Advanced Anti-Exploit-ийг бодлогод хэрхэн тохируулах вэ?

Advanced Anti-Exploit нь exploit-ийг бодит цагт илрүүлдэг идэвхтэй технологи юм. Машин сургалтад суурилсан бөгөөд мэдэгдэж буй болон үл мэдэгдэх exploit, түүний дотор санах ойд файлгүйгээр хийгдэх халдлагаас хамгаална.

Тохиргоо нь бодлогын Antimalware > Advanced Anti-Exploit хэсэгт байна.

Linux системд Advanced Anti-Exploit нь Zero-Day болон Advanced Persistent Threat үйлдлүүд, тэдгээртэй холбоотой процессуудыг ажиллах үед нь (On-Execution) бодит цагт илрүүлж, хаахад зориулсан урьдчилан сэргийлэх хяналт юм. Модуль нь Kernel Integrity шалгалт хийхээс гадна eBPF болон KProbes-д тулгуурлан хэрэглэгчийн орон зайн (user-space) хэрэгжилтийг хянадаг.

Advanced Anti-Exploit-ийг идэвхжүүлэхийн тулд унтраалгыг дарна.

Advanced Anti-Exploit нь санал болгосон тохиргоогоор ажилладаг. Шаардлагатай бол хамгаалалтыг өөрөөр тохируулж болно.

Анхны тохиргоог сэргээхийн тулд хуудасны баруун дээд буланд байгаа Reset to default (Анхны тохиргоо руу буцаах) сонголтыг дарна.

GravityZone anti-exploit тохиргоог гурван хэсэгт ангилсан:

• System-wide detections (Системийн хэмжээний илрүүлэлт)

Энэ хэсгийн anti-exploit техникүүд exploit-ийн бай болдог системийн процессуудыг хянадаг.

Боломжтой техник болон тэдгээрийн тохиргооны талаар доорх «Системийн хэмжээний хамгаалалтыг тохируулах» хэсгээс дэлгэрэнгүй үзнэ үү.

• Predefined applications (Урьдчилан тодорхойлсон программууд)

Advanced Anti-Exploit модуль нь Microsoft Office, Adobe Reader, Flash Player зэрэг exploit-д хамгийн их өртдөг түгээмэл программуудын жагсаалтаар урьдчилан тохируулагдсан.

Боломжтой техник болон тэдгээрийн тохиргооны талаар доорх «Программ тус бүрийн техникийг тохируулах» хэсгээс дэлгэрэнгүй үзнэ үү.

• Additional applications (Нэмэлт программууд)

Энэ хэсэгт хүссэн тооны бусад программын хамгаалалтыг нэмж тохируулна.

Боломжтой техник болон тэдгээрийн тохиргооны талаар доорх «Программ тус бүрийн техникийг тохируулах» хэсгээс дэлгэрэнгүй үзнэ үү.

Хэсэг бүрийн гарчиг дээр дарж дэлгэх, хураах боломжтой. Ингэснээр тохируулах гэж буй тохиргоондоо хурдан хүрнэ.

Системийн хэмжээний хамгаалалтыг тохируулах

System-wide detections хэсэгт дараах сонголтууд байна:

