Security Center：無代理檢測

開通服務

1. 開通服務

   1. 登入Security Center控制台。選擇需防護資產所在的地區：中國內地或非中國內地。

   2. 進入防護配置 > 主機防護 > 無代理檢測頁面，單擊立即開通並勾選相關協議。

      重要

      無代理檢測採用隨用隨付模式。

2. 完成服務授權（首次）

   首次使用時，系統會提示進行服務角色授權。根據介面引導，單擊去授權。

   說明

   授權成功後，Security Center自動建立服務關聯角色AliyunServiceRoleForSas。關於AliyunServiceRoleForSas的更多資訊，請參見Security Center服務關聯角色。

建立並執行檢測任務

管理檢測任務

分析與處理風險

任務成功完成後，可以在無代理檢測頁面查看和處理所發現的安全風險。

1. 查看風險詳情

   在無代理檢測頁面對應檢測策略頁簽（如主機安全檢測），進入目標的風險類型（如漏洞风险）頁簽。在列表中找到目標風險項，單擊其操作列的查看或詳情，即可瞭解具體資訊。

2. 處理風險警示

   漏洞風險

   • 操作入口：定位到需要處理的漏洞項，在操作列單擊加白名單。

     警告

     無代理檢測不支援修複漏洞。

   • 支援的處理方式：加白名單。

     重要

     • 將指定漏洞加入白名單，之後不再對該漏洞警示，請謹慎操作。

     • 設定加白名單後，系統將自動同步至掃描配置 > 白名單管理 > 漏洞白名單頁簽，可在相應的頁簽查看已添加的白名單。

   基準檢查

   • 操作入口：在檢查項列表中定位至需要處理的檢查項，在操作列單擊加白名單。

   • 支援的處理方式：加白名單。

     重要

     • 將目標檢查項加入白名單後，新增伺服器將不再檢測此檢查項，請謹慎操作。

     • 設定加白名單後，系統將自動同步至掃描配置 > 白名單管理 > 基準白名單頁簽，可在相應的頁簽查看已添加的白名單。

   惡意樣本

   • 操作入口：在警示列表中定位到需要處理的警示項後，在操作列中單擊修改狀態或處理。

   • 支援的處理方式：

     • 加白名單：如果警示確認無惡意行為，可以根據白名單規則及應用範圍，將該警示添加至白名單。

       重要

       • 對警示進行加白處理，當相同警示再次發生時，該警示將自動進入已處理列表，不再進行警示通知，請謹慎操作。

       • 支援對相同警示進行批量處理，不同類型的警示所支援的處理方式各不相同，請以控制台頁面的顯示為準。

       • 設定加白名單後，系統將自動同步至掃描配置 > 白名單管理 > 惡意樣本白名單頁簽，可在相應的頁簽查看已添加的白名單。

     • 手動處理：已線下人工處理了導致該警示事件的風險問題後，再將該警示標記為手動處理。

     • 標記誤判：將本次警示標記為誤判，Security Center將依據您的反饋建議，持續最佳化其掃描能力。

     • 忽略：僅將忽略本次警示，當再次檢測並命中檢測策略時，仍會推送警示。

   敏感檔案

   • 操作入口：

     1. 在敏感檔案警示列表中定位到需要處理的警示項後，單擊操作列詳情，查看詳細描述和加固建議。

     2. 在詳情面板風險列表的操作列，單擊處理，在對話方塊中選擇警示的處理方式，單擊確定。

   • 支援的處理方式：

     • 加白名單：如果警示確認無惡意行為，可以根據白名單規則，將該警示添加至白名單。規則如下：

       重要

       • 對警示進行加白處理，當相同警示再次發生時，該警示將自動進入已處理列表，不再進行警示通知，請謹慎操作。

       • 支援配置多條規則，所有規則之間是 “與（AND）” 的關係。即同時滿足所有規則條件，才會加入白名單。

       • 設定加白名單後，系統將自動同步至掃描配置 > 白名單管理 > 敏感檔案白名單頁簽，可在相應的頁簽查看已添加的白名單。

       • MD5：萬用字元僅支援選擇等於，然後輸入檔案的MD5值。

       • 路徑：萬用字元支援選擇包含、首碼、尾碼，然後輸入具體路徑。

     • 手動處理：已線下人工處理了導致該警示事件的風險問題後，再將該警示標記為手動處理。

     • 標記誤判：將本次警示標記為誤判，Security Center將依據您的反饋建議，持續最佳化其掃描能力。

     • 忽略：僅忽略本次警示，當再次檢測並命中檢測策略時，仍會推送警示。

設定檢測白名單

1. 在無代理檢測頁面，單擊扫描设置，進入白名單管理頁簽。

2. 根據風險類型，單擊對應頁簽下的新增規則。

3. 參考如下說明，配置加白規則。

   重要

   以下白名單配置對全部資產有效。

   漏洞白名單

   • 漏洞類型：僅支援Linux軟體漏洞、Windows系統漏洞、應用漏洞。

