Todos os produtos
Search

Este produto

    Security Center:Intelligent Host Detection and Response

    Central de documentação

    Security Center:Intelligent Host Detection and Response

    Última atualização: Oct 26, 2026

    O Agentic EDR adiciona um pipeline de detecção de IA além do mecanismo de regras tradicional e usa perfis de host e linhas de base de aprendizado de processos para investigar todos os tipos de alertas do Cloud Security Center e reconstruir cadeias de ataque. Este tópico descreve como criar uma política de análise, gerenciar linhas de base de processos, visualizar e gerenciar perfis de host, alternar modos de proteção e lidar com alertas.

    O que é o Agentic EDR

    O Agentic EDR adiciona um pipeline de detecção de IA que funciona em conjunto com o mecanismo de regras tradicional do Cloud Security Center. Ele utiliza perfis de host e linhas de base de aprendizado de processos para construir os conjuntos de dados necessários para a investigação, fornecendo contexto de negócios e linhas de base de caminhos de execução para a análise de alertas. O sistema analisa e reconstrói cadeias de ataque de forma unificada, tanto para os alertas existentes do Cloud Security Center quanto para os alertas detectados por IA. Ele apresenta os riscos e o processo de ataque nas conclusões da análise, narrativas de ataque, gráficos de relacionamento e linhas do tempo. Além disso, o sistema trata os comportamentos de desvio identificados por meio da comparação com a linha de base como anomalias de menor gravidade. O sistema registra logs de desvio separadamente e envia notificações para que você compreenda e verifique prontamente as alterações nas execuções de processos. Os alertas gerados pelo pipeline de detecção de IA recebem a tag "AI detected" para identificar a origem. Isso ajuda a equipe de segurança a compreender o risco do alerta, o processo de ataque e os objetos relacionados.

    • Capacidades de detecção: O mecanismo de regras tradicional mantém os recursos existentes de Threat Detection. O pipeline de detecção de IA complementa as regras tradicionais com recursos de detecção por IA, e os alertas gerados exibem a tag "AI detected". Ambos os tipos de alerta entram em um único fluxo de trabalho de análise de alertas e reconstrução de cadeias de ataque.

    • Perfil de host: Um perfil de host descreve a função de negócios e o ambiente de execução de um host. O sistema usa o Asset Business Analysis Agent para analisar o software, os services, os processos e as portas de um host. Ele gera uma descrição de negócios, tags de negócios e informações relacionadas. Esses dados explicam qual negócio o host executa e quais services ele roda. O sistema insere o perfil de host na análise de alertas como parte do conjunto de dados de investigação. Isso fornece contexto para julgar se o comportamento em um alerta corresponde ao propósito de negócios do host.

    • Aprendizado de processos: O aprendizado de processos foca em como os processos são iniciados. Ele organiza os caminhos de execução de programas presentes em um host em uma linha de base de aprendizado. Os registros de aprendizado mostram o caminho do processo, o horário da primeira descoberta, a explicação do processo e o resultado da análise. Esses registros ajudam a entender o propósito de um programa e a manter o modelo de negócios. O sistema insere a linha de base de aprendizado de processos na análise de alertas como parte do conjunto de dados de investigação, o que fornece uma referência para o comportamento existente de execução de processos.

    • Comportamento de desvio: O sistema compara as execuções atuais de processos com a linha de base aprendida, identifica comportamentos de execução que fogem do modelo de negócios e gerencia esse comportamento separadamente como uma anomalia de menor gravidade. O comportamento de desvio possui seus próprios logs e notificações. Os logs registram informações como os caminhos do processo e do processo pai, os horários da primeira e da última ocorrência e o número de ocorrências. As notificações lembram de revisar os desvios recém-descobertos. Com base no seu cenário real, você pode visualizar os detalhes, ignorar um registro ou adicionar o comportamento ao modelo de negócios após confirmar que ele faz parte da operação normal.

