Políticas recomendadas de Dell para la prevención y protección avanzada contra amenazas de Dell Endpoint Security Suite Enterprise

Advanced Threat Prevention (switch principal)

Activado

Este valor de política determina si los clientes pueden consumir políticas para Advanced Threat Prevention.

Esto también permite acciones de archivos y control de ejecución, que no se pueden deshabilitar.

El control de ejecución abarca Background Threat Detection y File Watcher. Este módulo dentro de ATP analiza y abstrae las intenciones de un ejecutable portátil (PE, por sus siglas en inglés) en función de sus acciones y comportamientos previstos. Todos los archivos detectados por Execution Control, además de BTD y File Watcher, se procesan en función de las políticas que se correlacionan con la cuarentena automática. Estas acciones se realizan con base en la ubicación de ruta absoluta del ejecutable portátil.

Acciones de archivos:

Cuarentena automática ejecutable no segura con control ejecutable habilitado

Carga automática ejecutable no segura habilitada

Habilitado

Establece si las amenazas graves se cargan en la nube para realizar una comprobación de segunda opinión sobre estas amenazas.

Cuarentena automática ejecutable anómala con control ejecutable habilitado

Deshabilitado

Esto determina si los archivos que se consideran una amenaza potencial se ponen en cuarentena automáticamente.

Carga automática ejecutable anómala habilitada

Habilitado

Establece si las amenazas potenciales se cargan en la nube para realizar una comprobación de segunda opinión sobre estas amenazas.

Permitir la ejecución de archivos en Exclude Folders

Habilitado

Esto se aplica a la política de excluir carpetas específicas dentro del grupo de políticas de ajustes de protección. Esto permite que los ejecutables dentro de las carpetas excluidas se ejecuten incluso si se ponen en cuarentena automáticamente.

Eliminación automática

Deshabilitado

Esto habilita el temporizador en la política Días hasta la eliminación. Esto se aplica a los elementos en cuarentena, una vez transcurridos los Días hasta la eliminación, las amenazas dentro de una carpeta de cuarentena se eliminan automáticamente si esta política está habilitada.

Días hasta la eliminación

14

Esto determina el número de días, por amenaza, que un elemento permanece en la carpeta de cuarentena local.

Acciones de memoria

Protección de memoria habilitada

Habilitado

Esto activa la funcionalidad Protección de memoria: el módulo de Protección de memoria analiza e interpreta las intenciones de las aplicaciones en ejecución mediante el monitoreo de las interacciones entre las aplicaciones y el sistema operativo en la memoria.

Habilitar Exclude en los archivos ejecutables.

Habilitado

Esto permite excluir ejecutables específicos de la Protección de memoria.

Excluir archivos ejecutables

En blanco

Todas las exclusiones agregadas se deben especificar mediante la ruta relativa de ese archivo ejecutable (excluya la letra de la unidad de la ruta).

Correct (OS X):
/Users/application.app/executable
Correct (Windows):
\Application\SubFolder\application.exe
Incorrect:
C:\Application\SubFolder\application.exe
Incorrect:
\Application\SubFolder\

Explotaciones: Pivote de pila

Alerta

La pila para un subproceso se reemplazó por una pila diferente. Por lo general, la computadora asigna una sola pila para un subproceso. Un atacante utilizaría una pila diferente para controlar la ejecución de una manera que la prevención de ejecución de datos (DEP, por sus siglas en inglés) no pueda bloquear.

Se aplica a: Windows, Mac

Explotaciones: Stack Protect

Alerta

Se modificó la protección de memoria de la pila de un subproceso para habilitar el permiso de ejecución. La memoria de pila no debe ser ejecutable; por lo general, esto significa que un atacante se prepara para ejecutar código malicioso almacenado en la memoria de pila como parte de una vulnerabilidad, un intento que la prevención de ejecución de datos (DEP) bloquearía de otro modo.

Se aplica a: Windows, Mac

Explotaciones: Overwrite Code

Alerta

El código que reside en la memoria de un proceso se modificó mediante una técnica que puede indicar un intento de omitir la prevención de ejecución de datos (DEP).

