ESET Mail Security for Microsoft Exchange Server

Transcription

1 ESET MAIL SECURITY 适用于MICROSOFT EXCHANGE SERVER 安装手册和用户指南 Microsoft Windows Server 2003 / 2003 R2 / 2008 / 2008 R2 / 2012 / 2012 R2 / 2016 单击此处显示此文档的联机帮助版本

2 ESET MAIL SECURITY 版权所有 2018 ESET, spol s ro ESET Ma i l Securi ty 由 ESET, s pol s ro 开发 有关更多信息 请访问 wwwes etcom 保留所有权利 未经作者书面同意 本文档的任何部分均不得复制 存 入检索系统或以任何形式或任何方式传播 包括电子的 机械的 影 印 记录 扫描或其他方式 ESET, s pol s ro 保留未经事先通知即更改任何所述应用程序软件的权 利 客户服务 wwwes etcom/s upport 修订日期 2018/4/18

3 目录 6 1 介绍 1 1 新 功 能 帮 助 页 面 使 用 的 方 法 邮箱 数 据 库 防 护 邮件 传 输 防 护 手动 数 据 库 扫 描 防 护 类型 病 毒 防 护 反 垃 圾 邮 件 防 护 规 则 用 户 界 面 ESET Shell 用法 命令 批处 理 文 件 脚 本 ESET SysInspec tor 创建 计 算 机 状 态 快 照 ESET SysResc ue Liv e 计 划 任 务 计划 任 务 添 加 任 务 提 交 样 本 以 供 分 析 可疑 文 件 可疑 站 点 误报 文 件 误报 站 点 其他 隔 离 1 6 系 统 需 求 ESET Mail Sec urity 功 能 和 Exc hange 帮 助和 支 持 Serv er 角 色 Exc hange Serv er 角 色 Edge 或 Hub 帮 助 主 题 如何 1 7 通 过 ESET Remote Administrator 托 管 15 更 新 ESET Mail Sec urity 如何 覆 盖 激 活 ESET Mail Sec urity 模 式 ESET Mail Sec urity 如 何 计 算 邮 箱 数 21 2 安装 如何 在 计 划 任 务 中 创 建 新 任 务 如何 计 划 扫 描 任 务 每 24 小 时 2 1 ESET Mail Sec urity 安 装 步 骤 如何 从 服 务 器 中 删 除 病 毒 命 令 行 安 装 提 交 支 持 请 求 在 群 集 环 境 中 安 装 ESET 专 用 清 理 器 2 2 产 品 激 活 关 于 ESET Mail Sec urity 2 3 ESET AV Remov er 产 品 激 活 注册 2 4 POP3 连 接 器 和 反 垃 圾 邮 件 安全 激 管 理 员 活 2 5 升 级 到 新 版 本 激活 失 败 通 过 ERA 升 级 许可 证 通 过 ESET 群 集 升 级 激活 进 度 成 功 激 活 指南 39 3 入门 3 1 监 视 ESET Mail Security 93 4 使用 3 2 日 志 文 件 服 务器 扫 描 日 志 服 务 器 代 理 优 先 级 设 置 3 3 扫 描 修改 优 先 级 Hyper-V 服 务 扫 描 46 器 代 理 优 先 级 设 置 病 毒 和 间 谍 软 件 防 护 3 4 邮 件 隔 离 反 垃 圾 邮 件 防 护 已 隔 离 邮 件 详 细 信 息 过滤 和 验 证 3 5 更 新 高 级 设 置 设 置 病 毒 库 更 新 灰 名 单 设 置 配 置 代 理 服 务 器 进 行 更 新 SPF 和 DKIM 3 6 设 置 规 则 服 务 器 规 则 列 表 计 算 机 规 则 向 导 工 具 规 则 条 件 导 入 和 导 出 设 置 规 则 操 作 3 7 工 具 邮 件 传 输 防 护 运 行 高 级 进 程 61 设 置 查 看 邮 活 动 62 箱 数 据 库 防 护 时段 手 选 择 63 动 数 据 库 扫 描 防 护 其 他 统 计 63 邮 箱 项 目 集 群 代 理 64 服 务 器 群集 数 据 向 导 第 1 页 66 库 扫 描 帐 户 详 细 信 息 群集 邮 向 导 第 2 页 67 件 隔 离 群集 本 地 向 导 第 3 页 68 隔 离 群集 文 件 存 向 导 第 4 页 70 储

