AMP para valores-limite: Exclusões do processo no macOS e no Linux

Introdução

Começando com versão 1.11.0 do conector, o AMP para valores-limite está adicionando o apoio para exclusões do processo no macOS e no Linux. No passado, configurar o AMP para ignorar atividades de um macOS ou de um aplicativo de Linux exigiu uma combinação regras da exclusão do trajeto, da extensão de arquivo e/ou do convite. Desde que estes arquivos de destino e diretórios das regras e não podem ser associados com um programa ou um processo, as regras múltiplas foram precisadas frequentemente para cada programa e cada regra pode desnecessariamente excluir atividades de mais de um programa. As exclusões do processo fornecem uma maneira mais direta e mais precisa de excluir as atividades de um aplicativo. Quando usadas apropriadamente, as exclusões do processo podem significativamente melhorar o desempenho AMP com efeitos adversos mínimos na segurança de sistema.

As regras da exclusão do processo são controladas no AMP para o console de web dos valores-limite. Cada regra consiste:

• O trajeto (absoluto) completo ao programa executável,
• O nome de usuário do processo (opcional), e
• Se os processos filho devem igualmente ser excluídos (padrão: não)

Quando uma regra da exclusão do processo combina processo running, todas as atividades executadas por esse processo, e opcionalmente seus processos filho, estão excluídos da varredura.

IMPORTANTE!

Com a adição de exclusão do processo no Mac e nos conectores 1.11.0 de Linux, a interpretação do trajeto existente, das regras da extensão de arquivo e do convite igualmente está mudando. Não há nenhuma mudança no comportamento para 1.10.x e uns conectores mais velhos. Contudo, as mesmas regras em 1.11.0 não se aplicarão como amplamente. Refira mudanças da seção ao trajeto, regras da exclusão da extensão de arquivo e do convite para detalhes.

Preparação para exclusões do processo

Há três considerações importantes antes de promover seus macOS e valores-limite de Linux:

1. 1.10.x e uns conectores mais velhos ignoram regras da exclusão do processo.
2. 1.11.0 e umas regras mais novas da exclusão do processo da honra dos conectores mas interpretam o trajeto, extensão de arquivo e o convite ordena diferentemente do que uns conectores mais velhos. Isto pode adversamente afetar o desempenho de sistema.
3. O conector 1.10.0 do Mac e o conector 1.11.0 de Linux introduziram genérico em-executam as otimizações da varredura que abrandam a perda de desempenho da interpretação nova descrita em (2).

Mudanças às regras da exclusão do trajeto, da extensão de arquivo e do convite

Em 1.10.x e em versões mais velhas do conector: As regras do arquivo, do trajeto e do convite excluem o arquivo de destino ou o diretório da varredura para estas operações do arquivo:

• Crie
• Altere
• Rebatize
• Execute

Em 1.11.0 e em versões mais novas do conector: A interpretação de regras do trajeto, da extensão de arquivo e do convite mudou tais que em um fósforo, o arquivo executa provocará uma varredura em vez da exclusão. Arquive criam, alteram, e rebatizam continuam a ser excluídos. As motivações para esta mudança são:

1. Evita exclusão indesejável de executa a atividade ao excluir diretórios de arquivo de dados.
2. Melhores regras da exclusão do processo dos complementos tornando a possível excluir independentemente executa e NON-executa operações no mesmo trajeto.
3. Alinha o macOS e a interpretação de Linux destas regras com o AMP em Windows.

Na maioria dos casos, o aumento do USO de CPU do AMP é calculado para ser menos de 20%. Em alguns casos, o USO de CPU do AMP pode diminuir. Isto é possível se a versão nova do conector genérica em-executa otimizações da varredura é mais eficaz do que as regras da exclusão no uso.

