エージェントレス検出機能は、エージェントレステクノロジーを使用して、Elastic Compute Service (ECS) インスタンスのセキュリティリスクを検出します。 Security Center エージェントをインストールする必要はありません。 この機能は、シャットダウン、アイドル、または高負荷状態の ECS インスタンス上の脆弱性、ベースラインリスク、および悪意のあるサンプルを検出するための非侵入型セキュリティチェックをサポートしています。 この機能は、ECS インスタンスのパフォーマンスに影響を与えません。 このトピックでは、エージェントレス検出機能の使用方法について説明します。
シナリオ
Security Center エージェントがインストールされていない ECS インスタンスのシステムディスクとデータディスクに対して、包括的なセキュリティチェックを実行できます。
課金
エージェントレス検出機能は従量課金制を採用しており、Security Center がスキャンしたイメージデータの量に基づいて 1 GB あたり 0.03 USD のレートで課金され、毎日請求されます。
ECS インスタンスの検出タスクを作成すると、システムによって ECS インスタンスのイメージが作成されます。 イメージのサイズと保存期間に基づいてイメージの料金が請求され、料金は ECS の請求書に含まれます。 詳細については、「イメージ」をご参照ください。
制限
項目 | 説明 |
アセットタイプ | エージェントレス検出機能は、Alibaba Cloud ECS インスタンス、ディスクスナップショット、およびイメージをサポートしています。 |
リージョン | エージェントレス検出機能は、中国 (杭州)、中国 (上海)、中国 (青島)、中国 (北京)、中国 (深圳)、中国 (張家口)、中国 (成都)、中国 (香港)、シンガポール、米国 (バージニア) の各リージョンでサポートされています。 |
オペレーティングシステム | エージェントレス検出機能は、さまざまなオペレーティングシステムのさまざまなチェック項目をサポートしています。
|
暗号化ディスク | エージェントレス検出機能は、暗号化されたシステムディスクまたはデータディスクをチェックできません。 |
ディスク |
|
ファイルシステム |
|
検出タスク |
|
リスク処理 | エージェントレス検出機能は、脆弱性、ベースラインリスク、悪意のあるファイル、および機密ファイルを検出できますが、修正することはできません。 リスクが検出された場合は、リスクの詳細ページに記載されている情報に基づいて、手動でリスクを処理する必要があります。 |
チェック結果の保存期間 |
|
手順
以下のセクションでは、サービスの有効化、検出タスクの作成、タスクの進捗状況の監視、および検出結果の確認について説明します。 エージェントレス検出機能を使用するには、次の手順に従います。
手順 1: 従量課金制を使用してエージェントレス検出機能を購入し、承認を完了する
Security Center コンソールにログインします。 上部のナビゲーションバーで、管理するアセットのリージョンを選択します。 中国 または 全世界 (中国を除く) を選択できます。
左側のナビゲーションウィンドウで、 を選択します。
エージェントレス検出 ページで、今すぐ有効にする をクリックします。
表示されるダイアログボックスで、[Security Center (従量課金) サービス規約を読み、同意します。] を読んで選択します。 次に、今すぐ有効にする をクリックします。
AliyunServiceRoleForSas サービスロールが作成されていない場合は、今すぐ権限付与 をクリックし、プロンプトに従って承認を完了します。
承認が完了すると、Security Center は自動的に AliyunServiceRoleForSas サービスロールを作成します。 AliyunServiceRoleForSas サービスロールの詳細については、「Security Center のサービスロール」をご参照ください。
手順 2: 検出タスクを作成する
この手順には通常、即時検出タスクの作成、定期検出タスクの作成、および自動的に作成されるイメージの 3 つの部分があります。 ECS インスタンスの検出タスクを作成すると、システムによって ECS インスタンスの イメージが作成されます。 次に、システムは イメージ内のデータをスキャンして、ECS インスタンスに脆弱性、アラート、ベースラインリスク、機密ファイルなどのリスクが存在するかどうかをチェックします。
即時検出タスクを作成する
ECS インスタンスの検出タスクを作成すると、Security Center は自動的に ECS インスタンスの イメージを作成し、イメージをスキャンします。 タスクの完了に必要な時間は、スキャンする必要があるデータ量に応じて増加します。
サーバーチェック
セクションで、[今すぐ検出] をクリックします。
