このトピックでは、検知と対応における一般的な問題を一覧で紹介します。
アセットがクリプトマイニングの脅威にさらされているかの判断方法
サーバーの CPU 使用率が著しく高く、たとえば 80% 以上に達し、不明なプロセスが継続的にアウトバウンドのネットワークパケットを送信している場合、サーバーにクリプトマイニングの脅威が存在すると判断できます。
Security Center で保護されている資産がクリプトマイニングプログラムによって侵害されると、Security Center からアラート SMS または E メールが送信されます。 セキュリティアラート ページに移動し、CWPP タブでクリプトマイニングアラートを処理できます。 クリプトマイニングプログラムが、マイニングプールとの通信や不正なドメインへのアクセスなどの他のアラートイベントに関連付けられている場合は、これらの関連アラートをまとめて処理することをお勧めします。 関連アラートの表示および処理方法の詳細については、「セキュリティアラートへの対応」をご参照ください。
ウイルスインターセプトが有効になっておらず、サーバーがクリプトマイニング攻撃を受けています。どうすればよいですか？
次の手順で、クリプトマイニングアラートを処理し、[悪意のあるホスト行動からの保護]機能を有効にできます。
Security Center Anti-Virus、Advanced、Enterprise、または Ultimate エディションのユーザーのみが、クリプトマイニングアラートを処理できます。
Security Centerにログインします。
ナビゲーションペインで、 を選択します。コンソールの左上隅で、保護対象の資産が配置されているリージョン （Chinese Mainland または Outside Chinese Mainland） を選択します。
セキュリティアラート ページの CWPP タブで、該当するアラートを見つけ、Process 列の 操作する をクリックします。
「仮想通貨マイニングプログラム - 不正プログラム」ダイアログボックスで、ウイルスの検出と除去 を選択します。
今すぐ処理 をクリックして、クリプトマイニングのアラートイベントの処理を完了します。
ナビゲーションペインで、 を選択します。コンソールの左上隅で、保護対象の資産が配置されているリージョン （Chinese Mainland または Outside Chinese Mainland） を選択します。
システム設定 ページの Settings タブ、ホスト保護設定 サブタブに移動し、アクティブディフェンス セクションで、悪意のあるホスト行動からの保護 スイッチをオンにして、ウイルス遮断機能を有効にします。
誤ってクリプトマイニングアラートをホワイトリストに追加してしまいました。削除するにはどうすればよいですか？
Security Center コンソールにログインします。
左側のナビゲーションペインで、 を選択します。コンソールの左上で、保護対象アセットのリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。
セキュリティアラート ページで CWPP タブに移動し、フィルターを 処理済み に設定すると、処理済みのすべてのアラートが表示されます。
対応するアラートを見つけ、操作する 列の Remove from Whitelist をクリックすると、アラートが復元されます。
自動ウイルス遮断の有効性の確認
セキュリティセンターコンソールにログインします。システム設定 ページで 悪意のあるホスト行動からの保護 機能を有効にした後、左側のナビゲーションペインでを選択し、コンソールの左上隅で保護対象のアセットが配置されているリージョンとしてChinese MainlandまたはOutside Chinese Mainlandを選択します。セキュリティアラート ページで CWPP タブに移動し、Precise Defense をクリックします。 フィルタリングされたアラートの防御ステータスが ブロックされました の場合、ウイルスの自動遮断が有効になっています。
Security Center によるハッカー侵入行為の検出
Security Center は、スキャン検出によってすべてのハッカー侵入行為を特定し、Alibaba Cloud のセキュリティエンジニアがお客様のトラフィックデータを分析した上で検証します。
一般的なハッカーの侵入行動
Security Center が提供するアラート検出項目は、バックドア、ブルートフォース攻撃、クリプトマイニングといった一般的なハッカーの侵入行動に対応しています。詳細については、「CWPP セキュリティアラート」をご参照ください。
