Security Center:エージェントレス検出

サービスの有効化

1. サービスの有効化

   1. Security Center コンソールにログインします。 上部のナビゲーションバーで、アセットが配置されているリージョンを選択します：Chinese MainlandまたはOutside Chinese Mainland。

   2. 左側のナビゲーションウィンドウで、保護設定 > ホスト保護 > エージェントレス検出を選択します。表示されたページで、今すぐ有効にするをクリックし、関連する契約を確認します。

      重要

      エージェントレス検出は従量課金制です。

2. サービス認可の完了 (初回ユーザー向け)

   この機能を初めて使用する際、サービスロールの認可を求められます。今すぐ権限付与をクリックします。

   説明

   権限を付与すると、Security Center は自動的にサービスリンクロール AliyunServiceRoleForSas を作成します。AliyunServiceRoleForSas の詳細については、「Security Center のサービスリンクロール」をご参照ください。

検出タスクの作成と実行

検出タスクの管理

リスクの分析と対処

タスクが正常に完了した後、エージェントレス検出ページで検出されたセキュリティリスクを表示および対処できます。

1. リスク詳細の表示

   エージェントレス検出ページで、Server Checkなどの検出ポリシーのタブに移動し、次に Vul Riskなどのリスクタイプのタブに移動します。リストでリスク項目を見つけ、操作列の Viewまたは 詳細をクリックして詳細を表示します。

2. リスクアラートの対処

   脆弱性

   • 操作：対象の脆弱性を見つけ、[操作] 列の ホワイトリストを追加するをクリックします。

     警告

     エージェントレス検出は脆弱性の修正をサポートしていません。

   • サポートされている操作：ホワイトリストに追加。

     重要

     • 特定の脆弱性をホワイトリストに追加すると、それに対する将来のアラートが防止されます。この機能は注意して使用してください。

     • ホワイトリストにエントリを追加すると、システムは自動的にそのエントリを Scan Configuration > Manage Whitelist > 脆弱性ホワイトリストタブに同期し、そこで表示できます。

   ベースラインチェック

   • 操作：確認項目リストで、対処が必要な確認項目を見つけ、[操作] 列の ホワイトリストを追加するをクリックします。

   • サポートされている操作：ホワイトリストに追加。

     重要

     • 確認項目をホワイトリストに追加すると、新しいサーバーはこの項目についてスキャンされなくなります。この機能は注意して使用してください。

     • 項目をホワイトリストに追加すると、システムは自動的に設定を Scan Configuration > Manage Whitelist > ベースラインホワイトリストタブに同期し、追加されたホワイトリスト項目を表示できます。

   悪意のあるサンプル

   • 操作：アラートリストで、対処したいアラート項目を見つけ、操作列の Change Statusまたは 処理をクリックします。

   • サポートされている操作：

     • ホワイトリストを追加する：アラートが悪意のある動作を含まないと確認した場合、ホワイトリストルールとその適用範囲に基づいてアラートをホワイトリストに追加できます。

       重要

       • アラートをホワイトリストに追加すると、同じアラートが将来発生した場合、自動的に処理済みリストに移動され、通知は届きません。この機能は注意して使用してください。

       • 同一のアラートをバッチで処理できます。サポートされている操作はアラートの種類によって異なります。詳細については、コンソールページをご参照ください。

       • ホワイトリストにエントリを追加すると、システムは自動的にそれを Scan Configuration > Manage Whitelist > Malicious Sample Whitelistタブに同期し、追加されたホワイトリストエントリを表示できます。

     • Manually Handled：リスクをオフラインで処理した場合、アラートを Manually Handledとしてマークできます。

     • Mark as False Positive：このアラートを誤検知としてマークできます。Security Center は、お客様のフィードバックを使用してスキャン機能を継続的に最適化します。

     • Ignore：現在のアラートのみを無視します。システムが問題を再度検出した場合、別のアラートが生成されます。

   機密ファイル

   • 操作：

     1. 機密ファイルアラートリストで、処理したいアラートを見つけ、[操作] 列の 詳細をクリックして、詳細な説明と強化の提案を表示します。

     2. [詳細] パネルの脅威リストの操作列で、処理をクリックし、ダイアログボックスでアラートを処理する方法を選択して、OK をクリックします。

   • サポートされている操作：

     • ホワイトリストを追加する：アラートが悪意のあるものではないと確認した場合、ホワイトリストルールに基づいてホワイトリストに追加できます。以下のルールが適用されます：

