エージェントレス検出機能は、エージェントレス技術を使用して Elastic Compute Service (ECS) インスタンスのセキュリティリスクを検出します。セキュリティセンター エージェントをインストールする必要はありません。この機能は、シャットダウン、アイドル、または高負荷状態の ECS インスタンスの脆弱性、ベースライン リスク、および悪意のあるサンプルを検出するための非侵入型セキュリティ チェックをサポートしています。この機能は、ECS インスタンスのパフォーマンスに影響を与えません。このトピックでは、エージェントレス検出機能の使用方法について説明します。
シナリオ
セキュリティセンター エージェントがインストールされていない ECS インスタンスのシステム ディスクとデータ ディスクで包括的なセキュリティ チェックを実行できます。
課金
エージェントレス検出機能は従量課金モデルを採用しており、セキュリティセンターがスキャンしたイメージ データの量に基づいて 1 GB あたり 0.03 USD のレートで課金され、毎日請求されます。
ECS インスタンスの検出タスクを作成すると、システムによって ECS インスタンスのイメージが作成されます。イメージのサイズと保存期間に基づいてイメージの料金が請求され、料金は ECS の請求書に含まれます。詳細については、「イメージの課金」をご参照ください。
制限
項目 | 説明 |
アセット タイプ | エージェントレス検出機能は、Alibaba Cloud ECS インスタンス、ディスク スナップショット、およびイメージをサポートしています。 |
リージョン | エージェントレス検出機能は、中国 (杭州)、中国 (上海)、中国 (青島)、中国 (北京)、中国 (深圳)、中国 (張家口)、中国 (成都)、中国 (香港)、シンガポール、米国 (バージニア) の各リージョンでサポートされています。 |
オペレーティングシステム | エージェントレス検出機能は、さまざまなオペレーティングシステムのさまざまなチェック項目をサポートしています。
|
暗号化ディスク | エージェントレス検出機能は、暗号化されたシステム ディスクまたはデータ ディスクをチェックできません。 |
ディスク |
|
ファイルシステム |
|
検出タスク |
|
リスク処理 | エージェントレス検出機能は、脆弱性、ベースライン リスク、悪意のあるファイル、および機密ファイルを検出できますが、修正することはできません。リスクが検出された場合は、リスク詳細ページに記載されている情報に基づいて、リスクを手動で処理する必要があります。 |
チェック結果の保持期間 |
|
手順
以下のセクションでは、サービスの有効化、検出タスクの作成、タスクの進捗状況の監視、および検出結果の確認について説明します。次の手順に従って、エージェントレス検出機能を使用します。
手順 1: 従量課金方式でエージェントレス検出機能を購入し、承認を完了する
セキュリティセンター コンソールにログインします。上部のナビゲーション バーで、管理するアセットのリージョンを選択します。中国 または 全世界 (中国を除く) を選択できます。
左側のナビゲーション ウィンドウで、 を選択します。
エージェントレス検出 ページで、今すぐ有効にする をクリックします。
表示されるダイアログ ボックスで、[セキュリティセンター (従量課金) サービス規約を読み、同意しました。] を読んで選択します。次に、今すぐ有効にする をクリックします。
AliyunServiceRoleForSas サービスロールが作成されていない場合は、今すぐ権限付与 をクリックし、プロンプトに従って承認を完了します。
承認が完了すると、セキュリティセンターは自動的に AliyunServiceRoleForSas サービスロールを作成します。AliyunServiceRoleForSas サービスロールの詳細については、「セキュリティセンターのサービスロール」をご参照ください。
手順 2: 検出タスクを作成する
この手順には通常、即時検出タスクの作成、定期検出タスクの作成、および自動的に作成されたイメージの 3 つの部分が含まれます。ECS インスタンスの検出タスクを作成すると、システムによって ECS インスタンスの イメージが作成されます。次に、システムは イメージ内のデータをスキャンして、ECS インスタンスに脆弱性、アラート、ベースライン リスク、機密ファイルなどのリスクが存在するかどうかをチェックします。
即時検出タスクを作成する
[ECS インスタンスの検出タスク] を作成すると、セキュリティセンターは自動的に ECS インスタンスの イメージを作成し、イメージをスキャンします。タスクの完了に必要な時間は、スキャンする必要があるデータ量に応じて増加します。
サーバー チェック
エージェントレス検出 ページで、[サーバー チェック] タブをクリックし、次に 検出タスクを作成する をクリックします。
