云安全中心：智能行为分析

什么是智能行为分析

主机智能行为分析通过 AI 模型学习服务器上的正常进程行为，构建进程白名单。当服务器执行白名单以外的进程时，系统根据当前运行模式触发预警或管控，发现并处置潜在安全威胁。

• 异常进程检测：服务器被植入恶意程序或挖矿木马时，异常进程行为会触发系统告警或自动拦截。

• 合规审计：记录服务器上所有进程行为，满足安全合规审计要求。

• 零信任防护：默认仅允许白名单内的进程运行，从根源上阻止未知程序执行。

工作原理

适用范围

• 服务器已安装客户端。

• 服务器操作系统及内核版本符合AliHips 支持要求，AliHips 进程运行正常。

开通智能主机检测与响应（Agentic EDR）

使用智能行为分析功能，需要先购买并开通智能主机检测与响应。

服务器绑定授权

需要为服务器绑定 EDR 席位授权后，才能使用智能行为分析进行学习和防护。

1. 访问云安全中心控制台-总览页面。

2. 进入授权页面：根据购买的服务模式，授权入口不同。

   • 包年包月/混合计费：在包年包月服务区域，单击智能主机检测与响应右侧的管理。

   • 按量付费：在按量按量付费服务区域，单击智能主机检测与响应右侧的授权管理。

3. 在授权管理弹窗内，选择选择服务器所在区域（中国内地或非中国内地）后，定位至目标服务器。

4. 在目标服务器的Agentic EDR 席位列，打开开关。

   重要

   如需为新增的服务器自动绑定 EDR 席位，可在新增主机自动绑定区域，勾选新增主机自动启用Agentic EDR。

创建分析策略

开启主机智能行为分析前，需要先创建防护策略，定义学习时长、白名单模式和生效主机范围。

1. 访问云安全中心控制台-防护设置-主机防护-智能行为分析，在页面左侧顶部，选择需防护资产所在的区域：中国内地或非中国内地。

2. 在智能行为分析页面，单击右上角的智能行为分析设置。

3. 在弹出的智能行为分析设置对话框中，单击新增策略。

4. 在新增策略页面，配置以下参数：

   参数	说明
   策略名称	自定义策略名称，便于后续识别和管理。
   学习时长	模型初次建立后的学习天数。学习期间，系统记录所有进程行为。 说明 建议至少 7 天，确保覆盖业务的完整运行周期。 如果服务器业务周期性较强（如每周执行一次定时任务），建议 14 天以上。
   自动结束	若连续 N 天无新增行为，智能分析模型将自动结束学习并进入防护阶段（默认预警模式）。
   白名单模式	白名单匹配方式。 进程路径（默认）：进程路径按文件路径匹配。 进程Hash：按文件哈希值（MD5）匹配。
   服务器选择	策略生效的服务器范围。支持选择全部资产或按资产分组选择。可按服务器名称、公网 IP 或私网 IP 搜索。

5. 单击确定完成策略创建。

6. 返回智能行为分析页面，在服务器列表中确认对应服务器的状态显示为"学习中"。

管理进程白名单

学习阶段完成后，系统生成进程行为白名单。支持查看、新增或删除白名单中的进程路径。

切换防护模式

学习阶段完成后，服务器的默认防护模式为预警，支持切换防护模式。

1. 在服务器列表中，单击目标服务器操作列的切换模式。

2. 在切换模式对话框中，选择预警或管控模式。

3. 单击确定完成切换。

查看和处理告警

若服务器存在不在进程白名单中的进程，系统会产生安全告警。可在云安全中心的告警功能中查看和处理。

1. 在左侧导航栏，选择检测响应 > 告警。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

   说明

   如果已开通 Agentic SOC 服务，左侧导航栏入口将变更为Agentic SOC > 告警。

2. 在云工作负载保护平台(CWPP)页签，单击主机异常行为告警下的数字，进入告警列表。

   告警状态说明如下：

   • 预警模式：告警状态为待处理，需人工介入判断。

   • 管控模式：系统已自动拦截该进程，告警状态为已拦截。

3. 针对每条告警，支持以下两种处理方式：

   对比维度	忽略	加入业务模型
   当前告警状态	变为"已忽略"。	无变化。
   是否再次告警	仍会产生告警：下次相同进程运行时，系统会再次生成告警信息。	不再产生告警：下次相同进程运行时，直接放行。
   白名单变更	无变化。	将该进程添加至进程白名单中。
   适用场景	临时性任务、需持续监控的疑似行为。	确认为正常业务进程、希望减少重复告警。

