[KB6119] Configurar regras de HIPS para os produtos empresariais da ESET para proteção contra ransomware

NOTA:

Esta página foi traduzida por um computador. Clique em inglês em Idiomas nesta página para exibir o texto original. Se você encontrar algo que não esteja claro, por favor entre em contato com o suporte local.

Questão

Click an image to open the ESET Knowledgebase article for anti-ransomware best practices and additional product configurations:

Detalhes

Clique para expandir


O sistema de prevenção de intrusão baseado em host da ESET (HIPS) está incluído no ESET Endpoint Security, ESET Endpoint Antivirus, ESET Mail Security para Microsoft Exchange Server e ESET File Security para Microsoft Windows Server. O HIPS monitora a atividade do sistema e utiliza um conjunto de regras predefinidas para reconhecer comportamentos suspeitos do sistema.

Quando esse tipo de atividade é identificado, o mecanismo de autodefesa do HIPS impede que o programa ou processo ofensivo realize uma atividade potencialmente prejudicial. Ao proibir a execução padrão de JavaScript e outros scripts, o ransomware não pode ser baixado ou executado. Para ajudar ainda mais a evitar o malware de ransomware em seus sistemas Windows, crie as seguintes regras nos produtos empresariais mais recentes da ESET com HIPS ou crie e aplique uma Política do ESET PROTECT.

Solução

Não ajuste as configurações nos sistemas de produção

As definições a seguir são configurações adicionais e as definições específicas necessárias para seu ambiente de segurança podem variar. Recomendamos que você teste as configurações de cada implementação em um ambiente de teste antes de usá-las em um ambiente de produção.

Criar manualmente uma Política do ESET PROTECT/configurar as definições nos produtos empresariais da ESET

  1. Abra o ESET PROTECT ou ESET PROTECT On-Prem. No menu suspenso Links rápidos, clique em Criar nova política....

    Se estiver utilizando um produto comercial da ESET sem gerenciamento remoto, abra a janela principal do programa de seu produto ESET Windows e pressione a tecla F5 para acessar a Configuração avançada. Prossiga para a etapa 3.
  2. Clique em Configurações e no menu suspenso Selecionar produto..., selecione um dos seguintes produtos empresariais da ESET com HIPS:
    • ESET Endpoint para Windows.
    • ESET File Security para Windows Server (V6+).
    • ESET Mail Security para Microsoft Exchange (V6+).
Figura 1-1
Clique na imagem para ampliá-la em uma nova janela
  1. Clique em Mecanismo de detecção(Computador no ESET Mail Security para Microsoft Exchange Server) → HIPS. Clique em Editar ao lado de Regras.
Figura 1-2
Clique na imagem para ampliá-la em uma nova janela

Clique na opção (I. a VII.) para expandir cada seção abaixo e criar as regras de HIPS para os processos sugeridos.


I. Negar processos a partir de executáveis de script
  1. Na janela de regras de HIPS, clique em Adicionar.
Figura 2-1

  1. Digite Negar processos filhos de executáveis de script no campo Nome da regra. No menu suspenso Action (Ação ), selecione Block (Bloquear). Clique no botão de alternância ao lado de Applications (Aplicativos), Enabled (Ativado) e Notify user (Notificar usuário ) para ativar essas configurações. No menu suspenso Gravidade do registro, selecione Warning e clique em Next.

Figura 2-2

  1. Na janela Aplicativos de origem, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Windows\System32\wscript.exe
    • C:\Windows\System32\cscript.exe
    • C:\Windows\SysWOW64\wscript.exe
    • C:\Windows\SysWOW64\cscript.exe
    • C:\Windows\System32\ntvdm.exe

    Clique em Next (Avançar).

Figura 2-3
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 2-4
  1. Selecione All applications (Todos os aplicativos ) no menu suspenso e clique em Finish (Concluir).
Figura 2-5
  1. Deixe a janela de regras do HIPS aberta e continue na próxima seção.

II. Negar processos de script iniciados pelo Explorer
  1. Na janela de regras do HIPS, clique em Add (Adicionar).

  1. Digite Deny script processes started by explorer (Negar processos de script iniciados pelo explorador ) no campo Rule name (Nome da regra).

    No menu suspenso Action (Ação ), selecione Block(Bloquear).

    Clique no botão de alternância ao lado de:

    No menu suspenso Gravidade do registro, selecione Aviso e clique em Avançar.