phpinfo によるアラートの発生と誤検知
いいえ、誤検知ではありません。
phpinfo には、Web サイトの絶対パスなど、大量の機密情報が含まれているため、ハッカーに悪用される高いリスクがあります。ほとんどのハッカーは、さらなる侵入に繋がる情報を収集するための第一歩として phpinfo をアップロードします。このファイルが業務上必要な正常なファイルであると確認できた場合は、次の操作を実行してください。
Security Center コンソールにログインします。
左側のナビゲーションペインで、 を選択します。コンソールの左上隅で、保護対象アセットのリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。
セキュリティアラート ページで CWPP タブに移動し、アラートを処理する際に Add to Whitelist を選択します。
Security Center は Webシェルファイルを自動的に隔離しますか？
いいえ。 Webシェルファイルにはビジネスに関連する情報が含まれている可能性があるため、評価後に手動で隔離する必要があります。隔離されたファイルは隔離フォルダーで確認でき、30 日以内に復元できます。隔離フォルダーの詳細については、「セキュリティアラートへの対応」をご参照ください。
Security Center による Webシェルの検出方法
Security Center は、PHP、ASP、JSP などの Web サイトスクリプトファイルを検出するために、次のスキャン方法を使用します。
ディスクスキャン：サーバーへのファイルのアップロードまたはダウンロード時にディスクへの書き込み動作が検出されると、そのファイルがスキャンされます。悪意のあるファイルが見つかった場合は、アラートが報告されます。
Web ディレクトリのリアルタイムモニタリング。
Web ディレクトリのスケジュールされたスキャン。
サーバー上の一般的なファイルに関するセキュリティアラートは誤検知ですか？
誤検知ではありません。サーバー上の一般的なファイルの作成時刻が変更されている場合や、ファイルの内容に明らかなバックドアの記述が含まれている場合も、Security Center は該当するアラートを生成します。実際の状況に基づいて、アラートを調査し、対処してください。
セキュリティアラートのホワイトリストに追加可能なオブジェクト
セキュリティアラートの処理機能では、マルウェアタイプのアラートに対して、オブジェクトをホワイトリストに追加できます。ホワイトリストの操作は、現在のアラートイベントのアクセス元にのみ適用されます。ホワイトリストへの追加に対応しているアラートタイプは次のとおりです：
アラートタイプ | ホワイトリストの対象 |
マルウェア | ファイルの MD5 に基づくホワイトリスト |
異常なログオン | 異常なログオン IP に基づくホワイトリスト |
悪意のある IP アクセス、マイニングプールとの通信 | IP に基づくホワイトリスト |
悪意のあるドメインへのアクセス | ドメイン名に基づくホワイトリスト |
悪意のあるダウンロード元へのアクセス、悪意のあるダウンロード元へのアクティブ接続 | URL に基づくホワイトリスト |
Web シェル | Web ディレクトリに基づくホワイトリスト |
悪意のあるスクリプト | MD5 とパスに基づくホワイトリスト |
クラウド製品の脅威検出 | コンソールでホワイトリストルールを設定可能 |
不審なプロセスの振る舞い | コマンドラインに基づくホワイトリスト |
永続的なバックドア | ファイルの MD5 とシグネチャに基づくホワイトリスト |
機密ファイルの改ざん | ファイルパスに基づくホワイトリスト |
アプリケーションへの侵入 | コマンドラインに基づくホワイトリスト |
Web アプリケーションの脅威検出 | ドメイン名または URL に基づくホワイトリスト |
異常なネットワーク接続 | プロセスのコマンドライン、宛先 IP、宛先ポートに基づくホワイトリスト。一部のフィールドが欠落している場合は、使用可能なフィールドのみがホワイトリストに追加されます。 |
一部のアラートが「期限切れ」とマークされる理由
アラートの最終発生から 30 日を超えて経過した場合、 Security Center はアラートのステータスを 期限切れ に設定します。アラートが再度検出された場合、 Security Center はアラートの発生時間を最新の検出時間に更新し、アラートのステータスを 未処理 に設定します。
不審なドメインアクセスアラートの初回発生時刻が検出時間と一致しないのはなぜですか?
