更新时间:2022-12-19 GMT+08:00
分享

开启告警通知

开启告警通知功能后,您能接收到主机安全服务发送的告警通知,及时了解主机/容器/网页内的安全风险。否则,无论是否有风险,您都只能登录管理控制台自行查看,无法收到报警信息。
  • 告警通知设置仅在当前区域生效,若需要接收其他区域的告警通知,请切换到对应区域后进行设置。
  • 告警通知信息可能会被误拦截,若您未收到相关告警信息,请在信息拦截中查看。
  • 消息通知服务为付费服务,价格详情请参见SMN价格详情

前提条件

在设置告警通知前:
  • “告警方式”如果选择“消息中心”,建议您在右上角“消息中心”单击“消息接收管理”进入消息接收配置页面,在安全消息 > 安全事件通知上方添加或在“操作”“修改”消息接收人,操作详情请参见修改指定消息接收人
  • “告警方式”如果选择“消息主题”,建议您先以管理员身份在“消息通知服务”中创建“消息主题”,详细操作请参见如何发布主题消息

开启告警通知

  1. 登录管理控制台
  2. 在页面左上角选择“区域”,单击,选择安全与合规 > 企业主机安全,进入主机安全平台界面。

    图1 进入主机安全

  3. 在弹窗界面单击“体验新版”,切换至主机安全服务页面。

    • 当前支持切换至主机安全服务的Region为华北-乌兰察布二零一、华北-乌兰察布二零二、西南-贵阳一、华南-深圳、华南-广州-友好用户环境、华东-上海一、华东-上海二、华北-北京一、华北-北京四。
    • 切换至新版后,在总览页左上角单击“返回旧版”,可切换至主机安全(旧版)。
    • 未开启云查杀或首次进入新版页面会弹出确认开启云查杀的弹窗,建议勾选“确认授权自动开启云查杀”,单击“立即开启”开启云查杀功能。
      • 该功能配置免费。
      • 开启后将应用至主机安全服务全局服务器,但部分检测能力受主机安全配额版本的限制无法运行,若需正常使用,建议您购买企业版及以上版本更好的体验云查杀功能。
      图2 勾选开启云查杀

  4. 在左侧导航树选择“安装与配置”,选择“告警配置”页签,进入“告警配置”页面,配置参数说明请参见表1

    图3 告警配置
    表1 告警配置参数

    通知项

    说明

    选择建议

    每日告警通知

    每日凌晨,主机安全服务将主动检测主机系统中的帐号、Web目录、漏洞、恶意程序及关键配置等,汇总各项检测结果后,将检测结果发送给您在“消息中心”中添加的消息接收人,或者在“消息通知服务主题”中添加的订阅终端。

    单击“查看每日告警默认通知事件”可查看通知项。

    • 接收并定期查看每日告警通知中所有的内容,能有效降低主机中未及时处理的风险成为主机安全隐患的概率。
    • 由于每日告警中通知项的内容较多,如果您使用的“消息通知服务”,接收告警通知,建议您选择“订阅终端”配置为“邮箱”“消息通知服务主题”

    实时告警通知

    当攻击者入侵主机时,主机安全服务将按照选定的“消息中心”或者“消息通知服务主题”为您告警。

    单击“查看实时告警默认通知事件”可查看通知项。

    • 建议您接收实时告警通知中所有的内容并及时查看。企业安全服务实时监测主机中的安全情况,能监测到攻击者入侵主机的行为,接收实时告警通知能快速处理攻击者入侵主机的行为。
    • 由于实时告警中通知项的内容紧急度较高,如果您使用的“消息通知服务”,接收告警通知,建议您选择“订阅终端”配置为“短信”“消息通知服务主题”

    告警等级

    自定义勾选通知的告警等级。

    选择全部。

    屏蔽事件

    选择无需发送告警通知的事件。

    展开选框可自定义选择不发送告警的事件类型。

    根据告警通知项说明的内容说明判断需要屏蔽的事件。

  5. 选择事件告警的通知方式。

    • 消息中心

      告警通知默认发送给帐号联系人的消息中心,可登录系统在右上角查看。

      如需修改接收人,单击“消息接收管理”,跳转至消息中心,在安全消息 > 安全事件通知单击“操作”列的“修改”,编辑消息接收人,如图4所示,具体操作请参见修改指定消息接收人

