Security Center：病毒查殺

核心能力

• 檢測範圍：覆蓋進程、啟動項、計劃任務、敏感目錄等關鍵掃描項。

• 處理方式：支援自動隔離、深度查殺、白名單管理等多種處置手段。

• 掃描方式：支援立即掃描與周期性掃描兩種方式。

適用情境

• 定期安檢：按計划進行安全檢查與威脅清理。

• 應急響應：用於安全事件發生後的快速處置與溯源。

• 合規加固：滿足合規審計要求，並對系統進行安全強化。

支援處理的病毒類型和掃描項

• 病毒類型：勒索病毒、挖礦程式、DDoS木馬、木馬程式、後門程式、惡意程式、高危程式、蠕蟲、可疑程式及自變異木馬。

• 掃描項：活動進程、隱藏進程、Docker進程、核心模組、已安裝程式、動態庫劫持、服務、計劃任務、開機自啟動項及敏感目錄。

處理前檢查清單

在選擇處理方式前，建議先登入伺服器，對可疑檔案進行基礎資訊確認，評估業務影響。

1. 檔案資訊確認：通過檔案路徑、簽名、雜湊值確認是否為病毒（避免誤殺系統/業務檔案）。

2. 進程與歸屬檢查：：檢查該檔案是否被關鍵服務調用（如 nginx、mysql 相關組件）

3. 業務影響評估：確認該檔案是否為業務應用的一部分，刪除後是否會影響服務。

選擇處理方式

在警示列表中，找到需要處理的警示，單擊處理，然後根據評估結果選擇操作。您可以單擊警示左側的下拉表徵圖查看病毒檔案路徑等詳細資料。

展開後的詳細資料還包括惡意檔案 MD5和進程 ID。

開通警示通知

在 系統設定 > 通知設定 頁面配置警示通知，確保在發現高危威脅時，能通過郵件、簡訊或DingTalk等方式第一時間通知到相關負責人。具體操作，請參見通知設定。

在安全警示通知配置地區，完成以下設定：

• 通知時間：選擇24 小時或8:00 - 20:00。

• 警示層級：根據需要勾選緊急、可疑、提醒。

• 通知方式：根據需要勾選簡訊、郵件、站內信。

效能最佳化與應急響應

• 效能最佳化：

  • 對於1核1G等低規格伺服器，建議在業務低峰期執行快速掃描，並關閉記憶體檢測。以減少對系統資源的消耗。

  • 對於大規模掃描任務，建議分批執行，或在掃描設定中排除大型日誌、備份目錄，以減少掃描時間。

• 應急響應流程：

  1. 立即隔離：發現高危威脅後，通過安全性群組阻斷異常連接埠或限制僅允許辦公 IP 訪問，防止攻擊者繼續操控伺服器。

  2. 取證備份：為伺服器建立快照，備份關鍵日誌（如 /var/log/secure、/var/log/cron 等）。

  3. 深度查殺：使用Security Center深度查殺功能，清除惡意進程、Webshell 及持久化項（包括 Crontab 定時任務、SSH 公開金鑰 ~/.ssh/authorized_keys、動態庫劫持等）。

  4. 漏洞修複：掃描並修複系統及應用漏洞，修改所有弱口令為強密碼。

  5. 安全強化：開啟惡意主機行為防禦進行主動攔截（具體操作參見惡意主機行為防禦），限制遠程登入 IP，僅開放必要連接埠。

  6. 持續監控：持續觀察伺服器狀態，確認威脅未複發。

• 根治建議：

  若伺服器反覆感染或病毒深入底層，建議採取以下措施：

  • 備份業務資料後重設系統硬碟。在 ECS 控制台找到對應執行個體，在全部操作中選擇初始化雲端硬碟（需在關機狀態下操作）。

  • 重新部署業務前，先完成安全強化（修改密碼、關閉不必要連接埠、安裝最新補丁）。

  • 定期建立快照備份，以便受損時快速恢複。

安全強化建議

為防範伺服器後續再次遭受病毒攻擊，建議對伺服器實施必要的加固措施，以此加大攻擊者的入侵代價，提高其突破防禦的門檻。

• 開啟惡意主機行為防禦

  在 防護配置 > 主機防護 > 惡意主機行為防禦 頁面開啟此功能，具體操作參見主機防護設定。它能主動攔截主流病毒（木馬病毒、勒索軟體、挖礦病毒、DDoS木馬等威脅）的惡意行為，提供主動防禦能力。