Security Center は DNS 名前解決データを受信すると、アルゴリズムを使用してデータを分析、処理します。DNS 名前解決データ自体にも一定の遅延があります。そのため、不審なドメインアクセスアラートの初回発生時刻は検出時間よりも遅くなります。最大 5 時間の時間差は正常です。
Security Center の異常なログインの検出とアラート通知機能の仕組み
サーバーに Security Center エージェントをインストールすると、異常ログイン機能がサーバーのログイン挙動を検出し、異常な場所からのログインに対してアラートを生成します。Security Center コンソールの セキュリティアラート ページで CWPP タブに移動すると、サーバーへの異常ログインに関連するアラートを表示できます。
Security Center エージェントは、サーバーのログインログを定期的に収集し、分析と照合のためにクラウドへアップロードします。通常のログイン場所、通常とは異なる IP、通常とは異なる時刻、または通常とは異なるアカウントからのログイン成功イベントが検出された場合、アラートがトリガーされます。以下では、IP によるログイン動作の判断方法を説明します：
Security Center をサーバーに初めて適用した時点では、サーバーに通常のログイン場所が設定されていないため、この期間中はアラートはトリガーされません。
パブリック IP がサーバーに初めてログインに成功すると、Security Center はその IP の場所を通常のログイン場所として記録し、その時点から 24 時間以内のすべてのパブリックログイン場所を通常のログイン場所としてマークします。24 時間経過後は、通常のログイン場所のリストに含まれない場所からのログイン動作はリモートログインと見なされ、アラートが生成されます。
IP がリモートログイン動作であると判断された場合、最初のログイン動作のみが SMS アラートをトリガーします。同じ IP が 6 回ログインに成功すると、Security Center はその IP の場所を通常のログイン場所として自動的に記録します。
説明リモートログインアラートは、パブリック IP にのみ適用されます。
以下では、異常なログイン IP のアラートポリシーについて説明します：
Security Center は、リモート IP からの最初のログイン動作に対して SMS アラートを送信します。その IP がログインを継続する場合、IP が 6 回ログインして通常のログイン場所として自動的に記録されるまで、コンソールでのみアラートが生成されます。
Security Center Advanced、Enterprise Edition、または Ultimate Edition をご利用の場合は、サーバーに通常のログイン場所、通常のログイン IP、通常のログイン時刻、および通常のログインアカウントを設定できます。これらのカスタムルールの範囲外のログイン動作に対してアラートが生成されます。カスタムログインルールは、リモートログインの判定より優先されます。
Security Center がサポートする異常ログオンアラート
以下の異常ログオンに関するアラート検出項目をサポートしています。
悪意のある IP からのログオン (サーバー、FTP アプリケーション、MySQL、SQL Server など)
バックドアアカウントによるログオン
弱いパスワードを持つアカウントのログオン
疑わしいアウトバウンドログオンスキャンアクティビティ
異常な場所からのログオン
異常なアカウントによるログオン
ECS に対するブルートフォース攻撃の成功 (複数の無効なユーザー、RDP、SSH)
ECS ログオン後の異常なコマンドシーケンス (SSH)
異常な時刻、場所、アカウント、または IP からの ECS ログオン
上記のアラート検出項目の検出原理の詳細については、「セキュリティアラート検出項目」をご参照ください。
サーバーへの通常ログイン時に異常ログオンアラートを回避する方法
Security Center コンソール の で [常用ログイン管理] 機能を使用して、通常のログイン場所、ログイン IP、ログイン時刻、およびアカウントを設定できます。この機能は、異常ログオンのアラート通知に対応しています。また、指定されたアセットのリモートログイン行動についてアラートを通知するため、通常のログイン場所の手動追加および自動更新に対応しています。
誤って ECS のブルートフォースログインアラートをトリガーした場合の対応
サーバーパスワードが複雑な場合、ログインに成功する前に ECS サーバーのログインパスワードを複数回誤って入力することがあります。この動作を、Security Center のブルートフォース防止モデルが ECS パスワードに対するブルートフォース攻撃と判断し、ECS ブルートフォースログインアラートを生成します。アラートが誤操作によるものと確認できた場合は、そのアラートを無視できます。アラートを無視する方法の詳細については、「セキュリティアラートへの対応」をご参照ください。
通常の IP、時刻、アカウントを設定していても、通常のログイン時に異常ログオンアラートを受信する場合の対処
この場合は、まずアラートタイプが不正 IP ログオン、異常なロケーションでのログオン、または異常なアカウントのログオンのいずれであるかを確認してください。ログイン IP、ログインロケーション、アカウント、時刻はいずれもログインアラートに影響する要因です。これらの要因に優先度はありません。これらの要因のいずれか 1 つでも異常であれば、アラートがトリガーされます。
