Cara menangani peringatan keamanan - Security Center - Alibaba Cloud Documentation Center

Security Center menghasilkan peringatan keamanan saat mendeteksi intrusi, malware, atau perilaku tidak biasa pada aset Anda. Penanganan peringatan yang tepat waktu dan tepat sangat penting untuk menjaga stabilitas bisnis dan keamanan data. Topik ini menjelaskan cara mengikuti proses respons darurat untuk segera menilai risiko, menghilangkan ancaman, dan memperkuat sistem.

Penilaian penanganan peringatan keamanan

Sebelum menangani insiden keamanan, nilai dampak peringatan, analisis serangan, dan identifikasi false positive untuk menghindari gangguan pada operasi normal. Gunakan halaman detail peringatan untuk mengumpulkan informasi guna mendukung penilaian Anda.

Lihat detail peringatan

Login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alerts.
Catatan
Jika Anda telah mengaktifkan Agentic SOC, di panel navigasi kiri, pilih Agentic SOC > Alerts.
Di halaman Alert, tab CWPP, temukan peringatan target, lalu klik kolom Actions → Details untuk membuka halaman detail peringatan guna melihat informasi lengkap.
- Anda dapat mengonfigurasi pemberitahuan peringatan melalui System Configuration > Notification Settings. Gunakan informasi peringatan, seperti nama peringatan, untuk menemukan peringatan yang dituju dengan cepat.
- Edisi Ultimate mendukung penyaringan peringatan berdasarkan jenis aset. Di atas daftar peringatan, klik All, Host, Container, K8s, atau Cloud Service untuk melihat peringatan sesuai jenis aset tersebut.
- Security Center telah menambahkan mesin deteksi berbasis large model yang secara cerdas dapat mengidentifikasi file berbahaya. Anda dapat mengatur kondisi filter ke AI Detected (atur nilai filter ke is) untuk melihat peringatan hasil deteksi AI. Untuk informasi lebih lanjut, lihat Peringatan file berbahaya hasil deteksi AI.

Catatan

Catatan peringatan historis disimpan selama sekitar satu tahun. Peringatan yang melebihi periode retensi akan ditampilkan dengan status Expired data.

Analisis detail peringatan

Anda dapat menggunakan pelacakan serangan peringatan,Description untuk memperoleh bukti peringatan, jumlah kejadian, dan kemungkinan penyebabnya. Gunakan informasi ini untuk menentukan apakah peringatan merupakan false positive dan menyusun rencana penanganan. Nama domain dalam peringatan lalu lintas jaringan berasal dari identifikasi trafik dan mungkin bukan aset aktual Anda.

Deskripsi bidang peringatan

Waktu peringatan: Halaman detail peringatan berisi beberapa bidang waktu. Penjelasan:
- First detection time: Waktu pertama kali peringatan dideteksi oleh Security Center.
- Latest detection time: Waktu terakhir peringatan terdeteksi. Jika proses atau file yang sama memicu peringatan berkali-kali, waktu ini terus diperbarui.
- Alert report time: Waktu ketika klien melaporkan data peringatan ke cloud.
Basic Information: Nama Peringatan, Urgensi, ID Peringatan, Jenis Peringatan, Status, Tahap Serangan, Mode Deteksi.
Affected Asset: Menampilkan informasi aset seperti IP publik yang terdampak oleh peringatan ini.
Catatan
Detail peringatan defense presisi tidak menampilkan IP sumber permintaan.Asset at risk menampilkan alamat IP publik dan pribadi dari aset yang terdampak, bukan IP sumber permintaan. Untuk menyelidiki IP sumber, periksa log DNS server (lihat bagian Investigasi log lokal).
Description: Deskripsi, Saran penanganan.
More Information: Sebagai contoh pada peringatan skrip berbahaya, area More information menampilkan informasi tentang file terkait peringatan, termasuk bidang-bidang berikut:
- Malicious script path: Jalur penyimpanan asli file pada instance ECS, misalnya /tmp/.test_alert.sh.
- Malicious script tag: Tag risiko file terkait peringatan, seperti Reverse Shell.
- File MD5: Nilai MD5 file terkait peringatan.
- Source file download: Mengarah ke bucket yang dihosting oleh Security Center (misalnya sas-file-general-26). Tautan unduh hanya untuk pengunduhan sementara file asli. Untuk lokasi penyimpanan asli, lihat bidang Malicious script path.
- Sample download: Untuk peringatan berbasis file seperti skrip berbahaya dan webshell, Anda dapat membuka halaman detail peringatan, masuk ke area More information, lalu klik tautan Source file download untuk memperoleh sampel file berbahaya guna analisis lokal.
- Process PID: Untuk peringatan yang berisi informasi proses, buka halaman detail peringatan, area More information atau tampilan process tree untuk memeriksa PID proses yang terinfeksi guna investigasi manual di server.
- Affected asset: Di halaman detail peringatan, area Asset at risk untuk langsung melihat ID instance ECS dan detail server dari aset yang terdampak guna mengonfirmasi aset mana yang perlu diselidiki.
- No other associated security events: Saat halaman menampilkan No other associated security events, hanya peringatan ini yang terdeteksi dan konteks rantai serangan belum tersedia. Periksa log sistem dan log keamanan lokal di server untuk menyelidiki sumber peringatan.

Pelacakan serangan

Security Center menyediakan pelacakan serangan otomatis yang mengintegrasikan log dari berbagai layanan cloud. Melalui analisis data besar, fitur ini menghasilkan diagram visual jalur intrusi beserta pratinjau data mentah. Fitur ini membantu mengidentifikasi penyebab intrusi secara cepat dan menyusun strategi darurat untuk intrusi web, insiden cacing, ransomware, dan koneksi unduhan berbahaya di lingkungan cloud.

Kemampuan:
- Hanya server yang terikat otorisasi Enterprise、Ultimate atau paket perlindungan Comprehensive Host Protection、Hosts and Container Protection yang mendukung fitur ini.
- Security Center menghasilkan jalur pelacakan serangan otomatis dalam waktu 10 menit setelah mendeteksi ancaman. Disarankan menunggu minimal 10 menit setelah peringatan muncul sebelum melihat informasi pelacakan serangan.
- Informasi pelacakan serangan otomatis dihapus secara otomatis 3 bulan setelah peringatan dipicu. Tinjau informasi pelacakan serangan segera.
Contoh penilaian：
- Di area pelacakan pada halaman detail,Periksa apakah rantai serangan lengkap dan valid. Semakin lengkap jalur serangan, semakin mendesak peringatan tersebut untuk ditangani. Rujuk deskripsi berikut untuk Menentukan apakah jalur tersebut valid:
  - Jalur tidak valid: Hasil pelacakan hanya menunjukkan perilaku pemindaian atau probing titik tunggal (seperti pemindaian port terisolasi atau upaya eksploitasi gagal) tanpa tindakan lanjutan (tidak ada koneksi yang terbentuk, tidak ada perintah dieksekusi, tidak ada file berbahaya diunduh).
  - Jalur valid: Diagram pelacakan menunjukkan jalur intrusi yang jelas (contohnya:Exploit → Webshell upload → Internal network probing → Malicious file download → Lateral movement）。
- Klik sebuah node di diagram pelacakan. Di area detail node di sisi kiri,Periksa apakah target serangan telah tercapai. Contohnya:
  - Periksa perilaku endpoint: Penyerang mengeksekusi perintah di server (seperti whoami、net user）。
  - Periksa kebocoran data: Koneksi keluar tidak biasa (ke pool penambangan atau server C2) atau pembacaan/pengunggahan file sensitif.
  - Periksa jejak persistensi: Akun backdoor, tugas terjadwal, atau layanan berbahaya telah dibuat.
- Klik sebuah node di diagram pelacakan. Di area detail node di sisi kiri, lihat Apakah log mentah dapat diverifikasi (seperti catatan pemblokiran WAF, log pembuatan proses host, dan log koneksi jaringan).
  - Dapat diverifikasi: log dasar tersedia (seperti catatan pemblokiran WAF atau log proses host dari eksekusi perintah berbahaya) yang membuktikan serangan terjadi. Jika diblokir, tandai sebagai Handled. Jika tidak diblokir, segera tangani.
  - Tidak dapat diverifikasi: Tidak ada log yang mendukung temuan (log mungkin telah dihapus atau deteksi dilewati). Skenario ini memerlukan kewaspadaan tinggi dan mungkin menunjukkan jejak serangan tingkat lanjut.