• 伺服器安全強化

  • 升級Security Center版本：企業版和旗艦版支援病毒自動隔離（即病毒自動查殺）功能為您提供精準防禦能力，支援更多的安全檢測項。

  • 收緊存取控制：僅開放必要的業務連接埠（如80、443），對管理連接埠（如22、3389）和資料庫連接埠（如3306）配置嚴格的IP白名單存取原則。

    說明

    若是阿里雲 ECS伺服器可參見管理安全性群組進行操作。

  • 設定複雜伺服器密碼：為伺服器和應用設定包含大小寫字母、數字和特殊符號的複雜密碼。

  • 升級軟體：請及時將應用軟體更新至官方最新版本，避免使用已停止維護或存在已知安全性漏洞的舊版本。

  • 定期備份：對重要資料和伺服器系統硬碟建立定期快照策略。

    說明

    若是阿里雲 ECS伺服器可參見建立自動快照策略進行操作。

  • 及時修複漏洞：定期使用Security Center漏洞修複功能及時修補系統高危漏洞和應用漏洞。

  • 重設伺服器系統（謹慎選擇）。

    如果破壞入侵較深，關聯到系統底層組件，強烈建議您在備份重要資料後，重設伺服器的系統。具體操作步驟如下：

    1. 建立快照備份伺服器上的重要資料。具體操作，請參見手動建立單個快照。

    2. 初始化伺服器的作業系統。具體操作，請參見重新初始化系統硬碟（重設作業系統）。

    3. 使用快照產生雲端硬碟。具體操作，請參見使用快照建立資料盤。

    4. 掛載雲端硬碟到重裝系統後的伺服器上。具體操作，請參見掛載資料盤。

• SSH弱口令入侵應急響應

  如果伺服器因SSH弱口令被入侵，建議立即執行以下操作：

  1. 修改密碼：立即將root密碼修改為包含大小寫字母、數字和特殊符號的複雜密碼，並定期更換。

  2. 排查後門：檢查是否存在異常進程、未知賬戶、可疑定時任務和SSH公開金鑰，清除入侵痕迹。

  3. 封鎖攻擊源：在安全性群組中封鎖攻擊者源IP，限制僅允許指定可信IP進行SSH/遠端桌面登入。

  4. 徹底清除：如無法確認入侵影響範圍，建議備份業務資料後初始化系統硬碟並重新部署業務。在ECS控制台找到對應執行個體，點擊執行個體名稱，在右上方“全部操作”中找到“初始化雲端硬碟”（需在關機狀態下操作）。

加白與忽略相關問題

• 如何取消加白（白名單）？

  病毒查殺模組暫不支援取消加白，可前往檢測響應 > 安全警示，在已處理的警示列表中執行取消加白操作，具體操作可參見取消警示加白。

  說明

  若您購買了Agentic SOC服務，請在左側導覽列，選擇威脅分析與響應 > 安全警示。

• 加白名單和忽略的區別？

  對比項	加白名單	忽略
  適用情境	確認為誤判，且希望永久不再收到此類警示。	臨時性、偶發性誤判，或已知可接受的風險。
  影響範圍	相同特徵（相同資產+相同檔案路徑+相同 MD5）的警示不再產生，僅更新最後發生時間。	僅針對當前警示生效，若相同威脅再次出現，系統會重建警示。
  可否撤銷	可在檢測響應 > 安全警示的已處理列表中取消加白。	無需撤銷，忽略後系統會繼續監控相同威脅。

病毒查殺與警示處理問題

• 病毒查殺和安全警示有什麼區別？

  • 病毒查殺是專註於檢測和處理伺服器惡意檔案的功能模組，提供深度掃描和專項處置能力。

  • 安全警示是一個統一的警示中心，匯總了包括病毒、異常登入、網路攻擊、漏洞等在內的所有安全事件。

  說明

  • 病毒查殺功能掃描出來的警示資訊，會同步至安全警示功能模組中。您可以在任一模組處理警示，狀態會雙向同步。

  • 病毒查殺功能僅用於檢測和清除惡意檔案，病毒查殺後確認無風險一般不會觸發封鎖處罰。如果處理後仍存在訪問問題，建議排查安全性群組規則、伺服器內部防火牆等其他原因。

