Kysymys
- Haluat määrittää ylimääräisiä HIPS-sääntöjä seuraavissa ESET Business -tuotteissa Windowsille tai luoda käytäntöä ESET PROTECTissa tai ESET PROTECT On-Premissä, jossa on ylimääräisiä HIPS-asetuksia suojautuaksesi lunnasohjelma-haittaohjelmilta (filecoder)
- ESET Endpoint Security
- ESET Endpoint Antivirus
- ESET Mail Security Microsoft Exchange Serverille
- ESET File Security Microsoft Windows Serverille
- Luo manuaalisesti ESET PROTECT -käytäntö/määritä asetukset ESET Business -tuotteissa
- Lataa ja tuo ESET PROTECT -käytäntö
#@##placeholder id='1510' language='1'#@#
Lisätietoja
Laajenna klikkaamalla
ESETin Host-based Intrusion Prevention System (HIPS) sisältyy ESET Endpoint Securityn, ESET Endpoint Antiviruksen, ESET Mail Security for Microsoft Exchange Serverin ja ESET File Security for Microsoft Windows Serverin tuotteisiin. HIPS valvoo järjestelmän toimintaa ja käyttää ennalta määritettyjä sääntöjä epäilyttävän järjestelmän käyttäytymisen tunnistamiseen.
Kun tällainen toiminta tunnistetaan, HIPS-itsepuolustusmekanismi pysäyttää rikkovan ohjelman tai prosessin suorittamasta mahdollisesti haitallista toimintaa. Estämällä JavaScriptin ja muiden komentosarjojen tavanomaisen suorittamisen lunnasohjelmia ei voi ladata tai suorittaa. Jos haluat edelleen estää lunnasohjelmistojen haittaohjelmat Windows-järjestelmissäsi, luo seuraavat säännöt uusimmissa ESET Business -tuotteissa, joissa on HIPS, tai luo ja sovella ESET PROTECT -käytäntöä.
Ratkaisu
Luo manuaalisesti ESET PROTECT -käytäntö/määritä asetukset ESET-liiketoimintatuotteiden asetuksissa
- Avaa ESET PROTECT tai ESET PROTECT On-Prem. Napsauta Pikalinkit-pudotusvalikossa Luo uusi käytäntö.....
Jos käytät ESET Business -tuotetta, jossa ei ole etähallintaa, avaa ESET Windows -tuotteen pääohjelmaikkuna ja paina F5-näppäintä päästäksesi lisäasetuksiin. Jatka vaiheeseen 3. - Napsauta Asetukset ja valitse avattavasta Valitse tuote... -valikosta jokin seuraavista ESET Business Products with HIPS -tuotteista:
-
- ESET Endpoint for Windows.
- ESET File Security for Windows Server (V6+).
- ESET Mail Security for Microsoft Exchange (V6+).
Klikkaa kuvaa nähdäksesi sen suurempana uudessa ikkunassa
- Valitse Detection Engine(Tietokone ESET Mail Security for Microsoft Exchange Server -ohjelmassa) → HIPS. Napsauta Säännöt-kohdan vieressä olevaa Muokkaa .
Klikkaa kuvaa nähdäksesi sen suurempana uudessa ikkunassa
Laajenna kutakin alla olevaa osiota napsauttamalla vaihtoehtoa (I. - VII.), jotta voit luoda HIPS-säännöt ehdotetuille prosesseille.
I. Kiellä prosessit skriptien suoritettavista tiedostoista
- Napsauta HIPS-säännöt-ikkunassa Add (Lisää).
-
Kirjoita Deny child processes from script executables (Kiellä lapsiprosessit komentosarjojen suoritustiedostoista ) -kenttään Rule name (Säännön nimi ). Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä). Ota nämä asetukset käyttöön napsauttamalla Sovellukset, Käytössä ja Ilmoita käyttäjälle -kohdan vieressä olevaa vaihtokytkintä. Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
-
Napsauta Source applications (Lähdesovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet ja napsauta OK → Add (Lisää) jokaisen nimen jälkeen:
C:\Windows\System32\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exe
Napsauta Seuraava.
- Aktivoi Application operations (Sovellustoiminnot ) -ikkunassa Start new application (Käynnistä uusi sovellus ) -kohdan vieressä oleva valintaruutu ja napsauta Next (Seuraava) -painiketta.
- Valitse All applications (Kaikki sovellukset ) pudotusvalikosta ja napsauta Finish (Valmis).
- Jätä HIPS-säännöt-ikkuna auki ja jatka seuraavaan osioon.
II. Explorerin käynnistämien skriptiprosessien kieltäminen
- Napsauta HIPS-sääntöikkunassa Add (Lisää).
-
Kirjoita Deny script processes started by explorer (Explorerin käynnistämät skriptiprosessit kielletty ) -kenttään Rule name (Säännön nimi ).
Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä).
Napsauta vieressä olevaa vaihtokytkintä:
Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
- Napsauta Source applications (Lähde sovellukset ) -ikkunassa Add (Lisää), kirjoita Specify file path (Määritä tiedostopolku ) -kenttään C:\Windows\explorer.exe ja napsauta sitten OK → Next (Seuraava ) .
- Ota Sovellustoiminnot-ikkunassa uusi sovellus käyttöön napsauttamalla Käynnistä uusi sovellus -kohdan vieressä olevaa vaihtokytkintä ja napsauta Seuraava.
-
Napsauta Applications (Sovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet ja napsauta OK → Add (Lisää) jokaisen nimen jälkeen:
C:\Windows\System32\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\SysWOW64\cscript.exe
Napsauta Finish.
- Jätä HIPS-säännöt-ikkuna auki ja jatka seuraavaan osioon.
III. Kiellä Office 2013/2016 -prosessien lapsiprosessit
- Napsauta HIPS-säännöt-ikkunassa Lisää.
-
Kirjoita Säännön nimi -kenttään Deny child processes from Office 2013 processes. Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä). Ota nämä asetukset käyttöön napsauttamalla Sovellukset, Käytössä ja Ilmoita käyttäjälle -kohdan vieressä olevaa vaihtokytkintä. Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
-
Napsauta Source applications (Lähdesovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet ja napsauta OK → Add (Lisää) jokaisen nimen jälkeen:
Ohjelmatiedostot\Microsoft Office\Office15\WINWORD.EXEC:\Program Files\Microsoft Office\Office15\OUTLOOK.EXEC:\Program Files\Microsoft Office\Office15\EXCEL.EXEC:\Program Files\Microsoft Office\Office15\POWERPNT.EXEC:\Program Files (x86)\Microsoft Office\Office15\WINWORD.EXEC:\Program Files (x86)\Microsoft Office\Office15\OUTLOOK.EXEC:\Program Files (x86)\Microsoft Office\Office15\EXCEL.EXEC:\Program Files (x86)\Microsoft Office\Office15\POWERPNT.EXE
Napsauta Seuraava.
- Ota Sovellustoiminnot-ikkunassa käyttöön napsauttamalla Käynnistä uusi sovellus -kohdan vieressä olevaa vaihtokytkintä ja napsauta Seuraava.
-
Napsauta Sovellukset-ikkunassa Lisää ja kirjoita seuraavat nimet ja napsauta OK → Lisää jokaisen nimen jälkeen:
C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exeC:\Windows\System32\regsvr32.exeC:\Windows\SysWOW64\regsvr32.exeC:\Windows\System32\rundll32.exeC:\Windows\SysWOW64\rundll32.exe
Napsauta Finish.
-
Lisää lisää Office-versioita tarpeen mukaan toistamalla samat ohjeet kuin edellä.
- 2016 = Office16 (C:\Program Files (x86)\Microsoft Office\Root\Office16\...))
- 2010 = Office14
-
Jätä HIPS-säännöt-ikkuna auki ja jatka seuraavaan osioon.
IV. Kiellä regsrv32.exe:n aliprosessit
- Napsauta HIPS-sääntöikkunassa Add (Lisää).
-
Kirjoita Säännön nimi -kenttään Deny child processes for regsrv32.exe.
Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä).
Ota seuraavat asetukset käyttöön napsauttamalla niiden vieressä olevaa vaihtokytkintä:
- Sovellukset
- Enabled
- Ilmoita käyttäjälle
Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
-
Napsauta Source applications (Lähdesovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet ja napsauta OK → Add (Lisää) jokaisen nimen jälkeen:
C:\Windows\System32\regsvr32.exeC:\Windows\SysWOW64\regsvr32.exe
Napsauta Seuraava.
- Ota Sovellustoiminnot-ikkunassa käyttöön napsauttamalla Käynnistä uusi sovellus -kohdan vieressä olevaa vaihtokytkintä ja napsauta Seuraava.
-
Napsauta Sovellukset-ikkunassa Lisää ja kirjoita seuraavat nimet ja napsauta OK → Lisää jokaisen nimen jälkeen:
C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Napsauta Finish.
- Jätä HIPS-säännöt-ikkuna auki ja jatka seuraavaan osioon.
V. Kiellä mshta.exe:n lapsiprosessit
- Napsauta HIPS-sääntöikkunassa Add (Lisää).
-
Kirjoita Säännön nimi -kenttään Deny child processes for mshta.exe.
Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä).
Ota seuraavat asetukset käyttöön napsauttamalla niiden vieressä olevaa vaihtokytkintä:
- Sovellukset
- Enabled
- Ilmoita käyttäjälle
Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
-
Napsauta Source applications (Lähdesovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet ja napsauta OK → Add (Lisää) jokaisen nimen jälkeen:
C:\Windows\System32\mshta.exeC:\Windows\SysWOW64\mshta.exe
Napsauta Seuraava.
