Saat server diserang ransomware, program cryptomining, atau perangkat lunak berbahaya lainnya, operasi bisnis Anda dapat terganggu dan data berisiko hilang. Fitur deteksi dan penghapusan virus membantu Anda dengan cepat menemukan serta menghapus berbagai ancaman berbahaya melalui pemindaian mendalam dan pembersihan akurat, sehingga operasi normal dapat segera dipulihkan.
Ikhtisar
Fitur deteksi dan penghapusan virus mengintegrasikan mesin deteksi pembelajaran mesin Alibaba Cloud dan basis data signature virus real-time. Fitur ini memindai item startup persisten, proses aktif, modul kernel, dan direktori sensitif untuk mendeteksi serta melokalisasi jalur file virus, sehingga secara efektif mengidentifikasi dan menangani berbagai ancaman.
Kemampuan inti
Cakupan deteksi: Mencakup item pemindaian utama seperti proses, item startup, Tugas terjadwal, dan direktori sensitif.
Metode penanganan: Mendukung karantina otomatis, pemindaian mendalam dan penghapusan, manajemen daftar putih, serta tindakan remediasi lainnya.
Metode pemindaian: Mendukung pemindaian segera dan pemindaian berkala.
Kasus penggunaan
Pemeriksaan keamanan rutin: Melakukan inspeksi keamanan terjadwal dan pembersihan ancaman.
Tanggap darurat: Respons cepat dan forensik setelah insiden keamanan.
Penguatan kepatuhan: Memenuhi persyaratan audit kepatuhan dan memperkuat keamanan sistem.
Jenis virus dan item pemindaian yang didukung
Jenis virus: Ransomware, program cryptomining, trojan DDoS, trojan, backdoor, program berbahaya, program berisiko tinggi, cacing, program mencurigakan, dan trojan yang bermutasi sendiri.
Item pemindaian: Proses aktif, proses tersembunyi, proses Docker, modul kernel, program terinstal, pembajakan pustaka dinamis, layanan, Tugas terjadwal, item startup, dan direktori sensitif.
Cakupan penerapan
Langganan: Anti-virus, Advanced, Enterprise, atau Ultimate (Jika edisi saat ini tidak mendukung fitur ini, upgrade).
CatatanEdisi perlindungan server harus diatur sesuai edisi yang Anda beli. Untuk informasi selengkapnya, lihat Mengikat edisi perlindungan server.
Bayar sesuai penggunaan: Host and Container Security bayar sesuai penggunaan telah diaktifkan (Jika belum diaktifkan, beli).
CatatanTingkat perlindungan server harus diatur ke Antivirus, Comprehensive Host Protection, atau Host and Container Security. Untuk informasi selengkapnya, lihat Mengikat tingkat perlindungan server.
Memindai virus
Pemindaian virus mendukung dua metode: pemindaian segera dan pemindaian berkala.
Masuk ke Konsol
Login ke Konsol Security Center. Di panel navigasi sebelah kiri, pilih . Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.
Otorisasi layanan
Jika Anda menggunakan fitur ini untuk pertama kalinya, sistem mungkin akan meminta Anda untuk mengotorisasi peran terkait layanan untuk Security Center. Klik Authorize Now dan ikuti petunjuknya.
CatatanSetelah otorisasi, Security Center secara otomatis membuat peran terkait layanan
AliyunServiceRoleForSas. Untuk informasi selengkapnya, lihat peran terkait layanan untuk Security Center.Pilih metode pemindaian
Scan Now: Klik Scan Now (pemindaian pertama) atau Scan Now (jika tidak ada pemindaian dalam 7 hari terakhir) atau Scan Again untuk tugas pemindaian sementara atau mendesak.
Periodic Scan: Klik Scan Settings di pojok kanan atas untuk mengonfigurasi kebijakan pemindaian otomatis guna inspeksi rutin.
Konfigurasi parameter
Konfigurasikan parameter pemindaian seperti yang dijelaskan dalam tabel berikut, lalu klik OK atau Next untuk memulai tugas.
Parameter
Deskripsi
Scan Cycle
Konfigurasikan interval eksekusi dan jendela waktu untuk pemindaian berkala. Parameter ini hanya berlaku untuk tugas Scheduled Scan.
Scan Mode
Tentukan cakupan deteksi untuk tugas pemindaian.
Quick Scan: Secara otomatis mendeteksi proses aktif, item startup, direktori sensitif, dan item berisiko tinggi lainnya. Biasanya membutuhkan waktu sekitar 10 menit, tergantung pada kinerja server dan jumlah file.
Custom Directory Scan: Memindai direktori yang ditentukan. Masukkan beberapa jalur mutlak, dengan setiap jalur pada baris baru. Pemindaian direktori kustom atau pemindaian seluruh aset membutuhkan waktu jauh lebih lama, tergantung pada cakupan pemindaian dan jumlah file.
