После включения уведомления об аларме вы можете получать уведомления, отправленные HSS, чтобы узнавать о рисках безопасности ваших серверов и веб‑страниц. Без этой функции вам придётся Войдите в консоль управления, чтобы просматривать алармы.
Включение уведомлений об аларме
- Войдите в консоль управления.
- Нажмите
в левом верхнем углу и выберите регион или проект. - В левом верхнем углу страницы нажмите
и выберите . - В панели навигации выберите .
- Настройте параметры уведомления об аларме согласно подсказкам. Для получения дополнительной информации см. Table 1.Table 1 Конфигурации аларма
Тип
Описание
Рекомендация
Ежедневное уведомление об аларме
HSS сканирует учетные записи, веб‑каталоги, уязвимости, вредоносные программы и ключевые конфигурации в системе сервера каждый день в 00:00 и отправляет сводные результаты обнаружения получателям, указанных в SMN, в зависимости от выбранного вами варианта.
Чтобы просмотреть элементы уведомления, нажмите View Default Daily Notification Events.
- Рекомендуется получать и периодически проверять всё содержимое ежедневного уведомления о тревоге, чтобы своевременно устранять риски.
- Ежедневные уведомления о тревоге содержат множество проверочных пунктов. Если вы хотите отправлять уведомления получателям, указанным в теме SMN, рекомендуется установить протокол темы в Email.
Real-time alarm notification
Когда злоумышленник проникает в сервер, тревоги отправляются получателям, указанным в SMN, в зависимости от выбранного вами варианта.
Чтобы просмотреть элементы уведомления, нажмите View Default Real-time Notification Events.
- Рекомендуется получать всё содержимое уведомления о тревоге в реальном времени и просматривать его своевременно. Система в реальном времени отслеживает безопасность серверов, обнаруживает проникновение злоумышленника и отправляет уведомления о тревоге в реальном времени, чтобы вы могли быстро решить проблему.
- Уведомления о тревоге в реальном времени относятся к срочным вопросам. Если вы хотите отправлять уведомления получателям, указанным в теме SMN, рекомендуется установить протокол темы в SMS.
Severity
Выберите уровни серьезности тревог, о которых вы хотите получать уведомления.
All
Masked Events
Выберите события, о которых вы не хотите получать уведомления.
Выберите события для маскирования в раскрывающемся списке.
Определите события, которые необходимо маскировать, на основе описания в Alarm Notifications.
- Выберите режим уведомления о тревоге.
- Используйте настройки SMN topic
Выберите доступную тему из раскрывающегося списка или нажмите View Topics и создайте тему. Уведомления о тревоге отправляются получателям темы сообщения через SMS и электронную почту.
Чтобы создать тему и добавить подписки, выполните следующие действия:
- Создайте тему.
- Добавьте одну или несколько подписок к созданной теме.
- После добавления подписки подтвердите её, как указано в полученном SMS‑сообщении, электронном письме или других уведомлениях.
Сообщение подтверждения подписки на тему может рассматриваться как спам. Если вы не получили сообщение, проверьте, не было ли оно перехвачено как спам.
Вы можете создать несколько тем уведомлений на основе плана O&M и типа уведомления о тревоге, чтобы получать разные типы уведомлений о тревоге.
- Используйте настройки SMN topic
- Нажмите Apply. Появится сообщение, указывающее, что уведомление о тревоге успешно настроено.
Alarm Notifications
- Daily Alarm Notifications
Сервис проверяет риски на ваших серверах каждое утро, подводит итоги и собирает результаты обнаружения, а затем отправляет их на ваш мобильный телефон или в почтовый ящик в 10:00 каждый день.
Table 2 Ежедневное уведомление о тревогеТип
Элемент
Описание
Активы
Опасные порты
Проверьте наличие открытых портов высокого риска и ненужных портов.
Агент не установлен
Проверьте серверы без установленного агента HSS и напомните о необходимости своевременной установки агента на этих серверах.
Уязвимости
Критические уязвимости
Обнаружьте критические уязвимости и устраните их своевременно.
Проверка базовой линии
Небезопасные конфигурации
Обнаружьте небезопасные настройки ключевых приложений, которые могут быть использованы хакерами для вторжения на серверы.
Распространённые слабые пароли
Обнаруживайте слабые пароли в MySQL, Tomcat, Redis и системных учетных записях.
Вторжения
Неклассифицированное вредоносное ПО
Проверяйте и обрабатывайте обнаруженные вредоносные программы в одном месте, включая веб‑оболочки, трояны, программное обеспечение для майнинга, черви и вирусы.
Rootkits
Обнаруживайте активы сервера и сообщайте о тревогах для подозрительных модулей ядра, файлов и папок.
