Container Protection-ийг BEST агентаар хэрхэн суулгаж, тохируулах вэ?

Container Protection боломж нь Linux контейнер ажлын ачаалал болон түүний хост дээрх хамгаалалтыг нэмэгдүүлж, хост үйлдлийн системийн хамгаалалтын давхаргыг өргөтгөнө. Энэ нь серверийн ажлын ачаалалд зориулсан Endpoint Detection and Response (EDR), Advanced Anti-Exploit, Linux-д зориулсан anti-exploit технологи, Antimalware шалгалт болон аюулаас урьдчилан сэргийлэх үйлчилгээг ашигладаг. Хамгаалалтын модуль бүрийг тусад нь идэвхжүүлж, идэвхгүй болгож болно.

Бүрэлдэхүүн

Container Protection дараах бүрэлдэхүүнийг ашиглана:

• GravityZone Control Center
• Security agent (Linux төхөөрөмж дээр суулгасан Bitdefender Endpoint Security Tools)

Container Protection-ийг суулгаж, тохируулах

Энэ боломжийг төхөөрөмж дээрээ суулгах гурван нөхцөл байна:

• Төхөөрөмж дээр BEST агент суулгаагүй. Энэ тохиолдолд «Суулгах багц үүсгэх» хэсгийг ашиглана.
• Төхөөрөмж дээр BEST агент суулгасан боловч модулийн жагсаалтад Container Protection ороогүй. Энэ тохиолдолд «Reconfigure agent даалгавраар Container Protection нэмэх» хэсгийг ашиглана.
• Төхөөрөмж дээр BEST агент суулгасан бөгөөд Container Protection модуль орсон. Энэ тохиолдолд шууд «Container Protection боломжийг тохируулж идэвхжүүлэх» хэсэг рүү очно.

Reconfigure agent даалгавраар Container Protection нэмэх

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Network (Сүлжээ) хуудас руу орж, модулийг суулгах төхөөрөмжүүдээ сонгоно.

3. 3Хүснэгтийн дээд талын Actions (Үйлдлүүд) товчийг дарж Reconfigure agent (Агентыг дахин тохируулах)-ийг сонгоно.

4. 4Modules (Модулиуд) хэсэгт Add (Нэмэх)-ийг сонгоод Container Protection, Advanced Anti-Exploit болон EDR-ийг идэвхжүүлнэ.

> Тэмдэглэл: Reconfigure client даалгаврыг хэрхэн ашиглах талаар Reconfigure agent-ээс үзнэ үү.

5. 5Save (Хадгалах)-ыг дарна.

Даалгавар сонгосон бүх төхөөрөмж дээр шаардлагатай модулийг суулгана.

Суулгах багц үүсгэх

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Installation Packages (Суулгах багцууд) хуудас руу орно.

3. 3Дэлгэцийн баруун дээд талын Create (Үүсгэх) товчийг дарна.

4. 4Шинэ суулгах багцын Name (Нэр) болон Description (Тайлбар)-ыг бичнэ.

5. 5Оруулах модулиудаа сонгоно.

> Тэмдэглэл: Container Protection, Advanced Anti-Exploit болон EDR сонголтыг заавал оруулаарай.

6. 6Save-ийг дарна.

7. 7Багцын жагсаалтаас шинээр үүсгэсэн багцаа сонгоод Send download links (Татах холбоос илгээх)-ийг дарна.

8. 8Хүлээн авагчдын и-мэйл хаягийг оруулаад Send (Илгээх)-ийг дарна.

Container Protection боломжийг тохируулж идэвхжүүлэх

Policies (Бодлого) нь төхөөрөмж дээрх боломжуудыг идэвхжүүлж, тохируулахад болон ерөнхий үйл ажиллагаанд хэрэглэгдэнэ.

