如何分析 Dell Endpoint Security Suite Enterprise 和 Threat Defense 端點狀態

Sommario

Articolo dettagliato

Sintomi

Causa

Risoluzione

Ulteriori informazioni

Video

Prodotti interessati

Inserisci commento

Riepilogo: 您可以使用這些指示在 Dell Endpoint Security Suite Enterprise 和 Dell Threat Defense 中分析端點狀態。

Questo articolo si applica a Questo articolo non si applica a Questo articolo non è legato a un prodotto specifico. Non tutte le versioni del prodotto sono identificate in questo articolo.

Scopri le altre risorse

Sintomi

注意：

截至 2022 年 5 月，Dell Endpoint Security Suite Enterprise 已達到維護結束的期限。Dell 已不再更新此產品及其文章。
截至 2022 年 5 月，Dell Threat Defense 已達到其維護結束時間。Dell 已不再更新此產品及其文章。
如需詳細資訊，請參閱 Dell 資料安全性的產品生命週期（支援結束與生命週期結束）政策。如果您對其他文章有任何問題，請聯絡您的銷售團隊或聯絡 endpointsecurity@dell.com。
請參考端點安全性，以取得有關目前產品的其他資訊。

Dell Endpoint Security Suite Enterprise 和 Dell Threat Defense 端點狀態可從特定端點提取，以深入檢閱威脅、利用行為和指令檔。

受影響的產品：

Dell Endpoint Security Suite Enterprise
Dell Threat Defense

受影響的平台：

Windows
Mac
Linux

Causa

不適用

Risoluzione

Dell Endpoint Security Suite Enterprise 或 Dell Threat Defense 系統管理員可存取個別端點以檢閱：

惡意軟體內容
惡意軟體狀態
惡意軟體類型

系統管理員只有在疑難排解進階威脅預防（ATP）引擎錯誤分類檔案時，才應執行這些步驟。如需詳細資訊，請按一下 [Access] （存取或檢閱）。

存取

在 Windows、macOS 和 Linux 之間對惡意軟體資訊的存取會有所不同。如需詳細資訊，請按一下適當的作業系統。

Windows

根據預設，Windows 不會深入記錄惡意軟體資訊。

以滑鼠右鍵按一下 Windows 開始功能表，然後按一下執行。

在執行 UI 中鍵入 regedit 然後按下 CTRL+SHIFT+ENTER這會以管理員的身分執行 Registry Editor。

在登錄編輯器中，移至 HKEY_LOCAL_MACHINE\Software\Cylance\Desktop。
在左窗格中，以滑鼠右鍵按一下桌面，然後選取權限。

按一下進階。

按一下擁有者。

按一下其他使用者或群組。

在群組中搜尋您的帳戶，然後按一下確定。

按一下確定。

請確定您的群組或使用者名稱已勾選完全控制，然後按一下確定。

注意：在範例中，DDP_Admin (步驟 8) 是使用者群組的成員。

在 HKEY_LOCAL_MACHINE\Software\Cylance\Desktop，以滑鼠右鍵按一下桌面資料夾，選取 「New」，然後按一下 DWORD （32 位）值。

為 DWORD 命名 StatusFileEnabled。

按兩下 StatusFileEnabled。

使用 1 然後按 「OK」。

在 HKEY_LOCAL_MACHINE\Software\Cylance\Desktop，以滑鼠右鍵按一下桌面資料夾，選取 「New」，然後按一下 DWORD （32 位）值。

為 DWORD 命名 StatusFileType。

按兩下 StatusFileType。

使用任一種資料填入價值資料 0 或 1。填入值資料後，按下確定。

注意：值資料選擇：

0 = JSON 檔案格式
1 = XML 格式

在 HKEY_LOCAL_MACHINE\Software\Cylance\Desktop，以滑鼠右鍵按一下桌面資料夾，選取 「New」，然後按一下 DWORD （32 位）值。

