Security Center:Respond to security alerts

Virus Detection and Removal

• Cas d'utilisation

  • Activité malveillante confirmée : À utiliser lorsque Security Center détecte un processus malveillant en cours d'exécution (virus, cheval de Troie ou ransomware) qui doit être arrêté immédiatement.

  • Réponse aux incidents : À utiliser pour contenir un virus actif ou une fuite de données avant qu'ils ne se propagent à d'autres instances.

• Avant de commencer

  L'analyse antivirus peut provoquer des interruptions de service. Inspectez le fichier source avant de procéder :

  • Vérifiez les propriétés du fichier : Confirmez que le fichier est un virus en vérifiant son chemin, sa signature et sa valeur de hachage. Cela permet d'éviter la suppression accidentelle de fichiers système ou métier.

  • Évaluez les dépendances métier : Vérifiez si le fichier est utilisé par des services critiques, tels que les composants liés à nginx ou mysql.

• Fonctionnement

  • Arrêtez immédiatement le processus du virus et déplacez le fichier viral vers la zone de quarantaine. Les fichiers mis en quarantaine ne peuvent pas être exécutés, consultés ni propagés.

    Avertissement

    • L'arrêt d'un processus peut perturber les services dépendants, surtout si le processus malveillant a remplacé ou infecté une application légitime.

    • Si le fichier mis en quarantaine est un fichier métier infecté par du code malveillant, tel qu'un composant d'application principal, sa mise en quarantaine peut entraîner des interruptions de service.

  • Les fichiers mis en quarantaine peuvent être restaurés dans un délai de 30 jours. Après la restauration, le fichier réapparaît dans la liste des alertes pour une surveillance continue. Pour plus d'informations, consultez la section Afficher et restaurer les fichiers mis en quarantaine.

    Remarque

    Les fichiers non restaurés dans un délai de 30 jours sont définitivement supprimés.

• Étapes suivantes

  Passez en revue les fichiers mis en quarantaine dans un délai de 30 jours pour éviter leur suppression permanente accidentelle. Afficher et restaurer les fichiers mis en quarantaine.

Deep Cleanup

La fonctionnalité Deep Cleanup est un outil spécialisé conçu par les experts de Security Center pour gérer les virus persistants et tenaces.

• Cas d'utilisation

  Deep Scan est une solution spécialisée pour les virus tenaces et infectant les fichiers. Ces virus présentent généralement les caractéristiques suivantes :

  • Infecte les fichiers hôtes : Le virus s'injecte dans les fichiers système, les fichiers d'application ou vos documents personnels, les intégrant ainsi au virus.

  • Difficile à éradiquer : Une analyse antivirus standard peut uniquement supprimer le virus parent mais ne peut pas réparer les fichiers infectés, ce qui entraîne la récurrence du problème.

  Remarque

  Si un virus ne correspond pas à cette description, utilisez la fonctionnalité d'analyse antivirus standard.

• Avant de commencer

  Une opération de Deep Cleanup comporte des risques de suppression accidentelle de fichiers, d'interruption de service et de problèmes d'intégrité des données. Inspectez le fichier source avant de procéder :

  • Vérifiez les propriétés du fichier : Confirmez que le fichier est un virus en vérifiant son chemin, sa signature et sa valeur de hachage. Cela permet d'éviter la suppression accidentelle de fichiers système ou métier.

  • Évaluez les dépendances métier : Vérifiez si le fichier est utilisé par des services critiques, tels que les composants liés à nginx ou mysql.

• Fonctionnement

  • Elle nettoie les virus persistants en arrêtant les processus malveillants, en mettant en quarantaine les fichiers malveillants et en supprimant les mécanismes de persistance utilisés par les virus et les chevaux de Troie.

  • La fonctionnalité peut créer une sauvegarde par snapshot. Si l'analyse approfondie supprime accidentellement des données utiles, restaurez-les à partir du snapshot.

    Important

    La création et la conservation de snapshots entraînent des frais facturés par le service de snapshot. Par défaut, la méthode de facturation est le paiement à l'utilisation. Vous pouvez consulter le support prévente pour obtenir des détails sur les frais.

• Étapes suivantes

  Passez en revue les fichiers mis en quarantaine dans un délai de 30 jours pour éviter leur suppression permanente accidentelle. Afficher et restaurer les fichiers mis en quarantaine.

Quarantine

• Cas d'utilisation

  À utiliser lorsque vous avez confirmé qu'un fichier est malveillant (porte dérobée ou virus) et devez l'arrêter immédiatement.

• Fonctionnement

  • Le système déplace le fichier suspect vers une zone de quarantaine. Les fichiers mis en quarantaine ne peuvent pas être exécutés, consultés ni propagés.

    Avertissement

    Si le fichier mis en quarantaine est un fichier métier infecté par du code malveillant, tel qu'un composant d'application principal, sa mise en quarantaine peut entraîner des interruptions de service.

  • Les fichiers mis en quarantaine peuvent être restaurés dans un délai de 30 jours. Après la restauration, le fichier réapparaît dans la liste des alertes pour une surveillance continue. Pour plus d'informations, consultez la section Afficher et restaurer les fichiers mis en quarantaine.

    Remarque

    Les fichiers non restaurés dans un délai de 30 jours sont définitivement supprimés.

• Étapes suivantes

  Passez en revue les fichiers mis en quarantaine dans un délai de 30 jours pour éviter leur suppression permanente accidentelle. Afficher et restaurer les fichiers mis en quarantaine.

