Alertes de sécurité CWPP - Security Center - Centre de documentation Alibaba Cloud

Alert name

Description

Anomalous code resident in memory

Security Center a détecté du code malveillant dans l'espace mémoire d'un processus. Cela peut indiquer que des instructions malveillantes ont été injectées dans un processus légitime après son démarrage, ou que le fichier de processus lui-même est malveillant.

Nous recommandons de prendre les mesures suivantes :

1. Examinez le fichier de processus. S'il n'est pas légitime, terminez le processus et mettez le fichier en quarantaine. S'il s'agit d'un processus légitime, terminez-le si cela n'affecte pas vos services.

2. Corrèlez cette alerte avec d'autres alertes sur la machine pour évaluer l'impact potentiel de l'intrusion et prendre des mesures supplémentaires.

3. Analysez la cause racine de l'intrusion et corrigez les vulnérabilités de sécurité pertinentes.

Backdoor process

Cette alerte indique qu'un processus suspect, potentiellement un backdoor, a été détecté sur votre serveur. Un attaquant peut utiliser cette technique pour maintenir un accès persistant.

Auto-start backdoor

Security Center a détecté un élément de démarrage automatique anormal sur votre hôte. Il s'agit probablement d'un mécanisme de persistance implanté par un malware ou un attaquant. Sans intervention, le programme malveillant risque d'être réimplanté. Nous recommandons d'effectuer une analyse complète et de nettoyer l'hôte avec les fonctionnalités de protection antivirus, ou de résoudre manuellement le problème en fonction des détails de l'alerte.

Anomalous process persistence

Cette alerte indique qu'un processus anormal s'exécute sur votre serveur. Il peut s'agir d'un programme malveillant ou d'un programme légitime ayant chargé du code malveillant.

Malicious auto-start script

Cette alerte indique que des fichiers suspects ont été trouvés dans les éléments de démarrage automatique de votre serveur. Cela peut être une technique de persistance utilisée par un malware ou un attaquant via des tâches planifiées ou des scripts de démarrage automatique.

Hidden process

Security Center a détecté un processus masqué aux outils d'affichage standard. Les malwares ou les attaquants utilisent souvent diverses techniques pour cacher des processus malveillants. Cela peut indiquer que l'hôte a été compromis par un backdoor rootkit.

SSH public key backdoor

Cette alerte indique qu'une clé publique SSH anormale a été trouvée sur votre serveur. Des vers ou des attaquants sont connus pour ajouter de telles clés aux serveurs compromis afin de maintenir un accès persistant.

Cobalt Strike remote control Trojan

Security Center a détecté un backdoor de contrôle à distance Cobalt Strike dans la mémoire de ce processus.

Cela peut résulter d'une attaque par injection de processus où du code malveillant est injecté dans un processus légitime. Même si le fichier de processus est légitime, il exécute du code malveillant après l'injection.

Alternativement, le programme lui-même peut être malveillant.

Nous recommandons de prendre les mesures suivantes :

2. Corrèlez cette alerte avec d'autres alertes sur la machine pour évaluer l'impact potentiel de l'intrusion et prendre des mesures supplémentaires.

3. Analysez la cause racine de l'intrusion et corrigez les vulnérabilités de sécurité pertinentes.

Hidden kernel module

Cette alerte indique qu'un module de noyau caché a été trouvé sur votre serveur. Il s'agit probablement d'un backdoor rootkit implanté par un attaquant ou un malware pour maintenir les privilèges système et cacher d'autres activités malveillantes.

Memory-resident backdoor in web application

Cette alerte indique que du code ou des données suspects ont été détectés dans la mémoire d'un processus d'application web. Ce backdoor résidant en mémoire ne nécessite pas de fichier sur le disque. Nous recommandons de corriger la vulnérabilité de l'application web et de redémarrer l'application pour supprimer le backdoor. Vérifiez également s'il existe d'autres alertes connexes sur l'hôte. Si vous déterminez que cette alerte est un faux positif, ignorez-la ou ajoutez-la à une liste blanche.

Kerberos ticket injection attack

Cette alerte signale une attaque par injection de ticket Kerberos.

WMI event subscription persistence attack

Cette alerte signale une attaque de persistance par abonnement d'événement WMI.

Skeleton Key domain controller persistence attack

Cette alerte signale une attaque de persistance Skeleton Key sur un contrôleur de domaine.

Process path spoofing

Cette alerte signale une usurpation de chemin de processus.

Anomalous registry key

Cette alerte indique un élément de configuration de registre suspect sur votre serveur. Les malwares modifient souvent des configurations de registre clés pour assurer leur persistance ou interférer avec la protection de sécurité.

Anomalous library file loading

Cette alerte signale le chargement d'un fichier de bibliothèque anormal.

Process executable image tampering

Cette alerte signale une falsification de l'image exécutable d'un processus.

SID History injection attack

Cette alerte signale une attaque par injection d'historique SID.

Dynamic-link library function hijacking

Cette alerte signale un détournement de fonction de bibliothèque de liens dynamiques.

Anomalous .NET module loaded into memory

Cette alerte signale le chargement en mémoire d'un module .NET anormal.

Anomalous scheduled task

Cette alerte signale une tâche planifiée anormale.

Anomalous scheduled task

Cette alerte signale une tâche planifiée anormale.

Anomalous thread execution

Cette alerte signale une exécution de thread anormale.

Process hiding behavior

Cette alerte signale un comportement de masquage de processus.

Anomalous code found in web application memory

Cette alerte indique que du code anormal a été trouvé dans la mémoire d'une application web.

Anomalous service in Linux

Cette alerte signale un service anormal sous Linux.

Anomalous service in Windows

Cette alerte signale un service anormal sous Windows.

System base library file hijacking

Cette alerte signale un détournement de fichier de bibliothèque de base système.

Process runtime function hijacking

Cette alerte signale un détournement de fonction d'exécution de processus.

Anomalous startup script in Linux

Cette alerte signale un script de démarrage anormal sous Linux.

Cobalt Strike remote control Trojan

Security Center a détecté un backdoor de contrôle à distance Cobalt Strike dans la mémoire de ce processus.

Alternativement, le programme lui-même peut être malveillant.

Nous recommandons de prendre les mesures suivantes :

2. Corrèlez cette alerte avec d'autres alertes sur la machine pour évaluer l'impact potentiel de l'intrusion et prendre des mesures supplémentaires.

3. Analysez la cause racine de l'intrusion et corrigez les vulnérabilités de sécurité pertinentes.

Kerberos ticket injection attack

Cette alerte signale une attaque par injection de ticket Kerberos.

Anomalous service in Linux

Cette alerte signale un service anormal sous Linux.

Anomalous scheduled task

Cette alerte signale une tâche planifiée anormale.

SID History injection attack

Cette alerte signale une attaque par injection d'historique SID.

Skeleton Key domain controller persistence attack

Cette alerte signale une attaque de persistance Skeleton Key sur un contrôleur de domaine.

Anomalous service in Windows

Cette alerte signale un service anormal sous Windows.

Anomalous scheduled task

Cette alerte signale une tâche planifiée anormale.

WMI event subscription persistence attack

Cette alerte signale une attaque de persistance par abonnement d'événement WMI.

Dynamic-link library function hijacking

Cette alerte signale un détournement de fonction de bibliothèque de liens dynamiques.

Backdoor process

Cette alerte indique qu'un processus suspect, potentiellement un backdoor, a été détecté sur votre serveur. Un attaquant peut utiliser cette technique pour maintenir un accès persistant.

Anomalous .NET module loaded into memory

Cette alerte signale le chargement en mémoire d'un module .NET anormal.

Anomalous code resident in memory

Nous recommandons de prendre les mesures suivantes :

2. Corrèlez cette alerte avec d'autres alertes sur la machine pour évaluer l'impact potentiel de l'intrusion et prendre des mesures supplémentaires.

3. Analysez la cause racine de l'intrusion et corrigez les vulnérabilités de sécurité pertinentes.

Anomalous library file loading

Cette alerte signale le chargement d'un fichier de bibliothèque anormal.

Anomalous registry key

Anomalous thread execution

Cette alerte signale une exécution de thread anormale.

System base library file hijacking

Cette alerte signale un détournement de fichier de bibliothèque de base système.

Process executable image tampering

Cette alerte signale une falsification de l'image exécutable d'un processus.

Process path spoofing

Cette alerte signale une usurpation de chemin de processus.

Process runtime function hijacking

Cette alerte signale un détournement de fonction d'exécution de processus.

Process hiding behavior

Cette alerte signale un comportement de masquage de processus.

Anomalous terminal configuration file in Linux

Cette alerte signale un fichier de configuration de terminal anormal sous Linux.

