Security Center:セキュリティアラートへの対応

アラート詳細の表示

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラート を選択します。 コンソールの左上隅で、アセットが存在するリージョンとして 中国本土 または 中国本土以外 を選択します。

   説明

   Agentic SOC を有効化している場合、左側のナビゲーションウィンドウのパスは 脅威の分析と応答 > セキュリティアラート に変わります。

3. クラウドワークロード保護プラットフォーム (CWPP) タブでアラートを見つけ、操作する 列の 詳細 をクリックします。

   重要

   • システム設定 > 通知設定 ページでアラート通知を有効にできます。通知に含まれるアラート名などの情報を使用して、対象のアラートを迅速に特定できます。

   • Ultimate Edition では、アセットタイプでアラートをフィルターできます。アラートリストの上部で、[すべて]、[ホスト]、[コンテナ]、[K8s]、または [クラウドサービス] をクリックして、対応するアセットタイプのアラートを表示します。

   • Security Center は、新しい大規模モデル検出エンジンを使用して、悪意のあるファイルをインテリジェントに識別します。AI によって検出されたアラートを表示するには、AI 検出 フィルターを [はい] に設定します。詳細については、「AI が検出した悪意のあるファイルのアラート」をご参照ください。

アラート詳細の分析

攻撃トレース、および アラート説明 を使用して、アラートの根拠、頻度、潜在的な原因を理解します。これにより、アラートが誤検知であるかどうかを判断し、対応を計画することができます。

アラート詳細ページには、複数の時間フィールドが含まれています：

• 初回検出時間：Security Center がこのアラートを最初に検出した時間です。

• 最終検出時間：このアラートが最後に検出された時間です。同じプロセスまたはファイルがアラートを複数回トリガーした場合、この時間は継続的に更新されます。

• アラート報告時間：エージェントがアラートデータをクラウドに報告した時間です。

複数回出現する不審なプロセスについては、プロセスパスをクリックして詳細な検出タイムスタンプを表示します。これにより、アラートがいつ、どのくらいの頻度でトリガーされたかを判断できます。

方法の選択

処理方法は次のように分類されます。

• 脅威の除去：既知の脅威を除去し、感染を修復し、脅威のソースをブロックします。

• アラートの抑制：ホワイトリスト登録やアラートの無視によって誤検知、既知または許容可能なリスクを処理し、「このアラートは無効か、処理不要」とマークし、後続の類似アラートが引き続き通知をトリガーするかどうかを制御します。

• トラブルシューティング：Security Center エージェントに関する問題をトラブルシューティングし、診断します。

コンソールでの操作

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラートを選択します。コンソールの左上隅で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。

   説明

   Agentic SOC を有効化している場合、左側のナビゲーションウィンドウのパスは 脅威の分析と応答 > セキュリティアラート に変わります。

3. セキュリティアラート ページの クラウドワークロード保護プラットフォーム (CWPP) タブで、対象のアラートを見つけます。[操作] 列で 処理 をクリックします。処理方法を選択し、今すぐ処理 をクリックします。

   説明

   • 処理方法はアラートタイプによって異なります。コンソールに表示されるオプションがすべてです。

   • 処理理由とオペレーターを明確にするために、備考を追加してください。これにより、処理済みのアラートのトレーサビリティが向上します。

ECS ブルートフォースログイン成功への対応

「ECS ブルートフォースログイン成功」のアラートを受信した場合、Security Center は、外部 IP アドレスが複数回のパスワード試行の末に、ご利用のサーバーへのログインに成功したことを検知したことを意味します。ご利用のサーバーは侵入のリスクにさらされています。直ちに以下の手順を実行してください：

このアラートの意味

「ECS ブルートフォースログイン成功」のアラートは、一般的なブルートフォース攻撃の試行に関するアラートとは異なります。このアラートは、攻撃者がパスワードの試行を繰り返し、ご利用のサーバーへのログインに成功したことを示しており、即時の対応が必要な実際の侵入リスクがあることを意味します。

緊急対応手順

1. Security Center コンソールにログインします。レスポンス検出 > [セキュリティアラート] ページで、アラートの詳細を表示して、攻撃元の IP アドレス、ログイン時間、およびログインアカウントを確認します。

2. 直ちにサーバーのログインパスワードを変更します。大文字、小文字、数字、特殊文字を含む複雑なパスワードを設定してください。

3. SSH キーベースのログインを有効にし、パスワードベースのログインを無効にして、ブルートフォース攻撃の再発を防ぎます。

4. サーバーに異常なプロセス、不明なユーザーアカウント、不審なファイル、またはアウトバウンドネットワークトラフィックがないか確認してください。

5. 侵入が確認された場合は、重要なデータをバックアップしてから、システムをリセットするか、クリーンなスナップショットから復元します。詳細については、本トピックの「セキュリティ強化と攻撃防止」セクションをご参照ください。