• Privilege escalation — Процесс зөвшөөрөлгүй эрх авах, нөөцөд хандахаас сэргийлнэ; Анхдагч үйлдэл: Kill process; Үйлдлийн систем: Windows
• Process introspection — Дэд процесс үүсэх үед процессын төлөвийг гүнзгий шинжилж, эвдэрсэн байж болзошгүй шинж тэмдгийг шалгана. Шинжилгээ нь илрүүлсэн эцэг процесс болон тэдгээрийн үүсгэсэн дэд процессуудын тоймыг өгнө; Анхдагч үйлдэл: Kill process; Үйлдлийн систем: Windows
• LSASS process protection — LSASS процессоос нууц үгийн hash, аюулгүй байдлын тохиргоо зэрэг нууц мэдээлэл алдагдахаас хамгаална. Системийн программууд LSASS процессын санах ойг унших эрх шаардах үед функц үүнийг хянаж, тохируулсан бол арга хэмжээ авна. Анхдагч үйлдэл: Block only. Санал болгох үйлдэл нь Block only. Энэ үйлдэл нь программ өөрийг нь биш, харин программын LSASS санах ойд хандах чадварыг хаадаг. Тодруулбал, Advanced Anti-Exploit нь программын LSASS санах ойгоос унших хүсэлтийг үгүйсгэнэ. Программ үл нийцэх тохиолдол ховор. Block and report үйлдэл нь программын LSASS санах ойд хандахыг хааж, түүнчлэн ийм оролдлогын тухай танд мэдэгдэнэ. Илрүүлэлтийн үйл явдлыг харж, цаашид шинжлэхийг хүсвэл энэ тохиргоо тохиромжтой боловч мэдэгдэл олноор гарч болно. Report only үйлдэл нь программын LSASS санах ойд хандах оролдлогын тухай танд мэдэгдэнэ. Энэ тохиргоо нь шаардлагатай хэмжээнээс илүү эрх хүссэн процесс бүрийн тухай мэдэгдэл олноор үүсгэж болох бөгөөд LSASS санах ойг идэвхтэй хамгаалдаггүй тул болгоомжтой хэрэглэх хэрэгтэй. Хаагдсан үйл явдлуудыг security agent-ийн локал консолын Antiexploit ангилалд харж болно. LSASS-тэй холбоотой үл хамаарах жагсаалтыг Control Center-ийн **Configuration Profiles** хэсэгт нэмж болно. Үл хамаарах жагсаалтад оруулсан процессууд LSASS-д хандаж чадахгүй ч илрүүлэлт үүсгэхээ болино; Үйлдлийн систем: Windows
• Credentials monitoring — Thread-ийн нэвтрэх эрх гэнэт өөрчлөгдөхийг илрүүлэхийн тулд процессын үйл ажиллагааг шалгана; Анхдагч үйлдэл: Report only; Үйлдлийн систем: Linux
• Ptrace monitoring — Debug механизмын хэрэглээг хянаж, ptrace ашиглан эрх бүхий процессыг удирдах оролдлогыг илрүүлнэ. Container-оос мултрах төрлийн exploit-ийг илрүүлж чадна; Анхдагч үйлдэл: Report only; Үйлдлийн систем: Linux
• Namespace monitoring — Thread-ийн namespace гэнэт өөрчлөгдөхийг илрүүлэхийн тулд процессын үйл ажиллагааг шалгана; Анхдагч үйлдэл: Report only; Үйлдлийн систем: Linux
• Corruption monitoring — Тусгайлан бүтээсэн syscall-аар санах ой гэмтээх оролдлогыг илрүүлэхийн тулд syscall үйл ажиллагааг хянана; Анхдагч үйлдэл: Report only; Үйлдлийн систем: Linux
• SUID monitoring — Файлд SUID тэмдэг тавих бүх оролдлогыг мэдээлнэ; Анхдагч үйлдэл: Report only; Үйлдлийн систем: Linux

Эдгээр anti-exploit техник анхдагчаар идэвхтэй. Аль нэгийг нь идэвхгүй болгохын тулд түүний нүднээс тэмдэг авна.

Хүсвэл илрүүлэлт гарсан үед автоматаар авах үйлдлийг өөрчилж болно. Холбогдох цэснээс боломжит үйлдлийг сонгоно:

• Report only: GravityZone ямар ч арга хэмжээ авахгүйгээр үйл явдлыг мэдээлнэ. Үйл явдлын дэлгэрэнгүйг Advanced Anti-Exploit мэдэгдэл, мөн Blocked Applications болон Security Audit тайлангаас харна.
• Block only: хортой процессыг зөвшөөрөлгүй нөөцөд хандуулахгүй хаах бөгөөд GravityZone үйл явдлыг мэдээлэхгүй.
• Block and report: хортой процессыг зөвшөөрөлгүй нөөцөд хандуулахгүй хааж, GravityZone үйл явдлыг мэдээлнэ. Үйл явдлын дэлгэрэнгүйг Advanced Anti-Exploit мэдэгдэл, мөн Blocked Applications болон Security Audit тайлангаас харна.
• Kill process: exploit-д өртсөн процессыг шууд зогсооно.

Программ тус бүрийн техникийг тохируулах

Урьдчилан тодорхойлсон болон нэмэлт программ бүр anti-exploit техникийн ижил багцтай. Тэдгээр нь дор тайлбарлагдсан:

