Tüm Ürünler
Search

Bu Ürün

    Security Center:Assess and handle CWPP security events

    Belge Merkezi

    Security Center:Assess and handle CWPP security events

    Son Güncelleme:Oct 06, 2026

    Security Center, ilgili güvenlik uyarılarını tek bir güvenlik olayında birleştirerek saldırının kapsamına dair bütüncül bir görünüm sunar. Bir olayı çözmek için öncelikle ciddiyetini ve etkisini değerlendirin, tehdidi sınırlamak amacıyla yanıt eylemleri uygulayın ve ardından tekrarını önlemek üzere sisteminizi güçlendirin.

    Güvenlik olayı yönetim akış şeması

    image

    Güvenlik olayını değerlendirin

    Bir olayı yönetmeden önce ciddiyetini, etki alanını ve yanlış pozitif olma olasılığını titizlikle değerlendirin. Doğru yanıt stratejisini geliştirmenin anahtarı budur.

    Olay ayrıntıları sayfasına gidin

    1. Security Center konsolu oturumunu açın.

    2. Sol gezinme bölmesinde Detection and Response > Incidents seçeneğini belirleyin.

      Not

      Agentic SOC hizmetini satın aldıysanız Agentic SOC > Incidents yolunu izleyin.

    3. Hedef güvenlik olayını bulmak için görüntülemek istediğiniz olayların occurrence time range değerini belirtin.

      Önemli

      • Incidents sayfasında yalnızca son 180 gün içinde gerçekleşen olayları görüntüleyebilirsiniz.

      • System Configuration > Notification Settings bölümünden olayla ilgili bildirimleri etkinleştirebilirsiniz. Böylece aldığınız olay adı gibi bilgiler doğrultusunda hedef olayları hızla bulabilirsiniz.

    4. Olay ayrıntıları sayfasına gitmek için Actions sütununda Details öğesine tıklayın.

    Değerlendirme yöntemleri ve örnekler

    Olayları Alibaba Cloud Security Large Model, olay Overview bilgileri, Timeline bilgileri, Alert ve Entity bilgilerini kullanarak değerlendirebilir; olayların aciliyetini ve kapsamını belirleyebilir ayrıca yanlış pozitif olup olmadıklarını tespit edebilirsiniz.

    Security AI Assistant

    Security AI Assistant, varlık analizi aracısını kullanarak kötü amaçlı varlıkların risk düzeyini kapsamlı şekilde değerlendirir ve yönetim önerileri sunar.

    Değerlendirme örnekleri:

    Security AI Assistant panel showing the risk level of a malicious entity and the suggested handling actions

    Overview alanı

    Bu bölümde olayın temel bilgileri ve ATT&CK saldırı aşamaları yer alır. Etkilenen kaynak sayısı, ilişkili uyarı sayısı, oluşum zamanı ve uyarı kaynakları gibi verileri inceleyerek güvenlik olayının işlenip işlenmeyeceğini değerlendirebilirsiniz.

    Değerlendirme örnekleri:

    • Number of affected assets: Yüksek sayı önemli bir etkiyi gösterir. Veritabanı veya uygulama sunucuları gibi çekirdek iş kaynakları söz konusuysa olay büyük etki yaratabilir ve öncelikli olarak ele alınmalıdır.

    • Associated alerts: Daha fazla uyarı daha geniş bir kapsamı ve daha yüksek potansiyel riski işaret eder.

    • Occurrence time: Yeni meydana gelen olaylar hâlâ etki yaratıyor olabilir ve geçmiş olaylara kıyasla daha acil müdahale gerektirir.

    • Alert source: Farklı kaynaklardan gelen uyarıların güvenilirlik ve ciddiyet dereceleri değişir. Özel virüs tarama modülü gibi yetkili algılama modüllerinden gelen uyarılar daha yüksek olay risklerine işaret eder.

    Event chain diagram

    Bu sekmede saldırı zaman çizelgesini ve olay zinciri diyagramını görüntüleyebilirsiniz. Büyük veri analiz motoru verileri işleyip birleştirerek görselleştirir ve olayın nasıl gerçekleştiğini gösteren bir grafik oluşturur. Bu sayede olayın kök nedenini en kısa sürede tespit edebilir ve bir yönetim stratejisi geliştirebilirsiniz. Olay düğümlerine tıklayarak ayrıntıları inceleyebilir ve zaman çizelgesine göre güvenlik olayının işlenip işlenmeyeceğini değerlendirebilirsiniz. Değerlendirme örnekleri:

    Not

    Agentic SOC içinde Security Operations Agent satın aldıysanız olay inceleme aracısı kilit varlık noktalarını otomatik olarak çıkarır ve bunlar arasındaki temel davranışları olay zinciri diyagramı olarak yeniden yapılandırır. Ayrıca zaman çizelgesi açıklaması sağlar.

