Integrity Monitoring-ийн дүрэм, дүрмийн багцыг хэрхэн тохируулах вэ?

Өгөгдмөл дүрэм (Default rules)

Өгөгдмөл дүрмийг Bitdefender үүсгэж, дэмждэг. Эдгээр дүрэм нь хамгийн түгээмэл үйлдлийн систем, программ, үйлчилгээ, хэрэглэгчийн объектуудыг хамааран, төгсгөлийн төхөөрөмжийн бүрэн бүтэн байдлыг хангана.

Үйлдлийн системийн болон программын өгөгдмөл дүрмийн талаар дэлгэрэнгүйг Integrity Monitoring default rules хуудаснаас үзнэ үү.

Дүрмийг засах, устгах талаар доорх «Дүрэм засах» болон «Дүрэм устгах» хэсгээс үзнэ үү.

Өөрийн дүрэм (Custom rules)

Өөрийн дүрмийг Partner, Company Administrator, Network Administrator үүрэгтэй дурын хэрэглэгч үүсгэж, удирдаж болно.

Шинээр үүсгэх дүрэм өгөгдмөл дүрмээр аль хэдийн хамрагдаагүй эсэхийг заавал шалгана уу. Давхардсан дүрэм ажиллуулбал бүтээгдэхүүний ерөнхий гүйцэтгэл муудна.

Critical (маш өндөр) түвшний өөрийн дүрэм нь registry key, registry value, файл, хавтасны хувьд EDR сэрэмжлүүлэг үүсгэнэ. Эдгээр сэрэмжлүүлгийг EDR инцидентийн Node details самбараас харна.

EDR үйл явдал үүсгэхтэй холбоотой хязгаарлалтын талаар Integrity Monitoring хуудасны Integrity Monitoring limitations хэсгээс үзнэ үү.

Дүрэм үүсгэх

Өөрийн дүрмийг дараах алхмаар үүсгэнэ:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Policies (Бодлого) > Integrity Monitoring Rules хуудсыг нээнэ.

3. 3Action (Үйлдэл) унждаг цэсийг дарна.

4. 4New rule (Шинэ дүрэм)-ийг сонгоно.

Өөрийн дүрэм үүсгэхэд дараах талбарууд байна:

• Rule name: давтагдахгүй байх ёстой. Хоёр дүрэм ижил нэртэй байж болохгүй.

• Description: дүрмийн ерөнхий тайлбар.

• Severity: Low, Medium, High эсвэл Critical гэж тохируулна.

• Entity type: дараах төрлүүд байна:

- File
- Directory
- Registry key
- Registry value

Объектын төрлийг сонгосны дараа дараах талбарууд гарна:

1. 1File

Энэ төрлийн хувьд дараах сонголтууд байна:

- OS Applicability: Windows эсвэл Linux.

- Keys: энд угтвар болон/эсвэл өргөтгөлийн төрлийг нэмнэ.

- Monitoring scope:

- Windows-ийн хувьд: файл үүссэн, өөрчлөгдсөн, устсан, нэр нь солигдсон эсэхийг хянана. Файлын hash, хэмжээ, шинж чанарыг (attributes) мөн хянаж болно.

> Тэмдэглэл: Хүсээгүй үүссэн файлыг устгах эсвэл хорио (quarantine)-д шилжүүлж болно. Мөн файлын шинж чанарын өөрчлөлтийг засч залруулах боломжтой.

- Linux-ийн хувьд: файл үүссэн, өөрчлөгдсөн, устсан, нэр нь солигдсон эсэх, мөн hash, хэмжээ, файлын зөвшөөрөл, эзэмшигч, бүлэг өөрчлөгдсөн эсэхийг хянана.

> Тэмдэглэл: Хүсээгүй үүссэн файлыг устгах эсвэл хорио (quarantine)-д шилжүүлж болно. Мөн зөвшөөрөл, эзэмшигч, бүлгийн өөрчлөлтийг засч залруулах боломжтой.

2. 2Directory

Энэ төрлийн хувьд дараах сонголтууд байна:

- OS Applicability: Windows эсвэл Linux.

- Directory path: хянах хавтасны зам. Энэ талбарын доорх нүдийг тэмдэглэснээр дэд хавтсуудыг мөн хамруулна.

- Monitoring scope:

- Windows-ийн хувьд: хавтас үүссэн, устсан, нэр нь солигдсон эсэх, шинж чанар нь өөрчлөгдсөн эсэхийг хянана.

> Тэмдэглэл: Хавтасны шинж чанарын өөрчлөлтийг засч залруулах боломжтой.

- Linux-ийн хувьд: хавтас үүссэн, устсан, нэр нь солигдсон эсэх, мөн зөвшөөрөл, эзэмшигч, бүлэг өөрчлөгдсөн эсэхийг хянана.