異常ログオンアラートが生成された場合、ログオンは成功していますか？それともブロックされていますか？
異常ログオンアラートは、ログオンは成功したものの、Security Center によってその挙動が不審と判断されたことを示しており、その結果として不審な挙動のアラートイベントが生成されます。
異常ログオンアラートがハッカーによるものと確認された場合の対処方法
Security Center コンソールにログインします。左側のナビゲーションペインで、 を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。
セキュリティアラート ページで、CWPP タブに移動し、アラートを見つけ、操作する 列の 処理 をクリックします。「12 時間ブロック」を選択し、今すぐ処理 をクリックして、ハッカーの侵入を直ちにブロックします。直ちにパスワードを変更し、サーバーに他の不明なアカウントや不明な公開キーがないか確認して、SSH パスワードなしのログオンを防ぐことをお勧めします。
「ECS ログイン後の異常コマンドシーケンス (SSH)」 アラートが発生した場合、コマンドはすでに実行されていますか？
はい、コマンドはすでに実行されています。速やかにサーバーのログインパスワードを更新し、サーバーで不明なプロセスが実行されているなど、他に異常な挙動がないか確認してください。
異常ログオンアラート発生時に確認すべきサーバーログ
サーバー上の /var/log/secure ファイルの内容を確認してください。たとえば、grep 10.80.22.22 /var/log/secure コマンドを実行します。
サーバーにおけるブルートフォース攻撃の回数や遮断ステータスの確認方法
セキュリティセンターコンソールにログインします。左側のナビゲーションウィンドウで、を選択します。 In the Network Defense Alert セクションで、正常にインターセプトされた SSH ブルートフォース攻撃に関する情報を表示できます。
Agentic SOC を有効にしている場合、ナビゲーションペインのナビゲーションパスは に変わります。
サーバーに対するブルートフォース攻撃の防止
通常のログイン IP を構成するか、証明書ベースのログインを使用することで、この状況を防ぐことができます。通常のログイン IP を構成する方法の詳細については、「アラート スキャン スコープと処理ルールの構成」をご参照ください。
ブルートフォース防止機能は、Web アプリケーションや Web サイトを保護できますか？
いいえ。
ブルートフォース防止機能は、RDP および SSH プロトコルを使用してログインするサーバーを保護します。Web アプリケーションや Web サイトの保護には対応していません。
ブルートフォース攻撃が成功した場合の対処方法
サーバーのパスワードがブルートフォース攻撃によって正常にクラックされた場合、攻撃者がすでにサーバーに侵入し、悪意のあるプログラムを残している可能性があります。 Security Center コンソールにログインし、左側のナビゲーションペインで、 を選択し、コンソールの左上隅で保護対象のアセットが所在するリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。セキュリティアラート ページで CWPP タブに移動し、ブルートフォース成功関連のアラートが存在するかどうかを確認します。
アセットに [ECS ブルートフォース攻撃の成功] のようなアラートがある場合、そのサーバーがブルートフォース攻撃を受けたことを示します。 できるだけ早く次の手順に従ってサーバーのセキュリティを強化することを推奨します。
ブルートフォース攻撃の成功に関するアラートへの対応
セキュリティアラート ページの CWPP タブに移動し、アラートの 操作 列にある Process をクリックし、Block を セキュリティアラート ページで選択してから、今すぐ処理 をクリックします。セキュリティセンターは、悪意のある IP からのアクセスをブロックするためのセキュリティグループの防御ルールを生成します。詳細については、「セキュリティアラートへの対応」をご参照ください。
サーバーのユーザーパスワードの変更
侵害されたユーザーパスワードをできるだけ早く変更してください。強力なパスワードを使用することを推奨します。
Security Center のベースラインチェック機能によるリスク検出
Security Center のベースラインチェック機能を使用して、サーバーのセキュリティを包括的にチェックし、推奨事項に基づいてリスク項目に対応します。この機能を有効にする方法の詳細については、「ベースラインリスクチェック機能の有効化」をご参照ください。
弱いパスワード変更後もパスワードブルートフォースアラートが表示される理由
変更された弱いパスワードは T+1 ベースで有効になります。変更が有効になるまでの間、Security Center はパスワードブルートフォースアラートを通知し続けます。たとえば、2023 年 1 月 15 日の 10:00 にログインパスワードを変更した場合、ベースライン検出モデルはその日の 24:00 頃に更新されたパスワード情報を収集し、弱いパスワードデータベースを更新します。異常ログイン検出モデルは、2023 年 1 月 15 日の 24:00 より前に弱いパスワードデータベースから以前のパスワードをロードするため、この期間中はパスワードブルートフォースアラートが引き続き発生します。