    • Zaman çizelgesi ilk küçük ölçekli keşif saldırısı uyarısının kısa sürede farklı türlerde birden fazla yakından ilişkili saldırı uyarısına dönüştüğünü gösteriyorsa saldırı temposu hızlanıyor ve etkilenen kaynak kapsamı genişliyor demektir; bu durumda güvenlik olayı yüksek risklidir ve derhâl ele alınması önerilir.

    • Zaman çizelgesinde uzun süre yeni ilişkili uyarı görünmüyor ve saldırının yayıldığına dair belirti yoksa işlem önceliği düşürülebilir.

    Alert

    Bu sekmede olay altında toplanan tüm güvenlik uyarılarının listesini görüntüleyebilirsiniz. Uyarı sayısı, savunma önlemleri ve oluşum zamanı gibi çok boyutlu uyarı istatistiklerinden daha fazla bilgi edinerek saldırı yöntemini ve aşamasını belirleyebilir ve bir çözüm yolu seçebilirsiniz. Değerlendirme örnekleri:

    • Aynı veya ilişkili türdeki birden fazla uyarı geniş ölçekli bir saldırıya veya daha ciddi bir tehdide işaret edebilir.

    • Savunma önlemleri açısından konuşursak mevcut savunmaların saldırıyı etkili şekilde engellediğini kontrol edin. Savunmalar yetersiz kalırsa veya başarısız olursa olayın aciliyeti artar.

    • Son güvenlik uyarılarının occurrence time değeri belirli bir dönemde yoğunlaşıyorsa saldırı muhtemelen o dönemde aktif fazdadır.

    Entity

    Olaydan çıkarılan varlık nesnelerini gösterir. Desteklenen varlık türleri arasında host'lar, dosyalar, işlemler, IP adresleri ve host hesapları bulunur. Varlıkları aşağıdaki boyutlarda görüntüleyebilir ve yönetebilirsiniz:

    • All entities: Olaydan çıkarılan tüm varlıkları gösterir. Son 30 gün içindeki ilişkili olay, uyarı ve yönetim görevi sayılarını görüntüleyebilir ve playbook'ları çalıştırabilirsiniz.

    • Affected assets: Olaydan etkilenen kaynakları gösterir böylece etkilenen kaynak kapsamını hızla değerlendirebilirsiniz.

    Etkilenen varlıklara bakarak güvenlik olayının işlenip işlenmeyeceğini değerlendirebilirsiniz. Değerlendirme örnekleri:

    • Varlık ayrıntılarında IP adresi varlığının temel bilgilerini, Alibaba Cloud tehdit istihbaratını, son 30 gündeki ilişkili olayları, son 30 gündeki ilişkili uyarıları ve ilişkili yönetim görevlerini görüntüleyebilirsiniz. Sayılar yüksekse saldırgan IP adresini sürekli saldırı başlatmak için kullanıyor olabilir. IP adresini engellemek gibi aksiyonlar alın.

    • Affected Asset sekmesinde aynı dönemde birden fazla kaynağa aynı IP adresinden saldırılıyorsa bu durum belirli bir IP adresine yönelik hedefli saldırıya işaret eder. IP adresini engellemek gibi aksiyonlar alın.

    Response Activity

    • Core capabilities:Response Activity risk analizi ve yanıt yönetiminin tüm sürecini kaydeder ve kilit yanıt stratejileri, görevler ile Activity Log için yönetim giriş noktaları sağlar; bu sayede ekip üyeleri iş birliği sırasında inceleme ilerlemesini ve yönetim bilgilerini paylaşabilir. Olay sonrasında aktivite sürecini gözden geçirerek deneyimlerinizi özetleyebilirsiniz.

    • Operation entry: Hedef olayın olay ayrıntıları sayfasına gidin ve Response Activity öğesine tıklayın.

    Güvenlik olaylarına yanıt verin

    Güvenlik olaylarını yönetin

    Çözüm

    Açıklama

    önerilen yönetim ilkeleri

    • Security Center'ın Alibaba Cloud güvenlik uzmanlarının deneyimlerine dayanarak özetlediği olay yönetim yöntemlerinin tümüne önerilen yönetim ilkeleri denir.

    • Bir güvenlik olayındaki kötü amaçlı varlıkları yönetmek için önerilen yönetim ilkelerini kullandığınızda olay durumu ve olayla ilişkili uyarıların durumları aynı anda güncellenir.

