web改ざん防止機能は、サーバー上のwebサイトのディレクトリとファイルをリアルタイムで監視できます。 この機能は、Webサイトが改ざんされた場合にバックアップを使用して、改ざんされたファイルまたはディレクトリを復元することもできます。 これにより、Webサイトに違法な情報が挿入されるのを防ぎ、Webサイトが期待どおりに実行されるようになります。 このトピックでは、web改ざん防止機能の使用方法について説明します。
前提条件
web改ざん防止機能を有効にするサーバーに、Security Centerエージェントがインストールされています。 詳細については、「Security Centerエージェントのインストール」をご参照ください。
背景情報
違法な利益を上げたり、ビジネス攻撃を開始したりするために、攻撃者はWebサイトの脆弱性を悪用してWebサイトを改ざんします。 たとえば、攻撃者はWebサイトへの隠しリンクを挿入します。 webページの改ざんは、通常のユーザーアクセスに影響を及ぼし、深刻な経済的損失、ブランドの評判への損害、および政治的リスクを引き起こす可能性があります。
Security Centerエージェントは、保護されたサーバーの保護されたディレクトリ内のファイルに関連するプロセスに関する情報を自動的に収集します。 エージェントは、疑わしいプロセスと異常なファイル変更をリアルタイムで識別し、異常なファイル変更を引き起こすプロセスのアラートを生成または傍受します。
課金ルール
Web改ざん防止は、セキュリティセンターの付加価値機能です。 購入後にこの機能を使用できます。 web改ざん防止の課金の詳細については、「課金」をご参照ください。
使用上の注意
1つのサーバーを保護するために、web改ざん防止で1つのクォータを使用できます。
サーバーのweb改ざん防止を有効化できるのは1回だけです。 保護のために、各サーバーに最大10のディレクトリを追加できます。
サーバーのオペレーティングシステムとカーネルバージョンがホワイトリスト機能でサポートされている場合は、次の項目に注意してください。 詳細については、「サポートされているオペレーティングシステムとカーネルのバージョン」をご参照ください。
ホワイトリスト機能を使用する: Security Centerが、異常なファイル変更を引き起こすプロセスのアラートをブロックまたは生成しても、そのプロセスがワークロードによって必要とされている場合、そのプロセスをプロセスホワイトリストに追加できます。 その後、Security Centerはプロセスのアラートをブロックまたは生成しなくなります。
保護のためにディレクトリを追加するときは、次の項目に注意してください。
指定した各ファイルまたはディレクトリへのフルパスの最大長は1,000文字です。
ネットワークファイルシステム (NFS) サーバーのプロセスパスを追加して保護する場合、Security Centerは、ファイルを変更しようとするNFSクライアントベースの攻撃からパス内のファイルを保護できません。
サーバーのオペレーティングシステムとカーネルバージョンがホワイトリスト機能でサポートされていない場合は、次の項目に注意してください。 詳細については、「サポートされているオペレーティングシステムとカーネルのバージョン」をご参照ください。
ホワイトリスト機能はサポートされていません。 web改ざん防止機能は、プロセスをプロセスホワイトリストに追加しても、プロセスをブロックします。
保護のためにディレクトリを追加するときは、次の項目に注意してください。
指定された各ディレクトリの最大サイズは20 GBです。
指定した各ディレクトリの最大フォルダ数は20,000です。
指定された各ディレクトリの最大フォルダレベル数は20です。
指定された各ファイルの最大サイズは20 GBです。
防御モードをアラートモードに設定することはできません。
NFSへのパスは保護できません。
アラートは生成されない。 アラートの詳細には、プロセスパスに関する情報は含まれません。
表 1 サポートされているバージョンのオペレーティングシステムとカーネル
オペレーティングシステム | オペレーティングシステムのバージョン | カーネルバージョン |
Windows (32ビットまたは64ビット) | Windows Server 2008、Windows Server 2012、Windows Server 2016、およびWindows Server 2019。 | すべてのバージョン |
CentOS (64ビット) | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 | |
Ubuntu (64ビット) | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 | |
Debian | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 | |
Anolis OS (64ビット) | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 | |
RHEL | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 | |
Alibaba Cloud Linux (64ビット) | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 | |
Oracle Linux | 無制限。 ただし、サポートされるカーネルのバージョンは限られています。 |
ステップ1: web改ざん防止のクォータを購入する
web改ざん防止を使用する前に、現在のAlibaba Cloudアカウント内でweb改ざん防止のクォータが十分であることを確認してください。
Security Centerコンソールにログインします。 上部のナビゲーションバーで、管理するアセットのリージョンを選択します。 中国 または 全世界 (中国を除く) を選択できます。
左側のナビゲーションウィンドウで、.
