Agentic EDR 在传统规则引擎之外新增 AI 检测链路，通过主机画像和进程学习基线对云安全中心各类告警统一开展研判分析和攻击链还原。-云安全中心(Security Center)-阿里云帮助中心

Agentic EDR 在传统规则引擎之外新增 AI 检测链路，通过主机画像和进程学习基线研判云安全中心各类告警，并还原攻击链。本文介绍如何创建分析策略、管理进程基线、查看和管理主机画像、切换防护模式以及处理告警。。

什么是 Agentic EDR

Agentic EDR 在云安全中心传统规则引擎之外新增 AI 检测链路，并利用主机画像和进程学习基线构建研判所需的数据集，为告警分析提供业务背景和启动路径基线。系统对云安全中心原有告警及 AI 检出告警统一开展研判分析和攻击链还原，通过分析结论、攻击叙事、关系图和时间线呈现风险及攻击过程。同时，基线比对发现的偏离行为作为较低级别的异常信息，独立记录偏离日志并发送对应通知，帮助用户及时了解和核查进程启动变化。AI 检测链路产生的告警通过“AI检出”标签标识来源，帮助安全人员理解告警风险、攻击过程及关联对象。

检测能力：传统规则引擎继续提供已有威胁检测能力。AI 检测链路在传统规则之外补充 AI 检测能力，产生的告警展示"AI检出"标签。两类告警均进入统一的研判分析和攻击链还原流程。
主机画像：主机画像描述主机的业务角色与运行环境。系统通过资产业务分析 Agent 分析主机的软件、服务、进程和端口等信息，形成业务描述、业务标签及关联信息，说明主机承担什么业务、运行什么服务。主机画像作为研判数据集的一部分输入告警研判分析，为判断告警涉及的行为是否符合主机业务用途提供背景。
进程学习：进程学习聚焦进程启动方式，梳理主机上已出现的程序启动路径，形成学习基线。学习记录展示进程路径、最早发现时间、进程解读和研判结果，帮助用户了解程序用途，并支持对业务模型进行维护。进程学习基线作为研判数据集的一部分输入告警研判分析，提供已有进程启动情况的参照。
偏离行为：系统将当前进程启动与已学习的基线进行比较，识别业务模型之外的启动行为，作为较低级别的异常信息独立管理。偏离行为具有自己的日志和对应通知。日志记录进程及父进程路径、首次及最新发生时间、发生次数等信息。对应通知用于提醒用户关注新发现的偏离情况，用户可结合业务实际查看详情、忽略记录，或将确认属于正常业务的行为加入业务模型。
告警研判分析：对云安全中心原有的其他告警，以及新增 AI 检测链路产生的告警，统一开展研判分析。AI Agent 以告警为分析对象，将主机画像、进程学习基线作为数据集输入，并结合告警相关的命令行、父进程链等证据，分析可疑行为及其业务合理性，输出研判结论与依据。其中，主机画像帮助理解"这台主机承担什么业务"，学习基线帮助了解"这台主机此前有哪些进程启动路径"，两类数据共同为告警分析提供上下文。
攻击链还原：针对云安全中心各类告警开展攻击链还原，覆盖传统规则引擎与 AI 检测链路产生的告警。围绕告警关联的登录事件、进程、文件、IP 地址等对象，通过攻击链叙事、关系图和时间线，呈现攻击入口、关键行为和关联对象。例如，攻击链可串联"SSH 登录 → bash 会话 → 修改文件执行权限 → 后门程序执行 → 外部通信"，帮助安全人员理解告警前后的过程，定位关键环节。

工作原理

运行流程

智能主机检测与响应包含两个阶段：

学习阶段

创建分析策略后，AI 模型记录服务器上所有进程行为。学习期间，系统不会拦截任何进程，学习时长可在策略中自定义配置。

防护阶段

学习完成后，系统根据学习到的正常进程行为构建白名单。当服务器执行白名单以外的进程时，系统按当前运行模式处置：

预警模式（默认）：发现异常进程时生成告警，不拦截进程运行。
管控模式：发现异常进程时直接拦截，阻止其运行。
警告
管控模式会直接拦截异常进程，建议在充分验证白名单完整性后再切换到管控模式，避免误杀正常业务进程。

