Tüm Ürünler
Search

Bu Ürün

    Security Center:Analyze and handle security alerts

    Belge Merkezi

    Security Center:Analyze and handle security alerts

    Son Güncelleme:Oct 06, 2026

    Security Center, varlıklarınızda yetkisiz erişim, kötü amaçlı yazılım veya anormal davranışlar tespit ettiğinde güvenlik uyarıları oluşturur. İş sürekliliği ve veri güvenliği açısından uyarıların zamanında ve doğru şekilde ele alınması kritiktir. Bu konuda, riskleri hızlıca değerlendirmek, tehditleri ortadan kaldırmak ve sistemleri güçlendirmek için acil durum müdahale sürecinin nasıl izleneceği açıklanmaktadır.

    Güvenlik uyarısı işleme değerlendirmesi

    Bir güvenlik olayını ele almadan önce, normal işlemlerin kesintiye uğramaması için uyarının etkisini değerlendirin, saldırıyı analiz edin ve yanlış pozitifleri belirleyin. Değerlendirme için gerekli bilgileri toplamak üzere uyarı ayrıntıları sayfasını kullanın.

    Uyarı ayrıntılarını görüntüleme

    1. Security Center konsolu oturum açın. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin。

      Not

      Agentic SOC özelliğini etkinleştirdiyseniz sol gezinme bölmesinde Agentic SOC > Alerts。 yolunu izleyin.

    2. Alert sayfasında, CWPP sekmesine gidin. Hedef uyarıyı bulun ve tam bilgilere ulaşmak için uyarı ayrıntıları sayfasına gitmek üzere Actions sütunundaki Details öğesini tıklayın.

      • System Configuration > Notification Settings yoluyla uyarı bildirimlerini yönetebilirsiniz. Uyarı adı gibi bilgileri kullanarak hedef uyarıyı hızlıca bulabilirsiniz.

      • Ultimate Edition, uyarıları varlık türüne göre filtrelemeyi destekler. Uyarı listesinin üzerindeki Tüm, Host, Container, K8s veya Cloud Service seçeneklerinden birine tıklayarak ilgili varlık türüne ait uyarıları görüntüleyin.

      • Security Center, kötü amaçlı dosyaları akıllıca tanımlayabilen büyük model algılama motoru eklemiştir. Filtre koşulunu AI Detected (Filtre değerini is olarak ayarlayın) şeklinde belirleyerek yapay zeka tarafından algılanan uyarıları görüntüleyebilirsiniz. Daha fazla bilgi için bkz.Yapay zeka ile algılanan kötü amaçlı dosya uyarıları。

    Not

    Geçmiş uyarı kayıtları yaklaşık bir yıl boyunca saklanır. Saklama süresini aşan uyarılar Expired data durumu olarak gösterilir.

    Uyarı ayrıntılarını analiz etme

    Saldırı izleme, Description bölümlerini inceleyerek uyarı kanıtlarını, oluşum sayısını ve olası nedenleri elde edebilirsiniz. Bu bilgileri kullanarak uyarının yanlış pozitif olup olmadığını belirleyin ve bir işleme planı oluşturun. Ağ trafiği uyarılarındaki alan adları trafik tanımlamadan gelir ve gerçek varlıklarınız olmayabilir.

    Uyarı alanı açıklamaları

    • Alert time: Uyarı ayrıntıları sayfasında birden fazla zaman alanı bulunur. Açıklamalar:

      • First detection time: Uyarının Security Center tarafından ilk kez algılandığı zaman.

      • Latest detection time: Uyarının en son algılandığı zaman. Aynı işlem veya dosya uyarıyı birden çok kez tetiklerse bu zaman sürekli güncellenir.

      • Alert report time: İstemcinin uyarı verilerini cloud ortamına raporladığı zaman.

    • Basic Information: Alert Name, Urgency, Alert ID, Alert Type, Status, Attack Stage, Detection Mode.

    • Affected Asset: Bu uyarıdan etkilenen genel IP adresi gibi varlık bilgilerini görüntüler.

      Not

      Hassas savunma uyarısı ayrıntıları istek kaynak IP adresini göstermez. Asset at risk bölümü, istek kaynak IP adresi yerine etkilenen varlığın genel ve özel IP adreslerini görüntüler. Kaynak IP adresini araştırmak için sunucu DNS günlüklerini kontrol edin (bkz. Yerel günlük araştırması bölümü).

    • Description: Description, Handling suggestions.

    • More Information: Örneğin kötü amaçlı betik uyarıları için More information alanında uyarıyla ilgili dosyalara ilişkin bilgiler görüntülenir. Bu alan aşağıdaki alanları içerir:

      • Malicious script path: Dosyanın ECS örneğindeki orijinal depolama yolu; örneğin /tmp/.test_alert.sh。

      • Malicious script tag: Uyarıyla ilgili dosyaların risk etiketleri; örneğin Reverse Shell.

      • File MD5: Uyarıyla ilgili dosyanın MD5 değeri.

      • Source file download: Security Center tarafından barındırılan bir pakete (örneğin sas-file-general-26) işaret eden indirme bağlantısıdır ve yalnızca kaynak dosyaların geçici olarak indirilmesi içindir. Orijinal depolama konumu için Malicious script path alanına bakın.

      • Sample download: Kötü amaçlı betikler ve webshell'ler gibi dosya türü uyarılar için uyarı ayrıntıları sayfasındaki More information alanına gidip Source file download bağlantısına tıklayarak yerel analiz için kötü amaçlı dosya örnekleri edinebilirsiniz.

      • Process PID: İşlem bilgisi içeren uyarılar için uyarı ayrıntıları sayfasındaki More information alanına veya process tree görünümüne giderek enfekte olmuş işlemin PID değerini kontrol edin ve sunucuda manuel inceleme yapın.

      • Affected asset: Hangi varlıkların araştırılacağını onaylamak için uyarı ayrıntıları sayfasındaki Asset at risk alanında etkilenen varlıkların ECS örnek kimliğini ve sunucu ayrıntılarını doğrudan görüntüleyin.

    Saldırı izleme

    Security Center, birden çok cloud hizmetinden gelen günlükleri entegre eden otomatik saldırı izleme özelliği sunar. Büyük veri analizi aracılığıyla ham veri önizlemeleri içeren görselleştirilmiş sızma yolu diyagramları oluşturur. Bu özellik, cloud ortamlarındaki web sızma girişimleri, solucan olayları, fidye yazılımları ve kötü amaçlı indirme bağlantılarının nedenlerini hızla belirlemenize ve acil durum stratejileri geliştirmenize yardımcı olur.

    • Yetenekler:

      • Bu özellik yalnızca Enterprise veya Ultimate yetkilendirmesine sahip olan ya da Comprehensive Host Protection ve Hosts and Container Protection paketlerine dahil edilen sunucular tarafından desteklenir.

      • Security Center, bir tehdit algıladıktan sonraki 10 dakika içinde otomatik saldırı izleme yolunu oluşturur. Saldırı izleme bilgilerini görüntülemeden önce uyarıdan sonra en az 10 dakika beklemenizi öneririz.

      • Otomatik saldırı izleme bilgileri, uyarı tetiklendikten 3 ay sonra otomatik olarak silinir. Saldırı izleme bilgilerini zamanında inceleyin.

    • Değerlendirme örneği：

      • Ayrıntılar sayfasındaki izleme alanında Saldırı zincirinin eksiksiz ve geçerli olup olmadığını kontrol edin. Saldırı yolu ne kadar eksiksizse uyarıyı o kadar acil ele almanız gerekir. Aşağıdaki açıklamaya bakarak Yolun geçerli olup olmadığını belirleyin:

        • Geçersiz yol: İzleme sonucu, sonraki herhangi bir eylem olmadan (bağlantı kurulmamış, komut çalıştırılmamış, kötü amaçlı dosya indirilmemiş) yalnızca tek noktalı tarama veya keşif davranışı (izole port taramaları veya başarısız istismar denemeleri gibi) gösteriyorsa geçersizdir.

        • Geçerli yol: İzleme diyagramı net bir sızma yolu gösteriyorsa (örneğin:Exploit → Webshell upload → Internal network probing → Malicious file download → Lateral movement）。

      • İzleme diyagramındaki bir düğüme tıklayın. Sol taraftaki düğüm ayrıntıları alanında Saldırı hedefine ulaşılmış mı? kontrolünü yapın. Örneğin:

        • Uç nokta davranışını kontrol edin: Saldırgan sunucuda komutlar yürüttü (örneğin whoami veya net user）。

        • Veri sızıntısı olup olmadığını kontrol edin: Madencilik havuzlarına veya C2 sunucularına yönelik anormal giden bağlantılar veya hassas dosya okuma/yükleme işlemleri.

        • Kalıcılık izlerini kontrol edin: Arka kapı hesapları, zamanlanmış görevler veya kötü amaçlı hizmetler oluşturulmuş mu?

      • İzleme diyagramındaki bir düğüme tıklayın. Sol taraftaki düğüm ayrıntıları alanında Ham günlükler doğrulanabilir mi? (WAF engelleme kayıtları, ana bilgisayar işlem oluşturma günlükleri ve ağ bağlantı günlükleri gibi) bilgilerini görüntüleyin.

