Tous les produits
Search

Ce produit

    Security Center:Défense contre les comportements malveillants

    Centre de documentation

    Security Center:Défense contre les comportements malveillants

    Dernière mise à jour :Sep 14, 2026

    La défense contre les comportements malveillants identifie, bloque et répond aux activités malveillantes sur vos serveurs. Découvrez comment configurer des règles de défense système et personnalisées pour protéger vos ressources.

    Scénarios

    La défense contre les comportements malveillants prend en charge les règles de défense système et les règles de défense personnalisées.

    Important

    Les règles de défense personnalisées sont prioritaires sur les règles de défense système.

    Type de règle

    Description

    règle de défense système

    Les règles de défense système comprennent deux types : Network Threat Prevention et Process Protection.

    • Network Threat Prevention : Security Center bloque et gère automatiquement les attaques réseau de base en fonction des règles de Network Threat Prevention. Vous pouvez consulter les données relatives aux attaques sur la page Network Defense Alert, accessible via le menu Detection and Response > Alerts.

    • Process Protection : Security Center génère des alertes de Precise Defense sur la base des règles de Process Protection. Vous pouvez consulter et gérer ces alertes dans l'onglet Precise Defense, accessible via le menu Detection and Response > Alerts.

    règle de défense personnalisée

    Créez une Custom Defense Rule pour autoriser ou bloquer des comportements spécifiques. Bonnes pratiques pour les règles de défense personnalisées dans la défense contre les comportements malveillants.

    Gérer les règles de défense système

    La défense des processus est disponible dans l'édition Advanced de Security Center. Les éditions Enterprise et Ultimate incluent toutes les règles de défense système.

    1. Connectez-vous à la console Security Center.

    2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Host Protection > Host-specific Rule Management. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

    3. Sur la page Malicious Behavior Defense, cliquez sur l'onglet System Defense Rule pour rechercher et gérer la règle de défense système cible.

      • Activer ou désactiver une règle

        Désactivez une règle inadaptée à votre activité ou qui affecte le score de sécurité de vos ressources.

        Important

        Après la désactivation d'une règle de défense système, Security Center cesse de détecter et de signaler les risques de sécurité associés. Par conséquent, les alertes correspondantes n'apparaîtront pas sur la page Alert. Procédez avec prudence.

        1. Sélectionnez une ou plusieurs règles cibles.

        2. Cliquez sur Batch Enable ou Batch Disable sous la liste des règles.

      • Gérer les hôtes

        Important

        Lorsque vous retirez une ressource d'une règle, celle-ci ne protège plus cette ressource. Procédez avec prudence.

        Pour retirer un serveur spécifique du périmètre de protection de la défense contre les comportements malveillants (par exemple, si un serveur est bloqué par la protection leurre contre les ransomwares), accédez à la page Host Rule Management > Malicious Behavior Defense, sélectionnez la règle de défense correspondante (telle que la règle anti-ransomware) et retirez le serveur du périmètre de protection.

        1. Recherchez la règle de défense système à gérer et cliquez sur Manage Assets dans la colonne Actions.

        2. Dans le panneau Host Management, ajoutez ou supprimez des ressources pour la règle, puis cliquez sur OK.

    Créer des règles de défense personnalisées

    Pour éviter les faux positifs liés aux activités commerciales normales, créez une règle de défense personnalisée afin d'autoriser des comportements spécifiques, tels qu'une ligne de commande ou un hachage de processus.

    1. Connectez-vous à la console Security Center.

    2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Host Protection > Host-specific Rule Management. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

    3. Sur la page Malicious Behavior Defense, cliquez sur l'onglet Custom Defense Rule, puis cliquez sur Create Rule.

    4. Dans le panneau Create Rule, sélectionnez un Rule Type adapté à vos besoins métier, configurez les paramètres, définissez l'Action de la règle, puis cliquez sur Next.

      Les paramètres varient selon le type de règle. Types de règles d'autorisation disponibles :

      • Hachage de processus

      • Ligne de commande

      • Réseau de processus

      • Interception réseau (adresse IP source/domaine)

        Vous pouvez configurer des règles de liste noire ou de liste blanche pour les adresses IP sources ou les domaines. Lorsqu'une alerte de sécurité indique un shell inversé ou une connexion sortante malveillante persistante, vous pouvez bloquer des adresses IP sources d'attaque spécifiques en créant des règles d'interception réseau personnalisées. Les adresses IP ou domaines malveillants fournis par le service client ou les équipes de sécurité peuvent également être ajoutés à la liste noire pour interception.

        Par exemple, après avoir traité une alerte de shell inversé ou une alerte de connexion sortante malveillante persistante, si l'adresse IP source de l'attaquant a été confirmée et que le processus malveillant a été arrêté, vous pouvez bloquer l'adresse IP en suivant les étapes ci-dessous :

        1. Sur la page Malicious Behavior Defense, cliquez sur l'onglet Custom Defense Rule, puis cliquez sur Create Rule.

        2. Sélectionnez Network Interception comme type de règle, ajoutez l'adresse IP source de l'attaquant confirmée ou le domaine malveillant à la liste noire, définissez l'action sur Block, puis sélectionnez les serveurs sur lesquels la règle s'applique.

        Nous vous recommandons également de configurer des règles de groupe de sécurité pour renforcer la protection : créez une règle de refus de groupe de sécurité pour l'instance cible dans la console ECS et ajoutez l'adresse IP malveillante confirmée aux listes de refus entrantes et sortantes afin de bloquer immédiatement le trafic malveillant. Pour plus d'informations, consultez la documentation sur la configuration des règles de groupe de sécurité dans la documentation ECS.

