飞连
飞连
- 文档首页
飞连管理员指南AI 安全AI 安全防护恶意 Skill 监控与处置
复制全文
下载 pdf
文档反馈
问问助手终端员工在使用 Skill 时，如果其中包含恶意代码或敏感内容，将会给企业带来安全隐患。
在配置并生效 Skill 安全检测策略后，飞连会在终端检测出恶意 Skill 文件时上报告警。管理员可以在恶意 Skill 页面集中监控全网风险，在告警事件详情页查看风险命中证据，并通过提取文件、配置白名单等功能，实现风险事件的快速研判与闭环处置。
本文主要介绍如何在管理后台查看恶意 Skill 告警信息，并针对告警事件执行下发提取文件、添加白名单等响应操作。
查看 Skill 告警
操作路径
- 登录管理后台。
- 在左侧导航栏，选择 AI 安全 ＞ 安全防护 ＞ Skill 安全检测。
- 在页面顶部切换至恶意 Skill 页签。
在此页面，每一行数据代表一个在终端上被检出的独立恶意 Skill 文件实体。同一路径下该文件的多次检出或删除动作，都将自动合并并更新其状态，管理员仅需通过单一列表项即可掌握该文件当前的最终情况。
告警列表字段说明
在告警列表中，您可以通过各项筛选条件进行组合筛选，快速定位目标威胁事件。您也可以点击列表右上角的自定义列，根据审计需求勾选并调整列表展示的信息。核心字段说明如下：
| 列表项 | 说明 |
|---|---|
| 状态更新时间 | 该文件实体最近一次被系统检出或状态发生变更的时间。 |
| 首次告警时间 | 该文件在终端上首次被系统发现的时间。对比两个时间可识别风险潜伏周期。 |
| Skill 名称 | 检测出的扩展组件名称。 |
| Skill 路径 | 恶意文件在终端系统中的绝对存储路径。 |
| 命中风险类型 | 展示Skill 云查扫描出的具体风险类型（如：运行时执行高风险命令）。若一个 Skill 命中多个风险，鼠标悬停可查看全部。 |
| Skill Hash | 该恶意 Skill 文件的唯一 Hash 标识。 |
| 扫描方式 | 该事件被检出时的触发机制（实时扫描 / 定时扫描），鼠标悬停可查看具体的扫描频率。 |
| 用户信息 | 触发告警终端关联的员工姓名及所属部门。 |
| 设备信息 | 触发告警终端的主机名、在线状态等。 |
| 操作系统 | 告警终端的操作系统类型及版本。 |
处置状态 | 展示该病毒文件当前的治理结果：
|
| 命中策略 | 检出该风险所命中的 Skill 检测策略名称。 |
查看告警详情
点击告警列表中的操作列的详情，可以进入恶意 Skill 详情页，获取更深度的风险证据与溯源信息。
事件详情
事件详情页签集中展示了该 Skill 的基本信息、风险信息、以及触发告警的终端用户与设备详情。
- 基本信息
展示 Skill 的 Hash、云查方式（Skill Hash 云查 / Skill 内容云查）、命中策略以及 Skill 的文本描述信息等。
- 风险信息
详细罗列该 Skill 命中的所有风险类型及描述。展开详情后，将直观展示命中代码证据，系统会以红色左边框高亮标注出命中风险的具体代码片段及行数，辅助安全人员快速定性。
- 用户与设备详情
提供触发告警终端的详细网络及设备信息（如设备 IP、飞连版本），支持点击右上角一键查看该员工或该设备关联的全部告警。
- 快速处置
在研判风险信息后，您可以直接点击详情页右上角的提取文件或添加白名单按钮，快速对该恶意 Skill 进行处置。具体操作请参见告警处置与研判。
处置记录
在处置记录页签下，记录了该恶意 Skill 从首次告警到最终处置的全生命周期流转轨迹。时间线节点包含发生时间、状态变更以及具体的变更说明。
告警处置与研判
针对列表中的恶意文件，管理员可以下发以下响应指令，以完成事件的研判取证或策略纠偏。
提取文件
当发现可疑的未知威胁，或者需要对某次告警进行深入的安全分析时，管理员可以通过提取文件功能，将终端上的恶意文件回传至管理后台。
说明
管理员操作审计提示：为满足合规审计要求，管理员提取 Skill 文件的行为将被系统自动记录在管理员操作日志中。
- 定位需要提取的恶意 Skill 文件，执行以下任一操作下发提取指令：
- 在告警列表中提取：在目标告警事件的操作列，单击提取文件。
- 在告警详情页中提取：点击目标告警进入详情页，在页面右上角单击提取文件。
- 确认提取后，系统会自动在终端安全 ＞ 威胁响应生成一个文件提取任务。
- 若目标设备当前在线，系统将实时执行提取任务。
- 若设备离线，指令将自动转为后台挂起状态，待设备下次联网后自动执行。
- 您可以前往威胁响应页面查看任务进度，并在提取成功后下载该文件进行深度研判。
注意
- 提取的文件在管理后台仅保留 3 天，过期后将自动删除，届时将无法查看或下载，请及时处理。
- 若终端用户已在客户端本地删除了该 Skill 文件，则系统将无法再从终端提取该文件。
配置 Skill 白名单
管理员可通过配置白名单，将可信任的扩展组件进行豁免，避免其被误报为恶意 Skill 而影响正常使用。根据实际场景，支持以下两种加白方式：
方式一：从告警日志快速加白
适用于在处理已知告警时，确认该文件为误报并需要立即豁免的场景。
- 定位需要加白的恶意 Skill 告警，执行以下任一操作打开白名单配置弹窗：
- 在告警列表中操作：在目标告警事件的操作列，单击添加白名单。
- 在告警详情页中操作：点击目标告警进入详情页，在页面右上角单击添加白名单。
- 在弹出的添加白名单侧滑页中，配置以下参数：
- 操作系统：选择该白名单生效的系统环境（Windows、macOS、Linux）。
- 白名单配置（文件路径）：系统会自动填入当前告警的文件路径。您也可以按需修改，路径字段支持使用通配符
*。例如：C:\Users\*\Documents\*表示匹配所有用户文档目录下的所有文件。 - 备注：选填。建议填写添加白名单的原因（如“自研工具豁免”），方便后续审计。
- 生效范围：选择该白名单是应用于全部对象还是仅针对部分对象（特定员工/设备）生效。
- 配置完成后，单击确定。
添加成功后，系统后续将不再针对命中该白名单规则的文件触发告警，该规则统一在AI 安全 > 安全防护 > Skill 安全检测 > Skill 白名单中进行维护。
方式二：主动定义白名单规则
适用于已知合规组件的特征（如 SHA256 或路径），在产生告警前预先配置豁免的场景。
注意
该功能仅支持飞连客户端 3.3.17 及以上版本。
- 在左侧导航栏，选择AI 安全 > 安全防护 > Skill 安全检测。
- 切换至 Skill 白名单页签。
- 单击页面右侧的 + 添加白名单。
- 在弹出的对话框中完成以下配置，并单击确定。
- 操作系统：选择该白名单生效的系统环境（Windows、macOS、Linux）。
- 白名单配置：点击 + 添加规则，支持组合使用以下条件（“且”关系）：
- 文件 SHA256：基于文件内容的唯一哈希值进行识别。建议优先使用此方式以防路径伪装。
- 文件路径：基于文件在终端上的绝对路径进行豁免。
- 备注：选填。建议填写添加白名单的原因（如“自研工具豁免”），方便后续审计。
- 生效范围：选择该白名单是应用于全部对象还是仅针对部分对象（特定员工/设备）生效。