Security Center:Virus detection and removal

Fonctionnalités principales

• Étendue de la détection : Couvre les éléments clés tels que les processus, les éléments de démarrage, les tâches planifiées et les répertoires sensibles.

• Méthodes de traitement : Prend en charge la mise en quarantaine automatique, l'analyse approfondie et la suppression, la gestion de la liste d'autorisation, ainsi que d'autres actions de remédiation.

• Méthodes d'analyse : Prend en charge l'analyse immédiate et l'analyse périodique.

Cas d'utilisation

• Vérifications de sécurité régulières : Effectuez des inspections de sécurité planifiées et nettoyez les menaces.

• Réponse d'urgence : Réagissez rapidement et effectuez des investigations forensiques après un incident de sécurité.

• Renforcement de la conformité : Répondez aux exigences d'audit de conformité et renforcez la sécurité du système.

Types de virus pris en charge et éléments analysés

• Types de virus : Ransomwares, programmes de minage de cryptomonnaie, chevaux de Troie DDoS, chevaux de Troie, portes dérobées, programmes malveillants, programmes à haut risque, vers, programmes suspects et chevaux de Troie à mutation automatique.

• Éléments analysés : Processus actifs, processus cachés, processus Docker, modules du noyau, programmes installés, détournement de bibliothèques dynamiques, services, tâches planifiées, éléments de démarrage et répertoires sensibles.

Liste de contrôle avant remédiation

Avant de choisir une méthode de réponse, connectez-vous au serveur pour vérifier le fichier suspect et évaluer l'impact potentiel sur vos services.

1. Confirmez les informations sur le fichier : Vérifiez le chemin d'accès, la signature et le hachage du fichier pour déterminer s'il est malveillant. Cela permet d'éviter la suppression accidentelle de fichiers critiques.

2. Vérifiez les processus et la propriété : Déterminez si le fichier est utilisé par des services critiques tels que nginx ou mysql.

3. Évaluez l'impact commercial : Confirmez si le fichier fait partie d'une application métier et si sa suppression affectera les services en cours d'exécution.

Choisissez une méthode de traitement

Dans la liste des alertes, recherchez l'alerte cible et cliquez sur Handle pour sélectionner une action en fonction de votre évaluation. Cliquez sur la flèche à gauche d'une alerte pour afficher les détails, tels que le chemin d'accès au fichier virus.

Les détails développés incluent également le Malicious File MD5 et l'ID de processus.

Activer les notifications d'alerte

Configurez les notifications d'alerte sur la page System Settings > Notification Settings afin d'avertir le personnel responsable par e-mail, SMS ou DingTalk lorsqu'une menace à haut risque est détectée. Pour plus d'informations, reportez-vous à Paramètres de notification.

Dans la zone de configuration des notifications Security Alerts, effectuez les réglages suivants :

• Notification Time : sélectionnez 24 Hours ou 8:00 - 20:00.

• Concerned Level : sélectionnez Urgent, Suspicious ou Notice selon vos besoins.

• Notification Method : sélectionnez SMS, Email ou Internal Message selon vos besoins.

Optimisation des performances et réponse aux incidents

• Optimisation des performances :

  • Pour les serveurs aux spécifications modestes (par exemple, 1-core CPU and 1 GB of memory), exécutez une Quick Scan pendant les heures creuses et désactivez l'option Memory Check afin de réduire la consommation de ressources.

  • Pour les analyses à grande échelle, procédez par lots ou excluez les répertoires de journaux et de sauvegarde volumineux dans les Scan Settings pour réduire la durée de l'analyse.

• Processus de réponse d'urgence :

  1. Isolement immédiat : après la détection d'une menace à haut risque, utilisez les règles du groupe de sécurité pour bloquer les ports anormaux ou restreindre l'accès à votre adresse IP de bureau uniquement, empêchant ainsi les attaquants de continuer à contrôler le serveur.

  2. Sauvegarde des preuves : créez un snapshot pour le serveur et sauvegardez les journaux clés tels que /var/log/secure et /var/log/cron.