検出タスクを作成する パネルで、スキャンするサーバーを選択し、次へ をクリックします。
[スキャン範囲]、および イメージ保存時間 パラメーターを構成します。イメージ保存時間パラメーターの有効な値: 1 ～ 365。単位: 日。次へ をクリックします。
説明[スキャン範囲] パラメーターをデータ ディスクに設定することをお勧めします。完全なデータ ソースは、脆弱性やアラートの検出など、検出のパフォーマンスを向上させます。
作成された イメージに対して課金されます。イメージの保持期間が長いほど、料金が高くなります。ビジネス要件に基づいて、[リスクのあるスナップショットまたはイメージのみを保持] を選択できます。[リスクのあるスナップショットまたはイメージのみを保持] を選択すると、タスクによって作成された イメージは、リスクが検出されなかった場合にすぐに解放され、リスクのある イメージのみが保持されます。これにより、ストレージ コストが削減されます。
タスクリストに移動する をクリックして、タスクの進捗状況を表示します。
カスタム イメージ チェック
エージェントレス検出 ページで、[カスタム イメージ チェック] タブをクリックし、次に 検出タスクを作成する をクリックします。
[カスタム イメージ チェック - 検出タスクの作成] パネルで、スキャンするイメージを選択し、[OK] をクリックします。
定期検出タスクを作成する
エージェントレス検出 ページの右上隅にある [スキャン構成] をクリックします。
[スキャン構成] パネルで、[セキュリティ チェック範囲] と [自動検出ポリシー] を設定します。
[セキュリティ チェック範囲] タブで、[ベースライン チェック範囲]、[脆弱性検出範囲]、および [機密ファイル チェック範囲] を構成します。
[自動検出ポリシー] タブで、検出ポリシーを設定します。
[ホストの確認] をクリックし、スキャン オブジェクト、サイクル、アセット、範囲、および イメージの保持期間を構成します。[リスクのあるスナップショットまたはイメージのみを保持する] を必要に応じて選択します。
[カスタム イメージ チェック] をクリックし、[増分チェック] を有効にします。この設定により、チェックされていないカスタム イメージの増分自動チェックが可能になります。
説明増分チェックでは、[actiontrail のデータ配信] が有効になっている必要があります。[機能設定] ページで、[設定] タブの下の [その他の設定] をクリックし、[actiontrail のデータ配信] を有効にします。詳細については、「機能設定」をご参照ください。
[保存] をクリックします。
自動的に作成された イメージ
ECS インスタンスの検出タスクを作成するたびに、システムによって ECS インスタンスの イメージが自動的に作成されます。イメージ名は SAS_Agentless_ で始まります。イメージが作成されると、イメージは、ID が 182*********0517 または 160*********0463 のセキュリティセンター サービスアカウントと自動的に共有されます。このようにして、セキュリティセンターは ECS インスタンスのデータに対してセキュリティ スキャンを実行できます。
共有プロセスでは料金は発生しません。セキュリティセンターは、共有された イメージのみをセキュリティ スキャンに使用します。イメージが削除または自動的に解放されると、共有もキャンセルされます。
手順 3: 検出タスクの進捗状況を表示する
作成した検出タスクの結果を表示するには、タスクが完了していることを確認する必要があります。検出タスクの進捗状況を表示して、タスクが完了しているかどうかを確認できます。
サーバー チェック
エージェントレス検出 ページの右上隅にある タスク管理 をクリックします。
タスク管理 パネルで、[サーバー チェック] タブをクリックして、タスクの進捗状況とステータスを表示します。
詳細を表示するタスクを見つけ、操作する 列の 詳細 をクリックします。[タスクの詳細] パネルで、手順 2 で指定した ECS インスタンスの名前が表示されているかどうかを確認し、ECS インスタンスのタスクのステータスを表示します。
カスタム イメージ チェック
エージェントレス検出 ページの右上隅にある タスク管理 をクリックします。
タスク管理 パネルで、[カスタム イメージ チェック] タブをクリックして、タスクの進捗状況とステータスを表示します。
詳細を表示するタスクを見つけ、操作する 列の 詳細 をクリックします。[タスクの詳細] パネルで、手順 2 で指定した ECS インスタンスの名前が表示されているかどうかを確認し、ECS インスタンスのタスクのステータスを表示します。