    Not

    önerilen yönetim ilkeleri paneli boşsa mevcut varlık için yerleşik bir yönetim ilkesi yoktur.

    Add Alert to Whitelist

    Add Alert to Whitelist: Zararsız olduğu doğrulanan programları, IP adreslerini veya davranışları izin listesine ekler; böylece bunlar artık uyarı tetiklemez.

    Playbook çalıştırın

    Alibaba Cloud güvenlik uzmanlarının deneyimlerine dayanarak Security Center kötü amaçlı varlıkları yönetmeniz için bir dizi yerleşik playbook sunar. Çevrimdışı host kontrolü, derinlemesine virüs taraması ve WAF üzerinden IP adreslerini engelleme gibi örnekler içerir.

    Update Incident Status

    • Olay yanlış pozitifse veya olayın tüm güvenlik uyarılarını ve varlıklarını manuel olarak yönettiyseniz olay durumunu Handled olarak değiştirin.

    • Yönetilen olaylar için olay durumunu Unhandled veya Handling olarak da sıfırlayabilirsiniz.

    Önerilen bir yönetim ilkesi uygulayın

    Yordam

    1. Incidents sayfasında hedef olayı bulun ve Actions > Recommended Response öğelerine tıklayın.

      Not

      Alternatif olarak olay ayrıntıları sayfasına gidin ve sol alt köşedeki Recommended Handling öğesine tıklayın.

    2. Önerilen yönetim ilkesi panelinde yönetmek istediğiniz kötü amaçlı varlıkları seçin.

    3. (İsteğe bağlı) Yönetim ilkesini değiştirin: Varlık için Actions sütunundaki Edit öğesine tıklayın. Edit Policy panelinde engelleme kurallarının teslim edileceği hedef hesap ve eylem geçerlilik süresi gibi parametreleri değiştirin.

      • Action validity period: Yönetim ilkesinin etkin kalacağı süre. İlke bu sürenin sonunda otomatik olarak sona erer.

      • Destination account: Mevcut hesap veya yönettiğiniz üye hesaplar. Ayrıntılar için bkz. Multi-account security management.

    4. Resolve öğesine tıklayın. Update Incident Status iletişim kutusunda Incident Status değeri için Handling veya Handled seçeneğini belirleyin ve ardından OK öğesine tıklayın.

      Önemli

      Bu adımı tamamladığınızda Security Center otomatik olarak bir yönetim ilkesi oluşturur ve yönetim görevini çalıştırır. Görev başarısız olursa olay durumu Failed olarak değişir. Aksi takdirde belirttiğiniz duruma geçer.

      • Handling: Mevcut yönetim işleminin yanı sıra sınırlama, kaynak izleme ve güvenlik açığı düzeltme gibi başka olay yönetimi eylemleri de gerekir.

      • Handled: Mevcut yönetim işleminin dışında ek bir yönetim eylemi gerekmez. Etkiler:

        • İlişkili uyarıların durumu "Handled Manually" olarak güncellenir.

        • Sonraki uyarılar mevcut olayla ilişkilendirilmek yerine yeni güvenlik olayları oluşturur.

    Etkiler

    • Security Center olaylara yanıt vermek ve kötü amaçlı varlıkları (IP adreslerini engelleme gibi) yönetmek için diğer Alibaba Cloud ürünleriyle etkileşime girer.

    • Olay durumunu Handled olarak değiştirmek için önerilen yönetim ilkelerini kullanıp durumu Handled Manually olarak güncellerseniz sistem olayla ilişkili yönetilmemiş tüm uyarıların durumlarını

      Önemli

      CWPP Precision Defense uyarıları için varsayılan uyarı durumu Handled'dır (yalnızca savunma, bildirim yok). Güvenlik olayı durumu güncellemeleri bu uyarıların durumunu etkilemez.

    • Olay durumunu Handling olarak değiştirmek için önerilen yönetim ilkelerini kullanırsanız ilişkili uyarıların durumları değişmez. Sonraki uyarılar hâlâ mevcut olayla ilişkilendirilebilir.

    • Incident Response sayfasında ilgili Handling Policies ve Handling Tasks öğeleri oluşturulur.

    Add Alert to Whitelist

    Yordam

    1. Olay ayrıntıları sayfasına gidin, Alert View sekmesinde yönetmek istediğiniz güvenlik uyarılarını seçin ve Actions sütununda Add Alert to Whitelist öğesine tıklayın.

    2. (İsteğe bağlı) Uyarı izin listesi kuralları oluşturun: Birden fazla izin listesi kuralı yapılandırmak için Create Rule öğesine tıklayın.

