Security Center:セキュリティアラートの分析と処理

アラート詳細の表示

1. Security Center コンソールにログインします。左側のナビゲーションウィンドウで、レスポンス検出 > アラート を選択します。

   説明

   Agentic SOC を有効にしている場合は、左側のナビゲーションウィンドウで 脅威の分析と応答 > アラート を選択します。

2. セキュリティアラート ページの クラウドワークロード保護プラットフォーム (CWPP) タブで、対象のアラートを見つけ、操作する 列の 詳細 をクリックして、アラート詳細ページに移動し、完全な情報を確認します。

   • システム設定 > 通知設定 でアラート通知を設定できます。アラート名などのアラート情報を使用して、対象のアラートをすばやく見つけます。

   • Ultimate Edition は、資産タイプによるアラートのフィルタリングをサポートしています。アラートリストの上にある [すべて]、[ホスト]、[コンテナ]、[K8s]、または [クラウドサービス] をクリックして、対応する資産タイプのアラートを表示します。

   • Security Center には、悪意のあるファイルをインテリジェントに識別できる大規模モデル検知エンジンが追加されました。フィルター条件を AI 検出 (フィルター値を is に設定) に設定して、AI が検出したアラートを表示できます。詳細については、「AI が検出した悪意のあるファイルのアラート」をご参照ください。

アラート詳細の分析

[アラート攻撃トレース]、アラート説明 を使用して、アラートの証拠、発生回数、および考えられる原因を取得できます。この情報を使用して、アラートが誤検知であるかどうかを判断し、処理計画を策定します。ネットワークトラフィックアラートのドメイン名はトラフィック識別から取得されるため、実際の資産ではない場合があります。

事前準備

• スナップショットバックアップの作成：セキュリティアラートを処理する前に、ビジネスへの影響やデータ損失を防ぐために、サーバーのスナップショットバックアップを作成することを推奨します。スナップショットは ECS コンソールで作成します。詳細については、「ポリシーの作成」をご参照ください。

• サーバー側の調査：サーバーにログインし、コマンドラインツールを使用して不審なプロセスを調査できます。一般的なコマンド：

  • Linux サーバー：ps aux | grep <不審なプロセス名> を使用して、不審なプロセスがまだ実行中かどうかを確認します。

  • Linux サーバー：lsof -p <プロセス PID> を使用して、プロセスが開いているファイルとネットワーク接続を表示します。

  • Windows サーバー：タスクマネージャーを使用するか、コンソールの VNC を介してサーバーにログインしてプロセス情報を表示できます。異常なプロセスは通常、C:\Users\Administrator\AppData\Local などのディレクトリにあります。削除する前に、プロセスがビジネスに必要かどうかを確認してください。

• 有料版の制限：アラート処理 (ファイルの隔離、IP ブロック、ホワイトリスト登録など) には、有料の Security Center エディションが必要です。無料版を使用しているか、権限付与が期限切れの場合、コンソールで直接アラートを処理することはできません。Security Center の Anti-Virus Edition 以上を購入する必要があります。

処理方法の選択

処理方法は、次のカテゴリに分類できます：

• 脅威の除去：既知のセキュリティ脅威を直接除去およびブロックし、感染を修復し、新たな攻撃を防ぎ、脅威のソースをブロックし、資産のセキュリティを保護します。

• アラートの抑制：誤検知または許容可能なリスクを処理するために使用されます。ホワイトリスト登録または無視によってアラートを無効としてマークし、後続のアラートが生成されるかどうかを制御します。

• トラブルシューティング：Security Center クライアントの異常をトラブルシューティングし、診断を支援します。

コンソールでの操作

1. Security Center コンソールにログインします。左側のナビゲーションウィンドウで、レスポンス検出 > アラートを選択します。

   説明

   Agentic SOC を有効化している場合、左側のナビゲーションウィンドウで 脅威の分析と応答 > アラートを選択します。

2. セキュリティアラート ページの クラウドワークロード保護プラットフォーム (CWPP) タブで、対象のアラートを見つけ、[操作] 列の 処理 をクリックし、アラートの処理方法を選択してから 今すぐ処理 をクリックします。

   説明

   • アラートタイプによって、サポートされる処理方法が異なります。詳細については、コンソールページをご参照ください。

   • 必要に応じて、アラートの処理理由やオペレーターなどの備考を入力することで、処理済みのアラートの管理に役立ちます。

処理後の検証

• アラートが処理済みであることの確認： 「アラート」ページで、[ステータス] のフィルター条件を [処理済み] に設定し、対象のアラートが処理済みリストに表示されることを確認します。 [処理ステータス] 列で、処理方法 (「ウイルススキャン」、「無視」、「手動処理」など) を確認し、アラートが想定どおりに処理されていることを確認します。