    • Análise de alertas: O sistema investiga e analisa tanto os outros alertas existentes do Cloud Security Center quanto os alertas gerados pelo novo pipeline de detecção de IA em um fluxo de trabalho unificado. O AI Agent usa o alerta como objeto de análise e insere o perfil de host e a linha de base de aprendizado de processos como conjuntos de dados. Ele combina evidências relacionadas ao alerta, como a linha de comando e a cadeia de processos pai, para analisar o comportamento suspeito e sua legitimidade de negócios. Em seguida, o AI Agent emite a conclusão da análise e a base de suporte. Especificamente, o perfil de host ajuda a entender "qual negócio este host executa", e a linha de base de aprendizado ajuda a entender "quais caminhos de execução de processos este host tinha anteriormente". Juntos, os dois tipos de dados fornecem contexto para a análise de alertas.

    • Reconstrução de cadeia de ataque: A reconstrução da cadeia de ataque abrange todos os tipos de alertas do Cloud Security Center, incluindo os alertas gerados pelo mecanismo de regras tradicional e pelo pipeline de detecção de IA. Ela se concentra nos objetos associados a um alerta, como eventos de logon, processos, arquivos e endereços IP. Uma narrativa de cadeia de ataque, um gráfico de relacionamento e uma linha do tempo apresentam o ponto de entrada do ataque, os comportamentos principais e os objetos relacionados. Por exemplo, uma cadeia de ataque pode conectar "logon SSH → sessão bash → modificação de permissões de execução de arquivo → execução de programa de backdoor → comunicação externa". Isso ajuda a equipe de segurança a entender o que aconteceu antes e depois do alerta e a localizar os estágios principais.image

    Como funciona

    Fluxo de trabalho

    A Detecção e Resposta Inteligente de Host inclui duas fases:

    Fase de aprendizado

    Ao criar uma política de análise, o modelo de IA registra todos os comportamentos de processos no servidor. Durante o período de aprendizado, o sistema não bloqueia nenhum processo. Você pode personalizar a duração do aprendizado na política.

    Fase de proteção

    Após a conclusão do aprendizado, o sistema cria uma lista de permissões com base no comportamento normal de processos aprendido. Quando o servidor executa um processo que não está na lista de permissões, o sistema toma medidas com base no modo de execução atual:

    • Modo Alert (padrão): Gera um alerta ao detectar um processo anômalo e não bloqueia a execução do processo.

    • Modo Block: Bloqueia imediatamente um processo anômalo ao detectá-lo e impede sua execução.

      Aviso

      O modo Block bloqueia diretamente os processos anômalos. Como prática recomendada, verifique se a lista de permissões está completa antes de alternar para o modo Block. Isso evita o bloqueio incorreto de processos de negócios normais.

    Status de execução

    Um servidor apresenta os seguintes status de execução na Detecção e Resposta Inteligente de Host:

    Status

    Descrição

    Ações disponíveis

    Learning

    O modelo está aprendendo o comportamento normal de processos do servidor.

    Host Status, Relearn, Update Profile, Switch Mode

    Alerting

    O modelo terminou o aprendizado e aciona um alerta ao detectar um comportamento anômalo de processos.

    Host Status, Start Incremental Learning, Relearn, Update Profile, Switch Mode

    Enforcing

    O modelo terminou o aprendizado e bloqueia imediatamente o processo ao detectar um comportamento anômalo de processos.

    Host Status, Start Incremental Learning, Relearn, Update Profile, Switch Mode

    Escopo de aplicação

    Ative o Agentic EDR

    Para usar o recurso de Detecção e Resposta Inteligente de Host, compre e ative o Agentic EDR.

    Assinatura

    1. Acesse a página de compra do ou Agentic EDR e configure as seguintes opções:

      • Intelligent Host Detection and Response: Número de cotas de autorização regulares a adquirir.

      • Purchase duration: A duração do service.

        Nota

        (Recomendado) Selecione "Auto-Renewal upon Expiration" para evitar interrupções de negócios causadas pela paralisação ou liberação de recursos ao expirarem. Ao selecionar esta opção, o ciclo de renovação automática passa a ser mensal. A cobrança automática pelo preço em tempo real ocorre antes da instância expirar. Cancele a renovação automática a qualquer momento. Configure ou cancele a renovação automática.

    2. Após concluir a configuração, clique em Buy Now.

    Pagamento conforme o uso

    1. Acesse a página Security Center console - Overview.

    2. Na seção Enable Pay-as-You-Go Service, ative a chave do Agentic EDR.

    Ative e desative a Burstable Protection

    Após a compra do Agentic EDR no modelo de assinatura, a Burstable Protection é ativada por padrão. Também é possível ativar e desativar manualmente a proteção elástica.