  3. Analyse approfondie et suppression : utilisez la fonctionnalité Deep Scan and Removal de Security Center pour supprimer les processus malveillants, les webshells et les mécanismes de persistance, y compris les tâches planifiées Crontab, les clés publiques SSH ~/.ssh/authorized_keys et le détournement de bibliothèques dynamiques.

  4. Correction des vulnérabilités : analysez et corrigez les vulnérabilités du système et des applications. Remplacez tous les mots de passe faibles par des mots de passe robustes.

  5. Durcissement de la sécurité : activez l'option Malicious Host Behavior Prevention pour une interception proactive (consultez la rubrique Prévention des comportements malveillants de l'hôte pour plus de détails). Restreignez les adresses IP de connexion à distance et n'ouvrez que les ports nécessaires.

  6. Surveillance continue : surveillez en permanence l'état du serveur pour vous assurer que la menace ne se reproduit pas.

• Réponse d'urgence en cas d'intrusion par mot de passe SSH faible

  Si votre serveur a été compromis en raison d'un mot de passe SSH faible, nous vous recommandons d'effectuer immédiatement les actions suivantes :

  1. Modifier le mot de passe : changez immédiatement le mot de passe root pour un mot de passe complexe comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux. Renouvelez-le régulièrement.

  2. Vérifier les portes dérobées : recherchez les processus anormaux, les comptes inconnus, les tâches planifiées suspectes et les clés publiques SSH. Supprimez toute trace d'intrusion.

     Si vous trouvez un fichier de clé publique SSH inconnu sous l'utilisateur root, tel qu'une clé publique inconnue dans ~/.ssh/authorized_keys, cela est généralement lié à l'implantation d'un cheval de Troie de minage de cryptomonnaies ou d'un autre logiciel malveillant. Nous vous recommandons de prendre les mesures suivantes :

     1. Vérifiez les clés publiques dans le fichier ~/.ssh/authorized_keys et supprimez toutes les clés anormales que vous n'avez pas ajoutées vous-même.

     2. Utilisez la fonctionnalité Deep Cleanup pour analyser le serveur et vérifier la présence de programmes malveillants associés à la clé anormale.

     3. Renforcez les contrôles de référence de l'hôte et le durcissement de la sécurité pour empêcher la réimplantation de clés anormales.

        La suppression de la clé anormale et l'exécution d'une analyse antivirus sont deux étapes de remédiation indépendantes qui doivent être effectuées séparément. Ne comptez pas uniquement sur l'analyse antivirus pour supprimer les clés SSH anormales.

     4. Bloquer l'attaquant : bloquez l'adresse IP source de l'attaquant dans le groupe de sécurité. Restreignez l'accès SSH et au Bureau à distance aux seules adresses IP de confiance.

     5. Nettoyage complet : si vous ne pouvez pas confirmer l'étendue de l'intrusion, nous vous recommandons de sauvegarder vos données métier, d'initialiser le disque système et de redéployer votre activité. Dans la console ECS, localisez l'instance correspondante, cliquez sur son nom, puis sélectionnez Initialize Disk dans All Operations en haut à droite (l'instance doit être arrêtée).

  3. Remédiation à la cause racine :

     Si le serveur est infecté à plusieurs reprises ou si le virus a pénétré profondément dans le système, prenez les mesures suivantes :

     • Sauvegardez vos données métier, puis réinitialisez le disque système. Dans la console ECS, localisez l'instance correspondante et sélectionnez Initialize Disk dans All Operations (l'instance doit être arrêtée).

       Avertissement

       Il s'agit d'une opération à haut risque. Procédez avec prudence après une évaluation complète.

     • Avant de redéployer votre activité, effectuez d'abord le durcissement de la sécurité (modification des mots de passe, fermeture des ports inutiles et installation des derniers correctifs).

     • Créez des sauvegardes régulières par snapshot pour une récupération rapide en cas de compromission du système.

  Recommandations de durcissement de la sécurité

  Pour protéger vos serveurs contre les futures attaques, mettez en œuvre les mesures de durcissement suivantes afin de complexifier la tâche des attaquants.

