Поделиться через

Проверка изменений в мониторинге целостности файлов

  • Статья

В Defender for Server Plan 2 в Microsoft Defender для облака функция мониторинга целостности файлов помогает обеспечить безопасность корпоративных ресурсов и ресурсов путем сканирования и анализа файлов и сравнения их текущего состояния с предыдущими проверками.

Мониторинг целостности файлов использует агент Microsoft Defender для конечной точки для сбора данных с компьютеров в соответствии с правилами сбора. Defender для конечной точки по умолчанию интегрирован с Defender для облака.

Примечание.

Старый метод сбора данных использует агент Log Analytics (также известный как агент Microsoft Monitoring Agent (MMA)). Поддержка использования MMA завершится в ноябре 2024 года.

В этой статье показано, как просмотреть изменения файлов.

Необходимые компоненты

Мониторинг сущностей и файлов

Чтобы отслеживать сущности и файлы, выполните следующие действия.

  1. На боковой панели Defender для облака перейдите к мониторингу целостности файлов защиты рабочих>нагрузок.

    Снимок экрана: доступ к мониторингу целостности файлов в защитах рабочих нагрузок.

  2. Откроется окно со всеми ресурсами, содержащими отслеживаемые измененные файлы и реестры.

    Снимок экрана: результаты мониторинга целостности файлов.

  3. При выборе ресурса откроется окно с запросом, в котором отображаются изменения, внесенные в отслеживаемые файлы и реестры этого ресурса.

    Снимок экрана: запрос мониторинга целостности файлов.

  4. Если выбрать подписку ресурса (под именем подписки столбца), запрос откроется со всеми отслеживаемых файлами и реестрами в этой подписке.

Примечание.

Если вы ранее использовали мониторинг целостности файлов по MMA, вы можете вернуться к такому методу, выбрав "Изменить" на предыдущий интерфейс. Это будет доступно до тех пор, пока функция FIM по MMA не рекомендуется. Сведения о плане отмены см. в статье "Подготовка к выходу" агента Log Analytics.

Получение и анализ данных мониторинга целостности файлов

Данные мониторинга целостности файлов находятся в рабочей области Azure Log Analytics в MDCFileIntegrityMonitoringEvents таблице.

  1. Задайте диапазон времени, чтобы получить сводку изменений по ресурсам. В следующем примере мы извлекаем все изменения за последние 14 дней в категориях реестра и файлов:

    MDCFileIntegrityMonitoringEvents  
| where TimeGenerated > ago(14d)  
| where ConfigChangeType in ('Registry', 'Files')  
| summarize count() by Computer, ConfigChangeType

  2. Чтобы просмотреть подробные сведения об изменениях реестра, выполните следующие действия.

    1. Удалите Files из where предложения.

    2. Замените строку суммирования предложением упорядочивания:

    MDCFileIntegrityMonitoringEvents  
| where TimeGenerated > ago(14d)  
| where ConfigChangeType == 'Registry'  
| order by Computer, RegistryKey

  3. Отчеты можно экспортировать в CSV для архивации и передавать их в отчет Power BI для дальнейшего анализа.