   • 漏洞名稱：根據選擇漏洞類型，拉取最新的漏洞資料。

   惡意樣本白名單

   • 警示名稱：預設為ALL，表示白名單規則對所有類型的警示生效，不支援修改。

   • 加白字段：預設為fileMd5，表示對檔案的MD5值進行加白，不支援修改。

   • 通配符：僅支援選擇相等。

   • 規則內容：輸入檔案的MD5值。

   基準白名單

   • 檢查項類型：指定不需要檢測的基準檢查項。

   • 檢查項：根據檢查項類型拉取對應類型下具體的檢查項。

   敏感檔案白名單

   • 敏感檔案檢查項：指定不需要檢測的專案。

   • 設定加白條件：

     說明

     支援配置多條規則，所有規則之間是 “與” （AND） 的關係。即同時滿足所有規則條件，才會加入白名單。

     • MD5：萬用字元僅支援選擇等於，然後輸入檔案的MD5值。

     • 路徑：萬用字元支援選擇包含、首碼、尾碼，然後輸入具體路徑。

接入並檢測多雲資產

無代理檢測支援在非中國內地地區接入亞馬遜雲（AWS）、Azure，接入步驟如下：

應用於生產環境

• 效能影響：無代理檢測的掃描過程不消耗目標伺服器資源。

• 成本控制：無代理檢測的費用由“掃描費”和“鏡像儲存費”兩部分構成。為有效控製成本，建議在建立任務設定鏡像儲存時間時勾選僅保留存在風險的鏡像，並定期清理不再需要的快照。

配額與限制

• 磁碟規格：單塊雲端硬碟最大支援 1 TiB，單盤最大檢測檔案數為20,000,000個，超出部分不檢測。

• 伺服器限制：每台伺服器最多支援檢測 15 個雲端硬碟，超出部分不檢測。

• 結果保留：檢測任務的結果僅保留 30 天，到期後將自動清除。對同一資產的多次檢測，系統僅保留最近一次的檢測結果。

• 修複能力：本功能僅支援檢測和警示，不提供自動修複能力，根據風險詳情頁的說明，自行處理風險項。

• 壓縮檔限制：壓縮檔僅支援檢測JAR檔案，只解壓一層進行檢測。

• 檔案系統限制：支援ext2、ext3、ext4、XFS、NTFS，其中NTFS不支援依賴檔案許可權資訊的檢測項。

• 儲存與磁碟限制：

  • 阿里雲ECS不支援檢測已加密的系統硬碟或資料盤。

  • 所有主機（阿里雲和非阿里雲）均不支援檢測 LVM（邏輯卷管理）、RAID 磁碟陣列以及 ReFS 檔案系統的資料盤。

計費說明

使用無代理檢測功能產生的費用說明如下：

• 無代理檢測掃描費

  • 計費方式：隨用隨付。

  • 計費周期：自然日。

  • 計費單價：0.03美元/GB。

  • 計費量：根據掃描的鏡像的實際資料量計算，而非磁碟總容量。

• ECS 資源使用費

  重要

  推薦在配置主機檢測任務時，勾選僅保留存在風險的鏡像，系統將在掃描結束後自動刪除無風險鏡像，以節省儲存成本。具體操作參見儲存時間配置。

  • 鏡像費用：檢測任務會為伺服器建立鏡像，會按照鏡像使用容量和時間長度收取相應的費用，此費用由Elastic Compute Service收取，詳情請參見鏡像計費。

常見問題

• 無代理檢測和病毒查殺功能有什麼區別？

  對比項	無代理檢測	病毒查殺
  工作模式	掃描離線快照，靜態分析	線上即時監控與掃描，動態+靜態分析
  伺服器狀態	可檢測開機/關機的伺服器	僅可檢測開機且Agent線上的伺服器
  檢測範圍	漏洞、基準、惡意樣本、敏感檔案。	病毒、WebShell、入侵行為、漏洞等
  處置能力	支援檢測、警示、加白，不提供修複。	提供一鍵隔離、查殺、修複能力。
  效能影響	無 。	輕微 （Agent佔用少量系統資源）。
  計費模式	隨用隨付 （按掃描GB）	訂用帳戶（防病毒版及以上版本）或隨用隨付。
  掃描模式	支援全盤掃描。	支援快速掃描和自訂目錄掃描。

• 無代理檢測能否自動修複所有風險？

  不能。僅支援檢測、警示、加白，忽略等操作，不提供自動修複能力，請根據風險詳情頁的說明，自行處理風險項。

  說明

  高危漏洞和惡意軟體建議優先處理，基準最佳化按需整改。

• 非阿里雲伺服器如何使用進階檢測功能？

  目前無代理檢測支援接入阿里雲ECS和AWS EC2、Azure伺服器。

  重要

  • AWS和Azure僅在非中國內地支援接入檢測，更多資訊參見接入並檢測多雲資產。

  • 對於其他雲廠商或本機資料中心的伺服器，建議安裝Security CenterAgent，並開通防病毒版或更進階版本，以便獲得全面的安全防護能力。具體步驟，請參考購買Security Center、安裝用戶端

• 無代理檢測部分警示為何不顯示資產IP？

  在使用無代理方式檢測時，若資產IP顯示為空白，可能的原因如下：

  • 執行個體已釋放

    當警示對應的資產執行個體被釋放後，Security Center將無法擷取該執行個體的IP資訊，因為該執行個體已經不再存在於系統中，因此無法繼續追蹤或顯示其IP地址。

  • 資料清理機制

    Security Center可能會清理已經釋放的執行個體的記錄，導致相關資訊無法載入。

附錄