Security Center:エージェントレス検出

サービスの有効化

1. サービスの有効化

   1. Security Center コンソールにログインします。 上部のナビゲーションバーで、アセットが配置されているリージョンを選択します：Chinese MainlandまたはOutside Chinese Mainland。

   2. 左側のナビゲーションウィンドウで、保護設定 > ホスト保護 > エージェントレス検出 を選択します。表示されたページで 今すぐ有効にする をクリックし、関連する契約を確認します。

      重要

      エージェントレス検出は従量課金制を採用しています。

2. サービス認可の完了 (初回ユーザー向け)

   この機能を初めて使用する際、サービスロールの認可を求められます。今すぐ権限付与 をクリックします。

   説明

   権限を付与すると、Security Center はサービスリンクロール AliyunServiceRoleForSas を自動的に作成します。AliyunServiceRoleForSas の詳細については、「Security Center のサービスリンクロール」をご参照ください。

検出タスクの作成と実行

検出タスクの管理

リスクの分析と処理

タスクが正常に完了した後、[エージェントレス検出] ページで検出されたセキュリティリスクを表示および処理できます。

1. リスク詳細の表示

   エージェントレス検出 ページで、Server Check などの検出ポリシーのタブ、次に Vul Risk などのリスクタイプのタブに移動します。リストでリスク項目を探し、[操作] 列の View または 詳細 をクリックしてその詳細を表示します。

2. リスクアラートの処理

   脆弱性

   • 操作：対象の脆弱性を見つけ、[操作] 列の ホワイトリストを追加する をクリックします。

     警告

     エージェントレス検出は脆弱性修復をサポートしていません。

   • サポートされる操作：ホワイトリストへの追加。

     重要

     • 特定の脆弱性をホワイトリストに追加すると、それに対する将来のアラートが防止されます。この機能は注意して使用してください。

     • ホワイトリストにエントリを追加すると、システムは自動的にそのエントリを Scan Configuration > Manage Whitelist > 脆弱性ホワイトリスト タブに同期し、そこで表示できます。

   ベースラインチェック

   • 操作：チェック項目リストで、処理が必要なチェック項目を見つけ、[操作] 列の ホワイトリストを追加する をクリックします。

   • サポートされる操作：ホワイトリストへの追加。

     重要

     • チェック項目をホワイトリストに追加すると、新しいサーバーはこの項目についてスキャンされなくなります。この機能は注意して使用してください。

     • 項目をホワイトリストに追加すると、システムは自動的に設定を Scan Configuration > Manage Whitelist > ベースラインホワイトリスト タブに同期し、追加されたホワイトリスト項目を表示できます。

   悪意のあるサンプル

   • 操作：アラートリストで、処理したいアラート項目を見つけ、[操作] 列の Change Status または 処理 をクリックします。

   • サポートされる操作：

     • ホワイトリストを追加する：アラートが悪意のある行為を含まないと確認した場合、ホワイトリストルールとその適用範囲に基づいてアラートをホワイトリストに追加できます。

       重要

       • アラートをホワイトリストに追加すると、同じアラートが将来発生した場合、自動的に処理済みリストに移動され、通知は届きません。この機能は注意して使用してください。

       • 同一のアラートをバッチで処理できます。サポートされる操作はアラートの種類によって異なります。詳細については、コンソールページをご参照ください。

       • ホワイトリストにエントリを追加すると、システムは自動的にそれを Scan Configuration > Manage Whitelist > Malicious Sample Whitelist タブに同期し、追加されたホワイトリストエントリを表示できます。

     • Manually Handled：リスクをオフラインで処理した場合、アラートを Manually Handled としてマークできます。

     • Mark as False Positive：このアラートを誤検知としてマークできます。Security Center は、お客様のフィードバックを利用して、スキャン機能を継続的に最適化します。

     • Ignore：現在のアラートのみを無視します。システムが問題を再度検出した場合、別のアラートが生成されます。

   機密ファイル

   • 操作：

     1. 機密ファイルアラートリストで、処理したいアラートを見つけ、[操作] 列の 詳細 をクリックして、詳細な説明と強化提案を表示します。

     2. [詳細] パネルの脅威リストの [操作] 列で 処理 をクリックし、ダイアログボックスでアラートを処理する方法を選択して、OK をクリックします。

   • サポートされる操作：

     • ホワイトリストを追加する：アラートが悪意のあるものではないと確認した場合、ホワイトリストルールに基づいてホワイトリストに追加できます。以下のルールが適用されます：