• 為什麼病毒處理後反覆出現？

  病毒處理後複發可能原因如下：

  • 根本原因未解決：伺服器存在弱口令、未修複的高危漏洞，導致攻擊者可以重複入侵。

  • 清理不徹底：初次處理時未能清除所有潛伏的後門或持久化項。

  • 資料來源汙染：從帶有病毒的備份或鏡像恢複了資料。

  處理方案：

  • 參照安全強化方案進行安全強化。

  • 完成病毒處理後，建議重啟伺服器及應用，以中斷可能潛伏在記憶體中的惡意進程。

    警告

    • 重啟伺服器會造成服務短暫中斷，在此期間依賴該伺服器啟動並執行網站、應用程式等將無法正常訪問，可能影響使用者體驗或商務程序的連續性，請在業務低峰期操作。

    • 部分部署在伺服器上的應用因未配置自動啟動機制或依賴特定環境變數，通常需要手動重新啟動，否則會導致應用服務不可用。例如特定版本的訊息佇列，請提前評估重啟方案。

• 如何處理多條警示（批量處理警示）？

  • 防護配置 > 主機防護 > 病毒查殺模組掃描出的病毒類警示支援批量處理。

    1. 進入病毒查殺列表頁，選擇需要處理的警示，單擊左側多選框。

    2. 單擊左下角批量處理按鈕，選擇合適的處理方式即可。

  • 檢測響應 > 安全警示模組支援批量加白、批量忽略的處理方式來處理警示。

    1. 進入安全警示列表，選擇需要處理的警示，單擊左側多選框。

    2. 單擊左下角忽略一次或加白名单按鈕即可。

• 警示顯示檔案不存在怎麼辦？

  這可能是因為病毒已被其他方式清除或病毒自身清理了痕迹，可在警示列表中點擊”忽略”或”已手工處理”來清除此條警示。

• 為什麼病毒刪除後警示仍然持續發送通知？

  Security Center會保留歷史威脅記錄（保留期約1年），即使病毒檔案已被清除，歷史警示記錄仍然存在。如果未對警示執行”忽略”或”已手工處理”等操作，系統可能會繼續發送通知。

  處理方案：

  • 確認病毒已清除後，在警示列表中對相關警示執行忽略或已手工處理操作。

  • 如已更換公網IP後仍收到舊IP的異常登入警示，確認警示時間在換IP之前可直接忽略，並同步最新資產資訊。

• 重裝系統後舊警示仍然顯示怎麼辦？

  重裝系統後，Security Center可能仍保留之前的掃描結果和警示記錄。為擷取最新的安全狀態並清除舊警示，請手動觸發一次立即掃描或重新掃描。掃描完成後，系統將基於新系統內容更新檢測結果，舊的非活躍警示會被自動清理或狀態更新。

• 如何排查持久化後門（病毒反覆出現、殺不掉）？

  如果病毒反覆出現或無法徹底清除，可能是存在持久化後門。建議按以下清單逐一排查：

  • 定時任務：檢查 crontab（Linux）或計劃任務（Windows），確認是否存在可疑的定時執行項。

  • 啟動項：檢查開機自啟動項（Linux 的 /etc/init.d/、systemd 服務，Windows 的註冊表啟動項），確認是否存在可疑程式。

  • SSH公開金鑰：檢查 ~/.ssh/authorized_keys 檔案，確認是否存在未知的SSH公開金鑰。

  • 隱藏檔案：部分病毒檔案可能位於系統隱藏目錄中（如Windows資源回收筒 $Recycle.Bin 目錄）。如需查看，請以管理員身份開啟顯示隱藏檔案/系統檔案。Security CenterAgent通過底層掃描擷取檔案路徑，不受檔案系統可見度限制。

