ESET Inspect – Зміст

Сценарії процесу

Доступно лише на робочих станціях із Windows 10.

ESET Inspect використовує AMSI для запуску вмісту сценарію на комп’ютерах ESET Inspect Connector через Endpoint Security.

На комп’ютерах ESET Inspect Connector необхідно інсталювати EES 7.2 або новіших версій і ввімкнути опцію AMSI в розділі Додаткові параметри > Ядро виявлення > Додаткові опції (увімкнено за замовчуванням).

У Windows 10 AMSI надає інформацію про:

•PowerShell (сценарії, інтерактивне використання й динамічне оцінювання коду);

•Windows Script Host (wscript.exe й cscript.exe);

•JavaScript і VBScript;

•макроси Office VBA.

Важливі

Щоб виявляти підозрілі сценарії VBA на контрольованих комп’ютерах, для ESET Inspect потрібно використовувати Office 365 версії 1808 і ввімкнути сканування макросів. Для цього задайте значення реєстру HKEY_CURRENT_USER\Software\Microsoft\Office\%VERSION%\Common\Security\MacroRuntimeScanScope "1" або запустіть такий сценарій командного рядка:

powershell.exe -command "if (Test-Path -Path HKCU:\Software\Microsoft\Office) { foreach ($reg_path in Get-ChildItem -Path HKCU:\Software\Microsoft\Office | Where-Object {($_.Name.Contains(\".\"))}) { $reg_sub_path = (Join-Path -Path $reg_path.Name -ChildPath '').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); $reg_sub_path_common = (Join-Path -Path $reg_path.Name -ChildPath 'Common').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); $reg_sub_path_common_security = (Join-Path -Path $reg_path.Name -ChildPath 'Common\Security').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); if (!(Test-Path -Path $reg_sub_path_common)) { New-Item –Path $reg_sub_path –Name \"Common\"; } if (!(Test-Path -Path $reg_sub_path_common_security)) { New-Item –Path $reg_sub_path_common –Name \"Security\"; } Set-ItemProperty -Path $reg_sub_path_common_security -Name \"MacroRuntimeScanScope\" -Value 1; }}"

Наведений вище сценарій, запущений на комп’ютері ESET Inspect Connector, відображатиме вміст у вебконсолі ESET Inspect.