表示されるパネルでは、次のことができます。
、[スキャンスコープ]、[イメージ保存期間] パラメーターを構成します。[イメージ保存期間] の有効な値: 1 ～ 365。単位: 日。 次へ をクリックします。
スキャンするサーバーを選択し、[OK] をクリックします。
説明[スキャン範囲] パラメーターを [データディスク] に設定することをお勧めします。 完全なデータソースは、脆弱性やアラートの検出など、検出のパフォーマンスを向上させます。
作成された イメージに対して課金されます。 イメージの保存期間が長いほど、料金が高くなります。 ビジネス要件に基づいて、前提条件 を選択できます。 [リスクのあるスナップショットまたはイメージのみを保持] を選択すると、リスクが検出されなかった場合、タスクによって作成された イメージはすぐに解放され、リスクのある イメージのみが保持されます。 これにより、ストレージコストが削減されます。
[検出タスクが作成されました] ダイアログボックスで、[OK] をクリックします。 次に、タスクの進捗状況を表示できます。
カスタムイメージチェック
セクションで、[今すぐ検出] をクリックします。
[カスタムイメージチェック - 今すぐ検出] パネルで、スキャンするイメージを選択し、[OK] をクリックします。
説明検出タスクパネルでスキャンするイメージが見つからない場合は、 ページに移動し、[アセットの同期] をクリックします。 同期後、手順を繰り返します。
定期検出タスクを作成する
エージェントレス検出 ページの右上隅にある [スキャン設定] をクリックします。
[スキャン設定] パネルで、[セキュリティチェック範囲] と [自動検出ポリシー] を設定します。
[セキュリティチェック範囲] タブで、[ベースラインチェック範囲]、[脆弱性検出範囲]、および [機密ファイルチェック範囲] を設定します。
[自動検出ポリシー] タブで、検出ポリシーを設定します。
[ホストのチェック] をクリックし、スキャン対象、サイクル、アセット、範囲、および イメージ保存期間を設定します。 必要に応じて、[リスクのあるスナップショットまたはイメージのみを保持] を選択します。
[カスタムイメージチェック] をクリックし、[増分チェック] を有効にします。 この設定により、チェックされていないカスタムイメージの増分自動チェックが可能になります。
説明増分チェックでは、[ActionTrail のデータ配信] が有効になっている必要があります。 [機能設定] ページで、[設定] タブの [その他の設定] をクリックし、[ActionTrail のデータ配信] を有効にします。 詳細については、「機能設定」をご参照ください。
[保存] をクリックします。
自動的に作成される イメージ
ECS インスタンスの検出タスクを作成するたびに、システムは自動的に ECS インスタンスの イメージを作成します。 イメージ名は SAS_Agentless_ で始まります。 イメージが作成されると、イメージは、ID が 182*********0517 または 160*********0463 の Security Center サービスアカウントと自動的に共有されます。 これにより、Security Center は ECS インスタンスのデータに対してセキュリティスキャンを実行できます。
共有プロセスでは料金は発生しません。 Security Center は、共有された イメージのみをセキュリティスキャンに使用します。 イメージが削除または自動的に解放されると、共有もキャンセルされます。
手順 3: 検出タスクの進捗状況を表示する
作成した検出タスクの結果を表示するには、タスクが完了していることを確認してください。 検出タスクの進捗状況を表示して、タスクが完了しているかどうかを確認できます。
サーバーチェック
エージェントレス検出 ページの右上隅にある タスク管理 をクリックします。
タスク管理 パネルで、[サーバーチェック] タブをクリックして、タスクの進捗状況とステータスを表示します。
詳細を表示するタスクを見つけ、操作する 列の 詳細 をクリックします。 [タスクの詳細] パネルで、手順 2 で指定した ECS インスタンスの名前が表示されているかどうかを確認し、ECS インスタンスのタスクのステータスを表示します。
カスタムイメージチェック
エージェントレス検出 ページの右上隅にある タスク管理 をクリックします。
タスク管理 パネルで、[カスタムイメージチェック] タブをクリックして、タスクの進捗状況とステータスを表示します。
詳細を表示するタスクを見つけ、操作する 列の 詳細 をクリックします。 [タスクの詳細] パネルで、手順 2 で指定した ECS インスタンスの名前が表示されているかどうかを確認し、ECS インスタンスのタスクのステータスを表示します。
