Integrity Monitoring

概觀

Integrity Monitoring 模組會偵測系統物件發生的非預期變更，例如檔案、目錄、登錄值、登錄機碼、服務、程序、已安裝軟體、通訊埠、群組、使用者及 WQL 查詢陳述式。這類變更可能代表可疑活動。此模組會將物件的目前狀態，與先前建立並確認可信任的 Baseline 比較，並使用 Integrity Monitoring 規則指定要監控的物件。Deep Security 內建預先定義的 Integrity Monitoring 規則，也可透過安全性更新將新規則傳送給 Deep Security Agent。

Integrity Monitoring 偵測到非預期變更時，會記錄事件，並可依設定觸發警示，但不會阻止或復原該項變更。

監控系統物件

Integrity Monitoring 模組可以監控下列系統物件：

• 檔案與目錄
• 登錄值與登錄機碼
• 程序與服務
• 已安裝的軟體
• 通訊埠
• 群組與使用者
• WQL 查詢陳述式

Integrity Monitoring 可以偵測物件發生變更，但無法自行判斷該項變更是合法變更還是惡意變更。您可以對電腦執行 Recommendation Scan，取得適合該受保護伺服器的規則建議，再評估要監控哪些物件。

[!note]
Recommendation Scan 是建立規則清單的良好起點，但不一定能識別所有重要規則。需要額外設定或可能造成誤判的規則，以及 Recommendation Scan 無法識別的規則，仍須由管理者評估，並視需要手動設定或指派。詳細限制請參閱管理及執行 Recommendation Scan。

最佳做法： 建議的 Integrity Monitoring 規則可能監控大量實體及屬性。請先判斷哪些項目對環境最重要，再建立自訂規則或調整預先定義的規則。監控程序 ID、開啟的通訊埠等經常變動項目的規則，容易產生大量事件，通常需要進一步調整。

Recommendation Scan 完成後，Deep Security 可以自動實作建議規則，您也可以手動指派規則。部分 Integrity Monitoring 規則必須先完成額外設定才能正常運作。如果您指派這類規則，或系統自動加以指派，Deep Security 會觸發警示，通知您仍需完成設定。

最佳做法： Integrity Monitoring 規則的監控範圍應盡可能精確，以改善效能並減少衝突及誤判。例如，不應建立監控整個磁碟的規則。