Security Center:ウイルスの検出と駆除

主な機能

• 検出範囲: プロセス、スタートアップ項目、スケジュールされたタスク、機密ディレクトリなどの主要なスキャン項目をカバーします。

• 応答方法: 自動隔離、ディープクリーンアップ、ホワイトリスト管理など、複数の対応アクションをサポートします。

• スキャンモード: 即時スキャン、定期スキャン、カスタムディレクトリスキャンなど、柔軟なモードを提供します。

利用シーン

• 定期的なセキュリティチェック: スケジュールされたセキュリティ検査と脅威のクリーンアップを実行します。

• インシデント対応: セキュリティインシデント後の迅速な対応とフォレンジックに使用します。

• コンプライアンスと強化: コンプライアンス監査要件を満たし、システムセキュリティを強化します。

サポートされるウイルスの種類とスキャン項目

• ウイルスの種類: ランサムウェア、クリプトジャッキング、DDoS トロイの木馬、トロイの木馬、バックドア、悪意のあるプログラム、潜在的に不要なプログラム (PUP)、ワーム、不審なプログラム、自己変異型トロイの木馬。

• スキャン項目: アクティブプロセス、隠しプロセス、Docker プロセス、カーネルモジュール、インストール済みプログラム、動的ライブラリハイジャック、サービス、スケジュールされたタスク、スタートアップ項目、機密ディレクトリ。

処理前のチェックリスト

対応方法を選択する前に、サーバーにログインして不審なファイルに関する基本情報を確認し、ビジネスへの影響を評価することを推奨します。

1. ファイル情報の確認: システムファイルやビジネスファイルの誤検知を避けるため、パス、署名、ハッシュ値を確認して、ファイルがウイルスであるかどうかを検証してください。

2. プロセスと所有権の確認: ファイルが重要なサービス (nginx や mysql 関連コンポーネントなど) によって使用されているかどうかを確認します。

3. ビジネス影響評価: ファイルがビジネスアプリケーションの一部であるか、削除するとサービスに影響が出るかを確認します。

応答方法の選択

アラートリストで、対象のアラートを見つけて [Handle] をクリックします。次に、評価に基づいてアクションを選択します。アラートの左側にあるドロップダウンアイコンをクリックすると、ウイルスファイルのパスなどの詳細を表示できます。

アラート通知の有効化

[System Settings] > [Notification Settings] ページでアラート通知を設定し、高リスクの脅威が発見されたときに、システムが担当者にメール、SMS、または DingTalk ですぐに通知するように設定します。 詳細については、「通知設定」をご参照ください。

パフォーマンスの最適化とインシデント対応

• パフォーマンスの最適化

  • 低スペックのサーバー (例: 1 コア CPU、1 GB メモリ) では、オフピーク時に [Quick Scan] を実行し、[Memory Check] を無効にすることを推奨します。

  • 大規模なスキャンタスクの場合は、バッチで実行するか、[Scan Settings] で大きなログディレクトリやバックアップディレクトリを除外して、スキャン時間を短縮することを推奨します。

• インシデント対応プロセス

  1. 隔離：高リスクの脅威を発見したら、セキュリティグループを使用するか、ネットワークから切断して、感染したサーバーを直ちに隔離します。

  2. フォレンジック：サーバーのスナップショットを作成し、重要なログをバックアップします。

  3. 駆除：ディープクリーンアップを使用し、すべての永続化メカニズムが完全に削除されているかを手動で確認します。

  4. 強化：脆弱性にパッチを適用し、脆弱なパスワードを変更し、セキュリティグループのアクセスポリシーを強化します。

  5. 監視：サーバーの状態を継続的に監視し、脅威が再発していないことを確認します。

セキュリティ強化の推奨事項

将来のウイルス攻撃を防ぐために、サーバーを強化してください。これにより、攻撃者が防御を突破するためのコストと難易度が高まります。

• 悪意のあるホストの動作防止の有効化

  この機能は[Protection Configuration] > [Host Protection] > [Malicious Host Behavior Prevention] ページで有効にしてください。詳細な手順については、「悪意のあるホストの動作防止」をご参照ください。これにより、主流のウイルス (トロイの木馬、ランサムウェア、クリプトジャッキング、DDoS トロイの木馬など) の悪意のある動作をプロアクティブにブロックし、アクティブな防御機能を提供します。