Sensitive File Tampering

Alert name

Description

System file tampering

Un processus sur votre serveur a tenté de modifier ou de remplacer des fichiers système. Cela peut être une tentative d'un attaquant pour échapper à la détection ou cacher un backdoor. Vérifiez immédiatement l'authenticité du fichier système affecté.

System file moving

Un processus sur votre serveur a tenté de déplacer des fichiers système. Un attaquant peut procéder ainsi pour contourner les logiciels de sécurité qui surveillent ces fichiers.

Suspicious tampering with the Linux shared library preload configuration file

Le système a détecté une falsification suspecte du fichier de configuration de préchargement de bibliothèque partagée sur votre serveur.

Anomalies de cluster de conteneurs

Alert name

Description

Suspicious command executed in a container via the Kubernetes API

Security Center a détecté l'exécution d'une commande suspecte dans un conteneur via l'API Kubernetes. Cette activité est une technique courante de mouvement latéral, par exemple entre conteneurs ou d'un nœud vers un conteneur. Bien que cette activité puisse être légitime pour certaines tâches métier ou O&M, elle peut également indiquer une intention malveillante.

Malicious image pod startup

Cette alerte se déclenche lorsqu'un pod démarre à partir d'une image malveillante dans votre cluster Kubernetes. Cela se produit généralement lorsqu'une image contient des backdoors, des programmes de crypto-minage ou d'autres malwares.

Kubernetes service account lateral movement

Cette alerte se déclenche lorsqu'un compte de service demande des permissions qui s'écartent de sa base de référence établie ou déclenche plusieurs échecs d'authentification. Ce comportement signifie souvent qu'un attaquant a compromis un pod et utilise les identifiants volés du compte de service pour attaquer le serveur API. Examinez immédiatement cette activité.

Successful authentication of a Kubernetes anonymous user

Cette alerte se déclenche lorsqu'un utilisateur anonyme s'authentifie avec succès. N'autorisez pas les utilisateurs anonymes à accéder aux ressources critiques d'un cluster de production. Le risque est extrêmement élevé si le cluster est exposé à Internet public et autorise l'accès anonyme. Les attaquants exploitent souvent l'authentification anonyme pour contrôler le serveur API Kubernetes et déployer des charges de travail malveillantes. Vérifiez que cette opération a été effectuée par un utilisateur de confiance et restreignez les permissions d'accès anonyme.

Anomalous access to Kubernetes Secrets

Cette alerte se déclenche lorsqu'un compte énumère les Secrets dans votre cluster Kubernetes. Cette activité peut indiquer qu'un attaquant a compromis le cluster et tente de voler des informations sensibles stockées dans les Secrets. Vérifiez que cette opération a été effectuée par une application ou un administrateur de confiance.

Suspicious Kubernetes operation sequence

Security Center a détecté qu'un compte de votre cluster Kubernetes a exécuté une série de commandes à haut risque s'écartant de sa base de référence établie. Vérifiez que ces commandes ont été exécutées par un administrateur autorisé. Dans le cas contraire, votre cluster pourrait être compromis. Si vous confirmez que l'activité est légitime, ajoutez-la à la liste blanche pour supprimer les alertes similaires à l'avenir.

Kubernetes user bound to an administrator role

Security Center a détecté qu'un utilisateur de votre cluster Kubernetes était lié à un rôle système à privilèges élevés, tel qu'un ClusterRole. Confirmez que cette action a été effectuée par un administrateur ou un composant système autorisé. Sinon, cela peut indiquer qu'un attaquant a compromis votre serveur et crée un compte backdoor pour assurer sa persistance. S'il s'agit d'un faux positif, ajoutez le comportement à la liste blanche pour supprimer ce type d'alerte.

Suspected Kubernetes service man-in-the-middle attack (CVE-2020-8554)

Dans un cluster Kubernetes, un utilisateur peut créer un Service pour détourner le trafic du cluster et le transférer vers une adresse IP externe arbitraire afin d'exfiltrer des données. Security Center a détecté qu'un Service créé dans votre cluster Kubernetes possède une adresse IP externe spécifiée dans son champ ExternalIP. Ce comportement correspond au schéma d'exploitation de la vulnérabilité d'homme du milieu Kubernetes (CVE-2020-8554).

Sensitive host path mount

Security Center a trouvé un pod montant un répertoire ou un fichier sensible de l'hôte au démarrage. Cette configuration pose un risque d'échappement de conteneur. Si le pod est compromis, un attaquant pourrait exploiter le fichier monté pour sortir du conteneur et prendre le contrôle du nœud. Minimisez l'utilisation de montages de chemins d'hôte sensibles pour les pods, tels que le répertoire racine, les répertoires de configuration des tâches planifiées ou les répertoires de configuration des services système. Si cette configuration est nécessaire pour votre activité et que le risque est acceptable, ajoutez-la à une liste blanche pour supprimer cette alerte.

Suspicious request to the Kubernetes API server

Cette alerte est déclenchée par une requête suspecte adressée au serveur API Kubernetes. Pour plus de détails sur l'anomalie, consultez les détails de l'alerte. Cette activité pourrait également être une opération métier normale. Pour déterminer si la requête est légitime, examinez l'adresse IP source, le User-Agent, la ressource demandée et l'utilisateur qui a initié la requête. Pour consulter les journaux d'audit complets du serveur API Kubernetes, utilisez le champ auditID des détails de l'alerte pour rechercher dans les journaux d'audit Kubernetes dans SLS.

Kubernetes cluster user bound to a high-privilege role

Cette alerte se déclenche lorsqu'un utilisateur de votre cluster Kubernetes est lié à un rôle à privilèges élevés. Les privilèges élevés désignent les permissions permettant de lire ou de modifier des ressources critiques dans un namespace ou dans l'ensemble du cluster. Les exemples incluent les permissions d'administrateur de cluster, la capacité de lire tous les Secrets d'un namespace, de créer des pods, d'exécuter des commandes dans des pods ou de créer d'autres rôles à privilèges élevés. Un scénario d'attaque courant consiste à accorder des permissions excessives au compte de service d'une application web. Un attaquant peut exploiter une vulnérabilité web pour entrer dans un pod, puis utiliser les identifiants du compte de service pour accéder à d'autres ressources du cluster et les contrôler.

Anomalous token creation by a service account

Les demandes de jetons sont généralement initiées par des utilisateurs réels. Un compte de service est un objet Kubernetes qui permet aux processus d'un pod d'interagir avec le serveur API. Lorsqu'un compte de service tente d'obtenir un jeton pour un autre compte, cela peut indiquer une tentative d'élévation de privilèges.

Service account modifies its own cluster role permissions

Un compte de service ne modifie généralement pas les permissions du ClusterRole auquel il est lié. Lorsqu'un compte de service demande à modifier les permissions de son propre ClusterRole lié, cela indique souvent une tentative d'élévation de privilèges.

Service account modifies its bound cluster role

Le compte de service d'une application ne modifie généralement pas le ClusterRole auquel il est lié. Cette alerte se déclenche lorsqu'un compte de service crée et lie son propre rôle, ce qui indique souvent une tentative d'élévation de privilèges.

Service account impersonates another user principal to request resources

Le compte de service d'une application n'a généralement pas besoin d'usurper l'identité d'autres principaux utilisateurs pour demander des ressources. Lorsqu'un compte de service effectue une requête en usurpant l'identité d'un autre principal utilisateur, cela indique souvent une tentative d'élévation de privilèges.

Service account creates a pod using a system component's service account

Les comptes de service des composants système ont généralement des privilèges élevés et ne devraient pas être utilisés par d'autres charges de travail. Lorsqu'un compte de service crée un pod qui utilise le compte de service d'un composant système, cela indique souvent une tentative d'élévation de privilèges.

Suspicious request to check its own permissions

Les charges de travail d'un cluster ont rarement besoin de vérifier leurs propres permissions de compte de service. Lorsqu'un compte de service demande son propre ensemble de permissions, cela peut indiquer qu'un attaquant a compromis le compte de service.

Node identity obtains cluster Secret

Le certificat kubelet d'un nœud de cluster peut être utilisé pour obtenir des Secrets. Un attaquant peut abuser de cette capacité pour accéder à des informations sensibles dans le cluster. Par conséquent, lorsqu'une identité de nœud demande un Secret, cela indique souvent une tentative d'élévation de privilèges.

Service account creates a node proxy resource to execute a command

La sous-ressource proxy d'un nœud peut être utilisée pour exécuter des commandes dans un pod, mais cette méthode n'est généralement pas requise pour les charges de travail d'un cluster. Lorsqu'un compte de service utilise la sous-ressource proxy d'un nœud pour exécuter une commande dans un pod, cela indique souvent une tentative d'élévation de privilèges.

