常用功能配置

设置云安全中心通知

云安全中心支持通过短信、邮件、站内信和钉钉机器人的方式向您发送告警通知。更多信息请参见通知。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击设置。
3. 在设置页面单击通知页签。
4. 在通知页面针对漏洞、基线检查、安全告警、AccessKey泄露情报、云平台配置检查、应急漏洞情报和网页防篡改，分别选中需要进行告警的安全事件等级（即我关注的等级）、通知方式、通知时间。
5. 可选：配置钉钉机器人通知。

   仅云安全中心企业版支持使用钉钉机器人的通知方式。基础版、基础杀毒版、高级版用户需要升级到企业版，才能使用钉钉机器人的通知方式。

   如果您已安装钉钉并建立了相关钉钉群，可配置钉钉机器人通知。

   说明 未建立钉钉群的用户，无法使用钉钉机器人通知。建立钉钉群之前，您需先安装钉钉。

   1. 定位到您需要添加机器人通知的钉钉群，单击右上角群设置 > 智能群助手 > 添加机器人 > 自定义（机器人） > 添加。
   2. 配置机器人。详细内容请参见配置钉钉机器人。
      说明 添加机器人时，将安全设置选择为自定义关键词，并将自定义关键词设置为云安全中心。无需选择加签和IP地址（段）。
      
   3. 复制webhook地址，并单击完成机器人的设置。
   4. 在云安全中心控制台设置 > 通知页面的钉钉机器人通知区域，单击添加新的机器人。
   5. 在添加钉钉机器人页面，参考以下表格配置云安全中心钉钉机器人参数。

      参数	说明	配置方法
      机器人名称	为钉钉机器人自定义名称。	手动输入机器人名称，建议输入便于识别的名称。
      Webhook地址	机器人的接入地址。	在要应用该钉钉机器人的钉钉群中，找到机器人的Webhook链接，复制粘贴到Webhook地址输入栏中。 注意 请保管好此Webhook地址，不要公布在外部网站上，泄露后可能会产生安全风险。
      资产分组	您可以选择在云安全中心资产中心中创建的资产分组。选中后，钉钉机器人将会发送该资产分组中资产相关的告警通知。	单击下拉列表，选择钉钉机器人通知涉及的资产分组。
      通知范围	需要钉钉机器人通知的告警类型。	单击下拉列表，选择需要钉钉机器人通知的告警类型。 说明 目前，钉钉机器人通知范围覆盖漏洞、基线检查、安全告警和AK泄露检测。
      通知频率	钉钉机器人发送通知的间隔周期，可选1分钟、5分钟、10分钟、30分钟或无限制（每检测到一条告警实时发送通知）。 说明 选择无限制后，一个 Webhook，一分钟最多发送20条通知。	单击下拉列表，选择您所需的通知间隔周期。
      通知语言	钉钉机器人发送通知的语言类型，可选中文或英文。	单击下拉列表，选择钉钉机器人的通知语言。

   6. 单击添加，完成钉钉机器人通知的创建。

      新创建的钉钉机器人通知是默认启用的。

      
      说明

      • 添加机器人通知后，可单击操作栏的测试，验证钉钉机器人通知是否已经和钉钉群连通。
      • 钉钉机器人通知支持编辑和删除。删除通知后您将无法收到相关告警的钉钉机器人通知，但不影响您已设置的短信、邮件或站内信通知。

设置主动防御开关、网站后门查杀和客户端自保护

云安全中心的设置功能提供自定义配置病毒查杀、网站后门查杀和客户端自保护等服务。更多详细信息请参见设置。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击设置。
3. 设置主动防御开关。
   云安全中心的主动防御能力为您自动拦截常见病毒、网站后门连接，并设置诱饵捕获勒索病毒。各功能的详细介绍如下：

