[KB6119] Διαμόρφωση κανόνων HIPS στις επιχειρηματικές εφαρμογές της ESET ή μέσω του ESET PROTECT ή του ESET PRTOECT On-Prem

Τεύχος

• Διαμορφώστε πρόσθετους κανόνες HIPS στις ακόλουθες επιχειρηματικές εφαρμογές ESET για Windows ή δημιουργήστε μια πολιτική στο ESET PROTECT ή στο ESET PROTECT On-Prem με πρόσθετες ρυθμίσεις HIPS για προστασία από κακόβουλο λογισμικό ransomware (filecoder)
  • ESET Endpoint Security για Windows
  • ESET Endpoint Antivirus για Windows
  • ESET Mail Security για Microsoft Exchange Server
  • ESET Server Security για Microsoft Windows Server
• Μη αυτόματη δημιουργία μιας πολιτικής ESET PROTECT ή ESET PROTECT On-Prem / διαμόρφωση των ρυθμίσεων στις επιχειρηματικές εφαρμογές της ESET
• Λήψη και εισαγωγή της πολιτικής ESET PROTECT ή ESET PROTECT On-Prem

Λεπτομέρειες

Λύση

Δημιουργήστε χειροκίνητα μια πολιτική ESET PROTECT ή ESET PROTECT On-Prem / διαμορφώστε τις ρυθμίσεις στις επιχειρηματικές εφαρμογές της ESET

1. Ανοίξτε τον επεξεργαστή κανόνων HIPS στον οδηγό πολιτικής ή στη διαμόρφωση εφαρμογών της ESET:

   ---

   ESET PROTECT ή ESET PROTECT On-Prem Policy

   
   

   1. Open the ESET PROTECT Web Console.

   2. Δημιουργία πολιτικής στο ESET PROTECT ή στο ESET PROTECT On-Prem.

   3. Στην ενότητα Ρυθμίσεις, επιλέξτε ESET Endpoint for Windows από το αναπτυσσόμενο μενού. Κάντε κλικ στην επιλογή HIPS και κάντε κλικ στην επιλογή Edit (Επεξεργασία) δίπλα στην επιλογή Rules (Κανόνες).

      

   ---

   Εφαρμογή ESET

   
   

   1. Ανοίξτε το κύριο παράθυρο προγράμματος της εφαρμογής ESET Endpoint για Windows.

   2. Πιέστε το πλήκτρο F5 για να αποκτήσετε πρόσβαση στις ρυθμίσεις για προχωρημένους.

   3. Κάντε κλικ στην επιλογή HIPS και κάντε κλικ στην επιλογή Edit (Επεξεργασία) δίπλα στην επιλογή Rules (Κανόνες).

      

   ---

2. Κάντε κλικ στην επιλογή (I. έως VII.) για να επεκτείνετε κάθε ενότητα παρακάτω για να δημιουργήσετε όλους τους πρόσθετους κανόνες HIPS.

   ---

   
   

   I. Άρνηση διεργασιών από εκτελέσιμα αρχεία δέσμης ενεργειών

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στο κουμπί Add (Προσθήκη).

      

   2. Πληκτρολογήστε Deny child processes from script executables στο πεδίο Rule name (Όνομα κανόνα ). Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός). Κάντε κλικ στο κουμπί εναλλαγής δίπλα στις επιλογές Applications (Εφαρμογές), Enabled (Ενεργοποιημένο) και Notify user (Ειδοποίηση χρήστη ) για να ενεργοποιήσετε αυτές τις ρυθμίσεις. Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications (Πηγαίες εφαρμογές ), κάντε κλικ στην επιλογή Add (Προσθήκη) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα από αυτά:

      • C:\Windows\System32\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
        
        

      Κάντε κλικ στο κουμπί Επόμενο.

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στο κουμπί δίπλα στο Start new application (Έναρξη νέας εφαρμογής ) για να το ενεργοποιήσετε και κάντε κλικ στο κουμπί Next (Επόμενο).

