скрипт для моніторингу, якщо файл змінюється в межах зліку

Я намагаюся створити скрипт для моніторингу, якщо ім'я файлу змінюється в певній теці, а потім, якщо це правда, ініціює вимкнення цього пристрою.

Вся ідея полягає в тому, щоб бути на крок попереду криптолокерів.

Якщо вони все одно зможуть отримати доступ до нашої мережі і запустити програмне забезпечення для шифрування, тоді, коли ім'я файлу зміниться, пристрій просто закриється.

Хто-небудь вже виконував такий сценарій? Будь-яка рада вітається (я не знаю багато про написання сценарію)

Дякую!

Опублікувати оновлення

Дійсно, SO буде Windows. Вся ідея полягає в тому, щоб встановити цей сценарій на спільних серверах і в важливі папки, щоб створити папку, яка повинна містити конкретний файл. Цей файл буде перевірятися через скрипт, і в будь-який момент, коли ім'я цього файлу буде змінено, дія повинна бути $ shutdown.exe / f / r / t 00 Таким чином, скрипт буде відстежувати лише один файл (скажімо file.xyz) з однієї папки, і поки ім'я файлу не змінюється, скрипт повинен працювати тільки в циклі. І так, скрипт повинен працювати на таймер, щоб регулярно перевіряти конкретний файл. Для застосування сценарію на цільових серверах - ми використовуємо N-Central - і ми можемо розгортати скрипт з N-Central.

script

— Cornel Stirbu
джерело

Не могли б ви бути більш конкретними про ОС, де ви хочете, щоб це програмне забезпечення було запущено?

— jcbermu

Я думаю, що ОС буде Windows (основна мета криптолокери ). Ви вже думали про те, як вимкнути "пристрій". Наприклад, Locky також сканує і пошкодить unmapped розташування в мережі. Отже, у цьому випадку весь доступ до мережі повинен бути вимкнений, тому що ви не можете "вимкнути" віддалений комп'ютер легко.

— Rik

А ви думали про те, що ім'я файлу ви будете дивитися (з якого файлу). Ви не можете дивитися їх на всі зміни, оскільки це може викликати скрипт майже кожну секунду (для власних змін у імені файлу та для самої Windows). І якщо ви просто вибираєте файл, який не змінює, ви майже завжди надто пізно. Ці криптокодери вже зашифрували половину диска (або мережеве розташування). Краще просто мати хороший сканер (і політика не просто запускати все без перевірки).

— Rik

Будь ласка, зверніть увагу, що superuser.com це не безкоштовна служба написання скриптів / кодів. Якщо ви розповісте нам про те, що ви пробували до цього часу (включайте скрипти / код, який ви вже використовуєте), і де ви застрягли, ми можемо спробувати допомогти з певними проблемами. Ви також повинні прочитати Як мені поставити хороше запитання? .

— DavidPostill

Розглянемо лише отримання реального програмного забезпечення, призначеного для захисту вас, яке було б набагато більш надійним. Щось на зразок WinAntiRansom від людей WinPatrol.

— fixer1234

.NET Framework надає a FileSystemWatcher class, який спрацьовує події при певних змінах файлової системи. Я використовував його для написання служби передачі файлів для робочого проекту, і він добре працює. Ось a підручник для служби "спостерігача за папками", яка повинна дати вам уявлення про те, що вона може зробити і чи хочете ви піти цим шляхом.

Наскільки я знаю, інший варіант полягає в тому, щоб написати сценарій, який працює на таймер або нескінченний цикл і регулярно перевіряє, чи файли в певній теці шукають зміни. Це могло бути написане будь-якою кількістю мов, але було б менш елегантним рішенням.

— T_Bacon
джерело

Гей T_Bacon, Tx для вашої реакції. Дійсно, що я думав про це сценарій, який працює на таймер або нескінченний цикл. Наразі ми знаходимося на етапі дегустації, і ці сими - легке рішення. Можливо, у вас ще є такий сценарій, щоб я почав звідти?

— Cornel Stirbu

@CornelStirbu - боюся, що у мене немає скрипта, який перериває файли в каталозі. Вона не повинна бути занадто складною для реалізації, але я впевнений, що в Інтернеті є хороші приклади, якщо їх шукати.

— T_Bacon

Є багато прикладів. Ось мій перший хіт у Google: superuser.com/questions/226828/… Але я до сих пір думаю, що це неправильний підхід, тому що, коли цей сценарій викликає пошкодження майже напевно вже зроблено.

— Rik

@ rik - Я зрозумів вашу думку про наш підхід до цієї проблеми. Ми можемо, наприклад, зробити 2 або 3 папки, які слід завжди контролювати за допомогою сценарію. Один, який буде першим у списку папок для спільного доступу (.folder), який буде останнім (zFolder), і коли удар cryptolock буде ініціювати вимикання для обмеження збитку. Ми все одно використовуємо резервну копію Veeam, але якщо атака відбувається у відпустці чи так, іноді ми не можемо повернутися досить далеко ...

— Cornel Stirbu