[KB6119] Конфигуриране на HIPS правила в бизнес приложенията на ESET или чрез ESET PROTECT или ESET PRTOECT On-Prem

Издание

• Конфигуриране на допълнителни HIPS правила в следните бизнес приложения на ESET за Windows или създаване на политика в ESET PROTECT или ESET PROTECT On-Prem с допълнителни HIPS настройки за защита срещу зловреден софтуер ransomware (filecoder)
  • ESET Endpoint Security за Windows
  • ESET Endpoint Antivirus за Windows
  • ESET Mail Security за Microsoft Exchange Server
  • ESET Server Security за Microsoft Windows Server
• Ръчно създаване на политика на ESET PROTECT или ESET PROTECT On-Prem / конфигуриране на настройките в бизнес приложенията на ESET
• Изтеглете и импортирайте политиката на ESET PROTECT или ESET PROTECT On-Prem

Подробности

Решение

Създайте ръчно политика на ESET PROTECT или ESET PROTECT On-Prem / конфигурирайте настройките в бизнес приложенията на ESET

1. Отворете редактора на HIPS правилата в съветника за политики или конфигурацията на ESET приложенията:

   ---

   ESET PROTECT или ESET PROTECT On-Prem политика

   
   

   1. Open the ESET PROTECT Web Console.

   2. Създаване.

   3. В раздела Настройки изберете ESET Endpoint for Windows от падащото меню. Щракнете върху HIPS и щракнете върху Edit (Редактиране) до Rules (Правила).

      

   ---

   Приложение на ESET

   
   

   1. Отворете.

   2. Натиснете клавиша F5, за да получите достъп до Разширена настройка.

   3. Щракнете върху HIPS и щракнете върху Edit (Редактиране) до Rules (Правила).

      

   ---

2. Щракнете върху опцията (I. до VII.), за да разширите всеки раздел по-долу, за да създадете всички допълнителни HIPS правила.

   ---

   
   

   I. Отказване на процеси от изпълними скриптове

   1. В прозореца с правила на HIPS щракнете върху Добавяне.

      

   2. Въведете Deny child processes from script executables (Отказване на детски процеси от изпълними скриптове ) в полето Rule name (Име на правило). От падащото меню Action (Действие) изберете Block (Блокиране). Щракнете върху превключвателя до Applications (Приложения), Enabled (Разрешено) и Notify user (Уведомяване на потребителя), за да разрешите тези настройки. От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Windows\System32\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
        
        

      Щракнете върху Next.

      

   4. В прозореца Application operations (Операции с приложения) щракнете върху превключвателя до Start new application (Стартиране на ново приложение), за да го активирате, и щракнете Next (Напред).

      

   5. Изберете All applications (Всички приложения) от падащото меню и щракнете Finish (Завършване).

      

   6. Оставете прозореца с правилата на HIPS отворен и продължете към следващия раздел.

   ---

   
   

   II. Отказване на скриптови процеси, стартирани от Explorer

   1. В прозореца с правила на HIPS щракнете върху Добавяне.

   2. Въведете Deny script processes started by explorer (Отказване на скриптови процеси, стартирани от Explorer ) в полето Rule name (Име на правилото).

      От падащото меню Action (Действие) изберете Block (Блокиране).

      Активирайте превключвателя до Applications (Приложения).

      От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне), въведете C:\Windows\explorer.exe в полето Specify file path (Посочете пътя на файла) и щракнете върху OK → Next (Напред).

      

   4. В прозореца Application operations (Операции с приложения) щракнете върху превключвателя до Start new application (Стартиране на ново приложение), за да го активирате, и щракнете върху Next (Напред).

      

   5. В прозореца Applications (Приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Windows\System32\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\SysWOW64\cscript.exe
        
        

      Щракнете върху Завършване.

      

   6. Оставете прозореца с правилата на HIPS отворен и продължете към следващия раздел.

   ---

   
   

   III. Отказване на дъщерни процеси от процесите на Office 2024

   1. В прозореца с правила на HIPS щракнете върху Добавяне.

   2. Въведете Deny child processes from Office 2024 processes (Отказ на подчинени процеси от процеси на Office 2024 ) в полето Rule name (Име на правилото). От падащото меню Action (Действие) изберете Block (Блокиране). Щракнете върху превключвателя до Applications (Приложения), Enabled (Разрешено) и Notify user (Уведомяване на потребителя), за да разрешите тези настройки. От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
      • C:\Program Files\Microsoft Office\root\Office16\OUTLOOK.EXE
      • C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE
      • C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\WINWORD.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\OUTLOOK.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\EXCEL.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\POWERPNT.EXE
        
        

      Щракнете върху " Напред".

      

   4. В прозореца Application operations (Операции с приложения) щракнете върху превключвателя до Start new application (Стартиране на ново приложение), за да го активирате, и щракнете Next (Напред).

      

   5. В прозореца Приложения щракнете върху Добавяне и въведете следните имена, като щракнете върху OK → Добавяне след всяко от тях:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\System32\regsvr32.exe
      • C:\Windows\SysWOW64\regsvr32.exe
      • C:\Windows\System32\rundll32.exe
      • C:\Windows\SysWOW64\rundll32.exe
        
        

      Щракнете върху Завършване.

      

   6. Добавете допълнителни версии на Office, ако е необходимо, като повторите същите инструкции, както по-горе.

      • 2013 = Office15(C:\Program Files (x86)\Microsoft Office\Office15\...)
      • 2010 = Office14
        
        

   7. Оставете прозореца с правилата на HIPS отворен и продължете към следващия раздел.

   ---

   
   

   IV. Забрана на подчинените процеси за regsrv32.exe

   1. В прозореца с правила на HIPS щракнете върху Add (Добавяне).