ビジネスシナリオに基づいて、次の操作を実行します。
web改ざん防止のクォータは購入していません
Web改ざん校正ページで、[今すぐアップグレード] をクリックします。
Security Centerのエディションに基づいて、次の操作を実行します。
基本版:
製品バージョンの選択パネルで、エディションを選択します。 [セキュリティセンター] ページで、[エディション] や [保護されたサーバー] などのパラメーターを設定します。 Web改ざんプルーフパラメーターを [はい] に設定し、Web改ざんプルーフを有効にするサーバーの数に基づいてweb改ざんプルーフのクォータパラメーターを設定する必要があります。
web改ざん防止機能を別途購入する場合は、Editionパラメーターを付加価値プランに設定します。 Security Centerのエディションを選択し、その他の機能を購入する方法の詳細については、「Security Centerの購入」をご参照ください。
有料版:
[製品バージョンの選択] パネルで、[アップグレード] をクリックします。 [アップグレード] ページで、[Web改ざん防止] パラメーターを [はい] に設定し、Web改ざん防止を有効にするサーバーの数に基づいて [web改ざん防止のクォータ] パラメーターを設定します。
今すぐ購入をクリックして、支払いを済ませます。
web改ざん防止のクォータを購入
web改ざん防止のクォータが0または不十分な場合、[改ざん防止] ページの右上隅にある [今すぐアップグレード] をクリックして、十分なweb改ざん防止のクォータを購入できます。
ステップ2: サーバーのweb改ざん防止を有効にする
Security Centerエージェントがインストールされているサーバーでは、web改ざん防止機能を有効にできます。 保護のためにサーバー上に複数のディレクトリを指定することもできます。
web改ざん防止を初めて使用するときは、[Web改ざん防止] ページで [保護用サーバーの追加] をクリックします。
web改ざん防止を初めて使用しない場合は、[Web改ざん防止] ページの [管理] タブをクリックし、[サーバーの追加] をクリックします。
[保護用サーバーの追加] パネルで、サーバーリストからweb改ざん防止を有効にするサーバーを選択し、[次へ] をクリックします。
[ディレクトリの追加] ステップで、パラメーターを設定し、[保護の有効化] をクリックします。
デフォルトでは、ホワイトリストモードが使用されます。 ホワイトリストモードでは、保護するファイルのディレクトリと形式を指定する必要があります。 [ブラックリストモード] をクリックすると、ブラックリストモードに切り替わります。 ブラックリストモードでは、保護するディレクトリ、および保護されたディレクトリ内の保護を必要としないサブディレクトリ、ファイルの形式、およびファイルを指定する必要があります。
ホワイトリストモード
ホワイトリストモードでは、Security Centerは、保護されたディレクトリ内の指定された形式のファイルに対する変更のアラートを傍受または生成します。
パラメーター
説明
保護されたディレクトリ
保護するサーバーディレクトリ。 ディレクトリを指定した後、Security Centerは、指定したプロセスホワイトリストと回避モードに基づいて、ディレクトリ内のファイルの名前、内容、または属性の変更をインターセプトするかどうかを決定します。
/ディレクトリ名 /形式に値を入力します。 例:
/tmp/保護されたファイル形式
保護するファイルの形式。
ドロップダウンリストから形式を選択できます。 ドロップダウンリストに表示されない形式を入力することもできます。
説明ファイルのすべてのフォーマットは保護のために加えることができます。
予防モード
傍受モード: Security Centerは、疑わしいプロセスと異常なファイル変更を傍受します。 これにより、サーバー上のWebサイトとファイルのセキュリティが保証されます。
アラートモード: Security Centerは、疑わしいプロセスと異常なファイル変更を識別し、アラートを生成します。
重要サーバーのオペレーティングシステムまたはカーネルバージョンがweb改ざん防止でサポートされていない場合、Security Centerはアラートを生成しません。 この場合、防御モードをアラートモードに設定すると、Security Centerは疑わしいプロセスを傍受します。 詳細については、「サポートされているオペレーティングシステムとカーネルのバージョン」をご参照ください。
ローカルバックアップディレクトリ
保護されているディレクトリのバックアップファイルが格納されているディレクトリ。
