Проверка целостности системы

Во время выполнения задачи Проверка целостности системы приложение сравнивает текущее состояние каждого объекта с исходным состоянием – снимком состояния системы. Снимок состояния системы содержит пути к контролируемым объектам и их метаданные. Это позволяет отслеживать изменения в файлах и директориях, включенных в область мониторинга.

Снимок состояния системы может содержать персональные данные.

В отличие от компонента Контроль целостности системы, задача Проверка целостности системы позволяет уменьшить количество событий и сформировать общий отчет об изменениях в операционной системе.

Как работает Проверка целостности системы

1. Приложение создает снимок состояния системы

   Снимок состояния системы создается во время первого выполнения задачи. Если вы создали несколько задач проверки целостности системы, для каждой задачи создается отдельный снимок состояния системы. Снимок состояния системы обновляется при изменении настроек задачи (например, при добавлении новой области мониторинга), а также при запуске задачи с включенной настройкой Обновлять снимок состояния системы при каждом запуске задачи.

   Снимки состояния системы хранятся в базе данных /var/opt/kaspersky/kesl/private/fim.db. Для доступа к базе данных, в которой хранятся снимки состояния системы, требуются root-права. Снимок состояния системы удаляется вместе с соответствующей задачей проверки целостности системы.

2. Приложение проверяет изменения в состоянии системы

   Приложение сравнивает информацию об объектах, которые входят в область мониторинга, по следующим критериям:

   • SHA256-хеш файла (для полной проверки);
   • время изменения файла;
   • размер файла.
3. Завершение проверки

   Если текущее состояние системы отличается от снимка состояния системы, Kaspersky Endpoint Security формирует событие о нарушении целостности системы Нарушена целостность системы.

Настройка и запуск задачи Проверка целостности системы

1. Создайте задачу Проверка целостности системы

   Как создать задачу Проверка целостности системы в Web Console

   1. В главном окне Web Console выберите Задачи.

      Откроется список задач.

   2. Нажмите на кнопку Добавить.

      Запустится мастер создания задачи.

   3. Настройте параметры задачи:
      1. В раскрывающемся списке Приложение выберите Kaspersky Endpoint Security для Linux 12.5.
      2. В раскрывающемся списке Тип задачи выберите Проверка целостности системы.
      3. В поле Название задачи введите короткое описание, например, Еженедельная проверка целостности системы.
      4. В блоке Устройства, которым будет назначена задача выберите область действия задачи.
   4. Выберите устройства в соответствии с выбранным вариантом области действия задачи.
   5. Завершите работу мастера.

   Как создать задачу Проверка целостности системы в командной строке

   Для создания задачи выполните команду:

   kesl-control --create-task <task name> --type ODFIM

   где <task name> – имя новой задачи.

   В результате выполнения команды приложение отобразит ID созданной задачи.

   Пример результата выполнения команды:

   Задача создана (идентификатор задачи: 115)

2. Если необходимо, измените настройки задачи

   Как настроить задачу Проверка целостности системы в Web Console

   1. В главном окне Web Console выберите Задачи.

      Откроется список задач.

   2. Нажмите на созданную задачу проверки целостности системы.

      Откроется окно свойств задачи.

   3. Выберите вкладку Параметры приложения.
   4. Выберите тип проверки:
      • Полная проверка. Приложение будет сравнивать SHA256-хеш файла в текущем состоянии и в снимке состояния системы.
      • Быстрая проверка. Приложение будет сравнивать только размер файла. Если размер файла не изменился, время изменения не считается критическим параметром.
   5. В разделе Настройки проверки целостности системы установите флажки:
      • Обновлять снимок состояния системы при каждом запуске задачи. Если флажок установлен, приложение обновляет снимок состояния системы при каждом запуске задачи.
      • Проверять директории в областях мониторинга. Если флажок установлен, приложение проверяет директории, заданные пользователем. Если флажок снят, приложение проверяет только область по умолчанию Внутренние объекты "Лаборатории Касперского" (/opt/kaspersky/kesl/).
      • Отслеживать время последнего доступа к файлу при каждом запуске задачи. Если флажок установлен, приложение проверяет время последнего обращения к файлу (параметр noatime) при каждом запуске задачи.
   6. Сохраните внесенные изменения.

