进程控制文件规则

这是进程和文件保护的默认模式。零漂移自动仅允许来自原始容器镜像中的父进程的进程，并不允许文件更新或安装新文件。在发现或监控模式下，零漂移会对任何可疑的进程或文件活动发出警报。在保护模式下，它将阻止此类活动。零漂移不需要学习或添加进程到允许列表。为一个组禁用零漂移将导致该组列出的进程和文件规则生效。

在策略 → 组的控制台中可以启用/禁用零漂移模式。可以选择多个组来切换所有选定组的此设置。

可以禁用零漂移，切换到基本进程保护。基本保护根据每个组列出的进程和/或文件规则强制执行进程/文件活动。这意味着必须有一份进程规则和/或文件规则的列表，以便进行保护。规则可以通过行为学习在发现模式下自动创建，也可以通过控制台或 REST API 手动创建，或者通过应用 CRD 程序化创建。在启用基本模式的情况下，如果没有规则，所有活动将在监控或保护模式下被警报/阻止。

进程控制文件规则使用基线学习来控制应允许在一组容器（即一个组）中运行的进程。在微服务环境的正常条件下，对于具有特定镜像的容器，只有特定用户的有限进程会运行。如果容器受到攻击，恶意攻击者可能会启动一些在此容器中通常未见的新程序。这些异常事件可以通过 SUSE® Security 检测，并生成警报和行动（另见响应规则）。

当服务组处于发现（学习）模式时，将学习并记录进程基线信息。在监控或保护模式下，如果新启动了一个之前未见过的进程，或者一个旧进程由不同的用户启动，该事件将在监控模式下被检测并警报，或在保护模式下被警报和阻止。用户可以根据需要手动修改学习的控制文件以允许或拒绝（白名单或黑名单）进程。

请注意，除了基线进程外，SUSE® Security 还内置了对常见可疑进程（如 nmap、反向 shell 等）的检测。这些将被检测并警报/阻止，除非为每个容器服务明确列入白名单。

特殊保留组“节点”可以配置以在集群中的每个节点（主机）上强制执行进程控制文件规则。选择组“节点”，并查看进程规则，如有需要进行编辑。然后将保护模式切换为监控或保护。“本地”（学习的）进程规则列表是在发现模式下，集群中所有节点的所有进程的组合。

对于用户定义的自定义组，进程规则（如有需要）必须手动添加。自定义组不会自动学习进程规则。

进程规则可以存在于用户定义的自定义组以及自动学习的组中。为自定义组创建的规则优先于自动学习组的规则。

在任何组内的进程规则列表中，控制台中的规则顺序决定其优先级。列出的顶部规则会优先匹配，而不是下面的规则。

名称和路径都包含通配符的进程规则优先于其他允许操作的规则。不允许使用两个通配符的拒绝操作，以避免阻止所有进程。

具有拒绝操作和名称中包含通配符的进程规则将优先于名称中包含通配符的允许操作。

如果 a) 进程匹配拒绝规则，或 b) 进程不在允许规则列表中，则：

可以为同一进程创建多个规则。规则按顺序执行，第一个匹配的规则将被执行。

示例： 允许 ping 进程从任何目录运行

违规将记录在通知 → 安全事件中。

以下内置检测在 SUSE® Security 中自动启用。

此外，以下检测已启用：

在发现或监控模式下，可疑的进程会发出警报，而在保护模式下则会被阻止。检测适用于容器和主机，唯一的例外是 'sshd'，在主机上不被视为可疑。上述进程可以被添加到容器（组）的允许列表中，包括主机，如果它应该被允许的话。