        • Doğrulanabilir: Altta yatan günlükler (kötü amaçlı komut yürütmenin WAF engelleme kayıtları veya ana bilgisayar işlem günlükleri gibi) mevcuttur ve saldırının gerçekleştiğini kanıtlar. Engellendiyse İşlendi olarak işaretleyin. Engellenmediyse mümkün olan en kısa sürede müdahale edin.

        • Doğrulanamaz: Bulguyu destekleyen günlük yok (günlükler silinmiş veya algılama atlatılmış olabilir). Bu senaryo yüksek dikkat gerektirir ve gelişmiş saldırı izlerini gösterebilir.

    Korunaklı alan algılama

    Security Center, dosyaları güvenli ve izole bir ortamda çalıştırarak statik ve dinamik dosya davranış verilerini analiz eden korunaklı alan algılama özelliği sunar. Şüpheli uygulamaları güvenli bir şekilde çalıştırır ve şüpheli dosya davranışlarını tespit eder. Uyarılar oluşturulduğunda kötü amaçlı programları işlemek için korunaklı alan algılama sonuçlarını kullanın.

    Not

    Korunaklı alan algılama özelliği yalnızca bazı kötü amaçlı yazılım uyarıları için kullanılabilir. Kullanılabilirlik için gerçek sayfayı kontrol edin.

    1. Alerts sayfasında hedef uyarıyı bulun, Actions sütununa gidin ve Details öğesini tıklayın。

    2. Sandbox alanında korunaklı alan algılama sonuçlarını görüntüleyin.

    Değerlendirme örneği：

    Korunaklı alan algılama sonucu sayfasının üst kısmında dosya bilgileri (dosya adı, tehdit etiketi, SHA1/MD5/SHA256 karma değerleri) görüntülenir. Alt kısımda beş sekme bulunur: Behavior tags, Process details, Network behavior, File behavior ve ATT&CK matrix. ATT&CK matrix görünümü saldırı aşamasına göre 12 sütuna ayrılır (Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact). Her sütun saldırı tekniği kartlarını ve isabet sayılarını görüntüler. Kırmızı renkli sayılar yüksek riskli aşamaları belirtir.

    • Behavior Tag: Sızma dosyalarını özellik etiketleriyle etiketleyerek sızma dosyalarının neden olduğu yüksek riskli işlemleri işaretler (kırmızı renk en dikkat çekici sızma davranışını gösterir).

    • ATT&CK Matrix: Korunaklı alan algılama süreç akışını görüntüler ve sızma dosyalarının neden olduğu yüksek riskli işlemleri işaretler (kırmızı renk en dikkat çekici sızma davranışını gösterir).

    Uyarı işleme için hızlı referans

    Önemli

    • Uyarı bilgilerini doğruladıktan sonra bunun normal bir davranış olduğunu veya işleme gerek olmadığını belirlerseniz güvenlik uyarılarını işlemek için Yoksay veya İzin Listesine Ekle yöntemini seçebilirsiniz.

    • Güvenlik uyarıları yalnızca güvenlik risklerini belirtir ve alan adlarını veya hizmetleri engellemez.

    • Inatçı virüs tehditleri veya tekrarlayan uyarılar durumunda konsolda işlem yaptıktan sonra güvenliği güçlendirmek için Güvenlik sertleştirme ve saldırı önleme bölümüne bakın.

    Uyarı türü

    Uyarı adı

    Önerilen işleme yöntemi

    Kötü amaçlı yazılım

    Madencilik programı

    Virüs Algılama ve Temizleme

    DDoS truva atı

    Truva programı

    Kötü amaçlı program

    İstismar programı

    Şüpheli PowerShell komutu

    Arka kapı programı

    Ters Kabuk arka kapısı

    Dosya bulaştıran virüs

    Derin Temizleme

    Olağan dışı oturum açma

    Kötü amaçlı IP adresinden oturum açma

    Engelle

    ECS üzerinde başarılı kaba kuvvet saldırısı

    ECS üzerinde olağan dışı bir hesapla oturum açma

    ECS üzerinde olağan dışı bir konumdan oturum açma

    Arka kapı hesabıyla oturum açma

    Webshell

    Arka kapı (Webshell) dosyası bulundu

    Karantinaya Al

    WEBSHELL kodu içeren günlük/görüntü dosyaları

    Webshell veya hotlinking arka kapı dosyası bulundu

    Keyfi dosya yazma arka kapısı bulundu

    İşlem anormal davranışı

    Java uygulaması anormal komutlar yürütüyor

    İşlemi Sonlandır

    Şüpheli işlem yolu

    Ağ proxy yönlendirme davranışı

    Şüpheli PowerShell komutu

    Kalıcı arka kapı oluşturma davranışı

    SSH arka kapısı

    Şüpheli kodlanmış komut

    Şüpheli komut yürütme

    Kötü amaçlı betik

    Kötü amaçlı betik kodu yürütme

    İşlemi Sonlandır

    Hassas savunma

    Güvenlik karşıtı yazılım

    Derin Temizleme

    API üzerinden şüpheli dosya yükleme

    Sorun Giderme

    Cloud ürün tehdit algılama

    RAM alt hesabıyla olağan dışı bir konumdan oturum açma

    1. Hesap parolasını değiştirin veyaIP adresine göre erişimi kısıtlayın。

    2. Uyarı durumunuManuel Olarak İşlendi olarak değiştirin。

    AccessKey kullanan hacker araçları

    AK düzeyindeki uyarılar cloud ürün tehdit algılamasına aittir ve doğrudan ECS örnekleriyle ilişkili değildir. Uyarı ayrıntılarındaki varlık bilgileri sunucu örneklerini içermez. Etkilenen sunucuları bulmak için AccessKey ID sorgulayın, AccessKey çağrı kayıtlarını sorgulayın ve uyarı ayrıntıklarındaki çağrı IP adresini kullanarak etkilenen varlıkları izleyin. Sorgulama prosedürü için bkz.AccessKey sızıntılarını algılama。

    1. RAM kullanıcısının AccessKey bilgisini silin veya devre dışı bırakın。

    2. Uyarı durumunuManuel Olarak İşlendi olarak değiştirin。

    Anormal rol izin numaralandırma davranışı

    1. Bir RAM yönetici hesabıylaRAM konsolu üzerinden oturum açın， RAM kullanıcı izinlerini değiştirin.

    2. Uyarı durumunuManuel Olarak İşlendi olarak değiştirin。

    RAM kullanıcısı hassas işlemler gerçekleştirmek üzere konsola oturum açıyor

    Diğer

    Security Center aracı anormal şekilde çevrimdışı

    Sorun Giderme

    Uyarıları manuel olarak işleme

    Önemli

    Security Center uyarılarından toplanan bir olayı Güvenlik olayı işleme özelliği ile işlediyseniz, Security Center ilgili uyarıların CWPP durumunu otomatik olarak günceller. Uyarı durumunu manuel olarak güncellemeniz gerekmez.

    Başlamadan önce

    • Anlık görüntü yedeklemesi oluşturun: Güvenlik uyarılarını işlemeye başlamadan önce, iş sürekliliğini etkilememek veya veri kaybını önlemek amacıyla sunucu için bir anlık görüntü yedeklemesi oluşturmanızı öneririz. Anlık görüntüleri ECS konsolunda oluşturun. Daha fazla bilgi için bkz. İlke oluşturma。

    • Sunucu tarafında inceleme: Sunucuya oturum açıp komut satırı araçlarını kullanarak şüpheli süreçleri inceleyebilirsiniz. Yaygın komutlar:

      • Linux sunucu: Şüpheli süreçlerin hala çalışıp çalışmadığını kontrol etmek için ps aux | grep <suspicious process name> komutunu kullanın.

      • Linux sunucu: Süreç tarafından açılan dosyaları ve ağ bağlantılarını görüntülemek için lsof -p <process PID> komutunu kullanın.

      • Windows sunucu: Görev Yöneticisi'ni kullanabilir veya konsol VNC üzerinden sunucuya bağlanarak süreç bilgilerini görüntüleyebilirsiniz. Anormal süreçler genellikle C:\Users\Administrator\AppData\Local gibi dizinlerde bulunur. Silmeden önce sürecin işiniz için gerekli olup olmadığını teyit edin.

    • Ücretli sürüm sınırlamaları: Uyarı işleme (dosya karantinaya alma, IP engelleme, izin listesi ekleme vb.) ücretli bir Security Center sürümü gerektirir. Ücretsiz sürümü kullanıyorsanız veya yetkilendirmenizin süresi dolmuşsa, uyarıları konsolda doğrudan işleyemezsiniz. Security Center satın alın sayfasından Anti-Virus Edition veya üstü bir sürüm satın almanız gerekir.

    Bir işleme yöntemi seçin

    İşleme yöntemleri aşağıdaki kategorilere ayrılabilir:

    • Tehdit kaldırma: Bilinen güvenlik tehditlerini doğrudan kaldırın ve engelleyin, enfeksiyonları giderin, yeni saldırıları önleyin, tehdit kaynaklarını bloke edin ve varlık güvenliğini koruyun.

    • Uyarı baskılama: Yanlış pozitifleri veya kabul edilebilir riskleri işlemek için kullanılır. İzin listesi ekleme veya yoksayma yoluyla uyarıları geçersiz olarak işaretleyin ve sonraki uyarıların oluşturulup oluşturulmayacağını kontrol edin.

