Security Center:Perguntas frequentes sobre proteção de host

O que é o recurso de anti-ransomware? Por que a cobrança é separada?

O anti-ransomware protege seus servidores e bancos de dados contra ataques de ransomware. Ele permite recuperar arquivos criptografados com um clique em e ativar backups de diretórios críticos instantaneamente. Como o anti-ransomware utiliza recursos de armazenamento independentes, o faturamento ocorre separadamente da sua edição do Security Center. Para mais informações, consulte Anti-ransomware service e Enable and purchase the anti-ransomware service.

Qual é a relação entre o recurso de anti-ransomware do Security Center e o Cloud Backup da Alibaba Cloud?

O anti-ransomware do Security Center utiliza as capacidades de armazenamento do Cloud Backup (Cloud Backup) da Alibaba Cloud. Caso você não tenha ativado o Cloud Backup, ele será habilitado automaticamente após a compra da capacidade de anti-ransomware e a conclusão da autorização de products cloud. A ativação do Cloud Backup não gera cobranças adicionais.

Os backups iniciam automaticamente após a compra da capacidade de anti-ransomware?

Não. Crie e ative uma política de proteção antes que os backups comecem. Para obter instruções, consulte Create and manage anti-ransomware policies and agents.

Como visualizo minha capacidade de anti-ransomware adquirida e seu uso?

Após ativar o service de anti-ransomware:

1. Faça logon no console do Security Center.

2. No painel de navegação à esquerda, escolha Protection Configuration > Host Protection > Anti-Ransomware. No canto superior esquerdo do console, selecione a região onde está localizado o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland.

3. Na página Anti-Ransomware, visualize o detalhamento do uso da capacidade.

Como limpo um cache de backup de anti-ransomware grande que ocupa espaço em disco?

O anti-ransomware usa espaço em disco no servidor como cache para acelerar os backups. Se o cache em C:\Program Files (x86)\Alibaba\Aegis\hbr\cache (Windows) ou /usr/local/aegis/hbr/cache (Linux) ficar muito grande, limpe os arquivos de cache. Para obter instruções, consulte Clear disk space.

Posso alterar o local do cache de backup se ele estiver usando muito espaço na unidade C?

Sim. Modifique o arquivo de configuração do cliente de backup de anti-ransomware para alterar o local do cache. Para obter instruções, consulte Modify the backup cache location, status, and system memory usage limit.

O que devo fazer se o cliente de anti-ransomware consumir recursos excessivos de cpu ou memória?

Versões mais antigas do cliente de anti-ransomware podem causar alto uso de cpu ou memória durante os backups. Esse problema foi resolvido na versão 2.19.6 e posteriores. Se a versão do seu cliente for anterior à 2.19.6, atualize-o:

1. Faça logon no console do Security Center. No painel de navegação à esquerda, escolha Protection Configuration > Host Protection > Anti-Ransomware. No canto superior esquerdo do console, selecione a região onde está localizado o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland.

2. Na aba Anti-ransomware for Servers, localize o servidor de destino. Na coluna Actions, clique em Uninstall e, em seguida, clique em OK na caixa de diálogo de confirmação.

   O status do cliente muda para Uninstalling Agent. A desinstalação leva cerca de 5 minutos.

3. Após a conclusão da desinstalação, clique em Install na coluna Actions e, em seguida, clique em OK na caixa de diálogo de confirmação.

   O status do cliente muda para Installing... (3-5 min). A instalação leva cerca de 5 minutos.

Se o problema persistir após a atualização, consulte Troubleshoot high disk or memory usage from anti-ransomware backups para solução de problemas.

Quais são as diferenças entre a solução de anti-ransomware e os backups de snapshot?

A tabela a seguir compara os backups de snapshot com a solução de anti-ransomware:

O que devo fazer se a capacidade de anti-ransomware adquirida for insuficiente?

A capacidade insuficiente causa falhas no backup. Resolva isso expandindo a capacidade ou liberando espaço existente.