既定では、Security CenterはLinuxサーバーのバックアップディレクトリとして
/usr/local/aegis/bakを使用し、WindowsサーバーのバックアップディレクトリとしてC:\Program Files (x86)\Alibaba\Aegis\bakを使用します。 デフォルトのバックアップディレクトリを変更できます。重要サーバーのオペレーティングシステムまたはカーネルバージョンがweb改ざん防止でサポートされていない場合は、Local Backup Directoryパラメーターを設定する必要はありません。 詳細については、「サポートされているオペレーティングシステムとカーネルのバージョン」をご参照ください。
設定例
保護されたディレクトリに
/tmp/、保護されたファイル形式にxml、防御モードに傍受モードを指定した場合、Security Centerはtmpディレクトリ内のXMLファイルへの変更を傍受します。ブラックリストモード
ブラックリストモードでは、Security Centerは、指定されたサブディレクトリ、指定された形式のファイル、または保護されたディレクトリ内の指定されたファイルに対する変更のアラートを傍受または生成しません。 Security Centerは、保護されたディレクトリ内の他のサブディレクトリおよびファイルに対する変更のアラートを傍受して生成します。
保護されたディレクトリ、防御モード、およびローカルバックアップディレクトリパラメーターの設定方法の詳細については、「ホワイトリストモード」をご参照ください。
パラメーター
説明
除外サブディレクトリ
保護を必要としないサブディレクトリへのパス。
サブディレクトリ名 /形式で値を入力します。 例:
dir1/dir0/除外ファイル形式
保護を必要としないファイルの形式。
除外ファイル
保護を必要としないファイル。
サブディレクトリ名 /ファイル名形式で値を入力します。 例:
dir2/file3重要除外サブディレクトリ、除外ファイル形式、および除外ファイルパラメーターは、論理ORを使用して評価されます。
設定例
を指定した場合
/tmp /のため保護されたディレクトリ,dir1/dir0 /のため除外サブディレクトリのためのtxt除外ファイル形式,dir2/file3のため除外ファイル、および傍受モードのため予防モードのファイルは、dir1下のサブディレクトリdir0tmpディレクトリ内のTXTファイル、またはtmpディレクトリ内のTXTファイル、またはfile3ファイル内のdir2tmpディレクトリのサブディレクトリを変更できます。 tmpディレクトリ内の他のサブディレクトリおよびファイルへの変更は、Security Centerによってインターセプトされます。
オプションです。 [Web改ざん防止] ページの [管理] タブで、[保護用サーバーの追加] パネルで指定したサーバーを見つけ、[操作] 列の [ディレクトリの追加] をクリックして、保護用の他のディレクトリを追加します。
サーバー名の横にある
アイコンをクリックすると、サーバー上の保護されたディレクトリのリストが表示されます。 保護されたディレクトリを見つけ、[操作] 列の [変更] をクリックしてパラメーター設定を変更します。 [Web改ざん防止] ページの [管理] タブで、[保護用サーバーの追加] パネルで指定したサーバーを見つけ、[保護] 列の
アイコンをクリックして、サーバーのweb改ざん防止機能を有効にします。 サーバーでこの機能を初めて有効にすると、サーバーの [ステータス] 列のステータスが [初期化] に変わり、進行状況バーが表示されます。 機能が有効になるまで待ちます。 この機能を有効にすると、サーバーのステータスが [実行中] に変わります。
次の表に、[ステータス] 列で使用できるステータスを示します。
ステータス
説明
提案
初期化中
Web改ざん防止は初期化中です。
サーバーのweb改ざん防止を初めて有効にすると、ステータスは [初期化] になります。 web改ざん防止が有効になるまで待ちます。
Running
Web改ざん防止が有効になり、期待どおりに実行されます。
なし。
例外
web改ざん防止の初期化でエラーが発生しました。
ポインタを例外の上に移動して原因を表示し、[再試行] をクリックします。
未初期化
保護列のスイッチがオフになります。
[保護] 列のスイッチをオンにします。
ステップ3: 保護ステータスを表示する
[Web改ざん防止] ページの [保護] タブで、保護ステータスの詳細を表示します。
web改ざん防止に関する概要統計、および過去15日間の上位5つの保護されたファイルと上位5つのブロックされたプロセスに関する統計
web改ざん防止によってトリガーされるアラートの詳細