      Önemli

      • Birden fazla kural OR (VEYA) ilişkisine sahiptir. Herhangi bir kuralı karşılayan uyarı izin listesine eklenir.

      • Kapsamın aşırı genişlemesini önlemek için kuralların precise olduğundan emin olun. Örneğin "Path contains: /data/" gibi geniş bir kural hassas alt dizinleri yanlışlıkla izin listesine alabilir ve bu durum güvenlik risklerini artırır.

      Her kural soldan sağa dört yapılandırma kutusu içerir. Yapılandırma kutularının açıklamaları aşağıdadır:

      1. Alert information field: Geçerli uyarının desteklediği uyarı bilgi alanlarını ayrıntılar sayfasındaki More Information bölümünde görüntüleyebilirsiniz.

      2. Condition type: Desteklenen operatörler arasında regex eşleşmesi, büyüktür, eşittir, küçüktür ve içerir bulunur. Bazı koşul türlerinin açıklamaları aşağıdadır:

        • Regular expression: Belirli kalıplardaki içeriği hassas şekilde eşleştirir. Örneğin /data/app/logs/ klasöründeki tüm içeriği izin listesine almak için kuralı "Path matches regex: ^/data/app/logs/.$" şeklinde ayarlayın. Kural klasördeki ve alt dizinlerindeki tüm dosya veya işlemleri eşleştirir.

        • Contains keyword: Yolları belirtilen dizeyi içeren tüm olayları eşleştirir. Örneğin "Path contains: D:\programs\test\" kuralı yolları bu klasörü içeren tüm olayları izin listesine ekler.

      3. Condition value: Sabit değerleri veya düzenli ifadeleri kabul eder.

      4. Applicable assets:

        • All assets: Bağlı tüm kaynaklara ve yeni eklenen kaynaklara uygulanır.

        • Only for the current asset: Yalnızca mevcut uyarıda yer alan kaynaklara uygulanır.

    3. Handle Now öğesine tıklayın.

    Etkiler

    Uyarı

    Bir uyarı izin listesine eklendiğinde aynı uyarılar veya izin listesi kurallarını karşılayan uyarılar için artık bildirim gönderilmez. Dikkatli ilerleyin.

    • Mevcut uyarı üzerinde:

      • Mevcut uyarı "Handled" olarak değiştirilir ve uyarı durumu Manually Allowlisted olur.

      • Aynı uyarı tekrar oluştuğunda yeni uyarı verisi oluşturulmaz. Yalnızca mevcut uyarının en son oluşum zamanı güncellenir.

        Aynı uyarı nedir?

        Son derece tutarlı özelliklere sahip bir güvenlik tehdidini raporlayan uyarılar aynı kabul edilir. Örnekler:

        • Virüs uyarıları: aynı kaynak, virüs dosyası yolu ve virüs dosyası MD5 değeri.

        • Anormal oturum açma uyarıları: aynı kaynak ve oturum açma IP adresi.

    • Sonraki uyarılar üzerinde:

      • Belirli izin listesi kuralları yapılandırıldıysa Security Center artık izin listesi kurallarını karşılayan uyarıları güvenlik olaylarıyla ilişkilendirmez.

      • Özel izin listesi kuralını karşılayan bir uyarı tekrar oluştuğunda uyarı otomatik olarak Automatically Add to Whitelist durumuyla yönetilenler listesine girer. Uyarı bildirimi gönderilmez.

    • Diğer uyarılar: İzin listesi kuralı yalnızca kural koşullarını karşılayan belirtilen uyarı adına sahip uyarılar için geçerlidir. Kural yapılandırılmayan uyarılar etkilenmez.

    İzin listesine alma işlemini iptal edin

    • Otomatik izin listesi kuralını iptal edin

      1. Security Center konsolu oturumunu açın. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin.

        Not

        Agentic SOC'yi etkinleştirdiyseniz sol gezinme bölmesinde Agentic SOC > Alerts. yolunu izleyin.

      2. Cloud Workload Coverage Alert Management bölümünün sağ üst köşesindeki CWPP öğesine tıklayın. Alert Settings seçeneğini belirleyin.

      3. Alert Settings sayfasındaki Alert Handling Rule alanında Automatically Add to Whitelist yönetim yöntemini seçin.

      4. Hedef kuralı bulun ve otomatik izin listesi kuralını iptal etmek için Actions sütunundaki Delete öğesine tıklayın.

    • Uyarı izin listesine almayı iptal edin

      1. Security Center konsolu oturumunu açmanız gerekir. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin.

        Not

        Agentic SOC'yi etkinleştirdiyseniz sol gezinme bölmesinde Agentic SOC > Alerts. yolunu izleyin.

