Security Center menggabungkan peringatan keamanan terkait menjadi satu event keamanan tunggal, memberikan tampilan terpadu mengenai cakupan penuh suatu serangan. Untuk menyelesaikan suatu event, nilai tingkat keparahan dan dampaknya, jalankan aksi respons untuk membatasi ancaman, lalu perkuat sistem guna mencegah pengulangan.
Bagan alir penanganan insiden keamanan
Menilai suatu event keamanan
Lakukan penilaian menyeluruh terhadap tingkat keparahan, cakupan dampak, dan kemungkinan false positive sebelum menanganinya. Hal ini penting untuk merancang strategi respons yang tepat.
Buka halaman detail event
Login ke Security Center console.
Pada panel navigasi kiri, pilih
CatatanJika Anda telah membeli layanan Agentic SOC, pilih .
Tentukan rentang waktu kejadian event yang ingin Anda lihat untuk menemukan event keamanan target.
PentingHalaman Incidents hanya menampilkan event yang terjadi dalam 180 hari terakhir.
Anda dapat mengaktifkan notifikasi terkait event di . Dengan demikian, Anda dapat dengan cepat menemukan event target berdasarkan informasi seperti nama event.
Klik Details pada kolom Actions untuk membuka halaman detail event.
Metode dan contoh penilaian
Anda dapat mengevaluasi event menggunakan Alibaba Cloud Security Large Model, informasi Overview, informasi Timeline, Alert, dan informasi Entity untuk menilai urgensi dan cakupan event serta menentukan apakah event tersebut merupakan false positive.
Security AI Assistant
Security AI Assistant menggunakan agen analisis entitas untuk menilai secara komprehensif tingkat risiko entitas berbahaya dan memberikan saran penanganan.
Contoh penilaian:
Ikhtisar area
Bagian ini menjelaskan informasi dasar mengenai event dan tahapan serangan ATT&CK-nya. Anda dapat menilai apakah event keamanan perlu ditangani berdasarkan data seperti jumlah aset terdampak, jumlah peringatan terkait, waktu kejadian, dan sumber peringatan.
Contoh penilaian:
Jumlah aset terdampak: Jumlah yang tinggi menunjukkan dampak signifikan. Jika aset bisnis inti, seperti database atau server aplikasi, terlibat, event tersebut kemungkinan besar memiliki dampak besar dan harus ditangani sebagai prioritas utama.
Peringatan terkait: Semakin banyak peringatan, semakin luas cakupan dan semakin besar potensi risikonya.
Waktu kejadian: Event yang baru terjadi mungkin masih berdampak dan harus ditangani lebih mendesak dibandingkan event historis.
Sumber peringatan: Peringatan dari sumber berbeda memiliki tingkat kredibilitas dan keparahan yang berbeda. Peringatan dari modul deteksi otoritatif, seperti modul pemindaian virus khusus, menunjukkan risiko event yang lebih tinggi.
Diagram rantai peristiwa
Pada tab ini, Anda dapat melihat timeline serangan dan diagram rantai peristiwa. Mesin analitik data besar memproses, menggabungkan, dan memvisualisasikan data untuk menghasilkan grafik yang menunjukkan bagaimana event tersebut terjadi. Hal ini membantu Anda mengidentifikasi penyebab event dan merancang strategi penanganan dalam waktu sesingkat mungkin. Klik node pada event untuk melihat detailnya, lalu nilai apakah event keamanan perlu ditangani berdasarkan timeline. Contoh penilaian:
Jika Anda telah membeli Security Operations Agent dalam Agentic SOC, agen investigasi insiden secara otomatis mengekstraksi titik entitas kunci dan merekonstruksi perilaku kunci antar-entitas sebagai diagram rantai peristiwa. Agen ini juga memberikan penjelasan timeline.
Jika timeline menunjukkan bahwa peringatan serangan probing skala kecil awal dengan cepat meningkat menjadi beberapa peringatan serangan terkait erat dengan jenis berbeda dalam waktu singkat, laju serangan terus meningkat, dan cakupan aset terdampak terus meluas, maka event keamanan tersebut berisiko tinggi. Kami menyarankan agar Anda segera menanganinya.
Jika tidak ada peringatan terkait baru yang muncul dalam timeline dalam jangka waktu lama dan serangan tidak menunjukkan tanda-tanda penyebaran, prioritas penanganannya dapat diturunkan.
