Security Center：Deteksi tanpa agen

Aktifkan layanan

1. Aktifkan layanan

   1. Masuk ke Konsol Security Center. Pada bilah navigasi atas, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.

   2. Pada panel navigasi kiri, pilih Protection Configuration > Host Protection > Agentless Detection. Pada halaman yang muncul, klik Activate Now dan tinjau perjanjian terkait.

      Penting

      Deteksi tanpa agen menggunakan metode penagihan bayar sesuai pemakaian.

2. Lengkapi otorisasi layanan (untuk pengguna pertama kali)

   Pertama kali menggunakan fitur ini, Anda diminta untuk mengotorisasi peran layanan. Klik Authorize Now.

   Catatan

   Setelah Anda memberikan otorisasi, Security Center secara otomatis membuat peran terkait layanan AliyunServiceRoleForSas. Untuk informasi lebih lanjut tentang AliyunServiceRoleForSas, lihat Peran terkait layanan Security Center.

Buat dan jalankan tugas deteksi

Kelola tugas deteksi

Analisis dan tangani risiko

Setelah tugas berhasil diselesaikan, Anda dapat melihat dan menangani risiko keamanan yang terdeteksi di halaman Agentless Detection.

1. Lihat detail risiko

   Di halaman Agentless Detection, buka tab untuk kebijakan deteksi, seperti Server Check, lalu tab untuk jenis risiko, seperti Vul Risk. Di daftar, temukan item risiko dan klik View atau Details di kolom Actions untuk melihat detailnya.

2. Tangani peringatan risiko

   Kerentanan

   • Operasi: Temukan kerentanan target dan klik Add to Whitelist di kolom Actions.

     Peringatan

     Deteksi tanpa agen tidak mendukung perbaikan kerentanan.

   • Tindakan yang didukung: Tambahkan ke daftar putih.

     Penting

     • Menambahkan kerentanan tertentu ke daftar putih mencegah peringatan di masa depan untuk kerentanan tersebut. Gunakan fitur ini dengan hati-hati.

     • Setelah Anda menambahkan entri ke daftar putih, sistem secara otomatis menyinkronkannya ke tab Scan Configuration > Manage Whitelist > Vulnerability Whitelist, tempat Anda dapat melihatnya.

   Pemeriksaan baseline

   • Operasi: Di daftar item pemeriksaan, temukan item pemeriksaan yang perlu ditangani dan klik Add to Whitelist di kolom Actions.

   • Tindakan yang didukung: Tambahkan ke daftar putih.

     Penting

     • Setelah Anda menambahkan item pemeriksaan ke daftar putih, server baru tidak akan lagi dipindai untuk item tersebut. Gunakan fitur ini dengan hati-hati.

     • Setelah Anda menambahkan item ke daftar putih, sistem secara otomatis menyinkronkan konfigurasi ke tab Scan Configuration > Manage Whitelist > Baseline Whitelist, tempat Anda dapat melihat item daftar putih yang ditambahkan.

   Sample berbahaya

   • Operasi: Di daftar peringatan, temukan item peringatan yang ingin ditangani dan klik Change Status atau Handle di kolom Actions.

   • Tindakan yang didukung:

     • Add to Whitelist: Jika Anda memastikan bahwa peringatan tidak melibatkan perilaku berbahaya, Anda dapat menambahkan peringatan tersebut ke daftar putih berdasarkan aturan daftar putih dan cakupan penerapannya.

       Penting

       • Jika Anda menambahkan peringatan ke daftar putih, setiap kemunculan peringatan yang sama di masa depan secara otomatis dipindahkan ke daftar yang telah ditangani, dan Anda tidak akan menerima notifikasi. Gunakan fitur ini dengan hati-hati.

       • Anda dapat menangani peringatan identik secara batch. Tindakan yang didukung bervariasi berdasarkan jenis peringatan. Untuk informasi lebih lanjut, lihat halaman konsol.