タスクが失敗した場合は、[タスクの詳細] パネルで失敗の原因を表示し、次の表に基づいて問題を解決できます。 [サーバーチェック] タブで作成された検出タスクを例として使用します。
原因 | 解決策 |
現在のリージョンはサポートされていません | なし。 エージェントレス検出機能がサポートされているリージョンを表示します。 詳細については、「制限」をご参照ください。 このエラーは、API オペレーションを呼び出して検出タスクを作成した場合にのみ返されます。 |
ディスク接続に失敗しました | 操作する 列の [再試行] をクリックして、ディスクに再接続します。 |
イメージの作成に失敗しました | 既存のイメージの数が上限を超えているかどうかを確認します。 上限を超えている場合は、履歴イメージの一部を削除するか、上限を増やすことができます。 詳細については、「ECS クォータを管理する」をご参照ください。 |
タスク処理がタイムアウトしました | なし。 検出タスクを再作成します。 |
手順 4: 検出結果を表示する
エージェントレス検出 ページには、ECS インスタンスで検出されたすべてのリスクが表示されます。 ECS インスタンスが複数回チェックされた場合、最新のチェックの結果のみが表示されます。
リスクの詳細を表示する
サーバーチェック
エージェントレス検出 ページで、[サーバーチェック] タブをクリックし、脆弱性、ベースライン検査、Malicious Sample、または 機密ファイル タブをクリックします。 詳細を表示するリスクを見つけ、[アクション] 列の [表示] または [詳細] をクリックします。
カスタムイメージチェック
エージェントレス検出 ページで、[カスタムイメージチェック] タブをクリックし、脆弱性、[悪意のあるサンプル]、ベースライン検査、または 機密ファイル タブをクリックします。 詳細を表示するリスクを見つけ、[アクション] 列の [表示] または [詳細] をクリックします。
Security Center が提供するリスクの説明に基づいて、リスクを処理します。
検出結果をダウンロードする
タスクまたは ECS インスタンスごとに検出結果のレポートをダウンロードできます。
エージェントレス検出 ページの右上隅にある タスク管理 をクリックします。
タスクの検出結果のレポートをダウンロードする: タスク管理 パネルで、[サーバーチェック] または [カスタムイメージチェック] タブをクリックし、必要なタスクを見つけます。
[アクション] 列の レポートのダウンロード をクリックします。
ECS インスタンスの検出結果のレポートをダウンロードする: タスク管理 パネルで、[サーバーチェック] または [カスタムイメージチェック] タブをクリックし、必要なタスクを見つけて、[アクション] 列の 詳細 をクリックします。
タスク詳細 パネルの [アクション] 列にある レポートのダウンロード をクリックします。
手順 5: (オプション) ホワイトリストを設定する
脆弱性ホワイトリストを設定する
脆弱性が許可されている、または低リスクを引き起こす可能性があると確認した場合は、脆弱性ホワイトリストを設定して脆弱性を無視できます。 Security Center が、次の検出タスクで脆弱性に対して作成されたホワイトリクトルールの有効範囲内にあるアセットで脆弱性を検出した場合、Security Center は [脆弱性] タブに脆弱性を表示しません。 ホワイトリスト設定を行った後、脆弱性は次の検出タスクが実行されるまで [脆弱性] タブに残ります。
脆弱性をホワイトリストに直接追加する
エージェントレス検出 ページで、[サーバーチェック] タブをクリックし、脆弱性 タブをクリックします。 ホワイトリストに追加する脆弱性を見つけ、操作する 列の ホワイトリストを追加する をクリックします。 ホワイトリストを追加する ダイアログボックスで、説明を入力し、OK をクリックします。
Security Center は、 タブにホワイトリクトルールを自動的に作成します。
ホワイトリクトルールを作成する
エージェントレス検出 ページの右上隅にある [スキャン設定] をクリックします。脆弱性ホワイトリスト タブの [スキャン設定] パネルで、ルールを新しく追加する をクリックします。脆弱性ホワイトリストルールの作成 パネルで、脆弱性の種類、脆弱性の名前、および備考のパラメーターを構成し、[保存] をクリックします。
脆弱性ホワイトリストはすべてのアセットに有効です。
悪意のあるサンプルのホワイトリストを設定する
悪意のあるサンプルで識別されたファイルが誤検知であることを確認した場合は、アラートホワイトリストに追加できます。 Security Center は、ホワイトリストに登録されたアセットでこれらのファイルを検出すると、アラートを生成しません。
アラートをホワイトリストに追加する