弱いパスワードを変更し、ベースラインチェックで弱いパスワードのリスクが検出されないことを確認した後は、アラートを無視してかまいません。
サーバーのログインパスワードがブルートフォース攻撃で解読された場合は、速やかにサーバーのセキュリティを堅牢化することを推奨します。詳細については、「ブルートフォース攻撃が成功した後はどうすればよいですか？」をご参照ください。
セキュリティグループまたはファイアウォールルールで RDP ポート 3389 をブロックしているにもかかわらず、RDP のブルートフォース攻撃の記録が残る理由
Windows のログオン監査メカニズムでは、$IPC、RDP、SAMBA サービスのログオン監査プロセスは、ログオンメソッドを区別せずに同じログに記録されます。そのため、RDP のサービスポートをブロックしているにもかかわらず RDP のブルートフォース攻撃の記録が表示される場合は、他の 2 つのサービスも有効になっているか確認する必要があります。
確認するには、ECS インスタンスがポート 135、139、445 などでリッスンしているか、またパブリック IP からそれらのポートにアクセスできるかを確認します。あわせて、その期間中に Windows セキュリティ ログに該当するログオン記録があるかどうかも確認してください。
「ECS ログインの弱いパスワード」とは、システムレベル (RDP/SSH) のスキャンのことですか？
弱いパスワードには 2 種類があります。RDP および SSH の弱いパスワードと、CMS などのシステムの管理バックエンドへのログインに使用されるものです。
攻撃分析ページのデータ提供元
[攻撃分析ページ] に表示されるデータは、Security Center が基本攻撃イベントを自動的に識別・遮断した後に収集した攻撃統計と、Alibaba Cloud の Web アプリケーションファイアウォール (WAF) からの攻撃データです。これらの攻撃データは、Security Center と WAF が保護するクラウドアセットを対象とします。Security Center が保護しているアセットは、[アセットページ] で確認できます。
Windows サーバーでウイルスアラートが継続的に発生する場合の対処
Windows サーバーでウイルスアラートが継続的に発生する場合は、まず誤検知かどうかを判断することを推奨します。
ウイルスのファイルパスが Windows システムの隠しディレクトリ (例：
$Recycle.Binごみ箱ディレクトリ) にある場合、ファイルシステムでこのパスを直接検索できないことがあります。管理者として隠しファイルとシステムファイルの表示を有効にして確認してください。Security Center エージェントは低レベルスキャンによってファイルパスを取得するため、ファイルシステムの可視性に制限されません。アラートが誤検知であること、またはファイルが削除済みであることを確認した場合は、このドキュメント内の「誤って暗号資産マイニングのアラートをホワイトリストに追加してしまいました。どうすれば削除できますか？」と同様のホワイトリストからの削除手順を参照するか、アラートを無視してください。
通常のログオンルール設定後、異常な場所や IP からのログオン時にアラートが受信されない問題
通常のログオン場所、通常のログオン IP、通常のログオン時刻、または通常のログオンアカウントを設定したにもかかわらず、異常な場所や IP からログオンした際にアラートが受信されない場合は、次の点を確認してください。
ルールが有効になっているか確認してください。新しく追加された通常のログオンルールが有効になるまでに時間がかかる場合があります。しばらくお待ちください。
アラート通知方法が適切に設定されているか確認してください。SMS やメールの通知設定が有効になっていることも確認してください。
ログオンをトリガーしたサーバーがルールの範囲内にあるかどうかを確認してください。
セキュリティアラート ページで、CWPP タブに移動し、フィルター条件を 処理済み に変更して、処理済みのアラートレコードを確認します。
サーバーに疑わしいおとりファイル (.aegis ディレクトリ内の !~readme.txt など) があります。サーバーが侵害されたということですか？
/root/.aegis/!~readme.txt は、ランサムウェアの挙動を検出するために Security Center が事前に配置したおとりファイルです。ランサムウェアがこのファイルを暗号化しようとすると、Security Center はその挙動を捕捉し、ランサムウェア対策アラートをトリガーします。
このファイルはセキュリティ保護用の正常なファイルであり、サーバー侵害の兆候ではありません。サーバーの正常な動作に影響を与えることはありません。削除しないでください。
アラート処理時に [プロセスの終了] と [ウイルス検出と駆除] が表示されない問題
アラートによっては、Terminate Processやウイルスの検出と除去のオプションがなく、ホワイトリストを追加するとIgnore Onceのオプションのみが表示される場合があります。これは通常、以下の理由で発生します。
Security Center の有料版が有効化されていません。
