Cloud One Workload Security Technical Essentials－第 9 課：偵測受保護伺服器的變更

Integrity Monitoring

概觀

Integrity Monitoring 模組會偵測檔案、服務、程序及 Windows 登錄等系統物件發生的非預期變更，這類變更可能代表可疑活動。此模組會將物件目前的狀態與先前建立、經確認可信任的 Baseline 比較，並使用 Integrity Monitoring 規則指定要監控的物件與屬性。Workload Security 隨附預先定義的 Integrity Monitoring 規則，後續也可能透過安全性更新提供新規則。

Integrity Monitoring 偵測到非預期變更時，會產生事件，並可依規則設定觸發告警，但不會阻止或復原該項變更。

監控物件

Integrity Monitoring 可以監控下列系統物件：

• 目錄與檔案
• 登錄值與登錄機碼
• 程序與服務
• 已安裝的軟體
• 通訊埠
• 群組與使用者
• WQL 查詢陳述式

Integrity Monitoring 可以偵測規則所指定物件與屬性的變更，但無法自行判斷變更是合法還是惡意。您可以對電腦執行 Recommendation Scan，取得適用規則的初步建議，再評估環境中真正需要監控的物件。

選擇及調整規則

Recommendation Scan 是建立規則清單的良好起點，但不保證涵蓋所有重要規則。建議的 Integrity Monitoring 規則可能包含大量監控物件與屬性，因此應先判斷哪些項目具有安全價值，再建立自訂規則或調整預先定義的規則。監控程序 ID、來源通訊埠等經常變動屬性的規則，容易產生大量事件，通常需要進一步調整。

Integrity Monitoring 規則的監控範圍應盡可能精確，以改善效能並減少衝突及誤判。例如，不應建立監控整個磁碟的規則，也不應監控變動頻繁但安全價值有限的屬性。

Workload Security 支援手動指派規則，也可以自動實作 Recommendation Scan 的建議。需要額外設定、已從 Recommendation Scan 排除、建議結果曾被使用者覆寫、受策略繼承限制，或可能造成誤判的規則，不一定能自動實作。啟用自動實作前，仍應評估規則適用性、監控範圍及可能產生的事件量。

趨勢科技提供的規則不能直接編輯；其中部分規則可透過 Configuration 調整。若需要進一步修改，可複製既有規則再編輯副本，或建立自訂規則。

在策略中啟用 Integrity Monitoring

Integrity Monitoring 可以在策略階層的任何層級啟用。已啟用繼承的子策略會套用從上層策略繼承的 Integrity Monitoring 設定及規則。

若要在策略中啟用 Integrity Monitoring，請前往 Policies，雙擊要設定的策略，然後在左側選取 Integrity Monitoring。於 General 分頁將 Integrity Monitoring State 設為 On，再點擊 Save。

若要調整規則，請在 Assigned Integrity Monitoring Rules 區段點擊 Assign/Unassign...，選取要指派或解除指派的規則，然後儲存變更。

若要取得規則建議，請對目標電腦執行 Recommendation Scan，再依環境需求手動指派規則，或使用受支援的自動實作功能。部分 Integrity Monitoring 規則需要本機設定。若您手動指派這類規則，或這類規則經自動實作，Workload Security 會發出告警，通知您完成規則所需的設定。

示範：設定 Integrity Monitoring、建立規則及驗證變更

下列影片示範如何在策略中啟用 Integrity Monitoring、指派及建立規則，然後修改受監控的檔案並查看事件。