   2. Въведете Deny child processes for regsrv32.exe в полето Rule name (Име на правилото).

      От падащото меню Action (Действие) изберете Block (Блокиране).

      Щракнете върху превключвателя до следните настройки, за да ги разрешите:

      • Приложения
      • Разрешено
      • Уведомяване на потребителя
        
        

      От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Windows\System32\regsvr32.exe
      • C:\Windows\SysWOW64\regsvr32.exe
        
        

      Щракнете върху Next.

      

   4. В прозореца Application operations (Операции с приложения) щракнете върху превключвателя до Start new application (Стартиране на ново приложение), за да го разрешите, и щракнете върху Next (Напред).

      

   5. В прозореца Приложения щракнете върху Добавяне и въведете следните имена, като щракнете върху OK → Добавяне след всяко от тях:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        
        

      Щракнете върху Завършване.

      

   6. Оставете прозореца с правилата на HIPS отворен и продължете към следващия раздел.

   ---

   
   

   V. Забрана на подчинените процеси за mshta.exe

   1. В прозореца с правила на HIPS щракнете върху Добавяне.

   2. Въведете Deny child processes for mshta.exe в полето Rule name (Име на правилото).

      От падащото меню Action (Действие) изберете Block (Блокиране).

      Щракнете върху превключвателя до следните настройки, за да ги разрешите:

      • Приложения
      • Разрешено
      • Уведомяване на потребителя
        
        

      От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Windows\System32\mshta.exe
      • C:\Windows\SysWOW64\mshta.exe
        
        

      Щракнете върху Next (Напред).

      

   4. В прозореца Application operations (Операции с приложения) щракнете върху превключвателя до Start new application (Стартиране на ново приложение), за да го разрешите, и щракнете върху Next (Напред).

      

   5. Изберете All applications (Всички приложения) от падащото меню и щракнете Finish (Завършване).

   6. Оставете прозореца с правилата на HIPS отворен и продължете към следващия раздел.

   ---

   
   

   VI. Забрана на дъщерни процеси за rundll32.exe

   1. В прозореца с правила на HIPS щракнете върху Добавяне.

   2. Въведете Deny child processes for rundll32.exe в полето Rule name (Име на правилото).

      От падащото меню Action (Действие) изберете Block (Блокиране).

      Щракнете върху превключвателя до следните настройки, за да ги разрешите:

      • Приложения
      • Разрешено
      • Уведомяване на потребителя
        
        

      От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне), въведете C:\Windows\System32\rundll32.exe в полето Specify file path (Посочете пътя на файла) и щракнете върху OK → Next (Напред).

      

   4. В прозореца Application operations (Операции с приложения) щракнете върху превключвателя до Start new application (Стартиране на ново приложение), за да го активирате, и щракнете върху Next (Напред).

      

   5. В прозореца Applications (Приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        
        

      Щракнете върху Завършване.

      

   6. Оставете прозореца с правилата на HIPS отворен и продължете към следващия раздел.

   ---

   
   

   VII. Забрана на подчинените процеси за powershell.exe

   1. В прозореца с правила на HIPS щракнете върху Добавяне.

   2. Въведете Deny child processes for powershell.exe в полето Rule name (Име на правилото).

      От падащото меню Action (Действие) изберете Block (Блокиране).

      Щракнете върху превключвателя до следните настройки, за да ги разрешите:

      • Приложения
      • Разрешено
      • Уведомяване на потребителя
        
        

      От падащото меню Logging severity (Сила на регистриране) изберете Warning (Предупреждение) и щракнете върху Next (Напред).

      

   3. В прозореца Source applications (Източни приложения) щракнете върху Add (Добавяне) и въведете следните имена, като щракнете върху OK → Add (Добавяне) след всяко от тях:

      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SystemWOW64\WindowsPowerShell\v1.0\powershell.exe
        
        

      Щракнете върху " Напред".

      

   4. В прозореца Операции с приложения щракнете върху превключвателя до Стартирай ново приложение, за да го активирате, и щракнете Напред.

      

   5. Изберете All applications (Всички приложения) от падащото меню и щракнете Finish (Завършване).

   ---

3. Ако създавате политика, в прозореца HIPS rules (Правила на HIPS) щракнете върху OK и завършете съветника за създаване на политика.

   Ако конфигурирате бизнес приложение на ESET, щракнете върху ОК → ОК.

Изтеглете и импортирайте политиката на ESET PROTECT или ESET PROTECT On-Prem

Политиката ESET PROTECT или ESET PROTECT On-Prem за бизнес приложения на ESET с допълнителни HIPS настройки за защита от зловреден софтуер ransomware (filecoder) може да бъде изтеглена от връзките по-долу. Политиките са налични само за последната версия на приложенията на ESET. Съвместимостта с по-ранни версии не може да бъде гарантирана.

1. Изтеглете Политиката за допълнителна HIPS защита на ESET PROTECT или ESET PROTECT On-Prem за:

   • ESET Endpoint Security/ESET Endpoint Antivirus for Windows
   • ESET Server Security за Microsoft Windows Server
   • ESET Mail Security за Microsoft Exchange Server

2. Open the ESET PROTECT Web Console.

3. Отворете прозореца за импортиране на политики:

   ---

   ESET PROTECT

   
   

   Щракнете върху Конфигурация → Разширена настройка → Действия → Импортиране.

   

   ---

   ESET PROTECT On-Prem

   
   

   Щракнете върху Политики → Действия → Импортиране.

   

   ---

4. Щракнете върху Choose file to upload (Изберете файл за качване), изберете изтеглената политика и щракнете върху Import (Импортиране).

   

5. Задайтеполитиката на клиент или задайте политиката на група.