Blocklist (EDR: хориглосон жагсаалт) хэрхэн удирдах вэ?

Blocklist (Хориглосон жагсаалт) функц нь аюулын мөрдөн шалгалтын явцад сэжигтэй гэж тодорхойлогдсон файл болон сүлжээний холболтод хандахыг үр дүнтэй удирдах, хянах боломж олгоно. Хортой байж болзошгүй файлыг blocklist-д нэмснээр тэдгээрийг сүлжээнд ажиллуулахыг хориглож, хохирол учрах эсвэл хортой программ тархах эрсдэлийг бууруулна.

Blocklist хуудаснаас Blocklist дүрмүүдийг харж, удирдана. Үйл ажиллагааны бүртгэлийг User activity log хуудаснаас харна.

Blocklist хүснэгтээс зүйл бүрийн дараах мэдээллийг харна:

• Target company (Зорилтот компани)
• Note (Тэмдэглэл)
• Created by (Үүсгэсэн хэрэглэгч)
• Date created (Үүсгэсэн огноо)
• Rule type (Дүрмийн төрөл)
• Source type (Эх үүсвэрийн төрөл)
• Hash type (Хэшийн төрөл)
• File name (Файлын нэр)
• File hash (Файлын хэш)
• Firewall rule name (Галт ханын дүрмийн нэр)
• Command line (Командын мөр)
• Local IP/Mask
• Remote IP/Mask
• Local port/Port range
• Remote port/Port range
• Directly connected computers (Шууд холбогдсон компьютерууд)
• Remote MAC
• Protocol
• Direction
• IP version

Blocklist-д дүрэм нэмэх

Blocklist дүрмүүд нь аюул учруулж болзошгүй гэж үзсэн зүйлсийн хандалтыг хориглосон жагсаалтыг үүсгэх, удирдах зарчим болно.

Blocklist-д hash утга нэмэх

1. 1Хүснэгтийн дээд талын Add rule (Дүрэм нэмэх) товчийг дарна.

2. 2Унждаг цэснээс Application hash-ийг сонгоно.

3. 3Хүсвэл үүсгэж буй Blocklist дүрэмд хамаарах Note-ыг бичнэ.

4. 4MD5 эсвэл SHA256-ийг сонгоод доорх талбарт утгыг буулгана.

5. 5Blocklist дүрмийн зорилтот компаниудыг сонгоно.

> Тэмдэглэл: Таны компаниудад зориулан Blocklist-д 100.000 хүртэл hash утга нэмж болно.

Blocklist-д application path утга нэмэх

Урьдчилсан нөхцөл

Path based app blocklist endpoint дээр ажиллахын тулд тухайн endpoint-д Content Control модуль суусан, мөн endpoint-ийн бодлого дотор Application blacklisting идэвхжсэн байх ёстой.

Алхмууд

1. 1Хүснэгтийн дээд талын Add rule товчийг дарна.

2. 2Унждаг цэснээс Application path-ийг сонгоно.

3. 3Хүсвэл үүсгэж буй Blocklist дүрэмд хамаарах Note-ыг бичнэ.

4. 4Холбогдох талбарт Application path-ийг оруулна.

> Тэмдэглэл: Замын хэлбэр зорилтот endpoint-уудын үйлдлийн системд тохирч байгаа эсэхийг шалгана уу.

5. 5Blocklist дүрмийн зорилтот компаниудыг сонгоно.

> Тэмдэглэл: Таны компаниудад зориулан Blocklist-д 10.000 хүртэл application path утга нэмж болно.

Blocklist-д холболтын дүрэм нэмэх

Урьдчилсан нөхцөл

Blocklist-ийн холболтын дүрэм тухайн endpoint дээр ажиллахын тулд endpoint-д Firewall модуль суусан, мөн endpoint-ийн бодлого дотор идэвхжсэн байх ёстой.

Алхмууд

1. 1Хүснэгтийн дээд талын Add rule товчийг дарна.

