[KB6119] Konfigurera HIPS-regler i ESET:s affärsapplikationer eller via ESET PROTECT eller ESET PRTOECT On-Prem

OBS:

Den här sidan har översatts av en dator. Klicka på engelska under Språk på den här sidan för att se originaltexten. Om du tycker att något är oklart, kontakta din lokala support.

Problem

Mer information

Klicka för att expandera


ESET:s Host-based Intrusion Prevention System (HIPS) ingår i ESET Endpoint Security, ESET Endpoint Antivirus, ESET Mail Security för Microsoft Exchange Server och ESET Server Security för Microsoft Windows Server. HIPS övervakar systemaktivitet och använder en fördefinierad uppsättning regler för att känna igen misstänkt systembeteende.

När den här typen av aktivitet identifieras stoppar HIPS självförsvarsmekanism det felaktiga programmet eller processen från att utföra en potentiellt skadlig aktivitet. Genom att förbjuda standardkörning av JavaScript och andra skript kan ransomware inte laddas ner eller köras. För att ytterligare hjälpa till att förhindra skadlig ransomware på dina Windows-system kan du skapa följande regler i de senaste ESET-affärsprogrammen med HIPS, eller skapa och tillämpa en ESET PROTECT- eller ESET PROTECT On-Prem-policy.

Lösning

Justera inte inställningarna på produktionssystem

Följande inställningar är ytterligare konfigurationer, och de specifika inställningar som behövs för din säkerhetsmiljö kan variera. Vi rekommenderar att du testar inställningarna för varje implementering i en testmiljö innan du använder dem i en produktionsmiljö.

Skapa en ESET PROTECT- eller ESET PROTECT On-Prem-policy manuellt / konfigurera inställningarna i ESET:s affärsprogram

  1. Öppna redigeraren för HIPS-regler i principguiden eller ESET-programkonfigurationen:

    ESET PROTECT eller ESET PROTECT On-Prem Policy

    2. Skapa en policy i ESET PROTECT eller ESET PROTECT On-Prem.

    3. I avsnittet Inställningar väljer du ESET Endpoint för Windows i rullgardinsmenyn. Klicka på HIPS och sedan på Redigera bredvid Regler.

    ESET-applikation

    1. Öppna huvudprogramfönstret för din ESET Windows endpoint-applikation.

    2. Tryck på F5 för att komma till Avancerade inställningar.

    3. Klicka på HIPS och sedan på Redigera bredvid Regler.

  2. Klicka på alternativet (I. till VII.) för att expandera varje avsnitt nedan och skapa alla ytterligare HIPS-regler.


    I. Neka processer från körbara skript

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka barnprocesser från körbara skript i fältet Regelnamn. Välj Blockera i rullgardinsmenyn Åtgärd . Klicka på växlingsknappen bredvid Program, Aktiverad och Meddela användare för att aktivera dessa inställningar. Välj Varning i rullgardinsmenyn Loggningens allvarlighetsgrad och klicka på Nästa.

    3. Klicka på Lägg till i fönstret Källprogram och skriv in följande namn och klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe

      Klicka på Nästa.

    4. I fönstret Programfunktioner klickar du på reglaget bredvid Starta nytt program för att aktivera det och klickar sedan på Nästa.

    5. Välj Alla program i rullgardinsmenyn och klicka på Slutför.

    6. Lämna fönstret HIPS-regler öppet och fortsätt till nästa avsnitt.


    II. Neka skriptprocesser som startas av Explorer

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka sk riptprocesser som startas av utforskaren i fältet Regelnamn.

      Välj Blockera i rullgardinsmenyn Åtgärd .

      Aktivera växlingsmarkeringen bredvid Program.

      Välj Varning i rullgardinsmenyn Loggningens allvarlighetsgrad och klicka på Nästa.

    3. Klicka på Lägg till i fönstret Källprogram, skriv C:\Windows\explorer.exe i fältet Ange filsökväg och klicka på OK → Nästa.

