte et à commencer à travailler.

Impacts

Une fois l'opération réussie, le système génère automatiquement un enregistrement de modification. Vous pouvez afficher les détails de ce changement de propriétaire dans l'onglet Response Activity, puis dans Owner sur la page des détails de l'événement.

Update Incident Level

Procédure

Accédez à la page des détails de l'événement, cliquez sur Incident Response dans le coin supérieur droit, puis cliquez sur Update Incident Level. Vous pouvez également, sur la page Événements de sécurité, localiser l'événement cible, cliquer sur Response dans la colonne Actions, puis sur Update Incident Level dans la liste déroulante.
Dans la boîte de dialogue, modifiez la Incident Response et les Remarks.

Impacts

Une fois le niveau modifié, l'opération est enregistrée dans le journal d'activité de l'événement. Vous pouvez afficher les détails de la modification dans l'onglet Response, puis dans Activity Log sur la page des détails de l'événement.

Exporter les événements de sécurité

Vous pouvez exporter les détails des événements de sécurité vers un fichier Excel sur votre appareil local. Cette fonctionnalité facilite la collaboration interdépartementale dans le traitement des événements de sécurité et améliore l'efficacité du partage d'informations internes ainsi que du suivi des événements.

(Facultatif) Sur la page de la liste de traitement des événements de sécurité, définissez des conditions de filtrage telles que le niveau de risque de l'événement, son statut et sa date de survenue.
Sélectionnez les événements de sécurité que vous souhaitez télécharger (jusqu'à 1 000 enregistrements), puis cliquez sur l'icône située dans le coin supérieur droit de la liste des événements de sécurité.
Une fois l'exportation terminée, cliquez sur Incident Severity pour télécharger le fichier sur votre appareil local.

Remarque
Le fichier exporté contient trois feuilles de calcul : la liste des enregistrements des événements de sécurité, la liste des ressources impliquées dans les événements de sécurité et la liste des entités impliquées dans les événements de sécurité.

Réponse d'urgence et renforcement post-incident

La prise en charge payante s'applique uniquement à la réponse d'urgence concernant l'alerte actuelle et ne garantit pas que le serveur est entièrement sécurisé. Nous vous recommandons de continuer à identifier la cause première de l'intrusion et de renforcer le système. Si vous n'avez plus besoin du service Security Center, consultez la rubrique Désactiver les services de paiement à l'utilisation. Pour éviter que le serveur ne soit à nouveau attaqué par des virus, nous vous conseillons de prendre les mesures de renforcement nécessaires sur le serveur. Cela augmente le coût de l'intrusion pour les attaquants et élève le niveau de difficulté pour franchir les défenses.

Opérations courantes

Mettre à niveau l'édition de Security Center : Les éditions Enterprise et Ultimate prennent en charge la fonctionnalité d'isolation automatique des virus (c'est-à-dire la détection et la suppression automatiques des virus), vous offrant ainsi des capacités de défense précises et prenant en charge davantage d'éléments de détection de sécurité.
Renforcer le contrôle d'accès : Ouvrez uniquement les ports professionnels nécessaires (tels que 80 et 443) et configurez des politiques d'accès strictes basées sur une liste d'autorisation IP pour les ports de gestion (tels que 22 et 3389) et les ports de base de données (tels que 3306).

Remarque
Pour les serveurs Alibaba Cloud ECS, consultez la rubrique Gérer les groupes de sécurité pour connaître les opérations à effectuer.
Définir des mots de passe serveur complexes : Configurez des mots de passe complexes contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux pour les serveurs et les applications.
Mettre à jour les logiciels : Mettez rapidement à jour vos logiciels applicatifs vers la dernière version officielle afin d'éviter d'utiliser des versions obsolètes qui ne sont plus maintenues ou qui présentent des vulnérabilités de sécurité connues.
Effectuer des sauvegardes régulières : Créez une politique de snapshot régulière pour les données importantes et les disques système du serveur.