  • Activer l'option Malicious Host Behavior Prevention

    Activez cette fonctionnalité sur la page Protection Configuration > Host Protection > Malicious Host Behavior Prevention. Elle bloque proactivement les comportements malveillants des virus courants, y compris les chevaux de Troie, les ransomwares, les programmes de minage de cryptomonnaies et les chevaux de Troie DDoS. Pour plus d'informations, consultez la rubrique Prévention des comportements malveillants de l'hôte.

  • Durcissement de la sécurité du serveur

    • Mettre à niveau l'édition de Security Center : les éditions Enterprise et Ultimate prennent en charge la fonctionnalité d'isolation automatique des virus (c'est-à-dire la détection et la suppression automatiques des virus), vous offrant des capacités de défense précises et prenant en charge davantage d'éléments de détection de sécurité.

    • Renforcer le contrôle d'accès : n'ouvrez que les ports métier nécessaires (tels que 80 et 443) et configurez des politiques d'accès strictes basées sur une liste d'autorisation d'adresses IP pour les ports de gestion (tels que 22 et 3389) et les ports de base de données (tels que 3306).

      Remarque

      Pour les serveurs Alibaba Cloud ECS, consultez la rubrique Gérer les groupes de sécurité pour connaître les opérations à effectuer.

    • Définir des mots de passe serveur complexes : définissez des mots de passe complexes contenant des majuscules, des minuscules, des chiffres et des caractères spéciaux pour les serveurs et les applications.

    • Mettre à jour les logiciels : mettez rapidement à jour vos logiciels applicatifs vers la dernière version officielle afin d'éviter d'utiliser des versions obsolètes qui ne sont plus maintenues ou qui présentent des vulnérabilités de sécurité connues.

    • Sauvegardes régulières : créez une politique de snapshot régulière pour les données importantes et les disques système du serveur.

      Remarque

      Pour les serveurs Alibaba Cloud ECS, consultez la rubrique Créer une politique pour connaître les opérations à effectuer.

    • Corriger rapidement les vulnérabilités : utilisez régulièrement la fonctionnalité Gestion des vulnérabilités de Security Center pour appliquer rapidement les correctifs des vulnérabilités système et applicatives.

    • Réinitialiser le système du serveur (à utiliser avec prudence).

      Si l'intrusion virale est profonde et implique des composants système sous-jacents, il est fortement recommandé de réinitialiser le système du serveur après avoir sauvegardé les données importantes. Suivez ces étapes :

      1. Créez un snapshot pour sauvegarder les données importantes du serveur. Pour plus d'informations, consultez la rubrique Créer manuellement un seul snapshot.

      2. Initialisez le système d'exploitation du serveur. Pour plus d'informations, consultez la rubrique Réinitialiser le disque système (réinitialiser le système d'exploitation).

      3. Créez un cloud disk à partir du snapshot. Pour plus d'informations, consultez la rubrique Créer un disque de données à partir d'un snapshot.

      4. Attachez le cloud disk au serveur après la réinstallation du système. Pour plus d'informations, consultez la rubrique Attacher un disque de données.

  Quotas et limites

  • Limites des capacités de protection

    • Aucune protection en temps réel : ne prend pas en charge la détection et le blocage automatiques des menaces lors de la création, de la modification, de l'accès ou de l'exécution de fichiers. Si vous avez besoin d'une défense proactive, activez les « Paramètres de protection de l'hôte ».

    • Aucun traçage des virus : ne prend pas en charge le traçage de la source exacte d'un virus (par exemple, le logiciel tiers qui a introduit le virus).

      Remarque

      Localisez la source du téléchargement en vérifiant les journaux d'accès web. Récupérez le chemin du fichier et l'heure de l'alerte à partir de l'alerte virale, puis recherchez les requêtes POST/PUT dans les journaux du serveur (par exemple, Nginx) dans un intervalle de ±5 minutes. Faites correspondre le chemin du fichier pour identifier l'adresse IP source. Vous pouvez également utiliser la fonctionnalité Attack Tracing dans Alerte de sécurité pour une investigation plus rapide.

  • Limites de l'analyse complète du disque : par défaut, l'analyse se concentre uniquement sur les zones à haut risque. L'analyse complète de tous les fichiers d'un serveur n'est pas prise en charge. Si vous avez besoin d'une analyse complète du disque, activez la détection sans agent.