4 计 算 机 W eb 界 面 隔 离 邮 箱 和 MS Exc hange 隔 离 隔 离 区 管 理 器 设 置 代 理 服 务 器 隔 离 管 理 器 帐 户 详 细 信 息 Outlook Express 和 确 认 对 话 框 重 新 扫 描 邮 件 W eb 访 问 保 护 基 本 URL 地 址 管 理 新 建 列 表 地 址 列 表 网 络 钓 鱼 防 护 W indows Mail 工 具 栏 129 检 测 到 渗 透 130 进 程 排 除 131 自 动 排 除 131 共 控 制 享 的 本 地 缓 存 设 备 文 设 件 系 统 实 时 防 护 132 备 控 制 规 则 编 辑 器 排 除 添 133 加 设 备 控 制 规 则 添 加 或 检 编 辑 排 除 135 测 的 设 备 排 除 格 设 式 136 备 组 T hreatsense 参 数 工 具 不 扫 描 的 文 件 扩 展 名 ESET Liv egrid 其 他 T hreatsense 参 数 排 除 过 滤 器 清 除 级 别 Mic rosoft W indows 更 新 何 时 修 改 实 时 防 护 配 置 ESET CMD 检 查 实 时 防 护 W MI 提 供 程 序 实 时 防 护 不 工 作 时 如 何 应 对 提 供 的 数 据 提 交 访 问 提 供 的 数 据 统 计 信 息 ERA 扫 描 目 标 可 疑 文 件 日 志 文 件 手 动 计 算 机 扫 描 和 Hyper-V 扫 描 日 志 过 滤 自 定 义 扫 描 和 Hyper-V 扫 描 启 动 程 序 在 日 志 中 查 找 扫 描 进 度 代 理 服 务 器 配 置 文 件 管 理 器 电 子 邮 件 通 知 扫 描 目 标 邮 件 格 式 暂 停 计 划 扫 描 演 示 模 式 空 闲 状 态 下 扫 描 诊 断 开 机 扫 描 客 户 服 务 自 动 启 动 文 件 检 查 集 群 可 移 动 磁 盘 用 户 界 面 文 档 防 护 警 报 和 通 知 HIPS 访 问 设 置 HIPS 规 则 密 码 HIPS 规 则 设 置 密 码 设 置 高 级 设 置 帮 助 始 终 允 许 加 载 驱 动 程 序 ESET Shell 4 3 更 新 在 终 端 服 务 器 上 禁 用 GUI 更 新 回 滚 已 禁 用 消 息 和 状 态 更 新 模 式 确 认 消 息 HT T P 代 理 应 用 程 序 状 态 设 置 用 以 下 身 份 连 接 到 局 域 网 系 统 托 盘 图 标 镜 像 暂 停 防 护 从 镜 像 更 新 右 键 菜 单 镜 像 文 件 恢 复 此 部 分 中 的 所 有 设 置 镜 像 更 新 问 题 故 障 排 除 恢 复 为 默 认 设 置 4 4 W eb 和 电 子 邮 件 163 任 务 协 议 过 滤 计 划 任 务 详 细 信 息 排 除 的 应 用 程 序 任 务 计 时 一 次 排 除 的 IP 地 址 任 务 计 时 Web 和 电 子 邮 件 客 户 端 任 务 计 时 每 天 SSL/ T LS 任 务 计 时 每 周 加 密 的 SSL 通 信 任 务 计 时 由 事 件 触 发 已 知 证 书 列 表 任 务 详 细 信 息 运 行 应 用 程 序 电 子 邮 件 客 户 端 防 护 任 务 详 细 信 息 发 送 邮 件 隔 离 报 告 电 子 邮 件 协 议 跳 过 的 任 务 警 报 和 通 知 计 划 任 务 概 述 MS Outlook 工 具 栏

5 目录 计 划 任 务 后 台 扫 描 205 更 新 配 置 文 件 隔 离 隔 离 文 件 从 隔 离 区 恢 复 提 交 隔 离 区 中 的 文 件 操 作 系 统 更 新 词汇表 5 1 渗 透 类型 病 毒 蠕 虫 木 马 Rootk it 广 告 软 件 僵 尸 网 络 勒 索 软 件 间 谍 软 件 加 壳 程 序 漏 洞 利 用 阻 止 程 序 高 级 内 存 扫 描 程 序 潜 在 的 不 安 全 应 用 程 序 潜 在 的 不 受 欢 迎 应 用 程 序 5 2 电 子 邮 件 广 告 恶 作 剧 欺 诈 识 别垃 圾 邮 件 欺 骗 规 则 白 名 单 黑 名 单 服 务 器 端 控 制