    Nota

    Ao ativar a Burstable Protection, se o número de cotas realmente vinculadas exceder as cotas regulares compradas na assinatura, as cotas excedentes serão cobradas pela tarifa de cota de proteção elástica. Para detalhes de faturamento, consulte Faturamento híbrido (proteção elástica).

    1. Acesse Security Center console - Assets - Asset Overview. No canto superior esquerdo da página, selecione a região dos ativos a serem protegidos: Chinese Mainland ou Outside Chinese Mainland.

    2. Na página Overview, acima da seção Subscription, ative a chave Elastic Protection.

    Vincular autorização a servidores

    Vincule uma autorização de cota de EDR a um servidor antes de usar o Agentic EDR para aprendizado e proteção.

    1. Acesse a página Security Center console - Overview.

    2. Abra a página de autorização. A entrada varia dependendo do modo de service comprado.

      • Assinatura ou faturamento híbrido: Na seção Subscription, encontre o Agentic EDR e clique em Management à sua direita.

      • Pagamento conforme o uso: Na seção Enable Pay-as-You-Go Service, encontre o Agentic EDR e clique em Quota Management à sua direita.

    3. Na caixa de diálogo Quota Management, selecione Select Server Location (Chinese Mainland ou Outside Chinese Mainland) e encontre o servidor de destino.

    4. Na coluna Agentic EDR Seat do servidor de destino, ative a chave.

      Importante

      Para vincular automaticamente uma cota de EDR a servidores recém-adicionados, acesse a seção Automatically Add New Servers to Security Center e selecione Automatically Enable Agentic EDR for New Hosts.

    Crie uma política de análise

    Antes de ativar a Detecção e Resposta Inteligente de Host, crie uma política de proteção que defina a duração do aprendizado, o modo de lista de permissões e o escopo de hosts em que a política entra em vigor.

    1. Acesse Security Center console - Protection Settings - Host Protection - Agentic EDR. No canto superior esquerdo da página, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.

    2. Na página de Detecção e Resposta Inteligente de Host, clique em Agentic EDR Settings no canto superior direito.

    3. Na caixa de diálogo Intelligent Host Detection and Response Settings, clique em Create Policy.

    4. Na página Create Policy, configure os seguintes parâmetros:

      Parâmetro

      Descrição

      Policy Name

      Nome personalizado da política. Ajuda a identificar e gerenciar a política posteriormente.

      Learning Duration

      Número de dias que o modelo passa aprendendo após a sua criação. Durante o período de aprendizado, o sistema registra todos os comportamentos de processos.

      Nota

      • Defina o valor como pelo menos 7 dias para cobrir um ciclo de carga de trabalho completo.

      • Se as cargas de trabalho no servidor forem altamente periódicas (por exemplo, uma tarefa agendada que é executada uma vez por semana), defina o valor como 14 dias ou mais.

      Automatic End

      Se nenhum novo comportamento ocorrer por N dias consecutivos, o modelo de análise inteligente encerra automaticamente a fase de aprendizado e entra na fase de proteção (modo Alert por padrão).

      Whitelist Mode

      Método de correspondência da lista de permissões.

      • Process Path (padrão): Corresponde a processos pelo caminho do arquivo.

      • Process Hash: Corresponde a processos pelo valor de hash do arquivo (MD5).

      Profile Generation Cycle

      Ciclo de atualização automática do perfil de host. Valores válidos: Every 12 hours, Every day, Every 3 days ou Every 7 days. Valor padrão: Every day. Ao atingir um ciclo de atualização, o sistema atualiza automaticamente o perfil de host. Também é possível acionar manualmente uma atualização imediata. Para detalhes, consulte View and manage host profiles neste tópico.

      Server Selection

      Escopo de servidores em que a política entra em vigor. É possível selecionar todos os ativos ou filtrar por grupo de ativos. Pesquise servidores por nome, endereço IP público ou endereço IP privado.

    5. Clique em Confirm para concluir a criação da política.

    6. Volte para a página de Detecção e Resposta Inteligente de Host. Na lista de servidores, verifique se o status do servidor é exibido como "Learning".