Deteksi sandbox

Security Center menyediakan deteksi sandbox yang menjalankan file dalam lingkungan aman dan terisolasi untuk menganalisis data perilaku file statis dan dinamis. Fitur ini menjalankan aplikasi mencurigakan secara aman dan mendeteksi perilaku file mencurigakan. Gunakan hasil deteksi sandbox untuk menangani program berbahaya saat peringatan dihasilkan.

Catatan

Fitur deteksi sandbox hanya tersedia untuk beberapa peringatan malware. Periksa ketersediaannya di halaman aktual.

Di halaman Alerts, temukan peringatan target lalu klik kolom Actions dan klik Details.
Di area Sandbox untuk melihat hasil deteksi sandbox.

Contoh penilaian：

Bagian atas halaman hasil deteksi sandbox menampilkan informasi file (nama file, tag ancaman, nilai hash SHA1/MD5/SHA256). Di bawahnya terdapat lima tab:Behavior tags、Process details、Network behavior、File behavior、ATT&CK matrix. Tampilan ATT&CK matrix dibagi menjadi 12 kolom berdasarkan tahap serangan (Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact). Setiap kolom menampilkan kartu teknik serangan dan jumlah hit. Angka merah menunjukkan tahap berisiko tinggi.

Behavior Tag: Memberi label fitur pada file intrusi untuk menandai operasi berisiko tinggi akibat file intrusi tersebut (merah menunjukkan perilaku intrusi paling mencurigakan).
ATT&CK Matrix: Menampilkan alur proses deteksi sandbox dan menandai operasi berisiko tinggi akibat file intrusi (merah menunjukkan perilaku intrusi paling mencurigakan).

Referensi cepat penanganan peringatan

Penting

Setelah memverifikasi informasi peringatan, jika Anda menentukan bahwa itu adalah perilaku normal atau tidak perlu ditangani, Anda dapat memilihIgnoreatauAdd to Whitelistuntuk menangani peringatan keamanan.
Peringatan keamanan hanya menunjukkan risiko keamanan dan tidak memblokir domain atau layanan.
Untuk ancaman virus bandel atau peringatan berulang, setelah penanganan di konsol, rujukPenguatan Keamanan dan Pencegahan Seranganuntuk memperkuat keamanan.

Jenis peringatan	Nama peringatan	Metode penanganan yang direkomendasikan
Malware	Mining program	Virus Detection and Removal
	DDoS trojan
	Trojan program
	Malicious program
	Exploit program
	Suspicious PowerShell command
	Backdoor program
	Reverse Shell backdoor
	File-infecting virus	Deep Cleanup
Unusual logon	Logon from a malicious IP address	Block
	Successful brute-force attack on ECS
	Logon to ECS with an unusual account
	Logon to ECS from an unusual location
	Backdoor account logon
Webshell	Backdoor (Webshell) file found	Quarantine
	Log/image files containing WEBSHELL code
	Webshell or hotlinking backdoor file found
	Arbitrary file write backdoor found
Process abnormal behavior	Java application executing abnormal commands	Terminate Process
	Suspicious process path
	Network proxy forwarding behavior
	Suspicious PowerShell command
	Persistent backdoor creation behavior
	SSH backdoor
	Suspicious encoded command
	Suspicious command execution
Malicious script	Malicious script code execution	Terminate Process
Precision defense	Anti-security software	Deep Cleanup
Precision defense	Suspicious file upload through API	Troubleshooting
Cloud product threat detection	RAM sub-account logon from an unusual location	Ganti password akun atauBatasi akses berdasarkan alamat IP。 Ubah status peringatan menjadiManually Handled。
	Hacker tools using AccessKey	Peringatan tingkat AK termasuk dalam deteksi ancaman produk cloud dan tidak secara langsung terkait dengan instance ECS. Informasi entitas dalam detail peringatan tidak mencakup instance server. Untuk menemukan server yang terdampak, kueri AccessKey ID untuk melihat catatan panggilan AccessKey dan lacak aset terdampak menggunakan IP panggilan dalam detail peringatan. Untuk prosedur kueri, lihatDeteksi kebocoran AccessKey。 Hapus atau nonaktifkan AccessKey Pengguna RAM tersebut. Ubah status peringatan menjadiManually Handled。
	Abnormal role permission enumeration behavior	Login dengan akun administrator RAMKonsol RAM， Ubah izin Pengguna RAM. Ubah status peringatan menjadiManually Handled。
	RAM user logs on to the console to perform sensitive operations
Lainnya	Security Center agent is abnormally offline	Troubleshooting

Tangani peringatan secara manual

Penting

Jika Anda menggunakan fiturPenanganan insiden keamanan untuk menangani insiden yang diagregasi dari peringatan Security Center, Security Center secara otomatis memperbarui status peringatan terkait di tab CWPP. Anda tidak perlu memperbarui status peringatan secara manual.

Sebelum memulai

Buat cadangan snapshot: Sebelum menangani peringatan keamanan, disarankan membuat cadangan snapshot untuk server guna mencegah dampak pada bisnis atau kehilangan data. Buat snapshot di Konsol ECS. Untuk informasi lebih lanjut, lihatBuat kebijakan.
Investigasi sisi server: Anda dapat login ke server dan menggunakan alat baris perintah untuk menyelidiki proses mencurigakan. Perintah umum:
- Server Linux: Gunakan ps aux | grep <suspicious process name> untuk memeriksa apakah proses mencurigakan masih berjalan.
- Server Linux：Gunakan lsof -p <process PID> untuk melihat file yang dibuka oleh proses dan koneksi jaringan.
- Server Windows: Anda dapat menggunakan Task Manager atau login ke server melalui VNC konsol untuk melihat informasi proses. Proses abnormal biasanya berada di direktori seperti C:\Users\Administrator\AppData\Local. Konfirmasi apakah proses tersebut diperlukan oleh bisnis Anda sebelum menghapusnya.
Batasan edisi berbayar: Penanganan peringatan (karantina file, pemblokiran IP, daftar putih, dll.) memerlukan edisi Security Center berbayar. Jika Anda menggunakan edisi gratis atau otorisasi Anda telah kedaluwarsa, Anda tidak dapat menangani peringatan langsung di konsol. Anda perluMembeli Security CenterEdisi Anti-Virus atau yang lebih tinggi.

Pilih metode penanganan

Metode penanganan dapat dibagi menjadi kategori berikut:

Penghapusan ancaman: Langsung menghapus dan memblokir ancaman keamanan yang diketahui, memperbaiki infeksi, mencegah serangan baru, memblokir sumber ancaman, dan melindungi keamanan aset.
Penekanan peringatan: Digunakan untuk menangani false positive atau risiko yang dapat diterima. Tandai peringatan sebagai tidak valid melalui daftar putih atau pengabaian, serta kendalikan apakah peringatan berikutnya akan dihasilkan.
Troubleshooting: Memecahkan masalah anomali klien Security Center untuk diagnosis bantuan.