  • Limites de l'analyse de répertoire personnalisé

    • Limite du nombre de fichiers : une seule tâche analyse jusqu'à 30 000 fichiers. Le dépassement de cette limite peut entraîner un délai d'expiration ou faire en sorte que certains fichiers ne soient pas analysés.

    • Limite de taille de fichier : la taille maximale d'un seul fichier est de 10 Mo.

    • Limite de temps d'exécution : une seule tâche expire par défaut après 2 heures. Les fichiers dépassant cette limite sont ignorés.

  Tutoriels

  • Bonnes pratiques pour la gestion des programmes de minage de cryptomonnaies

  • Détecter et supprimer les chevaux de Troie sur Linux

  • Se défendre contre les attaques de chevaux de Troie

  FAQ

  Questions relatives à la liste d'autorisation et à l'ignorance des alertes

  • Comment supprimer un élément d'une liste d'autorisation ?

    Le module de détection et de suppression des virus ne permet pas de supprimer des éléments de la liste d'autorisation. Accédez à Detection and Response > Alert, localisez l'alerte traitée et retirez-la de la liste d'autorisation. Pour plus d'informations, consultez la rubrique Retirer une alerte de la liste d'autorisation.

    Remarque

    Si vous avez souscrit au service Agentic SOC, choisissez Agentic SOC (Legacy) > Alert .

  • Quelle est la différence entre l'ajout à la liste d'autorisation et l'ignorance d'une alerte ?

    Élément de comparaison	Ajouter à la liste d'autorisation	Ignorer
    Cas d'utilisation	Faux positif confirmé, et vous souhaitez arrêter définitivement de recevoir ces alertes.	Faux positif temporaire ou sporadique, ou risque connu et acceptable.
    Portée de l'impact	Les alertes présentant des caractéristiques correspondantes (même ressource + même chemin de fichier + même MD5) ne sont plus générées. Seule la date de la dernière occurrence est mise à jour.	S'applique uniquement à l'alerte actuelle. Si la même menace réapparaît, une nouvelle alerte est générée.
    Réversible	Vous pouvez annuler l'entrée de la liste d'autorisation dans la liste des éléments traités sous Detection and Response > Alert.	Aucune annulation nécessaire. Ignorer une alerte n'affecte pas la détection future ; le système continue de surveiller la même menace.

  Questions relatives à la détection des virus et au traitement des alertes

  • Quelle est la différence entre la détection et la suppression des virus et les alertes de sécurité ?

    • La détection et la suppression des virus est un module de fonctionnalité axé sur la détection et la suppression des fichiers malveillants, offrant des capacités d'analyse approfondie et de remédiation spécialisée.

    • Les alertes de sécurité constituent un centre d'alerte unifié qui consolide tous les événements de sécurité, y compris les virus, les connexions inhabituelles, les attaques réseau et les vulnérabilités.

    Remarque

    • Les alertes de cette fonctionnalité sont synchronisées bidirectionnellement avec le module Alerte de sécurité. Traitez les alertes dans l'un ou l'autre module.

    • La fonctionnalité de détection et de suppression des virus sert uniquement à détecter et nettoyer les fichiers malveillants. Après la suppression du virus, si aucun risque n'est confirmé, cela ne déclenche généralement pas d'interdiction. Si vous rencontrez toujours des problèmes d'accès après la suppression, nous vous recommandons de vérifier les règles du groupe de sécurité, les pare-feu internes du serveur et autres causes potentielles.

  • Pourquoi les virus réapparaissent-ils après la remédiation ?

    Causes courantes :

    • La cause racine n'est pas résolue : des mots de passe faibles ou des vulnérabilités non corrigées permettent aux attaquants de reprendre l'accès.

    • Nettoyage incomplet : des portes dérobées cachées ou des mécanismes de persistance n'ont pas été entièrement supprimés.

    • Source de données contaminée : données restaurées à partir d'une sauvegarde ou d'une image infectée.

    Solution :

    • Suivez les recommandations de durcissement de la sécurité pour renforcer votre posture de sécurité.

    • Après la remédiation, redémarrez le serveur et ses applications pour terminer les processus malveillants persistant en mémoire.