6 1 介绍 ESET Mail Security 6 for Microsoft Exchange Server 是一种集成的解决方案 它保护邮箱不受各种类型的恶意内容 的侵害 包括被蠕虫或木马感染的电子邮件附件 包含有害脚本的文档 欺诈邮件和垃圾邮件 ESET Mail Security 提供三种类型的防护 病毒防护 反垃圾邮件和用户定义的规则 ESET Mail Security 在恶意内容到达收 件人的电子邮件客户端邮箱之前 在邮件服务器级别上过滤恶意内容 ESET Mail Security 支持 Microsoft Exchange Server 版本 2003 及更高版本 以及群集环境中的 Microsoft Exchange Server 在较新的版本 Microsoft Exchange Server 2003 及更高版本 中 还支持特定角色 mailbox hub 和 edge 您可以在 ESET Remote Administrator 的帮助下远程管理大型网络中的 ESET Mail Security 在提供 Microsoft Exchange Server 防护的同时 ESET Mail Security 还包括各种工具 以确保服务器本身的防护 常 驻防护 Web 访问保护和电子邮件客户端防护 11 新功能 邮件隔离管理器 - 管理员可以检查此存储区内的对象 并决定是删除还是发布这些对象 此功能对由传输代 理隔离的电子邮件提供简单的管理 邮件隔离 Web 界面 - 基于 Web 的邮件隔离管理器的替代项 反垃圾邮件 - 已对此重要组件进行了重大的重新设计 现在使用性能有所改进的全新获奖引擎 使用 SPF DKIM 和 DMARC 验证邮件 手动数据库扫描 - 手动数据库扫描程序使用 EWS (Exchange Web Services) API 通过 HTTP/HTTPS 连接到 Microsoft Exchange Server 另外 该扫描程序会运行并行扫描来提高性能 规则 - 规则菜单项允许管理员手动定义电子邮件过滤条件和对过滤的电子邮件采取的操作 已对最新版的 ESET Mail Security 中的规则进行了重新设计 以便向用户更灵活地提供更多可能性 ESET 群集 - 类似于 ESET File Security 6 for Microsoft Windows Server 由于可以将一个配置策略分发给所有的群 集成员 因此将工作站加入节点将提供额外的自动管理 群集本身可以使用已安装的节点进行创建 然后可 以远程安装和启动所有节点 ESET Server 产品可以相互通信和交换数据 例如 配置和通知 并且可以同步 灰名单数据库以及同步正确操作产品实例组所需的数据 这使产品的同一配置可以用于群集的所有成员 ESET Mail Security 支持 Windows 故障转移群集和网络负载平衡 (NLB) 群集 此外 您可以手动添加 ESET 群集 成员 而不需要特定的 Windows 群集 ESET 群集可在域环境和工作组环境中使用 存储扫描 - 扫描本地服务器上的所有共享文件 这样更容易有选择地仅扫描存储在文件服务器上的用户数 据 基于组件的安装 - 选择要添加或删除的组件 进程排除 - 从病毒防护访问扫描中排除特定进程 由于专用服务器 应用程序服务器 存储服务器等 的角色 至关重要 因此强制执行定期备份以确保能够从各种类型的致命事件中及时恢复 为了提高备份速度 进程完 整性和服务可用性 在备份期间使用了某些已知会与文件级别病毒防护产生冲突的技术 尝试实时迁移虚拟 机时 可能会发生类似问题 唯一可以避免这两种情况的有效方法是停用病毒防护软件 通过排除特定进程 例如备份解决方案的进程 系统将忽略所有归于此类排除进程的文件操作并将其视为安全操作 从而最大 程度地减少对备份进程的干预 我们建议您在创建排除时请小心 已排除的备份工具可以访问受感染的文 件 而不会触发警报 这就是为什么只允许在实时防护模块中使用扩展权限 eshell (ESET Shell) - 现在 ESET Mail Security 中可以使用 eshell 20 eshell 是命令行界面 该界面向高级用户和 管理员提供更全面的选项来管理 ESET Server 产品 Hyper-V 扫描 - 是一项新技术 该技术允许扫描 Microsoft Hyper-V Server 上的虚拟机 (VM) 磁盘 而无需使用 特定虚拟机上的任何 服务器代理 更好地与 ESET Remote Administrator 集成 包括计划手动扫描的功能 6

