Comprobación y manejo de alarmas de servidor

Restricciones y limitaciones

• Para omitir las comprobaciones de la ejecución de comandos de alto riesgo, la escalada de privilegios, los shells inversos, los shells anormales o los web shells, deshabilite manualmente las políticas correspondientes en los grupos de políticas de la página Policies. HSS no comprobará los servidores asociados con las directivas deshabilitadas. Para obtener más información, consulte Comprobación o creación de un grupo de políticas.
• Otros elementos de detección no se pueden deshabilitar manualmente.

Comprobación de eventos de alarma

1. Iniciar sesión en la consola de gestión.
2. En la esquina superior izquierda de la página, seleccione una región, haga clic en , y elija Security & Compliance > Host Security Service (New).
3. En el panel de navegación de la izquierda, elija Detection > Alarms, y haga clic en Server Alarms.

   Tabla 1 Estadísticas de alarmas

   Evento de alarma	Descripción
   Affected Servers	Número de servidores para los que se generan alarmas.
   Alarms to be Handled	Número de alarmas a manejar. De forma predeterminada, todas las alarmas no controladas se muestran en la página Events. Para obtener más información, consulte Manejo de eventos de alarma.
   Handled Alarms	Número de alarmas manejadas.
   Blocked IP Addresses	Número de direcciones IP bloqueadas. Puede hacer clic en el número para comprobar la lista de direcciones IP bloqueadas. La lista de direcciones IP bloqueadas muestra los nombres del servidor, las direcciones IP bloqueadas, los tipos de ataques, el número de ataques bloqueados, la primera y la última vez que se bloquean las direcciones IP, la duración del bloque y el estado. Si una dirección IP válida está bloqueada por error, (por ejemplo, después de O&M el personal ingresa contraseñas incorrectas varias veces), puedes desbloquearlo manualmente. Si un servidor es atacado con frecuencia, se recomienda corregir sus vulnerabilidades de manera oportuna y eliminar los riesgos. AVISO: Después de desbloquear una dirección IP bloqueada, HSS ya no bloqueará las operaciones realizadas por la dirección IP.
   Isolated Files	El servicio HSS puede aislar los archivos de amenazas detectados. Los archivos aislados se muestran en un panel deslizante de la página Server Alarms. Puede hacer clic en Isolated Files en la esquina superior derecha para comprobarlos. Puede recuperar archivos aislados. Para más detalles, consulte Gestión de archivos aislados.

4. Haga clic en un evento de alarma en la lista de tipos de eventos para ver los servidores afectados y la hora de ocurrencia del evento. Se muestra la siguiente información:
   • Número total de alarmas
   • Número de cada tipo de alarmas

5. Haga clic en un nombre de alarma en la lista de tipos de eventos para ver sus detalles.

Manejo de eventos de alarma

Esta sección describe cómo debe manejar los eventos de alarma para garantizar la seguridad del servidor.

No confíe plenamente en las alarmas para defenderse de los ataques, porque no todos los problemas se pueden detectar de manera oportuna. Se recomienda tomar más medidas para prevenir amenazas, como comprobar y corregir vulnerabilidades y configuraciones inseguras.

1. Iniciar sesión en la consola de gestión.
2. En la esquina superior izquierda de la página, seleccione una región, haga clic en , y elija Security & Compliance > Host Security Service (New).
3. En el panel de navegación de la izquierda, elija Detection > Alarms, y haga clic en Server Alarms.

   Tabla 2 Estadísticas de alarmas

   Evento de alarma	Descripción
   Affected Servers	Número de servidores para los que se generan alarmas.
   Alarms to be Handled	Número de alarmas a manejar. De forma predeterminada, todas las alarmas no controladas se muestran en la página Events. Para obtener más información, consulte Manejo de eventos de alarma.
   Handled Alarms	Número de alarmas manejadas.
   Blocked IP Addresses	Número de direcciones IP bloqueadas. Puede hacer clic en el número para comprobar la lista de direcciones IP bloqueadas. La lista de direcciones IP bloqueadas muestra los nombres del servidor, las direcciones IP bloqueadas, los tipos de ataques, el número de ataques bloqueados, la primera y la última vez que se bloquean las direcciones IP, la duración del bloque y el estado. Si una dirección IP válida está bloqueada por error, (por ejemplo, después de O&M el personal ingresa contraseñas incorrectas varias veces), puedes desbloquearlo manualmente. Si un servidor es atacado con frecuencia, se recomienda corregir sus vulnerabilidades de manera oportuna y eliminar los riesgos. AVISO: Después de desbloquear una dirección IP bloqueada, HSS ya no bloqueará las operaciones realizadas por la dirección IP.
   Isolated Files	El servicio HSS puede aislar los archivos de amenazas detectados. Los archivos aislados se muestran en un panel deslizante de la página Server Alarms. Puede hacer clic en Isolated Files en la esquina superior derecha para comprobarlos. Puede recuperar archivos aislados. Para más detalles, consulte Gestión de archivos aislados.

4. Haga clic en un tipo de evento, seleccione eventos y haga clic en Handle. Tabla 3 describe los métodos de procesamiento que puede elegir.
   

   También puede hacer clic en Handle en la fila donde reside una alarma.

   Los eventos de alarma se muestran en la página Server Alarms. Aquí puede consultar hasta 30 días de eventos históricos.

   Compruebe y maneje los eventos de alarma según sea necesario. El estado de un evento controlado cambia de Unhandled a Handled. HSS ya no recopilará sus estadísticas ni las mostrará en la página Dashboard.

   Tabla 3 Parámetros de gestión de eventos

   Método	Descripción
   Ignore	Ignore la alarma actual. Cualquier nueva alarma del mismo tipo seguirá siendo reportada por el HSS.
   Isolate and kill	Si un programa es aislado y eliminado, se terminará inmediatamente y ya no podrá realizar operaciones de lectura o escritura. Los archivos de origen aislados de programas o procesos se muestran en el panel desplegable Isolated Files y no pueden dañar los servidores. Puede hacer clic en Isolated Files en la esquina superior derecha para comprobar los archivos. Para más detalles, consulte Gestión de archivos aislados. Los siguientes tipos de eventos de alarma admiten el aislamiento y la matanza en línea: Malware Abnormal process behavior NOTA: Cuando un programa se aísla y finaliza, el proceso del programa finaliza inmediatamente. Para evitar el impacto en los servicios, verifique el resultado de la detección y cancele el aislamiento de los programas maliciosos (si los hay).
   Mark as handled	Marque el evento como manejado. Puede agregar comentarios para el evento para registrar más detalles.
   Add to whitelist	Agregue elementos de falsa alarma de los tipos de Brute-force attack y de Abnormal login a la lista blanca de inicio de sesión. HSS ya no reportará la alarma en los elementos de la lista blanca.
   Add to alarm whitelist	Agregue elementos de falsa alarma de los siguientes tipos a la lista blanca de inicio de sesión. HSS ya no reportará la alarma en los elementos de la lista blanca. Reverse shell Web shell Abnormal process behavior Process privilege escalation File privilege escalation High-risk command execution Malware Critical file change