云安全中心 agent 的作用
云厂商的主机安全 agent 把漏洞预警、基线检查、入侵告警与文件查杀打包在一起，是云上主机最容易落地的安全能力。落地路径很清楚：先在全部云主机上装好并确认在线，再把告警接到人的处理流程里。只装不管，等于多占用一点资源换来一份没人看的报表。
基本信息
| 加固项 | 安全运营工具 |
|---|---|
| 适用平台 | 云主机 |
| 基线要求 | agent 覆盖全部云主机且处于在线 |
| 关键指标 | 覆盖率、离线主机数、未修复漏洞数 |
| 配合项 | 自建资产台账与变更流程 |
| 风险等级 | 低 |
典型使用场景
- 新购云主机：镜像预装 agent，避免上线后再补装
- 覆盖率巡检：定期列出未安装与长期离线的主机清单
- 漏洞预警：控制台发现新漏洞后转入内部修复流程
- 入侵告警：可疑进程、暴力破解类告警接入值班渠道
- 合规交付：向审计方提供覆盖率与告警处置记录
- 事件响应：用控制台的命令执行与隔离能力做应急处置
覆盖情况核查
覆盖情况核查
# 以某云主机安全 agent 为例核查服务与进程
systemctl status aliyun.service --no-pager 2>/dev/null | head -4
ps -ef | grep -E 'aegis|barad|YunJing|titan' | grep -v grep | head -5
# 控制台侧核对：覆盖率、离线主机清单、未修复漏洞列表关键指标读法
| 指标 | 含义 | 判读要点 |
|---|---|---|
| 覆盖率 | 已安装 agent 的主机占比 | 低于预期先查镜像与采购流程，而不是逐台补装 |
| 离线主机数 | agent 长时间失联的主机 | 离线主机是漏洞与入侵的盲区，必须单独列清单 |
| 未修复漏洞数 | 控制台统计的待处理项 | 口径要与内部修复流程对齐，避免两边数字不一致 |
| 告警处置情况 | 已处理告警占比 | 只看告警数量不看处置结果，等于没有运营 |
agent 的漏洞清单要与自建台账交叉核对：控制台负责发现，变更流程负责修复与验证。
装完 agent 不等于自动修复，修复动作与复查仍要按内部流程走，控制台只是发现源。
离线主机是盲区，覆盖率巡检要单独给出离线清单，只看总覆盖率会掩盖问题。
落地检查点
- 确认全部云主机均安装 agent，并列出离线主机及原因
- 把控制台告警接入值班渠道，明确响应时限与责任人
- 定期比对控制台漏洞清单与内部修复台账的口径
- 新购主机在镜像层面预装，避免依赖人工补装