Мониторинг запуска приложений

Доступна только в UEM версии

Описание

Мониторинг запуска приложений — политика для настройки аудита запуска исполняемых файлов на Linux-устройствах с помощью auditd

Политика подходит для отслеживания запуска программ пользователями в задачах безопасности и аудита

Примечание

Поддерживаемые операционные системы:

  • Linux

Важно

Эта политика настраивает системный демон аудита

Рекомендуется:

  • Настраивать мониторинг только на необходимых устройствах

  • Проверять, что на устройстве достаточно места для логов аудита

  • Регулярно архивировать и очищать логи аудита

Свойства политики

После выбора шаблона политики откроется окно с её свойствами

Вкладка «Политика» содержит следующие поля:

  • Название — имя политики в системе

    Важно

    Для выполнения или сохранения политики название обязательно для заполнения

  • Идентифицирующий ключ — уникальный ключ для пометки записей в логах аудита

    Важно

    Ключ помогает фильтровать записи, относящиеся именно к этому правилу мониторинга

  • Состояние auditd — выбор состояния демона аудита

    • Включено — демон auditd будет запущен и настроен на автозапуск

    • Выключено — политика попытается остановить демон auditd

    Важно

    На дистрибутивах семейства RPM (RedOS, RedHat, AlterOS, MSVSphere) и Alt Linux служба auditd никогда не останавливается — даже при выборе значения Выключено политика оставит демон запущенным и в автозапуске, и будет отключён только сборщик логов

  • Состояние сборщика — выбор режима работы сборщика логов

    • Включить слежение за логом — начнется сбор и отправка логов аудита

    • Отключить слежение за логом — сбор логов аудита будет прекращен

    Примечание

    Если для поля Состояние auditd выбрано значение Выключено, политика принудительно отключит и сборщик логов

Остальные вкладки описаны на странице Политики

Пример

Для настройки мониторинга запуска приложений в каталоге /usr/bin/:

  1. Нажать на кнопку Добавить Политику в верхнем правом углу экрана на странице Политики

  2. Выбрать шаблон политики «Мониторинг запуска приложений» из списка предложенных шаблонов

  3. Заполнить поле Название

    Например: Мониторинг запуска приложений в каталоге /usr/bin/

  4. Заполнить поле Идентифицирующий ключ

    Например: monitoring_app_launch

    Примечание

    Ключ появится в логах аудита рядом с записями о запуске программ

  5. Выбрать состояние Состояние auditd

    Например: Включено

  6. Выбрать состояние Состояние сборщика

    Например: Включить слежение за логом

  7. Нажать на кнопку Сохранить

  8. Выполнить Тестовый запуск на устройстве для проверки работоспособности политики

  9. После применения политики:

    • На устройстве будет установлен и настроен auditd

    • Будут созданы правила аудита для отслеживания запуска программ из /usr/bin/

    • Демон auditd будет запущен

    • Начнется сбор логов

Примечание

Что отслеживается:

  • Запуск любых программ из каталога /usr/bin/

  • Только действия пользователей с UID >= 1000

  • Системные вызовы execve

Предупреждение

После включения мониторинга проверьте, что на устройстве достаточно свободного места, так как логи аудита могут быстро расти при активном использовании системы

На части Linux-дистрибутивов остановка auditd может быть ограничена системной политикой, поэтому служба может остаться активной даже при выборе значения Выключено