サーバーがランサムウェア、クリプトマイニングプログラム、またはその他の悪意のあるソフトウェアによって攻撃されると、業務が中断され、データ損失のおそれがあります。ウイルス検出と駆除機能は、ディープスキャンと正確なクリーンアップにより、さまざまな悪意のある脅威を迅速に検出・駆除し、正常なオペレーションへの復元を支援します。
概要
ウイルス検出と駆除機能は、Alibaba Cloud の機械学習検出エンジンとリアルタイムのウイルスシグネチャデータベースを統合しています。この機能は、永続的なスタートアップ項目、アクティブなプロセス、カーネルモジュール、機密性の高いディレクトリをスキャンしてウイルスファイルのパスを検出・特定し、さまざまな脅威を効果的に識別して対処します。
コア機能
検出範囲：プロセス、スタートアップ項目、スケジュールされたタスク、機密性の高いディレクトリなど、主要なスキャン項目を対象とします。
対処方法：自動隔離、ディープスキャンと駆除、ホワイトリスト管理、その他の修復アクションをサポートします。
スキャン方法：即時スキャンと定期スキャンをサポートします。
ユースケース
定期的なセキュリティチェック：定期的なセキュリティ検査と脅威の駆除を実施します。
緊急対応：セキュリティインシデント発生後、迅速な対応とフォレンジックを実施します。
コンプライアンス強化：コンプライアンス監査要件を満たし、システムセキュリティを強化します。
サポート対象のウイルスの種類とスキャン項目
ウイルスの種類：ランサムウェア、クリプトマイニングプログラム、DDoS トロイの木馬、トロイの木馬、バックドア、悪意のあるプログラム、高リスクプログラム、ワーム、不審なプログラム、自己変異型トロイの木馬。
スキャン項目：アクティブなプロセス、隠れたプロセス、Docker プロセス、カーネルモジュール、インストール済みのプログラム、ダイナミックライブラリハイジャック、サービス、スケジュールされたタスク、スタートアップ項目、機密性の高いディレクトリ。
適用範囲
サブスクリプション： Anti-virus Edition、プロ版、エンタープライズ版、または Ultimate (現在のエディションがこの機能をサポートしていない場合は、スペックアップしてください)。
説明サーバーの保護エディションは、購入したエディションに設定する必要があります。詳細については、「サーバー保護エディションの関連付け」をご参照ください。
従量課金： ホストおよびコンテナのセキュリティ の従量課金が有効化されていること (有効化されていない場合は、購入してください)。
説明サーバーの保護レベルは ウイルス対策、ホスト総合保護、または ホストおよびコンテナのセキュリティ に設定する必要があります。詳細については、「サーバー保護レベルの関連付け」をご参照ください。
ウイルスのスキャン
ウイルススキャンは、即時スキャンと定期スキャンの 2 つの方法に対応しています。
コンソールへのログイン
Security Center コンソールにログインします。 左側のナビゲーションペインで、の順に選択します。コンソールの左上隅で、アセットが配置されているリージョンとして 中国本土 または 中国本土以外 を選択します。
サービスの権限付与
この機能を初めて使用する場合、Security Center のサービスにリンクされたロールの承認を求めるプロンプトが表示される場合があります。[今すぐ承認] をクリックし、画面の指示に従ってください。
説明承認後、Security Center は自動的に
AliyunServiceRoleForSasサービスにリンクされたロールを作成します。詳細については、「Security Center のサービスにリンクされたロール」をご参照ください。スキャン方法の選択
[今すぐスキャン]：一時的または緊急のスキャンタスクの場合、ウイルススキャンを開始 (初回スキャン) 、今すぐスキャン (過去 7 日間にスキャンが実行されていない場合) 、または 再スキャン をクリックします。
定期スキャン：定期的な検査のために自動スキャンポリシーを設定するには、右上隅の [スキャン設定] をクリックします。
パラメータの設定
次の表に従ってスキャンパラメーターを設定し、OK または 次へ をクリックしてタスクを開始します。
パラメーター
説明
スキャンサイクル
定期的にスキャンを実行するための間隔とタイムウィンドウを設定します。このパラメーターは、周期的スキャン タスクにのみ適用されます。
スキャンモード
スキャンタスクの検出範囲を指定します。
[クイックスキャン]：アクティブなプロセス、スタートアップ項目、機密ディレクトリ、その他の高リスク項目を自動的に検出します。通常、サーバーのパフォーマンスとファイル数に応じて約 10 分かかります。
[カスタムディレクトリのスキャン]：指定されたディレクトリをスキャンします。複数の絶対パスを入力する場合、パスは 1 行に 1 つずつ入力します。カスタムディレクトリスキャンまたは全アセットスキャンは、スキャン範囲とファイル数に応じて、大幅に長い時間がかかります。
