On-execute хамгаалалтыг хэрхэн тохируулах вэ?

Бодлогын Antimalware > On-Execute хэсэгт хортой процесс ажиллаж эхлэх үед түүнээс хамгаалах тохиргоог хийнэ. Энэ нь дараах хамгаалалтын түвшнүүдийг хамарна.

• Cloud-based threat detection
• Advanced Threat Control
• Fileless Attack Protection
• Ransomware Mitigation

Cloud-based threat detection

Cloud-based Threat Detection технологи нь cloud дээр ажиллах machine learning алгоритмаар дэвшилтэт аюулыг илрүүлж, шинэчлэлтийг шууд хийх боломжтой. Энэ технологи нь дотоод дискний зай болон нөөцийн хэрэглээг бууруулж, таны орчны үр ашгийг сайжруулна.

Энэ технологи хоёр үндсэн бүрэлдэхүүнтэй.

• The Content Extractor — Таны орчноос metadata гаргаж аван боловсруулахаар cloud руу илгээнэ.

• The Threat Detector — Content Extractor-оос metadata багц хүлээн авч, орчин үеийн machine learning болон heuristic алгоритмаар мэдээллийг шинжилж, үр дүнгээс нь үндэслэн илрүүлэлт гаргана.

Энэ бүрэлдэхүүн файл, buffer, санах ой, үйлдлийн системийн файлд шууд хандах шаардлагагүй. Дискний зай бага шаардаж, шинэчлэлтийг шууд хийх боломжтой.

Cloud-based Threat Detection-ийг идэвхжүүлэхийн тулд унтраалгыг дарна.

Advanced Threat Control

Bitdefender Advanced Threat Control нь дэвшилтэт heuristic аргаар шинэ боломжит аюулыг бодит цагт илрүүлдэг урьдчилсан (proactive) технологи.

Advanced Threat Control нь төхөөрөмж дээр ажиллаж буй аппликейшнийг тасралтгүй хянаж, хортой программд төстэй үйлдлийг хайдаг. Үйлдэл бүрт оноо өгч, процесс бүрийн нийт оноог тооцдог. Процессын нийт оноо тодорхой босгод хүрвэл тэр процессыг хор хөнөөлтэй гэж үзнэ. Модуль илэрсэн файлыг автоматаар цэвэрлэхийг оролдоно. Цэвэрлэх оролдлого бүтэлгүйтвэл файлыг устгана.

Windows системд Advanced Threat Control нь Security Account Manager зэрэг чухал registry key-үүдийг зөвшөөрөлгүй хандалт болон хортой registry key dump хийх зэрэг мөлжлөгөөс хамгаалах нэмэлт чадамжтай.

Advanced Threat Control-ийг тохируулах алхам:

1. 1Advanced Threat Control-ийг идэвхжүүлэхийн тулд унтраалгыг дарна.

> Анхааруулга: Advanced Threat Control-ийг идэвхгүй болговол компьютерууд үл мэдэгдэх хортой программд өртөмтгий болно.

2. 2Advanced Threat Control-оор илэрсэн халдвартай аппликейшний анхдагч үйлдэл нь Remediate.

Цэсээс өөр анхдагч үйлдэл сонгож болно.

- Block — халдвартай аппликейшнд хандахыг хориглоно.
- Report only — Bitdefender-ийн илрүүлсэн халдвартай аппликейшнийг зөвхөн мэдээлнэ.

3. 3Өөрийн хэрэгцээнд тохирох хамгаалалтын түвшнийг (Aggressive, Normal эсвэл Permissive) дарж сонгоно. Сонголт хийхдээ тайлбарыг ашиглана.

Хамгаалалтын түвшнийг өндөр тавих тусам Advanced Threat Control процессыг мэдээлэхэд хортой программд төстэй үйлдлийн цөөн шинж тэмдэг хангалттай болно. Ингэснээр мэдээлэгдэх аппликейшний тоо нэмэгдэхийн зэрэгцээ буруу илрүүлэлт (цэвэр аппликейшнийг хортой гэж илрүүлэх) гарах магадлал өснө.