    • Troubleshooting: Desteklenen teşhis için Security Center istemci anomalilerini giderin.

    Tehdit kaldırma

    Virus Detection and Removal

    • Kullanım senaryoları

      • Kötü niyetli etkinliği doğrulayın: Security Center, hemen engellenmesi gereken virüsler, truva atları veya fidye yazılımları gibi kötü niyetli çalışan süreçleri algıladığında kullanılır.

      • Acil müdahale gereksinimleri: Virüsün yayılmasını veya veri sızıntısı risklerini hızla contained etmek ve tehdidin diğer sunuculara yayılmasını önlemek için gereklidir.

    • Başlamadan önce

      Virüs taraması hizmet kesintisi riskine neden olabilir. Normal iş akışınızı etkilememek için işlem yapmadan önce kaynak dosyaları kontrol edin. Yaygın kontrol noktaları şunlardır:

      • Dosya özelliklerini doğrulayın: Dosya yolunu, imzasını ve karma değerini (hash) kontrol ederek dosyanın virüs olup olmadığını teyit edin (sistem veya iş dosyalarını yanlışlıkla silmekten kaçının).

      • İş bağımlılığı değerlendirmesi: Dosyanın kritik hizmetler (örneğin nginx、mysql ile ilgili bileşenler) tarafından çağrılıp çağrılmadığını kontrol edin.

    • Nasıl çalışır

      • Virüs sürecini hemen sonlandırın ve virüs dosyasını karantinaya taşıyın. Karantinaya alındıktan sonra dosya çalıştırılamaz, erişilemez veya yayılamaz.

        Uyarı

        • Süreci sonlandırmak, buna bağımlı olan hizmetlerde anormalliklere neden olabilir (örneğin, virüs meşru bir süreç gibi davranıyorsa).

        • Karantinaya alınan dosya kötü amaçlı kod bulaşmış bir iş dosyasıysa (örneğin çekirdek uygulama bileşeni), karantina işlemi hizmet kesintisine neden olabilir.

      • Karantinaya alınan dosyalar 30 gün içinde geri yüklenebilir. Geri yüklenen dosyalar uyarı listesinde yeniden görünür ve Security Center bunları izlemeye devam eder. Geri yükleme işlemi için bkz. Karantinaya alınan dosyaları görüntüleme ve kurtarma。

        Not

        30 gün içinde geri yüklenmeyen dosyalar otomatik olarak silinir ve kurtarılamaz.

    • Sonraki adımlar

      Karantinayı düzenli olarak gözden geçirin: Geri döndürülemez silinmeyi önlemek için 30 gün içinde dosya özelliklerini onaylayın. Karantinaya alınan dosyaları görüntülemek için bkz. Karantinaya alınan dosyaları görüntüleme ve kurtarma。

    Deep Cleanup

    Deep Cleanup , Security Center güvenlik uzmanları ekibi tarafından bu kalıcı ve inatçı virüslerin derinlemesine analizi ve test edilmesi sonucunda geliştirilmiş özel bir kaldırma yeteneğidir.

    • Kullanım senaryoları

      Derin tarama, Kalıcı, dosya bulaştıran virüslere yönelik özel bir çözümdür. Bu tür virüslerin özellikleri:

      • Ana bilgisayar dosyalarını enfekte eder: Virüs kendini sistem dosyalarına, uygulama dosyalarına veya kişisel belgelere enjekte ederek onların bir parçası haline gelir.

      • Zor yok edilir: Standart virüs taraması yalnızca virüsün ana gövdesini siler ancak enfekte olmuş dosyaları onaramaz, bu da sorunların tekrar etmesine neden olur.

      Not

      Virüs bu türde değilse, önce standart Virüs Tarama özelliğini kullanın.

    • Başlamadan önce

      Deep Cleanup işlemi kazara dosya silinmesi, hizmet kesintisi ve veri bütünlüğü riski yaratabilir. Normal iş akışınızı etkilememek için işlem yapmadan önce kaynak dosyaları kontrol edin. Yaygın kontrol noktaları şunlardır:

      • Dosya özelliklerini doğrulayın: Yol, imza ve karma değeri (hash) kontrol ederek dosyanın virüs olup olmadığını teyit edin (sistem/iş dosyalarını silmekten kaçının).

      • İş bağımlılığı değerlendirmesi: Dosyanın kritik hizmetler (örneğin nginx、mysql ile ilgili bileşenler) tarafından çağrılıp çağrılmadığını kontrol edin.

    • Nasıl çalışır

      • Kötü niyetli virüs süreçlerini sonlandırarak, kötü amaçlı dosyaları karantinaya alarak ve kalıcı virüs/truva atı yerleşim öğelerini kaldırarak inatçı virüsleri temizler.

      • Ayrıca, derin virüs taraması sırasında temizlenen verileri anlık görüntüler aracılığıyla geri yükleyebilmeniz için verileri yedeklemek üzere anlık görüntüler oluşturabilirsiniz.

        Önemli

        Anlık görüntü oluşturma ve saklama ücrete tabidir. Ücretler anlık görüntü ürünü tarafından tahsil edilir. Varsayılan faturalama yöntemi kullandıkça öde (post-paid) şeklindedir.Maliyet bilgileri için satış öncesi danışmanlık ile iletişime geçebilirsiniz.

    • Sonraki adımlar

      Karantinayı düzenli olarak gözden geçirin: Geri döndürülemez silinmeyi önlemek için 30 gün içinde dosya özelliklerini onaylayın. Karantinaya alınan dosyaları görüntülemek için bkz. Karantinaya alınan dosyaları görüntüleme ve kurtarma。

    Quarantine

    • Kullanım senaryoları

      Bir dosyanın arka kapı, virüs veya başka bir kötü amaçlı dosya olduğu doğrulandığında, yürütülmesini hemen engelleyin.

    • Nasıl çalışır

      • Sistem şüpheli dosyaları karantinaya taşır. Karantinaya alındıktan sonra dosya çalıştırılamaz, erişilemez veya yayılamaz.

        Uyarı

        Karantinaya alınan dosya kötü amaçlı kod bulaşmış bir iş dosyasıysa (örneğin çekirdek uygulama bileşeni), karantina işlemi hizmet kesintisine neden olabilir.

      • Karantinaya alınan dosyalar 30 gün içinde geri yüklenebilir. Geri yüklenen dosyalar uyarı listesinde yeniden görünür ve Security Center bunları izlemeye devam eder. Geri yükleme işlemi için bkz. Karantinaya alınan dosyaları görüntüleme ve kurtarma。

        Not

        30 gün içinde geri yüklenmeyen dosyalar otomatik olarak silinir ve kurtarılamaz.

    • Sonraki adımlar

      Karantinayı düzenli olarak gözden geçirin: Geri döndürülemez silinmeyi önlemek için 30 gün içinde dosya özelliklerini onaylayın. Karantinaya alınan dosyaları görüntülemek için bkz. Karantinaya alınan dosyaları görüntüleme ve kurtarma。

    Terminate Process

    • Kullanım senaryoları

      Genellikle Süreç anormal davranışı türündeki uyarıları işlemek için kullanılır; örneğin MySQL'in anormal komutlar yürütmesi veya web istismar saldırılarının anormal komut yürütmesine neden olması.

    • Nasıl çalışır

      Security Center süreci sonlandırmayı dener. Başarısız olursa, süreci manuel olarak kill process ID komutuyla sonlandırmayı deneyin ve ardından "Manually Handled" işleme yöntemini seçin.

      Not

      Süreç kimliği (PID), uyarı ayrıntıları sayfasındaki Daha Fazla Bilgi bölümünde görüntülenebilir.

    Block

    • Kullanım senaryoları

      Genellikle olağandışı oturum açma ve kaba kuvvet saldırıları gibi IP saldırı senaryolarında kullanılır.

    • Nasıl çalışır

      • Engelle işlemini yürüttüğünüzde, Security Center kötü niyetli IP'lerin etkilenen varlıklara erişimini engellemek için ilgili güvenlik grubu savunma kurallarını otomatik olarak oluşturur.

        • Oluşturulan savunma kuralının temel bilgilerini görüntülemek için Show Details seçeneğine tıklayabilirsiniz. Örneğin: Assets、Rule Direction、Port Range、Rule Direction。

        • Security Center, istemci kurulumuna göre engelleme mekanizmasını otomatik olarak seçer. Desteklenen engelleme mekanizmaları:

          • Security Center: Oturum açma davranışını engellemek için öncelikli olarak Security Center eklentisini kullanır. Security Center örneği Advanced, Enterprise veya Ultimate Edition olduğunda ve Malicious Network Behavior Prevention anahtarı açıkken, Security Center bu eklentiyi otomatik olarak seçer. Malicious Network Behavior Prevention anahtarını etkinleştirme işlemi için bkz. Proaktif savunma。

          • ECS Security Group: Engelleme kuralı etkinleştirildiğinde, ilgili güvenlik grubu kuralı otomatik olarak oluşturulur. Engelleme kuralının süresi dolduğunda veya devre dışı bırakıldığında kural otomatik olarak silinir.