Alert
Pada tab ini, Anda dapat melihat daftar semua peringatan keamanan yang digabungkan ke dalam event. Anda dapat memperoleh informasi lebih lanjut dari statistik peringatan multidimensi, seperti jumlah peringatan, langkah pertahanan, dan waktu kejadian, untuk menentukan metode dan tahap serangan serta memutuskan solusi penanganan. Contoh penilaian:
Beberapa peringatan dengan jenis yang sama atau terkait mungkin mengindikasikan serangan skala besar atau ancaman yang lebih parah.
Dari segi langkah pertahanan, periksa apakah pertahanan yang diterapkan telah berhasil memblokir serangan. Jika pertahanan gagal atau tidak memadai, urgensi penanganan event meningkat.
Jika waktu kejadian peringatan keamanan terbaru berkumpul dalam periode tertentu, serangan kemungkinan sedang dalam fase aktif selama periode tersebut.
Entity
Menampilkan objek entitas yang diekstraksi dari event. Jenis entitas yang didukung mencakup host, file, proses, alamat IP, dan akun host. Anda dapat melihat serta mengelola entitas dalam dimensi berikut:
Semua entitas: Menampilkan semua entitas yang diekstraksi dari event. Anda dapat melihat jumlah event terkait, peringatan terkait, dan tugas penanganan terkait dalam 30 hari terakhir, serta menjalankan playbook.
Aset terdampak: Menampilkan aset yang terdampak oleh event, membantu Anda dengan cepat menilai cakupan aset terdampak.
Anda dapat menilai apakah event keamanan perlu ditangani berdasarkan entitas yang terdampak. Contoh penilaian:
Pada detail entitas, Anda dapat melihat informasi dasar, intelijen ancaman Alibaba Cloud, event terkait dalam 30 hari terakhir, peringatan terkait dalam 30 hari terakhir, dan tugas penanganan terkait dari entitas alamat IP. Jika jumlahnya tinggi, kemungkinan penyerang terus menggunakan alamat IP tersebut untuk melancarkan serangan. Lakukan tindakan terhadap alamat IP tersebut, seperti memblokirnya.
Pada tab Affected Asset, jika beberapa aset diserang oleh alamat IP yang sama dalam periode yang sama, hal ini kemungkinan besar mengindikasikan serangan bertarget terhadap alamat IP tertentu. Lakukan tindakan terhadap alamat IP tersebut, seperti memblokirnya.
Response Activity
Kemampuan inti: Response Activity mencatat seluruh proses analisis risiko dan penanganan respons, serta menyediakan titik masuk manajemen untuk strategi respons kunci, tugas, dan Activity Log agar anggota tim dapat berbagi progres investigasi dan informasi penanganan selama kolaborasi. Setelah event selesai, Anda dapat meninjau proses aktivitas untuk merangkum pengalaman.
Titik masuk operasi: Buka halaman detail event target dan klik Response Activity.
Merespons event keamanan
Menangani event keamanan
Solusi | Deskripsi |
recommended handling policies |
Catatan Jika panel recommended handling policies kosong, berarti tidak tersedia kebijakan penanganan bawaan untuk entitas saat ini. |
Add Alert to Whitelist | Add Alert to Whitelist: Menambahkan program, alamat IP, atau perilaku yang telah dikonfirmasi tidak berbahaya ke daftar putih sehingga tidak lagi memicu peringatan. |
Run a playbook | Berdasarkan pengalaman pakar keamanan Alibaba Cloud, Security Center menyediakan serangkaian playbook bawaan untuk menangani entitas berbahaya. Contohnya termasuk pemeriksaan host offline, pemindaian virus mendalam, dan pemblokiran alamat IP melalui WAF. |
Update Incident Status |
|
Menerapkan kebijakan penanganan yang direkomendasikan
Prosedur
Pada halaman Incidents, temukan event target dan klik Actions > Recommended Response.
CatatanAtau, buka halaman detail event dan klik Recommended Handling di pojok kiri bawah.
Pada panel kebijakan penanganan yang direkomendasikan, pilih entitas berbahaya yang ingin Anda tangani.
(Opsional) Modifikasi kebijakan penanganan: Klik Edit pada kolom Actions untuk entitas tersebut. Pada panel Edit Policy, modifikasi parameter seperti akun tujuan tempat aturan pemblokiran dikirimkan dan periode validitas aksi.