Service account steals another node's pod

Un taint est une fonctionnalité de planification Kubernetes qui restreint les pods pouvant être planifiés sur un nœud donné. Un attaquant ayant compromis un nœud peut appliquer des taints à d'autres nœuds pour les marquer comme non planifiables. Cela force un pod cible à être planifié sur le nœud compromis, permettant à l'attaquant de voler ses identifiants. Lorsqu'un compte de service crée des taints pour de nombreux nœuds, cela indique souvent une tentative d'élévation de privilèges.

Service account directly accesses the kubelet listening port

Le kubelet et le serveur API utilisent le port 10250 pour communiquer. Les charges de travail métier au sein du cluster n'utilisent généralement pas de compte de service pour accéder à ce port. Lorsqu'un compte de service accède directement au port d'écoute du kubelet et demande une ressource spécifique, cela indique souvent une tentative d'élévation de privilèges.

Service account creates an ephemeral container to enter a pod

Les conteneurs éphémères permettent aux développeurs de déboguer un pod en cours d'exécution en créant un conteneur éphémère dans le namespace du pod cible. Cette opération ne doit pas être initiée par un compte de service. Lorsqu'un compte de service demande à créer un conteneur éphémère, cela signifie généralement qu'un attaquant utilise cette identité pour tenter une élévation de privilèges en entrant dans un autre pod.

Suspicious Account

Alert name

Description

Backdoor account

Cette alerte indique la présence d'un compte suspect sur votre hôte. Un attaquant ou un programme malveillant peut créer un nouveau compte ou activer un compte invité pour assurer sa persistance. Si ce compte n'est pas utilisé pour des opérations métier légitimes, connectez-vous à l'hôte pour enquêter et prendre des mesures.