• Expandir capacidade

  Faça logon no console do Security Center. No painel de navegação à esquerda, escolha Protection Configuration > Host Protection > Anti-Ransomware. No canto superior esquerdo do console, selecione a região onde está localizado o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland. Na página Anti-ransomware, clique em Increase Capacity abaixo de Used Capacity/Total Capacity para aumentar sua capacidade.

  Nota

  Aloque 50 GB de capacidade por servidor.

• Liberar capacidade

  • Reduza o número de servidores protegidos: remova servidores fora de produção (como servidores de teste ou ociosos) de uma política de proteção. Consulte Manage servers in an anti-ransomware policy.

  • Reduza os diretórios protegidos: use Custom Policy ao criar uma política de proteção para fazer backup apenas de diretórios específicos. Consulte Create and manage anti-ransomware policies and agents.

  • Exclua dados históricos de backup: se backups antigos não forem mais necessários, exclua-os para recuperar espaço. Consulte Delete backed-up data.

O que devo fazer se uma política de proteção estiver em estado anormal?

Uma política anormal não consegue fazer backup dos dados. Acesse a página Anti-ransomware para identificar a causa e siga as instruções na tela. As causas comuns incluem:

• Capacidade insuficiente

  Se a capacidade usada exceder o total durante um backup, o backup será pausado e nenhuma nova tarefa de recuperação poderá ser criada. Adquira capacidade adicional para continuar. Consulte Upgrades and downgrades.

• Agente offline

  Um Agente offline no servidor faz com que a política fique anormal. Consulte Troubleshoot Agent offline issues.

• Exceção de backup

  Um caminho de backup incorreto ou espaço em disco insuficiente no servidor causa falha na tarefa de recuperação. Crie uma nova tarefa de recuperação com o caminho correto e garanta espaço em disco suficiente. A política retorna ao status Normal após a conclusão da nova tarefa.

Por que as pastas .aeqis, .zaegis ou !aegis ainda existem no meu servidor depois que desativo o anti-ransomware?

Essas pastas (incluindo as pastas .aeqis e .zaegis, e a pasta !aegis localizada no diretório raiz de cada unidade ou diretório chave, como o diretório contendo /root/.aegis/!~readme.txt) são arquivos de isca de segurança implantados pelo recurso Anti-ransomware (bait capture) do Security Center. Esses arquivos atraem proativamente o ransomware para acessá-los, visando detecção e bloqueio. Mesmo após desativar a política de anti-ransomware no console, os componentes de segurança residentes gerenciados pelo módulo de proteção de host (AliHips) mantêm esses arquivos. Trata-se de um comportamento normal. Após desativar o recurso Anti-ransomware (bait capture), as pastas já criadas não são excluídas automaticamente. Você pode excluir essas pastas manualmente, mas recomendamos mantê-las. Recomendamos também criar um snapshot de disco para backup antes de realizar essa operação.

O service de anti-ransomware garante indenização por infecções de ransomware?

Não. As infecções em servidores resultam de múltiplos fatores e não são causadas diretamente pelo host ou pelo Security Center. Para definições de responsabilidade e garantias de service, consulte os acordos relacionados.

A proteção anti-ransomware é necessária para servidores de rede interna sem acesso à rede pública?

Sim. Servidores de rede interna ainda enfrentam riscos de ransomware por meio de movimento lateral, erros internos ou ataques à cadeia de suprimentos. O anti-ransomware faz backup e protege diretórios críticos, melhorando sua postura geral de segurança.

Como confirmo se um servidor foi alvo de ransomware quando nenhum alerta é gerado?

Siga estas etapas:

1. Faça logon no console do Security Center. Verifique a página Detection and Response > Alerts ou Agentic SOC > Alerts em busca de alertas sobre processos maliciosos, ransomware ou logons anormais.

2. Se não houver alertas, entre em contato com um engenheiro técnico para inspecionar o servidor em busca de entradas incomuns em tabelas de banco de dados, adulteração de arquivos ou extensões de criptografia anormais.

3. Se as aplicações de negócio estiverem funcionando normalmente e nenhum desses sinais estiver presente, provavelmente o servidor não foi alvo de ransomware.