Penghapusan ancaman

Kasus penggunaan
- Konfirmasi aktivitas berbahaya: Saat Security Center mendeteksi proses berbahaya yang sedang berjalan seperti virus, trojan, atau ransomware yang perlu segera diblokir.
- Kebutuhan respons darurat: Perlu segera menghentikan penyebaran virus atau risiko kebocoran data untuk mencegah ancaman menyebar ke server lain.
Sebelum memulai
Pemindaian virus dapat menyebabkan risiko gangguan layanan. Untuk menghindari dampak pada bisnis normal, periksa file sumber sebelum penanganan. Titik pemeriksaan umum meliputi:
- Verifikasi properti file: Konfirmasi apakah file tersebut virus dengan memeriksa jalur file, tanda tangan, dan nilai hash (hindari menghapus file sistem/bisnis secara tidak sengaja).
- Penilaian ketergantungan bisnis: Periksa apakah file tersebut dipanggil oleh layanan kritis (seperti komponen terkait nginx、mysql）。
Cara kerja
- Segera hentikan proses virus dan pindahkan file virus ke karantina. Setelah dikarantina, file tidak dapat dieksekusi, diakses, atau disebarluaskan.
  Peringatan
  - Menghentikan proses dapat menyebabkan anomali layanan yang bergantung padanya (misalnya, virus menyamar sebagai proses sah).
  - Jika file yang dikarantina adalah file bisnis yang terinfeksi kode berbahaya (seperti komponen aplikasi inti), karantina dapat menyebabkan gangguan layanan.
- File yang dikarantina dapat dipulihkan dalam waktu 30 hari. File yang dipulihkan akan muncul kembali di daftar peringatan dan Security Center terus memantaunya. Untuk pemulihan, lihatMelihat dan memulihkan file yang dikarantina.
  Catatan
  File yang tidak dipulihkan dalam waktu 30 hari akan dihapus secara otomatis dan tidak dapat dipulihkan.
Langkah selanjutnya
Tinjau karantina secara berkala: Konfirmasi properti file dalam waktu 30 hari untuk menghindari penghapusan permanen. Untuk melihat file yang dikarantina, lihatMelihat dan memulihkan file yang dikarantina.

Deep Cleanup adalah kemampuan penghapusan khusus yang dikembangkan oleh tim ahli keamanan Security Center setelah analisis dan pengujian mendalam terhadap virus bandel dan persisten ini.

Kasus penggunaan
Pemindaian mendalam ditujukan untuk solusi khusus terhadap Virus yang persisten dan menginfeksi file. Karakteristik virus jenis ini:
- Menginfeksi file host: Virus menyuntikkan dirinya ke file sistem, file aplikasi, atau dokumen pribadi, sehingga menjadi bagian dari virus tersebut.
- Sulit diberantas: Pemindaian virus standar hanya menghapus badan utama virus tetapi tidak dapat memperbaiki file yang terinfeksi, menyebabkan masalah berulang.
Catatan
Jika virus bukan jenis ini, gunakan fitur Virus Scan standar terlebih dahulu.
Sebelum memulai
Deep Cleanup dapat menyebabkan Risiko penghapusan file tidak sengaja, gangguan layanan, dan risiko integritas data. Untuk menghindari dampak pada bisnis normal, periksa file sumber sebelum penanganan. Titik pemeriksaan umum meliputi:
- Verifikasi properti file: Konfirmasi apakah file tersebut virus dengan memeriksa jalur, tanda tangan, dan hash (hindari menghapus file sistem/bisnis).
- Penilaian ketergantungan bisnis: Periksa apakah file tersebut dipanggil oleh layanan kritis (seperti komponen terkait nginx、mysql）。
Cara kerja
- Bersihkan virus bandel dengan menghentikan proses virus berbahaya, mengarantina file berbahaya, dan menghapus item residensi virus/trojan persisten.
- Selain itu, Anda dapat membuat snapshot untuk mencadangkan data sehingga dapat memulihkan data yang dibersihkan melalui snapshot selama pemindaian virus mendalam.
  Penting
  Membuat dan menyimpan snapshot dikenai biaya. Biaya dikenakan oleh produk snapshot. Metode penagihan default adalah pay-as-you-go (post-paid).Anda dapat menghubungi konsultasi pra-penjualan untuk informasi biaya.
Langkah selanjutnya
Tinjau karantina secara berkala: Konfirmasi properti file dalam waktu 30 hari untuk menghindari penghapusan permanen. Untuk melihat file yang dikarantina, lihatMelihat dan memulihkan file yang dikarantina.

Kasus penggunaan
Saat file dikonfirmasi sebagai backdoor, virus, atau file berbahaya lainnya, segera blokir eksekusinya.
Cara kerja
- Sistem Memindahkan file mencurigakan ke karantina. Setelah dikarantina, file tidak dapat dieksekusi, diakses, atau disebarluaskan.
  Peringatan
  Jika file yang dikarantina adalah file bisnis yang terinfeksi kode berbahaya (seperti komponen aplikasi inti), karantina dapat menyebabkan gangguan layanan.
- File yang dikarantina dapat dipulihkan dalam waktu 30 hari. File yang dipulihkan akan muncul kembali di daftar peringatan dan Security Center terus memantaunya. Untuk pemulihan, lihatMelihat dan memulihkan file yang dikarantina.
  Catatan
  File yang tidak dipulihkan dalam waktu 30 hari akan dihapus secara otomatis dan tidak dapat dipulihkan.
Langkah selanjutnya
Tinjau karantina secara berkala: Konfirmasi properti file dalam waktu 30 hari untuk menghindari penghapusan permanen. Untuk melihat file yang dikarantina, lihatMelihat dan memulihkan file yang dikarantina.

Terminate Process

Kasus penggunaan
Terutama digunakan untuk menangani peringatan jenis Perilaku proses abnormal, seperti MySQL mengeksekusi perintah abnormal atau serangan eksploitasi web yang menyebabkan eksekusi perintah abnormal.
Cara kerja
Security Center akan mencoba menghentikan proses tersebut. Jika gagal, coba hentikan proses secara manual dengan kill process ID, lalu pilih metode penanganan "Manually Handled".
Catatan
ID proses dapat dilihat di halaman detail peringatan - More Information.

Kasus penggunaan
Terutama digunakan untuk skenario serangan IP seperti login tidak biasa dan serangan brute-force.
Cara kerja
- Jalankan operasi Block, Security Center secara otomatis membuat aturan pertahanan grup keamanan yang sesuai untuk memblokir IP berbahaya agar tidak mengakses aset yang terdampak.
  - Anda dapat mengklik Show Details untuk melihat informasi dasar aturan pertahanan yang dihasilkan. Misalnya,Assets、Rule Direction、Port Range、Rule Direction.
  - Security Center secara otomatis memilih mekanisme pemblokiran berdasarkan instalasi klien. Mekanisme pemblokiran yang didukung:
    - Security Center: Mengutamakan penggunaan plugin Security Center untuk memblokir perilaku login. Saat instance Security Center adalah Edisi Advanced, Enterprise, atau Ultimate dan saklar Malicious Network Behavior Prevention diaktifkan, Security Center secara otomatis memilih plugin ini. Aktifkan Malicious Network Behavior Prevention Untuk operasi spesifik saklar, lihatPertahanan proaktif.
    - ECS Security Group: Saat aturan pemblokiran diaktifkan, aturan grup keamanan yang sesuai dibuat secara otomatis. Aturan tersebut dihapus secara otomatis saat aturan pemblokiran kedaluwarsa atau dinonaktifkan.
      Catatan
      Saat instance ECS digunakan sebagai server backend CLB (Classic Load Balancer), trafik penerusan CLB melewati aturan ACL grup keamanan instance ECS backend. Grup keamanan tidak dapat mencegat IP klien asli. Dalam skenario ini, tindakan pemblokiran grup keamanan tidak berlaku. Disarankan mengonfigurasi daftar hitam kontrol akses pada pendengar CLB untuk memblokir IP berbahaya. Buka konsol CLB, pilih instance target di Manajemen Instance, buka Manajemen Pendengar, pilih pendengar target, buka halaman Kontrol Akses, atur kontrol akses ke Daftar Hitam, dan tambahkan IP berbahaya untuk diblokir.
- Rule Validity Period yaitu durasi efektif aturan pemblokiran. Default: 6 jam. Opsi: 30 menit, 1 jam, 2 jam, 6 jam, 12 jam, 1 hari, 7 hari, 14 hari, 30 hari.
- Aturan pemblokiran yang dihasilkan dapat dilihat di Protection Configuration > Host Protection > Host-specific Rule Management di tab Defense Against Brute-force Attacks,System rules untuk melihat.
  Catatan
  Untuk menghentikan kebijakan pemblokiran lebih awal, nonaktifkan saklar di System Rules.