重要1 つのタスクでスキャンできるファイルは最大 30,000 個です。この制限を超えると、タイムアウトが発生したり、一部のファイルがスキャンされなかったりする可能性があります。
1 ファイルの最大サイズは 10 MB です。
メモリチェック
メモリ常駐ファイルおよび隠しプロセス内の悪意のあるコードを検出します。
説明この機能はリソース消費とスキャン時間を増加させます。オフピーク時間または高度な脅威が疑われる場合に有効にすることを推奨します。
スキャン範囲
スキャン対象のアセットを指定します。
[すべてのアセット]：エディション要件を満たすすべてのサーバーをスキャンします。
[アセット別]：個別のアセットを指定します。
[グループ別]：選択したグループ内のすべてのアセットをスキャンします。グループに追加された新しいアセットは自動的にスキャン対象に含まれます。
[VPC 別]：選択した VPC 内のすべてのアセットをスキャンします。VPC に追加された新しいアセットは自動的にスキャン対象に含まれます。
タスク進行状況の確認
(オプション) ウイルスの検出と除去 ページで、右上隅の タスク管理 をクリックして、スキャンタスクのステータスと進行状況を確認します。
タスクのステータスが長時間変化しない場合でも、これは正常な動作です (スキャン時間はサーバー数とファイル規模に依存します) 。スキャンが完了するまでお待ちください。新しいタスクを開始するために [即時スキャン] を繰り返しクリックしないでください。
進行状況が停止しているように見える場合は、以下の一般的なシナリオを確認してください。
進行状況が長時間 0% で停止：これは通常、大規模なスキャンタスクまたは対象サーバーの高いリソース使用率が原因です。スキャンが完了するまでお待ちください。その間に、アセットがオンラインであること、サーバー上の Security Center エージェント (
AliYunDun) が正常に動作していること、および CPU とメモリリソースが枯渇していないことを確認することを推奨します。進行状況が特定のパーセンテージで停止 (例: 92%)：これは、タスク内の未スキャンのアセットがシャットダウンされている場合に発生する可能性があります。シャットダウンされたアセットをスキャンする必要がない場合は、この状態は無視してかまいません。他のオンラインサーバーのスキャンが完了すると、それらのサーバーに対するタスクは成功と見なされます。
最適化の提案：単一のスキャンタスクが繰り返しタイムアウトまたは停止する場合は、大規模なスキャンを複数の小規模な [カスタムディレクトリスキャン] タスクに分割し、
/tmp、/var/tmp、/rootなどの高リスクディレクトリを優先的にスキャンしてください。カスタムスキャンではパスを最大 20 行まで指定できます。それ以上のパスをスキャンする必要がある場合は、複数のタスクに分割してください。
ウイルスアラートへの対処
スキャンが完了したら、検出されたウイルスアラートに速やかに対処し、サーバーのセキュリティを確保してください。
本機能で生成されるアラートは、[Security Alert] モジュールと双方向で同期されます。どちらのモジュールでもアラートに対処できます。
ウイルス検出と駆除機能は、悪意のあるファイルの検出とクリーンアップにのみ使用されます。ウイルス駆除後、リスクが確認されない場合、通常、ブロックはトリガーされません。駆除後もアクセスの問題が続く場合は、セキュリティグループのルール、サーバー内部のファイアウォール、その他の原因を確認することを推奨します。
修復前チェックリスト
対処方法を選択する前にサーバーにログインし、不審なファイルを確認して、サービスへの影響を評価してください。
ファイル情報の確認：ファイルパス、シグネチャ、ハッシュを確認し、悪意のあるものかどうかを検証します。これにより、重要なファイルを誤って削除することを防げます。
プロセスと所有関係の確認：ファイルが
nginxやmysqlなどの重要なサービスで使用されているかどうかを確認します。業務影響の評価：ファイルが業務アプリケーションの一部であるかどうか、および削除によって実行中のサービスに影響が出るかどうかを確認します。
対処方法の選択
アラートリストで対象のアラートを見つけ、[Handle] をクリックして、評価結果に基づいてアクションを選択します。アラートの左側にある矢印をクリックすると、ウイルスのファイルパスなどの詳細を確認できます。
展開した詳細には、[Malicious File MD5] と [Process ID] も含まれます。
対処方法 | ユースケース |
[詳細スキャン] | ファイルが悪意のあるものと確認されている場合。特に、ランサムウェアやクリプトマイニングプログラムなどの常駐型の脅威である場合。 |
[ホワイトリストへの追加] | アラートが誤検知であると確認され、今後も恒久的に抑止したい場合。 警告 ホワイトリストに追加した項目については、新しいアラートは生成されません。慎重に使用してください。 |
