Security Center:検知と対応に関するよくある質問

アセットが暗号資産マイニングの脅威にさらされているかどうかを判断する方法

ご利用のサーバーの CPU 使用率が著しく高い場合 (80% 以上など)、かつ不明なプロセスが継続的にネットワークパケットをアウトバウンド送信している場合、サーバーに暗号資産マイニングの脅威が存在すると判断できます。

Security Center によって保護されているアセットが暗号資産マイニングプログラムに侵害されると、Security Center はアラートの SMS またはメールを送信します。セキュリティアラート ページに移動し、クラウドワークロード保護プラットフォーム (CWPP) タブで暗号資産マイニングのアラートを処理できます。暗号資産マイニングプログラムがマイニングプールとの通信や悪意のあるドメインへのアクセスなどの他のアラートイベントに関連付けられている場合は、それらの関連アラートをまとめて処理することを推奨します。関連アラートの表示および処理方法の詳細については、「セキュリティアラートへの対応」をご参照ください。

ウイルスインターセプションが有効になっておらず、サーバーが暗号資産マイニング攻撃を受けている場合の対処法

以下の手順に従って、暗号資産マイニングのアラートを処理し、悪意のあるホスト行動からの保護 機能を有効にすることができます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

3. セキュリティアラート ページで クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、該当するアラートを見つけて、実行 列の 操作する をクリックします。

4. [暗号資産マイニングプログラム - 悪意のあるソフトウェア] ダイアログボックスで、ウイルスの検出と除去 を選択します。

5. 今すぐ処理 をクリックして、暗号資産マイニングのアラートイベントの処理を完了します。

6. 左側のナビゲーションウィンドウで、システム設定 > 機能の設定 を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

7. システム設定 ページで、設定項目 タブ、次に 保護設定 サブタブに移動します。アクティブディフェンス セクションで、悪意のあるホスト行動からの保護 スイッチをオンにして、ウイルスインターセプション機能を有効にします。

Security Center のログ分析機能は、Syslog または特定のアラートログを自己管理サーバーに転送することをサポートしていますか？

いいえ、サポートしていません。Security Center は、Syslog や特定のアラートログを自己管理サーバーに直接転送しません。

ログを自己管理サーバーに転送するには、まず ログ分析 機能を有効にする必要があります。追加のストレージ料金が適用されます。機能が有効になると、セキュリティログは Simple Log Service (SLS) の専用 Logstore である sas-log に自動的に転送されます。その後、SLS コンソールに移動し、データ転送タスクを設定して、sas-log Logstore から自己管理サーバーにログを転送できます。

誤って暗号資産マイニングのアラートをホワイトリストに追加してしまいました。削除する方法はありますか？

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

3. セキュリティアラート ページで クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、フィルター条件を 処理済み に変更して、すべての処理済みアラートを表示します。

4. 該当するアラートを見つけ、操作する 列の ホワイトリスト解除 をクリックしてアラートを復元します。

自動ウイルスインターセプションが有効であることを確認する方法

Security Center コンソールにログインします。システム設定 ページで 悪意のあるホスト行動からの保護 機能を有効にした後、左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。 セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、精密防御 をクリックします。フィルターされたアラートの防御ステータスが ブロックされました であれば、自動ウイルスインターセプションが有効です。

Security Center はハッカーの侵入行為をどのように検出しますか？

Security Center によって検出されるすべてのハッカーの侵入行為は、スキャン検出によって特定され、Alibaba Cloud のセキュリティエンジニアが顧客のトラフィックデータを分析した後に検証されます。

Security Center Enterprise Edition を購入した後も、サーバーが攻撃されたり、トロイの木馬に感染したりするのはなぜですか？

Security Center Enterprise Edition は、詳細な検出とアラート機能に重点を置いています。アセットに異常や攻撃の試みが発生しないことを保証するものではありません。アラートを受信したら、コンソールで迅速に対応する必要があります。たとえば、悪意のあるプロセスを終了したり、悪意のあるファイルを隔離したりします。すべてのリスクを排除するために、保護エディションだけに頼らないでください。

Security Center がすでに迎撃した攻撃 (Log4j の脆弱性悪用スキャンなど) については、アラートは攻撃がブロックされ、アセットが侵害されていないことを示します。この場合、コードの変更は必要ありません。正常に迎撃された攻撃のアラート通知の数を減らしたい場合は、アラートを処理する際に [通知なしで防御] または ホワイトリストを追加する を選択できます。

一般的なハッカーの侵入行為にはどのようなものがありますか？

Security Center が提供するアラート検出項目は、バックドア、ブルートフォース攻撃、暗号資産マイニングなど、一般的なハッカーの侵入行為をカバーしています。詳細については、「CWPP セキュリティアラート」をご参照ください。

phpinfo がアラートを生成するのはなぜですか？誤検知ですか？

いいえ、誤検知ではありません。

phpinfo には、Web サイトの絶対パスなど、大量の機密情報が含まれており、高いリスクをもたらし、ハッカーに悪用される可能性があります。ほとんどのハッカーは、さらなるペネトレーションのための情報収集の第一歩として phpinfo をアップロードします。このファイルが業務上必要な通常のファイルであることを確認した場合は、次の操作を実行できます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

3. セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、アラートを処理する際に ホワイトリストへの追加 を選択します。

Security Center は WebShell ファイルを自動的に隔離しますか？

いいえ。WebShell ファイルには業務に関連する情報が含まれている可能性があるため、評価後に手動で隔離する必要があります。隔離されたファイルは隔離フォルダーにあり、30 日以内に復元できます。隔離フォルダーの詳細については、「セキュリティアラートへの対応」をご参照ください。

