Защита от эксплойтов

Компонент Защита от эксплойтов отслеживает программный код, который использует уязвимости на устройстве для получения эксплойтом прав администратора или выполнения вредоносных действий.

Для работы компонента Защита от эксплойтов должны быть запущены следующие компоненты:

• Анализ поведения
• Обновляемый модуль ядра

Компонент недоступен для устройств с процессором Эльбрус.

Как работает Защита от эксплойтов

1. Приложение отслеживает события в операционной системе

   Приложение получает поток телеметрии, который состоит из событий: создание и завершение процессов, открытие файлов, установка соединения и т.п. Также приложение обогащает события необходимыми метаданными (имя процесса, PID, IP-адрес и так далее).

2. Приложение сравнивает поток телеметрии с шаблонами опасного поведения

   Если действия стороннего приложения совпадают с шаблоном опасного поведения, Kaspersky Endpoint Security выполняет ответное действие при обнаружении угрозы (например, останавливает стороннее приложение).

Настройка Защиты от эксплойтов

1. В настройках Защиты от эксплойтов выберите действие Информировать

   По умолчанию компонент Защита от эксплойтов выключен. Рекомендуем в настройках Защиты от эксплойтов в качестве действия при обнаружении угрозы выбрать Информировать и проверить работу установленных приложений. Kaspersky Endpoint Security будет разрешать любую активность приложений и записывать в журнал информацию об обнаруженных угрозах.

   Как выбрать действие при обнаружении эксплойта в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Защита устройств от угроз → Защита на основе анализа поведения → Защита от эксплойтов.
   5. Используйте переключатель Защита от эксплойтов, чтобы включить или выключить компонент.
   6. В блоке Действие при обнаружении угрозы выберите нужное действие:
      • Блокировать. Если выбран этот элемент, то, обнаружив эксплойт, Kaspersky Endpoint Security блокирует операции этого эксплойта и создает в журнале запись, содержащую информацию об этом эксплойте.
      • Информировать. Если выбран этот элемент, то, обнаружив эксплойт, Kaspersky Endpoint Security создает в журнале запись, содержащую информацию об этом эксплойте, и добавляет информацию об этом эксплойте в список активных угроз.
   7. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Как выбрать действие при обнаружении эксплойта в командной строке

   1. Для включения Защиты от эксплойтов выполните команду:

      kesl-control --set-settings 20 UseAEP=Yes

   2. Выберите действие при обнаружении эксплойта:

      kesl-control --set-settings 20 AEPMode=<Block|Notify>

   3. Для проверки текущих значений параметров компонента выполните следующую команду:

      kesl-control --get-settings 20

   Условные обозначения

   

   Текст без квадратных и фигурных скобок	Элементы, которые необходимо ввести, как показано в команде.
   <Текст>	Значение, которое необходимо ввести.
   [Текст]	Необязательный параметр.
   Вертикальная полоса |	Взаимоисключающие элементы. Вам нужно выбрать одно значение.
   Многоточие …	Элементы, которые могут повторяться и использоваться несколько раз.
   Символ решетки #	Номер секции добавляемой области. Например, 0000, 0001 и так далее.

   Параметры команды

   Параметр	Описание
   UseAEP	Включение компонента: Yes – включить Защиту от эксплойтов. No (значение по умолчанию) – выключить Защиту от эксплойтов.
   AEPMode	Действие при обнаружении эксплойта: Block (по умолчанию). Kaspersky Endpoint Security блокирует операции этого эксплойта и создает в журнале запись, содержащую информацию об этом эксплойте. Notify. Kaspersky Endpoint Security создает в журнале запись, содержащую информацию об этом эксплойте, и добавляет информацию об этом эксплойте в список активных угроз.

2. Соберите статистику работы Защиты от эксплойтов

   Вы можете получить статистику работы Защиты от эксплойтов с помощью отчетов.

3. Оптимизируйте работу приложения

   После анализа полученной информации оптимизируйте работу приложения:

   • добавьте глобальные исключения
   • добавьте исключения
4. В настройках Защиты от эксплойтов выберите действие Блокировать

   Включите блокировку вредоносной активности приложений в операционной системе.