このトピックでは、Security Center のホスト保護機能に関するよくある質問を紹介します。
よくある質問
ランサムウェア対策
ランサムウェア対策機能とは何ですか。なぜ別料金なのですか。
ランサムウェア対策は、サーバーとデータベースをランサムウェア攻撃から保護します。暗号化されたファイルのワンクリック復元と、重要なディレクトリのバックアップをワンクリックで有効化できます。ランサムウェア対策は独立したストレージリソースを使用するため、Security Center のエディション料金とは別に課金されます。詳細については、「Anti-ransomware service」および「Enable and purchase the anti-ransomware service」をご参照ください。
Security Center のランサムウェア対策機能と Alibaba Cloud Cloud Backup の関係は何ですか。
Security Center のランサムウェア対策は、Alibaba Cloud Cloud Backup (Cloud Backup) のストレージ機能を使用します。Cloud Backup を有効化していない場合、ランサムウェア対策容量を購入してクラウド製品の権限付与を完了すると、自動的に有効化されます。Cloud Backup を有効化しても追加料金は発生しません。
ランサムウェア対策容量を購入すると、バックアップは自動的に開始されますか。
いいえ。バックアップを開始する前に、保護ポリシーを作成して有効化する必要があります。手順については、「Create and manage anti-ransomware policies and agents」をご参照ください。
購入済みのランサムウェア対策容量と使用状況を確認するにはどうすればよいですか。
ランサムウェア対策サービスを有効化した後、次の手順に従います：
Security Center console にログオンします。
左側メニューで、 を選択します。コンソールの左上で、保護対象アセットが所在するリージョンとして [Chinese Mainland] または [Outside Chinese Mainland] を選択します。
ランサムウェア対策 ページで、容量使用量の内訳を確認します。
ディスク容量を大量に使用しているランサムウェア対策バックアップキャッシュを削除するにはどうすればよいですか。
ランサムウェア対策は、バックアップを高速化するためにサーバー上のディスク容量をキャッシュとして使用します。C:\Program Files (x86)\Alibaba\Aegis\hbr\cache (Windows) または /usr/local/aegis/hbr/cache (Linux) のキャッシュが大きくなりすぎた場合は、キャッシュファイルを削除できます。手順については、「Clear disk space」をご参照ください。
C ドライブの容量を大量に使用する場合、バックアップキャッシュの場所を変更できますか。
はい。ランサムウェア対策バックアップクライアントの設定ファイルを変更することで、キャッシュの場所を変更できます。手順については、「Modify the backup cache location, status, and system memory usage limit」をご参照ください。
ランサムウェア対策クライアントが CPU やメモリリソースを過剰に消費する場合はどうすればよいですか。
古いバージョンのランサムウェア対策クライアントでは、バックアップ中に CPU 使用率やメモリ使用率が高くなる場合があります。この問題はバージョン 2.19.6 以降で解消されています。クライアントのバージョンが 2.19.6 より前の場合は、次の手順で更新してください：
Security Center console にログオンします。左側メニューで、 を選択します。コンソールの左上で、保護対象アセットが所在するリージョンとして [Chinese Mainland] または [Outside Chinese Mainland] を選択します。
サーバーのランサムウェア対策 タブで対象サーバーを見つけます。[Actions] 列で アンインストール をクリックし、確認ダイアログボックスで OK をクリックします。
クライアントのステータスはクライアントがアンインストールしていますに変わります。アンインストールには約 5 分かかります。
アンインストールが完了したら、[Actions] 列で インストール をクリックし、確認ダイアログボックスで [OK] をクリックします。
クライアントのステータスがインストールしていますに変わります。インストールには約 5 分かかります。
更新後も問題が解決しない場合は、トラブルシューティングについては、「Troubleshoot high disk or memory usage from anti-ransomware backups」をご参照ください。
ランサムウェア対策ソリューションとスナップショットバックアップの違いは何ですか。
次の表は、スナップショットバックアップとランサムウェア対策ソリューションを比較したものです：
機能
データバックアップ
ウイルス対策機能
コスト
スナップショット
システムディスク全体を一括でバックアップします。データを復元するにはシステムの再起動が必要です。
ウイルス対策機能はありません。
