Security Center:エージェントレス検出の使用

サービスの有効化

1. サービスの有効化

   1. Security Center コンソールにログインします。 上部のナビゲーションバーで、アセットが配置されているリージョンを選択します：中国本土または中国本土以外。

   2. 左側のナビゲーションウィンドウで、保護設定 > ホスト保護 > エージェントレス検出 を選択します。表示されたページで 今すぐ有効にする をクリックし、関連する契約を確認します。

      重要

      エージェントレス検出は従量課金制を使用します。

2. サービス認可の完了 (初回ユーザー向け)

   この機能を初めて使用する場合、サービスロールの承認を求められます。[今すぐ権限付与] をクリックします。

   説明

   権限を付与すると、Security Center はサービスリンクロール AliyunServiceRoleForSas と AliyunServiceRoleForSasAgentless を自動的に作成します。これらのロールについては、「Security Center のサービスリンクロール」で説明されています。

3. Alibaba Cloud ECS 暗号化ディスクのエージェントレス検出の承認 (初回ユーザー向け)

   ECS インスタンスが暗号化ディスク (暗号化されたシステムディスクまたはデータディスク) を使用しており、それらに対してエージェントレス検出のセキュリティスキャンを実行したい場合は、「ECS 暗号化ディスクのエージェントレス検出の承認」の指示に従って承認を完了してください。

検出タスクの作成と実行

検出タスクの管理

リスクの分析と処理

タスクが完了したら、エージェントレス検出 ページで検出されたリスクを表示し、処理します。

1. リスク詳細の表示

   エージェントレス検出 ページで、ホストのセキュリティ評価 などの検出ポリシーのタブに移動し、次に 脆弱性の脅威 などのリスクタイプのタブに移動します。リストでリスク項目を見つけ、[操作] 列の 詳細 または 詳細 をクリックして詳細を表示します。

2. リスクアラートの処理

   脆弱性

   • 操作：対象の脆弱性を見つけ、[操作] 列の ホワイトリストを追加する をクリックします。

     警告

     エージェントレス検出は脆弱性の修正をサポートしていません。

   • サポートされる操作：ホワイトリストに追加。

     重要

     • 脆弱性をホワイトリストに登録すると、将来的にその脆弱性に対するアラートは発生しなくなります。注意して使用してください。

     • エントリをホワイトリストに追加すると、システムは自動的にそのエントリを スキャン設定 > ホワイトリストの管理 > 脆弱性ホワイトリスト タブに同期し、そこで表示できます。

   ベースラインチェック

   • 操作：チェック項目リストで、処理が必要なチェック項目を見つけ、[操作] 列の ホワイトリストを追加する をクリックします。

   • サポートされる操作：ホワイトリストに追加。

     重要

     • チェック項目をホワイトリストに追加すると、新しいサーバーはこの項目についてスキャンされなくなります。この機能は注意して使用してください。

     • 項目をホワイトリストに追加すると、システムは自動的に設定を スキャン設定 > ホワイトリストの管理 > ベースラインホワイトリスト タブに同期し、追加されたホワイトリスト項目を表示できます。

   悪意のあるサンプル

   • 操作：アラートリストで、処理したいアラート項目を見つけ、[操作] 列の ステータスの変更 または 処理 をクリックします。

   • サポートされる操作：

     • ホワイトリストを追加する：アラートが悪意のある行為を含まないと確認した場合、ホワイトリストルールとその適用範囲に基づいてアラートをホワイトリストに追加できます。

       重要

       • アラートをホワイトリストに登録すると、将来の発生は通知なしで自動的に処理済みリストに移動します。注意して使用してください。

       • 同一のアラートをバッチ処理できます。サポートされる操作はアラートタイプによって異なります。詳細については、コンソールページをご参照ください。

       • エントリをホワイトリストに追加すると、システムは自動的にそれを スキャン設定 > ホワイトリストの管理 > 不正なサンプルのホワイトリスト タブに同期し、追加されたホワイトリストエントリを表示できます。

     • 手動処理：リスクをオフラインで処理した場合、アラートを 手動処理 としてマークできます。

     • 誤検知としてマーク：このアラートを誤検知としてマークできます。Security Center は、お客様のフィードバックを使用して、スキャン機能を継続的に最適化します。

     • 無視：現在のアラートのみを無視します。システムが問題を再度検出した場合、別のアラートが生成されます。

   機密ファイル

   • 操作：

     1. 機密ファイルアラートリストで、処理したいアラートを見つけ、[操作] 列の 詳細 をクリックして、詳細な説明と強化の提案を表示します。

     2. [詳細] パネルの脅威リストの [操作] 列で、処理 をクリックし、ダイアログボックスでアラートを処理する方法を選択して、OK をクリックします。

   • サポートされる操作：

     • ホワイトリストを追加する：アラートが悪意のあるものではないと確認した場合、ホワイトリストルールに基づいてホワイトリストに追加できます。以下のルールが適用されます：

