Problema
- Si desidera configurare regole HIPS aggiuntive nei seguenti prodotti aziendali ESET per Windows o creare un criterio in ESET PROTECT o ESET PROTECT On-Prem con impostazioni HIPS aggiuntive per la protezione dal malware ransomware (filecoder)
- ESET Endpoint Security
- ESET Endpoint Antivirus
- ESET Mail Security per Microsoft Exchange Server
- ESET File Security per Microsoft Windows Server
- Creare manualmente un criterio ESET PROTECT/configurare le impostazioni nei prodotti ESET business
- Scaricare e importare il criterio ESET PROTECT
Click an image to open the ESET Knowledgebase article for anti-ransomware best practices and additional product configurations:
Dettagli
Fare clic per espandere
Il sistema di prevenzione delle intrusioni basato su host (HIPS) di ESET è incluso in ESET Endpoint Security, ESET Endpoint Antivirus, ESET Mail Security per Microsoft Exchange Server e ESET File Security per Microsoft Windows Server. HIPS monitora l'attività del sistema e utilizza una serie di regole predefinite per riconoscere i comportamenti sospetti del sistema.
Quando viene identificato questo tipo di attività, il meccanismo di autodifesa HIPS impedisce al programma o al processo incriminato di svolgere un'attività potenzialmente dannosa. Vietando l'esecuzione standard di JavaScript e altri script, il ransomware non può essere scaricato o eseguito. Per prevenire ulteriormente il malware ransomware sui vostri sistemi Windows, create le seguenti regole nei più recenti prodotti aziendali ESET con HIPS, oppure create e applicate un criterio ESET PROTECT.
Soluzione
Creare manualmente un criterio ESET PROTECT/configurare le impostazioni nei prodotti aziendali ESET
- Aprire ESET PROTECT o ESET PROTECT On-Prem. Nel menu a discesa Collegamenti rapidi, fare clic su Crea nuovo criterio....
Se si utilizza un prodotto ESET business senza gestione remota, aprire la finestra del programma principale del prodotto ESET Windows e premere il tasto F5 per accedere alla configurazione avanzata. Procedere al passaggio 3. - Fare clic su Impostazioni e nel menu a discesa Seleziona prodotto... selezionare uno dei seguenti prodotti ESET business con HIPS:
-
- ESET Endpoint per Windows.
- ESET File Security per Windows Server (V6+).
- ESET Mail Security per Microsoft Exchange (V6+).
Fare clic sull'immagine per ingrandirla nella nuova finestra
- Fare clic su Motore di rilevamento(Computer in ESET Mail Security for Microsoft Exchange Server) → HIPS. Fare clic su Modifica accanto a Regole.
Fare clic sull'immagine per ingrandirla nella nuova finestra
Fare clic sull'opzione (da I. a VII.) per espandere ogni sezione sottostante e creare le regole HIPS per i processi suggeriti.
I. Rifiuta i processi dagli eseguibili di script
- Nella finestra delle regole HIPS, fare clic su Aggiungi.
-
Nel campo Nome regola digitare Nega processi figli da eseguibili di script. Dal menu a discesa Azione , selezionare Blocca. Fare clic sulla levetta accanto ad Applicazioni, Abilitato e Notifica utente per abilitare queste impostazioni. Dal menu a discesa Gravità di registrazione, selezionare Avviso e fare clic su Avanti.
-
Nella finestra Applicazioni di origine, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\wscript.exeC:\Windows\System32\cscript.exeC:\WindowsSysWOW64\wscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exe
Fare clic su Avanti.
- Nella finestra Operazioni applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
- Selezionate Tutte le applicazioni dal menu a discesa e fate clic su Fine.
- Lasciate aperta la finestra delle regole HIPS e proseguite con la sezione successiva.
II. Negare i processi di script avviati da explorer
- Nella finestra delle regole HIPS, fate clic su Aggiungi.
-
Nel campo Nome regola digitare Nega processi di script avviati da explorer.
Dal menu a discesa Azione , selezionare Blocca.