      

   5. Επιλέξτε Όλες οι εφαρμογές από το αναπτυσσόμενο μενού και κάντε κλικ στο κουμπί Τέλος.

      

   6. Αφήστε ανοιχτό το παράθυρο κανόνων HIPS και συνεχίστε στην επόμενη ενότητα.

   ---

   
   

   II. Άρνηση διεργασιών δέσμης ενεργειών που ξεκινούν από τον explorer

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στο κουμπί Προσθήκη.

   2. Πληκτρολογήστε Deny script processes started by explorer στο πεδίο Rule name (Όνομα κανόνα ).

      Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός).

      Ενεργοποιήστε το διακόπτη δίπλα στο Applications (Εφαρμογές).

      Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications κάντε κλικ στο Add, πληκτρολογήστε C:\Windows\explorer.exe στο πεδίο Specify file path (Καθορισμός διαδρομής αρχείου ) και κάντε κλικ στο OK → Next (Επόμενο ) .

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στην εναλλαγή δίπλα στο Start new application (Έναρξη νέας εφαρμογής ) για να την ενεργοποιήσετε και κάντε κλικ στο κουμπί Next (Επόμενο).

      

   5. Στο παράθυρο Applications (Εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα:

      • C:\Windows\System32\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\SysWOW64\cscript.exe
        
        

      Κάντε κλικ στο κουμπί Finish.

      

   6. Αφήστε ανοιχτό το παράθυρο κανόνων HIPS και συνεχίστε στην επόμενη ενότητα.

   ---

   
   

   III. Απαγόρευση διεργασιών θυγατρικών από διεργασίες του Office 2024

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στο κουμπί Add.

   2. Πληκτρολογήστε Deny child processes from Office 2024 processes στο πεδίο Rule name (Όνομα κανόνα ). Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός). Κάντε κλικ στην εναλλαγή δίπλα στις επιλογές Applications (Εφαρμογές), Enabled (Ενεργοποιημένο) και Notify user (Ειδοποίηση χρήστη ) για να ενεργοποιήσετε αυτές τις ρυθμίσεις. Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications (Πηγαίες εφαρμογές ), κάντε κλικ στην επιλογή Add (Προσθήκη) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα από αυτά:

      • C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
      • C:\Program Files\Microsoft Office\root\Office16\OUTLOOK.EXE
      • C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE
      • C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\WINWORD.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\OUTLOOK.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\EXCEL.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\POWERPNT.EXE
        
        

      Κάντε κλικ στο Επόμενο.

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στο κουμπί δίπλα στο Start new application (Έναρξη νέας εφαρμογής ) για να το ενεργοποιήσετε και κάντε κλικ στο κουμπί Next (Επόμενο).

      

   5. Στο παράθυρο Applications (Εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα από αυτά:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\System32\regsvr32.exe
      • C:\Windows\SysWOW64\regsvr32.exe
      • C:\Windows\System32\rundll32.exe
      • C:\Windows\SysWOW64\rundll32.exe
        
        

      Κάντε κλικ στο κουμπί Finish.

      

   6. Προσθέστε πρόσθετες εκδόσεις του Office όπως απαιτείται, επαναλαμβάνοντας τις ίδιες οδηγίες όπως παραπάνω.

      • 2013 = Office15(C:\Program Files (x86)\Microsoft Office\Office15\...)
      • 2010 = Office14
        
        

   7. Αφήστε ανοιχτό το παράθυρο κανόνων HIPS και συνεχίστε στην επόμενη ενότητα.

   ---

   
   

   IV. Απαγόρευση διεργασιών-παιδιών για το regsrv32.exe

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στο κουμπί Add.

   2. Πληκτρολογήστε Deny child processes for regsrv32.exe στο πεδίο Rule name (Όνομα κανόνα ).

      Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός).

      Κάντε κλικ στο κουμπί εναλλαγής δίπλα στις ακόλουθες ρυθμίσεις για να τις ενεργοποιήσετε:

      • Εφαρμογές
      • Ενεργοποιημένο
      • Ειδοποίηση χρήστη
        
        

      Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications (Πηγαίες εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα:

      • C:\Windows\System32\regsvr32.exe
      • C:\Windows\SysWOW64\regsvr32.exe
        
        

      Κάντε κλικ στο κουμπί Επόμενο.

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στο κουμπί δίπλα στο Start new application (Έναρξη νέας εφαρμογής ) για να το ενεργοποιήσετε και κάντε κλικ στο κουμπί Next (Επόμενο).

      

   5. Στο παράθυρο Applications (Εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        
        

      Κάντε κλικ στο κουμπί Finish.

      

   6. Αφήστε ανοιχτό το παράθυρο κανόνων HIPS και συνεχίστε στην επόμενη ενότητα.

   ---

   
   

   V. Απαγόρευση διεργασιών-παιδιών για το mshta.exe

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στο κουμπί Add.

   2. Πληκτρολογήστε Deny child processes for mshta.exe στο πεδίο Rule name (Όνομα κανόνα ).

      Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός).

      Κάντε κλικ στο κουμπί εναλλαγής δίπλα στις ακόλουθες ρυθμίσεις για να τις ενεργοποιήσετε:

      • Εφαρμογές
      • Ενεργοποιημένο
      • Ειδοποίηση χρήστη
        
        

      Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications (Πηγαίες εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα:

      • C:\Windows\System32\mshta.exe
      • C:\Windows\SysWOW64\mshta.exe
        
        

      Κάντε κλικ στο κουμπί Επόμενο.

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στο κουμπί δίπλα στο Start new application (Έναρξη νέας εφαρμογής ) για να το ενεργοποιήσετε και κάντε κλικ στο κουμπί Next (Επόμενο).

      

   5. Επιλέξτε Όλες οι εφαρμογές από το αναπτυσσόμενο μενού και κάντε κλικ στο κουμπί Τέλος.

   6. Αφήστε ανοιχτό το παράθυρο κανόνων HIPS και συνεχίστε στην επόμενη ενότητα.

   ---

   
   

   VI. Άρνηση παιδικών διεργασιών για το rundll32.exe

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στο κουμπί Προσθήκη.

   2. Πληκτρολογήστε Deny child processes for rundll32.exe στο πεδίο Rule name (Όνομα κανόνα ).

      Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός).

      Κάντε κλικ στο κουμπί εναλλαγής δίπλα στις ακόλουθες ρυθμίσεις για να τις ενεργοποιήσετε:

      • Εφαρμογές
      • Ενεργοποιημένο
      • Ειδοποίηση χρήστη
        
        

      Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications (Πηγαίες εφαρμογές ), κάντε κλικ στο Add (Προσθήκη), πληκτρολογήστε C:\Windows\System32\rundll32.exe στο πεδίο Specify file path (Καθορισμός διαδρομής αρχείου ) και, στη συνέχεια, κάντε κλικ στο OK → Next (Επόμενο ) .

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στην εναλλαγή δίπλα στην επιλογή Έναρξη νέας εφαρμογής για να την ενεργοποιήσετε και κάντε κλικ στο κουμπί Επόμενο.

      

   5. Στο παράθυρο Applications (Εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        
        

      Κάντε κλικ στο κουμπί Finish.

      

   6. Αφήστε ανοιχτό το παράθυρο κανόνων HIPS και συνεχίστε στην επόμενη ενότητα.

   ---

   
   

   VII. Απαγόρευση διεργασιών-παιδιών για το powershell.exe

   1. Στο παράθυρο κανόνων HIPS, κάντε κλικ στην επιλογή Add.