Terminate Process

• Cas d'utilisation

  Traite les alertes liées à un comportement anormal des processus, tel qu'un processus MySQL exécutant une commande inhabituelle ou l'exploitation d'une vulnérabilité web.

• Fonctionnement

  Security Center tente d'arrêter le processus. Si cela échoue, vous pouvez essayer d'arrêter le processus manuellement en exécutant la commande kill <process ID> puis en sélectionnant l'option Manually Handled.

  Remarque

  Vous pouvez trouver l'ID du processus dans la section Plus d'informations de la page des détails de l'alerte.

Block

• Cas d'utilisation

  Cette méthode est souvent utilisée pour les scénarios d'attaque basés sur les adresses IP, tels que les connexions inhabituelles et les attaques par force brute.

• Fonctionnement

  • Cette action génère une règle de défense de groupe de sécurité pour bloquer l'accès depuis l'adresse IP malveillante.

    • Vous pouvez cliquez sur Show Details pour afficher les informations de base sur la règle de défense générée, telles que Assets, Rule Direction, Port Range et Rule Direction.

    • Security Center sélectionne automatiquement un mécanisme de blocage en fonction du statut d'installation de l'agent. Les mécanismes pris en charge sont les suivants :

      • Security Center : Privilégie l'utilisation de l'agent Security Center pour bloquer les tentatives de connexion. Ce mécanisme est utilisé automatiquement si vous disposez de l'édition Advanced, Enterprise ou Ultimate de Security Center et si le commutateur Malicious Network Behavior Prevention est activé. Pour savoir comment activer le commutateur Malicious Network Behavior Prevention, consultez la section Défense proactive.

      • ECS Security Group : Lorsque cette règle de blocage est activée, une règle correspondante est automatiquement créée dans le groupe de sécurité. La règle est automatiquement supprimée à son expiration ou lors de sa désactivation.

        Remarque

        Si l'instance ECS fonctionne comme un serveur backend derrière une instance CLB (Classic Load Balancer), le trafic transféré par l'instance CLB contourne les règles ACL du groupe de sécurité sur l'instance ECS backend. Par conséquent, le groupe de sécurité ne peut pas bloquer l'adresse IP du client d'origine, et l'utilisation du groupe de sécurité ECS pour bloquer une adresse IP malveillante ne prend pas effet dans ce scénario. Configurez plutôt une liste noire de contrôle d'accès sur l'écouteur CLB pour bloquer l'adresse IP malveillante : dans la console CLB, accédez à Instances, sélectionnez l'instance CLB cible, cliquez sur Listeners, sélectionnez l'écouteur cible, cliquez sur Access Control, définissez la stratégie de contrôle d'accès sur Blacklist et ajoutez l'adresse IP malveillante à la liste noire.

  • La Rule Validity Period est par défaut de 6 heures. Vous pouvez choisir parmi les durées suivantes : 30 minutes, 1 heure, 2 heures, 6 heures, 12 heures, 1 jour, 7 jours, 14 jours ou 30 jours.

  • Vous pouvez afficher les règles de blocage générées en accédant à Protection Configuration > Host Protection > Host-specific Rule Management et en cliquant sur l'onglet Defense Against Brute-force Attacks. Les règles sont répertoriées sous System Rules.

    Remarque

    Si vous devez arrêter la politique de blocage prématurément, vous pouvez désactiver la règle sur la page System Rules.

Add to Whitelist

• Cas d'utilisation

  Utilisez cette option lorsque l'alerte est un faux positif ou lorsque vous avez besoin d'une règle d'exception permanente. Par exemple, si un processus établissant des connexions TCP sortantes inhabituelles fait partie des activités normales de votre entreprise, créez une règle de liste blanche pour supprimer les futures alertes.

• Résultat

  • Pour l'alerte actuelle

    • Le statut de l'alerte passe à « Traité », et le statut spécifique est Manually Allowlisted.

    • Si une alerte identique se reproduit, Security Center ne génère pas de nouvelle alerte. Il met plutôt à jour l'heure de la dernière occurrence de l'alerte existante.

      Qu'est-ce qu'une alerte identique ?

      Une alerte identique est une menace de sécurité dont les caractéristiques sont hautement cohérentes. Exemples :

      • Pour les alertes de virus : même actif + même chemin de fichier virus + même MD5 du fichier virus.

      • Pour les alertes de connexion inhabituelle : même actif + même adresse IP de connexion.

  • Pour les alertes ultérieures

    Si vous définissez une règle de liste blanche spécifique, toute future alerte correspondant à la règle sera automatiquement déplacée vers la liste des éléments traités avec le statut Automatically Add to Whitelist. Vous ne recevrez aucune notification.

• Définir une règle de liste blanche spécifique (facultatif)

  Dans la boîte de dialogue de traitement des alertes, cliquez sur l'onglet Add to Whitelist. Cliquez sur Create Rule pour ajouter une nouvelle règle. Cliquez sur l'icône pour supprimer une règle.

  Important

  • Plusieurs règles sont combinées avec un opérateur OU, ce qui signifie qu'une alerte est ajoutée à la liste blanche si elle correspond à une seule règle.

  • Assurez-vous que vos règles sont précises afin d'éviter une portée trop large. Par exemple, une règle telle que « Le chemin contient : /data/ » pourrait involontairement ajouter à la liste blanche des sous-répertoires sensibles, augmentant ainsi les risques de sécurité.

  Chaque règle comporte quatre champs de configuration, de gauche à droite :

  1. Champ d'alerte : Vous pouvez afficher les champs d'alerte pris en charge pour l'alerte actuelle dans la section More Information de la page de détails.