      Avertissement

      • Le redémarrage d'un serveur entraîne une brève interruption de service. Les sites web, les applications et les services dépendants deviennent inaccessibles. Effectuez cette opération pendant les heures creuses.

      • Certaines applications peuvent nécessiter un redémarrage manuel si elles ne sont pas configurées pour un démarrage automatique ou si elles dépendent de variables d'environnement spécifiques. Évaluez le plan de redémarrage à l'avance, en particulier pour les services tels que les files d'attente de messages.

  • Comment traiter plusieurs alertes simultanément ?

    • Les alertes virales générées par le module Protection Configuration > Host Protection > Virus Detection and Removal prennent en charge le traitement par lot.

      1. Sur la page de détection et de suppression des virus, sélectionnez les alertes à traiter en cochant la case à gauche.

      2. Dans le coin inférieur gauche, cliquez sur le bouton Batch Handle et sélectionnez une méthode de réponse appropriée.

    • Le module Detection and Response > Alert prend en charge l'ajout par lot à la liste d'autorisation et l'ignorance par lot.

      1. Sur la page des alertes de sécurité, sélectionnez les alertes à traiter en cochant la case à gauche.

      2. Dans le coin inférieur gauche, cliquez sur Ignore This Time ou Add to Whitelist.

  • Que faire si une alerte indique qu'un fichier n'existe pas ?

    Le virus a peut-être été supprimé par une autre méthode ou a effacé ses propres traces. Cliquez sur « Ignorer » ou « Traité manuellement » pour rejeter l'alerte.

  • Pourquoi les alertes virales continuent-elles d'être envoyées après la suppression du virus ?

    Security Center conserve les historiques des menaces (la période de conservation est d'environ 1 an). Même si le fichier virus a été nettoyé, les enregistrements d'alerte historiques restent présents. Si vous n'effectuez pas d'actions telles que « Ignorer » ou « Traité manuellement » sur les alertes, le système peut continuer à envoyer des notifications.

    Solution :

    • Après avoir confirmé que le virus est éliminé, effectuez une action Ignore ou Manually Handled sur les alertes concernées dans la liste des alertes.

    • Si vous recevez toujours des alertes de connexion anormale pour une ancienne adresse IP après avoir changé l'adresse IP publique, confirmez que l'heure de l'alerte est antérieure au changement d'IP. Vous pouvez l'ignorer en toute sécurité et synchroniser les dernières informations sur les ressources.

  • Comment résoudre les problèmes liés aux commandes malveillantes exécutées via une base de données ?

    La fonctionnalité anti-virus scanning de Security Center détecte principalement les fichiers malveillants, les processus et les mécanismes de persistance au niveau de l'hôte du serveur. Une analyse antivirus qui ne révèle aucune anomalie ne signifie pas qu'il n'existe aucun risque de sécurité au niveau de la base de données, où des commandes malveillantes peuvent être exécutées.

    Nous vous recommandons de vérifier si la base de données utilise des mots de passe faibles et de les renforcer rapidement. Si la base de données fournit des services externes via une application web, nous vous recommandons d'utiliser Web Application Firewall (WAF) pour renforcer la protection contre les attaques au niveau de l'application. Pourquoi un événement de contrôle de sécurité n'est-il pas effacé immédiatement après la remédiation antivirus ? Après avoir utilisé la fonctionnalité anti-virus scanning de Security Center pour supprimer les anomalies du serveur et modifier le mot de passe du serveur, l'événement de contrôle de sécurité n'est pas effacé immédiatement.

    Continuez à surveiller le serveur et les notifications associées. Si vous ne recevez plus de notifications liées à cet événement de contrôle de sécurité, vous pouvez le considérer comme traité. Pourquoi d'anciennes alertes apparaissent-elles toujours après la réinstallation du système d'exploitation ? Après la réinstallation du système d'exploitation, Security Center peut conserver les résultats d'analyse précédents et les enregistrements d'alerte. Pour obtenir le dernier état de sécurité et effacer les anciennes alertes, déclenchez manuellement une analyse en cliquant sur Immediate Scan ou Rescan. Une fois l'analyse terminée, le système met à jour les résultats de détection en fonction du nouvel environnement système. Les anciennes alertes inactives sont nettoyées ou leur statut est mis à jour.

