Program Dell Threat Defense używa zasad w celu:
Aby uzyskać więcej informacji, kliknij opcję Zalecane zasady lub Definicje zasad.
Zaleca się skonfigurowanie zasad w Trybie uczenia lub w Trybie chronionym. Tryb uczenia się to sposób, w jaki firma Dell Technologies zaleca testowanie programu Dell Threat Defense w środowisku. Najbardziej efektywnym rozwiązaniem jest wdrożenie oprogramowania Dell Threat Defense na punktach końcowych przy użyciu standardowego obrazu dla danej firmy.
W przypadku serwerów aplikacji mogą być wymagane dodatkowe zmiany ze względu na większą niż normalnie liczbę operacji we/wy na dyskach.
Po rozwiązaniu wszystkich alertów przez administratora konsoli administracyjnej Dell Threat Defense firma Dell Technologies zaleca przełączenie się na zalecenia dotyczące zasad trybu ochrony. Firma Dell Technologies zaleca kilka tygodni lub więcej testów w trybie uczenia się przed przejściem na zasady trybu ochrony.
Aby uzyskać więcej informacji, kliknij opcję Zalecenia dotyczące serwera aplikacji, Tryb uczenia się lub Tryb ochrony.
W obu trybach: uczenia oraz chronionym serwery aplikacji mogą być dodatkowo obciążone w sposób różniący się od systemów operacyjnych klienta. W rzadkich przypadkach funkcja automatycznej kwarantanny (AQT) uniemożliwia uruchamianie niektórych plików do czasu obliczenia wyniku. Występuje to w przypadku, gdy aplikacja wykryje blokowanie plików jako manipulację lub gdy proces nie może zakończyć się w oczekiwanym czasie.
Jeśli funkcja Obserwuj nowe pliki jest włączona, może spowolnić działanie urządzenia. Po wygenerowaniu nowego pliku jest on analizowany. Chociaż ten proces powoduje niewielkie obciążenie, duża liczba plików naraz może spowodować pogorszenie wydajności.
Sugerowane zmiany zasad dla systemów operacyjnych Windows Server:
W przypadku tych zaleceń zazwyczaj sugeruje się także, aby wydzielić urządzenia z serwerowymi systemami operacyjnymi w oddzielnych strefach. Aby uzyskać informacje na temat generowania stref, należy zapoznać się z tematem Zarządzanie strefami w programie Dell Threat Defense.
| Zasada | Zalecane ustawienie |
|---|---|
| Automatyczna kwarantanna z kontrolą wykonania dla niebezpiecznych | Disabled |
| Automatyczna kwarantanna z kontrolą wykonania dla nietypowych | Disabled |
| Włącz automatyczne usuwanie plików poddanych kwarantannie | Disabled |
| Automatyczne przesyłanie | Enabled |
| Lista bezpiecznych dla zasady | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Zapobiegaj zamknięciu usługi z urządzenia | Disabled |
| Zamykaj niebezpieczne uruchomione procesy i ich procesy podrzędne | Disabled |
| Wykrywanie zagrożeń w tle | Disabled |
| Uruchom jednorazowo / Uruchom cyklicznie | Nie dotyczy, gdy Ochrona przed zagrożeniami w tle jest wyłączona |
| Obserwuj nowe pliki | Disabled |
| Kopiuj przykładowe pliki | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Włącz automatyczne przesyłanie plików dziennika | Zależne od środowiska |
| Włącz powiadomienia na pulpicie | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Kontrola skryptu | Enabled |
| 1370 i poniżej Aktywny skrypt i PowerShell | Alert |
| 1380 i powyżej Aktywny skrypt | Alert |
| 1380 i powyżej PowerShell | Alert |
| Zablokuj korzystanie z konsoli PowerShell | Nie dotyczy, gdy program PowerShell jest ustawiony na wartość Alert |
| 1380 i powyżej Makra | Alert |
| Wyłącz opcję sterowania skryptami funkcji Aktywny skrypt | Disabled |
| Wyłącz opcję sterowania skryptami programu PowerShell | Disabled |
| Wyłącz opcję sterowania skryptami funkcji Makra | Disabled |
