Väljaanne
- Te soovite konfigureerida täiendavaid HIPS-eeskirju järgmistes ESETi Windowsi äritoodetes või luua ESET PROTECTis või ESET PROTECT On-Premis täiendavate HIPS-seadistustega poliitika, et kaitsta lunavara pahavara (filecoder) eest
- ESET Endpoint Security
- ESET Endpoint Antivirus
- ESET Mail Security Microsoft Exchange Serverile
- ESET File Security Microsoft Windows Serverile
- ESET PROTECT Policy käsitsi loomine/seadete konfigureerimine ESETi äritoodetes
- ESET PROTECTi poliitika allalaadimine ja importimine
Click an image to open the ESET Knowledgebase article for anti-ransomware best practices and additional product configurations:
Details
Klõpsake laiendamiseks
ESET Host-based Intrusion Prevention System (HIPS) on lisatud ESET Endpoint Security, ESET Endpoint Antivirus, ESET Mail Security for Microsoft Exchange Server ja ESET File Security for Microsoft Windows Server. HIPS jälgib süsteemi tegevust ja kasutab eelnevalt määratletud reeglistikku, et tuvastada süsteemi kahtlast käitumist.
Kui selline tegevus tuvastatakse, peatab HIPS-i enesekaitse mehhanism rikkuva programmi või protsessi potentsiaalselt kahjuliku tegevuse. Keelates JavaScripti ja muude skriptide tavapärase täitmise, ei saa lunavara alla laadida ega käivitada. Et aidata veelgi paremini ära hoida lunavara pahavara kasutamist teie Windowsi süsteemides, looge HIPSiga uusimates ESETi äritoodetes järgmised reeglid või looge ja rakendage ESET PROTECT Policy'i.
Lahendus
Looge käsitsi ESET PROTECT Policy/konfigureerige seaded ESETi äritoodetes
- Avage ESET PROTECT või ESET PROTECT On-Prem. Klõpsake rippmenüüst Quick Links (Kiirviited ) nuppu Create New Policy.....
Kui kasutate ESETi äritoodet ilma kaugjuhtimiseta, avage oma ESETi Windowsi toote peaprogrammi aken ja vajutage klahvi F5, et pääseda Advanced setup'ile. Jätkake sammu 3 juurde. - Klõpsake Seaded ja valige rippmenüüst Select product... üks järgmistest ESETi äritoodetest koos HIPSiga:
-
- ESET Endpoint for Windows.
- ESET File Security for Windows Server (V6+).
- ESET Mail Security for Microsoft Exchange (V6+).
Uues aknas suuremalt kuvale klõpsates saate seda vaadata
- Klõpsake nuppu Detection Engine(Computer in ESET Mail Security for Microsoft Exchange Server) → HIPS. Klõpsake Reeglite kõrval nuppu Edit (Muuda) .
Uues aknas suuremalt vaatamiseks klõpsake pildil
Klõpsake valikut (I. kuni VII.), et laiendada iga allpool olevat jaotist, et luua HIPS-reeglid soovitatud protsesside jaoks.
I. Keelata protsesside skriptide käivitamine
- Klõpsake HIPS-reeglite aknas nuppu Add (Lisa).
-
Kirjutage väljale Rule name (Reegli nimi ) Deny child processes from script executables (Keelata lapselisi protsesse skriptide käivitatavatest fail idest). Valige rippmenüüst Action (Toiming ) valik Block (Bloke). Nende seadete lubamiseks klõpsake lülitit Applications, Enabled ja Notify user kõrval. Valige rippmenüüst Logimise raskusaste (Logging severity ) valik Warning ja klõpsake Next.
-
Klõpsake aknas Source applications (Läherakendused ) nuppu Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Windows\System32\wscript.exe: C:\Windows\System32\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exe
Klõpsake nuppu Next.
- Aknas Application operations (Rakenduse toimingud ) klõpsake selle lubamiseks nuppu Start new application (Käivita uus rakendus ) ja klõpsake Next (Edasi).
- Valige rippmenüüst All applications ja klõpsake Finish.
- Jätke HIPS-reeglite aken avatuks ja jätkake järgmise jaotisega.
II. Keelata exploreri poolt käivitatud skriptiprotsessid
- Klõpsake HIPS-reeglite aknas nuppu Add.
-
Kirjutage väljale Rule name (Reegli nimi ) Deny script processes started by explorer (Keelata exploreri poolt käivitatud skriptiprotsesse ).
Valige rippmenüüst Action (Toiming ) valik Block (Bloke).
Klõpsake lüliti kõrval oleval nupul:
Valige rippmenüüst Logimise raskusaste (Logging severity ) valik Warning (hoiatus ) ja klõpsake nuppu Next (edasi).