   • 防病毒：防病毒能够帮助您自动隔离并查杀常见网络病毒，包括主流勒索病毒、DDoS木马、挖矿和木马程序、恶意程序、后门程序和蠕虫病毒等。所有支持自动隔离的病毒都经过了阿里云安全专家的测试和验证，确保零误杀。
   • 防勒索（诱饵捕获）：防勒索（诱饵捕获）提供了捕捉新型勒索病毒的诱饵，并通过病毒行为分析，为您自动启动新型勒索病毒的防御。云安全中心在您服务器中设置的勒索捕获诱饵文件仅用于捕获新型勒索病毒，不会对您的业务产生任何影响，请您放心使用该功能。您可以在安全告警处理页面，将告警类型设置为精准防御，以便查看云安全中心为您隔离的防勒索病毒。
   • 网站后门连接防御：开启该功能后，云安全中心会自动拦截黑客通过已知网站后门进行的异常连接行为，并隔离相关文件。您可以在安全告警处理页面查看相应告警和被隔离的文件。更多信息请参见查看和处理告警事件和文件隔离箱。
   1. 在设置页签的主动防御区域开启防病毒、防勒索（诱饵捕获）和网站后门连接防御的开关。
   2. 单击防病毒、防勒索（诱饵捕获）或网站后门连接防御右侧的管理。
   3. 在主动防御-防病毒、主动防御-防勒索（诱饵捕获）或主动防御-网站后门连接防御对话框中设置需要检测的服务器 。

      从左侧未检测服务器列表中选择要开启检测的服务器，单击图标，将其移入右侧已检测服务器列表中，为该服务器开启检测；将服务器从右侧框移入左侧框，为该服务器关闭检测功能。

   4. 单击确定。
   5. 开启防病毒、防勒索（诱饵捕获）和网站后门连接防御服务后，云安全中心将对检测出的主流病毒类型或异常连接进行自动隔离，您可在安全告警处理页面精准防御类型告警列表中，查看被主动防御功能自动隔离掉的病毒。
4. 设置网站后门查杀。

   网站后门查杀功能会定期检测网站服务器、网页目录中的网站后门及木马程序。

   1. 在网站后门查杀区域，单击管理。
   2. 设置需要开启网站后门查杀的服务器。

      从左侧未检测服务器列表中选择要开启网站后门查杀的服务器，单击右向箭头，将其移入右侧已检测服务器列表中，为该服务器开启网站后门查杀功能；将服务器从右侧框移入左侧框，为该服务器关闭网站后门查杀功能。

   3. 单击确定。
5. 开启客户端自保护。
   开启客户端自保护后，云安全中心将主动为您拦截恶意的卸载行为，并会对您服务器Agent目录下的进程文件提供默认保护，防止攻击者入侵服务器后卸载云安全中心Agent或您服务器中的其他进程误杀Agent，从而导致整个云安全中心防护失效。建议您开启客户端自保护防御模式。

   说明 为全面保护您的服务器安全，服务器在开启了客户端自保护后，您将无法直接在控制台卸载Agent。如果您需要卸载Agent，必须先关闭服务器的客户端自保护。卸载Agent的详细操作步骤请参见卸载Agent。
   1. 在客户端自保护区域，打开防御模式开关。
   2. 单击保护范围右侧的管理。
   3. 在客户端自保护配置需要开启或关闭客户端自保护的服务器。
   4. 单击确定。

镜像安全扫描

仅企业版支持镜像安全扫描功能。基础版、基础杀毒版和高级版用户需要升级到企业版才能使用镜像安全扫描功能。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击安全防范 > 镜像安全扫描。
3. 可选：单击立即授权。
   首次使用镜像安全扫描功能需进行授权，如果您已执行过授权操作，请跳过该步骤。
4. 可选：在镜像安全扫描页面单击一键扫描。
   如果您需要查看最新的镜像安全扫描结果，可以执行该步骤。扫描预计需要1分钟时间，扫描完成后您需要手动刷新当前页面查看最新数据。
5. 在镜像系统漏洞、镜像应用漏洞或镜像恶意样本页签下查看扫描出的镜像漏洞或恶意样本。
   根据需要您可以执行以下操作：

   • 搜索指定漏洞或恶意样本

     在搜索框选择漏洞修复紧急度（高、中、低）或恶意样本严重程度（紧急、可疑、提醒），输入实例ID、仓库名称、命名空间或摘要等，搜索指定漏洞或恶意样本。

   • 查看漏洞或恶意样本详情

     单击漏洞或恶意样本名称，查看漏洞或恶意样本详情。在漏洞或恶意样本详情页面，您可以查看漏洞详情（包括漏洞编号、影响分、漏洞公告）或恶意样本详情（包括处理紧急程度、恶意样本MD5、最新扫描时间和首次扫描时间），以及受影响镜像的列表信息。

