Security Center:Usar detecção sem agente

Ativar o serviço

1. Ative o serviço

   1. Faça login no console do Security Center. Na barra de navegação superior, selecione a região onde seus ativos estão localizados: Chinese Mainland ou Outside Chinese Mainland.

   2. No painel de navegação à esquerda, escolha Protection Configuration > Host Protection > Agentless Detection. Na página exibida, clique em Activate Now e revise os acordos relacionados.

      Importante

      A detecção sem agente utiliza o método de faturamento pagamento conforme o uso.

2. Conclua a autorização do serviço (para usuários iniciantes)

   Na primeira vez que você usa este recurso, o sistema solicita a autorização de uma função de serviço. Clique em Authorize Now.

   Nota

   Após conceder a autorização, o Security Center cria automaticamente as funções vinculadas ao serviço AliyunServiceRoleForSas e AliyunServiceRoleForSasAgentless. Essas funções são descritas em Função vinculada ao serviço do Security Center.

3. Autorize a detecção sem agente para discos criptografados do Alibaba Cloud ECS (para usuários iniciantes)

   Se suas instâncias ECS usam discos criptografados (discos de sistema ou de dados criptografados) e você deseja executar verificações de segurança por detecção sem agente nelas, conclua a autorização seguindo as instruções em Autorizar detecção sem agente para discos criptografados do ECS.

Criar e executar uma tarefa de detecção

Gerenciar tarefas de detecção

Analisar e tratar riscos

Após a conclusão de uma tarefa, visualize e trate os riscos detectados na página Agentless Detection.

1. Visualize detalhes do risco

   Na página Agentless Detection, acesse a aba da política de detecção, como Server Check, e depois a aba do tipo de risco, como Vul Risk. Na lista, localize o item de risco e clique em View ou Details na coluna Actions para visualizar seus detalhes.

2. Trate alertas de risco

   Vulnerabilidades

   • Operação: Localize a vulnerabilidade alvo e clique em Add to Whitelist na coluna Actions.

     Aviso

     A detecção sem agente não suporta correção de vulnerabilidades.

   • Ações suportadas: Adicionar à lista de permissões.

     Importante

     • Adicionar uma vulnerabilidade à lista de permissões impede alertas futuros sobre ela. Use com cautela.

     • Após adicionar uma entrada à lista de permissões, o sistema sincroniza automaticamente a entrada para a aba Scan Configuration > Manage Whitelist > Vulnerability Whitelist, onde você pode visualizá-la.

   Verificações de linha de base

   • Operação: Na lista de itens de verificação, localize o item que requer tratamento e clique em Add to Whitelist na coluna Actions.

   • Ações suportadas: Adicionar à lista de permissões.

     Importante

     • Após adicionar um item de verificação à lista de permissões, novos servidores não serão mais verificados quanto a este item. Use este recurso com cautela.

     • Após adicionar um item à lista de permissões, o sistema sincroniza automaticamente a configuração para a aba Scan Configuration > Manage Whitelist > Baseline Whitelist, onde você pode visualizar os itens adicionados à lista de permissões.

   Amostras maliciosas

   • Operação: Na lista de alertas, localize o item de alerta que deseja tratar e clique em Change Status ou Handle na coluna Actions.

   • Ações suportadas:

     • Add to Whitelist: Se você confirmar que um alerta não envolve comportamento malicioso, adicione o alerta à lista de permissões com base na regra de lista de permissões e seu escopo de aplicação.

       Importante

       • Se você adicionar um alerta à lista de permissões, ocorrências futuras serão movidas automaticamente para a lista de tratados sem notificações. Use com cautela.

       • É possível tratar alertas idênticos em lotes. As ações suportadas variam de acordo com o tipo de alerta. Para mais informações, consulte a página do console.

       • Após adicionar uma entrada à lista de permissões, o sistema a sincroniza automaticamente para a aba Scan Configuration > Manage Whitelist > Malicious Sample Whitelist, onde você pode visualizar as entradas adicionadas à lista de permissões.

     • Manually Handled: Se você tratou o risco offline, marque o alerta como Manually Handled.

     • Mark as False Positive: Marque este alerta como falso positivo. O Security Center usa seu feedback para otimizar continuamente suas capacidades de verificação.

     • Ignore: Ignora apenas o alerta atual. Se o sistema detectar o problema novamente, gerará outro alerta.

   Arquivos sensíveis

   • Operação:

     1. Na lista de alertas de arquivos sensíveis, localize o alerta que deseja processar e clique em Details na coluna Actions para visualizar a descrição detalhada e sugestões de reforço.

     2. Na coluna Actions da lista de ameaças no painel Details, clique em Handle, selecione um método para tratar o alerta na caixa de diálogo e clique em OK.