    Nota

    Após a criação da política, os servidores selecionados entram na fase de aprendizado. Crie a política enquanto as cargas de trabalho estiverem em execução normal, para que o modelo aprenda o conjunto completo de comportamentos normais de processos.

    Reaprender o comportamento de processos

    Quando os processos de negócios em um servidor mudam, reaprenda o comportamento de processos e gere uma nova lista de permissões. Isso evita o bloqueio falso de processos e alertas inválidos. O sistema disponibiliza os dois métodos a seguir:

    Item de comparação

    Start Incremental Learning

    Relearn

    Limites

    Suportado apenas em servidores com status Alerting ou Enforcing. Não disponível em servidores com status Learning.

    Sem limites especiais.

    Método de processamento de dados

    Continua o aprendizado de novos comportamentos de processos com base no modelo existente. Mantém a lista de permissões existente, aprendendo e adicionando apenas novos comportamentos de processos.

    Limpa todos os dados da lista de permissões e reconstrói a linha de base de processos do zero.

    Status do recurso de proteção

    Os modos Block e Alert não entram em vigor.

    Os modos Block e Alert não entram em vigor.

    Casos de uso

    Ajustes menores de carga de trabalho, um pequeno número de novos processos ou services, e iteração e manutenção de rotina.

    Após grandes mudanças nas cargas de trabalho em um servidor (por exemplo, adição de um service ou atualização de software) que tornem o modelo de comportamento de processos existente inaplicável.

    1. Na lista de servidores na página Agentic EDR, na coluna Actions do servidor de destino, clique na seta suspensa à direita de Host Status e, em seguida, selecione Relearn ou Start Incremental Learning.

    2. Após a conclusão da operação, o Status muda para Learning.

      Importante

      Período de Learning: nem o modo Block nem o modo Alert entram em vigor.

    Alternar modos de proteção

    Após a conclusão da fase de aprendizado, o modo de proteção padrão do servidor passa a ser Alert. É possível alternar o modo de proteção.

    Importante

    (Recomendado) Antes de alternar do modo Alert para o modo Block, verifique no Host Status, na página Process Path, se a lista de permissões cobre todos os processos de negócios legítimos. Isso evita bloqueios falsos.

    • Para alternar o modo de um servidor:

      1. Na lista de servidores, localize a coluna Actions do servidor de destino, clique na seta suspensa à direita de Host Status e, em seguida, selecione Switch Mode.

      2. Na caixa de diálogo Switch Mode, selecione o modo Alert ou Block.

      3. Clique em OK para concluir a alternância.

    • Para alternar o modo de vários servidores:

      1. Na lista de servidores na página Agentic EDR, selecione as caixas de seleção dos servidores a serem alterados.

      2. Na área de operação em lote na parte inferior da página, clique em Switch Mode para alternar o modo de proteção em lote.

      3. Na caixa de diálogo Switch Mode, confirme o número de servidores novamente e, em seguida, selecione o modo Alert ou Block.

      4. Clique em OK para concluir a alternância.

    Gerencie linhas de base de processos

    Após a conclusão da fase de aprendizado, o sistema gera uma lista de permissões de comportamento de processos. Visualize, adicione ou exclua caminhos de processos na lista de permissões.

    Visualize a lista de permissões

    1. Na lista de servidores na página Agentic EDR, localize a coluna Actions do servidor de destino e, em seguida, clique em Host Status.

    2. Na aba Process Path, visualize todos os caminhos de processos na lista de permissões do servidor. Filtre a lista por condições como Process Path, First Seen, Process Analysis, Process Tag e Analysis Result.

      Importante

      Process Analysis: Gerado automaticamente por IA. Descreve o propósito e os atributos de segurança do processo. A tag de negócios (por exemplo, "Security product component/Alibaba Cloud Host Intrusion Prevention System (AliHips)") identifica a que o processo pertence.

    Adicionar uma linha de base de processos

    Método

    Modo de Whitelist Mode suportado

    Caso de uso

    Adicionar em massa

    Process Path e Process Hash

    Use este método quando precisar adicionar os mesmos itens confiáveis a vários servidores.

    Adicionar individualmente

    Apenas Process Path

    Use este método apenas quando precisar adicionar um caminho específico para um único servidor.

