Todos os produtos
Search

Este produto

    Security Center:CWPP security alerts

    Central de documentação

    Security Center:CWPP security alerts

    Última atualização: Aug 27, 2026

    O Security Center detecta uma ampla variedade de ameaças em seus ativos em tempo real, incluindo violações de integridade web, processos anômalos, webshells, logons incomuns e processos maliciosos. Seus modelos de detecção de ameaças oferecem cobertura abrangente, permitindo identificar rapidamente riscos de segurança e manter uma visão atualizada da sua postura de segurança.

    Visão geral

    Níveis de risco

    O Security Center classifica os alertas em três níveis de risco para ajudar você a priorizar suas respostas.

    Nível de risco

    Descrição

    Ação recomendada

    Urgent

    • Indica atividades muito semelhantes a padrões de ataque conhecidos, capazes de causar danos destrutivos ou persistentes a um ativo, como um reverse shell.

    • Este nível significa que o ativo provavelmente está sob ataque ativo.

    Responda imediatamente. Ações recomendadas: isole o ativo em quarentena, bloqueie conexões de rede suspeitas e preserve a cena do ataque.

    Suspicious

    • Sinaliza atividades potencialmente arriscadas que podem se assemelhar a operações rotineiras, como um processo que adiciona um novo usuário.

    • A atividade também pode ser uma etapa não crítica em uma cadeia de ataque, como uma tentativa de apagar rastros.

    • Este nível indica probabilidade moderada de que o ativo esteja sob ataque.

    Investigação necessária. Verifique se a atividade é uma operação agendada. Em caso afirmativo, adicione o comportamento a uma lista de permissões. Caso contrário, trate-o como um alerta Urgent.

    Reminder

    Refere-se a atividades de ataque não essenciais que se assemelham a operações normais, como um processo escutando em uma porta suspeita.

    Audite e otimize. Utilize esses alertas para identificar configurações em desacordo ou riscos potenciais. Recomendamos revisar e otimizar regularmente suas políticas de segurança. Nenhuma ação imediata é necessária.

    Modelos de detecção de ameaças

    O Security Center utiliza mais de 380 modelos de detecção de ameaças para fornecer uma cobertura abrangente. Esses modelos cobrem etapas essenciais da cadeia de ataque, permitindo detectar todo o ciclo de vida de uma invasão. A lista a seguir apresenta exemplos para cada estágio de detecção:

    Nota

    Na página Alert, clique no ícone 威胁检测模型图标 no canto superior esquerdo para visualizar os modelos de detecção de ameaças fornecidos pelo Security Center.

    • Initial Access: Execução anômala de comandos em aplicações Java e exploração de vulnerabilidades web.

    • Code Execution: Reverse shells e execução de scripts maliciosos.

    • Persistence: Gravações suspeitas em arquivos de certificado de logon sem senha e exploração de instâncias Redis mal configuradas.

    • Privilege Escalation: Exploração de instâncias Redis mal configuradas e execução não autorizada de comandos de alto risco.

    • Defense Evasion: Logons de um usuário RAM a partir de localizações incomuns e execução de programas suspeitos.

    • Credential Access: Logons em uma instância ECS a partir de localizações incomuns e ataques de força bruta bem-sucedidos contra instâncias ECS.

    • Discovery: Acesso suspeito ao OSS e possível varredura de portas sensíveis.

    • Lateral Movement: Worms e conexões de rede suspeitas no Windows.

    • Collection: Varredura de portas e possíveis ataques man-in-the-middle em um service do Kubernetes (CVE-2020-8554).

    • Data Leakage: Requisições para nomes de domínio de ataque out-of-band (OOB) e comunicação suspeita de trojan command-and-control (C2).

    • Remote Control: Programas de trojan e programas backdoor.

    • Impact and Damage: Trojans DDoS e ransomware.

    • Prepare Resources: Trojans com automutação e ferramentas de hacking.

    • Target Discovery: Conexões proativas para fontes de download maliciosas e scanners.

    Limitações

    O Security Center foi projetado para fortalecer a segurança dos ativos por meio de alertas em tempo real, gerenciamento de vulnerabilidades e rastreamento de ataques. No entanto, devido às limitações abaixo, recomendamos adotar uma estratégia de defesa em profundidade para aprimorar a segurança geral:

    • Ativação tardia da defesa: Após a reinicialização de um servidor, o processo de defesa do Security Center leva algum tempo para iniciar. Durante esse intervalo antes da ativação, ataques rápidos, como ransomware e trojans DDoS, não podem ser interceptados eficazmente.

    • Riscos de ameaças desconhecidas: Devido à evolução contínua dos métodos de ciberataque e amostras de vírus, além das diferenças nos ambientes de negócios, o Security Center não garante detecção e defesa em tempo real contra todas as ameaças desconhecidas.

    Para construir uma defesa de segurança mais abrangente, recomendamos combinar o Security Center com as seguintes medidas:

    1. Atualize regularmente os patches de segurança do sistema operacional e das aplicações do servidor.

    2. Utilize products como Cloud Firewall e Web Application Firewall para reduzir a superfície de ataque da rede.

    Processo de tratamento de alertas

    image

    Edições suportadas

    Subscription

    Edição do service

    Escopo de detecção

    Capacidades de tratamento de alertas

    Basic , Value-added Plan

    Detecta ataques comuns baseados em cloud, incluindo webshells tradicionais de linha única, logons de localizações incomuns, trojans com automutação, trojans DDoS e programas de mineração. Esta edição não cobre ativos de contêiner.

    Supressão de alertas: Add to Whitelist, Ignore, etc.

    Anti-virus

    Inclui todos os resources da edição Basic, além de modelos de detecção e defesa precisa para arquivos suspeitos e maliciosos, incluindo binários. Esta edição não cobre ativos de contêiner.

    • Remoção de ameaças: Virus Detection and Removal, Deep Cleanup, Quarantine, etc.

    • Supressão de alertas: Add to Whitelist, Ignore, etc.

    Advanced Edition

    Inclui todos os resources da edição Antivirus, além de modelos de detecção e defesa precisa para atividades de processos suspeitos e maliciosos e operações de arquivos. Esta edição não cobre ativos de contêiner.

    Enterprise

    Inclui todos os resources da edição Advanced, além de mais de 380 modelos de detecção e defesa precisa para todos os tipos de comportamento malicioso, incluindo atividades de processos, operações de arquivos e conexões de rede. Esta edição não cobre ativos de contêiner.

    Ultimate

    Inclui todos os resources da edição Enterprise (cobrindo ativos de contêiner), além de modelos de detecção e defesa proativa para ataques específicos de contêineres, como escapes de contêiner, execução de imagens de risco e inicialização de programas fora da imagem.

    Pay-as-you-go

    Nível de proteção

    Escopo de detecção

    Capacidades de tratamento de alertas

    Unprotected

    Detecta ataques comuns baseados em cloud, incluindo webshells tradicionais de linha única, logons de localizações incomuns, trojans com automutação, trojans DDoS e programas de mineração. Este nível não cobre ativos de contêiner.

    Supressão de alertas: Add to Whitelist, Ignore, etc.

    Antivirus

    Inclui todos os resources do nível Unprotected, além de modelos de detecção e defesa precisa para arquivos suspeitos e maliciosos, incluindo binários. Este nível não cobre ativos de contêiner.

    • Remoção de ameaças: Virus Detection and Removal, Deep Cleanup, Quarantine, etc.

    • Supressão de alertas: Add to Whitelist, Ignore, etc.

    Comprehensive Host Protection

    Inclui todos os resources do nível Antivirus, além de mais de 380 modelos de detecção e defesa precisa para todos os tipos de comportamento malicioso, incluindo atividades de processos, operações de arquivos e conexões de rede. Este nível não cobre ativos de contêiner.

    Hosts and Container Protection

    Inclui todos os resources do nível Comprehensive Host Protection (cobrindo ativos de contêiner), além de modelos de detecção e defesa proativa para ataques específicos de contêineres, como escapes de contêiner, execução de imagens de risco e inicialização de programas fora da imagem.

    Tipos de alertas de segurança

    Tipo

    Descrição

    Network Defense Alert (anteriormente análise de ataques)

    Se você ativar regras em Malicious Behavior Defense for Hosts na categoria Network Threat Prevention e Brute-force Attack Protection for Hosts, o Security Center bloqueará automaticamente os ataques detectados com base nessas regras de proteção e gerará um Network Defense Alert. Para mais informações, consulte Network Defense Alert (formerly attack analysis).

    Importante

    • Para cloud products recém-adquiridos, é necessário aguardar cerca de 3 horas para que o Security Center sincronize os dados de ataque de rede antes que você possa visualizar as informações relacionadas à análise de ataques.

    • Alertas defensivos indicam que os ataques foram bloqueados automaticamente pelo Security Center. Nenhuma ação manual é necessária.

    Precise Defense

    O resource Malicious Host Behavior Prevention gera alertas de Precise Defense com base nas regras de defesa ativadas. Para mais informações sobre Malicious Host Behavior Prevention, consulte Host protection settings.

    Suspicious Process Behavior

    Detecta comportamentos incomuns de processos, como execução de sequências de comandos suspeitos, inicialização a partir de caminhos anormais, injeção de processos e alterações não autorizadas em arquivos ou configurações do sistema.

    Webshell

    Identifica arquivos backdoor de webshell no servidor ou códigos maliciosos injetados em arquivos não executáveis, como logs e imagens.

    Unusual Logon

    Sinaliza logons que não obedecem às políticas predefinidas, ataques de força bruta bem-sucedidos e tentativas de logon a partir de endereços IP maliciosos conhecidos ou contas backdoor.

    Malware

    Detecta vários tipos de malware em execução ou presentes no host, incluindo vírus, trojans, ransomware, programas de mineração e ferramentas de hacking.

    Cloud Service Threat Detection

    Identifica roubo e uso indevido de credenciais de identidade da plataforma cloud, como AccessKey, além de configurações incomuns e sondagem de permissões em resources da cloud.

    Unusual Network Connection

    Detecta diversos comportamentos de rede suspeitos no servidor, como varredura de portas, conexões com fontes maliciosas e reverse shell. Esses comportamentos são sinais típicos de reconhecimento de ataque, controle remoto e movimento lateral.

    Nota

    Este resource não detecta tráfego HTTPS criptografado.

    Malicious Script

    Identifica quando um arquivo de script malicioso ou suspeito é executado no servidor. Isso indica que um invasor comprometeu o sistema e está executando comandos maliciosos.

    Persistent Webshell

    Detecta mecanismos de persistência usados para manter controle de longo prazo, como criação de itens de inicialização automática, backdoors residentes na memória, processos ocultos e exploração de resources avançados do sistema.

    Sensitive File Tampering

    Identifica adulteração de arquivos e configurações principais do sistema (como arquivos de preload de biblioteca compartilhada). Tal adulteração inclui modificar, substituir ou mover arquivos para obter persistência ou burlar a detecção de segurança.

    Anomalia em cluster de contêineres

    Detecta ataques complexos e multifásicos em clusters de contêineres. Esses ataques podem incluir o uso de uma conta de service para escalonamento de privilégios (como criação de tokens incomuns ou vinculação a funções de alto privilégio), movimento lateral (como entrada em um contêiner para executar comandos ou acesso ao Kubelet) e roubo de informações (como enumeração de Secrets).

    Suspicious Account

    Sinaliza a criação ou o uso de uma conta suspeita no sistema.

    Detecção de webshell (varredura local)

    Analisa o comportamento de arquivos para identificar e pontuar arquivos suspeitos.

    EXP

    Detecta ataques que utilizam vulnerabilidades conhecidas no sistema operacional ou em aplicações para alcançar execução remota de código, escalonamento de privilégios ou escape de contêiner.

    Tráfego de rede anormal

    Identifica ataques passados e em andamento analisando o tráfego de rede e correlacionando-o com o comportamento do host.

    Container Escape Prevention

    Em Proactive Defense for Containers, após criar uma regra Container Escape Prevention, se um processo dentro de um contêiner tentar uma operação que viole a regra (como acessar um caminho sensível no host ou tentar escalonar privilégios), o módulo de defesa bloqueará a operação e gerará um alerta de segurança.

    Proactive Defense for Containers

    O Proactive Defense for Containers fornece duas capacidades principais de segurança em tempo de execução e gera alertas de segurança para todos os comportamentos de risco detectados:

    • Non-image Program Defense : Detecta e bloqueia em tempo real programas iniciados em um contêiner que não fazem parte da imagem original. Isso previne eficazmente comportamentos maliciosos, como implantação de trojans.

    • Container File Defense : Monitora arquivos ou diretórios especificados dentro de um contêiner em tempo real e alerta ou bloqueia adulterações maliciosas.

    Risk Image Blocking

    No Proactive Defense for Containers, após criar uma regra Risky Image Blocking, o Security Center realiza verificações de segurança em tempo real nas imagens usadas para criar resources do cluster (como um Pod). Se uma imagem corresponder à regra, o sistema automaticamente alertará, bloqueará ou permitirá seu uso e gerará um alerta de segurança.

