RT Protect EDR для Linux 4.0.0.574
Новые возможности мониторинга и реагирования
Linux работает там, где бизнесу нельзя останавливаться: на нём стоят базы данных, веб-сервисы и внутренние системы компании. Защита таких серверов должна показывать, что на них происходит, давать возможность быстро реагировать и не мешать их работе.
Мы выпустили обновление агента RT Protect EDR для Linux, версию 4.0.0.574. Мы расширили возможности мониторинга и реагирования, повысили стабильность работы агента и улучшили совместимость с новыми ядрами и дистрибутивами.
Что нового
Быстрые блокировки в режиме kmod
Теперь в режиме kmod можно оперативно блокировать:
- запуск процессов по командной строке;
- доступ к файлам по пути или по SHA-256;
- сетевые соединения по IP-адресу, доменному имени и порту.
Для блокировок доступны настройка TTL, просмотр списка и удаление.
Мониторинг учётных записей пользователей
Агент отслеживает создание, удаление, изменение, блокировку и разблокировку учётных записей, а также изменения групп и диапазонов subuid/subgid.
Мониторинг автозапуска через cron
При добавлении и удалении cron-задач формируются события, поэтому изменения в автозапуске ПО не остаются незамеченными.
Мониторинг изменений конфигурации системного ПО
Агент следит за критичными конфигурационными файлами в каталоге /etc. В событие передаётся информация о произошедших изменениях.
Мониторинг журналов
Можно задавать файлы журналов для наблюдения и фильтровать строки по регулярным выражениям.
Сканирование памяти процессов
Добавлена команда memscan для YARA-сканирования памяти процесса по PID или UUID. Движок libyara обновлён до версии 4.5.5.
Новые дистрибутивы
Добавлена поддержка ALT Linux 11 и Oracle Linux 10.
Что улучшено
- Стабилизирован выбор IPv6-адреса при формировании информации о сетевых интерфейсах: меньше дублей и ошибок в инвентаризации.
- Повышена стабильность и снижено потребление системных ресурсов при фоновом YARA-сканировании файловой системы.
- Повышена надёжность обновления данных агента: меньше риска сбоев и простоев после установки новых версий.
- Полностью переработана загрузка и выгрузка модуля ядра, добавлены дополнительные проверки для более безопасного процесса.
- Оптимизировано сопоставление файловых путей с правилами агента.
- Оптимизированы eBPF-программы для прохождения лимита верификатора на старых ядрах.
В релиз вошли и другие небольшие доработки.
Как обновиться
Рекомендуем обновить агенты RT Protect EDR для Linux до версии 4.0.0.574, чтобы получить новые возможности мониторинга и реагирования.