[無視] | アラートが誤検知であると確認された場合、または許容できるリスクである場合 (認可済みの侵入テストやメンテナンスウィンドウ中の操作など)。 |
[手動で対応済み] | 脅威をすでに手動で削除している場合。 |
[詳細スキャン] (推奨)
[詳細スキャン]は、Security Center のセキュリティチームが、常駐化しやすく駆除が困難なウイルスを詳細に分析・検証したうえで開発した、専用の修復機能です。
プロセス：
悪意のあるプロセスの強制終了：実行中の悪意のあるプロセスを終了します。
悪意のあるファイルの隔離：ウイルスファイルを隔離に移動します。隔離されたファイルを復元またはダウンロードする方法については、「Manage quarantined files」をご参照ください。
常駐化の仕組みの削除：cron ジョブや悪意のあるダウンロード元などの常駐化の方法を分析し、削除します。AI を活用し、検出精度を継続的に改善しています。
結果：
ステータス更新：アラートのステータスが [Resolved] に変更されます。
スナップショットの作成：スナップショットの自動作成と修復 を選択すると、データバックアップとして、サーバーのシステムディスクのスナップショットが作成されます。
スナップショットの作成および保持には、スナップショットサービスの料金が発生します (デフォルトでは従量課金です)。料金の詳細については、「Snapshot billing」をご参照いただくか、営業担当者にお問い合わせください。
選択対象が スナップショットバックアップを作成せずに直接修復 の場合、業務に不可欠なファイルが誤って削除されると、サービス中断のリスクがあります。スナップショットから復元することはできません。
ディープスキャンと駆除の後、Security Center がウイルスの排除を確認した場合 (例：クリプトマイニングのアクティビティや悪意のあるプロセスが検出されない場合)、システムはアラートのステータスを自動的に更新するか、関連するアクティブなアラートを取り消します。クリーンアップ後も脅威が再発しないことを確認するため、サーバーの監視を継続することを推奨します。
[ホワイトリストを追加する]
結果：
ステータス更新：アラートのステータスが [Whitelisted] に更新されます。
以降の動作：同じ種類のアラートが再度発生した場合、システムは新しいアラートを生成しません。代わりに、最終発生時刻を更新します。
リスクに関する注意：
ホワイトリストに追加すると、そのファイルはセキュリティ監視の対象外になります。慎重に使用してください。ホワイトリストのエントリを削除する方法については、「How do I remove an item from a whitelist?」をご参照ください。
[無視]
結果：
ステータス更新：アラートのステータスが [Ignored] に更新されます。
以降の動作：今後の検出には影響しません。同じ脅威が再発した場合は、新しいアラートが生成されます。
リスクに関する注意：
[Ignore] はアラートのステータス管理アクションであり、根本的なセキュリティ問題を解決するものではありません。
実際の攻撃を見逃さないために、誤検知であることを確認した場合、または関連するリスクを許容する場合にのみアラートを無視してください。
[手動で対応済み]
結果：
ステータス更新：アラートのステータスが [Handled] に更新されます。
以降の動作：今後の検出には影響しません。脅威が残存している場合は、新しいアラートが生成される可能性があります。
リスクに関する注意：
「手動で対応済み」は、セキュリティイベントをクローズするために使用できるアラート管理操作です。
このアクションを使用する前に、すべての修復と強化を完了してください。そうしないと、脅威が再発する可能性があります。
隔離されたファイルの管理
[詳細スキャン] によって隔離された悪意のあるファイルを復元またはダウンロードするには、ファイルが最大 30 日間保持される点にご注意ください。この期間が経過すると、システムは自動的にファイルを削除します。
ウイルス検出と駆除 ページで、右上隅の 隔離されたファイル をクリックします。
対象のファイルを見つけて、操作列の 復元 または ダウンロード をクリックします。
復元：ファイルを元のパスに戻します。ファイルが誤って隔離された場合にのみ使用してください。
ダウンロード：ファイルをローカルコンピューターにダウンロードして、さらに分析できます。
本番環境での適用
アラート通知の有効化
[システム設定] > [通知設定] ページでアラート通知を設定すると、高リスクの脅威が検出された際に、メール、SMS、または内部メッセージで責任者に通知が送信されます。詳細については、「通知設定」をご参照ください。
[セキュリティアラート] 通知設定エリアで、以下の設定を行います：
[通知時間]：[24 時間] または [8:00～20:00] を選択します。