运行状态

服务器在智能主机检测与响应中有以下运行状态：

状态	说明	可用操作
学习中	模型正在学习服务器的正常进程行为。	主机情况、重新学习、立即更新画像、切换模式
预警中	模型学习完成，发现异常进程行为时触发告警。	主机情况、增量学习、重新学习、立即更新画像、切换模式
管控中	模型学习完成，发现异常进程行为时直接拦截。	主机情况、增量学习、重新学习、立即更新画像、切换模式

适用范围

服务器已安装客户端。
服务器操作系统及内核版本符合AliHips 支持要求，AliHips 进程运行正常。

开通 Agentic EDR

使用智能主机检测与响应功能，需要先购买并开通 Agentic EDR。

包年包月

访问Agentic EDR或购买页面，并完成以下配置：
- 智能主机检测与响应：选择购买的普通授权席位数量。
- 购买时长：服务时长。
  说明
  建议勾选"到期自动续费"，可避免因资源到期停机或释放而影响业务。勾选后，自动续费周期为每月，在实例到期前会以实时价格自动扣费。自动续费可随时取消，设置或取消自动续费。
配置完成后，单击立即购买。

按量付费

访问云安全中心控制台-总览页面。
在按量付费服务区域，打开Agentic EDR开关。

开启和关闭弹性防护

购买包年包月Agentic EDR后，默认开启弹性防护，同时支持手动开启和关闭弹性防护。

说明

开通了弹性防护后，当实际绑定的席位超过已购包年包月普通席位时，超出部分按照弹性防护席位费用计费。计费说明，请参见混合付费（弹性防护）。

访问云安全中心控制台-资产中心-资产总览，在页面左侧顶部，选择需防护资产所在的区域：中国内地或非中国内地。
在总览页面的包年包月服务区域上方，打开弹性防护开关。

服务器绑定授权

需要为服务器绑定 EDR 席位授权后，才能使用 Agentic EDR 进行学习和防护。

访问云安全中心控制台-总览页面。
进入授权页面：根据购买的服务模式，授权入口不同。
- 包年包月/混合计费：在包年包月服务区域，单击 Agentic EDR 右侧的管理。
- 按量付费：在按量付费服务区域，单击 Agentic EDR右侧的授权管理。
在授权管理弹窗内，选择选择服务器所在区域（中国内地或非中国内地）后，定位至目标服务器。
在目标服务器的 Agentic EDR 席位列，打开开关。
重要
如需为新增的服务器自动绑定 EDR 席位，可在新增主机自动绑定区域，勾选新增主机自动启用Agentic EDR。

创建分析策略

开启智能主机检测与响应前，需要先创建防护策略，定义学习时长、白名单模式和生效主机范围。

访问云安全中心控制台-防护设置-主机防护-智能行为分析，在页面左侧顶部，选择需防护资产所在的区域：中国内地或非中国内地。
在智能主机检测与响应页面，单击右上角的 Agentic EDR 设置。
在弹出的智能主机检测与响应设置对话框中，单击新增策略。

在新增策略页面，配置以下参数：

参数	说明
策略名称	自定义策略名称，便于后续识别和管理。
学习时长	模型初次建立后的学习天数。学习期间，系统记录所有进程行为。说明建议至少 7 天，确保覆盖业务的完整运行周期。如果服务器业务周期性较强（如每周执行一次定时任务），建议 14 天以上。
自动结束	若连续 N 天无新增行为，智能分析模型将自动结束学习并进入防护阶段（默认预警模式）。
白名单模式	白名单匹配方式。进程路径（默认）：进程路径按文件路径匹配。进程Hash：按文件哈希值（MD5）匹配。
画像生成周期	主机画像的自动更新周期，支持每 12 小时、每天、每 3 天或每 7 天，默认每天。到达更新周期后，系统会自动更新主机画像，也可以手动触发立即更新，详情请参见本文的查看和管理主机画像。
服务器选择	策略生效的服务器范围。支持选择全部资产或按资产分组选择。可按服务器名称、公网 IP 或私网 IP 搜索。