上記の手順を完了した後、「セキュリティ強化と攻撃防止」セクションに従ってシステムを強化し、アラートリストを引き続き監視して、同様のアラートが再発しないことを確認してください。

緊急対応アクション

• パスワードの変更：異常ログインのアラートを受信し、お客様自身が開始したログインでない場合は、直ちに ECS インスタンスのパスワードを変更してください。ECS コンソールの「オンラインでインスタンスのパスワードをリセット」機能を使用できます。SSH の弱いパスワードによる侵入シナリオでは、直ちに root パスワードを大文字、小文字、数字、特殊文字を含む複雑な組み合わせに変更し、SSH キーベースのログインを有効にしてパスワードベースのログインを無効にすることで、ブルートフォース攻撃の再発を防ぎます。

• 攻撃元 IP アドレスのブロック：関連する悪意のあるプロセスが終了したことを確認した後、セキュリティグループで攻撃者の送信元 IP アドレスをブロックします。Alibaba Cloud セキュリティグループを設定して、関連する IP アドレスからのすべてのポートアクセスを拒否することで、異常ログインを直ちにブロックします。

• 永続的なバックドアのチェック：定期タスク (crontab)、スタートアップ項目、および SSH 公開鍵 (~/.ssh/authorized_keys) を検査し、不審なエントリがないか確認します。攻撃者が永続的なバックドアを残していないことを確認してください。

ローカルログの調査

Security Center の攻撃追跡機能を使用するだけでなく、サーバーのシステムログを手動で確認して侵入経路を調査することもできます：

• Linux サーバー：/var/log/secure または /var/log/auth.log ファイルを確認し、異常なログインレコードと攻撃元を特定します。

• Windows サーバー：イベントビューアーを使用してセキュリティログを確認します。ログインの成功/失敗イベントに注目してください。

アラート処理に関する問題

• 処理に失敗した場合や、処理済みのアラートが再発した場合はどうすればよいですか？

  1. [処理] をクリックしてエラーが表示された場合、または同じアラートがクリアされた後に再発した場合は、以下の順序でトラブルシューティングを行ってください。

     現象	一般的な原因	解決策
     隔離またはプロセス終了の失敗	Security Center のエージェントがオフラインであるか、バージョンが古いため、修正コマンドを配信できません。	アセットセンター で、エージェントがオンラインであることを確認してください。エージェントのトラブルシューティングを参照してクライアントをオンラインに戻してから、リトライしてください。
     ファイルの隔離の失敗	悪意のあるプロセスがまだ実行中でファイルをロックしているか、ファイルがすでに自己削除されています。	まず悪意のあるプロセスを終了させてから (例：kill コマンドを使用)、ファイルを隔離します。 ファイルが存在しない場合は、アラートを処理済みとしてマークします。
     アラートの再発 (ワームやマイニングプログラムで一般的)	子プロセスまたはウイルスファイルのみが削除され、親プロセス、定期タスク、スタートアップ項目、またはその他の永続化メカニズムがまだアクティブです。	アラート詳細のプロセスツリーを使用して親プロセスを特定します。crontab の定期タスク、スタートアップ項目、SSH 公開鍵、および不審なアカウントを削除します。詳細については、「マイニングプログラムの処理に関するベストプラクティス」をご参照ください。
     アラートが定期的に再発する	リモートの定期タスクが定期的にペイロードをダウンロードして実行しているか、同じネットワークセグメント内の他の侵害されたホストが感染を広げています。	すべてのサーバーで定期タスクを監査します。同じ VPC 内の他のホストでウイルススキャンを実行します。
     [処理] ボタンがグレーアウトしている、または利用できない	Free エディションまたは権限付与の有効期限切れ。	ウイルス対策版以上の Security Center を購入し、アセットに権限を紐付けます。
     その他	脆弱なパスワード： SSH/RDP/データベースのパスワードが単純すぎます。 未修正の脆弱性： Redis、XXL-JOB、WebLogic などのアプリケーションに高リスクの脆弱性が存在します。 潜在的なバックドア： 初期のクリーンアップが不完全で、隠れたバックドアが残っています。 データ汚染： ウイルスを含むバックアップまたはスナップショットを復元しました。	パスワードを変更し、速やかに脆弱性にパッチを適用してください。 サーバーで包括的なウイルススキャンを実行してください。