  2. Type de condition : Les opérateurs pris en charge incluent Correspond à l'expression régulière, Supérieur à, Égal à, Inférieur à et Contient. Détails pour certaines règles :

     • Correspond à l'expression régulière : Utilisez une expression régulière pour faire correspondre précisément des modèles spécifiques. Par exemple, pour ajouter à la liste blanche tout le contenu du dossier « /data/app/logs/ », vous pouvez définir la règle « Le chemin correspond à l'expression régulière : ^/data/app/logs/.* ». Cette règle correspond à tous les fichiers et processus de ce dossier et de ses sous-répertoires.

     • Contient : Si vous définissez une règle « Le chemin contient : D:\programs\test\ », tous les événements dont les chemins incluent ce dossier seront ajoutés à la liste blanche.

  3. Valeur de la condition : Prend en charge les constantes et les expressions régulières.

  4. Actifs applicables :

     • Tous les actifs : La règle s'applique à tous les actifs existants et nouvellement ajoutés.

     • Current Asset : La règle s'applique uniquement à l'actif concerné par l'alerte actuelle.

• Supprimer de la liste blanche

  • Annuler une règle de liste blanche automatique

    Important

    • Cette action affecte uniquement les futures alertes. Les alertes correspondant à la règle ne seront plus automatiquement ajoutées à la liste blanche.

    • Cela n'affecte pas les alertes déjà traitées ; leur statut reste inchangé.

      1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Detection and Response > Alert.

         Remarque

         Si vous avez souscrit à Agentic SOC, choisissez Agentic SOC (Legacy) > Alert.

      2. Sous l'onglet CWPP, cliquez sur Cloud Workload Coverage Alert Management en haut à droite et sélectionnez Alert Settings.

      3. Sur la page Alert Settings, dans la section Alert Handling Rule, sélectionnez Automatically Add to Whitelist comme méthode de traitement.

      4. Recherchez la règle cible et cliquez sur Supprimer dans la colonne Actions pour annuler la règle de liste blanche automatique.

    • Supprimer une alerte de la liste blanche

      Important

      Après avoir supprimé une alerte de la liste blanche, elle réapparaît dans la liste des alertes Unhandled > > > Detection and Response. Sous l'onglet Alert sur Agentic SOC (Legacy). Recherchez l'alerte que vous souhaitez supprimer de la liste blanche et cliquez sur Alert dans la colonne Actions. Annuler une règle de liste blanche de défense de précision Les règles de liste blanche de défense de précision sont gérées via des règles de défense personnalisées. Pour supprimer une règle, accédez à la page de défense contre les comportements malveillants. Les règles de défense personnalisées nécessitent l'édition Advanced, Enterprise ou Ultimate de Security Center.

      Remarque

      Si vous avez souscrit à Agentic SOC, choisissez CWPP > Handled or Not.

      Remarque

      Vous pouvez également sélectionner plusieurs alertes et cliquer sur Remove from Whitelist en bas de la liste pour effectuer une suppression groupée.

      1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Protection Configuration > Remove from Whitelist > Host-specific Rule Management.

      2. Cliquez sur l'onglet Host Protection, puis sur le sous-onglet Custom Defense Rule.

      3. Recherchez la règle de liste blanche que vous souhaitez annuler et cliquez sur Malicious Behavior Defense dans la colonne Actions.

      Ignore

      Important

      • Ignorer une alerte est une action de gestion du statut et ne résout pas le problème de sécurité sous-jacent.

      • N'utilisez cette option qu'après avoir confirmé que l'alerte est un faux positif ou un risque connu et accepté. Cela permet d'éviter de négliger de véritables attaques.

      • Nous vous recommandons de consulter régulièrement la liste des alertes ignorées, par exemple chaque semaine ou chaque mois.

      • Cas d'utilisation

        • Faux positif confirmé ou faible priorité.

        • Problème temporaire ou connu : Le problème existe, mais il s'agit d'un risque connu et accepté ou d'un état temporaire non malveillant (par exemple, test d'intrusion autorisé ou fenêtre de maintenance). Utilisez cette option lorsque vous ne pouvez pas corriger immédiatement la cause racine, mais que vous devez vider la liste des alertes.

        • Environnement de test ou de développement : Dans les environnements hors production, des alertes attendues et non critiques apparaissent fréquemment, interférant avec la surveillance normale. Vous devez les supprimer temporairement.

      • Résultat

        • Pour l'alerte actuelle : Le statut de l'alerte passe à « Traité », et le statut spécifique est Delete.

        • Pour les alertes ultérieures : Aucun impact. Security Center générera une nouvelle alerte si un incident similaire se produit.

      • Arrêter d'ignorer une alerte

        1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Ignore > Ignored.

           Remarque

           Si vous avez souscrit à Agentic SOC, choisissez Detection and Response > Alert.

        2. Sous l'onglet Agentic SOC (Legacy) sur Handled.

        3. Recherchez l'alerte dont vous souhaitez arrêter d'ignorer le traitement et cliquez sur CWPP dans la colonne Actions.

           Remarque

           Vous pouvez également sélectionner plusieurs alertes et cliquer sur Handled or Not en bas de la liste pour effectuer une action groupée.

      Handled

      • Cas d'utilisation

        Cette option est actuellement disponible uniquement pour les alertes générées par la règle Interception adaptative de la communication WebShell, qui est une Cancel Ignore au sein de la fonctionnalité Cancel Ignore. Vous trouverez cette fonctionnalité sous Do Not Intercept Rule > System Defense Rule > Host-specific Rule Management.