Fare clic sulla levetta accanto a:
Dal menu a discesa Gravità di registrazione, selezionare Avviso e fare clic su Avanti.
- Nella finestra Applicazioni di origine fare clic su Aggiungi, digitare C:\Windows\explorer.exe nel campo Specifica percorso file, quindi fare clic su OK → Avanti.
- Nella finestra Operazioni applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
-
Nella finestra Applicazioni, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\wscript.exeC:\Windows\System32\cscript.exeC:\WindowsSysWOW64\wscript.exeC:\Windows\SysWOW64\cscript.exe
Fare clic su Fine.
- Lasciare aperta la finestra delle regole HIPS e continuare con la sezione successiva.
III. Negare i processi figli dei processi di Office 2013/2016
- Nella finestra delle regole HIPS, fare clic su Aggiungi.
-
Nel campo Nome regola digitare Rifiuta processi figlio da processi Office 2013. Dal menu a discesa Azione , selezionare Blocca. Fare clic sulla levetta accanto ad Applicazioni, Abilitato e Notifica utente per abilitare queste impostazioni. Dal menu a discesa Gravità di registrazione, selezionare Avviso e fare clic su Avanti.
-
Nella finestra Applicazioni di origine, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Program Files\Microsoft Office\Office15\WINWORD.EXEC:\Programmi\Microsoft Office\Office15\OUTLOOK.EXEC:\File di programma\Microsoft Office\Office15\EXCEL.EXEC:´File di programma\Microsoft Office\Office15\POWERPNT.EXEC:´File di programma (x86)´Microsoft Office\Office15\WINWORD.EXEC:´File di programma (x86)´Microsoft Office\Office15\OUTLOOK.EXEC:´File di programma (x86)´Microsoft Office\Office15\EXCEL.EXEC:´File di programma (x86)´Microsoft Office\Office15\POWERPNT.EXE
Fare clic su Avanti.
- Nella finestra Operazioni dell'applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
-
Nella finestra Applicazioni, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\WindowsSysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exeC:\Windows\System32\regsvr32.exeC:\Windows\SysWOW64\regsvr32.exeC:\Windows\System32\rundll32.exeC:\Windows\SysWOW64\rundll32.exe
Fare clic su Fine.
-
Aggiungete altre versioni di Office se necessario, ripetendo le stesse istruzioni di cui sopra.
- 2016 = Office16 (C:\Program Files (x86)\Microsoft Office\Root\Office16\...)
- 2010 = Office14
-
Lasciare aperta la finestra delle regole HIPS e continuare con la sezione successiva.
IV. Negare i processi figli di regsrv32.exe
- Nella finestra delle regole HIPS, fare clic su Aggiungi.
-
Digitare Nega processi figli per regsrv32.exe nel campo Nome regola.
Dal menu a discesa Azione , selezionare Blocca.
Fare clic sulla levetta accanto alle seguenti impostazioni per attivarle:
- Applicazioni
- Abilitato
- Notifica all'utente
Dal menu a discesa Gravità di registrazione, selezionate Avviso e fate clic su Avanti.
-
Nella finestra Applicazioni sorgente, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\regsvr32.exeC:\Windows\SysWOW64\regsvr32.exe
Fare clic su Avanti.
- Nella finestra Operazioni applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
-
Nella finestra Applicazioni, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\WindowsSysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Fare clic su Fine.
- Lasciate aperta la finestra delle regole HIPS e proseguite con la sezione successiva.
V. Negare i processi figli di mshta.exe
- Nella finestra delle regole HIPS, fare clic su Aggiungi.
-
Nel campo Nome regola digitare Nega processi figli per mshta.exe.
Dal menu a discesa Azione , selezionare Blocca.
Fare clic sulla levetta accanto alle seguenti impostazioni per attivarle:
- Applicazioni
- Abilitato
- Notifica all'utente
Dal menu a discesa Gravità di registrazione, selezionare Avviso e fare clic su Avanti.
-
Nella finestra Applicazioni di origine, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\mshta.exeC:\Windows\SysWOW64\mshta.exe
Fare clic su Avanti.