留意するレベル：必要に応じて [緊急]、[疑わしい]、または [通知] を選択します。
[通知方法]：必要に応じて [SMS]、[メール]、または [内部メッセージ] を選択します。
パフォーマンスの最適化とインシデント対応
パフォーマンスの最適化：
低スペックのサーバー (例：
1 コア CPU、1 GB メモリ) の場合、オフピーク時間に [クイックスキャン] を実行し、[メモリチェック] を無効にしてリソース消費を削減します。大規模なスキャンの場合、バッチで実行するか、[スキャン設定] で大きなログディレクトリやバックアップディレクトリを除外して、スキャン時間を短縮します。
緊急対応プロセス：
即時隔離：高リスクの脅威を検出した後、セキュリティグループルールを使用して異常なポートをブロックするか、オフィスの IP アドレスのみにアクセスを制限して、攻撃者がサーバーの制御を継続できないようにします。
フォレンジックバックアップ：サーバーのスナップショットを作成し、
/var/log/secureや/var/log/cronなどの重要なログをバックアップします。ディープスキャンと駆除：Security Center の [ディープスキャンと駆除] 機能を使用して、悪意のあるプロセス、Web シェル、永続化メカニズム (Crontab スケジュールタスク、SSH 公開鍵
~/.ssh/authorized_keys、ダイナミックライブラリハイジャックなど) を除去します。脆弱性の修復：システムおよびアプリケーションの脆弱性をスキャンして修正します。すべての弱いパスワードを強力なパスワードに変更します。
セキュリティ強化：プロアクティブに遮断するために 悪意のあるホスト行動からの保護 を有効にします (詳細については、「悪意のあるホスト挙動の防御」をご参照ください)。リモートログイン IP を制限し、必要なポートのみを開放します。
継続的な監視：サーバーのステータスを継続的に監視して、脅威が再発しないことを確認します。
SSH の脆弱なパスワードによる侵入への緊急対応
SSH の脆弱なパスワードが原因でサーバーに侵入された場合、直ちに以下の対応を行うことを推奨します：
パスワードの変更：直ちに root パスワードを、大文字、小文字、数字、特殊文字を含む複雑なパスワードに変更します。定期的に変更してください。
バックドアの確認：異常なプロセス、不明なアカウント、疑わしいスケジュールタスク、SSH 公開鍵を確認します。侵入の痕跡を除去します。
root ユーザー配下に不明な SSH 公開鍵ファイル (例：
~/.ssh/authorized_keys内の不明な公開鍵) が見つかった場合、通常はクリプトマイニング型トロイの木馬またはその他のマルウェアが埋め込まれていることと関連しています。以下の対応を行うことを推奨します：~/.ssh/authorized_keysファイル内の公開鍵を確認し、自分で追加していない異常な鍵を削除します。詳細スキャン 機能を使用してサーバーをスキャンし、異常な鍵に関連する悪意のあるプログラムを確認します。
ホストのベースラインチェックとセキュリティを強化し、異常な鍵が再び埋め込まれることを防ぎます。
異常な鍵の削除とウイルススキャンの実行は、個別に実行する必要がある 2 つの独立した修復ステップです。ウイルススキャンのみに依存して異常な SSH 鍵を除去しないでください。
攻撃者のブロック：セキュリティグループで攻撃者の送信元 IP をブロックします。SSH およびリモートデスクトップアクセスを信頼できる IP のみに制限します。
完全なクリーンアップ：侵入の範囲を確認できない場合、業務データをバックアップし、システムディスクを初期化して、サービスを再デプロイすることを推奨します。ECS コンソールで該当するインスタンスを見つけ、インスタンス名をクリックし、右上隅の [すべての操作] から [ディスクの初期化] を選択します (インスタンスを停止する必要があります)。
根本原因の修復：
サーバーが繰り返し感染する場合、またはウイルスがシステムの深層部に侵入している場合は、以下の措置を講じてください：
業務データをバックアップしてから、システムディスクをリセットしてください。ECS コンソールで該当するインスタンスを見つけ、[すべての操作] から [ディスクの初期化] を選択してください (インスタンスを停止する必要があります)。
警告これはリスクの高い操作です。包括的な評価を行った後、注意して進めてください。
サービスを再デプロイする前に、まずセキュリティ強化を完了してください (パスワードの変更、不要なポートの閉鎖、最新のパッチのインストール)。
システムが侵害された場合に迅速に復旧できるよう、定期的なスナップショットバックアップを作成してください。
セキュリティ強化の推奨事項
今後の攻撃からサーバーを保護するために、以下の強化措置を実施して、攻撃を困難にします。
有効化 [悪意のあるホスト行動からの保護]