Nom de l'alerte	Description
Reverse shell	Security Center a détecté l'exécution d'une commande `reverse shell` sur votre `server`. Les attaquants utilisent cette technique pour établir une connexion réseau inverse vers leur propre `server`, ce qui leur permet d'exécuter des commandes arbitraires.
Exécution anormale de commande dans une application Java	Cette alerte signale qu'un processus `Java` sur votre `server` a initié un comportement à haut risque, tel que le téléchargement de programmes malveillants ou l'ajout d'un `backdoor`. Cette activité résulte souvent d'une `vulnerability` dans un framework web ou un `middleware`.
Exécution anormale de commande dans MySQL	Cette alerte indique que votre service `MySQL` a exécuté une commande suspecte. Cela peut être dû à un `weak password` pour le service `MySQL` ou à une `vulnerability` d'`SQL injection` dans un service web.
Exécution anormale de commande dans une application PostgreSQL	Cette alerte signale que votre service `PostgreSQL` a exécuté une commande suspecte. La cause peut être un `weak password` pour le service `PostgreSQL` ou une `vulnerability` d'`SQL injection` dans un service web.
Exploitation due à une mauvaise configuration de Redis	Cette alerte se déclenche lorsque l'application `Redis` sur votre `server` écrit un fichier suspect sur le disque. Cela peut indiquer qu'un attaquant a exploité un mot de passe vide ou un `weak password` pour exécuter des commandes malveillantes, prenant potentiellement le contrôle direct du `server`.
Écriture suspecte d'un certificat de connexion sans mot de passe	Alibaba Cloud Security a détecté une modification anormale de fichier dans un répertoire lié aux certificats racines. Cela pourrait indiquer qu'un attaquant tente d'injecter un certificat sans mot de passe dans le `server` en vue de futures attaques par connexion.
Fuite d'informations suspecte via tunnel HTTP	Cette alerte indique que Security Center a détecté une activité où la sortie d'une commande a été envoyée à un `server` externe via un canal HTTP. Cela peut signifier qu'un attaquant exfiltre les résultats d'une commande exécutée grâce à une `vulnerability` d'exécution de code à distance (RCE).
Fichier de bibliothèque UDF suspect écrit par abus de la fonction d'exportation PostgreSQL	Cette alerte signale que l'application `PostgreSQL` sur votre `server` a tenté d'écrire un fichier objet partagé (.so) suspect sur le disque. Cela pourrait indiquer qu'un attaquant a exploité un `weak password` pour se connecter et exécuter du code SQL malveillant. Une attaque réussie pourrait donner à l'attaquant le contrôle de votre `server`.
Fichier suspect écrit par abus de la fonction d'exportation MySQL	Cette alerte indique que l'application `MySQL` sur votre `server` a tenté d'écrire un fichier dans un répertoire sensible. Cela pourrait signifier qu'un attaquant a exploité un `weak password` ou une `vulnerability` dans une application web pour exécuter du code SQL malveillant.
Séquence de commandes CMD suspecte	Cette alerte se déclenche lorsqu'un processus sur votre système exécute une séquence de commandes suspectes correspondant étroitement aux modèles utilisés par les attaquants après un compromis. Nous vous recommandons d'analyser le `parent process`, qui pourrait être un `remote control trojan`, un service web vulnérable ou un processus légitime injecté avec du code malveillant.
Opération anormale sur un compte Windows	Cette alerte signale qu'une commande suspecte a été exécutée dans le contexte d'un compte de système d'exploitation. Cela peut résulter d'un logiciel malveillant ou d'un attaquant effectuant des opérations non autorisées sur les comptes utilisateurs.
Opération de script suspecte	Cette alerte indique qu'une commande hautement suspecte liée à un script a été exécutée sur votre système. Cette activité est probablement associée à un logiciel malveillant ou à une violation de sécurité.
Opération anormale dans le registre	Cette alerte signale qu'une commande a modifié le `registry` d'une manière hautement suspecte. Il peut s'agir d'une modification de configuration effectuée par un logiciel malveillant ou un attaquant après une intrusion.
Exécution de commande suspecte	Cette alerte indique que la ligne de commande d'un processus exécuté sur votre `server` est hautement suspecte et probablement liée à un `trojan`, un `virus` ou une activité malveillante d'un attaquant.
Commande obfusquée suspecte dans Windows	Cette alerte se déclenche lorsqu'une ligne de commande exécutée sur l'`host` est obfusquée. Les attaquants et les logiciels malveillants utilisent souvent des variations de casse ou des caractères spéciaux pour masquer les lignes de commande afin de contourner la détection de sécurité.
Chemin de processus suspect	Cette alerte signale qu'un processus sur votre `server` a été lancé depuis un chemin inhabituel. Les logiciels légitimes ne se trouvent généralement pas dans de tels répertoires, ce qui suggère que le processus pourrait être un `virus`, un `trojan` ou un outil placé par un attaquant.
Commande encodée suspecte	Cette alerte indique que la ligne de commande d'un processus exécuté sur votre `server` est hautement suspecte et probablement liée à un `trojan`, un `virus` ou une activité malveillante d'un attaquant.
Séquence de commandes suspecte sous Linux	Cette alerte se déclenche lorsqu'un processus sur votre système exécute une série de commandes suspectes correspondant étroitement aux modèles utilisés par les attaquants après un compromis. Nous vous recommandons d'analyser le `parent process`, qui pourrait être un `reverse shell`, un `remote control trojan`, un service web vulnérable ou un processus légitime injecté avec du code malveillant.
Suppression anormale de journaux système	Cette alerte signale qu'un processus sur votre système a tenté de supprimer des `system logs`. Les attaquants et les logiciels malveillants effacent souvent les `system logs` pour échapper à la détection.
Suppression anormale de sauvegardes système	Cette alerte indique qu'un processus sur votre système a tenté de supprimer des fichiers de sauvegarde système. Cela peut être une action de `ransomware` visant à empêcher la restauration des fichiers et à garantir le paiement de la rançon.
Modification anormale de la configuration de sécurité du système	Cette alerte signale qu'un processus sur votre système a modifié la configuration de sécurité du système. Il peut s'agir d'un logiciel malveillant ou d'un attaquant modifiant les configurations du `firewall` ou de l'antivirus pour échapper à la détection.
Appel anormal à un outil système	Cette alerte indique qu'un processus sur votre système a appelé un outil système de manière suspecte. Les chevaux de Troie, les virus ou les attaquants utilisent souvent cette méthode pour contourner les logiciels de sécurité conventionnels afin d'effectuer des actions malveillantes telles que le téléchargement de fichiers, le chiffrement de données ou le chargement de code malveillant.
Modification anormale d'un élément de démarrage	Cette alerte signale qu'un processus sur votre système a tenté de modifier un `startup item` système. Cela peut être un `trojan`, un `virus` ou un attaquant utilisant un `startup item` pour maintenir la `persistence`.
Commande de sondage suspecte	Cette alerte indique qu'une commande typiquement utilisée pour la reconnaissance a été exécutée. Les attaquants utilisent des commandes de sondage pour recueillir des informations sur l'environnement système, la configuration réseau ou les services en cours d'exécution.
Exécution suspecte de commande dans un conteneur	Cette alerte signale une exécution anormale de commande dans votre `container`, ce qui suggère une intrusion potentielle.
Exécution d'une image de conteneur malveillante	Cette alerte indique que votre `server` exécute une `container image` malveillante. Cette image contient très probablement un `backdoor`, un programme de minage, un `virus` ou une `vulnerability` grave connue. Analysez la situation immédiatement et utilisez des sources d'images fiables.
Escalade de privilèges ou évasion dans un conteneur	Security Center a détecté un comportement suspect dans un `container`, tel qu'une tentative de `privilege escalation` ou de `container escape`. Les techniques courantes incluent l'accès à docker.sock, l'utilisation d'outils d'évasion ou la création de cgroups. Cette activité peut également faire partie d'une opération légitime. S'il s'agit d'une opération autorisée, vous pouvez ignorer l'alerte ou la marquer comme `false positive`.
Démarrage de conteneur privilégié	Cette alerte signale qu'un `privileged container` suspect a démarré sur votre `server`. Un `privileged container` affaiblit la sécurité d'exécution et, s'il est compromis, peut mettre en danger d'autres conteneurs et ressources sur l'`host`. Assurez-vous que votre `privileged container` utilise une source d'image fiable et que ses services en cours d'exécution sont sécurisés.
Interface de débogage distant Docker à risque	Cette alerte indique que votre interface de débogage distant `Docker` est exposée sur 0.0.0.0. Une interface exposée à l'internet public peut être rapidement compromise par un `worm`. Même une interface exposée en interne présente un risque, car les attaquants utilisent souvent ces mauvaises configurations pour effectuer des `lateral movement` afin de contrôler des ressources `container` supplémentaires après une violation initiale.
Escalade de privilèges suspectée	Cette alerte signale qu'un processus sur votre `server` exploite probablement une `vulnerability` système ou applicative pour obtenir des privilèges plus élevés. Il peut s'agir d'une tentative de `privilege escalation` par un attaquant lors d'une intrusion.
Comportement anormal de conteneur	Security Center a détecté des opérations manuelles dans votre `container`, telles que l'installation de logiciels, l'exécution de scripts ou le sondage de l'environnement du `container`. C'est une tactique courante pour les `lateral movement` et la `privilege escalation` après le compromis d'un `container`, mais cela peut aussi faire partie d'une opération légitime. Si vous déterminez que cette alerte est un `false positive`, vous pouvez sélectionner « Add to whitelist » ou « Ignore » sur la page de gestion des alertes.
Comportement d'analyse réseau initié par un conteneur	Cette alerte indique que votre `container` a initié un comportement suspect d'analyse réseau. Cela peut être une méthode utilisée par un attaquant pour poursuivre la pénétration et effectuer des `lateral movement`.
Collecte d'informations d'identification dans un conteneur	Cette alerte signale qu'un accès à des fichiers sensibles a été détecté dans votre `container`. Ces fichiers peuvent inclure des fichiers de configuration pour `Docker`, Swarm ou `Kubernetes`, des configurations de connexion à une base de données, des identifiants de connexion, une `AccessKey`, des certificats et des fichiers de `private key`. Vérifiez immédiatement s'il y a eu intrusion et évaluez le risque de fuite de données.
Opération de conteneur à haut risque	Cette alerte indique que votre `server` effectue une opération `container` à haut risque. Consultez les détails de l'alerte pour connaître la raison spécifique. Analysez ce comportement. S'il s'agit d'une opération légitime, vous pouvez ignorer l'alerte ou la marquer comme `false positive`.
Altération de l'horodatage de fichier	Cette alerte signale qu'un processus sur votre `server` a tenté de falsifier l'horodatage d'un fichier. Les attaquants peuvent utiliser cette technique pour forger les véritables heures de création, d'accès ou de modification d'un fichier malveillant afin d'échapper à la détection en imitant les horodatages des fichiers système normaux.
Comportement de transfert par proxy réseau	Cette alerte indique que votre `server` a appelé un outil à risque. De tels outils sont utilisés par les attaquants pour le proxy, le tunneling et l'analyse dans le cadre d'intrusions ultérieures.
Usurpation d'identité d'un conteneur système Kubernetes	Security Center a détecté qu'une commande `Docker` a été exécutée sur votre `server` pour démarrer un `container` se faisant passer pour un service interne `Kubernetes`. C'est une tactique courante utilisée par les attaquants pour cacher un `container` `backdoor` en lui donnant le nom d'un `container` interne `Kubernetes` légitime.
Opération manuelle sensible dans un conteneur	Security Center a détecté des opérations manuelles dans votre `container`, telles que l'installation de logiciels, l'exécution de scripts ou le sondage de l'environnement du `container`. Cela se produit souvent lorsqu'un attaquant doit enrichir l'environnement du `container` pour effectuer des `lateral movement` après un compromis. Cela peut également se produire lors de tests. Confirmez si l'action est autorisée. Si l'opération est légitime, vous pouvez ajouter une règle à la `whitelist` pour supprimer cette alerte.
