Dell Threat Defensen suositellut käytännöt

Käytännöt on suositeltavaa määrittää Oppimistilassa tai Suojaustilassa. Dell suosittelee testaamaan Dell Threat Defensen toimintaa ympäristössä Oppimistilan avulla. Tämä on tehokkainta, kun Dell Threat Defense otetaan käyttöön päätepisteissä tavallisesta yrityslevykuvasta.

Sovelluspalvelimissa voi olla tarpeellista tehdä muutoksia levyjen tavallista suuremman tiedonsiirron vuoksi.

Kun järjestelmänvalvoja on käsitellyt kaikki hälytykset Dell Threat Defense -hallintakonsolissa, Dell suosittelee vaihtamaan Suojaustilan suositeltuihin käytäntöihin. Dell suosittelee testaamaan tuotetta Oppimistilassa vähintään parin viikon ajan ennen vaihtamista Suojaustilan käytäntöihin.

Katso lisätietoja valitsemalla Sovelluspalvelimen suositukset, Oppimistila tai Suojaustila.

Threat Defense -käytäntöjen määritelmät:

Tiedostotoiminnot

Automaattinen karanteeni ja Suorittamisen hallinta vaarallisille tiedostoille

Tämä käytäntö määrittää, mitä tapahtuu tiedostoille, jotka havaitaan niiden suorittamisen aikana. Uhka on oletusarvoisesti estetty, vaikka vaarallinen tiedosto olisi jo käynnissä. Vaaralliseksi lasketaan suoritettavat tiedostot, joiden arvosana Advanced Threat Preventionin arvioimiin uhkaindikaattoreihin perustuvassa arvosanajärjestelmässä on yli 60.

Automaattinen karanteeni ja Suorittamisen hallinta poikkeaville tiedostoille

Tämä käytäntö määrittää, mitä tapahtuu tiedostoille, jotka havaitaan niiden suorittamisen aikana. Uhka on oletusarvoisesti estetty, vaikka poikkeava tiedosto olisi jo käynnissä. Poikkeaville on merkitty suoritettavat tiedostot, joiden arvosana Advanced Threat Preventionin arvioimiin uhkaindikaattoreihin perustuvassa arvosanajärjestelmässä on enintään 0, mutta ei yli 60.

Ota käyttöön automaattinen poisto karanteenissa oleville tiedostoille

Kun vaaralliset tai poikkeavat tiedostot asetetaan karanteeniin laitetason karanteenien, yleisten karanteenilistojen tai automaattisen karanteenikäytännön perusteella, niitä säilytetään paikallisessa ja eristetyssä karanteenivälimuistissa paikallisessa laitteessa. Kun Enable auto-delete for quarantined files (Ota käyttöön automaattinen poisto karanteenissa oleville tiedostoille) on käytössä, se määrittää vuorokausien määrän (vähintään 14 päivää, enintään 365 päivää), jonka ajan tiedostoa säilytetään paikallisessa laitteessa ennen pysyvää poistoa. Kun tämä on käytössä, voit muuttaa päivien määrää.

Automaattinen lähetys

Merkitsee uhat, joita Threat Defensen SaaS (Software as a Service) -ympäristö ei ole aiemmin havainnut, jotta niitä voidaan analysoida lisää. Kun paikallinen malli merkitsee tiedoston mahdolliseksi uhaksi, suoritettavasta tiedostosta otetaan SHA256-hajautusarvo, joka lähetetään SaaS-ympäristöön. Jos lähetettyä SHA256-hajautusarvoa ei voida yhdistää uhkaan ja Automaattinen lähetys on käytössä, uhka voidaan lähettää turvallisesti SaaS-ympäristöön arvioitavaksi. Tietoja säilytetään turvallisesti ja Dell tai sen kumppanit eivät voi käyttää niitä.

Käytännön turvallisiksi merkityt tiedostot

Käytännön turvallisiksi merkityt tiedostot on luettelo tiedostoista, jotka on merkitty ympäristössä turvallisiksi ja jotka on hyväksytty manuaalisesti lisäämällä luetteloon niiden SHA256-hajautusarvo sekä mahdolliset lisätiedot. Kun sha256-hajautusarvo lasketaan luetteloon ja tiedosto suoritetaan, paikalliset tai pilvipalveluuhkamallit eivät arvioi sitä. Tiedostopolut ovat absoluuttisia.