• サーバーのセキュリティ強化

  • Security Center エディションのアップグレード

    Enterprise および Ultimate エディションは、より広範なセキュリティチェックと正確な防御機能に加え、ウイルスの自動隔離 (自動ウイルス駆除) もサポートしています。

  • アクセス制御の強化

    必要なビジネスポート (例: 80、443) のみを開き、管理ポート (例: 22、3389) およびデータベースポート (例: 3306) に厳格な IP ホワイトリストポリシーを設定してください。

    説明

    Alibaba Cloud Elastic Compute Service (ECS) サーバーを使用している場合、「セキュリティグループの管理」の手順をご参照ください。

  • 複雑なサーバーパスワードの設定

    サーバーとアプリケーションには、大文字と小文字、数字、特殊記号を含む複雑なパスワードを使用してください。

  • ソフトウェアのアップグレード

    アプリケーションソフトウェアを最新の公式バージョンに更新してください。メンテナンスされなくなった、または既知のセキュリティ脆弱性がある古いバージョンは使用しないでください。

  • 定期的なバックアップの実行

    重要なデータとサーバーのシステムディスクに対して、定期的なスナップショットポリシーを作成してください。

    説明

    Alibaba Cloud ECS サーバーを使用している場合は、「自動スナップショットポリシーの作成」の手順をご参照ください。

  • 脆弱性の迅速な修正

    Security Center の脆弱性修正機能を定期的に使用して、高リスクのシステムおよびアプリケーションの脆弱性にタイムリーにパッチを適用してください。

  • サーバーシステムの再設定 (注意して使用)

    ウイルスがシステムに深く侵入した場合は、オペレーティングシステムをリセットする前に重要なデータをバックアップすることを強く推奨します。手順は次のとおりです。

    1. スナップショットを作成して、サーバー上の重要なデータをバックアップします。手順については、「手動でのスナップショットの作成」をご参照ください。

    2. サーバーのオペレーティングシステムを再初期化します。詳細については、「システムディスクの再初期化 (オペレーティングシステムのリセット)」をご参照ください。

    3. スナップショットからクラウドディスクを作成します。詳細については、「スナップショットからのデータディスクの作成」をご参照ください。

    4. システムの再インストールした後、クラウドディスクをサーバーにマウントします。詳細については、「データディスクのアタッチ」をご参照ください。

ホワイトリストと無視に関する質問

• ホワイトリストからアイテムを削除するにはどうすればよいですか？

  ウイルス検出と駆除モジュールは、ホワイトリストからのアイテム削除をサポートしていません。[Detection and Response] > [Alert] に移動します。処理済みアラートのリストで、ホワイトリストから項目を削除できます。詳細については、「アラートをホワイトリストから削除する」をご参照ください。

  説明

  Cloud Threat Detection and Response (CTDR) を購入している場合は、左側のナビゲーションペインで [Cloud Threat Detection and Response]> [Alert] に移動します。

• ホワイトリストへの追加と無視の違いは何ですか？

  相違点	ホワイトリスト	無視
  利用シーン	恒久的な例外の場合。	一時的または散発的な誤検出や既知の問題の場合。
  影響範囲	将来の同一アラートは報告されません。	現在のアラートにのみ影響し、将来のアラートには影響しません。

ウイルス検出とアラート処理に関する質問

• ウイルス検出・駆除とセキュリティアラートの違いは何ですか？

  • ウイルス検出と駆除：サーバー上の悪意のあるファイルの検出と処理に特化した機能モジュールであり、ディープスキャンと専門的な処理機能を提供します。

  • アラート：ウイルス、異常ログイン、ネットワーク攻撃、脆弱性など、すべてのセキュリティイベントを統合する統一されたアラートセンターです。

  重要

  • 1 つのタスクでスキャンできるファイルは最大 30,000 個です。この制限を超えると、タイムアウトが発生したり、一部のファイルがスキャンされなくなったりする可能性があります。

