檢視次數:
完整性監控規則描述了代理應如何掃瞄並檢測電腦檔案、目錄和註冊表鍵和值的變更，以及已安裝軟體、進程、監聽端口和運行服務的變更。完整性監控規則可以直接分配給電腦防護，也可以成為政策的一部分。
注意
注意
本主題專門介紹如何建立完整性監控規則。關於如何配置完整性監控模組的資訊，請參閱 設定完整性監控。
有兩種類型的完整性監控規則：您創建的規則和趨勢科技發布的規則。關於如何配置趨勢科技發布的規則的詳細資訊，請參閱配置趨勢科技完整性監控規則部分。
若要建立新的完整性監控規則，您需要：

步驟

  1. 新增規則。
  2. 輸入完整性監控規則資訊。
  3. 選擇規則範本並定義規則屬性。

接下來需執行的動作

當您完成規則後，您還可以學習如何：

新增規則 上層主題

在Policies → Common Objects → Rules → Integrity Monitoring Rules頁面上有三種方法可以新增完整性監控規則。您可以：
  • 建立新規則。點選新增 > 新完整性監控規則。
  • 從 XML 檔案匯入規則。點選新增 > 從檔案匯入。
  • 複製並修改現有規則。在完整性監控規則列表中右鍵點選該規則，然後點選複製。要編輯新規則，選擇它然後點選屬性。

輸入完整性監控規則資訊 上層主題

步驟

  1. 輸入規則的Name和Description。
    注意
    注意
    將所有完整性監控規則變更記錄在規則的描述欄位中是一個好的做法。記下規則創建或刪除的時間和原因，以便於維護。
  2. 設定規則的Severity。
    注意
    注意
    設定規則的嚴重性不會影響規則的實施或應用。嚴重性等級在查看完整性監控規則列表時可以作為排序標準。更重要的是，每個嚴重性等級都與一個嚴重性值相關聯；此值會乘以電腦防護的資產價值來確定事件的排名。（請參閱Administration → System Settings → Ranking。）

接下來需執行的動作

選擇規則範本並定義規則屬性 上層主題

前往Content標籤頁，並從以下三個範本中選擇一個：

登錄值範本 上層主題

創建一個完整性監控規則以專門監控註冊表值的變更。
注意
注意
登錄值範本僅適用於基於 Windows 的電腦。

步驟

  1. 選擇Base Key來監控，並選擇是否監控子鍵的內容。
  2. 列出Value Names 以包含或排除。您可以使用 "?" 和 "*" 作為萬用字元。
  3. 輸入Attributes以進行監控。輸入 "STANDARD" 將監控登錄大小、內容和類型的變更。關於登錄值模板屬性的詳細資訊，請參閱RegistryValueSet 文件。

接下來需執行的動作

檔案範本 上層主題

建立一個完整性監控規則以專門監控檔案變更。

步驟

  1. 輸入規則的基本目錄（例如，C:\程式集\MySQL）。選擇包含子目錄以包含相對於基本目錄的所有子目錄內容。基本目錄不支援萬用字元。
  2. 使用File Names欄位來包含或排除特定檔案。您可以使用萬用字元（"?" 代表單一字元，"*" 代表零個或多個字元）。
    注意
    注意
    將 File Names 欄位留空將導致規則監控基目錄中的所有檔案。如果基目錄包含大量或大型檔案，這可能會使用大量系統資源。
  3. 輸入 Attributes 以進行監控。輸入 "STANDARD" 將監控文件創建日期、最後修改日期、權限、所有者、群組、大小、內容、標誌（Windows）和符號連結路徑（Linux）的變更。欲了解有關文件模板屬性的詳細資訊，請參閱 FileSet 文件。

接下來需執行的動作

自訂 (XML) 範本 上層主題

建立自訂完整性監控規則範本，以監控目錄、登錄值、登錄鍵、服務、進程、已安裝的軟體、端口、群組、使用者、檔案，以及使用Server & Workload Security保護 XML為基礎的完整性監控規則語言來監控WQL。
秘訣
秘訣
您可以在您偏好的文字編輯器中建立您的規則，完成後將其貼到內容欄位。

配置趨勢科技完整性監控規則 上層主題

趨勢科技發佈的完整性監控規則無法像您創建的自訂規則那樣進行編輯。有些趨勢科技規則完全無法修改，而其他規則可能提供有限的配置選項。這兩種類型的規則在“類型”欄中都會顯示為“已定義”，但可配置的規則會在完整性監控圖標中顯示齒輪
integrity_monitoring_rules_option=0bbc640a-d419-4c86-b90a-ef0026d1002a.png
).
im-rule-types=45938605-d613-4089-909b-ebeaed019ebc.png
您可以通過打開規則的屬性並點擊Configuration標籤來訪問規則的配置選項。
趨勢科技發布的規則還會在General標籤下顯示以下其他資訊：
  • 規則首次發佈和最後更新的時間，以及規則的唯一標識符。
  • 代理程式運行此規則所需的最低版本。
雖然您無法直接編輯趨勢科技發佈的規則，但您可以複製它們，然後編輯副本。

配置規則事件和警報 上層主題

任何由完整性監控規則檢測到的變更都會記錄為Server & Workload Security保護中的事件。

即時事件監控 上層主題

預設情況下，事件會在發生時記錄。如果您只希望在手動執行掃瞄變更時記錄事件，請取消選擇Allow Real Time Monitoring。

警報 上層主題

您也可以配置規則在記錄事件時觸發警報。為此，請打開規則的屬性，點選選項，然後選擇Alert when this rule logs an event。

查看規則所分配的政策和電腦 上層主題

您可以在Assigned To標籤上查看分配給完整性監控規則的政策和電腦防護。點選列表中的政策或電腦防護以查看其屬性。

匯出規則 上層主題

您可以通過點擊Export並從列表中選擇相應的匯出操作，將所有完整性監控規則匯出到 .csv 或 .xml 文件。您也可以先選擇特定規則，然後點擊Export，再從列表中選擇相應的匯出操作來匯出特定規則。

刪除規則 上層主題

要刪除規則，請在完整性監控規則列表中右鍵點選該規則，點選刪除，然後點選確定。
注意
注意
分配給一台或多台電腦或屬於某個政策的完整性監控規則無法刪除。