La fonctionnalité Agentless Detection permet d'évaluer les risques de sécurité des serveurs cloud sans installer l'agent Security Center. Elle analyse les snapshots de disques ou les images des serveurs et combine cette analyse avec une sandbox dynamique alimentée par l'IA pour effectuer une détection multidimensionnelle (vulnérabilités, logiciels malveillants, conformité aux bases de référence, fichiers sensibles) dans un environnement isolé. Elle prend également en charge la correction des vulnérabilités par IA. Ce processus n'a pratiquement aucun impact sur les performances du serveur.
snapshots de disques ou
Périmètre
-
Types d'actifs pris en charge :
Région Chinese Mainland : vous pouvez analyser les instances Alibaba Cloud Elastic Compute Service (ECS), les snapshots de disques cloud ou les images personnalisées, ainsi que les instances AWS EC2.
Régions Outside Chinese Mainland : vous pouvez analyser les instances Alibaba Cloud ECS, les snapshots de disques cloud et les images personnalisées, ainsi que les instances AWS EC2 et les machines virtuelles Azure.
-
Régions prises en charge pour les serveurs Alibaba Cloud :
Chine (Qingdao), Chine (Pékin), Chine (Zhangjiakou)
Chine (Hangzhou) et Chine (Shanghai)
Chine (Shenzhen)
Chine (Chengdu)
Chine (Hong Kong), Singapour, États-Unis (Virginie), Indonésie (Jakarta)
-
Compatibilité des systèmes d'exploitation : pour obtenir la liste détaillée des systèmes d'exploitation compatibles avec l'analyse des vulnérabilités, reportez-vous à la section Systèmes d'exploitation pris en charge pour l'analyse des vulnérabilités.
RemarqueLes systèmes d'exploitation FreeBSD ne prennent pas en charge les vérifications des bases de référence, la détection des échantillons malveillants ni la détection des fichiers sensibles.
-
Types de correction de vulnérabilités pris en charge : seul le type de vulnérabilité d'application peut être corrigé. Pour consulter la liste détaillée des vulnérabilités prises en charge, reportez-vous à la section Liste de prise en charge de la correction des vulnérabilités.
RemarqueLa capacité de correction des vulnérabilités évolue continuellement. Pour obtenir les informations les plus précises, reportez-vous à la console.
Connecter les actifs de détection
Actifs Alibaba Cloud
Agentless Detection synchronise automatiquement les actifs associés au compte Alibaba Cloud actuel. Aucune opération manuelle n'est requise.
Actifs multicloud
Connectez-vous à Amazon Web Services (AWS) ou à Azure pour utiliser Agentless Detection :
Se connecter à AWS
-
Préparer les identifiants d'accès AWS
Dans votre compte AWS, créez un utilisateur IAM disposant d'un accès programmatique et obtenez l'ID de clé d'accès (Access Key ID) et la clé d'accès secrète (Secret Access Key). Cet utilisateur doit disposer des autorisations nécessaires pour accéder aux snapshots EC2 et en créer.
ImportantPour utiliser la fonctionnalité Agentless Detection, créez une stratégie IAM personnalisée dans votre compte AWS avec les autorisations décrites dans la section Créer une stratégie personnalisée pour Agentless Detection.
-
Configurer la méthode de connexion
Accédez à la page Agentless Detection. Dans l'onglet Server Check, section Add Multi-cloud Asset, cliquez sur Add sous l'icône
.-
Sur la page Add Assets Outside Cloud, effectuez la configuration sur la page Create Sub-account comme indiqué ci-dessous, puis cliquez sur Next.
Solution Selection : Manual Configuration.
Permission Description : sélectionnez Agentless Detection Agentless Detection.
-
Soumettre les informations d'identification
Dans l'onglet Submit AccessKey Pair, saisissez précisément les identifiants que vous avez créés dans AWS, puis cliquez sur Next.
Sub-account SecretID et Sub-account SecretKey : saisissez les informations de clé API du sous-compte AWS obtenues à l'étape 1.
Connection Region : sélectionnez une région disponible. Le système utilise la région sélectionnée pour vérifier l'accessibilité des actifs et récupérer les données correspondantes des ressources cloud.
Domain : configurez ce paramètre en fonction de la région de connexion sélectionnée. Pour les régions AWS China, sélectionnez China. Pour toutes les autres régions, sélectionnez International.
-
Configurer la stratégie
Dans l'onglet Policy Configuration, effectuez la configuration comme décrit ci-dessous.
-
Select region : sélectionnez la région AWS où se trouvent les actifs que vous souhaitez intégrer.
RemarqueLes données des actifs sont automatiquement attribuées au centre de données correspondant à la région sélectionnée dans le coin supérieur gauche de la console Security Center.
Chinese Mainland : centre de données en Chine continentale.
Outside Chinese Mainland : centre de données à Singapour.
Region Management : Recommandé. Une fois cette option sélectionnée, les actifs situés dans de nouvelles régions sous ce compte AWS seront automatiquement synchronisés sans configuration manuelle.