   • 查看受影响镜像详情

     单击漏洞或恶意样本名称，进入漏洞或恶意样本详情页面后，单击需查看的镜像操作列下的详情。查看该镜像扫描出的漏洞或恶意样本的详细信息。

执行云平台配置检查

手动检查

1. 登录云安全中心控制台。
2. 在左侧导航栏单击安全防范 > 云平台配置检查。
3. 在云平台配置检查页面，单击检查项列表上方的立即检查，对云产品配置进行全量检查，确定是否存在风险项以及影响的资产数量。
   说明 全量检查时，需要完成全部检查项的检查后才可以进行其他操作，请耐心等待。
   完成检查后，检查项列表中按检查结果的严重等级由高风险到低风险进行排序。

自动检查

1. 登录云安全中心控制台。
2. 在左侧导航栏单击安全防范 > 云平台配置检查。
3. 在云平台配置检查页面右上角单击检查设置。
4. 在检查设置对话框中设置云平台配置检查的检查周期和检查时间。
   

   • 检查周期：可选星期一至星期日，支持多选。
   • 检查时间：可选择24:00~06:00、06:00~12:00、12:00~18:00、18:00~24:00这4个时间段中的任意一个。
5. 单击确定。
   在选定时间段内，云安全中心会对所有检查项自动执行一次检查。

执行安全组配置检查

安全组配置检查功能为您检查ECS服务器安全组中存在高危风险的规则，并提供修复建议，帮助您更安全高效地使用安全组功能。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击安全防范 > 安全组检查。
3. 可选：在安全组配置检查页面单击获取最新检查结果。
   安全组检查预计需要1~5分钟，请您耐心等待。

   说明 此处获取的最新检查结果只是针对安全规则的静态分析得出，可能无法覆盖全部的端口风险情况。您可以在云防火墙互联网访问活动页面查看端口相关的全部检查结果，了解端口的实际暴露情况。
4. 在检查结果详情区域，查看检测出安全风险的规则详细信息。
   您可以查看规则风险等级、检查项名称、风险安全组/服务器数和检查项状态信息。

   说明 检查项默认为开启状态。如果需要关闭某个检查项，您可以单击该检查项的检查项状态列下的图标，关闭该检查项。检查项关闭后，云防火墙将不会对该检查项中的安全风险进行检查。
5. 修复高危安全组规则。
   1. 定位到指定规则，单击其操作列下的修复详情。
      您也可以单击风险安全组数下的数字跳转至安全组修复详情页面。
   2. 在安全组修复详情页面，定位到需要修复的安全组，单击其操作列下的去安全组修复。
      安全组规则设置不当可能会引起严重的安全事故。安全组修复详情页面针对风险安全组提供了修复建议，您需要根据修复建议尽快修改存在风险的安全组规则。
      如果您是云防火墙高级版及以上版本用户，您将跳转到安全组列表页面。您需要根据修复建议手动修复高危安全组规则。更多信息请参见修改安全组规则。如果您是云防火墙免费版用户，您需要执行子步骤c中的内容。
   3. 可选：在推荐使用云防火墙智能修复对话框，单击立即升级或去安全组手动修复。
      可选择的修复方式说明如下：

      • 立即升级：购买云防火墙高级版本，使用云防火墙提供的安全组配置检查功能修复安全组高危规则。云防火墙可统一管理安全组和公网IP访问控制策略，及时缩小安全风险暴露面，提高安全管理效率。推荐您使用该方式。
      • 去安全组手动修复：跳转到安全组列表页面，手动修复高危安全组规则。更多信息请参见修改安全组规则。

