Бодлогыг хэрхэн оноох вэ? Төхөөрөмж ба дүрмээр оноох

Бодлогыг хоёр аргаар оноож болно:

• Device-based assignment (төхөөрөмжөөр оноох) — та бодлого оноох endpoint-уудыг гараар сонгоно. Ийм бодлогыг төхөөрөмжийн бодлого (device policy) гэж бас нэрлэдэг.
• Rule-based assignment (дүрмээр оноох) — удирдагдаж буй endpoint-ийн сүлжээний тохиргоо одоо байгаа оноох дүрмийн нөхцөлтэй таарвал бодлого тухайн endpoint-д оноогдоно.

Төхөөрөмжийн бодлогыг хэрхэн оноох вэ?

GravityZone-д бодлогыг хэд хэдэн аргаар оноож болно:

• Бодлогыг зорилтот объектод шууд оноох.
• Эцэг бүлгийн бодлогыг өвлөлтөөр авах.
• Зорилтот объектод бодлогын өвлөлтийг албадах.

Анхдагчаар endpoint эсвэл endpoint-уудын бүлэг бүр эцэг бүлгийнхээ бодлогыг өвлөнө. Эцэг бүлгийн бодлогыг өөрчилбөл албадсан бодлоготой объектоос бусад бүх үр удам нөлөөлөлд орно.

Төхөөрөмжийн бодлогыг оноохдоо:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Network (Сүлжээ) хуудас руу орно.
3. 3Зорилтот endpoint-уудаа сонгоно. Нэг буюу хэд хэдэн endpoint эсвэл endpoint-уудын бүлгийг сонгож болно.
4. 4Actions (Үйлдэл) цэснээс Assign Policy (Бодлого оноох)-ийг сонгоно.

Assign policy хуудас нээгдэнэ.

5. 5Зорилтот endpoint-уудын хүснэгтийг шалгана. Endpoint бүрийн хувьд дараахыг харж болно:

- Оноогдсон бодлого.

- Бодлогыг өвлөж байгаа эцэг бүлэг (байвал).

Бүлэг бодлогыг албадаж байгаа бол нэр дээр нь дарж тухайн бүлгийг зорилт болгосон Assign policy хуудсыг үзэж болно.

- Албадалтын төлөв.

Энэ төлөв нь зорилтот объект бодлогын өвлөлтийг албадаж байгаа юу, эсвэл бодлогыг өвлөхөөр албадагдсан уу гэдгийг харуулна:

- Forcing: Бодлогыг дэд бүлгүүдэд албадаж байна.
- Is forced: Бодлого дээд түвшингээс өвлөгдөж, албадагдсан байна.
- N/A: Албадсан бодлого байхгүй.

Is forced төлөвтэй, албадсан бодлоготой объектуудыг анхаарна уу. Тэдгээрийн бодлогыг солих боломжгүй бөгөөд энэ үед анхааруулах мессеж гарна.

6. 6Анхааруулга гарвал үргэлжлүүлэхийн тулд Exclude these targets холбоос дээр дарна.

7. 7Бодлого оноох боломжит сонголтуудаас нэгийг сонгоно:

- Assign the following policy template — тодорхой бодлогыг зорилтот endpoint-уудад шууд ононо.
- Inherit from above — эцэг бүлгийн бодлогыг ашиглана.

8. 8Бодлогын загвар оноохоор сонгосон бол:

1. Сонголтын жагсаалтаас бодлогоо сонгоно.

2. Force policy inheritance to nested entities-ийг сонговол:

- Бодлого зорилтот бүлгүүдийн бүх үр удамд ямар ч үл хамаарах зүйлгүйгээр оноогдоно.
- Шатлалын доод түвшинд өөр газраас өөрчлөхөөс сэргийлнэ.

Нөлөөлөлд орох бүх endpoint, endpoint-уудын бүлгийг солигдох бодлогын хамт шинэ хүснэгтэд рекурсив байдлаар харуулна.