      2. CWPP sekmesinde Handled or Not filtreleme koşulunu Handled olarak ayarlayın.

      3. İzin listesine almayı iptal etmek istediğiniz uyarıyı bulun ve mevcut uyarının izin listesini iptal etmek için Actions sütunundaki Remove from Whitelist düğmesine tıklayın. Ayrıca birden fazla uyarı seçip listenin alt kısmındaki Remove from Whitelist düğmesine tıklayarak izin listesine almayı toplu olarak iptal edebilirsiniz.

    Playbook çalıştırın

    Yordam

    1. Olay ayrıntıları sayfasında Entity sekmesine tıklayın ve yönetmek istediğiniz varlıkları bulun.

    2. Actions sütunundaki Handle öğesine tıklayın. Yönetim sayfasında aşağıda açıklandığı şekilde playbook parametrelerini yapılandırın:

      • Playbook: Sistem varlık türüne göre uygun yerleşik playbook'u otomatik olarak seçer.

        Önemli

        Yerleşik playbook'lar ihtiyaçlarınızı karşılamıyorsa Agentic SOC ve Automation rules özelliğini kullanarak özel playbook'lar oluşturabilirsiniz.

      • Action validity period: Playbook'un çalışacağı süre. Bu sürenin sonunda playbook durur.

      • Destination account: Mevcut hesap veya yönettiğiniz üye hesaplar. Ayrıntılar için bkz. Multi-account security management.

    3. Resolve öğesine tıklayın.

    Etkiler

    Olay playbook'ta yapılandırılan sürece (IP adresi engelleme gibi) göre yönetilir ve olay durumu Handled olarak değişir.

    Update Incident Status

    Yordam

    1. Olay ayrıntıları sayfasında sağ üst köşedeki Incident Response öğesine tıklayın ve açılan listeden Update Incident Status seçeneğini belirleyin. Alternatif olarak Security Events sayfasında hedef olayı bulun ve Actions sütunundaki Response öğesine tıklayıp açılan listeden Update Incident Status seçeneğini belirleyin.

    2. Update Incident Status iletişim kutusunda Handled, Unhandled veya Handling seçeneklerinden birini belirleyin.

    3. (İsteğe bağlı) "Handled manually", "Ignored", "Manually added to whitelist" veya "Re-handle" gibi notlar girin.

    Etkiler

    • Durumu Handled olarak değiştirirseniz:

      • Olayla ilişkili yönetilmemiş tüm uyarıların durumları tek seferde Handled Manually olarak güncellenir ve güvenlik olayı işlemlerine ilişkin bilgiler uyarı ayrıntılarının not alanına eklenir.

        Önemli

        CWPP Precision Defense uyarıları için varsayılan uyarı durumu Handled'dır (yalnızca savunma, bildirim yok). Güvenlik olayı durumu güncellemeleri bu uyarıların durumunu etkilemez.

      • Sonraki uyarılar artık mevcut güvenlik olayıyla ilişkilendirilmez. Bunun yerine yeni güvenlik olayları oluştururlar.

    • Durumu Unhandled veya Handling olarak değiştirirseniz mevcut olay için tekrar bir yönetim yöntemi seçebilirsiniz.

    Olay özelliklerini yönetin


    İşlem


    Açıklama


    Update Owner


    Güvenlik olaylarını yönetmek genellikle ekipler ve üyeler arasında iş birliği gerektirir. Görev devrinin net olması için olay yönetiminin farklı aşamalarında olay sahibini manuel olarak atayabilir veya değiştirebilirsiniz.


    Update Incident Level


    Olayın risk değerlendirme düzeyini ayarlayın. Olay değerlendirmesi sırasında otomatik olarak belirlenen risk düzeyi gerçek duruma uymuyorsa (çok yüksek veya çok düşük) olay düzeyini manuel olarak değiştirebilirsiniz. Bu sayede ekip yanıt önceliklerini doğru şekilde ayarlayabilir ve kaynakların en acil olaylara uygun şekilde tahsis edilmesi sağlanır.

    Update Owner

    Yordam

    1. Olay ayrıntıları sayfasına gidin, sağ üst köşedeki Incident Response öğesine tıklayın ve ardından Update Owner öğesine tıklayın. Alternatif olarak Security Events sayfasında hedef olayı bulun ve Actions sütunundaki Response öğesine tıklayıp açılan listeden Update Owner seçeneğini belirleyin.

    2. İletişim kutusunda aşağıdaki bilgileri yapılandırın ve OK öğesine tıklayın.

