Задача Контроль целостности системы (System_Integrity_Monitoring, ID:11)

Задача Контроль целостности системы предназначена для отслеживания действий, выполняемых с файлами и директориями в области мониторинга, указанной в параметрах задачи. Вы можете использовать задачу, чтобы отслеживать изменения в файлах, которые могут указывать на нарушение безопасности на защищаемом сервере.

Для использования задачи требуется лицензия, которая включает эту функцию.

Контроль целостности системы может выполняться в режиме реального времени при запуске задачи Контроль целостности системы при доступе (OAFIM). Кроме того, вы можете создавать и запускать задачи Контроль целостности системы по требованию (ODFIM).

Оба типа задачи отправляют уведомления об изменениях в списках контроля доступа к объектам. В случае задачи OAFIM в отчет не включаются данные о том, какие именно изменения внесены. В случае задачи ODFIM в отчет включаются данные об измененных атрибутах и перемещенных файлах и директориях.

Контроль целостности системы при доступе (OAFIM)

Во время работы задачи OAFIM каждое изменение объекта определяется путем перехвата файловых операций в режиме реального времени. При изменении объекта приложение Kaspersky Embedded Systems Security отправляет событие на Сервер администрирования Kaspersky Security Center. Во время работы задачи контрольная сумма файла не рассчитывается. Приложение не отслеживает изменения файлов (атрибутов и содержимого) с жесткими ссылками, которые расположены вне области мониторинга. Приложение отслеживает операции с конкретными файлами или в областях мониторинга, указанных в параметрах задачи.

Области мониторинга

Для задачи Контроль целостности системы требуется указать области мониторинга. Администратор может изменять области мониторинга в режиме реального времени. Вы можете указать несколько областей мониторинга. Если область мониторинга не указана, параметры задачи невозможно сохранить в конфигурационном файле.

Исключения из области мониторинга

Вы можете создавать исключения из области мониторинга. Исключения указываются для каждой отдельной области и работают только для указанной области мониторинга. Вы можете указать несколько областей исключения из мониторинга.

Исключения имеют более высокий приоритет, чем область мониторинга, и не проверяются задачей, даже если указанная директория или файл находятся в области мониторинга. Если параметры одного из правил указывают область мониторинга на более низком уровне, чем директория, указанная в исключении, область мониторинга не рассматривается при выполнении задачи.

Для указания исключений вы можете использовать те же маски в формате командной оболочки, которые используются для указания областей мониторинга.

При добавлении области мониторинга или области исключения приложение не проверяет, существует ли такая директория.

Контролируемые параметры

Во время работы задачи Контроль целостности системы контролируется изменение следующих параметров:

• содержимое (write (), truncate (), etc.);
• метаданные (правообладание (chmod/chown));
• отметки времени (utimensat);
• расширенные атрибуты (setxattr) и другие.

Технологические ограничения операционной системы Linux не позволяют задаче Контроль целостности системы определять, какой администратор или процесс внес изменение в файл.

Контроль целостности системы по требованию (ODFIM)

В процессе выполнения задачи ODFIM изменение каждого объекта определяется путем сравнения текущего состояния контролируемого объекта с исходным состоянием, зафиксированным ранее в качестве снимка состояния системы.

Снимок состояния системы создается во время первого выполнения задачи ODFIM на устройстве. Вы можете создать несколько задач ODFIM. Для каждой задачи ODFIM создается отдельный снимок состояния системы. Задача выполняется, только если снимок состояния системы относится к области мониторинга. Если снимок состояния системы не соответствует области мониторинга, приложение Kaspersky Embedded Systems Security создает событие о нарушении целостности системы. Снимок состояния системы содержит пути к контролируемым объектам и их метаданные. Снимок состояния системы может также содержать персональные данные.

Снимок состояния системы создается заново после завершения задачи ODFIM. Вы можете заново создать снимок для задачи с помощью параметра RebuildBaseline. Снимок состояния системы также создается при изменении параметров задачи, например, при добавлении новой области мониторинга. При следующем выполнении задачи снимок состояния системы формируется заново. Вы можете удалить снимок состояния системы, удалив соответствующую задачу ODFIM.

Задача ODFIM создает хранилище для снимков состояния системы на устройстве с установленным компонентом Контроль целостности системы. По умолчанию снимки состояния системы хранятся в базе данных /var/opt/kaspersky/kess/private/fim.db. Для доступа к базе данных, в которой хранятся снимки состояния системы, требуются root-права.

Параметры задачи Контроль целостности системы при доступе

В таблице описаны все доступные значения и значения по умолчанию для всех параметров, которые вы можете указать для задачи Контроль целостности системы при доступе.

Параметры задачи Контроль целостности системы при доступе

Параметры задачи Контроль целостности системы по требованию

В таблице описаны все доступные значения и значения по умолчанию для всех параметров, которые вы можете указать для задачи Контроль целостности системы по требованию.

Параметры задачи Контроль целостности системы по требованию