Se aplica a: Windows

Explotaciones: Búsqueda de memoria del escáner

Alerta

Un proceso intenta leer datos válidos de seguimiento de banda magnética desde otro proceso. Por lo general, se relaciona con computadoras de punto de venta (POS)

Se aplica a: Windows

Explotaciones: Carga útil maliciosa

Alerta

Un proceso intenta leer datos válidos de seguimiento de banda magnética desde otro proceso. Por lo general, se relaciona con computadoras de punto de venta (POS)

Se aplica a: Windows

Explotaciones: Carga útil maliciosa

Alerta

Se detectó un código de shell genérico y detección de carga útil asociado con una explotación.

Se aplica a: Windows

Inyección del proceso: Asignación remota de memoria

Alerta

Un proceso ha asignado memoria a otro proceso. La mayoría de las asignaciones solo se producen dentro del mismo proceso. Por lo general, esto indica un intento de insertar código o datos en otro proceso, que puede ser un primer paso para reforzar una presencia maliciosa en una computadora.

Se aplica a: Windows, Mac

Inyección del proceso: Asignación remota de memoria

Alerta

Un proceso ha introducido código o datos en otro proceso. Esto puede indicar un intento de comenzar a ejecutar código en otro proceso y reforzar una presencia maliciosa.

Se aplica a: Windows, Mac

Inyección del proceso: Escritura remota en la memoria

Alerta

Un proceso modificó la memoria en otro proceso. Por lo general, se trata de un intento de almacenar código o datos en una memoria previamente asignada (consulte OutofProcessAllocation), pero es posible que un atacante esté tratando de sobrescribir la memoria existente para desviar la ejecución con fines maliciosos.

Se aplica a: Windows, Mac

Inyección del proceso: Escritura remota de PE en la memoria

Alerta

Un proceso modificó la memoria en otro proceso para que contenga una imagen ejecutable. Por lo general, esto indica que un atacante está intentando ejecutar código sin escribir primero ese código en el disco.

Se aplica a: Windows, Mac

Inyección del proceso: Sobrescribir código de forma remota

Alerta

Un proceso modificó la memoria ejecutable en otro proceso. En condiciones normales, la memoria ejecutable no se modifica, en especial, a través de otro proceso. Por lo general, esto indica un intento de desviar la ejecución en otro proceso.

Se aplica a: Windows, Mac

Inyección del proceso: Quitar asignación remota de memoria

Alerta

Un proceso eliminó un archivo ejecutable de Windows de la memoria de otro proceso. Esto puede indicar la intención de reemplazar la imagen ejecutable por una copia modificada para desviar la ejecución.

Se aplica a: Windows, Mac

Inyección del proceso: Creación remota de subprocesos

Alerta

Un proceso ha creado un subproceso en otro proceso. Un atacante utiliza esto para activar una presencia maliciosa que se inyectó en otro proceso.

Se aplica a: Windows, Mac

Inyección del proceso: APC remoto programado

Alerta

Un proceso ha desviado la ejecución de un subproceso de otro proceso. Un atacante utiliza esto para activar una presencia maliciosa que se inyectó en otro proceso.

Se aplica a: Windows

Inyección del proceso: Inyección de DYLD (Solo Mac OS X)

Alerta

Se estableció una variable de entorno que provoca que se inyecte una biblioteca compartida en un proceso iniciado. Los ataques pueden modificar la lista de aplicaciones, como Safari, o reemplazar aplicaciones con scripts bash, que hacen que sus módulos se carguen de forma automática cuando se inicia una aplicación.

Se aplica a: Mac

Escalación: Lectura de LSASS

Alerta

Se ha accedido a la memoria que pertenece al proceso de autoridad de seguridad local de Windows de una manera que indica un intento de obtener las contraseñas de los usuarios.

Se aplica a: Windows

Escalación: Asignación de ceros

Alerta

Se asignó una página nula. Por lo general, la región de memoria se reserva, pero en ciertas circunstancias, se puede asignar. Los atacantes pueden usar esto para configurar la escalación de privilegios mediante el aprovechamiento de algunas vulnerabilidades de anular referencias nulas conocidas, por lo general, en el kernel.

Se aplica a: Windows, Mac

Execution Control (Control de ejecución)

Impedir el apagado del servicio desde el dispositivo

Deshabilitado

Cuando está activado, impide la capacidad de detener el servicio ATP. Esto también evita que se desinstale la aplicación.

