Handle malicious file detection results - Security Center - Centre de documentation Alibaba Cloud

Choisir une action de réponse

La fonctionnalité Malicious File Detection propose les actions de réponse suivantes pour les fichiers à risque.

Actions

Persistance

Impact sur les détections

Cas d'utilisation

Add to whitelist

Permanent

Les fichiers correspondant à une règle de liste d'autorisation sont automatiquement marqués comme Added to Whitelist et ne déclenchent plus de notifications via le bot DingTalk.

Utilisez cette option pour un fichier de confiance permanente, essentiel à votre activité.

Ignore

Ponctuel

Aucun.

Utilisez cette option pour des alertes temporaires ou de faible priorité, ou pour des faux positifs potentiels nécessitant une analyse approfondie.

Block access

Permanent

Le fichier n'est plus analysé.

Utilisez cette option pour un fichier confirmé comme malveillant dans un compartiment OSS, nécessitant une isolation immédiate.

Manually Handled

Ponctuel

Aucun.

Utilisez cette option après avoir résolu le risque en dehors de Security Center, par exemple en supprimant le fichier du serveur.

Enquêter et évaluer les risques

Connectez-vous à la console Security Center - Risk Governance - Malicious File Detection, puis sélectionnez la région où se trouvent vos ressources dans le coin supérieur gauche de la page : Chinese Mainland ou Outside Chinese Mainland.
Accédez à la page des détails du fichier.
- Dans l'onglet At-risk File Overview, localisez le fichier cible et cliquez sur Details dans la colonne Actions.
- Dans l'onglet OSS File Check :
  1. Définissez le filtre Whether Risk is Detected sur At Risk. Localisez le compartiment cible et cliquez sur Details dans la colonne Actions.
  2. Dans la section At-risk File Details de la page des détails, localisez le fichier cible et cliquez sur Details dans la colonne Actions.
Évaluez l'impact métier.

Examinez le File Path, le Associated Process et le First Discovered Time. Évaluez l'impact à l'aide des méthodes suivantes :
- Confirmez la propriété du fichier : contactez votre équipe de développement ou d'exploitation pour vérifier si le fichier est légitime, s'il s'agit d'un artefact de test ou s'il est inutile.
- Retracez l'origine du fichier : vérifiez le répertoire du fichier. Par exemple, si le fichier se trouve dans un répertoire WordPress, vérifiez si une vulnérabilité connue a été exploitée pour créer une porte dérobée.
- Consultez les recommandations du système : dans la section Incident Description de la page des détails, examinez l'analyse du système et les conseils de réponse.

Effectuer des actions de réponse

Gérez les fichiers à risque depuis la console Security Center ou manuellement depuis le serveur. La procédure suivante utilise la console.

Procédure

Ouvrez la boîte de dialogue de gestion.
- Dans l'onglet At-risk File Overview, définissez le filtre de statut sur Unhandled. Localisez le fichier cible et cliquez sur Handle dans la colonne Actions.
- Dans l'onglet OSS File Check :
  1. Définissez le filtre Whether Risk is Detected sur At Risk. Localisez le compartiment cible et cliquez sur Details dans la colonne Actions.
  2. Dans la section At-risk File Details de la page des détails, localisez le fichier cible et cliquez sur Handle dans la colonne Actions.
Gérez le fichier à risque.
1. Configurez une Handling Method.
  
  Dans la boîte de dialogue Malicious Script Handling, sélectionnez une action de réponse en fonction de votre évaluation des risques et configurez les règles. Actions de réponse détaillées.
2. Configurez le traitement par lot (facultatif).
  
  Pour traiter par lot des alertes similaires, sélectionnez Handle similar alerts simultaneously.
  1. Dans l'onglet Same File Content ou Same Alert Type, cliquez sur Show pour afficher les détails des alertes similaires.
  2. Examinez les détails des alertes et sélectionnez les alertes similaires à traiter conjointement.
    1. Same file content : toutes les alertes concernant des fichiers ayant la même valeur de hachage SHA256.
    2. Same alert type : toutes les alertes concernant le même type de risque, tel qu'un webshell, détecté par le même moteur.