Security Center は WebShell をどのように検出しますか？

Security Center は、次のスキャン方法を使用して、PHP、ASP、JSP などの種類の Web サイトスクリプトファイルを検出します。

• ディスクスキャン：ファイルがサーバーにアップロードまたはダウンロードされ、ディスク書き込み動作が検出されると、ファイルがスキャンされます。悪意のあるファイルが見つかった場合、アラートが報告されます。

• Web ディレクトリのリアルタイム監視。

• Web ディレクトリの定期スキャン。

WebShell または悪意のあるファイルのアラートでファイルパスを表示および確認する方法

アラート詳細ページで、[詳細情報] セクションの [ファイルパス] フィールドを確認します。ここには、サーバー上のファイルの完全なパスが記載されています。

対応する ECS インスタンスにログインし、アラートで提供された完全なパス (例：d:/toms/xxx.aspx) にファイルが存在するかどうかを確認します。ファイルが存在しない場合、ファイルはすでに手動で削除されたか、自動的にクリーンアップされた可能性があります。この場合、アラートを 手動で対応済み または 無視 としてマークできます。ファイルが存在し、正当なビジネスファイルでない場合は、直ちに削除し、侵入元を調査してください。

また、アラート情報に依存する前に、Security Center エージェントがオンラインであることを確認し、アラートデータが正確で最新であることを保証することを推奨します。

WebShell 攻撃が成功すると、すぐに業務上の異常が発生しますか？サーバーが侵害されたことを確認する方法

WebShell 攻撃の成功は、すでに侵入が発生したことを示します。イベントを侵入として処理する前に、特定の期間待ったり、業務上の異常が現れるのを待つ必要はありません。Security Center が WebShell コードや異常なプロセスチェーンを検出した場合、Web サイトやアプリケーションが正常に動作しているように見えても、サーバーはすでに攻撃者の制御下にある可能性があります。

攻撃の時点から、異常なログイン記録、不明なプロセス、不審なファイル、予期しない定期タスクがないか確認し、関連アカウントのパスワードを変更してシステム権限を強化することを推奨します。

関連ソフトウェアをインストールしていない、または対応するポートを開いていないのに、脆弱性の悪用や異常な動作のアラートを受信するのはなぜですか？

この問題は、次のシナリオで発生する可能性があります。

• 誤検知：たとえば、ActiveMQ がインストールされていないにもかかわらず、ECS インスタンスが ActiveMQ の脆弱性悪用アラートを受信する場合などです。アラートが異常な動作の誤判断であることを確認した後、今回は無視 を選択してサーバーの監視を続けることができます。

• 偽装攻撃：アラートに、/usr/local/aegis/AliNet/AliNet --stopdriver のようなパスを持つコマンドを実行するプロセスが表示される場合があります。このパスは Security Center エージェントのコンポーネントに似ていますが、エージェントが自動アップグレードを実行しているのではなく、攻撃者が悪意のあるプロセスをエージェントに偽装している可能性があります。この場合、コンソールで不審なプロセスを終了し、必要に応じてエージェントを再インストールしてください。

アラートの処理方法を判断するのに役立てるため、セキュリティ AI アシスタントが提供する分析結果が利用可能な場合は、それを確認してください。アラートが誤検知であることを確認した場合は、今回は無視 を選択します。アラートが実際の脅威であることを確認した場合は、ウイルスの検出と除去 または プロセスの終了 を選択します。

セキュリティアラートのホワイトリストに追加できるオブジェクト

セキュリティアラート処理機能では、悪意のあるソフトウェアタイプのアラートに対してオブジェクトをホワイトリストに追加できます。ホワイトリスト操作は、現在のアラートイベントのアクセス元にのみ適用されます。次のアラートタイプがホワイトリストへの追加をサポートしています。

一部のアラートが「期限切れ」とマークされるのはなぜですか？

アラートの最終発生から 30 日以上経過した場合、Security Center はアラートステータスを [期限切れ] とマークします。アラートが再度検出された場合、Security Center はアラートの発生時刻を最新の検出時刻に更新し、アラートステータスを [未処理] に設定します。

不審なドメインアクセスのアラートの初回発生時刻が検出時刻と一致しないのはなぜですか？

Security Center が DNS 解決データを受信すると、アルゴリズムを使用してデータを分析および処理する必要があります。DNS 解決データ自体にも一定の遅延があります。そのため、不審なドメインアクセスのアラートの初回発生時刻は検出時刻よりも後になります。最大 5 時間の時間差は正常です。

Security Center の異常ログオンの検知およびアラート機能の仕組み

サーバーに Security Center エージェントをインストールすると、異常ログオン機能がサーバー上のログイン動作を検出し、異常な場所からのログインに対してアラートを生成します。Security Center コンソールの セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブに移動して、異常なサーバーログインに関連するアラートを表示します。

Security Center エージェントは、サーバーから定期的にログインログを収集し、分析と照合のためにクラウドにアップロードします。異常な場所、異常な IP、異常な時間、または異常なアカウントからのログイン成功イベントが検出されると、アラートがトリガーされます。さまざまな IP ログイン動作がどのように判断されるかを以下に説明します。

• Security Center がサーバーに初めて適用されたとき、サーバーに通常のログイン場所が設定されていないため、この期間中はアラートはトリガーされません。

• パブリック IP が初めてサーバーに正常にログインすると、Security Center はその IP の場所を通常のログイン場所として記録し、その時点から次の 24 時間以内のすべてのパブリックログイン場所を通常のログイン場所としてマークします。24 時間後、通常のログイン場所のリストにない場所からのログイン動作はリモートログインと見なされ、アラートが生成されます。