7 12 帮助页面 本指南将帮助您充分利用 ESET Mail Security 若要了解有关程序中任意窗口的详细信息 请在打开给定窗口时 按下键盘上的 F1 将显示与当前查看的窗口相关的帮助页面 为了获取一致性并帮助避免混淆 整个指南中使用的术语均基于 ESET Mail Security 参数名称 我们还使用了一 组统一符号来突出显示特定关注内容或重要内容的主题 注释只是一个简短的意见 尽管您可以忽略它 但注释可以提供有价值的信息 例如特定功能或指向某些相 关主题的链接 重要信息 需要您到它 不建议跳过 重要说明包括重要但非关键的信息 警告 您应格外的关键信息 警告专门用于防止您犯潜在有害的错误 请阅读并了解警告中包含的文本 因为 它引用了高度敏感的系统设置或有风险的内容 示例 这是一个用例或实用示例 旨在帮助您了解如何使用某个功能或特性 约定 含义 粗体类型 界面项目的名称 例如框和选项按钮 斜体类型 您提供信息的占位符 例如 文件名或路径表示您键入实际路径或文件名 宋体 代码示例或命令 超链接 支持快速轻松地访问交叉引用的主题或外部 Web 位置 超链接以蓝色突出显示 可能带有 下划线 %ProgramFiles% 可存储 Windows 已安装程序和其他程序的 Windows 系统目录 本指南中的主题分为几个章节和子章节 您可以通过浏览帮助页面的内容来查找相关信息 此外 您可以使 用索引按关键字进行浏览 或使用全文搜索 ESET Mail Security 使您能够按关键字搜索帮助主题 或通过在 用户指南 中键入要搜索的字词或短语来搜索帮 助主题 这两种方法的区别在于 关键字可能与文本中不包含该特定关键字的帮助页面在逻辑上相关 按字词 7

8 搜索将搜索所有页面的内容 并仅显示实际文字中包含所搜索字词的页面 您可以对帮助中的某个特定主题发布评价和 或提供相关反馈 单击此信息有用吗 链接或对本文进行评 价 有用/没用 例如帮助页面下的 ESET 知识库 13 使用的方法 使用以下三种方法扫描电子邮件 邮箱数据库防护 - 以前称为通过 VSAPI 的邮箱扫描 此类防护仅适用于以邮箱服务器 Microsoft Exchange 2010 和 2007 或后端服务器 (Microsoft Exchange 2003) 角色运行的 Microsoft Exchange Server 和 2003 此 类扫描可以在一台计算机上安装有多个 Exchange Server 角色的单个服务器上执行 只要包括邮箱和后端角色 即可 邮箱数据库防护不适用于 Microsoft Exchange Server 2013 和 2016 邮件传输防护 - 以前称为 SMTP 服务器级别上的邮件过滤 此防护由传输代理提供 并且仅适用于以 Edge 传 输服务器或 Hub 传输服务器角色运行的 Microsoft Exchange Server 2003 或更高版本 此类扫描可以在一台计算 机上安装有多个 Exchange Server 角色的单个服务器上执行 只要包括其中一个提及的服务器角色即可 手动数据库扫描 - 允许您执行或计划 Exchange 邮箱数据库扫描 此功能仅适用于以邮箱服务器或 Hub 传输 角色运行的 Microsoft Exchange Server 2007 或更高版本 这也应用于一台计算机上安装有多个 Exchange Server 角色的单个服务器 只要包括其中一个提及的服务器角色即可 若要进行全面查看 请参阅 ESET Mail Security 功能和 Microsoft Exchange Server 版本及其角色的阵列 131 邮 箱 数 据 库 防 护 邮箱扫描过程由 Microsoft Exchange Server 触发和控制 Microsoft Exchange Server 存储数据库中的电子邮件被 持续扫描 取决于 Microsoft Exchange Server 的版本 VSAPI 接口版本和用户定义的设置 扫描过程可在以下任 何情况下触发 当用户访问电子邮件时 例如 在电子邮件客户端中 始终使用最新的病毒库扫描电子邮件 在后台中 当 Microsoft Exchange Server 的使用较低时 主动 基于 Microsoft Exchange Server 的内部算法 VSAPI 接口当前用于病毒防护扫描和基于规则的防护 132 邮 件 传 输 防 护 SMTP 服务器级别过滤受专业化插件的保护 在 Microsoft Exchange Server 2003 和 2003 中 所谈论的插件 事件接 收 在 SMTP 服务器上注册为 Internet Information Services (IIS) 的一部分 在 Microsoft Exchange Server 和 2016 中 插件在 Microsoft Exchange Server 的 Edge 或 Hub 角色上注册为传输代理 通过传输代理进行的 SMTP 服务器级别的过滤提供防护 其形式为病毒防护 反垃圾邮件防护和用户定义的规 则 因为与 VSAPI 过滤相反 SMTP 服务器级别的过滤在扫描的电子邮件到达 Microsoft Exchange Server 邮箱之前 执行 8

