セキュリティアラートのカテゴリ - Security Center - Alibaba Cloud ドキュメントセンター

Security Center は、Web サイトの改ざん防止、異常なプロセス、Webshell、異常ログイン、悪意のあるプロセスなど、ご利用のアセットに対する広範な脅威をリアルタイムで検知します。その脅威検知モデルは包括的なカバレッジを提供し、セキュリティ脅威を迅速に特定し、セキュリティ態勢をリアルタイムで把握することを可能にします。

概要

リスクレベル

Security Center は、アラートを 3 つのリスクレベルに分類し、対応の優先順位付けを支援します。

リスクレベル	説明	推奨されるアクション
緊急	リバースシェルなど、既知の攻撃パターンに酷似し、アセットに破壊的または永続的な損害を与える可能性のあるアクティビティを示します。このレベルは、アセットが活発な攻撃を受けている可能性が高いことを意味します。	即時対応。推奨されるアクション：アセットの隔離、不審なネットワーク接続のブロック、攻撃現場の保全。
不審	新規ユーザーを追加するプロセスなど、日常的な操作に似ている可能性のある、潜在的に危険なアクティビティを示します。このアクティビティは、痕跡を消去する試みなど、攻撃チェーンにおける重要度の低いステップである可能性もあります。このレベルは、アセットが攻撃を受けている可能性が中程度であることを示します。	調査が必要。アクティビティがスケジュールされた操作であるかどうかを確認します。そうである場合は、その動作をホワイトリストに追加します。そうでない場合は、緊急アラートとして扱います。
注意	不審なポートをリッスンしているプロセスなど、通常の操作に似た重要でない攻撃アクティビティを示します。	監査と最適化。これらのアラートを使用して、非準拠の設定や潜在的なリスクを特定します。セキュリティポリシーを定期的に確認し、最適化することを推奨します。即時のアクションは不要です。

脅威検知モデル

Security Center は 380 以上の脅威検知モデルを使用して、包括的な脅威検知を提供します。これらのモデルは、攻撃チェーンの主要な段階をカバーし、攻撃の完全なライフサイクルを検知します。以下のリストは、各検知段階の例です：

説明

セキュリティアラート ページで、左上隅にあるアイコンをクリックして、Security Center が提供する脅威検知モデルを表示できます。

初期エントリポイント：Java アプリケーションでの異常なコマンド実行と Web 脆弱性の悪用。
コード実行：リバースシェルと悪意のあるスクリプトの実行。
永続化：パスワードレスログイン証明書ファイルへの不審な書き込みと、設定ミスのある Redis インスタンスの悪用。
権限昇格：設定ミスのある Redis インスタンスの悪用と、高リスクコマンドの不正実行。
防御バイパス：異常な場所からの RAM ユーザーによるログインと、不審なプログラムの実行。
認証情報の窃取：ECS インスタンスへの、異常な場所からのログオンおよび成功したブルートフォース攻撃。
環境探査：OSS への不審なアクセスと、機密ポートのスキャンの疑い。
ラテラルムーブメント：ワームと Windows での不審なネットワーク接続。
データ収集：ポートスキャンと Kubernetes サービスに対する中間者攻撃の疑い (CVE-2020-8554)。
データ侵害：アウトオブバンド (OOB) 攻撃ドメイン名へのリクエストと、不審なコマンド＆コントロール (C2) トロイの木馬通信。
リモートコントロール：トロイの木馬プログラム、バックドアプログラム。
破壊的影響：DDoS 攻撃型トロイの木馬とランサムウェア。
TA0042：自己変異型トロイの木馬とハッキングツール。
TA0043：悪意のあるダウンロードソースやスキャナーへのプロアクティブな接続。

制限事項

Security Center は、リアルタイムのアラート、脆弱性管理、攻撃トレースを通じてアセットのセキュリティを強化するように設計されています。ただし、以下の制限事項があるため、全体的なセキュリティを向上させるために多層防御戦略を採用することを推奨します：

防御起動の遅延：サーバーの再起動後、Security Center の防御プロセスが開始されるまでには時間がかかります。この起動前のギャップ期間中、ランサムウェアや DDoS 攻撃型トロイの木馬などの高速な攻撃を効果的に阻止することはできません。
未知の脅威のリスク：サイバー攻撃の手法やウイルスのサンプルは継続的に進化しており、ビジネス環境も異なるため、Security Center がすべての未知の脅威に対してリアルタイムでの検知と防御を保証することはできません。

より包括的なセキュリティ防御を構築するために、Security Center を以下の対策と組み合わせることを推奨します：

サーバーのオペレーティングシステムとアプリケーションのセキュリティパッチを定期的に更新します。
Cloud Firewall や Web Application Firewall などの製品を使用して、ネットワークの攻撃対象領域を削減します。

アラート処理プロセス

サポート対象エディション

サブスクリプション

サービスエディション	検知範囲	アラート処理機能
無料版、付加価値サービス (VAS) 版	従来の単一行 Webshell、異常な場所からのログイン、自己変異型トロイの木馬、DDoS 攻撃型トロイの木馬、マイニングプログラムなど、一般的なクラウドベースの攻撃を検知します。このエディションはコンテナアセットをカバーしません。	アラート抑制：ホワイトリストへの追加、無視など。
Anti-virus	Basic エディションのすべての機能に加え、バイナリを含む不審なファイルや悪意のあるファイルに対する検知および精密防御モデルが含まれます。このエディションはコンテナアセットをカバーしません。	脅威の除去：ウイルスの検出と除去、詳細スキャン、隔離など。アラート抑制：ホワイトリストへの追加、無視など。
プロ版	Antivirus エディションのすべての機能に加え、不審なプロセスアクティビティやファイル操作に対する検知および精密防御モデルが含まれます。このエディションはコンテナアセットをカバーしません。
エンタープライズ版	Advanced エディションのすべての機能に加え、プロセスアクティビティ、ファイル操作、ネットワーク接続など、あらゆる種類の悪意のある行為に対する 380 以上の検知および精密防御モデルが含まれます。このエディションはコンテナアセットをカバーしません。
Ultimate (コンテナセキュリティ)	Enterprise エディションのすべての機能 (コンテナアセットをカバー) に加え、コンテナエスケープ、危険なイメージの実行、非イメージプログラムの起動など、コンテナ固有の攻撃に対する検知およびプロアクティブ防御モデルが含まれます。

従量課金

保護レベル	検出範囲	アラート処理機能
未保護	従来の単一行の WebShell、異常な場所からのログイン、自己変異型トロイの木馬、DDoS 型トロイの木馬、マイニングプログラムなど、一般的なクラウドベースの攻撃を検出します。このレベルはコンテナ資産をカバーしません。	アラートの抑制：ホワイトリストへの追加、無視など。
ウイルス対策	未保護レベルのすべての機能に加え、バイナリを含む不審なファイルや悪意のあるファイルに対する検出モデルと高精度な防御モデルが含まれます。このレベルはコンテナ資産をカバーしません。	脅威の除去：ウイルスの検出と除去、詳細スキャン、隔離など。アラートの抑制：ホワイトリストへの追加、無視など。
ホスト総合保護	ウイルス対策レベルのすべての機能に加え、プロセスアクティビティ、ファイル操作、ネットワーク接続など、あらゆる種類の悪意のある行為に対する 380 以上の検出モデルと高精度な防御モデルが含まれます。このレベルはコンテナ資産をカバーしません。
ホスト・コンテナの包括的保護	ホスト総合保護レベルのすべての機能 (コンテナ資産をカバー) に加え、コンテナエスケープ、危険なイメージの実行、イメージ以外のプログラムの起動など、コンテナ固有の攻撃に対する検出モデルとプロアクティブな防御モデルが含まれます。

セキュリティアラートの種類

種類	説明
ネットワーク防御アラート (旧称：攻撃分析)	ネットワーク防御カテゴリのホストの悪意のある行為の防御およびホストのブルートフォース攻撃からの保護のルールを有効にすると、Security Center はこれらの保護ルールに基づいて検知された攻撃を自動的にブロックし、ネットワーク防御アラートを生成します。詳細については、「ネットワーク防御アラート (旧称：攻撃分析)」をご参照ください。重要新規に購入したクラウド製品の場合、Security Center がネットワーク攻撃データを同期するまで約 3 時間待ってから、関連する攻撃分析情報を表示できます。防御アラートは、攻撃が Security Center によって自動的にブロックされたことを示します。手動での操作は不要です。
高精度防御	悪意のあるホスト行動からの保護機能は、有効にした防御ルールに基づいて高精度防御アラートを生成します。悪意のあるホスト行動からの保護の詳細については、「ホスト保護設定」をご参照ください。
プロセスの異常動作	不審なコマンドシーケンスの実行、異常なパスからの起動、プロセスインジェクション、システムファイルや設定の不正な変更など、異常なプロセス行為を検知します。
Webshell	サーバー上の Webshell バックドアファイル、またはログやイメージなどの非プログラムファイルに注入された悪意のあるコードを検知します。
異常ログイン	事前設定されたポリシーに準拠しないログイン、ブルートフォース攻撃の成功、既知の悪意のある IP アドレスやバックドアアカウントからのログイン試行を検知します。
マルウェア	ウイルス、トロイの木馬、ランサムウェア、マイニングプログラム、ハッキングツールなど、ホスト上で実行中または存在するさまざまな種類のマルウェアを検知します。
クラウドプロダクトの脅威検知	AccessKey などのクラウドプラットフォームの ID 認証情報の窃取や悪用、およびクラウドリソースに対する異常な設定や権限プロービングを検知します。
不審なネットワーク接続	ポートスキャン、悪意のあるソースへの接続、リバースシェルなど、サーバー上のさまざまな不審なネットワーク挙動を検知します。これらの挙動は、攻撃の偵察、リモートコントロール、ラテラルムーブメントの典型的な兆候です。説明この機能は、暗号化された HTTPS トラフィックを検知しません。
悪意のあるスクリプト	サーバー上で悪意のある、または不審なスクリプトファイルが実行された場合に検知します。これは、攻撃者がシステムを侵害し、悪意のあるコマンドを実行していることを示します。
永続的なバックドア	自動起動項目の作成、メモリ常駐バックドア、隠しプロセス、高度なシステム機能の悪用など、長期的な制御を維持するために使用される永続化メカニズムを検知します。
機密ファイルの改ざん	コアシステムファイルや設定 (共有ライブラリのプリロードファイルなど) の改ざんを検知します。このような改ざんには、永続化やセキュリティ検知のバイパスを目的としたファイルの変更、置き換え、移動が含まれます。
コンテナクラスターの異常	コンテナクラスターにおける複雑で多段階の攻撃を検知します。これらの攻撃には、サービスアカウントを使用した権限昇格 (異常なトークンの作成や高権限ロールへのバインドなど)、ラテラルムーブメント (コンテナへの侵入によるコマンド実行や Kubelet へのアクセスなど)、情報窃取 (Secrets の列挙など) が含まれます。
異常なアカウント	システム内での不審なアカウントの作成または使用を検知します。
Webshell 検知 (ローカルスキャン)	ファイルの動作を分析して、不審なファイルを特定し、スコアリングします。
EXP が存在	オペレーティングシステムやアプリケーションの既知の脆弱性を利用して、リモートコマンド実行、権限昇格、またはコンテナエスケープを達成する攻撃を検知します。
異常なネットワークトラフィック	ネットワークトラフィックを分析し、ホストの動作と関連付けることで、過去および進行中の攻撃を特定します。
コンテナエスケープ防止	コンテナのアクティブ防御でコンテナエスケープ防御ルールを作成した後、コンテナ内のプロセスがルールに違反する操作 (ホスト上の機密パスへのアクセスや権限昇格の試みなど) を試みると、防御モジュールが操作をブロックし、セキュリティアラートを生成します。
コンテナのプロアクティブディフェンス	コンテナのプロアクティブ防御は、2 つのコアランタイムセキュリティ機能を提供し、検知されたすべての危険な動作に対してセキュリティアラートを生成します：非イメージプログラム防御：コンテナ内で起動されたが元のイメージの一部ではないプログラムをリアルタイムで検知し、ブロックします。これにより、トロイの木馬の植え付けなどの悪意のある行為を効果的に防ぎます。コンテナファイル防御：コンテナ内の指定されたファイルやディレクトリをリアルタイムで監視し、悪意のある改ざんを警告またはブロックします。
リスクイメージのブロッキング	コンテナのアクティブ防御でリスクイメージのブロックルールを作成した後、Security Center はクラスターリソース (Pod など) の作成に使用されるイメージに対してリアルタイムのセキュリティチェックを実行します。イメージがルールに一致する場合、システムは自動的に警告、ブロック、または使用を許可し、セキュリティアラートを生成します。
信頼できる異常	ECS の信頼されたインスタンスの状態を監視し、異常を報告します。
その他	Security Center クライアントの予期せぬオフライン状態、DDoS 攻撃フラッド攻撃など。