タスクが失敗した場合は、[タスクの詳細] パネルで失敗の原因を表示し、次の表に基づいて問題を解決できます。[サーバー チェック] タブで作成された検出タスクを例として使用します。
原因 | 解決策 |
現在のリージョンはサポートされていません | なし。エージェントレス検出機能がサポートされているリージョンを表示します。詳細については、「制限」をご参照ください。このエラーは、API 操作を呼び出して検出タスクを作成した場合にのみ返されます。 |
ディスク接続に失敗しました | 操作する 列の [再試行] をクリックして、ディスクに再接続します。 |
イメージの作成に失敗しました | 既存のイメージ数が上限を超えているかどうかを確認します。上限を超えている場合は、過去のイメージをいくつか削除するか、上限を引き上げることもできます。詳細については、「リソースクォータの表示と引き上げ」をご参照ください。 |
タスク処理がタイムアウトしました | なし。検出タスクを再作成します。 |
手順 4: 検出結果を表示する
エージェントレス検出 ページには、ECS インスタンスで検出されたすべてのリスクが表示されます。ECS インスタンスが複数回チェックされた場合、最新のチェックの結果のみが表示されます。
リスクの詳細を表示する
サーバー チェック
エージェントレス検出 ページで、[サーバー チェック] タブをクリックし、次に 脆弱性、ベースライン検査、Malicious Sample、または 機密ファイル タブをクリックします。詳細を表示するリスクを見つけ、[アクション] 列の [表示] または [詳細] をクリックします。
カスタム イメージ チェック
エージェントレス検出 ページで、[カスタム イメージ チェック] タブをクリックし、次に 脆弱性、[悪意のあるサンプル]、ベースライン検査、または 機密ファイル タブをクリックします。詳細を表示するリスクを見つけ、[アクション] 列の [表示] または [詳細] をクリックします。
セキュリティセンターが提供するリスクの説明に基づいて、リスクに対処します。
検出結果をダウンロードする
タスクまたは ECS インスタンスごとに検出結果のレポートをダウンロードできます。
エージェントレス検出 ページの右上隅にある タスク管理 をクリックします。
タスクの検出結果のレポートをダウンロードする: タスク管理 パネルで、[サーバー チェック] または [カスタム イメージ チェック] タブをクリックし、必要なタスクを見つけます。
[アクション] 列の レポートのダウンロード をクリックします。
ECS インスタンスの検出結果のレポートをダウンロードする: タスク管理 パネルで、[サーバー チェック] または [カスタム イメージ チェック] タブをクリックし、必要なタスクを見つけて、[アクション] 列の 詳細 をクリックします。
タスク詳細 パネルの [アクション] 列にある レポートのダウンロード をクリックします。
手順 5: (オプション) ホワイトリストを構成する
脆弱性ホワイトリストを構成する
脆弱性が許可されている、または低リスクを引き起こす可能性があると確認した場合は、脆弱性ホワイトリストを構成して脆弱性を無視できます。次の検出タスクで脆弱性に対して作成されたホワイトリスト ルールの有効範囲内にあるアセットで脆弱性が検出された場合、セキュリティセンターは [脆弱性] タブに脆弱性を表示しません。ホワイトリスト設定を構成した後、次の検出タスクが実行されるまで、脆弱性は [脆弱性] タブに残ります。
脆弱性をホワイトリストに直接追加する
エージェントレス検出 ページで、[サーバー チェック] タブをクリックし、次に 脆弱性 タブをクリックします。ホワイトリストに追加する脆弱性を見つけて、操作する 列の ホワイトリストを追加する をクリックします。ホワイトリストを追加する ダイアログ ボックスで、説明を入力し、OK をクリックします。
セキュリティセンターは、 タブにホワイトリスト ルールを自動的に作成します。
ホワイトリスト ルールを作成する
エージェントレス検出 ページの右上隅にある [スキャン構成] をクリックします。[スキャン構成] パネルの 脆弱性ホワイトリスト タブで、ルールを新しく追加する をクリックします。[脆弱性ホワイトリスト ルールの作成] パネルで、[脆弱性タイプ]、[脆弱性名]、および [備考] パラメーターを構成し、[保存] をクリックします。
脆弱性ホワイトリストはすべてのアセットに有効です。
悪意のあるサンプルのホワイトリストを構成する
悪意のあるサンプルで識別されたファイルが誤検知であることを確認した場合は、アラート ホワイトリストに追加できます。セキュリティセンターは、ホワイトリストに登録されたアセットでこれらのファイルを検出すると、アラートを生成しません。
アラートをホワイトリストに追加する