このタイプのアラートは、Terminate Processおよびウイルスの検出と除去には対応していません。
アラートが履歴データまたは期限切れのアラートイベントであるためです。
Alibaba Cloud 公式スキャナーによるアラートの判断、およびアラート SMS の送信元検証
判定方法
アラート詳細で送信元 IP アドレスを確認してください。送信元 IP が公式の Security Center スキャン IP 範囲 (例:
47.110.180.32/27) に含まれる場合、それは公式サービスによる正常なスキャン動作です。IP がこの範囲内にない場合、それは公式サービスからの呼び出しではありません。お客様のビジネスやサードパーティツールで使用されているか、または AccessKey の漏洩リスクがあるかどうかを確認することをお勧めします。SMS 送信元の検証
Security Center からのアラート SMS と思われるメッセージを受信したものの、コンソールに対応するアラートがない場合や、SMS の信憑性に疑いがある場合は、SMS の送信者番号とコンソール内の実際のアラート記録を照合して検証してください。コンソールに関連するセキュリティイベントがなく、アカウントで AccessKey の漏洩が検出されない場合、通常、その SMS はお客様のアカウントの Security Center からのものではないと判断できます (誤検知、別の製品、またはフィッシング SMS の可能性があります)。コンソール内の実際のデータを参照することを推奨します。
Security Center のネットワーク防御アラート数と Cloud Firewall の遮断記録が一致しない理由
データの不一致の主な理由は次のとおりです。
統計範囲の違い：Cloud Firewall はすべてのネットワーク層遮断イベント (ACL ポリシー、IPS 侵入防止など) をカウントしますが、Security Center は特定のセキュリティ脅威 (SSH ブルートフォース攻撃や Web アプリケーション攻撃など) のみに焦点を当てています。
データ集約メカニズムの違い：Security Center は、短期間に同じソース IP から行われた複数の攻撃を集約して表示します (1 つのアラートにまとめられます) が、Cloud Firewall は通常、個別の遮断ログを記録します。
タイムウィンドウと遅延：2 つのコンソールで選択されている時間範囲が異なる場合があり、Security Center のデータ処理にも一定の同期遅延があります。
Security Center によるアラート生成後、サーバーリソースは削除またはシャットダウンされますか？
いいえ。
不審なプロセスへの対処が有効でない、または [無視]/[手動で対処済み] オプションしか利用できない場合の対処法
原因
Security Center の有料エディションがアクティブ化されていない、アラートに対応するプロセスが実行中でない、またはファイルが削除されていることが原因です。
解決策
Advanced edition 以上をアクティブ化して、自動対処機能を使用します。
有料エディションをアクティブ化しない場合は、サーバーにログインして手動で問題に対処する必要があります。
アラートに記載のプロセス ID (PID) を記録し、次のコマンドを実行してプロセスを強制終了します。
kill -9 <PID>悪意のあるプログラムによる自己保護によってプロセスを終了できない場合は、まず次のコマンドを実行してファイル保護を解除してから、プロセスを強制終了します。
chattr -i /path/to/file/etc/crontab と を確認して、残存物をクリーンアップします。
脅威がクリアされたことを確認した場合、Ignore または Manually Handled を選択してアラートを閉じることができます。
権限昇格が疑われるアラートのトラブルシューティングと対処法
通常の運用保守オペレーションであるかの確認：アラート時刻の前後で、管理者がホスト上で sudo、su、またはソフトウェアのインストールなどの権限昇格操作を実行したかどうかを確認します。計画された操作である場合は、無視するか、ホワイトリストに追加してください。
不審なプロセスとファイルの確認：Security Center コンソールにログインし、アラート詳細ページに移動してプロセスチェーンとファイルパスを表示します。不明なバイナリ、スクリプト、または改ざんされたシステムコマンドがないか重点的に確認します。異常ログオンやブルートフォース アラートが付随している場合は、異常ログオン アラートと合わせて分析します。
対処の提案：
悪意のあるものと確認された場合は、直ちにアセットを隔離し、不審なネットワーク接続をブロックし、Security Center の [ウイルスの検出と除去]、または [脆弱性管理]の機能を使用してバックドアを駆除し、関連する脆弱性を修正してください。
誤検知である場合は、アラート詳細ページで ホワイトリストを追加する をクリックしてください。
SSH キーベースのログインが設定されているサーバーで異常ログインアラートを受信した場合の対処法
Security Center の ページに移動して、リモートログインアラートの詳細を表示し、ログイン IP とリージョン情報を取得します。
説明Agentic SOC サービスをアクティブ化している場合、左側のメニュー項目は に変更されます。
サーバーにログインし、/var/log/secure ログで、該当の IP アドレスからログインに成功した記録があるかどうかを確認します。