| Wykluczenia folderów (wraz z podfolderami) | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Automatyczna kwarantanna z kontrolą wykonania dla niebezpiecznych | Enabled |
| Automatyczna kwarantanna z kontrolą wykonania dla nietypowych | Enabled |
| Włącz automatyczne usuwanie plików poddanych kwarantannie | Zależne od środowiska |
| Automatyczne przesyłanie | Zależne od środowiska |
| Lista bezpiecznych dla zasady | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Zapobiegaj zamknięciu usługi z urządzenia | Enabled |
| Zamykaj niebezpieczne uruchomione procesy i ich procesy podrzędne | Enabled |
| Wykrywanie zagrożeń w tle | Enabled |
| Uruchom jednorazowo / Uruchom cyklicznie | Uruchom jednorazowo |
| Obserwuj nowe pliki | Enabled |
| Kopiuj przykładowe pliki | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Włącz automatyczne przesyłanie plików dziennika | Zależne od środowiska |
| Włącz powiadomienia na pulpicie | Zależne od środowiska |
| Zasada | Zalecane ustawienie |
|---|---|
| Kontrola skryptu | Enabled |
| 1370 i poniżej Aktywny skrypt i PowerShell | Blokuj |
| 1380 i powyżej Aktywny skrypt | Blokuj |
| 1380 i powyżej PowerShell | Blokuj |
| Zablokuj korzystanie z konsoli PowerShell | Blokuj |
| 1380 i powyżej Makra | Blokuj |
| Wyłącz opcję sterowania skryptami funkcji Aktywny skrypt | Disabled |
| Wyłącz opcję sterowania skryptami programu PowerShell | Disabled |
| Wyłącz opcję sterowania skryptami funkcji Makra | Disabled |
| Wykluczenia folderów (wraz z podfolderami) | Zależne od środowiska |
Te zasady określają, co dzieje się z plikami wykrytymi podczas ich uruchamiania. Domyślnie, nawet jeśli niebezpieczny plik zostanie wykryty w trakcie działania, zagrożenie zostaje zablokowane. Wartość Niebezpieczny charakteryzuje się skumulowanym wynikiem dla przenośnego pliku wykonywalnego, który przekracza 60 w systemie punktacji Advanced Threat Prevention, który jest oparty na ocenionych wskaźnikach zagrożeń.
Te zasady określają, co dzieje się z plikami wykrytymi podczas ich uruchamiania. Domyślnie, nawet jeśli nietypowy plik zostanie wykryty w trakcie działania, zagrożenie zostaje zablokowane. Nietypowy charakteryzuje się skumulowanym wynikiem dla przenośnego pliku wykonywalnego, który przekracza 0, ale nie przekracza 60 w systemie punktacji Advanced Threat Prevention. System punktacji opiera się na ocenionych wskaźnikach zagrożeń.
Gdy pliki niebezpieczne lub nietypowe zostają poddane kwarantannie na podstawie ustawień kwarantanny na poziomie urządzenia, globalnych list kwarantanny lub przez zasady automatycznej kwarantanny, są one przechowywane w lokalnej pamięci podręcznej kwarantanny w urządzeniu lokalnym. Kiedy opcja Włącz automatyczne usuwanie plików objętych kwarantanną jest włączona, oznacza liczbę dni (minimum 14 dni, maksimum 365 dni), przez które plik jest przechowywany na urządzeniu lokalnym przed jego trwałym usunięciem. Gdy ta opcja jest włączona, można zmodyfikować liczbę dni.
Oznacza zagrożenia, które nie były dostępne dla środowiska Threat Defense SaaS (oprogramowanie jako usługa) do dalszej analizy. Po oznaczeniu pliku jako potencjalnego zagrożenia przez model lokalny wykonywany jest skrót SHA256 dla przenośnego pliku wykonywalnego, który jest wysyłany do SaaS. Jeśli wysłany skrót SHA256 nie pasuje do zagrożenia i funkcja automatycznego przesyłania jest włączona, umożliwia to bezpieczne przesłanie zagrożenia do SaaS w celu dokonania oceny. Dane te są przechowywane bezpiecznie i nie są dostępne dla firmy Dell ani jej partnerów.
