实时系统完整性监控
系统完整性监控允许实时跟踪操作系统的变化。您可以跟踪可能表明计算机存在安全漏洞的变化。该组件允许阻止这些更改或仅记录更改事件。
要使系统完整性监控正常工作,您必须添加至少一个规则。系统完整性监控规则是一组定义用户对文件和注册表的访问权限的标准。系统完整性监控检测指定监测范围内文件和注册表的更改。监控范围是系统完整性监控规则的标准之一。
实时系统完整性监控模式
为了确保系统完整性监控规则不会阻止任何对操作系统或其他服务的运行至关重要的资源的操作,我们建议启用测试模式并分析组件如何影响系统。启用测试模式后,Kaspersky Endpoint Security 不会阻止规则禁止的用户活动,而是生成“警告” 事件。
实时系统完整性监控组件有两种模式:
- 保护系统不被规则更改
在这种模式下,系统完整性监控会跟踪系统中的变化并根据规则执行操作:“允许”或者“阻止”。系统完整性监控还会生成相应的事件并改变 Kaspersky Security Center 控制台中设备的状态。
- 测试模式: 不阻止,仅记录
在这种模式下,系统完整性监控允许对监控范围内的文件和注册表项执行操作。如果禁止对文件或注册表进行操作,应用程序将生成一个事件:The prohibited operation was allowed in test mode。要分析规则如何影响系统,你可以查看报告。
启用实时系统完整性监控
实时系统完整性监控规则设置
参数 | 描述 |
---|---|
规则名称 | 实时系统完整性监控规则的名称 |
对文件和注册表的操作 |
|
事件严重级别 | Kaspersky Endpoint Security 在监控范围内的文件或注册表项被修改时记录文件修改事件。以下事件严重性级别可用:信息 |
监控范围 |
|
排除项 |
|
受信任的用户和/或用户组 | 受信任的用户是被允许对监控范围内的文件和注册表项执行操作的用户。如果 Kaspersky Endpoint Security 检测到受信任用户执行的操作,系统完整性监控会生成“信息” 您可以在 Active Directory 中、在 Kaspersky Security Center 的账户列表中或通过手动输入本地用户名来选择用户。卡巴斯基建议仅在特殊情况下使用本地用户账户,当无法使用域用户账户时。 |
文件操作标记 / 监控的操作 | 使用应用程序将监控的文件或注册表项来描述操作的标记。 |
哈希 | 在修改时计算文件哈希值。当事件生成时,Kaspersky Endpoint Security 会添加有关文件哈希值的信息。 |