    Trusted Exception

    Monitora o status de uma instância confiável do ECS e relata quaisquer anomalias.

    Others

    Status offline inesperado do cliente Security Center, ataque de inundação DDoS, entre outros.

    Verificações de alertas

    Precise Defense

    Alert name

    Description

    DDoS trojan

    Um trojan DDoS é um programa malicioso que executa em um host comprometido e recebe instruções para iniciar ataques DDoS contra um alvo especificado por um invasor.

    ransomware

    Ransomware é um programa malicioso que criptografa arquivos de dados críticos em um host e exige resgate.

    backdoor program

    Um programa backdoor é implantado no sistema de forma persistente e permite que um invasor mantenha acesso contínuo ao host.

    malicious program

    Uma varredura baseada em cloud detectou um programa malicioso.

    infectious virus

    Um vírus infeccioso é um tipo avançado de malware que injeta código malicioso em arquivos de programas legítimos, fazendo com que muitos programas normais sejam infectados e atuem como hosts.

    mining program

    Um programa de mineração usa ilicitamente os recursos de computação do seu servidor para minerar criptomoedas. Essa atividade geralmente causa alto uso de CPU e pode indicar a presença de outros programas maliciosos.

    trojan program

    Um programa trojan se disfarça para infiltrar-se no seu servidor. Quando ativo, ele normalmente baixa e executa outros programas maliciosos.

    worm

    Um worm é um programa malicioso usado para movimentação lateral de um host comprometido, como o seu servidor, para outros hosts. Ele frequentemente se propaga explorando vulnerabilidades e forçando senhas.

    suspicious program

    Um programa suspeito apresenta características de código malicioso ou comportamento suspeito, mas não foi classificado definitivamente como malicioso. Avalie o programa com base nas informações fornecidas no alerta.

    self-mutating trojan

    Um trojan automutante altera seu próprio hash de arquivo ou se copia para vários locais para evitar detecção e remoção.

    malicious IP blocking

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    malicious DNS request blocking

    A Alibaba Cloud Security detectou que sua instância ECS estava se comunicando com um domínio malicioso, o que pode indicar um comprometimento. O recurso Precise Defense bloqueou essa solicitação para proteger seu servidor.

    process behavior blocking

    O Security Center detectou e bloqueou um comando de alto risco, o que pode indicar que um invasor comprometeu seu servidor. O recurso Precise Defense impediu a execução desse comando para proteger seu servidor contra danos.

    malicious disruption of client process

    O Security Center detectou e bloqueou atividades suspeitas destinadas a interromper o agente Server Guard. Esse bloqueio proativo garante que as capacidades de detecção de ameaças permaneçam ativas. Invasores frequentemente tentam desativar medidas de segurança para comprometer um host. Investigue este alerta cuidadosamente e verifique o servidor em busca de outros alertas de segurança, vulnerabilidades de alto risco e senhas fracas. Se você realizou essa ação intencionalmente, ignore este alerta.

    malicious disruption of client file

    O Security Center detectou e bloqueou atividades suspeitas de arquivos destinadas a interromper o agente Server Guard. Esse bloqueio proativo garante que as capacidades de detecção de ameaças permaneçam ativas. Invasores frequentemente tentam desativar medidas de segurança para comprometer um host. Investigue este alerta cuidadosamente e verifique o servidor em busca de outros alertas de segurança, vulnerabilidades de alto risco e senhas fracas. Se você realizou essa ação intencionalmente, ignore este alerta.

    exploit program

    Um programa exploit ataca vulnerabilidades conhecidas em um sistema operacional ou aplicativo. Invasores usam esses programas para escalar privilégios, escapar de containers ou executar código arbitrário.

    bait capture for ransomware protection

    O Security Center usou um arquivo isca predefinido (honeypot) para detectar e bloquear um processo suspeito, provavelmente um ransomware.

    webshell malicious connection blocking

    O Security Center bloqueou uma conexão maliciosa proveniente de um webshell.

    hacking tool

    Ferramentas de hacking são usadas por invasores para escalonamento de privilégios, roubo de dados sensíveis ou desinstalação de software de segurança. Elas também podem ser implantadas como programas backdoor após uma intrusão.

    Windows backdoor account logon session blocking

    O Security Center detectou e bloqueou a tentativa de um invasor de fazer logon neste servidor usando uma conta backdoor.

    process start blocking (custom)

    Este alerta é acionado quando um processo é bloqueado com base em uma regra personalizada. Defina regras nas configurações de defesa proativa para bloquear processos específicos na inicialização adicionando seus hashes de arquivo MD5.

    AntSword webshell communication

    O Security Center detectou uma tentativa de ataque usando a ferramenta AntSword. O recurso Precise Defense bloqueou esta solicitação maliciosa. Este alerta confirma que o ataque foi prevenido e não significa que seu servidor foi comprometido.

    Cknife webshell communication

    O Security Center detectou uma tentativa de ataque usando a ferramenta Cknife. O recurso Precise Defense bloqueou esta solicitação maliciosa. Este alerta confirma que o ataque foi prevenido e não significa que seu servidor foi comprometido.

    rootkit

    Um rootkit é um módulo malicioso implantado em um nível baixo do sistema para ocultar seus próprios rastros ou os rastros de outros programas maliciosos.

    XISE webshell communication

    O Security Center detectou uma tentativa de ataque usando a ferramenta XISE. O recurso Precise Defense bloqueou esta solicitação maliciosa. Este alerta confirma que o ataque foi prevenido e não significa que seu servidor foi comprometido.

    reverse shell

    Um reverse shell é uma técnica usada por invasores para controlar um servidor comprometido. Este alerta é acionado quando um processo (como bash, python, perl, lua, php e telnet) inicia uma conexão de reverse shell.

    unauthorized execution of high-risk commands

    Um invasor escala seus privilégios em um servidor comprometido explorando vulnerabilidades ou configurações incorretas, como a vulnerabilidade Dirty COW ou escalonamento de privilégios sudo.

    webshell command execution

    Um invasor usa uma ferramenta de gerenciamento de webshell, como Cknife, AntSword, Behinder ou Godzilla, para se comunicar com um webshell em um servidor comprometido e executar comandos arbitrários.

    counteracting security software

    Um invasor tenta desativar software de segurança ou excluir configurações de segurança. Exemplos incluem parar o agente Server Guard ou desativar o firewall.

    implanting suspicious files

    Um invasor explora uma vulnerabilidade ou usa uma senha fraca para fazer logon e gravar arquivos suspeitos usando comandos como wget, curl, tar e powershell.

    implanting malicious files

    Um invasor explora uma vulnerabilidade ou usa uma senha fraca para fazer logon e gravar arquivos maliciosos usando comandos como wget, curl, tar e powershell.

    suspicious worm script behavior

    Um invasor explora uma vulnerabilidade ou usa uma senha fraca para fazer logon e implantar um script de worm suspeito. Este alerta é acionado por scripts como bash, python, perl e powershell.

    downloading and running malicious files from the command line

    Um invasor explora uma vulnerabilidade ou usa uma senha fraca para fazer logon, executar comandos remotamente e baixar e implantar arquivos maliciosos. Este alerta é acionado por comandos de download como wget, curl, python e powershell.

    high-risk operation by a web service

    Um invasor explora uma vulnerabilidade web, como uma vulnerabilidade no Confluence ou Exiftool, para executar comandos arbitrários.

    information gathering

    Um programa de serviço executa comandos do host, como whoami, netstat e id, para coletar informações do host e determinar se a execução remota de comandos foi bem-sucedida.

    Cloud Assistant advanced protection

    Um token do Cloud Assistant pode ter vazado ou sido roubado. Esta proteção proíbe o Cloud Assistant de executar comandos arbitrários.

    suspicious network connection

    Um invasor executa um programa malicioso ou usa um programa do sistema para se conectar à rede e receber instruções de um servidor de comando e controle. Esse comportamento está associado a DDoS, programas de mineração e reverse shells.

    obfuscated command

    Um invasor criptografa, codifica ou manipula de outra forma comandos do host para contornar a proteção antivírus. Exemplos de manipulação incluem o uso de base64 ou outros métodos de codificação.

    PowerShell high-risk command execution

    Um invasor usa o componente PowerShell do sistema para executar comandos maliciosos, como baixar ou executar um payload.

    PowerShell suspicious command execution

    Um invasor usa o componente PowerShell do sistema para executar comandos maliciosos, como baixar ou executar um payload.

    high-risk operation by a browser service

    Um invasor usa um serviço de entrada para realizar operações maliciosas, como baixar ou executar remotamente um payload usando um componente confiável do sistema.

    suspicious operation by an entry service

    Um invasor usa um serviço de entrada para realizar operações maliciosas, como baixar ou executar remotamente um payload usando um componente confiável do sistema.

    high-risk operation by a system process

    Um invasor usa um serviço de entrada para realizar operações maliciosas, como baixar ou executar remotamente um payload usando um componente confiável do sistema.

    high-risk operation by a Java service

    Um invasor usa um serviço de entrada para realizar operações maliciosas, como baixar ou executar remotamente um payload usando um componente confiável do sistema.

    high-risk operation by an Office component

    Um invasor usa um serviço de entrada para realizar operações maliciosas, como baixar ou executar remotamente um payload usando um componente confiável do sistema.

    loading a high-risk driver

    Um vírus, trojan ou ferramenta de hacking tenta contornar a proteção antivírus carregando um módulo de driver.

    high-risk account manipulation behavior

    Um invasor realiza operações não autorizadas em contas para obter persistência.

    malicious command execution

    Um invasor chama ferramentas do sistema para executar comandos ou scripts visando realizar diversos comportamentos maliciosos.

    suspicious process startup

    Foi detectada a inicialização de um processo por um suspected vírus ou trojan.

    system backup deletion behavior

    Foi detectado um ransomware excluindo backups do sistema para impedir a restauração de dados.

    internal network scan

    Um invasor expande o escopo de uma intrusão verificando fraquezas em ativos da rede interna ou tentando fazer logon com a mesma senha. Isso inclui atividades como ataques de força bruta, pulverização de senhas e varredura de vulnerabilidades web.

    creating a service auto-start item

    Um vírus cria um item de inicialização persistente usando o registro, tarefas agendadas ou serviços.

    creating a high-risk auto-start item

    Um vírus cria um item de inicialização persistente usando o registro, tarefas agendadas ou serviços.

    creating a scheduled task auto-start item

    Um vírus cria um item de inicialização persistente usando o registro, tarefas agendadas ou serviços.

    creating a registry auto-start item

    Um vírus cria um item de inicialização persistente usando o registro, tarefas agendadas ou serviços.

    creating a WMI auto-start item

    Um vírus cria um item de inicialização persistente usando o registro, tarefas agendadas ou serviços.

    clearing intrusion traces

    Um invasor tenta destruir rastros de intrusão excluindo dados como logs do sistema e registros de execução de comandos.

    high-risk credential theft behavior

    Um invasor tenta roubar credenciais de logon usando ferramentas de roubo de credenciais, como Mimikatz.

    HashDump attack

    Um invasor usa ferramentas de dump de memória, como Procdump, para acessar o processo Local Security Authority (LSA) e obter dados de credenciais.

    hijacking a dynamic-link library

    O Security Center detectou que um programa do sistema carregou uma biblioteca de vínculo dinâmico (DLL) suspeita, sugerindo uma tentativa de sequestrar funções do sistema. Esse comportamento foi bloqueado. Se você acredita que esta ação foi um falso positivo, desative o conjunto de regras "Hijacking a dynamic-link library" na página Proactive Defense - Malicious Behavior Defense ou remova a máquina afetada da sua lista de hosts gerenciados.

    Cknife webshell communication

    O Security Center detectou uma tentativa de ataque usando a ferramenta Cknife. O recurso Precise Defense bloqueou esta solicitação maliciosa. Este alerta confirma que o ataque foi prevenido e não significa que seu servidor foi comprometido.

    Behinder webshell communication

    Um invasor usa uma ferramenta de gerenciamento de webshell, como Cknife, AntSword, Behinder ou Godzilla, para se comunicar com um webshell em um servidor comprometido e executar comandos arbitrários.

    Godzilla webshell communication

    Um invasor usa uma ferramenta de gerenciamento de webshell, como Cknife, AntSword, Behinder ou Godzilla, para se comunicar com um webshell em um servidor comprometido e executar comandos arbitrários.

    sensitive registry key protection

    Proteção para chaves de registro sensíveis, incluindo defesa para itens de inicialização persistente, itens de configuração de política de grupo, itens de configuração de segurança do sistema e sequestro de Image File Execution Options.

    process injection protection

    Um invasor injeta código malicioso em um processo legítimo para contornar detecção e defesa. Um exemplo é a injeção ptrace.

    proxy tool

    Ferramentas de proxy são usadas por invasores para operações como proxy e tunelamento, frequentemente para facilitar novas intrusões no servidor.