PentingSatu tugas memindai hingga 30.000 file. Melebihi batas ini dapat menyebabkan timeout atau beberapa file tidak dipindai.
Ukuran maksimum untuk satu file adalah 10 MB.
Memory Check
Mendeteksi kode berbahaya dalam file yang berada di memori dan proses tersembunyi.
CatatanFitur ini meningkatkan konsumsi sumber daya dan waktu pemindaian. Kami menyarankan mengaktifkannya selama jam sepi atau saat Anda mencurigai adanya ancaman tingkat lanjut.
Scan Scope
Tentukan aset target yang akan dipindai.
All Assets: Memindai semua server yang memenuhi persyaratan edisi.
By Asset: Tentukan aset individual.
By Group: Memindai semua aset dalam grup yang dipilih. Aset baru yang ditambahkan ke grup akan secara otomatis disertakan.
By VPC: Memindai semua aset dalam VPC yang dipilih. Aset baru yang ditambahkan ke VPC akan secara otomatis disertakan.
Lihat progres tugas
(Opsional) Virus Detection and Removal page, di pojok kanan atas, klik Task Management untuk melihat status dan progres tugas pemindaian Anda.
Jika status tugas tidak berubah dalam waktu lama, hal ini normal (durasi pemindaian tergantung pada jumlah server dan skala file). Tunggu hingga pemindaian selesai. Jangan berulang kali mengklik Immediate Scan untuk memulai tugas baru.
Jika progres tampak macet, periksa skenario umum berikut:
Progres macet di 0% dalam waktu lama: Biasanya disebabkan oleh tugas pemindaian besar atau penggunaan sumber daya tinggi pada server target. Kami menyarankan Anda bersabar, dan sementara itu pastikan aset sedang online, agen Security Center (
AliYunDun) di server berjalan normal, serta sumber daya CPU dan memori tidak habis.Progres macet di persentase tertentu (misalnya, 92%): Hal ini dapat terjadi ketika aset yang belum selesai dalam tugas dimatikan. Jika aset yang dimatikan tidak perlu dipindai, Anda dapat mengabaikan kemacetan tersebut — begitu server online lainnya selesai dipindai, tugas dianggap berhasil untuk server-server tersebut.
Saran optimalisasi: Jika satu tugas pemindaian berulang kali mengalami timeout atau macet, bagi pemindaian cakupan besar menjadi beberapa tugas Custom Directory Scan yang lebih kecil, dan prioritaskan pemindaian direktori berisiko tinggi seperti
/tmp,/var/tmp, dan/root. Pemindaian kustom menerima maksimal 20 baris jalur; jika Anda perlu memindai lebih banyak jalur, bagi ke beberapa tugas.
Menangani peringatan virus
Setelah pemindaian selesai, tangani peringatan virus yang terdeteksi segera untuk memastikan keamanan server.
Peringatan dari fitur ini disinkronkan dua arah dengan modul Security Alert. Tangani peringatan di salah satu modul tersebut.
Fitur deteksi dan penghapusan virus hanya digunakan untuk mendeteksi dan membersihkan file berbahaya. Setelah penghapusan virus, jika tidak ada risiko yang dikonfirmasi, biasanya tidak memicu pemblokiran. Jika Anda masih mengalami masalah akses setelah penghapusan, kami menyarankan memeriksa aturan security group, firewall internal server, dan penyebab potensial lainnya.
Daftar periksa pra-remediasi
Sebelum memilih metode respons, login ke server untuk memverifikasi file mencurigakan dan menilai dampak potensial terhadap layanan Anda.
Konfirmasi informasi file: Periksa jalur file, signature, dan hash untuk memverifikasi apakah file tersebut berbahaya. Hal ini mencegah penghapusan tidak sengaja terhadap file penting.
Periksa proses dan kepemilikan: Tentukan apakah file tersebut digunakan oleh layanan penting seperti
nginxataumysql.Nilai dampak bisnis: Konfirmasi apakah file tersebut merupakan bagian dari aplikasi bisnis dan apakah penghapusannya akan memengaruhi layanan yang sedang berjalan.
Pilih metode penanganan
Di daftar peringatan, temukan peringatan target dan klik Handle untuk memilih tindakan berdasarkan penilaian Anda. Klik panah di sebelah kiri peringatan untuk melihat detail seperti jalur file virus.
Detail yang diperluas juga mencakup Malicious File MD5 dan Process ID.
Metode penanganan | Kasus penggunaan |
Deep Cleanup | File dikonfirmasi berbahaya, terutama ancaman persisten seperti ransomware atau program cryptomining. |
Add to Whitelist | Peringatan adalah false positive yang dikonfirmasi dan ingin Anda tekan secara permanen. Peringatan Tidak ada peringatan baru yang dihasilkan untuk item dalam daftar putih. Gunakan dengan hati-hati. |
Ignore | Peringatan adalah false positive yang dikonfirmasi atau risiko yang dapat diterima, seperti pengujian penetrasi resmi atau aktivitas dalam jendela pemeliharaan. |
Manually Handled | Anda telah menghapus ancaman tersebut secara manual. |
Deep Cleanup (Direkomendasikan)
Deep Cleanup adalah kemampuan remediasi khusus yang dikembangkan oleh tim keamanan Security Center setelah analisis dan pengujian mendalam terhadap virus persisten dan membandel.