       • Setelah Anda menambahkan entri ke daftar putih, sistem secara otomatis menyinkronkannya ke tab Scan Configuration > Manage Whitelist > Malicious Sample Whitelist, tempat Anda dapat melihat entri daftar putih yang ditambahkan.

     • Manually Handled: Jika Anda telah menangani risiko secara offline, Anda dapat menandai peringatan sebagai Manually Handled.

     • Mark as False Positive: Anda dapat menandai peringatan ini sebagai false positive. Security Center menggunakan umpan balik Anda untuk terus mengoptimalkan kemampuan pemindaian.

     • Ignore: Mengabaikan hanya peringatan saat ini. Jika sistem mendeteksi masalah tersebut lagi, peringatan baru akan dihasilkan.

   File sensitif

   • Operasi:

     1. Di daftar peringatan file sensitif, temukan peringatan yang ingin diproses dan klik Details di kolom Actions untuk melihat deskripsi detail dan saran penguatan.

     2. Di kolom Actions daftar ancaman pada panel Details, klik Handle, pilih metode untuk menangani peringatan di kotak dialog, dan klik OK.

   • Tindakan yang didukung:

     • Add to Whitelist: Jika Anda memastikan bahwa peringatan tidak berbahaya, Anda dapat menambahkannya ke daftar putih berdasarkan aturan daftar putih. Aturan berikut berlaku:

       Penting

       • Jika Anda menambahkan peringatan ke daftar putih, setiap kemunculan peringatan yang sama di masa depan secara otomatis dipindahkan ke daftar yang telah ditangani, dan Anda tidak akan menerima notifikasi. Gunakan fitur ini dengan hati-hati.

       • Anda dapat mengonfigurasi beberapa aturan. Semua aturan digabungkan dengan logika AND. Artinya, peringatan ditambahkan ke daftar putih hanya jika memenuhi semua kondisi aturan.

       • Setelah entri ditambahkan ke daftar putih, entri tersebut secara otomatis disinkronkan ke tab Scan Configuration > Manage Whitelist > Sensitive File Whitelist, tempat Anda dapat melihat entri yang ditambahkan.

       • MD5: Karakter wildcard hanya mendukung equals. Kemudian, masukkan hash MD5 file tersebut.

       • Path: Karakter wildcard mendukung contains, starts with, and ends with. Kemudian, masukkan path spesifik.

     • Manually Handled: Jika Anda telah menangani risiko offline yang menyebabkan peringatan ini, Anda dapat menandai peringatan ini sebagai Manually Handled.

     • Mark as False Positive: Anda dapat menandai peringatan ini sebagai false positive. Security Center menggunakan umpan balik Anda untuk terus mengoptimalkan kemampuan pemindaian.

     • Ignore: Mengabaikan hanya peringatan saat ini. Jika masalah terdeteksi lagi dan sesuai dengan kebijakan deteksi, peringatan tetap akan dihasilkan.

Konfigurasikan daftar putih

1. Di halaman Agentless Detection, klik Scan Settings, lalu buka tab Manage Whitelist.

2. Berdasarkan jenis ancaman, klik Create Rule di bawah tab yang sesuai.

3. Konfigurasikan aturan daftar putih seperti dijelaskan di bawah.

   Penting

   Konfigurasi daftar putih berikut berlaku untuk semua aset.

   Vulnerability Whitelist

   • Vulnerability Type: Linux Software Vulnerability, Windows System Vulnerability, atau Application Vulnerability.

   • Vulnerability Name: Mengambil data kerentanan terbaru berdasarkan Vulnerability Type yang dipilih.

   Malicious Sample Whitelist

   • Alert Name: Secara default diatur ke ALL, yang menunjukkan bahwa aturan daftar putih berlaku untuk semua jenis peringatan dan tidak dapat dimodifikasi.

   • Whitelist Field: Nilai default adalah fileMd5, yang memasukkan hash MD5 file ke daftar putih. Bidang ini tidak dapat dimodifikasi.