    Cloud Assistant service information gathering

    O serviço Cloud Assistant executa comandos do host, como whoami, netstat e id, para coletar informações do host e determinar se a execução remota de comandos foi bem-sucedida.

    LSA security authority service protection

    O Local Security Authority Subsystem Service (LSASS) é o processo responsável por impor a política de segurança no sistema operacional. Invasores podem comprometer a segurança lendo ou gravando na memória do processo LSASS. Esta regra impede que outros processos acessem o processo LSASS com permissões de leitura ou gravação. Nota: Este é um recurso de reforço de segurança que bloqueia tentativas por padrão e não gera alertas. Se sua carga de trabalho exigir acesso de leitura ou gravação à memória do processo LSASS, desative esta regra de proteção.

    entry service implants suspicious script or binary file

    Foi detectado um serviço de banco de dados, web ou outro serviço implantando um script suspeito ou arquivo binário.

    entry service executes suspicious behavior sequence

    Um invasor usa um serviço de entrada para realizar uma série de operações maliciosas, como executar comandos de download, ler e gravar arquivos e coletar informações, tudo sob o mesmo processo pai.

    adaptive webshell communication blocking

    O modelo de detecção encontrou tráfego de comunicação de webshell malicioso no seu servidor, que um invasor poderia usar para controle remoto. O Precise Defense bloqueou com sucesso esta solicitação de rede para evitar possíveis danos.

    webshell upload

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    scanner

    Scanners são frequentemente usados por invasores para descobrir hosts ativos, portas abertas e hosts com riscos de segurança, como vulnerabilidades e senhas fracas, muitas vezes para facilitar novas intrusões.

    Java general RCE vulnerability blocking

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    adaptive web attack defense

    O Security Center usa um mecanismo inteligente de análise baseado em cloud para identificar e bloquear automaticamente vários ataques de execução remota de código (RCE) web, impedindo que solicitações maliciosas danifiquem seu servidor. Se você acredita que este bloqueio foi um falso positivo, desative a regra correspondente na página Proactive Defense - Malicious Behavior Defense ou remova a máquina afetada da sua lista de hosts gerenciados.

    downloader trojan

    Um trojan downloader normalmente baixa e executa programas de terceiros, como trojans maliciosos e adware.

    host defense link test

    Este alerta serve para testar se o link de defesa do host está efetivo.

    database service information gathering

    Um programa de serviço de banco de dados executa comandos do host, como whoami, netstat e id, para coletar informações do host e determinar se a execução remota de comandos foi bem-sucedida.

    Alibaba Cloud Security process protection

    Proteção contra acesso anormal aos processos da Alibaba Cloud Security.

    webshell file defense

    O Security Center encontrou um webshell no seu servidor e detectou uma tentativa de usá-lo. O módulo de defesa identificou e bloqueou esse comportamento. Nota: Embora essa tentativa tenha sido bloqueada, você deve colocar em quarentena ou excluir manualmente o próprio arquivo webshell. Para adicionar este arquivo a uma lista de permissões, acesse Protection Configuration > Host Protection > Host Rule Management > Custom Defense Rules e crie uma nova regra para o caminho do arquivo. Para desativar este recurso, acesse Protection Configuration > Host Protection > Host Rule Management > System Defense Rules > Webshell File Defense e desative-o.

    SQL Server brute-force attack

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    PHP webshell upload

    Um invasor usa o recurso de upload de arquivos para enviar um webshell PHP. O Security Center bloqueia o upload de arquivos com extensões .php e .phtml.

    JSP webshell upload

    Um invasor usa o recurso de upload de arquivos para enviar um webshell JSP. O Security Center bloqueia o upload de arquivos com extensão .jsp.

    ASP webshell upload

    Um invasor usa o recurso de upload de arquivos para enviar um webshell ASP. O Security Center bloqueia o upload de arquivos com extensões .asp, .ashx, .asa, .asmx e .cshtml.

    webshell upload with special extension

    Um invasor usa o recurso de upload de arquivos para enviar um webshell com extensão especial. O Security Center bloqueia o upload de arquivos com extensões .cer e .ascx.

    operating system account behavior

    Este conjunto de regras bloqueia comportamentos de contas do sistema operacional no nível do kernel. Ele está desativado por padrão. Avalie suas necessidades de segurança e ative-o se necessário.

    webshell upload intelligent defense

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    suspicious file upload via interface

    Um invasor usa certas interfaces para enviar um webshell suspeito. O Security Center bloqueia o recurso de upload dessas interfaces.

    information-stealing tool

    Ferramentas de roubo de informações são frequentemente usadas para roubar arquivos e informações sensíveis de um host.

    system persistent process access protection

    Processos e serviços persistentes do sistema executam as funções principais do sistema. Invasores frequentemente acessam processos do sistema com permissões de alto risco para realizar ações maliciosas. Esta regra de proteção proíbe qualquer processo de acessar processos persistentes do sistema com permissões de alto risco, incluindo permissões para criação de threads, cópia de handles e operações de memória. Nota: Este é um recurso de reforço de segurança que bloqueia tentativas por padrão e não gera alertas. Se sua carga de trabalho exigir acesso a processos persistentes do sistema, desative esta regra de proteção.

    RDP brute-force attack

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    SSH brute-force attack

    O Security Center detectou uma tentativa de ataque contra o seu servidor. O recurso Precise Defense bloqueou a solicitação maliciosa, evitando possíveis danos. Este alerta confirma que o ataque foi interrompido e não significa que seu servidor foi comprometido.

    malicious driver

    Um invasor instala um rootkit instalando ou compilando código malicioso, ou carregando arquivos de driver como .ko ou .sys.

    ransomware

    Ransomware é um programa malicioso que criptografa arquivos de dados críticos em um host e exige resgate.

    non-trusted process startup

    A inicialização de um processo que não está na lista de permissões foi bloqueada.

    anomalous startup of a non-trusted process chain

    A inicialização de um processo anômalo em uma cadeia de processos não confiáveis foi bloqueada.

    high-risk network operation by a non-trusted process

    Um processo que não está na lista de permissões foi bloqueado de acessar anormalmente endereços IP públicos ou internos.

    high-risk file operation by a non-trusted process

    Uma operação de alto risco por um processo que não está na lista de permissões foi bloqueada. Um exemplo é a modificação anômala de documentos do Office ou arquivos críticos de configuração do sistema.

    network request blocking

    Uma solicitação de rede anômala foi detectada e bloqueada pelo recurso Precise Defense para evitar danos ao seu servidor. Este alerta não significa que seu servidor foi comprometido.

    Suspicious Process Behavior

    Nome do alerta

    Descrição

    Reverse shell

    O Security Center detectou a execução de um comando de reverse shell no seu server. Atacantes utilizam essa técnica para estabelecer uma conexão de rede reversa com o próprio server, o que permite a execução de comandos arbitrários.

    Execução anômala de comando em aplicação Java

    Este alerta indica que um processo Java no seu server iniciou um comportamento de alto risco, como baixar programas maliciosos ou adicionar um backdoor. Essa atividade geralmente resulta de uma vulnerability em um framework web ou middleware.

    Execução anômala de comando no MySQL

    Este alerta sinaliza que o serviço MySQL executou um comando suspeito. A causa pode ser uma weak password no serviço MySQL ou uma vulnerability de SQL injection em um serviço web.

    Execução anômala de comando em aplicação PostgreSQL

    Este alerta sinaliza que o serviço PostgreSQL executou um comando suspeito. A causa pode ser uma weak password no serviço PostgreSQL ou uma vulnerability de SQL injection em um serviço web.

    Exploração devido a configuração incorreta do Redis

    Este alerta é acionado quando a aplicação Redis no seu server grava um arquivo suspeito em disco. Isso pode indicar que um atacante explorou uma senha em branco ou uma weak password para executar comandos maliciosos, possivelmente obtendo controle direto do server.

    Gravação suspeita de certificado de logon sem senha

    O Alibaba Cloud Security detectou uma alteração anômala de arquivo em um diretório relacionado a certificados raiz. Isso pode indicar que um atacante está tentando injetar um certificado sem senha no server para futuros ataques de logon.

    Vazamento suspeito de informações via túnel HTTP

    Este alerta indica que o Security Center detectou uma atividade em que a saída de um comando foi enviada para um server externo por um canal HTTP. Isso pode significar que um atacante está exfiltrando os resultados de um comando executado por meio de uma vulnerability de execução remota de código (RCE).

    Arquivo de biblioteca UDF suspeito gravado pelo uso indevido da função de exportação do PostgreSQL

    Este alerta indica que a aplicação PostgreSQL no seu server tentou gravar um arquivo de objeto compartilhado (.so) suspeito em disco. Isso pode indicar que um atacante explorou uma weak password para fazer logon e executar SQL malicioso. Um ataque bem-sucedido pode dar ao atacante o controle do seu server.

    Arquivo suspeito gravado pelo uso indevido da função de exportação do MySQL

    Este alerta indica que a aplicação MySQL no seu server tentou gravar um arquivo em um diretório sensível. Isso pode indicar que um atacante explorou uma weak password ou uma vulnerability em uma aplicação web para executar SQL malicioso.

    Sequência suspeita de comandos CMD

    Este alerta é acionado quando um processo no sistema executa uma sequência de comandos suspeitos que se assemelha muito aos padrões usados por atacantes após um comprometimento. Recomendamos investigar o parent process, que pode ser um remote control trojan, um serviço web vulnerável ou um processo legítimo injetado com código malicioso.

    Operação anômala em conta Windows

    Este alerta indica que um comando suspeito foi executado no contexto de uma conta do sistema operacional. Isso pode ser resultado de malware ou de um atacante realizando operações não autorizadas na conta de usuário.

    Operação suspeita de script

    Este alerta indica que um comando altamente suspeito, relacionado a script, foi executado no sistema. Essa atividade provavelmente está associada a malware ou a uma violação de segurança.

    Operação anômala no registro

    Este alerta indica que um comando modificou o registry de maneira altamente suspeita. Pode ser uma alteração de configuração feita por malware ou por um atacante após uma intrusão.

    Execução suspeita de comando

    Este alerta indica que a linha de comando de um processo executado no seu server é altamente suspeita e provavelmente relacionada a um trojan, virus ou atividade maliciosa de atacante.

    Comando ofuscado suspeito no Windows

    Este alerta é acionado quando uma linha de comando executada no host está ofuscada. Atacantes e malware frequentemente usam variações de maiúsculas/minúsculas ou caracteres especiais para ofuscar linhas de comando e burlar a detecção de segurança.

    Caminho de processo suspeito

    Este alerta indica que um processo no seu server foi iniciado a partir de um caminho incomum. Softwares legítimos normalmente não ficam nesses diretórios, o que sugere que o processo pode ser um virus, um trojan ou uma ferramenta colocada por um atacante.

    Comando codificado suspeito

    Este alerta indica que a linha de comando de um processo executado no seu server é altamente suspeita e provavelmente relacionada a um trojan, virus ou atividade maliciosa de atacante.

    Sequência suspeita de comandos no Linux

    Este alerta é acionado quando um processo no sistema executa uma série de comandos suspeitos que se assemelha muito aos padrões usados por atacantes após um comprometimento. Recomendamos investigar o parent process, que pode ser um reverse shell, um remote control trojan, um serviço web vulnerável ou um processo legítimo injetado com código malicioso.

    Exclusão anômala de logs do sistema

    Este alerta indica que um processo no sistema tentou excluir system logs. Atacantes e malware frequentemente limpam system logs para evitar detecção.

    Exclusão anômala de backups do sistema

    Este alerta indica que um processo no sistema tentou excluir arquivos de backup do sistema. Pode ser uma ação de ransomware para impedir a restauração de arquivos e garantir o pagamento do resgate.

    Modificação anômala da configuração de segurança do sistema

    Este alerta indica que um processo no sistema modificou a configuração de segurança do sistema. Pode ser malware ou um atacante alterando configurações de firewall ou software antivírus para evitar detecção.

    Chamada anômala para ferramenta do sistema

    Este alerta indica que um processo no sistema chamou uma ferramenta do sistema de maneira suspeita. Trojans, vírus ou atacantes costumam usar esse método para burlar softwares de segurança convencionais e realizar ações maliciosas, como baixar arquivos, criptografar dados ou carregar código malicioso.

    Modificação anômala de item de inicialização

    Este alerta indica que um processo no sistema tentou modificar um startup item do sistema. Pode ser um trojan, virus ou um atacante usando um startup item para manter persistence.

    Comando de sondagem suspeito

    Este alerta indica que um comando tipicamente usado para reconhecimento foi executado. Atacantes usam comandos de sondagem para coletar informações sobre o ambiente do sistema, configuração de rede ou serviços em execução.

    Execução suspeita de comando dentro de container

    Este alerta indica execução anômala de comando dentro do seu container, o que sugere uma possível intrusão.