Penekanan peringatan

Security Center terutama menggunakan metode Add to Whitelist、Ignore untuk menerapkan penekanan peringatan ， juga mendukung peringatan tertentu untuk Do Not Intercept Rule、Protect Without Notification、Manually Handled.

Setelah mesin deteksi large model diperbarui, sistem dapat memindai ulang file yang ada di sistem, menyebabkan peringatan baru untuk file yang sebelumnya tidak memicu peringatan. Ini adalah perilaku normal akibat peningkatan kemampuan deteksi dan bukan false positive. Setelah mengonfirmasi file tersebut adalah file bisnis normal, Anda dapat Add to Whitelist, peringatan berikutnya untuk file yang sama tidak akan dipicu. Di lingkungan kluster seperti SLB, deteksi AI berjalan per instance. File yang sama dapat memicu peringatan di server berbeda. Konfirmasi dan daftarkan putih setiap server secara individual.

Add to Whitelist danIgnoreperbedaan

Perbedaan	Add to Whitelist	Ignore
Skenario	Masalah pengecualian permanen	Berlaku untuk false positive sementara atau sesekali atau masalah yang diketahui.
Lingkup dampak	Saat aset host yang sama memiliki file dengan MD5 yang sama di jalur file yang sama seperti peringatan ini, Jika aturan daftar putih lain dikonfigurasi, peringatan berikutnya yang cocok dengan aturan tersebut juga tidak akan diberitahukan.	Hanya menangani peringatan saat ini tanpa dampak pada peringatan berikutnya.

Peringatan

Setelah didaftarkan putih, peringatan yang sama dan peringatan yang cocok dengan aturan daftar putih tidak akan diberitahukan lagi. Pilih dengan hati-hati.

Kasus Penggunaan
Peringatan saat ini adalah false positive, atau tambahkan aturan pengecualian permanen. Misalnya, jika proses mencurigakan yang mengirim paket TCP keluar sebenarnya adalah interaksi bisnis normal, atau perilaku pemindaian yang dicurigai sebenarnya adalah deteksi jaringan normal, atur aturan daftar putih untuk menghindari false positive tersebut.
Deskripsi hasil penanganan
- Untuk peringatan saat ini
  - Peringatan ini berubah menjadi Handled. Status peringatan adalah Manually Allowlisted.
  - Saat peringatan yang sama terjadi lagi, data peringatan baru tidak dihasilkan, tetapi waktu kejadian terbaru peringatan ini diperbarui.
    Apa itu peringatan identik?
    Peringatan identik mengacu pada ancaman keamanan dengan karakteristik peringatan yang sangat konsisten. Contohnya:
    Peringatan virus: aset yang sama + jalur file virus yang sama + MD5 file virus yang sama.
    Login tidak biasa: aset yang sama + IP login yang sama.
- Untuk peringatan berikutnya
  Jika aturan daftar putih tertentu dikonfigurasi, saat peringatan yang cocok terjadi lagi, peringatan tersebut secara otomatis ditambahkan ke daftar Handled dengan status Automatically Add to Whitelist dan tidak ada pemberitahuan peringatan lagi yang dikirim.
Atur aturan daftar putih spesifik (opsional)
Di kotak dialog penanganan peringatan, klik tab Add to Whitelist. Klik Create Rule untuk menambahkan aturan. KlikAnda dapat menghapus aturan.
Penting
- Saat beberapa aturan dikonfigurasi, aturan tersebut memiliki hubungan OR. Jika salah satu aturan cocok, pendaftaran putih diterapkan.
- Pastikan saat mengonfigurasi aturan Akurasi untuk menghindari cakupan yang terlalu luas. Misalnya, "Jalur berisi: /data/" dapat secara tidak sengaja mendaftarkan putih subdirektori sensitif.
Setiap aturan memiliki 4 kotak konfigurasi dari kiri ke kanan. Penjelasan:
1. Bidang informasi peringatan: Di halaman detail,More Information untuk melihat bidang informasi peringatan apa saja yang didukung untuk peringatan saat ini.
2. Jenis kondisi: Mendukung pencocokan regex, lebih besar dari, sama dengan, kurang dari, berisi, dan operasi lainnya. Beberapa deskripsi aturan:
  - Regular expression: Ekspresi reguler dapat mencocokkan pola tertentu secara tepat. Misalnya, untuk mendaftarkan putih semua konten di bawah folder "/data/app/logs/", atur aturan "Jalur cocok regex: ^/data/app/logs/.*$".
  - Contains keyword: Atur aturan "Jalur berisi: D:\programs\test\". Semua event dengan jalur ini didaftarkan putih.
3. Nilai kondisi: Mendukung konstanta dan ekspresi reguler.
4. Aset yang berlaku：
  - Semua aset: Berlaku pada aset baru dan semua aset yang terhubung.
  - Current Asset: Hanya berlaku untuk aset yang terlibat dalam peringatan saat ini.
Batalkan daftar putih
Catatan
Aturan daftar putih untuk peringatan defense presisi perlu dikonfigurasi di halaman Protection Configuration > Host Protection > Rule Management, tab Malicious Behavior Defense Custom Defense Rule.
- Batalkan aturan daftar putih otomatis
  1. Login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alerts.
    Catatan
    Jika Anda telah mengaktifkan Agentic SOC, di panel navigasi kiri, pilih Agentic SOC > Alerts.
  2. Klik CWPP di pojok kanan atas Cloud Workload Coverage Alert Management . Pilih Alert Settings.
  3. Di halaman Alert Settings area Alert Handling Rule, pilih metode penanganan Automatically Add to Whitelist.
  4. Temukan aturan target dan klik Delete di kolom Actions untuk membatalkan aturan daftar putih otomatis.
- Batalkan daftar putih peringatan
  1. Anda harus login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alerts.
    Catatan
    Jika Anda telah mengaktifkan Agentic SOC, di panel navigasi kiri, pilih Agentic SOC > Alerts.
  2. Tab CWPP, atur kondisi filter Handled or Not ke Handled.
  3. Temukan peringatan yang akan dibatalkan pendaftaran putihnya dan klik tombol Remove from Whitelist di kolom Actions untuk membatalkan daftar putih untuk peringatan saat ini. Anda juga dapat memilih beberapa peringatan dan mengklik tombol Remove from Whitelist di bagian bawah daftar untuk membatalkan pendaftaran putih secara batch.

Penting

"Ignore" hanya merupakan operasi manajemen status peringatan. Tidak menyelesaikan masalah keamanan mendasar.
Hanya gunakan ini setelah sepenuhnya mengonfirmasi sebagai false positive atau risiko yang diketahui/diterima untuk menghindari menutupi serangan nyata.
Disarankan meninjau daftar peringatan yang Diabaikan secara berkala (mingguan atau bulanan).