   • Wildcard Character: Hanya Equals yang didukung.

   • Rule Content: Hash MD5 file tersebut.

   Baseline Whitelist

   • Check Item Type: Menentukan item pemeriksaan baseline yang akan diabaikan.

   • Check Item: Mengambil item pemeriksaan spesifik berdasarkan Check Item Type yang dipilih.

   Sensitive File Whitelist

   • Check Item for Sensitive Files: Tentukan item yang tidak perlu dipindai.

   • Configure Whitelist Conditions:

     Catatan

     Anda dapat mengonfigurasi beberapa aturan. Semua aturan digabungkan dengan logika AND. Artinya, peringatan ditambahkan ke daftar putih hanya jika memenuhi semua kondisi aturan.

     • MD5: Karakter wildcard hanya mendukung equals. Kemudian, masukkan hash MD5 file tersebut.

     • Path: Karakter wildcard mendukung contains, starts with, and ends with. Kemudian, masukkan path spesifik.

Hubungkan dan pindai aset multi-cloud

Anda dapat menggunakan fitur deteksi tanpa agen untuk menghubungkan Amazon Web Services (AWS) dan Azure di wilayah Outside Chinese Mainland. Langkah-langkahnya sebagai berikut:

Mulai digunakan

• Dampak kinerja: Proses pemindaian deteksi tanpa agen tidak mengonsumsi sumber daya pada server target.

• Kontrol biaya: Biaya untuk fitur deteksi tanpa agen terdiri dari biaya pemindaian dan biaya penyimpanan citra. Untuk mengontrol biaya, saat membuat tugas dan mengonfigurasi pengaturan Image Retention Duration, pilih opsi Retain Only At-risk Image. Anda juga dapat secara berkala menghapus snapshot yang tidak lagi diperlukan.

Kuota dan batasan

• Spesifikasi disk: Satu disk cloud mendukung maksimal 1 TiB. Maksimal 20.000.000 file dapat dipindai pada satu disk. File apa pun yang melebihi batas ini tidak akan dipindai.

• Batasan server: Setiap server mendukung pemindaian maksimal 15 disk cloud. Disk apa pun yang melebihi batas ini tidak akan dipindai.

• Retensi hasil: Hasil tugas deteksi hanya disimpan selama 30 hari dan secara otomatis dihapus setelah masa berlaku habis. Untuk beberapa pemindaian pada aset yang sama, sistem hanya menyimpan hasil pemindaian terbaru.

• Kemampuan remediasi: Fitur ini hanya mendukung deteksi dan peringatan. Fitur ini tidak menyediakan remediasi otomatis. Anda harus menangani item risiko berdasarkan instruksi di halaman detail risiko.

• Batasan file terkompresi: Untuk file terkompresi, hanya file JAR yang didukung untuk deteksi. Hanya lapisan pertama yang didekompresi untuk pemindaian.

• Batasan sistem file: ext2, ext3, ext4, XFS, dan NTFS didukung. Untuk NTFS, item pemeriksaan yang bergantung pada informasi izin file tidak didukung.

• Batasan penyimpanan dan disk:

  • Untuk Alibaba Cloud ECS, pemindaian disk sistem atau disk data yang dienkripsi tidak didukung.

  • Untuk semua host, termasuk host Alibaba Cloud dan non-Alibaba Cloud, pemindaian disk data yang menggunakan Logical Volume Management (LVM), array RAID, atau sistem file ReFS tidak didukung.

Penagihan

Biaya yang dihasilkan menggunakan fitur deteksi tanpa agen adalah sebagai berikut:

• Biaya pemindaian deteksi tanpa agen

  • Metode penagihan: Bayar sesuai pemakaian.

  • Siklus penagihan: Harian.

  • Harga satuan: USD 0,03/GB.

  • Penggunaan yang ditagih: Dihitung berdasarkan volume data aktual dari citra yang dipindai, bukan kapasitas disk total.

