Security alert categories - Security Center - Alibaba Cloud Dokümantasyon Merkezi

Security Center, web sitesi değiştirme koruması, anormal işlemler, web kabukları (webshell), olağandışı oturum açmalar ve kötü amaçlı işlemler dahil olmak üzere varlıklarınızdaki çok sayıda tehdidi gerçek zamanlı olarak algılar. Tehdit algılama modelleri kapsamlı bir koruma sağlayarak güvenlik tehditlerini hızla belirlemenize ve güvenlik durumunuz hakkında gerçek zamanlı bilgi sahibi olmanıza olanak tanır.

Genel Bakış

Risk seviyeleri

Security Center, yanıt önceliklerinizi belirlemenize yardımcı olmak için uyarıları üç risk seviyesine sınıflandırır.

Risk seviyesi	Açıklama	Önerilen işlem
Acil	Bilinen bir saldırı desenine yakın davranışları gösterir ve varlığa kalıcı veya yıkıcı zarar verebilir; örneğin, ters kabuk (reverse shell). Bu seviye, varlığın aktif bir saldırı altında olduğunu gösterir.	Hemen müdahale edin. Önerilen işlemler: Varlığı karantinaya alın, şüpheli ağ bağlantılarını engelleyin ve saldırı kanıtlarını koruyun.
Şüpheli	Potansiyel olarak riskli, ancak rutin operasyonlara benzeyen aktiviteleri gösterir; örneğin, yeni bir kullanıcı ekleyen bir işlem. Bu aktivite, saldırı zincirindeki kritik olmayan bir adım da olabilir; örneğin, izleri silme girişimi. Bu seviye, varlığın saldırı altında olma olasılığının orta düzeyde olduğunu gösterir.	İnceleme gereklidir. Aktivitenin planlanmış bir işlem olup olmadığını kontrol edin. Eğer öyleyse, bu davranışı izin listesine ekleyin. Aksi takdirde, Acil uyarı olarak değerlendirin.
Hatırlatma	Normal operasyonlara benzeyen, ancak hayati olmayan saldırı aktivitelerini gösterir; örneğin, şüpheli bir bağlantı noktasında dinleme yapan bir işlem.	Denetleyin ve optimize edin. Bu uyarıları, uyumsuz yapılandırmaları veya potansiyel riskleri tespit etmek için kullanın. Güvenlik ilkelerinizi düzenli olarak gözden geçirmeniz ve optimize etmeniz önerilir. Acil bir işlem gerekmez.

Tehdit algılama modelleri

Security Center, kapsamlı tehdit algılama sağlamak için 380'den fazla tehdit algılama modeli kullanır. Bu modeller, saldırının tüm yaşam döngüsünü tespit etmek amacıyla saldırı zincirinin kilit aşamalarını kapsar. Aşağıdaki listede her bir algılama aşaması için örnekler verilmiştir:

Not

Alert sayfasında, Security Center'ın sağladığı tehdit algılama modellerini görüntülemek için sol üst köşedeki simgesine tıklayabilirsiniz.

Initial Access: Java uygulamalarında anormal komut çalıştırma ve web açıklığı istismarları.
Code Execution: Ters kabuklar (reverse shells) ve kötü amaçlı betik çalıştırma.
Persistence: Parolasız oturum açma sertifika dosyalarına şüpheli yazma işlemleri ve yanlış yapılandırılmış Redis örneklerinin istismarı.
Privilege Escalation: Yanlış yapılandırılmış Redis örneklerinin istismarı ve yüksek riskli komutların yetkisiz çalıştırılması.
Defense Evasion: Olağandışı bir konumdan RAM kullanıcısı tarafından oturum açma ve şüpheli programların çalıştırılması.
Credential Access: Olağandışı bir konumdan ECS örneğine oturum açma ve ECS örneğine yönelik başarılı kaba kuvvet saldırıları.
Discovery: OSS'e şüpheli erişim ve hassas bağlantı noktalarının taranması şüphesi.
Lateral Movement: Solucanlar ve Windows'ta şüpheli ağ bağlantıları.
Collection: Bağlantı noktası tarama ve Kubernetes hizmetinde şüpheli adam-in-the-orta saldırıları (CVE-2020-8554).
Data Leakage: Bant dışı (OOB) saldırı alan adlarına yapılan istekler ve şüpheli komuta-kontrol (C2) truva atı iletişimi.
Remote Control: Truva atı programları ve arka kapı (backdoor) programları.
Impact and Damage: DDoS truva atları ve fidye yazılımı.
Prepare Resources: Kendini değiştiren truva atları ve hack araçları.
Target Discovery: Kötü amaçlı indirme kaynaklarına ve tarayıcılara proaktif bağlantılar.

Sınırlamalar

Security Center, gerçek zamanlı uyarılar, açık yönetimi ve saldırı izleme yoluyla varlık güvenliğini güçlendirmek için tasarlanmıştır. Ancak, aşağıdaki sınırlamalar nedeniyle genel güvenliği artırmak için derinlemesine savunma stratejisi benimsemenizi öneririz:

Gecikmeli Savunma Aktivasyonu: Bir sunucu yeniden başlatıldıktan sonra Security Center savunma işleminin başlaması biraz zaman alır. Aktivasyondan önceki bu boşlukta, fidye yazılımı ve DDoS truva atları gibi hızlı saldırılar etkili bir şekilde engellenemez.
Bilinmeyen Tehdit Riskleri: Siber saldırı yöntemlerinin ve virüs örneklerinin sürekli gelişmesi ile iş ortamlarındaki farklılıklar nedeniyle Security Center, tüm bilinmeyen tehditlere karşı gerçek zamanlı algılama ve savunma garantisi veremez.

Daha kapsamlı bir güvenlik savunması oluşturmak için Security Center'ı aşağıdaki önlemlerle birleştirmenizi öneririz:

Sunucu işletim sistemi ve uygulamaları için güvenlik yamalarını düzenli olarak güncelleyin.
Ağ saldırı yüzeyini azaltmak için Cloud Firewall ve Web Application Firewall gibi ürünleri kullanın.

Uyarı işleme süreci

Desteklenen sürümler

Abonelik

Hizmet sürümü	Algılama kapsamı	Uyarı işleme yetenekleri
Basic , Value-added Plan	Geleneksel tek satırlık web kabukları, olağandışı konumlardan oturum açmalar, kendini değiştiren truva atları, DDoS truva atları ve madencilik programları dahil olmak üzere yaygın cloud tabanlı saldırıları algılar. Bu sürüm konteyner varlıklarını kapsamaz.	Uyarı baskılama: Add to Whitelist, Ignore vb.
Anti-virus	Basic sürümündeki tüm özelliklerin yanı sıra, ikili dosyalar dahil olmak üzere şüpheli ve kötü amaçlı dosyalara yönelik algılama ve hassas savunma modellerini içerir. Bu sürüm konteyner varlıklarını kapsamaz.	Tehdit kaldırma: Virus Detection and Removal, Deep Cleanup, Quarantine vb. Uyarı baskılama: Add to Whitelist, Ignore vb.
Advanced Edition	Antivirus sürümündeki tüm özelliklerin yanı sıra, şüpheli ve kötü amaçlı işlem aktiviteleri ile dosya işlemlerine yönelik algılama ve hassas savunma modellerini içerir. Bu sürüm konteyner varlıklarını kapsamaz.
Enterprise	Advanced sürümündeki tüm özelliklerin yanı sıra, işlem aktiviteleri, dosya işlemleri ve ağ bağlantıları dahil olmak üzere her türlü kötü amaçlı davranışa yönelik 380'den fazla algılama ve hassas savunma modelini içerir. Bu sürüm konteyner varlıklarını kapsamaz.
Ultimate	Enterprise sürümündeki tüm özellikleri (konteyner varlıklarını kapsar) içerir; ayrıca konteyner kaçışları, riskli görüntülerin çalıştırılması ve görüntü dışı programların başlatılması gibi konteynere özel saldırılara yönelik algılama ve proaktif savunma modellerini sunar.

Kullandıkça öde

Koruma seviyesi	Algılama kapsamı	Uyarı işleme yetenekleri
Unprotected	Geleneksel tek satırlık web kabukları, olağandışı konumlardan oturum açmalar, kendini değiştiren truva atları, DDoS truva atları ve madencilik programları dahil olmak üzere yaygın cloud tabanlı saldırıları algılar. Bu seviye konteyner varlıklarını kapsamaz.	Uyarı baskılama: Add to Whitelist, Ignore vb.
Antivirus	Unprotected seviyesindeki tüm özelliklerin yanı sıra, ikili dosyalar dahil olmak üzere şüpheli ve kötü amaçlı dosyalara yönelik algılama ve hassas savunma modellerini içerir. Bu seviye konteyner varlıklarını kapsamaz.	Tehdit kaldırma: Virus Detection and Removal, Deep Cleanup, Quarantine vb. Uyarı baskılama: Add to Whitelist, Ignore vb.
Comprehensive Host Protection	Antivirus seviyesindeki tüm özelliklerin yanı sıra, işlem aktiviteleri, dosya işlemleri ve ağ bağlantıları dahil olmak üzere her türlü kötü amaçlı davranışa yönelik 380'den fazla algılama ve hassas savunma modelini içerir. Bu seviye konteyner varlıklarını kapsamaz.
Hosts and Container Protection	Comprehensive Host Protection seviyesindeki tüm özellikleri (konteyner varlıklarını kapsar) içerir; ayrıca konteyner kaçışları, riskli görüntülerin çalıştırılması ve görüntü dışı programların başlatılması gibi konteynere özel saldırılara yönelik algılama ve proaktif savunma modellerini sunar.

Güvenlik uyarı türleri

Tür	Açıklama
Network Defense Alert (eski adıyla saldırı analizi)	Network Threat Prevention kategorisi altındaki Malicious Behavior Defense for Hosts ve Brute-force Attack Protection for Hosts içinde kuralları etkinleştirirseniz, Security Center tespit edilen saldırıları bu koruma kurallarına göre otomatik olarak engeller ve bir Network Defense Alert oluşturur. Daha fazla bilgi için bkz. Network Defense Alert (eski adıyla saldırı analizi). Önemli Yeni satın alınan cloud ürünleri için, ilgili saldırı analizi bilgilerini görüntüleyebilmeniz adına Security Center'ın ağ saldırısı verilerini senkronize etmesi yaklaşık 3 saat sürer. Savunma uyarıları, saldırıların Security Center tarafından otomatik olarak engellendiğini gösterir. Manuel bir işlem gerekmez.
Precise Defense	Malicious Host Behavior Prevention özelliği, etkinleştirdiğiniz savunma kurallarına dayanarak Precise Defense uyarıları oluşturur. Malicious Host Behavior Prevention hakkında daha fazla bilgi için bkz. Host protection settings.
Suspicious Process Behavior	Şüpheli komut dizilerinin çalıştırılması, anormal bir yoldan başlatılma, işlem enjeksiyonu ve sistem dosyaları veya yapılandırmalarında yetkisiz değişiklikler gibi olağandışı işlem davranışlarını algılar.
Webshell	Sunucudaki web kabuğu (webshell) arka kapı dosyalarını veya günlükler ve görüntüler gibi program dışı dosyalara enjekte edilen kötü amaçlı kodları algılar.
Unusual Logon	Önceden tanımlanmış ilkelere uymayan oturum açmaları, başarılı kaba kuvvet saldırılarını ve bilinen kötü amaçlı IP adreslerinden veya arka kapı hesaplarından yapılan oturum açma girişimlerini algılar.
Malware	Ana bilgisayar üzerinde çalışan veya bulunan virüsler, truva atları, fidye yazılımları, madencilik programları ve hack araçları dahil olmak üzere çeşitli kötü amaçlı yazılım türlerini algılar.
Cloud Service Threat Detection	AccessKey gibi cloud platform kimlik bilgilerinin çalınması ve kötüye kullanılmasının yanı sıra cloud kaynaklarında olağandışı yapılandırmaları ve izin araştırmalarını algılar.
Unusual Network Connection	Bağlantı noktası tarama, kötü amaçlı kaynaklara bağlantılar ve ters kabuk (reverse shell) gibi sunucudaki çeşitli şüpheli ağ davranışlarını algılar. Bu davranışlar, saldırı keşfi, uzaktan kontrol ve yatay hareketin tipik belirtileridir. Not Bu özellik, şifreli HTTPS trafiğini algılamaz.
Malicious Script	Sunucuda kötü amaçlı veya şüpheli bir betik dosyasının çalıştırıldığını algılar. Bu durum, saldırganın sisteme sızdığını ve kötü amaçlı komutlar çalıştırdığını gösterir.
Persistent Webshell	Uzun vadeli kontrolü sürdürmek için kullanılan kalıcılık mekanizmalarını, örneğin otomatik başlatma öğeleri oluşturma, bellekte resident arka kapılar, gizli işlemler ve gelişmiş sistem özelliklerinden yararlanma gibi durumları algılar.
Sensitive File Tampering	Çekirdek sistem dosyaları ve yapılandırmalarındaki (paylaşılan kitaplık ön yükleme dosyaları gibi) değişiklikleri algılar. Bu tür değişiklikler, kalıcılık sağlamak veya güvenlik algılamasını atlatmak için dosyaları değiştirmeyi, yerine koymayı veya taşımeyi içerir.
Konteyner kümesi anormalliği	Konteyner kümelerindeki karmaşık, çok aşamalı saldırıları algılar. Bu saldırılar arasında ayrıcalık yükseltme için bir hizmet hesabının kullanılması (olağandışı belirteçler oluşturma veya yüksek ayrıcalıklı rollere bağlama gibi), yatay hareket (komut yürütmek için bir konteynere girme veya Kubelet'e erişme gibi) ve bilgi hırsızlığı (Secrets'ları numaralandırma gibi) yer alabilir.
Suspicious Account	Sistemde şüpheli bir hesabın oluşturulmasını veya kullanılmasını algılar.
Webshell algılama (yerel tarama)	Şüpheli dosyaları tanımlamak ve puanlamak için dosya davranışını analiz eder.
EXP	Uzaktan kod çalıştırma, ayrıcalık yükseltme veya konteyner kaçışı elde etmek için işletim sistemi veya uygulamalardaki bilinen açıklıkları kullanan saldırıları algılar.
Anormal ağ trafiği	Ağ trafiğini analiz edip ana bilgisayar davranışıyla ilişkilendirerek geçmişte ve devam eden saldırıları tespit eder.
Container Escape Prevention	Proactive Defense for Containers içinde bir Container Escape Prevention kuralı oluşturduktan sonra, bir konteyner içindeki bir işlem kuralı ihlal eden bir işlem yapmaya çalışırsa (örneğin, ana bilgisayardaki hassas bir yola erişme veya ayrıcalık yükseltme denemesi), savunma modülü işlemi engeller ve bir güvenlik uyarısı oluşturur.
Proactive Defense for Containers	Proactive Defense for Containers, iki temel çalışma zamanı güvenlik yeteneği sağlar ve tespit edilen tüm riskli davranışlar için güvenlik uyarıları oluşturur: Non-image Program Defense : Gerçek zamanlı olarak, bir konteynerde başlatılan ancak orijinal görüntünün parçası olmayan programları algılar ve engeller. Bu, truva atı yerleştirme gibi kötü amaçlı davranışları etkili bir şekilde önler. Container File Defense : Bir konteyner içindeki belirli dosya veya dizinleri gerçek zamanlı olarak izler ve kötü amaçlı değişikliklere karşı uyarı verir veya bunları engeller.
Risk Image Blocking	Proactive Defense for Containers içinde bir Risky Image Blocking kuralı oluşturduktan sonra, Security Center küme kaynakları (örneğin Pod) oluşturmak için kullanılan görüntüler üzerinde gerçek zamanlı güvenlik kontrolleri gerçekleştirir. Bir görüntü kural eşleşirse, sistem otomatik olarak uyarı verir, kullanımını engeller veya izin verir ve bir güvenlik uyarısı oluşturur.
Trusted Exception	Bir ECS güvenilir örneğinin durumunu izler ve herhangi bir anormalliği bildirir.
Others	Security Center istemcisinin beklenmedik çevrimdışı durumu, DDoS sel saldırısı ve daha fazlası.

