Запрет запуска

Запрет запуска позволяет управлять запуском исполняемых файлов и скриптов, а также открытием файлов офисного формата. Таким образом, вы можете, например, предотвратить выполнение программ, которые вы считаете небезопасными. В результате распространение угрозы может быть остановлено. Запрет запуска поддерживает определенный набор интерпретаторов скриптов.

Правило запрета запуска

Запрет запуска управляет доступом пользователей к файлам с помощью правил запрета запуска. Правило запрета запуска – это набор критериев, которые приложение учитывает при реагировании на запуск объекта, например, при блокировании запуска объекта. Приложение идентифицирует файлы по их пути или контрольной сумме с помощью алгоритмов хеширования MD5 и SHA256.

Вы можете создавать правила Запрета запуска следующими способами:

• В деталях алерта (только для EDR Optimum).

  Детали алерта – инструмент для просмотра всей собранной информации об обнаруженной угрозе. Детали алерта содержат, например, историю появления файлов на компьютере. Подробнее о работе с деталями алерта см. в справке Kaspersky Endpoint Detection and Response Optimum.

• С помощью групповой политики или локальных параметров приложения. Вам нужно ввести путь к файлу или хеш файла (SHA256 или MD5), или путь к файлу и хеш файла.

Вы также можете управлять Запретом запуска локально из командной строки.

Примечание. Невозможно запретить запуск критически важных системных объектов (англ. System Critical Object, SCO). К SCO относятся файлы, необходимые для работы операционной системы и приложения Kaspersky Endpoint Security для Mac.

Режимы применения правил запрета запуска

Компонент Запрет запуска может работать в двух режимах:

• Только статистика.

  В этом режиме Kaspersky Endpoint Security публикует в журнал событий Kaspersky Security Center и в единую систему логирования событие о попытках запуска исполняемых объектов или открытия документов, соответствующих критериям правил запрета, но не блокирует их запуск или открытие. Этот режим выбран по умолчанию.

• Активный.

  В этом режиме приложение блокирует запуск объектов или открытие документов, соответствующих критериям правил запрета. Также приложение публикует в журнал событий Kaspersky Security Center и в единую систему логирования событие о попытках запуска объектов или открытия документов.

Управление Запретом запуска

Важно! Вы можете настроить параметры компонента только в Web Console.

Чтобы запретить запуск объектов, выполните следующие действия:

1. В главном окне Web Console выберите Устройства → Политики и профили политик.
2. Нажмите на название политики Kaspersky Endpoint Security для Mac.

   Откроется окно свойств политики.

3. Выберите вкладку Параметры программы.
4. Перейдите в раздел Detection and Response → Endpoint Detection and Response.
5. Включите переключатель Запрет запуска.
6. В блоке Действие при запуске или открытии объекта выберите режим работы компонента:
   • Блокировать и записывать в отчет. В этом режиме приложение блокирует запуск объектов или открытие документов, соответствующих критериям правил запрета. Также приложение публикует в журнал событий Kaspersky Security Center и в единую систему логирования событие о попытках запуска объектов или открытия документов.
   • Только записывать в отчет. В этом режиме Kaspersky Endpoint Security публикует в журнал событий Kaspersky Security Center и в единую систему логирования событие о попытках запуска исполняемых объектов или открытия документов, соответствующих критериям правил запрета, но не блокирует их запуск или открытие. Этот режим выбран по умолчанию.
7. Сформируйте список правил запрета запуска:
   1. Нажмите на кнопку Добавить.
   2. В открывшемся окне введите имя правила запрета запуска (например, Приложение "A").
   3. В раскрывающемся списке Тип выберите объект, который вы хотите заблокировать: Приложение, Скрипт, Документ.

      Если вы выберите неверный тип объекта, Kaspersky Endpoint Security не заблокирует файл или скрипт.

   4. Для добавления файла вам нужно ввести хеш файла (SHA256 или MD5) или полный путь к файлу, или хеш файла и путь к файлу.

   Примечание. Если файл находится на сетевом диске, введите путь к файлу следующим образом: /Volumes/shared_folder_name/filename. Если путь к файлу содержит букву сетевого диска, Kaspersky Endpoint Security не заблокирует файл или скрипт.

   1. Нажмите OK.
8. Сохраните внесенные изменения.

В результате Kaspersky Endpoint Security будет блокировать запуск объектов: запуск исполняемых файлов, скриптов и открытие файлов офисного формата. При этом вы можете, например, открыть файл скрипта в текстовом редакторе, даже если запуск скрипта запрещен. При блокировании запуска объекта Kaspersky Endpoint Security покажет пользователю стандартное уведомление приложения, если уведомления включены в настройках приложения.