悪意のある振る舞い防御 - Security Center - Alibaba Cloud ドキュメントセンター

悪意のある振る舞い防御は、サーバー上の悪意のあるアクティビティを特定、ブロックし、対応します。このトピックでは、システム防御ルールとカスタム防御ルールを設定して、アセットを保護する方法について説明します。

シナリオ

悪意のある振る舞い防御は、システム防御ルールとカスタム防御ルールをサポートしています。

重要

カスタム防御ルールは、システム防御ルールよりも優先されます。

ルールの種類

説明

システム防御ルール

システム防御ルールには、[ネットワーク防御] と [プロセス防御] の 2 種類があります。

[ネットワーク防御]：セキュリティセンターは、ネットワーク防御 ルールに基づいて、基本的なネットワーク攻撃を自動的にブロックして処理します。攻撃に関するデータは、レスポンス検出 > アラート の ネットワーク防御アラート ページで表示できます。
[プロセス防御]: セキュリティセンターは、プロセス防御ルールに基づいて高精度防御アラートを生成します。これらのアラートは、レスポンス検出 > アラート配下の高精度防御タブで表示および処理できます。

カスタム防御ルール

カスタム防衛ルール を作成して、特定の動作を許可またはブロックします。悪意のある動作の防御におけるカスタム防御ルールのベストプラクティス。

システム防御ルールの管理

プロセス防御は、Security Center の Advanced Edition で利用できます。Enterprise Edition と Ultimate Edition には、すべてのシステム防御ルールが含まれます。

Security Center コンソールにログインします。
左側のナビゲーションペインで、保護設定 > ホスト保護 > ホストルール管理 を選択します。コンソールの左上隅で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。
悪意のある行動の防御 ページで、システム防御ルール タブをクリックして、対象のシステム防御ルールを検索して管理します。
- ルールの有効化または無効化
  
  ビジネスに適さない、またはアセットのセキュリティスコアに影響するルールは無効化できます。
  
  重要
  システム防御ルールを無効にすると、セキュリティセンターは関連するセキュリティリスクの検出およびレポートを停止します。その結果、関連するアラートはセキュリティアラートの処理 ページに表示されなくなります。注意して実行してください。
  1. 対象のルールを 1 つ以上選択します。
  2. ルール一覧の下のバッチ有効化 または バッチ無効化 をクリックします。
- ホストの管理
  
  重要
  ルールからアセットを削除すると、そのルールは当該アセットを保護しなくなります。操作は慎重に行ってください。
  
  悪意のある振る舞い防御の保護範囲から特定のサーバーを除外する (例えば、サーバーがランサムウェアのデコイ保護によってブロックされた場合) には、[ホスト固有のルール管理] > [悪意のある振る舞い防御] ページに移動し、対応する防御ルール (ランサムウェア対策ルールなど) を選択して、保護範囲からサーバーを削除します。
  1. 管理したいシステム防御ルールを見つけ、[操作] 列の アセットの管理 をクリックします。
  2. ホスト管理 パネルで、ルールのアセットを追加または削除し、OK をクリックします。

カスタム防御ルールの作成

通常の業務アクティビティに対する誤検知を防ぐために、コマンドラインやプロセスハッシュなどの特定の振る舞いを許可リストに追加するカスタム防御ルールを作成します。

Security Center コンソールにログインします。
左側のナビゲーションペインで、保護設定 > ホスト保護 > ホストルール管理 を選択します。コンソールの左上隅で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。
悪意のある行動の防御 ページで、カスタム防衛ルール タブをクリックし、次に ホワイトリストルール作成 をクリックします。
ホワイトリストルール作成 パネルで、ビジネスニーズに基づいて ルールタイプ を選択し、パラメーターを設定し、ルールの アクション を設定してから、次へをクリックします。

パラメータはルールタイプによって異なります。利用可能な許可リストのルールタイプは次のとおりです。
- プロセスハッシュ
- コマンドライン
- プロセスネットワーク
- ネットワーク遮断 (送信元 IP/ドメイン)
  
  送信元 IP アドレスまたはドメインに対して、ブラックリストまたはホワイトリストのルールを設定できます。セキュリティアラートでリバースシェルまたは永続的な悪意のあるアウトバウンド接続が示された場合は、カスタムのネットワーク遮断ルールを作成することで、特定の攻撃元 IP をブロックできます。また、カスタマーサービスまたはセキュリティチームから提供された悪意のある IP やドメインを、ブラックリストに追加して遮断することもできます。
  
  たとえば、リバースシェルアラートまたは永続的な悪意のあるアウトバウンド接続アラートを処理した後、攻撃者の送信元 IP が確認され、かつ悪意のあるプロセスが終了している場合は、次の手順で IP をブロックできます。
  1. 悪意のある行動の防御 ページで、カスタム防衛ルール タブをクリックし、ホワイトリストルール作成 をクリックします。
  2. ルールタイプとして [Network Interception] を選択し、確認済みの攻撃者送信元 IP または悪意のあるドメインをブラックリストに追加し、アクションを [Block] に設定してから、ルールを適用するサーバーを選択します。
  セキュリティグループルールも設定することを推奨します。ECS コンソールで対象インスタンスのセキュリティグループ拒否ルールを作成し、確認済みの悪意のある IP をアウトバウンドおよびインバウンドの拒否リストの両方に追加して、悪意のあるトラフィックを直ちにブロックします。詳細については、ECS ドキュメントでセキュリティグループルールの設定に関する説明をご参照ください。
- ファイルの読み取り/書き込み
- レジストリ操作
- ダイナミックリンクライブラリのロード
- ファイル名の変更
設定例については、悪意のある振る舞い防御におけるカスタム防御ルールのベストプラクティスをご参照ください。
ホワイトリストルール作成 パネルで、ルールを適用するアセットを選択し、完了をクリックします。

