本文解释如何配置Cato的终端保护（EPP）解决方案以保护您的终端。
Cato 的 EPP 解决方案包括三种类型的 EPP 引擎：文件保护，可扫描端点上的文件；行为分析，可扫描端点上运行的进程；以及防漏洞，可保护软件漏洞。 您的EPP设置在Cato管理应用程序中配置，提供了一种集中管理整个攻击面安全性的方式。 在终端保护配置文件中，您可以配置每个引擎的保护级别，以定义它如何应对潜在威胁。 使用终端保护策略将终端保护配置文件应用于最终用户或端点。
您可以将文件或进程添加到允许列表，以防止合法文件或进程被识别为恶意。此外，为了增加保护，您可以对特定端点运行按需扫描。
注意
注意：由于地区限制，位于中国的设备无法将其 EPP 注册到 Cato。
为了保护您的端点免受已知和未知恶意软件的攻击，Cato的EPP解决方案提供了三层保护，形成完整的安全解决方案。 每一层都利用不同的检测技术来识别和防止不同类型的攻击。
文件保护引擎支持扫描超过 300 种文件类型，包括归档文件、ZIP 文件和 RAR。 当文件被下载或复制到端点时，以及当最终用户尝试访问时，会进行扫描。 您还可以随时在端点上进行按需扫描所有文件。
行为分析引擎使用启发式方法来防护 未知和零日威胁。 应用程序和进程根据其行为持续监控以发现恶意活动的指示。 恶意行为的示例包括：
-
执行或注入代码到另一个进程的空间以提升权限运行
-
在需要提升权限的注册表位置访问或执行非法操作
-
在系统或Windows文件夹中复制或移动文件
注意
注意: 支持EPP v1.1及以上版本
反漏洞利用引擎使用机器学习来防护已知和未知威胁，这些威胁利用软件漏洞。 系统进程、浏览器、Microsoft Office和Adobe Reader被持续监控以检测用于利用软件漏洞的技术。 检测到的技术示例包括：
-
权限提升：进程试图获得未经授权的权限和资源访问
-
进程自省：尝试收集关于运行进程、系统资源、内存使用和其他关键数据的详细信息
-
LSASS凭据转储：试图访问LSASS进程的内存并提取敏感的认证凭据
在EPP引擎识别出潜在恶意活动后，保护设置定义了EPP采取的操作。 此外，对于行为分析引擎，您可以定义其识别未知威胁的灵敏度。
下表描述了每个保护级别及其示例用例。
|
保护 |
描述 |
示例用例 |
|---|---|---|
|
关闭 |
EPP扫描不运行，也不创建任何事件。 |
您不想使用此EPP引擎。 |
|
监控 |
如果识别出恶意活动则会创建一个事件，但不采取进一步措施。 |
您希望收集恶意文件或进程的数据，而不阻止其执行。 |
|
阻止 |
恶意文件或进程无法被执行。 文件不会被修改或从其位置移动。 这是行为分析和反漏洞利用引擎的默认设置。 |
您希望识别并阻止恶意文件或进程。 |
|
阻止并调整 |
恶意文件或进程无法执行。 文件被加密并隔离，或者如果不可能，则删除文件。 这是反恶意软件的默认设置。 |
您希望识别、阻止和隔离恶意文件或进程。 |
|
终止 |
终止受感染的应用程序进程。 |
您需要终止恶意进程以避免其继续运行。 |
|
终止并修复
|
终止受感染的进程，如果成功，清除恶意软件痕迹。 |
您想要终止进程并确保删除任何持久性。 |
| 终止进程 |
终止被利用的应用程序进程及任何可能关联的进程 |
终止注入代码到被利用进程的进程。 |
要定义EPP如何在您的账户中保护端点，请使用EPP 配置文件定义每个引擎的保护级别。 然后使用EPP策略中的规则定义配置文件适用的端点范围。 配置文件可以应用于特定的终端用户、特定的端点或两者。
EPP策略是有序的规则库。 策略中的规则按顺序应用于文件和进程以检查是否匹配规则。 规则库顶部的规则优先级较高，因为它们在较低的规则之前应用。 例如，如果规则#1具有文件保护阻止响应并适用于识别到恶意文件的端点，则文件被阻止。 不再对文件应用其他规则。 最终默认规则将默认配置文件应用于所有端点，且无法编辑。
EPP 配置文件定义了文件保护和行为分析引擎的保护设置。 您可以根据EPP 策略的要求定义不同的配置文件。
用来源和配置文件定义EPP 策略中的规则。 来源可以是基于终端 ID的终端用户身份或端点设备。 您还可以设置应用于每个终端用户或端点(来源)的保护级别(配置文件)。 这使您可以自定义在环境中每个端点使用每个EPP引擎的方式。
要创建端点保护策略：
-
从导航菜单中，点击安全性 > 终端保护。
-
点击新建。
创建新的端点保护策略规则面板打开。
-
为此规则定义名称、描述、来源和配置文件。
-
(Optional) Configure tracking options to generate Events and Send Notification
For more information about notifications, see the relevant article for Subscription Groups, Mailing Lists, and Alert Integrations in the Alerts section.
-
点击应用。
-
对EPP策略中的每个规则重复步骤2-5。
-
启用EPP策略并点击保存。
滑块（
）在EPP启用时为绿色，禁用时为灰色。
有时，EPP引擎可能会将合法的商业流程视为恶意。 为防止终端保护中断合法的商业流程，您可以为终端用户或在端点(来源)允许一个对象。 这意味着它既不被扫描、也不被阻止或移动。 对于按需扫描，可能会触发事件并采取“忽略”作为缓解措施。 文件扫描不会创建任何事件。
以下对象可以为终端用户、端点或两者允许执行：
注意
注意： 文件路径被反恶意软件和行为分析引擎允许。 其他对象仅供反恶意软件引擎允许。
-
文件路径
-
文件夹路径
-
文件类型
-
SHA256 File Hash
文件保护扫描在文件下载或复制到端点时以及最终用户尝试访问时运行。 此外，您可以随时在端点上按需运行文件保护扫描。 通过运行按需文件保护扫描，您可以在最终用户尝试访问之前识别端点上的现有恶意软件。
按需扫描将已保存到端点上的所有文件的SHA256 哈希值与已知恶意软件签名列表进行比较。 如果检测到恶意文件，EPP将遵循策略定义的操作。
在端点上安装EPP代理后，您可以测试该解决方案，以确保其根据您的策略配置阻止恶意活动。
要测试EPP解决方案：
-
在已安装代理的端点上，下载并尝试运行EICAR测试文件。
-
尝试打开并运行该文件。
注意: 如果文件的下载被您的网络安全解决方案或浏览器阻止，请复制EICAR文件中的文本，将其粘贴到新建的.txt文件中并保存。
-
如果EPP解决方案正确安装并启用，文件的行为将符合您的配置策略，并创建一个事件。
0 条评论
请登录写评论。