    Execução de imagem de container maliciosa

    Este alerta indica que seu server está executando uma container image maliciosa. É muito provável que essa imagem contenha um backdoor, programa de mineração, virus ou vulnerability grave conhecida. Investigue imediatamente e use fontes de imagem confiáveis.

    Escalonamento de privilégios ou escape dentro de container

    O Security Center detectou comportamento suspeito dentro de um container, como tentativa de privilege escalation ou container escape. Técnicas comuns incluem acessar docker.sock, usar ferramentas de escape ou criar cgroups. Essa atividade também pode fazer parte de uma operação legítima. Se for uma operação autorizada, ignore o alerta ou marque-o como false positive.

    Inicialização de container privilegiado

    Este alerta indica que um privileged container suspeito foi iniciado no seu server. Um privileged container enfraquece a segurança de tempo de execução e, se comprometido, pode colocar em risco outros containers e ativos no host. Certifique-se de que seu privileged container usa uma fonte de imagem confiável e que seus serviços em execução são seguros.

    Interface de depuração remota Docker arriscada

    Este alerta indica que sua interface de depuração remota Docker está exposta em 0.0.0.0. Uma interface exposta à internet pública pode ser rapidamente comprometida por um worm. Mesmo uma interface exposta internamente apresenta risco, pois atacantes frequentemente usam tais configurações incorretas para lateral movement e controlar recursos adicionais de container após uma violação inicial.

    Suspeita de escalonamento de privilégios

    Este alerta indica que um processo no seu server provavelmente está explorando uma vulnerability do sistema ou aplicação para obter privilégios mais altos. Pode ser uma tentativa de privilege escalation por um atacante durante uma intrusão.

    Comportamento anômalo de container

    O Security Center detectou operações manuais dentro do seu container, como instalação de software, execução de scripts ou sondagem do ambiente do container. Essa é uma tática comum para lateral movement e privilege escalation após o comprometimento de um container, mas também pode fazer parte de uma operação legítima. Se você determinar que este alerta é um false positive, selecione "Add to whitelist" ou "Ignore" na página de tratamento de alertas.

    Container iniciando comportamento de varredura de rede

    Este alerta indica que seu container iniciou um comportamento suspeito de varredura de rede. Pode ser um método usado por um atacante para maior penetração e lateral movement.

    Coleta de informações de credenciais dentro de container

    Este alerta indica que foi detectado acesso a arquivos sensíveis dentro do seu container. Esses arquivos podem incluir configurações para Docker, Swarm ou Kubernetes; configurações de conexão de banco de dados; credenciais de logon; um AccessKey; certificados e arquivos de private key. Verifique imediatamente se houve intrusão e o risco de violação de dados.

    Operação de container de alto risco

    Este alerta indica que seu server está realizando uma operação de container de alto risco. Consulte os detalhes do alerta para saber o motivo específico. Investigue esse comportamento. Se for uma operação legítima, ignore o alerta ou marque-o como false positive.

    Adulteração de horário de arquivo

    Este alerta indica que um processo no seu server tentou adulterar o carimbo de data/hora de um arquivo. Atacantes podem usar essa técnica para falsificar os horários reais de criação, acesso ou modificação de um arquivo malicioso, evitando a detecção ao imitar os carimbos de data/hora de arquivos normais do sistema.

    Comportamento de encaminhamento de proxy de rede

    Este alerta indica que seu server chamou uma ferramenta arriscada. Tais ferramentas são usadas por atacantes para proxy, tunelamento e varredura como parte de novas intrusões.

    Disfarce de container de sistema Kubernetes

    O Security Center detectou que um comando Docker foi executado no seu server para iniciar um container disfarçado de serviço interno do Kubernetes. Essa é uma tática comum usada por atacantes para ocultar um container de backdoor, nomeando-o como um container interno legítimo do Kubernetes.

    Operação manual sensível dentro de container

    O Security Center detectou operações manuais dentro do seu container, como instalação de software, execução de scripts ou sondagem do ambiente do container. Isso ocorre frequentemente quando um atacante precisa enriquecer o ambiente do container para lateral movement após um comprometimento. Também pode ocorrer durante testes. Confirme se a ação é autorizada. Se a operação for legítima, adicione uma regra à whitelist para suprimir este alerta.

    Sequência suspeita de comandos de sondagem em ambiente de container

    O Security Center detectou uma sequência de comandos suspeitos executados em um ambiente de container. Isso é comum quando um atacante, após obter acesso ao container, sonda o ambiente do host, informações do cluster ou condições de container escape para alcançar privilege escalation e lateral movement. Como essas ações são sutis, elas também podem fazer parte de uma operação legítima. Investigue se o acesso e as ações do endereço IP de origem fazem parte de uma operação normal.

    Comando de worm

    Este alerta é acionado quando um comando associado a um worm é executado. Worms usam tais comandos para se autorreplicar e se espalhar para outros sistemas.

    Comportamento de exploração de ferramenta de penetração

    Este alerta indica que foi detectado comportamento associado ao uso de uma ferramenta de teste de penetração. Embora essas ferramentas possam ser usadas para testes de segurança legítimos, seu uso não autorizado pode indicar um ataque.

    Chamada de ferramenta de varredura

    Este alerta indica que uma ferramenta de varredura de rede ou de vulnerability foi chamada. Essa é uma técnica de reconhecimento comum usada por atacantes para descobrir fraquezas em um sistema.

    Inicialização de imagem suspeita

    O Security Center descobriu que seu server iniciou um container a partir de uma imagem suspeita. Isso é comum quando um atacante explora uma vulnerability de serviço para agendar um container e implantar uma imagem maliciosa para mineração ou criação de backdoor. Investigue imediatamente. Se for legítimo, ignore o alerta ou marque-o como false positive. O Security Center mantém uma biblioteca de inteligência de imagens maliciosas analisando repositórios públicos e monitorando como imagens maliciosas se espalham na cloud. Use o recurso Image Scan para verificar vulnerabilidades e arquivos maliciosos nas imagens.

    Instrução PowerShell suspeita

    Atacantes frequentemente usam PowerShell para atividades maliciosas, como baixar arquivos, executar malware sem arquivo ou criar um reverse shell.

    Comportamento suspeito de implantação de arquivo

    Este alerta é acionado quando um arquivo suspeito é criado ou gravado em disco. Isso pode indicar que um atacante comprometeu o sistema e está implantando malware ou outras ferramentas.

    Despejo de memória LSASS

    Este alerta indica que malware, como Mimikatz, foi detectado em execução no seu server. Esse tipo de ferramenta pode extrair hashes de contas do processo Local Security Authority Subsystem Service (LSASS), o que pode levar ao comprometimento de credential.

    Extração de credenciais de identidade do sistema operacional

    Este alerta é acionado quando é detectada atividade associada à extração de credenciais do sistema operacional, como hashes de senha ou tickets Kerberos. Atacantes usam essa técnica para escalar privilégios ou mover-se lateralmente dentro de uma rede.

    Sequência suspeita de comportamento de processo

    Este alerta é acionado quando um processo inicia vários processos filhos suspeitos. Isso pode indicar que um serviço de aplicação vulnerável foi comprometido ou que o próprio parent process é malicioso.

    Execução de arquivo carregado dinamicamente da memória

    Este alerta indica que um arquivo foi carregado dinamicamente da memória e executado. Essa técnica "sem arquivo" é frequentemente usada por malware para evitar a detecção por scanners tradicionais baseados em arquivos.

    Suspeita de injeção de processo

    Um processo injetou código em outro processo. Atacantes usam essa técnica para burlar a detecção, escalar privilégios ou acessar informações sensíveis na memória.

    Recomendamos tomar as seguintes medidas:

    1. Examine os arquivos dos processos de origem e de destino. Se não forem legítimos, encerre os processos e coloque os arquivos em quarentena. Se forem legítimos, reinicie ou encerre os processos caso não haja impacto nos seus serviços.

    2. Correlacione este alerta com outros alertas no mesmo sistema para avaliar o impacto potencial da intrusão e tomar medidas adicionais.

    3. Analise a causa da intrusão e corrija a vulnerability de segurança relevante.

    Aplicação web cria processo filho anômalo

    Este alerta indica que uma aplicação web criou um processo filho incomum. Aplicações web legítimas normalmente não geram shells ou outros processos inesperados. Esse comportamento pode indicar uma exploração bem-sucedida de execução remota de código.

    Suspeita de ataque lateral na rede interna

    Este alerta indica comportamento consistente com lateral movement dentro da sua rede interna, como tentativas de conexão a outros hosts usando credenciais roubadas ou explorações de serviços de rede. Isso geralmente ocorre após um comprometimento inicial.

    Comportamento de criação de backdoor persistente

    Este alerta é acionado quando o Security Center detecta a criação de um mecanismo de persistence, como um novo serviço, scheduled task ou chave de registry, comumente usado para manter acesso a um sistema comprometido.

    Comportamento de inicialização de backdoor persistente

    Este alerta é acionado quando um mecanismo de persistence conhecido ou suspeito é ativado. Isso indica que um backdoor estabelecido anteriormente está agora em execução.

    Ofuscação de linha de comando de processo

    Este alerta indica que a linha de comando de um processo no host contém codificação ofuscada, o que sugere que um programa malicioso ou um atacante está tentando burlar a detecção de segurança.

    Coleta de informações do ambiente cloud

    Este alerta indica que comandos foram usados para coletar informações sobre o ambiente cloud, como metadados de instância, dados do usuário ou credenciais de função IAM. Atacantes realizam esse reconhecimento para entender o ambiente e identificar novos alvos.

    Execução de tarefa agendada anômala

    Este alerta indica que o componente de scheduled task do sistema criou um processo suspeito. Pode ser o resultado de um programa malicioso ou de um atacante adicionando código malicioso a uma scheduled task para manter persistence após obter acesso ao host.

    Backdoor SSH

    Foi detectado um processo de backdoor relacionado ao Secure Shell (SSH). Após obter acesso a um host Linux, um atacante ou programa malicioso pode modificar arquivos ou configurações relacionados ao SSH para criar um backdoor de logon.

    Backdoor de extensão de editor

    Foi encontrado um backdoor suspeito relacionado a uma extension de editor. Programas maliciosos ou atacantes podem usar a funcionalidade de extension de um editor normal para ocultar um backdoor.

    Suspeita de escape por adulteração de arquivo

    O Security Center detectou uma tentativa de abrir um arquivo importante no modo de escrita. Essa técnica é frequentemente usada para escapar de um container para o host adulterando o arquivo. Investigue o processo, o arquivo acessado e os atributos de abertura do arquivo para determinar se esta é uma operação legítima. Se a operação for legítima, ignore o alerta ou marque-o como false positive.

    Solicitação de domínio de ataque out-of-band (OOB)

    Foi detectado um processo no host solicitando um nome de domínio comumente usado para exfiltração de dados em um out-of-band (OOB) attack. Atacantes frequentemente especificam em um payload para solicitar um domínio alvo após a exploração bem-sucedida. Eles então monitoram solicitações DNS para esse domínio para confirmar um ataque bem-sucedido.

    Comportamento anômalo de criação de shell pseudo-terminal

    Este alerta é acionado pela criação de um shell pseudo-terminal (PTY) anômalo. Embora PTYs sejam usados para sessões interativas legítimas, sua criação inesperada por um serviço web ou processo não interativo pode indicar um reverse shell ou backdoor.

    Acesso a domínio suspeito de pool de mineração

    Foi detectado um processo no host solicitando um domínio suspeito de mining pool. Isso pode indicar que o sistema está se comunicando com um mining pool. Investigue a atividade de mineração com base no alerta e nas ações recomendadas.

    Inicialização de programa de escape de container

    A API usermode-helper é um mecanismo do kernel Linux para chamar um programa do espaço do usuário especificado pelo usuário (por exemplo, um programa especificado em arquivos como /proc/sys/kernel/core_pattern). Quando executado, esse programa roda com privilégios de root do host. Esse mecanismo normalmente não deve ser usado em um container. Portanto, quando um programa dentro de um container é chamado pelo kernel do host, isso geralmente indica um container escape.

    Adulteração de token Windows para escalonamento de privilégios

    Este alerta indica uma tentativa de adulterar um token de acesso Windows. Atacantes usam essa técnica para representar outros usuários ou escalar de uma conta com menos privilégios para uma com mais privilégios, como SYSTEM.

    Acesso a domínio suspeito de túnel

    Foi detectado um processo no host solicitando um domínio suspeito de túnel. Isso pode indicar que o sistema está sendo usado para comunicação de proxy de túnel. Investigue mais com base no alerta e nas ações recomendadas.

    Modificação anômala de arquivo do sistema

    Este alerta é acionado por uma modificação anômala de um arquivo crítico do sistema. Pode ser uma tentativa de desativar controles de segurança, criar um backdoor ou comprometer a integridade do sistema operacional.