Cerrar procesos en ejecución no seguros y los subprocesos

Deshabilitado

Habilitar esta característica permite la detección y finalización de cualquier amenaza basada en memoria que genere subprocesos.

Detección de amenazas de fondo

Ejecutar una vez

Esto determina si se ejecuta un escaneo de archivos existentes en el dispositivo. Se puede establecer en Deshabilitado, Ejecutar una vez o Ejecutar de forma periódica.

Si la opción Buscar nuevos archivos está activada, se recomienda configurar la Detección de amenazas en segundo plano en Ejecutar una vez. Debe comprobar los archivos existentes una sola vez si también está buscando archivos nuevos y actualizados.

Buscar nuevos archivos

Habilitado

Establecer esto en Habilitado permite la detección y el análisis de cualquier archivo que se haya escrito recientemente en el dispositivo o que se haya cambiado.

Configurar el tamaño máximo de archivo para escanear

150

Configura el tamaño máximo de archivo descomprimido que se puede analizar El tamaño está en megabytes.

Define una lista de carpetas en File Watcher que no se monitorean; la política de Permitir la ejecución de archivos en carpetas excluidas impide la cuarentena de cualquier archivo que se ejecute desde estos directorios. Esta política impide el escaneo de estos directorios mediante Buscar nuevos archivos o Detección de amenazas en segundo plano.

Todas las exclusiones agregadas se deben especificar mediante la ruta absoluta de ese archivo ejecutable (incluida la letra de la unidad de la ruta).

Correct (OS X):
/Mac\ HD/Users/Application\ Support/Dell
Correct (Windows):
C:\Program Files\Dell\
Incorrect:
\Program Files\Dell\
Incorrect:
C:\Program Files\Dell\Executable.exe

Esto define una lista de carpetas en el control de aplicaciones que no se monitorean.

Todas las exclusiones agregadas se deben especificar mediante la ruta absoluta de ese archivo ejecutable (incluida la letra de la unidad de la ruta).

Correct (OS X):
/Mac\ HD/Users/Application\ Support/Dell
Correct (Windows):
C:\Program Files\Dell\
Incorrect:
\Program Files\Dell\
Incorrect:
C:\Program Files\Dell\Executable.exe

Permite el uso del Control de scripts

El Control de scripts monitorea las aplicaciones y los servicios que pueden ejecutar acciones dentro del sistema operativo. Comúnmente, estas aplicaciones se denominan intérpretes. ATP monitorea estas aplicaciones y servicios en busca de scripts que intenten ejecutarse y, en función de las políticas, notifica su acción o bloquea la realización de las acciones. Estas decisiones se toman en función del nombre del script y la ruta relativa en que se ejecutó el script.

Cuando se configura en Bloquear, no se ejecutan elementos basados en script. Esto incluye cualquier script activo, script basado en macros o script basado en PowerShell. En versiones posteriores, estos se separan en sus propias políticas.

Se aplica a: 1.2.1371 y compilaciones anteriores de ESSE

Cuando se establece en Bloquear, esto deshabilita la capacidad de ejecutar JavaScript, VBscript, batch, Python, Perl, PHP, Ruby y muchos otros scripts.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

Configurar esto en Alerta permite que el análisis de macros dentro de los documentos determine si están ejecutando comandos potencialmente maliciosos. Si se percibe una amenaza, el ajuste de bloquear impide que la macro se ejecute. Las macros que se ejecutan durante el inicio pueden impedir la carga de la aplicación.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

Cuando se establece en Bloquear, esto impide que los scripts basados en PowerShell se ejecuten en el entorno.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

Cuando se establece en Bloquear, esto impide que se inicien la consola de PowerShell V3 y el ISE.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

En esta sección, se detallan las carpetas del Control de scripts que no se monitorean.

• Las rutas de carpetas pueden ser un disco local, una unidad de red asignada o una ruta de convención de nomenclatura universal (UNC).
• Las exclusiones de la carpeta de script deben especificar la ruta relativa de la carpeta o subcarpeta.
• Cualquier ruta de carpeta especificada también incluye las subcarpetas.
• No se admiten comodines.