> Тэмдэглэл: Буруу илрүүлэлтээс (хууль ёсны аппликейшнийг андуурч илрүүлэх) сэргийлэхийн тулд түгээмэл ашигладаг эсвэл найдвартай аппликейшнд үл хамаарах дүрэм (exclusion) үүсгэхийг чухалчилан зөвлөж байна.
>
> Бодлогын тохиргооны Antimalware > Exclusions хэсэгт эсвэл Configuration profiles > Exclusions хуудсанд орж, найдвартай аппликейшний ATC/IDS process exclusion дүрмийг тохируулна.
>
> Мөн шаардлагатай registry өөрчлөлт хийдэг найдвартай системд зориулан ATC/Sensitive registry protection сонголтоор IP/mask exclusion үүсгэж болно.

4. 4Sensitive Registry Protection сонголт нь чухал registry key-үүдийг хамгаалж, Windows төхөөрөмж дээрх хэрэглэгчийн нэвтрэлтийн өгөгдөл болон системийн аюулгүй байдлын бодлогыг иж бүрнээр хамгаална.

Дараах үйлдлүүдийн аль нэгийг сонгож болно.

- Kill process — холбогдох процессыг шууд зогсоож, хортой registry key dump хийхийг хаана.
- Report only — хортой registry key dump хийхийг ямар ч арга хэмжээ авахгүйгээр зөвхөн мэдээлнэ.

5. 5Kernel-API Monitoring сонголт нь kernel түвшний дэвшилтэт хяналтыг идэвхжүүлж, системийн ер бусын үйлдлийг илрүүлэх, системийн бүрэн бүтэн байдлыг онилсон мөлжлөгийн оролдлогоос хамгаалах боломж олгоно. Энэ боломж нь Advanced Threat Control-ийн нарийн төвөгтэй халдлагын аргыг халдлагын гинжин хэлхээний эхэнд нь илрүүлж, сааруулах чадварыг сайжруулж, аюулгүй байдлын шийдлийг сулруулахын тулд эмзэг драйверыг ашигладаг аюулаас хамгаална.

> Анхааруулга: Энэ боломж гүнзгий хяналтын чадамж нэвтрүүлдэг тул эхлээд хяналттай орчинд туршиж, системд тань үзүүлэх нөлөө болон нийцтэй байдлыг үнэлэхийг зөвлөж байна.

Fileless Attack Protection

Fileless Attack Protection нь анхдагчаар fileless хортой программыг ажиллахаас өмнө илрүүлж, хаахаар тохируулагдсан. Үүнд хортой командын мөртэй PowerShell-ийг зогсоох, хортой трафикийг хаах, код тарихаас өмнө санах ойн buffer-ийг шинжлэх, код тарих үйл явцыг хаах орно.

Дараах байдлаар тохируулж болно.

• Command-Line Scanner — fileless халдлагыг ажиллахын өмнөх шатанд илрүүлнэ.
• Antimalware Scan Interface Security Provider — Windows Antimalware Scan Interface (AMSI)-тэй нэгтгэснээр агуулгыг илүү гүнзгий шалгана. Script, файл, URL болон бусдыг тэдэнд хандах, ажиллуулах эсвэл дискэнд бичихээс өмнө аюулгүй байдлын шинжилгээ шаарддаг янз бүрийн үйлчилгээ илгээдэг. Нэмж, Antimalware модулийн шинжилгээний үр дүнг AMSI үйлчилгээнд цааш мэдээлэх эсэхийг тохируулж болно.

Ransomware Mitigation

Ransomware Mitigation нь таны өгөгдлийг ransomware (золиос нэхэгч хортой программ) халдлагаас хамгаалахын тулд илрүүлэх болон засч залруулах технологи ашиглана. Ransomware мэдэгдэж байгаа ч бай, шинэ ч бай GravityZone ер бусын шифрлэх оролдлогыг илрүүлж, процессыг хаана. Дараа нь нөөц хуулбараас файлуудыг сэргээж, анхны байршилд нь буцаана.

Шаардлага

Дэмжигдсэн үйлдлийн систем болон дискний зайн шаардлагын талаар Ransomware Mitigation хуудсыг үзнэ үү.

Ажиллагаа

Файлын хяналт. Хэрэглэгчийн түр хавтас c:\Users\{name}\AppData\Local\Temp\-ээс бусад бүх системийг хянана. Ямар төрлийн файлыг хянадаг талаар Ransomware Mitigation хуудсыг үзнэ үү.

Нөөцлөх үйл явц. Сэжигтэй процесс файлыг өөрчлөхийг оролдох бүрт нөөцлөх үйл явц эхэлнэ. Нөөц файлыг хадгалах хугацаа 30 хоног. Файлыг амжилттай сэргээсний дараа түүний нөөцийг хадгалалтаас устгана.