Kasus penggunaan
- Dikonfirmasi sebagai false positive atau prioritas rendah.
- Masalah sementara/yang diketahui: Masalah tersebut ada tetapi merupakan risiko yang diketahui dan diterima, atau kondisi sementara yang tidak berbahaya (misalnya, pengujian penetrasi resmi atau perilaku tidak biasa selama jendela pemeliharaan). Akar penyebab tidak dapat diperbaiki segera, tetapi daftar peringatan perlu dibersihkan.
- Lingkungan pengujian atau debugging: Di lingkungan non-produksi (seperti lingkungan pengembangan dan pengujian), peringatan yang diharapkan yang tidak memengaruhi keamanan dapat mengganggu pemantauan normal. Tekan sementara.
Deskripsi hasil penanganan
- Untuk peringatan saat ini: Peringatan ini berubah menjadi Handled. Status peringatan adalah Ignored.
- Untuk peringatan berikutnya: Tidak ada dampak. Saat peringatan jenis yang sama muncul lagi, Security Center akan memberi tahu Anda lagi.
Batal Abaikan
1. Login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alerts.
  Catatan
  Jika Anda telah mengaktifkan Agentic SOC, di panel navigasi kiri, pilih Agentic SOC > Alerts.
2. Tab CWPP, atur kondisi filter Handled or Not ke Handled.
3. Temukan peringatan yang akan dibatalkan pengabaian dan klik tombol Cancel Ignore di kolom Actions untuk membatalkan status pengabaian peringatan saat ini.
  Catatan
  Anda juga dapat memilih beberapa peringatan dan mengklik tombol Cancel Ignore di bagian bawah daftar untuk membatalkan pengabaian secara batch.

Do Not Intercept Rule

Skenario
Saat ini hanya mendukung penanganan Protection Configuration > Host Protection > Host-specific Rule Management di tab Malicious Behavior Defense System Defense Rule untuk peringatan yang dihasilkan oleh aturan Adaptive WebShell communication blocking.
Cara kerja
Sistem tidak memblokir permintaan untuk URI yang sesuai dan tidak menghasilkan peringatan.

Protect Without Notification

Peringatan

Peringatan identik berikutnya tidak akan diberitahukan secara terpisah. Pilih dengan hati-hati.

Skenario
oleh Protection Configuration > Host Protection > Host-specific Rule Management di Malicious Behavior Defense peringatan yang dihasilkan oleh aturan (jenis peringatan: defense presisi).
Cara kerja
- Peringatan saat ini: Peringatan ini berubah menjadi Handled.
- Peringatan berikutnya: Saat aturan defense yang sama dipicu lagi, peringatan yang dihasilkan secara otomatis ditambahkan ke daftar Handled dan tidak ada pemberitahuan peringatan yang dikirim.
Batalkan aturan Pertahanan Saja Tanpa Notifikasi
1. Login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alerts.
  Catatan
  Jika Anda telah mengaktifkan Agentic SOC, di panel navigasi kiri, pilih Agentic SOC > Alerts.
2. Klik CWPP di pojok kanan atas Cloud Workload Coverage Alert Management . Pilih Alert Settings.
3. Di halaman Alert Settings area Alert Handling Rule, pilih metode penanganan Protect Without Notification.
4. Temukan aturan target dan klik Delete di kolom Actions untuk membatalkan aturan daftar putih otomatis.

Jika Anda telah menangani peringatan ini secara manual, pilih Manually Handled. Status peringatan saat ini diperbarui menjadi Manually Handled.

Skenario

Hanya mendukung penanganan peringatan Anomali offline agen Security Center.

Cara kerja

Program diagnostik klien Security Center mengumpulkan data jaringan, proses, dan log terkait klien di mesin lokal dan melaporkannya ke Security Center untuk dianalisis.

Penting

Pemeriksaan ini mengonsumsi beberapa sumber daya CPU dan memori. Evaluasi sebelum digunakan.

Pilih mode masalah:
- Standard Mode: Mengumpulkan data log terkait klien dan melaporkannya ke Security Center untuk dianalisis.
- Enhancement Mode: Mengumpulkan data jaringan, proses, dan log terkait klien dan melaporkannya ke Security Center untuk dianalisis.
Klik Handle Now, tugas diagnostik dihasilkan. Anda dapat Asset Center > Host di pojok kanan atas halaman Agent Task Management untuk melihat hasil dan progres tugas diagnostik. Untuk informasi lebih lanjut, lihatPemecahan masalah klien.
Catatan
- Jika di kolom Result menyediakan solusi. Tangani peringatan sesuai solusi yang diberikan.
- Jika di kolom Result tidak menyediakan solusi. Klik kolom Actions Download Diagnostic Logs. Berikan log diagnostik yang diekspor dan AliUid kepada personel terkait untuk verifikasi dan analisis lebih lanjut.

Penanganan konsol

Login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alerts.
Catatan
Jika Anda telah mengaktifkan Agentic SOC, di panel navigasi kiri, pilih Agentic SOC > Alerts.
Di halaman Alert tab CWPP, temukan peringatan target, lalu klik di kolom Actions Handle, pilih metode penanganan untuk peringatan tersebut, lalu klik Handle Now.
Catatan
- Jenis peringatan yang berbeda mendukung metode penanganan yang berbeda. Rujuk halaman konsol untuk detailnya.
- Anda dapat mengisi keterangan sesuai kebutuhan, termasuk alasan penanganan peringatan dan operator, untuk memudahkan manajemen peringatan yang telah ditangani.

Verifikasi pasca-penanganan

Konfirmasi peringatan telah ditangani: Di halaman Alerts, atur Status atur kondisi filter ke Handled untuk mengonfirmasi peringatan target muncul di daftar Handled. Di kolom Handling status untuk melihat nama metode penanganan (seperti Virus Scan, Ignored, Manually Handled, dll.) dan konfirmasi peringatan telah ditangani sesuai harapan.
Lakukan pemindaian disk penuh: Setelah menangani peringatan, disarankan melakukan pemindaian disk penuh pada server untuk mengonfirmasi tidak ada peringatan baru. Pemindaian disk penuh memerlukan deteksi tanpa agen (pay-as-you-go). Lihat dokumentasi pemindaian virus.
Konfirmasi tidak ada peringatan baru: Setelah penanganan, pantau daftar peringatan. Jika peringatan terus berlanjut, mungkin ada backdoor persisten. Lihat troubleshooting peringatan berulang di bawah ini.

Respons darurat

Operasi umum

Ganti password: Setelah menerima peringatan login tidak biasa, jika operasi tersebut bukan dilakukan oleh Anda, segera ganti password instance ECS. Anda dapat menggunakan fitur Reset Instance Password di Konsol ECS. Untuk intrusi password lemah SSH, segera ganti password root menjadi kombinasi kompleks yang terdiri dari huruf kapital, huruf kecil, angka, dan karakter khusus. Aktifkan login berbasis kunci SSH dan nonaktifkan login berbasis password untuk mencegah serangan brute-force.
Blokir IP sumber penyerang: Konfirmasi proses berbahaya telah dihentikan dan blokir IP sumber penyerang di grup keamanan. Konfigurasi grup keamanan Alibaba Cloud untuk menolak akses semua port dari IP terkait guna segera memblokir login jarak jauh.
Selidiki backdoor persisten: Periksa crontab, item startup, kunci publik SSH (~/.ssh/authorized_keys), dan file lain untuk entri mencurigakan guna memastikan tidak ada backdoor persisten yang ditinggalkan penyerang.

Investigasi log lokal

Selain fitur pelacakan serangan Security Center, Anda juga dapat memeriksa log sistem server secara manual untuk menyelidiki jalur intrusi:

Server Linux: Periksa file /var/log/secure atau /var/log/auth.log untuk mengonfirmasi catatan login tidak biasa dan sumber serangan.
Server Windows: Gunakan Event Viewer untuk memeriksa log keamanan dan fokus pada event keberhasilan/kegagalan login.
Server Linux: Periksa file /var/log/messages atau entri terkait DNS di log systemd untuk menyelidiki permintaan DNS tidak biasa.
Server Windows : Melalui Event Viewer > DNS Server Periksa catatan kueri DNS untuk menyelidiki permintaan DNS tidak biasa.