Figura 3-1
  1. Na janela Aplicativos de origem, clique em Add, digite C:\Windows\explorer.exe no campo Specify file path e clique em OK → Next.
Figura 3-2
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 3-3

  1. Na janela Aplicativos, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Windows\System32\wscript.exe
    • C:\Windows\System32\cscript.exe
    • C:\Windows\SysWOW64\wscript.exe
    • C:\Windows\SysWOW64\cscript.exe

    Clique em Finish (Concluir).

Figura 3-4
  1. Deixe a janela de regras do HIPS aberta e continue na próxima seção.

III. Negar processos filhos de processos do Office 2013/2016
  1. Na janela de regras do HIPS, clique em Add (Adicionar).

  2. Digite Negar processos filhos de processos do Office 2013 no campo Nome da regra. No menu suspenso Ação , selecione Bloquear. Clique no botão de alternância ao lado de Aplicativos, Ativado e Notificar usuário para ativar essas configurações. No menu suspenso Gravidade do registro, selecione Aviso e clique em Avançar.

Figura 4-1

  1. Na janela Aplicativos de origem, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Arquivos de Programas\Microsoft Office\Office15\WINWORD.EXE
    • C:\Arquivos de Programas\Microsoft Office\Office15\OUTLOOK.EXE
    • C:\Arquivos de Programas\Microsoft Office\Office15\EXCEL.EXE
    • C:\Arquivos de Programas\Microsoft Office\Office15\POWERPNT.EXE
    • C:\Arquivos de Programas (x86)\Microsoft Office\Office15\WINWORD.EXE
    • C:\Arquivos de Programas (x86)\Microsoft Office\Office15\OUTLOOK.EXE
    • C:\Arquivos de Programas (x86)\Microsoft Office\Office15\EXCEL.EXE
    • C:\Arquivos de Programas (x86)\Microsoft Office\Office15\POWERPNT.EXE

    Clique em Next (Avançar).

Figura 4-2
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 4-3

  1. Na janela Aplicativos, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Windows\System32\cmd.exe
    • C:\Windows\SysWOW64\cmd.exe
    • C:\Windows\System32\wscript.exe
    • C:\Windows\SysWOW64\wscript.exe
    • C:\Windows\System32\cscript.exe
    • C:\Windows\SysWOW64\cscript.exe
    • C:\Windows\System32\ntvdm.exe
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
    • C:\Windows\System32\regsvr32.exe
    • C:\Windows\SysWOW64\regsvr32.exe
    • C:\Windows\System32\rundll32.exe
    • C:\Windows\SysWOW64\rundll32.exe

    Clique em Finish (Concluir).

Figura 4-4

  1. Adicione outras versões do Office conforme necessário, repetindo as mesmas instruções acima.

    • 2016 = Office16 (C:\Program Files (x86)\Microsoft Office\Root\Office16\...)
    • 2010 = Office14

  1. Deixe a janela de regras do HIPS aberta e continue na próxima seção.


IV. Negar processos filhos para regsrv32.exe
  1. Na janela de regras do HIPS, clique em Add (Adicionar).

  1. Digite Negar processos filhos para regsrv32.exe no campo Nome da regra.

    No menu suspenso Ação , selecione Bloquear.

    Clique no botão de alternância ao lado das seguintes configurações para ativá-las:

    • Aplicativos
    • Ativado
    • Notificar usuário

    No menu suspenso Gravidade do registro, selecione Aviso e clique em Avançar.

Figura 5-1

  1. Na janela Aplicativos de origem, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Windows\System32\regsvr32.exe
    • C:\Windows\SysWOW64\regsvr32.exe

    Clique em Next.

Figura 5-2
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 5-3

  1. Na janela Aplicativos, clique em Adicionar e digite os seguintes nomes, clicando em OK → Adicionar após cada um deles:

    • C:\Windows\System32\cmd.exe
    • C:\Windows\SysWOW64\cmd.exe
    • C:\Windows\System32\wscript.exe
    • C:\Windows\SysWOW64\wscript.exe
    • C:\Windows\System32\cscript.exe
    • C:\Windows\SysWOW64\cscript.exe
    • C:\Windows\System32\ntvdm.exe
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

    Clique em Finish (Concluir).

Figura 5-4
  1. Deixe a janela de regras de HIPS aberta e continue na próxima seção.

V. Negar processos filhos para mshta.exe
  1. Na janela de regras do HIPS, clique em Add (Adicionar).

  1. Digite Deny child processes for mshta.exe no campo Rule name (Nome da regra).

    No menu suspenso Ação , selecione Bloquear.

    Clique no botão de alternância ao lado das seguintes configurações para ativá-las:

    • Aplicativos
    • Ativado
    • Notificar usuário

    No menu suspenso Gravidade do registro, selecione Aviso e clique em Avançar.