       重要

       • アラートをホワイトリストに追加すると、同じアラートが将来発生した場合、自動的に処理済みリストに移動され、通知は届きません。この機能は注意して使用してください。

       • 複数のルールを設定できます。すべてのルールは論理 AND で結合されます。つまり、アラートはすべてのルール条件を満たした場合にのみホワイトリストに追加されます。

       • エントリがホワイトリストに追加されると、自動的に Scan Configuration > Manage Whitelist > Sensitive File Whitelist タブに同期され、追加されたエントリを表示できます。

       • MD5：ワイルドカード文字は等しいのみをサポートします。次に、ファイルの MD5 ハッシュを入力します。

       • パス：ワイルドカード文字は含む、で始まる、で終わるをサポートします。次に、特定のパスを入力します。

     • Manually Handled：このアラートの原因となったリスクをオフラインで処理した場合、このアラートを Manually Handled としてマークできます。

     • Mark as False Positive：このアラートを誤検知としてマークできます。Security Center は、お客様のフィードバックを利用して、スキャン機能を継続的に最適化します。

     • Ignore：現在のアラートのみを無視します。問題が再度検出され、検出ポリシーにヒットした場合、アラートは引き続き生成されます。

ホワイトリストの設定

1. エージェントレス検出 ページで スキャンの設定 をクリックし、Manage Whitelist タブに移動します。

2. 脅威の種類に基づいて、対応するタブの下にある ルールを新しく追加する をクリックします。

3. 以下のようにホワイトリストルールを設定します。

   重要

   以下のホワイトリスト設定は、すべてのアセットに有効です。

   脆弱性ホワイトリスト

   • Vulnerability Type：Linux Software Vulnerability、Windows System Vulnerability、または Application Vulnerability。

   • Vulnerability Name：選択された Vulnerability Type に基づいて最新の脆弱性データを取得します。

   悪意のあるサンプルホワイトリスト

   • アラート名：デフォルトで ALL に設定されており、ホワイトリストルールがすべてのアラートタイプに適用されることを示し、変更できません。

   • ホワイトフィールドを追加する：デフォルト値は fileMd5 で、ファイルの MD5 ハッシュをホワイトリストに登録します。このフィールドは変更できません。

   • ワイルドカード：等しいのみがサポートされています。

   • ルールの内容：ファイルの MD5 ハッシュ。

   ベースラインホワイトリスト

   • Check Item Type：無視するベースラインチェック項目を指定します。

   • Check Item：選択された Check Item Type に基づいて特定のチェック項目を取得します。

   機密ファイルホワイトリスト

   • Check Item for Sensitive Files：スキャンする必要のない項目を指定します。

   • Configure Whitelist Conditions：

     説明

     複数のルールを設定できます。すべてのルールは論理 AND で結合されます。つまり、アラートはすべてのルール条件を満たした場合にのみホワイトリストに追加されます。

     • MD5：ワイルドカード文字は等しいのみをサポートします。次に、ファイルの MD5 ハッシュを入力します。

     • パス：ワイルドカード文字は含む、で始まる、で終わるをサポートします。次に、特定のパスを入力します。

マルチクラウドアセットの接続とスキャン

エージェントレス検出機能を使用して、Amazon Web Services (AWS) と Azure に接続できます。手順は以下の通りです：

本番公開

• パフォーマンスへの影響：エージェントレス検出のスキャンプロセスは、ターゲットサーバーのリソースを消費しません。

• コスト管理：エージェントレス検出機能の料金は、スキャン料金とイメージのストレージ料金で構成されます。コストを管理するために、タスクを作成してImage Retention Duration設定を構成する際に、Retain Only At-risk Imageオプションを選択します。また、不要になったスナップショットを定期的に削除することもできます。

クォータと制限

• ディスク仕様：単一のクラウドディスクは最大 1 TiB をサポートします。単一のディスクでスキャンできるファイルは最大 20,000,000 個です。この制限を超えるファイルはスキャンされません。

• サーバー制限：各サーバーは最大 15 個のクラウドディスクのスキャンをサポートします。この制限を超えるディスクはスキャンされません。

• 結果の保持：検出タスクの結果は 30 日間のみ保持され、期限切れになると自動的にクリアされます。同じアセットを複数回スキャンした場合、システムは最新のスキャンの結果のみを保持します。

• 修復機能：この機能は検出とアラート機能のみをサポートします。自動修復は提供しません。リスク項目の詳細ページの指示に基づいてリスク項目を処理する必要があります。