      • Lecture/écriture de fichiers

      • Opération sur le registre

      • Chargement de bibliothèque à liaison dynamique

      • Renommage de fichier

      Exemples de configuration : Bonnes pratiques pour les règles de défense personnalisées dans la défense contre les comportements malveillants.

    5. Dans le panneau Create Rule, sélectionnez les ressources auxquelles appliquer la règle, puis cliquez sur Complete.

      Les nouvelles règles personnalisées sont activées par défaut. Vous pouvez ensuite modifier les règles et gérer les serveurs cibles.

    Consulter et gérer les alertes de sécurité

    Les types d'alertes et les méthodes de gestion varient selon le type de règle.

    Défense des processus

    Security Center génère des alertes de Precise Defense sur la base des règles de Process Protection. Pour consulter et gérer ces alertes :

    1. Connectez-vous à la console Security Center.

    2. Dans le volet de navigation de gauche, sélectionnez Detection and Response > Alerts. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

      Remarque

      Si vous avez activé Agentic SOC, dans le volet de navigation de gauche, sélectionnez Agentic SOC > Management > Alerts. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

    3. Sur la page Alert, cliquez sur l'onglet CWPP, puis cliquez sur le nombre indiqué sous Precise Defense.

      image

    4. Dans la liste des alertes, consultez les alertes automatiquement bloquées. En cas de faux positif, cliquez sur Details dans la colonne Actions et procédez comme suit.

      Exemple : gestion d'un faux positif pour Suspicious Worm Script Behavior.

      Dans le panneau des détails de l'alerte, notez les informations suivantes :

      • Notez le nom de la règle de défense système qui a détecté et signalé l'alerte. Dans cet exemple, la règle est Malicious Destruction of Client Process.

      • Notez l'ATT&CK Attack Stage de l'alerte. Dans cet exemple, il s'agit de Impact and Damage.

      • Notez le nom et l'adresse IP de la ressource affectée.

      image

    5. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Host Protection > Host-specific Rule Management. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

    6. Dans la liste des règles de défense système, recherchez la règle qui a signalé l'alerte.

      • Pour trouver la règle, saisissez son nom, Suspicious Worm Script Behavior, dans la zone de recherche.

      • Vous pouvez également trouver la règle en cliquant sur Impact and Damage dans le menu ATT&CK Attack Stage à gauche.

    7. Dans la liste des règles de défense système, localisez la règle nommée Suspicious Worm Script Behavior et gérez-la.

      • Pour arrêter les alertes générées par cette règle, cliquez sur l'icône Toggle dans la colonne Switch pour la désactiver.

        Important

        Après la désactivation d'une règle de défense système, Security Center cesse de détecter et de signaler les risques de sécurité associés à cette règle. Par conséquent, les alertes correspondantes n'apparaîtront pas sur la page Alert. Procédez avec prudence.

      • Pour traiter uniquement ce faux positif, cliquez sur Manage Assets dans la colonne Actions et retirez la ressource affectée de la liste de protection de la règle.

        Vous pouvez également gérer le faux positif sur la page Alert. Évaluer et gérer les alertes de sécurité.

        Important

        Pour rétablir la protection après avoir traité cette alerte, rajoutez la ressource dans l'onglet System Defense Rules de la page Malicious Behavior Defense.

    Défense réseau

    Sur la base des règles de Network Threat Prevention, Security Center bloque automatiquement les attaques réseau de base et affiche les données associées sur la page Security Alerts > Network Defense Alert. Alertes de défense réseau (anciennement Analyse des attaques).

    Important

    • Pour les produits cloud nouvellement achetés, vous devez attendre environ 3 heures que Security Center synchronise les données d'attaque réseau avant de pouvoir consulter les informations d'analyse des attaques associées.

    • Les alertes de défense indiquent que les attaques sont automatiquement bloquées par Security Center. Aucune action manuelle n'est requise.

    1. Connectez-vous à la console Security Center.

    2. Dans le volet de navigation de gauche, sélectionnez Detection and Response > Alerts. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

      Remarque

      Si vous avez activé Agentic SOC, dans le volet de navigation de gauche, sélectionnez Agentic SOC > Management > Alerts. Dans le coin supérieur gauche de la console, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

    3. Sur la page Alert, cliquez sur l'onglet CWPP, puis cliquez sur le nombre indiqué sous Network Defense Alert pour afficher les informations associées.

      image

    4. (Facultatif) Combinez les règles de groupe de sécurité et les règles de pare-feu réseau pour bloquer les adresses malveillantes et renforcer la défense.

      • Bloquez l'adresse IP source de l'attaquant via les règles de groupe de sécurité : créez une règle de refus de groupe de sécurité pour l'instance cible dans la console ECS et ajoutez l'adresse IP malveillante confirmée aux listes de refus entrantes et sortantes afin de bloquer immédiatement le trafic malveillant. Pour plus d'informations, consultez la documentation sur la configuration des règles de groupe de sécurité dans la documentation ECS.

      • Ajoutez les adresses malveillantes à la liste noire du pare-feu du serveur : après avoir obtenu les adresses IP ou les domaines malveillants auprès du service client ou via les alertes de sécurité, configurez des règles de liste noire sur le pare-feu interne du serveur (tel que iptables, firewalld ou Windows Firewall), ou ajoutez des règles d'interception réseau correspondantes dans les règles de défense personnalisées de Security Center.

      Remarque

      Lorsque vous recevez un avertissement de risque de ransomware ou une autre notification d'événement de sécurité, vous pouvez contacter le service client ou l'équipe d'assistance technique pour obtenir les adresses IP ou de domaine malveillantes, puis les ajouter à la liste noire pour interception en utilisant les méthodes précédentes.