Uyarı kontrolleri

Precise Defense

Uyarı adı	Açıklama
DDoS truva atı	DDoS truva atı, ele geçirilmiş bir ana bilgisayarda çalışan ve saldırgan tarafından belirtilen bir hedefe karşı DDoS saldırıları başlatmak için talimat alan kötü amaçlı bir programdır.
fidyeware	Fidyeware, bir ana bilgisayardaki kritik veri dosyalarını şifreleyen ve fidye talep eden kötü amaçlı bir programdır.
arka kapı programı	Arka kapı programı, sisteme yerleştirilen ve saldırganın ana bilgisayara sürekli erişimini sürdürmesine olanak tanıyan kalıcı bir programdır.
kötü amaçlı program	Bulut tabanlı tarama bir kötü amaçlı program tespit etti.
bulaşıcı virüs	Bulaşıcı virüs, meşru program dosyalarına kötü amaçlı kod enjekte eden ve birçok normal programın bulaşıp barındırıcı görevi görmesine neden olan gelişmiş bir kötü amaçlı yazılım türüdür.
madencilik programı	Madencilik programı, sunucunuzun hesaplama kaynaklarını izinsiz kullanarak kripto para madenciliği yapar. Bu etkinlik genellikle yüksek CPU kullanımına yol açar ve başka kötü amaçlı programların varlığına işaret edebilir.
truva atı programı	Truva atı programı, sunucunuza sızmak için kendini gizleyen kötü amaçlı bir programdır. Etkinleştiğinde genellikle diğer kötü amaçlı programları indirir ve çalıştırır.
solucan	Solucan, sunucunuz gibi ele geçirilmiş bir ana bilgisayardan diğer ana bilgisayarlara yatay hareket etmek için kullanılan kötü amaçlı bir programdır. Genellikle açıklıklardan yararlanarak ve şifreleri kaba kuvvetle deneyerek yayılır.
şüpheli program	Şüpheli bir program, kötü amaçlı kod özellikleri veya şüpheli davranışlar sergiler ancak kesin olarak kötü amaçlı olarak sınıflandırılmamıştır. Programı uyarıda sağlanan bilgilere göre değerlendirmelisiniz.
kendini değiştiren truva atı	Kendini değiştiren truva atı, algılanmayı ve kaldırılmayı önlemek için kendi dosya hash değerini değiştiren veya kendini birden çok konuma kopyalayan bir truva atı türüdür.
kötü amaçlı IP engelleme	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
kötü amaçlı DNS isteği engelleme	Alibaba Cloud Security, ECS örneğinizin kötü amaçlı bir etki alanıyla iletişim kurduğunu tespit etti; bu durum bir güvenlik ihlaline işaret edebilir. Precise Defense özelliği sunucunuzu korumak için bu isteği engelledi.
işlem davranışı engelleme	Güvenlik Merkezi yüksek riskli bir komutu tespit edip engelledi; bu durum saldırganın sunucunuzu ele geçirdiğine işaret edebilir. Precise Defense özelliği sunucunuzun zarar görmesini önlemek için bu komutun çalışmasını engelledi.
istemci işleminin kötü amaçlı şekilde kesintiye uğratılması	Güvenlik Merkezi Server Guard aracısını kesintiye uğratmaya yönelik şüpheli etkinliği tespit edip engelledi. Bu proaktif engelleme, tehdit algılama yeteneklerinin aktif kalmasını sağlar. Saldırganlar genellikle bir ana bilgisayarı ele geçirmek için güvenlik önlemlerini devre dışı bırakmaya çalışır. Bu uyarıyı dikkatlice inceleyin ve sunucuda başka güvenlik uyarıları, yüksek riskli güvenlik açıkları ve zayıf parolalar olup olmadığını kontrol edin. Bu işlemi bilinçli olarak siz gerçekleştirdiyseniz bu uyarıyı yoksayabilirsiniz.
istemci dosyasının kötü amaçlı şekilde kesintiye uğratılması	Güvenlik Merkezi Server Guard aracısını kesintiye uğratmaya yönelik şüpheli dosya etkinliğini tespit edip engelledi. Bu proaktif engelleme, tehdit algılama yeteneklerinin aktif kalmasını sağlar. Saldırganlar genellikle bir ana bilgisayarı ele geçirmek için güvenlik önlemlerini devre dışı bırakmaya çalışır. Bu uyarıyı dikkatlice inceleyin ve sunucuda başka güvenlik uyarıları, yüksek riskli güvenlik açıkları ve zayıf parolalar olup olmadığını kontrol edin. Bu işlemi bilinçli olarak siz gerçekleştirdiyseniz bu uyarıyı yoksayabilirsiniz.
açık istismar programı	Açık istismar programı, bir işletim sistemi veya uygulamadaki bilinen güvenlik açıklarına saldırır. Saldırganlar bu programları yetki yükseltmek, konteynerlerden çıkmak veya keyfi kod yürütmek için kullanır.
fidyeware koruması için yem yakalama	Güvenlik Merkezi, büyük olasılıkla fidyeware olan şüpheli bir işlemi tespit etmek ve engellemek için önceden ayarlanmış bir yem dosyası (honeypot) kullandı.
webshell kötü amaçlı bağlantı engelleme	Güvenlik Merkezi bir webshell'den gelen kötü amaçlı bağlantıyı engelledi.
korsanlık aracı	Korsanlık araçları, saldırganlar tarafından yetki yükseltme, hassas veri hırsızlığı veya güvenlik yazılımlarının kaldırılması amacıyla kullanılır. Ayrıca bir sızıntıdan sonra arka kapı programı olarak da yerleştirilebilirler.
Windows arka kapı hesabı oturum açma engelleme	Güvenlik Merkezi, saldırganın bu sunucuya arka kapı hesabı kullanarak oturum açma girişimini tespit edip engelledi.
işlem başlatma engelleme (özel)	Bu uyarı, özel bir kurala dayalı olarak bir işlem engellendiğinde tetiklenir. Proaktif savunma ayarlarında, MD5 dosya hash değerlerini ekleyerek belirli işlemlerin başlangıçta engellenmesini sağlayan kurallar tanımlayabilirsiniz.
AntSword webshell iletişimi	Güvenlik Merkezi AntSword aracını kullanan bir saldırı girişimi tespit etti. Precise Defense özelliği bu kötü amaçlı isteği engelledi. Bu uyarı, saldırının önlenmiş olduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
Cknife webshell iletişimi	Güvenlik Merkezi Cknife aracını kullanan bir saldırı girişimi tespit etti. Precise Defense özelliği bu kötü amaçlı isteği engelledi. Bu uyarı, saldırının önlenmiş olduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
rootkit	Rootkit, kendi izlerini veya diğer kötü amaçlı programların izlerini gizlemek amacıyla sistemin düşük düzeyine yerleştirilen kötü amaçlı bir modüldür.
XISE webshell iletişimi	Güvenlik Merkezi XISE aracını kullanan bir saldırı girişimi tespit etti. Precise Defense özelliği bu kötü amaçlı isteği engelledi. Bu uyarı, saldırının önlenmiş olduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
ters kabuk	Ters kabuk, saldırganların ele geçirilmiş bir sunucuyu kontrol etmek için kullandığı bir tekniktir. Bu uyarı, bir işlem (bash, python, perl, lua, php ve telnet gibi) ters kabuk bağlantısı başlattığında tetiklenir.
yüksek riskli komutların yetkisiz çalıştırılması	Bir saldırgan, Dirty COW güvenlik açığı veya sudo yetki yükseltme gibi güvenlik açıklarından veya yanlış yapılandırmalardan yararlanarak ele geçirilmiş bir sunucuda yetkilerini yükseltir.
webshell komut yürütme	Bir saldırgan, Cknife, AntSword, Behinder veya Godzilla gibi bir webshell yönetim aracı kullanarak ele geçirilmiş bir sunucudaki webshell ile iletişim kurar ve keyfi komutlar yürütür.
güvenlik yazılımına karşı koyma	Bir saldırgan, güvenlik yazılımını devre dışı bırakmaya veya güvenlik yapılandırmalarını silmeye çalışır. Örnekler arasında Server Guard aracısının durdurulması veya güvenlik duvarının devre dışı bırakılması yer alır.
şüpheli dosyaların yerleştirilmesi	Bir saldırgan, bir güvenlik açığından yararlanır veya zayıf parola kullanarak oturum açar ve `wget`, `curl`, `tar` ve `powershell` gibi komutları kullanarak şüpheli dosyalar yazar.
kötü amaçlı dosyaların yerleştirilmesi	Bir saldırgan, bir güvenlik açığından yararlanır veya zayıf parola kullanarak oturum açar ve `wget`, `curl`, `tar` ve `powershell` gibi komutları kullanarak kötü amaçlı dosyalar yazar.
şüpheli solucan betiği davranışı	Bir saldırgan, bir güvenlik açığından yararlanır veya zayıf parola kullanarak oturum açar ve şüpheli bir solucan betiği yerleştirir. Bu uyarı, bash, python, perl ve powershell gibi betikler tarafından tetiklenir.
komut satırından kötü amaçlı dosyaların indirilip çalıştırılması	Bir saldırgan, bir güvenlik açığından yararlanır veya zayıf parola kullanarak oturum açar, uzaktan komutlar yürütür ve kötü amaçlı dosyalar indirip yerleştirir. Bu uyarı, `wget`, `curl`, `python` ve `powershell` gibi indirme komutları tarafından tetiklenir.
web hizmeti tarafından yüksek riskli işlem	Bir saldırgan, Confluence veya Exiftool güvenlik açığı gibi bir web güvenlik açığından yararlanarak keyfi komutlar yürütür.
bilgi toplama	Bir hizmet programı, ana bilgisayar bilgilerini toplamak ve uzaktan komut yürütmenin başarılı olup olmadığını belirlemek için `whoami`, `netstat` ve `id` gibi ana bilgisayar komutlarını yürütür.
Cloud Assistant ileri düzey koruma	Bir Cloud Assistant belirteci sızdırılmış veya çalınmış olabilir. Bu koruma, Cloud Assistant'ın keyfi komutlar yürütmesini yasaklar.
şüpheli ağ bağlantısı	Bir saldırgan, kötü amaçlı bir program çalıştırır veya bir sistem programı kullanarak ağa bağlanır ve bir komuta-kontrol sunucusundan talimat alır. Bu davranış DDoS, madencilik programları ve ters kabuklarla ilişkilidir.
karmaşıklaştırılmış komut	Bir saldırgan, antivirüs korumasını atlamak için ana bilgisayar komutlarını şifreler, kodlar veya başka şekillerde manipüle eder. Manipülasyon örnekleri arasında base64 veya diğer kodlama yöntemlerinin kullanılması yer alır.
PowerShell yüksek riskli komut yürütme	Bir saldırgan, sistemin PowerShell bileşenini kullanarak yük indirme veya yürütme gibi kötü amaçlı komutlar çalıştırır.
PowerShell şüpheli komut yürütme	Bir saldırgan, sistemin PowerShell bileşenini kullanarak yük indirme veya yürütme gibi kötü amaçlı komutlar çalıştırır.
tarayıcı hizmeti tarafından yüksek riskli işlem	Bir saldırgan, güvenilir bir sistem bileşeni kullanarak uzaktan yük indirme veya yürütme gibi kötü amaçlı işlemler gerçekleştirmek için bir giriş hizmetini kullanır.
giriş hizmeti tarafından şüpheli işlem	Bir saldırgan, güvenilir bir sistem bileşeni kullanarak uzaktan yük indirme veya yürütme gibi kötü amaçlı işlemler gerçekleştirmek için bir giriş hizmetini kullanır.
sistem işlemi tarafından yüksek riskli işlem	Bir saldırgan, güvenilir bir sistem bileşeni kullanarak uzaktan yük indirme veya yürütme gibi kötü amaçlı işlemler gerçekleştirmek için bir giriş hizmetini kullanır.
Java hizmeti tarafından yüksek riskli işlem	Bir saldırgan, güvenilir bir sistem bileşeni kullanarak uzaktan yük indirme veya yürütme gibi kötü amaçlı işlemler gerçekleştirmek için bir giriş hizmetini kullanır.
Office bileşeni tarafından yüksek riskli işlem	Bir saldırgan, güvenilir bir sistem bileşeni kullanarak uzaktan yük indirme veya yürütme gibi kötü amaçlı işlemler gerçekleştirmek için bir giriş hizmetini kullanır.
yüksek riskli sürücü yükleme	Bir virüs, truva atı veya korsanlık aracı, antivirüs korumasını atlamak için bir sürücü modülü yüklemeye çalışır.
yüksek riskli hesap manipülasyonu davranışı	Bir saldırgan, kalıcılık sağlamak için yetkisiz hesap işlemleri gerçekleştirir.
kötü amaçlı komut yürütme	Bir saldırgan, çeşitli kötü amaçlı davranışlar gerçekleştirmek üzere komutlar veya betikler yürütmek için sistem araçlarını çağırır.
şüpheli işlem başlatma	Şüpheli bir virüs veya truva atı tarafından başlatılan bir işlem tespit edildi.
sistem yedekleme silme davranışı	Fidyeware, veri geri yüklemeyi önlemek için sistem yedeklemelerini silerken tespit edildi.
iç ağ taraması	Bir saldırgan, iç ağ varlıklarındaki zayıflıkları tarayarak veya aynı parolayla oturum açmayı deneyerek sızıntının kapsamını genişletir. Buna kaba kuvvet saldırıları, parola püskürtme ve web güvenlik açığı taraması gibi faaliyetler dahildir.
hizmet otomatik başlatma öğesi oluşturma	Bir virüs, kayıt defteri, zamanlanmış görevler veya hizmetler kullanarak kalıcı bir başlatma öğesi oluşturur.
yüksek riskli otomatik başlatma öğesi oluşturma	Bir virüs, kayıt defteri, zamanlanmış görevler veya hizmetler kullanarak kalıcı bir başlatma öğesi oluşturur.
zamanlanmış görev otomatik başlatma öğesi oluşturma	Bir virüs, kayıt defteri, zamanlanmış görevler veya hizmetler kullanarak kalıcı bir başlatma öğesi oluşturur.
kayıt defteri otomatik başlatma öğesi oluşturma	Bir virüs, kayıt defteri, zamanlanmış görevler veya hizmetler kullanarak kalıcı bir başlatma öğesi oluşturur.
WMI otomatik başlatma öğesi oluşturma	Bir virüs, kayıt defteri, zamanlanmış görevler veya hizmetler kullanarak kalıcı bir başlatma öğesi oluşturur.
sızıntı izlerinin temizlenmesi	Bir saldırgan, sistem günlükleri ve komut yürütme kayıtları gibi verileri silerek sızıntı izlerini yok etmeye çalışır.
yüksek riskli kimlik bilgisi hırsızlığı davranışı	Bir saldırgan, Mimikatz gibi kimlik bilgisi hırsızlığı araçlarını kullanarak oturum açma kimlik bilgilerini çalmaya çalışır.
HashDump saldırısı	Bir saldırgan, Yerel Güvenlik Yetkilisi (LSA) işlemine erişmek ve kimlik bilgisi verilerini elde etmek için Procdump gibi bellek döküm araçlarını kullanır.
dinamik bağlantı kitaplığı ele geçirme	Güvenlik Merkezi, bir sistem programının şüpheli bir dinamik bağlantı kitaplığı (DLL) yüklediğini tespit etti; bu durum sistem işlevlerini ele geçirme girişimine işaret eder. Bu davranış engellendi. Bu eylemin yanlış pozitif olduğuna inanıyorsanız, Proaktif Savunma - Kötü Amaçlı Davranış Savunması sayfasındaki "Dinamik bağlantı kitaplığı ele geçirme" kural setini devre dışı bırakabilir veya etkilenen makineyi yönetilen ana bilgisayarlar listenizden kaldırabilirsiniz.
Cknife webshell iletişimi	Güvenlik Merkezi Cknife aracını kullanan bir saldırı girişimi tespit etti. Precise Defense özelliği bu kötü amaçlı isteği engelledi. Bu uyarı, saldırının önlenmiş olduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
Behinder webshell iletişimi	Bir saldırgan, Cknife, AntSword, Behinder veya Godzilla gibi bir webshell yönetim aracı kullanarak ele geçirilmiş bir sunucudaki webshell ile iletişim kurar ve keyfi komutlar yürütür.
Godzilla webshell iletişimi	Bir saldırgan, Cknife, AntSword, Behinder veya Godzilla gibi bir webshell yönetim aracı kullanarak ele geçirilmiş bir sunucudaki webshell ile iletişim kurar ve keyfi komutlar yürütür.
hassas kayıt defteri anahtarı koruması	Kalıcı başlatma öğeleri, grup ilkesi yapılandırma öğeleri, sistem güvenlik yapılandırma öğeleri ve Görüntü Dosyası Yürütme Seçenekleri ele geçirmesi dahil olmak üzere hassas kayıt defteri anahtarları için koruma.
işlem enjeksiyonu koruması	Bir saldırgan, algılama ve savunmayı atlamak için kötü amaçlı kodu meşru bir işleme enjekte eder. Örnek olarak ptrace enjeksiyonu verilebilir.
proxy aracı	Proxy araçları, saldırganlar tarafından proxy ve tünel oluşturma gibi işlemler için kullanılır ve genellikle sunucu sızıntısını kolaylaştırmaya yöneliktir.
Cloud Assistant hizmeti bilgi toplama	Cloud Assistant hizmeti, ana bilgisayar bilgilerini toplamak ve uzaktan komut yürütmenin başarılı olup olmadığını belirlemek için `whoami`, `netstat` ve `id` gibi ana bilgisayar komutlarını yürütür.
LSA güvenlik yetkilisi hizmeti koruması	Yerel Güvenlik Yetkilisi Alt Sistem Hizmeti (LSASS), işletim sisteminde güvenlik ilkesini uygulamaktan sorumlu işlemdir. Saldırganlar, LSASS işlem belleğinden okuma veya bu belleğe yazma yaparak güvenliği tehlikeye atabilir. Bu kural, diğer işlemlerin LSASS işlemine okuma veya yazma izinleriyle erişmesini engeller. Not: Bu, girişimleri varsayılan olarak engelleyen ve uyarı oluşturmayan bir güvenlik sıkılaştırma özelliğidir. İş yükünüzün LSASS işlem belleğine okuma veya yazma erişimi gerekiyorsa bu koruma kuralını devre dışı bırakabilirsiniz.
giriş hizmeti şüpheli betik veya ikili dosya yerleştirir	Bir veritabanı, web veya başka bir hizmetin şüpheli bir betik veya ikili dosya yerleştirdiği tespit edildi.
giriş hizmeti şüpheli davranış dizisi yürütür	Bir saldırgan, aynı üst işlem altında indirme komutları yürütme, dosya okuma ve yazma ve bilgi toplama gibi bir dizi kötü amaçlı işlem gerçekleştirmek için bir giriş hizmetini kullanır.
uyarlanabilir webshell iletişim engelleme	Algılama modeli, sunucunuzda saldırganın uzaktan kontrol için kullanabileceği kötü amaçlı webshell iletişim trafiği buldu. Precise Defense, olası hasarı önlemek için bu ağ isteğini başarıyla engelledi.
webshell yükleme	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
tarayıcı	Tarayıcılar, saldırganlar tarafından genellikle canlı ana bilgisayarları, açık bağlantı noktalarını ve güvenlik açıkları ile zayıf parolalar gibi güvenlik riskleri taşıyan ana bilgisayarları keşfetmek ve daha fazla sızıntıyı kolaylaştırmak için kullanılır.
Java genel RCE güvenlik açığı engelleme	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
uyarlanabilir web saldırısı savunması	Güvenlik Merkezi, bulut tabanlı akıllı analiz motorunu kullanarak çeşitli web uzaktan kod yürütme (RCE) saldırılarını otomatik olarak tanımlar ve engeller, böylece kötü amaçlı isteklerin sunucunuza zarar vermesini önler. Bu engellemeyi yanlış pozitif olarak değerlendiriyorsanız, Proaktif Savunma - Kötü Amaçlı Davranış Savunması sayfasındaki ilgili kuralı devre dışı bırakabilir veya etkilenen makineyi yönetilen ana bilgisayarlar listenizden kaldırabilirsiniz.
indirme truva atı	Bir indirme truva atı genellikle kötü amaçlı truvalar ve reklam yazılımları gibi üçüncü taraf programları indirir ve çalıştırır.
ana bilgisayar savunma bağlantısı testi	Bu uyarı, ana bilgisayar savunma bağlantısının etkili olup olmadığını test etmek için kullanılır.
veritabanı hizmeti bilgi toplama	Bir veritabanı hizmeti programı, ana bilgisayar bilgilerini toplamak ve uzaktan komut yürütmenin başarılı olup olmadığını belirlemek için `whoami`, `netstat` ve `id` gibi ana bilgisayar komutlarını yürütür.
Alibaba Cloud Security işlem koruması	Alibaba Cloud Security işlemlerine anormal erişime karşı koruma.
webshell dosya savunması	Güvenlik Merkezi sunucunuzda bir webshell buldu ve bunu kullanmaya yönelik bir girişim tespit etti. Savunma modülü bu davranışı tanımladı ve engelledi. Not: Bu girişim engellenmiş olsa da webshell dosyasını manuel olarak karantinaya almanız veya silmeniz gerekir. Bu dosyayı bir izin listesine eklemek için Koruma Yapılandırması > Ana Bilgisayar Koruması > Ana Bilgisayar Kuralı Yönetimi > Özel Savunma Kuralları bölümüne gidin ve dosya yolu için yeni bir kural oluşturun. Bu özelliği devre dışı bırakmak için Koruma Yapılandırması > Ana Bilgisayar Koruması > Ana Bilgisayar Kuralı Yönetimi > Sistem Savunma Kuralları > Webshell Dosya Savunması bölümüne gidin ve kapatın.
SQL Server kaba kuvvet saldırısı	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
PHP webshell yükleme	Bir saldırgan, dosya yükleme özelliğini kullanarak bir PHP webshell yükler. Güvenlik Merkezi .php ve .phtml uzantılı dosyaların yüklenmesini engeller.
JSP webshell yükleme	Bir saldırgan, dosya yükleme özelliğini kullanarak bir JSP webshell yükler. Güvenlik Merkezi .jsp uzantılı dosyaların yüklenmesini engeller.
ASP webshell yükleme	Bir saldırgan, dosya yükleme özelliğini kullanarak bir ASP webshell yükler. Güvenlik Merkezi .asp, .ashx, .asa, .asmx ve .cshtml uzantılı dosyaların yüklenmesini engeller.
özel uzantılı webshell yükleme	Bir saldırgan, dosya yükleme özelliğini kullanarak özel uzantılı bir webshell yükler. Güvenlik Merkezi .cer ve .ascx uzantılı dosyaların yüklenmesini engeller.
işletim sistemi hesabı davranışı	Bu kural seti, çekirdek düzeyinde işletim sistemi hesabı davranışını engeller. Varsayılan olarak devre dışıdır. Güvenlik ihtiyaçlarınızı değerlendirin ve gerekirse etkinleştirin.
webshell yükleme akıllı savunma	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
arayüz üzerinden şüpheli dosya yükleme	Bir saldırgan, belirli arayüzleri kullanarak şüpheli bir webshell yükler. Güvenlik Merkezi bu arayüzlerin yükleme özelliğini engeller.
bilgi hırsızlığı aracı	Bilgi hırsızlığı araçları genellikle bir ana bilgisayardan hassas dosyaları ve bilgileri çalmak için kullanılır.
sistem kalıcı işlem erişim koruması	Sistem kalıcı işlemleri ve hizmetleri, sistemin temel işlevlerini taşır. Saldırganlar genellikle kötü amaçlı eylemler gerçekleştirmek için yüksek riskli izinlerle sistem süreçlerine erişir. Bu koruma kuralı, herhangi bir işlemin sistem kalıcı süreçlerine yüksek riskli izinlerle (iş parçacığı oluşturma, tanıtıcı kopyalama ve bellek işlemleri için izinler dahil) erişmesini yasaklar. Not: Bu, girişimleri varsayılan olarak engelleyen ve uyarı oluşturmayan bir güvenlik sıkılaştırma özelliğidir. İş yükünüzün sistem kalıcı süreçlerine erişmesi gerekiyorsa bu koruma kuralını devre dışı bırakabilirsiniz.
RDP kaba kuvvet saldırısı	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
SSH kaba kuvvet saldırısı	Güvenlik Merkezi sunucunuza yönelik bir saldırı girişimi tespit etti. Precise Defense özelliği kötü amaçlı isteği engelleyerek olası zararı önledi. Bu uyarı, saldırının durdurulduğunu onaylar ve sunucunuzun ele geçirildiği anlamına gelmez.
kötü amaçlı sürücü	Bir saldırgan, kötü amaçlı kodu yükleyerek veya derleyerek ya da .ko veya .sys gibi sürücü dosyalarını yükleyerek bir rootkit kurar.
fidyeware	Fidyeware, bir ana bilgisayardaki kritik veri dosyalarını şifreleyen ve fidye talep eden kötü amaçlı bir programdır.
güvenilmeyen işlem başlatma	İzin listesinde olmayan bir işlemin başlatılması engellendi.
güvenilmeyen işlem zincirinin anormal başlatılması	Güvenilmeyen bir işlem zincirindeki anormal bir işlemin başlatılması engellendi.
güvenilmeyen bir işlem tarafından yüksek riskli ağ işlemi	İzin listesinde olmayan bir işlemin genel veya iç IP adreslerine anormal şekilde erişmesi engellendi.
güvenilmeyen bir işlem tarafından yüksek riskli dosya işlemi	İzin listesinde olmayan bir işlem tarafından yüksek riskli bir işlem gerçekleştirilmesi engellendi. Örnek olarak ofis belgelerinin veya kritik sistem yapılandırma dosyalarının anormal şekilde değiştirilmesi verilebilir.
ağ isteği engelleme	Anormal bir ağ isteği tespit edildi ve sunucunuzun zarar görmesini önlemek amacıyla Precise Defense özelliği tarafından engellendi. Bu uyarı, sunucunuzun ele geçirildiği anlamına gelmez.