      • Fonctionnement

        Le système cessera de bloquer les requêtes vers l'URI correspondant et ne générera plus d'alertes pour celui-ci.

      Protection Configuration

      Avertissement

      Vous ne recevrez plus de notifications distinctes pour les alertes identiques ultérieures. Utilisez cette option avec prudence.

      • Cas d'utilisation

        Cela s'applique aux alertes générées par les règles Malicious Behavior Defense (type d'alerte : défense de précision), qui se trouvent sous Host-specific Rule Management > Protect Without Notification > Malicious Behavior Defense.

      • Fonctionnement

        • Pour l'alerte actuelle : Le statut de l'alerte passe à « Traité ».

        • Pour les alertes ultérieures : Lorsque la même règle de défense est à nouveau déclenchée, l'événement d'alerte généré est automatiquement déplacé vers la liste des éléments traités, et aucune notification n'est envoyée.

      • Annuler une règle « Défendre sans notification »

        1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Protection Configuration > Host Protection.

           Remarque

           Si vous avez souscrit à Agentic SOC, choisissez Host-specific Rule Management > Detection and Response.

        2. Sous l'onglet Alert en haut à droite et sélectionnez Agentic SOC (Legacy).

        3. Sur la page Alert comme méthode de traitement.

        4. Recherchez la règle cible et cliquez sur Supprimer dans la colonne Actions pour annuler la règle.

      CWPP

      Si vous avez résolu l'alerte manuellement, sélectionnez Cloud Workload Coverage Alert Management. Le statut de l'alerte passera à Alert Settings.

      Alert Settings

      Cas d'utilisation

      Cette option est disponible uniquement pour le traitement des alertes L'agent Security Center est hors ligne.

      Fonctionnement

      L'outil de diagnostic collecte les données relatives à l'agent (informations réseau, processus et journaux) depuis la machine et les signale à Security Center pour analyse.

      Important

      Cette vérification consomme du CPU et de la mémoire. Évaluez l'impact potentiel avant de l'exécuter.

      • Sélectionnez un mode de problème :

        • Alert Handling Rule : Collecte et signale les données de journal relatives à l'agent à Security Center pour analyse.

        • Protect Without Notification : Collecte et signale les données réseau, processus et journaux relatives à l'agent à Security Center pour analyse.

      • Après avoir cliqué sur Manually Handled > > > Manually Handled et en cliquant sur Manually Handled en haut à droite. Dépannage de l'agent.

        Remarque

        • Si une solution est fournie dans la colonne Troubleshooting dans la colonne Standard Mode. Fournissez le journal de diagnostic exporté et votre ID de compte Alibaba Cloud (AliUid) au personnel concerné pour une analyse approfondie.

      Traitement via la console

      1. Connectez-vous à la console Security Center.

      2. Dans le volet de navigation de gauche, choisissez Enhancement Mode > Handle Now. Dans le coin supérieur gauche de la console, sélectionnez la région de l'actif : Asset Center ou Host.

         Remarque

         Si vous avez activé Agentic SOC, le chemin de navigation dans le volet de navigation de gauche devient Agent Task Management > Result.

      3. Sur la page Result. Sélectionnez une méthode de traitement et cliquez sur Download Diagnostic Logs.

         Remarque

         • Les méthodes de traitement varient selon le type d'alerte. Les options disponibles dans la console font autorité.

         • Ajoutez des remarques pour spécifier la raison du traitement et l'opérateur. Cette pratique améliore la traçabilité des alertes traitées.

      Vérification post-traitement

      • Confirmer que l'alerte est traitée : Dans la liste des alertes de sécurité, définissez le filtre Statut sur Traité et confirmez que l'alerte cible apparaît dans la liste des éléments traités. Dans la colonne Statut de traitement, vérifiez le nom de la méthode de traitement, telle que Suppression du virus, Ignoré ou Traité manuellement, pour confirmer que l'alerte a été traitée comme prévu.

      • Effectuer une analyse complète : Après avoir traité une alerte, effectuez une analyse complète du serveur pour confirmer l'absence de nouvelles alertes. L'analyse complète nécessite Actions (paiement à l'utilisation).

      • Confirmer l'absence de nouvelles alertes : Après le traitement, surveillez la liste des alertes pour vous assurer que les alertes du même type ne réapparaissent pas. Des alertes récurrentes peuvent indiquer la présence d'une porte dérobée persistante non supprimée. Consultez la section de dépannage ci-dessous.

      Tutoriels de gestion des alertes virales courantes

      • Bonnes pratiques pour la gestion des programmes de minage de cryptomonnaies

      • Détecter et supprimer les chevaux de Troie sous Linux

      • Se défendre contre les attaques par cheval de Troie

      Intervention d'urgence

      Réponse en cas de réussite de connexion par force brute sur ECS

      Lorsque vous recevez une alerte « ECS Brute-Force Login Success », Security Center a détecté qu'une adresse IP externe s'est connectée avec succès à votre serveur après plusieurs tentatives de mot de passe. Votre serveur est exposé à un risque d'intrusion. Suivez immédiatement les étapes ci-dessous :

      Que signifie cette alerte ?

      L'alerte « ECS Brute-Force Login Success » diffère d'une alerte générale de tentative de force brute. Cette alerte confirme qu'un attaquant s'est connecté avec succès à votre serveur grâce à des tentatives répétées de mot de passe, posant un risque d'intrusion réel qui nécessite une action immédiate.

