Integrity Monitoring-ийг хэрхэн суулгаж, тохируулж, туршиж үзэх вэ?

Integrity Monitoring нь Windows болон Linux төгсгөлийн төхөөрөмж (endpoint) дээр хийгдсэн өөрчлөлтийг хянаж, олон төрлийн объектын бүрэн бүтэн байдлыг үнэлдэг.

Integrity Monitoring нь Bitdefender-ийн өгсөн өгөгдмөл дүрэм болон таны үүсгэсэн тусгай дүрмээр ажиллана. Эдгээр дүрэм Control Center-ийн Policies (Бодлого) > Integrity Monitoring Rules хуудаснаас харагдана.

Эдгээр дүрмийн дагуу файл, хавтас, бүртгэлийн (registry) бичилт, хэрэглэгч, үйлчилгээ, суулгасан программд өөрчлөлт гарахад Integrity Monitoring үйлдэл хийж, үйл явдал (event) үүсгэнэ. Эдгээр үйл явдал Control Center-ийн Reports (Тайлан) > Integrity Monitoring Events хуудсанд харагдана.

Мөн Integrity Monitoring-ийн үйл явдал дээр суурилсан portlet (хяналтын самбарын widget) болон хоёр төрлийн тайлан үүсгэж болно:

• Integrity Monitoring activity — үйл явдлын хуудсан дахь үйл явдлуудыг харуулна.
• Integrity Monitoring configuration changes — Bitdefender Trusted болон Unapproved үйл явдлуудыг харуулна.

Integrity Monitoring нь мөн сэрэмжлүүлгийн хэт олширлыг бууруулж, гүйцэтгэлд сөрөг нөлөө үзүүлэхээс сэргийлэх, шилдэг туршлагыг автоматжуулсан тогтмол хязгаарлагчтай (hardcoded restrictors) ирдэг.

Integrity Monitoring нь GravityZone EDR болон Bitdefender FRAT-аас бусад бүх стандарт бүтээгдэхүүнд боломжтой. Лицензийн түлхүүртэй бүтээгдэхүүнд нэмэлт (add-on), сарын захиалгатай бүтээгдэхүүнд лицензийн сонголт хэлбэрээр ирнэ.

Өгөгдмөлөөр илрүүлсэн үйл явдлыг 7 хоногоор хадгална. Үүнээс гадна үйл явдлыг удаан хадгалах нэмэлт байдаг бөгөөд 90 хоног, 180 хоног, 365 хоногийн гурван сонголтоос сонгоно.

Лицензээ нэмсний дараа GravityZone-д дахин нэвтэрнэ. Control Center-ийн үндсэн цэсэнд хоёр шинэ хуудас гарна:

• Policies доор Integrity Monitoring Rules хуудас нэмэгдэнэ. Энд Integrity Monitoring-ийг тохируулах дүрэм, дүрмийн багц болон холбогдох сонголтууд байна.
• Reports доор Integrity Monitoring Events хуудас нэмэгдэнэ. Энд илрүүлсэн бүх үйл явдал байна. Эдгээр үйл явдал өгөгдмөл болон/эсвэл тусгай дүрэм дээр суурилна.

Нэмж хэлэхэд, бодлогын тохиргоонд Integrity Monitoring гэсэн шинэ хэсэг орсон бөгөөд тэндээс модулийг идэвхжүүлж, бодлогод хэрэглэх дүрмийн багцыг сонгоно.

Бүрэлдэхүүн хэсгүүд

Integrity Monitoring дараах бүрэлдэхүүн хэсгийг ашиглана:

• GravityZone Control Center
• Security agent (Windows, Linux)

Integrity Monitoring-ийн хязгаарлалт

Windows

• Integrity Monitoring нь цөөн хэдэн үл хамаарах зүйлтэйгээр олон тооны registry түлхүүр болон утгыг хянадаг. Хянадаг registry түлхүүр, утгын бүрэн жагсаалтыг энэ баримтаас үзнэ үү.
• GravityZone-ийн үл хамаарах жагсаалтад орсон процессоор хийгдсэн өөрчлөлт үйл явдал үүсгэхгүй.
• EDR-ийн тусгай exclusion (үл хамаарах дүрэм) нь Integrity Monitoring-ийн дүрмээс үүссэн incident (осол)-д хамаарахгүй.
• EDR-ийн тусгай exception нь Integrity Monitoring-ийн дүрмээс үүссэн incident-д хамаарахгүй.

