ファイル改ざん防止は、ファイルシステムのアクティビティをリアルタイムで監視し、許可されていない操作 (許可されていないプロセスによる書き込みや削除など) をインターセプトし、すべてのイベントを監査用に記録します。これにより、サーバー上の重要なファイルの整合性を確保します。
前提条件
始める前に、次のことを確認してください：
-
オペレーティングシステムとカーネル：サーバー OS とカーネルのバージョンが Security Center エージェント (AliWebGuard) のサポート範囲内であること。詳細については、「AliWebGuard がサポートするオペレーティングシステムとカーネルのバージョン」をご参照ください。
-
Security Center エージェント：保護対象のすべてのサーバーに Security Center エージェントがインストールされていること。手順については、「Security Center エージェントのインストール」をご参照ください。
仕組み
ファイル改ざん防止は、ファイルシステムのイベント (読み取り、書き込み、削除、名前の変更、権限の変更) をリアルタイムでモニタリングします。エージェントはこれらのイベントを分析し、設定したルールに基づいてアクションを実行します。モニタリングロジックはリアルタイムでトリガーされます。定期的なポーリングではなく、保護ルールで指定したディレクトリまたはファイルにアクセスされると、数秒以内に直ちに保護が有効になります。
-
ルールの優先度：ファイル操作が複数のルールに一致した場合、システムは固定の順序で適用します：許可 > ブロック > アラート。より優先度の高いルールに一致すると、より優先度の低いルールはスキップされます。
-
カーネルの互換性：
-
サポート対象のカーネル：すべてのモード (アラート、ブロック、許可) を完全にサポートし、プロセス、パス、操作を正確に識別します。
-
サポート対象外のカーネル：古いカーネルまたはカスタムカーネルでは、機能が制限される場合があります。
-
-
ルールの有効化：モニタリング対象のサーバーでのファイル操作が、そのルールで設定したすべての条件に一致すると、ルールが有効になります。
操作手順
手順1：サービスの有効化とサーバークォータのバインド
ニーズに合った課金モードを選択し、対応する有効化手順に従います。
サブスクリプション
サービスの有効化
-
Security Center コンソール - Protection Settings - Host Protection - File Tamper Protection にアクセスします。 ページの左上で、アセットが所在するリージョンとして [中国本土] または [中国本土以外] を選択します。
-
今すぐ購入 をクリックします。 Security Center 購入ページにリダイレクトされます。 ファイル保護 セクションで、はい を はい に設定します。
-
クォータの設定：ブロック または アラート ルールを使用するには、Quantity (数量) を指定します。 購入後、クォータをサーバーに割り当てます。
説明未使用のクォータは毎月末に失効し、繰り越されません。 保護対象のサーバーに必要なクォータを購入してください。
-
今すぐ購入 をクリックし、支払いを完了します。
従量課金
サービスの有効化
-
Security Center コンソール - Protection Settings - Host Protection - File Tamper Protection にアクセスします。 ページの左上で、アセットが所在するリージョンとして [中国本土] または [中国本土以外] を選択します。
-
従量課金の有効化 をクリックします。 従量課金に関する利用規約を確認し、今すぐ有効にする をクリックします。
手順2：保護ルールの設定
保護ルールは、ファイル改ざん防止のスコープとアクションを定義します。 アラート、ブロック、または許可ルールを作成し、それらを組み合わせて包括的な保護を実現します。
操作手順
-
ファイル保護 ページで、ホワイトリストルール作成 をクリックします。
-
[Create Rule] パネルでパラメータを設定し、OK をクリックします。
-
[ルール名]：ルールの識別子。
-
[処理の方法]：ルールが一致した場合に実行するアクション。
-
[アラート]：操作をブロックせずにイベントを記録し、アラートを生成します。
-
[ブロック]：許可されていないプロセスからの不正なファイル変更をブロックします。
-