• ディスク全体のスキャンの実行： アラートを処理した後、サーバーでディスク全体のスキャンを実行し、新しいアラートがないことを確認することを推奨します。 ディスク全体のスキャンには、エージェントレス検出 (従量課金) が必要です。 詳細については、「ウイルススキャン」のドキュメントをご参照ください。

• 新しいアラートがないことの確認： 処理後、アラートリストを監視します。 アラートが解消されない場合、永続的なバックドアが存在する可能性があります。 繰り返し発生するアラートについては、以下のトラブルシューティングをご参照ください。

一般的な操作

• パスワードの変更：異常ログインアラートを受信し、その操作がご自身によるものではない場合、直ちに ECS インスタンスのパスワードを変更してください。ECS コンソールの「インスタンスのパスワードをリセット」機能を使用できます。SSH の弱いパスワードによる侵入の場合は、直ちに root パスワードを大文字、小文字、数字、特殊文字を組み合わせた複雑なものに変更してください。ブルートフォース攻撃を防ぐために、SSH キーベースのログインを有効にし、パスワードベースのログインを無効にしてください。

• 攻撃者のソース IP のブロック：悪意のあるプロセスが終了したことを確認し、セキュリティグループで攻撃者のソース IP をブロックしてください。Alibaba Cloud セキュリティグループを設定して、関連 IP からのすべてのポートアクセスを拒否することで、リモートログインを即座にブロックしてください。

• 永続的なバックドアの調査：crontab、起動項目、SSH 公開鍵 (~/.ssh/authorized_keys) などのファイルをチェックして不審なエントリがないか確認し、攻撃者によって永続的なバックドアが残されていないことを確認してください。

ローカルログの調査

Security Center の攻撃追跡機能に加えて、サーバーのシステムログを手動で確認して侵入経路を調査することもできます：

• Linux サーバー：/var/log/secure または /var/log/auth.log ファイルを確認し、異常なログイン記録と攻撃元を特定します。

• Windows サーバー：イベントビューアーを使用してセキュリティログを確認し、ログインの成功/失敗イベントに注目します。

• Linux サーバー：/var/log/messages ファイルまたは systemd ログ内の DNS 関連エントリを確認し、異常な DNS リクエストを調査します。

• Windows サーバー：[イベントビューアー] > [DNS サーバー] 経由で DNS クエリレコードを確認し、異常な DNS リクエストを調査します。

AccessKey 漏洩後のコマンド実行の処理

「RAM sub-account AccessKey attempted denied operation」 アラートは、AccessKey が権限のない API を呼び出そうとしていることを示します。例えば、Ecs:DescribeInstances の呼び出しに失敗した場合などです。このアラートは、AccessKey が漏洩または不正利用されている可能性が高いことを示す明確なシグナルです。直ちに対処してください。攻撃者がクラウドアシスタントを介して影響を受けた ECS インスタンス上でコマンドを実行した疑いがある場合は、以下の手順に従って調査とクリーンアップを行ってください：

1. 権限と AccessKey の調整

   1. 関連する RAM ユーザーの AccessKey を直ちに無効化し、その後の不正な呼び出しをブロックしてください。

   2. RAM ユーザーの権限ポリシーに過剰な権限が付与されていないか確認してください。

   3. ActionTrail で AccessKey ID を使用して過去の API 呼び出し履歴をクエリし、影響を受けたクラウドサービス、実行された操作、影響範囲を評価してください。

2. サーバーの調査とクリーンアップ：

   1. コマンド実行の確認：

      1. ActionTrail コンソールにログインします。イベントクエリページで、[クラウドサービス名] で [ECS] をフィルターするか、[高度なクエリ] を使用して [イベント名] で InvokeCommand を検索します。

      2. 対象イベントの [詳細の表示] をクリックします。返された JSON イベントレコード内の requestParameters から、CommandContent (BASE64 エンコードされているため、デコードして実際のコマンド内容を確認) と InstanceId (影響を受けた ECS インスタンスを特定) を取得します。

   2. サーバーにログインして調査：前の手順で取得した情報に基づき、InstanceId に対応する ECS インスタンスにログインし、以下のチェックを実行します：