      Remarque

      L'emplacement de connexion indiqué dans l'alerte (par exemple, « Shanghai ») peut correspondre à l'emplacement d'une adresse IP proxy utilisée par l'attaquant et ne représente pas nécessairement sa localisation réelle. Utilisez l'adresse IP source enregistrée dans les détails de l'alerte Security Center comme référence.

      Étapes d'intervention d'urgence

      1. Connectez-vous à la console Security Center . Sur la page AI-Powered Remediation > Security Alerts , consultez les détails de l'alerte pour confirmer l'adresse IP source de l'attaque, l'heure de connexion et le compte utilisé.

      2. Modifiez immédiatement le mot de passe de connexion du serveur. Définissez un mot de passe complexe contenant des lettres majuscules et minuscules, des chiffres et des caractères spéciaux.

      3. Activez la connexion par clé SSH et désactivez la connexion par mot de passe pour empêcher la récurrence des attaques par force brute.

      4. Vérifiez si le serveur présente des processus anormaux, des comptes utilisateur inconnus, des fichiers suspects ou un trafic réseau sortant inhabituel.

      5. Si l'intrusion est confirmée, sauvegardez les données importantes, puis réinitialisez le système ou effectuez une restauration à partir d'un snapshot propre. Pour plus d'informations, consultez la section Renforcement de la sécurité et prévention des attaques de cette rubrique.

      Après avoir effectué les étapes ci-dessus, suivez la section Renforcement de la sécurité et prévention des attaques pour renforcer le système, et continuez à surveiller la liste des alertes pour confirmer que des alertes similaires n'apparaissent pas à nouveau.

      Actions d'intervention d'urgence

      • Modifier les mots de passe : Après avoir reçu une alerte de connexion inhabituelle, modifiez immédiatement le mot de passe de l'instance ECS si la connexion n'a pas été initiée par vous. Vous pouvez utiliser la fonctionnalité « Reset Instance Password Online » dans la console ECS. Pour les scénarios d'intrusion par mot de passe faible SSH, modifiez immédiatement le mot de passe root par une combinaison complexe contenant des lettres majuscules et minuscules, des chiffres et des caractères spéciaux, activez la connexion par clé SSH et désactivez la connexion par mot de passe pour empêcher la récurrence des attaques par force brute.

      • Bloquer l'adresse IP source de l'attaque : Après avoir confirmé que les processus malveillants associés ont été arrêtés, bloquez l'adresse IP source de l'attaquant dans le groupe de sécurité. Configurez le groupe de sécurité Alibaba Cloud pour refuser tout accès port depuis l'adresse IP concernée afin de bloquer immédiatement la connexion inhabituelle.

      • Vérifier la présence de portes dérobées persistantes : Inspectez les tâches planifiées (crontab), les éléments de démarrage et les clés publiques SSH (~/.ssh/authorized_keys) à la recherche d'entrées suspectes. Assurez-vous que l'attaquant n'a pas laissé de portes dérobées persistantes.

      Investigation des journaux locaux

      En plus d'utiliser la fonctionnalité de traçage des attaques dans Security Center, vous pouvez vérifier manuellement les journaux système du serveur pour enquêter sur le chemin d'intrusion :

      • Serveurs Linux : Vérifiez les fichiers /var/log/secure ou /var/log/auth.log pour confirmer les enregistrements de connexion inhabituels et les sources d'attaque.

      • Serveurs Windows : Utilisez l'Observateur d'événements pour vérifier les journaux de sécurité. Concentrez-vous sur les événements de réussite/échec de connexion.

      • Serveurs Linux : Vérifiez /var/log/messages ou le journal systemd pour les entrées liées au DNS afin d'enquêter sur les requêtes DNS.

      • Serveurs Windows : Ouvrez l'Observateur d'événements et accédez à DNS Server pour vérifier les enregistrements de requêtes DNS.

      Gestion de l'exécution de commandes après une fuite d'AccessKey

      Si Security Center détecte qu'une paire AccessKey a fuité et que l'attaquant a pu utiliser l'AccessKey divulgué pour exécuter des commandes via Cloud Assistant , suivez ces étapes pour tracer les commandes et nettoyer le serveur affecté :

      1. Confirmer si des commandes ont été exécutées : Connectez-vous à la console ActionTrail . Sur la page de requête d'événements, filtrez par Service Name pour sélectionner ECS, ou utilisez Advanced Search pour rechercher par Event Name l'événement InvokeCommand . Cliquez sur View Details pour l'événement correspondant, et vérifiez requestParameters dans les détails de l'événement pour CommandContent (encodé en Base64 ; décodez-le pour afficher la commande réelle) et InstanceId (l'ID du serveur affecté).

      2. Enquêter sur le serveur : Connectez-vous à l'instance ECS affectée identifiée par l'InstanceId , et effectuez les vérifications suivantes :

         • Exécutez ps aux pour vérifier la présence de processus anormaux.

         • Exécutez crontab -l pour vérifier la présence de tâches planifiées anormales.

         • Exécutez cat /root/.ssh/authorized_keys pour vérifier la présence de clés publiques SSH de porte dérobée.

      3. Supprimer les menaces résiduelles et renforcer le serveur : Supprimez tous les processus et fichiers malveillants que vous trouvez, supprimez les tâches planifiées anormales et les clés publiques de porte dérobée, faites tourner la paire AccessKey ayant fuité, et redémarrez le serveur pour terminer le renforcement.

      Pour plus d'informations sur la détection des fuites d'AccessKey , consultez Détecter les fuites de paires AccessKey .