> Тэмдэглэл: Зөвшөөрөл, эзэмшигч, бүлгийн өөрчлөлтийг засч залруулах боломжтой.

3. 3Registry key

Энэ төрлийн хувьд дараах сонголтууд байна:

- Registry key: хянах registry key-г нэмнэ.

- Monitoring scope: registry key үүссэн, устсан эсэх, мөн түүний дэд key болон key-ийн утга өөрчлөгдсөн эсэхийг хянана.

4. 4Registry value

Энэ төрлийн хувьд дараах сонголтууд байна:

- Registry value: хянах registry value-г нэмнэ.

- Monitoring scope: registry value үүссэн, устсан эсэх, утга хамгийн сүүлд өөрчлөгдсөн цаг, мөн registry hash болон registry value-ийн хэмжээ өөрчлөгдсөн эсэхийг хянана.

> Тэмдэглэл:
> - Registry value-ийн hash өөрчлөгдсөн үед түүнийг засч залруулах боломжтой. Түүнчлэн хэмжээ өөрчлөгдсөн бол утгыг автоматаар устгахаар сонгож болно.
> - Registry value-г залруулахад сэрэмжлүүлэг үүсэхээс өмнөх утгад нь сэргээгдэнэ. Дүрэм боловсруулах горим (rule processing mode) залруулгад нөлөөлж болно.

Дүрэм засах

Дүрмийг дараах алхмаар засна:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Policies > Integrity Monitoring Rules хуудсыг нээнэ.
3. 3Засах дүрмээ сонгоно.
4. 4Configuration хэсэгт дүрмээ өөрчилнө.
5. 5Save (Хадгалах)-ийг дарна.

Дүрэм устгах

Өөрийн дүрмийг дараах алхмаар устгана:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Policies > Integrity Monitoring Rules хуудсыг нээнэ.
3. 3Устгах дүрмийнхээ хажуух нүдийг тэмдэглэнэ.
4. 4Actions унждаг цэсийг дарна.
5. 5Delete (Устгах)-ийг сонгоно.
6. 6Delete товчийг дарж баталгаажуулна.

Хязгаарлагчид (Restrictors)

Integrity Monitoring-д хязгаарлагч (restrictors) оруулсан байдаг. Эдгээр нь сэрэмжлүүлгийн хэт олон болохоос (alert fatigue) сэргийлэх, мөн хүний алдааг багасгах нэмэлт хамгаалалтын түвшин юм.

Жишээлбэл, .log өргөтгөлтэй файлыг хянах боломжгүй. Эдгээр файл тасралтгүй бичигдэж, байнга өөрчлөгддөг тул хянавал маш олон үйл явдал үүсч, төгсгөлийн төхөөрөмжийг мэдэгдэл болон/эсвэл үйл явдлаар дарамтлах болно.

Дүрмийн багц (Rule sets)

Дүрмийн багц гэдэг нь GravityZone бодлогод оноож болох дүрмүүдийн цуглуулга юм. Бодлогод оноох дүрэм бүр заавал аль нэг дүрмийн багцад багтсан байх ёстой.

Дүрмийн багц үүсгэх

Дүрмийн багцыг дараах алхмаар үүсгэнэ:

1. 1Integrity Monitoring Rules цонхыг нээнэ.

2. 2Багцдаа оруулах дүрэм бүрийн хажуух нүдийг тэмдэглэнэ.

3. 3Actions-ийг дарж New rule set from rules-ийг сонгоно.

4. 4Шинэ хуудсанд Rule set name болон (заавал биш) Description-ийг нэмнэ.

> Тэмдэглэл: Эдгээр талбарт зөвхөн үсэг, тооны тэмдэгт оруулж болно.

5. 5Save-ийг дарна.

Дүрмийн багц засах

Дүрмийн багцыг дараах алхмаар засна:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Policies > Integrity Monitoring Rules хуудсыг нээнэ.
3. 3Хүссэн дүрмийн багцаа сонгоно.
4. 4More (Нэмэлт) дүрсийг дарна.
5. 5Edit (Засах)-ийг сонгоно.
6. 6Rule set name болон Description-ийг засна.
7. 7Save-ийг дарна.

Дүрмийн багц устгах

Дүрмийн багцыг дараах алхмаар устгана:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Policies > Integrity Monitoring Rules хуудсыг нээнэ.
3. 3Хүссэн дүрмийн багцаа сонгоно.
4. 4More дүрсийг дарна.
5. 5Delete-ийг сонгоно.
6. 6Delete товчийг дарж баталгаажуулна.