单击确认完成策略创建。
返回智能主机检测与响应页面，在服务器列表中确认对应服务器的状态显示为"学习中"。

说明

策略创建后，所选服务器即进入学习阶段。建议在业务正常运行期间创建策略，确保模型学习到完整的正常进程行为。

重新学习进程行为

当服务器的业务进程发生变更时，需要重新学习进程行为并生成新的白名单，避免进程误拦截或无效告警。系统提供以下两种方式：

对比项	增量学习	重新学习
使用限制	仅支持在预警中或管控中的服务器使用，学习中的服务器不可用。	无特殊限制。
数据处理方式	在现有模型基础上继续学习新的进程行为，保留已有白名单，仅学习并添加新增的进程行为。	清空所有白名单数据，从零开始重新建立进程基线。
防护能力状态	管控和预警不生效。	管控和预警不生效。
适用场景	业务小幅调整、新增少量进程或服务、日常迭代维护。	服务器业务发生重大变更（如新增服务、升级软件）后，原有进程行为模型不再适用时。

在Agentic EDR页面的服务器列表中，单击目标服务器操作列主机情况右侧的下拉箭头，选择重新学习或增量学习。
操作完毕后，运行状态将变为学习中。
重要
学习中期间，管控和预警均不生效。

切换防护模式

学习阶段完成后，服务器的默认防护模式为预警，支持切换防护模式。

重要

从预警模式切换到管控模式前，建议先通过主机情况的进程路径页面确认白名单已覆盖所有正常业务进程，避免误拦截。

单个切换：
1. 在服务器列表中，单击目标服务器操作列主机情况右侧的下拉箭头，选择切换模式。
2. 在切换模式对话框中，选择预警或管控模式。
3. 单击确定完成切换。
批量切换：
1. 在Agentic EDR页面的服务器列表中，勾选需要操作的多台服务器。
2. 在底部批量操作区域单击切换模式进行批量切换。
3. 在切换模式对话框中，再次确认服务器数量后，选择预警或管控模式。
4. 单击确定完成切换。

管理进程基线

学习阶段完成后，系统生成进程行为白名单。支持查看、新增或删除白名单中的进程路径。

查看白名单

在Agentic EDR页面的服务器列表中，单击目标服务器操作列的主机情况。
在进程路径页签，查看该服务器的所有进程路径白名单。支持按照进程路径、最早发现时间、进程解读、进程标签、研判结果等条件筛选。
重要
进程解读由 AI 自动生成，描述进程的用途与安全属性，并以业务标签（如“安全产品组件/阿里云主机入侵防御系统（AliHips）”）标识进程归属。

新增进程基线

方式	支持的白名单模式	适用场景
批量新增	进程路径、进程Hash	需对多台服务器统一添加信任项时。
单个新增	仅进程路径	仅需针对单台服务器添加特定路径时。

批量新增

在Agentic EDR页面的服务器列表中，勾选一个或多个服务器。
在底部批量操作区域，单击新增进程行为。
在弹出的对话框中输入进程路径或进程Hash信息后，单击确定。

单个新增

在 Agentic EDR 页面的服务器列表中，单击目标服务器操作列的主机情况。
在进程路径页签，单击新增进程路径。
在弹出的对话框中输入进程路径后，单击确定。

删除进程基线

在 Agentic EDR 页面的服务器列表中，单击目标服务器操作列的主机情况。
在进程路径页签的进程路径列表中，单击目标进程路径操作列的删除。

警告

删除白名单中的进程路径后，该进程将会被判定为异常进程。系统将生成告警，且在管控模式下会被直接拦截，请谨慎操作。

查看和管理主机画像

主机画像由资产业务分析 Agent 基于主机的进程行为、业务标签和补充的自定义信息自动生成，帮助快速了解主机业务属性。系统按照策略中配置的画像生成周期定期更新画像，也可以手动触发立即更新。