    Adicionar em massa

    1. Na lista de servidores na página Agentic EDR, selecione um ou mais servidores.

    2. Na área de operações em lote na parte inferior da página, clique em Add Process Behavior.

    3. Na caixa de diálogo que aparece, insira as informações de Process Path ou Process Hash e, em seguida, clique em OK.

    Adicionar individualmente

    1. Na lista de servidores na página Agentic EDR, encontre o servidor de destino. Na coluna Actions, clique em Host Status.

    2. Na aba Process Path, clique em AddProcess Path.

    3. Na caixa de diálogo que aparece, insira o Process Path e, em seguida, clique em OK.

    Exclua uma linha de base de processos

    1. Na lista de servidores na página Agentic EDR, encontre o servidor de destino. Na coluna Actions, clique em Host Status.

    2. Na lista de caminhos de processos na aba Process Path, encontre o caminho de processo de destino. Na coluna Actions, clique em Delete.

    Aviso

    Ao excluir um caminho de processo da lista de permissões, o sistema o identifica como um processo anômalo. O sistema gera um alerta e bloqueia diretamente o processo no modo Block. Proceda com cautela.

    Visualize e gerencie perfis de host

    O Asset Business Analysis Agent gera automaticamente o perfil de host com base no comportamento de processos do host, tags de negócios e informações personalizadas adicionais. O perfil ajuda a entender rapidamente os atributos de negócios do host. O sistema atualiza regularmente o perfil com base no Profile Generation Cycle configurado na política. Também é possível acionar manualmente uma atualização imediata.

    Visualize um perfil de host

    1. Na lista de servidores na página Agentic EDR, encontre o servidor de destino. Na coluna Actions, clique em Host Status.

    2. Na aba Host Profile, visualize as informações de perfil do host, incluindo:

      • Business Tags: Tags de atributos de negócios atribuídas automaticamente pelo sistema ao host (como aplicações Spring Boot).

      • Asset Business Analysis Agent: Descrição do perfil gerada a partir das evidências de negócios de execução do host. Inclui o propósito do host, os processos de negócios executados e a pilha de tecnologia.

      • Host Association Graph:

        • Exibe os relacionamentos entre o host e outros ativos em um gráfico. Selecione um intervalo de tempo, como os últimos 7 dias.

        • Clique em image para alternar para a visualização de lista e ver os detalhes de Similar Hosts e Associated Hosts.

    Configurar informações personalizadas do perfil de host

    1. Na aba Host Profile, clique em Custom Information no canto superior direito.

    2. No campo Custom Information, insira as informações de negócios do host necessárias (por exemplo, "Host de teste de liquidação de pagamentos, foco em processos de banco de dados e conexões de saída anômalas"), até 1000 caracteres.

    3. Clique em Save e salve as informações; o Asset Business Analysis Agent combina as informações personalizadas para gerar um perfil de host mais preciso.

    Atualize o perfil de host

    O sistema atualiza automaticamente o perfil de host com base no ciclo de geração de perfil configurado na política. Caso precise do perfil mais recente imediatamente, acione manualmente uma atualização das seguintes maneiras:

    • Atualizar individualmente:

      • Método 1:

        1. Na coluna Actions do servidor de destino, clique em Host Status.

        2. Na aba Host Profile, clique em Update Now no canto superior direito.

      • Método 2: Na coluna Actions do servidor de destino, clique na seta suspensa à direita de Host Status e, em seguida, selecione Update Profile.

    • Atualizar em massa:

      1. Na lista de servidores na página Agentic EDR, selecione os servidores a serem atualizados.

      2. Na área de operações em lote na parte inferior, clique em Update Profile e atualize-os em lote.

    Visualize e lide com alertas

    Visualize e lide com alertas de desvio

    Se um servidor executar um processo que não está na linha de base de processos, o sistema gera um alerta de segurança. Visualize e trate o alerta no recurso Alerts do Cloud Security Center.

    1. No painel de navegação à esquerda, escolha Detection and Response > Alerts. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

      Nota

      Se o service Agentic SOC estiver ativado, a entrada no painel de navegação à esquerda muda para Agentic SOC > Alerts.