    4. I fönstret Programoperationer klickar du på växlingsknappen bredvid Starta nytt program för att aktivera det och klickar på Nästa.

    5. Klicka på Lägg till i fönstret Program och skriv in följande namn genom att klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\SysWOW64\cscript.exe

      Klicka på Slutför.

    6. Lämna fönstret med HIPS-regler öppet och fortsätt till nästa avsnitt.


    III. Neka underordnade processer från Office 2024-processer

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka barnprocesser från Office 2024-processer i fältet Regelnamn. Välj Blockera i rullgardinsmenyn Åtgärd . Klicka på vippan bredvid Program, Aktiverad och Meddela användare för att aktivera dessa inställningar. Välj Varning i rullgardinsmenyn Loggningens allvarlighetsgrad och klicka på Nästa.

    3. Klicka på Lägg till i fönstret Källprogram och skriv in följande namn och klicka på OK → Lägg till efter varje namn:

      • C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE
      • C:\Program Files\Microsoft Office\root\Office16\OUTLOOK.EXE
      • C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE
      • C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\WINWORD.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\OUTLOOK.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\EXCEL.EXE
      • C:\Program Files (x86)\Microsoft Office\root\Office16\POWERPNT.EXE

      Klicka på Nästa.

    4. I fönstret Programoperationer klickar du på reglaget bredvid Starta nytt program för att aktivera det och klickar på Nästa.

    5. Klicka på Lägg till i fönstret Program och skriv in följande namn genom att klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\System32\regsvr32.exe
      • C:\Windows\SysWOW64\regsvr32.exe
      • C:\Windows\System32\rundll32.exe
      • C:\Windows\SysWOW64\rundll32.exe

      Klicka på Slutför.

    6. Lägg till ytterligare Office-versioner efter behov genom att upprepa samma instruktioner som ovan.

      • 2013 = Office15(C:\Program Files (x86)\Microsoft Office\Office15\...)
      • 2010 = Office14

    7. Lämna fönstret med HIPS-regler öppet och fortsätt till nästa avsnitt.


    IV. Neka underordnade processer för regsrv32.exe

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka barnprocesser för regsrv32.exe i fältet Regelnamn.

      Välj Blockera i rullgardinsmenyn Åtgärd .

      Klicka på växla bredvid följande inställningar för att aktivera dem:

      • Program
      • Aktiverad
      • Meddela användare

      Välj Warning i rullgardinsmenyn Logging severity och klicka på Next.

    3. Klicka på Lägg till i fönstret Källprogram och skriv in följande namn och klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\regsvr32.exe
      • C:\Windows\SysWOW64\regsvr32.exe

      Klicka på Nästa.

    4. I fönstret Programfunktioner klickar du på växlingsfliken bredvid Starta nytt program för att aktivera det och klickar sedan på Nästa.

    5. Klicka på Lägg till i fönstret Program och skriv in följande namn genom att klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

      Klicka på Slutför.

    6. Lämna fönstret med HIPS-regler öppet och fortsätt till nästa avsnitt.


    V. Neka underordnade processer för mshta.exe

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka barnprocesser för mshta.exe i fältet Regelnamn.

      Välj Blockera i rullgardinsmenyn Åtgärd .

      Klicka på växlingsknappen bredvid följande inställningar för att aktivera dem:

      • Program
      • Aktiverad
      • Meddela användare

      Välj Warning i rullgardinsmenyn Logging severity och klicka på Next.

    3. Klicka på Lägg till i fönstret Källprogram och skriv in följande namn och klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\mshta.exe
      • C:\Windows\SysWOW64\mshta.exe

      Klicka på Nästa.

    4. I fönstret Programfunktioner klickar du på reglaget bredvid Starta nytt program för att aktivera det och klickar sedan på Nästa.