Periode validitas aksi: Periode waktu efektif kebijakan penanganan. Kebijakan akan kedaluwarsa secara otomatis setelah periode ini berakhir.
Akun tujuan: Akun saat ini atau akun anggota mana pun yang Anda kelola. Untuk detailnya, lihat Multi-account security management.
Klik Resolve. Pada kotak dialog Update Incident Status, pilih Incident Status menjadi Handling atau Handled, lalu klik OK.
PentingSetelah menyelesaikan langkah ini, Security Center secara otomatis membuat kebijakan penanganan dan menjalankan tugas penanganan. Jika tugas gagal, status event berubah menjadi Failed. Jika tidak, statusnya berubah menjadi status yang Anda tentukan.
Handling: Selain operasi penanganan saat ini, tindakan terkait penanganan event lainnya masih diperlukan, seperti containment, pelacakan sumber, dan perbaikan kerentanan.
Handled: Tidak diperlukan tindakan penanganan tambahan selain operasi penanganan saat ini. Dampaknya:
Status peringatan terkait diperbarui menjadi "Handled Manually".
Peringatan berikutnya akan menghasilkan event keamanan baru alih-alih dikaitkan dengan event saat ini.
Dampak
Security Center berinteraksi dengan produk Alibaba Cloud lainnya untuk merespons event dan menangani entitas berbahaya, seperti memblokir alamat IP.
Jika Anda menggunakan recommended handling policies untuk mengubah status event menjadi Handled, sistem memperbarui status semua peringatan yang belum ditangani dan terkait dengan event tersebut menjadi Handled Manually.
PentingUntuk peringatan CWPP Precision Defense, status peringatan default adalah Handled (hanya pertahanan, tanpa notifikasi). Pembaruan status event keamanan tidak memengaruhi status peringatan ini.
Jika Anda menggunakan recommended handling policies untuk mengubah status event menjadi Handling, status peringatan terkait tetap tidak berubah. Peringatan berikutnya masih dapat dikaitkan dengan event saat ini.
Pada halaman Incident Response, Handling Policies dan Handling Tasks yang sesuai dihasilkan.
Add Alert to Whitelist
Prosedur
Buka halaman detail event, pilih peringatan keamanan yang ingin Anda tangani pada tab Alert View, lalu klik Add Alert to Whitelist pada kolom Actions.
(Opsional) Buat aturan daftar putih peringatan: Klik Create Rule untuk mengonfigurasi beberapa aturan daftar putih.
PentingBeberapa aturan memiliki hubungan OR. Peringatan yang memenuhi salah satu aturan akan ditambahkan ke daftar putih.
Pastikan aturannya tepat untuk menghindari cakupan yang terlalu luas. Misalnya, aturan luas seperti "Path contains: /data/" dapat secara tidak sengaja memasukkan subdirektori sensitif ke daftar putih, yang meningkatkan risiko keamanan.
Setiap aturan terdiri dari empat kotak konfigurasi dari kiri ke kanan. Berikut penjelasan kotak konfigurasi tersebut:
Bidang informasi peringatan: Anda dapat melihat bidang informasi peringatan yang didukung oleh peringatan saat ini pada bagian More Information di halaman detail.
Jenis kondisi: Operator yang didukung mencakup regex match, greater than, equal to, less than, dan contains. Berikut penjelasan beberapa jenis kondisi:
Regular expression: Mencocokkan konten dengan pola tertentu secara tepat. Misalnya, untuk menambahkan semua konten dalam folder /data/app/logs/ ke daftar putih, atur aturan menjadi "Path matches regex: ^/data/app/logs/.$". Aturan ini mencocokkan semua file atau proses dalam folder dan subdirektorinya.
Contains keyword: Mencocokkan semua event yang path-nya mengandung string yang ditentukan. Misalnya, aturan "Path contains: D:\programs\test\" menambahkan semua event yang path-nya mengandung folder tersebut ke daftar putih.
Nilai kondisi: Menerima konstanta atau ekspresi reguler.
Aset yang berlaku:
Semua aset: Berlaku untuk semua aset yang terhubung dan aset baru yang ditambahkan.
Hanya untuk aset saat ini: Hanya berlaku untuk aset yang terlibat dalam peringatan saat ini.
Klik Handle Now.
