检测范围说明

云安全中心通过安装在您服务器上的 Agent 插件与云端云安全中心服务器联动，并结合网络侧的旁路流量分析，为您提供主机入侵检测、登录安全、恶意外联、漏洞利用检测、容器与云原生安全、网络侧威胁检测等安全告警能力。

本说明所列能力以产品当前实际支持的检测规则为准，并随产品迭代持续更新，请您仔细阅读：

下述各类安全特征信息，由安装在您服务器上的 Agent 插件采集，或在网络侧采集，经加密上传至云端云安全中心服务器进行分析与最终核查；确认存在安全风险后向您发送安全告警。采集内容仅用于为您提供安全检测与告警服务，不用于其他任何用途。

1.可疑进程与命令信息

采集内容：进程名、命令行/启动参数、进程对应文件路径、父子进程关系、进程启动时间、进程通信等行为特征。

采集与处理：检测到可疑进程/命令后上传相关信息到云端核查，确认后发送告警。该类信息主要支撑以下检测能力。

主机入侵与异常行为

应用与服务漏洞利用

2.可疑文件信息

采集内容：文件路径、文件哈希（如 MD5）、文件创建/修改时间、Web 目录文件变动等。

采集与处理：检测到可疑文件后上传文件相关信息到云端核查，确认为恶意后发送告警。支撑以下检测能力。

3.账户与登录信息

采集内容：用户名、用户权限、登录名、登录来源 IP、登录时间、登录成功/失败记录等。

采集与处理：定期分析并上传账号与登录日志信息，发生异常登录时发送告警。支撑以下检测能力。

4.网络连接信息

采集内容：源 IP/源端口、目的 IP/目的端口、外联域名、监听端口、连接与扫描行为等。

采集与处理：检测到可疑网络连接后上传连接信息到云端核查，确认为异常后发送告警。支撑以下检测能力。

5.容器与资产信息

采集内容：容器/镜像信息、已安装软件、监听端口、账号等资产信息。

采集与处理：采集容器运行时行为与资产信息用于容器逃逸、云原生威胁检测与资产管理。支撑以下检测能力。

6.云凭证与 API 调用信息

采集内容：AccessKey 使用记录、API 调用记录（调用来源、调用模式、调用失败情况）等云访问凭据的使用行为数据。

采集与处理：分析云访问凭据的使用行为，识别凭据泄露与违规使用后发送告警。支撑以下检测能力。

7.网络侧流量

采集内容：网络侧镜像流量，按一定比例采样采集，不做解密。

采集与处理：该类信息不经 Agent 插件采集，由网络侧旁路分析后向您发送告警。受采样与不解密的限制，该类检测结论为疑似风险线索，用于提示排查方向，不等同于对主机失陷状态的确认；加密信道与私有协议中的载荷内容、未纳入采集范围或未被采样覆盖的会话、不产生外部通信的主机本地行为（如本地提权、离线加密勒索），以及尚无公开特征的未知手法，在网络侧不可感知。支撑以下检测能力。