エージェントレス検出 ページに移動し、[サーバー チェック] タブを見つけて、[悪意のあるサンプル] タブをクリックします。関連するアラートの 操作する 列の [処理] をクリックし、[ホワイトリストに追加] を選択して、OK をクリックします。
ホワイトリスト ルールを追加する
ホワイトリスト ルールを追加するには、エージェントレス検出 ページに移動し、[スキャン構成] をクリックします。[スキャン構成] パネルの [ホワイトリストの管理] タブの [悪意のあるサンプル] タブで、ルールを新しく追加する をクリックし、指示に従って構成を完了し、[保存] をクリックします。
項目
説明
[アラート名
デフォルト値は [すべて] で、ホワイトリスト ルールがすべてのタイプのアラートに有効であることを示します。この値は変更できません。
ホワイトフィールドを追加する
デフォルト値は [fileMd5] で、ファイルの MD5 ハッシュ値がホワイトリストに登録されていることを示します。この値は変更できません。
ワイルドカード
[等しい] のみを選択できます。
ルールの内容
ファイルの MD5 ハッシュ値を入力します。
悪意のあるサンプルのホワイトリストはすべてのアセットに適用されます。ホワイトリストからの削除、オフライン処理、無視、誤検知としてマークするなど、複数の処理オプションを使用できます。
ベースライン ホワイトリストを構成する
特定のベースライン チェック項目を使用して検出されたリスクのレベルが低いことを確認した場合は、ベースライン ホワイトリストを構成してベースライン チェック項目を無視できます。次の検出タスクで、ベースライン チェック項目に対して作成されたホワイトリスト ルールの有効範囲内にあるアセットで、ベースライン チェック項目を使用してベースライン リスクが検出された場合、セキュリティセンターは [ベースライン チェック] タブにベースライン チェック項目を表示しません。ホワイトリスト設定を構成した後、次の検出タスクが実行されるまで、ベースライン チェック項目は [ベースライン チェック] タブに残ります。
ベースライン チェック項目をホワイトリストに直接追加する
エージェントレス検出 ページで、[サーバー チェック] タブをクリックし、次に [ベースライン チェック] タブをクリックします。ホワイトリストに追加するベースライン チェック項目を見つけて、操作する 列の ホワイトリストを追加する をクリックします。ホワイトリストを追加する ダイアログ ボックスで、説明を入力し、OK をクリックします。
セキュリティセンターは、 タブにホワイトリスト ルールを自動的に作成します。
ホワイトリスト ルールを作成する
エージェントレス検出 ページの右上隅にある [スキャン構成] をクリックします。[スキャン構成] パネルの ベースラインホワイトリスト タブで、ルールを新しく追加する をクリックします。ベースラインホワイトリストルールを作成する パネルで、[チェック項目タイプ]、[チェック項目]、および [備考] パラメーターを構成し、[保存] をクリックします。
ベースライン ホワイトリストはすべてのアセットに有効です。
機密ファイルのホワイトリストを構成する
機密ファイルのホワイトリストを構成して、ホワイトリストに登録されたアセットで検出されたときに特定のファイルがアラートをトリガーしないようにすることができます。
機密ファイルをホワイトリストに追加する
機密ファイルをホワイトリストに直接追加するには、エージェントレス検出 ページに移動し、[サーバー チェック] タブの下にある [機密ファイル] タブをクリックし、リスク リストの 操作する 列で [詳細] をクリックします。[リスク処理] リストで、ターゲット アセットの ハンドル操作する 列の [ホワイトリストに追加]OK
をクリックし、 を選択して、 をクリックします。この操作の後、セキュリティセンターは セクション内にホワイトリスト ルールを自動的に生成します。
ホワイトリスト ルールを追加する
エージェントレス検出 ページで、[スキャン構成] をクリックします。[スキャン構成] パネルの [機密ファイルのホワイトリスト] タブで、ルールを新しく追加する をクリックします。[機密ファイルのチェック項目]、[ホワイトリスト条件の構成] を設定し、必要な [備考] を追加して、[OK] をクリックします。
機密ファイルのホワイトリストはすべてのアセットに有効です。ホワイトリストへの追加、手動処理、無視、誤検知としてマークするなど、複数の方法を使用できます。
手順 6: (オプション) イメージを削除する
スキャン中に自動的に作成された「SAS_Agentless_」で始まるイメージは、不要になったらすぐに削除して、不要なコストを回避してください。詳細な手順については、「カスタム イメージを削除する」をご参照ください。
検出可能なリスク
脆弱性
エージェントレス検出機能は、Linux ソフトウェアの脆弱性、Windows システムの脆弱性、およびアプリケーションの脆弱性を検出できます。