重新学习进程行为

当服务器的业务进程发生变更时，需要重新学习进程行为并生成新的白名单，避免进程误拦截或无效告警。系统提供以下两种方式：

1. 在智能行为分析页面的服务器列表中，单击目标服务器操作列的重新学习或增量学习。

2. 操作完毕后，运行状态将变为学习中。

   重要

   学习中期间，管控和预警均不生效。

计费说明

• 包年包月：

  • 计费方式：按购买的席位授权数量计费。绑定 1 台主机消耗 1 个席位授权。

  • 计费规则：6.876066美元/个/月。

• 按量付费：

  • 计费方式：按席位数 × 使用时长计费。绑定 1 台主机消耗 1 个席位授权，无策略配置的主机自动停计费。

  • 计费周期：按小时计费，按自然日结算。

  • 价格：0.014325美元/个/小时。

• 混合计费：

  • 计费方式：按购买的席位授权数量计费。绑定 1 台主机消耗 1 个席位授权。

  • 计费规则：开通了弹性防护后，当实际绑定的席位超过已购包年包月普通席位时，超出部分将按照弹性防护席位进行计费。

    重要

    包年包月服务到期后，弹性防护也自动关闭，弹性防护席位也自动停止计费。

    • Agentic EDR 普通席位：6.876066美元/个/月。

    • Agentic EDR 弹性防护席位：0.014325美元/个/小时。

关闭和退订服务

如果不再需要 EDR 服务，可根据计费模式参考以下指引操作。

• 关闭整个服务：

  • 包年包月：访问或退订管理页面，自助申请退订，选择 EDR 对应的订单。具体操作请参见退款说明。

  • 按量付费：在云安全中心控制台-总览页面的按量付费服务区域，关闭智能主机检测与响应即可。

• 关闭弹性防护：

  • 方式一：在云安全中心控制台-总览页面的包年包月服务区域，关闭弹性防护开关即可。

  • 方式二：退订包年包月服务后，弹性防护也自动关闭。

数据清理

关闭服务，退订Agentic EDR实例、或账户欠费后，智能行为分析立即停止服务，数据保留情况如下：

常见问题

• 云安全中心实例到期后，会影响Agentic EDR吗？

  不会影响。原因如下：

  • 独立计费：Agentic EDR 是独立的计费模块，与云安全中心实例分开计费。

  • 功能持续可用：只要Agentic EDR实例仍在有效期内，即使云安全中心实例已到期，仍可正常使用学习、服务器绑定等功能。

• 为什么我看不到弹性防护开关？

  弹性防护现在处于邀测阶段，请联系商务经理开通后，即可查看使用。

• 学习完成后，为什么白名单为空？

  白名单为空可能表示学习期间服务器上没有进程活动。请确认以下信息，确认无误后单击重新学习。

  • 服务器是否正常运行，云安全中心客户端是否在线。

  • AliHips 进程运行正常。若不正常，请确认服务器操作系统及内核版本是否符合AliHips 支持要求。

  • 学习期间服务器是否有实际的业务流量。

• 管控模式下如何避免误杀正常业务进程？

  • 切换到管控模式前，确保学习时长足够，白名单覆盖所有正常业务进程。

  • 先在预警模式下运行一段时间，观察是否有正常业务被误报。

  • 发生误拦截时，在白名单中新增对应进程路径，然后进行重新学习或增量学习。

• 增量学习和重新学习有什么区别？

  • 增量学习：保留已有白名单，仅学习新增的进程行为。适合业务小幅调整、新增少量进程的场景，风险较低，已有白名单不受影响。

  • 重新学习：清空所有已有数据，从零开始学习。适合业务发生重大变更、原有模型不再适用的场景，风险较高。