コストが高くなります。スナップショットはディスク全体をバックアップする必要があり、バックアップ対象のファイルを選択できません。スナップショットは CNY 0.12USD 0.02/GB/月で課金されます。詳細については、「Snapshot billing」をご参照ください。
ランサムウェア対策ソリューション
柔軟なファイルレベルのマルチバージョンバックアップに対応しています。バックアップ済みの任意のバージョンを復元できます。データの復元にシステムの再起動は不要です。
既知のランサムウェアに対するリアルタイムブロックとアラートに対応しています。ハニーポットを使用して未知のランサムウェアを検知し、暗号化されたデータをワンクリックで復元できます。
コストが低くなります。ランサムウェア対策はファイルレベルの保護に対応しており、実際の使用量に基づいて課金されます。ディスク全体のバックアップ費用を支払う必要はありません。詳細については、「Billing description」をご参照ください。
購入したランサムウェア対策容量が不足している場合はどうすればよいですか。
容量不足によりバックアップが失敗します。容量を拡張するか、既存の容量を解放して対処してください。
容量を拡張する
Security Center console にログオンします。左側メニューで、 を選択します。コンソールの左上で、保護対象アセットが所在するリージョンとして [Chinese Mainland] または [Outside Chinese Mainland] を選択します。 ランサムウェア対策 ページで、Used Capacity/Total Capacity の下にある アップグレード をクリックして容量をアップグレードします。
説明サーバー 1 台あたり 50 GB の容量を割り当ててください。
容量を解放する
保護対象サーバー数を減らします：保護ポリシーから非本番サーバー (テストサーバーやアイドルサーバーなど) を削除してください。「Manage servers in an anti-ransomware policy」をご参照ください。
保護対象ディレクトリを減らします：保護ポリシーの作成時に Custom Policy を使用し、特定のディレクトリのみをバックアップしてください。「Create and manage anti-ransomware policies and agents」をご参照ください。
過去のバックアップデータを削除します：古いバックアップが不要になった場合は、削除して容量を解放してください。「Delete backed-up data」をご参照ください。
保護ポリシーが異常状態の場合はどうすればよいですか。
異常なポリシーではデータをバックアップできません。ランサムウェア対策 ページで原因を特定し、画面の指示に従ってください。主な原因は次のとおりです：
容量不足
バックアップ中に使用容量が合計容量を超えると、バックアップが一時停止し、新しい復元タスクを作成できなくなります。追加容量を購入して継続してください。「Upgrades and downgrades」をご参照ください。
Agent のオフライン
サーバー上の Agent がオフラインの場合、ポリシーが異常になります。「Troubleshoot Agent offline issues」をご参照ください。
バックアップ例外
バックアップパスが正しくない、またはサーバーのディスク容量が不足していると、リカバリタスクは失敗します。正しいパスで新しいリカバリタスクを作成し、十分なディスク容量を確保します。新しいタスクが完了すると、ポリシーはNormalに戻ります。
ランサムウェア対策を無効化した後も .aeqis または .zaegis フォルダーが残るのはなぜですか。
これらのフォルダーは、ランサムウェア対策によって配置されるセキュリティデコイファイルです。ランサムウェアがこれらにアクセスしようとした際に検知してブロックします。コンソールでポリシーを無効化しても、ホスト保護モジュール (AliHips) によって管理される常駐セキュリティコンポーネントがこれらのファイルを保持します。これは正常な動作です。手動で削除する必要はなく、追加料金も発生しません。
ランサムウェア対策サービスは、ランサムウェア感染に対する補償を保証しますか。
いいえ。サーバーの感染は複数の要因によって発生し、ホストや Security Center が直接の原因ではありません。責任範囲の定義とサービス保証については、関連契約をご参照ください。
パブリックネットワークにアクセスできない内部ネットワークサーバーでも、ランサムウェア対策は必要ですか。
はい。内部ネットワークサーバーでも、ラテラルムーブメント、内部関係者の操作ミス、またはサプライチェーン攻撃によってランサムウェアのリスクがあります。ランサムウェア対策は重要ディレクトリをバックアップして保護し、全体的なセキュリティ体制を強化します。
アラートが生成されない場合、サーバーがランサムウェアの標的になったかどうかを確認するにはどうすればよいですか。
次の手順に従います：
Security Center コンソールにログオンします。悪意のあるプロセス、ランサムウェア、または異常なログオンに関するアラートがないか、 または ページを確認してください。
アラートがない場合は、技術エンジニアに連絡し、データベーステーブルエントリの不審な変更、ファイル改ざん、または異常な暗号化拡張子がないかをサーバーで確認してください。
業務アプリケーションが正常に動作し、これらの兆候がない場合、サーバーはランサムウェアの標的になっていない可能性が高いです。
サーバーのスナップショットポリシーを設定し、定期的にデータをバックアップしてデータセキュリティを確保してください。
