Security Center:Défense contre les logiciels malveillants résidant en mémoire

Prérequis

Intégrez vos applications Java à Application Protection et assurez-vous que leurs instances d'application sont autorisées. Pour plus d'informations, consultez Intégrer des applications à Application Protection.

Logique de détection et d'interception

La fonctionnalité de défense contre les logiciels malveillants résidant en mémoire détecte les menaces telles que les logiciels malveillants résidant en mémoire, les tentatives d'injection et les appels d'exécution malveillants au sein des instances autorisées d'un groupe d'applications. Elle offre des capacités de défense grâce aux moteurs de détection suivants :

• Détection des logiciels malveillants résidant en mémoire : Ce moteur analyse la mémoire à la recherche de code malveillant afin de trouver les menaces cachées et affiche les alertes de détection dans la console. Activez ce moteur en activant le commutateur Memory Shell Detection pour un groupe d'applications.

  Dans la boîte de dialogue Protection Policy, cliquez sur l'onglet Detection Settings, puis activez le commutateur Memory-Resident Malware Detection.

• Injection de logiciels malveillants résidant en mémoire : Ce moteur surveille et intercepte les attaques par logiciels malveillants résidant en mémoire en temps réel, y compris leurs comportements d'injection et d'exécution. Il s'active lorsque les types de détection d'un groupe d'applications incluent In-memory Webshell Injection. Si le Protection Mode du groupe d'applications est défini sur Monitoring, le moteur signale uniquement les alertes sans bloquer les menaces. Si le Protection Mode est défini sur Block, le moteur bloque activement les appels suspects et génère les alertes correspondantes. Ce moteur propose deux méthodes d'interception pour se défendre contre les attaques ciblant divers middleware.

  • Interception pendant le processus d'injection : En surveillant les fonctions API sensibles, RASP observe les comportements des attaquants en temps réel, tels que l'injection de logiciels malveillants résidant en mémoire via l'exécution d'expressions ou la désérialisation. Il bloque l'attaque pendant le processus d'injection, empêchant ainsi le logiciel malveillant d'être injecté dans le contexte de l'application.

  • Interception pendant l'exécution : Si un logiciel malveillant résidant en mémoire est injecté avec succès et tente de s'exécuter, RASP utilise une combinaison d'apprentissage profond et de reconnaissance comportementale pour surveiller l'exécution du programme. En comparant le comportement du programme à une base de données de signatures malveillantes connues, cette technique identifie avec précision et empêche l'activation et l'exécution du logiciel malveillant sans perturber les opérations commerciales normales. Par conséquent, même si un logiciel malveillant est implanté dans le système, un attaquant ne peut pas l'utiliser.

Consulter et gérer les alertes

Par défaut, Application Protection active la détection des logiciels malveillants résidant en mémoire pour tous les groupes d'applications. Après avoir intégré une application à Application Protection, suivez ces étapes pour consulter et gérer les alertes relatives aux logiciels malveillants résidant en mémoire.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Protection Configuration > RASP. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page RASP, sous l'onglet In-memory Webshell Prevention, spécifiez le groupe d'applications et la plage horaire que vous souhaitez consulter.

4. Consultez la In-memory Webshell Alert Trend, la In-memory Webshell Distribution et la liste des alertes de logiciels malveillants résidant en mémoire.

   • Alert for In-memory Webshell Detection : Ces alertes identifient les fichiers statiques de logiciels malveillants résidant en mémoire détectés par le moteur de détection. La liste suivante décrit le statut de traitement de ces alertes :

     • Unhandled : Le moteur de détection a identifié le fichier de logiciel malveillant. Traitez l'alerte manuellement et rapidement.

     • Automatically handled and blocked : Le moteur d'injection de logiciels malveillants résidant en mémoire a détecté l'exécution du fichier de logiciel malveillant ayant déclenché l'alerte et a bloqué son exécution. RASP peut se défendre contre ce logiciel malveillant avec une grande précision. Il bloque également les tentatives d'exécution ultérieures. Redémarrez l'application pour supprimer le fichier de logiciel malveillant de la mémoire.