Dampak
Setelah peringatan ditambahkan ke daftar putih, notifikasi untuk peringatan identik atau peringatan yang memenuhi aturan daftar putih tidak lagi dikirimkan. Lakukan dengan hati-hati.
Pada peringatan saat ini:
Peringatan saat ini diubah menjadi "Handled" dan status peringatan menjadi Manually Allowlisted.
Ketika peringatan yang sama terjadi lagi, data peringatan baru tidak dihasilkan. Hanya waktu kejadian terbaru dari peringatan saat ini yang diperbarui.
Pada peringatan berikutnya:
Jika aturan daftar putih tertentu dikonfigurasi, Security Center tidak lagi mengaitkan peringatan yang memenuhi aturan daftar putih dengan event keamanan.
Ketika peringatan yang memenuhi aturan daftar putih kustom terjadi lagi, peringatan tersebut secara otomatis masuk ke daftar ditangani dengan status Automatically Add to Whitelist. Tidak ada notifikasi peringatan yang dikirimkan.
Peringatan lainnya: Aturan daftar putih hanya berlaku untuk peringatan dengan nama peringatan yang ditentukan dan memenuhi kondisi aturan. Peringatan yang tidak memiliki aturan yang dikonfigurasi tidak terpengaruh.
Batalkan penambahan ke daftar putih
Membatalkan aturan daftar putih otomatis
Login ke Security Center console. Pada panel navigasi kiri, pilih 。
CatatanJika Anda telah mengaktifkan Agentic SOC, pada panel navigasi kiri, pilih 。
Klik CWPP di pojok kanan atas Cloud Workload Coverage Alert Management . Pilih Alert Settings。
Di halaman Alert Settings, pada area Alert Handling Rule, pilih metode penanganan Automatically Add to Whitelist.
Temukan aturan target dan klik Delete pada kolom Actions untuk membatalkan aturan daftar putih otomatis.
Batalkan pemasukan peringatan ke daftar putih
Anda harus login ke Security Center console. Pada panel navigasi kiri, pilih 。
CatatanJika Anda telah mengaktifkan Agentic SOC, pada panel navigasi kiri, pilih 。
Tab CWPP, kondisi filter Handled or Not diatur ke Handled。
Temukan peringatan yang ingin dibatalkan daftar putihnya dan klik tombol Remove from Whitelist pada kolom Actions untuk membatalkan daftar putih peringatan saat ini. Anda juga dapat memilih beberapa peringatan dan mengklik tombol Remove from Whitelist di bagian bawah daftar untuk membatalkan daftar putih secara batch.
Run a playbook
Prosedur
Pada halaman detail event, klik tab Entity dan temukan entitas yang ingin Anda tangani.
Klik Handle pada kolom Actions. Pada halaman penanganan, konfigurasikan parameter playbook seperti dijelaskan di bawah ini:
Playbook: Sistem secara otomatis memilih playbook bawaan yang sesuai berdasarkan jenis entitas.
PentingJika playbook bawaan tidak memenuhi kebutuhan Anda, Anda dapat menggunakan Agentic SOC dan fitur Automation rules-nya untuk membuat playbook kustom.
Periode validitas aksi: Periode waktu berjalannya playbook. Playbook akan berhenti setelah periode ini berakhir.
Akun tujuan: Akun saat ini atau akun anggota mana pun yang Anda kelola. Untuk detailnya, lihat Multi-account security management.
Klik Resolve.
Dampak
Event ditangani berdasarkan proses yang dikonfigurasi dalam playbook (seperti memblokir alamat IP), dan status event berubah menjadi Handled.
Update Incident Status
Prosedur
Pada halaman detail event, klik Incident Response di pojok kanan atas dan pilih Update Incident Status dari daftar drop-down. Atau, pada halaman Security Events, temukan event target dan klik Response pada kolom Actions lalu pilih Update Incident Status dari daftar drop-down.
Pada kotak dialog Update Incident Status, pilih Handled, Unhandled, atau Handling.
(Opsional) Masukkan catatan seperti "Ditangani secara manual", "Diabaikan", "Ditambahkan ke daftar putih secara manual", atau "Tangani ulang".
Dampak
Jika Anda mengubah status menjadi Handled:
Status semua peringatan yang belum ditangani dan terkait dengan event tersebut diperbarui secara seragam menjadi Handled Manually, dan informasi tentang operasi event keamanan ditambahkan ke catatan detail peringatan.
