共用方式為

檔案完整性監視

  • 發行項

適用於雲端的 Microsoft Defender 中的檔案完整性監視功能可藉由掃描和分析操作系統檔案、Windows 登錄、應用程式軟體和 Linux 系統檔案，以取得可能表示攻擊的變更，協助保護企業資產和資源的安全。 檔案完整性監視可協助您：

  • 符合規範需求。 法規合規性標準通常需要檔案完整性監視，例如PCI-DSS和ISO 17799。
  • 藉由偵測檔案的可疑變更，改善狀態並找出潛在的安全性問題。

監視可疑的活動

檔案完整性監視會檢查作業系統檔案、Windows 登錄、應用程式軟體和 Linux 系統檔案，以偵測可疑活動，例如：

  • 建立或刪除檔案和登錄機碼。
  • 檔案修改，例如檔案大小變更、訪問控制清單和內容的哈希。
  • 登錄修改，例如大小變更、訪問控制清單、類型和內容。

資料集合

檔案完整性監視會使用 適用於端點的 Microsoft Defender 代理程式從計算機收集數據。

  • 適用於端點的 Defender 代理程式會根據針對檔案完整性監視所定義的檔案和資源，從計算機收集數據。
  • 適用於端點的 Defender 代理程式收集的數據會儲存在 Log Analytics 工作區中的存取和分析。
  • 收集的檔案完整性監視數據是適用於伺服器之 Defender 方案 2 中 500 MB 權益的一部分。
  • 檔案完整性監視提供檔案/資源變更的詳細數據，包括變更的來源、帳戶詳細數據、誰進行變更的指示，以及起始程式的相關信息。

移轉至新的集合方法

請遵循步驟， 將檔案完整性監視 從使用 MMA 移轉至使用適用於端點的 Defender 代理程式。

設定檔案完整性監視

啟用適用於伺服器的 Defender 方案 2 之後，您可以啟用和設定檔案完整性監視。 依預設不會加以啟用。

  • 您可以選取 Log Analytics 工作區，在其中儲存受監視檔案/資源的變更事件。 您可以使用現有的工作區，或定義新的工作區。
  • 適用於雲端的 Defender 建議使用檔案完整性監視來監視資源，而且您可以自定義其他監視。
  • 選取工作區之後，您可以檢閱並自定義您想要監視的專案。 適用於雲端的 Defender 建議資源預設包含在檔案完整性監視清單中，而且您可以定義自己的資源。

選擇要監視的專案

適用於雲端的 Defender 建議使用檔案完整性監視來監視實體，而且您可以定義自己的實體。 選擇要監視的檔案時：

  • 請考慮對於系統和應用程式而言非常重要的檔案。
  • 監視不會未經計劃就變更的檔案。
  • 如果您選擇應用程式或作業系統經常變更的檔案 (例如記錄檔和文字檔)，變更追蹤會建立不必要的資訊，導致難以識別攻擊。

搭配適用於 Endpoing 的 Defender 使用檔案完整性監視時，建議您根據已知的攻擊模式監視這些專案。

Linux 檔案 Windows 檔案 Windows 登錄機碼 (HKLM = HKEY_LOCAL_MACHINE)
bin/ C:\config.sys SOFTWARE\Microsoft\Cryptography\OID*
/bin/passwd C:\Windows\regedit.exe SOFTWARE\WOW6432Node\Microsoft\Cryptography\OID*
/boot C:\Windows\System32\userinit.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
/etc/*.conf C:\Windows\explorer.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
/etc/cron.daily C:\autoexec.bat HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
/etc/cron.hourly C:\boot.ini HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
/etc/cron.monthly C:\Windows\system.ini HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
/etc/cron.weekly C:\Windows\win.ini SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
/etc/crontab SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows\
/etc/init.d SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Shell 資料夾
/opt/sbin SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\User Shell 資料夾
/sbin SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
/usr/bin SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce
/usr/local/bin SECURITY\POLICY\SECRETS
/usr/local/sbin
/usr/sbin
/bin/login
/opt/bin

下一步

使用適用於端點的 Defender 啟用檔案完整性監視）