為 DWORD 命名 StatusPeriod。

按兩下 StatusPeriod。

以各種數量填入價值資料 15 變更為 60 然後按一下 「OK」。

注意：StatusPeriod 是寫入檔案的頻率。
15 = 15 秒間隔
60 = 60 秒間隔

在 HKEY_LOCAL_MACHINE\Software\Cylance\Desktop，以滑鼠右鍵按一下桌面資料夾，選取 「新增」，然後按一下 String Value。

命名字串 StatusFilePath。

按兩下 StatusFilePath。

將值資料填入要寫入狀態檔案的位置，然後按一下確定。

注意：

預設路徑： <CommonAppData>\Cylance\Status\Status.json
範例路徑： C:\ProgramData\Cylance
可在 ASCII 文字文件編輯器中開啟 .json (JavaScript 物件標記法) 檔案。

macOS

Status.json 檔案中包含深入的惡意軟體資訊，位置在：

/Library/Application Support/Cylance/Desktop/Status.json

注意：可在 ASCII 文字文件編輯器中開啟 .json (JavaScript 物件標記法) 檔案。

Linux

Status.json 檔案中包含深入的惡意軟體資訊，位置在：

/opt/cylance/desktop/Status.json

注意：可在 ASCII 文字文件編輯器中開啟 .json (JavaScript 物件標記法) 檔案。

檢閱

狀態檔案的內容包含多個類別的詳細資訊，包括威脅、惡意探索和 指令檔。按一下適當的資訊以深入瞭解。

狀態檔案內容：

`snapshot_time`	收集狀態資訊的日期和時間。日期和時間是裝置的本機資訊。
`ProductInfo`	`version`：裝置上的進階威脅預防代理程式版本 `last_communicated_timestamp`：代理程式更新最後檢查的日期與時間 `serial_number`：用於註冊代理程式的安裝權杖 `device_name`：已安裝代理程式的裝置名稱
`Policy`	`type`：代理程式為線上或離線狀態 `id`：原則的唯一識別碼 `name`：原則名稱
`ScanState`	`last_background_scan_timestamp`：上次背景威脅偵測掃描的日期與時間 `drives_scanned`：掃描的磁片磁碟機字母清單
`Threats`	`count`：找到的威脅數目 `max`：狀態檔案中的威脅數目上限威脅 `file_hash_id`：顯示威脅的 SHA256 雜湊資訊 `file_md5`：MD5 雜湊 `file_path`：找到威脅的路徑。包含檔案名 `is_running`：威脅目前是否正在裝置上執行？是非題 `auto_run`：威脅檔案是否設定為自動執行？是非題 `file_status`：顯示威脅的目前狀態，例如已允許、執行中或已隔離。請參閱威脅：檔案狀態表格 `file_type`：顯示檔案類型，例如可攜式可執行檔（PE）、封存或 PDF。請參閱威脅：FileType 表格 `score`：顯示 Cylance 分數。狀態檔案中顯示的分數範圍為 1000 到 -1000 之間。在主控台中，範圍為 100 至 -100 `file_size`：以位元組顯示檔案大小
`Exploits`	`count`：找到的漏洞數目 `max`：狀態檔案中的利用次數上限惡意探索 `ProcessId`：顯示記憶體保護所識別之應用程式的程式 ID `ImagePath`：惡意探索源自的路徑。包含檔案名 `ImageHash`：顯示利用的 SHA256 雜湊資訊 `FileVersion`：顯示利用檔案的版本號碼 `Username`：顯示發生漏洞時登入裝置的使用者名稱 `Groups`：顯示登入使用者與 `Sid`：登入使用者的安全性識別碼（SID） `ItemType`：顯示與違規類型相關的利用類型注意：請參閱惡意探索：ItemType 表您可以從Dell Endpoint Security Suite Enterprise Memory Protection 類別定義中看到違規類型清單。州：顯示此利用的目前狀態，例如允許、封鎖或終止注意：請參閱惡意探索：狀態表 `MemDefVersion`：用來識別漏洞的記憶體保護版本（通常是代理程式版本號碼） `Count`：利用行為嘗試執行的次數
`Scripts`	`count`：在裝置上執行的腳本數目 `max`：狀態檔案中的腳本數量上限指令檔 `script_path`：指令檔源自的路徑。包含檔案名 `file_hash_id`：顯示腳本的 SHA256 雜湊資訊 `file_md5`：顯示腳本的 MD5 雜湊資訊（如果有的話） `file_sha1`：顯示腳本的 SHA1 雜湊資訊（如果有的話） `drive_type`：識別指令檔發自的磁片磁碟機類型（例如已修正） `last_modified`：上次修改腳本的日期和時間 `interpreter`： `name`：識別惡意腳本的腳本控制功能名稱 `version`：腳本控制功能的版本號碼 `username`：顯示指令檔啟動時登入裝置的使用者名稱 `groups`：顯示登入使用者與 `sid`：登入使用者的安全性識別碼（SID） `action`：顯示指令檔上採取的動作，例如「允許」、「封鎖」或「終止」。請參閱指令檔：動作表

