恶意行为防御

应用场景

恶意行为防御功能支持系统防御规则和自定义防御规则。两种防御规则的应用场景如下：

管理系统防御规则

云安全中心高级版支持进程防御、企业版及旗舰版用户可启用全部系统防御规则。

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择防护配置 > 主机防护 > 规则管理。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

3. 在恶意行为防御页签系统防御规则子页签下的规则列表中，查找并管理目标系统防御规则。

   • 启用或停用规则

     如果在日常业务场景当中，发现某个系统防御规则不适合业务场景，并且会影响资产的安全评分，可以停用该系统防御规则。

     重要

     停用某个系统防御规则后，云安全中心将不会检测并上报该规则对应的安全风险，并且安全告警页面的告警列表中也不会再显示与该规则相关的告警事件。请谨慎操作。

     1. 选中（支持多选）目标规则

     2. 单击规则列表下方的批量启用或批量停用。

   • 管理主机

     重要

     将资产从规则中移除后，该资产将不会再受到此系统防御规则的防护。请谨慎操作。

     如果需要将特定服务器从恶意行为防御的防护范围中移除（例如服务器项目被防勒索诱饵捕获防护拦截），可进入主机规则管理 > 恶意行为防御页面，选择对应的防御规则（如防勒索规则），在防御范围中将该服务器移除。

     1. 选中要管理的系统防御规则，单击操作列的管理资产。

     2. 在主机管理面板，添加或删除该规则防御的资产，然后单击确定。

自定义防御规则

如果云安全中心安全告警功能对正常业务行为产生了误告警，可以通过自定义防御规则加白相应的行为（例如命令行、进程Hash等），避免产生误告警。

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择防护配置 > 主机防护 > 规则管理。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

3. 在恶意行为防御页签自定义防御规则子页签下，单击新建规则。

4. 在新建规则面板上，按照业务需求选择不同的规则类型完成相关参数配置、设置规则的动作，然后单击下一步。

   选择不同的规则类型时，需要配置不同的参数。支持加白以下规则类型：

   • 进程Hash

   • 命令行

   • 进程网络

   • 网络拦截（源IP/域名）

     支持配置源IP地址或域名的黑名单/白名单规则。当安全告警提示反弹Shell或持续恶意外连时，可通过自定义网络拦截规则封禁特定攻击源IP，阻止后续攻击。对于客服或安全团队提供的恶意IP/域名，也可以直接添加到黑名单中进行拦截。

     例如，在处理反弹Shell告警或持续恶意外连告警后，若已确认攻击者源IP且恶意进程已结束，可通过以下步骤封禁该IP：

     1. 在恶意行为防御页签自定义防御规则子页签下，单击新建规则。

     2. 在规则类型中选择网络拦截，将已确认的攻击者源IP或恶意域名添加到黑名单中，设置动作为拦截，然后选择需要生效的服务器。

     同时建议配合安全组规则进行防护：在ECS控制台为目标实例创建安全组拒绝规则，将已确认的恶意IP加入出方向和入方向拒绝列表，可立即阻断相关恶意流量。具体操作，请参见ECS文档中安全组规则配置的相关说明。

   • 文件读写

   • 操作注册表

   • 加载动态链接库

   • 文件重命名

   更多配置示例，请参见恶意行为防御自定义规则最佳实践。

5. 在新建规则面板上的服务器列表中，选择规则生效的资产，单击完成。

   新建的自定义规则默认为开启状态，支持编辑和管理生效的服务器。

查看并处理安全告警事件

云安全中心会根据已设置的规则产生安全告警和拦截基础攻击，根据规则类型不同产生的告警和处理方式也不相同。