ファイル改ざん防止
Security Center のエディションの有効期間と、ファイル改ざん防止の有効期間を別にできますか。
サブスクリプションインスタンスの場合、すべての機能モジュール (ファイル改ざん防止を含む) の有効期間は同一です。サービスサイクルが異なるサブスクリプションサービスを個別に購入することはできません。
推奨ソリューション：「Downgrade」ページで File Tamper-Proofing のサブスクリプションサービスを解約し、その後 File Tamper-Proofing の従量課金サービスを有効化してください。詳細については、「File tamper-proofing」をご参照ください。
"Protection module initialization failed. Check if other software is intercepting or controlling service creation." を解決するにはどうすればよいですか。
サーバー上の別のセキュリティアプリケーションが、Security Center の改ざん防止プログラムをブロックしている可能性があります。別のセキュリティソフトウェアの許可リストに Security Center Agent プロセスを追加するか、ドライバーサービス作成のブロック機能を無効化してください。
ファイル改ざん防止のローカルバックアップディレクトリに関する要件は何ですか。
同時に有効にできるルールは最大 100 個です。
ルールごとに最大 100 個の保護パスと 100 個のプロセスパスを設定できます。
各保護パスは 1～128 文字である必要があります。
保護されたファイルまたはディレクトリの完全なパスは、1,000 文字または 500 中国語の文字を超えることはできません。
保護パスが NFS サーバーのプロセスパスを指している場合、NFS クライアント経由でのファイル変更は防御できません。
改ざん防止ディレクトリの設定時にパスエラーが表示されるのはなぜですか。
Windows の場合は、スラッシュ (/) ではなくバックスラッシュ (\) を使用してください。例：
C:\Program Files\Common Files。説明保護ディレクトリパスでは、次の文字は使用できません： /;*?""<>|
保護ディレクトリを設定した後にファイル改ざん防止が失敗するのはなぜですか。
保護ディレクトリを設定した後、保護スイッチを有効化し、クライアントが実行中であることを確認する必要があります。次の項目を確認してください：
保護したいファイルが保護ディレクトリ内にあること。
ルール作成後に保護スイッチが有効化されていること。
クライアントがオンラインであること：
Security Center console にログオンします。 ページの Protection Management タブでサービスステータスを確認します。
ステータスが Abnormal の場合は、操作を再試行してください。ステータスが Offline の場合は、Agent を再インストールしてください (「Agent のインストール」をご参照ください)。
サーバーに十分なディスク容量があること。
保護対象として設定したディレクトリに、引き続きファイルを書き込めますか。
いいえ。改ざん防止の対象としてディレクトリを設定した後は、新しいファイルを書き込めません。
設定後すぐに改ざん防止が有効にならない場合はどうすればよいですか。
ディレクトリを設定した直後は、保護がすぐに有効にならない場合があります。この場合は、Protection Management リストで該当サーバーの Protection Status スイッチをオフにし、再度オンにしてください。
改ざん防止を有効にしているのに、SSH 経由で保護対象ファイルを変更してもアラートが生成されないのはなぜですか。
考えられる原因は次のとおりです：
Protection Status スイッチが有効化されていません。
Protection Status スイッチを有効化した後に保護ディレクトリを変更したものの、変更後にスイッチをオフ/オンに切り替えていない可能性があります。
ファイルが許可リストに含まれています。
許可リストに含まれるファイルは信頼済みと見なされます。改ざん防止は、これらのファイルの変更に対してアラートを生成したり、変更をブロックしたりしません。「Add to allowlist」をご参照ください。
サーバーのカーネルがサポート範囲外です。
カーネルがサポートされている場合、改ざん防止はアラートを生成せずにファイル変更を直接ブロックします。
説明ファイルを保存した後、Web ページの改ざん防止 ページに戻ります。[処理済み] リストで、変更がブロックされたことを確認できます。サーバー上でファイルを確認すると、変更が保存されていないことを確認できます。
改ざん防止を設定した後に Web サイトのコンテンツや画像を変更できない場合はどうすればよいですか。
次のいずれかの方法で対処してください：
改ざん防止を無効化して Web サイトのコンテンツを更新し、再度保護を有効化します。「File tamper-proofing」をご参照ください。
改ざん防止ディレクトリから Web サイトのパスを除外します。
説明改ざん防止は、保護対象 Web サイトファイルをリアルタイム更新するために、Linux および Windows サーバープロセスを許可リストに追加することをサポートします。「Add to allowlist」をご参照ください。
