ThreatSense est une technologie constituée de nombreuses méthodes complexes de détection de menaces. C'est une technologie proactive : elle fournit une protection dès le début de la propagation d'une nouvelle menace. Elle utilise une combinaison d'analyse de code, d'émulation de code, de signatures génériques et de signatures de virus qui se conjuguent pour améliorer sensiblement la sécurité du système. Ce moteur d'analyse est capable de contrôler plusieurs flux de données simultanément, ce qui maximise l'efficacité et le taux de détection. La technologie ThreatSense élimine avec succès les rootkits.
|
|
pour plus de détails sur la vérification automatique des fichiers au démarrage, consultez la section Analyse au démarrage.
|
Les options de configuration du moteur ThreatSense permettent de spécifier plusieurs paramètres d'analyse :
•Les types de fichiers et les extensions à analyser
•la combinaison de plusieurs méthodes de détection ;
•Les niveaux de nettoyage, etc.
Pour ouvrir la fenêtre de configuration, cliquez sur Configuration des paramètres du moteur ThreatSense dans la fenêtre Configuration avancée (F5) de chaque module utilisant la technologie ThreatSense (voir ci-dessous). Chaque scénario de sécurité peut exiger une configuration différente. ThreatSense Est configurable individuellement pour les modules de protection suivants :
•Protection du transport des messages
•Protection de la base de données de boîtes aux lettres à la demande
•Protection de la base de données de boîtes aux lettres
•Analyse Hyper-V
•Protection en temps réel du système de fichiers
•Analyses des logiciels malveillants
•Analyse en cas d’inactivité
•Analyse au démarrage
•Protection des documents
•Protection du client de messagerie
•Protection de l’accès Web
Les paramètres ThreatSense sont spécifiquement optimisés pour chaque module et leur modification peut avoir une incidence significative sur le fonctionnement du système. Par exemple, en modifiant les paramètres pour toujours analyser les fichiers exécutables compressés par un compresseur d'exécutables ou pour autoriser l'heuristique avancée dans la protection en temps réel du système de fichiers, vous pouvez dégrader les performances du système (normalement, seuls les fichiers nouvellement créés sont analysés par ces méthodes). Il est donc recommandé de ne pas modifier les paramètres par défaut de ThreatSense pour tous les modules, à l'exception du module Analyse de l'ordinateur.
Cette section permet de définir les fichiers et les composants de l'ordinateur qui vont faire l'objet d'une analyse visant à rechercher une éventuelle infiltration.
Mémoire vive
Lance une analyse visant à rechercher les menaces qui attaquent la mémoire vive du système.
Secteurs d'amorçage/UEFI
Analyse les secteurs d'amorçage afin de détecter la présence éventuelle de virus dans le MBR (Master Boot Record, enregistrement d'amorçage principal). Dans le cas d'une machine virtuelle Hyper-V, le MBR du disque est analysé en mode lecture seule.
Base de données WMI
Analyse la base de données WMI complète, à la recherche de références à des fichiers infectés ou des logiciels malveillants intégrés en tant que données.
Registre système
Analyse le registre système, toutes les clés et les sous-clés. Recherche des références à des fichiers infectés ou des logiciels malveillants intégrés en tant que données.
Fichiers de courrier électronique
Le programme prend en charge les extensions suivantes : DBX (Outlook Express) et EML.
Archives
Le programme prend en charge les extensions suivantes : ARJ, BZ2, CAB, CHM, DBX, GZIP, ISO/BIN/NRG, LHA, MIME, NSIS, RAR, SIS, TAR, TNEF, UUE, WISE, ZIP, ACE et de nombreuses autres extensions.
Archives auto-extractibles
Les archives auto-extractibles (SFX) n'ont pas besoin de programmes spécialisés, archives, pour être décompressées.
Fichiers exécutables compressés
Contrairement aux archiveurs standard, ces fichiers se décompressent en mémoire. Outre les compacteurs statiques standard (UPX, yoda, ASPack, FSG, etc.), l'analyseur peut reconnaître plusieurs autres types de compacteurs via l'utilisation de l'émulation de code.
|
|
Pour la fonctionnalité de protection de la base de données de boîtes aux lettres, les fichiers joints aux messages électroniques (.eml files, par exemple) sont analysés quel que soit le paramètre sous Objets à analyser. En effet, Exchange Server analyse un fichier .eml joint avant qu'il ne soit soumis pour analyse par ESET Mail Security. Le plug-in VSAPI obtient les fichiers extraits de la pièce jointe .eml au lieu de recevoir le fichier .eml d'origine.
|
|
Sélectionnez les méthodes à utiliser lors de la recherche d'infiltrations dans le système. Les options disponibles sont les suivantes :
Heuristique
La méthode heuristique utilise un algorithme d'analyse de l'activité (malveillante) des programmes. Elle présente l'avantage d'identifier un code malveillant qui n'existait pas ou qui n'était pas connu par le moteur de détection précédent.
Heuristique avancée/Signatures ADN
La méthode heuristique avancée utilise un algorithme heuristique développé par ESET, optimisé pour la détection des vers informatiques et des chevaux de Troie, et écrit dans un langage de programmation de haut niveau. L'utilisation de la méthode heuristique avancée accroît de manière significative les possibilités de détection des menaces des produits ESET. Les signatures peuvent détecter et identifier les virus avec grande efficacité. Grâce au système de mise à jour automatique, les nouvelles signatures peuvent être disponibles dans les quelques heures qui suivent la détection des menaces. L'inconvénient des signatures est qu'elles ne détectent que les virus qu'elles connaissent (ou leurs versions légèrement modifiées).
|
Les paramètres de nettoyage déterminent le comportement de l’analyseur lors du nettoyage des fichiers infectés. La protection en temps réel et les autres modules de protection ont les niveaux de correction (c'est-à-dire de nettoyage) ci-après.