Ransomware
Проверьте наличие ransomware в таких носителях, как веб‑страницы, программное обеспечение, электронные письма и носители данных.
Ransomware может шифровать и контролировать ваши данные, такие как документы, электронные письма, базы данных, исходный код, изображения и сжатые файлы, с целью вымогательства у жертвы.
Веб‑оболочки
Проверьте, являются ли файлы (часто PHP и JSP), обнаруженные HSS в ваших веб‑каталогах, веб‑оболочками.
- Информация о веб‑оболочке включает путь к файлу трояна, статус, время первого обнаружения и время последнего обнаружения. Вы можете выбрать игнорировать предупреждение для доверенных файлов.
- Вы можете использовать функцию ручного обнаружения для поиска веб‑оболочек на серверах.
Обратные оболочки
Отслеживайте поведение пользовательских процессов в реальном времени, чтобы обнаруживать обратные оболочки, вызванные недействительными соединениями.
Обратные оболочки могут быть обнаружены для протоколов, включая TCP, UDP и ICMP.
Эксплойты уязвимостей Redis
Обнаруживайте изменения, внесённые процессом Redis в ключевые каталоги в режиме реального времени, и отправляйте алерты.
Эксплойты уязвимостей Hadoop
Обнаруживайте изменения, внесённые процессом Hadoop в ключевые каталоги в режиме реального времени, и отправляйте алерты.
Эксплойты уязвимостей MySQL
Обнаруживайте изменения, внесённые процессом MySQL в ключевые каталоги в режиме реального времени, и отправляйте алерты.
Эскалация привилегий файлов
Проверьте эскалацию привилегий файлов в вашей системе.
Эскалация привилегий процессов
Можно обнаружить следующие операции эскалации привилегий процессов:
- Эскалация привилегий root за счёт эксплуатации уязвимостей SUID‑программ
- Эскалация привилегий root за счёт эксплуатации уязвимостей ядра
Важные изменения файлов
Получайте алерты, когда изменяются критические системные файлы.
Изменения файлов/каталогов
Системные файлы и каталоги находятся под мониторингом. При изменении файла или каталога генерируется тревога, указывающая на возможную компрометацию файла или каталога.
Аномальные поведения процессов
Проверьте процессы на серверах, включая их идентификаторы, командные строки, пути процессов и их поведение.
Отправляйте тревоги о неавторизованных операциях процессов и вторжениях.
Можно обнаружить следующие аномальные поведения процессов:
- Аномальное использование CPU
- Процессы, обращающиеся к вредоносным IP-адресам
- Аномальное увеличение количества одновременных соединений процессов
Выполнение высокорисковых команд
Проверяйте выполненные команды в реальном времени и генерируйте тревоги, если обнаружены высокорисковые команды.
Аномальные оболочки
Обнаруживайте действия с аномальными оболочками, включая перемещение, копирование и удаление файлов оболочек, а также изменение прав доступа и жёстких ссылок файлов.
Подозрительные задачи crontab
Проверьте и перечислите автоматически запускаемые сервисы, запланированные задачи, предзагруженные динамические библиотеки, ключи реестра Run и папки автозапуска.
Вы можете получать уведомления сразу же, когда обнаруживаются аномальные автозапущенные элементы, и быстро находить трояны.
Container image blocking
Если контейнер содержит небезопасные образы, указанные в подозрительных поведениях образов, будет сгенерирован алерт, и небезопасные образы будут заблокированы до запуска контейнера в Docker.
Brute-force attacks
Проверьте попытки brute-force атак и успешные brute-force атаки.
- Обнаружьте атаки подбора паролей на учётные записи и блокируйте атакующие IP-адреса, чтобы предотвратить вторжение в сервер.
- Сгенерируйте алерт, если пользователь входит на сервер с помощью brute-force атаки.
Abnormal logins
Проверьте и обработайте удалённые входы.
Если место входа пользователя не соответствует ни одному из установленных вами обычных мест входа, будет сгенерирован алерт.
Invalid accounts
Сканируйте учётные записи на серверах и своевременно выводите подозрительные учётные записи.
Vulnerability escapes
Служба сообщает алерт, если обнаруживает поведение процесса контейнера, соответствующее поведению известных уязвимостей (например, Dirty COW, brute-force attack, runC и shocker).
File escapes
Сервис генерирует тревогу, если обнаруживает, что процесс контейнера обращается к ключевому каталогу файлов (например, /etc/shadow или /etc/crontab). Каталоги, соответствующие правилам сопоставления каталогов контейнера, также могут вызывать такие тревоги.
Аномальные процессы контейнера
Сервисы контейнеров обычно просты. Если вы уверены, что в контейнере работают только определённые процессы, вы можете добавить эти процессы в белый список политики и связать политику с контейнером.
