Security Center:脆弱性のスキャン

手動スキャン

1. コンソールにログイン

   Security Center コンソールにログインします。 左側のナビゲーションウィンドウで、リスクガバナンス > 脆弱性管理 を選択します。コンソールの左上隅で、資産が配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

2. スキャンの実行

   脆弱性管理 ページで、Quick Scan をクリックしてすべてのサーバーをスキャンします。表示される 脆弱性スキャン ダイアログボックスで、スキャンする脆弱性の種類を選択し、OK をクリックします。

   説明

   特定のサーバーをスキャンするには、ホストアセット ページに移動し、目的のサーバーを選択します。ページ下部のパネルで Security Check をクリックし、Vulnerabilities を選択します。

自動 (定期的) スキャン

自動スキャンでは、2 つの異なるスケジューリング方法が使用されます:

• システムデフォルトサイクル (設定不可)

  • 適用可能な脆弱性: Linux Software Vulnerability、Windows System Vulnerability、およびWeb-CMS Vulnerability。

  • デフォルトのスキャンサイクル:

    • Subscription

      • Advanced、Enterprise、およびUltimate： 1日に1回。

      • Basic、Value-added Plan、Anti-virus: 2日に1回。

    • Pay-as-you-go

      • Host ProtectionおよびHosts and Container Protection: 1 日 1 回。

      • UnprotectedおよびAntivirus： 2 日に 1 回。

• ユーザー定義のサイクル:

  • 対象の脆弱性: Application Vulnerability および 緊急の脆弱性。

  • 適用可能なエディション:

    • Subscription：Advanced、Enterprise、Ultimate。

    • Pay-as-you-go: Host ProtectionおよびHosts and Container Protection。

次のようにスキャンを設定します:

1. コンソールにログイン

   Security Center コンソールにログインします。 左側のナビゲーションウィンドウで、リスクガバナンス > 脆弱性管理 を選択します。コンソールの左上隅で、資産が配置されているリージョン (Chinese Mainland または Outside Chinese Mainland) を選択します。

2. 脆弱性管理 ページで、右上隅の 脆弱性管理の設定 をクリックします。必要に応じて設定を構成します:

   設定項目	説明
   脆弱性スキャンスイッチ	さまざまな脆弱性タイプ (Linux Software Vulnerability、Windows System Vulnerability、Web-CMS Vulnerability、Application Vulnerability、および 緊急の脆弱性) のスキャンを有効または無効にします。スイッチを有効にした後、右側の [管理] をクリックして、その脆弱性タイプのスキャン範囲 (有効なサーバー) を指定できます。
   YUM/APT ソースの設定	有効にすると、Linux 脆弱性の修正に Alibaba Cloud 公式の YUM/APT ソースが優先され、修正の成功率が大幅に向上します。
   緊急脆弱性スキャンサイクル	緊急脆弱性スキャンタスクの実行頻度を設定します。 デフォルトのスキャンウィンドウ: 中国リージョン: 00:00:00 (UTC+8) から 07:00:00 (UTC+8)。 グローバル (中国を除く) リージョン: 00:00:00 (UTC+7) から 07:00:00 (UTC+7)。 適用可能なエディション/保護レベル: サブスクリプション: Advanced、Enterprise、およびUltimate。 従量課金: Host Protection と Hosts and Container Protection。
   アプリケーションの脆弱性スキャンサイクル	アプリケーション脆弱性スキャンタスクの実行頻度を設定します。 デフォルトのスキャンウィンドウ: 中国リージョン: 00:00:00 (UTC+8) から 07:00:00 (UTC+8)。 グローバル (中国を除く) リージョン: 24 時間以内に異なる時間にスキャンを実行するスタッガードスケジューリングメカニズムを使用します。 適用されるエディション/保護レベル: エディション：EnterpriseおよびUltimate。 従量課金: Host Protection および Hosts and Container Protection。
   無効な脆弱性の自動削除	無効な脆弱性のデータクリーンアップ期間を設定します。 システムは、再発せず、長期間処理されていない脆弱性を「無効」としてマークし、自動的に「処理済み」リストにアーカイブします。設定された 無効な脆弱性の自動削除 のクリーンアップ期間が経過すると、システムはそれらを永久に削除して情報ノイズを減らします。 説明 Security Center が将来同じタイプの脆弱性を検出した場合でも、新しいアラートが生成されます。
   脆弱性スキャンレベル	スキャンする脆弱性のリスクレベルを設定します。システムは、選択されたレベルに一致する脆弱性のみをスキャンして報告します。
   脆弱性ホワイトリストの設定	処理する必要がないことを確認した特定の脆弱性 (特別なビジネスニーズや許容可能なリスクなど) をホワイトリストに追加します。これらの脆弱性は、後続のスキャンで自動的に無視されます。 説明 脆弱性ホワイトリストルールを追加した後、脆弱性管理の設定 パネルの 脆弱性ホワイトリストの設定 で管理 (編集または削除) できます。