• 病毒查殺支援在手機阿里雲App處理嗎？

  不支援。病毒查殺及安全警示處理功能僅支援通過Security CenterWeb控制台進行操作，手機阿里雲App暫不支援病毒查殺和病毒警示處理功能。

掃描與任務執行問題

• 掃描任務失敗或逾時怎麼辦？

  • 任務逾時：通常是因為自訂掃描的目錄過大。解決方案如下：

    • 嘗試將大範圍的掃描任務拆分為多個小範圍的自訂目錄掃描任務，特別關注/tmp, /var/tmp, /root等高危目錄。

    • 在掃描配置中排除大型日誌或資料目錄。

    • 在業務低峰期執行掃描。 ·

  • 任務失敗：

    1. 檢查Agent狀態：確保伺服器上的Security CenterAgent進程（AliYunDun）正常運行且網路線上。

    2. 檢查網路連通性：在伺服器上測試能否訪問Security Center的服務端地址。

    3. 檢查系統資源：確保/tmp等目錄有足夠的磁碟空間（建議至少1GB），且CPU、記憶體資源未被耗盡。

    4. 查看Agent日誌：Linux路徑為/usr/local/aegis/aegis_client/aegis_10_*/log/aegis.log。

• 病毒處理失敗怎麼辦？

  重新整理頁面後重試。若仍失敗，可點擊“已手工處理”，然後嘗試手動刪除檔案。如果檔案無法刪除（Operation not permitted），說明可能被加了i許可權，可解鎖命令chattr -i <file>後刪除。

系統相容與工具配置問題

• 病毒庫版本在哪裡看？

  在總覽頁面查看病毒庫更新時間，雲端病毒庫是自動即時更新的，使用者無需手動操作。

  總覽頁面右側同時顯示雲查殺時間(最近時間)。

• 病毒查殺頁面偶爾進入錯誤頁面（無重新掃描按鈕），為什嗎？

  該問題通常是RAM帳號許可權不足導致。如果首次使用，系統可能會提示您為Security Center授權服務關聯角色，請單擊頁面上的 Authorize Immediately（藍色授權按鈕）完成授權後即可正常使用。

  如果已授權但仍出現錯誤頁面，請確認當前RAM帳號是否具備Security Center的完整存取權限，必要時聯絡主帳號管理員授予相應許可權。

• 能否安裝第三方殺毒軟體（360/火絨）？

  可以，但需注意可能存在的相容性問題。建議將Security Center用戶端（Agent）的核心進程和目錄（請參見用戶端進程說明）加入第三方軟體的白名單，以防被誤殺。

  對於Windows伺服器持續收到病毒警示的情境，建議使用第三方殺毒軟體進行全盤查殺作為補充排查手段。推薦使用 360殺毒極速版 或 火絨殺毒 進行全盤掃描。同時建議檢查伺服器內部防火牆（如Windows防火牆、iptables、firewalld）配置，排除因防火牆規則導致的訪問異常問題。

• 單擊立即授權後頁面無響應怎麼辦？

  若單擊立即授權後頁面持續轉圈或無響應，可能是網路波動或瀏覽器緩衝問題。建議重新整理頁面後重新進入病毒查殺控制台查看授權狀態。若仍然失敗，請嘗試清除瀏覽器緩衝、使用瀏覽器無痕模式，或更換瀏覽器後重試。

• 進入病毒查殺頁面顯示資產為 0 或提示未綁定付費版本怎麼辦？

  如果進入病毒查殺頁面後顯示資產為 0 或提示未綁定付費版本，請按以下方式排查：

  • 防護配置：確認目標伺服器的防護版本或防護等級已綁定付費版本。具體操作，請參看管理伺服器。

    • 訂用帳戶：防病毒版及以上。具體操作，請參見訂用帳戶執行個體-綁定防護版本。

    • 隨用隨付：病毒防護及以上。具體操作，請參見隨用隨付執行個體-綁定防護等級。

  • Agent 狀態檢查：確保目標伺服器上的Security Center Agent 線上且版本正常。若 Agent 離線，需重新安裝或重啟 Agent。

• 警示處理時只有加白和忽略選項怎麼辦？

  某些警示在處理時可能只有“加白”和“忽略”選項，缺少“結束進程”和“病毒查殺”選項。這通常是因為惡意進程仍在運行，系統無法直接處理。

  處理方案：先選擇“結束進程”（如有），然後重新整理頁面重新操作，即可擷取更完整的處理選項。如仍無法解決，可參考上述“病毒處理失敗”的排查方法手動處理後，點擊“已手工處理”。