AK Service Status Check : définissez l'intervalle auquel Security Center vérifie automatiquement la validité de la clé API du compte AWS. Vous pouvez sélectionner « Off » pour désactiver la détection.
-
-
Cliquez sur OK.
Une fois la vérification des autorisations et la configuration de la stratégie terminées, créez des tâches Agentless Detection pour vos instances AWS EC2.
Se connecter à Azure
-
Préparer les identifiants d'accès Azure
Dans le portail Azure, créez une inscription d'application et accordez-lui des autorisations d'accès au niveau de l'abonnement. Obtenez les identifiants suivants : Application (client) ID, Directory (tenant) ID et la Value du secret client.
ImportantPour utiliser la fonctionnalité Agentless Detection, attribuez les rôles Reader et Disk Snapshot Contributor à Security Center dans votre compte Azure. Pour connaître la procédure spécifique, reportez-vous à la section Ajouter des actifs Azure.
-
Configurer la méthode de connexion
Dans le coin supérieur gauche de la console, sélectionnez la région Outside Chinese Mainland.
Accédez à la page Agentless Detection. Dans l'onglet Server Check, section Add Multi-cloud Asset, cliquez sur Add sous l'icône
.Accédez à la page Add Assets Outside Cloud. À l'étape Create Sub-account, sélectionnez Agentless Detection Agentless Detection dans la section Permission Description, puis cliquez sur Next.
-
Soumettre les informations d'identification
Dans l'onglet Submit AccessKey Pair, saisissez précisément les identifiants que vous avez créés dans Azure, puis cliquez sur Next.
Enter an AppID : l'Application (client) ID obtenu lors de l'inscription de votre application Azure.
Enter a password : la valeur du secret client obtenue lors de l'inscription de votre application Azure.
Tenant ID : le Directory (tenant) ID issu de l'inscription de votre application Azure.
Domain (Select Chinese Edition for China and International Edition for others) : pour les utilisateurs 21Vianet, sélectionnez Chinese Edition.
-
Configurer la stratégie
Dans l'onglet Policy Configuration, effectuez la configuration en suivant les instructions ci-dessous.
-
Select region : sélectionnez les régions où se trouvent les actifs Azure à intégrer.
RemarqueLes données des actifs sont automatiquement stockées dans le centre de données correspondant à la région sélectionnée dans le coin supérieur gauche de la console Security Center.
Chinese Mainland : centre de données en Chine continentale.
Outside Chinese Mainland : centre de données à Singapour (Singapour).
Region Management : Nous vous recommandons de sélectionner cette option. Une fois cette option activée, les actifs situés dans de nouvelles régions ajoutées à ce compte Azure seront automatiquement synchronisés sans configuration manuelle.
AK Service Status Check : définissez l'intervalle auquel Security Center vérifie automatiquement la validité des identifiants du compte Azure. Vous pouvez sélectionner Off pour désactiver la vérification.
-
Une fois la vérification des autorisations et la configuration de la stratégie terminées, créez des tâches Agentless Detection pour vos machines virtuelles Azure.
Créer et exécuter des tâches de détection
Configurer les listes d'autorisation de détection (facultatif)
Sur la page Agentless Detection, cliquez sur Scan Configuration, puis accédez à l'onglet Manage Whitelist.
Selon le type de risque, cliquez sur Create Rule dans l'onglet correspondant.
-
Configurez la règle de liste d'autorisation comme décrit ci-dessous.
ImportantLes configurations de liste d'autorisation suivantes s'appliquent à toutes les ressources.
Liste d'autorisation des vulnérabilités
Vulnerability Type : seules les options Linux Software Vulnerability, Windows System Vulnerability et Application Vulnerability sont prises en charge.
Vulnerability Name : les dernières données de vulnérabilité sont récupérées en fonction du Vulnerability Type sélectionné.
Liste d'autorisation des échantillons malveillants
Alert Name : la valeur par défaut est ALL, ce qui signifie que la règle de liste d'autorisation s'applique à tous les types d'alertes. Cette valeur ne peut pas être modifiée.
Allowlist Field : la valeur par défaut est fileMd5, ce qui signifie que les fichiers sont ajoutés à la liste d'autorisation par hachage MD5. Cette valeur ne peut pas être modifiée.
Wildcard Character : seule l'option Equal est prise en charge.
Rule Content : saisissez le hachage MD5 du fichier.
Liste d'autorisation de référence
Check Item Type : spécifiez le type d'éléments de vérification de référence à exclure de la détection.
Check Item : les éléments de vérification spécifiques sont récupérés en fonction du Check Item Type sélectionné.
Liste d'autorisation des fichiers sensibles
Check Item for Sensitive Files : spécifiez les éléments à exclure de la détection.
-
Configure Whitelist Conditions :
RemarqueVous pouvez configurer plusieurs règles. Les règles sont liées par un opérateur ET. Un fichier est ajouté à la liste d'autorisation uniquement s'il respecte toutes les conditions des règles.