アラートのチェック

高精度防御

アラート名	説明
DDoS 攻撃型トロイの木馬	DDoS 攻撃型トロイの木馬は、侵害されたホスト上で実行され、攻撃者が指定したターゲットに対して DDoS 攻撃を開始する指示を受け取る悪意のあるプログラムです。
ランサムウェア	ランサムウェアは、ホスト上の重要なデータファイルを暗号化し、身代金を要求する悪意のあるプログラムです。
バックドアプログラム	バックドアプログラムは、システムに植え付けられた永続的なプログラムで、攻撃者がホストへの継続的なアクセスを維持できるようにします。
悪意のあるプログラム	クラウドベースのスキャンで悪意のあるプログラムが検出されました。
感染性のウイルス	感染型ウイルスは、正規のプログラムファイルに悪意のあるコードを注入する高度なマルウェアの一種で、多くの正常なプログラムが感染し、ホストとして機能するようになります。
マイニングプログラム	マイニングプログラムは、ご利用のサーバーのコンピューティングリソースを不正に使用して暗号通貨をマイニングします。このアクティビティはしばしば高い CPU 使用率を引き起こし、他の悪意のあるプログラムの存在を示す可能性があります。
トロイの木馬プログラム	トロイの木馬プログラムは、ご利用のサーバーに侵入するために自身を偽装する悪意のあるプログラムです。一度アクティブになると、通常は他の悪意のあるプログラムをダウンロードして実行します。
ワーム	ワームは、ご利用のサーバーなどの侵害されたホストから他のホストへのラテラルムーブメントに使用される悪意のあるプログラムです。しばしば脆弱性を悪用したり、パスワードをブルートフォース攻撃したりして拡散します。
不審なプログラム	悪意のあるコードの特性や不審な動作を示すが、まだ悪意のあるものとして明確に分類されていないプログラムです。アラートで提供される情報に基づいてプログラムを評価する必要があります。
自己変異型トロイの木馬	自己変異型トロイの木馬は、検出と除去を回避するために自身のファイルハッシュを変更したり、複数の場所に自身をコピーしたりするトロイの木馬の一種です。
悪意のある IP ブロック	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
悪意のある DNS リクエストブロック	Apsara Stack Security は、ご利用の ECS インスタンスが悪意のあるドメインと通信していることを検出しました。これは侵害を示唆する可能性があります。精密防御機能がこのリクエストをブロックし、ご利用のサーバーを保護しました。
プロセス行為のブロック	Security Center は高リスクコマンドを検出し、ブロックしました。これは攻撃者がご利用のサーバーを侵害した可能性を示唆します。精密防御機能がこのコマンドの実行を防ぎ、ご利用のサーバーを被害から保護しました。
クライアントプロセスの悪意のある中断	Security Center は、Server Guard エージェントを中断させることを意図した不審なアクティビティを検出し、ブロックしました。このプロアクティブなブロックにより、脅威検知機能がアクティブな状態を維持します。攻撃者はしばしば、ホストを侵害するためにセキュリティ対策を無効にしようとします。このアラートを慎重に調査し、サーバーに他のセキュリティアラート、高リスクの脆弱性、弱いパスワードがないか確認してください。この操作を意図的に実行した場合は、このアラートを無視できます。
クライアントファイルの悪意のある中断	Security Center は、Server Guard エージェントを中断させることを意図した不審なファイルアクティビティを検出し、ブロックしました。このプロアクティブなブロックにより、脅威検知機能がアクティブな状態を維持します。攻撃者はしばしば、ホストを侵害するためにセキュリティ対策を無効にしようとします。このアラートを慎重に調査し、サーバーに他のセキュリティアラート、高リスクの脆弱性、弱いパスワードがないか確認してください。この操作を意図的に実行した場合は、このアラートを無視できます。
エクスプロイトプログラム	エクスプロイトプログラムは、オペレーティングシステムやアプリケーションの既知の脆弱性を攻撃します。攻撃者はこれらのプログラムを使用して、権限を昇格させたり、コンテナからエスケープしたり、任意のコードを実行したりします。
ランサムウェア保護のためのベイトキャプチャ	Security Center は、事前設定されたベイトファイル (ハニーポット) を使用して、ランサムウェアの可能性が高い不審なプロセスを検出し、ブロックしました。
Webshell の悪意のある接続ブロック	Security Center は、Webshell からの悪意のある接続をブロックしました。
ハッキングツール	ハッキングツールは、攻撃者が権限昇格、機密データ窃取、またはセキュリティソフトウェアのアンインストールに使用します。侵入後にバックドアプログラムとして植え付けられることもあります。
Windows バックドアアカウントのログインセッションブロック	Security Center は、攻撃者がバックドアアカウントを使用してこのサーバーにログインしようとする試みを検出し、ブロックしました。
プロセス開始ブロック (カスタム)	このアラートは、カスタムルールに基づいてプロセスがブロックされたときにトリガーされます。プロアクティブ防御設定でルールを定義し、特定のプロセスの MD5 ファイルハッシュを追加することで、起動時にブロックできます。
AntSword Webshell 通信	Security Center は、AntSword ツールを使用した攻撃の試みを検出しました。精密防御機能がこの悪意のあるリクエストをブロックしました。このアラートは攻撃が防がれたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
Cknife Webshell 通信	Security Center は、Cknife ツールを使用した攻撃の試みを検出しました。精密防御機能がこの悪意のあるリクエストをブロックしました。このアラートは攻撃が防がれたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
ルートキット	ルートキットは、自身の痕跡や他の悪意のあるプログラムの痕跡を隠すために、システムの低レベルに植え付けられた悪意のあるモジュールです。
XISE Webshell 通信	Security Center は、XISE ツールを使用した攻撃の試みを検出しました。精密防御機能がこの悪意のあるリクエストをブロックしました。このアラートは攻撃が防がれたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
リバースシェル	リバースシェルは、攻撃者が侵害されたサーバーを制御するために使用する手法です。このアラートは、プロセス (bash、python、perl、lua、php、telnet など) がリバースシェル接続を開始したときにトリガーされます。
高リスクコマンドの不正実行	攻撃者は、Dirty COW 脆弱性や sudo 権限昇格など、脆弱性や設定ミスを悪用して、侵害されたサーバー上で権限を昇格させます。
Webshell コマンド実行	攻撃者は、Cknife、AntSword、Behinder、Godzilla などの Webshell 管理ツールを使用して、侵害されたサーバー上の Webshell と通信し、任意のコマンドを実行します。
セキュリティソフトウェアへの対抗	攻撃者は、セキュリティソフトウェアを無効にしたり、セキュリティ設定を削除しようとします。例としては、Server Guard エージェントの停止やファイアウォールの無効化などがあります。
不審なファイルの植え付け	攻撃者は、脆弱性を悪用したり、弱いパスワードを使用してログインし、`wget`、`curl`、`tar`、`powershell` などのコマンドを使用して不審なファイルを書き込みます。
悪意のあるファイルの植え付け	攻撃者は、脆弱性を悪用したり、弱いパスワードを使用してログインし、`wget`、`curl`、`tar`、`powershell` などのコマンドを使用して悪意のあるファイルを書き込みます。
不審なワームスクリプトの動作	攻撃者は、脆弱性を悪用したり、弱いパスワードを使用してログインし、不審なワームスクリプトを植え付けます。このアラートは、bash、python、perl、powershell などのスクリプトによってトリガーされます。
コマンドラインからの悪意のあるファイルのダウンロードと実行	攻撃者は、脆弱性を悪用したり、弱いパスワードを使用してログインし、リモートでコマンドを実行して悪意のあるファイルをダウンロードし、植え付けます。このアラートは、`wget`、`curl`、`python`、`powershell` などのダウンロードコマンドによってトリガーされます。
Web サービスによる高リスク操作	攻撃者は、Confluence や Exiftool の脆弱性など、Web の脆弱性を悪用して任意のコマンドを実行します。
情報収集	サービスプログラムが `whoami`、`netstat`、`id` などのホストコマンドを実行して、ホスト情報を収集し、リモートコマンド実行が成功したかどうかを判断します。
クラウドアシスタントの高度な保護	クラウドアシスタントのトークンが漏洩または盗難された可能性があります。この保護は、クラウドアシスタントが任意のコマンドを実行することを禁止します。
不審なネットワーク接続	攻撃者は、悪意のあるプログラムを実行したり、システムプログラムを使用してネットワークに接続し、コマンド＆コントロールサーバーから指示を受け取ります。この動作は、DDoS 攻撃、マイニングプログラム、リバースシェルに関連しています。
難読化されたコマンド	攻撃者は、ウイルス対策保護をバイパスするために、ホストコマンドを暗号化、エンコード、またはその他の方法で操作します。操作の例には、base64 やその他のエンコーディング方式の使用が含まれます。
PowerShell の高リスクコマンド実行	攻撃者は、システムの PowerShell コンポーネントを使用して、ペイロードのダウンロードや実行などの悪意のあるコマンドを実行します。
PowerShell の不審なコマンド実行	攻撃者は、システムの PowerShell コンポーネントを使用して、ペイロードのダウンロードや実行などの悪意のあるコマンドを実行します。
ブラウザサービスによる高リスク操作	攻撃者は、エントリーサービスを使用して、信頼されたシステムコンポーネントを介してペイロードをリモートでダウンロードまたは実行するなど、悪意のある操作を実行します。
エントリーサービスによる不審な操作	攻撃者は、エントリーサービスを使用して、信頼されたシステムコンポーネントを介してペイロードをリモートでダウンロードまたは実行するなど、悪意のある操作を実行します。
システムプロセスによる高リスク操作	攻撃者は、エントリーサービスを使用して、信頼されたシステムコンポーネントを介してペイロードをリモートでダウンロードまたは実行するなど、悪意のある操作を実行します。
Java サービスによる高リスク操作	攻撃者は、エントリーサービスを使用して、信頼されたシステムコンポーネントを介してペイロードをリモートでダウンロードまたは実行するなど、悪意のある操作を実行します。
Office コンポーネントによる高リスク操作	攻撃者は、エントリーサービスを使用して、信頼されたシステムコンポーネントを介してペイロードをリモートでダウンロードまたは実行するなど、悪意のある操作を実行します。
高リスクドライバーの読み込み	ウイルス、トロイの木馬、またはハッキングツールが、ドライバーモジュールをロードしてウイルス対策保護をバイパスしようとします。
高リスクアカウント操作の動作	攻撃者は、永続化を達成するために不正なアカウント操作を実行します。
悪意のあるコマンド実行	攻撃者は、システムツールを呼び出してコマンドやスクリプトを実行し、さまざまな悪意のある行為を行います。
不審なプロセス起動	ウイルスやトロイの木馬の疑いがあるプロセスが起動されたことが検出されました。
システムバックアップ削除の動作	ランサムウェアがデータ復元を防ぐためにシステムバックアップを削除していることが検出されました。
内部ネットワークスキャン	攻撃者は、内部ネットワークアセットの弱点をスキャンしたり、同じパスワードでログインを試みたりすることで、侵入範囲を拡大します。これには、ブルートフォース攻撃、パスワードスプレー、Web 脆弱性スキャンなどのアクティビティが含まれます。
サービス自動起動項目の作成	ウイルスは、レジストリ、定期タスク、またはサービスを使用して永続的な起動項目を作成します。
高リスク自動起動項目の作成	ウイルスは、レジストリ、定期タスク、またはサービスを使用して永続的な起動項目を作成します。
定期タスク自動起動項目の作成	ウイルスは、レジストリ、定期タスク、またはサービスを使用して永続的な起動項目を作成します。
レジストリ自動起動項目の作成	ウイルスは、レジストリ、定期タスク、またはサービスを使用して永続的な起動項目を作成します。
WMI 自動起動項目の作成	ウイルスは、レジストリ、定期タスク、またはサービスを使用して永続的な起動項目を作成します。
侵入痕跡の消去	攻撃者は、システムログやコマンド実行記録などのデータを削除して、侵入の痕跡を破壊しようとします。
高リスク認証情報窃取の動作	攻撃者は、Mimikatz などの認証情報窃取ツールを使用してログイン認証情報を盗もうとします。
HashDump 攻撃	攻撃者は、Procdump などのメモリダンプツールを使用してローカルセキュリティ機関 (LSA) プロセスにアクセスし、認証情報を取得します。
ダイナミックリンクライブラリのハイジャック	Security Center は、システムプログラムが不審なダイナミックリンクライブラリ (DLL) をロードしたことを検出しました。これはシステム関数をハイジャックしようとする試みを示唆しています。この動作はブロックされました。このアクションが誤検知であると思われる場合は、[プロアクティブ防御] - [悪意のある行為の防御] ページで「ダイナミックリンクライブラリのハイジャック」ルールセットを無効にするか、影響を受けるマシンを管理対象ホストのリストから削除できます。
Cknife Webshell 通信	Security Center は、Cknife ツールを使用した攻撃の試みを検出しました。精密防御機能がこの悪意のあるリクエストをブロックしました。このアラートは攻撃が防がれたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
Behinder Webshell 通信	攻撃者は、Cknife、AntSword、Behinder、Godzilla などの Webshell 管理ツールを使用して、侵害されたサーバー上の Webshell と通信し、任意のコマンドを実行します。
Godzilla Webshell 通信	攻撃者は、Cknife、AntSword、Behinder、Godzilla などの Webshell 管理ツールを使用して、侵害されたサーバー上の Webshell と通信し、任意のコマンドを実行します。
機密レジストリキーの保護	永続的な起動項目、グループポリシー設定項目、システムセキュリティ設定項目、および Image File Execution Options のハイジャックに対する防御を含む、機密レジストリキーの保護。
プロセスインジェクション保護	攻撃者は、検出と防御をバイパスするために、正規のプロセスに悪意のあるコードを注入します。例として、ptrace インジェクションがあります。
プロキシツール	プロキシツールは、攻撃者がプロキシやトンネリングなどの操作に使用し、しばしばさらなるサーバー侵入を容易にするために使用されます。
クラウドアシスタントサービスの情報収集	クラウドアシスタントサービスは、`whoami`、`netstat`、`id` などのホストコマンドを実行してホスト情報を収集し、リモートコマンド実行が成功したかどうかを判断します。
LSA セキュリティ機関サービス保護	ローカルセキュリティ機関サブシステムサービス (LSASS) は、オペレーティングシステムのセキュリティポリシーを強制する責任を持つプロセスです。攻撃者は、LSASS プロセスメモリの読み取りまたは書き込みによってセキュリティを侵害する可能性があります。このルールは、他のプロセスが読み取りまたは書き込み権限で LSASS プロセスにアクセスするのを防ぎます。注：これはセキュリティ強化機能であり、デフォルトで試行をブロックし、アラートを生成しません。ワークロードが LSASS プロセスメモリへの読み取りまたは書き込みアクセスを必要とする場合は、この保護ルールを無効にできます。
エントリーサービスが不審なスクリプトまたはバイナリファイルを植え付ける	データベース、Web、またはその他のサービスが不審なスクリプトまたはバイナリファイルを植え付けていることが検出されました。
エントリーサービスが不審な行動シーケンスを実行する	攻撃者は、エントリーサービスを使用して、ダウンロードコマンドの実行、ファイルの読み書き、情報収集など、同じ親プロセスの下で一連の悪意のある操作を実行します。
適応型 Webshell 通信ブロック	検出モデルは、ご利用のサーバー上で悪意のある Webshell 通信トラフィックを発見しました。これは攻撃者がリモートコントロールに使用する可能性があります。精密防御は、潜在的な損害を防ぐためにこのネットワークリクエストを正常にブロックしました。
Webshell アップロード	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
スキャナー	スキャナーは、攻撃者が稼働中のホスト、オープンポート、脆弱性や弱いパスワードなどのセキュリティリスクを持つホストを発見するためによく使用され、しばしばさらなる侵入を容易にするために使用されます。
Java 一般 RCE 脆弱性ブロック	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
適応型 Web 攻撃防御	Security Center は、クラウドベースのインテリジェント分析エンジンを使用して、さまざまな Web リモートコード実行 (RCE) 攻撃を自動的に特定してブロックし、悪意のあるリクエストがご利用のサーバーに損害を与えるのを防ぎます。このブロックが誤検知であると思われる場合は、[プロアクティブ防御] - [悪意のある行為の防御] ページで対応するルールを無効にするか、影響を受けるマシンを管理対象ホストのリストから削除できます。
ダウンローダー型トロイの木馬	ダウンローダー型トロイの木馬は、通常、悪意のあるトロイの木馬やアドウェアなどのサードパーティプログラムをダウンロードして実行します。
ホスト防御リンクテスト	このアラートは、ホスト防御リンクが有効かどうかをテストするために使用されます。
データベースサービスの情報収集	データベースサービスプログラムが `whoami`、`netstat`、`id` などのホストコマンドを実行して、ホスト情報を収集し、リモートコマンド実行が成功したかどうかを判断します。
Apsara Stack Security プロセス保護	Apsara Stack Security プロセスへの異常なアクセスに対する保護。
Webshell ファイル防御	Security Center は、ご利用のサーバー上で Webshell を発見し、それを使用しようとする試みを検出しました。防御モジュールがこの動作を特定し、ブロックしました。注：この試みはブロックされましたが、Webshell ファイル自体は手動で隔離または削除する必要があります。このファイルをホワイトリストに追加するには、[保護設定] > [ホスト保護] > [ホストルール管理] > [カスタム防御ルール] に移動し、ファイルパスの新しいルールを作成します。この機能を無効にするには、[保護設定] > [ホスト保護] > [ホストルール管理] > [システム防御ルール] > [Webshell ファイル防御] に移動し、オフにします。
SQL Server ブルートフォース攻撃	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
PHP Webshell アップロード	攻撃者はファイルアップロード機能を使用して PHP Webshell をアップロードします。Security Center は、.php および .phtml 拡張子を持つファイルのアップロードをブロックします。
JSP Webshell アップロード	攻撃者はファイルアップロード機能を使用して JSP Webshell をアップロードします。Security Center は、.jsp 拡張子を持つファイルのアップロードをブロックします。
ASP Webshell アップロード	攻撃者はファイルアップロード機能を使用して ASP Webshell をアップロードします。Security Center は、.asp、.ashx、.asa、.asmx、.cshtml 拡張子を持つファイルのアップロードをブロックします。
特殊な拡張子を持つ Webshell のアップロード	攻撃者はファイルアップロード機能を使用して特殊な拡張子を持つ Webshell をアップロードします。Security Center は、.cer および .ascx 拡張子を持つファイルのアップロードをブロックします。
オペレーティングシステムアカウントの動作	このルールセットは、カーネルレベルでオペレーティングシステムアカウントの動作をブロックします。デフォルトでは無効になっています。セキュリティニーズを評価し、必要に応じて有効にしてください。
Webshell アップロードインテリジェントディフェンス	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
インターフェイス経由の不審なファイルアップロード	攻撃者は特定のインターフェイスを使用して不審な Webshell をアップロードします。Security Center はこれらのインターフェイスのアップロード機能をブロックします。
情報窃取ツール	情報窃取ツールは、ホストから機密ファイルや情報を盗むためによく使用されます。
システム永続プロセスのアクセス保護	システムの永続プロセスとサービスは、システムのコア機能を担っています。攻撃者はしばしば、高リスクの権限でシステムプロセスにアクセスして悪意のあるアクションを実行します。この保護ルールは、いかなるプロセスも、スレッド作成、ハンドルコピー、メモリオペレーションの権限を含む高リスクの権限でシステム永続プロセスにアクセスすることを禁止します。注：これはセキュリティ強化機能であり、デフォルトで試行をブロックし、アラートを生成しません。ワークロードがシステム永続プロセスへのアクセスを必要とする場合は、この保護ルールを無効にできます。
RDP ブルートフォース攻撃	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
SSH ブルートフォース攻撃	Security Center は、ご利用のサーバーに対する攻撃の試みを検出しました。精密防御機能が悪意のあるリクエストをブロックし、潜在的な被害を防ぎました。このアラートは攻撃が阻止されたことを確認するものであり、ご利用のサーバーが侵害されたことを意味するものではありません。
悪意のあるドライバー	攻撃者は、悪意のあるコードをインストールまたはコンパイルしたり、.ko や .sys などのドライバーファイルをロードしたりして、ルートキットをインストールします。
ランサムウェア	ランサムウェアは、ホスト上の重要なデータファイルを暗号化し、身代金を要求する悪意のあるプログラムです。
信頼されていないプロセスの起動	ホワイトリストにないプロセスの起動がブロックされました。
信頼されていないプロセスチェーンの異常な起動	信頼されていないプロセスチェーン内の異常なプロセスの起動がブロックされました。
信頼されていないプロセスによる高リスクネットワーク操作	ホワイトリストにないプロセスが、パブリックまたは内部 IP アドレスに異常にアクセスすることがブロックされました。
信頼されていないプロセスによる高リスクファイル操作	ホワイトリストにないプロセスによる高リスク操作がブロックされました。例としては、Office ドキュメントや重要なシステム設定ファイルの異常な変更があります。
ネットワークリクエストブロック	異常なネットワークリクエストが検出され、ご利用のサーバーへの被害を防ぐために精密防御機能によってブロックされました。このアラートは、ご利用のサーバーが侵害されたことを意味するものではありません。