Penanganan eksekusi perintah setelah kebocoran AccessKey

Menerima peringatan RAM sub-account AccessKey attempted denied operation menunjukkan bahwa AccessKey mencoba memanggil API yang tidak diotorisasi. Misalnya, memanggil Ecs:DescribeInstances gagal. Peringatan ini merupakan sinyal jelas bahwa AccessKey mungkin bocor atau disalahgunakan. Tangani segera. Jika Anda mencurigai penyerang telah mengeksekusi perintah pada instance ECS yang terdampak melalui Cloud Assistant, ikuti langkah-langkah berikut untuk menyelidiki dan membersihkan:

Catatan

Jika belum dikonfirmasi AccessKey apakah bocor, Anda dapatDeteksi kebocoran AccessKeyuntuk melihat hasil deteksi kebocoran.

Atur ulang otorisasi dan AccessKey
1. Segera nonaktifkan AccessKey Pengguna RAM terkait untuk memblokir panggilan tidak sah berikutnya.
2. Periksa apakah kebijakan izin Pengguna RAM memiliki otorisasi berlebihan.
3. Di ActionTrail berdasarkan ID AccessKey untuk mengkueri catatan panggilan API historis dan mengevaluasi layanan cloud yang terdampak, operasi yang dilakukan, dan cakupan dampaknya.
Selidiki dan bersihkan server:
1. Konfirmasi eksekusi perintah:
  1. Login ke konsol ActionTrail. Di halaman kueri event, filter berdasarkan Nama layanan cloud Filter ECS, atau gunakan Kueri lanjutan berdasarkan Nama event Cari InvokeCommand.
  2. Klik event target View details. Di catatan event JSON yang dikembalikan, requestParameters diperoleh dari CommandContent (dikodekan BASE64, dekode untuk melihat konten perintah sebenarnya) dan InstanceId (mengidentifikasi instance ECS yang terdampak).
2. Login ke server untuk investigasi: Berdasarkan informasi yang diperoleh pada langkah sebelumnya, InstanceId Login ke instance ECS yang sesuai dan lakukan pemeriksaan berikut:
  - Jalankan ps aux Periksa proses abnormal.
  - Jalankan crontab -l Periksa tugas terjadwal abnormal.
  - Jalankan cat /root/.ssh/authorized_keys Periksa apakah kunci publik backdoor SSH ditanam.
3. Bersihkan residu dan perkuat: Hapus proses dan file berbahaya yang ditemukan pada langkah sebelumnya, hapus tugas terjadwal abnormal dan kunci publik backdoor, dan ganti AccessKey yang bocor lalu restart server untuk menyelesaikan penguatan.

Tutorial Penanganan Peringatan Virus Umum

Penguatan Keamanan dan Pencegahan Serangan

Tingkatkan edisi Security Center: Edisi Enterprise dan Ultimate mendukung karantina virus otomatis untuk memberikan kemampuan defense presisi dan mendukung lebih banyak item deteksi keamanan.
Ketatkan kontrol akses: Buka hanya port bisnis yang diperlukan (seperti 80 dan 443). Konfigurasi kebijakan akses daftar putih IP yang ketat untuk port manajemen (seperti 22 dan 3389) dan port database (seperti 3306).
Catatan
Untuk server ECS Alibaba Cloud, lihatKelola grup keamananuntuk melakukan operasi.
Lakukan pemeriksaan baseline: Di panel navigasi kiri, pilih Risk governance > Cloud security posture management . Di tab System baseline risks untuk melihat dan menangani item risiko baseline.
Aktifkan analisis log: Di panel navigasi kiri, pilih Risk governance > Log analysis. Setelah diaktifkan, log keamanan disimpan dan dapat dicari.
Aktifkan cadangan anti-ransomware: Di panel navigasi kiri, pilih Protection configuration > Anti-ransomware. Buat dan aktifkan kebijakan cadangan anti-ransomware untuk server penting.
Aktifkan Security AI Assistant: Buka di bagian atas halaman Ikhtisar Security AI Assistant untuk memperoleh kesimpulan analisis AI dan saran penanganan untuk peringatan.
Atur password server yang kompleks: Atur password kompleks yang berisi huruf kapital, huruf kecil, angka, dan karakter khusus untuk server dan aplikasi.
Tingkatkan perangkat lunak: Perbarui aplikasi ke versi resmi terbaru. Hindari menggunakan versi yang tidak didukung atau versi lama dengan kerentanan keamanan yang diketahui.
Cadangan berkala: Buat kebijakan snapshot berkala untuk data penting dan disk sistem server.
Catatan
Untuk server ECS Alibaba Cloud, lihatBuat kebijakanuntuk melakukan operasi.
Perbaiki kerentanan segera: Gunakan secara berkala fiturPerbaikan kerentananSecurity Center untuk segera memperbaiki kerentanan sistem berisiko tinggi dan kerentanan aplikasi.
Reset OS server (pilih dengan hati-hati).
Jika virus telah menginfiltrasi sistem secara mendalam dan terkait dengan komponen sistem dasar, kami sangat menyarankan Anda mereset OS server setelah mencadangkan data penting. Prosedur:
1. Buat snapshot untuk mencadangkan data penting di server. Untuk informasi lebih lanjut, lihatBuat snapshot tunggal secara manual.
2. Inisialisasi ulang OS server. Untuk informasi lebih lanjut, lihatInisialisasi ulang disk sistem (reset OS).
3. Gunakan snapshot untuk membuat disk cloud. Untuk informasi lebih lanjut, lihatBuat disk data dari snapshot.
4. Pasang disk cloud ke server setelah instalasi ulang OS. Untuk informasi lebih lanjut, lihatPasang disk data.

FAQ

FAQ penanganan peringatan

Apa yang harus saya lakukan jika penanganan gagal atau peringatan berulang?

Jika penanganan gagal atau peringatan yang sama berulang setelah pembersihan, pecahkan masalah dengan urutan berikut:

Gejala	Penyebab umum	Metode penanganan
Quarantine/terminate process failed	Agen server offline atau versinya terlalu rendah. Perintah penanganan tidak dapat dikirim.	Di Assets Konfirmasi klien online. RujukTroubleshooting agen offlineCoba lagi setelah pemulihan.
Quarantine failed	Proses berbahaya masih berjalan dan menduduki file, atau file telah dihapus.	Pertama hentikan proses berbahaya (misalnya menggunakan perintah `kill`), lalu karantina file tersebut. Tandai peringatan sebagai Handled secara langsung saat file tidak ada.
Peringatan berulang (umum pada cacing dan penambangan)	Hanya subproses/file virus yang dibersihkan. Mekanisme persistensi seperti proses induk, tugas terjadwal, dan item startup tidak dihapus.	Gunakan pohon proses di detail peringatan untuk menemukan proses induk. Periksa dan bersihkan tugas terjadwal crontab, item startup, kunci publik SSH, dan akun tidak dikenal. RujukPraktik terbaik penanganan program penambangan.
Peringatan berulang terjadwal (misalnya pada waktu tetap setiap minggu)	Tugas unduhan jarak jauh terjadwal ada, atau host lain yang dikompromikan di segmen jaringan yang sama berulang kali menyebabkan infeksi lateral	Periksa tugas terjadwal di semua server. Lakukan pemindaian virus pada host lain di VPC yang sama
Tombol penanganan tidak tersedia	Edisi gratis atau otorisasi kedaluwarsa tidak mendukung operasi penanganan.	SilakanBeli Security Centeredisi perlindungan yang lebih tinggi, untukOtorisasi pengikatan aset.
Lainnya	Password lemah: Password SSH/RDP/database terlalu sederhana. Kerentanan tidak diperbaiki: Aplikasi seperti Redis, XXL-JOB, dan WebLogic memiliki kerentanan berisiko tinggi. Backdoor mengintai: Pembersihan awal tidak lengkap, meninggalkan backdoor tersembunyi. Kontaminasi data: Memulihkan cadangan/snapshot yang terinfeksi virus.	Ganti password dan segeraPerbaiki kerentanan. GunakanDeteksi dan penghapusan virusLakukan pemindaian virus penuh pada server.