- Klõpsake aknas Source applications (Lähterakendused ) nuppu Add (Lisa), sisestage väljal Specify file path (Määrake failipolku ) faili C:\Windows\explorer.exe ja klõpsake OK → Next (Edasi).
- Aknas Application operations (Rakendustoimingud ) klõpsake selle lubamiseks Start new application (Käivita uus rakendus ) kõrval oleval lülitusel ja klõpsake Next (Edasi).
-
Aknas Applications (Rakendused ) klõpsake Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Windows\System32\wscript.exe: C:\Windows\System32\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\SysWOW64\cscript.exe
Klõpsake nuppu Finish.
- Jätke HIPS-reeglite aken avatuks ja jätkake järgmise lõiguga.
III. Office 2013/2016 protsesside allprotsesside keelamine
- Klõpsake HIPS-reeglite aknas nuppu Add.
-
Kirjutage väljale Rule name (Reegli nimi ) Deny child processes from Office 2013 processes (Keelata Office 2013 protsesside lapselisi protsesse ). Valige rippmenüüst Action (Toiming ) valik Block (Bloke). Nende seadete lubamiseks klõpsake lülitit Applications, Enabled ja Notify user kõrval. Valige rippmenüüst Logimise raskusaste (Logging severity ) valik Warning ja klõpsake Next.
-
Klõpsake aknas Source applications (Läherakendused ) nuppu Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Programmifailid\Microsoft Office\Office15\WINWORD.EXEC:\Programmifailid\Microsoft Office\Office15\OUTLOOK.EXEC:\Programmifailid\Microsoft Office\Office15\EXCEL.EXEC:\Programmifailid\Microsoft Office\Office15\POWERPNT.EXEC:\Programmifailid (x86)\Microsoft Office\Office15\WINWORD.EXEC:\Programmifailid (x86)\Microsoft Office\Office15\OUTLOOK.EXEC:\Programmifailid (x86)\Microsoft Office\Office15\EXCEL.EXEC:\Programmifailid (x86)\Microsoft Office\Office15\POWERPNT.EXE
Klõpsake nuppu Next.
- Aknas Application operations (Rakenduse toimingud ) klõpsake selle lubamiseks lülitit Start new application (Alusta uut rakendust ) ja klõpsake Next (Edasi).
-
Rakenduste aknas klõpsake nuppu Add ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add :
C:\Windows\System32\cmd.exe: C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exeC:\Windows\System32\regsvr32.exeC:\Windows\SysWOW64\regsvr32.exeC:\Windows\System32\rundll32.exeC:\Windows\SysWOW64\rundll32.exe
Klõpsake nuppu Finish.
-
Lisage vajaduse korral täiendavaid Office'i versioone, korrates samu juhiseid nagu eespool.
- 2016 = Office16 (C:\Program Files (x86)\Microsoft Office\Root\Office16\...)
- 2010 = Office14
-
Jätke HIPS-reeglite aken avatuks ja jätkake järgmise lõiguga.
IV. Regsrv32.exe lapseliste protsesside keelamine
- Klõpsake HIPS-eeskirjade aknas nuppu Add.
-
Kirjutage väljale Rule name (Reegli nimi ) Deny child processes for regsrv32.exe.
Valige rippmenüüst Action (Toiming ) valik Block (Bloke).
Nende lubamiseks klõpsake järgmiste seadete kõrval oleval lülitusel:
- Rakendused
- Enabled
- Teavita kasutajat
Valige rippmenüüst Logimise raskusaste valik hoiatus ja klõpsake nuppu Next.
-
Klõpsake aknas Source applications (Läherakendused ) nuppu Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Windows\System32\regsvr32.exe: C:\Windows\System32\regsvr32.exeC:\Windows\SysWOW64\regsvr32.exe
Klõpsake nuppu Next.
- Aknas Application operations (Rakendustoimingud ) klõpsake selle lubamiseks lülitit Start new application (Käivita uus rakendus ) kõrval ja klõpsake Next (Edasi).
-
Rakenduste aknas klõpsake nuppu Add ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add :
C:\Windows\System32\cmd.exe: C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Klõpsake nuppu Finish.
- Jätke HIPS-reeglite aken avatuks ja jätkake järgmise lõiguga.
V. Keelata mshta.exe lapselised protsessid
- Klõpsake HIPS-reeglite aknas nuppu Add.
-
Kirjutage väljale Rule name (Reegli nimi ) Deny child processes for mshta.exe.
Valige rippmenüüst Action (Toiming ) valik Block (Bloke).