GravityZone нь ихэнх хэрэглэгчийн хэрэгцээнд тохирсон өгөгдмөл бодлогын тохиргоотой ирдэг. Эдгээр бодлого BEST агентыг суулгасны дараа төхөөрөмжүүдэд өгөгдмөлөөр оноогдоно. GravityZone-ийн өгөгдмөл бодлогыг өөрчлөх, устгах боломжгүй.

Өгөгдмөл тохиргоог ашиглаад бодлогын тохиргоог дараа хийж болно, эсвэл доорх алхмаар боломжоо өөрийн хэрэгцээнд тохируулж болно:

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Policies хуудас руу орно.

3. 3Дараах хоёрын аль нэгийг хийнэ:

- Шинэ бодлого үүсгэнэ.
- Одоо байгаа бодлогуудын аль нэгийг засварлана.

4. 4Antimalware > On-Access хэсэгт On-access scanning сонголт идэвхтэй эсэхийг шалгаад боломжийг тохируулна.

5. 5Antimalware > Advanced Anti-Exploit хэсэгт Advanced Anti-Exploit сонголт идэвхтэй эсэхийг шалгаад боломжийг тохируулна.

6. 6Incident Sensor хэсэгт модулийг идэвхжүүлнэ.

7. 7Бодлогоо Save-ээр хадгална.

8. 8Шинэ бодлого үүсгэсэн бол боломж суулгасан төхөөрөмжүүддээ оноож хэрэглэнэ:

1. Зүүн талын цэснээс Network хуудас руу орно.

2. Бодлогыг хэрэглэх төхөөрөмжүүдээ сонгоно.

> Тэмдэглэл: Контейнер бүрд өөр өөр бодлого оноож болно. Эдгээр бодлого нь төхөөрөмж (контейнер хост) дээрх бодлогоос өөр байж болно.

3. Хүснэгтийн дээд талын Actions товчийг дарж Assign policy (Бодлого оноох)-ийг сонгоно.

4. Хэрэглэх бодлогоо сонгоно.

5. Finish (Дуусгах)-ыг дарна.

> Тэмдэглэл: Дэлгэрэнгүйг Төхөөрөмжийн бодлого оноох-оос үзнэ үү.

Хэрэв одоо байгаа бодлогыг засварласан бол тухайн боломж суулгасан бүх төхөөрөмжид хэрэглэгдэж байгаа эсэхийг шалгана уу.

Ингэснээр боломж идэвхжиж, таны байгууллагын хэрэгцээнд тохирсон байдлаар тохируулагдана.

Шинэ боломжийг турших

Шинэ контейнер үүсгэж, илрэх эсэх болон GravityZone-ийн жагсаалтад харагдах эсэхийг шалгах

Энэ зааварт Ubuntu-ийн Docker image-ийг жишээ болгон авлаа. Контейнер үүсгэхдээ Docker registry-ээс татаж авах боломжтой, дэмжигдсэн дурын Linux түгээлтийг ашиглаж болно. Контейнерт сонгосон түгээлт нь контейнер хостын түгээлтээс өөр байж болно.

1. 1Шинэ контейнер үүсгэнэ:

```
root@ubuntu23-x64-tcor:~# docker run -dt ubuntu:latest bash
529ca9f8970c879eb8e1192077afb059a0a14dde291478863056417ef12a16dc
```

2. 2Контейнер ажиллаж байгааг шалгана:

```
root@ubuntu23-x64-tcor:~# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
529ca9f8970c ubuntu:latest "bash" 32 seconds ago Up 17 seconds xenodochial_hermann
```

3. 3GravityZone-д зүүн талын цэснээс Network хуудас руу орж, шинэ контейнер харагдаж байгаа бөгөөд асуудалгүй эсэхийг шалгана. Дэлгэрэнгүйг Төхөөрөмжийн мэдээллийг харах-аас үзнэ үү.

4. 4Контейнер хуудсан дээр харагдаж байгааг шалгана.

On-Access хамгаалалтыг турших

1. 1Manage Networks эрхтэй данснаас GravityZone-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Policies хуудас руу орж, өмнө нь үүсгэсэн бодлогоо нээнэ.