    2. Na aba CWPP, clique no número abaixo de Behavior Deviation para abrir a lista Host Abnormal Behavior Alert.

    3. A página de alertas fornece cartões de estatísticas como distribuição de risco de alertas, tendências de alertas e resultados de convergência de alertas (exibe o número de alertas e o total de eventos após a agregação e convergência de IA). Esses cartões ajudam a entender rapidamente a situação geral dos alertas. Os status dos alertas são os seguintes:

      • Modo Alert: O status do alerta é To Be Handled, e exige intervenção manual para tomada de decisão.

      • Modo Block: O sistema bloqueou automaticamente o processo e o status do alerta é Blocked.

    4. Clique em Ignore ou Add to Business Model na coluna Actions do alerta de destino.

      Item de comparação

      Ignore

      Add to Business Model

      Status atual do alerta

      Muda para "Ignored".

      Nenhuma alteração.

      Se um alerta é gerado novamente

      Alertas continuam sendo gerados. Na próxima execução do mesmo processo, o sistema gerará um novo alerta.

      Nenhum alerta adicional é gerado. Na próxima execução do mesmo processo, o sistema permitirá sua continuidade.

      Alteração na lista de permissões

      Nenhuma alteração.

      O processo é adicionado à linha de base de processos.

      Casos de uso

      Tarefas temporárias e comportamentos suspeitos que requerem monitoramento contínuo.

      O processo é confirmado como atividade normal de negócios e há o desejo de reduzir alertas repetidos.

    Visualize resultados de análise de IA e análise de cadeia de ataque para alertas

    Para alertas de host, o Agentic EDR realiza automaticamente a investigação, a análise e a reconstrução da cadeia de ataque. Nas colunas Investigation & Analysis e Attack Chain Reconstruction na página de lista de alertas, visualize os resultados da análise de IA e o status de reconstrução da cadeia de ataque. Esses resultados ajudam a decidir rapidamente sobre uma ação de correção.

    1. No painel de navegação à esquerda, escolha Detection and Response > Alerts. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

      Nota

      Se o service Agentic SOC estiver ativado, a entrada no painel de navegação à esquerda muda para Agentic SOC > Alerts.

    2. Na lista de alertas na aba CWPP, visualize as colunas Investigation & Analysis e Attack Chain Reconstruction.

      • Investigation & Analysis: Mostra os resultados da análise automática de IA.

        • Resultados da análise: Os seguintes valores estão disponíveis:

          • Confirmed Malicious: A IA determina que o alerta indica atividade maliciosa. Trate o incidente o mais rápido possível seguindo as sugestões de correção.

          • Insufficient Information: As evidências existentes não são suficientes para concluir a análise. Confirme manualmente o resultado com base no relatório de análise do Agent.

          • Observing: O sistema continua monitorando esse comportamento. Nenhuma ação é necessária por enquanto.

          • Likely False Positive: A IA determina que isso pode ser uma atividade normal de negócios. Após a confirmação, adicione-o à lista de permissões.

        • Visualizar e baixar o relatório de análise do Agent: Ao lado do resultado da análise, clique no ícone image para acessar a página de detalhes do relatório de análise do AI Agent. Nessa página, visualize informações geradas a partir dos resultados de investigação e análise, como análise de comportamento principal, comportamento de ataque e relacionamentos de entidades, etapas da cadeia de ataque e indicadores acionáveis. Clique em Download Report e baixe o relatório para o seu dispositivo local.

      • Attack Chain Reconstruction: Exibe o status de reconstrução da cadeia de ataque.

        • O Agentic EDR reconstrói automaticamente a cadeia de ataque com base nos dados do alerta. Após a geração da cadeia de ataque, na coluna Attack Chain Reconstruction, clique no ícone image para acessar a página de detalhes da Alert Attack Chain. Nessa página, visualize informações de nós da cadeia de ataque, como ponto de entrada do ataque, processo de execução e escopo de impacto. Isso ajuda a determinar rapidamente um plano de correção.

        • Se a cadeia de ataque não tiver sido gerada, esta coluna exibe Chain Not Generated.

    Faturamento

    • Assinatura:

      • Método de faturamento: A cobrança é baseada no número de cotas de assentos compradas. Vincular um host consome uma cota de assento.

      • Regras de faturamento: USD 6.876066/cota/mês.

    • Pagamento conforme o uso:

      • Método de faturamento: Medido pelo número de assentos × duração de uso. Vincular um servidor consome uma licença de assento. Servidores sem configuração de política são automaticamente excluídos do faturamento.