• Biaya penggunaan sumber daya ECS

  Penting

  Kami menyarankan agar saat mengonfigurasi tugas deteksi host, Anda memilih Retain Only At-risk Image. Sistem kemudian secara otomatis menghapus citra yang bebas risiko setelah pemindaian untuk mengurangi biaya penyimpanan. Untuk informasi lebih lanjut, lihat Konfigurasi periode retensi.

  • Biaya citra: Tugas deteksi membuat citra untuk server. Anda dikenai biaya untuk citra tersebut berdasarkan kapasitas penggunaan dan durasinya. Biaya ini dikenakan oleh ECS. Untuk informasi lebih lanjut, lihat Penagihan citra.

FAQ

• Apa perbedaan antara deteksi tanpa agen dan pemindaian virus?

  Item Perbandingan	Deteksi Tanpa Agen	Pemindaian Virus
  Mode kerja	Memindai snapshot offline, analisis statis	Pemantauan dan pemindaian real-time online, analisis dinamis + statis
  Status server	Server dengan deteksi startup dan shutdown	Hanya dapat memindai server yang sedang berjalan dengan agen online
  Cakupan deteksi	Kerentanan, baseline, sample berbahaya, file sensitif.	Virus, webshell, perilaku intrusif, kerentanan, dll.
  Kemampuan respons	Mendukung deteksi, peringatan, dan daftar putih. Tidak menyediakan remediasi.	Menyediakan kemampuan isolasi satu klik, karantina, dan remediasi.
  Dampak kinerja	Tidak ada.	Sedikit (agen mengonsumsi sejumlah kecil sumber daya sistem).
  Model penagihan	Bayar sesuai pemakaian (per GB yang dipindai)	Langganan (Edisi Anti-virus dan lebih tinggi) atau bayar sesuai pemakaian.
  Mode pemindaian	Mendukung pemindaian seluruh disk.	Mendukung pemindaian cepat dan pemindaian direktori kustom.

• Apakah deteksi tanpa agen dapat secara otomatis memperbaiki semua risiko?

  Tidak, tidak bisa. Fitur ini hanya mendukung operasi seperti deteksi, peringatan, daftar putih, dan pengabaian. Fitur ini tidak menyediakan remediasi otomatis. Anda harus menangani item risiko berdasarkan instruksi di halaman detail risiko.

  Catatan

  Kami menyarankan Anda memprioritaskan penanganan kerentanan dan malware berisiko tinggi. Optimasi baseline dapat diimplementasikan sesuai kebutuhan.

• Bagaimana cara menggunakan fitur deteksi lanjutan untuk server non-Alibaba Cloud?

  Saat ini, deteksi tanpa agen mendukung koneksi ke ECS Alibaba Cloud, EC2 AWS, dan server Azure.

  Penting

  • AWS dan Azure hanya didukung untuk deteksi di wilayah Outside Chinese Mainland. Untuk informasi lebih lanjut, lihat Akses dan deteksi aset multi-cloud.

  • Untuk server dari penyedia cloud lain atau di pusat data on-premises, kami menyarankan Anda menginstal agen Security Center dan membeli Edisi Anti-virus atau edisi yang lebih tinggi untuk mendapatkan perlindungan keamanan komprehensif. Untuk langkah-langkah spesifik, lihat Beli Security Center dan Instal agen.

• Mengapa beberapa peringatan deteksi tanpa agen tidak menampilkan alamat IP aset?

  Saat menggunakan deteksi tanpa agen, jika alamat IP aset kosong, kemungkinan alasannya adalah sebagai berikut:

  • Instans telah dilepas

    Saat instans yang sesuai dengan peringatan dilepas, Security Center tidak dapat lagi mengambil informasi IP instans tersebut karena instans tersebut tidak lagi ada.

  • Mekanisme pembersihan data

    Security Center mungkin membersihkan catatan instans yang telah dilepas, sehingga informasi terkait tidak tersedia.

Lampiran