Security Center:Instale o agente do Security Center

Permissões insuficientes para execução de script

Sintoma: O sistema retorna um erro Permission denied ao executar o script de instalação.

Solução: Mude para uma conta com permissões de administrador ou root e execute o comando de instalação novamente.

Autoproteção

Sintoma: A reinstalação do agente do Security Center falha após a remoção de um vírus. Uma mensagem de erro indica que a autoproteção está ativa e solicita que você a desinstale ou desative primeiro no console do Security Center.

Solução: Reinicie o servidor. Essa ação desativa o processo de autoproteção, permitindo a instalação do agente.

Processos do agente

Etapas de diagnóstico: Verifique se os dois processos principais, AliYunDun e AliYunDunUpdate, estão em execução.

• Linux: Execute o comando ps -ef | grep AliYunDun para verificar.

• Windows: Abra o Gerenciador de Tarefas e vá para a aba Detalhes ou Serviços para encontrar os processos e services relacionados.

Solução: Reinicie manualmente os processos do agente.

Conexão de rede

Etapas de diagnóstico: Verifique se o seu firewall ou grupo de segurança permite tráfego de saída para os endereços ip ou nomes de domínio do service do Security Center, como jsrv.aegis.aliyun.com ou update.aegis.aliyun.com. O agente também pode ficar offline se o servidor não conseguir se conectar ao service do Security Center.

Solução:

1. Verifique se o service de dns no servidor está funcionando corretamente.

   Se o service de dns não estiver em execução, reinicie o servidor ou solucione o problema do service de dns.

2. Verifique se há políticas de acesso de rede configuradas no servidor.

   1. Regras de ACL de firewall

      Adicione os endereços ip ou nomes de domínio do service do Security Center à lista de permissões do seu firewall para permitir o acesso à rede. Você só precisa configurar regras para tráfego de saída.

      Nota

      Se você usa o Alibaba Cloud Firewall, consulte Create an outbound access control policy for traffic from an internal network to the Internet para obter instruções.

      Exemplo de configuração de firewall (iptables):

      # Allow access to the control service
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d jsrv.aegis.aliyun.com --dport 80 -j ACCEPT
      
      # Allow access to the update service
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 443 -j ACCEPT
      iptables -A OUTPUT -p tcp -d update.aegis.aliyun.com --dport 80 -j ACCEPT
      

   2. Regras de grupo de segurança da Alibaba Cloud

      Se você usa uma instância ECS, consulte Manage security groups para etapas específicas.

      Nota

      Permita tráfego de saída para CIDR blocks do Security Center. Você pode deixar a porta irrestrita ou permitir tráfego nas portas 80 e 443.

      A seguir, um exemplo de configuração para o bloco CIDR 100.100.0.0/16:

      • Direction: Outbound

      • Authorization policy: Allow

      • Protocol type: tcp

      • Port range: 80/443

      • Authorization object: 100.100.0.0/16

   3. Verifique os firewalls internos do servidor

      Além das regras de grupo de segurança da Alibaba Cloud e ACLs de firewall, o firewall interno do sistema operacional do servidor (como iptables, firewalld ou Windows Firewall) também pode bloquear a comunicação entre o agente e o endpoint do service do Security Center. Se a solução de problemas de conectividade de rede não resolver a questão, verifique a configuração do firewall interno no servidor.

      Linux - iptables/firewalld

      Etapas de diagnóstico:

      • Execute iptables -L -n ou firewall-cmd --list-all para visualizar as regras atuais do firewall.

      • Verifique se existem regras que bloqueiam conexões de saída para os endpoints do service do Security Center (como jsrv2.aegis.aliyun.com e update.aegis.aliyun.com).

      Solução:

      • Garanta que o tráfego de saída para os endereços ip ou nomes de domínio do service do Security Center seja permitido (portas 80 e 443).

      • Para verificação temporária, você pode desativar o firewall interno para teste:

        • iptables: iptables -F

        • firewalld: systemctl stop firewalld

      Windows Firewall

      Etapas de diagnóstico:

      • Abra Control Panel > Windows Defender Firewall e verifique as regras de entrada e saída em busca de regras que bloqueiem a comunicação com o agente do Security Center.

      • Abra o cmd ou PowerShell como administrador e execute netsh advfirewall firewall show rule name=all para visualizar todas as regras de firewall.

      Solução:

      • Nas regras de saída, permita o acesso à rede para o agente do Security Center (AliYunDun e AliYunDunUpdate) ou permita o tráfego de saída para os nomes de domínio do service do Security Center nas portas 80 e 443.

      • Para verificação temporária, execute netsh advfirewall set allprofiles state off em um cmd de administrador para desativar o firewall para teste.

