Виберіть вкладку
ESET Inspect On-Prem – Зміст

Сценарії процесу

Доступно лише на робочих станціях із Windows 10.

ESET Inspect On-Prem використовує AMSI для запуску вмісту сценарію на комп’ютерах ESET Inspect Connector через Endpoint Security.

На комп’ютерах ESET Inspect Connector необхідно інсталювати EES 7.2 або новіших версій і ввімкнути опцію AMSI в розділі Додаткові параметри > Ядро виявлення > Додаткові опції (увімкнено за замовчуванням).

У Windows 10 AMSI надає інформацію про:

•PowerShell (сценарії, інтерактивне використання й динамічне оцінювання коду);

•Windows Script Host (wscript.exe й cscript.exe);

•JavaScript і VBScript;

•макроси Office VBA.

Важливі

Щоб виявляти підозрілі сценарії VBA на контрольованих комп’ютерах, для ESET Inspect On-Prem потрібно використовувати Office 365 версії 1808 і ввімкнути сканування макросів. Для цього задайте значення реєстру HKEY_CURRENT_USER\Software\Microsoft\Office\%VERSION%\Common\Security\MacroRuntimeScanScope "1" або запустіть такий сценарій командного рядка:

powershell.exe -command "if (Test-Path -Path HKCU:\Software\Microsoft\Office) { foreach ($reg_path in Get-ChildItem -Path HKCU:\Software\Microsoft\Office | Where-Object {($_.Name.Contains(\".\"))}) { $reg_sub_path = (Join-Path -Path $reg_path.Name -ChildPath '').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); $reg_sub_path_common = (Join-Path -Path $reg_path.Name -ChildPath 'Common').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); $reg_sub_path_common_security = (Join-Path -Path $reg_path.Name -ChildPath 'Common\Security').Replace(\"HKEY_CURRENT_USER\", \"HKCU:\"); if (!(Test-Path -Path $reg_sub_path_common)) { New-Item –Path $reg_sub_path –Name \"Common\"; } if (!(Test-Path -Path $reg_sub_path_common_security)) { New-Item –Path $reg_sub_path_common –Name \"Security\"; } Set-ItemProperty -Path $reg_sub_path_common_security -Name \"MacroRuntimeScanScope\" -Value 1; }}"

Наведений вище сценарій, запущений на комп’ютері ESET Inspect Connector, відображатиме вміст у вебконсолі ESET Inspect.