[保護設定] > [ホスト保護] > [悪意のあるホスト挙動の防御] ページでこの機能を有効にします。トロイの木馬、ランサムウェア、クリプトマイニングプログラム、DDoS トロイの木馬などの一般的なウイルスの悪意のある挙動をプロアクティブにブロックします。詳細については、「悪意のあるホスト挙動の防御」をご参照ください。
サーバーのセキュリティ強化
Security Center エディションのアップグレード：Enterprise および Ultimate エディションは、ウイルスの自動隔離 (つまり、ウイルスの自動検出と削除) 機能をサポートしており、正確な防御機能を提供し、より多くのセキュリティ検出項目をサポートします。
アクセス制御の強化：必要なビジネスポート (80 や 443 など) のみを開放し、管理ポート (22 や 3389 など) およびデータベースポート (3306 など) には厳格な IP ホワイトリストアクセス ポリシーを設定します。
説明Alibaba Cloud ECS サーバーについては、操作について「セキュリティグループの管理」をご参照ください。
複雑なサーバーパスワードの設定：サーバーとアプリケーションには、大文字、小文字、数字、特殊文字を含む複雑なパスワードを設定します。
ソフトウェアのアップグレード：アプリケーションソフトウェアを速やかに最新の公式バージョンに更新し、メンテナンスが終了している、または既知のセキュリティ脆弱性がある古いバージョンの使用を避けてください。
定期的なバックアップ：重要なデータとサーバーのシステムディスクに対して、定期的なスナップショットポリシーを作成します。
説明Alibaba Cloud ECS サーバーについては、操作について「ポリシーの作成」をご参照ください。
脆弱性の迅速な修正：Security Center の 脆弱性管理機能を定期的に使用して、システムとアプリケーションの脆弱性を速やかに修正します。
サーバーシステムの再設定 (注意して使用)。
ウイルスの侵入が深く、基盤となるシステムコンポーネントに関わる場合は、重要なデータをバックアップした後にサーバーシステムを再設定することを強く推奨します。次の手順に従ってください：
スナップショットを作成して、サーバー上の重要なデータをバックアップします。詳細については、「単一のスナップショットを手動で作成」をご参照ください。
サーバーのオペレーティングシステムを初期化します。詳細については、「システムディスクの再初期化 (OS のリセット)」をご参照ください。
スナップショットからクラウドディスクを作成します。詳細については、「スナップショットからのデータディスク作成」をご参照ください。
システムを再インストールした後、クラウドディスクをサーバーにアタッチします。詳細については、「データディスクのアタッチ」をご参照ください。
クォータと制限
保護機能の制限
リアルタイム保護なし：ファイルが作成、変更、アクセス、または実行された際の脅威の自動検出とブロックには対応していません。プロアクティブな防御が必要な場合は、「ホスト保護設定」を有効にしてください。
ウイルス追跡なし：ウイルスの正確な感染源 (例えば、ウイルスを持ち込んだサードパーティ製ソフトウェアなど) の追跡には対応していません。
説明Web アクセスログを確認して、アップロード元を特定します。ウイルスアラートからファイルパスとアラート時刻を取得し、サーバーログ (例：Nginx) 内で ±5 分以内の POST/PUT リクエストを検索します。ファイルパスを照合して、ソース IP を特定します。または、セキュリティアラートの攻撃追跡機能を使用すると、より迅速に調査できます。
フルディスクスキャンの制限：デフォルトでは、スキャンは高リスク領域のみに焦点を当てます。サーバー上のすべてのファイルを対象とするフルディスクスキャンには対応していません。フルディスクスキャンが必要な場合は、エージェントレス検出を有効にしてください。
カスタムディレクトリスキャンの制限
ファイル数制限：1 つのタスクでスキャンできるファイルは最大 30,000 個です。この制限を超えると、タイムアウトが発生したり、一部のファイルがスキャンされない場合があります。
ファイルサイズ制限：1 ファイルあたりの最大サイズは 10 MB です。
実行時間制限：デフォルトでは、1 つのタスクは 2 時間後にタイムアウトします。この時間制限に達した時点でスキャンが完了していないファイルはスキップされます。
チュートリアル
よくある質問
ホワイトリストと無視に関する質問
ホワイトリストから項目を削除するにはどうすればよいですか？
ウイルス検出および駆除モジュールは、ホワイトリスト項目の削除に対応していません。 に移動して、処理済みのアラートを見つけ、ホワイトリストから削除します。詳細については、「アラートをホワイトリストから削除する」をご参照ください。
説明Agentic SOC サービスを購入した場合、 を選択します。
ホワイトリストへの追加とアラートの無視の違いは何ですか？
比較項目
ホワイトリストに追加