      • ps aux を実行して、異常なプロセスがないか確認します。

      • crontab -l を実行して、異常な定期タスクがないか確認します。

      • cat /root/.ssh/authorized_keys を実行して、SSH バックドアの公開鍵が仕込まれていないか確認します。

   3. 残留物のクリーンアップと強化：前の手順で見つかった悪意のあるプロセスとファイルを削除し、異常な定期タスクとバックドアの公開鍵を削除し、漏洩した AccessKey を置き換えてサーバーを再起動し、強化を完了させてください。

アラート処理に関するよくある質問

• 処理に失敗した場合やアラートが再発した場合はどうすればよいですか？

  1. 処理に失敗した場合や、クリーンアップ後に同じアラートが再発した場合は、以下の順序でトラブルシューティングを行ってください。

     症状	一般的な原因	対処方法
     隔離/プロセス終了の失敗	サーバーのエージェントがオフラインであるか、バージョンが古すぎます。処理コマンドを配信できません。	アセットセンター でクライアントがオンラインであることを確認します。詳細については、「エージェントのオフラインに関するトラブルシューティング」をご参照のうえ、復旧後に再試行してください。
     隔離の失敗	悪意のあるプロセスがまだ実行中でファイルを占有しているか、ファイルがすでに削除されています。	まず kill コマンドなどを使用して悪意のあるプロセスを終了してから、ファイルを隔離します。 ファイルが存在しない場合は、アラートを直接 [処理済み] としてマークします。
     アラートの再発 (ワームやマイニングでよく見られる)	サブプロセス/ウイルスファイルのみがクリーンアップされ、親プロセス、定期タスク、スタートアップ項目などの永続化メカニズムが削除されていません。	アラート詳細のプロセスツリーを使用して親プロセスを特定します。crontab の定期タスク、スタートアップ項目、SSH 公開鍵、不明なアカウントを確認し、クリーンアップします。詳細については、「マイニングプログラムの対処に関するベストプラクティス」をご参照ください。
     アラートが定期的に再発する (例：毎週決まった時間に発生)	リモートからのダウンロードを行う定期タスクが存在するか、同じネットワークセグメント内の他の侵害されたホストから、ラテラルムーブメントによる感染が繰り返し発生しています。	すべてのサーバーで定期タスクを確認します。同じ VPC 内の他のホストでウイルススキャンを実行します。
     処理ボタンが利用できない	無料版をご利用の場合、または権限付与が期限切れの場合は、処理操作をサポートしていません。	より高度な保護を提供するエディションのSecurity Center を購入し、資産への権限付与を行ってください。
     その他	弱いパスワード：SSH/RDP/データベースのパスワードが単純すぎます。 脆弱性が未修復：Redis、XXL-JOB、WebLogic などのアプリケーションに高リスクの脆弱性が存在します。 バックドアの潜伏：初回のクリーンアップが不完全で、隠れたバックドアが残っています。 データの汚染：ウイルスに感染したバックアップ/スナップショットを復元しました。	パスワードを変更し、速やかに脆弱性を修復してください。 ウイルス検知と駆除機能を使用して、サーバーの完全なウイルススキャンを実行してください。

  2. 上記の手順を実行してもアラートが解消されない場合は、未検出のバックドアが存在する可能性があります。データをバックアップした上で、サーバー OS をリセットすることを推奨します。

     警告

     この操作にはデータ損失のリスクが伴います。必ず事前にデータをバックアップしてください。作業を進める前に、影響範囲を慎重に評価してください。

     1. スナップショットを作成して、サーバー上の重要なデータをバックアップします。詳細については、「手動での単一スナップショットの作成」をご参照ください。

     2. サーバー OS を初期化します。詳細については、「システムディスクの再初期化 (OS のリセット)」をご参照ください。

     3. スナップショットを使用してクラウドディスクを作成します。詳細については、「スナップショットからのデータディスクの作成」をご参照ください。

     4. OS の再インストール後、クラウドディスクをサーバーにアタッチします。詳細については、「データディスクのアタッチ」をご参照ください。

• Web アプリケーションが異常なサブプロセスのアラートを生成した場合はどうすればよいですか？

  このようなアラートは通常、SQL Server で xp_cmdshell が有効になっている場合、疑わしいストアドプロシージャの呼び出しによってシステムコマンドが実行された場合、または Web エクスプロイトがトリガーされた場合に発生します。アラート詳細のコマンドラインと親プロセスを確認し、C:\Users\Public\tmp_out.txt のような異常なファイルがないか調べます。その後、高リスクのデータベース機能を無効にし、定期タスクと自動起動項目をチェックして、異常なサブプロセスを継続的にトリガーする可能性のある項目を削除してください。