   Как настроить задачу Проверка целостности системы в командной строке

   Выполните команду:

   kesl-control --set-settings <task ID|name> RebuildBaseline=<Yes|No> [CheckFileHash=<Yes|No>] [TrackDirectoryChanges=<Yes|No>] [TrackLastAccessTime=<Yes|No>] [UseExcludeMasks=<Yes|No>] [ExcludeMasks.item_#=<object mask>]

   Условные обозначения

   

   Текст без квадратных и фигурных скобок	Элементы, которые необходимо ввести, как показано в команде.
   <Текст>	Значение, которое необходимо ввести.
   [Текст]	Необязательный параметр.
   Вертикальная полоса |	Взаимоисключающие элементы. Вам нужно выбрать одно значение.
   Многоточие …	Элементы, которые могут повторяться и использоваться несколько раз.
   Символ решетки #	Номер секции добавляемой области. Например, 0000, 0001 и так далее.

   Параметры задачи Проверка целостности системы

   Параметр	Описание
   RebuildBaseline	Обновления снимка состояния системы при каждом запуске задачи.
   CheckFileHash	Проверка SHA256-хеш файла. Если проверка выключена, приложение сравнивает только размер файла (если размер файла не изменился, время изменения не считается критическим параметром).
   TrackDirectoryChanges	Проверка директорий, заданных пользователем. Если параметр выключен, приложение проверяет только область по умолчанию (/opt/kaspersky/kesl/).
   TrackLastAccessTime	Проверка времени последнего обращения к файлу (параметр noatime).
   UseExcludeMasks	Исключения из области мониторинга. В параметры задачи будет добавлена новая секция [ExcludeMasks.item_#]. Приложение не будет проверять объекты, указанные в этой секции. Этот параметр работает, только если задано значение параметра ExcludeMasks.item_#.
   ExcludeMasks.item_#=<object mask>	Исключение объектов из области мониторинга. C помощью этого параметра вы можете исключать из указанной области проверки отдельный файл по имени или несколько файлов, используя маски в формате командной оболочки. Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски. Значение параметра можно задать только если включен параметр UseExcludeMasks. Вы можете указать несколько масок, каждая маска должна быть указана в новой строке с новым индексом. Пример: ExcludeMasks.item_0000=<eicar1.*>

3. Настройте область мониторинга

   Для запуска задачи должна быть указана хотя бы одна область мониторинга. По умолчанию задана область мониторинга Внутренние объекты "Лаборатории Касперского" (/opt/kaspersky/kesl/).

   Задача выполняется, только если снимок состояния системы содержит информацию об объектах, которые входят в область мониторинга задачи.

   Kaspersky Endpoint Security проверяет объекты в указанных областях в том порядке, в каком эти области перечислены в списке. Если требуется, поместите вложенную директорию выше родительской в списке, чтобы у вложенной директории параметры безопасности могли отличаться от родительской.

   Как задать область мониторинга в Web Console

   1. В главном окне Web Console выберите Задачи.

      Откроется список задач.

   2. Нажмите на созданную задачу проверки целостности системы.

      Откроется окно свойств задачи.

   3. Выберите вкладку Параметры приложения.
   4. Убедитесь, что установлен флажок Проверять директории в областях мониторинга.
   5. В блоке Области проверки и исключения нажмите на ссылку Области мониторинга.

      Откроется окно с таблицей областей проверки.

   6. Нажмите на кнопку Добавить.

      Откроется окно добавления областей проверки.

   7. В поле Имя укажите имя области мониторинга, например, Файлы на рабочем столе.
   8. В поле Путь укажите путь к отдельному файлу или к директории (например, /path/to/folder). Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.
   9. Если необходимо, укажите маски имен объектов в формате командной оболочки (например, *.txt, file?.*). Добавляйте маски по одной.
   10. Сохраните внесенные изменения.

   Как задать область мониторинга в командной строке

   1. Выполните команду:

      kesl-control --set-settings <task ID|name> TrackDirectoryChanges=Yes ScanScope.item_#.UseScanArea=Yes

      [ScanScope.item_#.AreaDesc=<description of the area>\]

      [ScanScope.item_#.AreaMask.item_#=<mask in shell format>\]

      ScanScope.item_#.Path=<path to the directory>

   2. Для проверки текущих настроек задачи выполните следующую команду:

      kesl-control --get-settings <task ID|name>

   Условные обозначения

   Параметры задачи Проверка целостности системы

   Параметр	Описание
   UseScanArea=Yes	Включение области мониторинга с идентификатором #. Вы можете временно отключить проверку области мониторинга для приложения, а не удалять область. Для этого задайте значение ScanScope.item_#.UseScanArea=No.
   AreaDesc	Описание области мониторинга, содержит дополнительную информацию об области мониторинга.
   AreaMask.item_#	Ограничение области мониторинга. В области мониторинга приложение проверяет только объекты, указанные с помощью масок в формате shell. Вы можете указать несколько элементов ScanScope.item_#.AreaMask.item_# в любом порядке. Приложение будет обрабатывать области по индексу в порядке возрастания. Например, ScanScope.item_0001.AreaMask.item_0001=*.exe ScanScope.item_0001.AreaMask.item_0002=*.txt.
   Path	Путь к директории для мониторинга. Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.