Orientação da elevação do conector

Para os sistemas ajustados previamente usando exclusões, a atenção é precisada após o melhoramento a 1.11.0 (ou mais novo) para assegurar o desempenho de sistema é ainda satisfatória. As etapas da upgrade recomendado são:

1. Sem fazer nenhumas mudanças da exclusão, promova o conector.
2. Avalie o desempenho de sistema após a elevação.
3. Se desempenho de sistema depois que a elevação é satisfatória, remova as regras da exclusão do trajeto, da extensão de arquivo e do convite que programa de alvo executáveis em vez dos arquivos de dados. Aquelas regras são precisadas já não. As regras da exclusão do processo novo podem então ser adicionadas para melhorar mais o desempenho na conveniência.
4. Se o desempenho de sistema depois que a elevação não é satisfatória, substitui o trajeto, extensão de arquivo e exclusão do convite ordena esse programa de alvo executáveis com as regras da exclusão do processo correspondente. O desempenho de sistema deve melhorar a um nível que seja o mesmo ou melhor do que antes da elevação.

Nas disposições maiores onde os conectores são promovidos nas fases, recomenda-se adiar a alteração ou a remoção regras da exclusão do trajeto, da extensão de arquivo e do convite até que os conectores estejam promovidos afinal a 1.11.0 ou mais novo. Isto assegura-se de que os conectores mais velhos que confiam em regras existentes da exclusão não são afetados adversamente antes que o valor-limite esteja promovido.

Adicionando regras da exclusão do processo

As regras da exclusão do processo podem ser criadas usando o AMP para o portal da web dos valores-limite. O procedimento é:

1. Encontre que a exclusão o ajustou desejo para alterar. O `do clique adiciona o `da exclusão e o processo seleto do `: `da varredura de arquivo.
   
   
   
   
2. Entre no trajeto (absoluto) completo para que o programa exclua, a conta de usuário que executará o programa (opcional), e se a exclusão deve se aplicar a todos os processos filho criados pelo programa.
   
   
   
   
3. O `do clique adiciona o `da exclusão para adicionar mais regras (que repetem etapas 1-2), ou clica o `da salvaguarda do `para salvar o grupo da exclusão.
   
   
   

Melhores prática das exclusões do processo

• Nunca exclua o processo de inicialização: O processo de inicialização (isto é, `do launchd do `no macOS, `do `do init do `ou do systemd do `em Linux) é responsável para criar todos processos restantes no sistema e está na parte superior da hierarquia do processo. Com exclusão do processo de inicialização, e de todos seus processos de crianças, desabilitaria eficazmente a monitoração AMP.
• Especifique o usuário quando possível: Se o campo do usuário é saido vazio, a exclusão aplica-se a todo o processo que executa o programa especificado. Quando uma regra que se aplicasse a todo o usuário puder ser mais flexível, este escopo amplo poderia involuntariamente excluir a atividade que deve ser monitorada. Especificar o usuário é especialmente importante para as regras que se aplicam aos programas compartilhados tais como os motores do tempo de execução (por exemplo, `das Javas do `) e se passam pelo processo de script intérpretes (por exemplo, `do `da festança do `, do pitão do `). Especificar o usuário limita o espaço e dirige o AMP ignorar exemplos específicos ao monitorar outros exemplos.
• Evite a sobreposição entre regras da exclusão e do trajeto/extensão de arquivo/convite do processo: Ao excluir a execução de um programa da varredura, uma boa proteção manter é detectar alterações daquela varreduras de arquivo confiadas do programa e do disparador. Assegurar o trajeto especificado em uma regra da exclusão do processo não é coberto por uma regra do trajeto/extensão de arquivo/convite assegura-se de que a modificação de arquivo não esteja excluída involuntariamente da varredura. 

Diferenças da aplicação de Windows

Adicionando o apoio da exclusão do processo e reduzindo o espaço do trajeto, as regras da extensão de arquivo e do convite trazem o macOS e as exclusões de Linux em um alinhamento mais próximo com Windows. Contudo, há umas diferenças de implementação ainda importantes:

1. o macOS e as regras da exclusão do processo de Linux aceitam um nome de usuário opcional para acompanhar o caminho cheio executável do processo visto que Windows aceita um valor de hash opcional do SHA-256. Com exclusão de um processo por seu SHA-256 o valor de hash não é apoiado atualmente no macOS e no Linux.
2. Os motores do processo da atividade mal-intencionada e do sistema são exclusivos a Windows e assim que aqueles tipos da exclusão não estão disponíveis no macOS e no Linux.