       重要

       • アラートをホワイトリストに追加すると、同じアラートが将来発生した場合、自動的に処理済みリストに移動され、通知は届きません。この機能は注意して使用してください。

       • 複数のルールを設定できます。すべてのルールは論理 AND で結合されます。つまり、アラートはすべてのルール条件を満たした場合にのみホワイトリストに追加されます。

       • エントリがホワイトリストに追加されると、自動的に Scan Configuration > Manage Whitelist > Sensitive File Whitelistタブに同期され、追加されたエントリを表示できます。

       • MD5：ワイルドカードは等しいのみをサポートします。次に、ファイルの MD5 ハッシュを入力します。

       • パス：ワイルドカードは含む、次で始まる、次で終わるをサポートします。次に、特定のパスを入力します。

     • Manually Handled：このアラートの原因となったリスクをオフラインで処理した場合、このアラートを Manually Handledとしてマークできます。

     • Mark as False Positive：このアラートを誤検知としてマークできます。Security Center は、お客様のフィードバックを使用してスキャン機能を継続的に最適化します。

     • Ignore：現在のアラートのみを無視します。問題が再度検出され、検出ポリシーにヒットした場合でも、アラートは生成されます。

ホワイトリストの設定

1. エージェントレス検出ページで、スキャンの設定をクリックし、Manage Whitelistタブに移動します。

2. 脅威の種類に基づいて、対応するタブの下にある ルールを新しく追加するをクリックします。

3. 以下のようにホワイトリストルールを設定します。

   重要

   以下のホワイトリスト設定はすべてのアセットに有効です。

   脆弱性ホワイトリスト

   • Vulnerability Type：Linux Software Vulnerability、Windows System Vulnerability、または Application Vulnerability。

   • Vulnerability Name：選択された Vulnerability Typeに基づいて最新の脆弱性データを取得します。

   悪意のあるサンプルホワイトリスト

   • アラート名：デフォルトで ALL に設定されており、ホワイトリストルールがすべてのアラートタイプに適用されることを示し、変更できません。

   • ホワイトフィールドを追加する：デフォルト値は fileMd5 で、ファイルの MD5 ハッシュをホワイトリストに登録します。このフィールドは変更できません。

   • ワイルドカード：等しいのみがサポートされています。

   • ルールの内容：ファイルの MD5 ハッシュ。

   ベースラインホワイトリスト

   • Check Item Type：無視するベースライン確認項目を指定します。

   • Check Item：選択された Check Item Typeに基づいて特定の確認項目を取得します。

   機密ファイルホワイトリスト

   • Check Item for Sensitive Files：スキャンする必要のない項目を指定します。

   • Configure Whitelist Conditions：

     説明

     複数のルールを設定できます。すべてのルールは論理 AND で結合されます。つまり、アラートはすべてのルール条件を満たした場合にのみホワイトリストに追加されます。

     • MD5：ワイルドカードは等しいのみをサポートします。次に、ファイルの MD5 ハッシュを入力します。

     • パス：ワイルドカードは含む、次で始まる、次で終わるをサポートします。次に、特定のパスを入力します。

マルチクラウドアセットの接続とスキャン

エージェントレス検出機能を使用して、Amazon Web Services (AWS) と Azure に接続できます。手順は以下の通りです：

本番稼働

• パフォーマンスへの影響：エージェントレス検出のスキャンプロセスは、ターゲットサーバーのリソースを消費しません。

• コスト管理：エージェントレス検出機能の料金は、スキャン料金とイメージのストレージ料金で構成されます。コストを管理するために、タスクを作成して Image Retention Duration設定を構成する際に、Retain Only At-risk Imageオプションを選択します。また、不要になったスナップショットを定期的に削除することもできます。

クォータと制限

• ディスク仕様：単一のクラウドディスクは最大 1 TiB をサポートします。単一ディスクでスキャンできるファイルは最大 20,000,000 個です。この制限を超えるファイルはスキャンされません。

• サーバー制限：各サーバーは最大 15 個のクラウドディスクのスキャンをサポートします。この制限を超えるディスクはスキャンされません。

• 結果の保持：検出タスクの結果は 30 日間のみ保持され、期限切れになると自動的にクリアされます。同じアセットを複数回スキャンした場合、システムは最新のスキャンの結果のみを保持します。

