全部产品
Search

搜索本产品

    Security Center：FAQ tentang risiko baseline sistem

    文档中心

    Security Center：FAQ tentang risiko baseline sistem

    更新时间：Jul 02, 2025

    Topik ini menjawab beberapa pertanyaan umum terkait risiko baseline sistem.

    Edition Security Center mana yang saya butuhkan untuk menggunakan pemeriksaan baseline?

    • Beli Edisi Advanced, Enterprise, atau Ultimate dari Security Center untuk mengakses pemeriksaan risiko baseline secara gratis. Setiap edisi mendukung item pemeriksaan baseline yang berbeda:

      • Advanced: Hanya mendukung kebijakan default dan baseline kata sandi lemah.

      • Enterprise dan Ultimate: Keduanya mendukung semua kebijakan pemeriksaan. Edisi Enterprise tidak mencakup item pemeriksaan keamanan kontainer, sedangkan Edisi Ultimate mendukung semua item pemeriksaan. Kedua edisi memungkinkan perbaikan cepat risiko baseline yang terdeteksi pada Server Linux berdasarkan standar Alibaba Cloud atau skema Multi-Level Protection Scheme (MLPS).

    • Untuk pengguna edisi Anti-virus dan mereka dengan rencana bernilai tambah, Anda dapat mengaktifkan pemeriksaan baseline dengan membeli fitur manajemen postur keamanan cloud (CSPM). Setelah membeli CSPM, Anda akan memiliki akses ke semua item pemeriksaan baseline.

    Untuk informasi lebih lanjut, lihat Aktifkan Pemeriksaan Baseline.

    Apa yang harus saya lakukan jika Security Center gagal memverifikasi risiko baseline yang telah diperbaiki?

    Security Center mungkin gagal memverifikasi risiko baseline yang telah diperbaiki karena agen Security Center sedang offline.

    Jika agen offline, kami sarankan Anda memecahkan masalah mengapa agen Security Center offline.

    Apa perbedaan antara baseline dan kerentanan?

    • Baseline menetapkan persyaratan keamanan minimum untuk konfigurasi dan manajemen sistem, termasuk konfigurasi layanan dan aplikasi, pengaturan sistem operasi, pengaturan izin, dan aturan manajemen sistem.

      Fitur pemeriksaan baseline dari Security Center mengevaluasi berbagai konfigurasi keamanan, termasuk kata sandi lemah, izin akun, otentikasi identitas, kebijakan kata sandi, kontrol akses, audit keamanan, dan Pencegahan Intrusi. Fitur ini juga memberikan rekomendasi untuk memperkuat keamanan berdasarkan risiko baseline yang terdeteksi.

    • Kerentanan adalah cacat dalam sistem operasi atau kebijakan keamanan. Mereka mencakup cacat desain dalam perangkat lunak atau aplikasi dan kesalahan yang terjadi selama pengembangan. Penyerang dapat mengeksploitasi cacat ini untuk mengakses, mencuri, atau merusak data sistem Anda.

      Kami menyarankan untuk segera memperbaiki kerentanan yang terdeteksi guna melindungi aset Anda.

    Mengapa item pemeriksaan "Pastikan setiap pengguna memiliki ID pengguna unik, tidak menggunakan kata sandi sederhana, dan mengubah kata sandi secara berkala" masih gagal setelah perbaikan satu klik dan verifikasi?

    Penyebab: Selama perbaikan satu klik, dua item relevan tidak dipilih untuk diperbaiki seperti yang ditunjukkan pada gambar di bawah ini. Akibatnya, kedua item tersebut tetap tidak diperbaiki, menyebabkan kegagalan item pemeriksaan ini.

    image

    Solusi: Jika aset Anda menggunakan metode login non-kata sandi, Anda tidak dapat melakukan perbaikan satu klik dengan Security Center. Setelah memastikan bahwa item konfigurasi lainnya telah diperbaiki, Anda dapat mengonfigurasi kebijakan daftar putih untuk item pemeriksaan ini pada aset tersebut.

    image

    Mengapa item pemeriksaan "Tetapkan akun dan izin untuk setiap pengguna" gagal?

    • Masalah: Status dari item pemeriksaan "Tetapkan akun dan izin untuk setiap pengguna" adalah Not Passed.

      image

      Konfigurasi host, termasuk izin direktori home, jumlah pengguna, dan nilai umask, ditunjukkan pada gambar berikut. Konfigurasi ini sesuai dengan saran perbaikan untuk item pemeriksaan "Tetapkan akun dan izin untuk setiap pengguna".

      image

    • Solusi: Jalankan perintah berikut untuk mengonfirmasi nilai umask dan jumlah akun, tidak termasuk akun administrator, yang terdeteksi oleh pemeriksaan baseline.

      grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1

cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l

      Seperti yang ditunjukkan pada gambar di bawah ini, pemeriksaan baseline mendeteksi 2 akun selain akun administrator, yang tidak sesuai dengan saran perbaikan untuk item pemeriksaan ini.

      imageUntuk menyelesaikan ini, tambahkan pengguna non-administrator pada host sesuai dengan saran perbaikan, lalu verifikasi kembali item pemeriksaan ini di Security Center.