MD5 : pour le caractère générique, seule l'option Equal est prise en charge. Saisissez ensuite le hachage MD5 du fichier.
Path : pour le caractère générique, les options Contains, Prefix et Suffix sont prises en charge. Saisissez ensuite le chemin d'accès.
Créer une tâche de détection
La solution Agentless Detection prend en charge deux types de tâches : à la demande et planifiées.
Tâche de détection immédiate
Utilisez ces tâches pour effectuer des analyses de sécurité ponctuelles sur des ressources spécifiques.
Analyse de sécurité de l'hôte
Dans l'onglet , dans la section Risk Detection, cliquez sur Scan Now.
-
Dans le panneau Scan Now, configurez les paramètres comme décrit ci-dessous, puis cliquez sur OK.
Scan Scope : nous vous recommandons de sélectionner les disques de données. Des sources de données plus complètes améliorent la détection des vulnérabilités, des alertes et d'autres risques.
-
Image Retention Duration :
Valeurs valides : 1 à 365. Unité : jours.
-
La création de d'images est facturée. Plus la durée de conservation des des images est longue, plus les frais sont élevés.
ImportantSi vous sélectionnez l'option Retain Only At-risk Image, le système supprime automatiquement les les images sans risque une fois l'analyse terminée.
-
Après la création de la tâche, Security Center crée automatiquement des des images et exécute l'analyse. Si des risques sont détectés après l'analyse, le système déclenche également automatiquement une analyse parallèle en bac à sable (sandbox). Pour plus d'informations, consultez les rubriques Création automatique de snapshots et d'images et Exécution automatique de l'analyse AI parallel sandbox. Pour savoir comment consulter la progression des tâches et les rapports, reportez-vous à la rubrique Consulter la progression des tâches et les rapports.
RemarquePlus le volume de données serveur analysé est important, plus la tâche prend du temps. Attendez la fin de la tâche.
Analyse de sécurité d'image personnalisée
Dans l'onglet , dans la section Risk Detection, cliquez sur Scan Now.
-
Dans le panneau Scan Now, sélectionnez l'image cible, puis cliquez sur OK.
RemarqueSi l'image que vous souhaitez analyser n'apparaît pas dans le panneau de tâche de détection, accédez à la page et cliquez sur Synchronize Assets. Une fois la synchronisation terminée, répétez cette étape.
Tâches de détection planifiées
Utilisez les tâches planifiées pour exécuter des inspections de sécurité régulières et automatisées sur des groupes de ressources.
-
Accéder à la page de configuration
Dans le coin supérieur droit de la page Agentless Detection, cliquez sur Scan Configuration.
-
Configurer l'étendue de la détection
Dans l'onglet Security Check Scope, configurez les paramètres comme décrit ci-dessous, puis cliquez sur Save.
Baseline Check Scope : cliquez sur Manage pour accéder à la page Baseline Check Configuration, où vous pouvez consulter et configurer l'étendue des vérifications de référence prises en charge.
-
Sensitive File : cliquez sur Manage pour accéder à la page Sensitive File Scan Settings, où vous pouvez consulter et configurer les éléments de vérification.
ImportantSi vous sélectionnez l'option Default Scan for New Check Items, le système analyse automatiquement les nouveaux éléments de vérification lorsqu'ils sont ajoutés.
-
Configurer la politique de détection
Dans l'onglet Automatic Detection Policy, configurez les paramètres comme décrit ci-dessous, puis cliquez sur Save.
-
Check Host : configurez les ressources à analyser comme décrit ci-dessous. Pour plus d'informations sur les autres paramètres, consultez la rubrique Analyse de sécurité de l'hôte.
-
Configurez le Scan Cycle :
Définissez la fréquence d'exécution de la tâche de détection, par exemple quotidienne ou hebdomadaire.
Si vous sélectionnez l'option Do Not Scan, la tâche Check Host est mise en pause.
Une fois la planification configurée, le système commence à exécuter les tâches d'analyse le lendemain.
-
Configurez les Scan Assets :
Dans la section Scan Assets, cliquez sur Management.
Default Scan for New Assets : nous vous recommandons de sélectionner cette option. Le système inclura alors automatiquement les nouveaux serveurs ajoutés dans le prochain cycle d'analyse, sans nécessiter d'ajout manuel.
Ajuster l'étendue de la détection : dans la liste des ressources, sélectionnez ou désélectionnez des serveurs spécifiques selon vos besoins pour configurer l'étendue des ressources de la tâche de détection.
-
-
Custom Image Check : si vous activez l'option Incremental Check, le système exécute automatiquement des analyses incrémentielles sur les les images personnalisées qui n'ont pas encore été analysés.
ImportantLa détection incrémentielle nécessite l'activation de l'option Data Delivery of ActionTrail. Dans l'onglet , activez l'option Data Delivery of ActionTrail. Pour plus d'informations, consultez les instructions de configuration des autorisations.