スキャンの動作と結果

• 同じサーバーが同じ脆弱性の複数のインスタンスを報告するのはなぜですか？

  アプリケーションの脆弱性検出は、特定の実行中のプロセスインスタンスを対象とします。サーバーが同じ脆弱性を持つプロセスの複数のインスタンス (たとえば、異なるポートで開始された 2 つの同一の Tomcat サービス) を実行している場合、システムはプロセスインスタンスごとに個別の脆弱性を報告します。脆弱なソフトウェアがインストールされていても、対応するプロセスが実行されていない場合、脆弱性は検出されません。

• Fastjson などの脆弱性のスキャン結果が異なることがあるのはなぜですか？

  このような脆弱性の検出は、スキャン中にそのコンポーネント (JAR パッケージなど) がランタイム状態にロードされるかどうかによって異なります。動的ロードモデルでは、ビジネスロジックが実際に脆弱なコンポーネントを呼び出した場合にのみ脆弱性を検出できます。そのため、スキャン結果は時間によって異なる場合があります。

  説明

  これらのタイプの脆弱性の検出精度を向上させるには、定期的または複数のスキャンを実行してください。

• クライアントがオフラインになった後も、コンソールにそのホストの脆弱性レコードが表示されるのはなぜですか？

  クライアントがオフラインになった後、検出された脆弱性レコードは Security Center コンソールに保持されます。ただし、これらのレコードは自動的に無効になり、修正、検証、クリアなどの操作は実行できません。脆弱性の自動無効化期間は次のとおりです:

  重要

  すべてのデータは、Security Center サービスが有効期限切れになり、7 日以内に更新されない場合にのみ永久に削除されます。

  • Linux Software Vulnerability と Windows System Vulnerability: 3 日後に無効になります。

  • Web-CMS Vulnerability: 7 日後に無効になります。

  • Application Vulnerability: 30 日後に無効になります。

  • 緊急の脆弱性: 90 日後に無効になります。

パフォーマンスへの影響とセキュリティ

• 緊急の脆弱性に対する脆弱性スキャンまたはアクティブ検証 (POC) は、業務システムに影響しますか？

  通常、影響はありません。Security Center のアクティブ検証 (POC) は、1 つまたは 2 つの無害なプローブ要求のみを送信し、いかなる形式の攻撃や破壊的な操作も実行しません。まれに、ターゲットアプリケーションが非常に脆弱で、予期しない入力を処理できない場合に、最小限のリスクが存在する可能性があります。

• 脆弱性スキャンが時々メモリ不足 (OOM) エラーを引き起こすのはなぜですか？

  Security Center クライアントには、設定されたメモリ制限 (デフォルトで 200 MB) があります。スキャンがこの制限を超えると、システムのリソースを節約するために、システムの OOM メカニズムが検出プロセス (ALiSecCheck) を積極的に終了します。

  説明

  • この制限は通常、aegisRtap0 という名前のコントロールグループ (cgroup) によって管理されます。関連する OOM 情報は dmesg ログにあります。

  • この動作は正常であり、システム全体のメモリ不足を示すものではありません。OOM エラーは cgroup のメモリ制限によって発生し、ユーザーの介入は必要ありません。

  • この OOM エラーは cgroup のメモリ制限によって引き起こされるものであり、システム全体がメモリ不足であることを示すものではありません。

スキャン範囲と機能

1. 脆弱性スキャンの範囲は何ですか？

   スキャンは、システム層とアプリケーション層の両方をカバーします:

   • システムレベル: Linux ソフトウェアの脆弱性と Windows システムの脆弱性。

     重要

     Windows システムの脆弱性スキャンは、毎月のセキュリティ更新プログラムパッチのみをサポートします。

   • アプリケーションレベル: Web-CMS の脆弱性、アプリケーションの脆弱性、および緊急の脆弱性。

2. Security Center が検出できる脆弱性のリストを表示するにはどうすればよいですか？

   1. Security Center コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[脆弱性スキャン] をクリックします。概要セクションで、「すでにサポートされている脆弱性」統計カードを見つけます。

   3. カード上の脆弱性の総数をクリックしてリストページを開き、サポートされているすべての脆弱性とその詳細を表示できます。

3. Security Center は Elasticsearch などの特定の脆弱性の検出をサポートしていますか？

   はい。コンソールの Application Vulnerability ページで、Elasticsearch などのサービスの脆弱性の検出結果を表示できます。

   説明

   この機能は、Subscription サービス (Enterprise および Ultimate) および Pay-as-you-go サービス (Host Protection および Hosts and Container Protection) でのみ利用できます。現在のエディションがこの機能をサポートしていない場合は、サービスを スペックアップ してください。