Сервис генерирует тревогу, если обнаруживает, что в контейнере запущен процесс, не включённый в белый список.
Аномальные запуски контейнера
Проверьте наличие небезопасных параметров, используемых при запуске контейнера.
Некоторые параметры запуска определяют разрешения контейнера. Если их настройки некорректны, злоумышленники могут использовать их для вторжения в контейнеры.
Системные вызовы с высоким риском
Пользователи могут выполнять задачи в ядрах с помощью системных вызовов Linux. Сервис генерирует тревогу, если обнаруживает вызов с высоким риском, такой как open_by_handle_at, ptrace, setns и reboot.
Доступ к чувствительным файлам
Обнаруживайте подозрительные действия доступа (например, повышение привилегий и постоянство) к важным файлам.
Защита от подделки веб‑страниц для серверов Windows
Защитите статические файлы веб‑страниц на ваших серверах веб‑сайтов Windows от злонамеренного изменения.
Защита от подделки веб‑страниц для серверов Linux
Защитите статические файлы веб‑страниц на ваших серверах веб‑сайтов Linux от злонамеренного изменения.
Dynamic WTP
Защитите файлы динамических веб-страниц на ваших серверах Windows и Linux от злонамеренного изменения.
Защита приложений
Защитите работающие приложения. Достаточно добавить зонд к приложениям, без необходимости изменять файлы приложений.
В настоящее время поддерживаются только серверы Linux, и можно подключать только Java‑приложения.
Сканирование вирусов
Создаёт сигналы тревоги для обнаруженных файлов, заражённых вирусами.
Подозрительные выполнения процессов
Обнаруживает и сообщает о сигналах тревоги для неаутентифицированных или неавторизованных процессов приложений.
Подозрительный доступ процессов к файлам
Обнаруживает и сообщает о сигналах тревоги для неаутентифицированных или неавторизованных процессов приложений, получающих доступ к определённым каталогам.
- Уведомления о сигналах тревоги в реальном времени
Когда происходит событие, уведомление о сигнале тревоги отправляется немедленно.
Table 3 Уведомление о сигналах тревоги в реальном времениТип
Item
Description
Assets
Dangerous ports
Проверьте наличие открытых портов с высоким риском и ненужных портов.
Agent not installed
Проверьте серверы без установленного агента HSS и напомните о необходимости своевременной установки агента на этих серверах.
Protection interrupted
Проверьте серверы, у которых защита агентом прервана, и напомните о необходимости своевременного исправления неисправностей.
Intrusions
Unclassified malware
Проверьте и обработайте обнаруженные вредоносные программы в одном месте, включая веб-оболочки, трояны, майнинговое ПО, черви и вирусы.
Rootkits
Обнаружьте серверные активы и сообщайте о тревогах по подозрительным модулям ядра, файлам и папкам.
Ransomware
Проверьте наличие ransomware в таких носителях, как веб-страницы, программное обеспечение, электронные письма и носители данных.
Ransomware может шифровать и контролировать ваши данные, такие как документы, электронные письма, базы данных, исходный код, изображения и сжатые файлы, с целью вымогательства у жертвы.
Веб-оболочки
Проверьте, являются ли файлы (часто PHP и JSP файлы), обнаруженные HSS в ваших веб‑каталогах, веб‑оболочками.
- Информация о веб‑оболочке включает путь к файлу Trojan, статус, время первого обнаружения и время последнего обнаружения. Вы можете выбрать игнорировать предупреждение для доверенных файлов.
- Вы можете использовать функцию ручного обнаружения для обнаружения веб‑оболочек на серверах.
Обратные оболочки
Отслеживайте поведения пользовательских процессов в реальном времени, чтобы обнаруживать обратные оболочки, вызванные недействительными соединениями.
Обратные оболочки могут быть обнаружены для протоколов, включая TCP, UDP и ICMP.
Эксплуатация уязвимостей Redis
Обнаруживайте изменения, внесённые процессом Redis в ключевые каталоги, в реальном времени, и сообщайте о тревогах.
Эксплуатация уязвимостей Hadoop
Обнаруживайте изменения, внесённые процессом Hadoop в ключевые каталоги, в реальном времени, и сообщайте о тревогах.
Эксплуатация уязвимостей MySQL
Обнаруживайте изменения, внесённые процессом MySQL в ключевые каталоги, в реальном времени, и сообщайте о тревогах.
Эскалации привилегий файлов
Проверьте эскалации привилегий файлов в вашей системе.
Эскалации привилегий процессов
Можно обнаружить следующие операции эскалации привилегий процессов:
- Эскалация привилегий root за счёт эксплуатации уязвимостей SUID‑программ
- Эскалация привилегий root за счёт эксплуатации уязвимостей ядра
Важные изменения файлов
Получайте оповещения, когда критические системные файлы изменяются.