      Renforcement de la sécurité et prévention des attaques

      • Mettre à niveau l'édition de Security Center : Les éditions Enterprise et Ultimate prennent en charge la fonctionnalité d'isolation automatique des virus (c'est-à-dire la détection et la suppression automatiques des virus), vous offrant des capacités de défense précises et prenant en charge davantage d'éléments de détection de sécurité.

      • Renforcer le contrôle d'accès : N'ouvrez que les ports métier nécessaires (tels que 80 et 443), et configurez des politiques d'accès strictes par liste d'autorisation d'IP pour les ports de gestion (tels que 22 et 3389) et les ports de base de données (tels que 3306).

        Remarque

        Pour les serveurs Alibaba Cloud ECS, consultez Gérer les groupes de sécurité pour les opérations.

      • Exécuter des vérifications de référence : Dans le volet de navigation de gauche, choisissez Risk Governance > Cloud Security Posture Management , puis examinez et corrigez les éléments de l'onglet System Baseline Risks .

      • Activer l'analyse des journaux : Dans le volet de navigation de gauche, choisissez Risk Governance > Log Analysis pour conserver et rechercher les journaux de sécurité.

      • Activer la sauvegarde anti-ransomware : Dans le volet de navigation de gauche, choisissez Mitigation Settings > Anti-ransomware , puis créez et activez une politique de sauvegarde anti-ransomware pour les serveurs critiques.

      • Activer l'assistant de sécurité IA : Sur la page Overview, ouvrez l'Security AI Assistant en haut de la page pour obtenir des suggestions d'analyse et de traitement des alertes par IA.

      • Définir des mots de passe serveur complexes : Définissez des mots de passe complexes contenant des lettres majuscules, des lettres minuscules, des chiffres et des symboles spéciaux pour les serveurs et les applications.

      • Mettre à jour les logiciels : Mettez à jour rapidement vos logiciels applicatifs vers la dernière version officielle pour éviter d'utiliser des versions obsolètes qui ne sont plus maintenues ou qui présentent des vulnérabilités de sécurité connues.

      • Sauvegardes régulières : Créez une politique de snapshot régulière pour les données importantes et les disques système du serveur.

        Remarque

        Pour les serveurs Alibaba Cloud ECS, consultez Create policy pour les opérations.

      • Corriger rapidement les vulnérabilités : Utilisez régulièrement la fonctionnalité Vulnerability Management de Security Center pour appliquer rapidement des correctifs aux vulnérabilités système et applicatives.

      • Réinitialiser le système du serveur (à utiliser avec prudence).

        Si l'intrusion virale est profonde et implique des composants système sous-jacents, il est fortement recommandé de réinitialiser le système du serveur après avoir sauvegardé les données importantes. Suivez ces étapes :

        1. Créez un snapshot pour sauvegarder les données importantes sur le serveur. Pour plus d'informations, consultez Créer manuellement un seul snapshot.

        2. Initialisez le système d'exploitation du serveur. Pour plus d'informations, consultez Réinitialiser le disque système (réinitialiser le système d'exploitation).

        3. Créez un cloud disk à partir du snapshot. Pour plus d'informations, consultez Créer un disque de données à partir d'un snapshot.

        4. Attachez le cloud disk au serveur après la réinstallation du système. Pour plus d'informations, consultez Attacher un disque de données.

      FAQ

      Problèmes liés au traitement des alertes

      • Que faire en cas d’échec du traitement ou si une alerte traitée réapparaît ?

        1. Si vous cliquez sur Handle et recevez un message d’erreur, ou si la même alerte disparaît puis réapparaît, procédez au dépannage dans l’ordre suivant :

           Symptôme	Cause courante	Résolution
           Échec de la mise en quarantaine ou de l’arrêt du processus	L’agent Security Center est hors ligne ou exécute une version obsolète, ce qui empêche la livraison de la commande de correction.	Dans AI Analysis Result, vérifiez que l’agent est en ligne. Consultez la section Dépannage de l’agent pour remettre le client en ligne, puis réessayez.
           Échec de la mise en quarantaine du fichier	Le processus malveillant est toujours en cours d’exécution et verrouille le fichier, ou le fichier a déjà été supprimé automatiquement.	Arrêtez d’abord le processus malveillant (par exemple, utilisez la commande kill), puis mettez le fichier en quarantaine. Si le fichier n’existe plus, marquez l’alerte comme traitée.
           Récurrence de l’alerte (fréquent pour les vers et les programmes de minage)	Seul le processus enfant ou le fichier virus a été supprimé ; le processus parent, les tâches planifiées, les éléments de démarrage ou d’autres mécanismes de persistance sont toujours actifs.	Utilisez l’arborescence des processus dans les détails de l’alerte pour localiser le processus parent. Supprimez les tâches planifiées crontab, les éléments de démarrage, les clés publiques SSH et tous les comptes suspects. Consultez les Meilleures pratiques pour traiter les programmes de minage.
           Récurrence de l’alerte selon un calendrier fixe	Une tâche planifiée distante télécharge et exécute périodiquement des charges utiles, ou d’autres hôtes compromis sur le même segment réseau propagent l’infection.	Auditez les tâches planifiées sur tous les serveurs. Exécutez une analyse antivirus sur les autres hôtes du même VPC.
           Le bouton Handle est grisé ou indisponible	Édition gratuite ou autorisation expirée.	Achetez Security Center avec l’édition Antivirus ou supérieure, et associez l’autorisation à la ressource.
           Autres	Mot de passe faible : Les mots de passe SSH/RDP/de base de données sont trop simples. Vulnérabilités non corrigées : Des vulnérabilités à haut risque existent dans des applications telles que Redis, XXL-JOB ou WebLogic. Portes dérobées latentes : Un nettoyage initial incomplet a laissé une porte dérobée cachée. Contamination des données : Vous avez restauré une sauvegarde ou un snapshot contenant un virus.	Modifiez vos mots de passe et corrigez les vulnérabilités rapidement. Effectuez une analyse antivirus complète sur le serveur.