   2. Πληκτρολογήστε Deny child processes for powershell.exe στο πεδίο Rule name (Όνομα κανόνα ).

      Από το αναπτυσσόμενο μενού Action (Ενέργεια ), επιλέξτε Block (Αποκλεισμός).

      Κάντε κλικ στο κουμπί εναλλαγής δίπλα στις ακόλουθες ρυθμίσεις για να τις ενεργοποιήσετε:

      • Εφαρμογές
      • Ενεργοποιημένο
      • Ειδοποίηση χρήστη
        
        

      Από το αναπτυσσόμενο μενού Σοβαρότητα καταγραφής, επιλέξτε Προειδοποίηση και κάντε κλικ στο κουμπί Επόμενο.

      

   3. Στο παράθυρο Source applications (Πηγαίες εφαρμογές ), κάντε κλικ στο Add (Προσθήκη ) και πληκτρολογήστε τα ακόλουθα ονόματα, κάνοντας κλικ στο OK → Add (Προσθήκη ) μετά από κάθε ένα:

      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        
        

      Κάντε κλικ στο κουμπί Επόμενο.

      

   4. Στο παράθυρο Λειτουργίες εφαρμογών, κάντε κλικ στο κουμπί δίπλα στο Start new application (Έναρξη νέας εφαρμογής ) για να το ενεργοποιήσετε και κάντε κλικ στο κουμπί Next (Επόμενο).

      

   5. Επιλέξτε Όλες οι εφαρμογές από το αναπτυσσόμενο μενού και κάντε κλικ στο κουμπί Τέλος.

   ---

3. Εάν δημιουργείτε μια πολιτική, στο παράθυρο HIPS rules (Κανόνες HIPS ), κάντε κλικ στο OK και ολοκληρώστε τον οδηγό πολιτικής.

   Εάν ρυθμίζετε τις παραμέτρους μιας επιχειρηματικής εφαρμογής της ESET, κάντε κλικ στο κουμπί OK → OK.

Λήψη και εισαγωγή της πολιτικής ESET PROTECT ή ESET PROTECT On-Prem

Η πολιτική ESET PROTECT ή ESET PROTECT On-Prem για επιχειρηματικές εφαρμογές ESET με πρόσθετες ρυθμίσεις HIPS για την προστασία από κακόβουλο λογισμικό ransomware (filecoder) μπορεί να ληφθεί από τους παρακάτω συνδέσμους. Οι πολιτικές είναι διαθέσιμες μόνο για την τελευταία έκδοση των εφαρμογών ESET. Η συμβατότητα με παλαιότερες εκδόσεις δεν μπορεί να διασφαλιστεί.

1. Πραγματοποιήστε λήψη της πρόσθετης πολιτικής προστασίας HIPS ESET PROTECT ή ESET PROTECT On-Prem για:

   • ESET Endpoint Security/ESET Endpoint Antivirus για Windows
   • ESET Server Security για Microsoft Windows Server
   • ESET Mail Security για τον Microsoft Exchange Server

2. Open the ESET PROTECT Web Console.

3. Ανοίξτε το παράθυρο εισαγωγής πολιτικής:

   ---

   ESET PROTECT

   
   

   Κάντε κλικ στην επιλογή Διαμόρφωση → Ρύθμιση για προχωρημένους → Ενέργειες → Εισαγωγή.

   

   ---

   ESET PROTECT On-Prem

   
   

   Κάντε κλικ στην επιλογή Πολιτικές → Ενέργειες → Εισαγωγή.

   

   ---

4. Κάντε κλικ στην επιλογή Choose file to upload (Επιλογή αρχείου για μεταφόρτωση), επιλέξτε την πολιτική που κατεβάσατε και κάντε κλικ στην επιλογή Import (Εισαγωγή).

   

5. Εκχωρήστε την πολιτική σε έναν πελάτη ή εκχωρήστε την πολιτική σε μια ομάδα.