9 133 手 动 数 据 库 扫 描 在大型环境中运行完整电子邮件数据库扫描可能导致不希望出现的系统负载 要避免此问题 请在特定数据库 或邮箱上运行扫描 通过使用消息时间戳过滤扫描目标 进一步最大限度降低服务器系统影响 重要信息 针对手动数据库扫描错误定义的规则可能导致邮箱数据库发生不可逆转的更改 在首次使用规则运行手动 数据库扫描之前 始终确保您具有邮箱数据库的最新备份 另外 我们强烈建议您验证规则是否按预期运行 若要进行验证 仅使用记录到事件操作来定义规则 因为任何其他操作都会对邮箱数据库做出更改 在验证 后 您可以添加破坏性规则操作 如删除附件 无论是在公共文件夹还是用户邮箱中 都会扫描以下项目类型 电子邮件 帖子 日历项目 会议 约会 任务 联系人 日记 1 使用下拉列表根据时间戳选择要扫描的邮件 例如 扫描上一周内修改的邮件 如果需要 您还可以选择 扫描所有邮件 2 若要启用或禁用邮件正文扫描 请选中扫描邮件正文旁边的复选框 3 单击编辑 选择要接受扫描的公共文件夹 9

10 4 选中要扫描的服务器数据库和邮箱旁边的复选框 过滤可使您快速查找数据库和邮箱 尤其是在您的 Exchange 基础架构中存在大量邮箱时 5 单击保存可将扫描目标和参数保存到手动扫描配置文件中 6 您可以现在单击扫描 如果您之前未指定数据库扫描帐户详细信息 将打开一个弹出窗口要求提供凭据 否 则 手动数据库扫描将启动 14 防护类型 共有三种类型的防护 病毒防护 反垃圾邮件防护 规则 141 病 毒 防 护 病毒防护是 ESET Mail Security 的基本功能之一 病毒防护通过控制文件 电子邮件和 Internet 通信防范恶意系 统攻击 如果检测到带有恶意代码的威胁 则病毒防护模块可以通过先阻止它 然后清除 删除或将其移至隔离 区来消除威胁 142 反 垃 圾 邮 件 防 护 反垃圾邮件防护集成了多种技术 RBL DNSBL 指纹验证 信誉检查 内容分析 规则 手动白名单 黑名单等 来 最大程度地检测电子邮件威胁 ESET Mail Security 反垃圾邮件防护基于云 且大多数云数据库位于 ESET 数据中心 反垃圾邮件防护云服务支持 及时的数据更新 从而缩短在出现新垃圾邮件时的反应时间 它还允许从 ESET 黑名单中删除不正确的数据 随 时可以在端口 上通过专用协议与反垃圾邮件防护云服务进行通信 如果无法通过 ESET 的协议进行通信 请改为使用 DNS 服务 端口 53 但是 使用 DNS 并不同等有效 因为它需要在单个电子邮件的垃圾邮件分类过 程中发送多个请求 建议您为此知识库文章中列出的 IP 地址打开 TCP/UDP 端口 ESET Mail Security 使用此端口发送请求 10

11 通常 在垃圾邮件分类过程中不会发送电子邮件或部分电子邮件 但是 如果启用了 ESET LiveGrid 并且已明确允 许提交样本进行分析 则只可能发送标记为垃圾邮件 或很可能为垃圾邮件 的邮件 以帮助彻底分析和云数据 库增强 如果您要报告垃圾邮件分类中的误报和漏报 请参阅我们的知识库文章以获取详细信息 此外 ESET Mail Security 还可以使用垃圾邮件过滤的灰名单方法 默认情况下禁用 143 规 则 可用于您系统中的邮箱数据库防护 手动数据库扫描和邮件传输防护的规则取决于随 ESET Mail Security 一 起安装在服务器上的 Microsoft Exchange Server 版本 规则允许您手动定义电子邮件过滤条件和对已过滤电子邮件采取的操作 有不同的条件集和操作集 您可以创 建个别规则 也可结合使用 如果一个规则使用多个条件 将使用逻辑运算符 AND 链接条件 最终 仅当所有 条件都满足时才执行该规则 如果创建了多个规则 将应用逻辑运算符 OR 表示程序将运行满足条件的第一个 规则 在扫描序列中 使用的第一个技术为灰名单 如果已启用它 后续程序将始终执行以下技术 基于用户定义的 规则的防护 其后是病毒防护扫描 最后是反垃圾邮件扫描 15 用户界面 ESET Mail Security 具有直观的图形用户界面 (GUI) 可让用户轻松访问主要程序功能 ESET Mail Security 的主程 序窗口分为两个主要部分 右侧的主窗口显示与左侧的主菜单中选定选项相关的信息 主菜单中的不同部分如下所述 监视 - 提供有关 ESET Mail Security 的防护状态 许可证有效性 病毒库更新 以及基本统计信息和系统信息 11