• 機密コマンド (cat /etc/ssh/sshd_config など) の実行アラート？

  cat /etc/ssh/sshd_config は SSH の設定情報を表示するために使用され、厳格なモードではアラートをトリガーする可能性があります。これが想定内の運用保守操作であるかを確認してください。そうでない場合は、セキュリティリスクとして扱い、関連するプロセスと操作元を調査してください。

• 外部からのログインスキャン/攻撃が疑われるアラートが生成された場合はどうすればよいですか？

  このアラートは、サーバーが侵害され、外部への攻撃に利用されている可能性を示します。悪意のあるプロセスを終了させ、関連ファイルを隔離し、ディスク全体のウイルススキャンを実行してください。また、システムログを確認して侵入経路を調査し、セキュリティグループルールとパスワードポリシーを強化してください。

• クラウドホストのセキュリティ保護サービスが無効化されたというアラートが生成された場合はどうすればよいですか？

  このアラートは、攻撃者が AliSecCheck などの保護プロセスを無効にしようとしている可能性を示します。ウイルススキャンを実行し、感染ファイルを隔離し、異常なプロセスを終了させてください。その後、サーバー上の侵入の痕跡と永続化メカニズムを調査してください。

• ウイルスファイル (トロイの木馬、マイニングプログラム) を削除できません。どうすればよいですか？

  ファイルとその親ディレクトリに隠し属性が設定されている可能性があります。chattr -i コマンドを使用して、ファイルと親ディレクトリから不変属性を削除してから、再度削除を試みてください。

• サーバーに DDoS トロイの木馬のアラートがあり、ファイルを手動で削除しましたがアラートが消えません。どうすればよいですか？

  ファイルが完全に削除されていません。解決策は以下の通りです。

  1. Security Center が無料版の場合、Enterprise または Ultimate Edition の無料トライアルを有効にできます。または、「Security Center の購入」をご参照のうえ、Security Center をウイルス対策版または Enterprise Edition にアップグレードしてください。

  2. 有効化後、アラート処理ページに移動し、DDoS トロイの木馬を見つけて [処理] をクリックし、[ウイルススキャン] を選択します。システムがトロイの木馬のプロセスを終了させ、ファイルを隔離します。詳細については、「ウイルス検知と駆除」をご参照ください。

• 精密防御のアラートをホワイトリストに登録するにはどうすればよいですか？

  精密防御によって生成されるアラートは、防御プラグインに依存しています。このようなアラートが生成されると、自動的にブロックが適用されます。ホストルール管理で手動でホワイトリストに登録する必要があります。手順は以下の通りです。

  1. にアクセスし、[保護設定] > [ホスト保護] > [ホストルール管理] の順に選択します。ページの左上隅で、資産のリージョンとして 中国本土 または 中国本土以外 を選択します。

  2. 悪意のある行動の防御 タブの カスタム防衛ルール サブタブで、ホワイトリストルール作成 をクリックします。サポートされているホワイトリストの種類は以下の通りです。

     • プロセスのハッシュ

     • コマンドライン

     • プロセスネットワーク

     • ネットワーク傍受 (ソース IP/ドメイン)

       ソース IP アドレスまたはドメインに対して、ブラックリストまたはホワイトリストのルールを設定できます。セキュリティアラートがリバースシェルや永続的な悪意のあるアウトバウンド接続を示している場合、カスタムのネットワーク遮断ルールを作成して特定の攻撃元 IP をブロックできます。カスタマーサービスやセキュリティチームから提供された悪意のある IP やドメインも、ブラックリストに追加して遮断できます。

       例えば、リバースシェルアラートや永続的な悪意のあるアウトバウンド接続アラートを処理した後、攻撃元の IP が特定され、悪意のあるプロセスが終了した場合、以下の手順で IP をブロックできます。

       1. 悪意のある行動の防御 ページで、カスタム防衛ルール タブをクリックし、ホワイトリストルール作成 をクリックします。

       2. ルールタイプとして [ネットワーク遮断] を選択し、特定された攻撃元 IP または悪意のあるドメインをブラックリストに追加し、アクションを [ブロック] に設定してから、ルールを適用するサーバーを選択します。

       セキュリティグループルールを設定して保護することも推奨します。ECS コンソールでターゲットインスタンスに対してセキュリティグループの拒否ルールを作成し、特定された悪意のある IP をインバウンドとアウトバウンドの両方の拒否リストに追加することで、悪意のあるトラフィックを即座にブロックできます。詳細については、ECS ドキュメントのセキュリティグループルールの設定に関するドキュメントをご参照ください。