   Пример

   Область мониторинга, которая включает в себя только директорию/etc :

   kesl-control --set-settings 115 ScanScope.item_0000.UseScanArea=Yes ScanScope.item_0000.Path=/etc

4. Настройте области исключения

   Исключение имеет более высокий приоритет, чем область мониторинга. Исключенный объект не проверяется, даже если находится в области мониторинга. Если область мониторинга задана на более низком уровне, чем директория, указанная в исключении, то приложение не отслеживает эту область мониторинга во время контроля целостности системы.

   Как задать область исключения в Web Console

   1. В главном окне Web Console выберите Задачи.
   2. Откроется список задач.
   3. Нажмите на созданную задачу проверки целостности системы.

      Откроется окно свойств задачи.

   4. Выберите вкладку Параметры приложения.

   Исключения можно задать по пути или по маске имени файла. Приложение будет исключать из проверки директорию целиком (или отдельный файл), либо исключать из проверки файлы с подходящей маской имени в областях мониторинга.

   Чтобы добавить исключения по пути:

   1. В блоке Области проверки и исключения нажмите на ссылку Области исключения.

      Откроется окно с таблицей областей исключения.

   2. Нажмите на кнопку Добавить.

      Откроется окно добавления областей исключения.

   3. В поле Имя укажите имя области исключения, например, Системные файлы.
   4. В поле Путь укажите путь к отдельному файлу или к директории (например, /path/to/folder). Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.
   5. Укажите маски имен объектов в формате командной оболочки (например, *.txt или file?.*). Добавляйте маски по одной.
   6. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Чтобы добавить исключения по маске имени файла:

   1. В блоке Области проверки и исключения нажмите на ссылку Исключения по маске.

      Откроется таблица с областями исключений по маске.

   2. Нажмите на кнопку Добавить.

      Откроется окно добавления областей исключения по маске.

   3. Укажите маску имени файла в формате командной оболочки (например, *.txt или file?.*). Добавляйте маски по одной.
   4. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Как задать область исключения в командной строке

   1. Выполните команду:

      kesl-control --set-settings <task ID|name> ExcludedFromScanScope.item_#.UseScanArea=Yes

      [ExcludedFromScanScope.item_#.AreaDesc=<description of the area>\]

      [ExcludedFromScanScope.item_#.AreaMask.item_#=<mask in shell format>\]

      ExcludedFromScanScope.item_#.Path=<path to the directory>

   2. Для проверки текущих настроек задачи выполните следующую команду:

      kesl-control --get-settings <task ID|name>

   Условные обозначения

   Параметры задачи Проверка целостности системы

   Параметр	Описание
   UseScanArea=Yes	Исключение указанной области из мониторинга с идентификатором #. Вы можете временно отключить область исключения для приложения, а не удалять область. Для этого задайте значение ExcludedFromScanScope.item_#.UseScanArea=No.
   AreaDesc	Описание области исключения из мониторинга, содержит дополнительную информацию об области исключения из мониторинга.
   AreaMask.item_#	Ограничение области исключения. В области исключения приложение не проверяет только объекты, указанные с помощью масок в формате shell. Вы можете указать несколько элементов ExcludedFromScanScope.item_#.AreaMask.item_# в любом порядке. Приложение будет обрабатывать области по индексу в порядке возрастания. Например, ExcludedFromScanScope.item_0001.AreaMask.item_0001=*.exe ScanScope.item_0001.AreaMask.item_0002=*.txt.
   Path	Путь к директории, которую необходимо исключить из проверки. Kaspersky Endpoint Security поддерживает символы * и ? для ввода маски.

   Пример

   Область исключения, которая включает в себя только директорию/tmp:

   kesl-control --set-settings 115 ExcludedFromScanScope.item_0001.UseScanArea=Yes ScanScope.item_0001.Path=/tmp

5. Запустите задачу

   Как запустить задачу Проверка целостности системы в Web Console

   1. В главном окне Web Console выберите Задачи.

      Откроется список задач.

   2. Установите флажок напротив созданной задачи.
   3. Нажмите на кнопку Запустить.

   Как запустить задачу Проверка целостности системы в командной строке

   Для запуска задачи выполните команду:

   kesl-control --start-task <task ID|name> [-W] [--progress]

   где:

   • <task ID|name> – идентификатор, присвоенный задаче в момент создания, или имя задачи в командной строке.
   • [-W] – включение вывода текущих событий, связанных с этой задачей.
   • [--progress] – включение отображения хода выполнения задачи.