查看主机画像

在Agentic EDR页面的服务器列表中，单击目标服务器操作列的主机情况。
在主机画像页签，查看该主机的画像信息，包括：
- 业务标签：系统为主机自动打标的业务属性标签（如 Spring Boot 应用等）。
- 资产业务分析 Agent：基于主机运行时业务证据生成的画像描述，包括主机用途、运行的业务进程和技术栈等信息。
- 主机关联图谱：
  - 以图谱形式展示该主机与其他资产的关联关系，支持选择近 7 天等时间范围。
  - 单击可切换至列表形态，查看相似主机和相关联主机信息。

配置自定义画像信息

在主机画像页签，单击右上角的自定义信息。
在自定义信息输入框内，补充需要的主机业务信息（如“支付结算测试主机，重点关注数据库进程和异常外联”），最多 1000 字。
单击保存后，资产业务分析 Agent 会结合自定义信息生成更准确的主机画像。

更新主机画像

系统按照策略中配置的画像生成周期自动更新主机画像。如需立即获取最新画像，可通过以下任一方式手动触发立即更新：

单个更新：
- 方式一：
  1. 单击目标服务器操作列的主机情况。
  2. 在主机画像页签，单击右上角的立即更新。
- 方式二：单击目标服务器操作列主机情况右侧的下拉箭头，选择立即更新画像。
批量更新：
1. 在Agentic EDR页面的服务器列表中，勾选需要操作的多台服务器。
2. 在底部批量操作区域单击立即更新画像进行批量更新。

查看和处理告警

查看和处理偏离告警

若服务器存在不在进程基线中的进程，系统会产生安全告警。可在云安全中心的告警功能中查看和处理。

在左侧导航栏，选择检测响应 > 告警。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。
说明
如果已开通 Agentic SOC 服务，左侧导航栏入口将变更为Agentic SOC > 告警。
在云工作负载保护平台(CWPP)页签，单击行为偏离下的数字，进入主机异常行为告警列表。
告警页面提供告警风险分布、告警趋势和告警收敛效果（展示 AI 聚合收敛后的告警数量与事件总数）等统计卡片，帮助快速掌握告警整体情况。告警状态说明如下：
- 预警模式：告警状态为待处理，需人工介入判断。
- 管控模式：系统已自动拦截该进程，告警状态为已拦截。

单击目标告警操作列的忽略或加入业务模型。

对比维度	忽略	加入业务模型
当前告警状态	变为"已忽略"。	无变化。
是否再次告警	仍会产生告警，下次相同进程运行时，系统会再次生成告警信息。	不再产生告警，下次相同进程运行时，直接放行。
白名单变更	无变化。	将该进程添加至进程基线中。
适用场景	临时性任务、需持续监控的疑似行为。	确认为正常业务进程、希望减少重复告警。

查看告警AI研判结果和攻击链路分析

针对主机告警，Agentic EDR 会自动进行研判分析并还原攻击链路。在告警列表页面的研判分析和攻击链还原列，可查看 AI 研判结果与攻击链还原状态，辅助快速决策处置方案。