ベースライン リスク
ベースライン カテゴリ | ベースライン チェック項目 |
国際的に合意されたセキュリティのベスト プラクティス |
|
MLPS コンプライアンス |
|
セキュリティ ベスト プラクティス |
|
悪意のあるサンプル
サンプルの種類 | サンプル タイプ | 説明 |
悪意のあるスクリプト | セキュリティセンターは、アセットのシステムサービスが悪意のあるスクリプトによって攻撃または変更されているかどうかを確認します。悪意のあるスクリプトに基づく潜在的な攻撃の動作は、検出結果に含まれます。 悪意のあるスクリプトは、ファイルベースのスクリプトとファイルレスのスクリプトに分類されます。攻撃者がサーバーを制御した後、攻撃者は追加の攻撃にスクリプトを使用します。たとえば、攻撃者はマイニング プログラムと Web シェルを挿入し、サーバーのシステムに管理者アカウントを追加する可能性があります。 | 検出でサポートされているプログラミング言語には、Shell、Python、Perl、PowerShell、VBScript、および BAT が含まれます。 |
WebShell | セキュリティセンターは、アセット内のスクリプトファイルが悪意のあるものかどうか、また WebShell 通信と管理が存在するかどうかを確認します。サーバーに WebShell が挿入されると、攻撃者はサーバーを制御し、スクリプトを使用して追加の攻撃を実行できます。 | 検出でサポートされているプログラミング言語には、PHP、JSP、ASP、ASPX が含まれます。 |
マルウェア | セキュリティセンターは、アセット内のバイナリファイルが悪意のあるものかどうか、また、バイナリファイルがアセットに損害を与えたり、永続的な制御を獲得したりする可能性があるかどうかを確認します。 サーバーにバイナリファイルが挿入されると、攻撃者はサーバーを制御し、マイニング、DDoS 攻撃、アセットファイルの暗号化などの攻撃を開始できます。 悪意のあるバイナリファイルには、マイニング プログラム、トロイの木馬、Web シェル、攻撃ツール、ランサムウェア、ワームが含まれます。 | 汚染された基本ソフトウェア |
疑わしいプログラム | ||
スパイウェア | ||
トロイの木馬 | ||
感染性ウイルス | ||
ワーム | ||
脆弱性攻撃 | ||
自己変異型トロイの木馬 | ||
攻撃ツール | ||
DDoS トロイの木馬 | ||
Webシェル | ||
悪意のあるプログラム | ||
ルートキット | ||
トロイの木馬ダウンローダー | ||
スキャナー | ||
リスクウェア | ||
プロキシ | ||
ランサムウェア | ||
Webシェル | ||
マイニング プログラム |
機密ファイル
エージェントレス検出機能では、以下のような一般的な機密ファイルを検出できます。
機密情報を含むアプリケーション構成
一般的な証明書キー
アプリケーション ID またはログイン資格情報
クラウドサーバープロバイダーの資格情報
FAQ
エージェントレス検出機能とウイルス検出および削除機能の違いは何ですか?
次の表は、機能の違いについて説明しています。
項目 | エージェントレス検出 | ウイルス検出と削除 |
検出範囲 | エージェントレス検出機能は、脆弱性、ベースラインリスク、悪意のあるサンプル、および機密ファイルを検出できます。 | ウイルス検出と削除の機能は、ウイルスを検出して削除し、検出されたウイルスに関連するソースファイルを効率的に隔離できます。 |
検出方法 | エージェントレス検出機能は、サーバー用に作成され、セキュリティセンター サービスアカウントと共有されているイメージ内のデータをスキャンして、サーバーにリスクが存在するかどうかを確認します。これはサーバーのパフォーマンスには影響しません。 | ウイルス検出と削除の機能は、サーバーのシステム内のデータをスキャンして、サーバーのランタイム中に永続的なウイルスがサーバー上に存在するかどうかを確認します。 |
有効化方法 | 従量課金方式を使用して、エージェントレス検出機能を購入する必要があります。 | セキュリティセンター アンチウイルス以上を購入し、サーバーにセキュリティセンター エージェントをインストールする必要があります。 |
参照資料
イメージの管理
カスタムイメージを共有するには、カスタムイメージの共有をご参照ください。
カスタムイメージの課金について詳しくは、イメージの課金をご参照ください。
イメージが不要になった場合は、不要な費用が発生しないように、速やかに削除してください。手順については、カスタムイメージの削除をご参照ください。
アラートと脆弱性の管理
システムの脆弱性を表示および処理するには、脆弱性の表示と処理をご参照ください。
アラートを表示および処理するには、アラートの表示と処理をご参照ください。