Изменения файлов/каталогов
Системные файлы и каталоги находятся под мониторингом. При изменении файла или каталога генерируется оповещение, указывающее, что файл или каталог могут быть подделаны.
Аномальное поведение процессов
Проверьте процессы на серверах, включая их идентификаторы, командные строки, пути процессов и поведение.
Отправляйте оповещения о неавторизованных операциях процессов и вторжениях.
Можно обнаружить следующее аномальное поведение процессов:
- Аномальное использование CPU
- Процессы, обращающиеся к вредоносным IP-адресам
- Аномальное увеличение количества одновременных соединений процессов
Выполнение команд высокого риска
Проверяйте выполненные команды в реальном времени и генерируйте тревоги, если обнаружены команды высокого риска.
Аномальные оболочки
Обнаруживайте действия с аномальными оболочками, включая перемещение, копирование и удаление файлов оболочки, а также изменение разрешений доступа и жёстких ссылок файлов.
Подозрительные задачи crontab
Проверяйте и перечисляйте сервисы автозапуска, запланированные задачи, предзагруженные динамические библиотеки, ключи реестра запуска и папки автозапуска.
Вы можете получать уведомления сразу, когда обнаружены аномальные элементы автозапуска, и быстро находить трояны.
Блокировка образов контейнеров
Если контейнер содержит небезопасные образы, указанные в подозрительных поведениях образов, будет сгенерирована тревога, и небезопасные образы будут заблокированы до запуска контейнера в Docker.
Аномальные входы
Проверяйте и обрабатывайте удалённые входы.
Если место входа пользователя не соответствует ни одному из общих мест входа, которые вы задали, будет сгенерирована тревога.
Недействительные учётные записи
Сканировать учётные записи на серверах и своевременно выводить список подозрительных учётных записей.
Уязвимости побега
Служба сообщает о тревоге, если обнаруживает поведение процесса контейнера, совпадающее с поведением известных уязвимостей (например, Dirty COW, brute-force attack, runC и shocker).
Файловые побеги
Служба сообщает о тревоге, если обнаруживает, что процесс контейнера получает доступ к ключевому файловому каталогу (например, /etc/shadow или /etc/crontab). Каталоги, соответствующие правилам сопоставления каталогов контейнера, также могут вызывать такие тревоги.
Аномальные процессы контейнера
Сервисы контейнеров обычно просты. Если вы уверены, что в контейнере работают только определённые процессы, вы можете добавить эти процессы в белый список политики и связать политику с контейнером.
Служба сообщает о тревоге, если обнаруживает, что в контейнере запущен процесс, не включённый в белый список.
Аномальные запуски контейнеров
Проверьте наличие небезопасных параметров, используемых при запуске контейнера.
Некоторые параметры запуска определяют разрешения контейнера. Если их настройки некорректны, злоумышленники могут использовать их для вторжения в контейнеры.
Системные вызовы с высоким риском
Пользователи могут выполнять задачи в ядрах с помощью системных вызовов Linux. Служба сообщает о тревоге, если обнаруживает высокорисковый вызов, такой как open_by_handle_at, ptrace, setns и reboot.
Доступ к конфиденциальным файлам
Обнаруживать подозрительные действия доступа (например, повышение привилегий и обеспечение устойчивости) к важным файлам.
Защита от подделки веб‑страниц для Windows servers
Защитите статические файлы веб‑страниц на ваших Windows website servers от вредоносных изменений.
Защита от подделки веб‑страниц для Linux servers
Защитите статические файлы веб‑страниц на ваших Linux website servers от вредоносных изменений.
Dynamic WTP
Защитите динамические файлы веб‑страниц на ваших Windows и Linux website servers от вредоносных изменений.
Защита приложений
Защитите работающие приложения. Достаточно добавить зонд к приложениям, без необходимости изменять файлы приложений.
В настоящее время поддерживаются только Linux servers, и можно подключать только Java applications.
Auto Blocking
Уведомляйте пользователей об успешной автоматической изоляции и завершении вредоносных программ, автоматической блокировке ransomware и автоматической блокировке WTP.
Подозрительные выполнения процессов
Обнаруживайте и сообщайте тревоги о неаутентифицированных или неавторизованных процессах приложений.
Подозрительный доступ процессов к файлам
Обнаруживайте и сообщайте тревоги о неаутентифицированных или неавторизованных процессах приложений, получающих доступ к определённым каталогам.
Login
Successful login
Уведомления отправляются в учётные записи, которые успешно вошли в систему.
Защита сервера
Ransomware protection disabled
Сигнал тревоги генерируется, если защита от вымогательского ПО отключена вручную или аномально.