      • Ciclo de faturamento: Cobrança por hora e liquidação diária.

      • Preço: USD 0.014325/assento/hora.

    • Faturamento híbrido:

      • Método de faturamento: Baseado no número de licenças de assento compradas. Vincular um servidor consome uma licença de assento.

      • Regras de faturamento: Com a Burstable Protection ativada, se o número real de assentos vinculados exceder as cotas regulares compradas na assinatura, o excedente será cobrado com base no preço de assentos de proteção elástica.

        • Assentos regulares do Agentic EDR: USD 6.876066/assento/mês.

        • Assentos de proteção elástica do Agentic EDR: USD 0.014325/assento/hora.

    Desative e cancele a assinatura do service

    Se o service de EDR não for mais necessário, siga as instruções abaixo de acordo com o método de faturamento.

    Limpeza de dados

    Se o service for desativado, a assinatura da instância do Agentic EDR for cancelada ou a conta apresentar pagamento em atraso, a Detecção e Resposta Inteligente de Host será interrompida imediatamente. Os dados são retidos da seguinte forma:

    Cenário

    Retenção de dados

    Instância de assinatura

    Assinatura cancelada

    • Proteção elástica: A proteção elástica torna-se inválida imediatamente e o faturamento é interrompido. As autorizações e créditos elásticos consumidos naquele dia são cobrados no dia seguinte.

    • Retenção de dados:

      • Políticas e linhas de base retidas: As políticas e linhas de base de host existentes são mantidas, mas deixam de ser atualizadas.

      • Alertas históricos retidos: Os alertas já gerados para comportamento anômalo de host são mantidos, mas nenhum novo alerta é gerado.

    Expirada

    Instância de pagamento conforme o uso

    Desativado

    • Políticas e linhas de base retidas: As políticas e linhas de base de host existentes são mantidas, mas deixam de ser atualizadas.

    • Alertas históricos retidos: Os alertas já gerados para comportamento anômalo de host são mantidos, mas nenhum novo alerta é gerado.

    Pagamento em atraso

    Perguntas frequentes

    • O vencimento de uma instância do Cloud Security Center afeta o Agentic EDR?

      Não. O motivo é o seguinte:

      • Faturamento independente: O Agentic EDR é um módulo de faturamento independente e é cobrado separadamente da instância do Cloud Security Center.

      • Recursos permanecem disponíveis: Contanto que a instância do Agentic EDR ainda esteja dentro do período de validade, é possível usar recursos como aprendizado e vinculação de servidores, mesmo que a instância do Cloud Security Center tenha expirado.

    • Por que a lista de permissões está vazia após a conclusão do aprendizado?

      Uma lista de permissões vazia pode indicar que nenhuma atividade de processo ocorreu no servidor durante o aprendizado. Verifique as seguintes informações. Se tudo estiver correto, clique em Relearn.

      • O servidor está em execução normal e o agente do Cloud Security Center está online.

      • O processo AliHips está em execução correta. Caso contrário, verifique se o sistema operacional e a versão do kernel do servidor atendem aos requisitos de suporte do AliHips.

      • O servidor apresentou tráfego de negócios real durante o aprendizado.

    • Como evito o bloqueio falso de processos de negócios legítimos no modo Block?

      • Antes de alternar para o modo Block, certifique-se de que a duração do aprendizado seja longa o suficiente e de que a lista de permissões cubra todos os processos de negócios legítimos.

      • Primeiro, execute no modo Alert por um período e verifique se algum processo de negócios legítimo é sinalizado falsamente.

      • Se ocorrer um bloqueio falso, adicione o caminho do processo à lista de permissões e execute o Relearn ou o aprendizado incremental.

    • Start Incremental Learning e Relearn: qual é a diferença?

      • Aprendizado incremental: Mantém a lista de permissões existente e aprende apenas o novo comportamento de processos. Essa opção é adequada para ajustes menores de carga de trabalho que adicionam um pequeno número de processos. O risco é baixo e a lista de permissões existente não é afetada.

      • Reaprendizado: Limpa todos os dados existentes e começa a aprender do zero. Essa opção é adequada para grandes mudanças de carga de trabalho em que o modelo original não se aplica mais. O risco é maior.