BEST агент ашиглан Container Protection-ийг байршуулах

Container Protection (Контейнерийн хамгаалалт) нь хост үйлдлийн системийн аюулгүй байдлын давхаргыг өргөтгөж, Linux контейнер ажлын ачаалал болон тэдгээрийн хостыг хамгаалдаг. Серверийн ажлын ачааллын Endpoint Detection and Response, Advanced Anti-Exploit, Linux-д зориулсан exploit-ийн эсрэг технологи, Antimalware шалгалт болон аюулаас урьдчилан сэргийлэх үйлчилгээг ашигладаг. Аюулгүй байдлын модуль бүрийг хүссэнээрээ идэвхжүүлж, идэвхгүй болгож болно.

Бүрэлдэхүүн хэсгүүд

Container Protection дараах бүрэлдэхүүн хэсгүүдийг ашигладаг:

• GravityZone Virtual Appliance
• Хамгаалалтын агент (Linux төхөөрөмж дээр суулгасан Bitdefender Endpoint Security Tools)

Container Protection суулгаж, тохируулах

Энэ боломжийг төхөөрөмж дээрээ суулгах гурван тохиолдол бий:

• Төхөөрөмж дээр BEST агент суугаагүй. Энэ тохиолдолд "Суулгах багц үүсгэх" журмыг ашиглана.
• Төхөөрөмж дээр BEST агент суусан боловч модулиудын жагсаалтад Container Protection ороогүй. Энэ тохиолдолд "Reconfigure agent даалгавраар Container Protection нэмэх" журмыг ашиглана.
• Төхөөрөмж дээр BEST агент суусан бөгөөд Container Protection модуль орсон. Энэ тохиолдолд "Container Protection боломжийг тохируулж, идэвхжүүлэх" хэсэг рүү шууд орно.

Reconfigure agent даалгавраар Container Protection нэмэх

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Network хуудас руу орж, модулийг байршуулах төхөөрөмжүүдээ сонгоно.
3. 3
   Tasks (Даалгавар) товчийг дарж Reconfigure agent-г сонгоно.
4. 4
   Modules хэсэгт Add (Нэмэх)-ийг сонгоод Container Protection, Advanced Anti-Exploit болон EDR-ийг идэвхжүүлнэ.

   Тэмдэглэл

   Reconfigure client даалгаврыг ашиглах талаар дэлгэрэнгүйг Reconfigure agent-оос үзнэ үү.

5. 5
   Save (Хадгалах) дарна.

   Даалгавар сонгосон бүх төхөөрөмж дээр шаардлагатай модулиудыг байршуулна.

Суулгах багц үүсгэх

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Installation Packages (Суулгах багцууд) хуудас руу орно.
3. 3
   Дэлгэцийн баруун дээд талын Create (Үүсгэх) товчийг дарна.
4. 4
   Шинэ суулгах багцын Name (Нэр) болон Description (Тайлбар)-ыг оруулна.
5. 5
   Оруулах модулиудаа сонгоно.

   Тэмдэглэл

   Container Protection, Advanced Anti-Exploit болон EDR сонголтуудыг заавал оруулна уу.

6. 6
   Save дарна.
7. 7
   Шинээр үүсгэсэн багцаа жагсаалтаас сонгоод Send download links (Татах холбоос илгээх) дарна.
8. 8
   Хүлээн авагчдын имэйл хаягийг оруулаад Send (Илгээх) дарна.

Container Protection боломжийг тохируулж, идэвхжүүлэх

Policies (Бодлого) нь төхөөрөмж дээрх боломжуудыг идэвхжүүлж, тохируулахад мөн ерөнхий үйл ажиллагааг тодорхойлоход ашиглагддаг.

GravityZone нь ихэнх хэрэглэгчийн хэрэгцээнд тохирсон анхдагч бодлогын тохиргоотой ирдэг. BEST агент суусны дараа эдгээр бодлого төхөөрөмжүүдэд анхдагчаар хэрэгжинэ. Анхдагч GravityZone бодлогыг өөрчилж, устгах боломжгүй.