Proses:
Kill malicious processes: Menghentikan proses berbahaya yang sedang berjalan.
Quarantine malicious files: Memindahkan file virus ke karantina. Untuk memulihkan atau mengunduh file yang dikarantina, lihat Mengelola file yang dikarantina.
Remove persistence mechanisms: Menganalisis dan menghapus metode persistensi seperti cron job dan sumber unduhan berbahaya. Ditingkatkan dengan AI untuk terus meningkatkan deteksi.
Hasil:
Status update: Status peringatan berubah menjadi "Resolved".
Create snapshot: Jika Anda memilih Automatically Create Snapshot and Fix Risk, snapshot disk sistem server dibuat sebagai cadangan data.
Pembuatan dan penyimpanan snapshot dikenai biaya dari layanan snapshot (bayar sesuai penggunaan secara default). Untuk detail harga, lihat penagihan Snapshot atau hubungi manajer penjualan Anda.
Jika Anda memilih Skip Snapshot and Fix, Anda berisiko mengalami gangguan layanan jika file penting bisnis tidak sengaja dihapus. Anda tidak dapat memulihkannya dari snapshot.
Setelah pemindaian mendalam dan penghapusan, jika Security Center mengonfirmasi virus telah dieliminasi (misalnya, tidak ada aktivitas cryptomining atau proses berbahaya yang terdeteksi), sistem secara otomatis memperbarui status peringatan atau membatalkan peringatan aktif terkait. Kami menyarankan terus memantau server setelah pembersihan untuk memastikan ancaman tidak muncul kembali.
Add to Whitelist
Hasil:
Status update: Status peringatan saat ini diperbarui menjadi "Whitelisted".
Dampak selanjutnya: Jika jenis peringatan yang sama terjadi lagi, sistem tidak menghasilkan peringatan baru. Sebaliknya, hanya memperbarui waktu kejadian terakhir.
Pemberitahuan risiko:
Daftar putih menghapus file dari pemantauan keamanan. Gunakan dengan hati-hati. Untuk menghapus entri daftar putih, lihat Bagaimana cara menghapus item dari daftar putih?.
Ignore
Hasil:
Status update: Status peringatan saat ini diperbarui menjadi "Ignored".
Dampak selanjutnya: Tidak memengaruhi deteksi di masa depan. Jika ancaman yang sama muncul kembali, peringatan baru akan dihasilkan.
Pemberitahuan risiko:
"Ignore" adalah tindakan manajemen status peringatan dan tidak menyelesaikan masalah keamanan yang mendasarinya.
Hanya abaikan peringatan setelah mengonfirmasi bahwa itu false positive atau menerima risiko terkait, untuk menghindari melewatkan serangan nyata.
Manually Handled
Hasil:
Status update: Status peringatan saat ini diperbarui menjadi "Handled".
Dampak selanjutnya: Tidak memengaruhi deteksi di masa depan. Jika ancaman tetap ada, peringatan baru mungkin dihasilkan.
Pemberitahuan risiko:
"Manually Handled" adalah tindakan manajemen peringatan yang dapat Anda gunakan untuk menutup event keamanan.
Lengkapi semua remediasi dan penguatan sebelum menggunakan tindakan ini. Jika tidak, ancaman mungkin muncul kembali.
Mengelola file yang dikarantina
Untuk memulihkan atau mengunduh file berbahaya yang dikarantina oleh Deep Cleanup, perhatikan bahwa file tersebut disimpan hingga 30 hari. Setelah periode ini, sistem secara otomatis menghapusnya.
Di halaman Virus Detection and Removal, klik Quarantined Files di pojok kanan atas.
Temukan file target dan klik Restore atau Download di kolom Actions.
Restore: Mengembalikan file ke jalur aslinya. Gunakan hanya jika file dikarantina secara tidak sengaja.
Download: Mengunduh file ke komputer lokal Anda untuk analisis lebih lanjut.
Terapkan di produksi
Aktifkan notifikasi peringatan
Konfigurasikan notifikasi peringatan di halaman System Settings > Notification Settings untuk memberi tahu personel yang bertanggung jawab melalui email, SMS, atau DingTalk saat ancaman berisiko tinggi terdeteksi. Untuk informasi selengkapnya, lihat Pengaturan Notifikasi.
Di area konfigurasi notifikasi Security Alerts, lengkapi pengaturan berikut:
Notification Time: Pilih 24 Hours atau 8:00 - 20:00.
