Anti-tampering модулийг хэрхэн тохируулах вэ?

Anti-tampering нь төхөөрөмж (endpoint) дээр эмзэг драйвер илэрсэн үед болон хамгаалалтын агентыг (security agent) идэвхгүй болгох нарийн төвөгтэй халдлагын оролдлого хийгдэх үед танд харуулдаг. Эдгээр нь бүтээгдэхүүний бүрэн бүтэн байдлыг алдагдуулдаг.

Тохиргоо нь бодлогын Antimalware (Хортой программаас хамгаалалт) > Anti-Tampering хэсэгт байна.

Боломжууд нь зорилгоороо ялгаатай хоёр үндсэн ангилалд хуваагдана:

• Vulnerable drivers (Эмзэг драйверууд)

  Энэ нь халдлагын өмнөх (pre-tampering) технологи бөгөөд төхөөрөмж дээрх, халдагчид ашиглаж болох эмзэг драйверуудыг илрүүлнэ. Ийм драйвер бүтээгдэхүүний бүрэн бүтэн байдалд аюул учруулдаг. Технологи Windows үйлдлийн системтэй нийцтэй.

• Callback evasion (Callback-аас мултрах)

  Callback функцууд ихэвчлэн аюулгүй байдлын үйл явдал эсвэл тодорхой нөхцөлд хариу үйлдэл болгон тодорхой үйлдлийг ажиллуулдаг. Шинэ аюул эсвэл санамсаргүй хүний алдаа нь kernel-д зөвшөөрөлгүй хандах боломж олгохоор зохиогдож болох бөгөөд энэ нь бүтээгдэхүүний бүрэн бүтэн байдлыг алдагдуулна. Энэ нь халдлагын дараах (post-tampering) технологи бөгөөд хамгаалалтын агентын callback функцуудыг хортойгоор устгасан эсвэл идэвхгүй болгосныг илрүүлнэ. Технологи Windows үйлдлийн системтэй нийцтэй.

Модулийг идэвхжүүлж тохируулахын тулд доорх алхмуудыг дагана уу:

1. 1
   Унтраалгыг дарж Anti-tampering модулийг идэвхжүүлнэ.
2. 2
   Anti-tampering-ийг идэвхжүүлэхэд Callback evasion болон Vulnerable drivers технологиуд өгөгдмөлөөр сонгогдсон байдаг. Хэрэгцээгээрээ тэдгээрийг идэвхжүүлж эсвэл идэвхгүй болгож болно.
3. 3
   Засах үйлдлүүдийг өөрийн хэрэгцээнд тохируулна:

   Vulnerable drivers-д нэг үйлдэл сонгож болно:

   • Deny access (Хандалтыг хориглох): Өгөгдмөл үйлдэл. Эмзэг драйверт хандахыг хориглоно.
   • Remediate (Засах): Эмзэг драйверуудыг халдваргүйжүүлж засна.
   • Report only (Зөвхөн мэдээлэх): Эмзэг драйверуудыг зөвхөн мэдээлнэ.

   Callback evasion-д олон үйлдэл сонгож болно:

   • Өгөгдмөл үйлдэл нь Report only бөгөөд Callback evasion нүдийг сонгоход идэвхжинэ.
   • Isolate (Тусгаарлах): Хортой байж болзошгүй үйл ажиллагаа тархахаас сэргийлж төхөөрөмжүүдийг тусгаарлана.
   • Reboot (Дахин асаах): Хамгаалалтын агентын бүрэн бүтэн байдлыг сэргээхийг оролдож төхөөрөмжүүдийг дахин асаана. Төхөөрөмжүүд автоматаар дахин асах хугацааны завсрыг сонгож болно.
4. 4
   Өөрчлөлтөө хадгална.

Илрүүлэлтийн үйл явдлын талаар дэлгэрэнгүй мэдээлэл харахын тулд Security Audit эсвэл Blocked Applications тайлан үүсгэх эсвэл портлетуудыг ашиглаж болно.