プロセスの異常動作

アラート名	説明
リバースシェル	Security Center は、ご利用の `サーバー` で `リバースシェル` コマンドが実行されたことを検出しました。攻撃者はこの手法を使用して、自身の `サーバー` へのリバースネットワーク接続を確立し、任意のコマンドを実行できるようにします。
Java アプリケーションでの異常なコマンド実行	このアラートは、ご利用の `サーバー` 上の `Java` プロセスが悪意のあるプログラムのダウンロードや `バックドア` の追加など、高リスクの動作を開始したことを示します。このアクティビティは、Web フレームワークや `ミドルウェア` の `脆弱性` に起因することがよくあります。
MySQL での異常なコマンド実行	このアラートは、ご利用の `MySQL` サービスが不審なコマンドを実行したことを示します。これは、`MySQL` サービスの `弱いパスワード` や、Web サービスの `SQL インジェクション` `脆弱性` が原因である可能性があります。
PostgreSQL アプリケーションでの異常なコマンド実行	このアラートは、ご利用の `PostgreSQL` サービスが不審なコマンドを実行したことを示します。これは、`PostgreSQL` サービスの `弱いパスワード` や、Web サービスの `SQL インジェクション` `脆弱性` が原因である可能性があります。
Redis の設定ミスによる悪用	このアラートは、ご利用の `サーバー` 上の `Redis` アプリケーションが不審なファイルをディスクに書き込んだときにトリガーされます。これは、攻撃者が空または `弱いパスワード` を悪用して悪意のあるコマンドを実行し、`サーバー` を直接制御する可能性があることを示します。
パスワードレスログイン証明書の不審な書き込み	Apsara Stack Security は、ルート証明書に関連するディレクトリで異常なファイル変更を検出しました。これは、攻撃者が将来のログイン攻撃のために `サーバー` にパスワードレス証明書を注入しようとしていることを示唆している可能性があります。
HTTP トンネル経由の不審な情報漏洩	このアラートは、Security Center がコマンドの出力が HTTP チャネルを介して外部 `サーバー` に送信されたアクティビティを検出したことを示します。これは、攻撃者がリモートコード実行 (RCE) `脆弱性` を通じて実行されたコマンドの結果を外部に漏洩させていることを示唆している可能性があります。
PostgreSQL のエクスポート機能の悪用による不審な UDF ライブラリファイルの書き込み	このアラートは、ご利用の `サーバー` 上の `PostgreSQL` アプリケーションが不審な共有オブジェクト (.so) ファイルをディスクに書き込もうとしたことを示します。これは、攻撃者が `弱いパスワード` を悪用してログインし、悪意のある SQL を実行したことを示唆している可能性があります。攻撃が成功すると、攻撃者がご利用の `サーバー` を制御できるようになる可能性があります。
MySQL のエクスポート機能の悪用による不審なファイルの書き込み	このアラートは、ご利用の `サーバー` 上の `MySQL` アプリケーションが機密ディレクトリにファイルを書き込もうとしたことを示します。これは、攻撃者が `弱いパスワード` や Web アプリケーションの `脆弱性` を悪用して悪意のある SQL を実行したことを示唆している可能性があります。
不審な CMD コマンドシーケンス	このアラートは、システム上のプロセスが、侵害後の攻撃者が使用するパターンに酷似した一連の不審なコマンドを実行したときにトリガーされます。`親プロセス` を調査することを推奨します。これは、`リモートコントロールトロイの木馬`、脆弱な Web サービス、または悪意のあるコードが注入された正規のプロセスである可能性があります。
Windows アカウントでの異常な操作	このアラートは、オペレーティングシステムアカウントのコンテキストで不審なコマンドが実行されたことを示します。これは、マルウェアや攻撃者が不正なユーザーアカウント操作を行った結果である可能性があります。
不審なスクリプト操作	このアラートは、システム上でスクリプトに関連する非常に不審なコマンドが実行されたことを示します。このアクティビティは、マルウェアやセキュリティ侵害に関連している可能性が高いです。
異常なレジストリ操作	このアラートは、コマンドが `レジストリ` を非常に不審な方法で変更したことを示します。これは、侵入後にマルウェアや攻撃者によって行われた設定変更である可能性があります。
不審なコマンド実行	このアラートは、ご利用の `サーバー` で実行されたプロセスのコマンドラインが非常に不審であり、`トロイの木馬`、`ウイルス`、または悪意のある攻撃者のアクティビティに関連している可能性が高いことを示します。
Windows での不審な難読化コマンド	このアラートは、`ホスト` で実行されたコマンドラインが難読化されている場合にトリガーされます。攻撃者やマルウェアは、セキュリティ検出をバイパスするために、大文字と小文字のバリエーションや特殊文字を使用してコマンドラインを難読化することがよくあります。
不審なプロセスパス	このアラートは、ご利用の `サーバー` 上のプロセスが異常なパスから起動されたことを示します。正規のソフトウェアは通常、そのようなディレクトリには配置されないため、プロセスが `ウイルス`、`トロイの木馬`、または攻撃者によって配置されたツールである可能性を示唆しています。
不審なエンコードコマンド	このアラートは、ご利用の `サーバー` で実行されたプロセスのコマンドラインが非常に不審であり、`トロイの木馬`、`ウイルス`、または悪意のある攻撃者のアクティビティに関連している可能性が高いことを示します。
Linux での不審なコマンドシーケンス	このアラートは、システム上のプロセスが、侵害後の攻撃者が使用するパターンに酷似した一連の不審なコマンドを実行したときにトリガーされます。`親プロセス` を調査することを推奨します。これは、`リバースシェル`、`リモートコントロールトロイの木馬`、脆弱な Web サービス、または悪意のあるコードが注入された正規のプロセスである可能性があります。
システムログの異常な削除	このアラートは、システム上のプロセスが `システムログ` を削除しようとしたことを示します。攻撃者やマルウェアは、検出を回避するために `システムログ` をクリアすることがよくあります。
システムバックアップの異常な削除	このアラートは、システム上のプロセスがシステムバックアップファイルを削除しようとしたことを示します。これは、ファイルの復元を防ぎ、身代金の支払いを確実にするための `ランサムウェア` によるアクションである可能性があります。
システムセキュリティ設定の異常な変更	このアラートは、システム上のプロセスがシステムセキュリティ設定を変更したことを示します。これは、マルウェアや攻撃者が検出を回避するために `ファイアウォール` やウイルス対策ソフトウェアの設定を変更している可能性があります。
システムツールへの異常な呼び出し	このアラートは、システム上のプロセスが不審な方法でシステムツールを呼び出したことを示します。トロイの木馬、ウイルス、または攻撃者は、従来のセキュリティソフトウェアをバイパスして、ファイルのダウンロード、データの暗号化、悪意のあるコードのロードなどの悪意のあるアクションを実行するためによくこの方法を使用します。
起動項目の異常な変更	このアラートは、システム上のプロセスがシステムの `起動項目` を変更しようとしたことを示します。これは、`トロイの木馬`、`ウイルス`、または攻撃者が `永続化` を維持するために `起動項目` を使用している可能性があります。
不審なプロービングコマンド	このアラートは、偵察に一般的に使用されるコマンドが実行されたことを示します。攻撃者は、システム環境、ネットワーク設定、または実行中のサービスに関する情報を収集するためにプロービングコマンドを使用します。
コンテナ内での不審なコマンド実行	このアラートは、ご利用の `コンテナ` 内での異常なコマンド実行を示しており、潜在的な侵入を示唆しています。
悪意のあるコンテナイメージの実行	このアラートは、ご利用の `サーバー` が悪意のある `コンテナイメージ` を実行していることを示します。このイメージには、`バックドア`、マイニングプログラム、`ウイルス`、または既知の深刻な `脆弱性` が含まれている可能性が非常に高いです。直ちに調査し、信頼できるイメージリソースを使用してください。
コンテナ内での権限昇格またはエスケープ	Security Center は、`権限昇格` や `コンテナエスケープ` の試みなど、`コンテナ` 内での不審な動作を検出しました。一般的な手法には、docker.sock へのアクセス、エスケープツールの使用、cgroup の作成などがあります。このアクティビティは、正規の操作の一部である可能性もあります。これが承認された操作である場合は、アラートを無視するか、`誤検知` としてマークすることができます。
特権コンテナの起動	このアラートは、ご利用の `サーバー` で不審な `特権コンテナ` が起動したことを示します。`特権コンテナ` はランタイムセキュリティを弱め、侵害された場合、`ホスト` 上の他のコンテナやアセットを危険にさらす可能性があります。ご利用の `特権コンテナ` が信頼できるイメージソースを使用し、実行中のサービスが安全であることを確認してください。
危険な Docker リモートデバッグインターフェイス	このアラートは、ご利用の `Docker` リモートデバッグインターフェイスが 0.0.0.0 に公開されていることを示します。パブリックインターネットに公開されたインターフェイスは、`ワーム` によってすぐに侵害される可能性があります。内部に公開されたインターフェイスでさえリスクを伴います。なぜなら、攻撃者はしばしば、最初の侵害後に `ラテラルムーブメント` のためにこのような設定ミスを悪用して、追加の `コンテナ` リソースを制御するためです。
権限昇格の疑い	このアラートは、ご利用の `サーバー` 上のプロセスが、システムまたはアプリケーションの `脆弱性` を悪用してより高い権限を取得しようとしている可能性が高いことを示します。これは、侵入中の攻撃者による `権限昇格` の試みである可能性があります。
異常なコンテナの動作	Security Center は、ソフトウェアのインストール、スクリプトの実行、`コンテナ` 環境のプロービングなど、ご利用の `コンテナ` 内での手動操作を検出しました。これは、`コンテナ` 侵害後の `ラテラルムーブメント` や `権限昇格` の一般的な戦術ですが、正規の操作の一部である可能性もあります。このアラートが `誤検知` であると判断した場合は、アラート処理ページで「ホワイトリストに追加」または「無視」を選択できます。
コンテナがネットワークスキャン動作を開始	このアラートは、ご利用の `コンテナ` が不審なネットワークスキャン動作を開始したことを示します。これは、攻撃者がさらなる侵入や `ラテラルムーブメント` のために使用する方法である可能性があります。
コンテナ内での認証情報収集	このアラートは、ご利用の `コンテナ` 内で機密ファイルへのアクセスが検出されたことを示します。これらのファイルには、`Docker`、Swarm、または `Kubernetes` の設定ファイル、データベース接続設定、ログイン認証情報、`AccessKey`、証明書、`秘密鍵` ファイルなどが含まれる可能性があります。直ちに侵入とデータ侵害のリスクを確認してください。
高リスクのコンテナ操作	このアラートは、ご利用の `サーバー` が高リスクの `コンテナ` 操作を実行していることを示します。具体的な理由については、アラートの詳細をご参照ください。この動作を調査してください。これが正規の操作である場合は、アラートを無視するか、`誤検知` としてマークすることができます。
ファイル時刻の改ざん	このアラートは、ご利用の `サーバー` 上のプロセスがファイルのタイムスタンプを改ざんしようとしたことを示します。攻撃者は、通常のシステムファイルのタイムスタンプを模倣して悪意のあるファイルの真の作成、アクセス、または変更時刻を偽造するためにこの手法を使用する可能性があります。
ネットワークプロキシ転送の動作	このアラートは、ご利用の `サーバー` が危険なツールを呼び出したことを示します。このようなツールは、攻撃者がさらなる侵入の一環としてプロキシ、トンネリング、スキャンに使用します。
Kubernetes システムコンテナへのなりすまし	Security Center は、ご利用の `サーバー` で `Kubernetes` 内部サービスになりすました `コンテナ` を起動するために `Docker` コマンドが実行されたことを検出しました。これは、攻撃者が正規の `Kubernetes` 内部 `コンテナ` の名前を付けることで `バックドア` `コンテナ` を隠すために使用する一般的な戦術です。