    5. Välj Alla program i rullgardinsmenyn och klicka på Slutför.

    6. Lämna fönstret HIPS-regler öppet och fortsätt till nästa avsnitt.


    VI. Neka underordnade processer för rundll32.exe

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka barnprocesser för rundll32.exe i fältet Regelnamn.

      Välj Blockera i rullgardinsmenyn Åtgärd .

      Klicka på växlingsmarkeringen bredvid följande inställningar för att aktivera dem:

      • Program
      • Aktiverad
      • Meddela användare

      Välj Varning i rullgardinsmenyn Loggningens allvarlighetsgrad och klicka på Nästa.

    3. Klicka på Lägg till i fönstret Källprogram, skriv C:\Windows\System32\rundll32.exe i fältet Ange filsökväg och klicka sedan på OK → Nästa.

    4. I fönstret Programfunktioner klickar du på växlingsrutan bredvid Starta nytt program för att aktivera det och klickar sedan på Nästa.

    5. I fönstret Program klickar du på Lägg till och skriver in följande namn och klickar på OK → Lägg till efter varje namn:

      • C:\Windows\System32\cmd.exe
      • C:\Windows\SysWOW64\cmd.exe
      • C:\Windows\System32\wscript.exe
      • C:\Windows\SysWOW64\wscript.exe
      • C:\Windows\System32\cscript.exe
      • C:\Windows\SysWOW64\cscript.exe
      • C:\Windows\System32\ntvdm.exe
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

      Klicka på Slutför.

    6. Lämna fönstret med HIPS-regler öppet och fortsätt till nästa avsnitt.


    VII. Neka underordnade processer för powershell.exe

    1. Klicka på Lägg till i fönstret HIPS-regler.

    2. Skriv Neka barnprocesser för powershell.exe i fältet Regelnamn.

      Välj Blockera i rullgardinsmenyn Åtgärd .

      Klicka på växlingsknappen bredvid följande inställningar för att aktivera dem:

      • Program
      • Aktiverad
      • Meddela användare

      Välj Warning i rullgardinsmenyn Logging severity och klicka på Next.

    3. Klicka på Lägg till i fönstret Källprogram och skriv in följande namn genom att klicka på OK → Lägg till efter varje namn:

      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

      Klicka på Nästa.

    4. I fönstret Programfunktioner klickar du på reglaget bredvid Starta nytt program för att aktivera det och klickar sedan på Nästa.

    5. Välj Alla program i rullgardinsmenyn och klicka på Slutför.

  3. Om du skapar en policy klickar du på OK i fönstret HIPS-regler och avslutar policyguiden.

    Om du konfigurerar ett ESET-företagsprogram klickar du på OK → OK.

Hämta och importera ESET PROTECT- eller ESET PROTECT On-Prem-policyn

ESET PROTECT- eller ESET PROTECT On-Prem-policyn för ESET-företagsprogram med ytterligare HIPS-inställningar för att skydda mot skadlig ransomware (filkodare) kan hämtas från länkarna nedan. Policyer är endast tillgängliga för den senaste versionen av ESET-applikationer. Kompatibilitet med tidigare versioner kan inte garanteras.

  1. Ladda ner policyn för ytterligare HIPS-skydd ESET PROTECT eller ESET PROTECT On-Prem för:

  3. Öppna fönstret för policyimport:

    ESET PROTECT

    Klicka på Konfiguration → Avancerade inställningar → Åtgärder → Importera.

    ESET PROTECT på plats

    Klicka på Policyer → Åtgärder → Importera.

  4. Klicka på Välj fil att ladda upp, välj den nedladdade policyn och klicka på Importera.

  5. Tilldela policyn till en klient eller tilldela policyn till en grupp.

Uppdaterades senast: 2026 cuo 27

Mer resurser

Användarguider

ESET forum

YouTube-videor
ESET Status Portal ESET Technical Support

Befintlig kund?