配置暴力破解防御规则

云安全中心提供防暴力破解功能，您可以自定义暴力破解防御规则。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击威胁检测 > 安全告警处理。
3. 单击页面右上角安全告警设置。
4. 在安全告警设置页面单击防暴力破解页签。
5. 可选：完成授权。
   1. 将鼠标移动至防暴力破解右侧的管理，单击去授权。
   2. 单击同意授权。
   说明 首次配置暴力破解防御规则需要操作授权，如果您已经完成相应授权，请忽略该步骤，直接执行下一步骤。
6. 单击防暴力破解右侧的管理。
7. 在添加防御规则页面，配置防御规则。

   云安全中心为您提供了默认防御规则：防暴力破解攻击阿里云最佳实践，该防御规则具体为10分钟内登录失败次数超过80次，禁止登录6小时。您可以选择对应服务器，直接使用该默认防御规则。您也可以参考以下表格中的配置说明自定义防御规则。

   参数	说明
   防御规则名称	可自定义规则名称。
   防御规则	设置某个时间范围（支持选择1分钟、2分钟、5分钟、10分钟、15分钟）内登录失败次数超过限定次数（支持选择2次、3次、4次、5次、10次、50次、80次、100次），禁止登录时长（支持选择5分钟、15分钟、30分钟、1小时、2小时、6小时、12小时、24小时、7天、永久）。 例如：1分钟内登录失败次数超过3次，禁止登录30分钟。
   请选择对应的服务器	设置防御规则生效的服务器。支持直接选择云安全中心防护的服务器，或根据服务器名称和IP筛选指定服务器。
   设置为默认策略	设置该防御规则是否为默认策略。设置为默认策略后，其他未添加防御规则的服务器将默认应用该规则。 说明 选中设置为默认策略后，无论您是否在请选择对应的服务器中选择了服务器，当前策略都会对所有未添加防御规则的服务器生效。

8. 单击确定。
   说明 每台服务器仅支持配置一个防御规则。

   • 如果该规则中设置生效的服务器已配置了其他防御规则，在确认防御规则变更页面，单击确认。
   • 如果该规则中设置生效的服务器未配置其他任何防御规则，该防御规则添加成功。
9. 在IP规则策略库页面查看云安全中心为您自动生成的IP拦截策略。
   您在安全告警设置 > 防暴力破解页面添加了防御规则后，该规则触发了IP拦截，就会自动生成IP拦截策略。以下步骤介绍如何查看IP拦截策略。
   1. 在安全告警处理页面，单击生效IP拦截策略/全部策略下的数字。
      单击生效IP拦截策略下的数字可跳转到已启用的系统内置IP拦截规则页面。单击全部策略下的数字可跳转到全部状态（包括已启用和已禁用）的系统内置IP拦截规则页面。
   2. 在IP规则策略库的系统规则页签下，查看云安全中心自动生成的IP拦截策略。
      IP拦截策略的更多信息请参见设置IP拦截策略。

配置网页防篡改

网页防篡改功能可实时监控网站目录并通过备份恢复被篡改的文件或目录，保障重要系统的网站信息不被恶意篡改。使用网页防篡改功能需要您预先购买防篡改授权数。相关内容请参见网页防篡改开通服务。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击主动防御 > 网页防篡改。
3. 在网页防篡改页面单击防护管理页签。
4. 在防护管理页签单击为服务器添加防护，将需要保护的服务器添加到网页防篡改防护列表中。
5. 在创建网页防篡改对话框中选择目标服务器。
   说明 可使用的授权配额为0时，您将无法添加新的防护服务器。如果有无需防护的服务器，可以暂时关闭该服务器的防护状态。关闭防护后，将会释放出对应数量的可用授权配额，以便您添加新的服务器。例如：关闭1台服务器的防护状态，将会释放出1个可用授权配额。
6. 单击下一步，进入添加防护目录页签。
7. 在添加防护目录页签中，完成以下配置。
   选择防护模式。可选白名单模式或黑名单模式。白名单模式下，会对添加的防护目录和文件类型进行保护；黑名单模式下，会防护目录下所有未排除的子目录、文件类型和指定文件。默认开启白名单模式。