Nende lubamiseks klõpsake järgmiste seadete kõrval oleval lülitusel:
- Rakendused
- Enabled
- Teavita kasutajat
Valige rippmenüüst Logimise raskusaste valik hoiatus ja klõpsake nuppu Next.
-
Klõpsake aknas Source applications (Läherakendused ) nuppu Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Windows\System32\mshta.exe: C:\Windows\System32\mshta.exeC:\Windows\SysWOW64\mshta.exe
Klõpsake nuppu Next.
- Aknas Application operations (Rakendustoimingud ) klõpsake selle lubamiseks lülitit Start new application (Käivita uus rakendus ) kõrval ja klõpsake Next (Edasi).
- Valige rippmenüüst All applications ja klõpsake Finish.
- Jätke HIPS-reeglite aken avatuks ja jätkake järgmise jaotisega.
VI. Rundll32.exe lapseliste protsesside keelamine
- Klõpsake HIPS-reeglite aknas nuppu Add.
-
Kirjutage väljale Rule name (Reegli nimi ) Deny child processes for rundll32.exe.
Valige rippmenüüst Action (Toiming ) valik Block (Bloke).
Nende lubamiseks klõpsake järgmiste seadete kõrval oleval lülitusel:
- Rakendused
- Enabled
- Teavita kasutajat
Valige rippmenüüst Logimise raskusaste valik hoiatus ja klõpsake nuppu Next.
- Klõpsake aknas Source applications (Läherakendused ) nuppu Add (Lisa), sisestage lahtrisse Specify file path (Määra faili tee) faili
C:\Windows\System32\rundll32.exeja klõpsake OK → Next (Edasi).
- Aknas Application operations (Rakendustoimingud ) klõpsake selle lubamiseks Start new application (Käivita uus rakendus ) kõrval oleval lülitusel ja klõpsake Next (Edasi).
-
Aknas Applications (Rakendused ) klõpsake Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Windows\System32\cmd.exe: C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Klõpsake nuppu Finish.
- Jätke HIPS-reeglite aken avatuks ja jätkake järgmise lõiguga.
VII. Keelake powershell.exe lapselised protsessid
- Klõpsake HIPS-reeglite aknas nuppu Add.
-
Kirjutage väljale Rule name (Reegli nimi ) Deny child processes for powershell.exe.
Valige rippmenüüst Action (Toiming ) valik Block (Bloke).
Klõpsake järgmiste seadete kõrval oleval lülitusel, et neid lubada:
- Rakendused
- Enabled
- Teavita kasutajat
Valige rippmenüüst Logimise raskusaste valik hoiatus ja klõpsake nuppu Next.
-
Klõpsake aknas Source applications (Läherakendused ) nuppu Add (Lisa) ja sisestage järgmised nimed, klõpsates iga nime järel OK → Add (Lisa) :
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Klõpsake nuppu Next.
- Aknas Application operations (Rakenduse toimingud ) klõpsake selle lubamiseks nuppu Start new application (Käivita uus rakendus ) ja klõpsake Next (Edasi).
- Valige rippmenüüst All applications ja klõpsake Finish.
- Klõpsake aknas HIPS-reeglite aknas OK. Laiendage Assign , et määrata poliitika kliendile või grupile; vastasel juhul klõpsake New Policy - Settings (Uus poliitika - seaded ) ekraanil Finish (Lõpeta ). Määramise korral kohaldatakse teie poliitika seadeid sihtrühmadele või kliendiarvutitele, kui nad registreeruvad ESET PROTECTi või ESET PROTECT On-Premi sisse.
Kui kasutate ESETi äritoodet ilma kaugjuhtimiseta, klõpsake kaks korda nuppu OK.
ESET PROTECTi poliitika allalaadimine ja importimine
ESET PROTECTi poliitika ESETi äritoodete jaoks koos täiendavate HIPS-seadistustega, mis kaitsevad lunavara pahavara (filecoder) eest, saab alla laadida ja importida allolevatest linkidest. ESET PROTECT Policy on saadaval ainult ESETi toodete uusima versiooni jaoks. Ühilduvus varasemate versioonidega ei ole tagatud.
-
Laadige alla täiendav HIPS-kaitse ESET PROTECT Policy for:
-
Avage ESET PROTECT või ESET PROTECT On-Prem. Klõpsake peamenüüs Policies (Poliitikad).
- Klõpsake nuppu Actions → Import....
Uues aknas suuremalt kuvale klõpsates
- Klõpsake nuppu Choose file to upload, valige allalaaditud poliitika ja klõpsake nuppu Import.
- Määrake poliitika kliendile või määrake poliitika grupile. Poliitika seaded rakendatakse sihtrühmadele või kliendiarvutitele, kui nad registreeruvad ESET PROTECTi või ESET PROTECT On-Premi sisse.