Lista bezpiecznych dla zasady zawiera pliki, które zostały uznane za bezpieczne w środowisku i zostały ręcznie uchylone poprzez przesłanie ich skrótów SHA256 i dodatkowych informacji do tej listy. Gdy na liście zostanie umieszczony skrót SHA256, po uruchomieniu pliku nie jest on oceniany przez lokalny model zagrożeń ani model zagrożeń w chmurze. Są to "bezwzględne" ścieżki plików.
Correct (Windows): C:\Program Files\Dell Correct (Mac): /Mac\ HD/Users/Application\ Support/Dell Incorrect: C:\Program Files\Dell\Executable.exe Incorrect: \Program Files\Dell\
Gdy włączona jest opcja Kill unsafe uruchomione procesy i ich procesy podrzędne , określa, czy zagrożenie generuje procesy podrzędne, czy też aplikacja przejęła inne procesy, które są aktualnie uruchomione w pamięci. Jeśli istnieje przekonanie, że proces został przejęty przez zagrożenie, zagrożenie główne i wszystkie procesy, które wygenerowało lub które obecnie posiada, są natychmiast przerywane.
Funkcja wykrywania zagrożeń w tle, jeśli jest włączona, skanuje całe urządzenie w poszukiwaniu przenośnego pliku wykonywalnego, a następnie ocenia ten plik wykonywalny przy użyciu lokalnego modelu zagrożeń i żąda potwierdzenia oceny pliku wykonywalnego w chmurowym SaaS na podstawie wskaźników zagrożeń pliku wykonywalnego. W przypadku wykrywania zagrożeń w tle dostępne są dwie opcje: Uruchom raz i uruchom cyklicznie. Opcja Uruchom jednorazowo przeprowadza skanowanie w tle wszystkich dysków fizycznych podłączonych do urządzenia w momencie instalacji i aktywacji funkcji Threat Defense. Uruchom cyklicznie wykonuje skanowanie w tle wszystkich urządzeń podłączonych do urządzenia w momencie zainstalowania i aktywacji funkcji Threat Defense. Skanowanie jest powtarzane co dziewięć dni (brak możliwości skonfigurowania).
Po włączeniu funkcji Obserwuj nowe pliki każdy przenośny plik wykonywalny wprowadzony do urządzenia jest natychmiast oceniany przy użyciu wskaźników zagrożeń wyświetlanych przy użyciu modelu lokalnego, a ten wynik jest potwierdzany względem hostowanego w chmurze SaaS.
Kopiowanie próbek plików umożliwia automatyczne deponowanie wszelkich zagrożeń znalezionych na urządzeniu w zdefiniowanym repozytorium na podstawie ścieżki UNC. Jest to zalecane tylko w przypadku wewnętrznego badania zagrożeń lub utrzymywania zabezpieczonego repozytorium zagrożeń w danym środowisku. Wszystkie pliki przechowywane przez funkcję kopiowania próbek plików są skompresowane przy użyciu hasła infected.
Opcja Włącz automatyczne przesyłanie plików dziennika umożliwia punktom końcowym przesyłanie plików dziennika do programu Dell Threat Defense co noc o północy lub gdy rozmiar pliku osiągnie 100 MB. Dzienniki są przesyłane w porze nocnej niezależnie od rozmiaru pliku. Wszystkie przesyłane dzienniki zostają skompresowane przed przesłaniem do sieci.
Opcja Włącz powiadomienia na pulpicie umożliwia użytkownikom urządzeń zezwalanie na monity na swoich urządzeniach, jeśli plik jest oznaczony jako nieprawidłowy lub niebezpieczny. Ta opcja jest dostępna w menu rozwijanym po kliknięciu prawym przyciskiem myszy ikony zasobnika Dell Threat Defense w punktach końcowych z włączoną tą zasadą.
Funkcja kontroli skryptów działa za pośrednictwem rozwiązania opartego na filtrze pamięci w celu identyfikowania skryptów uruchomionych na urządzeniu i zapobiegania im, jeśli zasady są ustawione na Blokuj dla tego typu skryptu. Ustawienia alertów dla tych zasad zawierają tylko skrypty, które zostałyby zablokowane w dziennikach i konsoli Dell Threat Defense.