    Modificação de item de início automático no registro

    Este alerta é acionado por uma modificação em uma chave de registry usada para início automático de programas. Malware frequentemente usa essa técnica para alcançar persistence entre reinicializações do sistema.

    Comportamento de modificação de tarefa agendada

    Este alerta indica uma modificação em uma scheduled task. Atacantes frequentemente criam ou modificam tarefas agendadas para executar código malicioso em intervalos regulares visando persistence.

    Comportamento suspeito de modificação de política do sistema

    Este alerta indica uma modificação suspeita em uma política de segurança do sistema. Pode ser uma tentativa de enfraquecer configurações de segurança, como políticas de auditoria ou atribuições de direitos de usuário, para evitar detecção ou facilitar novos ataques.

    Aplicação web modifica arquivo anômalo

    Este alerta é acionado quando uma aplicação web modifica um arquivo de maneira incomum, como gravar um arquivo executável em um diretório acessível pela web. Isso frequentemente indica uma exploração bem-sucedida de vulnerability de upload de arquivo.

    Falsificação de processo pai

    Este alerta é acionado quando um processo é iniciado com um parent process falsificado. Essa é uma técnica de evasão de defesa usada para fazer com que um processo malicioso pareça ter sido iniciado por um processo legítimo do sistema.

    Container monta caminho de host de alto risco

    Este alerta indica que um container foi iniciado com um caminho de host de alto risco montado, como /proc ou o socket Docker. Essa configuração pode ser explorada para escapar do container e obter privilégios no host.

    Sequestro de fluxo de controle usando variável de ambiente

    Este alerta indica uma tentativa de sequestrar o fluxo de controle de um programa manipulando variáveis de ambiente, como LD_PRELOAD. Essa técnica pode ser usada para carregar código malicioso em um processo legítimo.

    Webshell

    Nome do alerta

    Descrição

    Arquivo webshell encontrado

    O modelo de detecção encontrou um arquivo webshell suspeito no seu server. Este backdoor file pode ter sido implantado por um attacker para manter acesso persistente após comprometer um site.

    Arquivo de log ou imagem contendo código webshell

    O modelo de detecção encontrou código webshell em um arquivo no seu server. Isso pode indicar que um attacker está tentando explorar uma file inclusion vulnerability.

    Backdoor de escrita arbitrária de arquivo encontrado

    O Security Center encontrou um arquivo no seu system disk que poderia ser usado para gravar arquivos arbitrários. Este arquivo pode ter sido implantado por um attacker após comprometer a rede, ou pode ser um arquivo legítimo de O&M. Confirme a legitimidade do arquivo antes de agir.

    Backdoor de roubo de informações encontrado

    O Security Center encontrou um arquivo no seu system disk que poderia ser usado para roubar informações, como um log de operações de banco de dados. Este arquivo pode ter sido implantado por um attacker após comprometer a rede, ou pode ser um arquivo legítimo de O&M. Confirme a legitimidade do arquivo antes de agir.

    Arquivo de backdoor trojan ou hotlinking encontrado

    O modelo de detecção encontrou um arquivo trojan suspeito no seu system disk. Ele pode ter sido implantado por um attacker após comprometer um site. Este arquivo pode realizar ações maliciosas, como redirecionamento não autorizado de tráfego e hotlinking. Confirme a legitimidade do arquivo antes de agir. Se um administrador implantou intencionalmente este arquivo, ignore o alerta ou mark it as a false positive no console.

    Backdoor web do tipo DLL encontrado

    O modelo de detecção encontrou um arquivo webshell suspeito no seu server. Este backdoor file pode ter sido implantado por um attacker para manter acesso persistente após comprometer um site.

    Unusual Logon

    Alert name

    Description

    Logon to an ECS instance from an unusual location

    O local de logon não corresponde aos locais legítimos definidos por você. Verifique se este logon é autorizado.

    Logon to an ECS instance from an unusual IP address

    O endereço IP de logon não está entre os endereços IP legítimos definidos por você. Verifique se este logon é autorizado.

    Logon to an ECS instance with an unusual account

    A conta de logon não corresponde às contas legítimas definidas por você. Verifique se este logon é autorizado.

    Logon to an ECS instance at an unusual time

    O horário do logon está fora do intervalo legítimo definido por você. Verifique se este logon é autorizado.

    Successful brute-force attack on an ECS instance

    Um logon na sua instância ECS foi bem-sucedido após numerosas tentativas falhas, o que sugere que um ataque de força bruta comprometeu a senha.

    Successful brute-force attack on an ECS instance (SSH)

    Um invasor obteve acesso ao seu sistema ao descobrir a senha do serviço SSH após múltiplas tentativas.

    Successful brute-force attack on an ECS instance (RDP)

    Um invasor obteve acesso ao seu sistema ao descobrir a senha do serviço RDP após múltiplas tentativas.

    Anomalous command sequence executed after ECS logon (SSH)

    Comandos maliciosos foram executados no servidor após um logon originado de um endereço IP específico. Isso pode indicar que um invasor obteve acesso usando uma senha fraca ou comprometida.

    Anomalous account logon

    Este alerta é acionado quando um logon é detectado a partir de uma conta anômala adicionada ao grupo de administradores. Caso esta não seja uma ação autorizada, exclua a conta imediatamente.

    Logon from a malicious IP address

    Um logon no servidor foi realizado com sucesso a partir de um endereço IP malicioso conhecido. Se você não reconhece este logon, altere a senha da sua instância ECS imediatamente.

    Backdoor account logon

    Foi detectado um logon bem-sucedido de uma conta backdoor no servidor. Se esta não for uma ação autorizada, exclua a conta imediatamente.

    Suspected outbound logon scanning activity

    Seu servidor está iniciando frequentemente ataques de força bruta de saída contra protocolos como SSH, RDP e SMB. Esse comportamento indica que o servidor pode estar comprometido e sendo usado como ponto de partida para atacar outras máquinas.

    Successful brute-force attack on an ECS instance (multiple invalid users)

    Um endereço IP conseguiu fazer logon no servidor após tentar vários nomes de usuário inválidos. Se você não reconhece este logon, altere a senha da sua instância ECS imediatamente.

    Logon from a malicious IP address (MySQL)

    Um logon no MySQL do servidor foi realizado com sucesso a partir de um endereço IP malicioso conhecido. Se você não reconhece este logon, altere a senha do MySQL imediatamente.

    Logon from a malicious IP address (FTP)

    Um logon no FTP do servidor foi realizado com sucesso a partir de um endereço IP malicioso conhecido. Se você não reconhece este logon, altere a senha do FTP imediatamente.

    Logon from a malicious IP address (SQL Server)

    Um logon no SQL Server do servidor foi realizado com sucesso a partir de um endereço IP malicioso conhecido. Se você não reconhece este logon, altere a senha do SQL Server imediatamente.

    Malware

    Alert name

    Description

    Trojan

    Um trojan é um programa malicioso que se infiltra em um host disfarçado de software legítimo. Após a instalação, ele geralmente baixa e executa outras cargas maliciosas.

    Suspicious C2 trojan communication

    Foi detectada comunicação com um servidor de comando e controle (C2) malicioso, indicando infecção por trojan.

    DDoS trojan

    Um trojan DDoS é um programa malicioso que recebe comandos de um invasor para lançar ataques DDoS contra um alvo.

    Ransomware

    Ransomware é um programa malicioso que criptografa arquivos críticos em um host e exige resgate para descriptografá-los.

    Backdoor

    Um backdoor é um programa implantado em um sistema que concede a um invasor acesso persistente e não autorizado.

    Infectious virus

    Um vírus infeccioso é um tipo de malware que injeta código malicioso em arquivos de programas legítimos. Isso infecta os programas e faz com que eles espalhem o vírus.

    Worm

    Um worm é um programa que se propaga de um host comprometido para outros hosts, geralmente explorando vulnerabilidades ou quebrando senhas por força bruta.

    Malicious program

    Refere-se a um programa que exibe múltiplos comportamentos maliciosos ou é um programa de terceiros conhecido por causar interrupções ou danos.

    Mining program

    Um programa de mineração usa ilicitamente os recursos computacionais do servidor para minerar criptomoedas. Essa atividade geralmente causa alto uso da CPU e pode vir acompanhada de outros malwares.

    Suspicious program

    Programa que apresenta características de código malicioso ou comportamento suspeito, mas ainda não foi classificado definitivamente. Avalie o programa com base nas informações fornecidas.

    High-risk program

    Programa detectado por varredura baseada em cloud que representa uma ameaça significativa à segurança do sistema.

    Self-mutating trojan

    Trojan que evita detecção e remoção alterando seu próprio hash, copiando-se para vários locais e executando em segundo plano.

    Tainted basic software

    Programa legítimo do sistema que teve código malicioso injetado. Ele pode manter sua funcionalidade original enquanto executa ações maliciosas ocultas.

    Exploit program

    Programa que ataca vulnerabilidades conhecidas no sistema operacional ou em aplicativos para escalar privilégios, escapar de containers ou executar código arbitrário.

    Hacking tool

    Ferramenta usada por invasores para escalar privilégios, roubar dados confidenciais ou desinstalar softwares de segurança. Também pode ser implantada como backdoor após uma intrusão.

    Rootkit

    Módulo malicioso implantado em um nível baixo do sistema para ocultar seus próprios rastros ou os de outros programas maliciosos.

    Rootkit kernel module

    Rootkit que opera no nível do kernel. Esse tipo de rootkit é especialmente difícil de detectar e remover porque pode modificar o núcleo do sistema operacional.

    Highly suspicious program

    Programa que exibe fortes características de código malicioso, mas não foi classificado definitivamente. Avalie o programa e trate-o com alta prioridade.

    Riskware

    Software que não é inerentemente malicioso, mas possui funções que podem representar uma ameaça à segurança se usadas indevidamente. Exemplos comuns incluem ferramentas de administração remota e gerenciamento de processos. Avalie seu caso de uso com base nas informações fornecidas.

    Downloader trojan

    Trojan projetado para baixar e executar outros softwares maliciosos, como outros trojans ou adware.

    Proxy tool

    Ferramenta usada por invasores para operações como proxy e tunelamento, muitas vezes para ocultar suas atividades ou facilitar novas intrusões no servidor.

    Engine test program

    Programa usado para verificar se um mecanismo de detecção de segurança está funcionando corretamente. Geralmente é inofensivo.

    Information-stealing tool

    Ferramenta projetada para roubar arquivos e informações confidenciais de um servidor.

    Scanner

    Ferramenta usada por invasores para descobrir hosts ativos, portas abertas e riscos de segurança, como vulnerabilidades e senhas fracas. A varredura costuma ser um prelúdio para novas intrusões.

    Ransomware

    Ransomware é um programa malicioso que criptografa arquivos críticos em um host e exige resgate para descriptografá-los.

    Adware

    Software, geralmente agrupado com programas legítimos, que exibe anúncios indesejados, interrompe o uso normal e consome recursos do sistema.

    Obfuscated program

    Programa cujo código foi intencionalmente obscurecido para dificultar a análise. Malwares frequentemente usam ofuscação para evitar detecção por softwares de segurança.

    Cracking program

    Ferramenta projetada para contornar licenciamento de software ou gerenciamento de direitos digitais (DRM). A origem desses programas geralmente não é confiável e eles podem conter malware.

    Private server tool

    Ferramenta usada para emular um servidor privado, geralmente para jogos online ou como forma de trapaça. Essas ferramentas podem conter código malicioso.

    Reverse shell

    Sessão de shell iniciada do servidor alvo para a máquina do invasor. Essa técnica é frequentemente usada para contornar regras de firewall que bloqueiam conexões de entrada.

    Malicious document

    Arquivo de documento, como PDF ou documento do Office, contendo uma carga maliciosa. Invasores costumam usá-los em campanhas de phishing para comprometer sistemas.

    Cloud Service Threat Detection

    Alert name

    Description

    Unusual logon of a RAM user

    Este alerta é gerado quando um usuário RAM na sua conta Alibaba Cloud faz logon a partir de um local incomum. Isso pode ocorrer durante atividades legítimas, como quando você faz logon de um novo dispositivo ou local. No entanto, se você não reconhece essa atividade, as credenciais do usuário RAM podem estar comprometidas.

    Malicious IP address using an AccessKey

    Este alerta indica que seu AccessKey foi usado por um endereço IP malicioso conhecido. Se você não reconhece essa atividade, desative e altere o AccessKey imediatamente.

    Suspicious access to OSS

    Este alerta indica acesso anômalo ao seu bucket OSS por meio de uma ferramenta OSS. Essa atividade pode ser acionada por uma mudança no endereço IP de chamada ou por uma falha na chamada de API. Verifique se o endereço IP de origem e a atividade da ferramenta são legítimos. Se a atividade não for autorizada, isso pode indicar que um invasor assumiu o controle do seu bucket OSS.