Concerned Level: Pilih Urgent, Suspicious, atau Notice sesuai kebutuhan.
Notification Method: Pilih SMS, Email, atau Internal Message sesuai kebutuhan.
Optimalisasi kinerja dan tanggap insiden
Optimalisasi kinerja:
Untuk server spesifikasi rendah (misalnya,
CPU 1-core dan memori 1 GB), jalankan Quick Scan selama jam sepi dan nonaktifkan Memory Check untuk mengurangi konsumsi sumber daya.Untuk pemindaian skala besar, jalankan secara batch atau kecualikan direktori log dan backup besar di Scan Settings untuk mengurangi waktu pemindaian.
Proses tanggap darurat:
Isolasi segera: Setelah mendeteksi ancaman berisiko tinggi, gunakan aturan security group untuk memblokir port abnormal atau membatasi akses hanya ke IP kantor Anda guna mencegah penyerang terus mengendalikan server.
Cadangan forensik: Buat snapshot untuk server dan cadangkan log penting seperti
/var/log/securedan/var/log/cron.Pemindaian dan penghapusan mendalam: Gunakan fitur Deep Scan and Removal di Security Center untuk menghapus proses berbahaya, webshell, dan mekanisme persistensi, termasuk Tugas terjadwal Crontab, kunci publik SSH
~/.ssh/authorized_keys, dan pembajakan pustaka dinamis.Remediasi kerentanan: Pindai dan perbaiki kerentanan sistem dan aplikasi. Ubah semua kata sandi lemah menjadi kata sandi kuat.
Penguatan keamanan: Aktifkan Malicious Host Behavior Prevention untuk intersepsi proaktif (lihat Malicious Host Behavior Prevention untuk detailnya). Batasi IP login remote dan buka hanya port yang diperlukan.
Pemantauan berkelanjutan: Terus pantau status server untuk memastikan ancaman tidak muncul kembali.
Tanggap darurat intrusi kata sandi lemah SSH
Jika server Anda disusupi karena kata sandi lemah SSH, kami menyarankan segera melakukan tindakan berikut:
Ubah kata sandi: Segera ubah kata sandi root menjadi kata sandi kompleks yang mencakup huruf besar dan kecil, angka, serta karakter khusus. Ubah secara berkala.
Periksa backdoor: Periksa proses abnormal, akun tidak dikenal, Tugas terjadwal mencurigakan, dan kunci publik SSH. Hapus jejak penyusupan.
Jika Anda menemukan file kunci publik SSH yang tidak dikenal di bawah pengguna root, seperti kunci publik tidak dikenal di
~/.ssh/authorized_keys, hal ini biasanya terkait dengan trojan cryptomining atau malware lain yang ditanamkan. Kami menyarankan melakukan tindakan berikut:Periksa kunci publik dalam file
~/.ssh/authorized_keysdan hapus kunci abnormal yang tidak Anda tambahkan.Gunakan fitur Deep Cleanup untuk memindai server dan memeriksa program berbahaya yang terkait dengan kunci abnormal tersebut.
Perkuat pemeriksaan baseline host dan penguatan keamanan untuk mencegah kunci abnormal ditanamkan kembali.
Menghapus kunci abnormal dan menjalankan pemindaian virus adalah dua langkah remediasi independen yang harus dilakukan secara terpisah. Jangan hanya mengandalkan pemindaian virus untuk menghapus kunci SSH abnormal.
Blokir penyerang: Blokir IP sumber penyerang di security group. Batasi akses SSH dan Remote Desktop hanya ke IP tepercaya.
Pembersihan lengkap: Jika Anda tidak dapat mengonfirmasi cakupan penyusupan, kami menyarankan mencadangkan data bisnis Anda, menginisialisasi ulang disk sistem, dan menerapkan ulang bisnis Anda. Di Konsol ECS, temukan instans yang sesuai, klik nama instans, dan pilih Initialize Disk dari All Operations di pojok kanan atas (instans harus dihentikan).
Remediasi akar penyebab:
Jika server berulang kali terinfeksi atau virus telah menembus jauh ke dalam sistem, ambil langkah-langkah berikut:
Cadangkan data bisnis Anda, lalu reset disk sistem. Di Konsol ECS, temukan instans yang sesuai dan pilih Initialize Disk dari All Operations (instans harus dihentikan).
PeringatanIni adalah operasi berisiko tinggi. Lakukan dengan hati-hati setelah penilaian komprehensif.
Sebelum menerapkan ulang bisnis Anda, lakukan penguatan keamanan terlebih dahulu (ubah kata sandi, tutup port yang tidak perlu, dan instal patch terbaru).
Buat kebijakan snapshot reguler untuk pemulihan cepat jika sistem dikompromikan.
Rekomendasi penguatan keamanan
Untuk melindungi server Anda dari serangan di masa depan, terapkan langkah-langkah penguatan berikut untuk meningkatkan kesulitan bagi penyerang.