12 日志文件 - 访问包含有关所有已发生的重要程序事件的信息的日志文件 这些文件提供检测到的威胁和其他 与安全相关的事件的概述 扫描 - 允许您配置和启动存储扫描 智能扫描 自定义扫描或可移动磁盘扫描 您还可以重复上次执行的扫 描 邮件隔离 - 使您可以轻松管理隔离的电子邮件 此 邮件隔离管理器 通用于以下类型 本地隔离 隔离邮箱和 MS Exchange 隔离区 更新 - 提供有关病毒库的信息 并通知您有关可用的更新 也可以从此会话中执行产品激活 设置 - 调整服务器和计算机安全设置 工具 - 提供有关系统防护的其他信息 帮助您管理安全性的其他工具 工具 部分包含以下项目 运行进程 查看活动 防护统计 群集 ESET Shell ESET SysInspector ESET SysRescue Live 用于创建修复 CD 或 USB 和计 划任务 您还可以提交样本以供分析并检查您的隔离区 帮助和支持 - 提供对帮助页 ESET 知识库和其他支持工具的访问权限 还提供用于打开客户服务支持请求的 链接以及有关产品激活的信息 除了主要 GUI 还有高级设置窗口 可通过按 F5 键从程序中的任何位置访问它 在高级设置窗口中 您可以根据自己的需要配置设置和选项 左侧菜单包括以下类别 服务器 - 允许配置病毒和间谍软件防护 邮箱数据库防护 规则等 计算机 - 启用或禁用对潜在不受欢迎 不安全 可疑应用程序的检测 指定排除 实时文件系统防护 手动计 算机扫描以及 Hyper-V 扫描等 更新 - 配置配置文件的列表 创建更新文件的快照 更新源信息 如正在使用的更新服务器和这些服务器的 验证数据 Web 和电子邮件 - 允许您配置电子邮件客户端防护 协议过滤 Web 访问保护等 设备控制 - 配置设备控制规则和组 12

13 工具 - 允许您自定义工具 如 ESET LiveGrid 日志文件 代理服务器 群集等 用户界面 - 配置程序的图形用户界面 (GUI) 行为 状态 许可证信息等 当您在左侧菜单中单击某个项目 类别或子类别 时 该项目的各个设置将显示在右侧窗格上 16 系统需求 支持的操作系统 Microsoft Windows Server 2016 Microsoft Windows Server 2012 R2 Microsoft Windows Server 2012 Microsoft Windows Server 2008 R2 Microsoft Windows Server 2008 x86 和 x64 Microsoft Windows Server 2003 R2 SP2 x86 和 x64 Microsoft Windows Server 2003 SP2 x86 和 x64 受支持的最低版本操作系统为 Microsoft Windows Server 2003 SP2 Microsoft Windows Small Business Server 2011 (x64) Microsoft Windows Small Business Server 2008 (x64) Microsoft Windows Small Business Server 2003 R2 (x86) Microsoft Windows Small Business Server 2003 (x86) 支持的 Microsoft Exchange Server 版本 Microsoft Exchange Server 2016 CU1, CU2, CU3, CU4, CU5, CU6, CU7, CU8, CU9 Microsoft Exchange Server 2013 CU2, CU3, CU5, CU6, CU7, CU8, CU9, CU10, CU11, CU12, CU13, CU14, CU15, CU16, CU17, CU18, CU19, CU20 Microsoft Exchange Server 2010 SP1, SP2, SP3 Microsoft Exchange Server 2007 SP1, SP2, SP3 Microsoft Exchange Server 2003 SP1, SP2 注释 Microsoft Exchange Server 2013 上的 SP1 aka CU4 不受 ESET Mail Security 支持 最低硬件要求 组件 要求 处理器 Intel 或 AMD 单核 x86 或 x64 内存 256 MB 可用内存 硬盘驱动器 700 MB 可用硬盘空间 屏幕分辨率 800 x 600 像素或更高 ESET Mail Security 对于 Microsoft Exchange Server 有相同的建议硬件要求 有关详细信息 请参阅以下 Microsoft 技术文章 Microsoft Exchange Server 2003 Microsoft Exchange Server 2007 Microsoft Exchange Server 2010 Microsoft Exchange Server 2013 Microsoft Exchange Server