            Not

            Bir ECS örneği CLB (Classic Load Balancer) arka uç sunucusu olarak kullanıldığında, CLB yönlendirme trafiği arka uç ECS örneğinin güvenlik grubu ACL kurallarını bypass eder. Güvenlik grubu orijinal istemci IP'sini engelleyemez. Bu senaryoda, güvenlik grubunun engelleme eylemi etkili olmaz. Kötü niyetli IP'leri engellemek için CLB dinleyicisinde bir erişim kontrolü engelleme listesi yapılandırmanızı öneririz. CLB konsoluna gidin, Örnek Yönetimi'nde hedef örneği seçin, Dinleyici Yönetimi'ne gidin, hedef dinleyiciyi seçin, Erişim Kontrolü sayfasına gidin, erişim kontrolünü Engelleme Listesi olarak ayarlayın ve engellenecek kötü niyetli IP'leri ekleyin.

      • Rule Validity Period , engelleme kuralının etkili olduğu süredir. Varsayılan: 6 saat. Seçenekler: 30 dakika, 1 saat, 2 saat, 6 saat, 12 saat, 1 gün, 7 gün, 14 gün, 30 gün.

      • Oluşturulan engelleme kurallarını Protection Configuration > Host Protection > Host-specific Rule Management menüsündeki Defense Against Brute-force Attacks sekmesinde,Sistem kuralları bölümünden görüntüleyebilirsiniz.

        Not

        Engelleme ilkesini erken sonlandırmak için Sistem Kuralları'ndaki anahtarı devre dışı bırakın.

    Uyarı baskılama

    Security Center, uyarı baskılamayı uygulamak için principalmente Add to Whitelist ve Ignore yöntemlerini kullanır. Ayrıca belirli uyarılar için Do Not Intercept Rule、Protect Without Notification ve Manually Handled seçeneklerini destekler.

    Büyük model algılama motoru güncellendiğinde, sistemdeki mevcut dosyaları yeniden tarayabilir ve daha önce uyarı tetiklemeyen dosyalar için yeni uyarılar oluşturabilir. Bu, geliştirilmiş algılama yeteneği nedeniyle normal bir davranıştır ve yanlış pozitif değildir. Dosyanın normal bir iş dosyası olduğunu onayladıktan sonra Add to Whitelist seçeneğini kullanabilirsiniz; aynı dosya için sonraki uyarılar tetiklenmez. SLB gibi küme ortamlarında AI algılama örnek başına çalışır. Aynı dosya farklı sunucularda uyarı tetikleyebilir. Her sunucuyu ayrı ayrı onaylayıp izin listesine ekleyin.

    Add to Whitelist veIgnorefarklılıkları

    Farklılıklar

    Add to Whitelist

    Ignore

    Senaryolar

    Kalıcı istisna sorunları

    Geçici veya ara sıra oluşan yanlış pozitifler ya da bilinen sorunlar için uygundur.

    Etki kapsamı

    • Aynı ana bilgisayar varlığında, bu uyarıdakiyle aynı MD5'e ve aynı dosya yoluna sahip bir dosya bulunduğunda,

    • Diğer izin listesi kuralları yapılandırılmışsa, kurallarla eşleşen sonraki uyarılar için de bildirim gönderilmez.

    Yalnızca mevcut uyarıyı işler, sonraki uyarılar üzerinde etkisi yoktur.

    Add to Whitelist

    Uyarı

    İzin listesine eklendikten sonra, aynı uyarılar ve izin listesi kuralıyla eşleşen uyarılar için artık bildirim gönderilmez. Dikkatli seçin.

    • Kullanım senaryoları

      Mevcut uyarı yanlış pozitiftir veya kalıcı bir istisna kuralı eklemek istiyorsunuz. Örneğin, giden TCP paketleri gönderen şüpheli bir süreç aslında normal bir iş etkileşimiyse veya şüpheli tarama davranışı aslında normal ağ tespitiyse, bu tür yanlış pozitifleri önlemek için bir izin listesi kuralı ayarlayın.

    • İşleme sonucu açıklaması

      • Mevcut uyarı için

        • Bu uyarı İşlendi durumuna geçer. Uyarı durumu Manually Allowlisted olarak değişir.​

        • Aynı uyarı tekrar oluştuğunda, yeni uyarı verisi oluşturulmaz ancak bu uyarının en son oluş zamanı güncellenir.

          Identical alerts nedir?

          Identical alerts (özdeş uyarılar), uyarı özellikleri büyük ölçüde tutarlı olan güvenlik tehditlerini ifade eder. Örneğin:

          • Virüs uyarıları: aynı varlık + aynı virüs dosya yolu + aynı virüs dosya MD5'i.

          • Olağandışı oturum açma: aynı varlık + aynı oturum açma IP'si.

      • Sonraki uyarılar için

        Belirli bir izin listesi kuralı yapılandırılmışsa, eşleşen bir uyarı tekrar oluştuğunda uyarı otomatik olarak İşlendi listesine eklenir, durumu Automatically Add to Whitelist olur ve başka uyarı bildirimi gönderilmez.

    • Belirli izin listesi kuralları ayarlama (isteğe bağlı)

      Uyarı işleme iletişim kutusunda, Add to Whitelist sekmesine tıklayın. Kural eklemek için Create Rule seçeneğine tıklayın.image Bir kuralı silmek için tıklayabilirsiniz.

      Önemli

      • Birden fazla kural yapılandırıldığında, OR (VEYA) ilişkisi vardır. Herhangi bir kural eşleşirse, izin listesi uygulanır.

      • Kuralları yapılandırırken Doğruluğu sağladığınızdan emin olun, kapsamın aşırı geniş olmasından kaçının. Örneğin, "Yol içeriyor: /data/" kuralı hassas alt dizinleri yanlışlıkla izin listesine alabilir.​

      Her kural soldan sağa doğru 4 yapılandırma kutusuna sahiptir. Açıklama:

      1. Uyarı bilgi alanları: Ayrıntılar sayfasında,More Information bölümünden mevcut uyarı için hangi uyarı bilgi alanlarının desteklendiğini görüntüleyin.

      2. Koşul türü: Regex eşleşmesi, büyüktür, eşittir, küçüktür, içerir ve diğer işlemleri destekler. Bazı kural açıklamaları:

        • Düzenli ifade: Düzenli ifadeler belirli kalıpları kesin olarak eşleştirebilir. Örneğin, "/data/app/logs/" klasörü altındaki tüm içeriği izin listesine almak için "Yol regex ile eşleşir: ^/data/app/logs/.*$" kuralını ayarlayın.​

        • Anahtar kelime içerir: "Yol içeriyor: D:\programs\test\" kuralını ayarlayın. Bu yola sahip tüm olaylar izin listesine alınır.

      3. Koşul değeri: Sabitler ve düzenli ifadeleri destekler.

      4. Geçerli varlıklar：

        • Tüm varlıklar: Yeni varlıklar ve bağlı tüm varlıklar üzerinde etkili olur.

        • Current Asset: Yalnızca mevcut uyarıda yer alan varlıklar için geçerlidir.

    • İzin listesinden çıkarma

      Not

      Hassas savunma uyarıları için izin listesi kuralları Protection Configuration > Host Protection > Rule Management sayfasında,Malicious Behavior Defense Custom Defense Rule sekmesinden yapılandırılmalıdır.

      • Otomatik izin listesi kuralını iptal etme

        1. Security Center konsolu adresine oturum açın. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin。

          Not

          Agentic SOC'yi etkinleştirdiyseniz, sol gezinme bölmesinde Agentic SOC > Alerts. seçeneğini belirleyin.

        2. Sağ üst köşedeki CWPP menüsünden Cloud Workload Coverage Alert Management seçeneğine tıklayın. Alert Settings seçeneğini belirleyin。

        3. Alert Settings sayfasındaki Alert Handling Rule alanında, işleme yöntemi olarak Automatically Add to Whitelist seçeneğini belirleyin。

        4. Hedef kuralı bulun ve Eylemler sütunundaki Sil seçeneğine tıklayarak otomatik izin listesi kuralını iptal edin.

      • Uyarı izin listesinden çıkarma

        1. Security Center konsolu adresine oturum açmanız gerekir. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin。

          Not

          Agentic SOC'yi etkinleştirdiyseniz, sol gezinme bölmesinde Agentic SOC > Alerts. seçeneğini belirleyin.

        2. CWPP sekmesinde,Handled or Not filtre koşulunu Handled olarak ayarlayın。

        3. İzin listesinden çıkarılacak uyarıyı bulun ve Eylemler sütunundaki Remove from Whitelist düğmesine tıklayarak mevcut uyarının izin listesini iptal edin. Ayrıca birden fazla uyarı seçip listenin altındaki Remove from Whitelist düğmesine tıklayarak izin listesine almaları toplu olarak iptal edebilirsiniz.

    Ignore

    Önemli

    • "Yoksay", yalnızca bir uyarı durumu yönetimi işlemidir. Altta yatan güvenlik sorununu çözmez.

    • Gerçek saldırıları gizlememek için yalnızca yanlış pozitif veya bilinen/kabul edilmiş risk olduğundan tam emin olduktan sonra kullanın.

    • Yoksayılan uyarı listesini düzenli olarak (haftalık veya aylık) gözden geçirmenizi öneririz.

    • Kullanım senaryoları

      • Yanlış pozitif veya düşük öncelikli olarak onaylandı.