   • 白名单模式配置：

     配置项	描述
     防护目录	手动输入该服务器下需要开启防篡改保护的目录地址。 说明 Linux服务器和Windows服务器防护目录地址的格式可能会有区别，请根据页面提示输入正确的格式。
     防护文件类型	单击下拉列表，选择该目录中需要防护的文件类型，例如：JS、HTML、XML、JPG等。
     本地备份目录	展示防护目录的默认备份存储路径。 云安全中心为您指定的默认备份目录为/usr/local/aegis/bak（Linux服务器）和C:\Program Files (x86)\Alibaba\Aegis\bak（Windows服务器），您可手动修改默认的备份路径。

   • 黑名单防护模式：

     配置项	描述
     防护目录	手动输入该服务器下需要开启防篡改保护的目录地址。
     排除子目录	手动输入无需开启网页防篡改的子目录地址。 单击添加子目录，支持添加多个子目录。 添加排除子目录后，云安全中心将不会对该子目录中的文件进行防护。
     排除文件类型	选择无需进行网页防篡改检测的文件格式。 可选值包含log、txt、ldb。 选择排除文件类型后，云安全中心将不会对该防护目录下该类型的文件进行防护。
     排除指定文件	手动输入无需开启网页防篡改的文件目录地址。 单击添加文件，支持添加多个文件。 输入指定文件后，云安全中心将不会对该指定文件进行防护。
     本地备份目录	展示防护目录的默认备份存储路径。 云安全中心为您指定的默认备份目录为/usr/local/aegis/bak（Linux服务器）和C:\Program Files (x86)\Alibaba\Aegis\bak（Windows服务器），您可手动修改默认的备份路径。

8. 单击开启防护，完成添加服务器和目录的操作。
   添加服务器完成后，该服务器将显示在网页防篡改页面的防护服务器列表中。

   说明 添加服务器后，服务器的网页防篡改防护是默认关闭状态的。您需要在网页防篡改页面开启目标服务器的防护状态。

   
9. 在防篡改防护列表中，单击目标服务器防护状态开关，为该服务器开启防护服务。
   说明 添加服务器后，服务器的网页防篡改防护是默认关闭状态的。您需要在网页防篡改列表中开启目标服务器的防护状态。

   首次开启防护时，目标主机的服务状态将会显示为启动中，并显示启动进度条。请耐心等待数秒，启动成功后服务状态将会显示为正在运行。

   当防护服务状态为异常时，在目标服务器服务状态栏单击异常，显示异常状态的详细原因并单击重试。详情请参见防护异常状态处理。

配置防勒索

云安全中心针对勒索病毒提供防御、告警和数据备份的能力，可预防勒索病毒入侵您的核心服务器。使用防勒索功能需要您预先购买防勒索容量。相关内容请参见防勒索开通服务。

1. 登录云安全中心控制台。
2. 在左侧导航栏单击主动防御 > 病毒防御。
3. 在病毒防御页面单击添加防勒索策略。
4. 在通用防勒索解决方案页面单击立即授权。
5. 在通用防勒索解决方案页面单击创建防护策略。
   您也可以单击未防护的服务器下的数字进入创建防护策略页面。
6. 在创建防护策略页面，配置防护策略相关参数。
   您可以参考以下表格中的参数说明配置防护策略。