Séquence de commandes de sondage suspecte dans un environnement de conteneur	Security Center a détecté une séquence de commandes suspectes exécutées dans un environnement `container`. Ceci est fréquent lorsqu'un attaquant, après avoir obtenu l'accès au `container`, sonde l'environnement de l'`host`, les informations du cluster ou les conditions de `container escape` pour réaliser une `privilege escalation` et des `lateral movement`. Comme ces actions sont subtiles, elles peuvent également faire partie d'une opération légitime. Vérifiez si l'accès et les actions provenant de l'adresse IP source font partie d'une opération normale.
Commande de ver	Cette alerte se déclenche lorsqu'une commande associée à un `worm` est exécutée. Les vers utilisent de telles commandes pour s'autorépliquer et se propager à d'autres systèmes.
Comportement d'exploitation d'outil de pénétration	Cette alerte signale qu'un comportement associé à l'utilisation d'un outil de test de pénétration a été détecté. Bien que ces outils puissent être utilisés pour des tests de sécurité légitimes, leur utilisation non autorisée peut indiquer une attaque.
Appel d'un outil d'analyse	Cette alerte indique qu'un outil d'analyse réseau ou de `vulnerability` a été appelé. C'est une technique de reconnaissance courante utilisée par les attaquants pour découvrir les faiblesses d'un système.
Démarrage d'une image suspecte	Security Center a constaté que votre `server` a démarré un `container` à partir d'une image suspecte. Ceci est fréquent lorsqu'un attaquant exploite une `vulnerability` de service pour planifier un `container` et implanter une image malveillante pour le minage ou la création d'un `backdoor`. Analysez la situation immédiatement. Si elle est légitime, vous pouvez ignorer l'alerte ou la marquer comme `false positive`. Security Center maintient une base de renseignements sur les images malveillantes en analysant les dépôts publics et en surveillant la propagation des images malveillantes dans le cloud. Vous pouvez utiliser la fonctionnalité `Image Scan` pour vérifier les vulnérabilités et les fichiers malveillants dans les images.
Instruction PowerShell suspecte	Les attaquants utilisent souvent `PowerShell` pour des activités malveillantes telles que le téléchargement de fichiers, l'exécution de logiciels malveillants sans fichier ou la création d'un `reverse shell`.
Comportement suspect d'implantation de fichier	Cette alerte se déclenche lorsqu'un fichier suspect est créé ou écrit sur le disque. Cela peut indiquer qu'un attaquant a compromis le système et implante des logiciels malveillants ou d'autres outils.
Vidage mémoire LSASS	Cette alerte signale qu'un logiciel malveillant, tel que Mimikatz, a été détecté en cours d'exécution sur votre `server`. Ce type d'outil peut extraire les hachages de comptes du processus Local Security Authority Subsystem Service (LSASS), ce qui peut entraîner un compromis des `credential`.
Extraction des identifiants du système d'exploitation	Cette alerte se déclenche lorsqu'une activité associée à l'extraction des identifiants du système d'exploitation, tels que les hachages de mots de passe ou les tickets Kerberos, est détectée. Les attaquants utilisent cette technique pour escalader les privilèges ou se déplacer latéralement dans un réseau.
Séquence suspecte de comportements de processus	Cette alerte se déclenche lorsqu'un processus lance plusieurs processus enfants suspects. Cela peut indiquer qu'un service d'application vulnérable a été compromis ou que le `parent process` lui-même est malveillant.
Exécution d'un fichier chargé dynamiquement depuis la mémoire	Cette alerte indique qu'un fichier a été chargé dynamiquement depuis la mémoire et exécuté. Cette technique « sans fichier » est souvent utilisée par les logiciels malveillants pour échapper à la détection par les scanners traditionnels basés sur les fichiers.
Injection de processus suspectée	Un processus a injecté du code dans un autre processus. Les attaquants utilisent cette technique pour contourner la détection, escalader les privilèges ou accéder à des informations sensibles en mémoire. Nous vous recommandons de prendre les mesures suivantes : 1. Examinez les fichiers des processus source et cible. S'ils ne sont pas légitimes, terminez les processus et mettez les fichiers en quarantaine. S'ils sont légitimes, redémarrez ou terminez les processus s'il n'y a pas d'impact sur vos services. 2. Corrèlez cette alerte avec d'autres alertes sur le même système pour évaluer l'impact potentiel de l'intrusion et prendre des mesures supplémentaires. 3. Analysez la cause de l'intrusion et corrigez la `vulnerability` de sécurité concernée.
Une application web crée un processus enfant anormal	Cette alerte signale qu'une application web a créé un processus enfant inhabituel. Les applications web légitimes ne génèrent généralement pas de shells ou d'autres processus inattendus. Ce comportement pourrait indiquer une exploitation réussie d'exécution de code à distance.
Attaque latérale suspectée sur le réseau interne	Cette alerte indique un comportement cohérent avec des `lateral movement` au sein de votre réseau interne, tels que des tentatives de connexion à d'autres hôtes à l'aide d'identifiants volés ou d'exploits de services réseau. Cela suit souvent un compromis initial.
Comportement de création de backdoor persistant	Cette alerte se déclenche lorsque Security Center détecte la création d'un mécanisme de `persistence`, tel qu'un nouveau service, une `scheduled task` ou une clé de `registry`, couramment utilisé pour maintenir l'accès à un système compromis.
Comportement de démarrage de backdoor persistant	Cette alerte se déclenche lorsqu'un mécanisme de `persistence` connu ou suspect est activé. Cela indique qu'un `backdoor` précédemment établi est maintenant en cours d'exécution.
Obfuscation de la ligne de commande de processus	Cette alerte signale que la ligne de commande d'un processus sur l'`host` contient un encodage obfusqué, ce qui suggère qu'un programme malveillant ou un attaquant tente de contourner la détection de sécurité.
Collecte d'informations sur l'environnement cloud	Cette alerte indique que des commandes ont été utilisées pour collecter des informations sur l'environnement cloud, telles que les métadonnées d'instance, les données utilisateur ou les identifiants de rôle IAM. Les attaquants effectuent cette reconnaissance pour comprendre l'environnement et identifier d'autres cibles.
Exécution d'une tâche planifiée anormale	Cette alerte signale que le composant `scheduled task` du système a créé un processus suspect. Cela peut résulter d'un programme malveillant ou d'un attaquant ajoutant du code malveillant à une `scheduled task` pour maintenir la `persistence` après avoir obtenu l'accès à l'`host`.
Backdoor SSH	Un processus `backdoor` lié à Secure Shell (SSH) a été détecté. Après avoir obtenu l'accès à un `host` `Linux`, un attaquant ou un programme malveillant peut modifier des fichiers ou des configurations liés à SSH pour créer un `backdoor` de connexion.
Backdoor d'extension d'éditeur	Un `backdoor` suspect lié à une `extension` d'éditeur a été trouvé. Des programmes malveillants ou des attaquants peuvent utiliser la fonctionnalité d'`extension` d'un éditeur normal pour cacher un `backdoor`.
Évasion suspectée par altération de fichier	Security Center a détecté une tentative d'ouverture d'un fichier important en mode écriture. Cette technique est souvent utilisée pour s'échapper d'un `container` vers l'`host` en altérant le fichier. Analysez le processus, le fichier auquel on accède et les attributs d'ouverture du fichier pour déterminer s'il s'agit d'une opération légitime. Si l'opération est légitime, vous pouvez ignorer l'alerte ou la marquer comme `false positive`.
Requête vers un domaine d'attaque hors bande (OOB)	Un processus sur l'`host` a été détecté en train de requêter un nom de domaine couramment utilisé pour l'exfiltration de données dans une `out-of-band (OOB) attack`. Les attaquants spécifient souvent dans une charge utile de requêter un domaine cible lors d'une exploitation réussie. Ils surveillent ensuite les requêtes DNS vers ce domaine pour confirmer le succès de l'attaque.
Comportement anormal de création de shell pseudo-terminal	Cette alerte se déclenche lors de la création d'un shell pseudo-terminal (PTY) anormal. Bien que les PTY soient utilisés pour des sessions interactives légitimes, leur création inattendue par un service web ou un processus non interactif peut indiquer un `reverse shell` ou un `backdoor`.
Accès à un domaine de pool de minage suspect	Un processus sur l'`host` a été détecté en train de requêter un domaine de `mining pool` suspect. Cela peut indiquer que le système communique avec un `mining pool`. Recherchez une activité de minage en fonction de l'alerte et des actions recommandées.
Démarrage d'un programme d'évasion de conteneur	L'API usermode-helper est un mécanisme du noyau `Linux` permettant d'appeler un programme de l'espace utilisateur spécifié par l'utilisateur (par exemple, un programme spécifié dans des fichiers comme /proc/sys/kernel/core_pattern). Lorsqu'il est exécuté, ce programme s'exécute avec les privilèges root de l'`host`. Ce mécanisme ne devrait généralement pas être utilisé dans un `container`. Par conséquent, lorsqu'un programme à l'intérieur d'un `container` est appelé par le noyau de l'`host`, cela indique généralement une `container escape`.
Altération de jeton Windows pour escalade de privilèges	Cette alerte signale une tentative d'altération d'un jeton d'accès `Windows`. Les attaquants utilisent cette technique pour usurper l'identité d'autres utilisateurs ou passer d'un compte à privilèges inférieurs à un compte à privilèges supérieurs, tel que SYSTEM.
Accès à un domaine de tunnel suspect	Un processus sur l'`host` a été détecté en train de requêter un domaine de tunnel suspect. Cela peut indiquer que le système est utilisé pour une communication par proxy tunnel. Poursuivez l'analyse en fonction de l'alerte et des actions recommandées.
Modification anormale d'un fichier système	Cette alerte se déclenche lors d'une modification anormale d'un fichier système critique. Cela peut être une tentative de désactiver les contrôles de sécurité, de créer un `backdoor` ou de compromettre autrement l'intégrité du système d'exploitation.
Modification d'un élément de démarrage automatique dans le registre	Cette alerte se déclenche lors d'une modification d'une clé de `registry` utilisée pour le démarrage automatique de programmes. Les logiciels malveillants utilisent souvent cette technique pour assurer la `persistence` lors des redémarrages du système.
Comportement de modification de tâche planifiée	Cette alerte signale une modification d'une `scheduled task`. Les attaquants créent ou modifient souvent des tâches planifiées pour exécuter du code malveillant à intervalles réguliers afin d'assurer la `persistence`.
Comportement suspect de modification de politique système	Cette alerte indique une modification suspecte d'une politique de sécurité système. Cela peut être une tentative d'affaiblir les paramètres de sécurité, tels que les politiques d'audit ou les attributions de droits utilisateur, pour échapper à la détection ou faciliter d'autres attaques.
Une application web modifie un fichier anormal	Cette alerte se déclenche lorsqu'une application web modifie un fichier de manière inhabituelle, par exemple en écrivant un fichier exécutable dans un répertoire accessible via le web. Cela indique souvent une exploitation réussie d'une `vulnerability` de téléchargement de fichier.
Usurpation de processus parent	Cette alerte se déclenche lorsqu'un processus est lancé avec un `parent process` usurpé. C'est une technique d'évasion de défense utilisée pour faire croire qu'un processus malveillant a été lancé par un processus système légitime.
Le conteneur monte un chemin d'hôte à haut risque	Cette alerte signale qu'un `container` a été démarré avec un chemin d'`host` à haut risque monté, tel que /proc ou le socket `Docker`. Cette configuration peut être exploitée pour s'échapper du `container` et obtenir des privilèges sur l'`host`.
Détournement du flux de contrôle à l'aide d'une variable d'environnement	Cette alerte indique une tentative de détourner le flux de contrôle d'un programme en manipulant des variables d'environnement, telles que LD_PRELOAD. Cette technique peut être utilisée pour charger du code malveillant dans un processus légitime.