  • Comment résoudre les problèmes liés à une porte dérobée persistante (le virus réapparaît ou ne peut pas être supprimé) ?

    Si un virus réapparaît constamment ou ne peut pas être complètement supprimé, une porte dérobée persistante peut exister. Nous vous recommandons de vérifier les éléments suivants un par un :

    • Tâches planifiées : vérifiez crontab (Linux) ou Task Scheduler (Windows) pour confirmer l'existence éventuelle de tâches planifiées suspectes.

    • Éléments de démarrage : vérifiez les éléments de démarrage (Linux : /etc/init.d/, services systemd ; Windows : éléments de démarrage du registre) pour confirmer l'existence éventuelle de programmes suspects.

    • Clés publiques SSH : vérifiez le fichier ~/.ssh/authorized_keys pour confirmer l'existence éventuelle de clés publiques SSH inconnues.

    • Fichiers cachés : certains fichiers virus peuvent se trouver dans des répertoires système cachés (par exemple, le répertoire Corbeille Windows $Recycle.Bin). Pour les afficher, activez l'affichage des fichiers cachés et des fichiers système en tant qu'administrateur. L'agent Security Center effectue une analyse à bas niveau pour obtenir les chemins de fichiers et n'est pas limité par la visibilité du système de fichiers.

  • La détection et la suppression des virus prennent-elles en charge l'application Alibaba Cloud sur les appareils mobiles ?

    Non. Les fonctionnalités de détection et de suppression des virus et de traitement des alertes de sécurité sont disponibles uniquement via la console web Security Center. L'application mobile Alibaba Cloud ne prend pas en charge la détection, la suppression des virus ni le traitement des alertes.

  • Qu'est-ce qu'une alerte Rootkit et comment vérifier qu'elle a été résolue ?

    Une alerte Rootkit est déclenchée lorsque Security Center détecte un programme malveillant sur l'hôte. Elle n'est pas liée à la fonction anti-ransomware — traitez-la comme une détection distincte de programme malveillant, et non comme un événement lié aux ransomwares.

    Pour vérifier que le programme malveillant a été supprimé après avoir traité une alerte Rootkit, connectez-vous à la console Security Center, accédez à Protection Configuration > Host Protection > Virus Detection and Removal, et lancez une analyse sur le serveur affecté. Si l'analyse ne détecte plus le fichier anormal, la suppression a réussi.

  Questions relatives à l'analyse et à l'exécution des tâches

  • Que faire si une tâche d'analyse échoue ou expire ?

    • Expiration de la tâche : généralement causée par un répertoire d'analyse personnalisé trop volumineux. Solutions :

      • Divisez les analyses volumineuses en plusieurs tâches Custom Directory Scan ciblant les répertoires à haut risque tels que /tmp, /var/tmp et /root.

      • Excluez les répertoires de journaux ou de données volumineux dans la configuration de l'analyse.

      • Exécutez les analyses pendant les heures creuses.

    • Échec de la tâche :

      1. Vérifier l'état de l'agent : assurez-vous que l'agent Security Center (AliYunDun) est en cours d'exécution et en ligne.

      2. Vérifier la connectivité réseau : testez si le serveur peut atteindre l'endpoint Security Center.

      3. Vérifier les ressources système : assurez-vous que /tmp dispose d'au moins 1 Go d'espace disque libre et que le CPU et la mémoire ne sont pas saturés.

      4. Afficher les journaux de l'agent : le chemin des journaux sur un serveur Linux est /usr/local/aegis/aegis_client/aegis_10_*/log/aegis.log.

  • Que faire si la remédiation antivirus échoue ?

    Actualisez la page et réessayez. Si l'échec persiste, cliquez sur « Manually Handled » et supprimez le fichier manuellement. Si la suppression échoue avec le message « Operation not permitted », le fichier peut posséder l'attribut i (immuable). Exécutez chattr -i <file> pour le supprimer, puis supprimez le fichier.

  Questions relatives à la compatibilité système et à la configuration des outils

  • Où puis-je vérifier la version de la base de signatures antivirus ?

