О правилах мониторинга системного реестра
15 сентября 2022
ID 223205
Задача Мониторинг доступа к реестру запускается в соответствии с правилами мониторинга системного реестра. Вы можете использовать критерии срабатывания правила, чтобы настроить условия запуска задачи, и установить уровень важности обнаруженных событий, записываемых в журнал задачи.
Правило мониторинга системного реестра задается для каждой области мониторинга.
Вы можете настраивать следующие критерии срабатывания правил:
- Действия
- Значения раздела
- Доверенные пользователи
Действия
При запуске задачи Мониторинг доступа к реестру Kaspersky Industrial CyberSecurity for Nodes использует список действий для мониторинга реестра (см. таблицу ниже).
При обнаружении действия, указанного в качестве критерия срабатывания правила, приложение регистрирует соответствующее событие.
Уровень важности фиксируемых событий не зависит от выбранных действий и количества событий.
По умолчанию Kaspersky Industrial CyberSecurity for Nodes учитывает все действия. Вы можете настроить список действий вручную в параметрах правила задачи.
Действия
Действие | Ограничения | Операционная система |
|---|---|---|
Создание ключа |
| Windows XP и выше |
Удаление ключа | Если вы хотите удалить родительский раздел, убедитесь, что в списке Действия для настраиваемого раздела реестра сняты оба флажка: Удаление ключа и Удалить вложенные разделы, поскольку родительский раздел можно удалить, только включая подразделы. | Windows XP и выше |
Переименование ключа | Недоступно | Windows XP и выше |
Изменить параметры безопасности раздела | Недоступно | Windows Vista и выше |
Удаление значений | Недоступно | Windows XP и выше |
Задание значений | Если вы добавляете в список Действия действие Задание значений, в правиле для раздела указываете Имя значения по умолчанию, а затем выбираете режим Блокировать операции по правилам, раздел не будет создан, поскольку новый раздел может быть создан только со значением по умолчанию. | Windows XP и выше |
Создать вложенные разделы | Недоступно | Windows XP и выше |
Удалить вложенные разделы | Недоступно | Windows XP и выше |
Переименовать вложенные разделы | Недоступно | Windows XP и выше |
Изменить параметры безопасности вложенных разделов | Недоступно | Windows Vista и выше |
Контролируемые значения
В дополнение к мониторингу разделов реестра можно блокировать или контролировать изменения существующих значений реестра. Доступны следующие варианты:
- Задать значение – создать новые или изменить существующие значения реестра.
- Удалить значение – удалить существующие значения реестра.
Переименование и изменение параметров безопасности не применимо к значениям реестра.
Доверенные пользователи
По умолчанию действия всех пользователей расцениваются программой как потенциальные нарушения безопасности. Список доверенных пользователей пуст. Вы можете настраивать уровни важности событий, формируя список доверенных пользователей в параметрах правила мониторинга системного реестра.
Недоверенный пользователь – любой пользователь, не указанный в списке доверенных в параметрах правила области мониторинга. Если Kaspersky Industrial CyberSecurity for Nodes обнаруживает действие, выполненное недоверенным пользователем, задача Мониторинг доступа к реестру фиксирует критическое событие в журнале выполнения задачи.
Доверенный пользователь – пользователь или группа пользователей, которым разрешено выполнение действий в указанной области мониторинга. Если Kaspersky Industrial CyberSecurity for Nodes обнаруживает действие, выполненное доверенным пользователем, задача Мониторинг доступа к реестру фиксирует информационное событие в журнале выполнения задачи.
