Функция «Контроль приложений» управляет запуском приложений на компьютерах пользователей, что позволяет выполнить политику безопасности организации при использовании приложений и снижает риск заражения компьютера, ограничивая доступ к ним.
Для перехода в модуль «Контроль приложений» необходимо выполнить следующие действия:
В списке источников открыть карточку необходимого источника типа «IEL».
Список файлов и директорий, подлежащих контролю приложений, представлен в формате таблицы и состоит из следующих столбцов:
«Путь к файлу/папке» – содержит путь к файлу или директории источника событий;
«Статус» – отображает состояние записи.
В столбце «Статус» могут отображаться следующие состояния:
«Не сохранено» – данный статус присваивается автоматически после ручного добавления пути. При закрытии экранной формы, путь с этим статусом исчезнет из списка;
«Новый» – данный статус присваивается автоматически после добавления пути с помощью режима обучения;
«Разрешен» – данный путь или папка доступны для открытия, просмотра или запуска;
«Запрещен» – данный статус присваивается автоматически, в случае нарушения целостности файла/папки. При переводе статуса на «Разрешен», произойдёт пересчёт контрольных сумм.
Установить флажок в чек-бокс параметра «Включить контроль приложений».
При необходимости снять флажок с чек-бокса параметра «Разрешить пользователю root игнорировать правила белого списка», чтобы не позволять пользователю root игнорировать правила, добавленные в список.
Нажать кнопку «Добавить» на панели инструментов. В открывшемся окне проводника выбрать необходимую директорию или файл и нажать кнопку «Выбрать» (см. Рисунок – Выбор файла/директории).
Примечание
В связи с особенностью обработки операционной системой символических ссылок есть вероятность того, что система позволит запустить исполняемый файл, отсутствующий в белом списке. Рекомендуется добавлять в список и прямые ссылки, и символические ссылки на них, если такие имеются.
Для удаления путей к файлу или директории следует:
Выбрать необходимый элемент, установив флажок в чек-бокс элемента.
Нажать кнопку «Удалить» на панели инструментов.
Подтвердить удаление, нажав кнопку «Удалить» во всплывающем окне.
Примечание
Удаление следующих директорий может привести к частичной или полной неработоспособности ОС и ARMA IEL:
«/usr» – содержит приложения, библиотеки, документацию и другие файлы;
«/root» – директория администратора, в которой обычно хранятся файлы и конфигурации, относящиеся к администратору ОС;
«/lib/systemd/system» – содержит скрипт для запуска службы «system ctl».
При попытке удаления любой из этих директорий появится уведомление «Опасное действие! Удаление выбранного пути может нарушить работу операционной системы и IEL. Вы действительно хотите совершить действие?». В случае необходимости удаления директории подтвердите действие, нажав кнопку «Удалить» (см. Рисунок – Удаление критических директорий).
Режим обучения для функции «Контроль приложений» автоматически сканирует запущенное ПО, давая пользователю возможность включить используемые приложения в белый список. Для использования режима обучения необходимо выполнить следующие действия:
Перейти к настройке «Контроль приложений» необходимого источника типа «IEL».
Убедиться в отсутствии флажка в чек-боксе параметра «Включить контроль приложений».
При необходимости ввести в поле «Промежуток времени для режима обучения» временной диапазон в формате «чч:мм:сс». Доступный диапазон от 00:01:00 до 23:59:59.
Запуск режима обучения при наличии несохранённых изменений в списке файлов и директорий приведёт к сохранению этих изменений. В этом случае после нажатия кнопки «Запустить» появится окно c уведомлением «Запуск режима обучения приведёт к сохранению экранной формы. Вы уверены, что хотите совершить данное действие?».
Когда обучение закончится, будет выведено соответствующее уведомление, а в область Белый список добавятся пути к исполняемым файлам процессов, выполнявшихся в период действия режима обучения. В поле Статус для таких путей будет значение Новый. Чтобы открыть пути для просмотра и запуска, следует выбрать их, установив флажки в чек-боксы, и нажать кнопку «Разрешить» (см. Рисунок – Обучение завершено).
В случае изменения IP-адреса Центра Управления или перезапуска IEL во время активированного режима обучения, будет выполнена остановка режима обучения, без его автоматического возобновления.
В случае если модуль «Контроль целостности» был выключен, в появившемся окне (см. Рисунок – Включение модуля КЦ) необходимо подтвердить включение модуля, нажав кнопку «Активировать».
Нажать кнопку «Сохранить» в правом верхнем углу экрана.
После включения контроля целостности выбранные записи будут добавлены в список контроля целостности, статусы записей в белом списке изменятся на «Включено» (см. Рисунок – Статус КЦ).
Для выключения контроля целостности необходимо выбрать запись или записи и нажать кнопку «Выключить» на панели инструментов. При выключении путь будет удалён из списка контролируемых модулем «Контроль целостности».
Примечание
Существует возможность включить запись в белый список, если её по какой-либо причине заблокировал модуль «Контроль целостности». Для этого необходимо выбрать запись и нажать кнопку «Разрешить».