  • 1 ファイルの最大サイズは 10 MB です。

• 処理後にウイルスが再発するのはなぜですか？

  ウイルスが再発する理由はいくつか考えられます。

  • 根本原因が未解決。サーバーに脆弱なパスワードや未適用の高リスク脆弱性が存在し、攻撃者が再侵入できる状態になっている。

  • 不完全なクリーンアップ。最初の処理で、隠されたバックドアや永続化項目がすべて削除されなかった。

  • 汚染されたデータソース。ウイルスを含むバックアップやイメージからデータが復元された。

  解決策

  • 「セキュリティ強化の推奨事項」に従ってセキュリティを強化してください。

  • ウイルスを処理した後、サーバーとそのアプリケーションを再起動して、メモリに残っている可能性のある悪意のあるプロセスを終了させることを推奨します。

    警告

    • サーバーを再起動すると、一時的なサービス中断が発生します。この間、サーバーに依存するウェブサイト、アプリケーション、その他のサービスにアクセスできなくなり、ユーザーエクスペリエンスやビジネスプロセスの継続性に影響を与える可能性があります。この操作はオフピーク時に実行してください。

    • サーバーにデプロイされている一部のアプリケーションは、自動起動が設定されていない、または特定の環境変数に依存しているため、手動での再起動が必要になる場合があります。これにより、サービスが利用できなくなる可能性があります。特定のバージョンのメッセージキューなど、再起動計画を事前に評価してください。

• 複数のアラートを処理 (一括処理) するにはどうすればよいですか？

  • [Protection Configuration] > [Host Protection] > [Virus Detection and Removal] モジュールによって生成されたウイルスアラートは、一括処理をサポートしています。

    1. ウイルス検出と駆除のリストページで、左側のチェックボックスをオンにして処理するアラートを選択します。

    2. 左下の [Batch Handle] ボタンをクリックし、適切な応答方法を選択します。

  • [Detection and Response] > [Alert]モジュールは、一括ホワイトリスト登録と一括無視をサポートしています。

    1. セキュリティアラートのリストに移動し、左側のチェックボックスをオンにして処理したいアラートを選択します。

    2. 左下の [Ignore Once] または [ Add to Whitelist] ボタンをクリックします。

• アラートに「file does not exist」と表示された場合はどうすればよいですか？

  これは、ウイルスが別の方法で削除されたか、自己の痕跡を消去したために発生する可能性があります。アラートリストで [Ignore] または [Manually Handled] をクリックして、このアラートをクリアできます。

スキャンとタスク実行に関する質問

• スキャンタスクが失敗またはタイムアウトした場合はどうすればよいですか？

  • タスクのタイムアウト: これは通常、カスタムスキャンディレクトリが大きすぎることが原因です。これを解決するには、以下の解決策をお試しください。

    • 大規模なスキャンをいくつかの小さな Custom Directory Scan タスクに分割してみてください。特に /tmp、/var/tmp、/root などの高リスクディレクトリに注意してください。

    • スキャン設定で大きなログディレクトリやデータディレクトリを除外します。

    • オフピーク時にスキャンを実行します。

  • タスクの失敗:

    1. エージェントのステータスの確認：サーバー上の Security Center エージェントプロセス (AliYunDun) が実行中でオンラインであることを確認します。

    2. ネットワーク接続の確認：サーバーが Security Center サービスのエンドポイントにアクセスできるかどうかをテストします。

    3. システムリソースの確認：/tmp などのディレクトリに十分なディスク容量 (少なくとも 1 GB を推奨) があり、CPU とメモリリソースが枯渇していないことを確認します。

    4. エージェントログの表示：Linux でのログパスは /usr/local/aegis/aegis_client/aegis_10_*/log/aegis.log です。

• ウイルスの駆除に失敗した場合はどうすればよいですか？

  ページを更新して再試行してください。それでも失敗する場合は、「Manually Handled」をクリックしてから、ファイルを手動で削除してみてください。ファイルが削除できない (Operation not permitted) 場合は、不変の i 属性が設定されている可能性があります。chattr -i <file> コマンドでロックを解除してから削除できます。

システム互換性とツール設定に関する質問

• ウイルスデータベースのバージョンはどこで確認できますか？

  概要ページでウイルスデータベースの更新時間を確認できます。クラウドベースのウイルスデータベースはリアルタイムで自動的に更新されるため、手動での操作は不要です。

  

• サードパーティのウイルス対策ソフトウェアをインストールできますか？

  はい、インストールできますが、互換性の問題が発生する可能性があります。サードパーティソフトウェアのホワイトリストに Security Center エージェントのコアプロセスとディレクトリを追加して、誤ってブロックされるのを防ぐことを強く推奨します。詳細については、「Security Center エージェントのプロセス」をご参照ください。