Aktifkan Malicious Host Behavior Prevention
Aktifkan fitur ini di halaman Protection Configuration > Host Protection > Malicious Host Behavior Prevention. Fitur ini secara proaktif memblokir perilaku berbahaya virus umum termasuk trojan, ransomware, program cryptomining, dan trojan DDoS. Untuk informasi selengkapnya, lihat Malicious Host Behavior Prevention.
Penguatan keamanan server
Tingkatkan Edisi Security Center: Edisi Enterprise dan Ultimate mendukung fitur isolasi otomatis virus (yaitu, deteksi dan penghapusan virus otomatis), memberi Anda kemampuan pertahanan akurat dan mendukung lebih banyak item deteksi keamanan.
Perketat Kontrol Akses: Buka hanya port bisnis yang diperlukan (seperti 80 dan 443), dan konfigurasikan kebijakan akses daftar putih IP yang ketat untuk port manajemen (seperti 22 dan 3389) dan port database (seperti 3306).
CatatanUntuk server ECS Alibaba Cloud, lihat Mengelola security group untuk operasinya.
Tetapkan Kata Sandi Server yang Kompleks: Tetapkan kata sandi kompleks yang berisi huruf besar, huruf kecil, angka, dan simbol khusus untuk server dan aplikasi.
Perbarui Perangkat Lunak: Segera perbarui perangkat lunak aplikasi Anda ke versi resmi terbaru untuk menghindari penggunaan versi lama yang tidak lagi dipelihara atau memiliki kerentanan keamanan yang diketahui.
Cadangan Rutin: Buat kebijakan snapshot rutin untuk data penting dan disk sistem server.
CatatanUntuk server ECS Alibaba Cloud, lihat Buat kebijakan untuk operasinya.
Perbaiki Kerentanan Segera: Gunakan fitur Vulnerability Management Security Center secara rutin untuk segera memperbaiki kerentanan sistem dan aplikasi.
Reset Sistem Server (Gunakan dengan Hati-hati).
Jika penyusupan virus sangat dalam dan melibatkan komponen sistem dasar, sangat disarankan untuk mereset sistem server setelah mencadangkan data penting. Ikuti langkah-langkah berikut:
Buat snapshot untuk mencadangkan data penting di server. Untuk informasi selengkapnya, lihat Membuat snapshot tunggal secara manual.
Inisialisasi ulang sistem operasi server. Untuk informasi selengkapnya, lihat Menginisialisasi ulang disk sistem (reset OS).
Buat disk cloud dari snapshot. Untuk informasi selengkapnya, lihat Membuat disk data dari snapshot.
Pasang disk cloud ke server setelah menginstal ulang sistem. Untuk informasi selengkapnya, lihat Memasang disk data.
Kuota dan batasan
Batasan kemampuan perlindungan
Tidak ada perlindungan real-time: Tidak mendukung deteksi dan pemblokiran otomatis ancaman saat file dibuat, dimodifikasi, diakses, atau dieksekusi. Jika Anda memerlukan pertahanan proaktif, aktifkan "Host Protection Settings".
Tidak ada pelacakan virus: Tidak mendukung pelacakan sumber pasti virus (misalnya, perangkat lunak pihak ketiga yang memperkenalkan virus).
CatatanLokalisasi sumber unggah dengan memeriksa log akses web. Ambil jalur file dan waktu peringatan dari peringatan virus, lalu cari permintaan POST/PUT dalam log server (misalnya, Nginx) dalam rentang ±5 menit. Cocokkan jalur file untuk mengidentifikasi IP sumber. Atau, gunakan fitur Attack Tracing di Security Alert untuk investigasi lebih cepat.
Batasan pemindaian seluruh disk: Secara default, pemindaian hanya fokus pada area berisiko tinggi. Pemindaian seluruh disk semua file di server tidak didukung. Jika Anda memerlukan pemindaian seluruh disk, aktifkan Agentless detection.
Batasan pemindaian direktori kustom
Batasan jumlah file: Satu tugas memindai hingga 30.000 file. Melebihi batas ini dapat menyebabkan timeout atau beberapa file tidak dipindai.
Batasan ukuran file: Ukuran maksimum untuk satu file adalah 10 MB.
Batasan waktu eksekusi: Satu tugas timeout setelah 2 jam secara default. File yang melebihi batas ini dilewati.
Tutorial
FAQ
Pertanyaan tentang daftar putih dan abaikan
Bagaimana cara menghapus item dari daftar putih?
Modul Deteksi dan penghapusan virus tidak mendukung penghapusan item daftar putih. Buka , temukan peringatan yang telah ditangani, dan hapus dari daftar putih. Untuk informasi selengkapnya, lihat Menghapus peringatan dari daftar putih.
CatatanJika Anda membeli layanan Agentic SOC, pilih .