        2. Si les alertes continuent de réapparaître après avoir suivi ces étapes, il est possible qu’une porte dérobée persistante non détectée soit présente sur votre serveur. Nous vous recommandons de sauvegarder vos données et de réinitialiser le système d’exploitation du serveur.

           Comment réinitialiser le système du serveur ?

           1. Créez un snapshot pour sauvegarder les données importantes du serveur. Pour plus d’informations, consultez la section Créer manuellement un snapshot unique.

           2. Réinitialisez le système d’exploitation du serveur. Pour plus d’informations, consultez la section Réinitialiser le disque système (réinitialiser le système d’exploitation).

           3. Créez un cloud disk à partir du snapshot. Pour plus d’informations, consultez la section Créer un disque de données à partir d’un snapshot.

           4. Attachez le cloud disk au serveur après la réinstallation du système. Pour plus d’informations, consultez la section Attacher un disque de données.

        3. Pourquoi ne puis-je pas supprimer un fichier virus (tel qu’un cheval de Troie ou un programme de minage) ?

           Le fichier et son répertoire parent possèdent un attribut immuable. Utilisez la commande chattr -i pour supprimer l’attribut immuable du fichier et de son répertoire parent avant de les supprimer.

        4. J’ai reçu une alerte de cheval de Troie DDoS. Pourquoi l’alerte persiste-t-elle même après avoir supprimé manuellement le fichier ?

           Le fichier n’a pas été complètement supprimé. Pour résoudre ce problème, effectuez les étapes suivantes :

           1. Si vous utilisez l’édition gratuite de Security Center, vous pouvez démarrer un essai gratuit de 7 jours de l’édition Enterprise ou Ultimate. Vous pouvez également consulter la section Mettre à niveau Security Center pour passer à l’édition Antivirus ou Enterprise.

           2. Après la mise à niveau, accédez à la page de traitement des alertes de sécurité, recherchez l’alerte de cheval de Troie DDoS, cliquez sur Handle et sélectionnez Antivirus. Le système arrête automatiquement le processus du cheval de Troie et met le fichier en quarantaine.

        5. Comment ajouter des alertes de défense de précision à la liste blanche ?

           Les alertes générées par la fonctionnalité de défense de précision s’appuient sur un plug-in de défense et sont automatiquement bloquées. Vous devez ajouter manuellement ces alertes à une liste blanche dans la section Host Rule Management.

           1. Accédez à la console Security Center > Protection Settings > Host Protection > Host Rule Management. Dans le coin supérieur gauche de la page, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou AI-Powered Alert Triage.

           2. Dans l’onglet Handle Now, sélectionnez le sous-onglet AI-Powered Remediation et cliquez sur Confirm. Les types suivants sont pris en charge pour l’ajout à la liste blanche :

              • Hachage du processus

              • Ligne de commande

              • Réseau du processus

              • Lecture/écriture de fichiers

              • Opération sur le registre

              • Chargement de bibliothèque à liaison dynamique

              • Renommage de fichier

        6. J’ai reçu une notification concernant un comportement suspect du serveur, tel qu’un balayage de port SSH à grande échelle ou des attaques sortantes. Que dois-je faire ?

           • Le serveur est retiré du service : si le serveur n’est plus utilisé, vous pouvez ignorer la notification.

           • Le serveur est toujours utilisé : réinstallez le système d’exploitation pour supprimer entièrement le virus. Dans la console ECS, recherchez l’instance et choisissez Handled or Not > Handled dans le coin supérieur droit (l’instance doit d’abord être arrêtée). Après la réinstallation, durcissez le serveur : définissez des mots de passe forts, restreignez les règles du groupe de sécurité pour n’autoriser la connexion à distance qu’à partir d’adresses IP spécifiées et n’ouvrez que les ports professionnels requis.

           • À propos des restrictions de la plateforme : après la réinstallation du système d’exploitation, si aucune attaque sortante n’est détectée, la plateforme n’impose généralement pas de restrictions. Si vous rencontrez toujours des problèmes d’accès après la suppression du virus, vérifiez d’autres causes potentielles, telles que les configurations des groupes de sécurité et les règles du pare-feu côté serveur.

        7. Pourquoi continues-je à recevoir des notifications d’alerte après avoir supprimé un virus ou un fichier malveillant ?

           Security Center conserve les historiques des menaces pendant environ un an. Même après avoir supprimé le fichier virus, le système continue d’envoyer des notifications si vous n’avez pas effectué d’action de traitement sur l’alerte, telle que l’ignorer ou la marquer comme traitée manuellement. Recommandations :

           • Après avoir confirmé que la menace est éliminée, sélectionnez AI Response ou Confirmed Attack pour les alertes concernées dans la liste des alertes.

           • Si l’horodatage de l’alerte est antérieur à votre remédiation de sécurité, vous pouvez ignorer l’alerte en toute sécurité après avoir confirmé que la menace n’existe plus.

        8. J’ai changé mon adresse IP publique, mais je reçois toujours des alertes de connexion inhabituelle pour l’ancienne adresse IP. Que dois-je faire ?