[許可]：イベントを記録したりアラートを生成したりせずに操作を許可します。 正規のプロセスを監視から除外するために使用します。
-
-
[アラートレベル]：アラートの重要度レベル。 処理方法が アラート または ブロック の場合にのみ利用できます。
-
[緊急]：即時の対応を必要とする高リスクのイベント。
-
[不審]：調査が必要な潜在的なセキュリティリスク。
-
[情報]：管理者向けの低リスクイベント。
-
-
[OSタイプ]：監視する OS のタイプ。 オプション： Linux、Windows。
-
[ステータス]：ルールをすぐに有効にするかどうか。 有効にしたルールは通常 3 分以内に有効になります。 同時に最大 100 個のルールを有効化できます。
-
[防御パス]：監視するファイルまたはディレクトリのパス。
-
単一ファイル：フルパスを入力します。例：
/etc/passwd。 -
ディレクトリ内のすべてのファイル: ワイルドカード
*を使用します。 例:/var/www/html/*は、サブディレクトリを含むそのディレクトリ内のすべてのファイルを保護します。 Windows では、バックスラッシュで区切られたパスを使用し、*と*.*の両方のワイルドカードがサポートされています。 例:d:\www\html\*またはd:\www\html\*.*。 -
各パスを個別の行に入力します。 1 ルールあたり最大 100 個のパスを指定できます。
-
各パスの長さは 1～128 文字である必要があります。
-
-
[ファイルタイプ]：保護するファイルタイプ (オプション)。 一般的な Web ファイルタイプから選択するか、カスタムタイプを入力します。
-
ファイルタイプが指定されていない場合、保護パス内のすべてのタイプが監視されます。
-
1 ルールあたり最大 64 個のファイルタイプを指定でき、各タイプの長さは最大 15 文字です。
-
ファイルタイプは、拡張子の最後の部分にのみ一致します。たとえば、
backup.tar.gzに一致させるには、gzを指定します。tar.gzを指定しても一致しません。.tar.gzサフィックスに一致させるには、保護パスとして/protected/path/*.tar.gzを追加します。
-
-
[ファイル操作]：監視する操作。
-
[読み取り]：ファイルの読み取り操作を監視します。
-
[書き込み]：ファイル内容の変更を監視します。
-
[削除]：ファイルの削除を監視します。
-
名前の変更：ファイル名の変更操作を監視します。
-
[権限変更]：ファイルの権限変更を監視します。 Windows ではサポートされていません。
-
-
[プロセスパス]：監視するプロセスパス。
-
単一プロセス：フルパスを入力します。例：
/usr/bin/bash。 -
すべてのプロセスには、
*を使用します。 -
ディレクトリ内のすべてのプロセス：ワイルドカードを使用します。例：
/etc/*。 -
各パスを個別の行に入力します。 1 ルールあたり最大 100 個のパスを指定でき、各パスの長さは 1～128 文字です。
-
-
[ユーザーの除外]：監視から除外する OS ユーザー (オプション)。 Windows ではサポートされていません。
-
除外されたユーザーによる操作は、ルールに一致してもアラートやブロックをトリガーしません。
-
各ユーザーを個別の行に入力します。 1 ルールあたり最大 5 ユーザーまで指定できます。
-
-
[ルール適用範囲]：ルールが適用されるサーバー。
-
[すべてのアセット]：エディション要件を満たすすべてのサーバーに適用されます。
-
[アセット別]：リストから特定のサーバーを選択します。
-
-
設定例
ルールを組み合わせて、さまざまな保護シナリオに対応します。
Web サイトファイルの保護
Web ディレクトリのファイルを不正な変更から保護します。 Web サーバー、コンテンツ管理システム、および同様のサービスに適用できます。
例: /var/www/html/ 内のすべての Web ページファイルを、ブロックモードを使用して保護します。
-
ルール 1 (ブロックルール): アクションタイプ = ブロック、保護パス =
/var/www/html/*、ファイルタイプ =html、php、jspなど、ファイル操作 = 書き込みおよび削除、プロセスパス =*(すべてのプロセス)。 -
ルール 2 (許可ルール)：処理方法 = 許可、保護パス =
/var/www/html/*、プロセスパス = デプロイプロセスのパス (例：/usr/bin/rsync)、ファイル操作 = 書き込みおよび削除。
コア設定ファイルの監視
