本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。
为了您的资产安全，建议您及时查看和处理云安全中心检测出的安全告警。本文介绍如何分析处理安全告警。
分析安全告警
在处理安全事件前，需对告警进行影响面评估、攻击分析，识别误报，避免影响系统的正常运行。可通过安全告警的详情页，获取告警信息以此辅助进行判断。
进入告警详情页
登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。
在左侧导航栏，选择。
说明如果您已开通威胁分析与响应服务，左侧导航栏入口将变更为。
在云工作负载保护平台(CWPP)页签，定位置至目标告警，单击操作列详情。
重要您可在开启告警相关通知，您可根据收到的告警相关信息，如告警名称快速定位目标告警。
旗舰版支持按资产类型筛选告警，在告警列表上方，单击全部、主机、容器、K8s或云产品，查看对应资产类型的告警。
告警详情解析
可通过安全AI助手、告警攻击溯源、告警说明、沙箱检测等信息，获取告警的判定依据、发生次数，可能引起的原因等信息，辅助判断当前告警是否为误报，并给出处理方案。
安全AI助手
提供大模型对话能力，对安全告警进行AI分析，获取攻击的过程、可能引起的原因、判断为告警威胁的依据和处置建议。更多信息请参见AI告警分析。
评估示例：
如上图所示AI助手评估本次异常登录未发生直接威胁，但存在风险建议是持续观察和排查，可暂时不作直接处理。
告警说明
告警说明用于提示系统监测到的异常情况，告知潜在风险，说明异常特征及关联威胁，同时提供处置建议。
评估示例：
如上图所示：
提示风险后果：修改相关配置文件，留下登录后门。
处置建议：找业务部门确认当前进程是否是正常业务场景，若不是则优先结束当前进程，后续排查系统是否存在其他的威胁。
告警溯源
沙箱检测
云安全中心提供了沙箱检测能力，通过在一个安全隔离的环境中运行文件，分析静态和动态的文件行为数据，帮助您安全地运行可疑的应用程序，检测文件的可疑行为。当产生告警时，您可以通过沙箱检测结果辅助处置恶意程序。
仅部分恶意软件告警支持沙箱检测功能，请以实际页面显示为准。
在安全告警列表，找到目标安全告警，在操作列单击详情。
在沙箱区域，查看沙箱检测的结果。
评估示例：
行为标签：可对入侵文件进行特征打标，标记入侵文件引起的高危操作（红色为最需要注意的入侵行为）。
ATT&CK矩阵：显示沙箱检测运行时的流程经过，并标记入侵文件引起的高危操作（红色为最需要注意的入侵行为）。
告警快速处理指引
告警类型 | 告警名称 | 推荐处理方式 |
恶意软件 | 挖矿程序 | |
DDoS木马 | ||
木马程序 | ||
恶意程序 | ||
漏洞利用程序 | ||
可疑Powershell 指令 | ||
后门程序 | ||
反弹Shell后门 | ||
感染型病毒 | ||
异常登录 | 恶意IP登录 | |
ECS暴力破解成功 | ||
ECS非常用账号登录 | ||
ECS在非常用地登录 | ||
后门账户登录 | ||
网站后门 | 发现后门（Webshell）文件 | |
包含WEBSHELL代码的日志/图片文件 | ||
发现挂马盗链后门文件 | ||
发现任意文件写入后门 | ||
进程异常行为 | Java 应用执行异常指令 | |
可疑的进程路径 | ||
网络代理转发行为 | ||
可疑 Powershell 指令 | ||
持久化后门创建行为 | ||
SSH后门 | ||
可疑编码命令 | ||
可疑命令执行 | ||
恶意脚本 | 恶意脚本代码执行 | |
精准防御 | 对抗安全软件 | |
云产品威胁检测 | RAM子账号异地登陆 |
|
黑客工具利用AK |
| |
异常的角色权限遍历行为 | ||
RAM用户登录控制台执行敏感操作 | ||
其他 | 云安全中心客户端异常离线 |
安全告警处理方式
如果您通过安全事件处置功能处理了由云安全中心告警聚合而成的事件，云安全中心会自动更新云工作负载保护平台(CWPP)页签下相关告警的状态，无需您手动进行告警状态更新。
操作步骤如下：