   • Ações suportadas:

     • Add to Whitelist: Se você confirmar que um alerta não é malicioso, adicione-o à lista de permissões com base nas regras de lista de permissões. Aplicam-se as seguintes regras:

       Importante

       • Se você adicionar um alerta à lista de permissões, ocorrências futuras serão movidas automaticamente para a lista de tratados sem notificações. Use com cautela.

       • É possível configurar várias regras. Todas as regras são combinadas com um E lógico. Isso significa que um alerta é adicionado à lista de permissões apenas se atender a todas as condições das regras.

       • Após adicionar uma entrada à lista de permissões, ela é sincronizada automaticamente para a aba Scan Configuration > Manage Whitelist > Sensitive File Whitelist, onde você pode visualizar as entradas adicionadas.

       • MD5: O caractere curinga suporta apenas equals. Em seguida, insira o hash MD5 do arquivo.

       • Path: O caractere curinga suporta contains, starts with, and ends with. Em seguida, insira o caminho específico.

     • Manually Handled: Se você tratou offline o risco que causou este alerta, marque este alerta como Manually Handled.

     • Mark as False Positive: Marque este alerta como falso positivo. O Security Center usa seu feedback para otimizar continuamente suas capacidades de verificação.

     • Ignore: Ignora apenas o alerta atual. Se o problema for detectado novamente e corresponder à política de detecção, um alerta ainda será gerado.

Configurar listas de permissões

1. Na página Agentless Detection, clique em Scan Settings e acesse a aba Manage Whitelist.

2. Com base no tipo de ameaça, clique em Create Rule na aba correspondente.

3. Configure a regra de lista de permissões conforme descrito abaixo.

   Importante

   As seguintes configurações de lista de permissões são efetivas para todos os ativos.

   Vulnerability Whitelist

   • Vulnerability Type: Linux Software Vulnerability, Windows System Vulnerability ou Application Vulnerability.

   • Vulnerability Name: Recupera os dados de vulnerabilidade mais recentes com base no Vulnerability Type selecionado.

   Malicious Sample Whitelist

   • Alert Name: o padrão é ALL, o que significa que a regra de lista de permissões se aplica a todos os tipos de alerta. Este campo não pode ser modificado.

   • Whitelist Field: O valor padrão é fileMd5, que corresponde a arquivos pelo seu hash MD5. Este campo não pode ser modificado.

   • Wildcard Character: Apenas Equals é suportado.

   • Rule Content: O hash MD5 do arquivo.

   Baseline Whitelist

   • Check Item Type: Especifica os itens de verificação de linha de base a serem ignorados.

   • Check Item: Recupera os itens de verificação específicos com base no Check Item Type selecionado.

   Sensitive File Whitelist

   • Check Item for Sensitive Files: Especifique os itens que não precisam ser verificados.

   • Configure Whitelist Conditions:

     Nota

     É possível configurar várias regras. Todas as regras são combinadas com um E lógico. Isso significa que um alerta é adicionado à lista de permissões apenas se atender a todas as condições das regras.

     • MD5: O caractere curinga suporta apenas equals. Em seguida, insira o hash MD5 do arquivo.

     • Path: O caractere curinga suporta contains, starts with, and ends with. Em seguida, insira o caminho específico.

Conectar e verificar ativos multicloud

Conecte-se à Amazon Web Services (AWS) ou Azure para detecção sem agente:

Entrando em produção

• Impacto no desempenho: A verificação não consome recursos no servidor alvo.

• Controle de custos: As taxas do recurso de detecção sem agente consistem em taxas de verificação e taxas de armazenamento de imagem. Para controlar custos, ao criar uma tarefa e configurar a definição Image Retention Duration, selecione a opção Retain Only At-risk Image. Você também pode excluir periodicamente snapshots que não são mais necessários.

Cotas e limites

• Especificações de disco: Um único disco em nuvem suporta no máximo 1 TiB. Até 20.000.000 arquivos podem ser verificados em um único disco. Quaisquer arquivos além desse limite não serão verificados.

• Limites de servidor: Cada servidor suporta a verificação de no máximo 15 discos em nuvem. Quaisquer discos além desse limite não serão verificados.

• Retenção de resultados: Os resultados da detecção são retidos por 30 dias e limpos automaticamente após o vencimento. Para múltiplas verificações do mesmo ativo, apenas os resultados mais recentes são retidos.

• Capacidade de correção: Este recurso suporta apenas detecção e alerta, não correção automática. Trate os itens de risco com base na página de detalhes do risco.

• Limites de arquivos compactados: Apenas arquivos JAR são suportados. Apenas a primeira camada é descompactada para verificação.

• Limites de sistema de arquivos: ext2, ext3, ext4, XFS e NTFS são suportados. Para NTFS, itens de verificação que dependem de informações de permissão de arquivo não são suportados.