-
Création automatique de images
Lorsque vous exécutez une tâche Server Check, le système utilise le rôle lié au service AliyunServiceRoleForSas pour effectuer les opérations automatisées suivantes :
Créer un image : le système crée automatiquement un snapshot de serveur temporaire dont le nom commence par
SAS_Agentless.Partager en toute sécurité : le système partage le l'image avec le compte de service officiel Security Center pour analyse et scanning.
-
Nettoyage automatique : une fois l'analyse terminée et la durée de conservation du expirée, le l'image est automatiquement supprimé(e) et le partage est annulé.
RemarqueLe image est utilisé(e) uniquement pour l'analyse de sécurité ; aucun frais n'est facturé pour le partage.
Dans la section Event Query de la console ActionTrail, vous pouvez consulter un journal des actions effectuées par AliyunServiceRoleForSas pour la création d'un d'une image.
Exécution automatique de l'analyse AI parallel sandbox
Une fois une tâche de détection terminée, le système crée automatiquement une tâche d'analyse parallel sandbox. Vous pouvez consulter la progression de la tâche et télécharger les rapports d'analyse dans la section Task Management. Pour les opérations détaillées, consultez la rubrique Consulter la progression des tâches et les rapports.
-
Conditions de déclenchement : les conditions suivantes doivent être réunies simultanément.
La tâche de détection de sécurité de l'hôte, de détection de sécurité par snapshot ou de détection de sécurité d'image personnalisée est terminée.
Des risques tels que des vulnérabilités, des écarts de référence ou des fichiers sensibles existent dans les résultats de la détection.
Méthode de déclenchement : l'analyse parallel sandbox est déclenchée automatiquement par le système et ne peut pas être exécutée manuellement.
Consulter la progression des tâches et les rapports
Dans le coin supérieur droit de la page Agentless Detection, cliquez sur Task Management.
-
Dans le panneau pop-up Task Management, sélectionnez l'onglet correspondant au type de détection.
Server Check/Snapshot-based Check/Custom Image Check
Afficher le statut et la progression : dans la liste de l'onglet correspondant, consultez le Status et la Progress de la tâche.
-
Afficher et télécharger les rapports :
Télécharger le rapport pour l'ensemble de la tâche : dans la colonne Actions de la tâche cible, cliquez sur Download Report.
-
Télécharger le rapport pour un seul serveur :
Dans la colonne Actions de la tâche cible, cliquez sur Details ou View.
Dans le panneau Task Details, cliquez sur Download Report dans la colonne Actions.
Parallel Sandbox Analysis
Afficher le statut et la progression : dans la liste de l'onglet Parallel Sandbox Analysis, consultez le Status et la Progress de la tâche.
-
Afficher et télécharger les rapports :
Dans la colonne Actions de la tâche cible, cliquez sur Details.
Sur la page Task Details, cliquez sur Download Report dans la colonne Actions de la ressource.
Analyser et traiter les risques
Une fois une tâche terminée avec succès, vous pouvez consulter et traiter les risques de sécurité détectés sur la page Agentless Detection.
Si le même serveur est analysé plusieurs fois, seuls les résultats de l'analyse la plus récente sont affichés. Les anciens résultats sont écrasés.
-
Afficher les détails des risques
Sur la page Agentless Detection Agentless Detection, accédez à l'onglet correspondant à la politique de détection, par exemple Server Check, puis sélectionnez l'onglet du type de risque, tel que Vul Risk. Dans la liste, repérez l'élément concerné et cliquez sur View ou Details dans la colonne Actions pour en afficher les détails.
-
Traiter les alertes de risque
RemarqueLes règles de liste d'autorisation que vous créez lors de l'analyse et du traitement des risques sont également synchronisées automatiquement vers la liste d'autorisation de détection, où vous pouvez les modifier, les supprimer ou les gérer autrement.
Risques de vulnérabilité
-
Procédure :
Add to Whitelist : localisez la vulnérabilité à traiter et cliquez sur Add to Whitelist dans la colonne Actions.
-
Corriger les vulnérabilités :
-
Créer une tâche de correction :
Dans l'onglet Application Vulnerability, repérez la vulnérabilité à corriger et cliquez sur Fix dans la colonne Actions.
Dans la section Affected Asset de l'onglet Details de la vulnérabilité, cliquez sur Fix dans la colonne Actions de l'actif cible. Pour corriger la vulnérabilité sur plusieurs actifs simultanément, sélectionnez les actifs concernés et cliquez sur Fix sous la liste.
Sur la page de confirmation de la correction de la vulnérabilité, vérifiez les informations Asset Information et le Fixed Custom Image Name.
Bulk Fix d'autres vulnérabilités (facultatif) : si les images personnalisées contiennent d'autres vulnérabilités corrigeables, sélectionnez-les pour les corriger conjointement avec la vulnérabilité actuelle au sein de la même tâche. Les corrections sont incluses dans la nouvelle image correspondant à chaque image personnalisée.