登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域：中国或全球（不含中国）。
在左侧导航栏，选择。
说明如果您已开通威胁分析与响应服务，左侧导航栏入口将变更为。
在安全告警页面云工作负载保护平台(CWPP)页签定位到目标告警，在操作列单击处理，选择告警的处理方式，然后单击立即处理。
说明不同类型告警支持的处理方式不同，请以控制台页面显示为准。
您可以根据实际需要填写备注信息，备注可填写处置告警的原因和操作人，以方便您管理已处理告警。
处理方式详解如下：
病毒查杀
深度查杀
隔离
结束进程
加白名单
加白名单后，相同告警和符合加白规则的告警，均不再通知，请谨慎选择。
常见使用场景
当前告警为误报，或添加一个永久性例外规则。如对外异常 TCP 发包可疑进程实为正常业务交互、疑似扫描行为实为正常网络检测等，此时需设置加白规则来规避此类误报。
处理结果说明
对当前告警：
本次告警变为 “已处理”，告警状态是手动加白。
当相同告警再次发生，不会再生成告警数据，但会更新本次告警的最新发生时间。
对后续告警：
若设置了特定加白规则，符合定制加白规则的告警再次发生时，该告警将自动进入已处理列表中，状态为自动加白，并且不再进行告警通知。
设置特定加白规则（可选）
在告警处理弹窗，单击加白名单页签。单击+新增规则新增一条规则。单击
可删除一条规则。
可设置多规则，多条规则之前是“and”的关系，即满足所有条件规则才生效。
配置规则时要保证精准性，避免范围过宽。比如设置 “路径包含：/data/” 可能误将其他敏感子目录纳入白名单，增加安全风险。
建议组合使用叠加多个条件设置规则，如 “路径包含：/app/” 且 “进程名：test.exe”，实现更精细的白名单管理。
每一条规则从左到右一共4个配置框，说明如下：
告警信息字段：可在详情页的更多信息中，查看当前告警支持哪些告警信息字段。
条件类型：支持正则匹配、大于、等于、小于、包含等操作。部分规则说明如下：
正则表达式：通过正则表达式可精准匹配特定模式的内容。例如，要对 “/data/app/logs/” 文件夹下所有内容加白，可设置规则 “路径匹配正则：^/data/app/logs/.$”，能匹配该文件夹及子目录下的所有文件或进程。
包含关键词：设置 “路径包含：D:\programs\test\” 的规则，所有路径中包含该文件夹的事件都会被纳入白名单。
条件值：支持常量、正则表达式。
适用资产：
全部资产：对新增资产及已经接入的所有资产生效。
仅针对当前资产：仅对当前告警涉及的资产有效。
加白名单和忽略的区别
差异点 | 加白 | 忽略 |
适用场景 | 永久性例外问题 | 适用于临时性、偶发性的误报或已知问题。 |
影响范围 |
| 仅针对当前告警进行处理，对后续告警无影响。 |
取消自动加白规则
只对后续产生的告警有影响，不再自动为符合加白规则的告警加白。
对已经处理过的告警无影响，告警状态无变化。
登录云安全中心控制台，在左侧导航栏，选择。
说明若您购买了威胁分析与响应（CTDR）服务，请在左侧导航栏，选择。
单击云工作负载保护平台(CWPP)页签右上角的云工作负载告警管理，选择安全告警设置。
在安全告警设置页的告警处置规则区域，处理方式选择自动加白。
定位至目标规则，单击操作列的删除，即可取消自动加白规则。
取消告警加白
取消后的告警会重新出现在未处理的告警列表中，需要您再次评估和处理。
需登录云安全中心控制台，在左侧导航栏，选择。
说明若您购买了威胁分析与响应（CTDR）服务，请在左侧导航栏，选择。
云工作负载保护平台(CWPP)页签，将是否已处理的筛选条件至为已处理。
定位至需要取消加白的告警数据，点击操作列取消加白按钮，即可取消当前告警的加白。
说明也可同时勾选多个告警数据后，单击列表底部的取消加白按钮，实现批量取消加白。
忽略
阻断
常见使用场景
多用于异常登录，暴力破解等IP攻击场景。
处理说明
会生成安全组防御规则，拦截恶意IP的访问。
可单击展开详情，查看生成的防御规则基本信息。如生效资产、规则方向、端口范围、规则方向。
云安全中心会根据客户端安装情况自动选择拦截机制，支持的拦截机制如下：