      • Geçici/bilinen sorunlar: Sorun mevcut ancak bilinen ve kabul edilen bir risktir veya geçici, kötü niyetli olmayan bir durumdur (örneğin, yetkili penetrasyon testi veya bakım penceresi sırasındaki anormal davranış). Kök neden hemen düzeltilemez ancak uyarı listesinin temizlenmesi gerekir.

      • Test veya hata ayıklama ortamı: Üretim dışı ortamlarda (geliştirme ve test ortamları gibi), güvenliği etkilemeyen beklenen uyarılar normal izlemeyi engelleyebilir. Bunları geçici olarak baskılayın.

    • İşleme sonucu açıklaması

      • Mevcut uyarı için: Bu uyarı İşlendi durumuna geçer. Uyarı durumu Ignored olarak değişir.​

      • Sonraki uyarılar için: Etkisi yoktur. Aynı türden uyarılar tekrar göründüğünde, Security Center sizi tekrar uyarır.

    • Yoksaymayı iptal etme

      1. Security Center konsolu adresine oturum açın. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin。

        Not

        Agentic SOC'yi etkinleştirdiyseniz, sol gezinme bölmesinde Agentic SOC > Alerts. seçeneğini belirleyin.

      2. CWPP sekmesinde,Handled or Not filtre koşulunu Handled olarak ayarlayın。

      3. Yoksayması iptal edilecek uyarıyı bulun ve Eylemler sütunundaki Cancel Ignore düğmesine tıklayarak mevcut uyarının yoksayma durumunu iptal edin.

        Not

        Ayrıca birden fazla uyarı seçip listenin altındaki Cancel Ignore düğmesine tıklayarak yoksaymaları toplu olarak iptal edebilirsiniz.

    Do Not Intercept Rule

    • Senaryolar

      Şu anda yalnızca Protection Configuration > Host Protection > Host-specific Rule Management menüsündeki Malicious Behavior Defense System Defense Rule kuralı tarafından oluşturulan Adaptif WebShell iletişim engelleme uyarılarının işlenmesini destekler.

    • Nasıl çalışır

      Sistem, ilgili URI için istekleri engellemez ve herhangi bir uyarı oluşturulmaz.

    Protect Without Notification

    Uyarı

    Sonraki özdeş uyarılar ayrı olarak bildirilmez. Dikkatli seçin.

    • Senaryolar

      Protection Configuration > Host Protection > Host-specific Rule Management menüsündeki Malicious Behavior Defense kuralı tarafından oluşturulan uyarılar (uyarı türü: hassas savunma).

    • Nasıl çalışır

      • Mevcut uyarı: Bu uyarı İşlendi durumuna geçer.

      • Sonraki uyarılar: Aynı savunma kuralı tekrar tetiklendiğinde, oluşturulan uyarı otomatik olarak İşlendi listesine eklenir ve herhangi bir uyarı bildirimi gönderilmez.

    • Yalnızca savunma-bildirim yok kuralını iptal etme

      1. Security Center konsolu adresine oturum açın. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin。

        Not

        Agentic SOC'yi etkinleştirdiyseniz, sol gezinme bölmesinde Agentic SOC > Alerts. seçeneğini belirleyin.

      2. Sağ üst köşedeki CWPP menüsünden Cloud Workload Coverage Alert Management seçeneğine tıklayın. Alert Settings seçeneğini belirleyin。

      3. Alert Settings sayfasındaki Alert Handling Rule alanında, işleme yöntemi olarak Protect Without Notification seçeneğini belirleyin。

      4. Hedef kuralı bulun ve Eylemler sütunundaki Sil seçeneğine tıklayarak otomatik izin listesi kuralını iptal edin.

    Manually Handled

    Bu uyarıyı manuel olarak işlediyseniz, Manually Handled seçeneğini belirleyin. Mevcut uyarı durumu Manually Handled olarak güncellenir。

    Troubleshooting

    Senaryolar

    Yalnızca Security Center aracısı çevrimdışı anomali uyarılarının işlenmesini destekler.

    Nasıl çalışır

    Security Center istemci tanılama programı, yerel makinede istemciyle ilgili ağ, süreç ve günlük verilerini toplar ve analiz için Security Center'a raporlar.

    Önemli

    Kontrol bazı CPU ve bellek kaynaklarını tüketir. Kullanmadan önce değerlendirin.

    • Sorun modunu seçin:

      • Standard Mode: İstemciyle ilgili günlük verilerini toplayıp Security Center'a analiz için raporlar.

      • Enhancement Mode: İstemciyle ilgili ağ, süreç ve günlük verilerini toplayıp Security Center'a analiz için raporlar.

    • Handle Now seçeneğine tıklayın, bir tanılama görevi oluşturulur. Tanılama görevi sonuçlarını ve ilerlemesini görüntülemek için sayfanın sağ üst köşesindeki Asset Center > Host menüsünden Agent Task Management seçeneğine gidin. Daha fazla bilgi için bkz. İstemci sorun giderme。

      Not

      • Result sütununda çözümler sağlanıyorsa, sağlanan çözümlere göre uyarıyı işleyin.

      • Result sütununda çözüm sağlanmıyorsa, Actions sütunundaki Download Diagnostic Logs seçeneğine tıklayın. Dışa aktarılan tanılama günlüklerini ve AliUid'yi daha fazla doğrulama ve analiz için ilgili personele sağlayın.

    Konsolda işleme

    1. Security Center konsolu adresine oturum açın. Sol gezinme bölmesinde Detection and Response > Alerts seçeneğini belirleyin。

      Not

      Agentic SOC'yi etkinleştirdiyseniz, sol gezinme bölmesinde Agentic SOC > Alerts. seçeneğini belirleyin.

    2. Alert sayfasındaki CWPP sekmesinde, hedef uyarıyı bulun ve Eylemler sütunundaki Handle seçeneğine tıklayın, uyarı için işleme yöntemini seçin ve ardından Handle Now seçeneğine tıklayın。

      Not

      • Farklı uyarı türleri farklı işleme yöntemlerini destekler. Ayrıntılar için konsol sayfasına bakın.

      • İşlenen uyarıların yönetimini kolaylaştırmak için gerektiğinde, uyarının işlenme nedeni ve operatör dahil olmak üzere açıklamalar girebilirsiniz.

    İşleme sonrası doğrulama

    • Uyarının işlendiğini onaylayın: Uyarılar sayfasında, Durum filtre koşulunu İşlendi olarak ayarlayın ve hedef uyarının İşlendi listesinde göründüğünü doğrulayın. İşleme durumu sütununda işleme yönteminin adını (Virüs Taraması, Yoksayıldı, Manuel İşlendi vb.) görüntüleyin ve uyarının beklendiği gibi işlendiğini onaylayın.

    • Tam disk taraması gerçekleştirin: Uyarıları işledikten sonra, yeni uyarı olmadığından emin olmak için sunucuda tam disk taraması gerçekleştirmenizi öneririz. Tam disk taraması ajansız algılama (kullandıkça öde) gerektirir. Virüs tarama belgelerine bakın.

    • Yeni uyarı olmadığını onaylayın: İşlemeden sonra uyarı listesini izleyin. Uyarılar devam ediyorsa, kalıcı arka kapılar olabilir. Aşağıdaki tekrarlayan uyarı sorun giderme bölümüne bakın.

    Acil durum yanıtı

    Yaygın işlemler

    • Parolayı değiştirin: Olağan dışı bir oturum açma uyarısı aldığınızda ve işlem sizin tarafınızdan gerçekleştirilmediyse ECS örneği parolasını hemen değiştirin. ECS konsolundaki Reset Instance Password özelliğini kullanabilirsiniz. SSH zayıf parola saldırısı durumunda root parolasını hemen büyük harf, küçük harf, rakam ve özel karakterlerden oluşan karmaşık bir kombinasyona değiştirin. Kaba kuvvet saldırılarını önlemek için SSH anahtar tabanlı oturum açmayı etkinleştirin ve parola tabanlı oturum açmayı devre dışı bırakın.

    • Saldırgan kaynak IP adresini engelleyin: Kötü amaçlı işlemlerin sonlandırıldığını doğrulayın ve güvenlik grubunda saldırganın kaynak IP adresini engelleyin. Uzaktan oturum açmayı hemen engellemek için ilgili IP adreslerinden gelen tüm bağlantı noktası erişimini reddetmek üzere Alibaba Cloud güvenlik grubunu yapılandırın.

    • Kalıcı arka kapıları araştırın: Saldırganlar tarafından kalıcı arka kapı bırakılmadığından emin olmak için crontab, başlangıç öğeleri, SSH genel anahtarları (~/.ssh/authorized_keys) ve diğer dosyalarda şüpheli girişleri kontrol edin.

    Yerel günlük incelemesi

    Security Center'ın saldırı izleme özelliğine ek olarak, sızma yollarını araştırmak için sunucu sistem günlüklerini manuel olarak da kontrol edebilirsiniz:

    • Linux sunucusu: Olağan dışı oturum açma kayıtlarını ve saldırı kaynaklarını doğrulamak için /var/log/secure veya /var/log/auth.log dosyalarını kontrol edin.

    • Windows sunucusu: Güvenlik günlüklerini kontrol etmek ve oturum açma başarı/başarısızlık olaylarına odaklanmak için Olay Görüntüleyici'yi kullanın.