- Ota Sovellustoiminnot-ikkunassa käyttöön napsauttamalla Käynnistä uusi sovellus -kohdan vieressä olevaa vaihtokytkintä ja napsauta Seuraava.
- Valitse All applications (Kaikki sovellukset ) pudotusvalikosta ja napsauta Finish (Valmis).
- Jätä HIPS-säännöt-ikkuna auki ja jatka seuraavaan osioon.
VI. Rundll32.exe:n lapsiprosessien kieltäminen
- Napsauta HIPS-sääntöikkunassa Add (Lisää).
-
Kirjoita Säännön nimi -kenttään Deny child processes for rundll32.exe.
Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä).
Ota seuraavat asetukset käyttöön napsauttamalla niiden vieressä olevaa vaihtokytkintä:
- Sovellukset
- Enabled
- Ilmoita käyttäjälle
Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
- Napsauta Source applications (Lähdesovellukset ) -ikkunassa Add (Lisää), kirjoita Specify file path (Määritä tiedostopolku ) -kenttään
C:\Windows\System32\rundll32.exeja napsauta sitten OK → Next (Seuraava ) .
- Ota Sovellustoiminnot-ikkunassa käyttöön napsauttamalla Käynnistä uusi sovellus -kohdan vieressä olevaa vaihtokytkintä ja napsauta Seuraava.
-
Napsauta Applications (Sovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet napsauttamalla OK → Add (Lisää) jokaisen nimen jälkeen:
C:\Windows\System32\cmd.exeC:\Windows\SysWow64\cmd.exeC:\Windows\System32\wscript.exeC:\Windows\SysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Napsauta Finish.
- Jätä HIPS-säännöt-ikkuna auki ja jatka seuraavaan osioon.
VII. Kiellä powershell.exe:n aliprosessit
- Napsauta HIPS-sääntöikkunassa Add (Lisää).
-
Kirjoita Säännön nimi -kenttään Deny child processes for powershell.exe.
Valitse Action (Toiminto ) -pudotusvalikosta Block (Estä).
Ota seuraavat asetukset käyttöön napsauttamalla niiden vieressä olevaa vaihtokytkintä:
- Sovellukset
- Enabled
- Ilmoita käyttäjälle
Valitse Loggauksen vakavuus -pudotusvalikosta Varoitus ja napsauta Seuraava.
-
Napsauta Source applications (Lähdesovellukset ) -ikkunassa Add (Lisää) ja kirjoita seuraavat nimet ja napsauta OK → Add (Lisää) jokaisen nimen jälkeen:
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Napsauta Seuraava.
- Ota Sovellustoiminnot-ikkunassa käyttöön napsauttamalla Käynnistä uusi sovellus -kohdan vieressä olevaa vaihtokytkintä ja napsauta Seuraava.
- Valitse All applications (Kaikki sovellukset ) pudotusvalikosta ja napsauta Finish (Valmis).
- Napsauta HIPS-säännöt-ikkunassa OK. Laajenna Assign (Määritä ), jos haluat määrittää käytännön asiakkaalle tai ryhmälle; muussa tapauksessa napsauta Finish (Valmis ) New Policy - Settings (Uusi käytäntö - asetukset ) -näytössä. Jos käytäntösi asetukset on osoitettu, niitä sovelletaan kohderyhmiin tai asiakastietokoneisiin, kun ne kirjautuvat sisään ESET PROTECT- tai ESET PROTECT On-Prem -palveluun.
Jos käytät ESET Business -tuotetta ilman etähallintaa, napsauta OK kahdesti.
Lataa ja tuo ESET PROTECT -käytäntö
ESET PROTECT -käytäntö ESET business -tuotteille, jossa on ylimääräisiä HIPS-asetuksia suojaamaan ransomware-haittaohjelmilta (filecoder), voidaan ladata ja tuoda alla olevista linkeistä. ESET PROTECT -käytäntö on käytettävissä vain ESET-tuotteiden uusimmassa versiossa. Yhteensopivuutta aiempien versioiden kanssa ei voida taata.
-
Lataa ylimääräinen HIPS-suojaus ESET PROTECT Policy for:
-
Avaa ESET PROTECT tai ESET PROTECT On-Prem. Valitse päävalikossa Policies (Käytännöt).
- Napsauta Actions → Import....
Klikkaa kuvaa nähdäksesi sen suurempana uudessa ikkunassa
- Valitse Choose file to upload, valitse ladattu käytäntö ja napsauta Import.
- Määritä käytäntö asiakkaalle tai määritä käytäntö ryhmälle. Käytännön asetukset sovelletaan kohderyhmiin tai asiakastietokoneisiin, kun ne kirjautuvat sisään ESET PROTECT- tai ESET PROTECT On-Prem -palveluun.
