On-access scanning-ийг хэрхэн тохируулах вэ?

Бодлогын Antimalware > On-access хэсэгт төхөөрөмжийн хэрэглэгч дотоод болон сүлжээний файлд хандах үед хэрэгжих хортой программаас хамгаалах тохиргоог хийнэ.

On-access Scanning

On-access scanning нь дотоод болон сүлжээний файлыг нээх, зөөх, хуулах, ажиллуулах үед, мөн boot sector болон хүсээгүй байж болзошгүй программ (PUA)-ыг шалгаж, шинэ хортой программ системд орохоос урьдчилан сэргийлнэ.

On-access scanning-ийг тохируулах алхам:

1. 1On-access Scanning-ийг идэвхжүүлэхийн тулд унтраалгыг дарна.

> Анхааруулга: On-access scanning-ийг унтраавал төхөөрөмжүүд хортой программд өртөмтгий болно.

2. 2Хурдан тохируулахын тулд өөрийн хэрэгцээнд тохирох хамгаалалтын түвшинг (Aggressive, Normal эсвэл Permissive) сонгоно.

Сонголт хийхдээ түвшин бүрийн тайлбарыг ашиглана.

3. 3Эсвэл шалгалтын тохиргоог дэлгэрэнгүй хийж эхэлж болно. Тэр үед хамгаалалтын түвшин автоматаар Custom болно.

Шалгалтын тохиргоо дараах байдлаар зохион байгуулагдсан.

• File location (Файлын байршил) — Ямар төрлийн файлыг шалгахыг энд заана. Шалгалтын тохиргоог дотоод файл (төхөөрөмж дээр хадгалагдсан) болон сүлжээний файл (сүлжээний хавтсанд хадгалагдсан)-д тусад нь хийж болно.

- Сүлжээн дэх бүх компьютерт хортой программаас хамгаалалт суулгасан бол сүлжээний хандалт хурдан болгохын тулд сүлжээний файлын шалгалтыг унтрааж болно.

Security agent-ийг хандсан бүх файл (өргөтгөлөөс үл хамааран), зөвхөн аппликейшний файл, эсвэл аюултай гэж үзсэн тодорхой өргөтгөлтэй файлыг шалгахаар тохируулж болно.

- Хандсан бүх файлыг шалгавал хамгийн сайн хамгаалалт өгнө, харин зөвхөн аппликейшний файлыг шалгавал системийн гүйцэтгэл сайжирна.

> Тэмдэглэл: Аппликейшний файлууд бусад төрлийн файлаас хортой программын халдлагад хамаагүй өртөмтгий. Дэлгэрэнгүйг Аппликейшний файлын төрлүүд-ээс үзнэ үү.

- Зөвхөн тодорхой өргөтгөлтэй файлыг шалгахыг хүсвэл цэснээс User-defined extensions-ийг сонгоод, талбарт өргөтгөл бүрийг бичээд Enter дарна.

Өргөтгөлийн жагсаалтыг өөр газар ашиглахын тулд Copy to clipboard (Санах ойд хуулах) товчийг дарна.

Өргөтгөлийг нэг нэгээр нь хасахдаа хажууд нь байх Delete (Устгах) товчийг дарна. Бүгдийг нь хасахдаа Clear list (Жагсаалтыг цэвэрлэх) сонголтыг ашиглана.

> Тэмдэглэл: Linux суурьтай системд файлын өргөтгөл том жижиг үсгийг ялгадаг бөгөөд нэр нь адил боловч өргөтгөл нь өөр файлуудыг тусдаа объект гэж үздэг. Жишээ нь file.txt ба file.TXT нь өөр файл.

- Системийн гүйцэтгэлийн үүднээс том файлыг шалгалтаас хасаж болно.

Maximum size чагтыг сонгоод шалгах файлын хэмжээний дээд хязгаарыг зааж өгнө. Хортой программ том файлд ч нөлөөлж чадах тул үүнийг болгоомжтой ашиглана уу.

• Scan (Шалгах) — Хүссэн шалгалтын сонголтынхоо чагтыг сонгоно.

