Security Center:Intelligent behavior analysis

Qu'est-ce qu'Agentic EDR ?

L'analyse intelligente du comportement de l'hôte (Agentic EDR) utilise des modèles d'IA pour apprendre les comportements normaux des processus sur les serveurs et établir des listes blanches de processus. Lorsqu'un serveur exécute un processus qui ne figure pas dans la liste blanche, le système déclenche une alerte ou prend des mesures de contrôle en fonction du mode d'exécution actuel afin de détecter et de traiter les menaces de sécurité potentielles.

• Détection des processus anormaux : Lorsqu'un serveur est infecté par des programmes malveillants ou des chevaux de Troie de minage de cryptomonnaies, les comportements anormaux des processus déclenchent des alertes système ou sont automatiquement bloqués.

• Audit de conformité : Enregistre tous les comportements des processus sur les serveurs pour répondre aux exigences d'audit de conformité en matière de sécurité.

• Protection zéro confiance : Par défaut, seuls les processus figurant dans la liste blanche sont autorisés à s'exécuter, ce qui bloque l'exécution des programmes inconnus à la source.

Fonctionnement

Champ d'application

• L'agent Security Center est installé sur le serveur.

• Le système d'exploitation et la version du noyau du serveur répondent aux exigences de support AliHips, et le processus AliHips fonctionne normalement.

Activer Agentic EDR

Pour utiliser la fonctionnalité d'analyse intelligente du comportement, vous devez d'abord acheter et activer Agentic EDR.

Activer et désactiver Burstable Protection

Après avoir acheté un abonnement Agentic EDR, Burstable Protection est activé par défaut. Vous pouvez également activer ou désactiver manuellement la protection élastique.

1. Connectez-vous à la console Security Center.

2. Sur la page Overview, dans la section Subscription, activez ou désactivez l'interrupteur Burstable Protection.

Lier les autorisations de serveur

Vous devez lier les autorisations de siège EDR aux serveurs avant de pouvoir utiliser Agentic EDR pour l'apprentissage et la protection.

1. Accédez à la page Security Center console - Overview.

2. Accédez à la page d'autorisation : Le point d'entrée varie en fonction du mode de facturation que vous avez acheté.

   • Abonnement/Facturation hybride : Dans la section Subscription, cliquez sur Management à côté de Agentic EDR.

   • Paiement à l'utilisation : Dans la section Enable Pay-as-You-Go Service, cliquez sur Quota Management à côté de Agentic EDR.

3. Dans la boîte de dialogue Quota Management, sélectionnez un Select Server Location (Chinese Mainland ou Outside Chinese Mainland) puis localisez le serveur cible.

4. Dans la colonne Agentic EDR Seat du serveur cible, activez l'interrupteur.

   Important

   Pour lier automatiquement les sièges EDR aux nouveaux serveurs, dans la section Automatically Add New Servers to Security Center, cochez la case Automatically Enable Agentic EDR for New Hosts.

Créer une politique d'analyse

Avant d'activer l'analyse intelligente du comportement de l'hôte, vous devez créer une politique de protection afin de définir la durée d'apprentissage, le mode de liste blanche et les serveurs cibles.

1. Accédez à la console Security Center - Paramètres de protection - Protection de l'hôte - Agentic EDR. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Sur la page Agentic EDR, cliquez sur Agentic EDR Settings dans le coin supérieur droit.