PentingUntuk peringatan CWPP Precision Defense, status peringatan default adalah Handled (hanya pertahanan, tanpa notifikasi). Pembaruan status event keamanan tidak memengaruhi status peringatan ini.
Peringatan berikutnya tidak lagi dikaitkan dengan event keamanan saat ini. Peringatan tersebut akan menghasilkan event keamanan baru.
Jika Anda mengubah status menjadi Unhandled atau Handling: Anda dapat memilih metode penanganan untuk event saat ini lagi.
Manage event properties
Operation | Description |
Update Owner | Menangani event keamanan sering kali memerlukan kolaborasi lintas tim dan lintas anggota. Untuk memastikan serah terima tugas yang jelas, Anda dapat secara manual menetapkan atau mengubah pemilik event pada berbagai tahap penanganan event. |
Update Incident Level | Menyesuaikan tingkat penilaian risiko event. Selama penilaian event, jika tingkat risiko yang ditentukan secara otomatis tidak sesuai dengan situasi aktual (terlalu tinggi atau terlalu rendah), Anda dapat mengubah level event secara manual. Hal ini membantu tim menyesuaikan prioritas respons secara akurat dan memastikan sumber daya dialokasikan dengan tepat ke event yang paling mendesak. |
Update Owner
Prosedur
Buka halaman detail event, klik Incident Response di pojok kanan atas, lalu klik Update Owner. Atau, pada halaman Security Events, temukan event target dan klik Response pada kolom Actions lalu pilih Update Owner dari daftar drop-down.
Pada kotak dialog, konfigurasikan informasi berikut dan klik OK.
Owner: Anda dapat memilih Pengguna RAM dari akun saat ini dan akun anggotanya.
PentingPastikan bahwa Owner (Pengguna RAM) target telah diberikan izin yang diperlukan untuk menangani event keamanan.
Remarks: Masukkan instruksi serah terima, saran penanganan, atau tindakan pencegahan untuk membantu pemilik baru memahami konteks dan mulai bekerja dengan cepat.
Dampak
Setelah operasi berhasil, sistem secara otomatis menghasilkan catatan perubahan. Anda dapat melihat detail perubahan pemilik ini pada tab Response Activity lalu Activity Log di halaman detail event.
Update Incident Level
Prosedur
Buka halaman detail event, klik Incident Response di pojok kanan atas, lalu klik Update Incident Level. Atau, pada halaman Security Events, temukan event target dan klik Response pada kolom Actions lalu pilih Update Incident Level dari daftar drop-down.
Pada kotak dialog, modifikasi Incident Severity dan Remarks.
Dampak
Setelah level diubah, operasi tersebut dicatat dalam log aktivitas event. Anda dapat melihat detail perubahan ini pada tab Response Activity lalu Activity Log di halaman detail event.
Ekspor event keamanan
Anda dapat mengekspor detail event keamanan ke file Excel di perangkat lokal Anda. Hal ini memfasilitasi kolaborasi lintas departemen dalam menangani event keamanan dan meningkatkan efisiensi berbagi informasi internal serta pelacakan event.
(Opsional) Pada halaman daftar penanganan event keamanan, atur kondisi filter seperti tingkat risiko event, status, dan waktu kejadian.
Pilih event keamanan yang ingin Anda unduh (maksimal 1.000 catatan), lalu klik
di pojok kanan atas daftar event keamanan.Setelah ekspor selesai, klik Download untuk mengunduh file ke perangkat lokal Anda.
CatatanFile yang diekspor berisi tiga lembar kerja: daftar catatan event keamanan, daftar aset yang terlibat dalam event keamanan, dan daftar entitas yang terlibat dalam event keamanan.
Respons darurat dan penguatan pasca-insiden
Penanganan berbayar hanya berlaku untuk respons darurat peringatan saat ini dan tidak menunjukkan bahwa server sepenuhnya aman. Kami menyarankan agar Anda terus mengidentifikasi akar penyebab intrusi dan memperkuat sistem. Jika Anda tidak lagi memerlukan layanan Security Center, lihat Disable pay-as-you-go services. Untuk mencegah server diserang virus lagi, kami menyarankan agar Anda menerapkan langkah-langkah penguatan yang diperlukan pada server. Hal ini meningkatkan biaya intrusi bagi penyerang dan menaikkan ambang batas untuk menembus pertahanan.