    • Linux sunucusu: Anormal DNS isteklerini araştırmak için /var/log/messages dosyalarını veya systemd günlüklerindeki DNS ile ilgili girişleri kontrol edin.

    • Windows sunucusu: Anormal DNS isteklerini araştırmak için Olay Görüntüleyici > DNS Sunucusu üzerinden DNS sorgu kayıtlarını kontrol edin.

    AccessKey sızdırıldıktan sonra komut yürütülmesinin işlenmesi

    RAM sub-account AccessKey attempted denied operation uyarısının alınması, AccessKey'in yetkisiz bir API çağrısı yapmaya çalıştığını gösterir. Örneğin, Ecs:DescribeInstances çağrısı başarısız oldu. Bu uyarı, AccessKey'in sızdırılmış veya kötüye kullanılmış olabileceğine dair net bir işarettir. Derhal işleme alın. Saldırganın Cloud Assistant aracılığıyla etkilenen ECS örneğinde komut yürüttüğünden şüpheleniyorsanız araştırma ve temizleme için aşağıdaki adımları izleyin:

    Not

    AccessKey öğesinin sızdırılıp sızdırılmadığını henüz doğrulamadıysanız sızdırma algılama sonuçlarını görüntülemek için AccessKey sızıntılarını algılama konusuna bakabilirsiniz.

    1. Yetkilendirmeyi ve AccessKey'i ayarlayın

      1. Sonraki yetkisiz çağrıları engellemek için ilgili RAM kullanıcısının AccessKey'ini hemen devre dışı bırakın.

      2. RAM kullanıcısının izin ilkesinde aşırı yetkilendirme olup olmadığını kontrol edin.

      3. ActionTrail içinde AccessKey ID kullanarak geçmiş API çağrı kayıtlarını sorgulayın ve etkilenen cloud hizmetlerini, gerçekleştirilen işlemleri ve etki kapsamını değerlendirin.

    2. Sunucuyu araştırın ve temizleyin:

      1. Komut yürütmeyi doğrulayın:

        1. ActionTrail konsolunda oturum açın. Olay sorgulama sayfasında Cloud service name filtresine göre ECS seçerek filtreleyin veya Event name alanına göre InvokeCommand değerini arayarak Gelişmiş sorgu kullanın.

        2. Hedef olaya tıklayıp View details seçeneğini belirleyin. Dönen JSON olay kaydında requestParameters içinden CommandContent (gerçek komut içeriğini görüntülemek için BASE64 kodunu çözün) ve InstanceId (etkilenen ECS örneğini tanımlar) değerlerini alın.

      2. Araştırma için sunucuda oturum açın: Önceki adımda elde edilen bilgilere dayanarak InstanceId kimliğine sahip ilgili ECS örneğinde oturum açın ve aşağıdaki kontrolleri gerçekleştirin:

        • Anormal işlemleri kontrol etmek için ps aux komutunu çalıştırın.

        • Anormal zamanlanmış görevleri kontrol etmek için crontab -l komutunu çalıştırın.

        • SSH arka kapı genel anahtarlarının eklenip eklenmediğini kontrol etmek için cat /root/.ssh/authorized_keys komutunu çalıştırın.

      3. Artıkları temizleyin ve güvenliği artırın: Önceki adımda bulunan kötü amaçlı işlemleri ve dosyaları kaldırın, anormal zamanlanmış görevleri ve arka kapı genel anahtarlarını silin, sızdırılan AccessKey değerini değiştirin ve güvenliği tamamlamak için sunucuyu yeniden başlatın.

    Yaygın Virüs Uyarısı İşleme Öğreticileri

    Güvenlik sertleştirme ve saldırı önleme

    • Security Center sürümünü yükseltin: Enterprise ve Ultimate sürümleri, hassas savunma yetenekleri sağlamak ve daha fazla güvenlik algılama öğesini desteklemek için otomatik virüs karantinayı destekler.

    • Erişim kontrolünü sıkılaştırın: Yalnızca gerekli iş bağlantı noktalarını (80 ve 443 gibi) açık tutun. Yönetim bağlantı noktaları (22 ve 3389 gibi) ve veritabanı bağlantı noktaları (3306 gibi) için katı IP izin listesi erişim ilkeleri yapılandırın.

      Not

      Alibaba Cloud ECS sunucuları için işlemi gerçekleştirmek üzere Güvenlik gruplarını yönetme konusuna bakın.

    • Temel çizgi denetimi gerçekleştirin: Sol gezinme bölmesinde Risk governance > Cloud security posture management seçeneğini belirleyin. Temel çizgi riski öğelerini görüntülemek ve işlemek için System baseline risks sekmesini kullanın.

    • Günlük analizini etkinleştirin: Sol gezinme bölmesinde Risk governance > Log analysis seçeneğini belirleyin. Etkinleştirdikten sonra güvenlik günlükleri saklanır ve aranabilir hale gelir.

    • Fidye yazılımı karşıtı yedeklemeyi etkinleştirin: Sol gezinme bölmesinde Protection configuration > Anti-ransomware seçeneğini belirleyin. Önemli sunucular için fidye yazılımı karşıtı yedekleme ilkeleri oluşturun ve etkinleştirin.

    • Security AI Assistant'ı etkinleştirin: Genel Bakış sayfasının üst kısmındaki Security AI Assistant bölümünü açarak uyarı için yapay zeka analiz sonuçlarını ve işleme önerilerini alın.

    • Karmaşık bir sunucu parolası ayarlayın: Sunucular ve uygulamalar için büyük harf, küçük harf, rakam ve özel karakterler içeren karmaşık parolalar ayarlayın.

    • Yazılımı yükseltin: Uygulamaları en son resmi sürüme güncelleyin. Desteklenmeyen sürümleri veya bilinen güvenlik açıkları içeren eski sürümleri kullanmaktan kaçının.

    • Düzenli yedekleme: Önemli veriler ve sunucu sistem diskleri için düzenli anlık görüntü ilkeleri oluşturun.

      Not

      Alibaba Cloud ECS sunucuları için işlemi gerçekleştirmek üzere İlke oluşturma konusuna bakın.

    • Açıkları hızla giderin: Sistem yüksek riskli açıklarını ve uygulama açıklarını hızla yamak için Security Center Açık onarımı özelliğini düzenli olarak kullanın.

    • Sunucu işletim sistemini sıfırlayın (dikkatli seçin).

      Virüs sisteme derinlemesine nüfuz ettiyse ve temel sistem bileşenleriyle ilişkiliyse önemli verileri yedekledikten sonra sunucu işletim sistemini sıfırlamanızı kesinlikle öneririz. Yordam:

      1. Sunucudaki önemli verileri yedeklemek için anlık görüntüler oluşturun. Daha fazla bilgi için Tek bir anlık görüntüyü manuel olarak oluşturma konusuna bakın.

      2. Sunucu işletim sistemini başlatın. Daha fazla bilgi için Sistem diskini yeniden başlatma (işletim sistemini sıfırlama) konusuna bakın.

      3. Anlık görüntüyü kullanarak bir cloud disk oluşturun. Daha fazla bilgi için Anlık görüntüden veri diski oluşturma konusuna bakın.

      4. İşletim sistemi yeniden yüklendikten sonra cloud diski sunucuya takın. Daha fazla bilgi için Veri diski takma konusuna bakın.

    SSS

    Uyarı işleme SSS

    • İşlem başarısız olursa veya uyarılar tekrarlanırsa ne yapmalıyım?

      1. İşlem başarısız olur veya temizlik sonrası aynı uyarı yeniden oluşursa, sorun giderme işlemini aşağıdaki sırayla gerçekleştirin:

        Belirti

        Yaygın nedenler

        Çözüm yöntemi

        Karantinaya alma/işlemi sonlandırma işlemi başarısız oldu

        Sunucu aracısı çevrimdışı veya sürümü çok düşük. İşleme komutları iletilemiyor.

        Assets bölümünde istemcinin çevrimiçi olduğunu doğrulayın. Aracı çevrimdışı durumunu giderme konusuna bakın ve bağlantı geri yüklendikten sonra tekrar deneyin.

        Karantinaya alma işlemi başarısız oldu

        Kötü amaçlı işlem hâlâ çalışıyor ve dosyayı kullanıyor veya dosya silinmiş durumda.

        • Önce kötü amaçlı işlemleri sonlandırın (örneğin kill komutunu kullanarak), ardından dosyayı karantinaya alın.

        • Dosya mevcut değilse uyarıyı doğrudan İşlendi olarak işaretleyin.

        Uyarılar tekrarlanıyor (genellikle solucanlar ve madencilik programlarında görülür)

        Yalnızca alt işlemler/virüs dosyaları temizlenmiştir. Ana işlem, zamanlanmış görevler ve başlangıç öğeleri gibi kalıcılık mekanizmaları kaldırılmamıştır.

        Ana işlemi bulmak için uyarı ayrıntılarındaki işlem ağacını kullanın. crontab zamanlanmış görevlerini, başlangıç öğelerini, SSH genel anahtarlarını ve bilinmeyen hesapları kontrol edin ve temizleyin. Madencilik programlarını işleme yönelik en iyi uygulamalar konusuna bakın。

        Uyarılar düzenli aralıklarla tekrarlanıyor (örneğin her hafta belirli bir saatte)

        Zamanlanmış uzaktan indirme görevleri mevcuttur veya aynı ağ segmentindeki diğer ele geçirilmiş ana bilgisayarlar yanal bulaşmalara neden olmaya devam etmektedir.