14 注释 我们建议您在安装 ESET 安全产品之前 安装适用于您的 Microsoft Server 操作系统和服务器应用程序的最新 Service Pack 我们还建议您尽量安装最新的 Windows 更新和修补程序 161 E S E T Ma il S e c urity 功 能 和 E xc ha ng e S e rv e r 角 色 下表可让您对每个支持版本的 Microsoft Exchange Server 提供的功能及其角色一目了然 ESET Mail Security 安装 向导会在安装期间检查您的环境 安装完成后 ESET Mail Security 将根据已检测到的 Exchange Server 版本显示相 应功能及其角色 功能 Exchange Server 版本和服务器角 色 Exchange Server 2003 多种角色 Exchange Server 2003 前端 Exchange Server 2003 后端 Exchange Server 2007 多种角色 Microsoft Exchange Server 2007 (Edge) Microsoft Exchange Server 2007 (Hub) Microsoft Exchange Server 2007 邮 箱 Microsoft Exchange Server 2010 多 种角色 Microsoft Exchange Server 2010 (Edge) Microsoft Exchange Server 2010 (Hub) Microsoft Exchange Server 2010 邮 箱 Microsoft Exchange Server 2013 多 种角色 Microsoft Exchange Server 2013 (Edge) Microsoft Exchange Server 2013 邮 箱 Microsoft Exchange Server 2016 (Edge) Microsoft Exchange Server 2016 邮 箱 Windows Small Business Server 2003 Windows Small Business Server 反垃圾邮 件防护 规则 邮件传输防 手动数据库 邮箱数据 护 扫描 库防护 邮件隔 离

15 功能 Exchange Server 版本和服务器角 色 反垃圾邮 件防护 规则 邮件传输防 手动数据库 邮箱数据 护 扫描 库防护 邮件隔 离 Windows Small Business Server E xc ha ng e S e rv e r 角 色 E d g e 或 H ub Edge 传输服务器和 Hub 传输服务器在默认情况下禁用反垃圾邮件功能 在具有 Edge 传输服务器的 Exchange 组 织中 这是需要的配置 我们建议您配置运行 ESET Mail Security 反垃圾邮件的 Edge 传输服务器 以便让它在邮 件路由到 Exchange 组织之前对其进行过滤 Edge 角色是用于反垃圾邮件扫描的首选位置 这是因为它使 ESET Mail Security 可以在早期过程中拒绝垃圾邮 件 从而防止将不必要的负载放置在网络层 因为使用该配置时 ESET Mail Security 将在 Edge 传输服务器上过 滤传入的邮件 所以它们可以安全移动到 Hub 传输服务器 而无需进一步过滤 如果您的组织不使用 Edge 传输服务器 仅有 Hub 传输服务器 我们建议您在通过 SMTP 接收来自 Internet 的入 站邮件的 Hub 传输服务器上启用反垃圾邮件功能 17 通过 ESET Remote Administrator 托管 ESET Remote Administrator (ERA) 是一个应用程序 它允许您从一个中心位置管理网络环境中的 ESET 产品 此 ESET Remote Administrator 任务管理系统允许您在远程计算机上安装 ESET 安全解决方案并且快速响应新问题和 威胁 ESET Remote Administrator 自身不提供对恶意代码的防护 它依赖于每个客户端上是否存在 ESET 安全解 决方案 ESET 安全解决方案支持包括多个平台类型的网络 您的网络可以包括当前 Microsoft 操作系统 基于 Linux 的操 作系统 Mac OS 和移动操作系统的组合 ESET Remote Administrator 服务器 - ERA 服务器可以安装在 Windows 以及 Linux 服务器上 并且以虚拟设备的 形式出现 它处理与服务器代理的通信 以及收集和存储应用程序数据 ERA Web 控制台是一个基于 Web 的用户界面 它可以显示来自 ERA 服务器的数据并允许您在环境中管理 ESET 安全解决方案 该 Web 控制台可使用 Web 浏览器访问 它将显示您网络上的客户端状态的概述 并可用 于将 ESET 解决方案远程部署到未托管的计算机 如果确定 Web 服务器可通过 Internet 访问 则可在几乎任何 具有有效 Internet 连接的设备上使用 ESET Remote Administrator 15

16 ERA 服务器代理 - ESET Remote Administrator 服务器代理将有助于 ERA 服务器和客户端计算机之间的通信 您 必须在所有客户端计算机上安装服务器代理 才能在该计算机和 ERA 服务器之间建立通信 因为它位于客户 端计算机上并且可以存储多种安全方案 因此使用 ERA 服务器代理可大大缩短对新威胁的反应时间 通过使 用 ERA Web 控制台 您可以将 ERA 服务器代理部署到通过 Active Directory 或 ESET RD Sensor 识别的未托管计 算机 有关 ERA 的详细信息 请参阅 ESET Remote Administrator 联机帮助 联机帮助分为三个部分 安装 升级 管 理和 VA 部署 可以使用标题中的导航选项卡在各部分之间切换 16