• IP がリモートログイン動作をしていると判断された場合、最初のログイン動作のみが SMS アラートをトリガーします。同じ IP が 6 回以上正常にログインした場合、Security Center はその IP の場所を自動的に通常のログイン場所として記録します。

  説明

  リモートログインアラートはパブリック IP にのみ適用されます。

以下に、異常ログオン IP のアラートポリシーについて説明します。

• Security Center は、リモート IP からの最初のログイン動作に対して SMS アラートを送信します。その IP がログインを続ける場合、IP が 6 回ログインして自動的に通常のログイン場所として記録されるまで、コンソールでのみアラートが生成されます。

• Security Center Advanced、Enterprise、または Ultimate エディションを使用している場合、サーバーの通常のログイン場所、通常のログイン IP、通常のログイン時間、および通常のログインアカウントを設定できます。これらのカスタムルール外のログイン動作に対してアラートが生成されます。カスタムログインルールは、リモートログインの判断よりも優先されます。

Security Center は異常な場所からのログインに対する SMS 認証をサポートしていますか？

Security Center は、異常な場所からのログインに対する SMS 認証を提供していません。Security Center は、異常な場所、異常な IP、異常な時間、または異常なアカウントからのログイン動作に対してのみアラートを生成します。保護設定 > ホスト保護 > [ホストルール管理] > 常用ログイン管理 に移動して、通常のログイン場所、通常のログイン IP、通常のログイン時間、および通常のログインアカウントを設定します。これにより、誤検知アラートが減少します。SMS ベースの二次認証が必要な場合は、Resource Access Management (RAM) の多要素認証 (MFA) または Bastionhost を使用してください。

Security Center がサポートする異常ログオンアラート

次の異常ログオンアラート検出項目がサポートされています。

• 悪意のある IP からのログイン (サーバー、FTP アプリケーション、MySQL、SQL Server など)

• バックドアアカウントのログイン

• 脆弱なパスワードのアカウントでのログイン

• アウトバウンドのログインスキャンが疑われるアクティビティ

• 異常な場所からのログイン

• 異常なアカウントでのログイン

• ECS ブルートフォース攻撃の成功 (複数の無効なユーザー、RDP、SSH)

• ECS ログイン後の異常なコマンドシーケンス (SSH)

• 異常な時間、場所、アカウント、または IP からの ECS ログイン

上記のアラート検出項目の検出原理の詳細については、「セキュリティアラートの検出項目」をご参照ください。

サーバーに正常にログインする際に異常ログオンアラートを回避する方法

Security Center コンソールの保護設定 > ホスト保護 > ホストルール管理で、常用ログイン管理 機能を使用して、通常のログイン場所、ログイン IP、ログイン時間、およびアカウントを設定できます。この機能は、例外的なログイン動作を検知してアラートを通知します。また、指定されたアセットのリモートログイン動作についてアラートを通知するために、通常のログイン場所を手動で追加したり、自動で更新したりすることもサポートしています。

誤って ECS ブルートフォースログインアラートをトリガーしてしまった場合の対処法

サーバーのパスワードが複雑な場合、正常にログインする前に ECS サーバーのログインパスワードを複数回間違えて入力することがあります。この動作は、Security Center のブルートフォース防止モデルによって ECS パスワードへのブルートフォース攻撃と判断され、ECS ブルートフォースログインアラートが生成されます。アラートが誤操作によってトリガーされたことを確認した後、アラートを無視できます。アラートを無視する方法の詳細については、「セキュリティアラートへの対応」をご参照ください。

通常の IP、時間、アカウントを設定したにもかかわらず、通常のログイン中に異常ログオンアラートを受信する場合の対処法

この場合、まずアラートタイプが未承認 IP からのログイン、異常な場所からのログイン、または異常なアカウントでのログインであるかを確認します。ログイン IP、ログイン場所、アカウント、および時間はすべてログインアラートに影響を与える要因です。それらの間に優先順位はありません。これらの要因のいずれかが異常である限り、アラートがトリガーされます。

異常ログオンアラートが生成されたとき、ログインは成功しましたか、それともブロックされましたか？

異常ログオンアラートは、ログインが成功したことを示しますが、そのログイン動作が Security Center によって不審と判断されたため、不審な動作のアラートイベントが生成されました。

異常ログオンアラートがハッカーからのものであると確認した場合の対処法

1. Security Center コンソールにログインします。 左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

2. セキュリティアラート ページの クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、アラートを特定して 操作する 列の 処理 をクリックします。12 時間ブロックを選択し、今すぐ処理 をクリックして、ハッカーの侵入を直ちにブロックします。SSH パスワードなしのログインを防止するため、パスワードを直ちに変更し、サーバーに他の不明なアカウントや不明な公開鍵がないか確認することをお勧めします。

「ECS ログイン後の異常なコマンドシーケンス (SSH)」アラートが生成されたとき、コマンドはすでに実行されていますか？

はい、コマンドはすでに実行されています。サーバーのログインパスワードを速やかに更新し、不明なプロセスの実行など、サーバーに他の異常な動作がないか確認してください。

異常ログオンアラートが発生したときにサーバーで確認すべきログ

サーバーの /var/log/secure ディレクトリの情報を確認できます。たとえば、コマンド grep 10.80.22.22 /var/log/secure を実行します。