Дүрмийг багцад оноох эсвэл багцаас хасах

Одоо байгаа дүрмийг дүрмийн багцад оноохдоо:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Policies > Integrity Monitoring Rules хуудсыг нээнэ.
3. 3Багцад оноох дүрмүүдийн хажуух нүдийг тэмдэглэнэ.
4. 4Actions унждаг цэсийг дарна.
5. 5Assign rules to rule sets-ийг сонгоно.
6. 6Унждаг цэснээс дүрмүүдийг оноох дүрмийн багцаа сонгоно.
7. 7Assign-ийг дарна.

Дүрмийг дүрмийн багцаас хасахдаа:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Policies > Integrity Monitoring Rules хуудсыг нээнэ.
3. 3Багцаас хасах дүрмүүдийнхээ хажуух нүдийг тэмдэглэнэ.
4. 4Actions унждаг цэсийг дарна.
5. 5Unassign rules-ийг сонгоно.

Дүрмийн багцыг бодлогод оноох

Integrity Monitoring-ийн дүрмийн багцыг бодлогод оноохын тулд эхлээд бодлогын тохиргоонд Real-time monitoring-ийг идэвхжүүлж, дараа нь хэрэглэх дүрмийн багцуудаа онооно:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Policies хуудсыг нээнэ.

3. 3Шинэ бодлого нэмэх эсвэл одоо байгаа бодлогыг засна.

4. 4Бодлогын тохиргооноос Integrity Monitoring хэсгийг нээнэ.

5. 5Унтраалгыг дарж, унждаг жагсаалтаас одоо байгаа дүрмийн багцыг нэмнэ.

6. 6Бодлогын бусад тохиргоог хүссэнээрээ хийнэ.

7. 7Бодлогоо хадгалж, төгсгөлийн төхөөрөмжүүдэд хэрэглэнэ.

Бодлогыг хэрэглэсний (эсвэл дахин хэрэглэсний) дараа объектын суурь шинж чанарууд (baseline attributes) шинэчлэгдэнэ. Иймээс бодлого хэрэглэсний дараа ирэх дараагийн сэрэмжлүүлэг эдгээр шинэчлэгдсэн шинж чанарыг харьцуулах суурь болгон ашиглана. Энэ шинэчлэлт Integrity Monitoring түр зогссон эсэхээс үл хамааран явагдана.

Мөн бодлого хэрэглэсний дараа төгсгөлийн төхөөрөмжүүд GravityZone руу үйл явдал илгээж эхэлнэ. Тэдгээрийг Integrity Monitoring Events хуудаснаас харж болно.

Дүрэм боловсруулах горим (Rules processing mode)

Дүрэм боловсруулах горим нь үйл явдлыг боловсруулж, Integrity Monitoring Events хуудсанд харуулах хурдыг тодорхойлно:

• Fast — үйл явдлыг бодит цагт аль болох ойр боловсруулна.
• Normal — үйл явдлыг 3 секунд буферлэж байгаад боловсруулна. Энэ нь өгөгдмөл тохиргоо юм.
• Slow — үйл явдлыг 6 секунд буферлэж байгаад боловсруулна.

Нөөцийн ачааллыг оновчтой байлгахын тулд бүх горим үйл явдлын дараалал болон шахалтыг ашиглана.

Боловсруулсан үйл явдалд давхардлыг арилгах (deduplication) үйлдлүүдийг хэрэглэж, сэрэмжлүүлгийн хэт ачаалалгүйгээр хамгийн сайн мэдээллийг өгдөг:

• Ижил төрлийн үйл явдлуудыг шахна.

Жишээлбэл, нэг объектын олон File hash was changed үйл явдлаас Integrity Monitoring зөвхөн хамгийн сүүлийнхийг авч үзнэ.

• Суурь шинж чанар өөрчлөгдсөний улмаас зарим үйлдлийг цаашид боловсруулахаа больно.

Жишээлбэл, File was deleted эсвэл File was renamed үйл явдлын яг өмнө ар араасаа гарсан File hash was changed үйл явдлуудыг устгана. Энэ тохиолдолд объект байхгүй болсон тул файлын hash өөрчлөлтийн суурь шинж чанарыг тогтоох боломжгүй.

Давхардлыг арилгах үйлдлүүд нь бүх горимд File, Directory, Registry key, Registry value үйл явдалд хамаарна. Fast горим үйл явдлыг саадгүй, бодит цагт боловсруулна. Гэхдээ боломжтой бүх нөөц боловсруулалтад завгүй болсон үед шинэ үйл явдлууд дараалалд орно. Дараалалд орсон үйл явдлууд нөөц чөлөөлөгдөнгүүт боловсруулагдах боловч давхардлыг арилгах үйлдлээс чөлөөлөгдөхгүй.