- Only new or changed files

Зөвхөн шинэ болон өөрчлөгдсөн файлыг шалгавал аюулгүй байдлаас бага зэрэг буулт хийж, системийн ерөнхий хариу өгөх хурдыг мэдэгдэхүйц сайжруулна.

- Boot sectors

Системийн boot sector-ийг шалгана.

Хатуу дискийн энэ хэсэгт системийг ачаалах үйл явцад шаардлагатай код байдаг.

Вирус boot sector-ийг халдварлавал диск хандах боломжгүй болж, систем асахгүй, өгөгдөлд хандаж чадахгүй болж магадгүй.

- Process memory

Процессын санах ойг шалгаж, санах ой доторх хортой үйлдлийг илрүүлнэ.

- For keyloggers

Keylogger нь таны гараас бичсэнийг бичиж аваад интернетээр хакерт илгээдэг.

Хакер хулгайлсан өгөгдлөөс банкны дансны дугаар, нууц үг зэрэг нууц мэдээллийг олж, өөрийн ашиг хонжоонд ашиглаж болно.

- For potentially unwanted applications (PUA)

Хүсээгүй байж болзошгүй программ (PUA) нь компьютер дээр хүсээгүй байж болох, заримдаа үнэгүй программтай хамт ирдэг программ юм. Ийм программ хэрэглэгчийн зөвшөөрөлгүй суухыг (adware гэж нэрлэдэг) эсвэл түргэвчилсэн суулгалтын багцад анхдагчаар орсон байхыг (зар сурталчилгаатай) хэлнэ. Үр нөлөө нь pop-up гарах, үндсэн хөтөч дээр хүсээгүй toolbar суух, арын орчинд олон процесс ажиллаж компьютерийг удаашруулах зэрэг байж болно.

- Archives

Архивлагдсан файлд on-access scanning хийхийг хүсвэл энийг сонгоно. Архив дотор шалгах нь удаан бөгөөд нөөц их зарцуулдаг тул бодит цагийн хамгаалалтад зөвлөдөггүй. Халдвартай файл агуулсан архив нь системийн аюулгүй байдалд шууд аюул учруулахгүй. Хортой программ нь халдвартай файлыг архиваас задалж, on-access scanning идэвхгүй үед ажиллуулсан тохиолдолд л системд нөлөөлнө.

Энэ сонголтыг ашиглавал дараах оновчлолын сонголтыг тохируулж болно.

- Archive maximum size

On-access шалгах архивын хэмжээний дээд хязгаарыг зааж болно.

Холбогдох чагтыг сонгоод архивын дээд хэмжээг (MB-аар) бичнэ.

- Archive maximum depth (levels)

Холбогдох чагтыг сонгоод цэснээс архивын гүнзгийрэлтийн дээд түвшнийг сонгоно.

Хамгийн сайн гүйцэтгэлд хамгийн бага утгыг, хамгийн дээд хамгаалалтад хамгийн их утгыг сонгоно.

- Deferred scanning

Deferred scanning нь файлд хандах үйлдлийн үед системийн гүйцэтгэлийг сайжруулдаг. Жишээ нь том файл хуулахад системийн нөөцөд нөлөөлөхгүй. Энэ сонголт анхдагчаар идэвхтэй.

• Scan actions (Шалгалтын үйлдэл) — Илэрсэн файлын төрлөөс хамааран дараах үйлдлүүд автоматаар хийгдэнэ.

- Action for infected objects

Bitdefender нь объект (файл, registry гэх мэт)-ыг халдвартай гэж хортой программын signature, machine learning, хиймэл оюун (AI) дээр суурилсан технологи зэрэг олон дэвшилтэт механизмаар илрүүлдэг.

Bitdefender security agent халдвартай объектыг хорионд шилжүүлж, хандахыг хориглож, хортой кодыг нь зайлуулан анхны объектыг сэргээж цэвэрлэхийг оролдож чадна.

Анхдагчаар халдвартай объект илэрвэл Bitdefender security agent автоматаар засч залруулахыг оролдоно.

Энэ зөвлөмж болгосон дарааллыг хэрэгцээндээ тааруулан өөрчилж болно.

> Чухал: Зарим төрлийн хортой программын хувьд илэрсэн файл бүхэлдээ хортой тул цэвэрлэх боломжгүй. Ийм тохиолдолд халдвартай объектыг дискээс устгана.