Esimerkkejä poikkeuksista:

Correct (Windows): C:\Program Files\Dell Correct (Mac): /Mac\ HD/Users/Application\ Support/Dell Incorrect: C:\Program Files\Dell\Executable.exe Incorrect: \Program Files\Dell\

Suojausasetukset

Pysäytä vaaralliset käynnissä olevat prosessit ja niiden aliprosessit

Kun Pysäytä vaaralliset käynnissä olevat prosessit ja niiden aliprosessit on otettu käyttöön, se määrittää, luoko uhka aliprosesseja vai onko sovellus ottanut haltuunsa muita muistissa käynnissä olevia prosesseja. Jos uhan uskotaan poistaneen prosessin haltuunsa, ensisijainen uhka ja sen luomat tai omistamat prosessit lopetetaan välittömästi.

Uhkien taustatarkistus

Kun Uhkien taustatarkistus on käytössä, se tarkistaa koko laitteen suoritettavat tiedostot ja arvioi sen paikallisen uhkamallin avulla ja pyytää pilvipohjaisen SaaS-version vahvistusta suoritettavan tiedoston uhkaindikaattorien avulla. Uhkien taustatarkistus on mahdollinen kahdella tavalla: Suorita kerran / Suorita toistuvasti. Suorita kerran -toiminto tekee taustatarkistukseen kaikki laitteeseen liitetyt fyysiset asemat heti, kun Threat Defense asennetaan ja aktivoidaan. Suorita toistuvasti -toiminto tekee taustatarkistuksen kaikille laitteeseen liitetyille laitteille heti, kun Threat Defense asennetaan ja aktivoidaan, ja toistaa tarkistuksen yhdeksän päivän välein (ei määritettävissä).

Tarkista uudet tiedostot

Kun Tarkista uudet tiedostot -toiminto on käytössä, laitteeseen lisätyt suoritettavat tiedostot arvioidaan heti paikallisen mallin uhkaindikaattorien avulla, ja pilvipohjainen SaaS vahvistaa arvosanan.

Kopioi tiedostonäytteet

Kopioi tiedostonäytteet -toiminto tuo laitteesta löytyneet uhat automaattisesti unc-polun mukaiseen määritettyyn säilöön. Tätä suositellaan vain sisäiseen uhkien tutkimiseen tai turvallisen säilön luomiseen ympäristön pakatuista uhista. Kaikki Kopioi tiedostonäytteet -toiminnon tallentamat tiedostot on pakattu zip-tiedostoihin, joiden salasana infectedon .

Sovelluksen asetukset

Ota käyttöön lokitiedostojen automaattinen lähetys

Ota käyttöön lokitiedostojen automaattinen lähetys -toiminto lähettää päätepisteiden lokitiedostot Dell Threat Defenseen päivittäin keskiyöllä tai kun tiedoston koko ylittää 100 Mt. Lokit ladataan tiedostokoosta riippumatta päivittäin. Kaikki lokit pakataan ennen niiden poistumista verkosta.

Ota käyttöön työpöytäilmoitukset

Ota käyttöön työpöytäilmoitukset -toiminto lähettää laitteiden käyttäjille ilmoituksia, kun jokin tiedosto merkitään poikkeavaksi tai vaaralliseksi. Jos käytäntö on otettu käyttöön päätepisteessä, sen voi valita napsauttamalla hiiren kakkospainikkeella Dell Threat Defensen ilmaisinalueen kuvaketta.

Komentosarjojen hallinta

Komentosarjojen hallinta

Komentosarjojen hallinta tunnistaa muistisuodattimella laitteessa käynnissä olevia komentosarjoja ja estää ne, jos käytäntö on määritetty estämään kyseisellä komentosarjatyypillä. Näiden käytäntöjen Hälytysasetuksissa huomioida ainoastaan komentosarjat, jotka olisi estetty lokeissa ja Dell Threat Defense -konsolissa.

1370 tai vanhemmat versiot

Nämä käytännöt koskevat 1370-versiota ja vanhempia, jotka olivat käytettävissä ennen kesäkuuta 2016. Näissä versioissa käytetään vain aktiivisia komentosarjoja ja PowerShell-pohjaisia komentosarjoja.

1380 tai uudemmat versiot

Nämä käytännöt koskevat 1370-version jälkeisiä versioita, jotka tulivat käyttöön kesäkuussa 2016.

Aktiiviset komentosarjat

Aktiiviset komentosarjat sisältävät minkä tahansa Windows Script Hostin käyttämän komentosarjan, kuten JavaScriptin, VBScriptin ja komentojonotiedostot.