コアシステム設定ファイルへのアクセスを監視して、不正な改ざんやデータ盗難を防止します。
例: /etc/passwd へのすべてのアクセスを監視します。
-
ルール 1 (アラートルール)：処理方法 = アラート、アラートレベル = クリティカル、保護パス =
/etc/passwd、ファイル操作 = すべての操作、プロセスパス =*。 -
ルール 2 (許可ルール)：処理方法 = 許可、保護パス =
/etc/passwd、プロセスパス =/usr/lib/systemd/systemd(正規のプロセス)、ファイル操作 = すべての操作。
アラートルールでは、プロセスパスを * (すべてのプロセス) に設定します。そうしないと、設定されたスコープ外のプロセスからのアクセスは検出できません。
許可ルールでワイルドカードのプロセスパスを使用しないでください。 攻撃者が広範な許可ルールを悪用してアラートルールをバイパスする可能性があります。
手順3：アラートの表示と対応
Security Center のアラート機能を通じて、ファイル改ざん防止のアラートを表示および管理します。
-
左側メニューで、 を選択します。 コンソールの左上で、保護対象アセットのリージョン ([中国本土] または [中国本土以外]) を選択します。
説明Agentic SOC サービスが有効になっている場合、ナビゲーション項目は クラウドワークロード保護プラットフォーム (CWPP) に変更されます。
-
クラウドワークロード保護プラットフォーム (CWPP) タブで、ファイル保護アラート の下にある番号をクリックして、アラートリストを開きます。
-
アラートリストで、[Actions] 列の 詳細 をクリックしてアラートの詳細を表示します。 Security Center は、以下のような状況では正確なコマンドライン情報を取得できない場合があります。
-
Python スクリプトがファイルにアクセスする場合、コマンドラインは取得できません。
-
シェル組み込みコマンドがファイルにアクセスする場合、取得されたコマンドは元の入力と異なる場合があります。たとえば、コマンド
echo "new content" >> /etc/nginx/nginx.confの場合、取得された動作は["-bash"]として表示される場合があります。 -
取得されたコマンドラインは、シェル解析後に JSON 配列として表示されるため、元のユーザー入力とは異なる場合があります。
-
-
アラートの詳細に基づいてアクションを実行します。
-
確認済みの異常：
-
ファイルの対応：業務上問題がない場合は、関連するプロセスを手動で終了し、影響を受けるファイルを隔離します。 ブロックルールがすでに設定されている場合、システムが自動的に対応し、イベントステータスは [ブロック済み] と表示されます。
-
ルールの作成 (オプション)：ブロック ルールを追加して、不正なファイル変更を積極的に防止します。
-
アラートを処理済みにする：アラートリストに戻り、 操作する 列の 処置 をクリックし、処置 を選択します。
-
-
正常な操作：
-
ルールの作成 (オプション)：許可 ルールを追加して、正規のプロセスを除外し、アラートの再発を防ぎます。
-
アラートを無視する：操作する 列の 処置 をクリックし、無視 を選択します。
-
-
ルールとクォータの管理
保護ルールの表示と管理
-
ファイル保護 ページで、以下の概要情報を確認します。
-
[保護ディレクトリ数]：すべてのルールで設定されている保護パスの総数。
-
[保護サーバー数]：アクティブな保護ルールが適用されているサーバーの総数。
-
[使用済みブロック権限付与数]/[認可総数]：現在の使用量と購入済みのクォータ。詳細については、権限付与 をクリックしてください。
-
-
[Edit]：アクション列の 編集 をクリックしてルールを変更します。変更は 1 分以内に反映され、既存のアラートや記録されたイベントには影響しません。
-
[操作する]列の 削除 をクリックしてルールを削除します。削除したルールは直ちに無効になります。削除前に影響を評価してください。
-
有効化/無効化：[ステータス]列のトグルを使用して、ルールを有効化または無効化します。
-
一括操作：複数のルールを選択し、一括で有効化、[閉じる]、または削除できます。ページをまたいだすべて選択に対応しています。
クォータのアップグレード
サブスクリプション モードで、クォータが 0 または不足している場合は、クォータを増やしてください：
-
ファイル保護 ページで、右上の アセット別 をクリックします。
