การกู้คืนไฟล์จากโปรแกรมเรียกค่าไถ่

ฟังก์ชันการกู้คืน

ฟีเจอร์นี้ออกแบบมาสำหรับแรนซัมแวร์แบบ Zero-day การป้องกันแรนซัมแวร์จะตรวจจับ ยุติกระบวนการ และกักเก็บแรนซัมแวร์ ทำให้การกู้คืนไฟล์จากแรนซัมแวร์สามารถสำรองข้อมูลและกู้คืนไฟล์ที่เสียหายได้ นอกจากนี้ ESET Endpoint Antivirus ยังใช้ระบบความเชื่อถือของ ESET LiveGrid® ที่ช่วยปรับปรุงประสิทธิภาพโดยรวมของการป้องกันมัลแวร์ ESET ออกแบบ ESET LiveGuard มาเพื่อเพิ่มการป้องกันอีกชั้นและลดความเสี่ยงจากภัยคุกคามใหม่ๆ ที่แพร่กระจายอยู่

การป้องกันโฟลเดอร์และไดรฟ์

รองรับเฉพาะไดรฟ์รูปแบบ NTFS ไม่รองรับสื่อที่ถอดเข้าออกได้ เช่น แฟลชไดรฟ์หรืออุปกรณ์ USB อื่น ๆ ไดรฟ์และโฟลเดอร์ในระบบทั้งหมดได้รับการป้องกัน ผู้ดูแลระบบกำหนดการยกเว้นจากการป้องกันนี้ได้ ไม่สามารถป้องกันเฉพาะไฟล์ใดไฟล์หนึ่งภายในโฟลเดอร์ได้ สามารถจัดการสิ่งนี้ได้บางส่วนโดยการกำหนดนามสกุลไฟล์ที่จำเป็นต้องได้รับการป้องกัน

ฟีเจอร์จะพร้อมใช้งานใน ESET PROTECT 6.0 เวอร์ชันก่อนเผยแพร่

ในเวอร์ชันก่อนเผยแพร่ของ ESET PROTECT 6.0 การตั้งค่าจะปรากฏขึ้นหากมีการเพิ่ม ConfigEngine ที่ถูกต้องลงในอินสแตนซ์และติดตั้ง ESET Management Agent 12.0 ขึ้นไปบนคอมพิวเตอร์ไคลเอ็นต์ ฟีเจอร์นี้รองรับเฉพาะระบบที่มีการจัดการเท่านั้น และไม่รองรับผลิตภัณฑ์รักษาความปลอดภัยเอ็นพอยต์ที่ไม่ได้รับการจัดการ หลังจากเปิดใช้งาน การตั้งค่าของการกู้คืนไฟล์จากแรนซัมแวร์จะปรากฏใน การตั้งค่าขั้นสูง > การป้องกัน > HIPS > การป้องกันแรนซัมแวร์ จะต้องเปิดใช้งานการกู้คืนไฟล์จากแรนซัมแวร์ด้วยใบอนุญาตที่เหมาะสมและนโยบายที่มีการเปิดใช้งานการตั้งค่า กู้คืนไฟล์หลังการโจมตีของแรนซัมแวร์

การเรียกใช้การสำรองข้อมูล

การป้องกันแรนซัมแวร์จะเรียกใช้ส่วนประกอบในการสำรองข้อมูล (การกู้คืนไฟล์จากแรนซัมแวร์) การป้องกันระบบไฟล์แบบเรียลไทม์ช่วยให้ส่วนประกอบในการสำรองข้อมูลสามารถชะลอการดำเนินการเขียนข้อมูลไปยังประเภทไฟล์ที่มีการป้องกันและสร้างสำเนาได้ทันที การสำรองข้อมูลจะเริ่มขึ้นสำหรับกระบวนการที่ได้รับการตรวจสอบและระบุว่าน่าสงสัยโดยการป้องกันแรนซัมแวร์ ต้องเปิดใช้งาน ESET LiveGrid® เพื่อให้การป้องกันแรนซัมแวร์ทำงานได้อย่างถูกต้อง การป้องกันระบบไฟล์แบบเรียลไทม์สามารถรับประกันได้ว่าส่วนประกอบในการสำรองข้อมูลสามารถสร้างสำเนาได้เสมอก่อนที่การดำเนินการเขียนข้อมูลที่ถูกร้องขอโดยแรนซัมแวร์จะเกิดขึ้นได้

ตัวเลือกการสำรองข้อมูลด้วยตนเอง

ปัจจุบันยังไม่สามารถใช้ตัวเลือกการสำรองข้อมูลหรือการกู้คืนด้วยตนเองได้

ระยะเวลาการเก็บรักษาข้อมูลหรับข้อมูลสำรอง

ไม่จำเป็นต้องมีระยะเวลาการเก็บรักษาข้อมูลเนื่องจากสำเนาสำรองจะถูกลบทิ้งทันทีหลังจากการป้องกันแรนซัมแวร์ตรวจพบว่ากระบวนการนั้นไม่เป็นอันตราย หากการป้องกันแรนซัมแวร์ตรวจพบว่ากระบวนการนั้นเป็นอันตราย ไฟล์ในสำเนาสำรองจะถูกกู้คืนกลับไปยังโฟลเดอร์ดั้งเดิม