        Tüm sunuculardaki zamanlanmış görevleri kontrol edin. Aynı VPC içindeki diğer ana bilgisayarlarda virüs taraması gerçekleştirin.

        İşle butonu kullanılamıyor

        Ücretsiz sürüm veya süresi dolmuş yetkilendirme, işleme işlemlerini desteklemez.

        Lütfen daha yüksek koruma sürümü için Security Center satın alın ve Kaynak bağlama yetkilendirmesi yapın。

        Diğer

        • Zayıf parola: SSH/RDP/veritabanı parolaları çok basittir.

        • Açık onarılmadı: Redis, XXL-JOB ve WebLogic gibi uygulamalarda yüksek riskli güvenlik açıkları bulunmaktadır.

        • Arka kapı gizleniyor: İlk temizleme işlemi eksik kaldı ve gizli arka kapılar bırakıldı.

        • Veri kirliliği: Virüs bulaşmış bir yedekleme/anlık görüntü geri yüklendi.

      2. Yukarıdaki adımlardan sonra uyarılar devam ediyorsa, tespit edilmemiş arka kapılar bulunuyor olabilir. Sunucu işletim sistemini sıfırlamadan önce verileri yedeklemenizi öneririz.

        Uyarı

        Bu işlem veri kaybı riski taşır. Önce verileri yedekleyin. Devam etmeden önce etki kapsamını dikkatlice değerlendirin.

        1. Sunucudaki önemli verileri yedeklemek için anlık görüntüler oluşturun. Daha fazla bilgi için bkz. Tek bir anlık görüntüyü manuel olarak oluşturma。

        2. Sunucu işletim sistemini başlatın. Daha fazla bilgi için bkz. Sistem diskini yeniden başlatma (işletim sistemini sıfırlama)。

        3. Anlık görüntüyü kullanarak bir cloud disk oluşturun. Daha fazla bilgi için bkz. Anlık görüntüden veri diski oluşturma。

        4. İşletim sistemi yeniden kurulduktan sonra cloud diski sunucuya takın. Daha fazla bilgi için bkz. Veri diski takma。

    • Bir web uygulaması anormal bir alt işlem uyarısı oluşturursa ne yapmalıyım?

      Bu tür uyarılar genellikle SQL Server'da xp_cmdshell özelliğinin etkinleştirilmesi, sistem komutlarını çağırmak için şüpheli saklı yordam çağrıları yapılması veya web istismarlarının tetiklenmesi durumunda ortaya çıkar. Anormal dosyaları (örneğin C:\Users\Public\tmp_out.txt) bulmak için uyarı ayrıntılarındaki komut satırını ve ana işlemi kontrol edin; ardından yüksek riskli veritabanı özelliklerini devre dışı bırakın ve anormal alt işlemleri tetiklemeye devam edebilecek öğeleri kaldırmak için zamanlanmış görevleri ve otomatik başlatma öğelerini kontrol edin.

    • Hassas komut yürütme (örneğin cat /etc/ssh/sshd_config) uyarısı?

      cat /etc/ssh/sshd_config komutu SSH yapılandırma bilgilerini görüntülemek için kullanılır ve katı modda uyarıları tetikleyebilir. Bunun beklenen bir bakım işlemi olup olmadığını doğrulayın. Değilse, bunu bir güvenlik riski olarak değerlendirin ve ilgili işlemleri ile işlem kaynaklarını araştırın.

    • Şüpheli harici oturum açma taraması/saldırısı uyarısı alınırsa ne yapmalıyım?

      Bu uyarı, sunucunun ele geçirilmiş olabileceğini ve harici saldırılar için kullanıldığını gösterir. Kötü amaçlı işlemleri sonlandırın, ilgili dosyaları karantinaya alın, tam disk virüs taraması gerçekleştirin, sızma yolunu araştırmak için sistem günlüklerini kontrol edin ve güvenlik grubu kurallarını ile parola politikalarını güçlendirin.

    • Cloud host security protection hizmetinin devre dışı bırakıldığına dair bir uyarı alınırsa ne yapmalıyım?

      Bu uyarı, saldırganların AliSecCheck gibi koruma işlemlerini devre dışı bırakmaya çalıştığını gösterebilir. Virüs taraması gerçekleştirin, bulaşmış dosyaları karantinaya alın ve anormal işlemleri sonlandırın. Ardından sunucudaki sızma izlerini ve kalıcılık mekanizmalarını araştırın.

    • Virüs dosyaları (truva atları, madencilik programları) silinemiyor?

      Dosyanın ve üst dizinin gizli öznitelikleri vardır. Silmeden önce dosya ve üst dizinden değişmez özniteliği kaldırmak için chattr -i komutunu kullanın.

    • Sunucuda DDoS truva atı uyarısı var ve dosya manuel olarak silindi ancak uyarı devam ediyor?

      Dosyalar tamamen silinmemiştir. Çözüm:

      1. Security Center ücretsiz sürümündeyken Enterprise veya Ultimate Edition'ın gün ücretsiz deneme sürümünü etkinleştirebilirsiniz. Alternatif olarak Security Center satın alma konusuna bakarak Security Center'ı Anti-Virus Edition veya Enterprise Edition'a yükseltin.

      2. Etkinleştirmeden sonra uyarı işleme sayfasına gidin, DDoS truva atını bulun, İşle'yi tıklayın ve Virüs Taraması'nı seçin. Sistem truva atı işlemini sonlandırır ve dosyayı karantinaya alır. Daha fazla bilgi için bkz. Virüs Algılama ve Kaldırma。

    • Hassas savunma uyarılarını nasıl beyaz listeye alırım?

      Hassas savunma tarafından oluşturulan uyarılar savunma eklentilerine dayanır. Bu tür uyarılar oluşturulduktan sonra engelleme otomatik olarak uygulanır. Ana Bilgisayar Kural Yönetimi'nde manuel olarak beyaz listeye alın. Yöntem:

      1. Security Center konsolu - Koruma Ayarları - Ana Bilgisayar Koruması - Ana Bilgisayar Kural Yönetimi adresine erişin. Sayfanın sol üst köşesinde kaynaklarınızın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.

      2. Malicious Behavior Defense sekmesindeki Custom Defense Rule alt sekmesinde Create Rule seçeneğine tıklayın. Desteklenen beyaz liste türleri:

        • İşlem hash değeri

        • Komut satırı

        • İşlem Ağı

        • Ağ engelleme (kaynak IP/alan adı)

          Kaynak IP adresleri veya alan adları için kara liste ya da beyaz liste kuralları yapılandırabilirsiniz. Bir güvenlik uyarısı ters kabuk veya kalıcı kötü amaçlı giden bağlantıyı gösterdiğinde, özel ağ engelleme kuralları oluşturarak belirli saldırı kaynaklı IP'leri engelleyebilirsiniz. Müşteri hizmetleri veya güvenlik ekipleri tarafından sağlanan kötü amaçlı IP'ler veya alan adları da engelleme amacıyla kara listeye eklenebilir.

          Örneğin, bir ters kabuk uyarısını veya kalıcı kötü amaçlı giden bağlantı uyarısını işledikten sonra, saldırgan kaynak IP'si doğrulandıysa ve kötü amaçlı işlem sonlandırıldıysa, aşağıdaki adımları gerçekleştirerek IP'yi engelleyebilirsiniz:

          1. Malicious Behavior Defense sayfasında Custom Defense Rule sekmesine tıklayın ve ardından Create Rule seçeneğine tıklayın.

          2. Kural türü olarak Network Interception seçeneğini belirleyin, doğrulanan saldırgan kaynak IP'sini veya kötü amaçlı alan adını kara listeye ekleyin, eylemi Block olarak ayarlayın ve ardından kuralın geçerli olacağı sunucuları seçin.

          Koruma için güvenlik grubu kurallarını da yapılandırmanızı öneririz: ECS konsolunda hedef örnek için bir güvenlik grubu reddetme kuralı oluşturun ve kötü trafiği hemen engellemek amacıyla doğrulanan kötü amaçlı IP'yi hem giden hem de gelen reddetme listelerine ekleyin. Daha fazla bilgi için ECS belgelerindeki güvenlik grubu kuralı yapılandırma dokümantasyonuna bakın.

        • Dosya Okuma/Yazma

        • Kayıt Defteri İşlemi

        • Dinamik Bağlantı Kitaplığı Yükleme

        • Dosya Yeniden Adlandırma

    • Uyarı işleme için yalnızca Beyaz Liste ve Yoksay seçenekleri varsa ne yapmalıyım?

      Bazı uyarılarda İşlemi Sonlandır veya Virüs Taraması seçenekleri olmadan yalnızca Beyaz Liste ve Yoksay seçenekleri bulunabilir. Bu durum genellikle işlemin artık çalışmadığı veya dosyanın silindiği anlamına gelir. Öneriler:

      • Tehdidin kaldırıldığını doğruladıysanız (işlem sonlandırıldı, dosyalar silindi), uyarıyı kapatmak için Yoksay veya Manuel Olarak İşlendi seçeneğini belirleyebilirsiniz.

      • İşlemi hâlâ sonlandırmak istiyorsanız önce İşlemi Sonlandır'ı seçin ve ardından işleme seçeneklerini görüntülemek için sayfayı yenileyin.