     • ファイルの読み書き

     • レジストリ操作

     • ダイナミックリンクライブラリのロード

     • ファイル名の変更

• アラート処理で [ホワイトリストに追加] と [無視] のオプションしか利用できない場合はどうすればよいですか？

  [プロセスの終了] や [ウイルススキャン] のオプションがなく、[ホワイトリストに追加] と [無視] のオプションしか表示されないアラートがあります。これは通常、プロセスがすでに実行されていないか、ファイルが削除されていることを意味します。以下の対応を推奨します。

  • 脅威が除去されたこと (プロセスが終了し、ファイルが削除されたこと) を確認した場合は、[無視] または [手動で処理済み] を選択してアラートを閉じることができます。

  • それでもプロセスを終了させる必要がある場合は、まず [プロセスの終了] を選択し、ページを更新して処理オプションを確認してください。

  • 頑固なウイルスや再発するアラートについては、上記の「セキュリティ強化と攻撃防止」セクションに従って、徹底的な対処を行ってください。

• Web シェルアラートはシステムの自動操作に該当しますか？

  Web シェル攻撃は通常、外部からの侵入行為です。攻撃者は脆弱性を悪用して Web シェルをアップロードしたり、コード実行の脆弱性を介してバックドアを書き込んだりします。これはシステムの自動操作ではありません。侵入として対処してください。[アラート詳細] とローカルサーバーのログを組み合わせて侵入経路を調査し、悪意のあるファイルと異常なプロセスを削除し、脆弱性の修復、アクセスの制御、アカウントのセキュリティ強化を完了させてください。

• サーバーでの悪意のある行為 (大規模な SSH ポートスキャンや外部への攻撃) が疑われる通知を受け取った場合はどうすればよいですか？

  • サーバーがすでにシャットダウンされている場合：サーバーを今後使用しない場合は、この通知を一旦無視しても問題ありません。

  • 継続して使用する場合：OS を再インストールしてウイルスを完全に除去します。ECS コンソールで該当インスタンスを見つけ、[すべての操作] > [ディスクの初期化] を選択します (インスタンスを停止する必要があります)。再インストール後、セキュリティを強化してください。強力なパスワードを設定し、セキュリティグループルールを制限して特定 IP からのリモートログインのみを許可し、必要なビジネスポートのみを開放します。

  • ブロックについて：再インストール後に外部への攻撃が検出されなければ、通常プラットフォームによる利用禁止措置はトリガーされません。ウイルススキャンで問題がないにもかかわらずアクセスに問題が続く場合は、セキュリティグループの設定やサーバーのファイアウォールなど、他の原因を確認してください。

• アラート詳細で SSH ポートが 22 と表示されるのはなぜですか？

  sshd_config の Port フィールドで明示的に設定されていない場合、Security Center は SSH をデフォルトでポート 22 と識別します。実際のポートが変更されていても、アラート詳細にはポート 22 と表示されることがあります。サーバーの実際の SSH 設定を確認してください。

• 修正後も SSH ブルートフォース攻撃成功のアラートを受信し続ける場合はどうすればよいですか？

  非標準ポート (例：5522) が正しく設定され、実際に使用されているかを確認してください。設定を確認してもアラートが続く場合は、必要なデータをバックアップし、インスタンスをリセットしてください。

• ウイルス/悪意のあるファイルを削除した後もアラートが続くのはなぜですか？

  Security Center は過去の脅威レコードを約 1 年間保持します。ウイルスファイルが削除されても、(無視やホワイトリスト登録などの) 処理操作が行われない場合、システムは過去のレコードに基づいて通知を送り続けます。以下の対応を推奨します。

  • 脅威が除去されたことを確認した後、アラートリストで関連するアラートに対して [無視] または [手動で処理済み] の操作を行ってください。

  • アラートの発生日時がセキュリティ対策を実施する前のものであれば、安全を確認した上でアラートを無視して問題ありません。

• パブリック IP を変更した後も、古い IP での異常ログオンアラートを受信し続ける場合はどうすればよいですか？

  IP 変更後の古い IP に関するアラートは、通常、Security Center が過去のログイン履歴に基づいてトリガーしたものです。以下の対応を推奨します。

  • アラートの発生日時が IP 変更前のものであれば、アラートを無視して問題ありません。

  • 資産センターで最新の資産情報を同期し、Security Center が現在有効な IP アドレスを記録するようにしてください。

• アラート詳細で特定の弱いパスワードのユーザーとパスワードが見つかりません。どうすればよいですか？

  [アラート] ページの [操作] 列で [詳細] をクリックすると、弱いパスワードのユーザーと認証情報を確認できます。詳細が表示されない場合、そのアラートは過去のものか、期限切れである可能性があります。関連するアカウントのパスワードを、大文字、小文字、数字、特殊文字を含む複雑なパスワードに変更してください。