Suspicious Process Behavior

Uyarı adı	Açıklama
Ters shell	Security Center, sunucunuzda bir `reverse shell` komutunun çalıştırıldığını tespit etti. Saldırganlar bu tekniği, kendi sunucularına ters ağ bağlantısı kurmak ve böylece rastgele komutlar yürütmek için kullanır.
Java uygulamasında anormal komut çalıştırma	Bu uyarı, sunucunuzdaki bir `Java` işleminin kötü amaçlı program indirme veya `backdoor` ekleme gibi yüksek riskli davranışlar başlattığını gösterir. Bu etkinlik genellikle bir web çerçevesi veya ara katmandaki açık nedeniyle gerçekleşir.
MySQL'de anormal komut çalıştırma	Bu uyarı, MySQL hizmetinizin şüpheli bir komut çalıştırdığını gösterir. Bu durum, MySQL hizmeti için zayıf parola veya bir web hizmetindeki SQL injection açığı kaynaklı olabilir.
PostgreSQL uygulamasında anormal komut çalıştırma	Bu uyarı, PostgreSQL hizmetinizin şüpheli bir komut çalıştırdığını gösterir. Bu durum, PostgreSQL hizmeti için zayıf parola veya bir web hizmetindeki SQL injection açığı kaynaklı olabilir.
Yanlış yapılandırılmış Redis nedeniyle istismar	Bu uyarı, sunucunuzdaki Redis uygulamasının diske şüpheli bir dosya yazması durumunda tetiklenir. Bu durum, bir saldırganın boş veya zayıf paroladan yararlanarak kötü amaçlı komutlar çalıştırdığını ve potansiyel olarak sunucunun doğrudan kontrolünü ele geçirdiğini gösterebilir.
Parolasız oturum açma sertifikasının şüpheli yazılması	Alibaba Cloud Security, kök sertifikalarla ilgili bir dizinde anormal bir dosya değişikliği tespit etti. Bu durum, bir saldırganın gelecekteki oturum açma saldırıları için sunucuya parolasız bir sertifika enjekte etmeye çalıştığını gösterebilir.
HTTP tüneli üzerinden şüpheli bilgi sızıntısı	Bu uyarı, Security Center'ın bir komutun çıktısının HTTP kanalı üzerinden harici bir sunucuya gönderildiği bir etkinliği tespit ettiğini gösterir. Bu durum, bir saldırganın uzaktan kod çalıştırma (RCE) açığı aracılığıyla çalıştırılan bir komutun sonuçlarını dışarı aktardığını gösterebilir.
PostgreSQL dışa aktarma işlevinin kötüye kullanılmasıyla yazılan şüpheli UDF kitaplık dosyası	Bu uyarı, sunucunuzdaki PostgreSQL uygulamasının diske şüpheli bir paylaşılan nesne (.so) dosyası yazmaya çalıştığını gösterir. Bu durum, bir saldırganın oturum açıp kötü amaçlı SQL çalıştırmak için zayıf paroladan yararlandığını gösterebilir. Başarılı bir saldırı, saldırganın sunucunuzun kontrolünü ele geçirmesine neden olabilir.
MySQL dışa aktarma işlevinin kötüye kullanılmasıyla yazılan şüpheli dosya	Bu uyarı, sunucunuzdaki MySQL uygulamasının hassas bir dizine dosya yazmaya çalıştığını gösterir. Bu durum, bir saldırganın kötü amaçlı SQL çalıştırmak için zayıf paroladan veya bir web uygulamasındaki açıktan yararlandığını gösterebilir.
Şüpheli CMD komut dizisi	Bu uyarı, sisteminizdeki bir işlem, saldırı sonrası saldırganlar tarafından kullanılan kalıplara yakından benzeyen bir dizi şüpheli komut yürüttüğünde tetiklenir. Uzaktan kontrol truva atı, güvenlik açığı bulunan bir web hizmeti veya kötü amaçlı kod enjekte edilmiş meşru bir işlem olabilecek üst işlemi incelemenizi öneririz.
Windows hesabında anormal işlem	Bu uyarı, işletim sistemi hesabı bağlamında şüpheli bir komutun çalıştırıldığını gösterir. Bu durum, kötü amaçlı yazılımın veya bir saldırganın yetkisiz kullanıcı hesabı işlemleri gerçekleştirmesinin sonucu olabilir.
Şüpheli betik işlemi	Bu uyarı, sisteminizde bir betikle ilgili son derece şüpheli bir komutun çalıştırıldığını gösterir. Bu etkinlik büyük olasılıkla kötü amaçlı yazılımla veya bir güvenlik ihlaliyle ilişkilidir.
Anormal kayıt defteri işlemi	Bu uyarı, bir komutun kayıt defterini son derece şüpheli bir şekilde değiştirdiğini gösterir. Bu durum, kötü amaçlı yazılımın veya bir saldırganın sızma sonrası yaptığı bir yapılandırma değişikliği olabilir.
Şüpheli komut çalıştırma	Bu uyarı, sunucunuzda yürütülen bir işlemin komut satırının son derece şüpheli olduğunu ve büyük olasılıkla truva atı, virüs veya kötü niyetli saldırgan etkinliğiyle ilgili olduğunu gösterir.
Windows'ta şüpheli maskelenmiş komut	Bu uyarı, ana bilgisayarda yürütülen bir komut satırı maskelendiğinde tetiklenir. Saldırganlar ve kötü amaçlı yazılımlar, güvenlik algılamasını atlatmak için genellikle büyük/küçük harf varyasyonları veya özel karakterler kullanarak komut satırlarını maskeler.
Şüpheli işlem yolu	Bu uyarı, sunucunuzdaki bir işlemin alışılmadık bir yoldan başlatıldığını gösterir. Meşru yazılımlar genellikle bu tür dizinlerde bulunmaz; bu da işlemin bir virüs, truva atı veya saldırgan tarafından yerleştirilmiş bir araç olabileceğini düşündürür.
Şüpheli kodlanmış komut	Bu uyarı, sunucunuzda yürütülen bir işlemin komut satırının son derece şüpheli olduğunu ve büyük olasılıkla truva atı, virüs veya kötü niyetli saldırgan etkinliğiyle ilgili olduğunu gösterir.
Linux'ta şüpheli komut dizisi	Bu uyarı, sisteminizdeki bir işlem, saldırı sonrası saldırganlar tarafından kullanılan kalıplara yakından benzeyen bir dizi şüpheli komut yürüttüğünde tetiklenir. Ters shell, uzaktan kontrol truva atı, güvenlik açığı bulunan bir web hizmeti veya kötü amaçlı kod enjekte edilmiş meşru bir işlem olabilecek üst işlemi incelemenizi öneririz.
Sistem günlüklerinin anormal silinmesi	Bu uyarı, sisteminizdeki bir işlemin sistem günlüklerini silmeye çalıştığını gösterir. Saldırganlar ve kötü amaçlı yazılımlar, tespit edilmekten kaçınmak için genellikle sistem günlüklerini temizler.
Sistem yedeklemelerinin anormal silinmesi	Bu uyarı, sisteminizdeki bir işlemin sistem yedekleme dosyalarını silmeye çalıştığını gösterir. Bu durum, fidye yazılımının dosya geri yüklemeyi engellemek ve fidyenin ödenmesini sağlamak için aldığı bir eylem olabilir.
Sistem güvenlik yapılandırmasının anormal değiştirilmesi	Bu uyarı, sisteminizdeki bir işlemin sistem güvenlik yapılandırmasını değiştirdiğini gösterir. Bu durum, kötü amaçlı yazılımın veya bir saldırganın tespit edilmekten kaçınmak için güvenlik duvarı veya antivirüs yazılımı yapılandırmalarını değiştirmesi olabilir.
Sistem aracına anormal çağrı	Bu uyarı, sisteminizdeki bir işlemin bir sistem aracını şüpheli bir şekilde çağırdığını gösterir. Truva atları, virüsler veya saldırganlar genellikle dosya indirme, verileri şifreleme veya kötü amaçlı kod yükleme gibi kötü amaçlı eylemler gerçekleştirmek amacıyla geleneksel güvenlik yazılımlarını atlatmak için bu yöntemi kullanır.
Başlangıç öğesinin anormal değiştirilmesi	Bu uyarı, sisteminizdeki bir işlemin bir sistem başlangıç öğesini değiştirmeye çalıştığını gösterir. Bu durum, bir truva atı, virüs veya bir saldırganın kalıcılığı korumak için başlangıç öğesini kullanması olabilir.
Şüpheli yoklama komutu	Bu uyarı, genellikle keşif amacıyla kullanılan bir komutun çalıştırıldığını gösterir. Saldırganlar, sistem ortamı, ağ yapılandırması veya çalışan hizmetler hakkında bilgi toplamak için yoklama komutlarını kullanır.
Konteyner içinde şüpheli komut çalıştırma	Bu uyarı, konteynerinizde anormal komut çalıştırma olduğunu gösterir; bu durum potansiyel bir sızmayı işaret eder.
Kötü amaçlı konteyner görüntüsü çalıştırma	Bu uyarı, sunucunuzun kötü amaçlı bir konteyner görüntüsü çalıştırdığını gösterir. Bu görüntünün büyük olasılıkla backdoor, madencilik programı, virüs veya bilinen ciddi açık içerdiği düşünülmektedir. Derhal inceleyin ve güvenilir görüntü kaynaklarını kullanın.
Konteyner içinde yetki yükseltme veya kaçış	Security Center, bir konteyner içinde yetki yükseltme veya konteyner kaçışı denemesi gibi şüpheli davranışlar tespit etti. Yaygın teknikler arasında docker.sock erişimi, kaçış araçlarının kullanılması veya cgroups oluşturulması yer alır. Bu etkinlik meşru bir işlemin parçası da olabilir. Bu yetkili bir işlemse uyarıyı yoksayabilir veya yanlış pozitif olarak işaretleyebilirsiniz.
Ayrıcalıklı konteyner başlatma	Bu uyarı, sunucunuzda şüpheli bir ayrıcalıklı konteynerin başlatıldığını gösterir. Ayrıcalıklı konteyner çalışma zamanı güvenliğini zayıflatır ve ele geçirilirse ana bilgisayardaki diğer konteynerleri ve varlıkları tehlikeye atabilir. Ayrıcalıklı konteynerinizin güvenilir bir görüntü kaynağı kullandığından ve çalışan hizmetlerinin güvenli olduğundan emin olun.
Riskli Docker uzaktan hata ayıklama arayüzü	Bu uyarı, Docker uzaktan hata ayıklama arayüzünüzün 0.0.0.0'a açık olduğunu gösterir. Genel internete açık bir arayüz, bir solucan tarafından hızla ele geçirilebilir. Dahili olarak açık bir arayüz bile risk oluşturur; çünkü saldırganlar genellikle ilk ihlalden sonra ek konteyner kaynaklarını kontrol etmek için bu tür yanlış yapılandırmaları yatay hareket için kullanır.
Şüpheli yetki yükseltme	Bu uyarı, sunucunuzdaki bir işlemin daha yüksek ayrıcalıklar elde etmek için muhtemelen bir sistem veya uygulama açığından yararlandığını gösterir. Bu durum, bir saldırganın sızma sırasında gerçekleştirdiği bir yetki yükseltme denemesi olabilir.
Anormal konteyner davranışı	Security Center, konteynerinizde yazılım yükleme, betik çalıştırma veya konteyner ortamını yoklama gibi manuel işlemler tespit etti. Bu, konteyner ele geçirildikten sonra yatay hareket ve yetki yükseltme için yaygın bir taktiktir ancak meşru bir işlemin parçası da olabilir. Bu uyarının yanlış pozitif olduğunu belirlerseniz uyarı işleme sayfasında "İzin listesine ekle" veya "Yoksay" seçeneğini belirleyebilirsiniz.
Konteynerin ağ tarama davranışı başlatması	Bu uyarı, konteynerinizin şüpheli ağ tarama davranışı başlattığını gösterir. Bu durum, saldırgan tarafından daha fazla sızma ve yatay hareket için kullanılan bir yöntem olabilir.
Konteyner içinde kimlik bilgisi bilgisi toplama	Bu uyarı, konteynerinizde hassas dosyalara erişim tespit edildiğini gösterir. Bu dosyalar arasında Docker, Swarm veya Kubernetes yapılandırma dosyaları; veritabanı bağlantı yapılandırmaları; oturum açma kimlik bilgileri; AccessKey; sertifikalar ve özel anahtar dosyaları yer alabilir. Derhal sızma ve veri ihlali riskini kontrol edin.
Yüksek riskli konteyner işlemi	Bu uyarı, sunucunuzun yüksek riskli bir konteyner işlemi gerçekleştirdiğini gösterir. Belirli neden için uyarı ayrıntılarına bakın. Bu davranışı inceleyin. Bu meşru bir işlemse uyarıyı yoksayabilir veya yanlış pozitif olarak işaretleyebilirsiniz.
Dosya zamanı sahteciliği	Bu uyarı, sunucunuzdaki bir işlemin bir dosyanın zaman damgasını değiştirmeye çalıştığını gösterir. Saldırganlar, normal sistem dosyalarının zaman damgalarını taklit ederek tespitten kaçınmak amacıyla kötü amaçlı bir dosyanın gerçek oluşturma, erişim veya değiştirme saatlerini sahtelemek için bu tekniği kullanabilir.
Ağ proxy yönlendirme davranışı	Bu uyarı, sunucunuzun riskli bir araç çağırdığını gösterir. Bu tür araçlar, saldırganlar tarafından daha fazla sızmanın parçası olarak proxy oluşturma, tünel oluşturma ve tarama amacıyla kullanılır.
Kubernetes sistem konteyneri olarak kimlik sahteciliği yapma	Security Center, sunucunuzda Kubernetes iç servisi gibi görünen bir konteyner başlatmak için bir Docker komutunun çalıştırıldığını tespit etti. Saldırganlar, meşru bir Kubernetes iç konteyner adını vererek backdoor konteynerini gizlemek için bu yaygın taktiği kullanır.
Konteyner içinde hassas manuel işlem	Security Center, konteynerinizde yazılım yükleme, betik çalıştırma veya konteyner ortamını yoklama gibi manuel işlemler tespit etti. Bu durum genellikle bir saldırganın ele geçirme sonrası yatay hareket için konteyner ortamını zenginleştirmesi gerektiğinde ortaya çıkar. Test sırasında da gerçekleşebilir. Eylemin yetkili olup olmadığını onaylayın. İşlem meşruysa bu uyarıyı bastırmak için izin listesine bir kural ekleyebilirsiniz.
