云安全中心提供基础版、高级版和企业版3个版本,本文介绍不同版本的功能差异。

  • 基础版

    免费为您提供基础的安全加固能力,可检测服务器异常登录及DDoS攻击、服务器主流类型的漏洞以及云产品安全配置。您在购买ECS实例时选择安全加固即可开通基础版。

    云安全支持7天免费试用企业版功能。只有购买了ECS实例、并且以前未试用过云安全中心企业版的用户,才可以免费试用企业版的功能。如果您已具有试用资格,在登录云安全中心控制台后,会有弹窗提示您已获得云安全中心企业版7天免费试用资格。

  • 高级版

    按照包年包月方式收取服务费用,提供安全告警、漏洞检测及修复、安全报告等服务。

  • 企业版

    按照包年包月方式收取服务费用,提供安全告警、漏洞检测及修复、基线检查、资产指纹、攻击分析等全面的安全服务。

标识说明

以下是介绍云安全中心3个版本的功能差异用到的标识。
  • X:表示云安全中心不支持该特性。
  • √:表示云安全中心支持该特性。
  • 增值:表示您在购买云安全中心服务时必须额外选择的特性。

容器安全

功能模块 功能详情 基础版 高级版 企业版 相关文档
容器签名 支持对容器镜像的可信签名,确保只允许部署您认可的容器镜像,防止未经签名授权的镜像启动,从根本上帮助您提升资产的安全性。 X X 容器签名
镜像漏洞扫描(公测中) 提供容器镜像漏洞扫描功能,为您提供安全可信的镜像。
说明 目前云安全中心仅支持检测容器镜像漏洞,暂时不提供漏洞一键修复的功能。如果您的容器镜像中检测到了漏洞,请您根据云安全中心提供的漏洞修复方案加固镜像。
X X 容器镜像漏洞
容器风险项检测与告警 支持的检测范围如下:
  • 恶意镜像启动

    对DockerHub等公开的镜像源进行实时监控,当含有后门或者挖矿行为的恶意镜像被安装到服务器时及时进行预警。

  • 病毒和恶意程序

    检测容器中是否存在病毒、木马、挖矿程序、恶意脚本以及Webshell。

  • 容器内部入侵行为

    检测是否存在黑客通过应用层漏洞成功入侵容器,以及在容器中进行后续渗透利用和横向传播的行为。

  • 容器逃逸

    检测是否存在黑客利用容器配置不当或者Docker、操作系统自身漏洞进行的容器逃逸攻击。

  • 高风险操作预警

    检测是否存在宿主机敏感目录挂载、Docker或者K8s API泄露、以及可疑的特权容器启动行为,避免攻击者轻易对这些风险点发起攻击。

X X 查看和处理告警事件

试用报告

功能模块 功能详情 基础版 高级版 企业版 相关文档
试用报告 在免费试用云安全中心企业版后生成试用报告。 X X 总览

安全评分

功能模块 功能详情 基础版 高级版 企业版 相关文档
安全评分 云安全中心总览页面根据您资产整体的安全状态展示当前的安全评分。安全评分越高说明您系统的安全隐患越少。

资产中心

功能模块 功能详情 基础版 高级版 企业版 相关文档
服务器 资产中心提供了所有服务器的安全状态相关信息,例如服务器的防护状态、分组、地域、专有网络VPC等统计信息。 查看服务器安全状态
容器 资产中心提供了所有容器的安全状态相关信息,主要包括镜像名称/标签、镜像大小、地域、最新发现时间及风险状态信息。 X X 查看容器安全状态
网站 资产中心提供了所有网站的安全状态相关信息,主要包括网站根域名、子域名及其资产的风险状态和告警数量统计。 查看网站安全状态
云产品 资产中心提供了云产品安全状态的相关信息,包括存在风险云产品信息及云产品分类(负载均衡、NAT网关、RDS数据库和MongoDB数据库)统计等。 查看云产品安全状态