> Тэмдэглэл: Blocklist дүрмүүд бодлогын дүрмээс өмнө ажиллана. Өөрөөр хэлбэл blocklist-д заасан хориг, зөвшөөрөл нь бодлогын ерөнхий дүрмээс давуу эрхтэй.
>
> Blocklist дүрмүүд monitor process эсвэл adapter тохиргооны өөрчлөлтөд нөлөөлөгдөхгүй бөгөөд бүх дүрэм бүх adapter-т үргэлж хамаарна.

2. 2Унждаг цэснээс Connection-ыг сонгоно.

3. 3Add connection rule дэлгэц дээр шаардлагатай мэдээллийг бөглөнө:

- Firewall rule name - Дүрмийг хүснэгтэд харуулах нэрийг оруулна (жишээ нь дүрэм хамаарах программын нэр).

- Note - Хүсвэл үүсгэж буй Blocklist дүрэмд хамаарах Note-ыг бичнэ.

- OS type - Боломжит үйлдлийн системийн төрлөөс нэгийг сонгоно. Тухайн үйлдлийн системийг сонгоход дэмжигдээгүй сонголтууд идэвхгүй болно, гэхдээ дэмжигдсэн үйлдлийн систем рүү буцаахад одоо байгаа утгууд хадгалагдана.

- Application path - Зорилтот компаниудын программын ажиллуулдаг файлын замыг зааж өгч болно.

- Цэснээс урьдчилан тодорхойлсон байршлыг сонгоод замыг шаардлагатай хэмжээгээр гүйцээнэ.

Жишээ нь Program Files хавтсанд суусан программын хувьд %ProgramFiles%-ийг сонгоод, араас нь ташуу зураас (\\) болон программын нэрийг нэмж замыг гүйцээнэ.

- Эсвэл бүтэн замыг талбарт шууд оруулна.

Бүх зорилтот компьютер дээр зам хүчинтэй байхын тулд боломжтой газарт системийн хувьсагч ашиглахыг зөвлөж байна.

- Command line - Дүрэм зөвхөн заасан программыг Windows командын мөрөөс тодорхой командаар нээсэн үед хамаарахыг хүсвэл тухайн командыг талбарт бичнэ. Үгүй бол хоосон орхиж болно.

- Application MD5 - Дүрэм программын файлын бүрэн бүтэн байдлыг MD5 хэш кодоор шалгахыг хүсвэл түүнийг талбарт оруулна. Үгүй бол хоосон орхино.

> Тэмдэглэл: Командын мөр болон MD5 хэш хоёулаа программын замтай зөв холбогдсон эсэхийг шалгана уу. Дүрэм зөв ажиллахын тулд программын файлын замыг MD5 хэш болон холбогдох командын мөрийн зааврын хамт үнэн зөв зааж өгөх ёстой.

4. 4Хэрэглэх холболтын дүрмийн Settings-ийг сонгоно.

- Local Address

IP эсвэл IP/Mask байж болно. Дүрэм хамаарах локал IP хаяг, IP/Mask болон портыг зааж өгнө.

Хэд хэдэн сүлжээний adapter-тэй бол Any нүдний тэмдэглэгээг арилгаад тодорхой IP хаяг оруулж болно.

Түүнчлэн тодорхой порт эсвэл портын мужаар холболтыг шүүхийн тулд холбогдох талбарт порт эсвэл портын мужийг оруулна.

- Remote Address

Дүрэм хамаарах алсын IP хаяг болон портыг зааж өгнө.

Тодорхой компьютерийн ирж буй болон гарч буй урсгалыг шүүхийн тулд Any нүдний тэмдэглэгээг арилгаад түүний IP хаягийг бичнэ.

- Apply rule only for directly connected computers

Хандалтыг Mac хаягаар шүүж болно.

- Protocol

Дүрэм хамаарах IP протоколыг сонгоно.

- Дүрмийг бүх протоколд хамааруулахыг хүсвэл Any-г сонгоно.

- TCP-д хамааруулахыг хүсвэл TCP-г сонгоно.

- UDP-д хамааруулахыг хүсвэл UDP-г сонгоно.