Operasi Umum
Upgrade Edisi Security Center: Edisi Enterprise dan Ultimate mendukung fitur isolasi virus otomatis (yaitu deteksi dan penghapusan virus otomatis), memberikan Anda kemampuan pertahanan presisi dan mendukung lebih banyak item deteksi keamanan.
Perketat Kontrol Akses: Buka hanya port bisnis yang diperlukan (seperti 80 dan 443), dan konfigurasikan kebijakan akses daftar putih IP yang ketat untuk port manajemen (seperti 22 dan 3389) dan port database (seperti 3306).
CatatanUntuk server ECS Alibaba Cloud, lihat Manage security groups untuk operasinya.
Tetapkan Password Server yang Kompleks: Tetapkan password kompleks yang mengandung huruf kapital, huruf kecil, angka, dan simbol khusus untuk server dan aplikasi.
Upgrade Perangkat Lunak: Segera perbarui perangkat lunak aplikasi Anda ke versi resmi terbaru untuk menghindari penggunaan versi lama yang tidak lagi dipelihara atau memiliki kerentanan keamanan yang diketahui.
Cadangan Berkala: Buat kebijakan snapshot reguler untuk data penting dan disk sistem server.
CatatanUntuk server ECS Alibaba Cloud, lihat Create policy untuk operasinya.
Perbaiki Kerentanan Secara Cepat: Gunakan fitur Vulnerability Management Security Center secara rutin untuk segera memperbaiki kerentanan sistem dan aplikasi.
Reset Sistem Server (Gunakan dengan Hati-hati).
Jika intrusi virus sangat dalam dan melibatkan komponen sistem tingkat dasar, sangat disarankan agar Anda mereset sistem server setelah mencadangkan data penting. Ikuti langkah-langkah berikut:
Buat snapshot untuk mencadangkan data penting di server. Untuk informasi lebih lanjut, lihat Manually create a single snapshot.
Inisialisasi sistem operasi server. Untuk informasi selengkapnya, lihat Inisialisasi ulang disk sistem (reset sistem operasi).
Buat cloud disk dari snapshot. Untuk informasi lebih lanjut, lihat Create a data disk from a snapshot.
Pasang cloud disk ke server setelah menginstal ulang sistem. Untuk informasi lebih lanjut, lihat Attach a data disk.
Periksa backdoor persisten
Setelah intrusi, penyerang biasanya menanamkan backdoor persisten untuk mempertahankan kendali jangka panjang. Setelah Anda menangani event keamanan, periksa lokasi berikut dan pastikan apakah item mencurigakan tersebut diperlukan oleh bisnis Anda:
Tugas terjadwal: Pada server Linux, periksa
crontab -l,/etc/cron.d/, dan/var/spool/cron/untuk konfigurasi tugas terjadwal. Cari skrip atau program yang dijadwalkan berjalan pada waktu yang tidak terduga.Item startup: Pada server Linux, periksa
/etc/rc.local,/etc/init.d/, dansystemctl list-unit-files. Pada server Windows, periksa item startup registri, Task Scheduler, dan file startup mencurigakan di direktori sepertiC:\Users\Administrator\AppData\Local.Kunci publik SSH: Periksa file
~/.ssh/authorized_keyspada server Linux untuk kunci publik tak terduga yang ditulis oleh penyerang. Segera hapus kunci mencurigakan tersebut.Direktori sensitif: Periksa direktori sementara seperti
/tmp,/var/tmp, dan/dev/shmuntuk file yang dapat dieksekusi mencurigakan.
Hapus virus sepenuhnya dan pulihkan sistem
Jika penanganan proses backdoor atau file webshell gagal, atau jika virus tidak dapat dihapus sepenuhnya oleh Security Center, kami menyarankan agar Anda menggunakan metode berikut untuk menghapus virus sepenuhnya:
Cadangkan data workload: Cadangkan data penting yang dibutuhkan workload Anda ke lokasi penyimpanan terpisah yang aman.
Buat snapshot: Di konsol ECS, buat snapshot dari disk yang terdampak sebagai cadangan data sebelum operasi. Snapshot wajib dibuat untuk operasi berisiko tinggi. Tanpa snapshot, Anda tidak dapat mengizinkan insinyur bekerja pada server.