3. 3Antimalware > OnAccess хэсэгт орж, On-access Scanning хэсгийн баруун дээд талын Settings товчийг дарна.

4. 4Advanced табыг сонгоно.

5. 5On-Access Scanning for Linux тохиргоо идэвхтэй эсэхийг шалгаад доорх талбарт /test замыг оруулна.

6. 6Add (Нэмэх) товчийг дарна.

7. 7General таб руу орж, Scan Actions хэсгийн Default action for infected files тохиргоог Delete болгоно.

8. 8Save-ийг дарна.

9. 9Бодлогыг өмнө нь үүсгэсэн контейнерт ононо. Дэлгэрэнгүйг Бодлого оноох-оос үзнэ үү.

10. 10Төхөөрөмж дээрээс өмнө нь үүсгэсэн контейнер дотор shell нээнэ:

```
root@ubuntu23-x64-tcor:~# docker exec -it 529c bash
root@529ca9f8970c:/#
```

11. 11Туршилтын зам үүсгэнэ:

```
mkdir /test
```

12. 12Хамгаалагдсан зам дотор Antimalware туршилтын файл бичнэ:

```
root@529ca9f8970c:/# echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > /test/test1.txt
```

Antimalware On-Access хамгаалалт EICAR файлыг автоматаар илрүүлж, хорио (Quarantine)-д шилжүүлнэ.

Antimalware үйл ажиллагааны тайланг шалгах

Устгагдсан файлын талаарх мэдээллийг GravityZone-ийн тайлангаас шалгана:

1. 1GravityZone Control Center-ийн зүүн талын цэснээс Network хуудас руу орно.

2. 2Тайлан гаргах төхөөрөмжүүдээ сонгоно.

3. 3Reports товчийг дарж Malware Status тайлан үүсгэнэ.

4. 4Reports хуудас руу орж, үүсгэсэн хүсэлтээ олно.

5. 5Тайланд өмнө нь устгагдсан файл орсон эсэхийг шалгана.

> Анхааруулга: Бодлогод халдвартай файлд хийх үйлдлийг Delete гэж тохируулсан тул файл устгагдсан. Бодлогод сонгосон үйлдлээс хамаарч файл дараах төлөвтэй тэмдэглэгдэнэ:
>
> - Take no action - Ignored
> - Deny - Unresolved
> - Move to Quarantine - Quarantined

Incidents Sensor-т EICAR файл илрүүлсэн үйл явдал бүртгэгдсэн эсэхийг шалгах

Incidents Sensor контейнер доторх файлуудад ажиллаж байгааг шалгана:

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Incidents хуудас руу орно.

3. 3Detected Threats табыг сонгоно.

4. 4EICAR үүсгэсэн hostname-ийг дурдсан тохиолдлыг олно.

Олон контейнер үүсгэж, бүгд хамгаалагдаж байгааг шалгах

1. 1Төхөөрөмж дээрээс олон контейнер (жишээ нь дахин 5 контейнер) үүсгэнэ:

```
root@ubuntu23-x64-tcor:~# for i in {1..5}; do docker run -dt ubuntu:latest bash; done
5b37d80408498340664f4c0b74043512a6af423734553c1b3802313b069e8e00
3356db2a2dbe2faea5589b520f81c4da71abc2561699a2ff6ab3f0a3e5bf9cc1
fb146eeab3c6db4cdccc281aa42e671118b7267e18e416baa2c21b84593ead0c
cbfea815f32300564fcf1698df20ad4b820a545a2f38945540259dbc5fb5862b
028c3597646dba1b7adca79767a4674552cfd843d2012b05f81dd67ebf083eab
```

2. 2GravityZone-д зүүн талын цэснээс Network хуудас руу орж, шинэ контейнерүүд харагдаж байгаа бөгөөд асуудалгүй эсэхийг шалгана. Дэлгэрэнгүйг Төхөөрөмжийн мэдээллийг харах-аас үзнэ үү.