Après avoir confirmé l'exactitude des informations, cliquez sur Fix Now.
-
Afficher et télécharger les résultats de la correction :
-
Consulter les résultats et la progression :
Revenez à la page d'accueil Agentless Detection Agentless Detection et cliquez sur Task Management en haut à droite.
Dans l'onglet Fix Task, consultez le Status et la Progress de la correction.
-
Afficher et télécharger le rapport
Si la correction réussit, cliquez sur Details dans la colonne Actions de la tâche.
Sur la page Task Details, cliquez sur View Fix Report dans la colonne Actions de l'actif.
Sur la page du rapport, cliquez sur l'icône de téléchargement en haut à droite.
-
-
-
Instructions de traitement :
-
Ajouter à la liste d'autorisation :
Lorsque vous ajoutez une vulnérabilité à la liste d'autorisation, aucune alerte n'est plus générée pour celle-ci. Agissez avec prudence.
Après l'ajout d'une vulnérabilité à la liste d'autorisation, le système la synchronise automatiquement vers l'onglet . Vous pouvez y consulter l'entrée ajoutée.
-
Corriger les vulnérabilités :
Seules certaines vulnérabilités peuvent être corrigées.
La correction des vulnérabilités fait l'objet d'une facturation séparée ; aucun frais n'est appliqué si vous ne l'utilisez pas. Le tarif s'élève à USD 1.33 per vulnerability. Pour plus d'informations, reportez-vous à la documentation sur la facturation de la correction des vulnérabilités.
-
Vérifications de référence
Procédure : dans la liste des éléments de vérification, repérez celui que vous souhaitez traiter et cliquez sur Add to Whitelist dans la colonne Actions.
-
Instructions de traitement : ajouter à la liste d'autorisation.
Lorsque vous ajoutez un élément de vérification à la liste d'autorisation, les nouveaux serveurs ne sont plus analysés pour cet élément. Agissez avec prudence.
Après l'ajout d'un élément de vérification à la liste d'autorisation, le système le synchronise automatiquement vers l'onglet . Vous pouvez y consulter l'entrée ajoutée.
Échantillons malveillants
-
Procédure :
Traiter les nouvelles alertes : définissez le statut de traitement sur Unhandled dans le filtre, puis cliquez sur Handle dans la colonne Actions de l'alerte cible.
Examiner ou réviser les alertes archivées : définissez le statut de traitement sur Handled dans le filtre, puis cliquez sur Change Status dans la colonne Actions de l'alerte cible.
-
Instructions de traitement :
-
Add to Whitelist : si vous confirmez qu'une alerte n'implique pas de comportement malveillant, vous pouvez l'ajouter à la liste d'autorisation en fonction de la règle et de la portée d'application.
ImportantSi vous ajoutez une alerte à la liste d'autorisation, les occurrences futures de cette même alerte sont automatiquement déplacées vers la liste des éléments traités et aucune notification n'est envoyée. Agissez avec prudence.
Vous pouvez traiter des alertes identiques par lots. Les méthodes de traitement prises en charge varient selon le type d'alerte. Reportez-vous à la console pour connaître les méthodes disponibles.
Après l'ajout d'une alerte à la liste d'autorisation, le système la synchronise automatiquement vers l'onglet . Vous pouvez y consulter l'entrée ajoutée.
Manually Handled : après avoir résolu manuellement le risque ayant déclenché l'alerte, marquez l'alerte comme Manually Handled.
Mark as False Positive : signalez l'alerte actuelle comme un faux positif. Security Center utilise vos commentaires pour améliorer continuellement ses capacités d'analyse.
Ignore : ignorez uniquement l'alerte actuelle. Si une analyse ultérieure correspond à la politique de détection, une autre alerte sera générée.
-
Fichiers sensibles
-
Procédure :
Dans la liste des alertes de fichiers sensibles, repérez l'alerte à traiter et cliquez sur Details dans la colonne Actions pour afficher la description détaillée et les recommandations de durcissement.
Dans la colonne des opérations de la liste des risques sur le panneau des détails, cliquez sur Handle. Dans la boîte de dialogue, sélectionnez une méthode de traitement de l'alerte et cliquez sur OK.
-
Instructions de traitement :
-
Add to Whitelist : si vous confirmez qu'une alerte n'implique pas de comportement malveillant, vous pouvez l'ajouter à la liste d'autorisation selon les règles définies. Les règles suivantes s'appliquent :
ImportantSi vous ajoutez une alerte à la liste d'autorisation, les occurrences futures de cette même alerte sont automatiquement déplacées vers la liste des éléments traités et aucune notification n'est envoyée. Agissez avec prudence.
Vous pouvez configurer plusieurs règles. Toutes les règles sont combinées à l'aide de l'opérateur AND. Une alerte est ajoutée à la liste d'autorisation uniquement si toutes les conditions des règles sont remplies.
Après l'ajout d'une alerte à la liste d'autorisation, le système la synchronise automatiquement vers l'onglet . Vous pouvez y consulter l'entrée ajoutée.