在左侧导航栏，选择检测响应 > 告警。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。
说明
如果已开通 Agentic SOC 服务，左侧导航栏入口将变更为Agentic SOC > 告警。
在云工作负载保护平台(CWPP)页签下的告警列表中，查看研判分析和攻击链还原列。
- 研判分析：展示 AI 自动研判的结果。
  - 研判结果：包含以下几种：
    - 确认恶意：AI 判定该告警为恶意行为，建议参照处置建议尽快处理。
    - 信息不足：现有证据不足以完成研判，可结合 Agent 分析报告人工确认。
    - 观察中：系统正在持续观察该行为，暂无需处理。
    - 疑似误报：AI 判定可能为正常业务行为，确认后可加白名单。
  - 查看和下载Agent分析报告：单击研判结果后的，可跳转至AI Agent 分析报告详情页，查看研判结果产生的关键行为分析、攻击行为与实体关系、攻击链步骤和可处置指标等信息，单击下载报告，可将报告下载到本地。
- 攻击链还原：展示攻击链路的还原状态。
  - Agentic EDR 会基于告警数据自动还原攻击链路，攻击链路生成后，在攻击链还原列，单击对应图标，跳转至告警攻击链详情页，查看攻击入口、执行过程和影响范围等攻击链路节点信息，辅助快速决策处置方案。
  - 若攻击链路尚未生成，该列展示链路未生成。

计费说明

包年包月：
- 计费方式：按购买的席位授权数量计费。绑定 1 台主机消耗 1 个席位授权。
- 计费规则：50元/个/月。
按量付费：
- 计费方式：按席位数 × 使用时长计费。绑定 1 台主机消耗 1 个席位授权，无策略配置的主机自动停计费。
- 计费周期：按小时计费，按自然日结算。
- 价格：0.104167元/个/小时。
混合计费：
- 计费方式：按购买的席位授权数量计费。绑定 1 台主机消耗 1 个席位授权。
- 计费规则：开通了弹性防护后，当实际绑定的席位超过已购包年包月普通席位时，超出部分按照弹性防护席位费用计费。
  - Agentic EDR 普通席位：50元/个/月。
  - Agentic EDR 弹性防护席位：0.104167元/个/小时。

关闭和退订服务

如果不再需要 EDR 服务，可根据计费模式参考以下指引操作。

包年包月：访问退订管理页面或，自助申请退订，选择 EDR 对应的订单。具体操作请参见退订包年包月服务。
按量付费：在云安全中心控制台-总览页面的按量付费服务区域，关闭Agentic EDR即可。

数据清理

关闭服务，退订Agentic EDR实例、或账户欠费后，智能主机检测与响应立即停止服务，数据保留情况如下：

场景		数据保留说明
包年包月实例	退订	弹性防护：弹性防护立即失效并停止计费。当日已消耗的弹性授权和credits，将于次日推送账单。数据保留：策略与基线保留：原有的策略及主机基线会保留，但不再更新。历史告警保留：已产生的主机异常行为告警会保留，但不再产生新的告警。
	到期
按量付费实例	关闭	策略与基线保留：原有的策略及主机基线会保留，但不再更新。历史告警保留：已产生的主机异常行为告警会保留，但不再产生新的告警。
	欠费

常见问题

云安全中心实例到期后，会影响Agentic EDR吗？
不会影响。原因如下：
- 独立计费：Agentic EDR 是独立的计费模块，与云安全中心实例分开计费。
- 功能持续可用：只要Agentic EDR实例仍在有效期内，即使云安全中心实例已到期，仍可正常使用学习、服务器绑定等功能。
学习完成后，为什么白名单为空？
白名单为空可能表示学习期间服务器上没有进程活动。请确认以下信息，确认无误后单击重新学习。
- 服务器是否正常运行，云安全中心客户端是否在线。
- AliHips 进程运行正常。若不正常，请确认服务器操作系统及内核版本是否符合AliHips 支持要求。
- 学习期间服务器是否有实际的业务流量。
管控模式下如何避免误杀正常业务进程？
- 切换到管控模式前，确保学习时长足够，白名单覆盖所有正常业务进程。
- 先在预警模式下运行一段时间，观察是否有正常业务被误报。
- 发生误拦截时，在白名单中新增对应进程路径，然后进行重新学习或增量学习。
增量学习和重新学习有什么区别？
- 增量学习：保留已有白名单，仅学习新增的进程行为。适合业务小幅调整、新增少量进程的场景，风险较低，已有白名单不受影响。
- 重新学习：清空所有已有数据，从零开始学习。适合业务发生重大变更、原有模型不再适用的场景，风险较高。