サーバーでのブルートフォース攻撃の数や迎撃ステータスを表示する方法

Security Center コンソールにログインします。 左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラート を選択します。ネットワーク防御アラート セクションで、正常に迎撃された SSH ブルートフォース攻撃に関する情報を表示できます。

サーバーへのブルートフォース攻撃を防ぐ方法

この状況を防ぐために、通常のログイン IP を設定するか、証明書ベースのログインを使用できます。通常のログイン IP の設定方法の詳細については、「アラート設定の構成」をご参照ください。

ブルートフォース防止は Web アプリケーションや Web サイトの保護をサポートしていますか？

いいえ。

ブルートフォース防止は、RDP および SSH プロトコルを使用してログインするサーバーを保護します。Web アプリケーションや Web サイトの保護はサポートしていません。

ブルートフォース攻撃が成功した後の対処法

サーバーのパスワードがブルートフォース攻撃によって正常にクラックされた場合、攻撃者はすでにサーバーを侵害し、悪意のあるプログラムを残している可能性があります。Security Center コンソールにログインします。 左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが所在するリージョンとして 中国本土 または 中国本土以外 を選択します。 セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、ブルートフォース成功に関連するアラートが存在するかどうかを確認します。

アセットに [ECS ブルートフォース攻撃の成功] のようなアラートが存在する場合、対応するサーバーが正常にブルートフォース攻撃されたことを示します。できるだけ早く次の手順に従ってサーバーのセキュリティを強化することを推奨します。

• ブルートフォース成功に関連するアラートの処理

  セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、アラートの 操作する 列の 処理 をクリックし、セキュリティアラート ページで ブロック を選択し、今すぐ処理 をクリックします。Security Center は、悪意のある IP からのアクセスをブロックするためのセキュリティグループ防御ルールを生成します。詳細については、「セキュリティアラートへの対応」をご参照ください。

• サーバーのユーザーパスワードの変更

  侵害されたユーザーパスワードをできるだけ早く変更してください。強力なパスワードを使用することを推奨します。

• Security Center のベースラインチェック機能を使用したリスク検出

  Security Center のベースラインチェック機能を使用して、サーバーのセキュリティを包括的にチェックし、推奨事項に基づいてリスク項目を処理します。この機能を有効にする方法の詳細については、「ベースラインリスクチェック機能を有効にする」をご参照ください。

脆弱なパスワードを変更した後もパスワードブルートフォースアラートを受信するのはなぜですか？

変更された脆弱なパスワードは T+1 方式で有効になります。変更が有効になるまでの期間、Security Center はパスワードブルートフォースアラートを報告し続けます。たとえば、2023 年 1 月 15 日 10:00 にログインパスワードを変更した場合、ベースライン検出モデルは更新されたパスワード情報を収集し、その日の 24:00 頃に脆弱なパスワードデータベースを更新します。異常ログオン検出モデルは、2023 年 1 月 15 日 24:00 より前に脆弱なパスワードデータベースから以前のパスワードをロードするため、この期間中はパスワードブルートフォースアラートが依然として存在します。

脆弱なパスワードを変更し、ベースラインチェックで脆弱なパスワードのリスクが検出されないことを確認した後、アラートを無視できます。

サーバーのログインパスワードがブルートフォース攻撃された場合は、サーバーのセキュリティを速やかに強化することを推奨します。詳細については、「ブルートフォース攻撃が成功した後の対処法」をご参照ください。

パスワードを変更した後も、脆弱なパスワードのアラートステータスが「未処理」のままです。どうすればよいですか？

前の質問で説明したように、変更されたパスワードは脆弱なパスワード検出モデルで T+1 方式で有効になります。変更が有効になるまでの期間、Security Center は以前のパスワードに基づいてパスワードブルートフォースアラートを報告し続ける可能性があります。

脆弱なパスワードを変更し、その後のベースラインチェックで脆弱なパスワードのリスクが検出されなくなったことを確認した後、アラートを無視できます。予想される検出サイクル後にアラートステータスが更新されない場合は、次の定期検出を待つか、Security Center のテクニカルサポートに連絡して、さらなるアクションが必要かどうかを確認してください。

RDP ポート 3389 がすでにセキュリティグループまたはファイアウォールルールでブロックされているにもかかわらず、RDP のブルートフォース攻撃の記録がまだあるのはなぜですか？

Windows ログイン監査メカニズムのため、$IPC、RDP、および SAMBA サービスのログイン監査プロセスは、特定のログイン方法を区別せずに同じログに記録されます。したがって、RDP サービスポートをすでにブロックしているにもかかわらず、RDP ブルートフォース攻撃の記録が表示される場合は、他の 2 つのサービスも有効になっているかどうかを確認する必要があります。

確認するには、ECS インスタンスが 135、139、445 などのポートをリッスンしているかどうか、およびパブリック IP がそれらにアクセスできるかどうかを確認します。また、その期間中に Windows セキュリティログに対応するログイン記録があるかどうかも確認してください。

ECS ログインの脆弱なパスワードは、システムレベルの RDP または SSH スキャンを指しますか？

脆弱なパスワードには、RDP および SSH の脆弱なパスワードと、CMS などのシステムの管理者バックエンドログインの脆弱なパスワードの 2 種類があります。

[攻撃分析] ページにデータを提供している製品

[攻撃分析] ページに表示されるデータは、Security Center が基本的な攻撃イベントを自動的に識別して迎撃した後に収集された攻撃統計、および Alibaba Cloud Web Application Firewall からの攻撃データです。この攻撃データは、Security Center および Web Application Firewall によって保護されているクラウド資産をカバーしています。[アセット] ページで、どの資産が Security Center によって保護されているかを確認できます。