3. Dans la boîte de dialogue des paramètres Agentic EDR, cliquez sur Create Policy.

4. Sur la page de nouvelle politique, configurez les paramètres suivants :

   Paramètre	Description
   Policy Name	Spécifiez un nom de politique personnalisé pour faciliter l'identification et la gestion.
   Learning Duration	Nombre de jours d'apprentissage après la création du modèle initial. Pendant la période d'apprentissage, le système enregistre tous les comportements des processus. Remarque Nous recommandons une durée minimale de 7 jours afin de couvrir l'intégralité du cycle métier. Si le serveur présente des schémas métier périodiques marqués (tels que des tâches planifiées hebdomadaires), nous recommandons une durée de 14 jours ou plus.
   Automatic End	Si aucun nouveau comportement n'est détecté pendant N jours consécutifs, le modèle d'analyse intelligente termine automatiquement l'apprentissage et entre en phase de protection (mode Alert par défaut).
   Whitelist Mode	Méthode de mise en correspondance de la liste blanche. Process Path (par défaut) : les processus sont mis en correspondance par chemin de fichier. Process Hash : les processus sont mis en correspondance par hachage de fichier (MD5).
   Sélection du serveur	Serveurs auxquels la politique s'applique. Vous pouvez sélectionner toutes les ressources ou filtrer par groupe de ressources. Vous pouvez effectuer une recherche par nom de serveur, adresse IP publique ou adresse IP privée.

5. Cliquez sur Confirm pour finaliser la création de la politique.

6. Revenez à la page Agentic EDR et vérifiez que le statut du serveur cible dans la liste des serveurs est affiché comme « Learning ».

Gérer la liste blanche des processus

À l'issue de la phase d'apprentissage, le système génère une liste blanche des comportements des processus. Vous pouvez consulter, ajouter ou supprimer des chemins de processus dans cette liste.

Changer le mode de protection

Une fois la phase d'apprentissage terminée, le mode de protection par défaut du serveur est Alert . Vous pouvez modifier ce mode de protection.

1. Dans la liste des serveurs, cliquez sur Switch Mode dans la colonne Actions du serveur cible.

2. Dans la boîte de dialogue de changement de mode, sélectionnez le mode Alert ou Block .

3. Cliquez sur OK pour finaliser le changement.

Consulter et gérer les alertes

Si un serveur exécute des processus qui ne figurent pas dans la liste blanche des processus, le système génère des alertes de sécurité. Vous pouvez consulter et gérer ces alertes via la fonctionnalité Alerts de Security Center.

1. Dans le volet de navigation de gauche, sélectionnez Detection and Response > Alerts. Dans le coin supérieur gauche de la console, choisissez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

   Remarque

   Si vous avez activé le service Agentic SOC, l'entrée de navigation à gauche devient Agentic SOC > Alerts.

2. Sous l'onglet CWPP, cliquez sur le nombre indiqué sous Host Abnormal Behavior Alert pour accéder à la liste des alertes.

   Statuts des alertes :

   • Mode Alert : Le statut de l'alerte est To Be Handled, ce qui nécessite une révision manuelle.

   • Mode Block : Le système a automatiquement bloqué le processus et le statut de l'alerte est Blocked.

3. Pour chaque alerte, vous pouvez effectuer l'une des actions suivantes :

   Dimension	Ignore	Add to Business Model
   Statut actuel de l'alerte	Passe à « Ignored ».	Aucun changement.
   Alertes ultérieures	Les alertes persistent : lorsque le même processus s'exécute à nouveau, le système génère une nouvelle alerte.	Aucune autre alerte : lorsque le même processus s'exécute à nouveau, il est directement autorisé.
   Modification de la liste blanche	Aucun changement.	Le processus est ajouté à la liste blanche des processus.
   Scénario	Tâches temporaires ou comportements suspects nécessitant une surveillance continue.	Processus métier confirmés comme normaux ; vous souhaitez réduire les alertes dupliquées.

Réapprendre les comportements des processus

Lorsque les processus métier sur un serveur changent, vous devez réapprendre les comportements des processus et générer une nouvelle liste blanche afin d'éviter les blocages erronés ou les alertes invalides. Le système propose les deux méthodes suivantes :

1. Dans la liste des serveurs sur la page Agentic EDR, cliquez sur Relearn ou Start Incremental Learning dans la colonne Actions du serveur cible.

2. Une fois l'opération terminée, le Status passe à Learning.

   Important

   Pendant l'état Learning, le blocage et les alertes ne sont pas effectifs.

Aperçu de la facturation

• Abonnement :

  • Méthode de facturation : La facturation est basée sur le nombre de quotas de sièges achetés. Lier un hôte consomme un quota de siège.