Konteyner ortamında şüpheli yoklama komut dizisi	Security Center, bir konteyner ortamında yürütülen bir dizi şüpheli komut tespit etti. Bu durum, saldırganın konteynere erişim sağladıktan sonra yetki yükseltme ve yatay hareket elde etmek amacıyla ana bilgisayar ortamını, küme bilgilerini veya konteyner kaçışı koşullarını yokladığı durumlarda yaygındır. Bu eylemler incelikli olduğu için meşru bir işlemin parçası da olabilir. Kaynak IP adresinden gelen erişim ve eylemlerin normal bir işlemin parçası olup olmadığını inceleyin.
Solucan komutu	Bu uyarı, solucanla ilişkili bir komut çalıştırıldığında tetiklenir. Solucanlar, kendilerini çoğaltmak ve diğer sistemlere yayılmak için bu tür komutları kullanır.
Sızma testi aracı istismar davranışı	Bu uyarı, sızma testi aracı kullanımuyla ilişkili davranışın tespit edildiğini gösterir. Bu araçlar meşru güvenlik testleri için kullanılabilse de yetkisiz kullanımı bir saldırıyı işaret edebilir.
Tarama aracı çağrısı	Bu uyarı, bir ağ veya açık tarama aracının çağrıldığını gösterir. Bu durum, saldırganlar tarafından sistemdeki zayıflıkları keşfetmek için kullanılan yaygın bir keşif tekniğidir.
Şüpheli görüntü başlatma	Security Center, sunucunuzun şüpheli bir görüntüden konteyner başlattığını tespit etti. Bu durum genellikle bir saldırganın hizmet açığından yararlanarak madencilik veya backdoor oluşturma amacıyla konteyner planlayıp kötü amaçlı görüntü yerleştirdiğinde görülür. Derhal inceleyin. Bu meşru bir işlemse uyarıyı yoksayabilir veya yanlış pozitif olarak işaretleyebilirsiniz. Security Center, genel depoları analiz ederek ve kötü amaçlı görüntülerin cloud'da nasıl yayıldığını izleyerek kötü amaçlı görüntü istihbarat kütüphanesi tutar. Görüntüleri açıklara ve kötü amaçlı dosyalara karşı kontrol etmek için Image Scan özelliğini kullanabilirsiniz.
Şüpheli PowerShell talimatı	Saldırganlar genellikle dosya indirme, dosyasız kötü amaçlı yazılım çalıştırma veya ters shell oluşturma gibi kötü amaçlı faaliyetler için PowerShell kullanır.
Şüpheli dosya yerleştirme davranışı	Bu uyarı, şüpheli bir dosya oluşturulduğunda veya diske yazıldığında tetiklenir. Bu durum, bir saldırganın sistemi ele geçirdiğini ve kötü amaçlı yazılım veya diğer araçları yerleştirdiğini gösterebilir.
LSASS bellek dökümü	Bu uyarı, sunucunuzda Mimikatz gibi kötü amaçlı yazılımın çalıştığını tespit edildiğini gösterir. Bu tür araçlar, Yerel Güvenlik Yetkilisi Alt Sistem Hizmeti (LSASS) işleminden hesap karma değerlerini çıkarabilir; bu da kimlik bilgilerinin ele geçirilmesine yol açabilir.
İşletim sistemi kimlik kimlik bilgilerinin çıkarılması	Bu uyarı, parola karmaları veya Kerberos biletleri gibi işletim sistemi kimlik bilgilerinin çıkarılmasıyla ilişkili etkinlik tespit edildiğinde tetiklenir. Saldırganlar bu tekniği ayrıcalıkları yükseltmek veya ağ içinde yatay hareket etmek için kullanır.
Şüpheli işlem davranışı dizisi	Bu uyarı, bir işlem birden çok şüpheli alt işlem başlattığında tetiklenir. Bu durum, savunmasız bir uygulama hizmetinin ele geçirildiğini veya üst işlemin kendisinin kötü amaçlı olduğunu gösterebilir.
Bellekten dinamik olarak yüklenen dosyanın çalıştırılması	Bu uyarı, bir dosyanın bellekten dinamik olarak yüklendiğini ve çalıştırıldığını gösterir. Bu "dosyasız" teknik, kötü amaçlı yazılımlar tarafından geleneksel dosya tabanlı tarayıcıların algılamasından kaçınmak için sıklıkla kullanılır.
Şüpheli işlem enjeksiyonu	Bir işlem başka bir işleme kod enjekte etti. Saldırganlar bu tekniği algılamadan kaçınmak, ayrıcalıkları yükseltmek veya bellekteki hassas bilgilere erişmek için kullanır. Aşağıdaki eylemleri gerçekleştirmenizi öneririz: 1. Kaynak ve hedef işlem dosyalarını inceleyin. Meşru değillerse işlemleri sonlandırın ve dosyaları karantinaya alın. Meşru iseler ve hizmetleriniz üzerinde etkisi yoksa işlemleri yeniden başlatın veya sonlandırın. 2. Sızmanın potansiyel etkisini değerlendirmek ve daha fazla eylem almak için bu uyarıyı aynı sistemdeki diğer uyarılarla ilişkilendirin. 3. Sızmanın nedenini analiz edin ve ilgili güvenlik açığını yamayın.
Web uygulaması anormal alt işlem oluşturuyor	Bu uyarı, bir web uygulamasının alışılmadık bir alt işlem oluşturduğunu gösterir. Meşru web uygulamaları genellikle kabuklar veya diğer beklenmeyen işlemler spawn etmez. Bu davranış başarılı bir uzaktan kod çalıştırma istismarını gösterebilir.
Şüpheli iç ağ yatay saldırısı	Bu uyarı, çalınan kimlik bilgilerini veya ağ hizmeti açıklarını kullanarak diğer ana bilgisayarlara bağlanma girişimleri gibi iç ağınızda yatay hareketle tutarlı davranışı gösterir. Bu durum genellikle ilk ele geçirmeyi takip eder.
Kalıcılık backdoor oluşturma davranışı	Bu uyarı, Security Center ele geçirilmiş bir sisteme erişimi korumak için yaygın olarak kullanılan yeni bir hizmet, zamanlanmış görev veya kayıt defteri anahtarı gibi bir kalıcılık mekanizmasının oluşturulmasını tespit ettiğinde tetiklenir.
Kalıcılık backdoor başlatma davranışı	Bu uyarı, bilinen veya şüpheli bir kalıcılık mekanizması etkinleştirildiğinde tetiklenir. Bu durum, önceden kurulmuş bir backdoor'un artık çalıştığını gösterir.
İşlem komut satırı maskeleme	Bu uyarı, ana bilgisayardaki bir işlemin komut satırının maskelenmiş kodlama içerdiğini gösterir; bu durum kötü amaçlı bir programın veya saldırganın güvenlik algılamasını atlatmaya çalıştığını düşündürür.
Cloud ortamı bilgi toplama	Bu uyarı, örnek meta verileri, kullanıcı verileri veya IAM rol kimlik bilgileri gibi cloud ortamı hakkında bilgi toplamak için komutların kullanıldığını gösterir. Saldırganlar, ortamı anlamak ve daha fazla hedef belirlemek için bu keşfi gerçekleştirir.
Anormal zamanlanmış görev çalıştırma	Bu uyarı, sistemin zamanlanmış görev bileşeninin şüpheli bir işlem oluşturduğunu gösterir. Bu durum, kötü amaçlı bir programın veya bir saldırganın ana bilgisayara erişim sağladıktan sonra kalıcılığı korumak için zamanlanmış göreve kötü amaçlı kod eklemesinin sonucu olabilir.
SSH backdoor	Secure Shell (SSH) ile ilgili bir backdoor işlemi tespit edildi. Linux ana bilgisayara erişim sağladıktan sonra bir saldırgan veya kötü amaçlı program SSH ile ilgili dosyaları veya yapılandırmaları değiştirerek oturum açma backdoor'u oluşturabilir.
Düzenleyici uzantısı backdoor	Bir düzenleyici uzantısıyla ilgili şüpheli bir backdoor bulundu. Kötü amaçlı programlar veya saldırganlar, backdoor'u gizlemek için normal bir düzenleyicinin uzantı işlevselliğini kullanabilir.
Dosya sahteciliği yoluyla şüpheli kaçış	Security Center, önemli bir dosyanın yazma modunda açılma girişimini tespit etti. Bu teknik, dosyayı sahtelemek yoluyla konteynerden ana bilgisayara kaçmak için sıklıkla kullanılır. Bunun meşru bir işlem olup olmadığını belirlemek için işlemi, erişilen dosyayı ve dosyanın açık özniteliklerini inceleyin. İşlem meşruysa uyarıyı yoksayabilir veya yanlış pozitif olarak işaretleyebilirsiniz.
Bant dışı (OOB) saldırı alanı isteği	Ana bilgisayardaki bir işlemin, bant dışı (OOB) saldırıda veri dışa aktarma için yaygın olarak kullanılan bir alan adı istediği tespit edildi. Saldırganlar genellikle bir yükte, istismar başarılı olduğunda hedef alanı istemeyi belirtir. Daha sonra başarılı bir saldırıyı onaylamak için o alana yapılan DNS isteklerini izlerler.
Anormal sözde terminal kabuk oluşturma davranışı	Bu uyarı, anormal bir sözde terminal (PTY) kabuğu oluşturulduğunda tetiklenir. PTY'ler meşru etkileşimli oturumlar için kullanılsa da bunların bir web hizmeti veya etkileşimli olmayan bir işlem tarafından beklenmedik şekilde oluşturulması ters shell veya backdoor'u gösterebilir.
Şüpheli madencilik havuzu alanına erişim	Ana bilgisayardaki bir işlemin şüpheli bir madencilik havuzu alanı istediği tespit edildi. Bu durum, sistemin bir madencilik havuzuyla iletişim kurduğunu gösterebilir. Uyarıya ve önerilen eylemlere dayanarak madencilik etkinliğini inceleyin.
Konteyner kaçış programı başlatma	Usermode-helper API, kullanıcı tarafından belirtilen bir kullanıcı alanı programını (örneğin, /proc/sys/kernel/core_pattern gibi dosyalarda belirtilen bir program) çağırmak için bir Linux çekirdek mekanizmasıdır. Çalıştırıldığında bu program ana bilgisayar kök ayrıcalıklarıyla çalışır. Bu mekanizma genellikle bir konteynerde kullanılmamalıdır. Bu nedenle, bir konteyner içindeki bir program ana bilgisayar çekirdeği tarafından çağrıldığında bu durum genellikle konteyner kaçışını gösterir.
Yetki yükseltme için Windows belirteci sahteciliği	Bu uyarı, Windows erişim belirtecini sahteleme girişimini gösterir. Saldırganlar bu tekniği diğer kullanıcıların kimliğine bürünmek veya daha düşük ayrıcalıklı bir hesaptan SYSTEM gibi daha yüksek ayrıcalıklı bir hesaba yükseltmek için kullanır.
Şüpheli tünel alanına erişim	Ana bilgisayardaki bir işlemin şüpheli bir tünel alanı istediği tespit edildi. Bu durum, sistemin tünel proxy iletişimi için kullanıldığını gösterebilir. Uyarıya ve önerilen eylemlere dayanarak daha fazla inceleme yapın.
Sistem dosyasının anormal değiştirilmesi	Bu uyarı, kritik bir sistem dosyasının anormal şekilde değiştirilmesi durumunda tetiklenir. Bu durum, güvenlik kontrollerini devre dışı bırakma, backdoor oluşturma veya işletim sisteminin bütünlüğünü başka şekillerde bozma girişimi olabilir.
Kayıt defteri otomatik başlatma öğesini değiştirme	Bu uyarı, otomatik program başlatma için kullanılan bir kayıt defteri anahtarında değişiklik yapıldığında tetiklenir. Kötü amaçlı yazılımlar genellikle sistem yeniden başlatmalarında kalıcılık elde etmek için bu tekniği kullanır.
Zamanlanmış görev değiştirme davranışı	Bu uyarı, zamanlanmış görevde değişiklik olduğunu gösterir. Saldırganlar genellikle kalıcılık için kötü amaçlı kodu düzenli aralıklarla yürütmek üzere zamanlanmış görevler oluşturur veya değiştirir.
Şüpheli sistem ilkesi değiştirme davranışı	Bu uyarı, sistem güvenlik ilkesinde şüpheli bir değişiklik olduğunu gösterir. Bu durum, tespitten kaçınmak veya daha fazla saldırıyı kolaylaştırmak için denetim ilkeleri veya kullanıcı hakları atamaları gibi güvenlik ayarlarını zayıflatma girişimi olabilir.
Web uygulaması anormal dosyayı değiştiriyor	Bu uyarı, bir web uygulamasının bir dosyayı alışılmadık bir şekilde (örneğin, web'e erişilebilir bir dizine yürütülebilir dosya yazma) değiştirdiğinde tetiklenir. Bu durum genellikle başarılı bir dosya yükleme açığı istismarını gösterir.
Üst işlem kimlik sahteciliği	Bu uyarı, bir işlem sahte üst işlemle başlatıldığında tetiklenir. Bu, kötü amaçlı bir işlemin meşru bir sistem işlemi tarafından başlatılmış gibi görünmesini sağlamak için kullanılan bir savunma atlatma tekniğidir.
Konteyner yüksek riskli ana bilgisayar yolunu bağlıyor	Bu uyarı, bir konteynerin /proc veya Docker soketi gibi yüksek riskli ana bilgisayar yolu bağlı olarak başlatıldığını gösterir. Bu yapılandırma, konteynerden kaçmak ve ana bilgisayarda ayrıcalık kazanmak için istismar edilebilir.
Ortam değişkeni kullanarak kontrol akışını ele geçirme	Bu uyarı, LD_PRELOAD gibi ortam değişkenlerini değiştirerek bir programın kontrol akışını ele geçirme girişimini gösterir. Bu teknik, kötü amaçlı kodu meşru bir işleme yüklemek için kullanılabilir.

