建立及重建 Baseline

Baseline 代表受監控物件經確認可信任時的狀態。建立 Baseline 時，Agent 會記錄規則指定的物件屬性；如果規則需要比較檔案內容，也會建立內容雜湊。

您可以選擇 Integrity Monitoring 儲存 Baseline 資訊時使用的內容雜湊演算法。應避免同時選取多種演算法，否則可能增加處理負擔並影響效能。

若要為電腦建立新的 Baseline，請開啟該電腦的 Computer 編輯器，在左側選取 Integrity Monitoring，套用所需規則，再點擊 Rebuild Baseline。

套用核准的修補程式或完成其他預期變更後，請先確認相關變更符合預期且系統狀態可信任，再重建 Baseline。重建 Baseline 只會更新後續使用的比較基準，不會變更 Integrity Monitoring 規則的指派狀態。

Baseline 儲存在 Agent 主機上。系統偵測到受監控物件發生變更後，相關事件一般會在下一次 heartbeat 通訊時交付至 Workload Security。

[!note]
View Baseline 已自 C1WS 主控台移除；Rebuild Baseline 仍可使用。若需要查看詳細的 Baseline 資料，請產生 Agent diagnostic package。

掃瞄伺服器上的變更

套用規則並建立 Baseline 後，可以透過依要求掃瞄、即時掃瞄或預約掃瞄來偵測變更。

依要求掃瞄

需要時，您可以在特定電腦的 Computer 編輯器中，前往 Integrity Monitoring > General，再點擊 Scan For Integrity。Agent 會比較受監控物件的目前狀態與 Baseline。

即時掃瞄

啟用 Real Time 後，Agent 會即時監控受支援物件的變更，並在偵測到變更時產生 Integrity Monitoring 事件。這不代表每次讀取檔案都必然觸發掃瞄；實際偵測能力會因作業系統、物件類型及規則設定而異。

例如，在 Linux 上，單純讀取檔案、執行 touch，或只改變時間戳記等中繼資料而未變更檔案內容時，不一定會觸發即時 Integrity Monitoring 事件。監控整個磁碟也可能影響效能並產生過多事件；如果在 Windows 根磁碟執行即時監控，Workload Security 只會監控可執行檔及指令碼。

預約掃瞄

您可以前往 Administration > Scheduled Tasks 建立 Scan Computers for Integrity Changes 預約工作。此工作會比較電腦目前的狀態與 Baseline，並為偵測到的變更產生事件。

如果同一物件在兩次掃瞄之間發生多次變更，預約掃瞄只能偵測最後一次變更，無法追蹤期間內發生的其他變更。對於重要且頻繁變動的物件，應考慮使用即時監控或縮短預約掃瞄的間隔。

查看 Integrity Monitoring 事件

若要查看整個環境的 Integrity Monitoring 事件，請前往 Events & Reports > Events > Integrity Monitoring Events。若只要查看特定電腦的事件，請開啟該電腦的 Computer 編輯器，再前往 Integrity Monitoring > Integrity Monitoring Events。

多數事件會在下一次 heartbeat 通訊時由 Agent 傳送至 Workload Security。若通訊設定允許 Agent 或 Relay 主動發起通訊，Integrity Monitoring 掃瞄完成及建立 Baseline 等特定事件則會立即傳送。