-
ファイル保護 セクションで、保護対象のサーバー数に応じて数量を増やしてください。
-
今すぐ購入 をクリックし、支払いを完了します。
クォータのキャンセル
-
[使用済みブロック権限付与数]/[認可総数] セクションで、権限付与 をクリックします。
-
ファイル保護 権限付与 ダイアログボックスで、アセットの選択エリアで削除するサーバーのチェックボックスをオフにしてから、OK をクリックします。
解約
-
サブスクリプションモード: 概要 ページの サービスのサブスクリプション セクションで、 をクリックします。ダウングレードページの ファイル保護 セクションで、はい を いいえ に設定します。詳細については、「ダウングレード」をご参照ください。
説明実際の返金額は、ダウングレードページに表示されます。返金処理については、「返金手順」をご参照ください。
-
従量課金モード：
-
概要 ページの 従量課金サービスの有効化 セクションで、ファイル保護 スイッチをオフにします。
-
ファイル保護 ページで、使用済みブロック権限付与数/認可総数 セクションの 使用を停止する をクリックします。
-
クォータと制限
-
クォータ：1 つのクォータで 1 台のサーバーを保護します。
-
ルール設定の制限：
-
同時に有効化できるルールは最大 100 個です。
-
ルールごとに最大 100 個の保護パスと 100 個のプロセスパスを設定できます。
-
各保護パスは 1～128 文字である必要があります。
-
保護対象のファイルまたはディレクトリのフルパスは、1,000 文字 (中国語の場合は 500 文字) を超えることはできません。
-
保護パスに NFS サーバーのプロセスパスを指定した場合、NFS クライアント経由でのファイル変更を防ぐことはできません。
-
-
その他の制限：
-
除外ユーザー：ルールごとに最大 5 人。
-
ファイルタイプ：ルールごとに最大 64 個、それぞれ最大 15 文字。
-
-
システム上の制限：
-
Windows は、ファイルの 権限変更 操作の監視をサポートしていません。
-
Windows はユーザーの除外ルールに対応していません。
-
課金とクォータ消費
課金モードとクォータ消費は、使用するルールタイプによって異なります。
-
課金モード：
-
サブスクリプション：一定期間のブロッククォータを事前購入します。サブスクリプション インスタンスは、1、2、3、6か月、および1、2、3、5年の期間に対応しています。ファイル改ざん防止の有効期間は、Security Center インスタンスの有効期間と同じです。本機能のサービス期間を個別に購入することはできません。未使用のクォータは毎月末に失効し、繰り越されません。
-
従量課金：実際の保護時間 (秒) に保護対象サーバー数を乗じて課金されます。次の対象は自動的にカウントされます：
-
ブロックルールが設定されているサーバー。
-
アラートルールの保護エディションがエンタープライズ版 未満、または保護レベルがホスト総合保護 未満であるサーバー
-
-
-
クォータ消費：
-
ブロックルール：クォータを消費します。
-
アラートルール: サーバー保護エディションが エンタープライズ版 未満、または保護レベルが ホスト総合保護 未満の場合、クォータを消費します。
-
許可ルール：クォータは消費しません。無料で使用できます。
-
詳細については、「Billing description」をご参照ください。
よくある質問
-
新しいファイル改ざん防止機能と、レガシの Web 改ざん防止およびコアファイルモニタリングとの関係は何ですか？
新しいファイル改ざん防止機能は、レガシの Web 改ざん防止モジュールとコアファイルモニタリングモジュールを統合したものです。ファイルのブロック保護とファイルアクセスモニタリングをサポートする統合されたルール管理インターフェイスを提供し、設定と管理を簡素化します。
説明ファイル保護 ページで、右上隅にある Old Version をクリックすると、レガシコンソールに切り替わります。レガシ機能は、将来のリリースで段階的に廃止される予定です。
比較項目
レガシ - Web 改ざん防止
レガシ - コアファイルモニタリング
新規 - ファイル改ざん防止
アクションタイプ
ディレクトリとファイルタイプで保護範囲を設定するホワイトリスト/ブラックリスト方式。
ルールベースのアラート/許可方式。
アラート、ブロック、許可の 3 つのアクションタイプによる統合ルール管理。
機能
異常なファイルの変更を識別し、原因となったプロセスをブロックまたはアラートします。