フィルター条件を変更すると、アラートリストの左側にある攻撃ステージのカウントは変わりますか？

いいえ、変わりません。アラートリストの左側に表示される攻撃ステージのカウントは、現在のリージョンのグローバルデータです。時間範囲、アセット、アラートタイプなどのフィルター条件をアラートリストで設定しても変更されません。このカウントは、現在のリージョンのすべてのアラートにおける攻撃ステージの全体的な分布のみを示します。

Windows サーバーが継続的にウイルスアラートを受信する場合の対処法

• Windows サーバーが継続的にウイルスアラートを受信する場合、まずそれが誤検知であるかどうかを判断することを推奨します。

• ウイルスファイルのパスが Windows システムの隠しディレクトリ (たとえば、$Recycle.Bin ごみ箱ディレクトリ) にある場合、ファイルシステムでこのパスを直接検索できないことがあります。隠しファイルとシステムファイルの表示を管理者として有効にして表示する必要があります。Security Center エージェントは、ファイルシステムの可視性に制限されずに、低レベルのスキャンを通じてファイルパスを取得します。

• アラートが誤検知であるか、ファイルがクリアされたことを確認した場合は、このドキュメントの 誤って暗号資産マイニングのアラートをホワイトリストに追加してしまいました。削除する方法はありますか？ のようなホワイトリスト削除操作を参照するか、単にアラートを無視してください。

通常のログインルールを設定した後、異常な場所や IP からログインしてもアラートを受信しない場合の対処法

通常のログイン場所、通常のログイン IP、通常のログイン時間、または通常のログインアカウントを設定したにもかかわらず、異常な場所や IP からログインしたときに期待されるアラートを受信しない場合は、次の点を確認することを推奨します。

• ルールが有効になっているか確認してください。新しく追加された通常のログインルールが有効になるまでには時間がかかる場合があります。しばらくお待ちください。

• アラート通知方法が正しく設定されているか確認してください。SMS およびメール通知設定が有効になっていることを確認します。

• ログインをトリガーしたサーバーがルールの範囲内にあるか確認してください。

• セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブに移動し、フィルター条件を 処理済み に変更して、処理済みのアラート記録がないか確認します。

サーバー上で不審なおとりファイル (.aegis ディレクトリ内の !~readme.txt など) を見つけました。これはサーバーが侵害されたことを意味しますか？

/root/.aegis/!~readme.txt は、ランサムウェアの挙動を検出するために Security Center がプロアクティブに展開したおとりファイルです。ランサムウェアがこのファイルを暗号化しようとすると、Security Center はその挙動を捕捉し、ランサムウェア対策アラートをトリガーします。

このファイルは通常のセキュリティ保護ファイルであり、サーバー侵害の兆候ではありません。サーバーの正常な動作には影響しません。削除しないでください。

アラートを処理する際、[ホワイトリストに追加] と [無視] オプションしか利用できず、[プロセスの終了] と [ウイルス駆除] オプションが表示されません。どうすればよいですか？

一部のアラートには、ホワイトリストを追加する と 今回は無視 オプションしかなく、プロセスの終了 と ウイルスの検出と除去 オプションがない場合があります。これは通常、次の理由で発生します。

• Security Center の有料版を有効化していません。

• このタイプのアラートは プロセスの終了 と ウイルスの検出と除去 をサポートしていません。

• アラートは履歴データまたは期限切れのアラートイベントです。

アラートが Alibaba Cloud 公式スキャナーによってトリガーされたかどうかを判断する方法、またはアラート SMS の送信元を確認する方法

• 判断方法

  アラート詳細の送信元 IP アドレスを確認します。送信元 IP が公式の Security Center スキャン IP 範囲 (例：47.110.180.32/27) に属している場合、それは公式サービスによってトリガーされた通常の-スキャン動作であることが確認されます。IP がこの範囲内にない場合、それは公式サービスの呼び出しではありません。それがビジネスまたはサードパーティツールで使用されているかどうかを確認するか、AccessKey の漏洩リスクがあるかどうかを確認することを推奨します。

• SMS 送信元の確認

  不審な Security Center アラート SMS を受信したが、コンソールに対応するアラートがない場合、または SMS の信憑性を疑う場合は、SMS の送信者番号とコンソールの実際のアラート記録を確認して検証する必要があります。コンソールに関連するセキュリティイベントがなく、アカウントの AccessKey の漏洩が検出されない場合、通常、その SMS はご利用のアカウントの Security Center からのものではないと判断できます (誤検知、別の製品、またはフィッシング SMS の可能性があります)。コンソールの実際のデータを参照することを推奨します。

Security Center のネットワーク防御アラートの数が Cloud Firewall の迎撃記録と一致しないのはなぜですか？

両者のデータ不一致の主な理由は次のとおりです。

• 統計範囲の違い：Cloud Firewall はすべてのネットワーク層の迎撃イベント (ACL ポリシー、IPS 侵入防止などを含む) をカウントしますが、Security Center は特定のセキュリティ脅威 (SSH ブルートフォース攻撃や Web アプリケーション攻撃など) にのみ焦点を当てています。

• データ集約メカニズムの違い：Security Center は、短期間に同じ送信元 IP によって開始された複数の攻撃を集約して表示しますが (1 つのアラートにマージ)、Cloud Firewall は通常、各独立した迎撃ログを記録します。

