Контроль целостности системы в реальном времени

Контроль целостности системы позволяет в режиме реального времени определять изменения объекта, включенного в область мониторинга.

Как работает Контроль целостности системы

1. Приложение перехватывает события файловых операций

   Приложение использует специальный механизм перехвата, который работает в режиме "только для чтения" при обращении к проверяемому файлу.

2. Приложение проверяет изменения в файле

   Контроль целостности системы отслеживает изменения в следующих свойствах файла:

   • содержимое (write (), truncate () и другие изменения);
   • метаданные (изменение прав доступа командами chmod/chown);
   • отметки времени (utimensat);
   • расширенные атрибуты (setxattr) и другие.
3. Завершение проверки

   Приложение формирует событие Нарушена целостность системы, если файл был изменен.

Настройка Контроля целостности системы

1. Включите Контроль целостности системы

   По умолчанию Контроль целостности системы выключен. Определите устройства, для которых вы хотите отслеживать изменения файлов в режиме реального времени, и включите компонент Контроль целостности системы на этих устройствах.

2. Настройте область мониторинга

   Для работы компонента должна быть указана хотя бы одна область мониторинга. По умолчанию задана область мониторинга Внутренние объекты "Лаборатории Касперского" (/opt/kaspersky/kesl/).

   Kaspersky Endpoint Security проверяет объекты в указанных областях в том порядке, в каком эти области перечислены в списке. Если требуется, поместите вложенную директорию выше родительской в списке, чтобы у вложенной директории параметры безопасности могли отличаться от родительской.

   Как задать область мониторинга в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Контроль безопасности → Контроль целостности системы.
   5. Нажмите на ссылку Области мониторинга.

      Откроется окно с таблицей областей проверки.

   6. Нажмите на кнопку Добавить.

      Откроется окно добавления областей проверки.

   7. В поле Имя укажите имя области мониторинга, например, Критические объекты.
   8. В поле Путь укажите путь к отдельному файлу или к директории (например, /path/to/folder). Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.
   9. Если необходимо, укажите маски имен объектов в формате командной оболочки (например, *.txt или file?.*). Добавляйте маски по одной.
   10. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

       

       Контроль целостности системы

   Как задать область мониторинга в командной строке

   1. Выполните команду:

      kesl-control --set-settings 11 ScanScope.item_#.UseScanArea=Yes

      [ScanScope.item_#.AreaDesc=<description of the area>\]

      [ScanScope.item_#.AreaMask.item_#=<mask in shell format>\]

      ScanScope.item_#.Path=<path to the directory>

   2. Для проверки текущих значений параметров компонента выполните следующую команду:

      kesl-control --get-settings 11

   Условные обозначения

   

   Текст без квадратных и фигурных скобок	Элементы, которые необходимо ввести, как показано в команде.
   <Текст>	Значение, которое необходимо ввести.
   [Текст]	Необязательный параметр.
   Вертикальная полоса |	Взаимоисключающие элементы. Вам нужно выбрать одно значение.
   Многоточие …	Элементы, которые могут повторяться и использоваться несколько раз.
   Символ решетки #	Номер секции добавляемой области. Например, 0000, 0001 и так далее.

   Параметры команды

   Параметр	Описание
   UseScanArea=Yes	Включение области мониторинга с идентификатором #. Вы можете временно отключить проверку области мониторинга для приложения, а не удалять область. Для этого задайте значение ScanScope.item_#.UseScanArea=No.
   AreaDesc	Описание области мониторинга, содержит дополнительную информацию об области мониторинга.
   AreaMask.item_#	Ограничение области мониторинга. В области мониторинга приложение проверяет только объекты, указанные с помощью масок в формате shell. Например, ScanScope.item_0001.AreaMask.item_0001=*.exe ScanScope.item_0001.AreaMask.item_0002=*.txt.
   Path	Путь к директории для мониторинга. Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.

   Пример

   Область мониторинга, которая включает в себя только директорию/etc :

   kesl-control --set-settings 11 ScanScope.item_0000.UseScanArea=Yes ScanScope.item_0000.Path=/etc

3. Настройте области исключения

   Исключение имеет более высокий приоритет, чем область мониторинга. Исключенный объект не проверяется, даже если находится в области мониторинга. Если область мониторинга задана на более низком уровне, чем директория, указанная в исключении, то приложение не отслеживает эту область мониторинга во время контроля целостности системы.

   Как задать область исключения в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Контроль безопасности → Контроль целостности системы.

   Исключения можно задать по пути или по маске имени файла. Приложение будет исключать из проверки директорию целиком (или отдельный файл), либо исключать из проверки файлы с подходящей маской имени в областях мониторинга.

   Чтобы добавить исключения по пути:

   1. Нажмите на ссылку Области исключения.

      Откроется окно с таблицей областей исключения.

   2. Нажмите на кнопку Добавить.

      Откроется окно добавления областей исключения.

   3. В поле Имя укажите имя области исключения, например, Системные файлы.
   4. В поле Путь укажите путь к отдельному файлу или к директории (например, /path/to/folder). Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.
   5. Укажите маски имен объектов в формате командной оболочки (например, *.txt или file?.*). Добавляйте маски по одной.
   6. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Чтобы добавить исключения по маске имени файла:

   1. Установите флажок Добавить исключения по маске.
   2. Нажмите на ссылку Исключения по маске.

      Откроется таблица с областями исключений по маске.

   3. Нажмите на кнопку Добавить.

      Откроется окно добавления областей исключения по маске.

   4. Укажите маску имени файла в формате командной оболочки (например, *.txt или file?.*). Добавляйте маски по одной.
   5. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Как задать область исключения в командной строке

   1. Выполните команду:

      kesl-control --set-settings 11 ExcludedFromScanScope.item_#.UseScanArea=Yes

      [ExcludedFromScanScope.item_#.AreaDesc=<description of the area>\]

      [ExcludedFromScanScope.item_#.AreaMask.item_#=<mask in shell format>\]

      ExcludedFromScanScope.item_#.Path=<path to the directory>

   2. Для проверки текущих значений параметров компонента выполните следующую команду:

      kesl-control --get-settings 11

   Условные обозначения

   Параметры команды

   Параметр	Описание
   UseScanArea=Yes	Исключение указанной области из мониторинга. с идентификатором #. Вы можете временно отключить область исключения для приложения, а не удалять область. Для этого задайте значение ExcludedFromScanScope.item_#.UseScanArea=No.
   AreaDesc	Описание области исключения из мониторинга, содержит дополнительную информацию об области исключения из мониторинга.
   AreaMask.item_#	Ограничение области исключения. В области исключения приложение не проверяет только объекты, указанные с помощью масок в формате shell. Например, ExcludedFromScanScope.item_0001.AreaMask.item_0001=*.exe ScanScope.item_0001.AreaMask.item_0002=*.txt.
   Path	Путь к директории, которую необходимо исключить из проверки. Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.

   Пример

   Область исключения, которая включает в себя только директорию/tmp:

   kesl-control --set-settings 11 ExcludedFromScanScope.item_0001.UseScanArea=Yes ScanScope.item_0001.Path=/tmp