           Les alertes pour l’ancienne adresse IP sont généralement déclenchées sur la base du comportement de connexion historique enregistré par Security Center. Recommandations :

           • Si l’horodatage de l’alerte est antérieur au changement d’adresse IP, vous pouvez ignorer l’alerte.

           • Synchronisez les dernières informations sur les ressources dans Asset Center pour vous assurer que Security Center enregistre votre adresse IP actuelle.

        9. Pourquoi ne puis-je pas trouver l’utilisateur spécifique au mot de passe faible et les identifiants dans les détails de l’alerte ?

           Dans la liste des alertes, cliquez sur Detection and Response dans la colonne Actions pour afficher le nom d’utilisateur et le mot de passe faibles détectés. Si la page de détails n’affiche pas ces informations, l’alerte peut être une alerte historique ou les données peuvent avoir expiré. Nous vous recommandons de modifier les mots de passe des comptes concernés par des mots de passe complexes contenant des lettres majuscules et minuscules, des chiffres et des caractères spéciaux.

        10. Comment autoriser les ingénieurs Alibaba Cloud à accéder à mon serveur pour enquêter et traiter les virus ?

            • Soumettez un ticket incluant vos informations d’autorisation et les identifiants du serveur pour permettre aux ingénieurs Alibaba Cloud d’accéder à distance à votre serveur.

            • Prérequis : créez une sauvegarde par snapshot avant d’autoriser l’accès de l’ingénieur. Les ingénieurs ne peuvent pas créer de snapshots à votre place. Effectuez vous-même la sauvegarde par snapshot avant de soumettre le ticket.

            • Si vous ne connaissez pas le mot de passe du serveur, réinitialisez le mot de passe de l’instance dans la console ECS.

        Problèmes liés aux fonctionnalités de la console

        • Que faire si une alerte signale un fichier inexistant ?

          Une alerte peut signaler un fichier inexistant pour les raisons suivantes :

          1. Le fichier cheval de Troie était stocké dans un répertoire temporaire, tel que /tmp, et a été automatiquement supprimé par le système.

          2. Une analyse de cheval de Troie a été effectuée et le fichier a été automatiquement déplacé vers la zone de quarantaine.

          3. Le virus a été supprimé par un autre logiciel de sécurité ou a nettoyé ses propres traces.

          Si le fichier de l’alerte n’existe pas, vérifiez d’abord si son chemin correspond à un répertoire temporaire. Ensuite, consultez File Quarantine pour confirmer si le fichier a été automatiquement mis en quarantaine. Après avoir confirmé que la menace est éliminée, cliquez sur Ignore ou Assets dans la liste des alertes pour effacer l’alerte.

        • J’ai reçu une alerte de sécurité, mais je ne trouve pas les données associées dans la console. Que dois-je faire ?

          1. Security Center affiche les données d’alerte par région. Vous pouvez basculer entre Chinese Mainland et Outside Chinese Mainland dans le coin supérieur gauche de la page Security Alerts. Si vous recevez une notification d’alerte mais ne trouvez pas l’alerte correspondante, basculez vers l’autre région.

          2. Vérifiez votre édition actuelle de Security Center. L’édition gratuite dispose de fonctionnalités limitées. Nous vous recommandons de consulter la section Mettre à niveau Security Center pour passer à l’édition Antivirus ou Enterprise.

          3. Utilisez la fonctionnalité Antivirus pour rechercher et traiter les menaces.

          4. Certaines alertes, telles que les alertes de connexion malveillante, sont générées par la surveillance du trafic Alibaba Cloud et l’analyse de la threat intelligence. Ces alertes peuvent ne pas s’afficher dans la console CWPP de Security Center. Lorsque vous recevez une telle notification, effectuez directement un durcissement de sécurité sur le serveur concerné, par exemple en exécutant Malicious Behavior Defense, en modifiant les mots de passe, en restreignant les ports dans les règles du groupe de sécurité et en corrigeant les vulnérabilités à haut risque.

        • Comment traiter plusieurs alertes en masse ?

          Security Center prend actuellement en charge les actions groupées telles que l’ajout à la liste blanche, l’ignorance, la suppression de la liste blanche et l’annulation de l’ignorance.

          1. Dans le volet de navigation de gauche, choisissez Custom Defense Rule > Create Rule. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : All Operations ou Reinitialize Disk. Dans la liste des alertes de sécurité, sélectionnez les alertes que vous souhaitez traiter.

          2. Dans le coin inférieur gauche, cliquez sur Ignore, Handled Manually, Details ou Manually Handled.

        • Pourquoi le bouton Handle d’une alerte de sécurité est-il grisé ?

          Les causes courantes sont les suivantes :

          1. Édition gratuite ou absence d’autorisation de protection active : l’édition gratuite permet uniquement d’afficher certaines alertes et ne prend pas en charge les actions de remédiation (mise en quarantaine, blocage d’IP, ajout à la liste blanche, etc.). Achetez l’édition Antivirus ou supérieure et assurez-vous que le serveur concerné dispose d’une association d’autorisation active.

          2. L’instance d’abonnement a expiré : après l’expiration d’une instance d’abonnement, la capacité de remédiation devient indisponible. Renouvelez l’instance et réessayez.

          3. Autorisations insuffisantes pour l’utilisateur RAM : l’opération nécessite la stratégie AliyunYundunSASFullAccess. Les autorisations en lecture seule (ReadOnlyAccess) ne permettent pas d’effectuer des actions de remédiation.

          4. L’agent Security Center du serveur correspondant est hors ligne : la commande de remédiation ne peut pas être livrée au serveur. Dépannez l’agent pour le remettre en ligne, puis réessayez.