9. 9Өөрчлөлтийг хадгалж, хэрэгжүүлэхийн тулд Save (Хадгалах) товчийг дарна. Үгүй бол өмнөх хуудас руу буцахын тулд Cancel (Болих) дарна.

Дууссаны дараа бодлого зорилтот endpoint-уудад шууд илгээгдэнэ. Endpoint онлайн байвал тохиргоо нэг минутаас бага хугацаанд хэрэгжинэ. Endpoint онлайн биш бол дахин онлайн болмогц тохиргоо хэрэгжинэ.

Бодлого амжилттай оноогдсон эсэхийг шалгахдаа:

1. 1Зүүн талын цэсний Network хуудаснаас сонирхсон endpoint-ийнхоо нэр дээр дарна. Control Center Information цонхыг харуулна.
2. 2Policy хэсгээс одоогийн бодлогын төлвийг шалгана. Тэнд Applied гэж харагдах ёстой.

Оноолтын төлвийг шалгах өөр арга нь бодлогын дэлгэрэнгүйгээс харах юм:

1. 1Зүүн талын цэснээс Policies хуудас руу орно.
2. 2Таны оноосон бодлогыг олно.

Active/Applied/Pending баганаас гурван төлөв тус бүрийн endpoint-уудын тоог харж болно.

3. 3Дурын тоон дээр дарахад Network хуудсанд тухайн төлөвтэй endpoint-уудын жагсаалт гарна.

Дүрэмд суурилсан бодлогыг хэрхэн оноох вэ?

Policies > Assignment Rules хуудсаар тодорхой байршил, хэрэглэгч эсвэл тодорхой tag-тай endpoint-уудад зориулсан бодлого оноох дүрмийг тодорхойлж болно. Жишээ нь, хэрэглэгч компаниас гадуур интернетэд холбогдсон үед илүү хатуу firewall дүрэм хэрэглэх, эсвэл компаниас гадуур байх үед шаардлагаар хийгдэх (on-demand) даалгаврын давтамжийг өөр тохируулах боломжтой.

Оноох дүрмийн талаар мэдэх зүйлс:

• Endpoint-д дүрмээр дамжуулан нэгэн зэрэг олон бодлого оноогдож болох боловч нэг дор зөвхөн нэг бодлого идэвхтэй байна.

• Endpoint-д оноогдсон бодлого өөр өөр төлөвтэй байж болно:

- Active — endpoint дээр ашиглагдаж буй бодлого.
- Applied — endpoint бодлогыг хүлээн авсан.
- Pending — endpoint бодлогыг хараахан хүлээн аваагүй.

Endpoint-д оноогдсон бодлогуудын жагсаалтыг харахын тулд Network хуудсанд endpoint-ийн нэр дээр дарж, Policy таб руу орно. Бодлогын төлвийн талаарх дэлгэрэнгүйг Endpoint-ийн дэлгэрэнгүйг харах хуудаснаас үзнэ үү.

• Дүрмээр оноогдсон бодлого нь дүрмийн нөхцөл биелэх үед идэвхжинэ.

• Дүрмээр оноогдсон бодлого endpoint дээр тохирсон төхөөрөмжийн бодлогыг дарж бичнэ.

Төхөөрөмжийн бодлого нь ихэвчлэн анхдагч бодлого эсвэл сүлжээний администратор гараар оноосон бодлого байдаг.

• Оноох дүрмүүдийн аль нь ч хамаарахгүй бол төхөөрөмжийн бодлого идэвхтэй хэвээр байна.

• Дүрмүүд эрэмбэлэгдэж, ач холбогдлоор (priority) боловсруулагдах бөгөөд 1 нь хамгийн өндөр ач холбогдол юм. Нэг зорилтод хэд хэдэн дүрэм байж болно.

Тэр тохиолдолд зорилтот endpoint-ийн одоогийн холболтын тохиргоотой таарсан эхний дүрэм хэрэгжинэ.

