Запрет запуска объектов
Запрет запуска объектов позволяет контролировать запуск исполняемых файлов и скриптов, а также открытие файлов офисного формата. Таким образом, вы можете, например, запретить запуск приложений, использование которых считаете небезопасным. В результате распространение угрозы может быть остановлено. Запрет запуска объектов поддерживает определенный набор расширений файлов офисного формата и определенный набор интерпретаторов скриптов
Правило запрета запуска
Запрет запуска объектов управляет доступом пользователей к файлам с помощью правил запрета запуска. Правило запрета запуска – это набор критериев, которые приложение учитывает при реагировании на запуск объекта, например, при блокировании запуска объекта. Приложение идентифицирует файлы по их пути или контрольной сумме с помощью алгоритмов хеширования MD5 и SHA256.
Вы можете создавать правила запрета запуска следующими способами:
- В деталях алерта (только для EDR Optimum).
- Детали алерта – инструмент для просмотра всей собранной информации об обнаруженной угрозе. Детали алерта содержат, например, историю появления файлов на компьютере. Подробнее о работе с деталями алерта см. в справке Kaspersky Endpoint Detection and Response Optimum.
- С помощью групповой политики или локальных параметров приложения.
Вам нужно ввести путь к файлу или хеш файла (SHA256 или MD5), или путь к файлу и хеш файла.
Вы также можете управлять Запретом запуска объектов локально из командной строки.
Запрет запуска объектов имеет следующие ограничения:
- Правила запрета не распространяются на файлы, расположенные на компакт-дисках или в ISO-образах. Приложение не будет блокировать исполнение или открытие этих файлов.
- Невозможно запретить запуск критически важных системных объектов (англ. System Critical Object, SCO). К SCO относятся файлы, необходимые для работы операционной системы и приложения Kaspersky Industrial CyberSecurity for Nodes.
- Не рекомендуется создавать более 5000 правил запрета запуска, поскольку это может привести к нестабильности системы.
Режимы применения правил запрета запуска
Компонент Запрет запуска объектов может работать в двух режимах:
- Только записывать в отчет
В этом режиме Kaspersky Industrial CyberSecurity for Nodes публикует в Журнал событий Windows и Kaspersky Security Center событие о попытках запуска исполняемых объектов или открытия документов, соответствующих критериям правил запрета, но не блокирует их запуск или открытие. Этот режим выбран по умолчанию.
- Блокировать и записывать в отчет
В этом режиме приложение блокирует запуск объектов или открытие документов, соответствующих критериям правил запрета. Также приложение публикует в журнал событий Windows и Kaspersky Security Center событие о попытках запуска объектов или открытия документов.
Управление Запретом запуска объектов
Вы можете настроить параметры компонента только в Kaspersky Security Center Web Console.