Correct (Mac):
/Mac\ HD/Users/Cases/ScriptsAllowed
Correct (Windows):
\Cases\ScriptsAllowed.
Incorrect:
C:\Application\SubFolder\application.vbs
Incorrect:
\Program Files\Dell\application.vbs

Esta política aprovecha el modo desconectado para ESSE. Esto permite a los clientes tener un entorno completamente separado de Internet.

Esta política determina las rutas de amenaza y los certificados específicos que se deben permitir dentro del entorno.

Esta política aprovecha el modo desconectado para ESSE. Esto permite a los clientes tener un entorno completamente separado de Internet.

Esta es una lista definida de hashes incorrectos conocidos que se ponen en cuarentena de forma automática cuando el agente los encuentra.

Esta política aprovecha el modo desconectado para ESSE. Esto permite a los clientes tener un entorno completamente separado de Internet.

Esta política determina hashes de amenazas específicos que se deben permitir dentro del entorno.

Esto define lo que se notifica al usuario final si la política Suprimir notificaciones emergentes está deshabilitada.

Alta

• El estado de protección cambió. (Protegido significa que el servicio Advanced Threat Prevention se está ejecutando, está protegiendo la computadora y no necesita interacción del usuario ni del administrador).
• Se detecta una amenaza y no hay una política configurada para abordarla de forma automática.

Medio

• El Control de ejecución bloqueó el inicio de un proceso porque se detectó como una amenaza.
• Se detecta una amenaza que tiene una mitigación asociada (por ejemplo, la amenaza se puso en cuarentena de forma manual), por lo que el proceso finalizó.
• Un proceso se bloqueó o finalizó debido a una violación de memoria.
• Se detectó una violación de memoria y no hay ninguna política de mitigación automática vigente para ese tipo de violación.

Bajo

• Un archivo que se identificó como una amenaza se agregó a la Lista de seguridad global o se eliminó del sistema de archivos.
• Se ha detectado una amenaza y se ha puesto en cuarentena de forma automática.
• Se identificó un archivo como una amenaza, pero se eximió en la computadora.
• El estado de una amenaza actual cambió. Por ejemplo, Amenaza a cuarentena, Cuarentena a exento o Exento a cuarentena.

Advanced Threat Prevention (switch principal)

Activado

Este valor de política determina si los clientes pueden consumir políticas para Advanced Threat Prevention.

Esto también permite acciones de archivos y control de ejecución, que no se pueden deshabilitar.

El control de ejecución abarca Background Threat Detection y File Watcher. Este módulo dentro de ATP analiza y abstrae las intenciones de un ejecutable portátil (PE, por sus siglas en inglés) en función de sus acciones y comportamientos previstos. Todos los archivos detectados por Execution Control, BTD y File Watcher se procesan en función de las políticas que se correlacionan con la cuarentena automática. Estas acciones se realizan con base en la ubicación de ruta absoluta del ejecutable portátil.

Acciones de archivos:

Cuarentena automática ejecutable no segura con control ejecutable habilitado

Carga automática ejecutable no segura habilitada

Habilitado

Establece si las amenazas graves se cargan en la nube para realizar una comprobación de segunda opinión sobre estas amenazas.

Cuarentena automática ejecutable anómala con control ejecutable habilitado

Habilitado

Esto determina si los archivos que se consideran una amenaza potencial se ponen en cuarentena automáticamente.

Carga automática ejecutable anómala habilitada

Habilitado

Establece si las amenazas potenciales se cargan en la nube para realizar una comprobación de segunda opinión sobre estas amenazas.

Permitir la ejecución de archivos en Exclude Folders

Habilitado

Esto se aplica a la política de excluir carpetas específicas dentro del grupo de políticas de ajustes de protección. Esto permite que los ejecutables dentro de las carpetas excluidas se ejecuten incluso si se ponen en cuarentena automáticamente.

Eliminación automática

Habilitado

Esto habilita el temporizador en los días hasta la política eliminada; esto también se aplica a los elementos en cuarentena. Una vez transcurridos los días hasta la eliminación, las amenazas dentro de una carpeta de cuarentena se eliminan automáticamente si esta política está habilitada.