- Тодорхой протоколд хамааруулахыг хүсвэл Other цэснээс тэр протоколыг сонгоно.

> Тэмдэглэл: IANA Assigned Internet Protocol Numbers-ийг Internet Assigned Numbers Authority (IANA) олгодог.
>
> IANA Assigned Internet Protocol Numbers-ийн бүрэн жагсаалтыг http://www.iana.org/assignments/protocol-numbers хаягаас үзэж болно.

- Direction

Дүрэм хамаарах урсгалын чиглэлийг сонгоно.

- Outbound — дүрэм зөвхөн гарч буй урсгалд хамаарна.
- Inbound — дүрэм зөвхөн ирж буй урсгалд хамаарна.
- Both — дүрэм хоёр чиглэлд хамаарна.

- IP version

Дүрэм хамаарах IP хувилбарыг (IPv4, IPv6 эсвэл Any) сонгоно.

5. 5Blocklist дүрмийн зорилтот компаниудыг сонгоно.

Blocklist-д дүрэм импортлох

Blocklist-д hash утга импортлох

1. 1Import CSV товчийг дарна.
2. 2CSV файлаа сонгоно.
3. 3Save дарна.

Төхөөрөмж дээрээс локал CSV файлыг Blocklist хуудас руу импортлож болно, гэхдээ эхлээд CSV файл хүчинтэй эсэхийг шалгана.

Импортод тохирох CSV файл үүсгэхийн тулд эхний гурван баганыг дараах өгөгдлөөр дүүргэнэ:

1. 1CSV-ийн эхний багана Hash type агуулна: md5 эсвэл sha256.
2. 2Хоёр дахь багана тохирох арван зургаатын (hexadecimal) hash утгыг агуулна.
3. 3Гурав дахь багана Blocklist хуудасны Note баганад хамаарах, заавал биш текст агуулж болно.

Blocklist-д холболтын дүрэм импортлох

1. 1Rules хүснэгтийн дээд талын Import-ыг дарна.
2. 2Шинэ цонхонд Add-ыг дарж CSV файлыг сонгоно.
3. 3Save дарна. Хүснэгт хүчинтэй дүрмүүдээр дүүрнэ.

Импортод тохирох CSV файл үүсгэхийн тулд CSV-ийн баганыг дараах өгөгдлөөр дүүргэнэ:

1. 1Эхний багана доорх жишээнд үзүүлснээр Column value баганын бичлэг бүрт тохирох текстийг харуулна.

2. 2Хоёр дахь багана Blocklist хуудасны Note баганад хамаарах, заавал биш текст агуулж болно.

3. 3Гурав дахь багана бичлэг бүрт зөвшөөрөгдөх утгуудыг агуулна.

> Тэмдэглэл: Холболтын blocklist CSV файлыг импортлохдоо баганын нэрийг (header) файлд оруулж болохгүй. CSV нь зөвхөн баганад зөвшөөрөгдөх утгуудыг, форматад заасан яг дарааллаар агуулах ёстой.

Баганууд (хүснэгтийг жагсаалтаар харууллаа):