4. Configure uma política de snapshot de servidor e realize backups regulares de dados para garantir a segurança das informações.

Por que ativar o recurso Anti-ransomware (bait capture) me redireciona para a página de compra e mostra que minha configuração não mudou?

O recurso Anti-ransomware (bait capture) e a capacidade de armazenamento de anti-ransomware são duas capacidades independentes. Comprar apenas a capacidade de armazenamento de anti-ransomware não concede acesso ao recurso Anti-ransomware (bait capture). Esse recurso exige que a edição da instância do Security Center seja Anti-virus Edition, Premium Edition, Enterprise Edition ou Ultimate Edition. Se sua edição atual não oferecer suporte a esse recurso, será necessário atualizar a instância do Security Center para uma edição compatível antes de poder ativá-lo.

Comprei o service de anti-ransomware, mas não o utilizei. Posso solicitar adiamento ou reembolso?

Não. O anti-ransomware é um service de valor agregado baseado em recursos. O faturamento começa imediatamente após a compra. Solicitações de adiamento não são suportadas por motivos como não ter criado uma política de proteção ou não ter instalado o cliente.

O período de validade da edição do Security Center pode ser diferente do período da proteção contra adulteração de arquivos?

Para instâncias por assinatura, todos os módulos de recursos (incluindo a proteção contra adulteração de arquivos) compartilham o mesmo período de validade. Não é possível adquirir separadamente services por assinatura com ciclos de service diferentes.

Solução recomendada: na página Downgrade, cancele a assinatura do service File Tamper-Proofing e, em seguida, ative o service de pagamento conforme o uso do File Tamper-Proofing. Para mais informações, consulte File tamper-proofing.

Como corrijo "Falha na inicialização do módulo de proteção. Verifique se outro software está interceptando ou controlando a criação do service."?

Provavelmente, outro aplicativo de segurança no servidor está bloqueando o programa de proteção contra adulteração do Security Center. Adicione o processo do Agente do Security Center à lista de permissões do outro software de segurança ou desative o recurso de bloqueio de criação de service de driver dele.

Quais são os requisitos para o diretório de backup local da proteção contra adulteração de arquivos?

• Máximo de 100 regras ativadas simultaneamente.

• Até 100 caminhos de proteção e 100 caminhos de processo por regra.

• Cada caminho de proteção deve ter de 1 a 128 caracteres.

• O caminho completo de um arquivo ou diretório protegido não pode exceder 1.000 caracteres ou 500 caracteres chineses.

• Se um caminho de proteção apontar para um caminho de processo de servidor NFS, modificações de arquivos via cliente NFS não poderão ser defendidas.

Por que configurar um diretório de proteção contra adulteração gera um erro de caminho?

No Windows, use barras invertidas (\) em vez de barras normais (/). Por exemplo: C:\Program Files\Common Files.

Por que a proteção contra adulteração de arquivos falha após configurar um diretório de proteção?

Após configurar um diretório de proteção, ative também a chave de proteção e garanta que o cliente esteja em execução. Verifique o seguinte:

• Os arquivos que você deseja proteger estão dentro do diretório de proteção.

• A chave de proteção está ativada após a criação da regra.

• O cliente está online:

  1. Faça logon no console do Security Center. Na página Protection Configuration > Host Protection > File Tamper Proofing, visualize o status do service na aba Protection Management.

  2. Se o status for Abnormal, tente novamente a operação. Se o status for Offline, reinstale o Agente. Consulte Install the Agent.

• O servidor tem espaço em disco suficiente.

Ainda posso gravar arquivos em um diretório após configurá-lo para proteção?

Não. Após configurar um diretório para proteção contra adulteração, não é possível gravar novos arquivos nele.

O que devo fazer se a proteção contra adulteração não entrar em vigor imediatamente após a configuração?

A proteção pode não entrar em vigor imediatamente após a configuração de um diretório. Nesse caso, acesse a lista Protection Management, desative a chave Protection Status para o servidor afetado e, em seguida, ative-a novamente.