Días hasta la eliminación

14

Determina la cantidad de días, por amenaza, que un elemento permanece en la carpeta de cuarentena local.

Acciones de memoria

Protección de memoria habilitada

Habilitado

Esto habilita la funcionalidad Protección de memoria, el módulo de protección de memoria analiza e interpreta las intenciones de ejecutar aplicaciones mediante el monitoreo de las interacciones entre las aplicaciones y el sistema operativo en la memoria.

Habilitar Exclude en los archivos ejecutables.

Habilitado

Esto permite excluir ejecutables específicos de la Protección de memoria.

Excluir archivos ejecutables

Varía según el entorno

Todas las exclusiones agregadas se deben especificar mediante la ruta relativa de ese archivo ejecutable (excluya la letra de la unidad de la ruta).

Correct (OS X):
/Users/application.app/executable
Correct (Windows):
\Application\SubFolder\application.exe
Incorrect:
C:\Application\SubFolder\application.exe
Incorrect:
\Application\SubFolder\

Explotaciones: Pivote de pila

Terminar

La pila para un subproceso se reemplazó por una pila diferente. Por lo general, la computadora solo asigna una única pila para un subproceso. Un atacante utilizaría una pila diferente para controlar la ejecución de una manera que la prevención de ejecución de datos (DEP, por sus siglas en inglés) no bloquee.

Se aplica a: Windows, Mac

Explotaciones: Stack Protect

Terminar

Se modificó la protección de memoria de la pila de un subproceso para habilitar el permiso de ejecución. La memoria de pila no debe ser ejecutable; por lo general, esto significa que un atacante se prepara para ejecutar código malicioso almacenado en la memoria de pila como parte de una vulnerabilidad, un intento que la prevención de ejecución de datos (DEP) no bloquearía de otro modo.

Se aplica a: Windows, Mac

Explotaciones: Overwrite Code

Terminar

El código que reside en la memoria de un proceso se modificó mediante una técnica que puede indicar un intento de omitir la prevención de ejecución de datos (DEP).

Se aplica a: Windows

Explotaciones: Búsqueda de memoria del escáner

Terminar

Un proceso intenta leer datos válidos de seguimiento de banda magnética desde otro proceso, por lo general, relacionado con computadoras de punto de venta (POS).

Se aplica a: Windows

Explotaciones: Carga útil maliciosa

Terminar

Se detectó un código de shell genérico y detección de carga útil asociado con una explotación.

Se aplica a: Windows

Inyección del proceso: Asignación remota de memoria

Terminar

Un proceso ha asignado memoria a otro proceso. La mayoría de las asignaciones solo se producen dentro del mismo proceso. Por lo general, esto indica un intento de insertar código o datos en otro proceso, que puede ser un primer paso para reforzar una presencia maliciosa en una computadora.

Se aplica a: Windows, Mac

Inyección del proceso: Asignación remota de memoria

Terminar

Un proceso ha introducido código o datos en otro proceso. Esto puede indicar un intento de comenzar a ejecutar código en otro proceso y reforzar una presencia maliciosa.

Se aplica a: Windows, Mac

Inyección del proceso: Escritura remota en la memoria

Terminar

Un proceso modificó la memoria en otro proceso. Por lo general, se trata de un intento de almacenar código o datos en una memoria previamente asignada (consulte OutofProcessAllocation), pero es posible que un atacante esté tratando de sobrescribir la memoria existente para desviar la ejecución con fines maliciosos.

Se aplica a: Windows, Mac

Inyección del proceso: Escritura remota de PE en la memoria

Terminar

Un proceso modificó la memoria en otro proceso para que contenga una imagen ejecutable. Por lo general, esto indica que un atacante está intentando ejecutar código sin escribir primero ese código en el disco.

Se aplica a: Windows, Mac

Inyección del proceso: Sobrescribir código de forma remota

Terminar

Un proceso modificó la memoria ejecutable en otro proceso. En condiciones normales, la memoria ejecutable no se modifica, en especial, a través de otro proceso. Por lo general, esto indica un intento de desviar la ejecución en otro proceso.