エージェントレス検出 ページに移動し、[サーバーチェック] タブを見つけて、[悪意のあるサンプル] タブをクリックします。 関連するアラートの 操作する 列にある [処理] をクリックし、[ホワイトリストに追加] を選択して、OK をクリックします。
ホワイトリクトルールを追加する
ホワイトリクトルールを追加するには、エージェントレス検出 ページに移動し、[スキャン設定] をクリックします。 [スキャン設定] パネルで、[ホワイトリストの管理] タブの [悪意のあるサンプル] タブで、ルールを新しく追加する をクリックし、指示に従って設定を完了し、[保存] をクリックします。
項目
説明
[アラート名]
デフォルト値は [すべて] です。これは、ホワイトリクトルールがすべての種類のアラートに有効であることを示します。 この値は変更できません。
ホワイトフィールドを追加する
デフォルト値は [fileMd5] です。これは、ファイルの MD5 ハッシュ値がホワイトリストに登録されていることを示します。 この値は変更できません。
ワイルドカード
[等しい] のみを選択できます。
ルールの内容
ファイルの MD5 ハッシュ値を入力します。
悪意のあるサンプルのホワイトリストはすべてのアセットに適用されます。 ホワイトリストからの削除、オフライン処理、無視、誤検知としてマークなど、複数の処理オプションを使用できます。
ベースラインホワイトリストを設定する
特定のベースラインチェック項目を使用して検出されたリスクのレベルが低いことを確認した場合は、ベースラインホワイトリストを設定してベースラインチェック項目を無視できます。 Security Center が、次の検出タスクでベースラインチェック項目に対して作成されたホワイトリクトルールの有効範囲内にあるアセットで、ベースラインチェック項目を使用してベースラインリスクを検出した場合、Security Center は [ベースラインチェック] タブにベースラインチェック項目を表示しません。 ホワイトリスト設定を行った後、ベースラインチェック項目は次の検出タスクが実行されるまで [ベースラインチェック] タブに残ります。
ベースラインチェック項目をホワイトリストに直接追加する
エージェントレス検出 ページで、[サーバーチェック] タブをクリックし、[ベースラインチェック] タブをクリックします。 ホワイトリストに追加するベースラインチェック項目を見つけ、操作する 列の ホワイトリストを追加する をクリックします。 ホワイトリストを追加する ダイアログボックスで、説明を入力し、OK をクリックします。
Security Center は、 タブにホワイトリクトルールを自動的に作成します。
ホワイトリクトルールを作成する
エージェントレス検出 ページの右上隅にある [スキャン設定] をクリックします。 [スキャン設定] パネルの ベースラインホワイトリスト タブで、ルールを新しく追加する をクリックします。 ベースラインホワイトリストルールを作成する パネルで、[チェック項目の種類]、[チェック項目]、[備考] の各パラメーターを設定し、[保存] をクリックします。
ベースラインホワイトリストはすべてのアセットに有効です。
機密ファイルのホワイトリストを設定する
機密ファイルのホワイトリストを設定して、ホワイトリストに登録されたアセットで検出されたときに特定のファイルがアラートをトリガーしないようにすることができます。
機密ファイルをホワイトリストに追加する
エージェントレス検出 ページに移動し、[サーバーチェック] タブの下にある [機密ファイル] タブをクリックし、リスクリストの 操作する 列で [詳細] をクリックします。 [リスク処理] リストで、ターゲットアセットの ハンドル操作する 列にある [ホワイトリストに追加]OK
をクリックし、 を選択して、 をクリックします。この操作の後、Security Center は セクション内にホワイトリクトルールを自動的に生成します。
ホワイトリクトルールを追加する
エージェントレス検出 ページで、[スキャン設定] をクリックします。 [スキャン設定] パネルの [機密ファイルのホワイトリスト] タブで、ルールを新しく追加する をクリックします。 [機密ファイルのチェック項目]、[ホワイトリスト条件の設定] を設定し、必要な [備考] を追加して、[OK] をクリックします。
機密ファイルのホワイトリストはすべてのアセットに有効です。 ホワイトリストへの追加、手動処理、無視、誤検知としてマークなど、複数の方法を使用できます。
手順 6: (オプション) イメージを削除する
不要なコストを避けるため、"SAS_Agentless_" で始まるスキャン中に自動的に作成されたイメージは、不要になったらすぐに削除してください。 詳細な手順については、「カスタムイメージを削除する」をご参照ください。
検出可能なリスク
脆弱性
エージェントレス検出機能は、Linux ソフトウェアの脆弱性、Windows システムの脆弱性、およびアプリケーションの脆弱性を検出できます。
ベースラインリスク