MD5 : la condition de caractère générique prend uniquement en charge l'option Equals. Saisissez le hachage MD5 du fichier.
Path : la condition de caractère générique prend en charge les options Contains, Starts With et Ends With. Saisissez le chemin spécifique.
Manually Handled : après avoir résolu manuellement le risque ayant déclenché l'alerte, marquez l'alerte comme Manually Handled.
Mark as False Positive : signalez l'alerte actuelle comme un faux positif. Security Center utilise vos commentaires pour améliorer continuellement ses capacités d'analyse.
Ignore : ignorez uniquement l'alerte actuelle. Si une analyse ultérieure correspond à la politique de détection, une autre alerte sera générée.
-
-
Dépanner les tâches échouées
Si une tâche présente un statut anormal, vous pouvez consulter la cause de l'échec sur la page Task Details et vous reporter au tableau suivant pour les solutions.
|
Failure message |
Cause of failure |
Solution |
|
The current region is not supported |
The specified region is not supported. |
Vérifiez que la région de l'instance ECS est prise en charge. Pour plus d'informations, reportez-vous à Étendue. |
|
Failed to connect to the disk |
A temporary error occurred when the system was mounting the snapshot disk. |
Dans la colonne Actions de la tâche, cliquez sur Retry. |
|
Failed to create the image |
The number of ECS images has reached the quota limit. |
Augmentez le quota d'images dans la console ECS ou supprimez les anciennes images inutilisées. |
|
Task processing timed out |
The scan volume was too large or the system was busy, causing a timeout. |
Divisez la tâche en plusieurs sous-tâches en fonction de l'étendue de l'analyse, puis exécutez-les à nouveau. |
Impact sur les performances et contrôle des coûts
Impact sur les performances : le processus d'analyse Agentless Detection ne consomme pas les ressources du serveur cible.
-
Contrôle des coûts : les frais Agentless Detection comprennent les frais « d'analyse + analyse sandbox IA » et les frais de stockage des images. Si vous utilisez la réparation de vulnérabilités par IA, des frais supplémentaires de correction sont appliqués en fonction du nombre de réparations réussies. Pour maîtriser efficacement les coûts, nous recommandons les configurations suivantes :
Lors de la création d'une tâche et de la configuration du paramètre Image Retention Duration, sélectionnez Retain Only At-risk Image.
Nettoyez régulièrement les snapshots dont vous n'avez plus besoin.
Quotas et limites
Spécifications des disques : un seul disque cloud prend en charge un maximum de 1 TiB. Un maximum de 20 000 000 fichiers peut être analysé sur un seul disque. Tout fichier dépassant cette limite ne sera pas analysé.
Limites des serveurs : chaque serveur prend en charge l'analyse d'un maximum de 15 disques cloud. Tout disque dépassant cette limite ne sera pas analysé.
Rétention des résultats : les résultats de détection sont conservés pendant 30 jours et automatiquement supprimés à l'expiration. Pour plusieurs analyses du même actif, seuls les résultats les plus récents sont conservés.
Limites des fichiers compressés : seuls les fichiers JAR sont pris en charge. Seule la première couche est décompressée pour l'analyse.
Limites du système de fichiers : ext2, ext3, ext4, XFS et NTFS sont pris en charge. Pour NTFS, les éléments de vérification qui dépendent des informations d'autorisations de fichiers ne sont pas pris en charge.
Limites de stockage et de disque : pour tous les hôtes (Alibaba Cloud et non-Alibaba Cloud), l'analyse des disques de données utilisant LVM (Logical Volume Manager), des arrays RAID ou du système de fichiers ReFS n'est pas prise en charge.
Annexe
Capacités de détection détaillées
Le tableau suivant répertorie les principaux éléments de détection pris en charge par la Détection sans agent.
