Security Center：智能行為分析

什麼是智能行為分析

主機智能行為分析通過 AI 模型學習伺服器上的正常進程行為，構建進程白名單。當伺服器執行白名單以外的進程時，系統根據當前運行模式觸發預警或管控，發現並處置潛在安全威脅。

• 異常進程檢測：伺服器被植入惡意程式或挖礦木馬時，異常進程行為會觸發系統警示或自動攔截。

• 合規審計：記錄伺服器上所有進程行為，滿足安全合規審計要求。

• 零信任防護：預設僅允許白名單內的進程運行，從根源上阻止未知程式執行。

工作原理

適用範圍

• 伺服器已安裝用戶端。

• 伺服器作業系統及核心版本符合AliHips 支援要求，AliHips 進程運行正常。

開通智慧主機檢測與響應（Agentic EDR）

使用智能行為分析功能，需要先購買並開通智慧主機檢測與響應。

伺服器綁定授權

需要為伺服器綁定 EDR 席位授權後，才能使用智能行為分析進行學習和防護。

1. 訪問Security Center控制台-總覽頁面。

2. 進入授權頁面：根據購買的服務模式，授權入口不同。

   • 訂用帳戶/混合計費：在訂用帳戶服務地區，單擊智慧主機檢測與響應右側的管理。

   • 隨用隨付：在按量隨用隨付服務地區，單擊智慧主機檢測與響應右側的授權管理。

3. 在授權管理彈窗內，選擇選擇伺服器所在地區（中國內地或非中國內地）後，定位至目標伺服器。

4. 在目標伺服器的Agentic EDR 席位列，開啟開關。

   重要

   如需為新增的伺服器自動綁定 EDR 席位，可在新增主機自動綁定地區，勾選新增主機自動啟用Agentic EDR。

建立分析策略

開啟主機智能行為分析前，需要先建立防護策略，定義學習時間長度、白名單模式和生效主機範圍。

1. 訪問Security Center控制台-防護設定-主機防護-智能行為分析，在頁面左側頂部，選擇需防護資產所在的地區：中國內地或非中國內地。

2. 在智能行為分析頁面，單擊右上方的智能行為分析設定。

3. 在彈出的智能行為分析設定對話方塊中，單擊新增策略。

4. 在新增策略頁面，配置以下參數：

   參數	說明
   策略名稱	自訂策略名稱稱，便於後續識別和管理。
   學習時間長度	模型初次建立後的學習天數。學習期間，系統記錄所有進程行為。 說明 建議至少 7 天，確保覆蓋業務的完整運行周期。 如果伺服器業務周期性較強（如每周執行一次定時任務），建議 14 天以上。
   自動結束	若連續 N 天無新增行為，智能分析模型將自動結束學習並進入防護階段（預設預警模式）。
   白名單模式	白名單匹配方式。 進程路徑（預設）：進程路徑按檔案路徑匹配。 進程Hash：按檔案雜湊值（MD5）匹配。
   伺服器選擇	策略生效的伺服器範圍。支援選擇全部資產或按資產分組選擇。可按伺服器名稱、公網 IP 或私網 IP 搜尋。

5. 單擊確定完成策略建立。

6. 返回智能行為分析頁面，在伺服器列表中確認對應伺服器的狀態顯示為"學習"。

管理進程白名單

學習階段完成後，系統產生進程行為白名單。支援查看、新增或刪除白名單中的進程路徑。

切換防護模式

學習階段完成後，伺服器的預設防護模式為預警，支援切換防護模式。

1. 在伺服器列表中，單擊目標伺服器操作列的切換模式。

2. 在切換強制回應對話方塊中，選擇預警或管控模式。

3. 單擊確定完成切換。

查看和處理警示

若伺服器存在不在進程白名單中的進程，系統會產生安全警示。可在Security Center的警示功能中查看和處理。

1. 在左側導覽列，選擇檢測響應 > 警示。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。

   說明

   如果已開通 Agentic SOC 服務，左側導覽列入口將變更為威脅分析與響應 > 警示。

2. 在雲工作負載保護平台(CWPP)頁簽，單擊主機異常行為警示下的數字，進入警示列表。

   警示狀態說明如下：

   • 預警模式：警示狀態為待處理，需人工介入判斷。

   • 管控模式：系統已自動攔截該進程，警示狀態為已攔截。

3. 針對每條警示，支援以下兩種處理方式：

   對比維度	忽略	加入業務模型
   當前警示狀態	變為"已忽略"。	無變化。
   是否再次警示	仍會產生警示：下次相同進程運行時，系統會再次產生警示資訊。	不再產生警示：下次相同進程運行時，直接允許存取。
   白名單變更	無變化。	將該進程添加至進程白名單中。
   適用情境	臨時性任務、需持續監控的疑似行為。	確認為正常業務進程、希望減少重複警示。