      图4 编辑消息接收人
    • 消息主题

      单击下拉列表选择已创建的主题,或者单击“查看消息通知服务主题”创建新的主题。

      创建新的主题,即配置接收告警通知的手机号码或邮箱地址,具体操作如下:
      1. 参见创建主题创建一个主题。
      2. 配置接收告警通知的手机号码或邮箱地址,即为创建的主题添加一个或多个订阅,具体操作请参见添加订阅
      3. 确认订阅。添加订阅后,按接收到的短信或邮件提示,完成订阅确认。

        主题订阅确认的信息可能被当成垃圾短信拦截,如未收到,请查看是否设置了垃圾短信拦截。

      您可以根据运维计划和告警通知类型,创建多个“消息通知主题”,以接收不同类型的告警通知。更多关于主题和订阅的信息,请参见《消息通知服务用户指南》

  6. 单击“应用”,完成配置主机安全告警通知的操作。界面弹出“告警通知设置成功”提示信息,则说明告警通知设置成功。

告警通知项说明

通知项

通知内容

通知内容说明

每日告警通知

每日凌晨检测主机中的风险,汇总并统计检测结果后,将检测结果于每日上午10:00发送给你添加的手机号或者邮箱。

资产管理

危险端口

检测开放了的危险端口或者不必要的端口,通知用户及时排查这些端口是否用于正常业务。

漏洞管理

需紧急修复漏洞

检测系统中的紧急漏洞,通知用户尽快修复,防止攻击者利用该漏洞会对主机造成较大的破坏。

基线检查

配置检查

检测系统中的关键应用,如果采用不安全配置,有可能被黑客利用作为入侵主机系统的手段。

经典弱口令

检测MySQL、FTP及系统帐号的弱口令。

入侵检测

恶意程序

对运行中的程序进行检测,识别出其中的后门、木马、挖矿软件、蠕虫和病毒等恶意程序。

Webshell

检测云服务器上Web目录中的文件,判断是否为Webshell木马文件,支持检测常见的PHP、JSP等后门文件类型。

  • 网站后门检测信息包括“木马文件路径”“状态”“首次发现时间”“最后发现时间”。您可以根据网站后门信息忽略可信文件。
  • 您可以使用手动检测功能检测主机中的网站后门。

反弹Shell

实时监控用户的进程行为,及时发现进程的非法Shell连接操作产生的反弹Shell行为。

支持对TCP、UDP、ICMP等协议的检测。

文件提权

检测当前系统对文件的提权。

进程提权

检测以下进程提权操作:
  • 利用SUID程序漏洞进行root提权。
  • 利用内核漏洞进行root提权。

关键文件变更

对于系统关键文件进行监控,文件被修改时告警,提醒用户关键文件存在被篡改的可能。

文件/目录变更

对于系统文件/目录进行监控,文件/目录被修改时告警,提醒用户文件/目录存在被篡改的可能。

进程异常行为

检测各个主机的进程信息,包括进程ID、命令行、进程路径、行为等。

对于进程的非法行为、黑客入侵过程进行告警。

进程异常行为可以监控以下异常行为:

  • 监控进程CPU使用异常。
  • 检测进程对恶意IP的访问。
  • 检测进程并发连接数异常等。

高危命令执行

实时检测当前系统中执行的高危命令,当发生高危命令执行时,及时触发告警。

异常Shell

检测系统中异常Shell的获取行为,包括对Shell文件的修改、删除、移动、拷贝、硬链接、访问权限变化。

暴力破解

检测“尝试暴力破解”“暴力破解成功”等暴力破解。

  • 检测帐户遭受的口令破解攻击,封锁攻击源,防止云主机因帐户破解被入侵。
  • 若帐户暴力破解成功,登录到云主机,则触发安全事件告警。

异常登录

检测主机异地登录行为并进行告警,用户可根据实际情况采取相应措施(例如:忽略、修改密码等)。

若在非常用登录地登录,则触发安全事件告警。

非法系统帐号

检测主机系统中的帐号,列出当前系统中的可疑帐号信息,帮助用户及时发现非法帐号。

漏洞逃逸攻击

监控到容器内进程行为符合已知漏洞的行为特征时(例如:“脏牛”“bruteforce”“runc”“shocker”等),触发逃逸漏洞攻击告警。

文件逃逸攻击

监控发现容器进程访问了宿主机系统的关键文件目录(例如:“/etc/shadow”“/etc/crontab”),则认为容器内发生了逃逸文件访问,触发告警。即使该目录符合容器配置的目录映射规则,仍然会触发告警。