Por que nenhum alerta é gerado quando modifico um arquivo protegido via ssh, mesmo com a proteção contra adulteração ativada?

As possíveis causas incluem:

• A chave Protection Status não está ativada.

• Você modificou o diretório de proteção após ativar a chave Protection Status, mas não desativou e reativou a chave após a alteração.

• O arquivo está na lista de permissões.

  Arquivos incluídos na lista de permissões são considerados confiáveis. A proteção contra adulteração não gera alertas nem bloqueia modificações para eles. Consulte Add to allowlist.

• O kernel do servidor não está dentro do intervalo suportado.

  Quando o kernel é suportado, a proteção contra adulteração bloqueia diretamente as modificações de arquivos sem gerar alerta.

  Nota

  Após salvar o arquivo, retorne à página File Tamper Proofing. Na lista Handled, é possível ver que a modificação foi bloqueada. Verificar o arquivo no servidor confirma que suas alterações não foram salvas.

O que devo fazer se não conseguir modificar o conteúdo e as imagens do site após configurar a proteção contra adulteração?

Escolha uma das seguintes soluções:

• Desative a proteção contra adulteração, atualize o conteúdo do site e reative a proteção. Consulte File tamper-proofing.

• Exclua o caminho do site do diretório de proteção contra adulteração.

Por que as operações de arquivo continuam sendo bloqueadas ou gerando alertas depois que desativo ou modifico uma regra de proteção contra adulteração?

As possíveis causas incluem:

1. Atraso na ativação da regra: as regras levam até 5 minutos para entrar em vigor após a configuração inicial e até 1 minuto após a modificação. Aguarde a regra entrar em vigor antes de testar.

2. Conflito de prioridade de regra: existe uma regra de bloqueio de prioridade mais alta que não foi substituída.

3. Para permitir processos legítimos (como processos de implantação), configure uma regra Allow. As regras Allow têm prioridade sobre as regras Block e Alert.

Por que o número de alertas de proteção contra adulteração no console difere das notificações por e-mail?

Verifique a configuração de região no canto superior esquerdo do console do Security Center e garanta que ela corresponda à região dos ativos no e-mail de alerta. Após alternar para a região correta, você poderá visualizar os detalhes do alerta correspondente.

A ausência de alertas de proteção contra adulteração significa que os arquivos estão seguros?

Se a configuração da regra não tiver sido alterada e não existirem registros relacionados na lista de alertas, os arquivos estão em estado seguro. Um alerta indica que uma operação anormal foi detectada.

As regras de proteção contra adulteração são geradas automaticamente após uma atualização de versão?

Não. Todas as regras de proteção contra adulteração devem ser configuradas manualmente. O sistema não gera regras automaticamente após uma atualização de versão.

O que devo fazer se cancelar a autorização de proteção contra adulteração de arquivos retornar o erro "none uuid is not online"?

Esse erro ocorre porque o servidor de destino está desligado, o que faz com que o Agente do Security Center fique offline e o UUID se torne irreconhecível. Para resolver isso, ligue temporariamente o servidor afetado. Depois que o status do Agente do Security Center voltar a online, tente novamente a operação de cancelamento de autorização no console para desvincular o servidor com êxito.

O Security Center oferece indenização se um site protegido pela Proteção contra Adulteração da Web for adulterado?

Não. O service de Proteção contra Adulteração da Web do Security Center fornece capacidades de interceptação e alerta que podem bloquear automaticamente operações não autorizadas de gravação ou exclusão. Esta é uma medida técnica de proteção e não constitui um compromisso de indenização de service. Para padrões específicos de indenização, consulte o Acordo de Nível de Service (SLA) do Security Center e suas definições de disponibilidade de service.

O que devo fazer se o processo AliWebGuard ainda estiver em execução após a expiração ou desativação da proteção contra adulteração de arquivos, causando falha na sincronização de arquivos?

Se o console mostrar que a proteção contra adulteração está desativada, mas o processo AliWebGuard ainda estiver em execução, encerre forçosamente o processo no servidor executando kill -9 <AliWebGuard process PID> (observe que o processo pode reiniciar após a reinicialização do servidor). Se você não precisar mais da proteção do Security Center, desinstale completamente o Agente do Security Center acessando a aba Settings > Client Management > Client Uninstallation no console.