• 1 — `ruleName` — Заавал бөглөх талбар; хамгийн ихдээ 256 тэмдэгт; зөвшөөрөгдөх утга: Текст
• 2 — `note` — Заавал биш талбар; хамгийн ихдээ 256 тэмдэгт; зөвшөөрөгдөх утга: Текст
• 3 — `path` — Заавал биш талбар; хамгийн ихдээ 260 тэмдэгт; зөвшөөрөгдөх утга: Абсолют зам, системийн хувьсагч болон system түлхүүр үг. Тэмдэглэл: дүрэм Windows болон macOS хоёуланг зорилтот болговол дэмжигдэхгүй.
• 4 — `commandLine` — Заавал биш талбар; зөвшөөрөгдөх утга: Команд агуулсан текст. Жишээ: cmd --line. Тэмдэглэл: дүрэм Windows болон macOS хоёуланг зорилтот болговол дэмжигдэхгүй.
• 5 — `applicationMD5` — Заавал биш талбар; хамгийн ихдээ 32 арван зургаатын тэмдэгт; зөвшөөрөгдөх утга: md5. Тэмдэглэл: дүрэм Windows болон macOS хоёуланг зорилтот болговол дэмжигдэхгүй.
• 6 — `protocol` — Заавал бөглөх талбар; зөвшөөрөгдөх утга: any, tcp, udp, custom
• 7 — `customprotocol` — protocol талбарт өмнө нь custom утгыг сонгосон үед л заавал бөглөнө; зөвшөөрөгдөх утга: энд байгаа аравтын утгууд.
• 8 — `direction` — Заавал бөглөх талбар; зөвшөөрөгдөх утга: both, inbound, outbound
• 9 — `ipVersion` — Заавал бөглөх талбар; зөвшөөрөгдөх утга: any, ipv4, ipv6
• 10 — `localAddressAny` — Заавал бөглөх талбар; зөвшөөрөгдөх утга: yes эсвэл no
• 11 — `localAddressIpMask` — localAddressAny талбарт өмнө нь No сонгосон үед л заавал бөглөнө, энэ тохиолдолд хүчинтэй IP хаяг эсвэл дэд сүлжээ оруулна; цэгтэй таслалаар (;) тусгаарлавал олон бичлэг нэмж болно; зөвшөөрөгдөх утга: хүчинтэй IP хаяг эсвэл дэд сүлжээ
• 12 — `localAddressPortRange` — Заавал биш талбар; цэгтэй таслалаар (;) тусгаарлавал олон бичлэг нэмж болно; зөвшөөрөгдөх утга: хүчинтэй порт эсвэл портын муж (жишээ нь 443-446)
• 13 — `remoteAddressAny` — Заавал бөглөх талбар; зөвшөөрөгдөх утга: yes эсвэл no
• 14 — `remoteAddressIpMask` — remoteAddressAny талбарт өмнө нь No сонгосон үед л заавал бөглөнө, энэ тохиолдолд хүчинтэй IP хаяг эсвэл дэд сүлжээ оруулна; зөвшөөрөгдөх утга: хүчинтэй IP хаяг эсвэл дэд сүлжээ
• 15 — `remoteAddressPortRange` — Заавал биш талбар; цэгтэй таслалаар (;) тусгаарлавал олон бичлэг нэмж болно; зөвшөөрөгдөх утга: хүчинтэй порт эсвэл портын муж (жишээ нь 443-446)
• 16 — `directlyConnectedEnable` — Заавал бөглөх талбар; зөвшөөрөгдөх утга: yes эсвэл no
• 17 — `directlyConnectedRemoteMac` — Заавал биш талбар; directlyConnectedEnable талбарт yes сонгосон үед л утга нэмнэ; зөвшөөрөгдөх утга: хүчинтэй MAC хаяг, цэгтэй таслалаар (;) тусгаарлан 100 хүртэл бичлэг нэмж болно. Тэмдэглэл: macOS дээр энэ талбарыг дэмжихгүй.
• 18 — `operatingSystem` — Заавал биш талбар; жишээ: Windows; macOS. Анхдагч утга: Windows

Blocklist-д application path утга импортлох

1. 1Rules хүснэгтийн дээд талын Import-ыг дарна.
2. 2Шинэ цонхонд Add-ыг дарж CSV файлыг сонгоно.
3. 3Save дарна. Хүснэгт хүчинтэй дүрмүүдээр дүүрнэ.

Импортод тохирох CSV файл үүсгэхийн тулд дараах алхмуудыг дагаж баганыг дараах өгөгдлөөр дүүргэнэ:

1. 1Эхний багана хүчинтэй application path агуулна. Зам дараах шалгуурт нийцвэл хүчинтэй гэж үзнэ:

- 260 тэмдэгтээс бага байх.
- Windows-ийн абсолют зам байх.
- Wildcard агуулаагүй байх.

2. 2Хоёр дахь багана заавал биш бөгөөд дүрмийн тэмдэглэлийг агуулж болно.

Тэмдэглэл 256 тэмдэгтээс бага байвал хүчинтэй гэж үзнэ.