       重要

       • アラートをホワイトリストに登録すると、将来の発生は通知なしで自動的に処理済みリストに移動します。注意して使用してください。

       • 複数のルールを設定できます。すべてのルールは論理 AND で結合されます。これは、アラートがすべてのルール条件を満たした場合にのみホワイトリストに追加されることを意味します。

       • エントリがホワイトリストに追加されると、自動的に スキャン設定 > ホワイトリストの管理 > 機密ファイルホワイトリスト タブに同期され、追加されたエントリを表示できます。

       • MD5：ワイルドカードは等しいのみをサポートします。次に、ファイルの MD5 ハッシュを入力します。

       • パス：ワイルドカードは含む、で始まる、で終わるをサポートします。次に、特定のパスを入力します。

     • 手動処理：このアラートの原因となったリスクをオフラインで処理した場合、このアラートを 手動処理 としてマークできます。

     • 誤検知としてマーク：このアラートを誤検知としてマークできます。Security Center は、お客様のフィードバックを使用して、スキャン機能を継続的に最適化します。

     • 無視：現在のアラートのみを無視します。問題が再度検出され、検出ポリシーにヒットした場合でも、アラートは生成されます。

ホワイトリストの設定

1. エージェントレス検出 ページで スキャン設定 をクリックし、ホワイトリストの管理 タブに移動します。

2. 脅威の種類に基づいて、対応するタブの下にある ルールを新しく追加する をクリックします。

3. 以下のようにホワイトリストルールを設定します。

   重要

   以下のホワイトリスト設定は、すべてのアセットに有効です。

   脆弱性ホワイトリスト

   • 脆弱性の種類: Linux Software Vulnerability、Windows System Vulnerability、または アプリケーションの脆弱性。

   • 脆弱性名：選択された 脆弱性の種類 に基づいて最新の脆弱性データを取得します。

   悪意のあるサンプルホワイトリスト

   • アラート名：デフォルトは ALL で、ホワイトリストルールがすべてのアラートタイプに適用されることを意味します。このフィールドは変更できません。

   • ホワイトフィールドを追加する：デフォルト値は fileMd5 で、ファイルの MD5 ハッシュでファイルを照合します。このフィールドは変更できません。

   • ワイルドカード：等しいのみがサポートされています。

   • ルールの内容：ファイルの MD5 ハッシュ。

   ベースラインホワイトリスト

   • チェック項目タイプ：無視するベースラインチェック項目を指定します。

   • チェック項目：選択された チェック項目タイプ に基づいて特定のチェック項目を取得します。

   機密ファイルホワイトリスト

   • 機密ファイルチェック項目：スキャンする必要のない項目を指定します。

   • 許可リスト条件の設定：

     説明

     複数のルールを設定できます。すべてのルールは論理 AND で結合されます。これは、アラートがすべてのルール条件を満たした場合にのみホワイトリストに追加されることを意味します。

     • MD5：ワイルドカードは等しいのみをサポートします。次に、ファイルの MD5 ハッシュを入力します。

     • パス：ワイルドカードは含む、で始まる、で終わるをサポートします。次に、特定のパスを入力します。

マルチクラウド資産の接続とスキャン

Amazon Web Services (AWS) または Azure に接続して、エージェントレス検出を実行します：

公開

• パフォーマンスへの影響：スキャンはターゲットサーバーのリソースを消費しません。

• コスト管理：エージェントレス検出機能の料金は、スキャン料金とイメージのストレージ料金で構成されます。コストを管理するために、タスクを作成してイメージ保持期間設定を構成する際に、脅威が検出されたイメージのみ保持オプションを選択します。また、不要になったスナップショットを定期的に削除することもできます。

クォータと制限

• ディスク仕様：単一のクラウドディスクは最大 1 TiB をサポートします。単一のディスクでスキャンできるファイルは最大 20,000,000 個です。この制限を超えるファイルはスキャンされません。

• サーバー制限：各サーバーは最大 15 個のクラウドディスクのスキャンをサポートします。この制限を超えるディスクはスキャンされません。

• 結果の保持：検出結果は 30 日間保持され、期限切れになると自動的にクリアされます。同じアセットを複数回スキャンした場合、最新の結果のみが保持されます。

• 修正能力：この機能は検出とアラート機能のみをサポートし、自動修正はサポートしていません。リスク項目の詳細ページに基づいてリスク項目を処理してください。

• 圧縮ファイルの制限：JAR ファイルのみがサポートされます。スキャン対象は最初のレイヤーのみ解凍されます。

• ファイルシステムの制限：ext2、ext3、ext4、XFS、NTFS がサポートされています。NTFS の場合、ファイル権限情報に依存するチェック項目はサポートされていません。