アラートが傍受モードまたはアラートモードで生成されたかどうかに関係なく、サーバー上の異常なファイル変更に対して生成されたすべてのアラートがアラートリストに表示されます。 重要度レベル、アラート名、影響を受けるアセット、ファイルパス、プロセス名、保護ステータスなど、アラートの詳細を表示できます。 重大度レベルは中程度です。
処理済みアラートのリスト
既定では、傍受モードで生成されたアラートが表示され、アラートのステータスは [防御] になります。 これは、web改ざん防止機能が異常なファイル変更を検出し、ファイルを変更するプロセスをインターセプトすることを示します。
未処理のアラートのリスト
アラートモードで生成されたアラートが表示され、アラートのデフォルトステータスは未処理です。 これは、web改ざん防止機能が疑わしいプロセスや異常なファイル変更のアラートを生成することを示しています。
ファイルを変更するインターセプトされたプロセス、またはファイルを変更してアラートをトリガーするプロセスがワークロードで必要な場合は、そのプロセスをホワイトリストに追加してプロセスを許可できます。 アラートが生成されるプロセスをホワイトリストに追加すると、アラートのステータスが [ホワイトリストに追加] に変わり、アラートが [処理済み] アラートリストに追加されます。 詳細については、「 (オプション) ホワイトリストへのプロセスの追加」をご参照ください。
重要アラートが100回を超えて報告された場合、またはプロセスがファイルに書き込む回数が100回を超えた場合は、できるだけ早い機会にアラートを処理することをお勧めします。
(オプション) ホワイトリストにプロセスを追加する
サーバー上の保護されたファイルを変更するプロセスが正常であることを確認し、そのプロセスでファイルを変更する場合は、そのプロセスをホワイトリストに追加できます。
オペレーティングシステムとカーネルバージョンのサーバーがホワイトリスト機能でサポートされている場合にのみ、プロセスをプロセスホワイトリストに追加できます。 詳細については、「サポートされているオペレーティングシステムとカーネルのバージョン」をご参照ください。
攻撃者は、ホワイトリストのプロセスを悪用してサーバーを侵害する可能性があります。 信頼できるプロセスのみをホワイトリストに追加することを推奨します。
[Web改ざん防止] ページの [保護] タブで、通常のプロセスをホワイトリストに追加します。
アラートが生成されるプロセスをホワイトリストに追加
[未処理] アラートリストで、ホワイトリストに追加するプロセスを見つけ、[操作] 列の [ハンドル] をクリックします。
表示されるダイアログボックスで、[処理方法] パラメーターを [ホワイトリストに追加] に設定し、[今すぐ処理] をクリックします。
プロセスは、複数のサーバ上で実行されるか、または同じサーバ上の複数のディレクトリで実行される。 ホワイトリストにプロセスを追加する場合は、[プロセスサーバーと同じプロセスを同時に実行する] を選択します。
また、[処理済み] アラートリストでファイルを変更するプロセスに対して生成されたアラートを検索し、ステータスが [保護済み] のアラートをホワイトリストに追加することもできます。 プロセスパスを表示して、プロセスが正常かどうかを確認できます。
アラートが同時に生成される複数のプロセスをホワイトリストに追加する
[保護] タブのアラートイベントリストで、ホワイトリストに追加するプロセスを見つけて選択します。
リストの下にある [ホワイトリストに追加] をクリックします。 表示されるメッセージで、[OK] をクリックします。
プロセスホワイトリストでのプロセスの指定
[ブロックされたプロセスの数] または [ホワイトリスト] の下の番号をクリックして、[プロセス管理] パネルに移動します。
右上隅の [ホワイトリストの入力] をクリックします。 次に、[プロセスパス] および [サーバー名 /IP] パラメーターを設定して、複数のプロセスをプロセスホワイトリストに追加します。
ホワイトリスト内のプロセスの表示またはホワイトリストからのプロセスの削除
[ホワイトリスト] の下の番号をクリックして、[プロセス管理] パネルに移動します。 プロセス管理パネルでは、ホワイトリストに追加されたすべての疑わしいプロセスに関する情報を表示できます。 この情報には、プロセスが実行されるサーバー、プロセスへのパス、およびプロセスがファイルを変更する回数が含まれます。
[プロセス管理] パネルで、削除する疑わしいプロセスを見つけ、[アクション] 列の [ホワイトリストから削除] をクリックします。 複数の疑わしいプロセスを選択し、リストの下にある [ホワイトリストから削除] をクリックして、ホワイトリストから一度にプロセスを削除することもできます。