コンテナ内の機微な手動操作	Security Center は、ソフトウェアのインストール、スクリプトの実行、`コンテナ` 環境のプロービングなど、ご利用の `コンテナ` 内での手動操作を検出しました。これは、攻撃者が侵害後に `ラテラルムーブメント` のために `コンテナ` の環境を充実させる必要がある場合によく発生します。テスト中に発生することもあります。アクションが承認されているかどうかを確認してください。操作が正規のものである場合は、`ホワイトリスト` にルールを追加してこのアラートを抑制できます。
コンテナ環境での不審なプロービングコマンドシーケンス	Security Center は、`コンテナ` 環境で実行された一連の不審なコマンドを検出しました。これは、攻撃者が `コンテナ` へのアクセス権を取得した後、`権限昇格` と `ラテラルムーブメント` を達成するために `ホスト` 環境、クラスター情報、または `コンテナエスケープ` の条件をプロービングする場合によく見られます。これらのアクションは微妙であるため、正規の操作の一部である可能性もあります。ソース IP アドレスからのアクセスとアクションが通常の操作の一部であるかどうかを調査してください。
ワームコマンド	このアラートは、`ワーム` に関連するコマンドが実行されたときにトリガーされます。ワームは、自己複製して他のシステムに拡散するためにこのようなコマンドを使用します。
侵入ツール悪用動作	このアラートは、侵入テストツールの使用に関連する動作が検出されたことを示します。これらのツールは正規のセキュリティテストに使用できますが、不正な使用は攻撃を示唆している可能性があります。
スキャンツールの呼び出し	このアラートは、ネットワークまたは `脆弱性` スキャンツールが呼び出されたことを示します。これは、攻撃者がシステムの弱点を発見するために使用する一般的な偵察手法です。
不審なイメージの起動	Security Center は、ご利用の `サーバー` が不審なイメージから `コンテナ` を起動したことを発見しました。これは、攻撃者がサービスの `脆弱性` を悪用して `コンテナ` をスケジュールし、マイニングや `バックドア` 作成のために悪意のあるイメージを植え付ける場合によく見られます。直ちに調査してください。これが正規のものである場合は、アラートを無視するか、`誤検知` としてマークすることができます。Security Center は、公開リポジトリを分析し、クラウドでの悪意のあるイメージの拡散を監視することで、悪意のあるイメージインテリジェンスライブラリを維持しています。`イメージスキャン` 機能を使用して、イメージの脆弱性や悪意のあるファイルをチェックできます。
不審な PowerShell 命令	攻撃者は、ファイルのダウンロード、ファイルレスマルウェアの実行、`リバースシェル` の作成などの悪意のある活動に `PowerShell` をよく使用します。
不審なファイル植え付け動作	このアラートは、不審なファイルが作成またはディスクに書き込まれたときにトリガーされます。これは、攻撃者がシステムを侵害し、マルウェアやその他のツールを植え付けていることを示唆している可能性があります。
LSASS メモリダンプ	このアラートは、Mimikatz などのマルウェアがご利用の `サーバー` で実行されていることが検出されたことを示します。この種のツールは、ローカルセキュリティ機関サブシステムサービス (LSASS) プロセスからアカウントハッシュを抽出し、`認証情報` の侵害につながる可能性があります。
オペレーティングシステムの ID 認証情報の抽出	このアラートは、パスワードハッシュや Kerberos チケットなど、オペレーティングシステムの認証情報を抽出するアクティビティが検出されたときにトリガーされます。攻撃者はこの手法を使用して、権限を昇格させたり、ネットワーク内でラテラルムーブメントを行ったりします。
不審なプロセス行動シーケンス	このアラートは、プロセスが複数の不審な子プロセスを開始したときにトリガーされます。これは、脆弱なアプリケーションサービスが侵害されたか、`親プロセス` 自体が悪意のあるものであることを示唆している可能性があります。
メモリから動的にロードされたファイルの実行	このアラートは、ファイルがメモリから動的にロードされ、実行されたことを示します。この「ファイルレス」手法は、従来のファイルベースのスキャナによる検出を回避するためにマルウェアによってよく使用されます。
プロセスインジェクションの疑い	あるプロセスが別のプロセスにコードを注入しました。攻撃者はこの手法を使用して、検出をバイパスしたり、権限を昇格させたり、メモリ内の機密情報にアクセスしたりします。次のアクションを実行することを推奨します： 1. ソースプロセスとターゲットプロセスのファイルを調べます。正規のものでない場合は、プロセスを終了し、ファイルを隔離します。正規のものである場合は、サービスに影響がない場合はプロセスを再起動または終了します。 2. このアラートを同じシステムの他のアラートと関連付けて、侵入の潜在的な影響を評価し、さらなるアクションを実行します。 3. 侵入の原因を分析し、関連するセキュリティ `脆弱性` にパッチを適用します。
Web アプリケーションが異常な子プロセスを作成	このアラートは、Web アプリケーションが異常な子プロセスを作成したことを示します。正規の Web アプリケーションは通常、シェルやその他の予期しないプロセスを生成しません。この動作は、リモートコード実行エクスプロイトが成功したことを示唆している可能性があります。
内部ネットワークのラテラルアタックの疑い	このアラートは、盗まれた認証情報やネットワークサービスのエクスプロイトを使用して他のホストに接続しようとする試みなど、内部ネットワーク内での `ラテラルムーブメント` と一致する動作を示します。これはしばしば、最初の侵害に続いて行われます。
永続化バックドア作成動作	このアラートは、Security Center が、侵害されたシステムへのアクセスを維持するために一般的に使用される新しいサービス、`定期タスク`、または `レジストリ` キーなどの `永続化` メカニズムの作成を検出したときにトリガーされます。
永続化バックドア起動動作	このアラートは、既知または疑わしい `永続化` メカニズムがアクティブ化されたときにトリガーされます。これは、以前に確立された `バックドア` が現在実行中であることを示します。
プロセスコマンドラインの難読化	このアラートは、`ホスト` 上のプロセスのコマンドラインに難読化されたエンコーディングが含まれていることを示しており、悪意のあるプログラムや攻撃者がセキュリティ検出をバイパスしようとしていることを示唆しています。
クラウド環境情報収集	このアラートは、インスタンスメタデータ、ユーザーデータ、IAM ロール認証情報など、クラウド環境に関する情報を収集するためにコマンドが使用されたことを示します。攻撃者は、環境を理解し、さらなるターゲットを特定するためにこの偵察を実行します。
異常な定期タスクの実行	このアラートは、システムの `定期タスク` コンポーネントが不審なプロセスを作成したことを示します。これは、悪意のあるプログラムや攻撃者が `ホスト` へのアクセス権を取得した後に `永続化` を維持するために `定期タスク` に悪意のあるコードを追加した結果である可能性があります。
SSH バックドア	Secure Shell (SSH) に関連する `バックドア` プロセスが検出されました。`Linux` `ホスト` へのアクセス権を取得した後、攻撃者や悪意のあるプログラムが SSH 関連のファイルや設定を変更して、ログイン `バックドア` を作成する可能性があります。
エディタ拡張バックドア	エディタの `拡張` に関連する疑わしい `バックドア` が見つかりました。悪意のあるプログラムや攻撃者が、通常のエディタの `拡張` 機能を使用して `バックドア` を隠す可能性があります。
ファイル改ざんによるエスケープの疑い	Security Center は、重要なファイルを書き込みモードで開こうとする試みを検出しました。この手法は、ファイルを改ざんして `コンテナ` から `ホスト` にエスケープするためによく使用されます。プロセス、アクセスされているファイル、およびファイルのオープン属性を調査して、これが正規の操作であるかどうかを判断してください。操作が正規のものである場合は、アラートを無視するか、`誤検知` としてマークすることができます。
アウトオブバンド (OOB) 攻撃ドメインへのリクエスト	`ホスト` 上のプロセスが、`アウトオブバンド (OOB) 攻撃` でデータ漏洩によく使用されるドメイン名をリクエストしていることが検出されました。攻撃者はしばしば、悪用が成功した際にターゲットドメインをリクエストするようにペイロードで指定します。その後、そのドメインへの DNS リクエストを監視して、攻撃の成功を確認します。
異常な疑似端末シェル作成動作	このアラートは、異常な疑似端末 (PTY) シェルの作成によってトリガーされます。PTY は正規の対話型セッションに使用されますが、Web サービスや非対話型プロセスによる予期しない作成は、`リバースシェル` や `バックドア` を示唆している可能性があります。
不審なマイニングプールドメインへのアクセス	`ホスト` 上のプロセスが不審な `マイニングプール` ドメインをリクエストしていることが検出されました。これは、システムが `マイニングプール` と通信していることを示唆している可能性があります。アラートと推奨されるアクションに基づいて、マイニング活動を調査してください。
コンテナエスケーププログラムの起動	usermode-helper API は、ユーザー指定のユーザースペースプログラム (例：/proc/sys/kernel/core_pattern などのファイルで指定されたプログラム) を呼び出すための `Linux` カーネルメカニズムです。実行されると、このプログラムは `ホスト` の root 権限で実行されます。このメカニズムは通常、`コンテナ` 内では使用されるべきではありません。したがって、`コンテナ` 内のプログラムが `ホスト` カーネルによって呼び出される場合、通常は `コンテナエスケープ` を示します。
権限昇格のための Windows トークン改ざん	このアラートは、`Windows` アクセストークンを改ざんしようとする試みを示します。攻撃者はこの手法を使用して、他のユーザーになりすましたり、低権限のアカウントから SYSTEM などの高権限のアカウントに昇格したりします。
不審なトンネルドメインへのアクセス	`ホスト` 上のプロセスが不審なトンネルドメインをリクエストしていることが検出されました。これは、システムがトンネルプロキシ通信に使用されていることを示唆している可能性があります。アラートと推奨されるアクションに基づいて、さらに調査してください。
システムファイルの異常な変更	このアラートは、重要なシステムファイルの異常な変更によってトリガーされます。これは、セキュリティ制御を無効にしたり、`バックドア` を作成したり、オペレーティングシステムの整合性を損なったりする試みである可能性があります。
レジストリ自動起動項目の変更	このアラートは、プログラムの自動起動に使用される `レジストリ` キーの変更によってトリガーされます。マルウェアは、システムの再起動後も `永続化` を達成するためにこの手法をよく使用します。
定期タスク変更動作	このアラートは、`定期タスク` の変更を示します。攻撃者は、`永続化` のために定期的な間隔で悪意のあるコードを実行するために、定期タスクを作成または変更することがよくあります。
不審なシステムポリシー変更動作	このアラートは、システムセキュリティポリシーの不審な変更を示します。これは、監査ポリシーやユーザー権利の割り当てなどのセキュリティ設定を弱めて、検出を回避したり、さらなる攻撃を容易にしたりする試みである可能性があります。
Web アプリケーションが異常なファイルを変更	このアラートは、Web アプリケーションが異常な方法でファイルを変更した場合にトリガーされます。たとえば、実行可能ファイルを Web アクセス可能なディレクトリに書き込むなどです。これは、ファイルアップロードの `脆弱性` の悪用が成功したことを示していることがよくあります。
親プロセスのなりすまし	このアラートは、プロセスがなりすまされた `親プロセス` で起動されたときにトリガーされます。これは、悪意のあるプロセスを正規のシステムプロセスによって起動されたように見せかけるための防御回避手法です。
コンテナが高リスクのホストパスをマウント	このアラートは、`コンテナ` が /proc や `Docker` ソケットなどの高リスクの `ホスト` パスをマウントして起動されたことを示します。この設定は、`コンテナ` をエスケープして `ホスト` 上で権限を取得するために悪用される可能性があります。
環境変数を使用した制御フローのハイジャック	このアラートは、LD_PRELOAD などの環境変数を操作してプログラムの制御フローをハイジャックしようとする試みを示します。この手法は、悪意のあるコードを正規のプロセスにロードするために使用できます。