      • Owner: Mevcut hesabın ve üye hesapların RAM kullanıcılarını seçebilirsiniz.

        Önemli

        Hedef Owner (RAM kullanıcısı) için güvenlik olaylarını yönetmek üzere gerekli izinlerin verildiğinden emin olun.

      • Remarks: Yeni sahibin bağlamı hızlıca anlamasına ve çalışmaya başlamasına yardımcı olmak için devir talimatları, yönetim önerileri veya dikkat edilmesi gereken hususlar girin.

    Etkiler

    İşlem başarılı olduktan sonra sistem otomatik olarak bir değişiklik kaydı oluşturur. Olay ayrıntıları sayfasında Response Activity sekmesinin altındaki Activity Log bölümünden bu sahibi değişikliğine ilişkin ayrıntıları görüntüleyebilirsiniz.

    Update Incident Level

    Yordam

    1. Olay ayrıntıları sayfasına gidin, sağ üst köşedeki Incident Response öğesine tıklayın ve ardından Update Incident Level öğesine tıklayın. Alternatif olarak Security Events sayfasında hedef olayı bulun ve Actions sütunundaki Response öğesine tıklayıp açılan listeden Update Incident Level seçeneğini belirleyin.

    2. İletişim kutusunda Incident Severity ve Remarks değerlerini değiştirin.

    Etkiler

    Düzey değiştirildikten sonra işlem olayın aktivite günlüğüne kaydedilir. Olay ayrıntıları sayfasında Response Activity sekmesinin altındaki Activity Log bölümünden değişikliğe ilişkin ayrıntıları görüntüleyebilirsiniz.

    Güvenlik olaylarını dışa aktarın

    Güvenlik olaylarının ayrıntılarını yerel cihazınıza bir Excel dosyası olarak dışa aktarabilirsiniz. Bu sayede güvenlik olaylarının yönetimi için departmanlar arası iş birliği kolaylaşır ve dahili bilgi paylaşımı ile olay takibi verimliliği artar.

    1. (İsteğe bağlı) Güvenlik olayı yönetim listesi sayfasında olay risk düzeyi, durumu ve oluşum zamanı gibi filtreleme koşullarını ayarlayın.

    2. İndirmek istediğiniz güvenlik olaylarını seçin (en fazla 1.000 kayıt) ve ardından güvenlik olayı listesinin sağ üst köşesindeki Export icon simgesine tıklayın.

    3. Dışa aktarma tamamlandıktan sonra dosyayı yerel cihazınıza indirmek için Download öğesine tıklayın.

      Not

      Dışa aktarılan dosya üç çalışma sayfası içerir: güvenlik olayı kayıt listesi, güvenlik olaylarında yer alan kaynakların listesi ve güvenlik olaylarında yer alan varlıkların listesi.

    Acil durum yanıtı ve olay sonrası sistem güçlendirme

    Ücretli yönetim yalnızca mevcut uyarının acil durum yanıtı için geçerlidir ve sunucunun tamamen güvenli olduğu anlamına gelmez. Saldırının kök nedenini tespit etmeye devam etmenizi ve sistemi güçlendirmenizi öneririz. Security Center hizmetine artık ihtiyacınız yoksa bkz. Disable pay-as-you-go services. Sunucunun virüsler tarafından tekrar saldırıya uğramasını önlemek için sunucuda gerekli güçlendirme önlemlerini almanızı öneririz. Bu sayede saldırganların sızma maliyeti artar ve savunmayı aşma eşiği yükselir.

    Common Operations

    • Security Center sürümünü yükseltin: Enterprise ve Ultimate sürümleri virüs otomatik karantina (yani otomatik virüs algılama ve kaldırma) özelliğini destekler; bu sayede hassas savunma yetenekleri sunulur ve daha fazla güvenlik algılama öğesi desteklenir.

    • Erişim kontrolünü sıkılaştırın: Yalnızca gerekli iş bağlantı noktalarını (80 ve 443 gibi) açık bırakın ve yönetim bağlantı noktaları (22 ve 3389 gibi) ile veritabanı bağlantı noktaları (3306 gibi) için katı IP izin listesi erişim ilkeleri yapılandırın.

      Not

      Alibaba Cloud ECS sunucuları için işlemler hakkında bilgi edinmek üzere bkz. Manage security groups.

    • Sunucu parolalarını karmaşık yapın: Sunucular ve uygulamalar için büyük harf, küçük harf, rakam ve özel karakter içeren karmaşık parolalar belirleyin.