- Nella finestra Operazioni applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
- Selezionate Tutte le applicazioni dal menu a discesa e fate clic su Fine.
- Lasciate aperta la finestra delle regole HIPS e proseguite con la sezione successiva.
VI. Negare i processi figli di rundll32.exe
- Nella finestra delle regole HIPS, fare clic su Aggiungi.
-
Digitare Nega processi figli per rundll32.exe nel campo Nome regola.
Dal menu a discesa Azione , selezionare Blocca.
Fare clic sulla levetta accanto alle seguenti impostazioni per attivarle:
- Applicazioni
- Abilitato
- Notifica all'utente
Dal menu a discesa Gravità di registrazione, selezionare Avviso e fare clic su Avanti.
- Nella finestra Applicazioni di origine, fate clic su Aggiungi, digitate
C:\Windows\System32\rundll32.exenel campo Specifica percorso file, quindi fate clic su OK → Avanti.
- Nella finestra Operazioni applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
-
Nella finestra Applicazioni, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\cmd.exeC:\Windows\SysWOW64\cmd.exeC:\Windows\System32\wscript.exeC:\WindowsSysWOW64\wscript.exeC:\Windows\System32\cscript.exeC:\Windows\SysWOW64\cscript.exeC:\Windows\System32\ntvdm.exeC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Fare clic su Fine.
- Lasciate aperta la finestra delle regole HIPS e proseguite con la sezione successiva.
VII. Negare i processi figli di powershell.exe
- Nella finestra delle regole HIPS, fate clic su Aggiungi.
-
Nel campo Nome regola digitare Nega processi figli di powershell.exe.
Dal menu a discesa Azione , selezionare Blocca.
Fare clic sulla levetta accanto alle seguenti impostazioni per attivarle:
- Applicazioni
- Abilitato
- Notifica all'utente
Dal menu a discesa Gravità di registrazione, selezionare Avviso e fare clic su Avanti.
-
Nella finestra Applicazioni di origine, fate clic su Aggiungi e digitate i seguenti nomi, facendo clic su OK → Aggiungi dopo ciascuno di essi:
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exeC:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
Fare clic su Avanti.
- Nella finestra Operazioni dell'applicazione, fate clic sulla levetta accanto a Avvia nuova applicazione per attivarla e fate clic su Avanti.
- Selezionate Tutte le applicazioni dal menu a discesa e fate clic su Fine.
- Nella finestra delle regole HIPS , fare clic su OK. Espandere Assegna per assegnare il criterio a un client o a un gruppo; altrimenti, fare clic su Fine nella schermata Nuovo criterio - Impostazioni. Se assegnate, le impostazioni del criterio verranno applicate ai gruppi o ai computer client di destinazione una volta effettuato il check-in in ESET PROTECT o ESET PROTECT On-Prem.
Se si utilizza un prodotto ESET business senza gestione remota, fare clic su OK due volte.
Scaricare e importare il criterio ESET PROTECT
La Politica ESET PROTECT per i prodotti ESET business con impostazioni HIPS aggiuntive per la protezione dal malware ransomware (filecoder) può essere scaricata e importata dai link sottostanti. Il criterio ESET PROTECT è disponibile solo per la versione più recente dei prodotti ESET. La compatibilità con le versioni precedenti non può essere garantita.
-
Scaricate il criterio di protezione HIPS aggiuntivo ESET PROTECT per:
-
Aprire ESET PROTECT o ESET PROTECT On-Prem. Nel menu principale, fare clic su Criteri.
- Fare clic su Azioni → Importa....
Fare clic sull'immagine per ingrandirla nella nuova finestra
- Fare clic su Scegli file da caricare, selezionare il criterio scaricato e fare clic su Importa.
- Assegnare il criterio a un client o assegnarlo a un gruppo. Le impostazioni dei criteri verranno applicate ai gruppi o ai computer client di destinazione una volta effettuato il check-in in ESET PROTECT o ESET PROTECT On-Prem.