Linux

• Integrity Monitoring нь хамгаалагдсан container-ийг дэмждэггүй.
• Backend-ийг kprobes-оос auditd руу сольсон бол Integrity Monitoring эхлэхгүй.
• InstalledSoftware үйл явдал зөвхөн Debian суурьтай үйлдлийн системд үүснэ.
• service_added үйл явдал нэг үйлчилгээнд зөвхөн нэг удаа ажиллана.
• Дараалсан олон үйл явдлыг удаан боловсруулна.
• Текст засварлагч бүр өөр API ашигладаг тул нэг файлын өөрчлөлтөд өөр өөр үйл явдал үүсгэж болно.
• runuser командаар өөр хэрэглэгчээр хийсэн үйлдлийн үйл явдалд хэрэглэгчийн талбар хоосон байна.
• Integrity Monitoring нь 32 битийн үйлдлийн системтэй зохицохгүй.
• Зөвшөөрөл болон эзэмшигчийн өөрчлөлтийн үйл явдал нь endpoint incident үүсгэж чадахгүй.
• EDR-ийн тусгай exclusion нь Integrity Monitoring-ийн дүрмээс үүссэн incident-д хамаарахгүй.

Integrity Monitoring-ийг суулгаж тохируулах

Энэ боломжийг ашиглаж эхлэхийн тулд дараах алхмуудыг дагана:

Агент суусан төхөөрөмжид модулийг нэмэх (Reconfigure agent)

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Network (Сүлжээ) хуудас руу орж, модуль суулгах төхөөрөмжүүдээ сонгоно.

3. 3Хүснэгтийн дээд талын Actions (Үйлдэл) товчийг дарж Reconfigure agent-ийг сонгоно.

4. 4Modules (Модуль) хэсгээс Add-ийг сонгож Integrity Monitoring модулийг идэвхжүүлнэ.

> Тэмдэглэл: Reconfigure client даалгаврын талаар дэлгэрэнгүйг Reconfigure agent хэсгээс үзнэ үү.

5. 5Save дарна.

Даалгавар сонгосон бүх төхөөрөмж дээр Integrity Monitoring модулийг суулгана.

Агент суугаагүй төхөөрөмжид суулгах багцаар суулгах

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Installation Packages (Суулгах багц) хуудас руу орно.

3. 3Дэлгэцийн баруун дээд буланд байгаа Create (Үүсгэх) товчийг дарна.

4. 4Шинэ суулгах багцын Name (Нэр) болон Description (Тайлбар)-ыг бичнэ.

5. 5Суулгах модулиудаа сонгоно.

> Тэмдэглэл: Integrity Monitoring модулийг заавал сонгоно.

6. 6Save дарна.

7. 7Жагсаалтаас шинээр үүсгэсэн багцаа сонгоод Send download links дарна.

8. 8Хүлээн авагчдын и-мэйл хаягийг оруулаад Send дарна.

Бодлого (Policy) тохируулах

Бодлогыг төхөөрөмж дээрх боломжуудыг идэвхжүүлж, тохируулахад ашиглана. GravityZone нь ихэнх хэрэглэгчийн хэрэгцээнд тохирсон өгөгдмөл бодлогын тохиргоотой ирдэг.

Эдгээр өгөгдмөл тохиргоог ашиглаж, бодлогын тохиргоог хойно хийж болно. Гэхдээ боломжийг бодлогын хуудаснаас идэвхжүүлэхийн тулд доорх алхмуудыг дагана:

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Integrity Monitoring Rules хуудас руу орно.

3. 3Бодлогодоо хэрэглэх шинэ дүрмийн багцыг үүсгэнэ.

4. 4Зүүн талын цэснээс Policies хуудас руу орно.