任务中心

功能模块 功能详情 基础版 高级版 企业版 相关文档
任务中心 任务中心提供任务管理功能。通过执行任务,可以自动化、批量地在多台资产上修复漏洞。 X X 任务中心概述

等保合规检查

功能模块 功能详情 基础版 高级版 企业版 相关文档
等级保护合规检查 云安全中心提供覆盖通信网络、区域边界、计算环境和管理中心的等级保护合规检查功能。 等级保护合规检查

漏洞修复

功能模块 功能详情 基础版 高级版 企业版 相关文档
Linux软件漏洞 【Linux软件漏洞检测】对标CVE官方漏洞库,采用OVAL匹配引擎进行软件版本比对,对当前使用的软件版本中存在的漏洞进行告警。
说明 基础版只支持漏洞自动检测,不支持漏洞修复和漏洞一键扫描操作。如需使用云安全中心对漏洞进行修复和手动一键扫描资产是否存在漏洞,需要升级到高级版或企业版。
只检测 Linux软件漏洞
【漏洞修复】支持系统漏洞一键修复,同时自动化快照能力实现一键回滚,让修复漏洞更安全。 X
Windows系统漏洞 【Windows系统漏洞检测】同步微软官网补丁源,对高危及有影响的漏洞进行检测和提醒。
说明 基础版只支持漏洞自动检测,不支持漏洞修复和漏洞一键扫描操作。如需使用云安全中心对漏洞进行修复和手动一键扫描资产是否存在漏洞,需要升级到高级版或企业版。
只检测 Windows系统漏洞
【漏洞修复】自动化识别漏洞修复所需的前置补丁包,解决服务器因无前置补丁而无法修复漏洞的问题,实现您一键修复 Windows 漏洞。对需要重启系统修复的漏洞会进行提醒,提升修复Windows系统漏洞的效率。 X
Web-CMS漏洞 【Web-CMS漏洞检测】监控网站目录,识别通用建站软件,通过漏洞文件比对方式检测建站软件中的漏洞。
说明 基础版只支持漏洞自动检测,不支持漏洞修复和漏洞一键扫描操作。如需使用云安全中心对漏洞进行修复和手动一键扫描资产是否存在漏洞,需要升级到高级版或企业版。
只检测 Web-CMS漏洞
【漏洞修复】自研漏洞补丁,支持一键修复,通过文件替换、修改等方式从源代码级别修复漏洞。 X
应急漏洞 临时提供针对网络上突然出现的紧急漏洞的检测和修复服务。
说明 基础版只支持漏洞自动检测,不支持漏洞修复和漏洞一键扫描操作。如需使用云安全中心手动一键扫描资产是否存在漏洞,需要升级到高级版或企业版。
应急漏洞
应用漏洞 提供系统服务弱口令、系统服务和应用服务的漏洞检测及修复服务。
说明 应用漏洞为企业版功能,基础版和高级版不支持。如需使用云安全中心对应用漏洞进行修复和检测资产是否存在漏洞,需要升级到企业版。
X X 应用漏洞
容器镜像漏洞(公测中) 提供容器镜像漏洞扫描功能,为您提供安全可信的镜像。
说明 目前云安全中心仅支持检测容器镜像漏洞,暂时不提供漏洞一键修复的功能。如果您的容器镜像中检测到了漏洞,请您根据云安全中心提供的漏洞修复方案加固镜像。
X X 容器镜像漏洞
一键扫描 云安全中心支持对您的资产进行手动一键扫描、实时检测是否存在漏洞的功能。
说明 除应用漏洞外,其他几类漏洞只有高级版和企业版才能使用一键扫描功能。

应用漏洞属于企业版功能,基础版和高级版不支持,只有企业版才可使用一键扫描功能。

X √(高级版不支持应用漏洞) 一键扫描漏洞
建议紧急修复的漏洞 云安全中心支持修复紧急漏洞,提供建议紧急修复的漏洞聚合页面,帮助您快速查看和修复所有高紧急程度的漏洞。 X 漏洞修复概述