Webshell

Uyarı adı	Açıklama
Webshell dosyası bulundu	Tespit modeli, `sunucu` üzerinde şüpheli bir `webshell` dosyası buldu. Bu `arka kapı dosyası`, bir web sitesi ele geçirildikten sonra kalıcı erişimi korumak amacıyla bir `saldırgan` tarafından yerleştirilmiş olabilir.
Webshell kodu içeren günlük veya görüntü dosyası	Tespit modeli, `sunucu` üzerindeki bir dosyada `webshell` kodu buldu. Bu durum, bir `saldırgan`ın bir `dosya ekleme zafiyetini` istismar etmeye çalıştığını gösterebilir.
Rastgele dosya yazma arka kapısı bulundu	`Security Center`, `sistem diski` üzerinde rastgele dosya yazmak için kullanılabilecek bir dosya buldu. Bu dosya, ağ ele geçirildikten sonra bir `saldırgan` tarafından yerleştirilmiş veya meşru bir `O&M` dosyası olabilir. İşlem yapmadan önce dosyanın meşruiyetini doğrulayın.
Bilgi çalan arka kapı bulundu	`Security Center`, `sistem diski` üzerinde veritabanı işlem günlüğü gibi bilgileri çalmak için kullanılabilecek bir dosya buldu. Bu dosya, ağ ele geçirildikten sonra bir `saldırgan` tarafından yerleştirilmiş veya meşru bir `O&M` dosyası olabilir. İşlem yapmadan önce dosyanın meşruiyetini doğrulayın.
Truva atı veya hotlinking arka kapı dosyası bulundu	Tespit modeli, `sistem diski` üzerinde şüpheli bir `trojan` dosyası buldu. Bu dosya, bir web sitesi ele geçirildikten sonra bir `saldırgan` tarafından yerleştirilmiş olabilir. Dosya, yetkisiz trafik yönlendirme ve `hotlinking` gibi kötü amaçlı işlemler gerçekleştirebilir. İşlem yapmadan önce dosyanın meşruiyetini doğrulayın. Bir yönetici bu dosyayı bilinçli olarak dağıttıysa, konsolda uyarıyı `yoksayabilir` veya `yalancı pozitif olarak işaretleyebilirsiniz`.
DLL türünde web arka kapısı bulundu	Tespit modeli, `sunucu` üzerinde şüpheli bir `webshell` dosyası buldu. Bu `arka kapı dosyası`, bir web sitesi ele geçirildikten sonra kalıcı erişimi korumak amacıyla bir `saldırgan` tarafından yerleştirilmiş olabilir.

Unusual Logon

Uyarı adı	Açıklama
ECS örneğine olağandışı bir konumdan oturum açma	Oturum açma konumu, tanımladığınız meşru konumlardan biri değildir. Bu oturum açmanın yetkili olduğunu doğrulayın.
ECS örneğine olağandışı bir IP adresinden oturum açma	Oturum açma IP adresi, tanımladığınız meşru IP adreslerinden biri değildir. Bu oturum açmanın yetkili olduğunu doğrulayın.
ECS örneğine olağandışı bir hesapla oturum açma	Oturum açma hesabı, tanımladığınız meşru hesaplardan biri değildir. Bu oturum açmanın yetkili olduğunu doğrulayın.
ECS örneğine olağandışı bir zamanda oturum açma	Oturum açma zamanı, tanımladığınız meşru zaman aralığının dışındadır. Bu oturum açmanın yetkili olduğunu doğrulayın.
ECS örneğine yönelik başarılı kaba kuvvet saldırısı	Çok sayıda başarısız denemeden sonra ECS örneğinize yapılan bir oturum açma işlemi başarılı oldu; bu durum, kaba kuvvet saldırısıyla parolanın ele geçirildiğini gösterir.
ECS örneğine yönelik başarılı kaba kuvvet saldırısı (SSH)	Bir saldırgan, çok sayıda denemeden sonra SSH hizmeti parolasını doğru tahmin ederek sisteminize erişim sağladı.
ECS örneğine yönelik başarılı kaba kuvvet saldırısı (RDP)	Bir saldırgan, çok sayıda denemeden sonra RDP hizmeti parolasını doğru tahmin ederek sisteminize erişim sağladı.
ECS oturum açmasından sonra yürütülen anormal komut dizisi (SSH)	Belirli bir IP adresinden oturum açıldıktan sonra sunucunuzda kötü amaçlı komutlar yürütüldü. Bu durum, bir saldırganın zayıf veya ele geçirilmiş bir parola kullanarak erişim sağladığını gösterebilir.
Anormal hesap oturum açması	Bu uyarı, yönetici grubuna eklenen anormal bir hesaptan oturum açma tespit edildiğinde tetiklenir. Bu işlem yetkili değilse, bu hesabı hemen silin.
Kötü amaçlı bir IP adresinden oturum açma	Sunucunuza bilinen kötü amaçlı bir IP adresinden başarılı bir oturum açma gerçekleşti. Bu oturum açmayı tanımıyorsanız, ECS parolanızı hemen değiştirin.
Arka kapı hesabı oturum açması	Sunucunuzdaki bir arka kapı hesabından başarılı bir oturum açma tespit edildi. Bu işlem yetkili değilse, bu hesabı hemen silin.
Şüpheli giden oturum açma tarama etkinliği	Sunucunuz SSH, RDP ve SMB gibi protokollere karşı sık sık giden kaba kuvvet saldırıları başlatıyor. Bu davranış, sunucunuzun ele geçirilmiş olabileceğini ve diğer makinelere saldırı yapmak için bir basamak olarak kullanıldığını gösterir.
ECS örneğine yönelik başarılı kaba kuvvet saldırısı (birden çok geçersiz kullanıcı)	Bir IP adresi, birden çok geçersiz kullanıcı adını denedikten sonra sunucunuza başarıyla oturum açtı. Bu oturum açmayı tanımıyorsanız, ECS parolanızı hemen değiştirin.
Kötü amaçlı bir IP adresinden oturum açma (MySQL)	Sunucunuzdaki MySQL'e bilinen kötü amaçlı bir IP adresinden başarılı bir oturum açma gerçekleşti. Bu oturum açmayı tanımıyorsanız, MySQL parolanızı hemen değiştirin.
Kötü amaçlı bir IP adresinden oturum açma (FTP)	Sunucunuzdaki FTP'ye bilinen kötü amaçlı bir IP adresinden başarılı bir oturum açma gerçekleşti. Bu oturum açmayı tanımıyorsanız, FTP parolanızı hemen değiştirin.
Kötü amaçlı bir IP adresinden oturum açma (SQL Server)	Sunucunuzdaki SQL Server'a bilinen kötü amaçlı bir IP adresinden başarılı bir oturum açma gerçekleşti. Bu oturum açmayı tanımıyorsanız, SQL Server parolanızı hemen değiştirin.

Malware

Uyarı adı	Açıklama
Truva atı	Truva atı, kendisini meşru bir yazılımmış gibi göstererek bir ana bilgisayara sızan kötü amaçlı bir programdır. Yerleştirildikten sonra genellikle diğer kötü amaçlı yükleri indirip çalıştırır.
Şüpheli C2 truva atı iletişimi	Kötü amaçlı bir komuta ve kontrol (C2) sunucusuyla iletişim tespit edildi; bu durum bir truva atı bulaşmasını gösterir.
DDoS truva atı	DDoS truva atı, bir hedefe karşı DDoS saldırıları başlatmak üzere saldırgandan komut alan kötü amaçlı bir programdır.
Fidye yazılımı	Fidye yazılımı, bir ana bilgisayardaki kritik dosyaları şifreleyen ve şifrelerinin çözülmesi için fidye talep eden kötü amaçlı bir programdır.
Arka kapı	Arka kapı, bir sisteme yerleştirilen ve saldırgana kalıcı, yetkisiz erişim sağlayan bir programdır.
Bulaşıcı virüs	Bulaşıcı virüs, meşru program dosyalarına kötü amaçlı kod enjekte eden bir kötü amaçlı yazılım türüdür. Bu durum programları bulaştırarak virüsün yayılmasına neden olur.
Solucan	Solucan, genellikle güvenlik açıklarından yararlanarak veya parolalara kaba kuvvet uygulayarak ele geçirilmiş bir ana bilgisayardan diğer ana bilgisayarlara yayılan bir programdır.
Kötü amaçlı program	Birden fazla kötü amaçlı davranış sergileyen veya aksaklığa ya da hasara neden olduğu bilinen üçüncü taraf bir programı ifade eder.
Mining programı	Mining programı, kripto para birimi madenciliği yapmak için sunucunun bilişim kaynaklarını yasa dışı şekilde kullanır. Bu etkinlik genellikle yüksek CPU kullanımına neden olur ve diğer kötü amaçlı yazılımlarla birlikte görülebilir.
Şüpheli program	Kötü amaçlı kod özellikleri veya şüpheli davranışlar sergileyen ancak henüz kesin olarak sınıflandırılmamış bir programdır. Programı sağlanan bilgilere göre değerlendirmelisiniz.
Yüksek riskli program	Bulut tabanlı bir tarama tarafından tespit edilen ve sistem güvenliği için önemli bir tehdit oluşturan bir programdır.
Kendini değiştiren truva atı	Kendi hash değerini değiştirerek, kendini birden çok konuma kopyalayarak ve arka planda çalışarak tespitten ve kaldırmadan kaçan bir truva atıdır.
Kirlenmiş temel yazılım	İçine kötü amaçlı kod enjekte edilmiş meşru bir sistem programıdır. Orijinal işlevselliğini korurken gizli kötü amaçlı işlemler de gerçekleştirebilir.
Zafiyet istismar programı	Ayrıcalıkları yükseltmek, konteynerlerden çıkmak veya rastgele kod çalıştırmak amacıyla işletim sistemi veya uygulamalardaki bilinen güvenlik açıklarına saldıran bir programdır.
Hacking aracı	Bir saldırgan tarafından ayrıcalıkları yükseltmek, hassas verileri çalmak veya güvenlik yazılımlarını kaldırmak için kullanılan bir araçtır. Ayrıca bir sızmadan sonra arka kapı olarak da yerleştirilebilir.
Rootkit	Kendi izlerini veya diğer kötü amaçlı programların izlerini gizlemek amacıyla sistemin düşük düzeyine yerleştirilen kötü amaçlı bir modüldür.
Rootkit çekirdek modülü	Çekirdek düzeyinde çalışan bir rootkit'tir. Bu tür rootkit'ler, işletim sisteminin çekirdeğini değiştirebildikleri için tespit edilmesi ve kaldırılması özellikle zordur.
Oldukça şüpheli program	Güçlü kötü amaçlı kod özellikleri sergileyen ancak kesin olarak sınıflandırılmamış bir programdır. Programı değerlendirmeli ve yüksek öncelikli olarak ele almalısınız.
Riskware	Doğası gereği kötü amaçlı olmayan ancak yanlış kullanıldığında güvenlik tehdidi oluşturabilecek işlevlere sahip yazılımdır. Yaygın örnekler arasında uzaktan yönetim ve süreç yönetim araçları bulunur. Kullanım durumunu sağlanan bilgilere göre değerlendirmelisiniz.
Downloader truva atı	Diğer truva atları veya reklam yazılımları gibi başka kötü amaçlı yazılımları indirmek ve çalıştırmak için tasarlanmış bir truva atıdır.
Proxy aracı	Saldırganlar tarafından genellikle faaliyetlerini gizlemek veya daha fazla sunucu sızmasına olanak tanımak amacıyla proxy ve tünel oluşturma gibi işlemler için kullanılan bir araçtır.
Motor test programı	Bir güvenlik tespit motorunun doğru çalıştığını doğrulamak için kullanılan bir programdır. Genellikle zararsızdır.
Bilgi çalma aracı	Bir sunucudan hassas dosyaları ve bilgileri çalmak için tasarlanmış bir araçtır.
Tarayıcı	Saldırganlar tarafından canlı ana bilgisayarları, açık bağlantı noktalarını ve güvenlik açıkları ile zayıf parolalar gibi güvenlik risklerini keşfetmek için kullanılan bir araçtır. Tarama genellikle daha ileri sızma hazırlığıdır.
Fidye yazılımı	Fidye yazılımı, bir ana bilgisayardaki kritik dosyaları şifreleyen ve şifrelerinin çözülmesi için fidye talep eden kötü amaçlı bir programdır.
Reklam yazılımı	Genellikle meşru programlarla birlikte paketlenen, istenmeyen reklamlar görüntüleyen, normal kullanımı bozan ve sistem kaynaklarını tüketen yazılımdır.
Obfuscate edilmiş program	Kodu, analizi zorlaştırmak amacıyla kasıtlı olarak gizlenmiş bir programdır. Kötü amaçlı yazılımlar genellikle güvenlik yazılımları tarafından tespit edilmekten kaçınmak için obfuscation kullanır.
Cracking programı	Yazılım lisanslamasını veya dijital hak yönetimini (DRM) atlatmak için tasarlanmış bir araçtır. Bu tür programların kaynağı genellikle güvenilir değildir ve kötü amaçlı yazılım içerebilir.
Özel sunucu aracı	Genellikle çevrimiçi oyunlar için veya hile yazılımı olarak özel bir sunucuyu taklit etmek amacıyla kullanılan bir araçtır. Bu araçlar kötü amaçlı kod içerebilir.
Ters kabuk	Hedef sunucudan saldırganın makinesine başlatılan bir kabuk oturumudur. Bu teknik, gelen bağlantıları engelleyen güvenlik duvarı kurallarını atlatmak için sıklıkla kullanılır.
Kötü amaçlı belge	PDF veya Office belgesi gibi kötü amaçlı yük içeren bir belge dosyasıdır. Saldırganlar genellikle bir sistemi ele geçirmek için kimlik avı kampanyalarında bunları kullanır.

