Analiza stanu punktu końcowego obrony przed zagrożeniem rozwiązania Dell Endpoint Security Suite Enterprise
Сводка: Stan punktów końcowych można przeanalizować w rozwiązaniu Dell Endpoint Security Suite Enterprise i Dell Threat Defense na podstawie tych instrukcji.
Данная статья применяется к
Данная статья не применяется к
Эта статья не привязана к какому-либо конкретному продукту.
В этой статье указаны не все версии продуктов.
Симптомы
Uwaga:
- Od maja 2022 r. oprogramowanie Dell Endpoint Security Suite Enterprise osiągnęło koniec konserwacji. Ten produkt i związane z nim artykuły nie są już aktualizowane przez Dell.
- W maju 2022 r. oprogramowanie Dell Threat Defense osiągnęło koniec konserwacji. Ten produkt i związane z nim artykuły nie są już aktualizowane przez Dell.
- Aby uzyskać więcej informacji, należy zapoznać się z zasadami cyklu eksploatacji produktu (koniec wsparcia technicznego i koniec eksploatacji) w zakresie bezpieczeństwa danych firmy Dell. Jeśli masz pytania dotyczące innych artykułów, skontaktuj się z działem sprzedaży lub napisz wiadomość na adres endpointsecurity@dell.com.
- Aby uzyskać dodatkowe informacje na temat obecnych produktów, zapoznaj się z artykułem Endpoint Security.
Statusy punktów końcowych Dell Endpoint Security Suite Enterprise i Dell Threat Defense można pobierać z określonego punktu końcowego w celu szczegółowego przeglądu zagrożeń, wykorzystania i skryptów.
Dotyczy produktów:
- Dell Endpoint Security Suite Enterprise
- Dell Threat Defense
Dotyczy platform:
- Windows
- Mac
- Linux
Причина
Nie dotyczy
Разрешение
Administratorzy rozwiązania Dell Endpoint Security Suite Enterprise lub Dell Threat Defense mogą uzyskać dostęp do pojedynczego punktu końcowego w celu sprawdzenia:
- zawartości złośliwego oprogramowania
- stanu złośliwego oprogramowania
- typu złośliwego oprogramowania
Administrator powinien wykonać te czynności tylko w przypadku rozwiązywania problemów z nieprawidłową klasyfikacją pliku przez zaawansowany mechanizm zapobiegania zagrożeniom (ATP). Aby uzyskać więcej informacji, kliknij opcję Access (Dostęp) lub Review (Sprawdź ).
Access
Dostęp do informacji o złośliwym oprogramowaniu różni się w zależności od systemu Windows, macOS i Linux. Aby uzyskać więcej informacji, kliknij odpowiedni system operacyjny.
Domyślnie system Windows nie rejestruje szczegółowych informacji o złośliwym oprogramowaniu.
- Prawym przyciskiem myszy kliknij menu Start systemu Windows, a następnie kliknij opcję Uruchom.
- W menu Uruchom wpisz
regedita następnie naciśnij kombinację klawiszy CTRL + SHIFT + ENTER. Edytor rejestru zostanie uruchomiony jako administrator.
- W Edytorze rejestru przejdź do
HKEY_LOCAL_MACHINE\Software\Cylance\Desktop. - W lewym okienku kliknij prawym przyciskiem myszy punkt Pulpit, a następnie wybierz opcję Pozwolenia.
- Kliknij opcję Advanced (Zaawansowane).
- Kliknij opcję Właściciel.
- Kliknij opcję Inni użytkownicy i grupy.
- Wyszukaj swoje konto w grupie, a następnie kliknij OK.
- Kliknij przycisk OK.
- Upewnij się, że grupa lub nazwa użytkownika ma zaznaczoną opcję Pełna kontrola, a następnie kliknij OK.
Uwaga: W tym przykładzie DDP_Admin (krok 8) należy do grupy Użytkownicy.