• タイムウィンドウと遅延：2 つのコンソールで選択された時間範囲が異なる場合があり、Security Center のデータ処理にも一定の同期遅延があります。

侵入防止における Security Center と Cloud Firewall のそれぞれの役割

Security Center は、ホストベースの侵入検知 (IDS) を提供します。異常ログオン、脆弱性リスク、悪意のあるプロセスなどの脅威をリアルタイムで識別し、セキュリティアラートを生成します。そのプロアクティブ防御機能 (悪意のある挙動の防御とブルートフォース対策) は、ホストプロセスレベルで動作し、ネットワークトラフィックを迎撃しません。

Cloud Firewall は、ネットワークベースの侵入防止 (IPS) を提供します。悪意のあるネットワークトラフィックをプロアクティブに迎撃し、監視モード (アラートのみ) とブロックモード (トラフィックをブロック) をサポートします。ブルートフォース攻撃、スキャン、マイニング、データベース保護、AI コンポーネントの脆弱性保護などの攻撃タイプをカバーします。

Security Center がアラートを生成した後、サーバーリソースは削除またはシャットダウンされますか？

いいえ。

暗号資産マイニングのアラートやその他の悪意のある挙動のアラートに対して、Security Center は観察期間を適用します。観察期間中に悪意のある挙動の再発が検出されない場合、アラートのリスクステータスは自動的にクリアされます。Security Center がサーバーリソースをブロックまたはシャットダウンするのは、継続的なマイニングプールとの通信やアウトバウンド攻撃など、悪意のある挙動を検出し続けた場合のみです。誤検知アラートによってサーバーがシャットダウンされることはありません。

サーバーにウイルスがなく、正常に動作していることを確認したが、予想される期間が経過してもレビュー状況が更新されない場合は、追加の操作は必要ありません。レビュー状況は自動的にクリアされます。

バックドアアラートなど一部のアラートでは、ほとんどの場合、検出後すぐに自動処理がトリガーされます。アラートリストに自動処理のアクションが表示されない場合は、手動でアラートを処理することを推奨します。

不審なプロセスの処理が効果がない、または [ホワイトリストに追加]/[無視] オプションしか利用できない場合の対処法

原因

Security Center の有料版を有効化していないか、アラートに対応するプロセスがすでに実行されていないか、ファイルが削除されています。

ソリューション

• 自動処理機能を使用するには、Advanced エディション以上を有効化してください。

• 有料版を有効化しない場合は、サーバーにログインして手動で問題を処理する必要があります。

  1. アラートのプロセス ID (PID) を記録し、次のコマンドを実行してプロセスを強制的に終了します。

     kill -9 <PID>

  2. 悪意のあるプログラムによる自己保護のためにプロセスを終了できない場合は、まず次のコマンドを実行してファイル保護を解除し、その後プロセスを強制的に終了します。

     chattr -i /path/to/file

  3. /etc/crontab と ~/.ssh/authorized_keys をチェックして、残骸をクリーンアップします。

• 脅威がクリアされたことを確認した場合は、無視 または 手動で対応済み を選択してアラートを閉じることができます。

権限昇格が疑われるアラートのトラブルシューティングと処理方法

1. 通常の運用保守作業であるか確認：アラート時刻頃に管理者がホスト上で sudo、su、またはソフトウェアのインストールなどの権限昇格操作を実行したかどうかを確認します。計画された操作である場合は、無視またはホワイトリストに登録できます。

2. 不審なプロセスとファイルの確認：Security Center コンソールにログインし、アラート詳細ページに移動してプロセスチェーンとファイルパスを表示します。不明なバイナリ、スクリプト、または改ざんされたシステムコマンドがないか重点的に確認します。異常ログオンまたはブルートフォースアラートが伴う場合は、[異常ログオン] アラートと合わせて分析します。

3. 対処方法：

   • 悪意のあるものと確認された場合は、直ちにアセットを隔離し、不審なネットワーク接続をブロックし、Security Center の ウイルスの検出と除去 または 脆弱性管理 機能を使用してバックドアをクリーンアップし、関連する脆弱性を修正します。

   • 誤検知の場合は、アラート詳細ページで ホワイトリストを追加する をクリックします。

SSH キーベースのログインで設定されたサーバーで異常ログオンアラートを受信した場合の対処法

1. Security Center の レスポンス検出 > アラート ページに移動して、リモートログインアラートの詳細を表示し、ログイン IP とリージョン情報を取得します。

   説明

   Agentic SOC サービスを有効にしている場合、左側のナビゲーションウィンドウのエントリは 脅威の分析と応答 > アラート に変更されます。

2. サーバーにログインし、/var/log/secure ログをチェックして、その IP に成功したログイン記録があるかどうかを確認します。

3. ログにキーベースのログイン成功が表示された場合は、サーバーに不明な SSH キーがないか確認します。新しいキーペアを作成し、再設定して使用し、サーバーのログインパスワードをリセットしてセキュリティを確保することを推奨します。

API を介して Security Center のアラートリストをエクスポートする方法

1. ExportSuspEvents - 異常イベント情報のエクスポート 操作を呼び出して、エクスポートタスク ID を生成します。

2. DescribeSuspEventExportInfo - アラートイベントのエクスポート情報のクエリ 操作を呼び出し、タスク ID を渡します。

3. 返された結果から link フィールド (ダウンロード URL) を取得します。

4. ブラウザから URL にアクセスして、アラートリストを ZIP ファイルとしてローカルマシンにダウンロードします。

暗号資産マイニングのアラートを処理する際に「パッケージの控除リストの取得に失敗しました」というエラーが表示された場合の対処法

問題をトラブルシューティングするには、クラウドディスクのスナップショットを作成し、必要な権限を付与する必要があります。

システムを再インストールした後、Security Center がまだ異常を検出しているかどうかを確認する方法

Security Center の アラート ページとサーバーの CPU リソース使用量を確認します。過去数時間でマイニング通信が検出されず、CPU 使用率が正常に戻った場合、異常は解消されています。