Cloud Service Threat Detection

Uyarı adı	Açıklama
RAM kullanıcısının olağandışı oturum açması	Bu uyarı, Alibaba Cloud hesabınızdaki bir RAM kullanıcısı olağandışı bir konumdan oturum açtığında oluşturulur. Yeni bir cihazdan veya konumdan oturum açmanız gibi meşru faaliyetler sırasında bu durum meydana gelebilir. Ancak bu etkinliği tanımıyorsanız, RAM kullanıcısının kimlik bilgileri ele geçirilmiş olabilir.
AccessKey kullanan kötü amaçlı IP adresi	Bu uyarı, AccessKey'inizin bilinen kötü amaçlı bir IP adresi tarafından kullanıldığını gösterir. Bu etkinliği tanımıyorsanız, AccessKey'i hemen devre dışı bırakmalı ve yenilemelisiniz.
OSS'e şüpheli erişim	Bu uyarı, OSS paketinize bir OSS aracı üzerinden anormal erişim olduğunu gösterir. Bu etkinlik, çağrı yapan IP adresindeki bir değişiklikten veya başarısız bir API çağrısından kaynaklanabilir. Kaynak IP adresinin ve aracın etkinliğinin meşru olduğunu doğrulamalısınız. Etkinlik yetkisizse, bir saldırganın OSS paketinizin kontrolünü ele geçirdiğini gösterebilir.
Cloud Assistant'tan anormal komut	Bu uyarı, bir saldırgan Cloud Assistant OpenAPI'yi kullanarak sunucunuzda kötü amaçlı bir komut yürüttüğünde tetiklenir. Bu davranış, AccessKey'inizin ele geçirildiğini ve bir saldırgan tarafından kullanıldığını güçlü şekilde gösterir.
Anormal AccessKey çağrısı	Bu uyarı, AccessKey'inizin anormal bir API çağrısı yapmak için kullanıldığını gösterir.
ECS örneği rol kimlik bilgilerinin harici olarak çağrılması	Bu uyarı, harici bir IP adresi ECS örneğine verilen bir rolün STS geçici kimlik bilgilerini kullandığında oluşturulur. Bu durum, ECS örneğinin ele geçirilmiş olabileceğini ve bir saldırganın ilişkili rol kimlik bilgilerini çalmış olabileceğini gösterebilir. Alibaba Cloud, STS geçici kimlik bilgilerinin yalnızca istekte bulundukları ana bilgisayarda kullanılmasını önerir. ECS örneği rolleri hakkında daha fazla bilgi için bkz. Instance RAM role.
Cloud Assistant kayıt korsanlığı	Bu uyarı, başka bir Alibaba Cloud hesabının ECS örneğinize Cloud Assistant yükleyerek uzaktan komut yürütme yetenekleri elde etmeye çalıştığını gösterir. Bu işlemin yetkili O&M personeli tarafından gerçekleştirilip gerçekleştirilmediğini hemen doğrulamalı ve sunucuda diğer anormal etkinlikleri araştırmalısınız.
AK kullanan hacking aracı	Bu uyarı, bilinen bir hacking aracının AK'nızı kullandığı tespit edildiğinde oluşturulur. Bunun meşru kullanıcı etkinliği olup olmadığını belirlemek için hemen inceleme yapmalısınız.
ECS rol kimlik bilgilerinin başka bir Alibaba Cloud hesabı tarafından çağrılması	Bu uyarı, farklı bir Alibaba Cloud hesabı ECS örneğine verilen bir rolün STS geçici kimlik bilgilerini kullandığında oluşturulur. Bu durum, ECS örneğinin ele geçirilmiş olabileceğini ve bir saldırganın ilişkili rol kimlik bilgilerini çalmış olabileceğini gösterebilir. Alibaba Cloud, STS geçici kimlik bilgilerinin yalnızca istekte bulundukları ana bilgisayarda kullanılmasını önerir. ECS örneği rolleri hakkında daha fazla bilgi için bkz. Instance RAM role.
ECS rol kimlik bilgileriyle hassas bir API'ye anormal çağrı	Bu uyarı, ECS örneğinize ekli bir rol hassas bir API işlemi gerçekleştirmek için kullanıldığında tetiklenir. Çağrı yapan IP adresinin kimliğini hemen doğrulamalı ve bu etkinliğin meşru olup olmadığını teyit etmelisiniz. IP adresi hesabınızdaki başka bir ECS örneğine ait olsa bile, olası bir ele geçirme durumu için incelemelisiniz. Saldırganlar genellikle bir sunucuyu veya web sitesini ele geçirerek ECS örneği rol kimlik bilgilerini çalar ve ardından bu kimlik bilgilerini kullanarak hassas API çağrıları yapar.
Hassas bir API'yi çağıran şüpheli kimlik	Bu uyarı, bir kimlik hesabınızda olağandışı bir coğrafi konumdan hassas bir API işlemi gerçekleştirdiğinde oluşturulur. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
ECS kaynaklarının anormal taranması	Bu uyarı, bir kimliğin olağandışı bir coğrafi konumdan birden çok bölgede ECS örneklerini numaralandırdığını gösterir. Bu etkinlik yaygın bir keşif tekniğidir. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
RDS kaynaklarının anormal taranması	Bu uyarı, bir kimliğin olağandışı bir coğrafi konumdan birden çok bölgede RDS örneklerini numaralandırdığını gösterir. Bu etkinlik yaygın bir keşif tekniğidir. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
OSS erişim izinlerinin anormal taranması	Bu uyarı, bir kimlik olağandışı bir coğrafi konumdan birden çok OSS paketinin erişim kontrol listesini (ACL) numaralandırdığında tetiklenir. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
Yüksek ayrıcalıklı alt hesabın anormal şekilde oluşturulması	Bu uyarı, bir kimliğin yönetici ayrıcalığına sahip bir RAM kullanıcısı oluşturduğunu ve bu kullanıcı için web konsolu oturum açmayı etkinleştirdiğini gösterir. Bu, saldırganlar tarafından kalıcı erişim için arka kapı oluşturmada kullanılan yaygın bir taktiktir. Bu RAM kullanıcısının yetkili personel tarafından oluşturulup oluşturulmadığını belirlemek için hemen inceleme yapmalısınız.
Birden çok alt hesap izninin anormal taranması	Bu uyarı, bir kimlik olağandışı bir coğrafi konumdan birden çok alt hesabın izin ilkelerini numaralandırdığında oluşturulur. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
Tek bir alt hesabın izinlerinin anormal taranması	Bu uyarı, bir kimlik olağandışı bir coğrafi konumdan bir alt hesabın ve ilişkili kullanıcı gruplarının izin ilkelerini numaralandırdığında tetiklenir. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
Rol izinlerinin anormal taranması	Bu uyarı, bir kimliğin hesabınızdaki birden çok rolün izin ilkelerini olağandışı bir coğrafi konumdan numaralandırdığını gösterir. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
Veritabanı için genel ağ erişiminin anormal yapılandırılması	Bu uyarı, bir kimlik olağandışı bir coğrafi konumdan bir veritabanını genel erişime yapılandırdığında ve bir IP izin listesi eklediğinde tetiklenir. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini doğrulamalısınız.
Yüksek ayrıcalıklı rolün anormal şekilde oluşturulması	Bu uyarı, bir kimliğin yönetici ayrıcalığına sahip bir rol oluşturduğunu gösterir. Alibaba Cloud, rollere tam yönetici ayrıcalığı yerine yalnızca bir hizmet için gereken izinlerin verilmesini önerir. Bu rolün oluşturulmasının meşru bir iş gereksinimi olup olmadığını hemen doğrulamalısınız.
Anormal izin araştırma davranışı	Bu uyarı, bir kimlik birden çok cloud ürünü için API çağrı izinlerini numaralandırdığında oluşturulur. Bu davranış, bir hacking aracının otomatik etkinliğine benzer. Ele geçirilmiş bir AK riskini azaltmak için arayanın kimliğini ve işlemin meşruiyetini hemen doğrulamalısınız.
RAM kullanıcısının konsola oturum açması ve hassas işlemler gerçekleştirmesi	Bu uyarı, web konsolu oturum açma özelliği etkinleştirilmiş bir RAM kullanıcısı konsolda hassas bir işlem gerçekleştirdiğinde tetiklenir.
Cloud Assistant'tan anormal komut	Bu uyarı, bir saldırgan Cloud Assistant OpenAPI'yi kullanarak sunucunuzda kötü amaçlı bir komut yürüttüğünde tetiklenir. Bu davranış, AccessKey'inizin ele geçirildiğini ve bir saldırgan tarafından kullanıldığını güçlü şekilde gösterir.

Unusual Network Connection

Uyarı adı	Açıklama
Kötü amaçlı bir indirme kaynağına giden bağlantı	Bu uyarı, Security Center sunucunuzun HTTP üzerinden kötü amaçlı bir indirme kaynağına erişmeye çalıştığını tespit ettiğinde tetiklenir. Bu etkinlik, bir saldırganın zayıf bir parola kullanarak veya bir komut yürütme güvenlik açığından yararlanarak sunucuyu ele geçirdiğini ve şimdi kötü amaçlı dosyalar indirmeye çalıştığını gösterebilir.
Şüpheli hassas bağlantı noktası taraması	Bu uyarı, Security Center sunucunuzdaki bir işlemin kısa sürede hassas bağlantı noktalarına alışılmadık derecede yüksek sayıda ağ isteği yaptığını tespit ettiğinde tetiklenir. Bu davranış, bağlantı noktası taramasının karakteristik özelliğidir.
Windows'ta anormal ağ bağlantısı	Bu uyarı, Security Center sisteminizdeki bir işlemden anormal ağ bağlantı davranışı tespit ettiğinde tetiklenir. Bu tür bir etkinlik genellikle virüs veya truva atı gibi kötü amaçlı yazılımlarla veya bir saldırganın kötü amaçlı eylemleriyle ilişkilendirilir.
Ters kabuk giden ağ bağlantısı	Bu uyarı, Security Center ters kabuk özelliği taşıyan şüpheli bir giden ağ bağlantısı tespit ettiğinde tetiklenir. Ters kabuk, bir saldırganın sunucunuzdan kendi makinesine bir bağlantı kurmasını sağlar; bu bağlantı daha sonra rastgele komutları yürütmek için kullanılabilir. Bu etkinliği hemen araştırın. Bu meşru bir O&M işlemi veya işleviyse, uyarıyı yoksayabilir veya yalancı pozitif olarak işaretleyebilirsiniz.
Şüpheli bağlantı noktası dinleme	Bu uyarı, Security Center şüpheli bir bağlantı noktasında dinleme yapan bir işlem tespit ettiğinde tetiklenir.
Dahili ağ taraması	Bu uyarı, Security Center sunucunuzdaki bir işlemin kısa sürede dahili ağdaki birden çok IP adresindeki belirli bağlantı noktalarına bağlantı denemesi yaptığını tespit ettiğinde tetiklenir. Bu davranış, dahili ağ taramasının güçlü bir göstergesidir; saldırganlar ilk ele geçirmeden sonra genellikle bu yatay hareket tekniğini kullanır.
Konteyner API'sine şüpheli manuel erişim	Bu uyarı, Security Center bir konteyner API'sine şüpheli manuel erişim tespit ettiğinde tetiklenir. Konteyner hizmetinizde kimlik doğrulama ve yetkilendirme etkinleştirilmemişse, bir saldırgan bu erişimi konteyner bilgilerini almak, konteyner oluşturmak, bir konteyner içinde komut yürütmek veya kötü amaçlı bir görüntü yüklemek için istismar edebilir. Bu etkinlik aynı zamanda meşru bir manuel O&M işlemi de olabilir. Hemen inceleyin.

Malicious Script

Uyarı adı	Açıklama
Kötü amaçlı betik dosyası tespit edildi	Tespit modeli, sunucunuzda kötü amaçlı bir betik dosyası tespit etti. Bir saldırgan, başarılı bir ele geçirmeden sonra bu dosyayı büyük olasılıkla yerleştirmiştir. Dosyanın meşruiyetini etiketlerine göre doğrulayın ve uygun işlemi yapın.
Kötü amaçlı betik kodu yürütülmesi	Tespit modeli, sunucunuzda kötü amaçlı Bash, PowerShell veya Python betik kodunun yürütüldüğünü tespit etti.
Şüpheli indirme davranışı tespit edildi	Tespit modeli, sunucunuzda şüpheli indirme etkinliği tespit etti. Bu etkinlik, bir saldırganın başarılı bir ele geçirmeden sonra yürüttüğü bir komuttan kaynaklanabilir. Komutun meşruiyetini doğrulayın ve uygun işlemi yapın.
Şüpheli betik dosyası tespit edildi	Tespit modeli, sunucunuzda şüpheli bir betik dosyası tespit etti. Bir saldırgan, başarılı bir ele geçirmeden sonra bu dosyayı yerleştirmiş olabilir. Dosyanın meşruiyetini etiketlerine göre doğrulayın ve uygun işlemi yapın.
Şüpheli betik kodu yürütülmesi	Tespit modeli, sunucunuzda şüpheli Bash, PowerShell veya Python betik kodunun yürütüldüğünü tespit etti.
Kötü amaçlı betik	`SCRIPT_agentless`.
Kötü amaçlı kod içeren dosya	Tespit modeli, sunucunuzda kötü amaçlı bir betik dosyası tespit etti. Bir saldırgan, başarılı bir ele geçirmeden sonra bu dosyayı büyük olasılıkla yerleştirmiştir. Dosyanın meşruiyetini etiketlerine göre doğrulayın ve uygun işlemi yapın.
Şüpheli kod içeren dosya	Tespit modeli, sunucunuzda şüpheli bir betik dosyası tespit etti. Bir saldırgan, başarılı bir ele geçirmeden sonra bu dosyayı yerleştirmiş olabilir. Dosyanın meşruiyetini etiketlerine göre doğrulayın ve uygun işlemi yapın.