- Action for PUA

Анхдагчаар илэрсэн хүсээгүй байж болзошгүй программыг зөвхөн мэдээлнэ, засч залруулахгүй.

- Action for network files

Анхдагчаар сүлжээний файлд хандахыг хориглоно (deny access).

Зөвлөдөггүй боловч анхдагч үйлдлийг өөрчилж болно. Дараах үйлдлүүд боломжтой.

- Deny access

Халдвартай объектод хандахыг хориглоно.

> Чухал: MAC төхөөрөмжид Deny access-ийн оронд Move to quarantine үйлдэл хийгдэнэ.

- Remediate

Халдвартай объектод хандахыг хориглож, хорионд шилжүүлнэ. Дараа нь хортой кодыг болон хортой программын үүсгэсэн бусад ул мөрийг зайлуулан системийг цэвэрлэхийг оролдоно.

Халдвартай объектод хамгийн эхэнд хийх үйлдлээр үүнийг үргэлж хэвээр байлгахыг зөвлөж байна.

> Тэмдэглэл: Халдвартай объектыг автоматаар хорионд шилжүүлэхийн тулд бодлогын Antimalware > Settings хэсгийн Copy files to quarantine before applying the disinfect action сонголтыг сонгосон эсэхээ шалгана уу.

- Move to quarantine

Халдвартай объектыг одоогийн байршлаас хорионы хавтас руу зөөнө. Хорионд байгаа объектыг ажиллуулах, нээх боломжгүй тул халдварлах эрсдэл арилна. Хорионы объектыг консолын Quarantine хуудаснаас удирдана.

- Report only

Халдвартай объектод ямар ч үйлдэл хийхгүй. Эдгээр объект зөвхөн шалгалтын лог (scan log)-д харагдана.

• Linux directory scanning (Linux-ийн хавтасны шалгалт) — Linux төхөөрөмж дээр on-access scanning хийх хавтасны замыг оруулна.

Анхдагчаар хүснэгтэд тус бүр төхөөрөмжийн тодорхой байршилд харгалзах таван бичилт байна: /home, /bin, /sbin, /usr, /etc.

Бичилт нэмэх алхам:

1. Add directories талбарт өөрийн байршлыг нэг нэгээр нь бичнэ.
2. Add (Нэмэх) товчийг дарна.

Одоо байгаа байршлыг засах алхам:

1. Actions баганад байх Edit (Засах) товчийг дарна.

2. Хавтасны замыг засна.

3. Өөрчлөлтийг хадгалахын тулд OK товчийг дарна.

Эсвэл өөрчлөлтийг хүчингүй болгохын тулд Cancel (Болих) товчийг дарна.

Байршлыг устгахдаа Actions баганад байх Delete (Устгах) товчийг дарна.

DazukoFS third-party kernel module

DazukoFS нь гуравдагч этгээдийн kernel модуль бөгөөд Bitdefender Endpoint Security Tools-д Linux дээр on-access scanning хийх боломж олгодог. Linux дээр on-access scanning-ийг идэвхжүүлэх, шалгах хавтсыг заах талаар Antimalware On-access scanning хэсгээс үзнэ үү.

Bitdefender Endpoint Security Tools-ийн Linux хувилбарт on-access scanning модуль багтсан бөгөөд зарим Linux түгээлт болон kernel хувилбарт гуравдагч этгээдийн DazukoFS ачаалагдах kernel модуль шаардлагатай. DazukoFS нь гуравдагч программуудад Linux системийн файлын хандалтыг хянах боломж олгодог давхарласан файлын систем (stackable file system) юм.

Bitdefender Endpoint Security Tools-ийн суулгах багц нь дэмжигдсэн зарим Linux kernel хувилбарт зориулсан DazukoFS-ийг агуулж, автоматаар суулгадаг. Bitdefender Endpoint Security Tools-ийн хамт ирдэг DazukoFS багц нь доорх kernel хувилбаруудад зориулж хөрвүүлэгдсэн.