• Alibaba Cloud のエンジニアにウイルスの調査と処理を依頼するにはどうすればよいですか？

  • チケットに認可情報を記入し、サーバーのパスワードを提供して、Alibaba Cloud のエンジニアによるリモートでのオンサイト調査を許可してください。

  • 前提条件：高リスク操作を行う場合は、エンジニアにオンサイト操作を許可する前に、スナップショットバックアップを作成してください。スナップショットがない状態での操作は許可されません。エンジニアがお客様に代わってスナップショットを作成することはできませんので、必ず先にスナップショットバックアップを完了させてください。

  • サーバーのパスワードがわからない場合は、ECS コンソールでインスタンスのパスワードをリセットできます。

• [処理] ボタンがグレーアウトしている、または反応しないのはなぜですか？

  一般的な原因は以下の通りです。

  1. 現在無料版を使用しているか、保護権限を購入していない場合：無料版は一部のアラートの表示のみをサポートしており、処理操作 (隔離、ブロック、ホワイトリスト登録など) はサポートしていません。まず、ウイルス対策版以上のSecurity Center を購入し、影響を受けるサーバーがその権限に紐付けられていることを確認してください。

  2. インスタンスが期限切れの場合：サブスクリプションインスタンスが期限切れになると、処理機能は無効になります。契約を更新してから再試行してください。

  3. RAM ユーザーの権限が不十分な場合：AliyunYundunSASFullAccess 権限が必要です。読み取り専用権限 (ReadOnlyAccess) では処理操作を実行できません。

  4. アラート対象のサーバーエージェントがオフラインの場合：処理コマンドを配信できません。まず、「エージェントのオフラインに関するトラブルシューティング」をご参照のうえ、クライアントをオンライン状態に復旧させてください。

コンソールの機能に関する問題

• アラートに「ファイルが存在しません」と表示された場合はどうすればよいですか？

  これは、ウイルスが他の手段で除去されたか、自己クリーンアップした可能性があります。アラートリストで [無視] または [手動で処理済み] をクリックして、このアラートをクリアしてください。

• セキュリティアラートを受信しましたが、コンソールに関連データが表示されません。どうすればよいですか？

  • Security Center のアラートデータはリージョンごとに表示されます。[アラート] ページの左上隅にある 中国本土 と 中国本土以外 のリージョンを切り替えることができます。アラート通知を受信したにもかかわらず、ページにアラートが表示されない場合は、上部のリージョンセレクターを使用して別のリージョンに切り替えてください。

  • ご利用の Security Center のエディションを確認してください。無料版は機能が制限されています。ウイルス対策版または Enterprise Edition のSecurity Center を購入し、アップグレードすることを推奨します。

  • 一部のアラートは、Alibaba Cloud のトラフィックモニタリング、セキュリティインテリジェンス分析、または他の Alibaba Cloud セキュリティ製品から発信される場合があります。これらのアラートは、Security Center の CWPP コンソールには表示されないことがあります。

• 複数のアラートをバッチ処理するにはどうすればよいですか？

  現在、Security Center は、セキュリティアラートを処理するために、ホワイトリストへの一括追加、一括無視、ホワイトリストからの一括削除、無視の一括キャンセルをサポートしています。

  1. にログインします。左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラート を選択して [アラート] ページに移動し、一括処理するアラートを選択します。

  2. 左下の 今回は無視、ホワイトリストへの追加、ホワイトリストから削除、無視の解除 のいずれかのボタンをクリックします。

• セキュリティアラートの処理ボタンがグレーアウトしているのはなぜですか？

  • ご利用の Security Center のエディションを確認してください。無料版はセキュリティアラートの処理をサポートしていません。7 日間の Enterprise Edition 無料トライアルを有効にするか、ウイルス対策版または Enterprise Edition を有効にできます。詳細については、「Security Center の購入」をご参照ください。

  • エディションによってサポートされるセキュリティアラートの種類が異なります。詳細については、「CWPP セキュリティアラート」をご参照ください。