tencent cloud

PrevNext

文档反馈

请输入关键字

Recent Pages

文档
容器安全服务
    文档
    Download PDF

    恶意外连

    最后更新时间：2024-08-13 17:08:15
    下载PDF
      当容器向恶意域名或 IP 发起外连请求时，容器安全服务将检测此类行为，为您提供实时告警。当发现容器存在访问恶意域名/IP 的行为时，您的容器可能已经失陷，因为恶意域名/IP 可能是黑客的远控服务器、恶意软件下载源、矿池地址等。您需要及时进行如下排查：
      1. 检查容器内的恶意进程及非法端口，删除可疑的启动项和定时任务。
      2. 对容器存在的风险进行排查，如进行漏洞扫描、木马扫描等。
      3. 对容器所使用的镜像进行加固，并替换运行中的容器。

      事件列表

      事件概览

      1. 登录 容器安全服务控制台，在左侧导航中，单击运行时安全 > 恶意外连，默认进入事件列表页面。
      2. 在事件列表页面的事件概览中，将根据系统上报的安全事件，实时统计待处理的恶意外连事件及其影响的容器数量。
      

      事件列表

      在事件列表中，默认展示近7天的恶意外连事件，如需查看更多事件，可调整查询时长。列表展示字段如下表所示。
      
      字段名称
      字段详情
      事件类型
      恶意域名请求。
      请求域名
      触发安全事件的域名详情。
      容器名称/ID/运行状态/隔离状态
      展示容器资产相关的名称、ID、运行状态等信息；如客户认为该条安全事件属实，即容器可能已经失陷，可点击隔离容器避免风险在内网扩散。
      镜像名称/ID
      触发安全事件的容器的来源镜像，可通过单击镜像 ID 查看镜像详情，例如镜像安全风险、组件信息、构建历史等。
      主机名称/IP
      触发安全事件的容器所在的云服务器节点。展示该节点的名称和内外网 IP 信息。
      首次生成时间
      该条安全事件首次发生的时间。
      最近生成时间
      该条安全事件最近发生的时间。
      请求次数
      系统按容器 ID、域名、进程路径、进程启动用户等对待处理安全事件进行聚合展示，聚合周期为当天。
      状态
      包括待处理、已处理、已忽略、已加白。
      操作
      单击详情查看事件详情。详情包括事件详情，关联容器、镜像、主机等资产信息，风险描述，解决方案，请求域名详情和三层进程信息。
      单击处理对安全事件进行处理。包括添加白名单、标记已处理、隔离容器、忽略和删除记录。

      查看详情

      在事件列表中，单击详情，进入事件详情，展示事件详情，关联容器、镜像、主机等资产信息，风险描述，解决方案，请求域名详情和三层进程信息。
      

      处理事件

      1. 在事件列表中，单击处理，可以选择对事件进行添加白名单、标记已处理、隔离容器、忽略和删除记录，单击确定。
      
      2. 在二次确认窗口中，进行如下操作：
      添加白名单：输入白名单域名和备注，单击确认。添加白名单时，系统会根据加白的来源事件自动填入请求的域名，如有需要可手动调整为母域名。同时可勾选“批量处理相同事件（将相同域名触发的待处理事件批量加白）”，勾选并确认后，系统将批量对相同域名产生的安全事件批量加白处理。
      注意：
      若您确认该域名请求属于正常行为，可将该域名添加白名单放行规则，后续再出现该域名请求，将直接放行不再拦截/告警，请谨慎操作。
      
      标记已处理：建议您参照事件详情中的“解决方案”，人工对该事件风险进行处理，单击确定，处理后可将事件标记为已处理。
      隔离容器：若您确认隔离该容器，系统将禁止该容器的网络通信并将事件标记为已处理，请谨慎操作。单击确定隔离后，可在更多操作或容器资产列表中解除隔离。
      忽略：单击确定，仅将本次告警事件进行忽略，若再有相同事件发生依然会进行告警。
      删除：单击删除，删除已选事件记录，控制台将不再显示，无法恢复记录，请慎重操作。

      黑白名单管理

      除容器安全服务产品提供的系统黑名单，客户也可自定义域名黑名单和域名白名单。黑白名单生效优先级为：白名单 > 黑名单。
      黑名单：当容器向名单中的域名发起外连请求时，系统将判定为恶意外联行为，为您产生实时告警，可前往 事件列表 查看。
      白名单：当容器向白名单中的域名发起外连请求时，系统将直接放行，不再进行告警。

      黑名单管理

      1. 登录 容器安全服务控制台，在左侧导航中，单击运行时安全 > 恶意外联 > 黑白名单管理。
      2. 在黑名单列表页签，单击添加黑名单。
      
      
      3. 在添加黑名单窗口中，可支持批量新增多个自定义黑域名；输入域名时，支持前缀置空的泛域名，例如*.tencent.com；泛域名下的子域名均会告警。
      
      
      4. 单击确认，列表将根据实际输入的域名生成记录；当输入多个域名时，将生成多条记录。

      白名单管理

      1. 登录 容器安全服务控制台，在左侧导航中，单击运行时安全 > 恶意外联 > 黑白名单管理。
      2. 在白名单列表页签，单击添加白名单。
      
      
      3. 在添加白名单窗口中，可支持批量新增多个自定义白域名；输入域名时，支持前缀置空的泛域名，例如*.tencent.com；泛域名下的子域名均会被放行，不产生告警。
      
      
      4. 单击确认，列表将根据实际输入的域名生成记录；当输入多个域名时，将生成多条记录。
      联系我们

      联系我们，为您的业务提供专属服务。

      联系我们
      技术支持

      如果你想寻求进一步的帮助，通过工单与我们进行联络。我们提供7x24的工单服务。

      提交工单
      7x24 电话支持
      Copyright © 2013-2024 Tencent Cloud. All Rights Reserved.
      隐私条款服务条款缓存条款