云安全中心：优先使用云安全中心插件拦截登录行为。在云安全中心实例为高级版、企业版或旗舰版且开启了恶意网络行为防御开关时，云安全中心会自动选择该插件。开启恶意网络行为防御开关的具体操作，请参见主动防御。
ECS安全组：该拦截规则启用时会在安全组中自动创建相应规则，该拦截规则过期或禁用后会自动删除该规则。
规则有效期即拦截规则的实效时间，默认为6小时，不可更改。
生成的拦截规则可前往中防暴力破解页签中系统规则中查看。
说明若需要提前终止拦截策略，可在系统规则中关闭启用开关。
不再拦截此规则
仅防御不通知
问题排查
我已手工处理
常见病毒告警处理实践教程
安全加固与攻击预防
升级云安全中心版本：企业版和旗舰版支持病毒自动隔离（即病毒自动查杀）功能为您提供精准防御能力，支持安全检测项也更多。
收紧访问控制：仅开放必要的业务端口（如80、443），对管理端口（如22、3389）和数据库端口（如3306）配置严格的IP白名单访问策略。
说明若是阿里云 ECS服务器可参见管理安全组进行操作。
设置复杂服务器密码：为服务器和应用设置包含大小写字母、数字和特殊符号的复杂密码。
升级软件：应用软件要经常升级到新版本，不要用老版本的软件。
定期备份：对重要数据和服务器系统盘创建定期快照策略。
说明若是阿里云 ECS服务器可参见创建自动快照策略进行操作。
及时修复漏洞：定期使用云安全中心漏洞修复功能及时修补系统高危漏洞和应用漏洞。
重置服务器系统（谨慎选择）。
如果病毒入侵较深，关联到系统底层组件，强烈建议您在备份重要数据后，重置服务器的系统。具体操作步骤如下：
创建快照备份服务器上的重要数据。具体操作，请参见创建快照。
初始化服务器的操作系统。具体操作，请参见重新初始化系统盘（重置操作系统）。
使用快照生成云盘。具体操作，请参见使用快照创建数据盘。
挂载云盘到重装系统后的服务器上。具体操作，请参见挂载数据盘。
更多安全防护建议，请您查看操作系统安全加固。
常见问题
告警处理后又复发（反复感染同一种病毒）怎么办？
处理后复发可能原因如下：
弱口令： SSH/RDP/数据库密码过于简单。
漏洞未修复： Redis, XXL-JOB, WebLogic等应用存在高危漏洞。
后门潜伏： 初次清理不彻底，留下了隐藏的后门。
数据污染： 恢复了带有病毒的备份/快照。
处理方案：
可参照安全加固与攻击预防进行安全加固。
建议完成病毒处理后，备份数据后重启服务器及应用。
警告重启服务器会造成服务短暂中断，在此期间依赖该服务器运行的网站、应用程序等将无法正常访问，可能影响用户体验或业务流程的连续性，请在业务低峰期操作。
部分部署在服务器上的应用因未配置自动启动机制或依赖特定环境变量，通常需要手动重新启动，否则会导致应用服务不可用。例如特定版本的消息队列，请提前评估重启方案。
若重启后仍然无效，请备份数据后重置服务器系统。
告警显示文件不存在怎么办？
这可能是因为病毒已被其他方式清除或病毒自身清理了痕迹，可在告警列表中点击“忽略”或“已手工处理”来清除此条告警。
收到安全告警，但控制台没有相关数据？
病毒文件（木马、挖矿）删除不了？
该文件及父目录被添加了隐藏权限。需使用chattr -i命令解除文件和父目录的i权限后，再进行删除。
服务器存在DDoS木马告警，文件已手动删除但仍提示？
文件未删除干净。处理方案：
若您云安全中心是免费版本，您可开通天免费试用企业版或旗舰版。或则可参考购买云安全中心，升级云安全中心版本至防病毒版本或企业版。
开通后在安全告警处理界面，找到“DDoS木马” ，单击处理按钮，选择病毒查杀。系统将自动结束木马进程并隔离文件。更多内容参见病毒查杀。
如何处理成多条告警（批量处理告警）？
目前云安全中心仅支持批量加白、忽略、取消加白、取消忽略等方式来处理安全告警。
在左侧导航栏，选择。进入安全告警列表，选择需要处理的告警，单击左侧多选框。
单击左下角忽略本次、加白名单、取消加白、取消忽略按钮即可。
为何安全告警处理按钮是灰色的？
请检查当前云安全中心版本，免费版不支持处理安全告警。您可开通7天免费试用或者开通防病毒、企业版，详情参见购买云安全中心。各版本支持检测的安全告警类型不同，可参见安全告警类型。