• ストレージとディスクの制限：すべてのホスト (Alibaba Cloud および非 Alibaba Cloud) で、LVM、RAID アレイ、または ReFS ファイルシステムを使用するデータディスクのスキャンはサポートされていません。

課金

エージェントレス検出機能を使用して生成される料金は次のとおりです：

• エージェントレス検出スキャン料金

  • 課金方法：従量課金。

  • 課金サイクル：日次。

  • 単価：0.03 米ドル/GB。

  • 課金対象の使用量：スキャンされたイメージの実際のデータ量に基づいて計算され、総ディスク容量ではありません。

• ECS リソース使用料金

  重要

  ホスト検出タスクを設定する際には、脅威が検出されたイメージのみ保持 を選択することを推奨します。これにより、システムはスキャン後にリスクのないイメージを自動的に削除し、ストレージコストを削減します。具体的な手順については、「保持期間の設定」をご参照ください。

  • イメージ料金：検出タスクはサーバーのイメージを作成します。イメージの使用容量と期間に基づいて課金されます。これらの料金は ECS によって課金されます。詳細については、「イメージの課金」をご参照ください。

  • 暗号化ディスクスキャンリソース料金：ECS 暗号化ディスクをスキャンするために、スキャンごとにアカウントに以下のリソースを作成します。一部のリソースには少額の料金が発生し、スキャン完了後すぐに解放されます。

    • ECS インスタンス：スキャン対象の ECS 暗号化ディスクにサービスキー暗号化を選択した場合、暗号化ディスクスキャン用にプリエンプティブ ECS インスタンスを作成します。これらの料金は ECS によって課金されます。詳細については、「インスタンスタイプの課金」をご参照ください。

    • VPC インスタンス：alibaba-cloud-security-scan-vpc という名前の Virtual Private Cloud (VPC) インスタンス。このインスタンスの作成には料金はかかりません。

    • vSwitch インスタンス：alibaba-cloud-security-scan-subnet という名前の vSwitch インスタンス。このインスタンスの作成には料金はかかりません。

よくある質問

• エージェントレス検出とウイルス対策スキャンの違いは何ですか？

  比較項目	エージェントレス検出	ウイルス対策スキャン
  動作モード	オフラインスナップショットのスキャン、静的解析	オンラインのリアルタイムモニタリングとスキャン、動的 + 静的解析
  サーバーの状態	実行中および停止中の両方のサーバーをスキャン可能	オンラインエージェントを持つ実行中のサーバーのみスキャン可能
  検出範囲	脆弱性、ベースライン、悪意のあるサンプル、機密ファイル。	ウイルス、Webシェル、侵入行為、脆弱性など。
  対応能力	検出、アラート、ホワイトリスト登録をサポート。修正は提供しない。	ワンクリックでの隔離、検疫、修正機能を提供。
  パフォーマンスへの影響	なし。	わずか (エージェントが少量のシステムリソースを消費)。
  課金モデル	従量課金 (スキャンされた GB ごと)	サブスクリプション (Anti-virus Edition 以上) または従量課金。
  スキャンモード	フルディスクスキャンをサポート。	クイックスキャンとカスタムディレクトリのスキャンをサポート。

• エージェントレス検出はすべてのリスクを自動的に修正できますか？

  いいえ。エージェントレス検出は、検出、アラート、ホワイトリスト登録、無視のみをサポートしています。リスク詳細ページの手順に基づいてリスク項目を処理してください。

  説明

  高リスクの脆弱性とマルウェアの処理を優先してください。ベースラインの最適化は必要に応じて実施できます。

• 非 Alibaba Cloud サーバーで高度な検出機能を使用するにはどうすればよいですか？

  エージェントレス検出は、Alibaba Cloud ECS、AWS EC2、および Azure サーバーへの接続をサポートしています。

  重要

  • Azure は、中国本土以外 のリージョンでのみ検出がサポートされています。詳細については、「マルチクラウド資産へのアクセスと検出」をご参照ください。

  • 他のクラウドプロバイダーやオンプレミスデータセンターのサーバーについては、Security Center エージェントをインストールし、Anti-virus Edition 以上のエディションを購入して、包括的なセキュリティ保護を取得することを推奨します。具体的な手順については、「Security Center の購入と登録解除」および「エージェントのインストール」をご参照ください。

• 一部のエージェントレス検出アラートでアセットの IP アドレスが表示されないのはなぜですか？

  エージェントレス検出を使用する際、アセットの IP アドレスが空の場合、考えられる理由は次のとおりです：

  • インスタンスがリリースされた

    アラートに対応するインスタンスがリリースされると、インスタンスが存在しなくなるため、Security Center はインスタンスの IP 情報を取得できなくなります。

  • データクリーンアップメカニズム

    Security Center はリリースされたインスタンスのレコードをクリーンアップすることがあり、これにより関連情報が利用できなくなります。

付録