Jika peringatan terus berlanjut setelah langkah-langkah di atas, mungkin ada backdoor yang tidak terdeteksi. Kami menyarankan Cadangkan data setelah Reset OS server.
Peringatan
Operasi ini memiliki risiko kehilangan data. Cadangkan data terlebih dahulu. Evaluasi cakupan dampak dengan hati-hati sebelum melanjutkan.
1. Buat snapshot untuk mencadangkan data penting di server. Untuk informasi lebih lanjut, lihatBuat snapshot tunggal secara manual.
2. Inisialisasi ulang OS server. Untuk informasi lebih lanjut, lihatInisialisasi ulang disk sistem (reset OS).
3. Gunakan snapshot untuk membuat disk cloud. Untuk informasi lebih lanjut, lihatBuat disk data dari snapshot.
4. Pasang disk cloud ke server setelah instalasi ulang OS. Untuk informasi lebih lanjut, lihatPasang disk data.

Apa yang harus saya lakukan jika aplikasi web membuat peringatan subproses abnormal?
Peringatan semacam ini biasanya dipicu saat SQL Server mengaktifkan xp_cmdshell, panggilan prosedur tersimpan mencurigakan untuk memanggil perintah sistem, atau pemicu eksploitasi web. Periksa baris perintah dan proses induk di detail peringatan untuk file abnormal, seperti C:\Users\Public\tmp_out.txt; lalu nonaktifkan fitur database berisiko tinggi dan periksa tugas terjadwal serta item auto-start untuk menghapus item yang mungkin terus memicu subproses abnormal.
Peringatan eksekusi perintah sensitif (seperti cat /etc/ssh/sshd_config)?
cat /etc/ssh/sshd_config digunakan untuk melihat informasi konfigurasi SSH dan dapat memicu peringatan dalam mode ketat. Konfirmasi apakah ini merupakan operasi O&M yang diharapkan. Jika tidak, perlakukan sebagai risiko keamanan dan selidiki proses terkait serta sumber operasi.
Apa yang harus saya lakukan jika dihasilkan peringatan pemindaian/serangan login eksternal yang mencurigakan?
Peringatan ini menunjukkan server mungkin telah dikompromikan dan digunakan untuk serangan eksternal. Hentikan proses berbahaya, karantina file terkait, lakukan pemindaian virus disk penuh, periksa log sistem untuk menyelidiki jalur intrusi, dan perkuat aturan grup keamanan serta kebijakan password.
Apa yang harus saya lakukan jika dihasilkan peringatan layanan perlindungan keamanan host cloud dinonaktifkan?
Peringatan ini menunjukkan penyerang mungkin mencoba menonaktifkan proses perlindungan seperti AliSecCheck. Lakukan pemindaian virus, karantina file yang terinfeksi, dan hentikan proses abnormal. Lalu selidiki jejak intrusi dan mekanisme persistensi di server.
Tidak dapat menghapus file virus (trojan, program penambangan)?
File dan direktori induknya memiliki atribut tersembunyi. Gunakan perintah chattr -i untuk menghapus atribut immutable dari file dan direktori induk sebelum menghapus.
Server memiliki peringatan trojan DDoS, dan file telah dihapus secara manual tetapi peringatan tetap ada?
File tidak sepenuhnya dihapus. Solusi:
1. Saat Security Center adalah edisi gratis, Anda dapat mengaktifkanpercobaan gratis 7 hari Edisi Enterprise atau Ultimate. Atau rujukBeli Security Center. Tingkatkan Security Center ke Edisi Anti-Virus atau Edisi Enterprise.
2. Setelah aktivasi, buka halaman penanganan peringatan, temukan trojan DDoS, klik Handle, dan pilih Virus Scan. Sistem akan menghentikan proses trojan dan mengkarantina file tersebut. Untuk informasi lebih lanjut, lihatDeteksi dan Penghapusan Virus.
Bagaimana cara mendaftarkan putih peringatan defense presisi?
Peringatan yang dihasilkan oleh defense presisi bergantung pada plugin defense. Pemblokiran diterapkan secara otomatis setelah peringatan tersebut dihasilkan. Daftarkan putih secara manual di Manajemen Aturan Host. Prosedur:
1. Akses Security Center console - Protection Settings - Host Protection - Host Rule Management. Di sudut kiri atas halaman, pilih wilayah aset Anda: Chinese Mainland atau Outside Chinese Mainland.
2. Di tab Malicious Behavior Defense sub-tab Custom Defense Rule, klik Create Rule. Jenis daftar putih yang didukung:
  - Hash proses
  - Baris perintah
  - Jaringan Proses
  - Intersepsi Jaringan (IP sumber/domain)
    
    Anda dapat mengonfigurasi aturan daftar hitam atau daftar putih untuk alamat IP sumber atau domain. Saat peringatan keamanan menunjukkan reverse shell atau koneksi keluar berbahaya persisten, Anda dapat memblokir IP sumber serangan tertentu dengan membuat aturan intersepsi jaringan khusus. IP atau domain berbahaya yang diberikan oleh layanan pelanggan atau tim keamanan juga dapat ditambahkan ke daftar hitam untuk intersepsi.
    