改ざん防止ルールを無効化または変更した後も、ファイル操作がブロックされたりアラートが生成されたりするのはなぜですか。
考えられる原因は次のとおりです：
ルール有効化の遅延：ルールは初回設定後に最大 5 分、変更後に最大 1 分で有効になります。テストする前に、ルールが有効になるまで待ってください。
ルール優先度の競合：優先度の高いブロックルールが存在し、上書きされていません。
正当なプロセス (デプロイプロセスなど) を許可するには、Allow ルールを設定してください。Allow ルールは Block ルールおよび Alert ルールよりも優先されます。
コンソールに表示される改ざん防止アラート数と、メール通知の数が異なるのはなぜですか。
Security Center コンソールの左上にあるリージョン設定を確認し、アラートメール内のアセットのリージョンと一致していることを確認してください。正しいリージョンに切り替えると、該当するアラートの詳細を確認できます。
改ざん防止アラートがない場合、ファイルは安全だと言えますか。
ルール設定が変更されておらず、アラートリストに関連レコードがない場合、ファイルは安全な状態です。アラートは異常な操作が検知されたことを示します。
バージョンアップ後に改ざん防止ルールは自動生成されますか。
いいえ。改ざん防止ルールはすべて手動で設定する必要があります。バージョンアップ後にシステムがルールを自動生成することはありません。
ウイルスおよびマルウェア対策
サーバー上の Web シェルに関する SMS またはメールアラートを受信した場合はどうすればよいですか。
Web シェルのアラートは、サーバーが侵害され、バックドアファイルがアップロードされたことを意味します。攻撃者は Web サイトやデータベースを操作できます。Security Center を使用してバックドアファイルを隔離し、その後、侵入の根本原因を調査して、同じ脆弱性が再度悪用されないようにしてください。
特定の脆弱性を調査するには、専門家によるコンサルティングのために Managed Security Service を購入してください。
Security Center で仮想通貨マイナーが報告されるのに、ウイルススキャンでは検出されないのはなぜですか。
考えられる原因は次のとおりです：
ファイルは既に削除済み: 悪意のあるファイルは、他のセキュリティソフトウェアによってクリーンアップされたか、手動で削除されたか、マルウェアによって自己削除された可能性があります。状況を監視するか、アラートを Manually Handled または Ignore としてマークします。
メモリ内または潜伏プロセス：悪意のあるプロセスの中には、メモリ内でのみ実行されたり、ディスクに永続化されずに実行されたりするものがあります。スキャン中にMemory Checkを有効にするか、Deep Cleanup機能を使用します。
誤検知: PaddleOCR などの正規のプログラムが検知される可能性があります。悪意のあるネットワーク接続がないことを確認した場合は、Add to Whitelist または Ignore を選択します。
古いアラート：ファイルが削除された後も、過去のアラートが自動的にクリアされない場合があります。Rescan を実行してステータスを更新してください。
ローカルのウイルス対策ソフトウェア (360 など) ではウイルスが検出されるのに Security Center では検出されない、またはその逆の場合はどうすればよいですか。
ローカルのウイルス対策ソフトウェアではウイルスが検出されるが、Security Center では検出されない：ローカルソフトウェアの誤検知、または Security Center がファイルを低リスクまたは許可リストとして分類している可能性があります。ファイルの入手元を確認してください。自社アプリケーションであることが確認できた場合は、Security Center でアラートを無視するか、ソフトウェアベンダーにお問い合わせください。
説明サードパーティのウイルス対策ソフトウェアは Security Center Agent と競合する場合があります。ローカルのウイルス対策ソフトウェアの許可リストに Agent ディレクトリを追加してください。
セキュリティセンターでウイルスが報告されたが、ローカルファイルが存在しない: ファイルがごみ箱 (
$Recycle.Binなど) にあり、空にされたか、または別のツールによって削除された可能性があります。セキュリティセンターの ウイルスの検出と除去 でフルディスクスキャンを実行して、ステータスを同期します。脅威が見つからない場合は、アラートを Manually Handled または Ignore としてマークします。
ウイルススキャンは業務パフォーマンスや Java プロセスに影響しますか。
リソース使用量：ウイルススキャンが使用する CPU と I/O リソースは最小限です。通常の業務運用への影響は最小限です。
処理メカニズム: ウイルスを検出すると、デフォルトでアラートが生成されます。手動でDeep CleanupまたはQuarantineを実行しない限り、ビジネスプロセスを積極的に終了させたり、ファイルを削除したりすることはありません。
推奨：高負荷の業務では、オフピーク時にスキャンを実行するか、Memory Check を無効化してリソース消費を抑えてください。スキャン処理は、対象のプロセスが悪意のあるものと確認され、ユーザーが削除を選択しない限り、Java などのプロセスを停止させることはありません。
