Recommendation Scan

Deep Security Agent 可以在主機電腦上執行 Recommendation Scan，依據主機狀況提出適用的規則建議。此作業會掃瞄作業系統與已安裝的應用程式，Deep Security 再根據偵測結果判斷應套用哪些資安規則。

Recommendation Scan 會列出需要套用至電腦的 Deep Security 規則，協助管理員使用 Deep Security 強化主機。

這些規則建議以下列軟體屬性為依據：

• 建議的 Intrusion Prevention 規則取決於已安裝的軟體與已知弱點
• 建議的 Integrity Monitoring 規則取決於偵測到的重要系統及軟體物件
• 建議的 Log Inspection 規則取決於偵測到的記錄檔及其中已知的重要項目

執行 Recommendation Scan 時，Deep Security Agent 會掃瞄：

• 作業系統
• 已安裝的應用程式
• Windows 登錄
• 開放的連接埠
• 目錄清單
• 檔案系統
• 執行中的程序與服務
• 環境變數
• 使用者

Deep Security Virtual Appliance 可以對虛擬機器執行 Agentless Recommendation Scan，但僅支援 Windows 平台，且只會掃瞄：

• 作業系統
• 已安裝的應用程式
• Windows 登錄
• 檔案系統

最佳實務： 環境變更可能影響建議規則，因此通常應每週執行一次 Recommendation Scan，並安排在離峰時段。大型環境應依策略或 Computer Group 分批執行，每組不超過 1,000 台電腦，並將不同群組分散至不同日期，以降低 CPU、記憶體與網路頻寬的尖峰負載。詳細資訊請參閱 排程 Deep Security 工作。

[!note]
Recommendation Scan 是建立規則清單的良好起點，但無法識別所有重要規則，也不是所有建議都能自動實作。請參閱 管理及執行 Recommendation Scan，了解掃瞄限制、需要手動套用的其他規則及自動實作的例外情況。

執行 Recommendation Scan

您可以透過下列方式執行 Recommendation Scan：

Scheduled Task

建立 Scheduled Task，依您設定的排程執行 Recommendation Scan。Scheduled Task 可以指派給所有電腦、個別電腦、指定的 Computer Group，或受特定策略保護的所有電腦。

Ongoing Scan

設定策略，定期對受該策略保護的所有電腦執行 Recommendation Scan。您也可以為個別電腦設定 Ongoing Scan。這類掃瞄會檢查上次掃瞄的時間，再依設定的間隔安排後續掃瞄，因此環境中的 Recommendation Scan 會在不同時間執行。若環境中的 Agent 可能連續數日不在線上，例如頻繁建立與汰除執行個體的雲端環境，這項設定特別實用。

Manual Scan

在一或多部電腦上執行單次 Recommendation Scan。若您最近大幅變更平台或應用程式，又不想等待 Scheduled Task，Manual Scan 可立即檢查是否有新的建議。

API

透過 Deep Security API 啟動 Recommendation Scan。

Recommendation Scan 完成後，系統會在所有產生規則建議的電腦上發出 Alert。

注意： Scheduled Task 與 Ongoing Scan 請擇一使用，不要同時啟用。

Recommendation Scan 流程

Recommendation Scan 會依序執行下列步驟：

步驟 1

Deep Security Manager 會向 Deep Security Agent 傳送查詢以啟動掃瞄。查詢會指示 Agent 應從主機電腦的哪些位置收集資訊；這些指示以每次 Security Update 所包含的偵測規則與運算式為依據。

步驟 2

Deep Security Agent 收到查詢要求後，會收集主機電腦的資訊並回傳給 Deep Security Manager。Deep Security Agent 中的功能會從下列來源取得資訊：

• Windows 登錄項目
• 執行中的程序
• 開放的連接埠
• 檔案系統
• 服務

這些資訊不僅包括主機作業系統，也包括安裝於主機上的應用程式，可用來判斷主機可能存在的弱點。

步驟 3

主機 metadata 彙整完成後，會以 XML 訊息傳送至 Deep Security Manager。若 Recommendation Scan 是由 Deep Security Manager 啟動，資訊會隨查詢同步回傳；否則，資訊會在 Deep Security Agent 的例行 heartbeat 週期中傳送。

步驟 4

Deep Security Manager 收到 Deep Security Agent 傳來的主機 metadata 後，會將資訊與資料庫中的下列資安資訊進行比對，判斷需要套用至主機的規則：

• Intrusion Prevention 規則
• Integrity Monitoring 規則
• Log Inspection 規則
• Log Inspection decoder

例如，若從 Windows Service Control Module 收集的服務資訊顯示主機上有 Microsoft IIS，就必須套用與這部 Web 伺服器相關的規則。Deep Security Manager Web 主控台會顯示建議規則清單。

步驟 5

您可以在電腦層級設定以手動或自動方式套用規則。這些建議也會顯示於指派給該伺服器的策略中，供您手動套用至該策略。

指派建議規則

Recommendation Scan 會依據伺服器使用的作業系統及其上安裝的應用程式，建議適合該伺服器的規則。掃瞄會在伺服器上執行，建議規則可以只指派給該伺服器，也可以套用至指派給該伺服器的策略。

將建議規則指派給電腦

掃瞄完成後，您可以手動或自動將建議規則指派給電腦。

若要手動套用規則，請在 Recommendation Scan 完成後選取對應的防護模組，再從 Computer Details 的 General 分頁點擊 Assign/Unassign。從清單中選取 Recommended for Assignment，再選取要套用的個別規則。

您也可以在執行掃瞄前，於 General 分頁將 Automatically Implement Recommendations 設為 Yes，自動套用建議規則。

以此方式指派的規則會覆寫 Base Policy 與已指派策略的設定。維護這些規則可能逐漸變得繁瑣，最後可能需要在已指派策略的層級使用 Override。

Recommendation Scan 結果也可能建議解除指派規則。解除安裝應用程式、套用廠商提供的安全性修補，或手動套用不必要的規則時，都可能出現這類建議。若 Automatically Implement Recommendations 設為 Yes，系統會自動移除不再需要的規則；否則，請從顯示篩選選單中選取 Recommended for Unassignment，再取消選取不再需要的規則。

將建議規則指派給策略

如果執行 Recommendation Scan 的電腦目前正在使用策略，建議規則也會出現在策略的 Recommended for Assignment 清單中，供您手動套用至策略。

如果掃瞄完成後，策略中先前套用的規則已不再需要，您可以從 Recommended for Unassignment 清單中選取該規則。

示範：執行 Recommendation Scan

下列影片示範如何執行 Recommendation Scan。