Zasady te mają zastosowanie do klientów starszych niż 1370, które były dostępne przed czerwcem 2016 roku. W przypadku tych wersji obsługiwane są tylko skrypty aktywne i skrypty PowerShell.
Zasady te mają zastosowanie do klientów nowszych niż 1370, które były dostępne po czerwcu 2016 roku.
Aktywne skrypty obejmują wszelkie skrypty rozpoznawane przez hosta skryptów Windows, w tym JavaScript, VBScript, pliki wsadowe i wiele innych.
Skrypty programu PowerShell obejmują skrypty wielowierszowe uruchamiane jako pojedyncze polecenie. (Ustawienie domyślne — Alert)
W programie PowerShell w wersji 3 (wprowadzonej w systemie Windows 8.1) i nowszych większość skryptów programu PowerShell jest uruchamiana jako polecenia jednowierszowe, chociaż mogą one zawierać wiele wierszy, które są uruchamiane kolejno. Może to spowodować pominięcie interpretera skryptu programu PowerShell. Zablokowanie konsoli PowerShell to obejście tego problemu poprzez uniemożliwienie uruchamiania dowolnej aplikacji przy użyciu konsoli programu PowerShell. Zasada ta nie wpływa na środowisko Integrated Scripting Environment (ISE).
Ustawienie Makro umożliwia interpretowanie makr znajdujących się w dokumentach pakietu Office i plikach PDF oraz blokowanie złośliwych makr, które mogą próbować pobierać zagrożenia.
Te zasady umożliwiają całkowite wyłączenie alertu dla typu skryptu zdefiniowanego w ramach każdej zasady. Kiedy ta opcja jest wyłączona, nie są gromadzone żadne dane i nie będą podejmowane żadne próby wykrycia ani blokowania potencjalnych zagrożeń.
Kiedy ta opcja jest zaznaczona, zapobiega gromadzeniu dzienników i blokuje wszelkie potencjalne zagrożenia oparte na aktywnych skryptach. Aktywne skrypty obejmują wszelkie skrypty rozpoznawane przez hosta skryptów Windows, w tym JavaScript, VBScript, pliki wsadowe i wiele innych.
Gdy ta opcja jest zaznaczona, zapobiega zbieraniu dzienników i blokuje wszelkie potencjalne zagrożenia oparte na programie PowerShell. Skrypty programu PowerShell obejmują skrypty wielowierszowe uruchamiane jako pojedyncze polecenie.
Zaznaczenie tej opcji uniemożliwia gromadzenie dzienników i blokuje wszelkie potencjalne zagrożenia oparte na makrach. Ustawienie Makro umożliwia interpretowanie makr znajdujących się w dokumentach pakietu Office i plikach PDF oraz blokowanie złośliwych makr, które mogą próbować pobierać zagrożenia.
Wykluczenia folderów umożliwiają określenie folderów, w których można uruchamiać skrypty. W tej sekcji należy określić wykluczenia w formacie ścieżki względnej.
/windows/system*/./windows/system32/*//windows/system32/*/folder/*/script.vbs Pasuje \folder\test\script.vbs lub \folder\exclude\script.vbs ale nie dziala dla \folder\test\001\script.vbs. Wymagałoby to /folder/*/001/script.vbs lub /folder/*/*/script.vbs./folder/*/script.vbs/folder/test*/script.vbs//*/login/application//abc*/logon/applicationPrawidłowa (Mac): /Mac\ HD/Users/Cases/ScriptsAllowed
Prawidłowa (system Windows): \Cases\ScriptsAllowed
Niepoprawnie: C:\Application\SubFolder\application.vbs
Niepoprawnie: \Program Files\Dell\application.vbs
Przykłady symboli wieloznacznych:
/users/*/temp obejmować:
\users\john\temp\users\jane\temp/program files*/app/script*.vbs obejmować:
\program files(x86)\app\script1.vbs\program files(x64)\app\script2.vbsprogram files(x64)\app\script3.vbsAby skontaktować się z pomocą techniczną, przejdź do sekcji Numery telefonów międzynarodowej pomocy technicznej Dell Data Security.
Przejdź do TechDirect, aby wygenerować zgłoszenie online do pomocy technicznej.
Aby uzyskać dodatkowe informacje i zasoby, dołącz do Forum społeczności Dell Security.