• CentOS 6.x — 2.6.32-754.35.1.el6
• Red Hat Enterprise Linux 6.x — 2.6.32-754.35.1.el6

DazukoFS-ээр дэмжигдээгүй, доод kernel хувилбартай, дэмжигдсэн Linux түгээлт дээр on-access scanning ашиглахын тулд харгалзах kernel-д зориулан DazukoFS багцыг гараар хөрвүүлж суулгана.

DazukoFS модулийг гараар хөрвүүлж суулгах

Энэ хэсэгт DazukoFS модулийг гараар хөрвүүлж, суулгах аргыг үзүүлнэ. Дараах алхмыг дагана.

1. 1Тохирох kernel headers-ийг татна.

- Ubuntu системд дараах командыг ажиллуулна.

$ sudo apt-get install linux-headers-'uname-r'

- RHEL/CentOS системд дараах командыг ажиллуулна.

$ sudo yum install kernel-devel kernel-headers-'uname-r'

2. 2- Ubuntu системд build-essential шаардлагатай.

$ sudo apt-get install build-essential

- RHEL/CentOS системд yum-utils шаардлагатай.

$ yum install -y yum-utils

3. 3DazukoFS-ийн эх кодыг өөрийн хүссэн хавтсанд хуулж, задална.

# mkdir /tmp/Dazukotemp

# cd /tmp/Dazukotemp

# cp /opt/bitdefender-security-tools/share/src/dazukofs-source.tar.gz .

# tar -xzvf dazukofs-source.tar.gz

# cd dazukofs-3.1.4

4. 4Модулийг хөрвүүлнэ.

# make

5. 5Модулийг суулгаж, ачаална.

# make dazukofs_install

DazukoFS-ийн хязгаарлалт

DazukoFS болон on-access scanning модуль хамтдаа ажиллахын тулд хэд хэдэн нөхцөл биелэх ёстой. Доорх зүйлс таны Linux системд хамаарах эсэхийг шалгаж, асуудал гарахаас сэргийлэхийн тулд заавар мөрдөнө үү.

• SELinux-ийн бодлого унтраалттай эсвэл permissive горимтой байх ёстой. SELinux-ийн бодлогын тохиргоог шалгах, өөрчлөхийн тулд /etc/selinux/config файлыг засна.

• Bitdefender Endpoint Security Tools нь зөвхөн суулгах багцад орсон DazukoFS хувилбартай нийцтэй. Системд DazukoFS аль хэдийн суусан бол Bitdefender Endpoint Security Tools суулгахын өмнө устгана.

• DazukoFS дараах kernel хувилбаруудыг дэмжинэ.

- 2.6.32-754.35.1.el6.x86_64
- 2.6.32-754.35.1.el6.centos.plus.x86_64
- 2.6.32-754.35.1.el6.i686
- 2.6.32-754.35.1.el6.centos.plus.i686

Bitdefender Endpoint Security Tools-ийн хамт ирсэн DazukoFS багц системийн kernel хувилбартай нийцэхгүй бол модуль ачаалагдахгүй. Ийм тохиолдолд kernel-ийг дэмжигдсэн хувилбар руу шинэчлэх, эсвэл өөрийн kernel хувилбарт зориулан DazukoFS модулийг дахин хөрвүүлж болно. DazukoFS багцыг Bitdefender Endpoint Security Tools-ийн суулгах хавтсанд олно.

/opt/bitdefender-security-tools/share/modules/dazukofs/dazukofs-modules.tar.gz

• NFS, UNFSv3, Samba зэрэг тусгай серверээр файл түгээхдээ эхлээд on-access scanning-ийг идэвхжүүлж, дараа нь сүлжээний хавтсуудыг mount хийнэ.

1. Control Center-ээс бодлогоор on-access scanning-ийг идэвхжүүлнэ. Дэлгэрэнгүйг On-Access бодлогын тохиргоо-оос үзнэ үү.

2. Сүлжээний хуваалцах үйлчилгээг эхлүүлнэ.

> Тэмдэглэл:
>
> - NFS-ийн хувьд: # service nfs start
>
> - UNFSv3-ийн хувьд: # service unfs3 start
>
> - Samba-ийн хувьд: # service smbd start

> Чухал: NFS үйлчилгээний хувьд DazukoFS нь зөвхөн NFS User Server-тэй нийцтэй.