Сэргээсэн файлын нэршил. Файлуудыг шифрлэгдсэн хувилбарынх нь хажууд, анхны байршилд нь сэргээнэ. Сэргээсэн файлын нэрийг дараах хэлбэрээр өгнө: OriginalName - Restored.OriginalExtension. Тухайн хавтсанд ийм нэртэй файл байгаа бол нэршил OriginalName – Restored(2).OriginalExtension болж өөрчлөгдөнө.

Алсаас хийх халдлагад IP хаах. Алсаас халдлага хийвэл IP-г хоёр цагаар, эсвэл систем дахин асах хүртэл хаана.

Тохиргоо

Ransomware Mitigation-ийг тохируулах алхам:

1. 1Ransomware Mitigation-ийг идэвхжүүлэхийн тулд унтраалгыг дарна.

2. 2Ашиглах хяналтын горимыг сонгоно.

- Locally — GravityZone процессуудыг хянаж, төхөөрөмж дээр дотооддоо эхэлсэн ransomware халдлагыг илрүүлнэ. Ажлын станцад үүнийг зөвлөдөг. Гүйцэтгэлд нөлөөлдөг тул серверт болгоомжтой ашиглана.
- Remotely — GravityZone сүлжээний хавтасны замд хандалтыг хянаж, өөр машинаас эхэлсэн ransomware халдлагыг илрүүлнэ. Төхөөрөмж нь файлын сервер эсвэл сүлжээний хавтас идэвхжүүлсэн бол энэ сонголтыг ашиглана.

3. 3Ransomware илрэхэд хийх автомат үйлдлийг сонгоно.

- Report only — Ransomware халдлага илэрсэн үед процессууд үргэлжлэн ажиллаж, зөвхөн мэдээлэгдэнэ.
- Block — Ransomware халдлага илэрсэн үед процессуудыг зогсоож, мэдээлнэ. Энэ нь анхдагч үйлдэл.

4. 4Сэргээх аргыг сонгоно.

- On demand — Аль халдлагаас файлыг сэргээхээ та гараар сонгоно. Үүнийг Reports > Ransomware Activity хуудаснаас өөрт тохиромжтой үедээ хийж болох ч халдлагаас хойш 30 хоногоос хэтрэхгүй байх ёстой. Үүнээс хойш сэргээх боломжгүй.
- Automatically — GravityZone ransomware илэрсний дараа файлуудыг шууд автоматаар сэргээнэ.

Сэргээлт амжилттай болохын тулд төхөөрөмжүүд хүртээмжтэй байх шаардлагатай.

5. 5EFS Protection-ийг сонгоно. Энэ технологи нь Windows системийн Encrypting File System-ийн өгөгдөлд хийх халдлагаас, өөрөөр хэлбэл зөвшөөрөлгүй хандалт, шифрлэлтэд хөндлөнгөөс оролцох, ransomware-ийн файл түгжих үйлдлээс хамгаална.

Хяналт

Идэвхжүүлсний дараа сүлжээнд тань ransomware халдлага гарч байгаа эсэхийг шалгах хэд хэдэн арга бий.

• Мэдэгдлийг шалгаж, Ransomware Detection-г хайна.

Энэ мэдэгдлийн талаар дэлгэрэнгүйг Мэдэгдлийн төрлүүд-ээс үзнэ үү.

• **Reports** хэсгийг шалгана.

- Security Audit тайланд алсаас хийсэн ransomware халдлагын мэдээлэл харагдана.
- Ransomware Activity тайланд дотоод болон алсаас хийсэн хоёр төрлийн халдлагын өгөгдөл байна. Энэ хуудсанд шаардлагатай бол сэргээх даалгаврыг мөн эхлүүлж болно.

Илрэлт нь хууль ёсны шифрлэлтийн процесс байвал, файл шифрлэхийг зөвшөөрсөн тодорхой зам байвал, эсвэл тодорхой машинаас алсаас хандахыг зөвшөөрөх бол бодлогын Antimalware > Custom Exclusions хэсэгт үл хамаарах жагсаалт нэмнэ. Ransomware Mitigation нь хавтас, процесс, IP/mask-ээр үл хамаарах жагсаалт үүсгэх боломж олгоно.