Inisialisasi ulang disk sistem: Di konsol ECS, temukan instans. Pada halaman detail instans, klik All Operations di pojok kanan atas dan pilih Reinitialize Disk. Instans harus dalam status Stopped. Operasi ini menghapus semua data pada disk sistem. Pastikan pencadangan telah lengkap.
Redeploy workload Anda: Setelah disk sistem diinisialisasi ulang, redeploy aplikasi Anda dan pulihkan data cadangan.
Menangani notifikasi perilaku berbahaya
Jika Anda menerima notifikasi bahwa server menunjukkan perilaku mencurigakan, seperti pemindaian port SSH skala besar atau serangan arah keluar, kami menyarankan agar Anda menanganinya sebagai berikut:
Server sudah dihentikan: Jika server telah dihentikan dan tidak lagi digunakan, abaikan notifikasi di Security Center terlebih dahulu.
Anda perlu terus menggunakan server: Jika Anda ingin terus menggunakan server, kami menyarankan agar Anda menginstal ulang sistem operasi untuk menghapus virus sepenuhnya dan menerapkan langkah-langkah penguatan keamanan berikut setelah instalasi ulang:
Konfigurasikan aturan arah keluar dalam grup keamanan untuk menolak akses arah keluar pada port 22. Hal ini mencegah server melancarkan serangan arah keluar lebih lanjut.
Konfigurasikan aturan arah masuk dalam grup keamanan untuk mengizinkan port logon remote (SSH port 22 atau RDP port 3389) hanya diakses dari alamat IP tepercaya yang ditentukan, dan izinkan hanya port bisnis yang diperlukan.
Ubah password server menjadi password kompleks yang mengandung huruf kapital, huruf kecil, angka, dan karakter khusus, serta ubah password secara berkala.
Tentang pemblokiran: Setelah Anda menginstal ulang sistem operasi, jika Security Center tidak lagi mendeteksi serangan arah keluar, platform biasanya tidak memblokir server, dan Anda tidak perlu mengirimkan tiket baru.
Blokir alamat IP sumber penyerang
Setelah Anda memastikan bahwa proses berbahaya telah berhenti dan event telah ditangani, blokir alamat IP sumber penyerang dalam grup keamanan untuk mencegah penyerang melakukan intrusi lagi:
Pada halaman detail event di Security Center, klik tab Entity, temukan entitas alamat IP penyerang, dan catat alamat IP sumber serangan.
Login ke ECS console dan temukan grup keamanan yang terkait dengan instans.
Tambahkan aturan Deny ke grup keamanan yang menolak akses dari alamat IP sumber penyerang pada semua port.
Konfigurasi grup keamanan adalah fitur ECS. Untuk informasi lebih lanjut, lihat ECS security group configuration.
Izinkan insinyur melakukan investigasi di server
Jika Anda tidak memiliki pengalaman operasi keamanan atau tidak memiliki staf teknis, beli layanan emergency response Security Center. Insinyur keamanan Alibaba Cloud kemudian akan login ke server secara remote untuk membantu Anda melakukan investigasi dan menangani event:
Buat cadangan snapshot: Sebelum mengizinkan insinyur melakukan operasi, Anda harus membuat snapshot dari disk yang terdampak di konsol ECS. Untuk operasi berisiko tinggi, insinyur tidak diizinkan bekerja di server jika tidak ada cadangan snapshot.
Kirimkan tiket dan berikan izin: Isi informasi otorisasi dalam tiket, berikan password login server, dan izinkan insinyur Alibaba Cloud login ke server secara remote untuk investigasi. Insinyur tidak dapat membuat snapshot atas nama Anda. Anda harus membuat snapshot sendiri.
Password server tidak diketahui: Jika Anda tidak mengetahui password server, reset password instans di konsol ECS, lalu kirimkan otorisasi.
Kuota dan batasan
Retensi data: Halaman penanganan event keamanan hanya memungkinkan Anda melihat dan menangani event yang terjadi dalam 180 hari terakhir.
Detail entitas: Pada halaman detail entitas, jumlah event terkait, peringatan, dan tugas penanganan dihitung berdasarkan data 30 hari terakhir.
Jumlah ekspor: Anda dapat mengekspor hingga 1.000 catatan event keamanan sekaligus.
Sinkronisasi status: Memperbarui status event keamanan tidak memengaruhi status peringatan CWPP "Precision Defense". Status default peringatan ini adalah "Handled" (hanya pertahanan, tanpa notifikasi).