Рекомендации по политикам Dell Threat Defense

Рекомендуется настраивать политики в режиме обучения или в режиме защиты. В режиме обучения Dell рекомендует тестировать Dell Threat Defense в среде. Это наиболее эффективно, если Dell Threat Defense развертывается на конечных устройствах со стандартным корпоративным образом.

Для серверов приложений могут потребоваться дополнительные изменения из-за более высокого объема ввода-вывода по сравнению с обычным диском.

После того как администратор устранит все оповещения на консоли администрирования Dell Threat Defense, Dell рекомендует перейти к рекомендациям по политикам в режиме защиты. Dell рекомендует провести несколько недель тестирования в режиме обучения перед переключением на политики в режиме защиты.

Для получения дополнительной информации нажмите Рекомендации для сервера приложений, Режим обучения или Режим защиты.

Определения политик Threat Defense

Действия с файлами

Автоматический карантин с контролем выполнения для небезопасных

Эта политика определяет, что происходит с файлами, обнаруженными во время их выполнения. По умолчанию: даже если небезопасный файл определяется как выполняющийся, угроза будет заблокирована. Небезопасность характеризуется совокупной оценкой переносимого исполняемого файла, превышающей 60 баллов в системе оценки Advanced Threat Prevention на основе оцененных индикаторов угрозы.

Автоматический карантин с контролем выполнения для аномальных

Эта политика определяет, что происходит с файлами, обнаруженными во время их выполнения. По умолчанию: даже если аномальный файл определяется как выполняющийся, угроза будет заблокирована. Аномальность характеризуется совокупной оценкой переносимого исполняемого файла, находящейся в диапазоне от 0 до 60 баллов в системе оценки Advanced Threat Prevention на основе оцененных индикаторов угрозы

Включить автоудаление для файлов в карантине

Если небезопасные или аномальные файлы помещаются в карантин на основе карантина на уровне устройства, глобальных списков карантина или политик автоматического карантина, они будут храниться в локальном изолированном кэше карантина на локальном устройстве. Если включен параметр «Включить автоудаление для файлов в карантине», он указывает число дней (не менее 14 и не более 365), в течение которых файл будет храниться на локальном устройстве перед окончательным удалением. Когда эта функция включена, можно менять количество дней.

Автоматическая выгрузка

Помечает угрозы, которые не были обнаружены SaaS-средой Threat Defense, для дальнейшего анализа. Когда файл помечен локальной моделью как потенциальная угроза, хэш SHA256 берется из переносимого исполняемого файла и отправляется в SaaS. Если отправленный хэш SHA256 не может быть сопоставлен с угрозой, и включена автоматическая отправка, это позволяет безопасно отправить угрозу в SaaS для оценки. Эти данные хранятся в безопасном месте и недоступны для компании Dell и ее партнеров.

Список безопасных политик

Список безопасных файлов в политике — это список файлов, которые были признаны безопасными в среде и были отклонены вручную путем отправки хэша SHA256 и любой дополнительной информации в этот список. Когда хэш SHA256 помещается в этот список, файл при запуске не будет оцениваться локальной или облачной моделью угроз. Это «абсолютные» пути к файлам.

Примеры исключений:

Correct (Windows): C:\Program Files\Dell Correct (Mac): /Mac\ HD/Users/Application\ Support/Dell Incorrect: C:\Program Files\Dell\Executable.exe Incorrect: \Program Files\Dell\

Настройки защиты

Завершить небезопасные процессы и их подпроцессы

Если включен параметр «Завершить небезопасные процессы и их подпроцессы», он определяет, создает ли угроза дочерние процессы или использует ли приложение другие процессы, запущенные в данный момент в памяти. Если есть основания полагать, что процесс был использован угрозой, то основная угроза и все процессы, которые она создала или которыми владеет в настоящее время, будут немедленно остановлены.

Фоновое обнаружение угроз

Если функция фонового обнаружения угроз включена, она проверяет все устройство на наличие любого переносимого исполняемого файла, а затем выполняет оценку этого исполняемого файла с помощью локальной модели угроз и запрашивает подтверждение оценки исполняемого файла с помощью облачной службы SaaS на основе индикаторов угрозы исполняемого файла. С функцией фонового обнаружения угроз возможны два варианта: запустить однократно и запускать регулярно. При однократном запуске выполняется фоновое сканирование всех физических дисков, подключенных к устройству в момент установки и активации Threat Defense. При запуске с повторением выполняется фоновое сканирование всех устройств, подключенных к устройству в момент установки и активации Threat Defense; это сканирование повторяется каждые девять дней (не настраивается).

Просмотр новых файлов

Если включена функция «Просмотр новых файлов», любой переносимый исполняемый файл, представленный на устройстве, будет немедленно оценен с помощью индикаторов угроз, которые отображаются в локальной модели, и этот результат подтвержден в облачной модели SaaS.

Копировать образцы файлов

Функция копирования образцов файлов позволяет автоматически передавать любые обнаруженные на устройстве угрозы в определенный репозиторий на основе пути UNC. Это рекомендуется только для исследования внутренних угроз или для содержания безопасного репозитория запакованных угроз в среде. Все файлы, сохраненные с помощью функции «Копировать образцы файлов», архивируются с паролем infected.