威脅

威脅有多個數位型類別要在 File_Status、 FileState和 FileType中解譯。請參考要指派值的適當類別。

File_Status

File_Status欄位是根據 FileState 啟用的值計算十進位值（請參閱 FileState 一節中的表格）。例如，從識別為威脅 (0x01) 的檔案中為 file_status 計算 9 的十進位值，且該檔案已隔離 (0x08)。

FileState

Threats: FileState

無	0x00
威脅	0x01
可疑	0x02
已允許	0x04
已隔離	0x08
執行中	0x10
損毀	0x20

FileType

Threats: FileType

不支援	0
PE	1
歸檔	2
PDF	3
OLE	4

惡意探索

惡意探索具有兩個以數字為基礎的類別在 ItemType 和狀態中解碼。

請參考要指派值的適當類別。

ItemType

Exploits: ItemType

`StackPivot`	1	堆疊轉動
`StackProtect`	2	堆疊保護
`OverwriteCode`	3	覆寫程式碼
`OopAllocate`	4	遠端配置記憶體
`OopMap`	5	遠端對應記憶體
`OopWrite`	6	遠端寫入至記憶體
`OopWritePe`	7	遠端寫入 PE 至記憶體
`OopOverwriteCode`	8	遠端覆寫程式碼
`OopUnmap`	9	遠端取消對應記憶體
`OopThreadCreate`	10	遠端建立執行緒
`OopThreadApc`	11	遠端排程 APC
`LsassRead`	12	LSASS 讀取
`TrackDataRead`	13	RAM 消除
`CpAllocate`	14	遠端配置記憶體
`CpMap`	15	遠端對應記憶體
`CpWrite`	16	遠端寫入至記憶體
`CpWritePe`	17	遠端寫入 PE 至記憶體
`CpOverwriteCode`	18	遠端覆寫程式碼
`CpUnmap`	19	遠端取消對應記憶體
`CpThreadCreate`	20	遠端建立執行緒
`CpThreadApc`	21	遠端排程 APC
`ZeroAllocate`	22	零分配
`DyldInjection`	23	DYLD 注入
`MaliciousPayload`	24	惡意裝載

注意：

Oop 參考程式外
Cp 參考副程式
如需違規類型的詳細資訊，請參閱 Dell Endpoint Security Suite Enterprise Memory Protection 類別定義。

狀態

Exploits: 狀態

無	0
已允許	1
已封鎖	2
已終止	3

指令檔

惡意探索具有單一以數字為基礎的類別在動作中解碼。

指令檔：動作

無	0
已允許	1
已封鎖	2
已終止	3

如要聯絡支援部門，請參閱 Dell Data Security 國際支援電話號碼。
請前往 TechDirect，以線上產生技術支援要求。
如需更多深入見解與資源，請加入 Dell 安全性社群論壇。

Informazioni aggiuntive

Video

Prodotti interessati

Dell Threat Defense, Dell Endpoint Security Suite Enterprise

Numero articolo: 000124896

Tipo di articolo: Solution

Ultima modifica: 20 nov 2023

Versione: 12

Verifica che il dispositivo sia coperto dai Servizi di supporto.

如何分析 Dell Endpoint Security Suite Enterprise 和 Threat Defense 端點狀態