容器进程异常

容器业务通常比较单一。如果用户能够确定容器内只会运行某些特定进程,可以在控制台配置安全策略设置进程白名单并将策略关联容器镜像。

对于已关联的容器镜像启动的容器,只允许白名单进程启动,如果容器内存在非白名单进程,触发容器异常程序告警。

容器异常启动

对容器启动时使用不合规的参数进行检测告警。

容器启动时可以带有很多参数,对容器进行权限设置。如果没有正确设置,可能会导致权限过大,给攻击者留下可以利用的方式。

高危系统调用

Linux系统调用是用户进程进入内核执行任务的请求通道。监控容器进程,如果发现进程使用了危险系统调用(例如:“open_by_handle_at”“ptrace”“setns”“reboot”等),触发高危系统调用告警。

敏感文件访问

检测重要文件的提权或持久化等访问行为,对访问行为进行告警。

恶意挖矿

检测采用捆绑程序、暴力破解、有意绕过认证或校验等入侵方式进行告警。

实时告警通知

事件发生时,及时发送告警通知。

入侵检测

恶意程序

对运行中的程序进行检测,识别出其中的后门、木马、挖矿软件、蠕虫和病毒等恶意程序。

Webshell

检测云服务器上Web目录中的文件,判断是否为Webshell木马文件,支持检测常见的PHP、JSP等后门文件类型。

  • 网站后门检测信息包括“木马文件路径”“状态”“首次发现时间”“最后发现时间”。您可以根据网站后门信息忽略可信文件。
  • 您可以使用手动检测功能检测主机中的网站后门。

反弹Shell

实时监控用户的进程行为,及时发现进程的非法Shell连接操作产生的反弹Shell行为。

支持对TCP、UDP、ICMP等协议的检测。

文件提权

检测当前系统对文件的提权。

进程提权

检测以下进程提权操作:
  • 利用SUID程序漏洞进行root提权。
  • 利用内核漏洞进行root提权。

关键文件变更

对于系统关键文件进行监控,文件被修改时告警,提醒用户关键文件存在被篡改的可能。

文件/目录变更

对于系统文件/目录进行监控,文件/目录被修改时告警,提醒用户文件/目录存在被篡改的可能。

进程异常行为

检测各个主机的进程信息,包括进程ID、命令行、进程路径、行为等。

对于进程的非法行为、黑客入侵过程进行告警。

进程异常行为可以监控以下异常行为:

  • 监控进程CPU使用异常。
  • 检测进程对恶意IP的访问。
  • 检测进程并发连接数异常等。

高危命令执行

实时检测当前系统中执行的高危命令,当发生高危命令执行时,及时触发告警。

异常Shell

检测系统中异常Shell的获取行为,包括对Shell文件的修改、删除、移动、拷贝、硬链接、访问权限变化。

异常登录

检测主机异地登录行为并进行告警,用户可根据实际情况采取相应措施(例如:忽略、修改密码等)。

若在非常用登录地登录,则触发安全事件告警。

非法系统帐号

检测主机系统中的帐号,列出当前系统中的可疑帐号信息,帮助用户及时发现非法帐号。

漏洞逃逸攻击

监控到容器内进程行为符合已知漏洞的行为特征时(例如:“脏牛”“bruteforce”“runc”“shocker”等),触发逃逸漏洞攻击告警。

文件逃逸攻击

监控发现容器进程访问了宿主机系统的关键文件目录(例如:“/etc/shadow”“/etc/crontab”),则认为容器内发生了逃逸文件访问,触发告警。即使该目录符合容器配置的目录映射规则,仍然会触发告警。

容器进程异常

容器业务通常比较单一。如果用户能够确定容器内只会运行某些特定进程,可以在控制台配置安全策略设置进程白名单并将策略关联容器镜像。

对于已关联的容器镜像启动的容器,只允许白名单进程启动,如果容器内存在非白名单进程,触发容器异常程序告警。

容器异常启动

对容器启动时使用不合规的参数进行检测告警。

容器启动时可以带有很多参数,对容器进行权限设置。如果没有正确设置,可能会导致权限过大,给攻击者留下可以利用的方式。

高危系统调用

Linux系统调用是用户进程进入内核执行任务的请求通道。监控容器进程,如果发现进程使用了危险系统调用(例如:“open_by_handle_at”“ptrace”“setns”“reboot”等),触发高危系统调用告警。

敏感文件访问

检测重要文件的提权或持久化等访问行为,对访问行为进行告警。

恶意挖矿

检测采用捆绑程序、暴力破解、有意绕过认证或校验等入侵方式进行告警。

分享:

    相关文档

    相关产品