    Mengapa saya menerima kesalahan "auth ilegal" saat membuat kebijakan pemeriksaan baseline?

    Tabel berikut menjelaskan kemungkinan penyebab dan solusi:

    Penyebab

    Solusi

    Saat Anda mengaktifkan fitur pemeriksaan baseline, pesanan baru mungkin tidak langsung berlaku, mencegah Anda membuat kebijakan pemeriksaan baseline.

    Coba lagi nanti.

    Instance Security Center yang Anda gunakan telah kedaluwarsa, mencegah konfigurasi kebijakan pemeriksaan baseline.

    Perpanjang langganan ke Security Center.

    [Kepatuhan MLPS] Mengapa prompt "Layanan sistem yang tidak diinginkan, berbagi default, dan port berisiko tinggi harus dimatikan" muncul dalam pemeriksaan baseline Windows untuk Tingkat 2 MLPS?

    • Masalah: Beberapa pengguna mungkin memblokir port tertentu menggunakan firewall atau grup keamanan, namun masih menerima prompt "Layanan sistem yang tidak diinginkan, berbagi default, dan port berisiko tinggi harus dimatikan" selama pemeriksaan baseline Windows untuk Tingkat 2 MLPS.

    • Penyebab: Layanan yang sesuai dengan port tertentu tetap aktif, menyebabkan pemeriksaan baseline mendeteksi port terbuka ini dan layanan terkaitnya.

    • Solusi: Masuk ke instance Anda dan nonaktifkan layanan untuk port berikut. Contoh di bawah ini menggunakan sistem operasi Windows 10 (64-bit).

      Port 135

      1. Tekan Windows+R, masukkan dcomcnfg, dan klik OK untuk membuka kotak dialog Component Service.

      2. Di bilah navigasi kiri, klik Component Service > Computers > My Computer, klik kanan, dan kemudian klik Properties.

      3. Di kotak dialog yang muncul, klik tab Default Properties, dan hapus centang Enable Distributed COM on this computer (E).

      4. Klik tab Default Protocols, pilih Connection-based TCP/IP, dan klik Remove.

      5. Klik OK.

      Ports 136, 137, dan 138

      1. Tekan Windows+S, masukkan Control Panel di kotak pencarian, dan kemudian klik Control Panel.

      2. Di kotak dialog Control Panel, klik Network and Internet.

      3. Klik Network and Sharing Center, dan klik jaringan yang terhubung.

      4. Di kotak dialog yang muncul, klik Properties.

      5. Di kotak dialog yang muncul, hapus centang File and Printer Sharing for Microsoft Networks dan Client for Microsoft Networks.

      6. Klik OK, dan tutup kotak dialog yang Anda buka.

      Port 139

      1. Tekan Windows+S, masukkan Control Panel di kotak pencarian, dan kemudian klik Control Panel.

      2. Di kotak dialog Control Panel, klik Network and Internet.

      3. Klik Network and Sharing Center, dan klik Change adapter settings di sebelah kiri.

      4. Di kotak dialog yang muncul, klik kanan jaringan yang Anda gunakan (misalnya, Ethernet), dan klik Properties.

      5. Di kotak dialog yang muncul, klik dua kali Internet Protocol Version 4 (TCP/IPv4).

      6. Di kotak dialog yang muncul, klik Advanced, dan beralih ke tab WINS.

      7. Pilih Disable NetBIOS over TCP/IP, dan klik OK.

      8. Klik OK lagi, dan kemudian tutup semua kotak dialog.

      Port 445

      1. Tekan Windows+R, masukkan regedit, dan klik OK untuk membuka kotak dialog Registry Editor.

      2. Di bilah navigasi kiri, klik Computer > HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Services > NetBT > Parameters, dan klik kanan Parameters.

      3. Klik Create > String Value, masukkan SMBDeviceEnabled sebagai Value name, dan kemudian klik dua kali nama nilai baru tersebut.

      4. Di kotak dialog yang muncul, masukkan 0 sebagai Value data, klik OK, dan tutup Registry Editor.

      5. Tekan Windows+R, dan masukkan services.msc untuk membuka kotak dialog manajemen Services.

      6. Temukan dan klik dua kali layanan Server. Di kotak dialog yang muncul, pilih Disabled untuk Startup type, atur Service status menjadi Stopped, dan klik Apply. Tutup kotak dialog.