• Assignment rules хүснэгтээс дүрмүүдийг priority, name, type, description, policy, status-аар хайж, эрэмбэлж болно. Дүрмийн төлөв дараах байж болно:

- Running — дүрэм идэвхтэй бөгөөд endpoint-уудад хамаарч байна.
- No target — зорилт дутуу тул дүрэм endpoint-уудад хэрэгжихгүй байна. Дүрэм үүсгэсний дараа зорилтоор сонгосон Network бүртгэлийн хавтас устгагдсан тохиолдолд ийм байдал үүсч болно.

Шинэ дүрэм үүсгэхдээ:

1. 1GravityZone Control Center-т нэвтэрнэ.
2. 2Зүүн талын цэснээс Assignment Rules хуудас руу орно.
3. 3Хүснэгтийн дээд талын Add (Нэмэх) товчийг дарна.
4. 4Дүрмийн төрлийг сонгоно:

- Location rule (байршлын дүрэм)
- User rule (хэрэглэгчийн дүрэм)
- Endpoint tag rule (tag-ийн дүрэм)
- Computer group rule (компьютерийн бүлгийн дүрэм)

5. 5Дүрмийн тохиргоог шаардлагынхаа дагуу тохируулна.
6. 6Өөрчлөлтийг хадгалж, дүрмийг бодлогын зорилтот endpoint-уудад хэрэгжүүлэхийн тулд Save дарна.

Одоо байгаа дүрмийн тохиргоог өөрчлөхдөө:

1. 1Assignment Rules хуудаснаас хүссэн дүрмээ олж, нэр дээр нь дарж засварлана.
2. 2Дүрмийн тохиргоог шаардлагынхаа дагуу тохируулна.
3. 3Өөрчлөлтийг хэрэгжүүлж цонхыг хаахын тулд Save дарна. Хадгалахгүйгээр гарахын тулд Cancel дарна.

Дүрмийг цаашид ашиглахгүй бол сонгоод хүснэгтийн дээд талын Delete (Устгах) товчийг дарна. Үйлдлээ баталгаажуулахын тулд Yes дарна.

Хамгийн сүүлийн мэдээлэл харагдаж байгаа эсэхийг баталгаажуулахын тулд хүснэгтийн дээд талын Refresh (Шинэчлэх) товчийг дарна.

Байршлын дүрмийг хэрхэн тохируулах вэ?

Location (байршил) гэдэг нь тодорхой gateway, URL-ийг задлах тодорхой DNS, эсвэл IP-ийн дэд олонлог зэрэг нэг буюу хэд хэдэн сүлжээний тохиргооор тодорхойлогдох сүлжээний сегмент юм. Жишээ нь, компанийн LAN, серверийн парк эсвэл хэлтсийг байршил болгон тодорхойлж болно.

Дүрмийн тохиргооны цонхонд дараах алхмыг гүйцэтгэнэ:

1. 1Үүсгэх дүрмийнхээ утга илтгэсэн нэр, тайлбарыг оруулна.

2. 2Дүрмийн priority-г тохируулна. Дүрмүүд ач холбогдлоор эрэмбэлэгдэх бөгөөд эхний дүрэм хамгийн өндөр ач холбогдолтой. Нэг priority-г хоёр буюу түүнээс олон удаа тохируулж болохгүй.

3. 3Оноох дүрмийг үүсгэж буй бодлогоо сонгоно.

4. 4Дүрэм хамаарах байршлуудыг тодорхойлно.