Figura 6-1

  1. Na janela Aplicativos de origem, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Windows\System32\mshta.exe
    • C:\Windows\SysWOW64\mshta.exe

    Clique em Next.

Figura 6-2
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 6-3
  1. Selecione All applications (Todos os aplicativos ) no menu suspenso e clique em Finish (Concluir).
  1. Deixe a janela de regras do HIPS aberta e continue na próxima seção.

VI. Negar processos filhos para rundll32.exe
  1. Na janela de regras de HIPS, clique em Add (Adicionar).

  1. Digite Deny child processes for rundll32.exe no campo Rule name (Nome da regra).

    No menu suspenso Action (Ação ), selecione Block (Bloquear).

    Clique no botão de alternância ao lado das seguintes configurações para ativá-las:

    • Aplicativos
    • Ativado
    • Notificar usuário

    No menu suspenso Gravidade do registro, selecione Aviso e clique em Avançar.

Figura 7-1
  1. Na janela Aplicativos de origem, clique em Add, digite C:\Windows\System32\rundll32.exe no campo Specify file path e clique em OK → Next.
Figura 7-2
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 7-3

  1. Na janela Aplicativos, clique em Adicionar e digite os seguintes nomes, clicando em OK → Adicionar após cada um deles:

    • C:\Windows\System32\cmd.exe
    • C:\Windows\SysWOW64\cmd.exe
    • C:\Windows\System32\wscript.exe
    • C:\Windows\SysWOW64\wscript.exe
    • C:\Windows\System32\cscript.exe
    • C:\Windows\SysWOW64\cscript.exe
    • C:\Windows\System32\ntvdm.exe
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

    Clique em Finish (Concluir).

Figura 7-4
  1. Deixe a janela de regras do HIPS aberta e continue na próxima seção.

VII. Negar processos filhos para powershell.exe
  1. Na janela de regras do HIPS, clique em Add (Adicionar).

  1. Digite Deny child processes for powershell.exe no campo Rule name (Nome da regra).

    No menu suspenso Action (Ação ), selecione Block (Bloquear).

    Clique no botão de alternância ao lado das seguintes configurações para ativá-las:

    • Aplicativos
    • Ativado
    • Notificar usuário

    No menu suspenso Gravidade do registro, selecione Aviso e clique em Avançar.

Figura 8-1

  1. Na janela Aplicativos de origem, clique em Add e digite os seguintes nomes, clicando em OK → Add após cada um deles:

    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

    Clique em Next (Avançar).

Figura 8-2
  1. Na janela Operações do aplicativo, clique no botão de alternância ao lado de Iniciar novo aplicativo para ativá-lo e clique em Next.
Figura 8-3
  1. Selecione All applications (Todos os aplicativos ) no menu suspenso e clique em Finish (Concluir).
  1. Na janela Regras de HIPS , clique em OK. Expanda Atribuir para atribuir a política a um cliente ou grupo; caso contrário, clique em Concluir na tela Nova política - Configurações. Se atribuídas, as configurações de sua política serão aplicadas aos grupos-alvo ou computadores clientes assim que eles fizerem check-in no ESET PROTECT ou ESET PROTECT On-Prem.

    Se estiver usando um produto comercial da ESET sem gerenciamento remoto, clique em OK duas vezes.

Download e importação da Política do ESET PROTECT

A Política do ESET PROTECT para produtos empresariais da ESET com configurações adicionais de HIPS para proteção contra malware de ransomware (filecoder) pode ser baixada e importada a partir dos links abaixo. A Política ESET PROTECT está disponível somente para a versão mais recente dos produtos ESET. A compatibilidade com versões anteriores não pode ser garantida.

  1. Faça o download da Política ESET PROTECT de Proteção HIPS Adicional para:

  1. Abra o ESET PROTECT ou ESET PROTECT On-Prem. No menu principal, clique em Políticas.

  2. Clique em Ações → Importar....
Figura 9-1
Clique na imagem para ampliá-la em uma nova janela
  1. Clique em Choose file to upload (Escolher arquivo para carregar), selecione a política baixada e clique em Import (Importar).
Figura 9-2
  1. Atribua a política a um cliente ou atribua a política a um grupo. As configurações da política serão aplicadas aos grupos-alvo ou aos computadores clientes assim que eles fizerem o check-in no ESET PROTECT ou no ESET PROTECT On-Prem.
Última atualizaçăo: 19 de dez. de 2025

Mais Artigos:

Ajuda on-line

ESET Security Forum

Vídeos da Base de Conhecimento
ESET Status Portal ESET Technical Support

Cliente atual?