Webshell

アラート名	説明
Webshell ファイルの検出	検出モデルは、ご利用の `サーバー` 上で不審な `Webshell` ファイルを発見しました。この `バックドアファイル` は、ウェブサイトを侵害した後に永続的なアクセスを維持するために `攻撃者` によって植え付けられた可能性があります。
Webshell コードを含むログまたはイメージファイル	検出モデルは、ご利用の `サーバー` 上のファイル内に `Webshell` コードを発見しました。これは、`攻撃者` が `ファイルインクルード脆弱性` を悪用しようとしていることを示唆している可能性があります。
任意ファイル書き込みバックドアの検出	`Security Center` は、ご利用の `システムディスク` 上に、任意のファイルを書き込むために使用できる可能性のあるファイルを発見しました。このファイルは、ネットワークを侵害した後に `攻撃者` によって植え付けられたか、または正規の `O&M` ファイルである可能性があります。アクションを実行する前に、ファイルの正当性を確認してください。
情報窃取バックドアの検出	`Security Center` は、ご利用の `システムディスク` 上に、データベース操作ログなどの情報を盗むために使用できる可能性のあるファイルを発見しました。このファイルは、ネットワークを侵害した後に `攻撃者` によって植え付けられたか、または正規の `O&M` ファイルである可能性があります。アクションを実行する前に、ファイルの正当性を確認してください。
トロイの木馬またはホットリンクバックドアファイルの検出	検出モデルは、ご利用の `システムディスク` 上で不審な `トロイの木馬` ファイルを発見しました。これは、ウェブサイトを侵害した後に `攻撃者` によって植え付けられた可能性があります。このファイルは、不正なトラフィックリダイレクトや `ホットリンク` などの悪意のあるアクションを実行できます。アクションを実行する前に、ファイルの正当性を確認してください。管理者が意図的にこのファイルをデプロイした場合は、コンソールでアラートを `無視` するか、`誤検知としてマーク` することができます。
DLL 型 Web バックドアの検出	検出モデルは、ご利用の `サーバー` 上で不審な `Webshell` ファイルを発見しました。この `バックドアファイル` は、ウェブサイトを侵害した後に永続的なアクセスを維持するために `攻撃者` によって植え付けられた可能性があります。

異常ログイン

アラート名	説明
異常な場所からの ECS インスタンスへのログイン	ログイン場所が、定義した正当な場所のいずれでもありません。このログインが承認されていることを確認してください。
異常な IP アドレスからの ECS インスタンスへのログイン	ログイン IP アドレスが、定義した正当な IP アドレスのいずれでもありません。このログインが承認されていることを確認してください。
異常なアカウントでの ECS インスタンスへのログイン	ログインアカウントが、定義した正当なアカウントのいずれでもありません。このログインが承認されていることを確認してください。
異常な時間帯での ECS インスタンスへのログイン	ログイン時刻が、定義した正当な時間範囲外です。このログインが承認されていることを確認してください。
ECS インスタンスへのブルートフォース攻撃の成功	多数の失敗した試行の後に ECS インスタンスへのログインが成功しました。これは、ブルートフォース攻撃によってパスワードが侵害されたことを示唆しています。
ECS インスタンスへのブルートフォース攻撃の成功 (SSH)	攻撃者は、複数回の試行の後に SSH サービスのパスワードを正常に推測し、システムにアクセスしました。
ECS インスタンスへのブルートフォース攻撃の成功 (RDP)	攻撃者は、複数回の試行の後に RDP サービスのパスワードを正常に推測し、システムにアクセスしました。
ECS ログイン後の異常なコマンドシーケンスの実行 (SSH)	特定の IP アドレスからのログイン後、ご利用のサーバーで悪意のあるコマンドが実行されました。これは、攻撃者が弱いパスワードまたは侵害されたパスワードを使用してアクセスしたことを示唆している可能性があります。
異常なアカウントログイン	このアラートは、管理者グループに追加された異常なアカウントからのログインが検出されたときにトリガーされます。これが承認されたアクションでない場合は、直ちにこのアカウントを削除してください。
悪意のある IP アドレスからのログイン	既知の悪意のある IP アドレスからご利用のサーバーへのログインが成功しました。このログインに心当たりがない場合は、直ちに ECS パスワードを変更してください。
バックドアアカウントのログイン	ご利用のサーバー上のバックドアアカウントからの正常なログインが検出されました。これが承認されたアクションでない場合は、直ちにこのアカウントを削除してください。
アウトバウンドログインスキャン活動の疑い	ご利用のサーバーは、SSH、RDP、SMB などのプロトコルに対して頻繁にアウトバウンドのブルートフォース攻撃を開始しています。この動作は、ご利用のサーバーが侵害され、他のマシンを攻撃するための踏み台として使用されている可能性を示しています。
ECS インスタンスへのブルートフォース攻撃の成功 (複数の無効なユーザー)	ある IP アドレスが、複数の無効なユーザー名を試行した後にご利用のサーバーに正常にログインしました。このログインに心当たりがない場合は、直ちに ECS パスワードを変更してください。
悪意のある IP アドレスからのログイン (MySQL)	既知の悪意のある IP アドレスからご利用のサーバー上の MySQL へのログインが成功しました。このログインに心当たりがない場合は、直ちに MySQL パスワードを変更してください。
悪意のある IP アドレスからのログイン (FTP)	既知の悪意のある IP アドレスからご利用のサーバー上の FTP へのログインが成功しました。このログインに心当たりがない場合は、直ちに FTP パスワードを変更してください。
悪意のある IP アドレスからのログイン (SQL Server)	既知の悪意のある IP アドレスからご利用のサーバー上の SQL Server へのログインが成功しました。このログインに心当たりがない場合は、直ちに SQL Server パスワードを変更してください。