1. Locations хүснэгтийн дээд талын цэснээс сүлжээний тохиргооны төрлийг сонгоно. Боломжит төрлүүд:

- IP/IP address range — сүлжээн дэх эсвэл дэд сүлжээн дэх тодорхой IP хаягууд; дэд сүлжээнд CIDR хэлбэрийг ашиглана; жишээ нь: 10.10.0.12 эсвэл 10.10.0.0/16
- Gateway address — gateway-ийн IP хаяг; жишээ нь: 10.0.2.2
- WINS server address — WINS серверийн IP хаяг; Анхаар: энэ сонголт Linux болон macOS системд хамаарахгүй.
- DNS server address — DNS серверийн IP хаяг; 30 хүртэл IP хаяг, хамгийн ихдээ 480 тэмдэгт нэмж болно.
- DHCP connection DNS suffix — тодорхой DHCP холболтын hostname-гүй DNS нэр; жишээ нь: hq.company.biz
- Endpoint can resolve host — hostname; жишээ нь: fileserv.company.biz
- Network type — Wireless/Ethernet; Wireless-ийг сонгосон бол сүлжээний SSID-г бас нэмж болно; Анхаар: энэ сонголт Linux системд хамаарахгүй.
- Hostname — hostname; жишээ нь: cmp.bitdefender.com; Анхаар: wildcard бас ашиглаж болно. Од () нь тэг буюу түүнээс олон тэмдэгтийг, асуултын тэмдэг (?) нь яг нэг тэмдэгтийг орлоно. Жишээ нь: `.bitdefender.com, cmp.bitdefend??.com`; Анхаар: энэ сонголт macOS системд хамаарахгүй.

2. Сонгосон төрлийн утгыг оруулна. Боломжтой бол тусгай талбарт олон утгыг цэг таслалаар (;) зайгүйгээр тусгаарлан оруулж болно. Жишээ нь, 10.10.0.0/16;192.168.0.0/24 гэж оруулбал дүрэм эдгээр дэд сүлжээний АЛЬ НЭГТЭЙ таарах IP-тэй зорилтот endpoint-уудад хамаарна.

> Анхааруулга: Байршлын нэг дүрэмд сүлжээний тохиргооны зөвхөн нэг төрлийг ашиглаж болно. Жишээ нь, IP/network prefix-ээр байршил нэмсэн бол нэг дүрэмд энэ тохиргоог дахин ашиглах боломжгүй.

3. Хүснэгтийн баруун талын Add товчийг дарна.

> Анхаар: Дүрэм хэрэгжихийн тулд endpoint-уудын сүлжээний тохиргоо өгөгдсөн БҮХ байршилтай таарах ёстой.
>
> Жишээ нь, оффисын LAN сүлжээг тодорхойлохын тулд gateway, сүлжээний төрөл, DNS-ийг оруулж болно; үүнд дэд сүлжээ нэмбэл компанийн LAN доторх хэлтсийг тодорхойлно.

Одоо байгаа шалгуурыг засахын тулд Value талбар дээр дараад Enter дарж өөрчлөлтийг хадгална.

Байршлыг хасахын тулд сонгоод Delete товчийг дарна.

5. 5Дүрмээс тодорхой байршлыг хасаж болно. Exclusion үүсгэхийн тулд дүрмээс хасах байршлуудыг тодорхойлно:

1. Locations хүснэгтийн доорх Exclusions нүдийг тэмдэглэнэ.
2. Exclusions хүснэгтийн дээд талын цэснээс сүлжээний тохиргооны төрлийг сонгоно. Locations хүснэгттэй адил сонголтууд байна.
3. Сонгосон төрлийн утгыг оруулна. Тусгай талбарт олон утгыг цэг таслалаар (;) зайгүйгээр тусгаарлан оруулж болно.
4. Хүснэгтийн баруун талын Add товчийг дарна.

Exclusion хэрэгжихийн тулд endpoint-уудын сүлжээний тохиргоо Exclusions хүснэгтэд өгөгдсөн БҮХ нөхцөлтэй таарах ёстой.

Одоо байгаа шалгуурыг засахын тулд Value талбар дээр дараад Enter дарж өөрчлөлтийг хадгална.

Exclusion-г хасахын тулд хүснэгтийн баруун талын Delete товчийг дарна.

> Анхаар: Exclusions нь сөрөг нөхцөл болж бас ажилладаг тул зөвхөн тэдгээрт тулгуурласан дүрэм үүсгэж болно. Ийм дүрэмд Locations хүснэгт хоосон байна.
>
> Жишээ:
>
> - Exclusion болгон 10.10.0.0/16;192.168.0.0/24 гэж оруулбал дүрэм эдгээр дэд сүлжээний АЛЬ НЭГТЭЙ ч таарахгүй IP-тэй бүх зорилтот endpoint-д хамаарна.
> - Сүлжээний төрөл болгон Wireless, hostname-ийн exclusion болгон cmp1.bitdefender.com;cmp2.bitdefender.com;cmp3.bitdefender.com гэж зааж өгвөл дүрэм утасгүй холбогдоогүй БӨГӨӨД нэр нь эдгээрийн АЛЬ НЭГТЭЙ ч таарахгүй зорилтот endpoint-д хамаарна.

