文件查杀
最近更新时间: 2024-10-17 17:10:00
本文档将指导您如何在主机安全控制台对木马文件进行操作处理。
文件查杀设置
登录主机安全控制台，在左侧导航栏选择入侵检测 > 文件查杀。
在文件查杀页面，单击右上角处的查杀设置，右侧弹出查杀设置页面，可对查杀模式进行设置。
说明：
- 该功能属于专业版功能，请先购买防护授权并绑定主机，升级为专业版主机。
- 文件查杀支持木马文件检测，全部机器可累计免费检测5条恶意文件安全事件，超过则停止检测，升级为专业版主机安全则没有次数限制，常见的木马文件检测有以下两种：
- Webshell 检测：提供常用的 Web 网站类脚本木马后门检测，包含 ASP/PHP/JSP/Python 等脚本语言。
- 二进制检测：提供对二进制可执行类的病毒木马检测，例如 DDoS 木马、远控、挖矿类软件等，文件类型包括 exe、dll、bin 等，并告警用户。
- 在查杀设置页面，支持定时检测、实时监控、自动隔离设置。
- 定时检测：单击开启定时检测，设置检测模式、周期和检测范围后，单击保存，可定期扫描主机木马病毒文件，增强安全性。
参数说明：
检测模式：包括快速检测模式和全盘检测模式，可对运行中进程、关键目录、驱动加载等进行检测。其中全盘检测的时长与服务器磁盘文件数量相关，推荐选择4小时以上，避免出现扫描不完整或超时情况。
引擎模式：包括标准模式、增强模式和严格模式。
标准模式：提供精准检测，高效检出主流木马、病毒文件。
增强模式：提供增强检测能力，可检出非主流恶意文件。
严格模式：提供最严格检测能力，命中任何恶意特征将提示用户。
检测周期：可选择每天、每隔3天或每隔7天检测周期。
检测范围：包括全部专业版服务器和自选服务器。
- 实时监控：单击开启实时监控，并选择监控模式后，单击保存，可实时监控 Web 目录、系统关键目录，查杀木马病毒文件。
参数说明：
监控模式分为标准和推荐两种模式。
标准：监控并扫描检测常见目录下增量文件。
深度：监控并扫描检测所有目录下增量文件。
- 自动隔离：单击开启自动隔离 > 保存，自动隔离检测出的恶意文件，部分恶意文件仍需用户手动确认隔离，建议检查文件查杀列表中所有安全事件，确保已全部处理。
说明：
若出现误隔离，请在已隔离列表中对文件进行恢复。开启或关闭自动隔离，均需要进行配置，实际生效存在几分钟延迟。
检测设置概览
登录 主机安全控制台 ，在左侧导航栏选择入侵检测 > 文件查杀。
在文件查杀页面，单击一键检测，开始设置手动检测模式。
- 在一键检测设置页面，设置目标检测模式、主机范围和超时时间后，检测可能会因为文件、目录过多、扫描耗时较长，可以设置单次扫描时长，超时则视为扫描失败。
- 单击开启检测后按照检测设置进行检测，可单击查看详情查看检测详情信息。
检测详情列表包含字段说明如下：
影响服务器 ：目标服务器的 IP 及名称。
操作系统 ：目标服务器的操作系统。
检测状态：目标服务器检测完成、检测中及检测失败的检测状态，其中检测失败的原因可能是目标服务器检测超时失败，建议增加超时时长后重新检测，检测失败的原因可能是客户端已离线，建议重启或重新安装客户端后重新检测。
待处理风险：目标服务器检测出待处理的风险文件数量。
检测开始时间：此次检测开始的时间。
检测结束时间：目标服务器检测结束的时间。
操作：
重新检测：若想对检测状态处于检测完成、检测停止和检测失败的目标服务器再次检测，您可以单击重新检测。
停止检测：若想对检测状态处于检测中的目标服务器停止检测，您可以单击停止检测。
说明：
选中的服务器将不会被检测，可能存在的风险将不会告警提示，请谨慎操作。
- 查看详情：若想查看目标服务器的检测结果详情，您可以单击查看详情。
查看事件列表
登录 主机安全控制台 ，在左侧导航栏选择入侵检测 > 文件查杀。
在文件查杀页面，可查看当前受保护的服务器中，木马文件检测情况，如下图所示：
事件列表包含字段说明如下：
服务器 IP /名称 ：当前检测的目标服务器 IP 和名称。
路径：目标风险文件的文件路径，单击
)复制路径信息、单击
下载目标风险文件。病毒名/检出引擎：入侵目标风险文件的病毒名。
首次发现时间：首次检测到目标风险文件出现的时间。
最近检测时间：最近一次检测到目标风险文件出现的时间。
处理状态：目标风险文件的处理状态，待处理状态的事件会提示最近一次检测该文件时，文件和进程的存在情况。
操作：
隔离：若确认文件是恶意的，可以对单个文件进行隔离，或者批量选择文件进行一键隔离。当隔离成功后，原始恶意文件将被加密隔离，后期可以通过筛选已隔离文件，进行恢复。
信任：若文件是非恶意的，可以选择信任操作，加入信任后，主机安全将不再对该文件进行检测，可以通过筛选信任文件，对信任文件进行管理。
删除记录：该操作仅删除日志记录，不会删除文件，操作后无法再查看相关日志信息，建议您先对文件进行“隔离”、“信任”操作，或根据路径找到相应文件进行手动删除。
详情：若想查看目标风险文件的检测结果详情，可以单击查看详情。
)复制路径信息、单击
下载目标风险文件。常见问题
木马文件为什么隔离失败？
木马文件隔离失败，一般是由于木马文件对抗安全软件导致的，建议先自行删除服务器中的告警文件。若仍无法处理，请提交工单联系我们进行处理，Windows 系统也可尝试使用腾讯电脑管家进行查杀。
后续步骤
Linux 入侵类问题排查指南，请参见 Linux 入侵类问题排查思路。
Windows 入侵类问题排查指南，请参见 Windows 入侵类问题排查思路。