云安全中心的检测范围及支持检测的类型-云安全中心(Security Center)-阿里云帮助中心

云安全中心通过服务器上安装的 Agent 与云端防护中心联动，提供安全告警、漏洞管理、病毒查杀、基线检查、网络防御告警等功能。本文说明各项功能采集的服务器信息范围，以及支持检测的漏洞类型和安全告警类型。

说明

如以下收集的服务器相关信息发生变动，阿里云将提前在阿里云官网的适当版面公告提示修改内容；如不同意阿里云所做的修改，有权停止使用阿里云云安全中心服务，并按卸载 Agent中的操作卸载服务器上的 Agent。如继续使用阿里云云安全中心服务，则视为接受阿里云所做的相关修改。

可疑文件信息

云安全中心为您提供恶意文件检测功能。系统在检测到可疑文件后会上传该文件的相关信息（包括但不限于文件的路径、MD5值、创建时间等）到云端防护中心，以便进行最终核查。确认为恶意文件后，云安全中心会向您发送安全告警通知。

可疑进程信息

云安全中心为您提供恶意进程检测功能。系统在检测到可疑进程后会上传该进程的相关信息（包括但不限于进程名、进程启动参数、进程对应文件的路径、进程启动时间等）到云端防护中心，以便进行最终核查。确认为恶意进程后，云安全中心会向您发送安全告警通知。

账户信息

云安全中心为您提供登录审计、疑似账号提醒、暴力破解拦截等功能。系统会定期分析和上传服务器的账号信息（包括但不限于用户名、用户权限等）和登录日志信息（包括但不限于登录名、登录IP等）。如果发生异常登录事件，云安全中心会向您发送安全告警通知。

异常连接信息

云安全中心为您提供异常网络连接检测功能。系统在检测到可疑网络连接后，会上传该网络连接的相关信息（包括但不限于访问源IP、源端口、访问目的IP、目的端口等）到云端防护中心，以便进行最终核查。确认为异常连接后，云安全中心会向您发送安全告警通知。

服务器资产信息

云安全中心为您提供资产管理功能。系统将定期收集服务器的相关资产信息（包括但不限于安装的软件信息、监听的端口信息、运行的网站信息等），并在云安全中心控制台的资产中心页面为您统一展示所有资产。

容器镜像安全

云安全中心为您提供镜像安全扫描功能。系统将定期扫描容器中是否存在漏洞和恶意文件，并在云安全中心控制台的防护配置 > 容器防护 > 镜像安全扫描页面为您展示容器中检测出的所有漏洞和恶意文件信息。

容器运行时安全

云安全中心为您提供容器运行时威胁检测功能，实时检测运行中的容器是否存在病毒文件、恶意程序、内部入侵行为、容器逃逸、高风险操作等威胁。如果在容器运行时检测出了安全风险，云安全中心会向您发送安全告警通知。

支持检测的漏洞类型

Linux软件漏洞、Windows系统漏洞、应用漏洞、应急漏洞。

重要

应用漏洞和应急漏洞不支持通过控制台一键修复，需根据漏洞详情中提供的修复建议，登录服务器进行手动修复。

支持的安全告警类型

类型	说明
网络防御告警（原攻击分析）	若启用了主机规则-恶意行为防御的网络防御类的规则和主机规则-防暴力破解策略，云安全中心会根据这些防护规则自动拦截检测出的攻击，并生成网络防御告警类型告警。更多内容请参见网络防御告警（原攻击分析）。重要新购买的云产品，需等待云安全中心自动完成该产品的网络攻击数据同步后（攻击数据同步需要3小时左右的时间），才可查看相关的攻击分析信息。防御性告警为云安全中心自动拦截的结果，无需做任何处理。
精准防御	恶意主机行为防御功能根据设置开启的防御规则产生的告警，告警类型为“精准防御”，关于恶意主机行为防御功能介绍请参见主机防护设置。
进程异常行为	识别进程的异常行为，如执行可疑命令序列、从异常路径启动、进程注入，以及对系统文件或配置的非法修改。
网站后门	测服务器上存在的WebShell后门文件，或被植入恶意代码的日志、图片等非程序文件。
异常登录	识别不符合预设策略的非常规登录、暴力破解成功，以及来自已知恶意IP或后门账户的登录行为。
恶意软件	检测主机上运行或存在的各类恶意软件，包括病毒、木马、勒索软件、挖矿程序及黑客工具等。
云产品威胁检测	识别针对云平台身份凭证（如AK）的盗用、滥用行为，以及对云资源进行的异常配置和权限探测。
异常网络连接	检测到服务器存在端口扫描、连接恶意源及反弹shell等多种异常网络行为，是攻击侦察、远程控制与横向移动的典型迹象。说明暂不支持https加密流量检测。
恶意脚本	服务器上发现恶意或可疑脚本文件并检测到相关代码执行，表明攻击者已入侵系统并正在执行恶意指令。
持久化后门	检测攻击者为维持长期控制而设置的持久化机制，如创建自启动项、内存驻留后门、隐藏进程及利用高级系统特性等。
敏感文件篡改	检测到针对核心系统文件及配置（如共享库预加载文件）的篡改行为，攻击者通过修改、替换或移动等方式，试图实现持久化驻留或绕过安全检测。
容器集群异常	检测到容器集群存在多维度、多阶段的攻击行为，主要表现为利用服务账户（Service Account）进行权限提升（如异常创建令牌、绑定高权限角色）、横向移动（如进入容器执行指令、访问Kubelet）和信息窃取（如枚举Secrets）。
异常账号	检测到系统中存在异常账号。
网站后门查杀（本地查杀）	基于文件行为的威胁程度进行打分，识别具备危险功能和危险特征的可疑文件。
存在EXP	检测利用操作系统或应用程序已知漏洞，以实现远程代码执行、权限提升或容器逃逸的攻击行为。
异常网络流量	通过分析网络流量并关联主机行为，识别出已发生的攻击及持续性的恶意活动。
容器防逃逸	在容器主动防御中创建容器防逃逸规则后，当容器内有进程尝试执行与规则定义相抵触的越权操作（如访问宿主机敏感路径、利用特权进行提权），该操作将被防御模块拦截，并生成一条安全告警。
容器主动防御	容器主动防御提供两项核心运行时安全能力，并对所有检测到的风险行为生成安全告警：非镜像程序防御：实时检测并拦截容器中启动的、非原始镜像包含的程序。此举可有效阻止木马植入等恶意行为。容器文件防御：实时监控容器内的指定文件或目录，对恶意篡改行为进行告警或拦截。
风险镜像阻断	在容器主动防御中创建风险镜像阻断规则后，当集群内使用镜像创建资源（如 Pod）时，将触发云安全中心进行实时安全校验。对命中规则的风险镜像，系统会自动执行告警、拦截或放行，并生成一条安全告警。
可信异常	检测ECS可信实例的可信状态、处理相关状态异常等操作
其他	云安全中心客户端异常离线、DDoS流量攻击等。