Recursos do sistema

Etapas de diagnóstico:

Verifique se o servidor possui recursos suficientes. O agente pode parar de rodar se os recursos do servidor se esgotarem.

• CPU/Memória: Use top (Linux) ou o Gerenciador de Tarefas (Windows) para verificar o uso.

• Espaço em disco: Use df -h (Linux) ou Este Computador (Windows) para verificar o espaço restante em disco.

Solução:

• Alto uso de recursos

  • Se o processo AliYunDun for a causa, entre em contato com o suporte técnico e forneça os logs relevantes.

  • Se outros processos de negócio forem a causa, otimize suas aplicações ou considere atualizar a configuração do servidor.

• Espaço em disco insuficiente: Exclua arquivos desnecessários para liberar espaço em disco.

IDs de agente duplicados

Etapas de diagnóstico: Esse problema ocorre frequentemente quando você cria vários servidores a partir da mesma imagem de sistema. Verifique se o campo uuid nos seguintes arquivos de configuração está duplicado em vários servidores.

• Linux: /usr/local/aegis/aegis_client.conf

• Windows:

  • 32 bits: C:\Program Files\Alibaba\aegis\aegis_client.conf

  • 64 bits: C:\Program Files (x86)\Alibaba\aegis\aegis_client.conf

Solução:

Antes de criar várias imagens a partir de um único servidor modelo, desinstale e limpe o agente antigo e, em seguida, obtain a new installation command.

Conflitos de software

Etapas de diagnóstico: Verifique se o Huorong Security Software, 360 Safeguard ou outro sistema de detecção de intrusão baseado em host (HIDS), detecção e resposta de endpoint (EDR) ou software antivírus está instalado no servidor. Tais softwares podem entrar em conflito com o agente do Security Center. Se o software de segurança de terceiros foi desinstalado, mas o agente ainda falha na instalação ou permanece offline, verifique se há arquivos e services residuais:

• Verifique se services relacionados ao Huorong ou ao 360 permanecem na lista de services.

• Verifique se existem pastas residuais nos diretórios de instalação. Caminhos residuais comuns incluem:

  • Huorong: C:\Program Files\Huorong

  • 360: C:\Program Files\360

Solução:

1. Feche o programa principal do software de segurança de terceiros.

2. Use o desinstalador integrado do software. Para desinstalar o Huorong Security Software, execute uninst.exe no diretório de instalação. Para desinstalar o 360 Safeguard, use o Control Panel.

3. Se uma desinstalação anormal anterior, como excluir diretamente o diretório de instalação, deixou arquivos ou services residuais, reinstale o software de segurança sobre a instalação existente. Em seguida, use o desinstalador integrado novamente. Para o Huorong, execute uninst.exe novamente.

4. Reinicie o servidor.

5. Verifique se os arquivos e services residuais foram removidos. Certifique-se de que a lista de processos, a lista de services e os diretórios de instalação não contenham mais itens residuais do software de segurança e confirme se o processo do agente do Security Center AliYunDun está rodando novamente.

6. Para um servidor Linux, use aegis_checker.bin para executar diagnósticos e analisar logs se a instalação ainda falhar com um erro de download de arquivo ou porque o software antivírus o bloqueia após você desinstalar o software antivírus. Use o mesmo procedimento se componentes residuais ainda restringirem o acesso a /usr/local/aegis. Para diagnósticos baseados em console, consulte Agent Troubleshooting.

7. Baixe o script de desinstalação correspondente ao tipo de servidor:

   • Instância ECS:

     wget http://update2.aegis.aliyun.com/download/uninstall.sh

   • Servidor não Alibaba Cloud:

     wget http://update.aegis.aliyun.com/download/uninstall.sh

8. Após usar o script de desinstalação, verifique se /usr/local/aegis existe. Exclua /usr/local/aegis somente após confirmar que é um resíduo do agente do Security Center desinstalado.

9. Execute o comando de instalação do agente novamente.

Após a instalação do agente do Security Center, você pode reiniciar ou reinstalar o software de segurança de terceiros original conforme necessário.

Logs do agente

Etapas de diagnóstico: Revise os logs do agente em busca de mensagens de erro específicas. Os arquivos de log estão localizados nos seguintes diretórios:

• Linux: /usr/local/aegis/aegis_client/aegis_12_xx/data/.

  Nota

  O placeholder aegis_xx_xx representa o diretório de versão do agente em execução. Para encontrar o caminho exato, verifique a saída do comando ps -ef|grep AliYunDun.

• Windows: C:\Program Files (x86)\Alibaba\Aegis\aegis_client\aegis_12_xx\data\.

Solução:

Solucione o problema com base nas mensagens de erro nos logs. Se não conseguir resolver o problema, entre em contato com o suporte técnico e forneça os arquivos de log completos.