異常なファイルアクセス (読み取り、書き込み、削除) を監視し、アラートを生成します。
-
ファイルの読み取り、書き込み、削除、名前の変更、および権限の変更操作を監視、ブロック、またはアラートします。
-
除外ユーザー (ユーザーホワイトリスト) をサポートしており、ホワイトリストに登録されたユーザーによるファイル操作はアラートやブロックをトリガーしません。
クォータ消費
改ざん防止クォータの購入が必要です。
Enterprise Edition または Ultimate Edition のユーザーは無料です。クォータは消費されません。
-
ブロックルール：クォータを消費します。
-
アラートルール: サーバー保護エディションが エンタープライズ版 未満、または保護レベルが ホスト総合保護 未満の場合、クォータを消費します。
-
許可ルール：クォータは消費しません。無料で使用できます。
-
-
アラートルールとブロックルールの両方が設定されている場合、どちらが優先されますか？
ファイル操作が複数のルールに一致した場合、Security Center は 許可 > ブロック > アラート の優先順位で評価します。まず許可ルールが評価されます。一致しない場合はブロックルールが評価されます。ブロックルールが一致しない場合は、アラートルールが評価されます。
-
アラートルールとブロックルールの違いは何ですか？
比較項目
アラートルール
ブロックルール
機能
ファイル操作をブロックせずに、イベントを記録し、アラート通知を生成します。
許可されていないプロセスによる不正なファイル操作を積極的にブロックします。
クォータ消費
サーバーの保護エディションが Enterprise Edition 未満、または保護レベルが Host Full Protection 未満の場合にクォータを消費します。
改ざん防止クォータを消費します。
ユースケース
監視シナリオ。
アクティブ防御シナリオ。
-
ルールの作成後、有効になるまでどのくらい時間がかかりますか？
-
サーバーでルールを初めて有効にした場合、有効になるまで最大 3 分かかります。
-
変更されたルールは 1 分以内に有効になります。変更は、既存のアラートや記録されたイベントには影響しません。
-
-
Web サイトの改ざんインシデントを完全に解決し、復旧するにはどうすればよいですか？
お使いの Web サイトが改ざんされ、訪問者が悪意のあるページにリダイレクトされたり、検索エンジンの結果に違法なコンテンツが表示されたり、攻撃者によって悪意のあるコメントが残されたり、CC 攻撃を受けたりしている場合、または Web 改ざん防止の設定についてサポートが必要な場合は、この FAQ に記載されているトラブルシューティングと修復手順を参照してください。以下のチェックリストを使用して、ビジネスを復旧し、根本原因を排除してください。
-
緊急復旧： ファイル改ざん防止機能が有効になっておらず、スナップショットも利用できない場合、Security Center は改ざんされたファイルを直接復元できません。他のバックアップソースを確認するか、クリーンなバージョンのビジネスコードで影響を受けるファイルをロールバックして上書きしてください。悪意のあるファイルを削除しても自動的に再表示される場合は、ファイルがまだ実行中の悪意のあるコードによって再生成されている可能性が高いため、ビジネスコード内の異常なリダイレクトロジックを調査してください。
-
セキュリティ調査： Security Center コンソールにログオンし、異常なログオン、ウイルスやトロイの木馬、緊急の脆弱性、および .php や .jsp ファイルなどの不審なファイルに関連するアラートを確認してください。アラート (例： "ECS logon from an uncommon location") が通常の業務運用によって開始されたものでない場合は、直ちにサーバー上のアカウントパスワードを変更してください。
-
強化と保護： サーバーのバックアップ用にスナップショットを取得した後、脆弱性を修正し、アプリケーションを最新バージョンに更新してください。Security Center の ファイル改ざん防止 機能を購入して有効にしてください。[Cloud virus detection and removal] 機能を使用してスキャンを実行してください。ECS インスタンスのセキュリティグループを設定して、異常な IP アドレスからのアクセスをブロックし、特定のポートと IP アドレスからのアクセスのみを許可してください。
-