ข้อจำกัดในการสำรองข้อมูล

การสำรองข้อมูลต้องใช้พื้นที่ว่างบนไดรฟ์ในระบบ กระบวนการสำรองข้อมูลจะหยุดลงหากพื้นที่ว่างในไดรฟ์ข้อมูลต่ำกว่าข้อกำหนดขั้นต่ำของระบบ ขนาดสูงสุดของไฟล์ที่เก็บไว้ในสำเนาสำรองคือ 30 MB

พาธของพื้นที่เก็บไฟล์สำรอง

ระบบจัดเก็บไฟล์สำรองไว้ใน C:\ProgramData\ESET\ESET Security\RR\backup\{GUID} ไม่รองรับพื้นที่เก็บบนคลาวด์และตัวเลือกโฟลเดอร์ที่กำหนดเอง

การป้องกันไฟล์ในสำเนาสำรอง

รายการระบบป้องกันตัวเองและการควบคุมการเข้าถึง (ACL) ปกป้องไฟล์สำรอง

การลบไฟล์ในสำเนาสำรอง

ไม่สามารถลบไฟล์สำรองทิ้งหรือลบออกได้ เว้นแต่จะอยู่ในโหมดปลอดภัย ซึ่งไม่ได้เปิดใช้งานระบบป้องกันตัวเอง ไฟล์สำรองจะถูกลบหลังจากพบว่ากระบวนการนั้นไม่เป็นอันตราย

การป้องกันไฟล์ในสำเนาสำรอง

ไฟล์สำรองจะได้รับการป้องกันจากการเข้ารหัสโดยแรนซัมแวร์

สถานะของข้อมูลสำรอง

ไฟล์ในโฟลเดอร์สำรองจะถูกเข้ารหัสและอยู่ในประเภทไฟล์ ESET เมื่อกู้คืนไฟล์ ระบบจะกู้คืนเนื้อหาดั้งเดิมเป็นสำเนาพร้อมกับมีคำว่า _restored ที่ท้ายชื่อไฟล์

กรณีที่ไม่สามารถสำรองข้อมูลได้

แรนซัมแวร์ไม่สามารถแก้ไขไฟล์ที่ล็อกได้ (ตัวอย่างเช่น ล็อกโดยกระบวนการอื่น ระบบปฏิบัติการ ฯลฯ) การตั้งค่ารายการการควบคุมการเข้าถึง (ACL) จะถูกเก็บรักษาไว้สำหรับไฟล์ดั้งเดิม

สิทธิ์ผู้ใช้ของไฟล์หลังจากการกู้คืน

การกู้คืนจะไม่ส่งผลกระทบต่อสิทธิ์ผู้ใช้ที่กำหนดไว้ก่อนหน้านี้สำหรับไฟล์ดั้งเดิม แต่ผู้ใช้ (ที่ถูกจำกัด) ในระบบอาจต้องเผชิญกับข้อจำกัดที่กำหนดโดย ACL

การใช้ Shadow Copy

Windows Shadow Copy Service (VSS) ไวต่อการโจมตี แรนซัมแวร์สามารถสร้างสำเนาไฟล์ที่เข้ารหัสและลบไฟล์ดั้งเดิมออกได้ในคราวเดียวหลังจากนั้น นี่คือการดำเนินการลบออกตามปกติโดยไม่มีการแก้ไขโดยตรง จากนั้นก็สามารถทิ้งสแนปชอตทั้งหมดของ VSS (หากมีการสร้างขึ้น) โดยจะไม่สามารถกู้คืนได้ ดังนั้น ESET จึงใช้กระบวนการคัดลอกเมื่อเขียนข้อมูลที่เป็นกรรมสิทธิ์ซึ่งได้รับการสนับสนุนโดยการป้องกันระบบไฟล์แบบเรียลไทม์

การแจ้งเตือนผู้ใช้สำหรับการสำรองข้อมูล

หากการป้องกันแรนซัมแวร์ระบุว่าพฤติกรรมของไฟล์ไม่เป็นปัญหา ระบบจะไม่แสดงการแจ้งเตือนให้ผู้ใช้หรือผู้ดูแลระบบทราบ พื้นที่เก็บข้อมูลของการกู้คืนไฟล์จากแรนซัมแวร์อาจเพิ่มขึ้นชั่วคราวและถูกลบออกในภายหลัง

ความเร็วในการสำรองข้อมูล

ความเร็วในการสำรองข้อมูลขึ้นอยู่กับประเภทของฮาร์ดไดรฟ์และความเร็ว CPU แต่ควรจะเร็วพอที่จะไม่ถูกตรวจพบ

การจัดการไฟล์ที่เข้ารหัส

ระบบจะเก็บไฟล์ที่เข้ารหัสโดยแรนซัมแวร์ไว้ในโฟลเดอร์ดั้งเดิมเพื่อตรวจสอบเพิ่มเติมและผู้ใช้สามารถลบออกได้หากไม่จำเป็นต้องใช้ไฟล์ดังกล่าวอีกต่อไป ในกรณีที่มีผลลัพธ์ที่ผิด (เช่น ไฟล์ที่แก้ไขโดยซอฟต์แวร์สำรองข้อมูลที่กำหนดเอง) คุณสามารถใช้ไฟล์เหล่านี้ได้เนื่องจากไม่ได้ถูกเข้ารหัส และไฟล์ที่กู้คืนจากการสำรองข้อมูลของเราจะเป็นสำเนาของไฟล์ดังกล่าวเท่านั้น

˄˅