- O
HKEY_LOCAL_MACHINE\Software\Cylance\Desktopkliknij prawym przyciskiem myszy folder Pulpit , wybierz opcję Nowy, a następnie kliknij wartość DWORD (32-bitowa).
- Nadaj dwordowi nazwę
StatusFileEnabled.
- Kliknij dwukrotnie StatusFileEnabled.
- Wypełnij dane wartości za pomocą
1a następnie naciśnij przycisk OK.
- O
HKEY_LOCAL_MACHINE\Software\Cylance\Desktopkliknij prawym przyciskiem myszy folder Pulpit , wybierz opcję Nowy, a następnie kliknij wartość DWORD (32-bitowa).
- Nadaj dwordowi nazwę
StatusFileType.
- Kliknij dwukrotnie StatusFileType.
- Wypełnij dane wartości
0lub1. Po wypełnieniu danych wartości naciśnij OK.
Uwaga: Wyboru danych wartości:
0= format pliku JSON1= Format XML
- O
HKEY_LOCAL_MACHINE\Software\Cylance\Desktopkliknij prawym przyciskiem myszy folder Pulpit , wybierz opcję Nowy, a następnie kliknij wartość DWORD (32-bitowa).
- Nadaj dwordowi nazwę
StatusPeriod.
- Kliknij dwukrotnie StatusPeriod.
- Wypełnij dane wartości liczbą od
15na60a następnie kliknij przycisk OK.
Uwaga: StatusPeriod to często zapisywany plik.
15 = 15-sekundowy interwał
60 = interwał 60 sekund
15 = 15-sekundowy interwał
60 = interwał 60 sekund
- O
HKEY_LOCAL_MACHINE\Software\Cylance\Desktop, kliknij prawym przyciskiem myszy folder Pulpit , wybierz opcję Nowy, a następnie kliknijString Value.
- Nazwij ciąg znaków
StatusFilePath.
- Kliknij dwukrotnie StatusFilePath.
- Wpisz w polu Dane wartości lokalizację do zapisania pliku stanu, a następnie kliknij OK.
Uwaga:
- Domyślna ścieżka:
<CommonAppData>\Cylance\Status\Status.json - Przykładowa ścieżka:
C:\ProgramData\Cylance - Plik .json (JavaScript Object Notation) można otworzyć w edytorze dokumentów tekstowych ASCII.
Szczegółowe informacje o złośliwym oprogramowaniu znajdują się w pliku Status.json pod adresem:
/Library/Application Support/Cylance/Desktop/Status.json
Uwaga: Plik .json (JavaScript Object Notation) można otworzyć w edytorze dokumentów tekstowych ASCII.
Szczegółowe informacje o złośliwym oprogramowaniu znajdują się w pliku Status.json pod adresem:
/opt/cylance/desktop/Status.json
Uwaga: Plik .json (JavaScript Object Notation) można otworzyć w edytorze dokumentów tekstowych ASCII.
Analiza
Zawartość pliku stanu zawiera szczegółowe informacje na temat wielu kategorii, w tym zagrożeń, wykorzystania luk i skryptów. Kliknij odpowiednie informacje, aby dowiedzieć się więcej na ten temat.
Zawartość pliku stanu:
snapshot_time |
Data i godzina zebrania informacji o stanie. Data i godzina są lokalne dla urządzenia. |
ProductInfo |
|
Policy |
|
ScanState |
|
Threats |
|
Exploits |
|
Scripts |
|
Zagrożenia mają wiele kategorii opartych na numerach do odszyfrowania w File_Status, FileState i FileType. Zapoznaj się z odpowiednią kategorią dla wartości, które mają zostać przypisane.
File_Status
Pole File_Status jest wartością dziesiętną obliczoną na podstawie wartości włączonych przez filestate (patrz tabela w sekcji FileState). Na przykład wartość dziesiętna 9 dla statusu_pliku jest obliczana na podstawie pliku zidentyfikowanego jako zagrożenie (0x01), gdzie plik został poddany kwarantannie (0x08).