  2. これらの手順を実行してもアラートが再発し続ける場合、サーバーに未検出の永続的なバックドアが存在する可能性があります。データをバックアップし、サーバーのオペレーティングシステムをリセットすることを推奨します。

     サーバーシステムのリセット方法

     1. スナップショットを作成して、サーバー上の重要なデータをバックアップします。詳細については、「単一のスナップショットを手動で作成」をご参照ください。

     2. サーバーのオペレーティングシステムを初期化します。詳細については、「システムディスクの再初期化 (OS のリセット)」をご参照ください。

     3. スナップショットからクラウドディスクを作成します。詳細については、「スナップショットからデータディスクを作成」をご参照ください。

     4. システム再インストール後、クラウドディスクをサーバーにアタッチします。詳細については、「データディスクのアタッチ」をご参照ください。

• ウイルスファイル (トロイの木馬やマイニングプログラムなど) を削除できないのはなぜですか？

  ファイルとその親ディレクトリに不変属性が設定されています。chattr -i コマンドを使用して、ファイルとその親ディレクトリから不変属性を削除してから、ファイルを削除してください。

• DDoS トロイの木馬のアラートを受信しました。ファイルを手動で削除した後もアラートが続くのはなぜですか？

  ファイルが完全に削除されていません。この問題を解決するには、以下の手順を実行してください。

  1. Security Center の Free エディションをご利用の場合は、Enterprise または Ultimate エディションの 7 日間無料トライアルを開始できます。または、「Security Center のアップグレード」をご参照のうえ、Antivirus または Enterprise エディションにアップグレードしてください。

  2. アップグレード後、セキュリティアラートの処理ページに移動し、DDoS トロイの木馬のアラートを見つけて [処理] をクリックし、ウイルス対策を選択します。システムは自動的にトロイの木馬プロセスを終了し、ファイルを隔離します。

• 精密防御のアラートをホワイトリストに追加するにはどうすればよいですか？

  精密防御機能によって生成されたアラートは、防御プラグインに依存し、自動的にブロックされます。これらのアラートは、ホストルール管理セクションで手動でホワイトリストに追加する必要があります。

  1. Security Center コンソール > 保護設定 > ホスト保護 > ホストルール管理に移動します。 ページの左上隅で、アセットが配置されているリージョンとして中国本土または中国本土以外を選択します。

  2. 悪意のある行動の防御 タブで、カスタム防衛ルール サブタブを選択し、ホワイトリストルール作成 をクリックします。ホワイトリスト登録でサポートされているタイプは次のとおりです。

     • プロセスハッシュ

     • コマンドライン

     • プロセスネットワーク

     • ファイルの読み書き

     • レジストリ操作

     • 動的リンクライブラリのロード

     • ファイル名の変更

• 大規模な SSH ポートスキャンやアウトバウンド攻撃など、不審なサーバーの動作に関する通知を受け取った場合はどうすればよいですか？

  • サーバーが廃止済みの場合：サーバーが使用されなくなった場合は、通知を無視できます。

  • サーバーがまだ利用中の場合: ウイルスを徹底的に除去するために、オペレーティングシステムを再インストールします。ECS コンソールでインスタンスを見つけ、右上隅の[すべての操作] > [ディスクの再初期化]を選択します (最初にインスタンスを停止する必要があります)。再インストール後、サーバーを強化します。強力なパスワードを設定し、指定された IP アドレスからのみリモートログインを許可するようにセキュリティグループルールを制限し、必要なビジネスポートのみを開きます。

  • プラットフォームの制限について：オペレーティングシステムを再インストールした後、アウトバウンド攻撃が検出されなければ、通常プラットフォームは制限を課しません。ウイルス除去後もアクセスに問題がある場合は、セキュリティグループの構成やサーバー側のファイアウォールルールなど、他の潜在的な原因を確認してください。

• ウイルスや悪意のあるファイルを削除した後も、アラート通知が届くのはなぜですか？

  Security Center は、過去の脅威レコードを約 1 年間保持します。ウイルスファイルを削除した後でも、アラートに対して無視や手動での処理済みマークなどの処理操作を行っていない場合、システムは通知を送信し続けます。推奨事項：