Se aplica a: Windows, Mac

Inyección del proceso: Quitar asignación remota de memoria

Terminar

Un proceso eliminó un archivo ejecutable de Windows de la memoria de otro proceso. Esto puede indicar la intención de reemplazar la imagen ejecutable por una copia modificada para desviar la ejecución.

Se aplica a: Windows, Mac

Inyección del proceso: Creación remota de subprocesos

Terminar

Un proceso ha creado un subproceso en otro proceso. Un atacante utiliza esto para activar una presencia maliciosa que se inyectó en otro proceso.

Se aplica a: Windows, Mac

Inyección del proceso: APC remoto programado

Terminar

Un proceso ha desviado la ejecución de un subproceso de otro proceso. Un atacante utiliza esto para activar una presencia maliciosa que se inyectó en otro proceso.

Se aplica a: Windows

Inyección del proceso: Inyección de DYLD (Solo Mac OS X)

Terminar

Se estableció una variable de entorno que provoca que se inyecte una biblioteca compartida en un proceso iniciado. Los ataques pueden modificar la lista de aplicaciones, como Safari, o reemplazar aplicaciones con scripts bash, que hacen que sus módulos se carguen de forma automática cuando se inicia una aplicación.

Se aplica a: Mac

Escalación: Lectura de LSASS

Terminar

Se ha accedido a la memoria que pertenece al proceso de autoridad de seguridad local de Windows de una manera que indica un intento de obtener las contraseñas de los usuarios.

Se aplica a: Windows

Escalación: Asignación de ceros

Terminar

Se asignó una página nula. Por lo general, la región de memoria se reserva, pero en ciertas circunstancias, se puede asignar. Los atacantes pueden usar esto para configurar la escalación de privilegios mediante el aprovechamiento de algunas vulnerabilidades de anular referencias nulas conocidas, por lo general, en el kernel.

Se aplica a: Windows, Mac

Execution Control (Control de ejecución)

Impedir el apagado del servicio desde el dispositivo

Habilitado

Cuando está activado, impide la capacidad de detener el servicio ATP, incluso como computadora. Esto también evita que se desinstale la aplicación.

Cerrar procesos en ejecución no seguros y los subprocesos

Habilitado

Habilitar esta característica permite la detección y finalización de cualquier amenaza basada en memoria que genere subprocesos.

Detección de amenazas de fondo

Ejecutar una vez

Esto determina si se ejecuta un escaneo de archivos existentes en el dispositivo. Se puede establecer en Deshabilitado, Ejecutar una vez o Ejecutar de forma periódica.

Si la opción Buscar nuevos archivos está activada, se recomienda configurar la Detección de amenazas en segundo plano en Ejecutar una vez. Debe comprobar los archivos existentes una sola vez si también está buscando archivos nuevos y actualizados.

Buscar nuevos archivos

Habilitado

Establecer esto en Habilitado permite la detección y el análisis de cualquier archivo que se haya escrito recientemente en el dispositivo o que se haya cambiado.

Configurar el tamaño máximo de archivo para escanear

150

Configura el tamaño máximo de archivo descomprimido que se puede analizar El tamaño está en megabytes.

Esto define una lista de carpetas en File Watcher que no se monitorean. Esta política de Permitir la ejecución de archivos en carpetas excluidas impide la cuarentena de cualquier archivo que se ejecute desde estos directorios. Esta política impide el escaneo de estos directorios mediante Buscar nuevos archivos o Detección de amenazas en segundo plano.

Todas las exclusiones agregadas se deben especificar mediante la ruta absoluta de ese archivo ejecutable (incluida la letra de la unidad de la ruta).

Correct (OS X):
/Mac\ HD/Users/Application\ Support/Dell
Correct (Windows):
C:\Program Files\Dell\
Incorrect:
\Program Files\Dell\
Incorrect:
C:\Program Files\Dell\Executable.exe

Esto define una lista de carpetas en el control de aplicaciones que no se monitorean.

Todas las exclusiones agregadas se deben especificar mediante la ruta absoluta de ese archivo ejecutable (incluida la letra de la unidad de la ruta).