悪意のあるアドレスへの接続に関するアラートはどのように対処すればよいですか。
次の手順に従います：
Agent を確認する：Security Center Agent がオンラインであることを確認してください。オフラインの場合は、再インストールまたは再起動してください。
ウイルススキャンを実行する：ウイルスの検出と除去 ページで手動スキャンを開始し、悪意のある接続を開始しているトロイの木馬やバックドアファイルを検出してください。
ネットワーク調査：セキュリティグループルールとネットワークログで、異常なアウトバウンド接続がないか確認してください。必要に応じて不審な IP アドレスをブロックしてください。
一般的なホスト保護
Security Center は、システムファイル (/dev/shm など) を自動的にクリーンアップしたり、シンボリックリンクを確認するツールを提供したりしますか。
いいえ。Security Center は
/dev/shmなどのディレクトリ内のファイルを自動的にクリーンアップしません。中核機能は脅威の検知と悪意のある動作の遮断です。システムレベルのファイルクリーンアップ機構は含まれていません。Security Center は、Windows システムでシンボリックリンクを迅速に確認して削除するツールを提供していません。スキャンを実行する前に、ディスク容量を手動で確認し、Windows Defender のステータスを確認するか、パッチを更新してください。
Security Center の保護を無効化すると、クラウドサーバーの運用に影響しますか。
いいえ。Security Center の保護を無効化しても、サーバーの通常運用には影響しません。Security Center はホスト保護ソフトウェアであり、セキュリティを強化しますが、サーバーパフォーマンスに必須ではありません。このサービスを無効化する場合は、サーバーを自分で強化する必要があります (例：既知の脆弱性がないソフトウェアバージョンを使用する、強力なパスワードを設定する)。
Security Center コンソールの赤い表示 (未処理項目やランサムウェア対策クォータなど) は、業務運用に影響しますか。
未処理項目 (未修正の脆弱性やベースラインリスクなど)：未対応のままにすると攻撃リスクは増加しますが、サーバーの通常運用には影響しません。
ランサムウェア対策クォータの使用量が上限に近い：新しいバックアップが失敗し、データ復旧機能に影響する可能性がありますが、既存の業務運用には影響しません。
該当するアラートの詳細を確認し、長期的な安定性とデータセキュリティのために、脆弱性に対処するかランサムウェア対策クォータを拡張してください。
Security Center は、ウイルスライブラリの詳細な更新履歴を提供しますか。
いいえ。Security Center はウイルスライブラリのバージョン更新時刻のみを提供しています。詳細な更新履歴は提供していません。
Security Center で異常ログオンのアラートが報告されるのに、Windows のシステムログに該当レコードがないのはなぜですか。
考えられる原因は次のとおりです：
ログ収集の遅延または欠損：ログ転送が遅延する場合があります。
ローカルログの上書き：サイズ上限 (例：20 MB) によりローカルログが上書きされ、過去のレコードが利用できない場合があります。
非対話型ログオン：非対話型ログオン (バックグラウンドサービスやスケジュールタスクによってトリガーされるものなど) は、イベントビューアー上では通常のイベント ID 4624 の対話型ログオンイベントとして表示されませんが、Security Center では取得されます。
Security Center は、ECS インスタンスの具体的なログオン方式 (パスワードまたはキー) や、詳細な送信元を確認できますか。
いいえ。Security Center は具体的なログオン方式や詳細な送信元のトレースをサポートしていません。異常なログオン動作のみを検知できます。
Security Center のメモリ使用率アラートと、CloudMonitor の残りメモリ使用率アラートの違いは何ですか。
Security Center はメモリ使用率を監視し、CloudMonitor は残りメモリ使用率を監視します。両製品は指標が異なるため、アラートのトリガーが一致しない場合があります。
クライアントと権限
Security Center Agent、Cloud Assistant クライアント、ランサムウェア対策クライアントの違いは何ですか。
これら 3 つのクライアントは用途が異なり、同じ ECS インスタンス上で競合なく共存できます：
Security Center Agent：Security Center の中核となる Agent です。ホスト保護 (脆弱性検知、マルウェアスキャン、ベースラインチェックなど) を有効化すると自動的にインストールされます。包括的なセキュリティスキャンと保護を提供します。
Cloud Assistant Client (Aliyun Assist)：スクリプト実行やコマンド実行のための汎用 ECS エージェントです。Security Center とは独立しており、Security Center Agent と競合なく共存できます。
ランサムウェア対策クライアント：ランサムウェア対策を有効化した際にインストールされる専用バックアップ Agent です。ランサムウェア対策のためのデータバックアップと復元を処理します。Security Center Agent と併用できます。