Включение мониторинга целостности файлов

В плане 2 Defender для серверов в Microsoft Defender для облака функция мониторинга целостности файлов помогает обеспечить безопасность корпоративных активов и ресурсов. Он сканирует и анализирует файлы операционной системы, реестры Windows, программное обеспечение приложений и системные файлы Linux для изменений, которые могут указывать на атаку.

После включения Defender for Servers Plan 2 следуйте следующим шагам, чтобы настроить мониторинг целостности файлов с помощью агента Microsoft Defender для конечной точки и бесагентного машинного сканирования для сбора данных.

Note

Если вы используете предыдущую версию мониторинга целостности файлов с агентом Log Analytics (microsoft Monitoring Agent (MMA)) или агентом Azure Monitor (AMA), вы можете перейти к новому интерфейсу мониторинга целостности файлов.
Для мониторинга целостности файлов на платформе Microsoft Defender для конечной точки требуется минимальная версия агента. При необходимости обновите агент .
- Windows (устаревшие компьютеры или клиенты нижнего уровня): Защитник для серверов клиента Windows (агент MDE) версии 10.8799 или более поздней версии.
- Linux: 30.124082 или более поздней версии. Известные ограничения поведения датчиков Linux см. в разделе "Рекомендации и ограничения".

Prerequisites

В вашей подписке необходимо включить Defender для серверных планов 2.
Вы должны установить агент Defender for Endpoint через расширения Defender for Servers на тех устройствах, которые хотите отслеживать.
Необходимо подключить независимые от Azure машины при помощи Azure Arc.
Необходимо включить сканирование без агента в вашей подписке, чтобы получить дополнительную защиту и возможность отслеживать пользовательские пути.
Вам нужны разрешения владельца рабочей области и администратора безопасности для включения и отключения мониторинга целостности файлов. Разрешения на доступ к считывателю безопасности могут просматривать результаты.

Проверка версии клиента Defender для конечных точек

Прежде чем начать, убедитесь, что версия клиента Defender для конечной точки на компьютерах не ниже минимальной версии, необходимой для мониторинга целостности файлов.

Windows Server 2019 или более поздней версии — агент Defender для конечной точки обновляется в рамках непрерывных обновлений операционной системы. Убедитесь, что на компьютерах Windows установлена последняя версия обновления.

Дополнительные сведения об использовании службы обновления Windows Server для установки компьютеров в большом масштабе.
Windows Server 2016 и Windows Server 2012 R2 — необходимо вручную обновить компьютеры до последней версии агента.

Вы можете установить KB 5005292 из каталога обновлений Майкрософт. KB 5005292 периодически обновляется до последней версии агента.
Компьютеры Linux — агент Defender для конечной точки автоматически обновляется, если автоматическая подготовка включена для компьютеров в Defender для облака. После установки расширения MDE.Linux на машине Linux, машина пытается обновить агент до обновленной версии при каждой перезагрузке виртуальной машины. Вы также можете вручную обновить версию агента.

Enable File Integrity Monitoring в портале Azure

Мониторинг целостности файлов по умолчанию не включен. Его можно включить на портале Microsoft Defender для облака.

Войдите на портал Azure.
Перейдите в Microsoft Defender для облака>настройки среды>соответствующая подписка.
Найдите план Defenders для серверов и выберите параметры.
В разделе "Мониторинг целостности файлов " переключитесь на "Вкл.".
Выберите "Изменить конфигурацию".
Выберите рабочую область для хранения данных мониторинга целостности файлов. (Необязательно) Или нажмите кнопку "Создать" , чтобы создать новую рабочую область.
В разделе "Рекомендуемые для мониторинга правил" выберите "Изменить".
Выберите файлы и реестры , рекомендуемые для мониторинга.

Убедитесь, что переключатель "Состояние " имеет значение "Включено " и выберите типы изменений , которые требуется отслеживать. По умолчанию выбираются все сущности, рекомендуемые для мониторинга. Вы можете удалить сущности из мониторинга, нажав кнопку с тремя точками рядом с правилом мониторинга, а затем нажмите кнопку "Удалить".
Щелкните Применить, чтобы сохранить изменения.
(Необязательно) Нажмите кнопку +Добавить правило , чтобы создать настраиваемое правило.
1. В разделе "Добавление нового настраиваемого правила " введите имя правила и (необязательно) описание правила.
2. Убедитесь, что для переключателя состояния задано значение "Включено".
3. Выберите типы изменений и определите тип сущности и путь сущности для пользовательских правил.
4. Щелкните Применить, чтобы сохранить изменения.
5. (Необязательно) Выберите "Удалить правило ", чтобы удалить конфигурацию правила.
Нажмите кнопку "Применить".
Выберите Продолжить.

Проверка статуса включенности для мониторинга целостности файлов

Ознакомьтесь с функцией мониторинга целостности файла, чтобы убедиться, что конфигурация правильна и все требования выполнены.

Перейдите к защите рабочих нагрузок, затем к мониторингу целостности файлов.
Выберите Параметры.
Проверьте наличие отсутствующих предварительных требований.
Выберите подписку и просмотрите корректирующие действия для требуемой рабочей области.
Установите флажок для всех необходимых исправлений.
Нажмите кнопку "Применить".

Отключение мониторинга целостности файлов

Если отключить мониторинг целостности файлов, новые события не собираются. Однако данные, собранные до отключения, остаются в рабочей области Log Analytics в соответствии с политикой хранения рабочей области.

Чтобы отключить мониторинг целостности файлов, следуйте следующим шагам:

Войдите на портал Azure.
Перейдите в Microsoft Defender для облака>настройки среды>соответствующая подписка.
Найдите план Defenders для серверов и выберите параметры.
В разделе "Мониторинг целостности файлов" переключите переключатель на "Выкл.
Нажмите кнопку "Применить".
Выберите Продолжить.
Нажмите Сохранить.