無視
ユースケース
確認済みの誤検知であり、これらのアラートを 恒久的に 受信したくない場合。
一時的または散発的な誤検知、または既知の許容可能なリスクの場合。
影響範囲
一致する特性 (同じアセット + 同じファイルパス + 同じ MD5) を持つアラートは生成されなくなります。最終発生時刻のみが更新されます。
現在のアラートにのみ適用されます。同じ脅威が再び出現した場合、新しいアラートが生成されます。
元に戻せるか
レスポンス検出 > セキュリティアラート の処理済みリストで、ホワイトリストエントリをキャンセルできます。
元に戻す必要はありません。アラートを無視しても、今後の検出には影響しません。システムは同じ脅威を引き続き監視します。
ウイルス検知とアラート処理に関する質問
ウイルス検知と駆除とセキュリティアラートの違いは何ですか？
ウイルス検知と駆除 は、悪意のあるファイルの検出と駆除に焦点を当てた機能モジュールで、ディープスキャンと専門的な修復機能を提供します。
セキュリティアラート は、ウイルス、不審なログイン、ネットワーク攻撃、脆弱性など、すべてのセキュリティイベントを統合する統一アラートセンターです。
説明本機能で生成されるアラートは、[Security Alert] モジュールと双方向で同期されます。どちらのモジュールでもアラートに対処できます。
ウイルス検出と駆除機能は、悪意のあるファイルの検出とクリーンアップにのみ使用されます。ウイルス駆除後、リスクが確認されない場合、通常、ブロックはトリガーされません。駆除後もアクセスの問題が続く場合は、セキュリティグループのルール、サーバー内部のファイアウォール、その他の原因を確認することを推奨します。
修復後にウイルスが再び出現するのはなぜですか？
一般的な原因：
根本原因が解決されていない： 弱いパスワードまたは未修正の脆弱性により、攻撃者が再びアクセスできるようになります。
不完全な駆除： 隠されたバックドアまたは永続化メカニズムが完全に除去されていません。
汚染されたデータソース： 感染したバックアップまたはイメージから復元されたデータ。
解決策：
セキュリティ強化の推奨事項に従って、セキュリティ態勢を強化します。
修復後、サーバーとそのアプリケーションを再起動して、メモリに残っている悪意のあるプロセスを終了させてください。
警告サーバーを再起動すると、 短時間のサービス中断 が発生します。Web サイト、アプリケーション、および依存サービスにアクセスできなくなります。オフピーク時間にこの操作を実行してください。
一部のアプリケーションは、自動起動用に構成されていない場合や、特定の環境変数に依存している場合、 手動での再起動 が必要になることがあります。特にメッセージキューなどのサービスについては、事前に再起動計画を評価してください。
複数のアラートを一度に処理するにはどうすればよいですか？
モジュールで生成されたウイルスアラートは、一括処理に対応しています。
ウイルス検知と駆除ページで、左側のチェックボックスをクリックして、処理するアラートを選択します。
左下隅の Batch Handle ボタンをクリックし、適切な対応方法を選択します。
モジュールは、一括ホワイトリスト追加と一括無視に対応しています。
セキュリティアラートページで、左側のチェックボックスをクリックして、処理するアラートを選択します。
左下隅で、今回は無視 または ホワイトリストへの追加 をクリックします。
アラートにファイルが存在しないと表示される場合はどうすればよいですか？
ウイルスが別の方法で駆除されたか、自身の痕跡を削除した可能性があります。[無視] または [手動で処理済み] をクリックして、アラートを解決済みにしてください。
ウイルス駆除後もウイルスアラートが送信され続けるのはなぜですか？
Security Center は、過去の脅威記録を保持します (保持期間は約 1 年)。ウイルスファイルが駆除された場合でも、過去のアラート記録は残ります。アラートに対して [無視] または [手動で処理済み] などのアクションを実行しない場合、システムは通知を送信し続ける可能性があります。
解決策：
ウイルスが駆除されたことを確認した後、アラートリストで関連するアラートに対して [無視] または [手動で処理済み] を実行します。
パブリック IP を変更した後も古い IP の異常なログインアラートを受信する場合は、アラート時刻が IP 変更前であることを確認してください。安全に無視し、最新のアセット情報を同期することが可能です。
データベースを介して実行された悪意のあるコマンドをトラブルシューティングするにはどうすればよいですか？
Security Center の ウイルススキャン 機能は、主にサーバーのホスト層で悪意のあるファイル、プロセス、永続化メカニズムを検出します。ウイルススキャンで異常が見つからなくても、データベース層にセキュリティリスクが存在しない、または悪意のあるコマンドが実行されていないことを意味するものではありません。