    Anomalous command from Cloud Assistant

    Este alerta é acionado quando um invasor executa um comando malicioso no seu servidor usando a OpenAPI do Cloud Assistant. Esse comportamento sugere fortemente que seu AccessKey foi comprometido e está sendo usado por um invasor.

    Anomalous AccessKey call

    Este alerta indica que seu AccessKey foi usado para fazer uma chamada de API anômala.

    ECS instance role credential called externally

    Este alerta é gerado quando um endereço IP externo usa as credenciais temporárias STS de uma função concedida a uma instância ECS. Isso pode indicar que a instância ECS foi comprometida e um invasor roubou as credenciais da função associada. A Alibaba Cloud recomenda usar credenciais temporárias STS apenas no host onde foram solicitadas. Para obter mais informações sobre funções de instância ECS, consulte Instance RAM role.

    Cloud Assistant registration hijacking

    Este alerta indica que outra conta Alibaba Cloud está tentando instalar o Cloud Assistant na sua instância ECS para obter capacidades de execução remota de comandos. Confirme imediatamente se essa ação foi realizada por pessoal autorizado de O&M e investigue o servidor em busca de outras atividades anômalas.

    Hacking tool using an AK

    Este alerta é gerado quando uma ferramenta de hacking conhecida é detectada usando seu AK. Investigue imediatamente para determinar se essa é uma atividade legítima do usuário.

    ECS role credential called by another Alibaba Cloud account

    Este alerta é gerado quando uma conta Alibaba Cloud diferente usa as credenciais temporárias STS de uma função concedida a uma instância ECS. Isso pode indicar que a instância ECS foi comprometida e um invasor roubou as credenciais da função associada. A Alibaba Cloud recomenda usar credenciais temporárias STS apenas no host onde foram solicitadas. Para obter mais informações sobre funções de instância ECS, consulte Instance RAM role.

    Anomalous call to a sensitive API by an ECS role credential

    Este alerta é acionado quando uma função anexada à sua instância ECS é usada para realizar uma operação de API sensível. Verifique imediatamente a identidade do endereço IP de chamada e confirme se essa atividade é legítima. Mesmo que o endereço IP pertença a outra instância ECS dentro da sua conta, investigue-o quanto a possíveis comprometimentos. Invasores frequentemente roubam credenciais de função de instância ECS comprometendo um servidor ou site e depois usam essas credenciais para fazer chamadas de API sensíveis.

    Suspicious identity calling a sensitive API

    Este alerta é gerado quando uma identidade realiza uma operação de API sensível na sua conta a partir de uma localização geográfica incomum. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous traversal of ECS resources

    Este alerta indica que uma identidade está enumerando instâncias ECS em várias regiões a partir de uma localização geográfica incomum. Essa atividade é uma técnica comum de reconhecimento. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous traversal of RDS resources

    Este alerta indica que uma identidade está enumerando instâncias RDS em várias regiões a partir de uma localização geográfica incomum. Essa atividade é uma técnica comum de reconhecimento. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous traversal of OSS access permissions

    Este alerta é acionado quando uma identidade enumera a lista de controle de acesso (ACL) de vários buckets OSS a partir de uma localização geográfica incomum. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous creation of a high-privilege sub-account

    Este alerta indica que uma identidade criou um usuário RAM com privilégio de administrador e ativou o logon no console web para esse usuário. Essa é uma tática comum usada por invasores para criar um backdoor visando acesso persistente. Investigue imediatamente para determinar se esse usuário RAM foi criado por pessoal autorizado.

    Anomalous traversal of multiple sub-account permissions

    Este alerta é gerado quando uma identidade enumera as políticas de permissão de várias subcontas a partir de uma localização geográfica incomum. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous traversal of a single sub-account's permissions

    Este alerta é acionado quando uma identidade enumera as políticas de permissão de uma subconta e seus grupos de usuários associados a partir de uma localização geográfica incomum. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous traversal of role permissions

    Este alerta indica que uma identidade está enumerando as políticas de permissão de várias funções na sua conta a partir de uma localização geográfica incomum. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous configuration of public network access for a database

    Este alerta é acionado quando uma identidade configura um banco de dados para acesso público e adiciona uma lista de permissões de IP a partir de uma localização geográfica incomum. Verifique a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    Anomalous creation of a high-privilege role

    Este alerta indica que uma identidade criou uma função com privilégio de administrador. A Alibaba Cloud recomenda conceder às funções apenas as permissões necessárias para um serviço, em vez de privilégio total de administrador. Verifique imediatamente se a criação dessa função é um requisito legítimo de negócios.

    Anomalous permission probing behavior

    Este alerta é gerado quando uma identidade enumera as permissões de chamada de API para vários produtos cloud. Esse comportamento se assemelha à atividade automatizada de uma ferramenta de hacking. Verifique imediatamente a identidade do chamador e a legitimidade da operação para mitigar o risco de um AK comprometido.

    RAM user logs into the console and performs sensitive operations

    Este alerta é acionado quando um usuário RAM com logon no console web ativado realiza uma operação sensível no console.

    Anomalous command from Cloud Assistant

    Este alerta é acionado quando um invasor executa um comando malicioso no seu servidor usando a OpenAPI do Cloud Assistant. Esse comportamento sugere fortemente que seu AccessKey foi comprometido e está sendo usado por um invasor.

    Unusual Network Connection

    Alert name

    Description

    Outbound connection to a malicious download source

    Este alerta é acionado quando o Security Center detecta seu servidor tentando acessar uma fonte de download maliciosa via HTTP. Essa atividade pode indicar que um invasor comprometeu o servidor usando uma senha fraca ou explorando uma vulnerabilidade de execução de comandos e agora está tentando baixar arquivos maliciosos.

    Suspected sensitive port scanning

    Este alerta é acionado quando o Security Center detecta um processo no seu servidor fazendo um número incomumente alto de solicitações de rede para portas sensíveis em um curto período. Esse comportamento é característico de varredura de portas.

    Anomalous network connection in Windows

    Este alerta é acionado quando o Security Center detecta comportamento anômalo de conexão de rede proveniente de um processo no seu sistema. Esse tipo de atividade é frequentemente associado a malwares, como vírus ou trojans, ou a ações maliciosas de um invasor.

    Reverse shell outbound network connection

    Este alerta é acionado quando o Security Center detecta uma suspeita de conexão de rede de saída característica de reverse shell. Um reverse shell permite que um invasor estabeleça uma conexão do seu servidor de volta para a máquina dele, que pode então ser usada para executar comandos arbitrários. Investigue essa atividade imediatamente. Se esta for uma operação legítima de O&M ou função de negócios, ignore o alerta ou marque-o como falso positivo.

    Suspicious port listening

    Este alerta é acionado quando o Security Center detecta um processo escutando em uma porta suspeita.

    Internal network scan

    Este alerta é acionado quando o Security Center detecta um processo no seu servidor fazendo tentativas de conexão para portas especificadas em vários endereços IP na rede interna em um curto período. Esse comportamento é um forte indicador de varredura de rede interna, uma técnica comum de movimento lateral usada por invasores após um comprometimento inicial.

    Suspicious manual access to a container API

    Este alerta é acionado quando o Security Center detecta acesso manual suspeito a uma API de container. Se a autenticação e autorização não estiverem ativadas para o seu serviço de container, um invasor pode explorar esse acesso para recuperar informações do container, criar containers, executar comandos dentro de um container ou carregar uma imagem maliciosa. Essa atividade também pode ser uma operação manual legítima de O&M. Investigue imediatamente.

    Malicious Script

    Alert name

    Description

    Malicious script file detected

    O modelo de detecção identificou um arquivo de script malicioso no seu servidor. Provavelmente, um invasor implantou esse arquivo após um comprometimento bem-sucedido. Verifique a legitimidade do arquivo com base em suas tags e tome as medidas apropriadas.

    Malicious script code execution

    O modelo de detecção identificou a execução de código de script Bash, PowerShell ou Python malicioso no seu servidor.

    Suspicious download behavior detected

    O modelo de detecção identificou atividade de download suspeita no seu servidor. Essa atividade pode resultar de um comando executado por um invasor após um comprometimento bem-sucedido. Verifique a legitimidade do comando e tome as medidas apropriadas.

    Suspicious script file detected

    O modelo de detecção identificou um arquivo de script suspeito no seu servidor. Um invasor pode ter implantado esse arquivo após um comprometimento bem-sucedido. Verifique a legitimidade do arquivo com base em suas tags e tome as medidas apropriadas.

    Suspicious script code execution

    O modelo de detecção identificou a execução de código de script Bash, PowerShell ou Python suspeito no seu servidor.

    Malicious script

    SCRIPT_agentless.

    File containing malicious code

    O modelo de detecção identificou um arquivo de script malicioso no seu servidor. Provavelmente, um invasor implantou esse arquivo após um comprometimento bem-sucedido. Verifique a legitimidade do arquivo com base em suas tags e tome as medidas apropriadas.

    File containing suspicious code

    O modelo de detecção identificou um arquivo de script suspeito no seu servidor. Um invasor pode ter implantado esse arquivo após um comprometimento bem-sucedido. Verifique a legitimidade do arquivo com base em suas tags e tome as medidas apropriadas.

    Persistent Webshell

    Alert name

    Description

    Anomalous code resident in memory

    O Security Center detectou código malicioso no espaço de memória de um processo. Isso pode indicar que instruções maliciosas foram injetadas em um processo legítimo após sua inicialização, ou que o próprio arquivo do processo é malicioso.

    Recomendamos tomar as seguintes ações:

    1. Examine o arquivo do processo. Se não for um arquivo legítimo, encerre o processo e coloque o arquivo em quarentena. Se for um processo legítimo, encerre-o caso isso não afete seus serviços.

    2. Correlacione este alerta com outros alertas na máquina para avaliar o impacto potencial da intrusão e tomar medidas adicionais.

    3. Analise a causa raiz da intrusão e corrija as vulnerabilidades de segurança relevantes.

    Backdoor process

    Este alerta indica que um processo suspeito, potencialmente um backdoor, foi detectado no seu servidor. Um invasor pode usar essa técnica para manter acesso persistente.

    Auto-start backdoor

    O Security Center detectou um item de inicialização automática anômalo no seu host. Provavelmente trata-se de um mecanismo de persistência implantado por malware ou por um invasor. Se não for resolvido, o programa malicioso pode ser reimplementado. Recomendamos realizar uma varredura completa e limpar o host com recursos de proteção antivírus, ou resolver o problema manualmente com base nos detalhes do alerta.

    Anomalous process persistence

    Este alerta indica que um processo anômalo está em execução no seu servidor. Pode ser um programa malicioso ou um programa legítimo que carregou código malicioso.

    Malicious auto-start script

    Este alerta indica que arquivos suspeitos foram encontrados nos itens de inicialização automática do seu servidor. Pode ser uma técnica de persistência usada por malware ou por um invasor por meio de tarefas agendadas ou scripts de inicialização automática.

    Hidden process

    O Security Center detectou um processo oculto das ferramentas de visualização padrão. Malwares ou invasores frequentemente usam várias técnicas para ocultar processos maliciosos. Isso pode indicar que o host foi comprometido por um backdoor rootkit.

    SSH public key backdoor

    Este alerta indica que uma chave pública SSH anômala foi encontrada no seu servidor. É sabido que worms ou invasores adicionam tais chaves a servidores comprometidos para manter acesso persistente.

    Cobalt Strike remote control Trojan

    O Security Center detectou um backdoor de controle remoto Cobalt Strike na memória deste processo.

    Isso pode resultar de um ataque de injeção de processo, onde código malicioso é injetado em um processo legítimo. Mesmo que o arquivo do processo seja legítimo, ele executa código malicioso após a injeção.

    Alternativamente, o próprio programa pode ser malicioso.

    Recomendamos tomar as seguintes ações:

    1. Examine o arquivo do processo. Se não for um arquivo legítimo, encerre o processo e coloque o arquivo em quarentena. Se for um processo legítimo, encerre-o caso isso não afete seus serviços.

    2. Correlacione este alerta com outros alertas na máquina para avaliar o impacto potencial da intrusão e tomar medidas adicionais.

    3. Analise a causa raiz da intrusão e corrija as vulnerabilidades de segurança relevantes.

    Hidden kernel module

    Este alerta indica que um módulo de kernel oculto foi encontrado no seu servidor. Provavelmente trata-se de um backdoor rootkit implantado por um invasor ou malware para manter privilégios do sistema e ocultar outras atividades maliciosas.

    Memory-resident backdoor in web application

    Este alerta indica que código ou dados suspeitos foram detectados na memória de um processo de aplicativo web. Este backdoor residente em memória não requer um arquivo em disco. Recomendamos corrigir a vulnerabilidade do aplicativo web e reiniciar o aplicativo para remover o backdoor. Além disso, verifique se há outros alertas relacionados no host. Se determinar que este alerta é um falso positivo, ignore-o ou adicione-o a uma lista de permissões.

    Kerberos ticket injection attack

    Este alerta indica um ataque de injeção de ticket Kerberos.