   参数	说明
   策略名称	输入防护策略的名称。
   选择资产	支持选中单台资产、跨组选中多台资产或者选中资产分组。 执行以下操作选择需要防护的资产： 在资产分组区域选择某一资产分组，系统将自动选择该分组下的所有资产。您可在右侧资产模块下，取消选中不需要的防护的资产。 在资产模块下输入资产名称（支持模糊查询），单击搜索框的搜索按钮后会为您展示相关资产，您可选中需要防护的资产。 说明 为保证您的防护容量得到合理和有效地利用，每台服务器只支持添加到一个防护策略中。每个防护策略中，最多只能添加100台服务器。 病毒防御仅支持备份阿里云ECS服务器数据，不支持备份非阿里云服务器数据。您只能为您的阿里云ECS服务器创建防护策略。 防勒索数据备份功能现已支持西南1（成都）、华东2金融云（上海）、华北2阿里政务云、华东2（上海）、华东1（杭州）、华北2（北京）、华南1（深圳）、华北3（张家口）、华北5（呼和浩特）、华北1（青岛）、中国香港、新加坡、印度尼西亚（雅加达）、澳大利亚（悉尼）、美国（硅谷）、美国（弗吉尼亚）、德国（法兰克福）、日本（东京）和印度（孟买）地域。其他地域暂不支持。目前您只能选择防勒索支持的地域下的ECS服务器。
   防护策略	支持选择以下策略： 推荐策略 选择推荐策略后，默认选择以下配置： 防护目录：全部目录（排除系统目录） 防护文件类型：全部文件类型 数据备份开始时间：00:00~03:00的任一时刻 备份策略执行间隔：一天 备份数据保留时间：七天 备份网络带宽限制（MB/s）：5 MB/s 自定义策略 选择自定义策略后，您需要自定义防护策略的防护目录、防护文件类型、数据备份开始时间、备份策略执行间隔、备份数据保留时间、备份网络带宽限制（MB/s）等参数。
   防护目录	选择需要进行防护的目录，支持选择以下类型： 指定目录：防护已选中资产的指定目录。您需要在目录地址文本框中输入需要防护的目录地址。 全部目录：防护已选中资产的全部目录。 您需要在是否排除系统目录处选择是否排除系统目录。 说明 为防止出现系统冲突，选择全部目录后，建议您在设置是否排除系统目录时选择排除。
   是否排除系统目录	选择排除或不排除系统目录。以下是选择排除后Windows和Linux系统的排除目录： Windows： Windows\ python27\ Program Files (x86)\ Program Files\ ProgramData\ Boot\ $RECYCLE.BIN\ System Volume Information\ Users\Administrator\NTUSER.DAT pagefile.sys Linux： /bin/ /usr/bin/ /sbin/ /boot/ /proc/ /sys/ /srv/ /lib/ /selinux/ /usr/sbin/ /run/ /lib32/ /lib64/ /lost+found/ /var/lib/kubelet/
   目录地址	输入需要防护的目录地址。如果有多个目录需要防护，您可以单击新增增加目录地址。如果不需要防护某条目录，您可以单击删除来删除该目录地址。 说明 仅在防护目录选择指定目录时需要配置该参数。 对防护策略中每个目录地址，云安全中心会启动相应的数据备份任务。目前多个数据备份任务会同时进行，可能会占用较多的CPU和内存资源。建议您根据实际情况，设置合理数量的备份目录。
   防护文件类型	选择需要进行防护的文件类型，支持选择以下类型： 指定类型：防护指定类型的文件。您需要在选择文件类型中选择需要防护的具体文件类型。 全部文件类型：防护所有类型的文件。
   选择文件类型	支持选择以下文件类型： 文档类 图片类 压缩包类 数据库类 音频视频类 脚本代码类 说明 仅在防护文件类型选择指定文件类型时需要配置该参数。 支持同时选中多个文件类型。云安全中心仅防护您资产中此处选中类型的文件。
   数据备份开始时间	设置数据备份开始时间。数据备份可能会占用少量CPU和内存，建议您将数据备份开始时间设置为业务量较小的时段，例如00:00。 说明 防护策略创建后，初次进行数据备份时由于要全量备份防护目录下的数据，会消耗一定量的CPU和内存资源。为避免对您的业务造成影响，建议您选择业务量较小的时段进行数据备份。
   备份策略执行间隔	设置备份策略执行间隔，默认为一天。支持选择以下时间： 半天 一天 三天 七天
   备份数据保留时间	设置备份数据保留时间，默认为7天。支持选择以下时间： 7天 30天 半年 一年 永久
   备份网络带宽限制（MB/s）	受防勒索保护的备份数据占用的带宽流量阈值。可以设置的范围：1 MB/s~不限流量。 说明 建议您根据服务器的带宽，设置合理的流量阈值，避免备份占用过多带宽对您业务产生影响。

7. 单击确定。
   创建并启用防护策略后，云安全中心将自动在您的ECS服务器上安装防勒索客户端，并根据防护策略中设置的备份条件对生效服务器的防护目录进行数据备份。
8. 在防护策略列表中开启该策略。

   创建策略后还需要在防护策略列表中开启该策略，云安全中心才会备份该策略中设置的文件目录。