データベースに弱いパスワードがないか確認し、速やかに強化することを推奨します。データベースが Web アプリケーションを介して外部サービスを提供している場合は、Web Application Firewall (WAF) を使用して、アプリケーション層の攻撃に対する保護を強化することを推奨します。
ウイルス修復後にセキュリティ制御イベントがすぐに解消されないのはなぜですか？
Security Center の ウイルススキャン 機能を使用してサーバーの異常を除去し、サーバーのパスワードを変更した後も、セキュリティ制御イベントはすぐには解消されません。
サーバーと関連する通知を引き続き監視してください。そのセキュリティ制御イベントに関連する通知を受信しなくなった場合、解決したと見なすことができます。
オペレーティングシステムを再インストールした後も古いアラートが表示されるのはなぜですか？
OS を再インストールした後、Security Center は以前のスキャン結果とアラート記録を保持している場合があります。最新のセキュリティ状態を取得し、古いアラートをクリアするには、[即時スキャン] または [再スキャン] をクリックして、手動でスキャンを開始します。スキャンが完了すると、システムは新しいシステム環境に基づいて検出結果を更新します。古い非アクティブなアラートはクリーンアップされるか、そのステータスが更新されます。
永続的なバックドア (ウイルスが繰り返し出現する、または駆除できない) をトラブルシューティングするにはどうすればよいですか？
ウイルスが繰り返し出現する、または完全に駆除できない場合、永続的なバックドアが存在する可能性があります。以下の項目を 1 つずつ確認することを推奨します：
スケジュールタスク： crontab (Linux) またはタスク スケジューラ (Windows) を確認して、疑わしいスケジュールタスクが存在しないことを確認します。
スタートアップ項目： スタートアップ項目 (Linux： /etc/init.d/、systemd サービス; Windows： レジストリのスタートアップ項目) を確認して、疑わしいプログラムが存在しないことを確認します。
SSH 公開鍵：
~/.ssh/authorized_keysファイルを確認して、不明な SSH 公開鍵が存在しないことを確認します。
ウイルス検知と駆除は、モバイルデバイスの Alibaba Cloud アプリをサポートしていますか？
いいえ。ウイルス検知と駆除およびセキュリティアラート処理機能は、Security Center Web コンソール を介してのみ利用できます。Alibaba Cloud モバイルアプリは、ウイルス検知、駆除、またはアラート処理をサポートしていません。
ルートキットアラートとは何ですか？また、解決されたことを確認するにはどうすればよいですか？
ルートキットアラートは、Security Center がホスト上で悪意のあるプログラムを検出したときにトリガーされます。これはランサムウェア対策機能とは無関係です。ランサムウェア関連のイベントではなく、別の悪意のあるプログラムの検出として扱ってください。
Rootkit アラートを処理した後、悪意のあるプログラムが駆除されたことを確認するには、Security Center コンソールにログインし、 に移動して、影響を受けるサーバーでスキャンを実行します。スキャンで異常なファイルが検出されなくなった場合、駆除は成功です。
スキャンとタスク実行に関する質問
スキャンタスクが失敗またはタイムアウトした場合はどうすればよいですか？
タスクのタイムアウト： 通常、カスタムスキャンディレクトリが大きすぎることが原因です。解決策：
大規模なスキャンを、
/tmp、/var/tmp、/rootなどの高リスクディレクトリを対象とする複数の カスタムディレクトリスキャン タスクに分割します。スキャン設定で、大きなログディレクトリまたはデータディレクトリを除外します。
オフピーク時間にスキャンを実行してください。
タスクの失敗：
エージェントステータスの確認: Security Center エージェント (
AliYunDun) が実行中であり、オンラインであることを確認します。ネットワーク接続を確認： サーバーが Security Center エンドポイントに到達できるかどうかをテストします。
システムリソースの確認：
/tmpに少なくとも 1 GB の空きディスク容量があり、CPU とメモリが枯渇していないことを確認してください。エージェントログの表示: Linux サーバー上のログパスは
/usr/local/aegis/aegis_client/aegis_10_*/log/aegis.logです。
ウイルス修復が失敗した場合はどうすればよいですか？
ページを更新して再試行してください。それでも失敗する場合は、「手動で処理済み」をクリックし、ファイルを手動で削除してください。"Operation not permitted" というエラーで削除が失敗した場合、ファイルに