  • 脅威が解消されたことを確認した後、アラートリストで関連するアラートに対し、[無視] または [手動で処理済み] を選択します。

  • アラートのタイムスタンプがセキュリティ修正前のものである場合、脅威がもはや存在しないことを確認した上で、アラートを安全に無視できます。

• パブリック IP アドレスを変更しましたが、古い IP アドレスに対する異常ログインのアラートがまだ届きます。どうすればよいですか？

  古い IP アドレスのアラートは、通常、Security Center によって記録された過去のログイン動作に基づいてトリガーされます。推奨事項：

  • アラートのタイムスタンプが IP アドレス変更前のものである場合は、アラートを無視できます。

  • アセットセンターで最新のアセット情報を同期し、Security Center が現在の IP アドレスを記録するようにします。

• アラート詳細で、特定の脆弱なパスワードのユーザーと認証情報が見つからないのはなぜですか？

  アラートリストで、[操作] 列の [詳細] をクリックすると、検出された脆弱なパスワードのユーザー名とパスワードが表示されます。詳細ページにこの情報が表示されない場合、そのアラートは過去のものであるか、データが期限切れになっている可能性があります。関連アカウントのパスワードを、大文字と小文字、数字、特殊文字を含む複雑なパスワードに変更することをお勧めします。

• Alibaba Cloud のエンジニアにサーバーへのアクセスを許可し、ウイルスの調査と処理を依頼するにはどうすればよいですか？

  • Alibaba Cloud のエンジニアがサーバーにリモートアクセスできるように、認可情報とサーバーの認証情報を含むチケットを起票してください。

  • 前提条件：エンジニアのアクセスを許可する前に、スナップショットバックアップを作成してください。エンジニアは代理でスナップショットを作成することはできません。チケットを起票する前に、ご自身でスナップショットバックアップを完了してください。

  • サーバーのパスワードがわからない場合は、ECS コンソールでインスタンスのパスワードをリセットしてください。

コンソールの機能に関する問題

• アラートが存在しないファイルを報告した場合はどうすればよいですか？

  これは、ウイルスが別の方法で削除された場合や、ウイルスが自身のトレースをクリーンアップした場合に発生する可能性があります。このアラートをクリアするには、アラートリストで「無視」または「手動で処理済み」をクリックします。

• セキュリティアラートを受信しましたが、コンソールで関連データが見つかりません。どうすればよいですか？

  1. Security Center は、リージョンごとにアラートデータを表示します。セキュリティアラートページの左上隅で 中国本土 と 中国本土以外 を切り替えることができます。アラート通知を受信しても対応するアラートが見つからない場合は、他のリージョンに切り替えてください。

  2. 現在の Security Center のエディションを確認してください。Free エディションは機能が制限されています。「Security Center のアップグレード」をご参照のうえ、Antivirus または Enterprise エディションにアップグレードすることを推奨します。

  3. ウイルス対策機能を使用して、脅威をスキャンし処理してください。

• 複数のアラートを一括で処理するにはどうすればよいですか？

  Security Center は現在、ホワイトリストへの追加、無視、ホワイトリストからの削除、無視の取り消しなどの一括操作をサポートしています。

  1. 左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラート を選択します。コンソールの左上で、アセットのリージョンとして 中国本土 または 中国本土以外 を選択します。セキュリティアラートリストで、処理するアラートを選択します。

  2. 左下隅で、今回は無視、ホワイトリストへの追加、ホワイトリストから削除、または無視の解除をクリックします。

• セキュリティアラートの [処理] ボタンがグレーアウトしているのはなぜですか？

  一般的な原因は以下の通りです。

  1. Free エディションまたはアクティブな保護権限がない：Free エディションは一部のアラートの表示のみをサポートし、修正操作 (隔離、IP のブロック、ホワイトリストなど) はサポートしていません。Antivirus エディション以上を購入し、影響を受けるサーバーにアクティブな権限付与がバインドされていることを確認してください。

  2. サブスクリプションインスタンスの有効期限が切れている：サブスクリプションインスタンスの有効期限が切れると、修正機能は利用できなくなります。インスタンスを更新して、再度お試しください。

  3. RAM ユーザーの権限が不十分：この操作には AliyunYundunSASFullAccess ポリシーが必要です。読み取り専用権限 (ReadOnlyAccess) では修正操作は許可されません。

  4. 対応するサーバーの Security Center エージェントがオフライン：修正コマンドをサーバーに配信できません。エージェントのトラブルシューティングを行い、オンラインに戻してから再度お試しください。