マルウェア

アラート名	説明
トロイの木馬	トロイの木馬は、正規のソフトウェアになりすましてホストに侵入する悪意のあるプログラムです。一度植え付けられると、通常は他の悪意のあるペイロードをダウンロードして実行します。
不審な C2 トロイの木馬通信	悪意のあるコマンド＆コントロール (C2) サーバーとの通信が検出され、トロイの木馬の感染を示しています。
DDoS 攻撃型トロイの木馬	DDoS 攻撃型トロイの木馬は、攻撃者からコマンドを受け取ってターゲットに対して DDoS 攻撃を開始する悪意のあるプログラムです。
ランサムウェア	ランサムウェアは、ホスト上の重要なファイルを暗号化し、その復号のために身代金を要求する悪意のあるプログラムです。
バックドア	バックドアは、システムに植え付けられたプログラムで、攻撃者に永続的な不正アクセスを許可します。
感染型ウイルス	感染型ウイルスは、正規のプログラムファイルに悪意のあるコードを注入するマルウェアの一種です。これによりプログラムが感染し、ウイルスを拡散させます。
ワーム	ワームは、侵害されたホストから他のホストに拡散するプログラムで、通常は脆弱性を悪用したり、パスワードをブルートフォース攻撃したりして拡散します。
悪意のあるプログラム	複数の悪意のある行為を示すプログラム、または混乱や損害を引き起こすことが知られているサードパーティプログラムを指します。
マイニングプログラム	マイニングプログラムは、サーバーのコンピューティングリソースを不正に使用して暗号通貨をマイニングします。このアクティビティは通常、高い CPU 使用率を引き起こし、他のマルウェアが伴うことがあります。
不審なプログラム	悪意のあるコードの特性や不審な動作を示すが、まだ明確に分類されていないプログラム。提供された情報に基づいてプログラムを評価する必要があります。
高リスクプログラム	クラウドベースのスキャンによって検出された、システムのセキュリティに重大な脅威をもたらすプログラム。
自己変異型トロイの木馬	自身のハッシュを変更したり、複数の場所に自身をコピーしたり、バックグラウンドで実行したりすることで、検出と除去を回避するトロイの木馬。
汚染された基本ソフトウェア	悪意のあるコードが注入された正規のシステムプログラム。元の機能を保持しつつ、隠れた悪意のあるアクションも実行する可能性があります。
エクスプロイトプログラム	オペレーティングシステムやアプリケーションの既知の脆弱性を攻撃して、権限を昇格させたり、コンテナをエスケープしたり、任意のコードを実行したりするプログラム。
ハッキングツール	攻撃者が権限昇格、機密データ窃取、またはセキュリティソフトウェアのアンインストールに使用するツール。侵入後にバックドアとして植え付けられることもあります。
ルートキット	自身の痕跡や他の悪意のあるプログラムの痕跡を隠すために、システムの低レベルに植え付けられた悪意のあるモジュール。
ルートキットカーネルモジュール	カーネルレベルで動作するルートキット。このタイプのルートキットは、オペレーティングシステムのコアを変更できるため、検出と削除が特に困難です。
非常に不審なプログラム	悪意のあるコードの強い特性を示すが、明確に分類されていないプログラム。プログラムを評価し、高い優先度で対処する必要があります。
リスクウェア	本質的に悪意はないが、誤用されるとセキュリティ上の脅威をもたらす可能性のある機能を持つソフトウェア。一般的な例には、リモート管理ツールやプロセス管理ツールが含まれます。提供された情報に基づいてその使用例を評価する必要があります。
ダウンローダー型トロイの木馬	他のトロイの木馬やアドウェアなど、他の悪意のあるソフトウェアをダウンロードして実行するように設計されたトロイの木馬。
プロキシツール	プロキシやトンネリングなどの操作に攻撃者が使用するツールで、しばしば活動を隠蔽したり、さらなるサーバー侵入を容易にしたりするために使用されます。
エンジンテストプログラム	セキュリティ検出エンジンが正しく機能していることを確認するために使用されるプログラム。通常は無害です。
情報窃取ツール	サーバーから機密ファイルや情報を盗むように設計されたツール。
スキャナー	攻撃者が稼働中のホスト、オープンポート、脆弱性や弱いパスワードなどのセキュリティリスクを発見するために使用するツール。スキャンはしばしばさらなる侵入の前兆です。
ランサムウェア	ランサムウェアは、ホスト上の重要なファイルを暗号化し、その復号のために身代金を要求する悪意のあるプログラムです。
アドウェア	通常、正規のプログラムにバンドルされているソフトウェアで、不要な広告を表示したり、通常の使用を妨げたり、システムリソースを消費したりします。
難読化されたプログラム	分析を困難にするために意図的にコードが不明瞭にされたプログラム。マルウェアは、セキュリティソフトウェアによる検出を回避するために難読化をよく使用します。
クラッキングプログラム	ソフトウェアライセンスやデジタル著作権管理 (DRM) をバイパスするように設計されたツール。このようなプログラムのソースはしばしば信頼できず、マルウェアが含まれている可能性があります。
プライベートサーバツール	通常はオンラインゲームやチートソフトウェアの一形態として、プライベートサーバをエミュレートするために使用されるツール。これらのツールには悪意のあるコードが含まれている可能性があります。
リバースシェル	ターゲットサーバーから攻撃者のマシンに開始されるシェルセッション。この手法は、着信接続をブロックするファイアウォールルールをバイパスするためによく使用されます。
悪意のあるドキュメント	PDF や Office ドキュメントなど、悪意のあるペイロードを含むドキュメントファイル。攻撃者は、システムを侵害するためにフィッシングキャンペーンでこれらをよく使用します。

クラウドプロダクトの脅威検知

アラート名	説明
RAM ユーザーの異常なログイン	このアラートは、ご利用の Alibaba Cloud アカウントの RAM ユーザーが異常な場所からログインしたときに生成されます。これは、新しいデバイスや場所からログインした場合など、正当なアクティビティ中に発生する可能性があります。ただし、このアクティビティに心当たりがない場合は、RAM ユーザーの認証情報が侵害されている可能性があります。
悪意のある IP アドレスによる AccessKey の使用	このアラートは、ご利用の AccessKey が既知の悪意のある IP アドレスによって使用されたことを示します。このアクティビティに心当たりがない場合は、直ちに AccessKey を無効にしてローテーションする必要があります。
OSS への不審なアクセス	このアラートは、OSS ツールからご利用の OSS バケットへの異常なアクセスを示します。このアクティビティは、呼び出し元 IP アドレスの変更や API 呼び出しの失敗によってトリガーされる可能性があります。ソース IP アドレスとツールの活動が正当であることを確認する必要があります。活動が不正である場合、攻撃者がご利用の OSS バケットの制御権を奪ったことを示唆している可能性があります。
クラウドアシスタントからの異常なコマンド	このアラートは、攻撃者がクラウドアシスタント OpenAPI を使用してご利用のサーバーで悪意のあるコマンドを実行したときにトリガーされます。この動作は、ご利用の AccessKey が侵害され、攻撃者によって使用されていることを強く示唆しています。
異常な AccessKey 呼び出し	このアラートは、ご利用の AccessKey が異常な API 呼び出しに使用されたことを示します。
ECS インスタンスロールの認証情報が外部から呼び出された	このアラートは、外部 IP アドレスが ECS インスタンスに付与されたロールの STS 一時認証情報を使用したときに生成されます。これは、ECS インスタンスが侵害され、攻撃者が関連するロールの認証情報を盗んだことを示唆している可能性があります。Alibaba Cloud は、STS 一時認証情報をリクエストされたホストでのみ使用することを推奨します。ECS インスタンスロールの詳細については、「インスタンス RAM ロール」をご参照ください。
クラウドアシスタントの登録ハイジャック	このアラートは、別の Alibaba Cloud アカウントがリモートコマンド実行機能を取得するために、ご利用の ECS インスタンスにクラウドアシスタントをインストールしようとしていることを示します。このアクションが承認された O&M 担当者によって実行されたかどうかを直ちに確認し、サーバーに他の異常なアクティビティがないか調査する必要があります。
AK を使用したハッキングツール	このアラートは、既知のハッキングツールがご利用の AK を使用していることが検出されたときに生成されます。これが正当なユーザーアクティビティであるかどうかを直ちに調査する必要があります。
別の Alibaba Cloud アカウントによって呼び出された ECS ロール認証情報	このアラートは、別の Alibaba Cloud アカウントが ECS インスタンスに付与されたロールの STS 一時認証情報を使用したときに生成されます。これは、ECS インスタンスが侵害され、攻撃者が関連するロールの認証情報を盗んだことを示唆している可能性があります。Alibaba Cloud は、STS 一時認証情報をリクエストされたホストでのみ使用することを推奨します。ECS インスタンスロールの詳細については、「インスタンス RAM ロール」をご参照ください。
ECS ロール認証情報による機密 API の異常な呼び出し	このアラートは、ECS インスタンスにアタッチされたロールが機密 API オペレーションを実行するために使用されたときにトリガーされます。呼び出し元 IP アドレスの ID を直ちに確認し、このアクティビティが正当であるかどうかを確認する必要があります。IP アドレスがアカウント内の別の ECS インスタンスに属している場合でも、潜在的な侵害について調査する必要があります。攻撃者はしばしば、サーバーやウェブサイトを侵害して ECS インスタンスロールの認証情報を盗み、これらの認証情報を使用して機密 API 呼び出しを行います。
機密 API を呼び出す不審な ID	このアラートは、ID が異常な地理的場所からアカウントで機密 API オペレーションを実行したときに生成されます。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
ECS リソースの異常な走査	このアラートは、ID が異常な地理的場所から複数のリージョンにわたって ECS インスタンスを列挙していることを示します。このアクティビティは一般的な偵察手法です。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
RDS リソースの異常な走査	このアラートは、ID が異常な地理的場所から複数のリージョンにわたって RDS インスタンスを列挙していることを示します。このアクティビティは一般的な偵察手法です。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
OSS アクセス権限の異常な走査	このアラートは、ID が異常な地理的場所から複数の OSS バケットのアクセス制御リスト (ACL) を列挙したときにトリガーされます。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
高権限サブアカウントの異常な作成	このアラートは、ID が管理者権限を持つ RAM ユーザーを作成し、そのユーザーの Web コンソールログインを有効にしたことを示します。これは、攻撃者が永続的なアクセスのためのバックドアを作成するために使用する一般的な戦術です。この RAM ユーザーが承認された担当者によって作成されたかどうかを直ちに調査する必要があります。
複数のサブアカウント権限の異常な走査	このアラートは、ID が異常な地理的場所から複数のサブアカウントの権限ポリシーを列挙したときに生成されます。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
単一サブアカウントの権限の異常な走査	このアラートは、ID が異常な地理的場所からサブアカウントとその関連ユーザーグループの権限ポリシーを列挙したときにトリガーされます。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
ロール権限の異常な走査	このアラートは、ID が異常な地理的場所からアカウント内の複数のロールの権限ポリシーを列挙していることを示します。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
データベースのパブリックネットワークアクセスの異常な設定	このアラートは、ID がデータベースをパブリックアクセス用に設定し、異常な地理的場所から IP ホワイトリストを追加したときにトリガーされます。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を確認する必要があります。
高権限ロールの異常な作成	このアラートは、ID が管理者権限を持つロールを作成したことを示します。Alibaba Cloud は、完全な管理者権限ではなく、サービスに必要な権限のみをロールに付与することを推奨します。このロールの作成が正当なビジネス要件であるかどうかを直ちに確認する必要があります。
異常な権限プロービング動作	このアラートは、ID が複数のクラウド製品の API 呼び出し権限を列挙したときに生成されます。この動作は、ハッキングツールの自動化されたアクティビティに似ています。AK が侵害されるリスクを軽減するために、呼び出し元の ID と操作の正当性を直ちに確認する必要があります。
RAM ユーザーがコンソールにログインし、機密操作を実行	このアラートは、Web コンソールログインが有効になっている RAM ユーザーがコンソールで機密操作を実行したときにトリガーされます。
クラウドアシスタントからの異常なコマンド	このアラートは、攻撃者がクラウドアシスタント OpenAPI を使用してご利用のサーバーで悪意のあるコマンドを実行したときにトリガーされます。この動作は、ご利用の AccessKey が侵害され、攻撃者によって使用されていることを強く示唆しています。