i(immutable) 属性が付加されている可能性があるため、chattr -i <file>を実行して属性を削除してから、ファイルを削除してください。
システム互換性とツール設定に関する質問
ウイルスシグネチャデータベースのバージョンはどこで確認できますか？
概要ページでウイルスシグネチャデータベースの更新時刻を確認できます。クラウドベースのウイルスシグネチャデータベースは、リアルタイムで自動的に更新されます。手動操作は必要ありません。
[概要] ページの右側には、[クラウドスキャン時刻 (最新時刻)] も表示されます。
ウイルス検知と駆除ページにエラーページが表示される (再スキャンボタンがない) ことがあるのはなぜですか？
これは通常、RAM アカウントの権限が不足していることが原因です。この機能を初めて使用する場合、システムは Security Center のサービスリンクロールを承認するよう求める場合があります。ページの [今すぐ承認] (青い承認ボタン) をクリックして承認を完了することで、機能を正常に使用できるようになります。
すでに承認しているのにエラーページが表示される場合は、現在の RAM アカウントに Security Center の完全なアクセス権限があることを確認してください。必要に応じて、プライマリアカウント管理者に連絡して、必要な権限を付与してもらってください。
サードパーティのウイルス対策ソフトウェア (360/Huorong) をインストールできますか？
はい。ただし、互換性の問題が発生する可能性があります。誤検知を防ぐために、Security Center エージェントのプロセスとディレクトリ (「Security Center エージェントのプロセス」を参照) をサードパーティソフトウェアのホワイトリストに追加することを推奨します。
ウイルスアラートを継続的に受信する Windows サーバーの場合、補足的なトラブルシューティング方法として、サードパーティのウイルス対策ソフトウェアを使用してフルディスクスキャンを実行することを推奨します。フルスキャンには、360 Antivirus Speed Edition または Huorong Antivirus を推奨します。また、ファイアウォールルールによるアクセスの問題を除外するために、サーバー内部のファイアウォール設定 (Windows ファイアウォール、iptables、firewalld など) を確認することも推奨します。
「今すぐ承認」をクリックした後、ページが応答しない場合はどうすればよいですか？
[今すぐ承認] をクリックした後、ページが読み込み中のままになるか、応答しない場合、これはネットワークの変動またはブラウザのキャッシュが原因である可能性があります。ページを更新して、ウイルス検知と駆除 コンソールに再度アクセスし、承認ステータスを確認することを推奨します。それでも失敗する場合は、ブラウザのキャッシュを消去するか、シークレット (プライベートブラウジング) モードを使用するか、別のブラウザに切り替えてみてください。
ウイルス検知と駆除ページにアセットが 0 と表示される、または有料エディションがバインドされていないと表示される場合はどうすればよいですか？
ウイルス検知と駆除 ページにアセットが 0 と表示される、または有料エディションがバインドされていないと表示される場合は、以下のようにトラブルシューティングしてください：
保護設定： ターゲットサーバーが有料保護バージョンまたはレベルにバインドされていることを確認してください。詳細については、「サーバーの管理」をご参照ください。
エディション: [Anti-virus Edition] 以上。詳細については、「保護エディションまたはレベルを設定する」をご参照ください。
従量課金: ウイルス対策 以上。詳細な手順については、「保護エディションまたはレベルを設定する」をご参照ください。
エージェントのステータス確認： ターゲットサーバーの Security Center エージェントがオンラインで、バージョンが正常であることを確認してください。エージェントがオフラインの場合は、エージェントを再インストールまたは再起動してください。
アラートを処理する際に「ホワイトリストに追加」と「無視」のオプションのみが表示される場合はどうすればよいですか？
一部のアラートでは、[ホワイトリストに追加] と [無視] のオプションのみが表示され、[プロセスの強制終了] と [ウイルス検知と駆除] のオプションが表示されない場合があります。これは通常、悪意のあるプロセスがまだ実行中で、システムが直接処理できないためです。
解決策： まず [プロセスの強制終了] を選択し (利用可能な場合)、その後ページを更新して再試行し、すべての処理オプションを表示させます。これで問題が解決しない場合は、上記の「ウイルス修復が失敗した場合はどうすればよいですか？」のトラブルシューティング手順を参照して手動で処理し、その後 [手動で処理済み] をクリックしてください。