    • Yazılımları yükseltin: Artık bakımı yapılmayan veya bilinen güvenlik açıkları bulunan eski sürümleri kullanmamak için uygulama yazılımlarınızı en güncel resmi sürüme hemen güncelleyin.

    • Düzenli yedekleme: Önemli veriler ve sunucu sistem diskleri için düzenli anlık görüntü politikası oluşturun.

      Not

      Alibaba Cloud ECS sunucuları için işlemler hakkında bilgi edinmek üzere bkz. Create policy.

    • Güvenlik açıklarını hızla giderin: Sistem ve uygulama güvenlik açıklarını derhal yamalamak için Security Center Vulnerability Management özelliğini düzenli olarak kullanın.

    • Sunucu sistemini sıfırlayın (Dikkatli Kullanın).

      Virüs sızması derinse ve temel sistem bileşenlerini içeriyorsa önemli verileri yedekledikten sonra sunucu sistemini sıfırlamanız şiddetle önerilir. Adımlar şöyledir:

      1. Sunucudaki önemli verileri yedeklemek için anlık görüntü oluşturun. Daha fazla bilgi için bkz. Manually create a single snapshot.

      2. Sunucu işletim sistemini yeniden başlatın. Daha fazla bilgi için bkz. Re-initialize system disk (reset OS).

      3. Anlık görüntüden cloud disk oluşturun. Daha fazla bilgi için bkz. Create a data disk from a snapshot.

      4. Sistemi yeniden yükledikten sonra cloud diski sunucuya takın. Daha fazla bilgi için bkz. Attach a data disk.

    Kalıcı arka kapıları kontrol edin

    Saldırı sonrası saldırganlar genellikle uzun süreli kontrolü sürdürmek için kalıcı arka kapı bırakır. Güvenlik olayını yönettikten sonra aşağıdaki konumları kontrol edin ve şüpheli öğelerin işiniz için gerekli olup olmadığını teyit edin:

    • Scheduled tasks: Linux sunucularda crontab -l, /etc/cron.d/ ve /var/spool/cron/ içindeki zamanlanmış görev yapılandırmalarını kontrol edin. Beklenmeyen zamanlarda çalışacak şekilde planlanmış komut dosyaları veya programları arayın.

    • Startup items: Linux sunucularda /etc/rc.local, /etc/init.d/ ve systemctl list-unit-files öğelerini kontrol edin. Windows sunucularda kayıt defteri başlangıç öğelerini, Görev Zamanlayıcı'yı ve C:\Users\Administrator\AppData\Local gibi dizinlerdeki şüpheli başlangıç dosyalarını kontrol edin.

    • SSH public keys: Linux sunuculardaki ~/.ssh/authorized_keys dosyasında saldırgan tarafından yazılmış beklenmeyen genel anahtarları kontrol edin. Şüpheli anahtarları derhâl silin.

    • Sensitive directories: /tmp, /var/tmp ve /dev/shm gibi geçici dizinlerde şüpheli yürütülebilir dosyaları kontrol edin.

    Virüsü tamamen kaldırın ve sistemi geri yükleyin

    Arka kapı işlemini veya web shell dosyasını yönetmek başarısız olursa ya da Security Center virüsü tamamen kaldıramazsa virüsü tamamen kaldırmak için aşağıdaki yöntemleri kullanmanızı öneririz:

    1. İş yükü verilerini yedekleyin: İş yüklerinizin gerektirdiği önemli verileri ayrı ve güvenli bir depolama konumuna yedekleyin.

    2. Anlık görüntü oluşturun: ECS konsolunda etkilenen disklerin anlık görüntüsünü oluşturarak işlemlerden önce veri yedeği alın. Yüksek riskli işlemler için anlık görüntü zorunludur. Anlık görüntü olmadan mühendisin sunucuda çalışmasına yetki veremezsiniz.

    3. Sistem diskini yeniden başlatın: ECS konsolunda örneği bulun. Örnek ayrıntıları sayfasında sağ üst köşedeki All Operations öğesine tıklayın ve Reinitialize Disk seçeneğini belirleyin. Örneğin Stopped durumunda olması gerekir. Bu işlem sistem diskteki tüm verileri siler. Yedeklemenin tamamlandığından emin olun.

    4. İş yüklerinizi yeniden dağıtın: Sistem diski yeniden başlatıldıktan sonra uygulamalarınızı yeniden dağıtın ve yedek verileri geri yükleyin.

    Kötü amaçlı davranış bildirimini yönetin

    Sunucunun SSH bağlantı noktası taraması veya giden saldırılar gibi şüpheli kötü amaçlı davranışlar sergilediğine dair bildirim alırsanız aşağıdaki şekilde yönetmenizi öneririz:

    • Sunucu zaten durduruldu: Sunucu durdurulmuşsa ve artık kullanılmıyorsa Security Center'daki bildirimi öncelikle yok sayın.