• 圧縮ファイルの制限：圧縮ファイルについては、JAR ファイルのみが検出をサポートしています。スキャン対象は最初のレイヤーのみ解凍されます。

• ファイルシステムの制限：ext2、ext3、ext4、XFS、および NTFS がサポートされています。NTFS の場合、ファイル権限情報に依存するチェック項目はサポートされていません。

• ストレージとディスクの制限：

  • Alibaba Cloud ECS の場合、暗号化されたシステムディスクまたはデータディスクのスキャンはサポートされていません。

  • Alibaba Cloud および Alibaba Cloud 以外のホストを含むすべてのホストで、論理ボリューム管理 (LVM)、RAID アレイ、または ReFS ファイルシステムを使用するデータディスクのスキャンはサポートされていません。

課金

エージェントレス検出機能を使用して生成される料金は次のとおりです：

• エージェントレス検出スキャン料金

  • 課金方法：従量課金。

  • 課金サイクル：日次。

  • 単価：0.03 米ドル/GB。

  • 課金対象使用量：スキャンされたイメージの実際のデータ量に基づいて計算され、総ディスク容量ではありません。

• ECS リソース使用料

  重要

  ホスト検出タスクを設定する際には、Retain Only At-risk Image を選択することを推奨します。これにより、システムはスキャン後にリスクのないイメージを自動的に削除し、ストレージコストを削減します。

  • イメージ料金：検出タスクはサーバーのイメージを作成します。イメージの使用容量と期間に基づいて課金されます。これらの料金は ECS によって課金されます。詳細については、「イメージの課金」をご参照ください。

よくある質問

• エージェントレス検出とウイルススキャンの違いは何ですか？

  比較項目	エージェントレス検出	ウイルススキャン
  動作モード	オフラインスナップショットのスキャン、静的解析	オンラインのリアルタイムモニタリングとスキャン、動的 + 静的解析
  サーバーの状態	起動およびシャットダウン検出のあるサーバー	オンラインエージェントを持つ実行中のサーバーのみスキャン可能
  検出範囲	脆弱性、ベースライン、悪意のあるサンプル、機密ファイル。	ウイルス、Webシェル、侵入行為、脆弱性など。
  対応能力	検出、アラート機能、ホワイトリスト登録をサポート。修復は提供しません。	ワンクリックでの隔離、検疫、修復機能を提供。
  パフォーマンスへの影響	なし。	軽微 (エージェントが少量のシステムリソースを消費)。
  課金モデル	従量課金 (スキャンされた GB あたり)	サブスクリプション (Anti-virus Edition 以上) または従量課金。
  スキャンモード	フルディスクスキャンをサポート。	クイックスキャンとカスタムディレクトリスキャンをサポート。

• エージェントレス検出はすべてのリスクを自動的に修復できますか？

  いいえ、できません。検出、アラート機能、ホワイトリスト登録、無視などの操作のみをサポートします。自動修復は提供しません。リスク項目の詳細ページの指示に基づいてリスク項目を処理する必要があります。

  説明

  高リスクの脆弱性とマルウェアを優先的に処理することを推奨します。ベースラインの最適化は必要に応じて実施できます。

• Alibaba Cloud 以外のサーバーで高度な検出機能を使用するにはどうすればよいですか？

  現在、エージェントレス検出は Alibaba Cloud ECS、AWS EC2、および Azure サーバーへの接続をサポートしています。

  重要

  • Azure は、Outside Chinese Mainland のリージョンでのみ検出がサポートされています。詳細については、「マルチクラウドアセットへのアクセスと検出」をご参照ください。

  • 他のクラウドプロバイダーやオンプレミスデータセンターのサーバーについては、Security Center エージェントをインストールし、Anti-virus Edition 以上のエディションを購入して包括的なセキュリティ保護を得ることを推奨します。具体的な手順については、「Security Center の購入」および「エージェントのインストール」をご参照ください。

• 一部のエージェントレス検出アラートでアセットの IP アドレスが表示されないのはなぜですか？

  エージェントレス検出を使用する際、アセットの IP アドレスが空の場合、考えられる理由は以下の通りです：

  • インスタンスがリリースされた

    アラートに対応するインスタンスがリリースされると、インスタンスが存在しなくなるため、Security Center はインスタンスの IP 情報を取得できなくなります。

  • データクリーンアップメカニズム

    Security Center はリリースされたインスタンスのレコードをクリーンアップすることがあり、これにより関連情報が利用できなくなります。

付録