Actions de réponse

Add to Whitelist

Définissez une règle de liste d'autorisation.
1. Dans l'onglet Add to Whitelist, cliquez sur Create Rule pour ajouter une règle.
2. Configurez les détails de la règle.
  
  Important
  Plusieurs règles utilisent une logique OU : un fichier est ajouté à la liste d'autorisation s'il correspond à n'importe quelle règle.
  
  Chaque règle comprend les quatre champs suivants :
  1. Champ d'information sur le fichier : faites correspondre les fichiers par File Name, File MD5, SHA256 ou par le Bucket Name où le fichier est stocké.
  2. Type de condition : les opérations prises en charge incluent Regular Expression, equals et Contain. Exemples :
    - Exemple d'expression régulière : pour faire correspondre tous les fichiers temporaires se terminant par .tmp, définissez File Information Field sur File Name, Condition Type sur Regular Expression et Condition Value sur .*\.tmp$.
    - Correspondance du nom de fichier : pour faire correspondre tous les fichiers temporaires dont le nom contient post, définissez File Information Field sur File Name, Condition Type sur Contain et Condition Value sur post.
  3. Valeur de condition : prend en charge les constantes et les expressions régulières.
Fonctionnement :
- Le statut du fichier passe à Added to Whitelist.
- Cette action crée une règle de liste d'autorisation sur la page Policy Configuration. Gérer les listes d'autorisation.
- Lorsqu'un fichier correspondant à la règle de liste d'autorisation est de nouveau détecté, son statut est automatiquement défini sur Added to Whitelist et aucune notification de risque n'est envoyée par le bot DingTalk.
Recommandations de sécurité :
- Utilisez des correspondances exactes : utilisez la correspondance File MD5 ou SHA256 pour éviter d'ajouter à la liste d'autorisation des fichiers réellement malveillants.
- Utilisez la correspondance du chemin complet : lors de la correspondance par nom de fichier, combinez Bucket Name et File Name Match pour éviter des règles trop larges.

Denied Access

Important

Cette action est disponible uniquement pour les fichiers OSS.

Fonctionnement :
- Le statut du fichier passe à Denied Access, ce qui empêche les futures détections de contenu identique.
- Security Center ajoute un tag mfd_forbidden et la stratégie Bucket Policy suivante au fichier, ce qui bloque l'accès et les opérations associées.
  Remarque
  - Vous pouvez afficher le tag et la stratégie dans la console OSS. Restaurer l'accès à un fichier bloqué, Tagging d'objets, Stratégie de compartiment.
  - Si vous avez déjà supprimé le fichier dans la console OSS, le tag et la stratégie ne sont pas ajoutés.
```
{
		"Effect": "Deny",
		"Action": [
			"oss:GetObject"
		],
		"Principal": [
			"*"
		],
		"Resource": [
			"acs:oss:*:*:${BucketName}/*"
		],
		"Condition": {
			"StringEquals": {
        		"oss:ExistingObjectTag/mfd_forbidden": [
					"true"
				]
			}
		}
	}
```
Recommandation de sécurité :

Cette action peut interrompre des fonctions métier. Avant de procéder, assurez-vous qu'aucun service légitime ne dépend de ce fichier.

Ignore

Fonctionnement :

Marque l'alerte comme « Ignored » sans résoudre le problème de sécurité sous-jacent.
Recommandations de sécurité :
- Ignorez uniquement les faux positifs confirmés ou les risques acceptés pour éviter de négliger des attaques réelles.
- Examinez périodiquement (hebdomadairement ou mensuellement) les alertes ignorées.
- Pour supprimer les futures alertes de ce type, utilisez plutôt Add to Whitelist.

Manually Handled

Fonctionnement :
- Cette action met uniquement à jour le statut du fichier détecté vers Manually Handled. Elle ne vérifie pas le statut de sécurité réel du fichier.
- Après avoir géré un fichier malveillant, par exemple en le supprimant manuellement, et l'avoir marqué comme Manually Handled, Security Center ne génère plus d'alertes pour ce fichier. Security Center ne déclenche pas non plus de pénalités, telles que la suspension du service, en raison de ce fichier.
Recommandation de sécurité : utilisez cette option uniquement après avoir résolu le problème par d'autres moyens, tels que la suppression du fichier du serveur.