Détection de Webshell (Analyse locale)

Nom de l'alerte

Description

Fichier Webshell trouvé

Cette fonctionnalité identifie les fichiers suspects en évaluant leur niveau de menace en fonction de leur comportement et de leurs fonctions. Un fichier signalé peut être un webshell implanté par un attaquant, mais il peut aussi s'agir d'un fichier légitime contenant du code suspect. Le stockage de fichiers journaux dans un chemin accessible via le web peut également déclencher cette alerte. Par conséquent, un administrateur doit analyser le fichier pour déterminer s'il représente une menace.

Exploit

Nom de l'alerte

Description

Exploitation de vulnérabilité web

Exploitation de vulnérabilité web.

Exploitation de vulnérabilité d'hôte

Exploitation de vulnérabilité d'hôte.

Évasion de conteneur suspectée par altération de fichier

Security Center a détecté qu'un fichier critique a été ouvert en write mode. Ce comportement est fréquent dans les scénarios d'évasion de conteneur, où un attaquant altère le fichier pour s'échapper du conteneur vers l'hôte. Vous devez analyser le processus, le fichier affecté et les attributs d'ouverture du fichier pour déterminer si l'activité fait partie d'une opération métier légitime. S'il s'agit d'une tâche d'exploitation et maintenance ou d'une fonction métier normale, ignorez l'alerte ou marquez-la comme faux positif.

Exploitation de vulnérabilité de type TOCTOU

Security Center a détecté une exploitation suspecte de type time-of-check-to-time-of-use (TOCTOU). Consultez les détails de l'alerte pour l'ID de vulnérabilité. Ce type de vulnérabilité est souvent utilisé pour l'évasion de conteneur ou l'escalade de privilèges. Vérifiez si votre logiciel est affecté et appliquez le correctif rapidement. Dans le cas rare d'un faux positif, vous pouvez marquer l'alerte comme telle ou ajouter l'activité à la liste d'autorisation.

Répertoire sensible de l'hôte monté au démarrage du conteneur

Security Center a détecté un comportement de conteneur à risque, tel que le démarrage en mode privilégié ou le montage de répertoires ou fichiers sensibles de l'hôte au démarrage. Un attaquant pourrait exploiter cette mauvaise configuration pour s'échapper vers l'hôte. Ne démarrez pas de conteneurs en mode privilégié. Ne configurez pas un Pod pour monter des répertoires sensibles de l'hôte, tels que le répertoire racine, les répertoires de configuration des tâches planifiées ou les répertoires de configuration des services système.

Trafic réseau anormal

Nom de l'alerte

Description

Téléchargement de fichier suspect

Cette alerte se déclenche lorsqu'un trafic suspect de téléchargement de fichier est détecté et qu'un fichier suspect associé est créé ou modifié sur l'hôte. Utilisez les détails de l'alerte pour poursuivre l'analyse. Étapes recommandées : 1) Vérifiez s'il existe des alertes liées à des fichiers webshell. 2) Analysez le point de terminaison de téléchargement de fichier pour déterminer s'il peut être exploité. 3) Déterminez si le fichier a été créé ou modifié lors d'une tâche administrative légitime, telle qu'une mise à jour de service web ou une sauvegarde. Si l'activité est légitime, ignorez l'alerte ou ajoutez le chemin du fichier à une liste d'autorisation. 4) Si vous confirmez que l'activité est malveillante, supprimez le fichier de l'hôte et sécurisez le point de terminaison de téléchargement de fichier. Nous recommandons d'appliquer une liste d'autorisation pour les noms de fichiers.

Exécution de commande par application web

Cette alerte se déclenche lorsqu'un trafic d'attaque web malveillant est détecté et qu'une commande correspondante est exécutée sur l'hôte. Cela indique qu'un attaquant a peut-être exploité une vulnérabilité dans votre service. Utilisez les détails de l'alerte pour déterminer l'impact et planifier vos prochaines étapes.

Trafic de communication avec un pool de minage

Cette alerte se déclenche lorsqu'un trafic est détecté entre votre serveur et une adresse IP associée à un pool de minage de cryptomonnaie. Cela peut indiquer que votre serveur a été compromis et est utilisé pour le minage de cryptomonnaie.

Communication par proxy tunnel

Cette alerte se déclenche lorsqu'une communication suspecte par proxy tunnel est détectée sur votre serveur. Utilisez les détails de l'alerte pour analyser cette activité et déterminer les prochaines étapes.

Trafic de reverse shell

Cette alerte se déclenche lorsqu'un trafic malveillant de reverse shell est détecté depuis votre serveur. Un reverse shell permet à un attaquant d'établir une connexion réseau depuis votre serveur vers un serveur qu'il contrôle, ce qui lui permet d'exécuter des commandes arbitraires. Utilisez les détails de l'alerte pour analyser et répondre à cette menace.

Trafic de communication de backdoor

Cette alerte se déclenche lorsqu'un trafic malveillant de backdoor est détecté depuis votre serveur. Ce type de trafic indique qu'un attaquant a peut-être établi un canal de contrôle à distance vers votre serveur. Utilisez les détails de l'alerte pour analyser ce compromis potentiel.

Attaque par désérialisation Java

Cette alerte se déclenche lorsqu'un trafic d'attaque par désérialisation Java malveillant est détecté et que le processus Java associé établit une connexion réseau sortante suspecte ou exécute une commande suspecte. Cela indique qu'un attaquant a peut-être exploité une vulnérabilité dans votre service. Utilisez les détails de l'alerte pour déterminer l'impact et planifier vos prochaines étapes.

Attaque DNS-log

Cette alerte se déclenche lorsqu'un trafic d'attaque DNS-log malveillant est détecté et que votre serveur accède au domaine DNS-log correspondant. Cela indique qu'un attaquant a peut-être exploité une vulnérabilité dans votre service. Utilisez les détails de l'alerte pour déterminer l'impact et planifier vos prochaines étapes.

Container Escape Prevention

Nom de l'alerte

Description

Appel système à haut risque

Indique un appel système clé souvent utilisé pour exploiter une vulnérabilité du noyau afin d'obtenir une escalade de privilèges ou une évasion de conteneur.

Évasion par exploitation d'une vulnérabilité ou d'une mauvaise configuration

Cette alerte se déclenche lorsqu'un conteneur démarre avec des privilèges excessifs ou monte un système de fichiers pseudo. Ces mauvaises configurations permettent à un attaquant d'exploiter des mécanismes système, tels que core_pattern ou cgroup, pour s'échapper du conteneur.

Modification d'un fichier de configuration utilisateur de l'hôte

Cette alerte se déclenche lorsqu'un conteneur est démarré avec des fichiers de configuration utilisateur de l'hôte montés, tels que /etc/passwd ou des répertoires de configuration du service SSH. Cela permet à un attaquant de modifier ces fichiers depuis le conteneur et d'obtenir des privilèges utilisateur sur le nœud hôte.

Évasion par écriture dans un répertoire hôte à haut risque

Cette alerte se déclenche lorsqu'un conteneur est démarré avec un répertoire hôte à haut risque monté. Les exemples incluent les répertoires de tâches planifiées système comme /etc/crontab, les répertoires de tâches de démarrage automatique comme /etc/init.d, les répertoires de tâches basées sur des déclencheurs comme /etc/profile, ou les répertoires de configuration de pods statiques Kubernetes. Un attaquant peut écrire du code malveillant dans ces répertoires. L'hôte exécute alors automatiquement ce code, permettant à l'attaquant d'obtenir des privilèges.

Exécution d'un outil d'évasion de conteneur

Security Center a détecté un outil d'évasion de conteneur en cours d'exécution à l'intérieur d'un conteneur. Un attaquant utilise généralement cet outil après avoir compromis un conteneur pour briser l'isolement entre le conteneur et le nœud hôte et obtenir le contrôle d'accès sur le nœud hôte.

Proactive Defense for Containers

Nom de l'alerte

Description

Démarrage de programme hors image

Cette alerte signale qu'un programme non inclus dans l'image d'origine a démarré. Cette activité se produit souvent lorsqu'un programme exécutable, tel qu'un cheval de Troie backdoor, est installé dans un conteneur en cours d'exécution. Bien que cela puisse être une installation légitime requise par vos services, cela peut aussi représenter un risque de sécurité. Analysez cette activité rapidement.

Défense de fichier

Défense de fichier.

Blocage de démarrage de programme hors image

Security Center a bloqué le démarrage d'un programme qui ne faisait pas partie de l'image d'origine. Cette action préventive se déclenche lorsqu'un programme exécutable, tel qu'un cheval de Troie backdoor, tente de s'exécuter à l'intérieur d'un conteneur. Bien que le programme bloqué puisse être légitime, de telles tentatives peuvent également indiquer un risque de sécurité. Analysez rapidement la cause de cette activité bloquée.