    WMI event subscription persistence attack

    Este alerta indica um ataque de persistência por assinatura de evento WMI.

    Skeleton Key domain controller persistence attack

    Este alerta indica um ataque de persistência Skeleton Key em controlador de domínio.

    Process path spoofing

    Este alerta indica falsificação de caminho de processo.

    Anomalous registry key

    Este alerta indica um item de configuração de registro suspeito no seu servidor. Malwares frequentemente modificam configurações-chave do registro para obter persistência ou interferir na proteção de segurança.

    Anomalous library file loading

    Este alerta indica que um arquivo de biblioteca anômalo foi carregado.

    Process executable image tampering

    Este alerta indica adulteração da imagem executável de um processo.

    SID History injection attack

    Este alerta indica um ataque de injeção de SID History.

    Dynamic-link library function hijacking

    Este alerta indica sequestro de função de biblioteca de vínculo dinâmico.

    Anomalous .NET module loaded into memory

    Este alerta indica que um módulo .NET anômalo foi carregado na memória.

    Anomalous scheduled task

    Este alerta indica uma tarefa agendada anômala.

    Anomalous scheduled task

    Este alerta indica uma tarefa agendada anômala.

    Anomalous thread execution

    Este alerta indica execução anômala de thread.

    Process hiding behavior

    Este alerta indica comportamento de ocultação de processo.

    Anomalous code found in web application memory

    Este alerta indica que código anômalo foi encontrado na memória do aplicativo web.

    Anomalous service in Linux

    Este alerta indica um serviço anômalo no Linux.

    Anomalous service in Windows

    Este alerta indica um serviço anômalo no Windows.

    System base library file hijacking

    Este alerta indica sequestro de arquivo de biblioteca base do sistema.

    Process runtime function hijacking

    Este alerta indica sequestro de função de tempo de execução de processo.

    Anomalous startup script in Linux

    Este alerta indica um script de inicialização anômalo no Linux.

    Cobalt Strike remote control Trojan

    O Security Center detectou um backdoor de controle remoto Cobalt Strike na memória deste processo.

    Isso pode resultar de um ataque de injeção de processo, onde código malicioso é injetado em um processo legítimo. Mesmo que o arquivo do processo seja legítimo, ele executa código malicioso após a injeção.

    Alternativamente, o próprio programa pode ser malicioso.

    Recomendamos tomar as seguintes ações:

    1. Examine o arquivo do processo. Se não for um arquivo legítimo, encerre o processo e coloque o arquivo em quarentena. Se for um processo legítimo, encerre-o caso isso não afete seus serviços.

    2. Correlacione este alerta com outros alertas na máquina para avaliar o impacto potencial da intrusão e tomar medidas adicionais.

    3. Analise a causa raiz da intrusão e corrija as vulnerabilidades de segurança relevantes.

    Kerberos ticket injection attack

    Este alerta indica um ataque de injeção de ticket Kerberos.

    Anomalous service in Linux

    Este alerta indica um serviço anômalo no Linux.

    Anomalous scheduled task

    Este alerta indica uma tarefa agendada anômala.

    SID History injection attack

    Este alerta indica um ataque de injeção de SID History.

    Skeleton Key domain controller persistence attack

    Este alerta indica um ataque de persistência Skeleton Key em controlador de domínio.

    Anomalous service in Windows

    Este alerta indica um serviço anômalo no Windows.

    Anomalous scheduled task

    Este alerta indica uma tarefa agendada anômala.

    WMI event subscription persistence attack

    Este alerta indica um ataque de persistência por assinatura de evento WMI.

    Dynamic-link library function hijacking

    Este alerta indica sequestro de função de biblioteca de vínculo dinâmico.

    Backdoor process

    Este alerta indica que um processo suspeito, potencialmente um backdoor, foi detectado no seu servidor. Um invasor pode usar essa técnica para manter acesso persistente.

    Anomalous .NET module loaded into memory

    Este alerta indica que um módulo .NET anômalo foi carregado na memória.

    Anomalous code resident in memory

    O Security Center detectou código malicioso no espaço de memória de um processo. Isso pode indicar que instruções maliciosas foram injetadas em um processo legítimo após sua inicialização, ou que o próprio arquivo do processo é malicioso.

    Recomendamos tomar as seguintes ações:

    1. Examine o arquivo do processo. Se não for um arquivo legítimo, encerre o processo e coloque o arquivo em quarentena. Se for um processo legítimo, encerre-o caso isso não afete seus serviços.

    2. Correlacione este alerta com outros alertas na máquina para avaliar o impacto potencial da intrusão e tomar medidas adicionais.

    3. Analise a causa raiz da intrusão e corrija as vulnerabilidades de segurança relevantes.

    Anomalous library file loading

    Este alerta indica que um arquivo de biblioteca anômalo foi carregado.

    Anomalous registry key

    Este alerta indica um item de configuração de registro suspeito no seu servidor. Malwares frequentemente modificam configurações-chave do registro para obter persistência ou interferir na proteção de segurança.

    Anomalous thread execution

    Este alerta indica execução anômala de thread.

    System base library file hijacking

    Este alerta indica sequestro de arquivo de biblioteca base do sistema.

    Process executable image tampering

    Este alerta indica adulteração da imagem executável de um processo.

    Process path spoofing

    Este alerta indica falsificação de caminho de processo.

    Process runtime function hijacking

    Este alerta indica sequestro de função de tempo de execução de processo.

    Process hiding behavior

    Este alerta indica comportamento de ocultação de processo.

    Anomalous terminal configuration file in Linux

    Este alerta indica um arquivo de configuração de terminal anômalo no Linux.

    Sensitive File Tampering

    Alert name

    Description

    System file tampering

    Um processo no seu servidor tentou modificar ou substituir arquivos do sistema. Isso pode ser uma tentativa de invasor de evitar detecção ou ocultar um backdoor. Verifique imediatamente se o arquivo do sistema afetado é autêntico.

    System file moving

    Um processo no seu servidor tentou mover arquivos do sistema. Um invasor pode fazer isso para contornar softwares de segurança que monitoram esses arquivos.

    Suspicious tampering with the Linux shared library preload configuration file

    O sistema detectou adulteração suspeita no arquivo de configuração de pré-carregamento de biblioteca compartilhada no seu servidor.

    Anomalias em clusters de contêineres

    Alert name

    Description

    Suspicious command executed in a container via the Kubernetes API

    O Security Center detectou a execução de um comando suspeito dentro de um contêiner por meio da API do Kubernetes. Essa atividade é uma técnica comum de movimento lateral, como entre contêineres ou de um nó para um contêiner. Embora possa ser legítima para determinadas tarefas de negócios ou de O&M, também pode indicar intenção maliciosa.

    Malicious image pod startup

    Este alerta é acionado quando um pod é iniciado a partir de uma imagem maliciosa no seu cluster Kubernetes. Isso geralmente ocorre quando uma imagem contém backdoors, programas de mineração de criptomoedas ou outros malwares.

    Kubernetes service account lateral movement

    Alerta gerado quando uma conta de service solicita permissões que fogem da linha de base estabelecida ou provoca múltiplas falhas de autenticação. Esse comportamento frequentemente indica que um invasor comprometeu um pod e está usando credenciais roubadas da conta de service para atacar o servidor de API. Investigue essa atividade imediatamente.

    Successful authentication of a Kubernetes anonymous user

    Acionado quando um usuário anônimo se autentica com sucesso. Não permita que usuários anônimos acessem recursos críticos em um cluster de produção. O risco é extremamente alto se o cluster estiver exposto à internet pública e permitir acesso anônimo. Invasores costumam explorar a autenticação anônima para controlar o servidor de API do Kubernetes e implantar cargas de trabalho maliciosas. Verifique se esta operação foi realizada por um usuário confiável e restrinja as permissões de acesso anônimo.

    Anomalous access to Kubernetes Secrets

    Gera um alerta quando uma conta enumera Secrets no seu cluster Kubernetes. Tal atividade pode indicar que um invasor comprometeu o cluster e está tentando roubar informações sensíveis armazenadas nos Secrets. Confirme se esta operação foi executada por uma aplicação ou administrador confiável.

    Suspicious Kubernetes operation sequence

    O Security Center identificou uma conta no seu cluster Kubernetes executando uma série de comandos de alto risco fora do padrão habitual. Valide se esses comandos foram executados por um administrador autorizado. Caso contrário, seu cluster pode ter sido comprometido. Se confirmar que a atividade é legítima, adicione-a à lista de permissões para suprimir alertas semelhantes no futuro.

    Kubernetes user bound to an administrator role

    Foi detectado que um usuário no seu cluster Kubernetes foi vinculado a uma função de sistema com altos privilégios, como uma ClusterRole. Confirme se essa ação foi realizada por um administrador autorizado ou componente do sistema. Do contrário, pode indicar que um invasor comprometeu seu servidor e está criando uma conta de backdoor para persistência. Se for um falso positivo, adicione o comportamento à lista de permissões para suprimir esse tipo de alerta.

    Suspected Kubernetes service man-in-the-middle attack (CVE-2020-8554)

    Em um cluster Kubernetes, um usuário pode criar um Service para sequestrar o tráfego do cluster e encaminhá-lo para um endereço IP externo arbitrário, visando a exfiltração de dados. O Security Center detectou que um Service criado no seu cluster possui um endereço IP externo especificado no campo ExternalIP. Esse comportamento corresponde ao padrão de exploração da vulnerabilidade man-in-the-middle do Kubernetes (CVE-2020-8554).

    Sensitive host path mount

    O Security Center encontrou um pod montando um diretório ou arquivo sensível do host durante a inicialização. Essa configuração apresenta risco de escape de contêiner. Se o pod for comprometido, um invasor poderá explorar o arquivo montado para escapar do contêiner e assumir o controle do nó. Minimize o uso de montagens de caminhos sensíveis do host para pods, como o diretório raiz, diretórios de configuração de tarefas agendadas ou diretórios de configuração de serviços do sistema. Se essa configuração for necessária para seus negócios e o risco for aceitável, adicione-a a uma lista de permissões para suprimir este alerta.

    Suspicious request to the Kubernetes API server

    Alerta acionado por uma solicitação suspeita ao servidor de API do Kubernetes. Para detalhes específicos sobre a anomalia, consulte os detalhes do alerta. Essa atividade também pode ser uma operação normal de negócios. Para determinar se a solicitação é legítima, investigue o endereço IP de origem, User-Agent, recurso solicitado e o usuário que iniciou a solicitação. Para visualizar os logs de auditoria completos do servidor de API do Kubernetes, use o campo auditID dos detalhes do alerta para pesquisar nos logs de auditoria do Kubernetes no SLS.

    Kubernetes cluster user bound to a high-privilege role

    Gerado quando um usuário no seu cluster Kubernetes é vinculado a uma função de alto privilégio. Alto privilégio refere-se a permissões para ler ou modificar recursos críticos dentro de um namespace ou em todo o cluster. Exemplos incluem permissões de administrador do cluster, capacidade de ler todos os Secrets em um namespace, criar pods, executar comandos dentro de pods ou criar outras funções de alto privilégio. Um cenário de ataque comum envolve conceder permissões excessivas à conta de service de uma aplicação web. Um invasor pode explorar uma vulnerabilidade web para entrar em um pod e depois usar as credenciais da conta de service para acessar e controlar outros recursos do cluster.

    Anomalous token creation by a service account

    Solicitações de token são normalmente iniciadas por usuários reais. Uma conta de service é um objeto do Kubernetes que permite que processos em um pod interajam com o servidor de API. Quando uma conta de service tenta obter um token para outra conta, isso pode indicar uma tentativa de escalonamento de privilégios.

    Service account modifies its own cluster role permissions

    Uma conta de service normalmente não modifica as permissões da ClusterRole à qual está vinculada. Quando uma conta de service solicita a modificação das permissões de sua própria ClusterRole vinculada, isso frequentemente indica uma tentativa de escalonamento de privilégios.

    Service account modifies its bound cluster role

    A conta de service de uma aplicação geralmente não modifica a ClusterRole à qual está vinculada. Este alerta é acionado quando uma conta de service cria e vincula sua própria função, o que muitas vezes indica uma tentativa de escalonamento de privilégios.

    Service account impersonates another user principal to request resources

    A conta de service de uma aplicação normalmente não precisa representar outros principais de usuário para solicitar recursos. Quando uma conta de service faz uma solicitação representando outro principal de usuário, isso geralmente sinaliza uma tentativa de escalonamento de privilégios.

    Service account creates a pod using a system component's service account

    Contas de service de componentes do sistema geralmente possuem altos privilégios e não devem ser usadas por outras cargas de trabalho. Quando uma conta de service cria um pod que utiliza a conta de service de um componente do sistema, isso costuma indicar uma tentativa de escalonamento de privilégios.