     • Unhandled and monitored : Le moteur d'injection de logiciels malveillants résidant en mémoire a détecté l'exécution du fichier de logiciel malveillant ayant déclenché l'alerte, mais n'a pas bloqué l'exécution. Ce comportement dépend du paramètre Protection Mode du groupe d'applications. Vous pouvez activer la fonctionnalité de protection pour le groupe d'applications en un seul clic.

     Les statuts actif et inactif des alertes sont décrits ci-dessous :

     • Actif : L'instance d'application qui a déclenché l'alerte est en ligne.

     • Inactif : L'instance d'application qui a déclenché l'alerte est hors ligne.

   • Alert for In-memory Webshell Insertion : Ces alertes identifient les événements détectés par le modèle d'injection de logiciels malveillants résidant en mémoire.

5. Dans la colonne Actions d'une alerte cible, cliquez sur Details. Consultez les onglets Details et Alert Analysis pour déterminer si vous devez traiter l'alerte.

   • Sous l'onglet Details, si vous souhaitez afficher le code source du programme Java s'exécutant en mémoire, activez le commutateur Decompiled Java File. Si vous désactivez ce commutateur, Security Center n'affiche pas le code décompilé.

   • L'onglet Alert Analysis utilise un grand modèle de langage IA pour analyser le code s'exécutant en mémoire et fournir des preuves expliquant pourquoi il a été identifié comme un logiciel malveillant résidant en mémoire. Utilisez ces informations pour évaluer si le logiciel malveillant détecté constitue une menace réelle et améliorer l'efficacité de votre réponse.

     Important

     Vous devez activer le commutateur Decompiled Java File pour afficher le contenu de l'onglet Alert Analysis. La fonctionnalité d'analyse des alertes analyse le fichier Java décompilé.

6. Traitez l'alerte de logiciel malveillant résidant en mémoire.

   • Gérez manuellement le logiciel malveillant résidant en mémoire : Redémarrez l'application pendant les heures creuses pour supprimer le logiciel malveillant résidant en mémoire. Ensuite, définissez le statut de traitement sur Mark as Handled dans la console.

   • Activez la protection en un seul clic : Modifiez le mode de protection du groupe d'applications contenant le serveur affecté en le définissant sur Block. Après avoir activé la protection, le moteur intercepte automatiquement toutes les tentatives ultérieures d'injection et d'exécution de logiciels malveillants résidant en mémoire dans ce groupe d'applications.

   • Ignorer : Si vous n'avez pas besoin de traiter l'alerte, définissez le statut de traitement sur Ignore dans la console.

   • Ajouter à la liste blanche : Accédez à l'onglet Attack Alerts. Dans la colonne Actions de l'alerte d'injection de logiciel malveillant résidant en mémoire cible, cliquez sur Handle pour ajouter l'alerte à la liste blanche. Pour plus d'informations, consultez Ajouter une alerte à la liste blanche.

     Remarque

     Les alertes de détection de logiciels malveillants résidant en mémoire ne peuvent pas être ajoutées à une liste blanche.

Activer ou désactiver la défense contre les logiciels malveillants résidant en mémoire

Application Protection contrôle la défense contre les logiciels malveillants résidant en mémoire au niveau du groupe d'applications. Pour activer ou désactiver cette défense pour un groupe d'applications, suivez ces étapes.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Protection Configuration > RASP. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page RASP, cliquez sur l'onglet Application Configurations. Dans la colonne Actions du groupe d'applications cible, cliquez sur Protection Policy.

4. Dans le panneau Protection Policy, sous l'onglet Protection Policy, sélectionnez ou désélectionnez un groupe de politiques de protection qui inclut In-memory Webshell Injection comme type de détection.

   Si vous sélectionnez un groupe de politiques de protection incluant In-memory Webshell Injection comme type de détection, le moteur d'injection de logiciels malveillants résidant en mémoire est activé. Si le Protection Mode est défini sur Monitor, le moteur signale uniquement les alertes et ne bloque pas les menaces. Si le Protection Mode est défini sur Block, le moteur signale les alertes et bloque les tentatives d'injection et d'exécution de logiciels malveillants résidant en mémoire.

5. Dans le panneau Protection Policy, sous l'onglet Detection Policy, activez ou désactivez le commutateur Memory Shell Detection, puis cliquez sur OK.

   Si vous activez le commutateur de détection des logiciels malveillants résidant en mémoire, la détection est activée pour le groupe d'applications.