基线检查

功能模块 功能详情 基础版 高级版 企业版 相关文档
服务器基线 通过任务下发模式,对服务器进行安全配置扫描,对不符合标准的项目进行告警提示。
【基线检查范围】
  • 账号安全:检测密码策略合规、系统及应用弱口令等。
  • 系统配置:检测组策略、登录基线策略、注册表配置等存在的风险。
  • 数据库风险:检测Redis数据库高危配置等。
  • 合规对标要求:检测是否符合CIS-Linux Centos7等系统基线要求。

【自定义检测策略】支持自定义检测策略,设置检测项目、检测周期、应用的服务器组等。暂不支持自定义检测脚本。

X X 基线配置检查

云平台配置检查

功能模块 功能详情 基础版 高级版 企业版 相关文档
云平台配置检查 【云平台配置检查】检测ECS、RDS等云产品的安全配置是否存在安全隐患。
【检查范围】
  • ECS:检测安全组端口访问策略是否过宽。
  • SLB:检测是否转发不必要的端口至公网,增加系统受攻击风险。
  • RDS:检测数据库是否公开在外网,以及是否配置访问白名单。
  • Actiontrail:检测是否开启了操作日志审计,便于日志回溯。
  • MFA:检测是否开启了双因素认证登录,防止阿里云账号被破解。
  • 其他:检测SLB白名单、RDS加密通信等。
云平台配置检查概述

安全告警

功能模块 功能详情 基础版 高级版 企业版 相关文档
进程异常行为 通过云上真实的攻防场景对入侵链路还原,建立进程行为白名单,对于进程的非法行为、黑客的入侵过程进行告警。

【异常行为检测能力】为数百个进程建立了近千个行为模型,通过比对模型分析异常行为。

【异常行为检测范围】
  • 反弹Shell:检测Bash进程执行可疑指令,服务器被远程控制执行任意命令等。
  • 数据库异常指令执行:检测MySQL、PostgreSQL、SQL Server、Redis、Oracle等数据库的异常指令。
  • 应用进程非法操作:检测Java、FTP、Tomcat、Docker容器、Lsass.exe等应用进程的非法操作。
  • 系统进程非法行为:检测Powershell、SSH、RDP、SMBD共享、SCP文件拷贝等系统进程的非法行为。
  • 其他可疑进程行为:检测Vbscript被访问、Host被访问、Crontab被写入、Webshell写入等可疑进程行为。
X 安全告警
网站后门 支持服务器+网络双重检测机制,检测PHP、ASP、JSP等类型的网站脚本文件。

【网站后门检测范围】

  • 服务器检测:实时监控服务器上网站目录文件变化。
  • 网络检测:通过还原后门文件及分析网络协议进行检测。
X
【Webshell查杀】支持在控制台一键隔离检测出来的Webshell文件。已隔离文件可在30天内恢复。 X
异常登录 提供基础登录检测功能:
  • 非常用登录地登录