Remarque
Pour les serveurs Alibaba Cloud ECS, consultez la rubrique Créer une politique pour connaître les opérations à effectuer.
Corriger rapidement les vulnérabilités : Utilisez régulièrement la fonctionnalité Gestion des vulnérabilités de Security Center pour appliquer rapidement des correctifs aux vulnérabilités du système et des applications.
Réinitialiser le système du serveur (à utiliser avec prudence).

Si l'intrusion virale est profonde et implique des composants système sous-jacents, il est fortement recommandé de réinitialiser le système du serveur après avoir sauvegardé les données importantes. Suivez les étapes ci-dessous :
1. Créez un snapshot pour sauvegarder les données importantes du serveur. Pour plus d'informations, consultez la rubrique Créer manuellement un snapshot unique.
2. Initialisez le système d'exploitation du serveur. Pour plus d'informations, consultez la rubrique Réinitialiser le disque système (réinitialiser le système d'exploitation).
3. Créez un cloud disk à partir du snapshot. Pour plus d'informations, consultez la rubrique Créer un disque de données à partir d'un snapshot.
4. Attachez le cloud disk au serveur après la réinstallation du système. Pour plus d'informations, consultez la rubrique Attacher un disque de données.

Vérifier la présence de portes dérobées persistantes

Après une intrusion, les attaquants installent généralement une porte dérobée persistante pour maintenir un contrôle à long terme. Après avoir traité un événement de sécurité, vérifiez les emplacements suivants et confirmez si les éléments suspects sont requis par votre activité professionnelle :

Tâches planifiées : Sur les serveurs Linux, vérifiez les configurations des tâches planifiées via crontab -l, /etc/cron.d/ et /var/spool/cron/. Recherchez des scripts ou des programmes dont l'exécution est planifiée à des heures inattendues.
Éléments de démarrage : Sur les serveurs Linux, vérifiez /etc/rc.local, /etc/init.d/ et systemctl list-unit-files. Sur les serveurs Windows, vérifiez les éléments de démarrage du registre, le Planificateur de tâches et les fichiers de démarrage suspects dans des répertoires tels que C:\Users\Administrator\AppData\Local.
Clés publiques SSH : Vérifiez le fichier ~/.ssh/authorized_keys sur les serveurs Linux pour détecter d'éventuelles clés publiques écrites par un attaquant. Supprimez rapidement les clés suspectes.
Répertoires sensibles : Vérifiez la présence de fichiers exécutables suspects dans les répertoires temporaires tels que /tmp, /var/tmp et /dev/shm.

Supprimer complètement un virus et restaurer le système

Si le traitement d'un processus de porte dérobée ou d'un fichier web shell échoue, ou si un virus ne peut pas être complètement supprimé par Security Center, nous vous recommandons d'utiliser les méthodes suivantes pour supprimer intégralement le virus :

Sauvegarder les données de charge de travail : Sauvegardez les données importantes requises par vos charges de travail vers un emplacement de stockage sécurisé et distinct.
Créer un snapshot : Dans la console ECS, créez un snapshot des disques affectés en tant que sauvegarde des données avant les opérations. Un snapshot est obligatoire pour les opérations à haut risque. Sans celui-ci, vous ne pouvez pas autoriser un ingénieur à intervenir sur le serveur.
Réinitialiser le disque système : Dans la console ECS, localisez l'instance. Sur la page des détails de l'instance, cliquez sur All Operations dans le coin supérieur droit et sélectionnez Reinitialize Disk. L'instance doit être à l'état Arrêté. Cette opération efface toutes les données du disque système. Assurez-vous que la sauvegarde est complète.
Redéployer vos charges de travail : Une fois le disque système réinitialisé, redéployez vos applications et restaurez les données de sauvegarde.

