Este problema se debe resolver con la actualización ENS 10.7.0 de noviembre de 2020.
Solución de problemas:
Si sigue apareciendo un crecimiento inesperado en el tamaño de la carpeta, lleve a cabo los pasos siguientes:
- Active el registro de depuración de ENS en el sistema afectado.
- Ejecute un AMTrace monitor de y procesos durante unos minutos mientras aumenta el tamaño de la carpeta. Para obtener instrucciones, consulte los pasos de recopilación de datos mínimos de KB86691 para problemas de Endpoint Security.
- Ejecute el siguiente comando desde la CLI en el sistema afectado:
dir C:\$mfedeeprem\ /s >> c:\temp\deeprem.txt
- Ejecutar de inmediato los requisitos de escalación mínima (MER). Una vez completada, proporcione el archivo (comprimido, si es grande), AMTrace el registro y el deeprem.txt registro de Process Monitor en soporte técnico.
Experiencia
- Se supervisa cualquier proceso recién iniciado con una reputación de 50 ("" desconocido) o inferior para la corrección mejorada. Además, cualquier proceso que ya esté en ejecución con una reputación que se reduzca a 50 o menos como resultado de la carga de un archivo DLL desconocido o malicioso estará sujeto a la supervisión.
- Si se inicia una corrección mejorada para un proceso y no se produce una detección por parte de un ATP analizador en 10 minutos, la supervisión se detiene para ese proceso y la mfedeeprem dll se queda sin insertar. Los detalles de la sesión de c:\$mfedeeprem\current_sessions\ se mueven a c:\$mfedeeprem\terminated_sessions\ .
- Cada cinco minutos de tiempo de actividad del sistema, todo el contenido de c:\$mfedeeprem\terminated_sessions\ se archiva en c:\$mfedeeprem\archived_sessions\ .
- Las sesiones archivadas que se hayan convertido en más de 30 días se eliminarán automáticamente.
- Para activar el archivado inmediato de la carpeta sesiones terminadas en cualquier momento, desactive y vuelva a activar ATP.
Pruebas:
Para confirmar que la corrección mejorada funciona, ejecute los siguientes comandos desde la CLI en un sistema de prueba:
copy c:\windows\system32\calc.exe c:\temp\not_calc.exe
echo "test" >> c:\temp\not_calc.exe
start c:\temp\not_calc.exe
Se inicia la modificación
calc.exe , pero ahora con una reputación desconocida. Debería ver un GUID de sesión nuevo creado en
\current_sessions\ y, si ha activado ENS ATP registro de depuración, el
EnhancedRemediation_Debug registro debe tener entradas con el ID de sesión y otros detalles asociados con la supervisión de
not_calc.exe .
Exclusiones
Agregue una exclusión para la ruta del proceso o el nombre del archivo en la Directiva de análisis en tiempo real asignada exclusiones de riesgo estándar. Esta exclusión también impide que la DLL de corrección mejorada que se asocia sea inyectar el proceso.
- Si es un usuario registrado, escriba su ID de usuario y contraseña y, a continuación, haga clic en iniciar sesión.
- Si no es un usuario registrado, haga clic en registrar y rellene los campos para que la contraseña y las instrucciones se envíen por correo electrónico.