    • Sunucuyu kullanmaya devam etmeniz gerekiyor: Sunucuyu kullanmaya devam etmek istiyorsanız virüsleri tamamen kaldırmak için işletim sistemini yeniden yüklemenizi ve yeniden yükleme sonrasında aşağıdaki güvenlik güçlendirme önlemlerini uygulamanızı öneririz:

      • Güvenlik grubunda sunucunun daha fazla giden saldırı başlatmasını önlemek için 22 numaralı bağlantı noktasındaki giden erişimi reddeden outbound rule yapılandırın.

      • Güvenlik grubunda uzaktan oturum açma bağlantı noktalarına (SSH bağlantı noktası 22 veya RDP bağlantı noktası 3389) yalnızca belirtilen güvenilir IP adreslerinden erişilmesine izin veren ve yalnızca gerekli iş bağlantı noktalarının açık bırakılmasına olanak tanıyan inbound rule yapılandırın.

      • Sunucu parolasını büyük harf, küçük harf, rakam ve özel karakter içeren karmaşık bir parola ile değiştirin ve parolayı düzenli aralıklarla yenileyin.

    • Engelleme hakkında: İşletim sistemini yeniden yükledikten sonra Security Center giden saldırıları algılamayı bırakırsa platform genellikle sunucuyu engellemez ve yeni bir destek talebi göndermeniz gerekmez.

    Saldırganın kaynak IP adresini engelleyin

    Kötü amaçlı işlemlerin durduğunu ve olayın yönetildiğini onayladıktan sonra saldırganın tekrar sızmasını önlemek için güvenlik grubunda saldırganın kaynak IP adresini engelleyin:

    1. Security Center'daki olay ayrıntıları sayfasında Entity sekmesine tıklayın, saldırganın IP adresi varlığını bulun ve saldırının kaynak IP adresini not edin.

    2. ECS konsolu oturumunu açın ve örnekle ilişkili güvenlik grubunu bulun.

    3. Güvenlik grubuna saldırganın kaynak IP adresinden tüm bağlantı noktalarındaki erişimi reddeden bir Deny kuralı ekleyin.

    Not

    Güvenlik grubu yapılandırması bir ECS özelliğidir. Daha fazla bilgi için bkz. ECS security group configuration.

    Mühendise sunucuda inceleme yetkisi verin

    Güvenlik operasyonları konusunda deneyiminiz yoksa veya teknik personeliniz bulunmuyorsa Security Center emergency response hizmetini satın alın. Alibaba Cloud güvenlik mühendisi sunucuya uzaktan bağlanarak olayı incelemenize ve yönetmenize yardımcı olur:

    1. Anlık görüntü yedeği oluşturun: Mühendise işlem yetkisi vermeden önce ECS konsolunda etkilenen disklerin anlık görüntüsünü oluşturmanız gerekir. Yüksek riskli işlemler için anlık görüntü yedeği yoksa mühendis sunucuda çalışamaz.

    2. Destek talebi gönderin ve yetkilendirme yapın: Destek talebinde yetkilendirme bilgilerini doldurun, sunucu oturum açma parolasını sağlayın ve Alibaba Cloud mühendisinin inceleme amacıyla sunucuya uzaktan bağlanmasına yetki verin. Mühendis sizin adınıza anlık görüntü oluşturamaz. Anlık görüntüyü kendiniz oluşturmalısınız.

    3. Sunucu parolası bilinmiyor: Sunucu parolasını bilmiyorsanız ECS konsolunda örnek parolasını sıfırlayın ve ardından yetkilendirmeyi gönderin.

    Kotalar ve sınırlar

    • Veri saklama: Güvenlik olayı yönetim sayfasında yalnızca son 180 gün içinde gerçekleşen olayları görüntüleyebilir ve yönetebilirsiniz.

    • Varlık ayrıntıları: Bir varlığın ayrıntılar sayfasında ilişkili olay, uyarı ve yönetim görevi sayıları son 30 günlük verilere göre hesaplanır.

    • Dışa aktarma miktarı: Tek seferde en fazla 1.000 güvenlik olayı kaydını dışa aktarabilirsiniz.

    • Durum senkronizasyonu: Güvenlik olayının durumunu güncellemek CWPP "Precision Defense" uyarılarının durumunu etkilemez. Bu uyarıların varsayılan durumu "Handled"dır (yalnızca savunma, bildirim yok).