6. 6Targets хэсэгт бодлогын дүрмийг хэрэгжүүлэх сүлжээн дэх хавтсуудыг сонгоно. Сонголтоо баруун талын хүснэгтийн Selected Groups дор харна.

> Тэмдэглэл: Зорилт зааж өгөөгүй бол дүрмийг хадгалахад GravityZone боломжит бүх объектыг автоматаар сонгоно.

7. 7Оноох дүрмийг хадгалж, хэрэгжүүлэхийн тулд Save дарна.

Үүсгэсний дараа байршлын дүрэм таны эрхийн дагуу удирддаг бүх зорилтот endpoint-уудад автоматаар хамаарна.

Хэрэглэгчийн дүрмийг хэрхэн тохируулах вэ?

Дүрмийн тохиргооны цонхонд дараах алхмыг гүйцэтгэнэ:

1. 1Үүсгэх дүрмийнхээ утга илтгэсэн нэр, тайлбарыг оруулна.

2. 2Priority-г тохируулна. Дүрмүүд ач холбогдлоор эрэмбэлэгдэх бөгөөд эхний дүрэм хамгийн өндөр ач холбогдолтой. Нэг priority-г хоёр буюу түүнээс олон удаа тохируулж болохгүй.

3. 3Оноох дүрмийг үүсгэж буй бодлогоо сонгоно.

4. 4Targets хэсэгт бодлогын дүрэм хамаарах organizational units (OUs), users, security groups-ийг сонгоно.

Active Directory-н модонд дараах объектын ангиуд харагдана:

- Domain (домэйн)
- Organizational unit (OU)
- Container (сав)
- Security group (аюулгүй байдлын бүлэг)
- User (хэрэглэгч)

Сонголтоо баруун талын хүснэгтээс харна.

5. 5Save дарна.

Үүсгэсний дараа хэрэглэгч таних дүрэм удирдагдаж буй зорилтот endpoint-уудад хэрэглэгч нэвтрэх үед хамаарна.

Endpoint tag-ийн дүрмийг хэрхэн тохируулах вэ?

Шинэ болон одоо байгаа endpoint-уудад бодлогыг хурдан, үр дүнтэй оноохын тулд tag-д суурилсан дүрмийг ашиглаж болно. Дүрэм бүр нэг буюу хэд хэдэн tag-тай байж болно. Олон tag-тай дүрэм AND оператор ашигладаг тул дүрэм хэрэгжихийн тулд endpoint заасан бүх tag-тай байх ёстой.

Дүрэмд өөрийн үүсгэсэн болон автомат tag-ууд хоёулаа орж болно.

Жишээ нь, та Linux үйлдлийн систем ажиллуулдаг endpoint-уудад хамаарах Linux автомат tag үүсгэсэн гэж бодъё. Дараа нь энэ tag-д суурилсан, тодорхой тохиргоотой аюулгүй байдлын бодлого оноодог дүрэм үүсгэсэн. Үүний үр дүнд GravityZone сүлжээнд шинэ Linux машин илрүүлэх бүрд endpoint автоматаар Linux tag болон тохирох бодлогыг авна.

Endpoint-д tag үүсгэх, оноох талаар Endpoint tag ашиглах хуудаснаас дэлгэрэнгүй үзнэ үү.

Endpoint tag-ийн дүрмийг тохируулахдаа:

1. 1Утга илтгэсэн нэр, тайлбар оруулна.

2. 2Дүрмийн priority-г тохируулна.

Дүрмүүд ач холбогдлоор эрэмбэлэгдэх бөгөөд эхний дүрэм хамгийн өндөр ач холбогдолтой. Жишээ нь, 1-р priority нь 2-оос өндөр. Нэг priority-г хоёр удаа тохируулж болохгүй.