Stan pliku
Zagrożenia: Stan pliku
| None | 0x00 |
| Zagrożenie | 0x01 |
| Podejrzany | 0x02 |
| Dozwolone | 0x04 |
| Na kwarantannie | 0x08 |
| Działa | 0x10 |
| Uszkodzony | 0x20 |
Typ pliku
Zagrożenia: Typ pliku
| Brak obsługi | 0 |
| PE | 1 |
| Archiwalny | 2 |
| 3 | |
| OLE | 4 |
Wykorzystania luk mają dwie kategorie numeryczne, które należy odszyfrować zarówno w zakresie typu elementu i stanu.
Zapoznaj się z odpowiednią kategorią dla wartości, które mają zostać przypisane.
Typ elementu
Wykorzystania luk: Typ elementu
StackPivot |
1 | Obracanie stosu |
StackProtect |
2 | Ochrona stosu |
OverwriteCode |
3 | Nadpisywanie kodu |
OopAllocate |
4 | Zdalna alokacja pamięci |
OopMap |
5 | Zdalne mapowanie pamięci |
OopWrite |
6 | Zdalny zapis do pamięci |
OopWritePe |
7 | Zdalny zapis PE do pamięci |
OopOverwriteCode |
8 | Kod nadpisania zdalnego |
OopUnmap |
9 | Zdalne usuwanie mapowania pamięci |
OopThreadCreate |
10 | Tworzenie wątku zdalnego |
OopThreadApc |
11 | Zaplanowano zdalne APC |
LsassRead |
12 | Odczyt LSASS |
TrackDataRead |
13 | RAM Scraping |
CpAllocate |
14 | Zdalna alokacja pamięci |
CpMap |
15 | Zdalne mapowanie pamięci |
CpWrite |
16 | Zdalny zapis do pamięci |
CpWritePe |
17 | Zdalny zapis PE do pamięci |
CpOverwriteCode |
18 | Kod nadpisania zdalnego |
CpUnmap |
19 | Zdalne usuwanie mapowania pamięci |
CpThreadCreate |
20 | Tworzenie wątku zdalnego |
CpThreadApc |
21 | Zaplanowano zdalne APC |
ZeroAllocate |
22 | Alokacja zero |
DyldInjection |
23 | Wprowadzanie DYLD |
MaliciousPayload |
24 | Szkodliwe obciążenie |
Uwaga:
Oopodwołania poza procesemCpodwołania do procesu podrzędnego- Aby uzyskać więcej informacji na temat typów naruszeń, zapoznaj się z tematem Definicje kategorii ochrony pamięci rozwiązania Dell Endpoint Security Suite Enterprise.
Stan
Wykorzystania luk: Stan
| None | 0 |
| Dozwolone | 1 |
| Zablokowany | 2 |
| Zakończony | 3 |
Wykorzystania luk mają jedną kategorię numeryczną, którą należy odszyfrować w zakresie działania.
Skrypty: Czynność
| None | 0 |
| Dozwolone | 1 |
| Zablokowany | 2 |
| Zakończony | 3 |
Aby skontaktować się z pomocą techniczną, przejdź do sekcji Numery telefonów międzynarodowej pomocy technicznej Dell Data Security.
Przejdź do TechDirect, aby wygenerować zgłoszenie online do pomocy technicznej.
Aby uzyskać dodatkowe informacje i zasoby, dołącz do Forum społeczności Dell Security.
Дополнительная информация
Видео
Затронутые продукты
Dell Threat Defense, Dell Endpoint Security Suite EnterpriseСвойства статьи
Номер статьи: 000124896
Тип статьи: Solution
Последнее изменение: 20 Nov 2023
Версия: 12
Получите ответы на свои вопросы от других пользователей Dell
Услуги технической поддержки
Проверьте, распространяются ли на ваше устройство услуги технической поддержки.