新しいカスタムルールはデフォルトで有効になっています。後からルールを編集し、対象サーバーを管理できます。

セキュリティアラートの確認と処理

アラートタイプと処理方法は、ルールタイプによって異なります。

プロセス防御

セキュリティセンターはプロセス防御 ルールに基づいて高精度防御 アラートを生成します。これらのアラートを表示して処理するには、

Security Center コンソールにログインします。
左側のナビゲーションペインで、レスポンス検出 > アラートを選択します。コンソールの左上隅で、資産のリージョンとして中国本土または中国本土以外を選択します。

説明
脅威の分析と応答 を有効化している場合、左側のナビゲーションウィンドウで、脅威の分析と応答 > 管理 > アラート を選択します。コンソールの左上隅で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。
セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブをクリックし、高精度防御 の下にある数字をクリックします。
アラートリストで、自動的にブロックされたアラートを表示します。誤検知の場合は、操作する 列の詳細をクリックし、次のように処理します。

例： [Suspicious Worm Script Behavior] に対する誤検知の処理。

アラート詳細パネルで、次の情報を記録してください。
- アラートを検知して報告したシステム防御ルールの名前を記録します。この例では、ルールは [Suspicious Worm Script Behavior] です。
- アラートの 攻撃フェーズ を記録します。この例では、破壊的影響 です。
- 影響を受けたアセットの名前と IP アドレスを記録します。
左側のナビゲーションペインで、保護設定 > ホスト保護 > ホストルール管理 を選択します。コンソールの左上隅で、資産のリージョンとして 中国本土 または 中国本土以外 を選択します。
システム防御ルールのリストで、アラートを報告したルールを見つけます。
- ルールを見つけるには、検索ボックスにルール名である [Suspicious Worm Script Behavior] を入力します。
- 左側の攻撃フェーズ メニューで、破壊的影響 をクリックして、ルールを見つけることもできます。
システム防御ルールリストで、[不審なワームスクリプトの挙動] というルールを見つけて管理します。
- このルールからのアラートを停止するには、スイッチ 列のアイコンをクリックして無効にします。
  
  重要
  システム防御ルールを無効化すると、セキュリティセンターはそのルールに関連するセキュリティリスクの検出と報告を停止します。その結果、関連するアラートはセキュリティアラートの処理 ページに表示されなくなります。慎重に操作してください。
- この誤検知のみを処理するには、「操作」列のアセットの管理をクリックし、ルールの保護リストから対象のアセットを削除します。
  
  別の方法として、セキュリティアラートの処理 ページで誤検知を処理することもできます。セキュリティアラートを評価して処理する。
  
  重要
  このアラートの処理後に保護を復元するには、悪意のある振る舞い防御ページのシステム防御ルールタブで、アセットを再度追加してください。

ネットワーク防御

セキュリティセンターは、ネットワーク防御ルールに基づき、基本的なネットワーク攻撃を自動的にブロックし、関連データを[セキュリティアラート] > ネットワーク防御アラートページに表示します。ネットワーク防御アラート (旧称: 攻撃分析)。

重要

新しく購入したクラウド製品の場合、Security Center がネットワーク攻撃データを同期するまで約 3 時間待つ必要があります。その後、関連する攻撃分析情報を確認できます。
防御アラートは、Security Center によって攻撃が自動的にブロックされたことを示します。手動での対応は不要です。

Security Center コンソールにログインします。
左側のナビゲーションペインで、レスポンス検出 > アラートを選択します。コンソールの左上隅で、資産のリージョンとして中国本土または中国本土以外を選択します。

説明
脅威の分析と応答 を有効化している場合、左側のナビゲーションペインで 脅威の分析と応答 > 管理 > アラート を選択します。コンソールの左上隅で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。
セキュリティアラート ページで、クラウドワークロード保護プラットフォーム (CWPP) タブをクリックし、ネットワーク防御アラート の下の数値をクリックして関連情報を表示します。
(任意) セキュリティグループルールとネットワークファイアウォールルールを組み合わせて使用し、悪意のあるアドレスをブロックすることで防御を強化できます。
- セキュリティグループルールで攻撃者の送信元 IP をブロックします。ECS コンソールで対象インスタンスのセキュリティグループ拒否ルールを作成し、確認済みの悪意のある IP をアウトバウンドおよびインバウンドの拒否リストの両方に追加して、悪意のあるトラフィックを直ちにブロックします。詳細については、ECS ドキュメントでセキュリティグループルールの設定に関する説明をご参照ください。
- 悪意のあるアドレスをサーバーファイアウォールのブラックリストに追加します。カスタマーサービスまたはセキュリティアラートから悪意のある IP やドメインを入手した後、サーバー内部のファイアウォール (iptables、firewalld、Windows Firewall など) でブラックリストルールを設定するか、Security Center のカスタム防御ルールで対応するネットワーク遮断ルールを追加します。
説明
ランサムウェアのリスク警告やその他のセキュリティイベント通知を受信した場合は、カスタマーサービスまたはテクニカルサポートチームに連絡して悪意のある IP またはドメインアドレスを入手し、前述の方法でブラックリストに追加して遮断できます。