    Consultez l'heure de mise à jour de la base de signatures antivirus sur la page Overview. La base de signatures antivirus basée sur le cloud est mise à jour automatiquement en temps réel ; aucune action manuelle n'est requise.

    Le côté droit de la page Overview affiche également l'Cloud Scan Time (Latest Time).

  • Pourquoi la page de détection et de suppression des virus affiche-t-elle parfois une page d'erreur (aucun bouton de réanalyse) ?

    Cela est généralement dû à des autorisations de compte RAM insuffisantes. Si vous utilisez cette fonctionnalité pour la première fois, le système peut vous inviter à autoriser un rôle lié au service pour Security Center. Cliquez sur Authorize Now (le bouton d'autorisation bleu) sur la page pour compléter l'autorisation et utiliser la fonctionnalité normalement.

    Si vous avez déjà autorisé mais voyez toujours la page d'erreur, confirmez que le compte RAM actuel dispose des autorisations d'accès complètes pour Security Center. Si nécessaire, contactez l'administrateur du compte principal pour accorder les autorisations requises. Puis-je installer un logiciel antivirus tiers (360/Huorong) ? Oui, mais des problèmes de compatibilité peuvent survenir. Nous vous recommandons d'ajouter les processus et répertoires de l'agent Security Center (voir Processus de l'agent Security Center) à la liste d'autorisation du logiciel tiers pour éviter les faux positifs.

    Pour les serveurs Windows qui reçoivent continuellement des alertes virales, nous vous recommandons d'utiliser un logiciel antivirus tiers pour effectuer une analyse complète du disque comme méthode de dépannage supplémentaire. Nous recommandons 360 Antivirus Speed Edition ou Huorong Antivirus pour une analyse complète. Nous vous recommandons également de vérifier la configuration du pare-feu interne du serveur (tel que Windows Firewall, iptables ou firewalld) pour écarter les problèmes d'accès causés par les règles du pare-feu.

  • Que faire si la page ne répond pas après avoir cliqué sur Authorize Now ?

    Si la page tourne indéfiniment ou ne répond pas après avoir cliqué sur Authorize Now, cela peut être dû à une fluctuation du réseau ou au cache du navigateur. Nous vous recommandons d'actualiser la page et de revenir à la console Virus Detection and Removal pour vérifier l'état de l'autorisation. Si l'échec persiste, essayez de vider le cache du navigateur, d'utiliser le mode navigation privée ou de changer de navigateur. Que faire si la page Virus Detection and Removal affiche 0 ressource ou indique qu'aucune édition payante n'est liée ? Si la page Virus Detection and Removal affiche 0 ressource ou indique qu'aucune édition payante n'est liée, effectuez le dépannage suivant :

    • Configuration de la protection : assurez-vous que le serveur cible est lié à une version ou un niveau de protection payant. Pour plus d'informations, consultez la rubrique Gérer les serveurs.

      • Abonnement : Anti-virus ou supérieur. Pour les étapes détaillées, consultez la rubrique Configurer les éditions ou niveaux de protection.

      • Paiement à l'utilisation : Antivirus ou supérieur. Pour les étapes détaillées, consultez la rubrique Configurer les éditions ou niveaux de protection.

    • Vérification de l'état de l'agent : assurez-vous que l'agent Security Center sur le serveur cible est en ligne et que la version est normale. Si l'agent est hors ligne, réinstallez ou redémarrez l'agent.

  • Que faire si seules les options « Add to Whitelist » et « Ignore » sont disponibles lors du traitement d'une alerte ?

    Certaines alertes peuvent n'afficher que les options « Add to Whitelist » et « Ignore », sans les options « Kill Process » et « Virus Detection and Removal ». Cela est généralement dû au fait que le processus malveillant est toujours en cours d'exécution et que le système ne peut pas le traiter directement.

    Solution : sélectionnez d'abord « Kill Process » (si disponible), puis actualisez la page et réessayez pour obtenir l'ensemble complet des options de traitement. Si cela ne résout pas le problème, reportez-vous aux étapes de dépannement « échec de la remédiation antivirus » ci-dessus pour le traiter manuellement, puis cliquez sur « Manually Handled ».