O que devo fazer se receber um alerta por SMS ou e-mail sobre um webshell no meu servidor?

Um alerta de webshell significa que seu servidor foi comprometido e um arquivo de backdoor foi carregado. Um invasor pode manipular seu site ou banco de dados. Use o Security Center para colocar o arquivo de backdoor em quarentena e, em seguida, investigue a causa raiz da intrusão para impedir que o invasor explore a mesma vulnerabilidade novamente.

Para investigar vulnerabilidades específicas, adquira o Managed Security Service para consultoria especializada.

Por que o Security Center relata um minerador de criptomoedas, mas a verificação de vírus não o detecta?

As possíveis causas incluem:

1. Arquivo já excluído: o arquivo malicioso pode ter sido limpo por outro software de segurança, excluído manualmente ou autoexcluído pelo malware. Monitore a situação ou marque o alerta como Manually Handled ou Ignore.

2. Processos em memória ou ocultos: alguns processos maliciosos são executados apenas na memória ou sem persistência em disco. Ative a Memory Check durante a verificação ou use o recurso Deep Cleanup.

3. Falso positivo: programas legítimos, como PaddleOCR, podem ser sinalizados. Se confirmar que não há conexões de rede maliciosas, selecione Add to Whitelist ou Ignore.

4. Alerta obsoleto: alertas históricos podem não ser limpos automaticamente após a exclusão do arquivo. Acione a Rescan para atualizar o status.

O que devo fazer se um antivírus local (como o 360) relatar um vírus, mas o Security Center não, ou vice-versa?

1. O antivírus local relata um vírus, mas o Security Center não: isso pode ser um falso positivo do software local, ou o Security Center classificou o arquivo como de baixo risco ou incluído na lista de permissões. Verifique a origem do arquivo. Se confirmado como sua própria aplicação, ignore o alerta no Security Center ou entre em contato com o fornecedor do software.

   Nota

   Softwares antivírus de terceiros podem entrar em conflito com o Agente do Security Center. Adicione o diretório do Agente à lista de permissões do software antivírus local.

2. O Security Center relata um vírus, mas o arquivo local não existe: o arquivo pode ter estado na Lixeira (como $Recycle.Bin) e sido esvaziado, ou excluído por outra ferramenta. Execute uma verificação completa de disco no Virus Detection and Removal do Security Center para sincronizar o status. Se nenhuma ameaça for encontrada, marque o alerta como Manually Handled ou Ignore.

A verificação de vírus afeta o desempenho dos negócios ou processos Java?

1. Uso de recursos: a verificação de vírus usa recursos mínimos de cpu e I/O. O impacto nas operações normais de negócios é mínimo.

2. Mecanismo de processamento: após detectar um vírus, a verificação gera um alerta por padrão. Ela não encerra proativamente processos de negócios nem exclui arquivos, a menos que você execute manualmente a Deep Cleanup ou a Quarantine.

3. Recomendação: para negócios com alta carga, execute verificações fora do horário de pico ou desative a Memory Check para reduzir o consumo de recursos. O processo de verificação não encerra processos como Java, a menos que sejam confirmados como maliciosos e você opte pela remoção.

Como lido com um alerta sobre conexões a endereços maliciosos?

Siga estas etapas:

1. Verifique o Agente: confirme se o Agente do Security Center está online. Se estiver offline, reinstale-o ou reinicie-o.

2. Execute a verificação de vírus: na página Virus Detection and Removal, inicie uma verificação manual para detectar trojans ou arquivos de backdoor que iniciam conexões maliciosas.

3. Investigação de rede: verifique as regras do grupo de segurança e os logs de rede em busca de conexões de saída anormais. Bloqueie endereços IP suspeitos, se necessário.

Vários servidores mostram alertas de vírus ou ransomware ao mesmo tempo. Como investigo a causa e confirmo o escopo da infecção?