  • Règles de facturation : USD 6.876066/quota/month.

• Paiement à l'utilisation :

  • Méthode de facturation : Facturation basée sur le nombre de sièges × durée d'utilisation. Lier un serveur consomme une licence de siège. Les serveurs sans configuration de politique sont automatiquement exclus de la facturation.

  • Cycle de facturation : Facturé à l'heure et réglé quotidiennement.

  • Prix : USD 0.014325/seat/hour.

• Facturation hybride :

  • Méthode de facturation : La facturation est basée sur le nombre de licences de sièges achetées. Lier un serveur consomme une licence de siège.

  • Règles de facturation : Après l'activation de Burstable Protection, si le nombre réel de sièges liés dépasse les sièges réguliers de l'abonnement acheté, l'excédent est facturé selon les tarifs des sièges de protection élastique.

    • Sièges réguliers Agentic EDR : USD 6.876066/seat/month.

    • Sièges de protection élastique Agentic EDR : USD 0.014325/seat/hour.

Clôture et désabonnement

Si vous n'avez plus besoin du service EDR, suivez les instructions ci-dessous en fonction du mode de facturation.

• Abonnement : Accédez à la ou à la page de gestion des désabonnements, soumettez une demande de désabonnement et sélectionnez la commande EDR. Pour plus d'informations, consultez la rubrique Se désabonner d'un abonnement.

• Paiement à l'utilisation : Dans la section Enable Pay-as-You-Go Service de la page Security Center console - Overview, désactivez Agentic EDR.

Nettoyage des données

Après la clôture du service, le désabonnement des instances Agentic EDR ou en cas d'impayés sur votre compte, le service d'analyse intelligente du comportement s'arrête immédiatement. La conservation des données est la suivante :

FAQ

• L'expiration de mon instance Security Center affecte-t-elle Agentic EDR ?

  Non, cela n'affecte pas Agentic EDR. Raisons :

  • Facturation indépendante : Agentic EDR est un module de facturation indépendant et est facturé séparément des instances Security Center.

  • Disponibilité continue : Tant que l'instance Agentic EDR est toujours valide, vous pouvez continuer à utiliser des fonctionnalités telles que l'apprentissage et la liaison de serveurs, même si l'instance Security Center a expiré.

• Pourquoi la liste blanche est-elle vide après la fin de l'apprentissage ?

  Une liste blanche vide peut indiquer qu'aucune activité de processus n'a eu lieu sur le serveur pendant la période d'apprentissage. Vérifiez les points suivants, puis cliquez sur Relearn.

  • Vérifiez que le serveur fonctionne correctement et que l'agent Security Center est en ligne.

  • Vérifiez que le processus AliHips fonctionne correctement. Si ce n'est pas le cas, vérifiez si la version du système d'exploitation et du noyau du serveur répond aux exigences de support AliHips.

  • Vérifiez que du trafic métier réel a été généré sur le serveur pendant la période d'apprentissage.

• Comment éviter le blocage erroné des processus métier normaux en mode blocage ?

  • Avant de passer au mode Block, assurez-vous que la durée d'apprentissage est suffisante et que la liste blanche couvre tous les processus métier normaux.

  • Exécutez le système en mode Alert pendant une période donnée et observez si des processus métier normaux sont signalés comme de faux positifs.

  • En cas de blocage erroné, ajoutez le chemin d'accès du processus correspondant à la liste blanche, puis effectuez un Relearn ou un apprentissage incrémentiel.

• Quelle est la différence entre Start Incremental Learning et Relearn ?

  • Apprentissage incrémentiel : Conserve la liste blanche existante et apprend uniquement les nouveaux comportements de processus. Adapté aux ajustements métier mineurs ou à l'ajout d'un petit nombre de nouveaux processus. Risque moindre ; la liste blanche existante n'est pas affectée.

  • Redémarrer l'apprentissage : Efface toutes les données existantes et recommence l'apprentissage à zéro. Adapté aux changements métier majeurs pour lesquels le modèle original n'est plus applicable. Risque plus élevé.