      • İnatçı virüsler veya tekrarlayan uyarılar için yukarıdaki Güvenliği sıkılaştırma ve saldırı önleme bölümündeki adımları izleyerek kapsamlı bir şekilde işlem yapın.

    • Webshell uyarısı otomatik sistem işlemlerine mi aittir?

      Webshell saldırıları genellikle harici sızma davranışlarıdır. Saldırganlar güvenlik açıklarından yararlanarak webshell yükler veya kod yürütme açıkları üzerinden arka kapılar yerleştirir. Bu durum otomatik bir sistem işlemi değildir. Bir sızma olayı olarak ele alın: Uyarı ayrıntıları ve yerel sunucu günlüklerini birleştirerek sızma giriş noktasını araştırın. Kötü amaçlı dosyaları ve anormal işlemleri kaldırın ve güvenlik açığı onarımı, erişim kontrolü ile hesap güvenliğinin sıkılaştırılması işlemlerini tamamlayın.

    • Sunucuda şüpheli kötü amaçlı davranış bildirimi (büyük ölçekli SSH bağlantı noktası taraması veya harici saldırılar) alırsam ne yapmalıyım?

      • Sunucu kapatıldı: Sunucu artık kullanılmıyorsa bu bildirimi öncelikle yok sayabilirsiniz.

      • Kullanmaya devam et: Virüsü tamamen kaldırmak için işletim sistemini yeniden yükleyin. ECS konsolunda örneği bulun ve Tüm İşlemler > Diski Başlat (durdurulmuş olmalıdır) seçeneğini belirleyin. Yeniden yüklemeden sonra güvenliği sıkılaştırın: Güçlü bir parola yapılandırın, uzak oturum açma için yalnızca belirtilen IP'lere izin verecek şekilde güvenlik grubu kurallarını kısıtlayın ve yalnızca gerekli iş bağlantı noktalarını açın.

      • Engelleme hakkında: Yeniden yüklemeden sonra harici saldırı tespit edilmezse platform yasaklamaları genellikle tetiklenmez. Temiz bir virüs taramasından sonra erişim sorunları devam ediyorsa güvenlik grubu yapılandırmaları ve sunucu güvenlik duvarı gibi diğer nedenleri kontrol edin.

    • Neden uyarı ayrıntılarında SSH bağlantı noktası 22 olarak görüntüleniyor?

      sshd_config dosyasında Port alanı açıkça yapılandırılmamışsa, Security Center SSH'i varsayılan olarak 22 numaralı bağlantı noktası olarak tanımlar. Gerçek bağlantı noktası değiştirilmiş olsa bile uyarı ayrıntıları hâlâ 22 numaralı bağlantı noktasını gösterebilir. Sunucunun gerçek SSH yapılandırmasını kontrol edin.

    • Düzeltme yaptıktan sonra başarılı SSH kaba kuvvet saldırısı uyarıları almaya devam edersem ne yapmalıyım?

      Standart olmayan bağlantı noktasının (örneğin 5522) doğru şekilde yapılandırılıp yapılandırılmadığını ve fiilen kullanılıp kullanılmadığını kontrol edin. Yapılandırma kontrolünden sonra uyarı devam ederse gerekli verileri yedekleyin ve örneği sıfırlayın.

    • Virüs/kötü amaçlı dosyalar silindikten sonra neden uyarılar devam ediyor?

      Security Center geçmiş tehdit kayıtlarını yaklaşık bir yıl boyunca saklar. Virüs dosyaları silinse bile yoksayma veya beyaz listeye alma gibi bir işleme işlemi gerçekleştirilmezse sistem geçmiş kayıtlara dayalı olarak bildirim göndermeye devam eder. Öneriler:

      • Tehdidin kaldırıldığını doğruladıktan sonra uyarı listesindeki ilgili uyarılar için Yoksay veya Manuel Olarak İşlendi işlemini gerçekleştirin.

      • Uyarı zamanı güvenlik işleminden önceyse, güvenliği doğruladıktan sonra uyarıyı yok sayabilirsiniz.

    • Genel IP değiştirdikten sonra eski IP için alışılmadık oturum açma uyarıları almaya devam edersem ne yapmalıyım?

      IP değişikliğinden sonraki eski IP uyarıları genellikle Security Center tarafından geçmiş oturum açma davranışlarına göre tetiklenir. Öneriler:

      • Uyarı zamanı IP değişikliğinden önceyse uyarıyı yok sayabilirsiniz.

      • Security Center'ın geçerli geçerli IP adreslerini kaydettiğinden emin olmak için asset center'daki en güncel kaynak bilgilerini eşitleyin.

    • Uyarı ayrıntılarında belirli zayıf parola kullanıcılarını ve parolalarını bulamıyorum?

      Uyarılar sayfasındaki Eylemler sütununda Ayrıntılar'a tıklayarak zayıf parola kullanıcılarını ve kimlik bilgilerini görüntüleyin. Ayrıntılar gösterilmiyorsa uyarı geçmiş veya süresi dolmuş olabilir. İlgili hesap parolalarını büyük harf, küçük harf, rakam ve özel karakter içeren karmaşık parolalarla değiştirin.

    • Alibaba Cloud mühendislerine virüsleri araştırma ve işleme yetkisini nasıl veririm?

      • Destek talebinde yetkilendirme bilgilerini doldurun, sunucu parolasını sağlayın ve Alibaba Cloud mühendislerine uzaktan yerinde inceleme için yetki verin.

      • Ön koşullar: Yüksek riskli işlemler için mühendislere yerinde işlem yetkisi vermeden önce anlık görüntü yedeklemesi oluşturun. Anlık görüntü içermeyen işlemlere izin verilmez. Mühendisler sizin için anlık görüntü oluşturamaz. Önce anlık görüntü yedeklemesini tamamlayın.

      • Sunucu parolasını bilmiyorsanız ECS konsolunda örnek parolasını sıfırlayabilirsiniz.

    • Neden İşle butonu gri renkte veya yanıt vermiyor?

      Yaygın nedenler:

      1. Şu anda ücretsiz sürüm kullanılıyor veya koruma yetkilendirmesi satın alınmamış: Ücretsiz sürüm yalnızca bazı uyarıları görüntülemeyi destekler ve işleme işlemlerini (karantinaya alma, engelleme, beyaz listeye alma vb.) desteklemez. Önce Security Center satın alın Anti-Virus Edition veya üzeri bir sürüm seçin ve etkilenen sunucunun yetkilendirmeye bağlı olduğundan emin olun.

      2. Örnek süresi doldu: Abonelik tabanlı bir örneğin süresi dolduktan sonra işleme özelliği geçersiz hale gelir. Yenileyin ve tekrar deneyin.

      3. Yetersiz RAM kullanıcı izinleri: AliyunYundunSASFullAccess izni gereklidir. Salt okunur izin (ReadOnlyAccess) işleme işlemlerini gerçekleştiremez.

      4. Uyarıyla ilgili sunucu aracısı çevrimdışı: İşleme komutları iletilemiyor. Önce Aracı çevrimdışı durumunu giderme konusuna bakarak istemci çevrimiçi durumunu geri yükleyin.

    Konsol özellik sorunları

    • Uyarıda dosyanın mevcut olmadığı gösteriliyorsa ne yapmalıyım?

      Bu durum virüsün başka yöntemlerle kaldırılmış veya kendiliğinden temizlenmiş olmasından kaynaklanabilir. Bu uyarıyı temizlemek için uyarı listesinde Yoksay veya Manuel Olarak İşlendi seçeneğine tıklayın.

    • Güvenlik uyarısı aldım ancak konsolda ilgili veri yok?

      • Security Center uyarı verileri bölge bazında görüntülenir. Uyarılar sayfasının sol üst köşesinde Chinese Mainland ve Outside Chinese Mainland bölgeleri arasında geçiş yapabilirsiniz. Bir uyarı bildirimi alırsanız ancak uyarı sayfada görüntülenmiyorsa üstteki bölge seçicisini kullanarak başka bir bölgeye geçin.

      • Security Center sürümünüzü kontrol edin: Ücretsiz sürüm sınırlı özelliklere sahiptir. Security Center satın almanız önerilir. Security Center'ı Anti-Virus Edition veya Enterprise Edition'a yükseltin.

      • Bazı uyarılar Alibaba Cloud trafik izleme, güvenlik istihbarat analizi veya diğer Alibaba Cloud güvenlik ürünlerinden gelebilir. Bu uyarılar Security Center CWPP konsolunda görünmeyebilir.

    • Birden fazla uyarıyı toplu olarak nasıl işlerim?

      Security Center şu anda güvenlik uyarılarını işlemek için toplu beyaz listeye alma, yoksayma, beyaz listeden kaldırma ve yoksaymayı iptal etme işlemlerini destekler.

      1. Security Center konsolunda oturum açın. Sol gezinme bölmesinde Detection and Response > Alert yolunu izleyerek Uyarılar sayfasına gidin ve toplu olarak işlem yapmak istediğiniz uyarıları seçin.

      2. Sol alt köşedeki Ignore This Time、Add to Whitelist、Remove from Whitelist、Cancel Ignore düğmesine tıklayın.

    • Neden güvenlik uyarısı işleme butonu gri renkte?