Apa perbedaan antara menambahkan ke daftar putih dan mengabaikan peringatan?
Item perbandingan
Add to Whitelist
Ignore
Kasus penggunaan
False positive yang dikonfirmasi, dan Anda ingin secara permanen berhenti menerima peringatan ini.
False positive sementara atau sporadis, atau risiko yang diketahui dan dapat diterima.
Cakupan dampak
Peringatan dengan karakteristik yang cocok (aset yang sama + jalur file yang sama + MD5 yang sama) tidak lagi dihasilkan. Hanya waktu kejadian terakhir yang diperbarui.
Hanya berlaku untuk peringatan saat ini. Jika ancaman yang sama muncul kembali, peringatan baru akan dihasilkan.
Dapat dibalik
Anda dapat membatalkan entri daftar putih di daftar yang telah ditangani di bawah Detection and Response > Alert.
Tidak perlu pembalikan. Mengabaikan peringatan tidak memengaruhi deteksi di masa depan; sistem terus memantau ancaman yang sama.
Pertanyaan deteksi virus dan penanganan peringatan
Apa perbedaan antara Deteksi dan penghapusan virus dan Security Alert?
Deteksi dan penghapusan virus adalah modul fitur yang berfokus pada mendeteksi dan menghapus file berbahaya, menyediakan kemampuan pemindaian mendalam dan remediasi khusus.
Security Alert adalah pusat peringatan terpadu yang mengkonsolidasikan semua event keamanan, termasuk virus, login tidak biasa, serangan jaringan, dan kerentanan.
CatatanPeringatan dari fitur ini disinkronkan dua arah dengan modul Security Alert. Tangani peringatan di salah satu modul tersebut.
Fitur deteksi dan penghapusan virus hanya digunakan untuk mendeteksi dan membersihkan file berbahaya. Setelah penghapusan virus, jika tidak ada risiko yang dikonfirmasi, biasanya tidak memicu pemblokiran. Jika Anda masih mengalami masalah akses setelah penghapusan, kami menyarankan memeriksa aturan security group, firewall internal server, dan penyebab potensial lainnya.
Mengapa virus muncul kembali setelah remediasi?
Penyebab umum:
Akar penyebab tidak diselesaikan: Kata sandi lemah atau kerentanan yang belum diperbaiki memungkinkan penyerang mendapatkan akses kembali.
Pembersihan tidak lengkap: Backdoor tersembunyi atau mekanisme persistensi tidak sepenuhnya dihapus.
Sumber data terkontaminasi: Data yang dipulihkan dari backup atau image yang terinfeksi.
Solusi:
Ikuti rekomendasi penguatan keamanan untuk memperkuat postur keamanan Anda.
Setelah remediasi, restart server dan aplikasinya untuk menghentikan proses berbahaya yang tersisa di memori.
PeringatanMerestart server menyebabkan gangguan layanan singkat. Situs web, aplikasi, dan layanan dependen menjadi tidak dapat diakses. Lakukan operasi ini selama jam sepi.
Beberapa aplikasi mungkin memerlukan restart manual jika tidak dikonfigurasi untuk auto-start atau bergantung pada variabel lingkungan tertentu. Evaluasi rencana restart terlebih dahulu, terutama untuk layanan seperti antrian pesan.
Bagaimana cara menangani beberapa peringatan sekaligus?
Peringatan virus yang dihasilkan oleh modul mendukung penanganan batch.
Di halaman Deteksi dan penghapusan virus, pilih peringatan yang ingin Anda tangani dengan mengklik kotak centang di sebelah kiri.
Di pojok kiri bawah, klik tombol Batch Handle dan pilih metode respons yang sesuai.
Modul mendukung daftar putih batch dan pengabaian batch.
Di halaman Security Alert, pilih peringatan yang ingin Anda tangani dengan mengklik kotak centang di sebelah kiri.
Di pojok kiri bawah, klik Ignore This Time atau Add to Whitelist.
Apa yang harus saya lakukan jika peringatan menunjukkan bahwa file tidak ada?
Virus mungkin telah dihapus dengan metode lain atau menghapus jejaknya sendiri. Klik "Ignore" atau "Manually Handled" untuk mengabaikan peringatan tersebut.
Mengapa peringatan virus terus dikirim setelah virus dihapus?
Security Center menyimpan catatan ancaman historis (periode retensi sekitar 1 tahun). Bahkan jika file virus telah dihapus, catatan peringatan historis tetap ada. Jika Anda tidak melakukan tindakan seperti "Ignore" atau "Manually Handled" pada peringatan tersebut, sistem mungkin terus mengirim notifikasi.
Solusi:
Setelah mengonfirmasi virus telah dihapus, lakukan Ignore atau Manually Handled pada peringatan terkait di daftar peringatan.