Siga estas etapas:

1. Confirme o escopo da infecção: use as informações de alerta do console para identificar quais hosts possuem alertas. Para hosts sem alertas, também recomendamos executar uma verificação de vírus para confirmar que não foram afetados.

2. Investigue a causa raiz: verifique se os servidores afetados usaram o mesmo pacote de implantação, imagem ou modelo de configuração para identificar a source comum da infecção em larga escala.

3. Correção: execute imediatamente uma verificação de vírus em todos os servidores afetados, verifique processos e arquivos anormais e verifique também se seu computador local está infectado, o que poderia causar infecção cruzada.

Após detectar ransomware, como encontro as informações de contato do invasor e recupero os dados?

Siga estas etapas:

1. Os invasores geralmente deixam um arquivo de texto (como README.txt) no diretório raiz do servidor ou em outro local de destaque com informações sobre a demanda de resgate. Recomendamos fazer logon no servidor para verificar isso pessoalmente.

2. Recomendamos fortemente não pagar o resgate. O risco é extremamente alto e a recuperação de dados muitas vezes não é possível mesmo após o pagamento.

3. Se seus dados já foram criptografados, o recurso de verificação de vírus só pode remover o próprio programa de ransomware; ele não consegue descriptografar seus arquivos. Recomendamos entrar em contato com um service profissional de recuperação de dados para tentar a recuperação.

Como lido com uma intrusão de vírus em um ambiente de contêiner e reconstruo os dados afetados?

Siga estas etapas:

1. Use o recurso de verificação de vírus do Security Center para realizar uma limpeza geral da máquina host.

2. Para um contêiner comprometido, faça backup dos dados críticos dentro do contêiner primeiro, depois exclua o contêiner e recrie-o a partir de uma imagem limpa. Evite tentar corrigir o problema diretamente dentro do contêiner infectado, pois isso pode deixar riscos residuais.

O que significa quando uma tarefa de verificação de vírus mostra "Under review"? Preciso tomar alguma atitude?

Quando uma tarefa de verificação de vírus ou status de tratamento de alerta mostra "Under review", significa que o sistema está realizando análise de segurança ou revisão manual em segundo plano. Nenhuma ação é necessária. Se você não receber mais notificações anormais até o dia seguinte, isso geralmente indica que o problema foi resolvido.

O Security Center pode garantir 100% de interceptação de todos os vírus?

Não. O Security Center fornece capacidades contínuas de proteção de host, mas devido à velocidade de evolução das variantes de vírus e à diversidade de técnicas de ataque, não pode garantir 100% de interceptação de todos os vírus. Recomendamos combinar endurecimento de segurança, backups regulares e correção de vulnerabilidades com múltiplas camadas de defesa para melhorar sua postura geral de segurança.

Ativar a proteção contra vírus causa timeout nas conexões ssh do ECS?

Não. Ativar o recurso de proteção contra vírus do Security Center não causa timeouts de conexão ssh. Se as conexões ssh permanecerem normais após ativar a proteção contra vírus enquanto 0.0.0.0/0 é permitido no grupo de segurança, isso descarta a interceptação pelo Security Center como causa. Timeouts de ssh geralmente são causados por problemas de rede, problemas de recuperação de IP ou alta carga no servidor. Recomendamos verificar sua configuração de rede e o status dos recursos do servidor.

Ao coletar logs do Agente do Security Center, devo escolher o modo detalhado ou o modo padrão?

Recomendamos selecionar o Detailed mode para coletar logs do Agente ao solucionar problemas de verificação de vírus (como falhas de verificação ou anomalias do Agente), pois ele fornece informações de depuração mais completas e rastreamentos de pilha de erros para ajudar a identificar a causa raiz. O Standard mode é adequado para monitoramento rotineiro e fornece menos informações.

Baixar um arquivo malicioso ou amostra de trojan para meu computador local causa infecção?

Simplesmente baixar o arquivo geralmente não causa infecção, desde que você não o execute ou abra. Recomendamos excluir o arquivo de amostra prontamente após concluir sua investigação para garantir a segurança.