ログにキーベースのログインが成功した記録がある場合は、サーバーに不明な SSH キーがないかを確認します。新しいキーペアを作成してサーバーに再設定し、サーバーログインパスワードをリセットしてセキュリティを確保することを推奨します。
API による Security Center のアラートリストのエクスポート
ExportSuspEvents - アラートのエクスポート オペレーションを呼び出して、エクスポートタスク ID を生成します。
DescribeSuspEventExportInfo - アラートイベントエクスポート情報の照会 オペレーションを呼び出し、タスク ID を渡します。
返された結果から
linkフィールド (ダウンロード URL) を取得します。ブラウザから URL にアクセスして、アラートリストを ZIP ファイルとしてローカルマシンにダウンロードします。
暗号通貨マイニングアラートの処理時に「控除パッケージのリスト取得失敗」エラーが発生した場合
この問題をトラブルシューティングするには、クラウドディスクスナップショットを作成し、必要な権限を付与する必要があります。
システムの再インストール後、Security Center で異常が検知されなくなったことを確認する方法
セキュリティセンターの アラート ページとサーバーの CPU リソース使用率を確認します。過去数時間以内にマイニング通信が検出されず、CPU 使用率が正常に戻った場合、異常は解消されています。
CPU 使用率が高いにもかかわらず、マイニングアラートが検出されない場合の対処法
ページで、まず過去のアラートをすべて処理してから、スキャンを実行します。
説明Agentic SOC サービスを有効化した場合、左側のナビゲーションペインのエントリは脅威の分析と応答アラートに変更されます。
スキャン中にウイルスが検出されない場合、ウイルスは駆除済みです。
Java アプリケーションがエンコードされた不審なコマンドを実行している、または悪意のあるスクリプトのコード実行に関するアラートがないか確認してください。開発者に連絡してコードの脆弱性を修正し、引き続き監視することを推奨します。
自身の O&M 操作による Security Center アラートの確認方法
アラートでは特定のアクセス IP を確認できないため、以下の方法で確認することを推奨します。
アラート詳細でユーザー名と操作時間を確認し、ご自身の O&M 操作と一致するかどうかを判断します。
アラート詳細でプロセスパス (例: /usr/bin/bash) と親プロセス (例:
sshd-session) を確認します。ログインログと照合します。
アラートに対処した後、ご自身の接続に影響があるかどうかをテストし、アラートとの関連性を判断します。
アラート詳細ページで [Security AI Assistant] をクリックして承認し、アラート詳細を分析させます。
StarOPS 定期検査タスクによるアラートへの対処
Security Center でアラート詳細を表示し、関連情報を確認します。アラート時刻とアラートのスキャンディレクトリを StarOPS 定期検査タスクと比較します。 StarOPS が実行したコマンドによってアラートが発生したことを確認した場合は、誤検知と判断し、アラートを [無視] して、その後の経過を観察します。
インスタンスのサブスクリプション解除またはリリース後も Security Center がセキュリティアラートを生成する場合の対処法
Security Center コンソールにログインし、「サーバーの管理」 の説明に従って、対象サーバーのバインドを解除します。
アラート ページで、サーバーインスタンスに関連付けられた未処理のアラートがある場合は、一括で [無視] または Manually Handled として処理します。
アラートにおける内部 IP 攻撃の原因とトラブルシューティング方法
原因
Security Center は、ホストレベルの行動分析に基づき、送信元 IP がサーバーに対して開始した攻撃シグネチャ (ブルートフォース攻撃、ポートスキャン、脆弱性の悪用など) に一致する動作を検出します。送信元 IP がパブリック IP か内部 IP かに関わらず、その動作が異常であればアラートがトリガーされます。
考えられるシナリオ
同じアカウント配下の他の Elastic Compute Service (ECS) インスタンスが侵害されているか、設定が誤っており、内部攻撃を開始している。
他の VPC 内のインスタンスが、Cloud Enterprise Network (CEN)、VPC ピアリング接続、または共有 VPC を介して内部ネットワーク経由でアクセスしている。
オンプレミスデータセンターが Express Connect 回線を介してクラウドに接続している。
高頻度の内部ビジネスリクエストが誤検知されている。
トラブルシューティングと対処
ECS コンソールで IP の所有権と、CEN やピアリング接続などのネットワーク接続構成の有無を確認します。
Security Center コンソールにログインして、具体的な攻撃タイプ、時刻、ポートを確認し、誤検知かどうかを判断します。
信頼できる内部からの通信であると確認された場合は、IP 遮断ポリシーでその IP をホワイトリストに追加します。
送信元を特定できない場合は、遮断を有効のままにし、ターゲットサーバーのセキュリティグループを確認して、必要なポートのみが開いていることを確認するよう推奨します。
