例外行為の確認(Excepted List)

VPC環境で利用できます。

Excepted Listメニューは、例外ルールによって例外処理されたウェブシェル行為を確認できるメニューです。
このメニューでは、ウェブシェル行為が検知されたサーバの情報、検知時間、プロセス情報、攻撃者と疑われるIP情報などの詳細情報と疑わしいファイル、攻撃者と疑われるIPを確認できます。また、例外処理された項目に適用された例外ルールを照会したり、例外処理をキャンセルすることもできます。

例外行為の詳細情報の確認

例外処理されたウェブシェル行為の詳細情報が確認できます。

例外行為の詳細情報を確認する方法は以下のとおりです。

1. NAVERクラウドプラットフォームコンソールのVPC環境でServices > Security > Webshell Behavior Detectorメニューを順にクリックします。
2. Detection List > Excepted Listメニューを順にクリックします。
3. リストで、確認する例外行為項目をクリックします。
   • 例外行為の詳細情報が表示されます。

例外行為リスト画面の各項目についての説明は以下のとおりです。

疑わしいファイルを見る

例外処理された行為に関連したウェブシェルと疑われるファイルのリストを確認し、ウェブシェルと判断したファイルを隔離したり、隔離されたファイルを復旧することができます。

ウェブシェルと疑われるファイルを確認する方法は以下のとおりです。

1. NAVERクラウドプラットフォームコンソールのVPC環境でServices > Security > Webshell Behavior Detectorメニューを順にクリックします。

2. Detection List > Excepted Listメニューを順にクリックします。

3. 確認する項目の 疑わしいファイル 領域で [見る] ボタンをクリックします。

4. リストのポップアップでファイルをクリックし、ファイルの詳細情報を確認します。
   

5. 検知した行為をウェブシェルと判断した場合は、隔離/復旧 の横にある [ファイル隔離] ボタンをクリックしてファイルを隔離します。

   • そのファイルは、同じパスで攻撃者が類推しにくいファイル名で隔離されます。
     (例：/var/www/html/uploads/webshell.php.webshell_20200320012000.BC98D127F4)
   • そのウェブシェル行為項目は確認状態(グレーのアイコンとテキスト)に変わり、隔離されたファイルは疑わしいファイルリスト(Quarantine)に追加されます。
   • ファイルが隔離されると、[ファイル隔離] ボタンが [ファイル復旧] ボタンに切り替わり、必要に応じてファイルを復旧できます。隔離されたファイルを復旧すると、そのページではそれ以上、ファイルの隔離または復旧は行えません。

疑わしいIPを見る

例外処理されたウェブシェル行為に関連した攻撃者と疑われるIPリストを確認できます。

疑わしいIPリストを確認する方法は以下のとおりです。

1. NAVERクラウドプラットフォームコンソールのVPC環境でServices > Security > Webshell Behavior Detectorメニューを順にクリックします。

2. Detection List > Excepted Listメニューを順にクリックします。

3. 確認する項目の 疑わしいIP 領域で [見る] ボタンをクリックします。

4. リストのポップアップで疑わしいIP情報を確認します。
   

例外ルールの確認

例外処理されたウェブシェル行為項目に適用されたすべての例外ルールを確認できます。

例外ルールを確認する方法は以下のとおりです。

1. NAVERクラウドプラットフォームコンソールのVPC環境でServices > Security > Webshell Behavior Detectorメニューを順にクリックします。
2. Detection List > Excepted Listメニューを順にクリックします。
3. 確認する項目の 例外ルール 領域で [見る] ボタンをクリックします。
4. 情報のポップアップで例外ルール情報を確認し、[確認] ボタンをクリックします。

例外処理のキャンセル

ウェブシェル行為項目の例外処理をキャンセルできます。

例外処理をキャンセルする方法は以下のとおりです。

1. NAVERクラウドプラットフォームコンソールのVPC環境でServices > Security > Webshell Behavior Detectorメニューを順にクリックします。
2. Detection List > Excepted Listメニューを順にクリックします。
3. 例外処理をキャンセルする項目の 例外キャンセル 領域で [キャンセル] ボタンをクリックします。
4. 情報のポップアップで例外ルール情報を確認し、[例外キャンセル] ボタンをクリックします。
   • この項目に適用されたすべての例外ルールを確認できます。
5. 確認のポップアップで [はい] ボタンをクリックします。
   • この項目はウェブシェル行為リストに移動し、適用された例外ルールはすべて削除されます。

メモの作成

例外処理されたウェブシェル行為項目に簡単な説明や追加情報などのメモを追加できます。

メモを作成する方法は以下のとおりです。

1. NAVERクラウドプラットフォームコンソールのVPC環境でServices > Security > Webshell Behavior Detectorメニューを順にクリックします。
2. Detection List > Excepted Listメニューを順にクリックします。
3. メモを追加する項目をクリックし、詳細情報領域で メモ の横にある [修正] ボタンをクリックします。
4. メモの内容を入力し、[保存] ボタンをクリックします。