Attenuazione falsa positiva per la prevenzione exploit Signature 6148 per percorsi di installazione non standard

Articoli tecnici ID: KB92350
Ultima modifica: 2022-07-18 18:58:22 Etc/GMT

Ambiente

Endpoint Security (ENS) Prevenzione delle minacce 10.x
Versione 10.6.0.9845
contenuto prevenzione exploit Microsoft Windows: tutte le versioni supportate

Riepilogo

È stata rilasciata la firma di prevenzione exploit 6148 " Malware Behavior : EFS Abuse " con il pacchetto 10.6.0.9845. di rilascio di gennaio 2020 cifratura file System (EFS) è una funzionalità Microsoft Windows disponibile nei sistemi operativi Windows. EFS consente la crittografia dei file in base all'utente. Signature 6148 rileva l'abuso della funzionalità EFS da parte di un aggressore per ottenere il controllo sui dati dell'utente. La firma 6148 limita l'eliminazione dei file delle chiavi di crittografia. Di conseguenza, mantiene la disponibilità dei dati degli utenti anche se l'attacco ha esito positivo.

Problema

Con contenuto di prevenzione exploit versione 9845, Signature 6148 è attivata in modalità di blocco per impostazione predefinita. Sono stati attivati dei falsi positivi per la firma 6148. Questo problema si verifica con percorsi di installazione non standard per le applicazioni.

Soluzione

Il contenuto di prevenzione exploit 9863 disattiva la firma 6148 per impostazione predefinita. Se si attiva Signature 6148 e si osservano i trigger di falsi positivi, è possibile utilizzare le opzioni seguenti per mitigare i trigger di falsi positivi. Configurare queste opzioni utilizzando la console ePO.

Contenuti
Fare clic per espandere la sezione che si desidera visualizzare:

Aggiunta di un'esclusione per il processo affidabile da ePO

Se si desidera aggiungere un'esclusione per il processo Actor da convalidare come processo affidabile, attenersi alla seguente procedura. Se non si è certi del processo dell'attore, raccogliere i registri di debug e contattare Assistenza tecnica. Assistenza tecnica possibile verificare se il processo che causa il trigger di falso positivo per Signature 6148 è affidabile.

Se il processo è affidabile, è possibile aggiungere un'esclusione generica per il processo, inclusi il percorso del processo, le informazioni sul firmatario o l'hash MD5.

Nota: L'esclusione è applicabile per tutti i file di classe, il registro e le firme dei processi disponibili nel contenuto di prevenzione exploit di ENS.

Accedere alla console di ePO.
Fare clic sulla scheda struttura dei sistemi .
Fare clic sulla scheda policy assegnate per il gruppo secondario gestito in organizzazione.
Selezionare Endpoint Security prevenzione delle minacce dall'elenco a discesa prodotto.
Fare clic sul policy di prevenzione exploit assegnato.
Fare clic su Mostra Avanzate.
Assicurarsi che l'opzione prevenzione exploit sia selezionata.
Accedere alla sezione esclusioni, quindi fare clic su Aggiungi.
Selezionare l'opzione file-processi-registro dall'elenco a discesa tipo di esclusione.
Fornire i dettagli per l'esclusione:
- Nome: consente di specificare un nome file valido per l'estensione. Ad esempio, smsexec.exe .
- Nome file o percorso: consente di specificare il percorso completo del file. Se necessario, utilizzare caratteri jolly. Ad esempio, E:\PROGRAM FILES\MICROSOFT CONFIGURATION MANAGER\BIN\X64\SMSEXEC.EXE .
- Hash MD5: fornire il hash MD5 (facoltativo).
- Firmatario: fornisce informazioni sul firmatario valide (facoltativo).
Fare clic su Salva. L'esclusione è visibile nella sezione esclusioni.
Fare clic su Salva.
Imporre le policy sul sistema client. L'esclusione è visibile nella console client ENS in Impostazioni, prevenzione delle minacce, fare clic su Mostra avanzate, prevenzione exploit, sezione esclusioni .

Imposta Signature 6148 su modalità di segnalazione solo da ePO

Procedere come segue se si desidera modificare il tipo di reazione della Signature 6148 in modalità segnala solo e monitorare gli eventi di attivazione della firma 6148 da ePO.

Accedere alla console di ePO.
Fare clic sulla scheda struttura dei sistemi .
Fare clic sulla scheda policy assegnate per il gruppo secondario gestito in organizzazione.
Selezionare Endpoint Security prevenzione delle minacce dall'elenco a discesa prodotto.
Fare clic sul policy di prevenzione exploit assegnato.
Fare clic su Mostra Avanzate.
Assicurarsi che l'opzione prevenzione exploit sia selezionata.
Accedere alla sezione firme, cercare 6148 e fare clic su applica.
Deselezionare l'opzione blocca per Signature 6148.
Assicurarsi che l'opzione rapporto sia selezionata.
Fare clic su Salva.
Imporre le policy sul sistema client. Il tipo di reazione Signature 6148 viene visualizzato come rapporto solo nella console client ENS. Per visualizzare la firma, passare a Impostazioni, prevenzione delle minacce. Fare clic su Mostra avanzate, prevenzione exploit, sezione firme .

Disattiva firma 6148 da ePO

Se si desidera disattivare la protezione offerta dalla firma 6148, attenersi alla seguente procedura.

Accedere alla console di ePO.
Fare clic sulla scheda struttura dei sistemi .
Fare clic sulla scheda policy assegnate per il gruppo secondario gestito in organizzazione.
Selezionare Endpoint Security prevenzione delle minacce dall'elenco a discesa prodotto.
Fare clic sul policy di prevenzione exploit assegnato.
Fare clic su Mostra Avanzate.
Assicurarsi che l'opzione prevenzione exploit sia selezionata.
Accedere alla sezione firme, cercare 6148 e fare clic su applica.
Deselezionare le opzioni riportate di seguito per Signature 6148:
- Blocca
- Rapporto
Lo stato della firma 6148 viene modificato in disattivato.
Fare clic su Salva.
Imporre le policy sul sistema client. La firma 6148 viene visualizzata come disattivata nella console client ENS in Impostazioni, prevenzione delle minacce, fare clic su Mostra avanzate, prevenzione exploit, sezione firme .

Informazioni correlate

Per contattare assistenza tecnica, accedere alla pagina Crea richiesta di assistenza e accedere a ServicePortal.

Se si è utenti registrati, digitare l'ID utente e la password, quindi fare clic su accesso.
Se non si è utenti registrati, fare clic su registra e completare i campi per inviare via email i password e le istruzioni.

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

Knowledge Center

Attenuazione falsa positiva per la prevenzione exploit Signature 6148 per percorsi di installazione non standard

Ambiente

Riepilogo

Problema

Soluzione

Informazioni correlate

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

Attenuazione falsa positiva per la prevenzione exploit Signature 6148 per percorsi di installazione non standard

Ambiente

Riepilogo

Problema

Soluzione

Informazioni correlate

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title