进程脚本
仅在 Windows 10 端点计算机上可用。
ESET Inspect 使用 AMSI 通过端点安全在 ESET Inspect Connector 计算机上执行脚本内容。
ESET Inspect Connector 计算机需要 EES 7.2 或更高版本，并在高级设置 > 检测引擎 > 高级选项中启用 AMSI 选项（默认已启用）。
在 Windows 10 上，AMSI 提供有关以下内容的信息：
•PowerShell（脚本、交互式使用和动态代码评估）
•Windows Script Host（wscript.exe 和 cscript.exe）
•JavaScript 和 VBScript
•Office VBA 宏
|
要在受监视的计算机上检测是否存在可疑的 VBA 脚本，ESET Inspect 需要启用 Office 365 版本 1808 和宏扫描。要启用宏扫描，请将 HKEY_CURRENT_USER\Software\Microsoft\Office\%VERSION%\Common\Security\MacroRuntimeScanScope 注册值设置为 1，或运行以下命令行脚本： powershell.exe -command "if (Test-Path -Path HKCU:\Software\Microsoft\Office) { foreach ($reg_path in Get-ChildItem -Path HKCU:\Software\Microsoft\Office | Where-Object {($_.Name.Contains(\".\"))}) { $reg_sub_path = (Join-Path -Path $reg_path.Name -ChildPath '').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); $reg_sub_path_common = (Join-Path -Path $reg_path.Name -ChildPath 'Common').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); $reg_sub_path_common_security = (Join-Path -Path $reg_path.Name -ChildPath 'Common\Security').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); if (!(Test-Path -Path $reg_sub_path_common)) { New-Item –Path $reg_sub_path –Name \"Common\"; } if (!(Test-Path -Path $reg_sub_path_common_security)) { New-Item –Path $reg_sub_path_common –Name \"Security\"; } Set-ItemProperty -Path $reg_sub_path_common_security -Name \"MacroRuntimeScanScope\" -Value 1; }}" |
上述脚本在 ESET Inspect Connector 计算机上运行，并在 ESET Inspect Web 控制台中显示内容。