Esse problema deve ser resolvido com a atualização do ENS 10.7.0 de novembro de 2020.
Solução de problemas:
Se você continuar a ver um crescimento inesperado no tamanho da pasta, execute as etapas a seguir:
- Ativar registro de depuração do ENS no sistema afetado.
- AMTraceExecute o e o Process Monitor por alguns minutos, enquanto o tamanho da pasta está aumentando. Para obter instruções, consulte KB86691-etapas mínimas de coleta de dados para problemas de Endpoint Security.
- Execute o comando a seguir a partir da CLI no sistema afetado:
dir C:\$mfedeeprem\ /s >> c:\temp\deeprem.txt
- Execute imediatamente um mínimo de requisitos de escalação (MER). Após a conclusão, forneça o registro de arquivo (compactado, se for grande), AMTrace registro e processamento do deeprem.txt Monitor ao suporte técnico.
Em
- Qualquer processo recentemente iniciado com uma reputação de 50 ("" desconhecido) ou inferior é monitorado para uma correção aprimorada. Além disso, qualquer processo que já esteja em execução com uma reputação que seja reduzida para o 50 ou inferior como resultado carregamento de uma DLL desconhecida ou maliciosa está sujeito ao monitoramento.
- Se a correção aprimorada for iniciada para um processo e nenhuma detecção feita por um ATP mecanismo de varredura ocorrerá em 10 minutos, o monitoramento será interrompido para o processo e a mfedeeprem dll não será injetada. Os detalhes c:\$mfedeeprem\current_sessions\ da seção são movidos para c:\$mfedeeprem\terminated_sessions\ o.
- A cada cinco minutos de tempo de atividade do sistema, todo o conteúdo c:\$mfedeeprem\terminated_sessions\ é arquivado em c:\$mfedeeprem\archived_sessions\ .
- Todas as sessões arquivadas que se tornarem mais de 30 dias serão excluídas automaticamente.
- Para disparar o arquivamento imediato da pasta de sessões encerradas a qualquer momento, desative e ative novamente ATP.
Testes:
Para confirmar se a correção avançada está funcionando, execute os seguintes comandos a partir da CLI em um sistema de teste:
copy c:\windows\system32\calc.exe c:\temp\not_calc.exe
echo "test" >> c:\temp\not_calc.exe
start c:\temp\not_calc.exe
A modificação
calc.exe é iniciada, mas agora com uma reputação desconhecida. Você deve ver um novo GUID de seção criado em e se tiver ativado o registro em
\current_sessions\ log de depuração do ENS ATP, o
EnhancedRemediation_Debug registro deverá ter entradas com a ID de seção e outros detalhes associados ao monitoramento do
not_calc.exe .
Exclusões
Adicione uma exclusão para o caminho do processo ou arquivo nome nas exclusões de risco padrão da política de varredura ao acessar atribuídas. Essa exclusão também impede que a DLL de correção aprimorada associada seja injetada no processo.
- Se você for um usuário registrado, digite sua ID de usuário e senha e, em seguida, clique em efetuar login.
- Se você não for um usuário registrado, clique em registrar e preencha os campos para ter sua senha e suas instruções enviadas por e-mail para você.