• Limites de armazenamento e disco: Para todos os hosts (Alibaba Cloud e não Alibaba Cloud), a verificação de discos de dados que usam LVM, arrays RAID ou o sistema de arquivos ReFS não é suportada.

Faturamento

As taxas geradas pelo uso do recurso de detecção sem agente são as seguintes:

• Taxa de verificação de detecção sem agente

  • Método de faturamento: Pagamento conforme o uso.

  • Ciclo de faturamento: Diário.

  • Preço unitário: USD 0,03/GB.

  • Uso faturável: Calculado com base no volume real de dados dos imagens verificados, não na capacidade total do disco.

• Taxas de uso de recursos ECS

  Importante

  Recomendamos que, ao configurar tarefas de detecção de host, você selecione Retain Only At-risk Image. O sistema então exclui automaticamente imagens livres de risco após a verificação para reduzir custos de armazenamento. Para o procedimento específico, consulte Configuração de tempo de retenção.

  • Taxas de imagem: A tarefa de detecção cria uma imagem para o servidor. Há cobrança pela imagem com base em sua capacidade de uso e duração. Essas taxas são cobradas pelo ECS. Para mais informações, consulte Faturamento de imagem.

  • Taxas de recursos de verificação de disco criptografado: Para verificar discos criptografados do ECS, criamos os seguintes recursos em sua conta para cada verificação. Alguns recursos incorrem em uma pequena taxa e são liberados imediatamente após a conclusão da verificação.

    • Instância ECS: Quando você seleciona a criptografia Service Key para os discos criptografados do ECS a serem verificados, criamos uma instância ECS preemptiva para verificação de disco criptografado. Essas taxas são cobradas pelo ECS. Para mais informações, consulte Faturamento de tipo de instância.

    • Instância VPC: Uma instância Virtual Private Cloud (VPC) chamada alibaba-cloud-security-scan-vpc. A criação desta instância não incorre em taxas.

    • Instância vSwitch: Uma instância vSwitch chamada alibaba-cloud-security-scan-subnet. A criação desta instância não incorre em taxas.

Perguntas frequentes

• Qual é a diferença entre detecção sem agente e verificação de vírus?

  Item de comparação	Detecção sem agente	Verificação de vírus
  Modo de operação	Verifica snapshots offline, análise estática	Monitoramento e verificação online em tempo real, análise dinâmica + estática
  Status do servidor	Servidores com detecção de inicialização e desligamento	Só pode verificar servidores em execução com um agente online
  Escopo de detecção	Vulnerabilidades, linhas de base, amostras maliciosas, arquivos sensíveis.	Vírus, webshells, comportamentos intrusivos, vulnerabilidades, etc.
  Capacidade de resposta	Suporta detecção, alerta e lista de permissões. Não fornece correção.	Fornece capacidades de isolamento, quarentena e correção com um clique.
  Impacto no desempenho	Nenhum.	Leve (o agente consome uma pequena quantidade de recursos do sistema).
  Modelo de faturamento	Pagamento conforme o uso (por GB verificado)	Assinatura (Anti-virus Edition e superior) ou pagamento conforme o uso.
  Modo de verificação	Suporta verificações completas de disco.	Suporta verificações rápidas e verificações de diretório personalizadas.

• A detecção sem agente pode corrigir automaticamente todos os riscos?

  Não. A detecção sem agente suporta apenas detecção, alerta, lista de permissões e ignorar. Trate os itens de risco com base nas instruções na página de detalhes do risco.

  Nota

  Priorize o tratamento de vulnerabilidades de alto risco e malware. Otimizações de linha de base podem ser implementadas conforme necessário.

• Como posso usar recursos avançados de detecção para servidores não Alibaba Cloud?

  A detecção sem agente suporta conexão com Alibaba Cloud ECS, AWS EC2 e servidores Azure.

  Importante

  • O Azure é suportado para detecção apenas em regiões Outside Chinese Mainland. Para mais informações, consulte Acessar e detectar ativos multicloud.

  • Para servidores de outros provedores de nuvem ou em data centers on-premises, recomendamos instalar o agente do Security Center e adquirir a Anti-virus Edition ou uma edição superior para obter proteção de segurança abrangente. Para etapas específicas, consulte Adquirir o Security Center e Instalar o agente.

• Por que alguns alertas de detecção sem agente não exibem o endereço IP do ativo?

  Ao usar a detecção sem agente, se o endereço IP do ativo estiver vazio, os possíveis motivos são:

  • A instância foi liberada

    Quando a instância correspondente a um alerta é liberada, o Security Center não consegue mais recuperar as informações de IP da instância porque ela não existe mais.

  • Mecanismo de limpeza de dados

    O Security Center pode limpar registros de instâncias liberadas, o que torna as informações relacionadas indisponíveis.

Apêndice