5. 5Дараахын аль нэгийг хийнэ:

- Шинэ бодлогыг үүсгэнэ.
- Одоо байгаа бодлогын нэгийг засна.

6. 6Integrity Monitoring хэсэгт модулийн боломжуудыг идэвхжүүлж, тохируулна.

7. 7Бодлогоо Save хийнэ.

8. 8Шинэ бодлого үүсгэсэн бол боломж суулгасан төхөөрөмжүүд дээр хэрэглүүлнэ:

1. Зүүн талын цэснээс Network хуудас руу орно.

2. Бодлого хэрэглэх төхөөрөмжүүдээ сонгоно.

3. Хүснэгтийн дээд талын Actions товчийг дарж Assign policy-г сонгоно.

4. Хэрэглэх бодлогоо сонгоно.

5. Finish дарна.

> Тэмдэглэл: Дэлгэрэнгүйг Төхөөрөмжийн бодлого оноох хэсгээс үзнэ үү.

Одоо байгаа бодлогыг засварласан бол боломж суулгасан бүх төхөөрөмжид хэрэглэгдсэн эсэхийг шалгана.

Ингэснээр боломж идэвхжиж, таны байгууллагын хэрэгцээнд тохируулагдана.

Боломжийг туршиж үзэх

1. 1Integrity Monitoring боломжийг тохируулж идэвхжүүлэх алхмаар тодорхой үйлдэл хийдэг шинэ дүрэм үүсгэнэ.

Жишээ нь, төхөөрөмж дээрх тодорхой замд шинээр үүссэн .exe өргөтгөлтэй бүх файлыг хорио (Quarantine)-д шилжүүлэх дүрэм үүсгэж болно:

1. Integrity Monitoring Rules > Custom rules > Actions > New rule-ийг сонгоно.

2. Дараах тохиргоог хийнэ.

3. OS applicability хэсгээс тохирох үйлдлийн системийг сонгоно.

4. Keys хэсэгт файлын зам болон дүрэм хамаарах файлын өргөтгөлийг нэмнэ.

5. Add товчийг дарна.

6. Monitoring scope хэсгээс File was created-ийг сонгоод баруун талын жагсаалтаас Move to quarantine үйлдлийг сонгоно.

7. Save дарна.

2. 2Дүрмийг ажиллуулахаар зохиосон нөхцөлийг дуурайлган хийнэ.

Дээрх жишээнд C:\Testing Integrity Monitoring замд .exe файл үүсгэнэ. Ингэхэд файл хорио руу шилжинэ.

Хорионд шилжсэн бүх файлыг Quarantine хуудаснаас олно:

1. 1GravityZone Control Center-д нэвтэрнэ.
2. 2Зүүн талын цэснээс Quarantine хуудас руу орно.
3. 3Хайх файл болон хугацаандаа тохирох шүүлтүүрийг сонгоно.
4. 4Үр дүнг судална.

Боломжийн үйл ажиллагааны мэдээллийг Integrity Monitoring activity болон Integrity Monitoring configuration changes тайлангаас харна.

Portlet нь таны орчны аюулгүй байдлын үйл явдлын мэдээллийг харуулна. Portlet-ийг тохируулах, мөн хянах хамгаалалтын механизм болон харах хугацааны завсараа зааж өөрийн portlet үүсгэж болно.

Portlet үүсгэхийн тулд:

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Dashboard хуудас руу орно.

3. 3Хуудасны баруун дээд талын Add Portlet товчийг дарна.

4. 4Үүсгэх portlet-ээ сонгоно.

> Тэмдэглэл: Portlet-ийг чирж хүссэн байрлалд нь тавьж Dashboard хуудсаа өөрт тохируулж болно.

Консолоос өгдөг тайлангийн төрөл бүрт portlet байдаг.

Дэлгэрэнгүй баримт

Integrity Monitoring-ийн талаар дэлгэрэнгүйг дараах хуудаснаас үзнэ үү:

• Шаардлага
• Тойм
• Тохиргоо
• Үйл явдал
• Тайлангийн төрөл