不審なネットワーク接続

アラート名	説明
悪意のあるダウンロードソースへのアウトバウンド接続	このアラートは、Security Center がご利用のサーバーが HTTP 経由で悪意のあるダウンロードソースにアクセスしようとしていることを検出したときにトリガーされます。このアクティビティは、攻撃者が弱いパスワードを使用したり、コマンド実行の脆弱性を悪用したりしてサーバーを侵害し、現在悪意のあるファイルをダウンロードしようとしていることを示唆している可能性があります。
機密ポートスキャンの疑い	このアラートは、Security Center がご利用のサーバー上のプロセスが短時間に機密ポートに対して異常に多数のネットワークリクエストを行っていることを検出したときにトリガーされます。この動作はポートスキャンの特徴です。
Windows での異常なネットワーク接続	このアラートは、Security Center がシステム上のプロセスからの異常なネットワーク接続動作を検出したときにトリガーされます。この種のアクティビティは、ウイルスやトロイの木馬などのマルウェア、または攻撃者による悪意のあるアクションに関連していることがよくあります。
リバースシェルのアウトバウンドネットワーク接続	このアラートは、Security Center がリバースシェルの特徴を持つ疑わしいアウトバウンドネットワーク接続を検出したときにトリガーされます。リバースシェルを使用すると、攻撃者はご利用のサーバーから自身のサーバーへの接続を確立でき、その後、任意のコマンドを実行するために使用できます。このアクティビティを直ちに調査してください。これが正当な O&M 操作またはビジネス機能である場合は、アラートを無視するか、誤検知としてマークすることができます。
不審なポートのリッスン	このアラートは、Security Center が不審なポートをリッスンしているプロセスを検出したときにトリガーされます。
内部ネットワークスキャン	このアラートは、Security Center がご利用のサーバー上のプロセスが短時間に内部ネットワーク内の複数の IP アドレスの指定されたポートに接続試行を行っていることを検出したときにトリガーされます。この動作は、最初の侵害後に攻撃者が使用する一般的なラテラルムーブメント手法である内部ネットワークスキャンの強力な指標です。
コンテナ API への不審な手動アクセス	このアラートは、Security Center がコンテナ API への不審な手動アクセスを検出したときにトリガーされます。コンテナサービスで認証と権限付与が有効になっていない場合、攻撃者はこのアクセスを悪用してコンテナ情報を取得したり、コンテナを作成したり、コンテナ内でコマンドを実行したり、悪意のあるイメージをアップロードしたりする可能性があります。このアクティビティは、正当な手動 O&M 操作である可能性もあります。直ちに調査してください。

悪意のあるスクリプト

アラート名	説明
悪意のあるスクリプトファイルの検出	検出モデルは、ご利用のサーバー上で悪意のあるスクリプトファイルを検出しました。攻撃者が侵害に成功した後にこのファイルを植え付けた可能性があります。タグに基づいてファイルの正当性を確認し、適切なアクションを実行してください。
悪意のあるスクリプトコードの実行	検出モデルは、ご利用のサーバー上で実行されている悪意のある Bash、PowerShell、または Python スクリプトコードを検出しました。
不審なダウンロード動作の検出	検出モデルは、ご利用のサーバー上で不審なダウンロードアクティビティを検出しました。このアクティビティは、侵害に成功した後に攻撃者が実行したコマンドの結果である可能性があります。コマンドの正当性を確認し、適切なアクションを実行してください。
不審なスクリプトファイルの検出	検出モデルは、ご利用のサーバー上で不審なスクリプトファイルを検出しました。攻撃者が侵害に成功した後にこのファイルを植え付けた可能性があります。タグに基づいてファイルの正当性を確認し、適切なアクションを実行してください。
不審なスクリプトコードの実行	検出モデルは、ご利用のサーバー上で実行されている不審な Bash、PowerShell、または Python スクリプトコードを検出しました。
悪意のあるスクリプト	`SCRIPT_agentless`。
悪意のあるコードを含むファイル	検出モデルは、ご利用のサーバー上で悪意のあるスクリプトファイルを検出しました。攻撃者が侵害に成功した後にこのファイルを植え付けた可能性があります。タグに基づいてファイルの正当性を確認し、適切なアクションを実行してください。
不審なコードを含むファイル	検出モデルは、ご利用のサーバー上で不審なスクリプトファイルを検出しました。攻撃者が侵害に成功した後にこのファイルを植え付けた可能性があります。タグに基づいてファイルの正当性を確認し、適切なアクションを実行してください。

永続的なバックドア

アラート名	説明
メモリに常駐する異常なコード	Security Center は、プロセスのメモリ空間に悪意のあるコードを検出しました。これは、プロセスが開始された後に悪意のある命令が正規のプロセスに注入されたか、またはプロセスファイル自体が悪意のあるものであることを示唆している可能性があります。次のアクションを実行することを推奨します： 1. プロセスファイルを調べます。正規のファイルでない場合は、プロセスを終了し、ファイルを隔離します。正規のプロセスである場合は、サービスに影響を与えない場合は終了します。 2. このアラートをマシン上の他のアラートと関連付けて、侵入の潜在的な影響を評価し、さらなるアクションを実行します。 3. 侵入の根本原因を分析し、関連するセキュリティ脆弱性にパッチを適用します。
バックドアプロセス	このアラートは、ご利用のサーバー上で不審なプロセス (潜在的にバックドア) が検出されたことを示します。攻撃者はこの手法を使用して永続的なアクセスを維持する可能性があります。
自動起動バックドア	Security Center は、ご利用のホスト上で異常な自動起動項目を検出しました。これは、マルウェアや攻撃者によって植え付けられた永続化メカニズムである可能性が高いです。対処しない場合、悪意のあるプログラムが再植え付けられる可能性があります。ウイルス対策保護機能を使用してホストの完全スキャンとクリーンアップを実行するか、アラートの詳細に基づいて手動で問題を解決することを推奨します。
異常なプロセスの永続化	このアラートは、ご利用のサーバー上で異常なプロセスが実行されていることを示します。これは、悪意のあるプログラムまたは悪意のあるコードをロードした正規のプログラムである可能性があります。
悪意のある自動起動スクリプト	このアラートは、ご利用のサーバーの自動起動項目に不審なファイルが見つかったことを示します。これは、定期タスクや自動起動スクリプトを介したマルウェアや攻撃者による永続化手法である可能性があります。
隠しプロセス	Security Center は、標準の表示ツールから隠されたプロセスを検出しました。マルウェアや攻撃者は、悪意のあるプロセスを隠すためにさまざまな手法をよく使用します。これは、ホストがルートキットバックドアによって侵害されたことを示唆している可能性があります。
SSH 公開鍵バックドア	このアラートは、ご利用のサーバー上で異常な SSH 公開鍵が見つかったことを示します。ワームや攻撃者は、侵害されたサーバーに永続的なアクセスを維持するために、このようなキーを追加することが知られています。
Cobalt Strike リモートコントロールトロイの木馬	Security Center は、このプロセスのメモリ内で Cobalt Strike リモートコントロールバックドアを検出しました。これは、悪意のあるコードが正規のプロセスに注入されるプロセスインジェクション攻撃の結果である可能性があります。プロセスファイルが正規のものであっても、注入後は悪意のあるコードを実行します。あるいは、プログラム自体が悪意のあるものである可能性もあります。次のアクションを実行することを推奨します： 1. プロセスファイルを調べます。正規のファイルでない場合は、プロセスを終了し、ファイルを隔離します。正規のプロセスである場合は、サービスに影響を与えない場合は終了します。 2. このアラートをマシン上の他のアラートと関連付けて、侵入の潜在的な影響を評価し、さらなるアクションを実行します。 3. 侵入の根本原因を分析し、関連するセキュリティ脆弱性にパッチを適用します。
隠しカーネルモジュール	このアラートは、ご利用のサーバー上で隠しカーネルモジュールが見つかったことを示します。これは、攻撃者やマルウェアがシステム権限を維持し、他の悪意のある活動を隠すために植え付けたルートキットバックドアである可能性が高いです。
Web アプリケーションのメモリ常駐バックドア	このアラートは、Web アプリケーションプロセスのメモリ内で不審なコードまたはデータが検出されたことを示します。このメモリ常駐バックドアは、ディスク上のファイルを必要としません。Web アプリケーションの脆弱性にパッチを適用し、アプリケーションを再起動してバックドアを削除することを推奨します。また、ホスト上の他の関連アラートも確認してください。このアラートが誤検知であると判断した場合は、無視するか、ホワイトリストに追加できます。
Kerberos チケットインジェクション攻撃	このアラートは、Kerberos チケットインジェクション攻撃を示します。
WMI イベントサブスクリプション永続化攻撃	このアラートは、WMI イベントサブスクリプション永続化攻撃を示します。
スケルトンキードメインコントローラー永続化攻撃	このアラートは、スケルトンキードメインコントローラー永続化攻撃を示します。
プロセスパスのなりすまし	このアラートは、プロセスパスのなりすましを示します。
異常なレジストリキー	このアラートは、ご利用のサーバー上の不審なレジストリ設定項目を示します。マルウェアは、永続化を達成したり、セキュリティ保護を妨害したりするために、主要なレジストリ設定をしばしば変更します。
異常なライブラリファイルの読み込み	このアラートは、異常なライブラリファイルがロードされたことを示します。
プロセス実行可能イメージの改ざん	このアラートは、プロセス実行可能イメージの改ざんを示します。
SID 履歴インジェクション攻撃	このアラートは、SID 履歴インジェクション攻撃を示します。
ダイナミックリンクライブラリ関数ハイジャック	このアラートは、ダイナミックリンクライブラリ関数のハイジャックを示します。
メモリにロードされた異常な .NET モジュール	このアラートは、異常な .NET モジュールがメモリにロードされたことを示します。
異常な定期タスク	このアラートは、異常な定期タスクを示します。
異常な定期タスク	このアラートは、異常な定期タスクを示します。
異常なスレッド実行	このアラートは、異常なスレッド実行を示します。
プロセス隠蔽動作	このアラートは、プロセス隠蔽動作を示します。
Web アプリケーションメモリ内で見つかった異常なコード	このアラートは、Web アプリケーションメモリ内で異常なコードが見つかったことを示します。
Linux での異常なサービス	このアラートは、Linux での異常なサービスを示します。
Windows での異常なサービス	このアラートは、Windows での異常なサービスを示します。
システムベースライブラリファイルのハイジャック	このアラートは、システムベースライブラリファイルのハイジャックを示します。
プロセスランタイム関数ハイジャック	このアラートは、プロセスランタイム関数のハイジャックを示します。
Linux での異常な起動スクリプト	このアラートは、Linux での異常な起動スクリプトを示します。
Cobalt Strike リモートコントロールトロイの木馬	Security Center は、このプロセスのメモリ内で Cobalt Strike リモートコントロールバックドアを検出しました。これは、悪意のあるコードが正規のプロセスに注入されるプロセスインジェクション攻撃の結果である可能性があります。プロセスファイルが正規のものであっても、注入後は悪意のあるコードを実行します。あるいは、プログラム自体が悪意のあるものである可能性もあります。次のアクションを実行することを推奨します： 1. プロセスファイルを調べます。正規のファイルでない場合は、プロセスを終了し、ファイルを隔離します。正規のプロセスである場合は、サービスに影響を与えない場合は終了します。 2. このアラートをマシン上の他のアラートと関連付けて、侵入の潜在的な影響を評価し、さらなるアクションを実行します。 3. 侵入の根本原因を分析し、関連するセキュリティ脆弱性にパッチを適用します。
Kerberos チケットインジェクション攻撃	このアラートは、Kerberos チケットインジェクション攻撃を示します。
Linux での異常なサービス	このアラートは、Linux での異常なサービスを示します。
異常な定期タスク	このアラートは、異常な定期タスクを示します。
SID 履歴インジェクション攻撃	このアラートは、SID 履歴インジェクション攻撃を示します。
スケルトンキードメインコントローラー永続化攻撃	このアラートは、スケルトンキードメインコントローラー永続化攻撃を示します。
Windows での異常なサービス	このアラートは、Windows での異常なサービスを示します。
異常な定期タスク	このアラートは、異常な定期タスクを示します。
WMI イベントサブスクリプション永続化攻撃	このアラートは、WMI イベントサブスクリプション永続化攻撃を示します。
ダイナミックリンクライブラリ関数ハイジャック	このアラートは、ダイナミックリンクライブラリ関数のハイジャックを示します。
バックドアプロセス	このアラートは、ご利用のサーバー上で不審なプロセス (潜在的にバックドア) が検出されたことを示します。攻撃者はこの手法を使用して永続的なアクセスを維持する可能性があります。
メモリにロードされた異常な .NET モジュール	このアラートは、異常な .NET モジュールがメモリにロードされたことを示します。
メモリに常駐する異常なコード	Security Center は、プロセスのメモリ空間に悪意のあるコードを検出しました。これは、プロセスが開始された後に悪意のある命令が正規のプロセスに注入されたか、またはプロセスファイル自体が悪意のあるものであることを示唆している可能性があります。次のアクションを実行することを推奨します： 1. プロセスファイルを調べます。正規のファイルでない場合は、プロセスを終了し、ファイルを隔離します。正規のプロセスである場合は、サービスに影響を与えない場合は終了します。 2. このアラートをマシン上の他のアラートと関連付けて、侵入の潜在的な影響を評価し、さらなるアクションを実行します。 3. 侵入の根本原因を分析し、関連するセキュリティ脆弱性にパッチを適用します。
異常なライブラリファイルの読み込み	このアラートは、異常なライブラリファイルがロードされたことを示します。
異常なレジストリキー	このアラートは、ご利用のサーバー上の不審なレジストリ設定項目を示します。マルウェアは、永続化を達成したり、セキュリティ保護を妨害したりするために、主要なレジストリ設定をしばしば変更します。
異常なスレッド実行	このアラートは、異常なスレッド実行を示します。
システムベースライブラリファイルのハイジャック	このアラートは、システムベースライブラリファイルのハイジャックを示します。
プロセス実行可能イメージの改ざん	このアラートは、プロセス実行可能イメージの改ざんを示します。
プロセスパスのなりすまし	このアラートは、プロセスパスのなりすましを示します。
プロセスランタイム関数ハイジャック	このアラートは、プロセスランタイム関数のハイジャックを示します。
プロセス隠蔽動作	このアラートは、プロセス隠蔽動作を示します。
Linux での異常なターミナル設定ファイル	このアラートは、Linux での異常なターミナル設定ファイルを示します。