Risk Image Blocking

Nom de l'alerte

Description

Le cluster démarre une image malveillante depuis Internet

Cette alerte se déclenche lorsqu'un cluster tente de démarrer une image malveillante connue. L'exécution d'une image malveillante peut introduire des vulnérabilités, des backdoors ou d'autres menaces de sécurité dans votre environnement.

Le cluster démarre une image non analysée

Cette alerte se déclenche lorsqu'un cluster tente de démarrer un conteneur à partir d'une image non analysée. Le déploiement d'images non analysées peut introduire des risques de sécurité inconnus, tels que des vulnérabilités ou des logiciels malveillants, dans votre environnement.

Le cluster démarre une image avec des vulnérabilités

Cette alerte se déclenche lorsqu'un cluster tente de démarrer un conteneur à partir d'une image présentant des vulnérabilités connues. L'exploitation de ces vulnérabilités pourrait permettre à un attaquant de compromettre vos applications ou le cluster sous-jacent.

Le cluster démarre une image avec des fichiers malveillants

Cette alerte se déclenche lorsqu'un cluster tente de démarrer un conteneur à partir d'une image contenant un fichier malveillant. Cela peut entraîner l'exécution de logiciels malveillants, tels que des chevaux de Troie ou des mineurs de cryptomonnaie, au sein de votre cluster.

Le cluster démarre une image ayant échoué à une vérification de référence

Cette alerte se déclenche lorsqu'un cluster tente de démarrer un conteneur à partir d'une image qui a échoué à une vérification de référence. Cela signifie que l'image n'est pas conforme aux normes de sécurité et de configuration de votre organisation.

Le cluster démarre une image avec des fichiers sensibles

Cette alerte se déclenche lorsqu'un cluster tente de démarrer un conteneur à partir d'une image contenant un fichier sensible, tel qu'une clé privée ou un identifiant d'accès. L'inclusion d'informations sensibles directement dans une image est une pratique à haut risque qui peut entraîner une fuite d'identifiants.

Le cluster démarre une image avec des instructions de construction à risque

Cette alerte se déclenche lorsqu'un cluster tente de démarrer un conteneur à partir d'une image construite avec des instructions de construction à risque. Ces instructions peuvent introduire des faiblesses de sécurité ou des mauvaises configurations dans l'image finale.

Trusted Exception

Nom de l'alerte

Description

Événement de confiance du composant de démarrage système

Détecte l'état de confiance des instances de confiance ECS et gère les états anormaux. Pour plus d'informations, voir Utilisation des instances de confiance.

Autres

Nom de l'alerte

Description

DDoS

Attaque DDoS.

Client Security Center anormalement hors ligne

Cette alerte se déclenche lorsque AliYunDun, le processus principal du client Security Center, se déconnecte sur votre serveur et reste hors ligne pendant une période spécifiée. Cela peut résulter d'une instabilité temporaire du réseau ou d'une cyberattaque qui désinstalle de force le client. Connectez-vous au serveur pour vérifier si le processus client est en cours d'exécution. Si le processus n'est pas en cours d'exécution, redémarrez-le rapidement.

Client Security Center sur un hôte non Alibaba Cloud anormalement hors ligne

Cette alerte se déclenche lorsque AliYunDun, le processus principal du client Security Center, se déconnecte sur votre hôte non Alibaba Cloud et reste hors ligne pendant une période spécifiée. Cela peut résulter d'une instabilité temporaire du réseau ou d'une cyberattaque qui désinstalle de force le client. Connectez-vous au serveur pour vérifier si le processus client est en cours d'exécution. Si le processus n'est pas en cours d'exécution, redémarrez-le rapidement.

Security Center détecte en temps réel une large gamme de menaces sur vos ressources, y compris l'anti-défacement web, les processus anormaux, les webshells, les connexions inhabituelles et les processus malveillants. Ses modèles de détection des menaces offrent une couverture complète, vous permettant d'identifier rapidement les menaces de sécurité et de maintenir une vue en temps réel de votre posture de sécurité.

Vue d'ensemble

Niveaux de risque

Security Center classe les alertes en trois niveaux de risque pour vous aider à prioriser votre réponse.

Niveau de risque	Description	Action recommandée
Urgent	Indique une activité correspondant étroitement à un modèle d'attaque connu et pouvant causer des dommages destructeurs ou persistants à une ressource, comme un reverse shell. Ce niveau signifie que la ressource est probablement sous attaque active.	Répondez immédiatement. Actions recommandées : mettez la ressource en quarantaine, bloquez les connexions réseau suspectes et préservez la scène de l'attaque.
Suspect	Indique une activité potentiellement risquée qui peut ressembler à des opérations de routine, comme un processus ajoutant un nouvel utilisateur. L'activité peut également être une étape non critique dans une chaîne d'attaque, comme une tentative d'effacement des traces. Ce niveau indique une probabilité modérée que la ressource soit sous attaque.	Analyse requise. Vérifiez si l'activité est une opération planifiée. Si oui, ajoutez le comportement à une liste d'autorisation. Sinon, traitez-la comme une alerte Urgente.
Rappel	Indique une activité d'attaque non essentielle qui ressemble à des opérations normales, comme un processus écoutant sur un port suspect.	Auditez et optimisez. Utilisez ces alertes pour identifier les configurations non conformes ou les risques potentiels. Nous vous recommandons de revoir et d'optimiser régulièrement vos politiques de sécurité. Aucune action immédiate n'est requise.

Modèles de détection des menaces

Security Center utilise plus de 380 modèles de détection des menaces pour fournir une détection complète. Ces modèles couvrent les étapes clés de la chaîne d'attaque pour détecter le cycle de vie complet d'une attaque. La liste suivante fournit des exemples pour chaque étape de détection :

Remarque

Sur la page Alert, vous pouvez cliquer sur l'icône dans le coin supérieur gauche pour voir les modèles de détection des menaces fournis par Security Center.

Initial Access : Exécution anormale de commande dans des applications Java et exploitation de vulnérabilités web.
Code Execution : Reverse shells et exécution de scripts malveillants.
Persistence : Écritures suspectes dans des fichiers de certificats de connexion sans mot de passe et exploitation d'instances Redis mal configurées.
Privilege Escalation : Exploitation d'instances Redis mal configurées et exécution non autorisée de commandes à haut risque.
Defense Evasion : Connexions d'un utilisateur RAM depuis un emplacement inhabituel et exécution de programmes suspects.
Credential Access : Connexions à une instance ECS depuis un emplacement inhabituel et attaques par force brute réussies sur une instance ECS.
Discovery : Accès suspect à OSS et soupçon d'analyse de ports sensibles.
Lateral Movement : Vers et connexions réseau suspectes dans Windows.
Collection : Analyse de ports et soupçon d'attaques de l'homme du milieu sur un service Kubernetes (CVE-2020-8554).
Data Leakage : Requêtes vers des domaines d'attaque hors bande (OOB) et communication suspecte de cheval de Troie de commande et contrôle (C2).
Remote Control : Programmes chevaux de Troie et programmes backdoor.
Impact and Damage : Chevaux de Troie DDoS et ransomwares.
Prepare Resources : Chevaux de Troie auto-mutants et outils de piratage.
Target Discovery : Connexions proactives à des sources de téléchargement malveillantes et à des scanners.

Limitations

Security Center est conçu pour renforcer la sécurité des ressources grâce à des alertes en temps réel, la gestion des vulnérabilités et le traçage des attaques. Cependant, en raison des limitations suivantes, nous recommandons d'adopter une stratégie de défense en profondeur pour améliorer la sécurité globale :

Activation différée de la défense : Après le redémarrage d'un serveur, le processus de défense de Security Center prend un certain temps pour démarrer. Pendant cet intervalle avant l'activation, les attaques rapides telles que les ransomwares et les chevaux de Troie DDoS ne peuvent pas être interceptées efficacement.
Risques de menaces inconnues : En raison de l'évolution continue des méthodes de cyberattaque et des échantillons de virus, ainsi que des différences dans les environnements métier, Security Center ne peut garantir la détection et la défense en temps réel contre toutes les menaces inconnues.

Pour construire une défense de sécurité plus complète, nous recommandons de combiner Security Center avec les mesures suivantes :

Mettez à jour régulièrement les correctifs de sécurité pour le système d'exploitation du serveur et les applications.
Utilisez des produits tels que Cloud Firewall et Web Application Firewall pour réduire la surface d'attaque réseau.