Gérer une notification de comportement malveillant

Si vous recevez une notification indiquant qu'un serveur présente un comportement malveillant suspect, tel qu'une analyse de port SSH à grande échelle ou des attaques sortantes, nous vous recommandons de procéder comme suit :

Le serveur est déjà arrêté : Si le serveur est arrêté et n'est plus utilisé, ignorez d'abord la notification dans Security Center.
Vous devez continuer à utiliser le serveur : Si vous souhaitez continuer à utiliser le serveur, nous vous recommandons de réinstaller le système d'exploitation pour supprimer complètement les virus et d'appliquer les mesures de renforcement de sécurité suivantes après la réinstallation :
- Configurez une règle sortante dans le groupe de sécurité pour refuser l'accès sortant sur le port 22. Cela empêche le serveur de lancer d'autres attaques sortantes.
- Configurez une règle entrante dans le groupe de sécurité pour autoriser l'accès aux ports de connexion à distance (port SSH 22 ou port RDP 3389) uniquement depuis des adresses IP approuvées spécifiées, et n'autorisez que les ports professionnels nécessaires.
- Modifiez le mot de passe du serveur pour définir un mot de passe complexe contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux, et changez-le régulièrement.
À propos du blocage : Après avoir réinstallé le système d'exploitation, si Security Center ne détecte plus d'attaques sortantes, la plateforme ne bloque généralement pas le serveur et vous n'avez pas besoin de soumettre un nouveau ticket.

Bloquer l'adresse IP source de l'attaquant

Après avoir confirmé que les processus malveillants sont arrêtés et que l'événement est traité, bloquez l'adresse IP source de l'attaquant dans le groupe de sécurité pour empêcher toute nouvelle intrusion :

Sur la page des détails de l'événement dans Security Center, cliquez sur l'onglet Entity, localisez l'entité correspondant à l'adresse IP de l'attaquant et notez l'adresse IP source de l'attaque.
Connectez-vous à la console ECS et localisez le groupe de sécurité associé à l'instance.
Ajoutez une règle Deny au groupe de sécurité qui refuse l'accès depuis l'adresse IP source de l'attaquant sur tous les ports.

Remarque

La configuration du groupe de sécurité est une fonctionnalité ECS. Pour plus d'informations, consultez la rubrique Configuration du groupe de sécurité ECS.

Autoriser un ingénieur à enquêter sur le serveur

Si vous manquez d'expérience en matière d'opérations de sécurité ou si vous ne disposez pas de personnel technique, achetez le service emergency response de Security Center. Un ingénieur en sécurité d'Alibaba Cloud se connectera alors à distance au serveur pour vous aider à enquêter et à traiter l'événement :

Créer une sauvegarde par snapshot : Avant d'autoriser l'ingénieur à effectuer des opérations, vous devez créer un snapshot des disques affectés dans la console ECS. Pour les opérations à haut risque, l'ingénieur n'est pas autorisé à intervenir sur le serveur si aucune sauvegarde par snapshot n'existe.
Soumettre un ticket et accorder l'autorisation : Remplissez les informations d'autorisation dans le ticket, fournissez le mot de passe de connexion au serveur et autorisez l'ingénieur Alibaba Cloud à se connecter à distance au serveur pour l'enquête. L'ingénieur ne peut pas créer de snapshot à votre place. Vous devez créer le snapshot vous-même.
Mot de passe serveur inconnu : Si vous ne connaissez pas le mot de passe du serveur, réinitialisez le mot de passe de l'instance dans la console ECS, puis soumettez l'autorisation.

Quotas et limites

Rétention des données : La page de traitement des événements de sécurité vous permet de consulter et de traiter uniquement les événements survenus au cours des 180 derniers jours.
Détails de l'entité : Sur la page des détails d'une entité, les nombres d'événements associés, d'alertes et de tâches de traitement sont calculés sur la base des données des 30 derniers jours.
Quantité d'exportation : Vous pouvez exporter jusqu'à 1 000 enregistrements d'événements de sécurité à la fois.
Synchronisation du statut : La mise à jour du statut d'un événement de sécurité n'affecte pas le statut des alertes « Precision Defense » de CWPP. Le statut par défaut de ces alertes est « Handled » (défense uniquement, pas de notifications).