ManageEngine恶意软件防护

查看修补留下的间隙

补丁管理和恶意软件防护执行两项不同的工作。修补可以消除已知的弱点——未修补的服务、旧的 Office 版本——并且它在攻击之前起作用，仅针对已经修复的漏洞。它无法判断程序启动后的行为：用户一小时前下载的外观正常的文件，或者直接从内存运行代码的无文件攻击，其中任何可疑文件都不会落在磁盘上进行签名扫描以查找。

这就是为什么完全修补的电脑仍然可以运行全新的恶意软件 - 以及为什么该视频着眼于运行时监视行为的层。

了解附加组件打开的两个引擎

ManageEngine 恶意软件防护不是您安装在 Endpoint Central 旁边的单独防病毒软件 — 它是一个附加模块，可在您已使用的同一控制台和代理内打开。在 ManageEngine 自己的文档中，它捆绑了两个引擎：下一代防病毒 (NGAV) — 签名扫描加行为分析和机器学习模型，针对已知和未知的恶意软件，包括无文件攻击 — 以及 反勒索软件，一个行为分析引擎，用于监视加密式活动并在触发时做出响应。

知道它触发时会发生什么

检测只是产品的一半。当出现问题时，记录的响应方面是：立即隔离受感染的文件 - 如果需要，还可以隔离整个设备，因此一台坏电脑无法通过网络横向传播问题；通过电子邮件或移动应用程序实时警报，在检测发生时发送，而不是在明天的报告中发送； 映射到 MITRE ATT&CK 框架的事件取证，因此事件是用标准攻击技术语言描述的，而不是模糊的“发现病毒”。

ManageEngine 还指出，代理在没有互联网连接的情况下保持监控，因此远离办公网络的笔记本电脑不是盲点 - 它们会在重新连接时报告。

先检查许可证

ManageEngine 自己的常见问题解答很直白：恶意软件防护始终是一个单独的附加许可证。它不与任何 Endpoint Central 版本捆绑在一起 - 不是标准版、专业版、企业版。因此，在寻找设置之前，请检查您拥有的内容：在控制台中，打开配置文件图标 → 许可证，然后查看恶意软件防护 - 附加组件托管计算机计数。如果显示 0，则无论您运行哪个版本，都不会购买该附加组件。

记录的一个例外情况：免费版包括最多 25 台设备的恶意软件防护，无需额外费用 - 足以在真机上进行正版试用。购买后，该附加组件会在下一个代理刷新周期（大约 90 分钟）内开启；如果未出现，请等待刷新后再提出请求。

首先向试点组推出

不要在第一天就在每台电脑上全力启用行为保护 - 这就是误报变成愤怒电话的原因。从试点组开始：您的 IT 机器加上一些普通用户 PC，并让它运行至少几天，然后再扩大范围。

每日观察检测并微调排除

在试点期间，每天观察检测结果。通过其确切的文件和路径记录每个误报 - 您将需要这种精确度来排除。 仅针对已确认的商业软件添加排除项，并在证据允许的范围内尽可能缩小范围。

波浪式扩张——并保持周围的层次

一旦飞行员安静下来，一次扩展一个部门，对每一波保持相同的观察和调整习惯。向真正会阅读它们的人打开电子邮件和移动应用程序警报 - 没有人看到的警报不是保护。

并保持诚实的底线：此附加组件不会取代补丁、应用程序控制或设备控制 - 最强大的设置将它们一起使用。行为拦截可降低勒索软件风险，但经过测试的备份仍然是成功加密后唯一有保证的恢复，而最低权限的用户帐户仍然限制任何一台电脑可能造成的损害。