Jika Anda masih menerima peringatan login abnormal untuk IP lama setelah mengubah IP publik, konfirmasi bahwa waktu peringatan sebelum perubahan IP. Anda dapat mengabaikannya dengan aman dan menyinkronkan informasi aset terbaru.
Bagaimana cara memecahkan masalah perintah berbahaya yang dieksekusi melalui database?
Fitur anti-virus scanning di Security Center terutama mendeteksi file berbahaya, proses, dan mekanisme persistensi di lapisan host server. Pemindaian virus yang tidak menemukan kelainan tidak berarti tidak ada risiko keamanan di lapisan database, tempat perintah berbahaya mungkin dieksekusi.
Kami menyarankan Anda memeriksa apakah database memiliki kata sandi lemah dan segera memperkuatnya. Jika database menyediakan layanan eksternal melalui aplikasi web, kami menyarankan menggunakan Web Application Firewall (WAF) untuk memperkuat perlindungan terhadap serangan lapisan aplikasi.
Mengapa event kontrol keamanan tidak segera dihapus setelah remediasi virus?
Setelah Anda menggunakan fitur anti-virus scanning di Security Center untuk menghapus anomali server dan mengubah kata sandi server, event kontrol keamanan tidak segera dihapus.
Lanjutkan memantau server dan notifikasi terkait. Jika Anda tidak lagi menerima notifikasi terkait event kontrol keamanan tersebut, Anda dapat menganggapnya telah ditangani.
Mengapa peringatan lama masih muncul setelah saya menginstal ulang sistem operasi?
Setelah Anda menginstal ulang sistem operasi, Security Center mungkin menyimpan hasil pemindaian sebelumnya dan catatan peringatan. Untuk mendapatkan status keamanan terbaru dan menghapus peringatan lama, picu pemindaian secara manual dengan mengklik Immediate Scan atau Rescan. Setelah pemindaian selesai, sistem memperbarui hasil deteksi berdasarkan lingkungan sistem baru. Peringatan lama yang tidak aktif dibersihkan atau statusnya diperbarui.
Bagaimana cara memecahkan masalah backdoor persisten (virus terus muncul kembali atau tidak dapat dihapus)?
Jika virus terus muncul kembali atau tidak dapat dihapus sepenuhnya, kemungkinan ada backdoor persisten. Kami menyarankan memeriksa item berikut satu per satu:
Tugas terjadwal: Periksa crontab (Linux) atau Task Scheduler (Windows) untuk mengonfirmasi apakah ada Tugas terjadwal mencurigakan.
Item startup: Periksa item startup (Linux: /etc/init.d/, layanan systemd; Windows: item startup registri) untuk mengonfirmasi apakah ada program mencurigakan.
Kunci publik SSH: Periksa file
~/.ssh/authorized_keysuntuk mengonfirmasi apakah ada kunci publik SSH yang tidak dikenal.
Apakah deteksi dan penghapusan virus mendukung aplikasi seluler Alibaba Cloud?
Tidak. Fitur deteksi dan penghapusan virus serta penanganan peringatan keamanan hanya tersedia melalui Konsol Web Security Center. Aplikasi seluler Alibaba Cloud tidak mendukung deteksi virus, penghapusan, atau penanganan peringatan.
Apa itu peringatan Rootkit, dan bagaimana cara memverifikasi bahwa peringatan tersebut telah diselesaikan?
Peringatan Rootkit dipicu ketika Security Center mendeteksi program berbahaya di host. Ini tidak terkait dengan fitur anti-ransomware — perlakukan sebagai deteksi program berbahaya terpisah, bukan event terkait ransomware.
Untuk memverifikasi bahwa program berbahaya telah dihapus setelah Anda menangani peringatan Rootkit, login ke Konsol Security Center, buka , dan jalankan pemindaian pada server yang terpengaruh. Jika pemindaian tidak lagi mendeteksi file abnormal, penghapusan berhasil.
Pertanyaan pemindaian dan eksekusi tugas
Apa yang harus saya lakukan jika tugas pemindaian gagal atau timeout?
Timeout tugas: Biasanya disebabkan oleh direktori pemindaian kustom yang terlalu besar. Solusi:
Bagi pemindaian besar menjadi beberapa tugas Custom Directory Scan yang menargetkan direktori berisiko tinggi seperti
/tmp,/var/tmp, dan/root.Kecualikan direktori log atau data besar dalam konfigurasi pemindaian.
Jalankan pemindaian selama jam sepi.
Kegagalan tugas:
Periksa status agen: Verifikasi bahwa agen Security Center (
AliYunDun) sedang berjalan dan online.Periksa konektivitas jaringan: Uji apakah server dapat mencapai titik akhir Security Center.
Periksa sumber daya sistem: Pastikan
/tmpmemiliki ruang disk kosong minimal 1 GB dan CPU serta memori tidak habis.Lihat log agen: Jalur log di server Linux adalah
/usr/local/aegis/aegis_client/aegis_10_*/log/aegis.log.