Processus de gestion des alertes

Éditions prises en charge

Subscription

Édition du service	Périmètre de détection	Capacités de gestion des alertes
Basic , Value-added Plan	Détecte les attaques cloud courantes, y compris les webshells traditionnels à une ligne, les connexions depuis des emplacements inhabituels, les chevaux de Troie auto-mutants, les chevaux de Troie DDoS et les programmes de minage. Cette édition ne couvre pas les ressources conteneur.	Suppression d'alertes : Add to Whitelist, Ignore, etc.
Advanced Edition	Inclut toutes les fonctionnalités de l'édition Basic, plus des modèles de détection et de défense précise pour les fichiers suspects et malveillants, y compris les binaires. Cette édition ne couvre pas les ressources conteneur.	Suppression des menaces : Enterprise, Ultimate, Quarantine, etc. Suppression d'alertes : Add to Whitelist, Ignore, etc.
Advanced Edition	Inclut toutes les fonctionnalités de l'édition Antivirus, plus des modèles de détection et de défense précise pour les activités de processus suspects et malveillants et les opérations sur fichiers. Cette édition ne couvre pas les ressources conteneur.
Unprotected	Inclut toutes les fonctionnalités de l'édition Advanced, plus de 380 modèles de détection et de défense précise pour tous les types de comportements malveillants, y compris les activités de processus, les opérations sur fichiers et les connexions réseau. Cette édition ne couvre pas les ressources conteneur.
Virus Detection and Removal	Inclut toutes les fonctionnalités de l'édition Enterprise (couvrant les ressources conteneur), plus des modèles de détection et de défense proactive pour les attaques spécifiques aux conteneurs, telles que les évasions de conteneur, l'exécution d'images à risque et le lancement de programmes hors image.

Pay-as-you-go

Niveau de protection	Périmètre de détection	Capacités de gestion des alertes
Unprotected	Détecte les attaques cloud courantes, y compris les webshells traditionnels à une ligne, les connexions depuis des emplacements inhabituels, les chevaux de Troie auto-mutants, les chevaux de Troie DDoS et les programmes de minage. Ce niveau ne couvre pas les ressources conteneur.	Suppression d'alertes : Quarantine, Add to Whitelist, etc.
Antivirus	Inclut toutes les fonctionnalités du niveau Unprotected, plus des modèles de détection et de défense précise pour les fichiers suspects et malveillants, y compris les binaires. Ce niveau ne couvre pas les ressources conteneur.	Suppression des menaces : Antivirus, Deep Cleanup, Comprehensive Host Protection, etc. Suppression d'alertes : Network Defense Alert, Ignore, etc.
Comprehensive Host Protection	Inclut toutes les fonctionnalités du niveau Antivirus, plus de 380 modèles de détection et de défense précise pour tous les types de comportements malveillants, y compris les activités de processus, les opérations sur fichiers et les connexions réseau. Ce niveau ne couvre pas les ressources conteneur.
Hosts and Container Protection	Inclut toutes les fonctionnalités du niveau Precise Defense (couvrant les ressources conteneur), plus des modèles de détection et de défense proactive pour les attaques spécifiques aux conteneurs, telles que les évasions de conteneur, l'exécution d'images à risque et le lancement de programmes hors image.

Types d'alertes de sécurité

Type	Description
Malicious Host Behavior Prevention (anciennement analyse d'attaque)	Si vous activez des règles dans Défense contre les comportements malveillants pour les hôtes sous la catégorie Network Threat Prevention et Protection contre les attaques par force brute pour les hôtes, Security Center bloque automatiquement les attaques détectées sur la base de ces règles de protection et génère une Network Defense Alert. Pour plus d'informations, voir Network Defense Alert (anciennement analyse d'attaque). Important Pour les produits cloud nouvellement achetés, vous devez attendre environ 3 heures pour que Security Center synchronise les données d'attaque réseau avant de pouvoir consulter les informations d'analyse d'attaque associées. Les alertes défensives indiquent que les attaques sont automatiquement bloquées par Security Center. Aucune action manuelle n'est requise.
Precise Defense	La fonctionnalité Malicious Host Behavior Prevention génère des alertes Precise Defense basées sur vos règles de défense activées. Pour plus d'informations sur Malicious Host Behavior Prevention, voir Paramètres de protection de l'hôte.
Suspicious Process Behavior	Détecte les comportements de processus inhabituels, tels que l'exécution de séquences de commandes suspectes, le démarrage depuis un chemin anormal, l'injection de processus et les modifications non autorisées de fichiers ou de configurations système.
Webshell	Détecte les fichiers backdoor webshell sur le serveur, ou le code malveillant injecté dans des fichiers non-programme, tels que les journaux et les images.
Unusual Logon	Détecte les connexions qui ne respectent pas les politiques prédéfinies, les attaques par force brute réussies et les tentatives de connexion depuis des adresses IP malveillantes connues ou des comptes backdoor.
Malware	Détecte divers types de logiciels malveillants en cours d'exécution ou présents sur l'hôte, y compris les virus, les chevaux de Troie, les ransomwares, les programmes de minage et les outils de piratage.
Cloud Service Threat Detection	Détecte le vol et l'abus d'identifiants de plateforme cloud, tels qu'une AccessKey, ainsi que les configurations inhabituelles et le sondage des autorisations sur les ressources cloud.
Unusual Network Connection	Détecte divers comportements réseau suspects sur le serveur, tels que l'analyse de ports, les connexions à des sources malveillantes et un reverse shell. Ces comportements sont des signes typiques de reconnaissance d'attaque, de contrôle à distance et de mouvement latéral. Remarque Cette fonctionnalité ne détecte pas le trafic HTTPS chiffré.
Malicious Script	Détecte lorsqu'un fichier de script malveillant ou suspect est exécuté sur le serveur. Cela indique qu'un attaquant a compromis le système et exécute des commandes malveillantes.
Persistent Webshell	Détecte les mécanismes de persistance utilisés pour maintenir un contrôle à long terme, tels que la création d'éléments de démarrage automatique, les backdoors résidant en mémoire, les processus cachés et l'exploitation de fonctionnalités système avancées.
Sensitive File Tampering	Détecte l'altération des fichiers et configurations système principaux (tels que les fichiers de préchargement de bibliothèques partagées). Une telle altération comprend la modification, le remplacement ou le déplacement de fichiers pour assurer la persistance ou contourner la détection de sécurité.
Anomalie de cluster de conteneurs	Détecte les attaques complexes et multi-étapes dans les clusters de conteneurs. Ces attaques peuvent inclure l'utilisation d'un compte de service pour l'escalade de privilèges (comme la création de jetons inhabituels ou la liaison à des rôles à privilèges élevés), le mouvement latéral (comme l'entrée dans un conteneur pour exécuter des commandes ou l'accès à Kubelet) et le vol d'informations (comme l'énumération des Secrets).
Proactive Defense for Containers	Détecte la création ou l'utilisation d'un compte suspect dans le système.
Détection de Webshell (analyse locale)	Analyse le comportement des fichiers pour identifier et noter les fichiers suspects.
EXP	Détecte les attaques qui utilisent des vulnérabilités connues dans le système d'exploitation ou les applications pour réaliser une exécution de code à distance, une escalade de privilèges ou une évasion de conteneur.
Trafic réseau anormal	Identifie les attaques passées et en cours en analysant le trafic réseau et en le corrélant avec le comportement de l'hôte.
Container Escape Prevention	Dans Proactive Defense for Containers, après avoir créé une règle Container Escape Prevention, si un processus à l'intérieur d'un conteneur tente une opération qui viole la règle (comme l'accès à un chemin sensible sur l'hôte ou une tentative d'escalade de privilèges), le module de défense bloque l'opération et génère une alerte de sécurité.
Suspicious Process Behavior	Proactive Defense for Containers fournit deux capacités principales de sécurité d'exécution et génère des alertes de sécurité pour tous les comportements à risque détectés : Non-image Program Defense : Détecte et bloque en temps réel les programmes qui sont démarrés dans un conteneur mais ne font pas partie de l'image d'origine. Cela empêche efficacement les comportements malveillants tels que l'implantation de chevaux de Troie. Container File Defense : Surveille les fichiers ou répertoires spécifiés dans un conteneur en temps réel et alerte ou bloque les altérations malveillantes.
Webshell	Dans Unusual Logon, après avoir créé une règle Risky Image Blocking, Security Center effectue des vérifications de sécurité en temps réel sur les images utilisées pour créer des ressources de cluster (telles qu'un Pod). Si une image correspond à la règle, le système alerte, bloque ou autorise automatiquement son utilisation et génère une alerte de sécurité.
Trusted Exception	Surveille l'état d'une instance de confiance ECS et signale toute anomalie.
Others	État hors ligne inattendu du client Security Center, attaque par inondation DDoS, et autres.