Anti-tampering модулийг хэрхэн тохируулах вэ?

Anti-tampering нь endpoint дээр эмзэг драйвер илэрсэн үед болон аюулгүй байдлын агентыг (security agent) идэвхгүй болгох гэсэн нарийн төвөгтэй халдлагын оролдлого хийгдэх үед танд харуулдаг. Эдгээр нь бүтээгдэхүүний бүрэн бүтэн байдлыг алдагдуулдаг.

Тохиргоо нь бодлогын Antimalware (Хортой программаас хамгаалалт) > Anti-Tampering хэсэгт байна.

Боломжууд нь зорилгоороо ялгаатай хоёр үндсэн ангилалд хуваагдана:

• Vulnerable drivers (Эмзэг драйверууд)

Энэ нь халдлага өмнөх (pre-tampering) технологи бөгөөд endpoint дээрх, халдагчид ашиглаж болох эмзэг драйверуудыг илрүүлнэ. Ийм драйвер бүтээгдэхүүний бүрэн бүтэн байдалд аюул учруулдаг. Технологи Windows үйлдлийн системтэй нийцтэй.

• Callback evasion (Callback-аас дайвах)

Callback функцууд ихэвчлэн аюулгүй байдлын үйл явдал эсвэл тодорхой нөхцөлд хариу үйлдэл болгон тодорхой үйлдлийг ажиллуулдаг. Шинэ аюул эсвэл санамсаргүй хүний алдаа нь kernel-д зөвшөөрөлгүй хандах боломж олгохоор зохиогдож болох бөгөөд энэ нь бүтээгдэхүүний бүрэн бүтэн байдлыг алдагдуулна. Энэ нь халдлагын дараах (post-tampering) технологи бөгөөд аюулгүй байдлын агентын callback функцүүдийг хортой байдлаар устгасан эсвэл идэвхгүй болгосныг илрүүлнэ. Технологи Windows үйлдлийн системтэй нийцтэй.

Модулийг идэвхжүүлж тохируулахын тулд доорх алхмуудыг дагана:

1. 1Унтраалгыг дарж Anti-tampering модулийг идэвхжүүлнэ.

2. 2Anti-tampering-ийг идэвхжүүлэхэд Callback evasion болон Vulnerable drivers технологиуд өгөгдмөлөөр сонгогдсон байдаг. Хэрэгцээгээрээ тэдгээрийг идэвхжүүлж эсвэл идэвхгүй болгож болно.

3. 3Засах үйлдлүүдийг (remediation actions) өөрийн хэрэгцээнд тохируулна:

Vulnerable drivers-д нэг үйлдэл сонгож болно:

- Deny access (Хандалтыг хориглох): Өгөгдмөл үйлдэл. Эмзэг драйверт хандахыг хориглоно.
- Remediate (Засах): Эмзэг драйверуудыг халдваргүйжүүлж засна.
- Report only (Зөвхөн мэдээлэх): Эмзэг драйверуудыг зөвхөн мэдээлнэ.

Callback evasion-д олон үйлдэл сонгож болно:

- Өгөгдмөл үйлдэл нь Report only бөгөөд Callback evasion нүдийг сонгоход идэвхжинэ.
- Isolate (Тусгаарлах): Хортой байж болзошгүй үйл ажиллагаа тархахаас сэргийлж endpoint-уудыг тусгаарлана.
- Reboot (Дахин асаах): Аюулгүй байдлын агентын бүрэн бүтэн байдлыг сэргээхийг оролдож endpoint-уудыг дахин асаана. Endpoint-ууд автоматаар дахин асах хугацааны завсрыг сонгож болно.

4. 4Өөрчлөлтөө хадгална.

Anti-tampering-ийн үйл явдлуудыг Threats Xplorer хэсэгт тусгай модуль, технологи эсвэл аюулын төрлийн шүүлтүүрүүдээр харж болно.