Gérer les résultats des réponses

Modifier une action de réponse

Accédez à la console Security Center > Risk Governance > Malicious File Detection, puis sélectionnez la région où se trouve la ressource que vous souhaitez protéger dans le coin supérieur gauche de la page : Chinese Mainland ou Outside Chinese Mainland.
Ouvrez la boîte de dialogue de modification.
1. Localisez le fichier cible.
  - Dans l'onglet At-risk File Overview, définissez le filtre sur un statut traité, tel que Added to Whitelist, puis localisez le fichier.
  - Dans l'onglet OSS File Check :
    1. Définissez le filtre Whether Risk is Detected sur At Risk, puis cliquez sur Details dans la colonne Actions du compartiment cible.
    2. Dans la section At-risk File Details, définissez le filtre sur un statut traité, tel que Added to Whitelist, puis localisez le fichier.
2. Modifiez le statut du fichier.
  
  Cliquez sur Change Status dans la colonne Actions du fichier cible.
Modifiez l'action de réponse.

Dans la boîte de dialogue, sélectionnez une nouvelle action de réponse et configurez les règles. Gérer le fichier à risque.

Important
Vous pouvez réinitialiser le statut sur Unhandled.

Annuler une action de liste d'autorisation ou d'ignorance

Méthode 1 : Réinitialiser le statut

Utilisez la fonction Modifier une action de réponse pour définir le statut sur Unhandled.
Méthode 2 : Utiliser les actions Remove from Whitelist et Cancel Ignore**
1. Localisez le fichier cible.
  - Dans l'onglet At-risk File Overview, définissez le filtre sur Added to Whitelist ou Ignored, puis localisez le fichier.
  - Dans l'onglet OSS File Check :
    1. Définissez le filtre Whether Risk is Detected sur At Risk, puis cliquez sur Details dans la colonne Actions du compartiment cible.
    2. Dans la section At-risk File Details, définissez le filtre de statut du fichier sur Added to Whitelist ou Ignored, puis localisez le fichier.
2. Rétablissez le statut du fichier.
  
  Sélectionnez la case à cocher à côté du fichier cible, puis cliquez sur Remove from Whitelist ou Cancel Ignore en bas de la liste.

Restaurer l'accès à un fichier bloqué

Méthode 1 : Réinitialiser le statut

Utilisez la fonction Modifier une action de réponse pour définir le statut sur Unhandled.
Méthode 2 : Gérer manuellement dans la console OSS
1. Connectez-vous à la console OSS, puis cliquez sur le nom du compartiment cible.
2. Supprimez le tag.
  1. Dans le volet de navigation de gauche, sélectionnez Objects. Dans la colonne Actions du fichier cible, cliquez sur l'icône et sélectionnez Tags.
  2. Dans l'onglet Tags, supprimez le tag mfd_forbidden.
3. Supprimez la stratégie d'autorisation (à utiliser avec prudence).
  
  Avertissement
  Cela affecte tous les fichiers portant le tag mfd_forbidden. N'effectuez cette opération que si nécessaire.
  1. Dans le volet de navigation de gauche, choisissez Permission Control > Bucket Policy.
  2. Sur la page Bucket Policy, dans l'onglet Add by Syntax, supprimez la stratégie contenant la condition de tag mfd_forbidden.

Gérer les listes d'autorisation

Ajouter ou modifier une règle
1. Dans le coin supérieur droit, cliquez sur Policy Configuration. Dans l'onglet Whitelists, cliquez sur Add Rule ou sur Edit dans la colonne Actions de la règle cible.
2. Suivez les instructions de la section Configurer les détails de la règle pour terminer la configuration, puis cliquez sur Confirm.
Supprimer une règle

Dans le coin supérieur droit, cliquez sur Policy Configuration. Dans l'onglet Whitelists, localisez la règle que vous souhaitez supprimer et cliquez sur Delete dans la colonne Actions.

Important
La suppression d'une règle ne modifie pas le statut des fichiers déjà ajoutés à la liste d'autorisation, mais les nouveaux fichiers correspondants ne seront plus automatiquement ajoutés à la liste d'autorisation.