בדיקת תקינות למנגנון ה-Live Guard במערכת הפעלה Linux
פירוט
במדריך זה נסביר כיצד לבצע בדיקה למנגנון ה-Live Guard במערכת ההפעלה Linux.
במידה ומנגנון ה-Live Guard לא הופעל על התחנות יש להפעילו לפי המדריך הבא ולאחר מכך לחזור למדריך זה.
תוכן
על מנת לבדוק את מנגנון ה-Live Guard במערכת הפעלה Linux נעזר בקבצים מוכנים מראש שנועדו לדמות קבצים חשודים ולא מזוהים על מנת שישלחו לבדיקה ב-Sandbox.
1. תחילה, צרו שתי תיקיות חדשות במערכת הקבצים כאשר תיקייה אחת תוחרג מסריקת מנגנון ה-Real Time ותשמש להורדת הקבצים וחילוצם והתיקייה השניה תשמש לבדיקה עצמה של המנגנון.
2. כעת ניצור החרגה עבור תיקיית Test1 ממנגנון ה-Real Time על מנת שנוכל להוריד את הקבצים ללא זיהוי שלהם ומחיקתם.
יש ליצור Policy חדש בממשק הניהול בשם Linux Live Guard Test.
3. תחת לשונית Settings בחרו ב-Policy עבור מוצר Endpoint Security for Linux (V7+) והחריגו את התיקייה Test1 ממנגנון ה-Real Time תחת Detection Engine ב-Performance Exclusions.
בחלון שיפתח לאחר הלחיצה על Edit לחצו על Add על מנת להוסיף החרגה חדשה ונזין את הנתיב של תיקיית Test1.
יש ללחוץ על OK כדי לשמור את השינויים ואז על Save ולאחר מכן על Continue בתחתית המסך.
4. בלשונית Assign בחרו את תחנת העבודה עליה נרצה לבצע את הבדיקה עבור מנגנון ה-Live Guard ולסיום לחצו על Finish.
שימו לב: יש להמתין מספר דקות עד שה-Policy יחול על התחנה כדי להמשיך לסעיף הבא עד שה-Agent יתקשר מול ממשק הניהול וימשוך את ה-Policy שהגדרנו.
ניתן לצמצם את הזמן על ידי שליחת Wake Up Call לתחנה.
5. לאחר שהפוליסי חל, התחברו לתחנה והורידו את קבצי הבדיקה לתיקייה Test1 באמצעות הפקודה wget.
הריצו מתוך התיקייה את הפקודה הבאה:
wget http://help.eset.com/eset_tools/EdtdTestFileLinux.zip
פקודה זו תוריד לתחנה קובץ בשם EdtdTestFileLinux.zip.
6. יש לחלץ את הקובץ באמצעות הפקודה unzip, הריצו מתוך התיקייה את הפקודה הבאה:
unzip EdtdTestFileLinux.zip
בעת חילוץ הקובץ תידרשו להזין סיסמה שמגנה על הקובץ, הסיסמה היא infected.
לאחר החילוץ יופיע בתיקייה קובץ בשם: create_eicar.bin.
7. כעת הוסיפו ערך ייחודי לקובץ הבדיקות על מנת לשנות לו את ה-Hash, הריצו את הפקודה הבאה בנתיב בו נמצא הקובץ:
date >> create_eicar.bin
8. קובץ הבדיקות מוכן לשימוש, יש להעביר אותו לתיקיית Test2 שהיא איננה מוחרגת ממנגנון ה-Real Time באמצעות הפקודת הבאה:
mv create_eicar.bin /home/lab/Test2
לאחר מעבר הקובץ היכנסו לממשק הניהול, לתחנה עליה ביצענו את הבדיקות והיכנסו ללשונית Detection and Quarantine ולאחר מכן לללשונית Submitted Files.
בלשונית זו תוכלו לראות את כל קבצי הבדיקה שנשלחו ל-Sandbox לצורך אנליזה, בסיום הבדיקה מחקו את התיקיות שיצרתם.
חשוב מאוד להסיר את ה-Policy שיצרנו עבור ההחרגה בסיום הבדיקה על מנת שמנגנון ה-Real Time יוכל לסרוק את מערכת הקבצים בתחנה ללא החרגות.