特定の人物が悪意のあるコードを仕込んだかどうかの確認方法
Security Center は脅威検出に重点を置いているため、悪意のあるコードを仕込んだ人物を直接特定することはできません。ActionTrail を有効化している場合は、ソースの追跡に役立つため、アラートのタイムウィンドウ内における関連操作の記録を確認することを推奨します。
Alibaba Cloud アカウントで異常な RAM ユーザー (サブアカウント) が作成された場合の対処法
原因
AccessKey が Alibaba Cloud のセキュリティリスク管理ルールをトリガーし、「高権限のサブアカウントの異常な作成」が検出されました。この場合、AccessKey が漏洩した可能性があります。
対処手順
RAM コンソールで、ステータスが [凍結] の異常な RAM ユーザーを削除してください。
不要なすべての AccessKey を直ちに無効化して削除してください。業務用の新しい AccessKey を作成し、設定を更新してください。
Security Center コンソールにログインし、[セキュリティアラート] ページで、他の侵入の痕跡がないか確認してください。
プライマリアカウントとすべての RAM ユーザーに対して多要素認証 (MFA) を有効にしてください。
特定の内部 IP のみが許可される VPN 環境での異常ログオンアラートと誤検知
リスクアセスメント
セキュリティグループポリシー (特定の内部 IP のみを許可) と VPN アクセス制御 (個人のリモートアクセスのみを許可) を組み合わせることで、悪意のあるアクターによる外部からの攻撃を受ける可能性は低くなります。
原因
このアラートは、ログ収集の問題、非対話型ログオン、または誤検知 (通常の業務上の変動が異常検出をトリガーする) が原因である可能性があります。
提案
運用保守担当者に確認し、IP が正常であることを確認した後、Security Center でその IP を ホワイトリストを追加する し、スナップショットバックアップを取得して、その後同様のアラートが発生するかどうかを観察してください。
Security Center によるバックドア検出後の Web サイトのアクセス復旧
セキュリティセンターコンソールにログオンし、 配下の CWPP タブに移動して、アラートの詳細を確認します。
説明Agentic SOC サービスを有効化している場合、左側メニューのエントリは に変更されます。
バックドアファイルと確認された場合は、まず ECS インスタンスのスナップショットバックアップを作成してから、異常なファイルを手動で削除または隔離し、Web サイトディレクトリと構成ファイルが完全であるかを確認します。
処理が完了したら、Web サービスを再起動してアクセスの復旧を試みます。
ECS インスタンスの Python 環境が繰り返し破損し、Webサイトが利用できなくなる場合の対処法
Security Center コンソールにログインし、アラート詳細で バックドア (Webシェル) ファイルの検出 に関する緊急アラートがあるかどうかを確認します。
悪意のあるファイルであることが確認された場合は、「ウイルスの検出と駆除」に記載の方法に従い、ウイルスプロセスを直ちに終了し、ウイルスファイルを隔離エリアに移動してください。
処理後、侵入の原因を調査し、バックドアが再び仕掛けられないようにシステムを強化してください。
バックドアをクリーンアップした後も Python 環境を復旧できない場合は、テクニカルサポートによる対応が必要になる可能性があります。
インスタンスのリージョンが異なるため ECS アラートが表示されない場合の対処法
Security Center コンソールにアクセスし、 ページに移動して、リージョンを Outside Chinese Mainland に切り替えると、中国本土以外の ECS インスタンスのアラートを表示できます。
HandleSimilarSecurityEvents で InvalidOperationForEvent エラーが返された場合の対処法
ECS サーバーが現在、Security Center の Free edition の認可にバインドされていることが原因です。ファイルの隔離やプロセスの終了といった Security Center のプロアクティブな対応機能には、Anti-Virus edition 以上の認可が必要です。関連する機能を使用してアラートに対応するには、認可をアップグレードしてください。
特定の日付における過去のセキュリティアラートの表示
Security Center コンソールにログインします。左側メニューで、 を選択して、アラートリストページに移動します。時間フィルター条件を 設定 (例：特定の日付を選択) して、その期間の過去のセキュリティアラート記録をクエリします。
コンソールにファイル改ざん防止アラート記録が表示されない場合
セキュリティセンターコンソールで、 配下の CWPP タブに移動します。
説明Agentic SOC サービスをアクティブ化している場合、左側メニューのエントリは に変更されます。
正しいリージョン (例: Chinese Mainland または Outside Chinese Mainland) が選択されていることを確認します。
アラートリストで、サーバー IP とイベントタイプでフィルタリングしてアラートを見つけます。