• 修復機能：この機能は検出とアラート機能のみをサポートします。自動修復は提供しません。リスク詳細ページの手順に基づいてリスク項目を処理する必要があります。

• 圧縮ファイルの制限：圧縮ファイルについては、JAR ファイルのみが検出対象です。スキャン対象は最初のレイヤーのみ解凍されます。

• ファイルシステムの制限：ext2、ext3、ext4、XFS、NTFS がサポートされています。NTFS の場合、ファイル権限情報に依存する確認項目はサポートされていません。

• ストレージとディスクの制限：

  • Alibaba Cloud ECS の場合、暗号化されたシステムディスクまたはデータディスクのスキャンはサポートされていません。

  • Alibaba Cloud および Alibaba Cloud 以外のホストを含むすべてのホストで、Logical Volume Management (LVM)、RAID アレイ、または ReFS ファイルシステムを使用するデータディスクのスキャンはサポートされていません。

課金

エージェントレス検出機能を使用して生成される料金は以下の通りです：

• エージェントレス検出スキャン料金

  • 課金方法：従量課金。

  • 課金サイクル：日次。

  • 単価：0.03 USD/GB。

  • 課金対象使用量：スキャンされたイメージの実際のデータ量に基づいて計算され、総ディスク容量ではありません。

• ECS リソース使用料金

  重要

  ホスト検出タスクを設定する際には、Retain Only At-risk Imageを選択することを推奨します。これにより、システムはスキャン後にリスクのないイメージを自動的に削除し、ストレージコストを削減します。

  • イメージ料金：検出タスクはサーバーのイメージを作成します。イメージはその使用容量と期間に基づいて課金されます。これらの料金は ECS によって課金されます。詳細については、「イメージの課金」をご参照ください。

よくある質問

• エージェントレス検出とウイルススキャンの違いは何ですか？

  比較項目	エージェントレス検出	ウイルススキャン
  動作モード	オフラインスナップショットのスキャン、静的解析	オンラインのリアルタイムモニタリングとスキャン、動的 + 静的解析
  サーバーの状態	起動およびシャットダウンを検出するサーバー	オンラインエージェントを持つ実行中のサーバーのみスキャン可能
  検出範囲	脆弱性、ベースライン、悪意のあるサンプル、機密ファイル。	ウイルス、Webshell、侵入行為、脆弱性など。
  対応能力	検出、アラート機能、ホワイトリスト登録をサポート。修復は提供しません。	ワンクリックでの隔離、検疫、修復機能を提供します。
  パフォーマンスへの影響	なし。	軽微 (エージェントが少量のシステムリソースを消費)。
  課金モデル	従量課金 (スキャンされた GB あたり)	サブスクリプション (Anti-virus Edition 以上) または従量課金。
  スキャンモード	フルディスクスキャンをサポート。	クイックスキャンとカスタムディレクトリスキャンをサポート。

• エージェントレス検出はすべてのリスクを自動的に修正できますか？

  いいえ、できません。検出、アラート機能、ホワイトリスト登録、無視などの操作のみをサポートします。自動修復は提供しません。リスク詳細ページの手順に基づいてリスク項目を処理する必要があります。

  説明

  高リスクの脆弱性とマルウェアの処理を優先することを推奨します。ベースラインの最適化は必要に応じて実施できます。

• Alibaba Cloud 以外のサーバーで高度な検出機能を使用するにはどうすればよいですか？

  現在、エージェントレス検出は Alibaba Cloud ECS、AWS EC2、および Azure サーバーへの接続をサポートしています。

  重要

  • Azure は Outside Chinese Mainlandのリージョンでのみ検出がサポートされています。詳細については、「マルチクラウドアセットへのアクセスと検出」をご参照ください。

  • 他のクラウドプロバイダーやオンプレミスデータセンターのサーバーについては、Security Center エージェントをインストールし、Anti-virus Edition 以上のエディションを購入して包括的なセキュリティ保護を得ることを推奨します。具体的な手順については、「Security Center の購入」および「エージェントのインストール」をご参照ください。

• 一部のエージェントレス検出アラートでアセットの IP アドレスが表示されないのはなぜですか？

  エージェントレス検出を使用する際、アセットの IP アドレスが空の場合、考えられる理由は以下の通りです：

  • インスタンスがリリースされた

    アラートに対応するインスタンスがリリースされると、インスタンスが存在しなくなるため、Security Center はインスタンスの IP 情報を取得できなくなります。

  • データクリーンアップメカニズム

    Security Center はリリースされたインスタンスのレコードをクリーンアップすることがあり、これにより関連情報が利用できなくなります。

付録