Catégorie de détection | Portée de la détection | Détails |
Vulnérabilités | Vulnérabilités logicielles Linux, vulnérabilités système Windows, vulnérabilités applicatives | Pour connaître les versions de systèmes d'exploitation prises en charge, consultez la section Systèmes d'exploitation pris en charge pour l'analyse des vulnérabilités. |
Vérification de la configuration de référence | Conformité de la configuration pour les systèmes d'exploitation, les applications et les bases de données | Prend en charge l'analyse de centaines d'éléments de configuration, notamment :
Pour plus d'informations, accédez à la page Scan Configuration dans la console. Pour le détail des opérations, consultez la section Portée de la vérification de la configuration de référence. |
Échantillon malveillant | Scripts malveillants, webshells, logiciels malveillants |
Consultez la section Échantillons malveillants. |
Fichier sensible | Informations d'identification, fichiers de clé, fichiers de configuration | Prend en charge la détection des fichiers sensibles courants, notamment :
Pour plus d'informations, accédez à Scan Configuration dans la console. Pour les étapes spécifiques, consultez la section élément de vérification des fichiers sensibles. |
Systèmes d'exploitation pris en charge pour l'analyse des vulnérabilités
Type de système d'exploitation | Version |
Windows Server |
|
Red Hat |
|
CentOS |
|
Ubuntu |
|
Debian |
|
Alpine |
|
Amazon Linux |
|
Oracle Linux |
|
SUSE Linux Enterprise Server |
|
Fedora Linux |
|
openSUSE |
|
Échantillons malveillants
Catégorie d'échantillon malveillant | Description | Éléments de détection pris en charge |
Scripts malveillants | Détecte si les fonctions système d'une ressource ont été attaquées ou altérées par des scripts malveillants et affiche les éventuelles attaques par script malveillant dans les résultats de détection. Les scripts malveillants sont classés comme scripts basés sur des fichiers ou scripts sans fichier. Une fois qu'ils ont obtenu des autorisations sur un serveur, les attaquants utilisent des scripts comme vecteurs pour mener d'autres attaques. Par exemple, ils peuvent implanter des programmes de minage, ajouter des portes dérobées système ou créer des comptes système. | Les langages pris en charge incluent Shell, Python, Perl, PowerShell, VBScript et BAT. |
WebShell | Vérifie si les fichiers de script web d'une ressource sont malveillants ou s'ils offrent des capacités de communication ou de gestion via une porte dérobée. Après avoir implanté un WebShell, un attaquant peut contrôler le serveur et utiliser le WebShell comme porte dérobée pour mener d'autres attaques. | Les langages pris en charge incluent PHP, JSP, ASP et ASPX. |
Logiciel malveillant | Vérifie si les fichiers binaires d'une ressource sont malveillants et susceptibles d'endommager la ressource ou de maintenir un contrôle persistant. Après avoir implanté un fichier binaire malveillant, un attaquant peut contrôler le serveur pour miner des cryptomonnaies, lancer des attaques DDoS ou chiffrer les fichiers de la ressource. Selon leur fonction, les binaires malveillants comprennent principalement des programmes de minage, des chevaux de Troie, des programmes de porte dérobée, des outils de piratage, des rançongiciels et des vers. | Logiciel de base compromis |
Programme suspect | ||
Logiciel espion | ||
Programme cheval de Troie | ||
Virus infectant les fichiers | ||
Ver | ||
Programme d'exploitation | ||
Cheval de Troie métamorphique | ||
Outil de piratage | ||
Cheval de Troie DDoS | ||
Porte dérobée shell inversé | ||
Programme malveillant | ||
Rootkit | ||
Cheval de Troie téléchargeur | ||
Scanner | ||
Logiciel à risque | ||
Outil proxy | ||
Rançongiciel | ||
Programme de porte dérobée | ||
Programme de minage |
Liste de support pour la correction des vulnérabilités
|
ID de vulnérabilité |
Description |
|
CVE-2018-1257 |
Dans le module spring-messaging de Spring Framework, lorsque des endpoints WebSocket sont exposés via un broker STOMP en mémoire, les attaquants peuvent fabriquer des messages pour provoquer une attaque par déni de service par expression régulière (ReDoS). |
|
CVE-2019-12415 |
Dans Apache POI 4.1.0 et versions antérieures, l'outil XSSFExportToXml peut traiter un document Excel malveillant pour lire des fichiers locaux ou des ressources intranet via une injection d'entité externe XML (XXE) lors de la conversion de documents Excel fournis par l'utilisateur. |
|
CVE-2019-14439 |
FasterXML jackson-databind 2.x (versions antérieures à 2.9.9.2) présente une vulnérabilité de désérialisation polymorphe lorsque Default Typing est activé et que logback est présent dans le classpath. |
|
CVE-2020-26259 |
Les versions d'XStream antérieures à 1.4.15 présentent une vulnérabilité de suppression arbitraire de fichiers lors de la désérialisation. Des attaquants distants peuvent supprimer des fichiers connus arbitraires sur l'hôte. |
|
CVE-2020-26945 |
Les versions de MyBatis antérieures à 3.5.6 gèrent incorrectement la désérialisation de flux d'objets. |
|
CVE-2020-5398 |
Dans Spring WebFlux, lorsque les noms de fichiers sont définis en fonction de l'entrée utilisateur dans l'en-tête de réponse Content-Disposition, un risque d'attaque par téléchargement de fichier réfléchi (RFD) existe. |