Настройки агента

Включить автоматическую отправку файлов журналов

Функция «Включить автоматическую отправку файлов журналов» позволяет конечным устройствам отправлять файлы журналов для Dell Threat Defense каждую ночь в полночь или когда размер файла достигает 100 Мбайт. Журналы отправляются каждую ночь независимо от размера файла. Все переданные журналы сжимаются перед выходом из сети.

Включить уведомление на рабочем столе

Функция «Включить уведомление на рабочем столе» позволяет пользователям устройств разрешать запросы на устройстве, если файл помечен как аномальный или небезопасный. Этот пункт содержится в контекстном меню значка Dell Threat Defense на панели задач конечных устройств с включенной политикой.

Управление сценариями

Управление сценариями

Управление сценариями осуществляется с помощью решения на основе фильтров памяти для определения сценариев, которые выполняются на устройстве, и предотвращения их выполнения, если для этого типа сценария задана политика «Блокировка». Настройки оповещений в этих политиках содержат только те сценарии, которые были заблокированы в журналах и на консоли Dell Threat Defense.

1370 и ниже

Эти политики применяются к клиентам до версии 1370, которые были выпущены до июня 2016 года. С этими версиями работают только сценарии на основе Active Script и PowerShell.

1380 и выше

Эти политики применяются к клиентам версии 1370 и выше, которые были выпущены после июня 2016 года.

Active Script

Сценарии Active Script включают любой сценарий, интерпретируемый хостом сценариев Windows, включая JavaScript, VBScript, пакетные файлы и многое другое.

PowerShell

Сценарии PowerShell включают любой многострочный сценарий, который выполняется как одна команда. (Настройка по умолчанию — «Оповещение»)

Блокировать использование консоли PowerShell (отсутствует, если для PowerShell установлено значение «Оповещение»)

В PowerShell v3 (начиная с Windows 8.1) и более поздних версиях большинство сценариев PowerShell выполняются как одна команда; хотя они могут содержать несколько строк, они выполняются в порядке очереди. Это может обойти интерпретатор сценария PowerShell. Блокировка консоли PowerShell позволяет обойти такое поведение, отключая для любого приложения возможность запуска консоли PowerShell. Эта политика не влияет на интегрированную среду сценариев (ISE).

Макросы

Параметр «Макрос» интерпретирует макросы, содержащиеся в документах Office и PDF, и блокирует вредоносные макросы, которые могут попытаться скачать угрозы.

Отключить управление сценариями

Эти политики полностью запрещают даже оповещение о типе сценария, определенном в каждой политике. Если эта функция отключена, сбор журналов не выполняется и попытки обнаружения или блокировки потенциальных угроз не предпринимаются.

Active Script

Если этот флажок установлен, функция препятствует сбору журналов и блокирует любые потенциальные угрозы на основе Active Script. Сценарии Active Script включают любой сценарий, интерпретируемый хостом сценариев Windows, включая JavaScript, VBScript, пакетные файлы и многое другое.

PowerShell

Если этот флажок установлен, функция препятствует сбору журналов и блокирует любые потенциальные угрозы на основе PowerShell. Сценарии PowerShell включают любой многострочный сценарий, который выполняется как одна команда.

Макросы

Если этот флажок установлен, функция препятствует сбору журналов и блокирует любые потенциальные угрозы на основе макросов. Параметр «Макрос» интерпретирует макросы, содержащиеся в документах Office и PDF, и блокирует вредоносные макросы, которые могут попытаться скачать угрозы.

Исключения папок (включая подпапки)

Исключения папок позволяют определять папки, в которых могут выполняться сценарии, доступные для исключения. В этом разделе исключения запрашиваются в формате относительного пути.

• Пути к папкам могут быть на локальных дисках, подключенных сетевых дисках или являться универсальным путем именования (UNC).
• Исключения папок сценариев должны указывать относительный путь к папке или подпапке.
• Любой указанный путь к папке также включает любые подпапки.
• В исключениях с подстановочными знаками для компьютеров Windows должны использоваться косые черты в стиле UNIX. Пример. /windows/system*/.
• Из подстановочных знаков поддерживается только символ *.
• Исключения папок с подстановочным знаком должны иметь косую черту в конце пути, чтобы различать папки и файлы.
  • Исключение папки: /windows/system32/*/
  • Исключение файла: /windows/system32/*
• Для каждого уровня глубины папки необходимо добавлять подстановочный знак. Например, /folder/*/script.vbs соответствует \folder\test\script.vbs или \folder\exclude\script.vbs, но не работает для \folder\test\001\script.vbs. Для этого потребуется /folder/*/001/script.vbs или /folder/*/*/script.vbs.
• Подстановочные знаки поддерживают полное и частичное исключение.
  • Пример полного подстановочного знака: /folder/*/script.vbs
  • Пример частичного подстановочного знака: /folder/test*/script.vbs
• Сетевые пути также поддерживаются подстановочными знаками.
  • //*/login/application
  • //abc*/logon/application

Правильный (Mac): /Mac\ HD/Users/Cases/ScriptsAllowed
Правильный (Windows): \Cases\ScriptsAllowed
Неправильно: C:\Application\SubFolder\application.vbs
Неправильно: \Program Files\Dell\application.vbs

Примеры подстановочных знаков:

/users/*/temp будет охватывать:

• \users\john\temp
• \users\jane\temp

/program files*/app/script*.vbs будет охватывать:

• \program files(x86)\app\script1.vbs
• \program files(x64)\app\script2.vbs
• \program files(x64)\app\script3.vbs