CVMにウイルス侵入が疑われる場合

Recent Pages

CVMにウイルス侵入が疑われる場合

最終更新日:2022-05-06 11:46:50

CVMは弱いパスワード、オープンソースコンポーネントの脆弱性などの問題が原因でハッカーに侵入される可能性があります。本文では、CVMがウイルスに侵入されているかどうかを判断する方法とその解決方法を紹介します。
問題の特定
﻿SSH方式を使用 または VNC方式を使用 してインスタンスにログイン後、以下の方法でCVMがウイルスに侵入されているかどうかを判断します。
rc.local に悪意のあるコマンドが追加されている
以下のコマンドを実行し、rc.localファイルを確認します。
cat /etc/rc.local 
例えば、出力情報がwget xx、/tmp/xx など、業務またはお知らせのイメージに追加していないコマンドであった場合、CVMは高い確率でウイルスに侵入されています。
crontab に悪意のあるタスクが追加されている
以下のコマンドを実行し、現在のスケジュール表を列挙します。
crontab -l
例えば、出力情報がwget xx、/tmp/xx など、業務またはお知らせのイメージに追加していないコマンドであった場合、CVMは高い確率でウイルスに侵入されています。
ld.so.preloadで動的ライブラリのハイジャックが増加しています
以下のコマンドを実行し、/etc/ld.so.preloadファイルを確認します。
cat /etc/ld.so.preload
出力情報が業務で追加していない動的ライブラリであった場合、CVMは高い確率でウイルスに侵入されています。
sysctl.conf にラージページメモリが設定されています
以下のコマンドを実行し、ラージページメモリの使用状況を確認します。
sysctl -a | grep "nr_hugepages "
0以外で、かつ業務自体のプログラムと使用していないラージページメモリを出力した場合、CVMは高い確率でウイルスに侵入されています。
処理手順
1. ﻿スナップショットの作成 を参照し、システムデータのバックアップを完了します。
2. ﻿システムの再インストール を参照して、インスタンスシステムを再インストールし、以下の処置を参照してセキュリティポリシーを強化します。
CVMのパスワードを変更し、大文字、小文字、特殊記号、数字を組み合わせた12～16桁の複雑なランダムパスワードを設定します。詳細については、インスタンスのパスワードをリセット をご参照ください。
CVM内の使われていないユーザーを削除します。
sshdのデフォルトの22ポートを1024～65525の間の他の非常用ポートに変更します。詳細については、CVMリモートデフォルトポートの変更 をご参照ください。
CVMのセキュリティグループに関連付けられているルールを管理し、業務およびプロトコルに必要なポートのみをオープンにし、すべてのプロトコルおよびポートをオープンにはしないことを推奨します。詳細については、セキュリティグループルールの追加をご参照ください。
mysql、redisなどのパブリックネットワークにコアアプリケーションサービスポートへのアクセスを開放することは推奨しません。 関連するポートをローカルアクセスに変更、または外部ネットワークアクセス禁止にすることができます。
「雲鏡」、「雲鎖」などの保護ソフトウェアをインストールし、リアルタイムアラームを追加して、異常なログイン情報を速やかに取得できるようにします。

お問い合わせ

カスタマーサービスをご提供できるため、ぜひお気軽にお問い合わせくださいませ。

テクニカルサポート

さらにサポートが必要な場合は、サポートチケットを送信して弊社サポートチームにお問い合わせください。24時間365日のサポートをご提供します。

電話サポート（24 時間365日対応）

tencent cloud

Recent Pages

CVMにウイルス侵入が疑われる場合

問題の特定

処理手順

この記事はお役に立ちましたか？

この記事はお役に立ちましたか？

tencent cloud

サインアップ

ログイン

Recent Pages

CVMにウイルス侵入が疑われる場合

問題の特定

処理手順

この記事はお役に立ちましたか？

この記事はお役に立ちましたか？