PowerShell

PowerShell-komentosarjoihin sisältyy mikä tahansa monirivinen komentosarja, joka suoritetaan yhtenä komentona. (Oletusasetus : Alert (Hälytys)

Estä PowerShell-konsolin käyttö (ei käytössä, kun PowerShell on määritetty hälyttämään)

PowerShell 3:ssa (otettu käyttöön Windows 8.1:ssä) ja uudemmissa versioissa useimmat PowerShell-komentosarjat suoritetaan yksirivisinä komentoina. vaikka niissä saattaa olla useita rivejä, ne suoritetaan järjestyksessä. Tämän seurauksena PowerShell-komentosarjojen tulkitsija voi ohittaa ne. Estä PowerShell-konsolin käyttö -toiminto ratkaisee ongelman estämällä sovelluksia käynnistämästä PowerShell-konsolia. Käytäntö ei vaikuta ISE (Integrated Scripting Environment) -ympäristöön.

Makrot

Makrot-asetus tulkitsee Office-asiakirjoissa ja PDF-tiedostoissa olevia makroja ja estää haitalliset makrot, jotka voivat yrittää ladata uhkia.

Poista komentosarjojen hallinta käytöstä

Nämä käytännöt estävät jopa pelkät hälytykset kussakin käytännössä määritetyistä komentosarjatyypeistä. Kun käytännöt on poistettu käytöstä, lokeja ei kerätä ja mahdollisia uhkia ei yritetä havaita tai estää.

Aktiiviset komentosarjat

Kun käytäntö on valittu, lokeja ei kerätä ja aktiiviseen komentosarjaan perustuvia uhkia ei estetä. Aktiiviset komentosarjat sisältävät minkä tahansa Windows Script Hostin käyttämän komentosarjan, kuten JavaScriptin, VBScriptin ja komentojonotiedostot.

PowerShell

Kun käytäntö on valittu, lokeja ei kerätä ja PowerShell-pohjaisia uhkia ei estetä. PowerShell-komentosarjoihin sisältyy mikä tahansa monirivinen komentosarja, joka suoritetaan yhtenä komentona.

Makrot

Kun käytäntö on valittu, lokeja ei kerätä ja makropohjaisia uhkia ei estetä. Makrot-asetus tulkitsee Office-asiakirjoissa ja PDF-tiedostoissa olevia makroja ja estää haitalliset makrot, jotka voivat yrittää ladata uhkia.

Kansiopoikkeukset (sisältää alikansiot)

Kansiopoikkeuksilla voi määrittää kansioita, joiden komentosarjoja saa poikkeuksellisesti suorittaa. Poikkeukset on määritettävä käyttämällä suhteellista tiedostopolkua.

• Polut voivat olla paikallisia asemapolkuja, verkkoasemapolkuja tai UNC-polkuja.
• Komentosarjojen kansiopoikkeuksissa on määritettävä kansion tai alikansion suhteellinen polku.
• Määritetty polku sisältää myös mahdolliset alikansiot.
• Yleismerkeissä on käytettävä Vinoviivat UNIX-tyyliin Windows-tietokoneissa. Esimerkki: /windows/system*/.
• Ainoa tuettu yleismerkki on *.
• Kansiota koskevan poikkeuksen polun lopussa on oltava vinoviiva, joka erottaa sen tiedostoa koskevasta poikkeuksesta.
  • Kansiota poikkeus: /windows/system32/*/
  • Tiedostopoikkeaminen: /windows/system32/*
• Yleismerkki on lisättävä jokaiselle alikansiolle. Tämä vastaa esimerkiksi /folder/*/script.vbs\folder\test\script.vbs kuormia \folder\test\001\script.vbstai \folder\exclude\script.vbs ei toimi. Se edellyttää joko /folder/*/001/script.vbs tai /folder/*/*/script.vbs.
• Yleismerkeillä voi merkitä koko kansion tai osan sen nimestä.
  • Esimerkki koko kansion yleismerkistä: /folder/*/script.vbs
  • Esimerkki osittaisesta yleismerkistä: /folder/test*/script.vbs
• Yleismerkeillä voi määrittää myös verkkopolkuja.
  • //*/login/application
  • //abc*/logon/application

Oikein (Mac): /Mac\ HD/Users/Cases/ScriptsAllowed
Oikein (Windows): \Cases\ScriptsAllowed
Virheellinen: C:\Application\SubFolder\application.vbs
Virheellinen: \Program Files\Dell\application.vbs

Esimerkkejä yleismerkeistä:

/users/*/temp kattaa seuraavat:

• \users\john\temp
• \users\jane\temp

/program files*/app/script*.vbs kattaa seuraavat:

• \program files(x86)\app\script1.vbs
• \program files(x64)\app\script2.vbs
• \program files(x64)\app\script3.vbs