    Misalnya, setelah menangani peringatan reverse shell atau peringatan koneksi keluar berbahaya persisten, jika IP sumber penyerang telah dikonfirmasi dan proses berbahaya telah dihentikan, Anda dapat memblokir IP tersebut dengan melakukan langkah-langkah berikut:
    1. Di halaman Malicious Behavior Defense, klik tab Custom Defense Rule, lalu klik Create Rule.
    2. Pilih Network Interception sebagai jenis aturan, tambahkan IP sumber penyerang yang dikonfirmasi atau domain berbahaya ke daftar hitam, atur tindakan ke Block, lalu pilih server tempat aturan tersebut berlaku.
    Kami menyarankan Anda juga mengonfigurasi aturan grup keamanan untuk perlindungan: buat aturan tolak grup keamanan untuk instance target di konsol ECS dan tambahkan IP berbahaya yang dikonfirmasi ke daftar tolak arah keluar dan arah masuk untuk segera memblokir trafik berbahaya. Untuk informasi lebih lanjut, lihat dokumentasi konfigurasi aturan grup keamanan di dokumentasi ECS.
  - Baca/Tulis File
  - Operasi Registry
  - Load Dynamic-link Library
  - Ganti Nama File
Apa yang harus saya lakukan jika hanya opsi Daftar Putih dan Abaikan yang tersedia untuk penanganan peringatan?
Beberapa peringatan mungkin hanya memiliki opsi Daftar Putih dan Abaikan, tanpa opsi Hentikan Proses atau Pemindaian Virus. Ini biasanya berarti proses tidak lagi berjalan atau file telah dihapus. Saran:
- Jika Anda mengonfirmasi ancaman telah dihapus (proses dihentikan, file dihapus), Anda dapat memilih Abaikan atau Ditangani Secara Manual untuk menutup peringatan.
- Jika Anda masih perlu menghentikan proses, pilih Hentikan Proses terlebih dahulu lalu refresh halaman untuk melihat opsi penanganan.
- Untuk virus bandel atau peringatan berulang, ikuti bagian Penguatan Keamanan dan Pencegahan Serangan di atas untuk penanganan menyeluruh.
Apakah peringatan webshell termasuk operasi sistem otomatis?
Serangan webshell biasanya merupakan perilaku intrusi eksternal. Penyerang mengeksploitasi kerentanan untuk mengunggah webshell atau menulis backdoor melalui kerentanan eksekusi kode. Ini bukan operasi sistem otomatis. Tangani sebagai intrusi: gabungkan Detail peringatan dan log server lokal untuk menyelidiki titik masuk intrusi. Hapus file berbahaya dan proses abnormal, lalu selesaikan perbaikan kerentanan, kontrol akses, dan penguatan keamanan akun.
Apa yang harus saya lakukan jika menerima notifikasi perilaku mencurigakan pada server (pemindaian port SSH skala besar atau serangan eksternal)?
- Server telah dimatikan: Jika server tidak lagi digunakan, Anda dapat mengabaikan notifikasi ini terlebih dahulu.
- Lanjutkan penggunaan: Instal ulang OS untuk menghapus virus secara menyeluruh. Di konsol ECS, temukan instance dan pilih Semua Operasi > Inisialisasi Disk (harus dihentikan). Setelah instalasi ulang, perkuat keamanan: konfigurasi password kuat, batasi aturan grup keamanan untuk hanya mengizinkan IP tertentu untuk login jarak jauh, dan buka hanya port bisnis yang diperlukan.
- Tentang pemblokiran: Jika tidak ada serangan eksternal yang terdeteksi setelah instalasi ulang, larangan platform umumnya tidak dipicu. Jika masalah akses tetap ada setelah pemindaian virus bersih, periksa penyebab lain seperti konfigurasi grup keamanan dan firewall server.
Mengapa port SSH ditampilkan sebagai 22 di detail peringatan?
Jika sshd_config tidak dikonfigurasi secara eksplisit di bidang Port, Security Center mengidentifikasi SSH sebagai port 22 secara default. Bahkan jika port aktual telah diubah, detail peringatan mungkin masih menunjukkan port 22. Periksa konfigurasi SSH aktual server.
Apa yang harus saya lakukan jika terus menerima peringatan serangan brute-force SSH berhasil setelah perbaikan?
Periksa apakah port non-standar (seperti 5522) dikonfigurasi dengan benar dan digunakan secara aktual. Jika peringatan tetap ada setelah pemeriksaan konfigurasi, cadangkan data yang diperlukan dan reset instance.
Mengapa peringatan tetap berlanjut setelah virus/file berbahaya dihapus?
Security Center menyimpan catatan ancaman historis selama sekitar satu tahun. Bahkan jika file virus dihapus, jika tidak ada operasi penanganan yang dilakukan (seperti abaikan atau daftar putih), sistem terus mengirim notifikasi berdasarkan catatan historis. Saran:
- Setelah mengonfirmasi ancaman telah dihapus, lakukan Abaikan atau Ditangani Secara Manual pada peringatan terkait di daftar peringatan.
- Jika waktu peringatan sebelum operasi keamanan, Anda dapat mengabaikan peringatan setelah mengonfirmasi keamanan.
Apa yang harus saya lakukan jika masih menerima peringatan login tidak biasa untuk IP lama setelah mengganti IP publik?
Peringatan IP lama setelah perubahan IP biasanya dipicu oleh Security Center berdasarkan perilaku login historis. Saran:
- Jika waktu peringatan sebelum perubahan IP, Anda dapat mengabaikan peringatan tersebut.
- Sinkronkan informasi aset terbaru di pusat aset untuk memastikan Security Center mencatat alamat IP valid saat ini.
Tidak dapat menemukan pengguna dan password password lemah spesifik di detail peringatan?
Di kolom Actions di halaman Alerts, klik Details untuk melihat pengguna dan kredensial password lemah. Jika detail tidak ditampilkan, peringatan tersebut mungkin historis atau kedaluwarsa. Ganti password akun terkait menjadi password kompleks yang berisi huruf kapital, huruf kecil, angka, dan karakter khusus.
Bagaimana cara mengotorisasi insinyur Alibaba Cloud untuk menyelidiki dan menangani virus?
- Isi informasi otorisasi di tiket, berikan password server, dan otorisasi insinyur Alibaba Cloud untuk investigasi langsung jarak jauh.
- Prasyarat: Untuk operasi berisiko tinggi, buat cadangan snapshot sebelum mengotorisasi insinyur untuk operasi langsung. Operasi tanpa snapshot tidak diizinkan. Insinyur tidak dapat membuat snapshot untuk Anda. Selesaikan cadangan snapshot terlebih dahulu.
- Jika Anda tidak mengetahui password server, Anda dapat mereset password instance di konsol ECS.
Mengapa tombol Handle berwarna abu-abu atau tidak responsif?
Penyebab umum:
1. Saat ini menggunakan edisi gratis atau belum membeli otorisasi perlindungan: Edisi gratis hanya mendukung melihat beberapa peringatan dan tidak mendukung operasi penanganan (karantina, pemblokiran, daftar putih, dll.). PertamaBeli Security CenterEdisi Anti-Virus atau yang lebih tinggi, dan pastikan server yang terdampak terikat pada otorisasi.
2. Instance kedaluwarsa: Setelah instance langganan kedaluwarsa, kemampuan penanganan menjadi tidak valid. Perpanjang dan coba lagi.
3. Izin Pengguna RAM tidak mencukupi: Diperlukan izin AliyunYundunSASFullAccess. Izin hanya-baca (ReadOnlyAccess) tidak dapat melakukan operasi penanganan.
4. Agen server untuk peringatan offline: Perintah penanganan tidak dapat dikirim. Pertama rujukTroubleshooting agen offlinePulihkan status online klien.

Masalah fitur konsol

Apa yang harus saya lakukan jika peringatan menunjukkan file tidak ada?
Ini mungkin karena virus telah dihapus dengan cara lain atau membersihkan dirinya sendiri. Klik Abaikan atau Ditangani Secara Manual di daftar peringatan untuk menghapus peringatan ini.
Menerima peringatan keamanan tetapi tidak ada data terkait di konsol?
- Data peringatan Security Center ditampilkan berdasarkan wilayah. Anda dapat mengganti wilayah di pojok kiri atas halaman Alerts Chinese Mainland dan Outside Chinese Mainland. Jika Anda menerima notifikasi peringatan tetapi peringatan tidak ditampilkan di halaman, ganti ke wilayah lain menggunakan pemilih wilayah di bagian atas.
- Periksa edisi Security Center Anda: Edisi gratis memiliki fitur terbatas. Kami menyarankanBeli Security Center. Tingkatkan Security Center ke Edisi Anti-Virus atau Edisi Enterprise.
- Beberapa peringatan mungkin berasal dari pemantauan trafik Alibaba Cloud, analisis intelijen keamanan, atau produk keamanan Alibaba Cloud lainnya. Peringatan ini mungkin tidak muncul di konsol CWPP Security Center.
Bagaimana cara menangani beberapa peringatan secara batch?
Security Center saat ini mendukung pendaftaran putih batch, pengabaian, pembatalan daftar putih, dan pembatalan pengabaian untuk menangani peringatan keamanan.
1. Login ke Konsol Security Center. Di panel navigasi kiri, pilih Detection and Response > Alert Buka halaman Alerts dan pilih peringatan yang akan ditangani secara batch.
2. Klik di kiri bawah Ignore This Time、Add to Whitelist、Remove from Whitelist、Cancel Ignore tombol.
Mengapa tombol penanganan peringatan keamanan berwarna abu-abu?
- Periksa edisi Security Center Anda. Edisi gratis tidak mendukung penanganan peringatan keamanan. Anda dapatAktifkan percobaan gratis Edisi Enterprise 7 hariAtau aktifkan Edisi Anti-Virus atau Enterprise. Untuk detailnya, lihatBeli Security Center.
- Edisi yang berbeda mendukung jenis peringatan keamanan yang berbeda. Untuk informasi lebih lanjut, lihatPeringatan keamanan CWPP.