3. 3Tag-ийн дүрмийг үүсгэж буй бодлогоо сонгоно.

4. 4Tag хүснэгтэд дор хаяж нэг tag нэмнэ.

5. 5Дүрмийг үүсгэхийн тулд Save дарна.

Үүсгэсний дараа дүрэм заасан tag-тай бүх endpoint-д автоматаар хамаарна.

Интеграцийн tag-ийн дүрмийг хэрхэн тохируулах вэ?

Үүлэн дэд бүтцэд тодорхойлсон tag-уудыг ашиглан үүлэнд байрлах виртуал машинуудад GravityZone-ийн тодорхой бодлого оноож болно. Tag-ийн дүрэмд заасан tag-уудтай бүх виртуал машинд тухайн дүрмийн тогтоосон бодлого хэрэгжинэ.

Tag-ийн дүрэм нэг буюу хэд хэдэн tag агуулж болно. Tag-ийн дүрэм үүсгэхдээ:

1. 1Үүсгэх дүрмийнхээ утга илтгэсэн нэр, тайлбарыг оруулна.

2. 2Дүрмийн priority-г тохируулна. Дүрмүүд ач холбогдлоор эрэмбэлэгдэх бөгөөд эхний дүрэм хамгийн өндөр ач холбогдолтой. Нэг priority-г хоёр буюу түүнээс олон удаа тохируулж болохгүй.

3. 3Tag-ийн дүрмийг үүсгэж буй бодлогоо сонгоно.

4. 4Tag хүснэгтэд нэг буюу хэд хэдэн tag нэмнэ.

Tag нь том, жижиг үсгийг ялгадаг түлхүүр-утгын хос юм. Tag-уудыг өөрийн үүлэн дэд бүтцэд тодорхойлсон хэлбэрээр нь оруулаарай. Зөвхөн хүчинтэй түлхүүр-утгын хосыг тооцно.

Tag нэмэхдээ:

1. Tag Key талбарт түлхүүрийн нэрийг оруулна.
2. Tag Value талбарт утгын нэрийг оруулна.
3. Хүснэгтийн баруун талын Add товчийг дарна.

EC2-ээр удирдагдаж буй instance-уудад tag өгөх талаар Amazon EC2-ийн албан ёсны баримтаас дэлгэрэнгүй үзнэ үү.

Компьютерийн бүлгийн дүрмийг хэрхэн тохируулах вэ?

Endpoint-ууд өөр өөр organizational unit (OU)-д зохион байгуулагдсан Active Directory орчинд хэлтэс, төхөөрөмжийн төрөл бүрт тохирсон аюулгүй байдлын бодлого хэрэгжүүлэхийн тулд компьютерийн бүлгийн дүрмийг ашиглаж болно.

Дүрмийн тохиргооны цонхонд дараах алхмыг гүйцэтгэнэ:

1. 1Үүсгэх дүрмийнхээ утга илтгэсэн нэр, тайлбарыг оруулна.

2. 2Priority-г тохируулна. Дүрмүүд ач холбогдлоор эрэмбэлэгдэх бөгөөд эхний дүрэм хамгийн өндөр ач холбогдолтой. Нэг priority-г хоёр буюу түүнээс олон удаа тохируулж болохгүй.

3. 3Оноох дүрмийг үүсгэж буй бодлогоо сонгоно.

4. 4Targets хэсэгт бодлогын дүрэм хамаарах, компьютерийн объект агуулсан organizational units (OUs) болон security groups-ийг сонгоно.

Active Directory-н модонд дараах объектын ангиуд харагдана:

- Domain (домэйн)
- Organizational unit (OU)
- Container (сав)
- Security group (аюулгүй байдлын бүлэг)

Сонголтоо баруун талын хүснэгтээс харна.

5. 5Save дарна.

Үүсгэсний дараа компьютерийн бүлгийн дүрэм удирдагдаж буй зорилтот endpoint-уудад хэрэглэгч нэвтрэх үед хамаарна.