Apa yang harus saya lakukan jika remediasi virus gagal?
Segarkan halaman dan coba lagi. Jika masih gagal, klik "Manually Handled" dan hapus file secara manual. Jika penghapusan gagal dengan "Operation not permitted", file tersebut mungkin memiliki atribut
i(immutable). Jalankanchattr -i <file>untuk menghapusnya, lalu hapus file tersebut.
Pertanyaan kompatibilitas sistem dan konfigurasi alat
Di mana saya dapat memeriksa versi basis data signature virus?
Lihat waktu pembaruan basis data signature virus di halaman Ikhtisar. Basis data signature virus berbasis cloud diperbarui secara otomatis real-time; tidak diperlukan tindakan manual.
Sisi kanan halaman Overview juga menampilkan Cloud Scan Time (Latest Time).
Mengapa halaman deteksi dan penghapusan virus kadang menampilkan halaman error (tidak ada tombol rescan)?
Hal ini biasanya disebabkan oleh izin akun RAM yang tidak mencukupi. Jika Anda menggunakan fitur ini untuk pertama kalinya, sistem mungkin akan meminta Anda untuk mengotorisasi peran terkait layanan untuk Security Center. Klik Authorize Now (tombol otorisasi biru) di halaman untuk menyelesaikan otorisasi dan menggunakan fitur secara normal.
Jika Anda telah mengotorisasi tetapi masih melihat halaman error, konfirmasi bahwa akun RAM saat ini memiliki izin akses penuh untuk Security Center. Jika perlu, hubungi administrator akun utama untuk memberikan izin yang diperlukan.
Dapatkah saya menginstal perangkat lunak antivirus pihak ketiga (360/Huorong)?
Ya, tetapi masalah kompatibilitas mungkin terjadi. Kami menyarankan menambahkan proses dan direktori agen Security Center (lihat Proses agen Security Center) ke daftar putih perangkat lunak pihak ketiga untuk mencegah false positive.
Untuk server Windows yang terus-menerus menerima peringatan virus, kami menyarankan menggunakan perangkat lunak antivirus pihak ketiga untuk pemindaian seluruh disk sebagai metode pemecahan masalah tambahan. Kami merekomendasikan 360 Antivirus Speed Edition atau Huorong Antivirus untuk pemindaian penuh. Kami juga menyarankan memeriksa konfigurasi firewall internal server (seperti Windows Firewall, iptables, atau firewalld) untuk mengesampingkan masalah akses yang disebabkan oleh aturan firewall.
Apa yang harus saya lakukan jika halaman tidak merespons setelah saya mengklik Authorize Now?
Jika halaman terus berputar atau tidak merespons setelah Anda mengklik Authorize Now, hal ini mungkin disebabkan oleh fluktuasi jaringan atau cache browser. Kami menyarankan menyegarkan halaman dan masuk kembali ke konsol Virus Detection and Removal untuk memeriksa status otorisasi. Jika masih gagal, coba bersihkan cache browser, gunakan mode penyamaran (private browsing), atau ganti browser lain.
Apa yang harus saya lakukan jika halaman Deteksi dan Penghapusan Virus menunjukkan 0 aset atau menunjukkan bahwa tidak ada edisi berbayar yang diikat?
Jika halaman Virus Detection and Removal menunjukkan 0 aset atau menunjukkan bahwa tidak ada edisi berbayar yang diikat, pecahkan masalah sebagai berikut:
Konfigurasi Perlindungan: Pastikan server target diikat ke versi atau tingkat perlindungan berbayar. Untuk informasi selengkapnya, lihat Mengelola server.
Langganan: Anti-virus atau lebih tinggi. Untuk langkah-langkah detail, lihat Mengonfigurasi edisi atau tingkat perlindungan.
Bayar Sesuai Penggunaan: Antivirus atau lebih tinggi. Untuk langkah-langkah detail, lihat Mengonfigurasi edisi atau tingkat perlindungan.
Periksa status agen: Pastikan agen Security Center di server target sedang online dan versinya normal. Jika agen offline, instal ulang atau restart agen.
Apa yang harus saya lakukan jika hanya opsi "Add to Whitelist" dan "Ignore" yang tersedia saat menangani peringatan?
Beberapa peringatan mungkin hanya menampilkan opsi "Add to Whitelist" dan "Ignore", tanpa opsi "Kill Process" dan "Virus Detection and Removal". Hal ini biasanya karena proses berbahaya masih berjalan dan sistem tidak dapat menanganinya secara langsung.
Solusi: Pertama pilih "Kill Process" (jika tersedia), lalu segarkan halaman dan coba lagi untuk mendapatkan rangkaian opsi penanganan lengkap. Jika hal ini tidak menyelesaikan masalah, rujuk langkah pemecahan masalah "remediasi virus gagal" di atas untuk menanganinya secara manual, lalu klik "Manually Handled".