Toujours résoudre la détection
Tentative de correction de la détection tout en nettoyant les objets sans aucune intervention de l’utilisateur. Les fichiers système sont une exception : ces objets sont laissés à leur emplacement d'origine si la détection ne peut pas être corrigée.
Résoudre la détection si cette opération est sûre, sinon conserver
Tentative de correction de la détection tout en nettoyant les objets sans aucune intervention de l’utilisateur. Si une détection ne peut pas être corrigée pour des fichiers système ou des archives (avec des fichiers on infectés et infectés), l'objet signalé est conservé à son emplacement d'origine.
Résoudre la détection si cette opération est sûre, sinon demander
Tentative de correction de la détection lors du nettoyage des objets. Dans certains cas, si ESET Mail Security ne peut pas effectuer d'action automatique, vous serez invité à en choisir une (supprimer ou ignorer). Ce paramètre est recommandé dans la plupart des cas.
Toujours demander à l'utilisateur final
Aucune action automatique ne sera effectuée par ESET Mail Security. Vous serez invité à en choisir une.
|
L'extension est la partie du nom de fichier située après le point. Elle définit le type et le contenu du fichier. Cette section de la configuration des paramètres ThreatSense vous permet de définir les types de fichiers à exclure de l'analyse.
Autre
Lorsque vous configurez les paramètres du moteur ThreatSense pour l'analyse à la demande d'un ordinateur, vous disposez également des options de la section Autre suivantes :
Analyser les flux de données alternatifs (ADS)
Les flux de données alternatifs (ADS) utilisés par le système de fichiers NTFS sont des associations de fichiers et de dossiers que les techniques d'analyse ordinaires ne permettent pas de détecter. De nombreuses infiltrations tentent d'éviter la détection en se faisant passer pour des flux de données alternatifs.
Exécuter les analyses en arrière-plan avec une priorité faible
Toute séquence d'analyse consomme une certaine quantité de ressources système. Si vous utilisez des programmes qui exigent une grande quantité de ressources système, vous pouvez activer l’analyse en arrière-plan à faible priorité de manière à réserver des ressources pour vos applications.
Consigner tous les objets
Si cette option est sélectionnée, le fichier journal affiche tous les fichiers analysés, même ceux qui ne sont pas infectés.
Activer l’optimisation intelligente
Lorsque cette option est sélectionnée, les paramètres optimaux sont utilisés de manière à garantir le niveau d'analyse le plus efficace tout en conservant la meilleure vitesse d'analyse. Les différents modules de protection proposent une analyse intelligente en utilisant différentes méthodes et en les appliquant à des types de fichiers spécifiques. Si l'option Optimisation intelligente est désactivée, seuls les paramètres définis par l'utilisateur dans le noyau ThreatSense de ces modules particuliers sont appliqués lors de la réalisation d'une analyse.
Conserver la date et l’heure du dernier accès
Sélectionnez cette option pour conserver l'heure d'accès d'origine des fichiers analysés au lieu de les mise à jour (par exemple, pour les utiliser avec des systèmes de sauvegarde de données).
|
La section Limites permet de spécifier la taille maximale des objets et les niveaux d'imbrication des archives à analyser :
Paramètres d'objet par défaut
Permet d'utiliser les paramètres par défaut (aucune limite). ESET Mail Security ignorera les paramètres personnalisés.
Taille d’objet maximale
Définit la taille maximale des objets à analyser. Le module de protection n'analyse que les objets d'une taille inférieure à celle spécifiée. Cette option ne doit être modifiée que par des utilisateurs expérimentés et qui ont des raisons particulières d'exclure de l'analyse des objets de plus grande taille. Valeur par défaut : illimité.
Durée d'analyse maximale par l'objet
Définit la durée maximum attribuée à l'analyse d'un objet. Si la valeur de ce champ a été définie par l'utilisateur, le module de protection cesse d'analyser un objet une fois ce temps écoulé, que l'analyse soit terminée ou non. Valeur par défaut : illimité.
Configuration de l'analyse d'archive
Pour modifier les paramètres d'analyse d'archive, désélectionnez l'option Paramètres d'analyse d'archive par défaut.
Niveau d’imbrication des archives
Niveau d'imbrication des archives - Spécifie la profondeur maximale d'analyse des archives. Valeur par défaut : 10. Pour les objets détectés par la protection du transport des messages, le niveau d'imbrication actuel est +1, car la pièce jointe d'archive dans un message est considérée comme étant du premier niveau.
|
|
Si le niveau d'imbrication est défini sur 3, un fichier d'archive avec un niveau d'imbrication de 3 ne sera analysé sur une couche de transport que jusqu'à son niveau 2. Par conséquent, si vous souhaitez que les archives soient analysées jusqu'au niveau 3, définissez la valeur de Niveau d'imbrication des archives sur 4.
|
Taille maximale du fichier dans l'archive
Cette option permet de spécifier la taille maximale des fichiers (après extraction) à analyser contenus dans les archives. Valeur par défaut : illimité.
|
|
il n'est pas recommandé de modifier les valeurs par défaut. Dans des circonstances normales, il n'y a aucune raison de le faire.
|
|