Анхдагч бодлогын тохиргоог ашиглаад дараа тохируулж болно, эсвэл доорх алхмаар боломжоо өөрийн хэрэгцээнд тохируулж болно:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Policies хуудас руу орно.
3. 3
   Дараах хоёрын аль нэгийг хийнэ:

   • Шинэ бодлогыг үүсгэнэ.
   • Одоо байгаа бодлогуудын нэгийг засна.
4. 4
   Antimalware > On-Access хэсэгт On-access scanning сонголт идэвхтэй эсэхийг шалгаж, боломжийг тохируулна.
5. 5
   Antimalware > Advanced Anti-Exploit хэсэгт Advanced Anti-Exploit сонголт идэвхтэй эсэхийг шалгаж, боломжийг тохируулна.
6. 6
   Incident Sensor хэсэгт модулийг идэвхжүүлнэ.
7. 7
   Бодлогоо Save хийнэ.
8. 8
   Шинэ бодлого үүсгэсэн бол боломж байршсан төхөөрөмжүүдэд хэрэгжүүлнэ.

   1. Зүүн талын цэснээс Network хуудас руу орно.
   2. Бодлого хэрэгжүүлэх төхөөрөмжүүдээ сонгоно.

      Тэмдэглэл

      Өөр өөр контейнерт өөр өөр бодлого хэрэгжүүлж болно. Эдгээр бодлого нь төхөөрөмж (контейнер хост) дээр хэрэгжиж буй бодлогоос өөр байж болно.

   3. Хүснэгтийн дээд талын Assign Policy (Бодлого оноох) товчийг дарна.
   4. Хэрэгжүүлэх бодлогоо сонгоно.
   5. Finish дарна.

      Тэмдэглэл

      Дэлгэрэнгүйг Төхөөрөмжийн бодлого оноох-оос үзнэ үү.

   Хэрэв одоо байгаа бодлогыг засварласан бол тухайн боломж байршсан бүх төхөөрөмжид хэрэгжиж байгаа эсэхийг шалгана уу.

Ингэснээр боломж идэвхжиж, таны байгууллагын хэрэгцээнд хамгийн сайн тохирсон байдлаар тохирно.

Шинэ боломжийг турших

Шинэ контейнер үүсгэж, илрэх эсэх болон GravityZone-ийн жагсаалтад харагдах эсэхийг шалгах

Энэ зааварт Ubuntu-ийн Docker image үүсгэхийг сонгосон. Docker registry-аас image-ийг татаж авах боломжтой байвал контейнер үүсгэхдээ дэмжигдсэн аль ч Linux түгээлтийг ашиглаж болно. Контейнерт сонгосон түгээлт нь контейнер хостын түгээлтээс ялгаатай байж болно.

1. 1
   Шинэ контейнер үүсгэнэ:

root@ubuntu23-x64-tcor:~# docker run -dt ubuntu:latest bash
529ca9f8970c879eb8e1192077afb059a0a14dde291478863056417ef12a16dc

2. 2
   Контейнер ажиллаж байгааг шалгана:

root@ubuntu23-x64-tcor:~# docker ps
CONTAINER ID   IMAGE           COMMAND   CREATED          STATUS          PORTS     NAMES
529ca9f8970c   ubuntu:latest   "bash"    32 seconds ago   Up 17 seconds             xenodochial_hermann

3. 3
   GravityZone дахь зүүн талын цэснээс Network хуудас руу орж, шинэ контейнер харагдаж байгаа, асуудалгүй эсэхийг шалгана. Дэлгэрэнгүйг Төхөөрөмжийн дэлгэрэнгүй мэдээлэл харах-аас үзнэ үү.
4. 4
   Контейнер хуудсан дээр харагдаж байгааг шалгана.