CPU 使用率が高いのにマイニングアラートが検出されない場合の対処法

1. レスポンス検出 > アラート ページで、まずすべての履歴アラートを処理し、その後スキャンを実行します。

   説明

   Agentic SOC サービスを有効にしている場合、左側のナビゲーションウィンドウのエントリは 脅威の分析と応答 > アラート に変更されます。

2. スキャン中にウイルスが見つからなかった場合、ウイルスはクリーンアップされています。

3. Java アプリケーションが不審なエンコードされたコマンドを実行しているか、悪意のあるスクリプトコードが実行されているかに関するアラートを確認します。開発者に連絡してコードの脆弱性を修正し、引き続き観察することを推奨します。

Security Center のアラートが自身の運用保守作業によってトリガーされたことを確認する方法

アラートでは特定のアクセス IP を確認できないため、次の方法で確認することを推奨します。

1. アラート詳細のユーザー名と操作時間を確認し、自身の運用保守行動と一致するかどうかを判断します。

2. アラート詳細のプロセスパス (例：/usr/bin/bash) と親プロセス (例：sshd-session) を確認します。

3. ログインログと照合して確認します。

4. アラートを処理した後、自身の接続が影響を受けるかどうかをテストして相関関係を判断します。

5. アラート詳細ページで Alibaba Cloud セキュリティ大規模言語モデル (LLM) をクリックして承認し、アラート詳細を分析します。

StarOPS の定期検査タスクによって引き起こされたアラートの処理方法

Security Center でアラート詳細を表示し、関連するアラート情報を確認します。アラート時間とアラートスキャンディレクトリを StarOPS の定期検査タスクと比較します。アラートが StarOPS によって実行されたコマンドによって引き起こされたことを確認した場合は、誤検知と判断し、アラートを無視して、その後の状況を観察します。

インスタンスの登録を解除またはリリースした後も Security Center がセキュリティアラートを生成する場合の対処法

1. Security Center コンソールにログインし、「サーバーの管理」の説明に従って、対応するサーバーのバインドを解除します。

2. アラート ページで、サーバーインスタンスに関連する未処理のアラートがある場合は、それらを一括で [無視] または 手動で対応済み として処理します。

アラートにおける内部 IP 攻撃の原因とトラブルシューティング方法

原因

Security Center は、ホストレベルの行動分析に基づいて、送信元 IP がサーバーに対して開始した攻撃シグネチャ (ブルートフォース攻撃、ポートスキャン、脆弱性悪用など) に一致する挙動を検出します。挙動が異常である限り、送信元 IP がパブリック IP か内部 IP かに関わらず、アラートがトリガーされます。

考えられるシナリオ

• 同じアカウント下の他の ECS インスタンスが侵害されているか、誤って設定されており、内部攻撃を開始している。

• 他の VPC のインスタンスが、Cloud Enterprise Network (CEN)、VPC ピアリング接続、または共有 VPC を介して内部ネットワーク経由でアクセスしている。

• オンプレミスのデータセンターが Express Connect 回線を介してクラウドに接続している。

• 高頻度の内部ビジネスリクエストが誤検知されている。

トラブルシューティングと処理

• ECS コンソールで IP の所有権を確認し、CEN やピアリング接続などのネットワーク接続設定があるかどうかを確認します。

• Security Center コンソールにログインして、特定の攻撃タイプ、時間、ポートを確認し、誤検知であるかどうかを判断します。

• 信頼できる内部ビジネスであることが確認された場合は、IP 迎撃ポリシーでその IP のポリシーを無効にし、IP をホワイトリストに追加します。

• ソースを特定できない場合は、遮断を有効にしたまま、ターゲットサーバーのセキュリティグループで必要なポートのみが開いているかを確認することをお勧めします。

外部からの悪意のある行為のアラートを報告した当事者の情報を取得できますか？

いいえ、できません。Security Center は、悪意のある行為のアラートを報告した外部当事者の具体的な身元を提供することはできません。この情報は報告当事者から直接提供されるものであり、プライバシーとセキュリティの要件を遵守するため、Security Center はそれを開示しません。報告当事者の身元に焦点を当てるのではなく、アラート内容に基づいてアラートを処理し、アセットを強化することに集中することを推奨します。

悪意のあるコードが特定の人物によって仕掛けられたかどうかを確認する方法

Security Center は脅威の検出に重点を置いており、誰が悪意のあるコードを仕掛けたかを直接特定することはできません。ActionTrail を有効にしている場合は、アラートの時間枠内の関連する操作記録を確認して、ソースの追跡に役立てることを推奨します。

Alibaba Cloud アカウントに異常な RAM ユーザー (サブアカウント) が作成された場合の対処法

原因

AccessKey が Alibaba Cloud のセキュリティリスク管理ルールをトリガーし、「高権限サブアカウントの異常な作成」を検出しました。これは、AccessKey が漏洩した可能性があることを示しています。

処理手順

1. RAM コンソールで凍結ステータスの異常な RAM ユーザーを削除します。

2. 直ちに不要なすべての AccessKey を無効化して削除します。ビジネス用に新しい AccessKey を作成し、設定を更新します。

3. Security Center コンソールにログインし、[セキュリティアラート] ページをチェックして、他に侵入の痕跡がないか確認します。

4. プライマリアカウントとすべての RAM ユーザーに対して MFA 多要素認証を有効にします。

特定の内部 IP のみが許可され、VPN を介してアクセスするシナリオで、異常ログオンアラートは誤検知ですか？

リスク評価

セキュリティグループポリシー (特定の内部 IP のみ許可) と VPN アクセス制御 (個人のリモートアクセスのみ許可) を組み合わせると、悪意のある攻撃者による外部からの攻撃の可能性は低いです。