ベースラインカテゴリ | ベースラインチェック項目 |
国際的に合意されたセキュリティのベストプラクティス |
|
MLPS コンプライアンス |
|
セキュリティのベストプラクティス |
|
悪意のあるサンプル
サンプルタイプ | 説明 | サポートされているチェック項目 |
悪意のあるスクリプト | Security Center は、アセットのシステムサービスが悪意のあるスクリプトによって攻撃または変更されているかどうかをチェックします。 悪意のあるスクリプトに基づく潜在的な攻撃の動作は、検出結果に含まれています。 悪意のあるスクリプトは、ファイルベースのスクリプトとファイルレスのスクリプトに分類されます。 攻撃者はサーバーを制御した後、スクリプトを使用して追加の攻撃を行います。 たとえば、攻撃者はマイニングプログラムや Web シェルを挿入し、サーバーのシステムに管理者アカウントを追加する可能性があります。 | 検出でサポートされているプログラミング言語には、Shell、Python、Perl、PowerShell、VBScript、BAT が含まれます。 |
Web シェル | Security Center は、アセット内のスクリプトファイルが悪意のあるものであるかどうか、および Web シェルの通信と管理が存在するかどうかをチェックします。 サーバーに Web シェルが挿入されると、攻撃者はサーバーを制御し、スクリプトを使用して追加の攻撃を行うことができます。 | 検出でサポートされているプログラミング言語には、PHP、JSP、ASP、ASPX が含まれます。 |
マルウェア | Security Center は、アセット内のバイナリファイルが悪意のあるものであるかどうか、およびバイナリファイルがアセットに損害を与えたり、アセットを永続的に制御したりする可能性があるかどうかをチェックします。 サーバーにバイナリファイルが挿入されると、攻撃者はサーバーを制御し、マイニング、DDoS 攻撃、アセットファイルの暗号化などの攻撃を開始できます。 悪意のあるバイナリファイルには、マイニングプログラム、トロイの木馬、Web シェル、攻撃ツール、ランサムウェア、ワームが含まれます。 | 汚染された基本ソフトウェア |
不審なプログラム | ||
スパイウェア | ||
トロイの木馬 | ||
感染性ウイルス | ||
ワーム | ||
エクスプロイト | ||
自己変異型トロイの木馬 | ||
攻撃ツール | ||
DDoS トロイの木馬 | ||
Web シェル | ||
悪意のあるプログラム | ||
ルートキット | ||
トロイの木馬ダウンローダー | ||
スキャナー | ||
リスクウェア | ||
プロキシ | ||
ランサムウェア | ||
Web シェル | ||
マイニングプログラム |
機密ファイル
エージェントレス検出機能は、次の項目を含む一般的な機密ファイルを検出できます。
機密情報を含むアプリケーション構成
一般的な証明書キー
アプリケーション ID またはログイン資格情報
クラウドサーバープロバイダーの資格情報
FAQ
エージェントレス検出機能とウイルス検出および削除機能の違いは何ですか?
次の表に、機能の違いを示します。
項目 | エージェントレス検出 | ウイルス検出と削除 |
検出範囲 | エージェントレス検出機能は、脆弱性、ベースラインリスク、悪意のあるサンプル、および機密ファイルを検出できます。 | ウイルス検出と削除の機能は、ウイルスを検出して削除し、検出されたウイルスに関連するソースファイルを効率的に隔離できます。 |
検出方法 | エージェントレス検出機能は、サーバー用に作成され、Security Center サービスアカウントと共有されている イメージ内のデータをスキャンして、サーバーにリスクが存在するかどうかをチェックします。 これはサーバーのパフォーマンスに影響を与えません。 | ウイルス検出と削除の機能は、サーバーのシステム内のデータをスキャンして、サーバーのランタイム中にサーバーに永続的なウイルスが存在するかどうかをチェックします。 |
有効化方法 | 従量課金制を使用してエージェントレス検出機能を購入する必要があります。 | Security Center Anti-Virus 以上を購入し、サーバーに Security Center エージェントをインストールする必要があります。 |
参考資料
イメージの管理
カスタムイメージを共有するには、カスタムイメージを共有する をご参照ください。
カスタムイメージの課金の詳細については、イメージ をご参照ください。
イメージが不要になった場合は、不要なコストを避けるため、すぐに削除してください。 手順については、カスタムイメージを削除する をご参照ください。
アラートと脆弱性の管理
システムの脆弱性を表示および処理するには、脆弱性を表示および処理する をご参照ください。
アラートを表示および処理するには、アラートを表示および処理する をご参照ください。