Persistent Webshell

Alert name	Description
Anomalous code resident in memory	Security Center, bir işlemin bellek alanında kötü amaçlı kod algıladı. Bu durum, meşru bir işlem başlatıldıktan sonra içine kötü amaçlı talimatlar enjekte edildiğini veya işlem dosyasının kendisinin kötü amaçlı olduğunu gösterebilir. Aşağıdaki adımları uygulamanızı öneririz: 1. İşlem dosyasını inceleyin. Dosya meşru değilse işlemi sonlandırın ve dosyayı karantinaya alın. Meşru bir işlemse ve hizmetlerinizi etkilemiyorsa işlemi sonlandırın. 2. Saldırının potansiyel etkisini değerlendirmek ve ek önlemler almak için bu uyarıyı makinedeki diğer uyarılarla ilişkilendirin. 3. Saldırının kök nedenini analiz edin ve ilgili güvenlik açıklarını yamalayın.
Backdoor process	Bu uyarı, sunucunuzda arka kapı olabilecek şüpheli bir işlem algılandığını gösterir. Saldırganlar kalıcı erişim sağlamak için bu tekniği kullanabilir.
Auto-start backdoor	Security Center, ana bilgisayarınızda anormal bir otomatik başlatma öğesi algıladı. Bu durum büyük olasılıkla kötü amaçlı yazılım veya bir saldırgan tarafından yerleştirilen bir kalıcılık mekanizmasıdır. Sorun giderilmezse kötü amaçlı program yeniden yüklenebilir. Ana bilgisayarı antivirüs koruma özellikleriyle tamamen tarayıp temizlemenizi veya uyarı ayrıntılarına göre sorunu manuel olarak çözmenizi öneririz.
Anomalous process persistence	Bu uyarı, sunucunuzda anormal bir işlemin çalıştığını gösterir. Bu durum kötü amaçlı bir program veya kötü amaçlı kod yüklenmiş meşru bir program olabilir.
Malicious auto-start script	Bu uyarı, sunucunuzun otomatik başlatma öğelerinde şüpheli dosyalar bulunduğunu gösterir. Bu durum, kötü amaçlı yazılım veya bir saldırgan tarafından zamanlanmış görevler ya da otomatik başlatma komut dosyaları aracılığıyla kullanılan bir kalıcılık tekniği olabilir.
Hidden process	Security Center, standart görüntüleme araçlarından gizlenmiş bir işlem algıladı. Kötü amaçlı yazılımlar veya saldırganlar genellikle kötü amaçlı işlemleri gizlemek için çeşitli teknikler kullanır. Bu durum, ana bilgisayarın bir rootkit arka kapısı tarafından ele geçirildiğini gösterebilir.
SSH public key backdoor	Bu uyarı, sunucunuzda anormal bir SSH genel anahtarı bulunduğunu gösterir. Solucanlar veya saldırganlar, kalıcı erişimi sürdürmek için bilinen şekilde ele geçirilen sunuculara bu tür anahtarlar ekler.
Cobalt Strike remote control Trojan	Security Center, bu işlemin belleğinde bir Cobalt Strike uzaktan kontrol arka kapısı algıladı. Bu durum, kötü amaçlı kodun meşru bir işleme enjekte edildiği bir işlem enjeksiyon saldırısından kaynaklanabilir. İşlem dosyası meşru olsa bile enjeksiyondan sonra kötü amaçlı kod yürütülür. Alternatif olarak programın kendisi kötü amaçlı olabilir. Aşağıdaki adımları uygulamanızı öneririz: 1. İşlem dosyasını inceleyin. Dosya meşru değilse işlemi sonlandırın ve dosyayı karantinaya alın. Meşru bir işlemse ve hizmetlerinizi etkilemiyorsa işlemi sonlandırın. 2. Saldırının potansiyel etkisini değerlendirmek ve ek önlemler almak için bu uyarıyı makinedeki diğer uyarılarla ilişkilendirin. 3. Saldırının kök nedenini analiz edin ve ilgili güvenlik açıklarını yamalayın.
Hidden kernel module	Bu uyarı, sunucunuzda gizli bir çekirdek modülü bulunduğunu gösterir. Bu durum büyük olasılıkla sistem ayrıcalıklarını korumak ve diğer kötü amaçlı etkinlikleri gizlemek amacıyla bir saldırgan veya kötü amaçlı yazılım tarafından yerleştirilen bir rootkit arka kapısıdır.
Memory-resident backdoor in web application	Bu uyarı, bir web uygulaması işleminin belleğinde şüpheli kod veya veri algılandığını gösterir. Bu bellekte yerleşik arka kapı, disk üzerinde bir dosya gerektirmez. Arka kapıyı kaldırmak için web uygulaması açığını yamanızı ve uygulamayı yeniden başlatmanızı öneririz. Ayrıca ana bilgisayardaki diğer ilgili uyarıları kontrol edin. Bu uyarının yanlış pozitif olduğuna karar verirseniz görmezden gelebilir veya bir izin listesine ekleyebilirsiniz.
Kerberos ticket injection attack	Bu uyarı bir Kerberos bilet enjeksiyon saldırısını gösterir.
WMI event subscription persistence attack	Bu uyarı bir WMI olay aboneliği kalıcılık saldırısını gösterir.
Skeleton Key domain controller persistence attack	Bu uyarı bir Skeleton Key etki alanı denetleyicisi kalıcılık saldırısını gösterir.
Process path spoofing	Bu uyarı işlem yolu sahtekarlığını gösterir.
Anomalous registry key	Bu uyarı, sunucunuzda şüpheli bir kayıt defteri yapılandırma öğesi olduğunu gösterir. Kötü amaçlı yazılımlar genellikle kalıcılık elde etmek veya güvenlik korumasına müdahale etmek için temel kayıt defteri yapılandırmalarını değiştirir.
Anomalous library file loading	Bu uyarı anormal bir kitaplık dosyasının yüklendiğini gösterir.
Process executable image tampering	Bu uyarı, bir işlem çalıştırılabilir görüntüsüne müdahale edildiğini gösterir.
SID History injection attack	Bu uyarı bir SID Geçmişi enjeksiyon saldırısını gösterir.
Dynamic-link library function hijacking	Bu uyarı dinamik bağlantılı kitaplık işlevi gaspını gösterir.
Anomalous .NET module loaded into memory	Bu uyarı, belleğe anormal bir .NET modülünün yüklendiğini gösterir.
Anomalous scheduled task	Bu uyarı anormal bir zamanlanmış görevi gösterir.
Anomalous scheduled task	Bu uyarı anormal bir zamanlanmış görevi gösterir.
Anomalous thread execution	Bu uyarı anormal iş parçacığı yürütmesini gösterir.
Process hiding behavior	Bu uyarı işlem gizleme davranışını gösterir.
Anomalous code found in web application memory	Bu uyarı, web uygulaması belleğinde anormal kod bulunduğunu gösterir.
Anomalous service in Linux	Bu uyarı Linux'ta anormal bir hizmeti gösterir.
Anomalous service in Windows	Bu uyarı Windows'ta anormal bir hizmeti gösterir.
System base library file hijacking	Bu uyarı sistem temel kitaplık dosyası gaspını gösterir.
Process runtime function hijacking	Bu uyarı işlem çalışma zamanı işlevi gaspını gösterir.
Anomalous startup script in Linux	Bu uyarı Linux'ta anormal bir başlangıç komut dosyasını gösterir.
Cobalt Strike remote control Trojan	Security Center, bu işlemin belleğinde bir Cobalt Strike uzaktan kontrol arka kapısı algıladı. Bu durum, kötü amaçlı kodun meşru bir işleme enjekte edildiği bir işlem enjeksiyon saldırısından kaynaklanabilir. İşlem dosyası meşru olsa bile enjeksiyondan sonra kötü amaçlı kod yürütülür. Alternatif olarak programın kendisi kötü amaçlı olabilir. Aşağıdaki adımları uygulamanızı öneririz: 1. İşlem dosyasını inceleyin. Dosya meşru değilse işlemi sonlandırın ve dosyayı karantinaya alın. Meşru bir işlemse ve hizmetlerinizi etkilemiyorsa işlemi sonlandırın. 2. Saldırının potansiyel etkisini değerlendirmek ve ek önlemler almak için bu uyarıyı makinedeki diğer uyarılarla ilişkilendirin. 3. Saldırının kök nedenini analiz edin ve ilgili güvenlik açıklarını yamalayın.
Kerberos ticket injection attack	Bu uyarı bir Kerberos bilet enjeksiyon saldırısını gösterir.
Anomalous service in Linux	Bu uyarı Linux'ta anormal bir hizmeti gösterir.
Anomalous scheduled task	Bu uyarı anormal bir zamanlanmış görevi gösterir.
SID History injection attack	Bu uyarı bir SID Geçmişi enjeksiyon saldırısını gösterir.
Skeleton Key domain controller persistence attack	Bu uyarı bir Skeleton Key etki alanı denetleyicisi kalıcılık saldırısını gösterir.
Anomalous service in Windows	Bu uyarı Windows'ta anormal bir hizmeti gösterir.
Anomalous scheduled task	Bu uyarı anormal bir zamanlanmış görevi gösterir.
WMI event subscription persistence attack	Bu uyarı bir WMI olay aboneliği kalıcılık saldırısını gösterir.
Dynamic-link library function hijacking	Bu uyarı dinamik bağlantılı kitaplık işlevi gaspını gösterir.
Backdoor process	Bu uyarı, sunucunuzda arka kapı olabilecek şüpheli bir işlem algılandığını gösterir. Saldırganlar kalıcı erişim sağlamak için bu tekniği kullanabilir.
Anomalous .NET module loaded into memory	Bu uyarı, belleğe anormal bir .NET modülünün yüklendiğini gösterir.
Anomalous code resident in memory	Security Center, bir işlemin bellek alanında kötü amaçlı kod algıladı. Bu durum, meşru bir işlem başlatıldıktan sonra içine kötü amaçlı talimatlar enjekte edildiğini veya işlem dosyasının kendisinin kötü amaçlı olduğunu gösterebilir. Aşağıdaki adımları uygulamanızı öneririz: 1. İşlem dosyasını inceleyin. Dosya meşru değilse işlemi sonlandırın ve dosyayı karantinaya alın. Meşru bir işlemse ve hizmetlerinizi etkilemiyorsa işlemi sonlandırın. 2. Saldırının potansiyel etkisini değerlendirmek ve ek önlemler almak için bu uyarıyı makinedeki diğer uyarılarla ilişkilendirin. 3. Saldırının kök nedenini analiz edin ve ilgili güvenlik açıklarını yamalayın.
Anomalous library file loading	Bu uyarı anormal bir kitaplık dosyasının yüklendiğini gösterir.
Anomalous registry key	Bu uyarı, sunucunuzda şüpheli bir kayıt defteri yapılandırma öğesi olduğunu gösterir. Kötü amaçlı yazılımlar genellikle kalıcılık elde etmek veya güvenlik korumasına müdahale etmek için temel kayıt defteri yapılandırmalarını değiştirir.
Anomalous thread execution	Bu uyarı anormal iş parçacığı yürütmesini gösterir.
System base library file hijacking	Bu uyarı sistem temel kitaplık dosyası gaspını gösterir.
Process executable image tampering	Bu uyarı, bir işlem çalıştırılabilir görüntüsüne müdahale edildiğini gösterir.
Process path spoofing	Bu uyarı işlem yolu sahtekarlığını gösterir.
Process runtime function hijacking	Bu uyarı işlem çalışma zamanı işlevi gaspını gösterir.
Process hiding behavior	Bu uyarı işlem gizleme davranışını gösterir.
Anomalous terminal configuration file in Linux	Bu uyarı Linux'ta anormal bir terminal yapılandırma dosyasını gösterir.

Sensitive File Tampering

Alert name	Description
System file tampering	Sunucunuzdaki bir işlem sistem dosyalarını değiştirmeye veya değiştirmeye çalıştı. Bu durum, bir saldırganın tespit edilmekten kaçınmaya veya arka kapıyı gizlemeye yönelik bir girişimi olabilir. Etkilenen sistem dosyasının özgün olduğunu hemen doğrulayın.
System file moving	Sunucunuzdaki bir işlem sistem dosyalarını taşımaya çalıştı. Saldırganlar bu dosyaları izleyen güvenlik yazılımlarını atlamak için bunu yapabilir.
Suspicious tampering with the Linux shared library preload configuration file	Sistem, sunucunuzdaki paylaşılan kitaplık önceden yükleme yapılandırma dosyasında şüpheli değişiklikler algıladı.

Container cluster anomalies

Alert name	Description
Suspicious command executed in a container via the Kubernetes API	Security Center, Kubernetes API aracılığıyla bir konteyner içinde yürütülen şüpheli bir komut algıladı. Bu etkinlik, konteynerler arasında veya bir düğümden bir konteynere doğru yan yana hareket için yaygın bir tekniktir. Bu etkinlik belirli iş veya operasyon görevleri için meşru olabilir ancak kötü niyeti de gösterebilir.
Malicious image pod startup	Bu uyarı, Kubernetes kümenizdeki kötü amaçlı bir görüntüden bir pod başlatıldığında tetiklenir. Bu durum genellikle görüntünün arka kapılar, kripto madencilik programları veya diğer kötü amaçlı yazılımlar içermesi durumunda gerçekleşir.
Kubernetes service account lateral movement	Bu uyarı, bir hizmet hesabı oluşturulan basit çizgisinden sapan izinler istediğinde veya birden çok kimlik doğrulama hatasına neden olduğunda tetiklenir. Bu davranış genellikle bir saldırganın bir pod'u ele geçirdiği ve çalınan hizmet hesabı kimlik bilgilerini API sunucusuna saldırmak için kullandığı anlamına gelir. Bu etkinliği derhal araştırın.
Successful authentication of a Kubernetes anonymous user	Bu uyarı, anonim bir kullanıcı başarıyla kimlik doğruladığında tetiklenir. Üretim kümesindeki kritik kaynaklara anonim kullanıcıların erişmesine izin vermeyin. Küme herkese açık internete maruz kalıyor ve anonim erişime izin veriyorsa risk son derece yüksektir. Saldırganlar genellikle Kubernetes API sunucusunu kontrol etmek ve kötü amaçlı iş yükleri dağıtmak için anonim kimlik doğrulamadan yararlanır. Bu işlemin güvenilir bir kullanıcı tarafından gerçekleştirildiğini doğrulayın ve anonim erişim izinlerini kısıtlayın.
Anomalous access to Kubernetes Secrets	Bu uyarı, bir hesap Kubernetes kümenizdeki Parolaları numaralandırdığında tetiklenir. Bu etkinlik, bir saldırganın kümeyi ele geçirdiğini ve Parolalarda depolanan hassas bilgileri çalmaya çalıştığını gösterebilir. Bu işlemin güvenilir bir uygulama veya yönetici tarafından gerçekleştirildiğini doğrulayın.
Suspicious Kubernetes operation sequence	Security Center, Kubernetes kümenizdeki bir hesabın oluşturulan basit çizgisinden sapan bir dizi yüksek riskli komut yürüttüğünü algıladı. Bu komutların yetkili bir yönetici tarafından yürütüldüğünü doğrulayın. Aksi takdirde kümeniz ele geçirilmiş olabilir. Etkinliğin meşru olduğunu onaylarsanız benzer uyarıları bastırmak için bunu izin listesine ekleyin.
Kubernetes user bound to an administrator role	Security Center, Kubernetes kümenizdeki bir kullanıcının ClusterRole gibi yüksek ayrıcalıklı bir sistem rolüne bağlandığını algıladı. Bu eylemin yetkili bir yönetici veya sistem bileşeni tarafından gerçekleştirildiğini onaylayın. Aksi takdirde bir saldırganın sunucunuzu ele geçirdiği ve kalıcılık için bir arka kapı hesabı oluşturduğu anlamına gelebilir. Bu bir yanlış pozitif ise bu tür uyarıları bastırmak için davranışı izin listesine ekleyebilirsiniz.
Suspected Kubernetes service man-in-the-middle attack (CVE-2020-8554)	Bir Kubernetes kümesinde bir kullanıcı küme trafiğini gasp etmek ve verileri dışarı aktarmak için rastgele bir harici IP adresine iletmek üzere bir Hizmet oluşturabilir. Security Center, Kubernetes kümenizde oluşturulan bir Hizmetin `ExternalIP` alanında belirtilen bir harici IP adresine sahip olduğunu tespit etti. Bu davranış Kubernetes adam-ortadaki saldırısı açığının (CVE-2020-8554) istismar desenine uygundur.
Sensitive host path mount	Security Center, bir pod'un başlangıçta ana bilgisayardan hassas bir dizin veya dosya bağladığını buldu. Bu yapılandırma konteyner kaçış riski oluşturur. Pod ele geçirilirse bir saldırgan bağlanan dosyadan yararlanarak konteynerden çıkabilir ve düğümün kontrolünü ele geçirebilir. Kök dizin, zamanlanmış görev yapılandırma dizinleri veya sistem hizmeti yapılandırma dizinleri gibi pod'lar için hassas ana bilgisayar yolu bağlamalarının kullanımını en aza indirin. Bu yapılandırma işiniz için gerekliyse ve risk kabul edilebilirse bu uyarıyı bastırmak için bir izin listesine ekleyebilirsiniz.
Suspicious request to the Kubernetes API server	Bu uyarı Kubernetes API sunucusuna yapılan şüpheli bir istek tarafından tetiklenir. Anormallikle ilgili ayrıntılar için uyarı ayrıntılarına bakın. Bu etkinlik normal bir iş operasyonu da olabilir. İsteğin meşru olup olmadığını belirlemek için kaynak IP adresini, User-Agent'ı, istenen kaynağı ve isteği başlatan kullanıcıyı araştırın. Eksiksiz Kubernetes API sunucusu denetim günlüklerini görüntülemek için uyarı ayrıntılarından `auditID` alanını kullanarak SLS'deki Kubernetes denetim günlüklerinde arama yapın.
Kubernetes cluster user bound to a high-privilege role	Bu uyarı, Kubernetes kümenizdeki bir kullanıcının yüksek ayrıcalıklı bir role bağlandığında tetiklenir. Yüksek ayrıcalık, bir ad alanı içinde veya tüm küme genelinde kritik kaynakları okuma veya değiştirme izinlerini ifade eder. Örnekler arasında küme yönetici izinleri, bir ad alanındaki tüm Parolaları okuma, pod oluşturma, pod'larda komut yürütme veya diğer yüksek ayrıcalıklı roller oluşturma yeteneği yer alır. Yaygın bir saldırı senaryosu, bir web uygulamasının hizmet hesabına aşırı izinler verilmesini içerir. Bir saldırgan bir web açığından yararlanarak bir poda girebilir ve ardından hizmet hesabının kimlik bilgilerini kullanarak diğer küme kaynaklarına erişebilir ve bunları kontrol edebilir.
Anomalous token creation by a service account	Belirteç istekleri genellikle gerçek kullanıcılar tarafından başlatılır. Hizmet hesabı, bir pod'daki işlemlerin API sunucusuyla etkileşime girmesine olanak tanıyan bir Kubernetes nesnesidir. Bir hizmet hesabı başka bir hesap için belirteç almaya çalıştığında bu durum ayrıcalık yükseltme girişimini gösterebilir.
Service account modifies its own cluster role permissions	Bir hizmet hesabı genellikle bağlı olduğu ClusterRole'ün izinlerini değiştirmez. Bir hizmet hesabı kendi bağlı ClusterRole'ünün izinlerini değiştirmeyi istediğinde bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account modifies its bound cluster role	Bir uygulamanın hizmet hesabı genellikle bağlı olduğu ClusterRole'ü değiştirmez. Bu uyarı, bir hizmet hesabı kendi rolünü oluşturup bağladığında tetiklenir ve bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account impersonates another user principal to request resources	Bir uygulamanın hizmet hesabı genellikle kaynak istemek için diğer kullanıcı asıllarını taklit etmeye ihtiyaç duymaz. Bir hizmet hesabı başka bir kullanıcı asılını taklit ederek istekte bulunduğunda bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account creates a pod using a system component's service account	Sistem bileşenleri için hizmet hesapları genellikle yüksek ayrıcalıklara sahiptir ve diğer iş yükleri tarafından kullanılmamalıdır. Bir hizmet hesabı bir sistem bileşeninin hizmet hesabını kullanan bir pod oluşturduğunda bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Suspicious request to check its own permissions	Kümedeki iş yükleri nadiren kendi hizmet hesabı izinlerini kontrol etmeye ihtiyaç duyar. Bir hizmet hesabı kendi izin kümesini istediğinde bu durum bir saldırganın hizmet hesabını ele geçirdiğini gösterebilir.
Node identity obtains cluster Secret	Bir küme düğümünün kubelet sertifikası Parolaları elde etmek için kullanılabilir. Bir saldırgan bu özelliği kötüye kullanarak kümedeki hassas bilgilere erişebilir. Bu nedenle bir düğümün kimliği bir Parola istediğinde bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account creates a node proxy resource to execute a command	Bir düğümün proxy alt kaynağı bir pod'da komut yürütmek için kullanılabilir ancak bu yöntem genellikle kümedeki iş yükleri için gerekli değildir. Bir hizmet hesabı bir pod'da komut yürütmek için bir düğümün proxy alt kaynağını kullandığında bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account steals another node's pod	Taint, hangi pod'ların belirli bir düğüme planlanabileceğini kısıtlayan bir Kubernetes zamanlama özelliğidir. Bir düğümü ele geçiren bir saldırgan diğer düğümlere taint uygulayarak bunları planlanamaz olarak işaretleyebilir. Bu durum hedef pod'un ele geçirilen düğüme planlanmasına zorlayarak saldırganın kimlik bilgilerini çalmasına olanak tanır. Bir hizmet hesabı birçok düğüm için taint oluşturduğunda bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account directly accesses the kubelet listening port	Kubelet ve API sunucusu iletişim için `10250` bağlantı noktasını kullanır. Küme içindeki iş iş yükleri genellikle bu bağlantı noktasına erişmek için bir hizmet hesabı kullanmaz. Bir hizmet hesabı kubelet dinleme bağlantı noktasına doğrudan eriştiğinde ve belirli bir kaynak istediğinde bu durum genellikle ayrıcalık yükseltme girişimini gösterir.
Service account creates an ephemeral container to enter a pod	Ephemeral konteynerler geliştiricilerin hedef pod'un ad alanında ephemeral bir konteyner oluşturarak çalışan bir pod'u hata ayıklamasına olanak tanır. Bu işlem bir hizmet hesabı tarafından başlatılmamalıdır. Bir hizmet hesabı ephemeral bir konteyner oluşturmayı istediğinde bu durum genellikle bir saldırganın başka bir poda girerek ayrıcalık yükseltmeye çalışmak için o kimliği kullandığı anlamına gelir.