原因

アラートは、ログ収集の問題、非対話型ログイン、または誤検知 (通常のビジネスの変動が異常検知をトリガー) が原因である可能性があります。

提案

運用保守担当者と IP が正常であることを確認した後、Security Center でその IP に対して ホワイトリストを追加する を実行し、スナップショットバックアップを取得して、その後同様のアラートが発生するかどうかを観察します。

Privileged Access Management (PAM) または信頼できる IP アドレスによって引き起こされる誤検知のログインアラートの処理方法

異常ログオンまたは SSH ログインアラートの送信元 IP アドレスは、100.216.0.0/16 や 100.208.0.0/16 などの CIDR ブロックに属しているか、Privileged Access Management (PAM) インスタンスのアウトバウンド IP アドレスなど、通常のビジネスアクセスに使用されることが確認されている別の特定の IP アドレスである場合があります。この場合、アラートを次のように処理できます。

IP アドレスが信頼できることを確認した後、アラート詳細ページに移動し、処理 をクリックし、次に ホワイトリストを追加する を選択します。ログイン IP アドレスが信頼できる IP アドレスと等しくなるようにホワイトリストルールを設定します。ルールが有効になると、この IP アドレスからのログインはアラートをトリガーしなくなります。

この方法は、ECS インスタンスを購入していないにもかかわらず異常ログオンアラートを受信する場合にも適用されます。この状況は、Simple Application Server インスタンスなどの他のアセットも脅威から保護されており、同じ検出およびホワイトリストロジックを使用しているために発生する可能性があります。

Security Center がバックドアを検出した後、Web サイトのアクセシビリティを回復する方法

1. Security Center コンソールにログインし、レスポンス検出 > アラート の下の クラウドワークロード保護プラットフォーム (CWPP) タブに移動して、特定のアラート詳細を表示します。

   説明

   Agentic SOC サービスを有効にしている場合、左側のナビゲーションウィンドウのエントリは 脅威の分析と応答 > アラート に変更されます。

2. バックドアファイルであることが確認された場合は、まず ECS インスタンスのスナップショットバックアップを作成し、次に異常なファイルを手動で削除または隔離し、Web サイトのディレクトリと設定ファイルが完全であるかどうかを確認します。

3. 処理が完了したら、Web サービスを再起動してアクセスを回復しようとします。

Web サイトのファイルを削除し、サービスを停止した後も WebShell バックドアアラートは生成されますか？

Web サイトのファイルを削除し、サービスを停止して Web サイトがインターネット経由でアクセスできなくなると、攻撃者は新しいバックドアファイルを Web サイトにアップロードできなくなります。その結果、削除されたファイルに対してこの種の WebShell アラートは再度生成されません。

Web サイトが再び悪用されるのを防ぐために、ファイルアップロードおよびダウンロードインターフェイスを開発する際に、ファイル名拡張子とファイルタイプを検証し、ホワイトリストフィルターを適用することを推奨します。

ECS インスタンスの Python 環境が繰り返し破損し、Web サイトが利用できなくなる場合の対処法

1. Security Center コンソールにログオンし、アラート詳細で Backdoor (WebShell) file discovered の重大なアラートがないか確認します。

2. 悪意のあるファイルであることが確認された場合は、「ウイルスの検知と駆除」で説明されている処理方法を選択して、直ちにウイルスプロセスを終了し、ウイルスファイルを隔離エリアに移動できます。

3. 処理後、侵入の原因を調査し、システムを強化してバックドアが再び仕掛けられるのを防ぎます。

4. バックドアをクリーンアップした後に Python 環境を復元できない場合は、さらなるテクニカルサポートの介入が必要になる場合があります。

インスタンスが異なるリージョンにあるため ECS アラートが表示されない場合の対処法

Security Center コンソールにアクセスし、レスポンス検出 > アラート ページに移動し、リージョンを 中国本土以外 に切り替えて、中国本土以外の ECS インスタンスのアラートを表示します。

HandleSimilarSecurityEvents 操作が InvalidOperationForEvent エラーを返す場合の対処法

原因は、ECS サーバーが現在 Security Center Free エディションの権限にバインドされていることです。ファイルの隔離やプロセスの終了など、Security Center のプロアクティブな処理機能には、Anti-Virus エディション以上の権限が必要です。アラートを処理するための関連機能を使用するには、権限をアップグレードしてください。

特定の日付の履歴セキュリティアラートを表示する方法

Security Center コンソールにログインします。左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択してアラートリストページに移動します。時間フィルター条件を設定して (たとえば、特定の日付を選択)、その期間の履歴セキュリティアラート記録をクエリします。

コンソールにファイル改ざん防止のアラート記録が表示されない場合の対処法

1. Security Center コンソールで、レスポンス検出 > アラート の下の クラウドワークロード保護プラットフォーム (CWPP) タブに移動します。

   説明

   Agentic SOC サービスを有効化した場合、左側のナビゲーションウィンドウのエントリは Agentic SOC （レガシー版） > セキュリティアラート に変更されます。

2. 正しいリージョンが選択されていることを確認します (例：中国本土 または 中国本土以外)。

3. アラートリストで、サーバー IP とイベントタイプでフィルタリングしてアラートを見つけます。