• ROP Emulation — Return-Oriented Programming (ROP) техник ашиглан өгөгдлийн санах ойн хуудсыг гүйцэтгэх боломжтой болгох оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• ROP Stack Pivot — Stack-ийн байршлыг шалгаж, ROP техник ашиглан кодын урсгалыг булаах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• ROP Illegal Call — Системийн эмзэг функцийг дуудагчдыг шалгаж, ROP техник ашиглан кодын урсгалыг булаах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• ROP Stack Misaligned — Stack хаягийн зэрэгцүүлэлтийг шалгаж, ROP техник ашиглан stack-ийг гэмтээх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• ROP Return to Stack — Буцах хаягийн мужийг шалгаж, ROP техник ашиглан код шууд stack дээр гүйцэтгэх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• ROP Make Stack Executable — Stack хуудасны хамгаалалтыг шалгаж, ROP техник ашиглан stack-ийг гэмтээх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Flash Generic — Flash Player-ийг exploit хийх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Flash Payload — Санах ой дахь Flash объектуудыг шалгаж, Flash Player-т хортой код ажиллуулах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• VBScript Generic — VBScript-ийг exploit хийх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Shellcode Execution — Shellcode ашиглан шинэ процесс үүсгэх эсвэл файл татах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Shellcode LoadLibrary — Shellcode ашиглан сүлжээний замаар код ажиллуулах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Anti-Detour — Шинэ процесс үүсгэх аюулгүй байдлын шалгалтыг тойрох оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Shellcode EAF (ExportAddress Filtering) — Хортой код DLL export-оос системийн эмзэг функцэд хандах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Shellcode Thread — Шинээр үүссэн thread-ийг шалгаж, хортой код оруулах оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Anti-Meterpreter — Гүйцэтгэх боломжтой санах ойн хуудсыг шалгаж, reverse shell үүсгэх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Obsolete Process Creation — Хуучирсан техник ашиглан шинэ процесс үүсгэх оролдлогыг илрүүлнэ; Анхдагч үйлдэл: Kill process
• Child Process Creation — Ямар ч дэд процесс үүсгэхийг хаана; Анхдагч үйлдэл: Kill process
• Enforce Windows DEP — Өгөгдлийн хуудаснаас код ажиллуулахыг хаахын тулд Data Execution Prevention (DEP)-ийг албадан хэрэгжүүлнэ; Анхдагч: Идэвхгүй
• Enforce Module Relocation (ASLR) — Санах ойн модулиудыг шилжүүлж, кодыг урьдчилан таамаглах боломжтой байршилд ачаалахаас сэргийлнэ; Анхдагч: Идэвхтэй
• Emerging Exploits — Шинээр гарч ирж буй аюул, exploit-ээс хамгаална. Илүү иж бүрэн өөрчлөлт хийгдэхээс өмнө энэ ангилалд хурдан шинэчлэлт хийдэг; Анхдагч: Идэвхтэй

Урьдчилан тодорхойлсноос бусад программыг хянахын тулд Custom Windows applications хэсгийн Add a Windows application товчийг дарна.

Программын anti-exploit тохиргоог хийхийн тулд:

1. 1Одоо байгаа программ бол программын нэр дээр дарна. Шинэ программ бол Add Windows application товчийг дарна.

Сонгосон программын бүх техник болон тэдгээрийн тохиргоог харуулсан шинэ хуудас нээгдэнэ.

> Анхааруулга: Шинэ программ нэмж хянахдаа болгоомжтой байна уу. Bitdefender ямар ч программтай нийцэхийг баталгаажуулж чадахгүй. Иймд эхлээд чухал бус цөөн endpoint дээр туршиж үзээд дараа нь сүлжээнд нэвтрүүлэхийг зөвлөж байна.

2. 2Шинэ программ нэмж байгаа бол нэр болон процессуудынхаа нэрийг холбогдох талбарт оруулна. Процессын нэрийг таслалтай цэг (;)-ээр тусгаарлана.

3. 3Техникийн тайлбарыг хурдан харахыг хүсвэл нэрийн хажуугийн сумыг дарна.

4. 4Шаардлагатай бол exploit техникүүдийн нүдийг тэмдэглэх эсвэл тэмдгийг авна.

Бүх техникийг нэг дор тэмдэглэхийг хүсвэл All сонголтыг ашиглана.

5. 5Шаардлагатай бол илрүүлэлт гарсан үед автоматаар авах үйлдлийг өөрчилнө. Холбогдох цэснээс боломжит үйлдлийг сонгоно:

- Kill process: exploit-д өртсөн процессыг шууд зогсооно.
- Report only: GravityZone ямар ч арга хэмжээ авахгүйгээр үйл явдлыг мэдээлнэ. Үйл явдлын дэлгэрэнгүйг Advanced Anti-Exploit мэдэгдэл болон тайлангаас харна.

Анхдагчаар урьдчилан тодорхойлсон программуудын бүх техник асуудлыг зогсоохоор тохируулагдсан бол нэмэлт программууд зөвхөн үйл явдлыг мэдээлэхээр тохируулагдсан байдаг.

Бүх техникийн үйлдлийг нэг дор өөрчлөхийн тулд All сонголттой холбоотой цэснээс үйлдлийг сонгоно.

6. 6Одоо байгаа программын тохиргоог баталгаажуулахын тулд Save товчийг дарна.

Шинэ программын тохиргоог баталгаажуулахын тулд Add товчийг дарна.