Suspicious Account

Alert name	Description
Backdoor account	Bu uyarı ana bilgisayarınızda şüpheli bir hesap olduğunu gösterir. Bir saldırgan veya kötü amaçlı program kalıcılığı sürdürmek için yeni bir hesap oluşturabilir veya misafir hesabını etkinleştirebilir. Bu hesap meşru iş operasyonları için kullanılmıyorsa ana bilgisayarda oturum açarak soruşturmayı yürütün ve işlem yapın.

Webshell detection (Local scan)

Alert name

Description

Webshell file found

Bu özellik tehdit düzeylerini davranışlarına ve işlevlerine göre puanlayarak şüpheli dosyaları tanımlar. İşaretlenen bir dosya bir saldırgan tarafından yerleştirilen bir webshell olabilir ancak şüpheli kod içeren meşru bir dosya da olabilir. Günlük dosyalarının web'e erişilebilir bir yolda saklanması da bu uyarıyı tetikleyebilir. Bu nedenle bir yöneticinin dosyayı araştırarak tehdit oluşturup oluşturmadığını belirlemesi gerekir.

Exploit

Alert name	Description
Web vulnerability exploit	Web açığı istismarı.
Host vulnerability exploit	Ana bilgisayar açığı istismarı.
Suspected container escape via file tampering	Security Center kritik bir dosyanın `write mode` içinde açıldığını tespit etti. Bu davranış konteyner kaçış senaryolarında yaygındır; burada bir saldırgan konteynerden ana bilgisayara çıkmak için dosyaya müdahale eder. Etkinliğin meşru bir iş operasyonunun parçası olup olmadığını belirlemek için işlemi, etkilenen dosyayı ve dosyanın açık özniteliklerini araştırmalısınız. Bu normal bir operasyon görevi veya iş işleviyse uyarıyı yok sayın veya yanlış pozitif olarak işaretleyin.
TOCTOU-type vulnerability exploit	Security Center şüpheli bir time-of-check-to-time-of-use (TOCTOU) istismarı algıladı. Açık Kimliği için uyarı ayrıntılarına bakın. Bu tür açıklıklar genellikle konteyner kaçışı veya ayrıcalık yükseltme için kullanılır. Yazılımınızın etkilenip etkilenmediğini kontrol edin ve derhal yamalayın. Nadir durumlarda yanlış pozitif olması halinde uyarıyı yanlış pozitif olarak işaretleyebilir veya etkinliği izin listesine ekleyebilirsiniz.
Sensitive host directory mounted at container startup	Security Center ayrıcalıklı modda başlatma veya başlangıçta hassas ana bilgisayar dizinlerini veya dosyalarını bağlama gibi riskli konteyner davranışlarını tespit etti. Bir saldırgan bu hatalı yapılandırmadan yararlanarak ana bilgisayara çıkabilir. Konteynerleri ayrıcalıklı modda başlatmayın. Bir Pod'u kök dizin, zamanlanmış görev yapılandırma dizinleri veya sistem hizmeti yapılandırma dizinleri gibi hassas ana bilgisayar dizinlerini bağlayacak şekilde yapılandırmayın.

Anormal ağ trafiği

Uyarı adı	Açıklama
Şüpheli dosya yükleme	Bu uyarı, şüpheli dosya yükleme trafiği algılandığında ve ana bilgisayarda ilgili şüpheli bir dosya oluşturulduğunda veya değiştirildiğinde tetiklenir. Daha fazla inceleme yapmak için uyarı ayrıntılarını kullanın. Önerilen adımlar: 1) İlgili webshell dosya uyarılarını kontrol edin. 2) Dosya yükleme uç noktasının kötüye kullanılıp kullanılamayacağını belirlemek için inceleyin. 3) Dosyanın web hizmeti güncellemesi veya yedekleme gibi meşru bir yönetici görevi sırasında oluşturulup oluşturulmadığını veya değiştirilip değiştirilmediğini belirleyin. Etkinlik meşruysa uyarıyı yoksayın veya dosya yolunu izin listesine ekleyin. 4) Etkinliğin kötü amaçlı olduğunu onaylarsanız dosyayı ana bilgisayardan kaldırın ve dosya yükleme uç noktasını güçlendirin. Dosya adları için bir izin listesi uygulamayı öneririz.
Web uygulaması komut yürütme	Bu uyarı, kötü amaçlı web saldırı trafiği algılandığında ve ana bilgisayarda karşılık gelen bir komut yürütüldüğünde tetiklenir. Bu durum, bir saldırganın hizmetinizdeki bir güvenlik açığından yararlanmış olabileceğini gösterir. Etkiyi belirlemek ve sonraki adımlarınızı planlamak için uyarı ayrıntılarını kullanın.
Madencilik havuzu iletişim trafiği	Bu uyarı, sunucunuz ile kripto para birimi madencilik havuzuyla ilişkili bir IP adresi arasında trafik algılandığında tetiklenir. Bu durum, sunucunuzun ele geçirilmiş olabileceğini ve kripto para birimi madenciliği için kullanıldığını gösterebilir.
Tünel proxy iletişimi	Bu uyarı, sunucunuzda şüpheli tünel proxy iletişimi algılandığında tetiklenir. Bu etkinliği araştırmak ve sonraki adımları belirlemek için uyarı ayrıntılarını kullanın.
Ters shell trafiği	Bu uyarı, sunucunuzdan kötü amaçlı ters shell trafiği algılandığında tetiklenir. Ters shell, bir saldırganın sunucunuzdan kendi kontrol ettiği bir sunucuya ağ bağlantısı kurmasını sağlar; bu da saldırganın rastgele komutlar yürütmesine olanak tanır. Bu tehdidi araştırmak ve buna yanıt vermek için uyarı ayrıntılarını kullanın.
Arka kapı iletişim trafiği	Bu uyarı, sunucunuzdan kötü amaçlı arka kapı trafiği algılandığında tetiklenir. Bu tür trafik, bir saldırganın sunucunuza uzaktan kontrol kanalı kurmuş olabileceğini gösterir. Bu potansiyel ihlali araştırmak için uyarı ayrıntılarını kullanın.
Java serileştirme kaldırma saldırısı	Bu uyarı, kötü amaçlı Java serileştirme kaldırma saldırı trafiği algılandığında ve ilişkili Java işlemi şüpheli bir giden ağ bağlantısı yaptığında veya şüpheli bir komut yürüttüğünde tetiklenir. Bu durum, bir saldırganın hizmetinizdeki bir güvenlik açığından yararlanmış olabileceğini gösterir. Etkiyi belirlemek ve sonraki adımlarınızı planlamak için uyarı ayrıntılarını kullanın.
DNS-log saldırısı	Bu uyarı, kötü amaçlı DNS-log saldırı trafiği algılandığında ve sunucunuz ilgili DNS-log etki alanına eriştiğinde tetiklenir. Bu durum, bir saldırganın hizmetinizdeki bir güvenlik açığından yararlanmış olabileceğini gösterir. Etkiyi belirlemek ve sonraki adımlarınızı planlamak için uyarı ayrıntılarını kullanın.

Container Escape Prevention

Uyarı adı	Açıklama
Yüksek riskli sistem çağrısı	Yetki yükseltme veya konteyner kaçışı için çekirdek güvenlik açıklarından yararlanmak amacıyla sıklıkla kullanılan temel bir sistem çağrısını gösterir.
Güvenlik açığı veya yanlış yapılandırmadan yararlanarak kaçış	Bu uyarı, bir konteyner aşırı ayrıcalıkla başlatıldığında veya sözde bir dosya sistemi bağlandığında tetiklenir. Bu yanlış yapılandırmalar, saldırganların `core_pattern` veya `cgroup` gibi sistem mekanizmalarından yararlanarak konteynerden kaçmasına olanak tanır.
Ana bilgisayar kullanıcı yapılandırma dosyasını değiştirme	Bu uyarı, bir konteyner `/etc/passwd` veya SSH hizmeti yapılandırma dizinleri gibi ana bilgisayar kullanıcı yapılandırma dosyaları bağlanmış olarak başlatıldığında tetiklenir. Bu durum, saldırganların konteyner içinden bu dosyaları değiştirmesine ve ana bilgisayar düğümünde kullanıcı ayrıcalığı elde etmesine olanak tanır.
Yüksek riskli ana bilgisayar dizinine yazarak kaçış	Bu uyarı, bir konteyner yüksek riskli bir ana bilgisayar dizini bağlanmış olarak başlatıldığında tetiklenir. Örnekler arasında `/etc/crontab` gibi sistem zamanlanmış görev dizinleri, `/etc/init.d` gibi otomatik başlatma görevi dizinleri, `/etc/profile` gibi tetikleyici tabanlı görev dizinleri veya Kubernetes statik pod yapılandırma dizinleri yer alır. Saldırganlar bu dizinlere kötü amaçlı kod yazabilir. Ana bilgisayar daha sonra bu kodu otomatik olarak yürütür ve saldırganın ayrıcalık kazanmasına olanak tanır.
Konteyner kaçış aracı çalıştırma	Security Center, bir konteyner içinde çalışan bir konteyner kaçış aracı tespit etti. Saldırganlar genellikle bir konteyneri ele geçirdikten sonra konteyner ile ana bilgisayar düğümü arasındaki yalıtımı kırmak ve ana bilgisayar düğümü üzerinde erişim kontrolü sağlamak için bu aracı kullanır.

Proactive Defense for Containers

Uyarı adı	Açıklama
görüntü dışı program başlatma	Bu uyarı, orijinal görüntüde bulunmayan bir programın başlatıldığını gösterir. Bu etkinlik genellikle arka kapı truva atı gibi çalıştırılabilir bir programın çalışan bir konteynere yüklenmesi sırasında gerçekleşir. Bu durum hizmetleriniz için gerekli olan meşru bir yükleme olabilir ancak bir güvenlik riski de teşkil edebilir. Bu etkinliği derhal inceleyin.
dosya savunması	dosya savunması.
görüntü dışı program başlatmayı engelleme	Security Center, orijinal görüntünün parçası olmayan bir programın başlatılmasını engelledi. Bu önleyici eylem, arka kapı truva atı gibi çalıştırılabilir bir programın bir konteyner içinde çalıştırılmaya çalışılması durumunda tetiklenir. Engellenen program meşru olabilir ancak bu tür girişimler bir güvenlik riskine de işaret edebilir. Bu engellenen etkinliğin nedenini derhal inceleyin.

Risk Image Blocking

Uyarı adı	Açıklama
Küme internetten kötü amaçlı bir görüntü başlatıyor	Bu uyarı, bir kümenin bilinen kötü amaçlı bir görüntüyü başlatmaya çalışması durumunda tetiklenir. Kötü amaçlı bir görüntü çalıştırmak ortamınıza güvenlik açıkları, arka kapılar veya diğer güvenlik tehditleri getirebilir.
Küme taranmamış bir görüntü başlatıyor	Bu uyarı, bir kümenin taranmamış bir görüntüden konteyner başlatmaya çalışması durumunda tetiklenir. Taranmamış görüntülerin dağıtılması ortamınıza güvenlik açıkları veya kötü amaçlı yazılım gibi bilinmeyen güvenlik riskleri getirebilir.
Küme güvenlik açığı içeren bir görüntü başlatıyor	Bu uyarı, bir kümenin bilinen güvenlik açıkları içeren bir görüntüden konteyner başlatmaya çalışması durumunda tetiklenir. Bu güvenlik açıklarından yararlanılması, saldırganın uygulamalarınızı veya altta yatan kümeyi ele geçirmesine olanak tanıyabilir.
Küme kötü amaçlı dosya içeren bir görüntü başlatıyor	Bu uyarı, bir kümenin kötü amaçlı dosya içeren bir görüntüden konteyner başlatmaya çalışması durumunda tetiklenir. Bu durum, kümenizde truva atları veya kripto para birimi madencileri gibi kötü amaçlı yazılımların yürütülmesine yol açabilir.
Küme temel çizgi denetimini geçemeyen bir görüntü başlatıyor	Bu uyarı, bir kümenin temel çizgi denetimini geçemeyen bir görüntüden konteyner başlatmaya çalışması durumunda tetiklenir. Bu, görüntünün kuruluşunuzun güvenlik ve yapılandırma standartlarına uymadığı anlamına gelir.
Küme hassas dosya içeren bir görüntü başlatıyor	Bu uyarı, bir kümenin özel anahtar veya erişim kimlik bilgisi gibi hassas bir dosya içeren bir görüntüden konteyner başlatmaya çalışması durumunda tetiklenir. Hassas bilgilerin doğrudan bir görüntüye dahil edilmesi, kimlik bilgisi sızmasına yol açabilen yüksek riskli bir uygulamadır.
Küme riskli derleme talimatları içeren bir görüntü başlatıyor	Bu uyarı, bir kümenin riskli derleme talimatlarıyla oluşturulan bir görüntüden konteyner başlatmaya çalışması durumunda tetiklenir. Bu talimatlar nihai görüntüye güvenlik zafiyetleri veya yanlış yapılandırmalar getirebilir.

Trusted Exception

Uyarı adı	Açıklama
sistem başlangıç bileşeni güven olayı	ECS güvenilen örneklerinin güvenilir durumunu algılar ve anormal durumları işler. Daha fazla bilgi için bkz. Güvenilen Örnekleri Kullanma.

Diğer

Uyarı adı	Açıklama
DDoS	DDoS saldırısı.
Security Center istemcisi anormal şekilde çevrimdışı	Bu uyarı, Security Center istemcisinin ana işlemi olan AliYunDun sunucunuzda çevrimdışı olduğunda ve belirtilen bir süre boyunca çevrimdışı kaldığında tetiklenir. Bu durum geçici ağ kararsızlığından veya istemciyi zorla kaldıran bir siber saldırıdan kaynaklanabilir. İstemci işleminin çalışıp çalışmadığını kontrol etmek için sunucuda oturum açın. İşlem çalışmıyorsa derhal yeniden başlatın.
Alibaba Cloud dışı ana bilgisayardaki Security Center istemcisi anormal şekilde çevrimdışı	Bu uyarı, Security Center istemcisinin ana işlemi olan AliYunDun Alibaba Cloud dışı ana bilgisayarınızda çevrimdışı olduğunda ve belirtilen bir süre boyunca çevrimdışı kaldığında tetiklenir. Bu durum geçici ağ kararsızlığından veya istemciyi zorla kaldıran bir siber saldırıdan kaynaklanabilir. İstemci işleminin çalışıp çalışmadığını kontrol etmek için sunucuda oturum açın. İşlem çalışmıyorsa derhal yeniden başlatın.