    系统自动记录ECS常用登录地(支持手动添加)。如果在非常用登录地进行登录,则触发告警。

  • 暴力破解

    检测ECS在多次尝试登录失败后最终登录成功的情况。这类情形很有可能是密码被暴力破解。

提供高级登录检测功能:
  • 非合法IP登录

    开启后,允许用户配置ECS合法登录IP(例如:堡垒机IP、办公网IP等)。如果使用非指定的IP登录,则触发告警。

  • 非合法账号登录

    开启后,允许用户配置ECS合法登录账号。如果使用非合法账号登录,则触发告警。

  • 非合法时间登录

    开启后,允许用户配置合法登录时间(例如:工作时间)。如果在非合法登录时间登录,则触发告警。

X
敏感文件篡改 实时监控敏感目录及文件,对异常的读取、写入、删除等敏感操作进行告警。
【文件篡改检测范围】
  • 系统文件篡改:检测Bash、ps命令进程是否被恶意替换,隐藏的非法进程运行等。
  • 网站核心文件删除:检测是否有黑客非法登录服务器,恶意删除网站文件。
  • 网站挂马篡改:检测网站是否被加入恶意代码,造成访问者自动下载木马病毒。
  • 其他可疑事件:检测是否存在Linux、MySQL等被勒索软件篡改登录界面、留下邮箱或比特币钱包地址等情形。
X
恶意进程(云查杀) 定期扫描进程并监控进程启动事件,通过云查杀机制检测恶意病毒和木马进程。支持在控制台一键结束进程和隔离恶意文件。
【病毒库】
  • 更新机制:病毒版本部署在云端,由阿里云统一控制,实时更新,客户端本地无检测引擎。
  • 病毒样本能力:基本覆盖全种类病毒,在云端集成中国及中国以外地域主流杀毒引擎、阿里云自研沙箱和机器学习引擎等。
【病毒查杀范围】
  • 勒索病毒:WanaCry、CryptoLocker等加密文件型勒索软件。
  • 恶意攻击:对外DDoS攻击木马、对外恶意扫描木马、垃圾邮件发送木马等。
  • 挖矿软件:占用服务器非法挖掘虚拟货币的资源消耗型软件。
  • 傀儡机程序:中控木马、恶意中控连接、黑客工具等。
  • 其他病毒:蠕虫病毒、Mirai病毒、感染型病毒等。
X
异常网络连接 在服务器中和网络层对网络连接进行监控,识别非法的连接行为,并进行告警。
【异常连接检测范围】
  • 主动外连:可疑shell反弹、Bash主动外连等主动外连到可疑IP。
  • 恶意攻击:被种植恶意软件,对外发动SYN-Flood、UDP-Flood、ICMP-Flood等恶意攻击。
  • 可疑通信:检测后门程序通信、可疑Webshell通信行为等。
X
其他
  • 云安全中心客户端异常离线。
  • DDoS攻击行为检测。
X
异常账号 基于用户行为分析,对异常账号登录系统进行检测。 X
应用入侵事件 对通过应用入侵的行为进行检测,如:SQLServer。 X
云产品威胁检测 基于用户行为分析,对云产品的异常使用进行检测。例如黑客调用AccessKey异常购买大量ECS服务器进行挖矿等行为。 X X
精准防御 自动隔离常见网络病毒,包括主流勒索病毒、DDoS木马、挖矿和木马程序、恶意程序、后门程序和蠕虫病毒等。所有支持自动隔离的病毒都经过了阿里云安全专家的测试和验证,确保零误杀。 X
应用白名单 通过检测白名单中指定的应用程序区分可信、可疑或恶意程序、防止未经白名单授权的程序运行。 X X 增值
持久化后门 检测服务器中是否存在持久化后门。

当入侵者通过某种手段获取服务器的控制权之后,通过在服务器上放置一些后门(脚本、进程、链接等),来方便后续执行持久化的入侵。常见的持久化后门有Crontab计划任务、自启动任务、替换系统文件等。

X
Web应用威胁检测 检测通过Web应用入侵的行为。 X
恶意脚本 检测服务器中是否存在恶意脚本。

恶意脚本分为有文件脚本和无文件脚本。攻击者在获取到服务器权限后,使用脚本作为载体来达到进一步攻击利用的目的。利用方式包括植入挖矿程序、添加系统后门、添加系统账户等操作。恶意脚本的语言包括Bash、Python、Perl、Powershell、Bat、Vbs。

X
威胁情报 提供第三方威胁情报源。 X 增值 增值
恶意网络行为 通过流量内容、主机行为等日志综合判断是否存在异常的网络行为,包括攻击者通过开放的网络服务入侵主机,以及主机沦陷后对外发起的异常网络行为。 X

攻击分析

功能模块 功能详情 基础版 高级版 企业版 相关文档
攻击分析 支持查看系统遭受的Web攻击详情和ECS遭受的暴力破解攻击等攻击信息。 X X 攻击分析

AK泄露检测

功能模块 功能详情 基础版 高级版 企业版 相关文档
AK泄露检测 实时监控Github代码托管网站,捕获并判定被公开的源代码(包含企业员工私自上传并不小心公开的源代码)中是否含有阿里云资产的AccessKey信息。 AK泄露检测