Correct (OS X):
/Mac\ HD/Users/Application\ Support/Dell
Correct (Windows):
C:\Program Files\Dell\
Incorrect:
\Program Files\Dell\
Incorrect:
C:\Program Files\Dell\Executable.exe

Permite el uso del Control de scripts

El Control de scripts monitorea las aplicaciones y los servicios que pueden ejecutar acciones dentro del sistema operativo. Comúnmente, estas aplicaciones se denominan intérpretes. ATP monitorea estas aplicaciones y servicios en busca de scripts que intenten ejecutarse y, en función de las políticas, notifica su acción o bloquea la realización de las acciones. Estas decisiones se toman en función del nombre del script y la ruta relativa desde la que se ejecutó el script.

Cuando se configura en Bloquear, no se ejecutan elementos basados en script. Esto incluye cualquier script activo, script basado en macros o script basado en PowerShell. En versiones posteriores, estos se separan en sus propias políticas.

Se aplica a: 1.2.1371 y compilaciones anteriores de ESSE

Cuando se establece en Bloquear, deshabilita la capacidad de ejecutar JavaScript, VBscript, batch, Python, Perl, PHP, Ruby y muchos otros scripts.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

Configurar esto en Alerta permite que el análisis de macros dentro de los documentos determine si están ejecutando comandos potencialmente maliciosos. Si se percibe una amenaza, el ajuste de “bloquear” impide que la macro se ejecute. Las macros que se ejecutan durante el inicio pueden impedir la carga de la aplicación.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

Cuando se establece en Bloquear, esto impide que los scripts basados en PowerShell se ejecuten en el entorno.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

Cuando se establece en Bloquear, impide que se inicien la consola de PowerShell V3 y el ISE.

Se aplica a: 1.2.1391 y compilaciones posteriores de ESSE.

En esta sección, se detallan las carpetas del Control de scripts que no se monitorean.

• Las rutas de carpetas pueden ser un disco local, una unidad de red asignada o una ruta de convención de nomenclatura universal (UNC).
• Las exclusiones de la carpeta de script deben especificar la ruta relativa de la carpeta o subcarpeta.
• Cualquier ruta de carpeta especificada también incluye las subcarpetas.
• No se admiten comodines.

Correct (Mac):
/Mac\ HD/Users/Cases/ScriptsAllowed
Correct (Windows):
\Cases\ScriptsAllowed.
Incorrect:
C:\Application\SubFolder\application.vbs
Incorrect:
\Program Files\Dell\application.vbs

Esta política aprovecha el modo desconectado para ESSE. Esto permite que los clientes tengan un entorno completamente separado de Internet.

Esta política determina las rutas de amenaza y los certificados específicos que se deben permitir dentro del entorno.

Esta política aprovecha el modo desconectado para ESSE. Esto permite que los clientes tengan un entorno completamente separado de Internet.

Esta es una lista definida de hashes incorrectos conocidos que se ponen en cuarentena de forma automática cuando el agente los encuentra.

Esta política aprovecha el modo desconectado para ESSE. Esto permite que los clientes tengan un entorno completamente separado de Internet.

Esta política determina hashes de amenazas específicos que se deben permitir dentro del entorno.

Esto define lo que se notifica al usuario final si la política Suprimir notificaciones emergentes está deshabilitada.

Alta

• El estado de protección cambió. (Protegido significa que el servicio Advanced Threat Prevention se está ejecutando, está protegiendo la computadora y no necesita interacción del usuario ni del administrador).
• Se detecta una amenaza y no hay una política configurada para abordarla de forma automática.

Medio

• El Control de ejecución bloqueó el inicio de un proceso porque se detectó como una amenaza.
• Se detecta una amenaza que tiene una mitigación asociada (por ejemplo, la amenaza se puso en cuarentena de forma manual), por lo que el proceso finalizó.
• Un proceso se bloqueó o finalizó debido a una violación de memoria.
• Se detectó una violación de memoria y no hay ninguna política de mitigación automática vigente para ese tipo de violación.

Bajo

• Un archivo que se identificó como una amenaza se agregó a la Lista de seguridad global o se eliminó del sistema de archivos.
• Se ha detectado una amenaza y se ha puesto en cuarentena de forma automática.
• Se identificó un archivo como una amenaza, pero se eximió en la computadora.
• El estado de una amenaza actual cambió (por ejemplo, Amenaza a cuarentena, Cuarentena a exento o Exento a cuarentena).