機密ファイルの改ざん

アラート名	説明
システムファイルの改ざん	ご利用のサーバー上のプロセスがシステムファイルを変更または置換しようとしました。これは、攻撃者が検出を回避したり、バックドアを隠したりする試みである可能性があります。影響を受けるシステムファイルが本物であることを直ちに確認してください。
システムファイルの移動	ご利用のサーバー上のプロセスがシステムファイルを移動しようとしました。攻撃者は、これらのファイルを監視するセキュリティソフトウェアをバイパスするためにこれを行う可能性があります。
Linux 共有ライブラリプリロード設定ファイルの不審な改ざん	システムは、ご利用のサーバー上の共有ライブラリプリロード設定ファイルの不審な改ざんを検出しました。

コンテナクラスターの異常

アラート名	説明
Kubernetes API を介してコンテナ内で実行された不審なコマンド	Security Center は、Kubernetes API を介してコンテナ内で実行された不審なコマンドを検出しました。このアクティビティは、コンテナ間やノードからコンテナへのラテラルムーブメントなど、一般的な手法です。このアクティビティは特定のビジネスや O&M タスクでは正当な場合がありますが、悪意のある意図を示すこともあります。
悪意のあるイメージ Pod の起動	このアラートは、Kubernetes クラスターで悪意のあるイメージから Pod が起動したときにトリガーされます。これは通常、イメージにバックドア、暗号マイニングプログラム、またはその他のマルウェアが含まれている場合に発生します。
Kubernetes サービスアカウントのラテラルムーブメント	このアラートは、サービスアカウントが確立されたベースラインから逸脱した権限を要求したり、複数の認証失敗をトリガーしたりしたときにトリガーされます。この動作は、攻撃者が Pod を侵害し、盗んだサービスアカウントの認証情報を使用して API サーバーを攻撃していることを意味することがよくあります。このアクティビティを直ちに調査してください。
Kubernetes 匿名ユーザーの認証成功	このアラートは、匿名ユーザーが正常に認証されたときにトリガーされます。本番クラスターで匿名ユーザーに重要なリソースへのアクセスを許可しないでください。クラスターがパブリックインターネットに公開され、匿名アクセスが許可されている場合、リスクは非常に高くなります。攻撃者はしばしば、匿名認証を悪用して Kubernetes API サーバーを制御し、悪意のあるワークロードをデプロイします。この操作が信頼できるユーザーによって実行されたことを確認し、匿名アクセス権限を制限してください。
Kubernetes Secrets への異常なアクセス	このアラートは、アカウントが Kubernetes クラスター内の Secrets を列挙したときにトリガーされます。このアクティビティは、攻撃者がクラスターを侵害し、Secrets に保存されている機密情報を盗もうとしていることを示唆している可能性があります。この操作が信頼できるアプリケーションまたは管理者によって実行されたことを確認してください。
不審な Kubernetes 操作シーケンス	Security Center は、Kubernetes クラスター内のアカウントが、確立されたベースラインから逸脱した一連の高リスクコマンドを実行したことを検出しました。これらのコマンドが承認された管理者によって実行されたことを確認してください。そうでない場合、クラスターが侵害された可能性があります。アクティビティが正当であることを確認した場合は、ホワイトリストに追加して、将来同様のアラートを抑制できます。
管理者ロールにバインドされた Kubernetes ユーザー	Security Center は、Kubernetes クラスター内のユーザーが ClusterRole などの高権限のシステムロールにバインドされていることを検出しました。このアクションが承認された管理者またはシステムコンポーネントによって実行されたことを確認してください。そうでない場合、攻撃者がサーバーを侵害し、永続化のためにバックドアアカウントを作成していることを示唆している可能性があります。これが誤検知の場合は、動作をホワイトリストに追加してこのタイプのアラートを抑制できます。
Kubernetes サービスの中間者攻撃の疑い (CVE-2020-8554)	Kubernetes クラスターでは、ユーザーは Service を作成してクラスターのトラフィックをハイジャックし、データ漏洩のために任意の外部 IP アドレスに転送できます。Security Center は、Kubernetes クラスターで作成された Service の `ExternalIP` フィールドに外部 IP アドレスが指定されていることを検出しました。この動作は、Kubernetes の中間者攻撃脆弱性 (CVE-2020-8554) の悪用パターンと一致します。
機密ホストパスのマウント	Security Center は、Pod が起動時にホストから機密ディレクトリまたはファイルをマウントしていることを発見しました。この設定は、コンテナエスケープのリスクをもたらします。Pod が侵害された場合、攻撃者はマウントされたファイルを悪用してコンテナからエスケープし、ノードの制御権を得る可能性があります。ルートディレクトリ、定期タスク設定ディレクトリ、システムサービス設定ディレクトリなど、Pod の機密ホストパスマウントの使用を最小限に抑えてください。この設定がビジネスに必要で、リスクが許容範囲内である場合は、ホワイトリストに追加してこのアラートを抑制できます。
Kubernetes API サーバーへの不審なリクエスト	このアラートは、Kubernetes API サーバーへの不審なリクエストによってトリガーされます。異常の詳細については、アラートの詳細をご参照ください。このアクティビティは、通常のビジネスオペレーションである可能性もあります。リクエストが正当であるかどうかを判断するには、ソース IP アドレス、User-Agent、リクエストされたリソース、およびリクエストを開始したユーザーを調査してください。完全な Kubernetes API サーバー監査ログを表示するには、アラート詳細の `auditID` フィールドを使用して SLS の Kubernetes 監査ログを検索します。
高権限ロールにバインドされた Kubernetes クラスターユーザー	このアラートは、Kubernetes クラスター内のユーザーが高権限ロールにバインドされたときにトリガーされます。高権限とは、名前空間内またはクラスター全体の重要なリソースを読み取りまたは変更する権限を指します。例としては、クラスター管理者権限、名前空間内のすべての Secrets を読み取る機能、Pod の作成、Pod 内でのコマンド実行、または他の高権限ロールの作成などがあります。一般的な攻撃シナリオには、Web アプリケーションのサービスアカウントに過剰な権限を付与することが含まれます。攻撃者は、Web の脆弱性を悪用して Pod に侵入し、サービスアカウントの認証情報を使用して他のクラスターリソースにアクセスして制御することができます。
サービスアカウントによる異常なトークン作成	トークンリクエストは通常、実際のユーザーによって開始されます。サービスアカウントは、Pod 内のプロセスが API サーバーと対話できるようにする Kubernetes オブジェクトです。あるサービスアカウントが別のアカウントのトークンを取得しようとすると、権限昇格の試みを示唆している可能性があります。
サービスアカウントが自身のクラスターロール権限を変更	サービスアカウントは通常、バインドされている ClusterRole の権限を変更しません。サービスアカウントが自身のバインドされた ClusterRole の権限を変更するよう要求した場合、それはしばしば権限昇格の試みを示します。
サービスアカウントがバインドされたクラスターロールを変更	アプリケーションのサービスアカウントは通常、バインドされている ClusterRole を変更しません。このアラートは、サービスアカウントが自身のロールを作成してバインドした場合にトリガーされ、これはしばしば権限昇格の試みを示します。
サービスアカウントが別のユーザープリンシパルになりすましてリソースを要求	アプリケーションのサービスアカウントは通常、他のユーザープリンシパルになりすましてリソースを要求する必要はありません。サービスアカウントが別のユーザープリンシパルになりすましてリクエストを行う場合、それはしばしば権限昇格の試みを示します。
サービスアカウントがシステムコンポーネントのサービスアカウントを使用して Pod を作成	システムコンポーネントのサービスアカウントは通常、高い権限を持ち、他のワークロードでは使用されるべきではありません。サービスアカウントがシステムコンポーネントのサービスアカウントを使用する Pod を作成する場合、それはしばしば権限昇格の試みを示します。
自身の権限を確認する不審なリクエスト	クラスター内のワークロードが自身のサービスアカウントの権限を確認する必要はほとんどありません。サービスアカウントが自身の権限セットを要求する場合、攻撃者がサービスアカウントを侵害した可能性を示唆している可能性があります。
ノード ID がクラスター Secret を取得	クラスターノードの kubelet 証明書を使用して Secrets を取得できます。攻撃者はこの機能を悪用して、クラスター内の機密情報にアクセスする可能性があります。したがって、ノードの ID が Secret を要求する場合、それはしばしば権限昇格の試みを示します。
サービスアカウントがノードプロキシリソースを作成してコマンドを実行	ノードのプロキシサブリソースを使用して Pod 内でコマンドを実行できますが、この方法は通常、クラスター内のワークロードには必要ありません。サービスアカウントがノードのプロキシサブリソースを使用して Pod 内でコマンドを実行する場合、それはしばしば権限昇格の試みを示します。
サービスアカウントが別のノードの Pod を盗む	Taint は、特定のノードにどの Pod をスケジュールできるかを制限する Kubernetes のスケジューリング機能です。ノードを侵害した攻撃者は、他のノードに Taint を適用してスケジュール不可としてマークすることができます。これにより、ターゲットの Pod が侵害されたノードにスケジュールされるように強制され、攻撃者はその認証情報を盗むことができます。サービスアカウントが多くのノードに Taint を作成する場合、それはしばしば権限昇格の試みを示します。
サービスアカウントが kubelet リッスンポートに直接アクセス	kubelet と API サーバーは通信にポート `10250` を使用します。クラスター内のビジネスワークロードは通常、このポートにアクセスするためにサービスアカウントを使用しません。サービスアカウントが kubelet リッスンポートに直接アクセスし、特定のリソースを要求する場合、それはしばしば権限昇格の試みを示します。
サービスアカウントは Pod に入るためのエフェメラルコンテナを作成します。	エフェメラルコンテナを使用すると、開発者はターゲット Pod の名前空間にエフェメラルコンテナを作成することで、実行中の Pod をデバッグできます。この操作はサービスアカウントによって開始されるべきではありません。サービスアカウントがエフェメラルコンテナの作成を要求する場合、通常、攻撃者がその ID を使用して別の Pod に侵入することで権限昇格を試みていることを意味します。

異常なアカウント

アラート名

説明

バックドアアカウント

このアラートは、ご利用のホスト上の不審なアカウントを示します。攻撃者や悪意のあるプログラムが、永続性を維持するために新しいアカウントを作成したり、ゲストアカウントを有効にしたりする可能性があります。このアカウントが正当なビジネス運用に使用されていない場合は、ホストにログインして調査し、対策を講じてください。

Webshell 検知 (ローカルスキャン)