日志分析

功能模块 功能详情 基础版 高级版 企业版 相关文档
全量日志分析 基于日志服务功能,提供服务器进程启动、对外网络连接、系统登录、五元组、DNS请求、安全日志和报警日志等原始日志的检索和分析。
说明 高级版支持主机日志和安全日志,不支持网络日志;企业版支持主机日志、安全日志和网络日志。
X 增值 增值 日志分析

资产指纹调查

功能模块 功能详情 基础版 高级版 企业版 相关文档
资产指纹 支持实时检测服务器的以下指纹信息:
  • 端口

    收集和呈现端口监听信息,便于清点开放的端口信息。

  • 账号

    收集服务器账号及对应权限信息,可清点特权账号,检测提权行为。

  • 进程

    收集和呈现进程快照信息,便于自主清点合法进程,检测异常进程。

  • 软件

    清点软件安装信息,在高危漏洞爆发时可快速定位到受影响资产。

  • 计划任务

    收集计划任务信息,便于您及时清点资产的任务路径信息。

X X 资产指纹调查概述

安全报告

功能模块 功能详情 基础版 高级版 企业版 相关文档
安全报告 对安全日报进行配置。开启安全日报后,云安全中心以邮件形式向您指定的收件人发送每日安全统计信息。 X X 安全报告

应用市场

功能模块 功能详情 基础版 高级版 企业版 相关文档
自定义告警 支持用户自定义告警规则,实时检测威胁,支持对第三方日志导入进行实时分析。 X 增值 增值 自定义告警
应用白名单 支持将需要重点防御的服务器加入到白名单中,通过检测白名单中指定的应用程序区分可信和可疑/恶意程序、防止未经白名单授权的程序运行。 X 增值 增值 应用白名单
安全大屏 支持查看业务运营监控、安全应急响应中心、安全感知体系、安全防御体系大图、业务访客概览等多种数据大屏,并支持组件自定义。 X 增值 增值 安全大屏(新版)
网页防篡改 可实时监控网站目录并通过备份恢复被篡改的文件或目录,保障重要系统的网站信息不被恶意篡改,防止出现挂马、黑链、非法植入恐怖威胁、色情等内容。

支持对Windows和Linux进程添加白名单。网页防篡改功能将不对加入白名单的进程进行拦截。

X 增值 增值 网页防篡改
微步威胁情报 提供第三方威胁情报源。 x 增值 增值 微步威胁情报

设置

功能模块 功能详情 基础版 高级版 企业版 相关文档
设置 支持对云安全中心的病毒查杀、网站后门查杀、容器威胁检测、安全管控、访问控制和Agent防护模式进行配置。
说明 设置功能调整至控制台左侧导航栏,登录控制台后可一键使用设置功能。
设置
Agent客户端防护支持基础防护模式、高安全等级防护模式和重大活动保障模式,覆盖多场景下的Agent使用需求,更好地保护您的资产安全。 防护模式管理
通知 对告警通知进行自定义设置,通过告警设置调整云安全中心向您发送告警通知的方式和要关注的风险等级。 通知
安装/卸载插件 支持Agent插件的安装和卸载。 安装或卸载插件

安全威胁防御限制说明

云安全中心支持安全告警实时检测与处理、漏洞检测与一键修复、攻击分析、云平台安全配置检查等功能,结合告警关联分析和攻击自动化溯源,帮助您全面加固系统和资产的安全防线。在云安全中心提供的防御能力以外,建议您定期更新服务器安全系统补丁、配合使用云防火墙、Web应用防火墙等产品缩小网络安全威胁的攻击范围,实时预防,不让黑客有任何可乘之机。

说明 由于网络攻击手段、病毒样本在不断的演变,实际的业务环境也有不同差异,因此无法保证能实时检测防御所有的未知威胁,建议您基于安全告警处理、漏洞、基线检查、云平台配置检查等安全能力,提升整体安全防线,预防黑客入侵、盗取或破坏业务数据。