回到首頁
輔助監控伺服器的潛在危機資訊安全層之"目錄/資料夾比對"
-
目錄(Directory)為Linux/Unix系統較習慣的用語
資料夾(Folder) 為Microsoft Windows系統較習慣的用語
本處將資料夾(Folder)統稱為"目錄"
大部份的伺服器都已安裝資安防護的防毒軟體,Watchdog資訊維運系統也加強對主機安全做防護措失
"目錄比對"的功能是其中一項
主要是針對高風險的"目錄內的檔案"先封存後再定時做百分百二進位比對 目錄內的檔案類型 如:
*.二進位程式檔案(.exe.dll)
*.Shell Script程式檔案
*.系統設定檔
*.文字檔
*.密碼檔
*.二進位影像檔
"目錄比對"是保護與防止程式碼或設定檔遭到無心的更改編寫或是惡意的竄改
或是成為駭客的惡意病毒的管道,而造成程式無法正確執行運作
維運系統在重要伺服主機的監測中,目錄比對的功能就是針對上述的狀況,作出預防的一種重要功能
比對功能主要是為對指定的程式或檔案做百分百二進位(binary)內容的比對
確定程式或檔案與封裝內的原始檔是否遭受更改,可用於系統重要程式或應用系統程式版本的檢查
"目錄比對"是伺服主機在應用系統層的輔助監測功能之一
維運系統對於伺服器是採全面監控,而不放過任何有可能造成主機營運異常的事件
當上述情況發生時,Watchdog資訊維運系統即會發佈警報並且執行警報機制,務求達到整體妥善率的防護加強
監控"目錄比對"的系統規格
偵測目的: 百分百二進位比對指定目錄/資料夾內的檔案與封裝的原始檔是否遭受更改
監測目標: 程式或檔案名稱
警報條件: 比對不同,新增檔案
即時資訊: 正常/警報發佈
資訊收集: 訊息,警報發佈/解除時間點
緊急處置: 通報,執行預定程式,還原檔案
警報臨界值: 比對不同
"程式比對"功能是針對指定的單一檔案,進行百分之百的二進位binary的比對
"目錄比對"功能就是針對指定的目錄/資料夾內的所有檔案進行相同的比對
也包含比對這個目錄/資料夾裡面的檔案是否有新增多少的數量
且每個檔案的內容也會進行百分之百的二進位binary的比對
且該目錄/資料夾底下的目錄/資料夾與檔案甚至可以一直比對到第三層內的所有檔案與目錄/資料夾
在比對出目標目錄與封裝的檔案有差異性即發出告警通知等動作
如上圖為目錄比對的大圖偵測畫面,如有異常時會顯示紅燈
維運人員可以點選進入查看長短期分析圖與報表等資料,詳細請參考偵測畫面介紹篇章.
進入目錄比對功能請由偵測狀態進入到伺服主機底下之後,點選目錄比對的圖示即可進入,如下圖:
上圖為伺服主機的所有偵測功能的顯示主畫面,如果目錄比對有異常的狀況,也會顯示閃爍的紅燈,目前為綠燈顯示
點選目錄比對的圖示之後,系統會進入到目錄比對功能的小圖偵測主畫面
本畫面的特點是因為是小圖,所以同一個畫面可以展示數量眾多的偵測點,如下圖:
如要切換大圖請點選左上角目錄比對文字左邊的藍色按鈕即可切換
大圖的偵測主畫面,跟小圖一樣,當出現異常時會顯示紅燈,不論是大圖或是小圖
在出現異常時,除了顯示紅燈之外,並且會依照系統的要求設定,執行警報程序
當偵測主畫面有顯示紅燈的異常狀況時,維運人員可以點選紅燈圖示進入查看畫面
請選擇是需要長期報表或是短期分析圖等資料,點選進入之後即可查看告警狀況
下圖為選擇短期的警報偵測畫面,圖中可以看出,系統偵測顯示出4/12(二)的03點~04點出現異常的狀況
"目錄比對"的設定設定記明
請由伺服主機的偵測項目內點選進入之後,點選目錄比對的文字連結即可進入.下圖即為目錄比對功能的設定主畫面:
上圖為偵測名單->伺服主機->設定畫面.
目錄比對功能的通用功能欄位例如:序號,起用,刪除,警報與群組別名等等的功能,請參閱通用功能說明
必要欄位請參閱上圖的設定主畫面內,有偵測目標與還原檔案,設定方式請下列說明:
1.偵測目標:主要為輸入偵測目標的目錄/資料夾full path的完整路徑,並且在輸入完畢啟用
2.還原檔案:本欄位為勾選欄位,預設值未打勾,如果點選打勾則當出現異常時
系統會自動還原成初次記錄的目錄/資料夾檔案內容.
回到首頁