重新學習進程行為

當伺服器的業務進程發生變更時，需要重新學習進程行為並產生新的白名單，避免進程誤攔截或無效警示。系統提供以下兩種方式：

1. 在智能行為分析頁面的伺服器列表中，單擊目標伺服器操作列的重新學習或增量學習。

2. 操作完畢後，運行狀態將變為學習。

   重要

   學習期間，管控和預警均不生效。

計費說明

• 訂用帳戶：

  • 計費方式：按購買的席位授權數量計費。綁定 1 台主機消耗 1 個席位授權。

  • 計費規則：6.876066美元/個/月。

• 隨用隨付：

  • 計費方式：按席位元 × 使用時間長度計費。綁定 1 台主機消耗 1 個席位授權，無策略配置的主機自動停計費。

  • 計費周期：按小時計費，按自然日結算。

  • 價格：0.014325美元/個/小時。

• 混合計費：

  • 計費方式：按購買的席位授權數量計費。綁定 1 台主機消耗 1 個席位授權。

  • 計費規則：開通了彈性防護後，當實際綁定的席位超過已購訂用帳戶普通席位時，超出部分將按照彈性防護席位進行計費。

    重要

    訂用帳戶服務到期後，彈性防護也自動關閉，彈性防護席位也自動停止計費。

    • Agentic EDR 普通席位：6.876066美元/個/月。

    • Agentic EDR 彈性防護席位：0.014325美元/個/小時。

關閉和退訂服務

如果不再需要 EDR 服務，可根據計費模式參考以下指引操作。

• 關閉整個服務：

  • 訂用帳戶：訪問或退訂管理頁面，自助申請退訂，選擇 EDR 對應的訂單。具體操作請參見退款說明。

  • 隨用隨付：在Security Center控制台-總覽頁面的隨用隨付服務地區，關閉智慧主機檢測與響應即可。

• 關閉彈性防護：

  • 方式一：在Security Center控制台-總覽頁面的訂用帳戶服務地區，關閉彈性防護開關即可。

  • 方式二：退訂訂用帳戶服務後，彈性防護也自動關閉。

資料清理

關閉服務，退訂Agentic EDR執行個體、或賬戶欠費後，智能行為分析立即停止服務，資料保留情況如下：

常見問題

• Security Center執行個體到期後，會影響Agentic EDR嗎？

  不會影響。原因如下：

  • 獨立計費：Agentic EDR 是獨立的計費模組，與Security Center執行個體分開計費。

  • 功能持續可用：只要Agentic EDR執行個體仍在有效期間內，即使Security Center執行個體已到期，仍可正常使用學習、伺服器綁定等功能。

• 為什麼我看不到彈性防護開關？

  彈性防護現在處於邀測階段，請聯絡商務經理開通後，即可查看使用。

• 學習完成後，為什麼白名單為空白？

  白名單為空白可能表示學習期間伺服器上沒有進程活動。請確認以下資訊，確認無誤後單擊重新學習。

  • 伺服器是否正常運行，Security Center用戶端是否線上。

  • AliHips 進程運行正常。若不正常，請確認伺服器作業系統及核心版本是否符合AliHips 支援要求。

  • 學習期間伺服器是否有實際的業務流量。

• 管控模式下如何避免誤殺正常業務進程？

  • 切換到管控模式前，確保學習時間長度足夠，白名單覆蓋所有正常業務進程。

  • 先在預警模式下運行一段時間，觀察是否有正常業務被誤判。

  • 發生誤攔截時，在白名單中新增對應進程路徑，然後進行重新學習或增量學習。

• 增量學習和重新學習有什麼區別？

  • 增量學習：保留已有白名單，僅學習新增的進程行為。適合業務小幅調整、新增少量進程的情境，風險較低，已有白名單不受影響。

  • 重新學習：清空所有已有資料，從零開始學習。適合業務發生重大變更、原有模型不再適用的情境，風險較高。