On-Access хамгаалалтыг турших

1. 1
   Manage Networks эрхтэй бүртгэлээр GravityZone-д нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Policies хуудас руу орж, өмнө үүсгэсэн бодлогыг нээнэ.
3. 3
   Antimalware > OnAccess руу орж, On-access Scanning хэсгийн баруун дээд талын Settings (Тохиргоо) товчийг дарна.
4. 4
   Advanced табыг сонгоно.
5. 5
   On-Access Scanning for Linux тохиргоо идэвхтэй эсэхийг шалгаад, доорх талбарт /test замыг нэмнэ.
6. 6
   Add (Нэмэх) товчийг дарна.
7. 7
   General таб руу орж, Scan Actions хэсэгт Default action for infected files тохиргоог Delete болгоно.
8. 8
   Save дарна.
9. 9
   Бодлогыг өмнө үүсгэсэн контейнерт хэрэгжүүлнэ. Дэлгэрэнгүйг Бодлого оноох-оос үзнэ үү.
10. 10
    Төхөөрөмж дээрээс өмнө үүсгэсэн контейнер дотор shell нээнэ:

root@ubuntu23-x64-tcor:~# docker exec -it 529c bash
root@529ca9f8970c:/#

11. 11
    Туршилтын зам үүсгэнэ:

mkdir /test

12. 12
    Хамгаалагдсан зам дотор Antimalware-ийн туршилтын файл бичнэ:

root@529ca9f8970c:/# echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > /test/test1.txt

Antimalware On-Access хамгаалалт EICAR файлыг автоматаар илрүүлж, хорио (Quarantine)-д шилжүүлнэ.

Antimalware үйл ажиллагааны тайланг шалгах

Устгагдсан файлын талаарх мэдээллийг GravityZone-ийн тайлангаас шалгана:

1. 1
   GravityZone Control Center-ийн зүүн талын цэснээс Network хуудас руу орно.
2. 2
   Тайлан гаргах төхөөрөмжүүдээ сонгоно.
3. 3
   Reports (Тайлан) товчийг дарж Malware Status тайлан үүсгэнэ.
4. 4
   Reports хуудас руу орж, хүсэлтээ олно.
5. 5
   Тайланд өмнө устгагдсан файл орсон эсэхийг шалгана.

   Чухал

   Бодлого дахь халдвартай файлын үйлдэл Delete байсан тул файл устгагдсан.

   Бодлогод сонгосон үйлдлээс хамааран файл өөр өөрөөр тэмдэглэгдэнэ:

   • Take no action - Ignored
   • Deny - Unresolved
   • Move to Quarantine - Quarantined

EICAR файл илэрсэнтэй холбоотой үйл явдал Incidents Sensor-т бүртгэгдсэн эсэхийг шалгах

Incidents Sensor контейнер доторх файлуудад ажиллаж байгааг шалгана:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Incidents хуудас руу орно.
3. 3
   Detected Threats табыг сонгоно.
4. 4
   EICAR үүсгэсэн хостын нэрийг дурдсан зөрчил (incident)-ийг олно.

Олон контейнер үүсгэж, хамгаалагдаж байгааг шалгах

1. 1
   Төхөөрөмж дээрээс олон контейнер (жишээ нь 5 нэмэлт контейнер) үүсгэнэ:

root@ubuntu23-x64-tcor:~# for i in {1..5}; do docker run -dt ubuntu:latest bash; done
5b37d80408498340664f4c0b74043512a6af423734553c1b3802313b069e8e00
3356db2a2dbe2faea5589b520f81c4da71abc2561699a2ff6ab3f0a3e5bf9cc1
fb146eeab3c6db4cdccc281aa42e671118b7267e18e416baa2c21b84593ead0c
cbfea815f32300564fcf1698df20ad4b820a545a2f38945540259dbc5fb5862b
028c3597646dba1b7adca79767a4674552cfd843d2012b05f81dd67ebf083eab

2. 2
   GravityZone-ийн зүүн талын цэснээс Network хуудас руу орж, шинэ контейнерууд харагдаж байгаа, асуудалгүй эсэхийг шалгана. Дэлгэрэнгүйг Төхөөрөмжийн дэлгэрэнгүй мэдээлэл харах-аас үзнэ үү.