    Suspicious request to check its own permissions

    Cargas de trabalho em um cluster raramente precisam verificar suas próprias permissões de conta de service. Quando uma conta de service solicita seu próprio conjunto de permissões, pode indicar que um invasor comprometeu a conta de service.

    Node identity obtains cluster Secret

    O certificado kubelet de um nó do cluster pode ser usado para obter Secrets. Um invasor pode abusar dessa capacidade para acessar informações sensíveis no cluster. Portanto, quando a identidade de um nó solicita um Secret, isso frequentemente indica uma tentativa de escalonamento de privilégios.

    Service account creates a node proxy resource to execute a command

    O sub-recurso de proxy de um nó pode ser usado para executar comandos em um pod, mas esse método geralmente não é necessário para cargas de trabalho em um cluster. Quando uma conta de service usa o sub-recurso de proxy de um nó para executar um comando em um pod, isso muitas vezes indica uma tentativa de escalonamento de privilégios.

    Service account steals another node's pod

    Um taint é um recurso de agendamento do Kubernetes que restringe quais pods podem ser agendados em um determinado nó. Um invasor que comprometeu um nó pode aplicar taints em outros nós para marcá-los como não agendáveis. Isso força um pod alvo a ser agendado no nó comprometido, permitindo que o invasor roube suas credenciais. Quando uma conta de service cria taints para muitos nós, isso frequentemente indica uma tentativa de escalonamento de privilégios.

    Service account directly accesses the kubelet listening port

    O kubelet e o servidor de API usam a porta 10250 para comunicação. Cargas de trabalho de negócios dentro do cluster normalmente não usam uma conta de service para acessar essa porta. Quando uma conta de service acessa diretamente a porta de escuta do kubelet e solicita um recurso específico, isso geralmente indica uma tentativa de escalonamento de privilégios.

    Service account creates an ephemeral container to enter a pod

    Contêineres efêmeros permitem que desenvolvedores depurem um pod em execução criando um contêiner efêmero no namespace do pod alvo. Esta operação não deve ser iniciada por uma conta de service. Quando uma conta de service solicita a criação de um contêiner efêmero, isso tipicamente significa que um invasor está usando essa identidade para tentar escalonar privilégios entrando em outro pod.

    Suspicious Account

    Alert name

    Description

    Backdoor account

    Este alerta indica uma conta suspeita no seu host. Um invasor ou programa malicioso pode criar uma nova conta ou ativar uma conta de convidado para manter a persistência. Se esta conta não for usada para operações legítimas de negócios, faça logon no host para investigar e tomar as medidas necessárias.

    Detecção de Webshell (Verificação local)

    Alert name

    Description

    Webshell file found

    Este recurso identifica arquivos suspeitos pontuando seu nível de ameaça com base em comportamento e funções. Um arquivo sinalizado pode ser um webshell implantado por um invasor, mas também pode ser um arquivo legítimo com código suspeito. Armazenar arquivos de log em um caminho acessível via web também pode acionar este alerta. Portanto, um administrador deve investigar o arquivo para determinar se ele representa uma ameaça.

    Exploit

    Alert name

    Description

    Web vulnerability exploit

    Exploração de vulnerabilidade web.

    Host vulnerability exploit

    Exploração de vulnerabilidade de host.

    Suspected container escape via file tampering

    O Security Center detectou que um arquivo crítico foi aberto em write mode. Esse comportamento é comum em cenários de escape de contêiner, onde um invasor adultera o arquivo para escapar do contêiner para o host. Investigue o processo, o arquivo afetado e os atributos de abertura do arquivo para determinar se a atividade faz parte de uma operação legítima de negócios. Se for uma tarefa normal de O&M ou função de negócios, ignore o alerta ou marque-o como falso positivo.

    TOCTOU-type vulnerability exploit

    Foi detectada uma suspeita de exploração de vulnerabilidade time-of-check-to-time-of-use (TOCTOU). Consulte os detalhes do alerta para obter o ID da vulnerabilidade. Esse tipo de vulnerabilidade é frequentemente usado para escape de contêiner ou escalonamento de privilégios. Verifique se seu software é afetado e aplique patches prontamente. No raro caso de um falso positivo, marque o alerta como tal ou adicione a atividade à lista de permissões.

    Sensitive host directory mounted at container startup

    O Security Center detectou comportamento de risco em contêineres, como inicialização em modo privilegiado ou montagem de diretórios ou arquivos sensíveis do host na inicialização. Um invasor pode explorar essa configuração incorreta para escapar para o host. Não inicie contêineres em modo privilegiado. Não configure um Pod para montar diretórios sensíveis do host, como o diretório raiz, diretórios de configuração de tarefas agendadas ou diretórios de configuração de serviços do sistema.

    Tráfego de rede anormal

    Alert name

    Description

    Suspicious file upload

    Alerta acionado ao detectar tráfego suspeito de upload de arquivo e a criação ou modificação de um arquivo suspeito relacionado no host. Use os detalhes do alerta para investigar mais a fundo. Etapas recomendadas: 1) Verifique se há alertas relacionados a arquivos de webshell. 2) Investigue o endpoint de upload de arquivo para determinar se ele pode ser explorado. 3) Determine se o arquivo foi criado ou modificado durante uma tarefa administrativa legítima, como atualização de serviço web ou backup. Se a atividade for legítima, ignore o alerta ou adicione o caminho do arquivo a uma lista de permissões. 4) Se confirmar que a atividade é maliciosa, remova o arquivo do host e proteja o endpoint de upload de arquivo. Recomendamos impor uma lista de permissões para nomes de arquivos.

    Web application command execution

    Gera um alerta quando tráfego de ataque web malicioso é detectado e um comando correspondente é executado no host. Isso indica que um invasor pode ter explorado uma vulnerabilidade no seu service. Utilize os detalhes do alerta para determinar o impacto e planejar seus próximos passos.

    Mining pool communication traffic

    Indica a detecção de tráfego entre seu servidor e um endereço IP associado a um pool de mineração de criptomoedas. Isso pode significar que seu servidor foi comprometido e está sendo usado para mineração de criptomoedas.

    Tunnel proxy communication

    Acionado quando comunicação suspeita de proxy de túnel é detectada no seu servidor. Analise os detalhes do alerta para investigar essa atividade e determinar as próximas etapas.

    Reverse shell traffic

    Identifica tráfego malicioso de reverse shell originado do seu servidor. Um reverse shell permite que um invasor estabeleça uma conexão de rede do seu servidor para um sob seu controle, possibilitando a execução de comandos arbitrários. Use os detalhes do alerta para investigar e responder a essa ameaça.

    Backdoor communication traffic

    Sinaliza a detecção de tráfego malicioso de backdoor proveniente do seu servidor. Esse tipo de tráfego indica que um invasor pode ter estabelecido um canal de controle remoto para o seu servidor. Consulte os detalhes do alerta para investigar esse possível comprometimento.

    Java deserialization attack

    Gerado quando tráfego de ataque de desserialização Java malicioso é detectado e o processo Java associado faz uma conexão de rede de saída suspeita ou executa um comando suspeito. Isso sugere que um invasor pode ter explorado uma vulnerabilidade no seu service. Baseie-se nos detalhes do alerta para avaliar o impacto e definir as ações seguintes.

    DNS-log attack

    Disparado ao detectar tráfego de ataque DNS-log malicioso e seu servidor acessar o domínio DNS-log correspondente. Tal cenário aponta que uma vulnerabilidade no seu service pode ter sido explorada. Revise os detalhes do alerta para mensurar o impacto e planejar a resposta adequada.

    Container Escape Prevention

    Alert name

    Description

    High-risk system call

    Indica uma chamada de sistema chave frequentemente usada para explorar uma vulnerabilidade de kernel visando escalonamento de privilégios ou escape de contêiner.

    Escape by exploiting a vulnerability or misconfiguration

    Este alerta é acionado quando um contêiner inicia com privilégios excessivos ou monta um sistema de arquivos pseudo. Essas configurações incorretas permitem que um invasor explore mecanismos do sistema, como core_pattern ou cgroup, para escapar do contêiner.

    Modifying a host user configuration file

    Alerta gerado quando um contêiner é iniciado com arquivos de configuração de usuário do host montados, como /etc/passwd ou diretórios de configuração do service SSH. Isso permite que um invasor modifique esses arquivos de dentro do contêiner e obtenha privilégios de usuário no nó host.

    Escaping by writing to a high-risk host directory

    Acionado quando um contêiner é iniciado com um diretório de host de alto risco montado. Exemplos incluem diretórios de tarefas agendadas do sistema como /etc/crontab, diretórios de tarefas de inicialização automática como /etc/init.d, diretórios de tarefas baseadas em gatilho como /etc/profile, ou diretórios de configuração de pod estático do Kubernetes. Um invasor pode gravar código malicioso nesses diretórios. O host então executa automaticamente esse código, permitindo que o invasor obtenha privilégios.

    Running a container escape tool

    O Security Center detectou uma ferramenta de escape de contêiner em execução dentro de um contêiner. Um invasor normalmente usa essa ferramenta após comprometer um contêiner para quebrar o isolamento entre o contêiner e o nó host e obter controle de acesso sobre o nó host.

    Proactive Defense for Containers

    Alert name

    Description

    non-image program startup

    Este alerta indica que um programa não incluído na imagem original foi iniciado. Essa atividade ocorre frequentemente quando um programa executável, como um trojan backdoor, é instalado em um contêiner em execução. Embora possa ser uma instalação legítima exigida pelos seus services, também pode representar um risco de segurança. Investigue essa atividade prontamente.

    file defense

    Defesa de arquivo.

    non-image program startup blocking

    O Security Center bloqueou a inicialização de um programa que não fazia parte da imagem original. Esta ação preventiva é acionada quando um programa executável, como um trojan backdoor, tenta rodar dentro de um contêiner. Embora o programa bloqueado possa ser legítimo, tais tentativas também podem indicar um risco de segurança. Investigue a causa desta atividade bloqueada prontamente.

    Risk Image Blocking

    Alert name

    Description

    Cluster starts a malicious image from the internet

    Este alerta é acionado quando um cluster tenta iniciar uma imagem maliciosa conhecida. Executar uma imagem maliciosa pode introduzir vulnerabilidades, backdoors ou outras ameaças de segurança no seu ambiente.

    Cluster starts an unscanned image

    Gera um alerta quando um cluster tenta iniciar um contêiner a partir de uma imagem não verificada. Implantar imagens não verificadas pode introduzir riscos de segurança desconhecidos, como vulnerabilidades ou malware, no seu ambiente.

    Cluster starts an image with vulnerabilities

    Disparado quando um cluster tenta iniciar um contêiner a partir de uma imagem com vulnerabilidades conhecidas. A exploração dessas vulnerabilidades pode permitir que um invasor comprometa suas aplicações ou o cluster subjacente.

    Cluster starts an image with malicious files

    Indica que um cluster tentou iniciar um contêiner a partir de uma imagem contendo um arquivo malicioso. Isso pode levar à execução de malware, como trojans ou mineradores de criptomoedas, dentro do seu cluster.

    Cluster starts an image that failed a baseline check

    Acionado quando um cluster tenta iniciar um contêiner a partir de uma imagem que falhou em uma verificação de linha de base. Isso significa que a imagem não está em conformidade com os padrões de segurança e configuração da sua organização.

    Cluster starts an image with sensitive files

    Alerta gerado quando um cluster tenta iniciar um contêiner a partir de uma imagem contendo um arquivo sensível, como uma chave privada ou credencial de acesso. Incluir informações sensíveis diretamente em uma imagem é uma prática de alto risco que pode levar ao vazamento de credenciais.

    Cluster starts an image with risky build instructions

    Identifica quando um cluster tenta iniciar um contêiner a partir de uma imagem construída com instruções de compilação arriscadas. Essas instruções podem introduzir fraquezas de segurança ou configurações incorretas na imagem final.

    Trusted Exception

    Alert name

    Description

    system startup component trust event

    Detecta o status de confiança de instâncias confiáveis do ECS e lida com status anormais. Para mais informações, consulte Using Trusted Instances.

    Outros

    Alert name

    Description

    DDoS

    Ataque DDoS.

    Security Center client abnormally offline

    Este alerta é acionado quando o AliYunDun, o processo principal do cliente Security Center, fica offline no seu servidor e permanece assim por um período especificado. Isso pode resultar de instabilidade temporária da rede ou de um ciberataque que desinstalou forçadamente o cliente. Faça logon no servidor para verificar se o processo do cliente está em execução. Se o processo não estiver rodando, reinicie-o prontamente.

    Security Center client on a non-Alibaba Cloud host abnormally offline

    Alerta disparado quando o AliYunDun, processo principal do cliente Security Center, cai em seu host fora da Alibaba Cloud e permanece offline por um tempo determinado. A causa pode ser instabilidade momentânea de rede ou um ataque cibernético que forçou a desinstalação do cliente. Acesse o servidor para checar se o processo do cliente está ativo. Caso não esteja, reinicie-o imediatamente.