|
CVE-2020-5398 |
Dans Spring WebMVC, lorsque les noms de fichiers sont définis en fonction de l'entrée utilisateur dans l'en-tête de réponse Content-Disposition, un risque d'attaque par téléchargement de fichier réfléchi (RFD) existe. |
|
CVE-2021-20190 |
Les versions de jackson-databind antérieures à 2.9.10.7 gèrent incorrectement les gadgets et types de sérialisation, ce qui peut compromettre la confidentialité, l'intégrité et la disponibilité des données. |
|
CVE-2021-44228 |
Apache Log4j2 2.0-beta9 à 2.15.0 ne protège pas contre les endpoints LDAP et autres contrôlés par un attaquant via la fonctionnalité JNDI, permettant l'exécution de code à distance (Log4Shell). |
|
CVE-2022-25845 |
Les versions de FastJSON antérieures à 1.2.83 peuvent contourner la limite de désactivation d'autoType dans des conditions spécifiques, entraînant la désérialisation de données non fiables et permettant des attaques sur des serveurs distants. |
|
CVE-2023-20860 |
Spring Framework 6.0.0-6.0.6 ou 5.3.0-5.3.25, lorsque le motif ** est utilisé avec mvcRequestMatcher dans les configurations Spring Security, peut entraîner des incohérences de correspondance de motifs et des contournements de sécurité. |
|
CVE-2023-23638 |
Apache Dubbo présente une vulnérabilité de désérialisation lors de l'appel générique, pouvant conduire à l'exécution de code malveillant. Les versions affectées incluent Dubbo 2.7.21 et antérieures, 3.0.13 et antérieures, et 3.1.5 et antérieures. |
|
CVE-2023-24998 |
Les versions d'Apache Commons FileUpload antérieures à 1,5 ne limitent pas le nombre de parties de requête traitées, permettant aux attaquants de déclencher un déni de service via des téléchargements malveillants. |
|
CVE-2023-25194 |
L'API Apache Kafka Connect présente une vulnérabilité de sécurité. Un attaquant ayant accès à un worker Kafka Connect et la capacité de créer ou modifier des connecteurs peut obtenir une exécution de code arbitraire en configurant un module de connexion JNDI. |
|
CVE-2023-29017 |
Les versions du sandbox vm2 antérieures à 3.9.15 gèrent incorrectement les objets hôtes dans Error.prepareStackTrace lorsque les erreurs asynchrones ne sont pas gérées, entraînant une évasion du sandbox et une exécution de code à distance. |
|
CVE-2023-30547 |
Les versions 3.9.16 et antérieures du sandbox vm2 présentent un contournement de l'assainissement des exceptions dans handleException(). Les attaquants peuvent exploiter des exceptions hôtes non assainies pour s'échapper du sandbox et exécuter du code arbitraire. |
|
CVE-2023-32314 |
Les versions 3.9.17 et antérieures du sandbox vm2 présentent une vulnérabilité d'évasion de sandbox basée sur la spécification Proxy qui crée de manière inattendue des objets hôtes, permettant l'exécution de code à distance. |
|
CVE-2023-37466 |
Dans les versions 3.9.19 et antérieures de vm2, l'assainissement du gestionnaire Promise peut être contourné via l'accesseur @@species, permettant aux attaquants de s'échapper du sandbox et d'exécuter du code arbitraire. Le projet n'est plus maintenu. |
|
CVE-2023-43804 |
urllib3 peut divulguer des cookies à différentes origines lors du traitement des redirections HTTP si l'en-tête Cookie est explicitement défini par l'utilisateur. |
|
CVE-2023-47248 |
PyArrow 0.14.0 à 14.0.0 présente une vulnérabilité de désérialisation de données non fiables dans les lecteurs IPC et Parquet, pouvant conduire à l'exécution de code arbitraire. |
|
CVE-2024-22243 |
Spring Web UriComponentsBuilder peut présenter des risques d'attaque par redirection ouverte ou SSRF lors de l'analyse d'URL fournies externement et de la validation de l'hôte. |
|
CVE-2024-22257 |
Spring Security AuthenticatedVoter#vote peut entraîner des échecs de contrôle d'accès lorsqu'un paramètre Authentication nul est transmis. |
|
CVE-2024-22259 |
Spring Web UriComponentsBuilder peut présenter des risques d'attaque par redirection ouverte ou SSRF lors de l'analyse d'URL fournies externement et de la validation de l'hôte (une variante de CVE-2024-22243). |
|
CVE-2024-31141 |
Le plugin ConfigProvider du client Apache Kafka peut être exploité par des parties non fiables pour lire des fichiers disque ou des variables d'environnement, ce qui peut conduire à une élévation de privilèges. |
|
CVE-2024-38809 |
Les applications Spring Web peuvent subir une attaque par déni de service lors de l'analyse des ETags dans les en-têtes de requête If-Match ou If-None-Match. |
|
CVE-2024-38816 |
Le framework web fonctionnel Spring WebMVC présente un risque d'attaque par traversal de chemin lors du service de ressources statiques via RouterFunctions utilisant FileSystemResource. |
|
CVE-2024-38819 |
Le framework web fonctionnel Spring WebFlux présente un risque d'attaque par traversal de chemin lors du service de ressources statiques, permettant aux attaquants d'obtenir des fichiers arbitraires dans le système de fichiers. |
|
CVE-2024-38819 |
Le framework web fonctionnel Spring WebMVC présente un risque d'attaque par traversal de chemin lors du service de ressources statiques, permettant aux attaquants d'obtenir des fichiers arbitraires dans le système de fichiers. |