Контроль целостности системы при доступе (OAFIM)
12 декабря 2023
ID 197994
Во время работы задачи OAFIM каждое изменение объекта определяется путем перехвата файловых операций в режиме реального времени. При изменении объекта приложение Kaspersky Endpoint Security отправляет событие на Сервер администрирования Kaspersky Security Center. Во время работы задачи контрольная сумма файла не рассчитывается. Приложение не отслеживает изменения файлов (атрибутов и содержимого) с жесткими ссылками, которые расположены вне области мониторинга. Приложение отслеживает операции с конкретными файлами или в областях мониторинга, указанных в параметрах задачи.
Области мониторинга
Для задачи Контроль целостности системы требуется указать области мониторинга. Администратор может изменять области мониторинга в режиме реального времени. Вы можете указать несколько областей мониторинга. Если область мониторинга не указана, параметры задачи невозможно сохранить в конфигурационном файле.
Исключения из области мониторинга
Вы можете создавать исключения из области мониторинга. Исключения указываются для каждой отдельной области и работают только для указанной области мониторинга. Вы можете указать несколько областей исключения из мониторинга.
Исключения имеют более высокий приоритет, чем область мониторинга, и не проверяются задачей, даже если указанная директория или файл находятся в области мониторинга. Если параметры одного из правил указывают область мониторинга на более низком уровне, чем директория, указанная в исключении, область мониторинга не рассматривается при выполнении задачи.
Для указания исключений вы можете использовать те же маски в формате командной оболочки, которые используются для указания областей мониторинга.
При добавлении области мониторинга или области исключения приложение не проверяет, существует ли такая директория.
Контролируемые параметры
Во время работы задачи Контроль целостности системы контролируется изменение следующих параметров:
- содержимое (write (), truncate (), etc.);
- метаданные (правообладание (chmod/chown));
- отметки времени (utimensat);
- расширенные атрибуты (setxattr) и другие.
Технологические ограничения операционной системы Linux не позволяют задаче Контроль целостности системы определять, какой администратор или процесс внес изменение в файл.