17 171 覆 盖 模 式 如果您已将 ESET Remote Administrator 策略应用到 ESET Mail Security 将在设置页中看到锁定图标 启用 禁用开关 以及在高级设置窗口中看到开关旁边的锁定图标 而不是 通常 无法修改通过 ESET Remote Administrator 策略配置的设置 覆盖模式允许您暂时解锁这些设置 不过 需 要使用 ESET Remote Administrator 策略启用覆盖模式 登录到 ERA Web 控制台 导航到管理员 > 策略 选择并编辑已应用到 ESET Mail Security 的现有策略或创建新策 略 在设置中 单击覆盖模式 启用该模式 然后配置该模式设置的其余部分 包括验证类型 Active Directory 用户或密码 17

18 策略已完成修改或新策略已应用到 ESET Mail Security 后 覆盖策略按钮将显示在高级设置窗口中 18

19 单击覆盖策略按钮 设置持续时间 然后单击应用 如果已选择密码作为验证类型 请输入策略覆盖密码 19

20 覆盖模式到期后 您进行的任何配置更改将恢复为 ESET Remote Administrator 的原始策略设置 覆盖模式到期 之前 您会看到通知 在覆盖模式到期之前 您可以随时在监视页上或高级设置窗口中结束覆盖模式 20

21 2 安装 购买 ESET Mail Security 之后 可以从 ESET 网站 (wwwesetcom) 以 msi 程序包的形式下载安装程序 如果您之前在系统上使用了其他第三方病毒防护软件 我们建议您先完全卸载它 然后再安装 ESET Mail Security 您可以使用 ESET AV 清除工具来协助删除第三方软件 如果您在 Windows Server 2016 上安装 Microsoft 建议卸载 Windows Defender 功能并退出 Windows Defender ATP 注册 以防止因为在计算机上安装多个病毒防护产品而导致的问题 请 必须使用内置管理员帐户或域管理员帐户 如果本地管理员帐户已禁用 才能执行安装程序 其他任何 用户 即使是管理员组的成员 没有足够的访问权限 由于您无法成功地在本地或域管理员帐户之外的其他任何 用户帐户下完成安装 因此您需要使用内置管理员帐户 重要信息 在可能的情况下 我们强烈建议在新安装和配置的操作系统上安装 ESET Mail Security 如果需要在现有系统 上安装它 我们建议您卸载 ESET Mail Security 版本 重新启动服务器 然后再安装新的 ESET Mail Security 要安装 ESET Mail Security 有两种安装模式可供选择 使用安装向导 (GUI) 或命令行安装 安装向导 这是一种典型的 GUI 安装模式 双击 msi 程序包以运行安装向导 然后选择需要的安装类型 完全或典型 这是建议的安装类型 您可以选择 ESET Security 的安装位置 不过建议您使用默认值 有关详细安装过程 请 参阅 ESET Mail Security 安装步骤 自定义 自定义安装允许您选择在系统上安装 ESET Mail Security 的哪些功能 在安装开始之前 会显示产品模块和功 能的列表 有关详细安装过程 请参阅 ESET Mail Security 安装步骤 命令行安装 除了安装向导 您还可以选择通过命令行以静默方式安装 ESET Mail Security 此安装类型不需要任何交互 也称 为无人参与安装 静默 无人参与安装 若要通过命令行完成安装 请运行以下命令 msiexec /i <packagename> /qn /l*xv 在 Windows Server 2008 和 2008 R2 上 将不会安装 Web 和电子邮件功能 msilog 要确保安装成功或防止安装出现任何问题 请使用 Windows 事件查看器 检查应用程序日志 查找来自源 MsiInstaller 的记录 示例 64 位系统上的完整安装 msiexec /i emsx_nt64_enumsi /qn /l*xv msilog ADDLOCAL=WebAnd , ClientProtection,^ MailPlugins,ProtocolFiltering,WebAccessProtection,_Base,ShellExt,HIPS,SERVER,_FeaturesCore,^ RealtimeProtection,DeviceControl,WMIProvider,Scan,Updater,DocumentProtection,CLUSTER,^ GraphicUserInterface,eShell,UpdateMirror,SysInspector,SysRescue,OnlineHelp,OfflineHelp,^ EnterpriseInspector 21

22 示例 32 位系统上的完整安装 msiexec /i emsx_nt32_enumsi /qn /l*xv msilog ADDLOCAL=WebAnd , ClientProtection,^ MailPlugins,ProtocolFiltering,WebAccessProtection,_Base,ShellExt,HIPS,SERVER,_FeaturesCore,^ RealtimeProtection,DeviceControl,WMIProvider,Scan,Updater,DocumentProtection,CLUSTER,^ GraphicUserInterface,eShell,UpdateMirror,SysInspector,SysRescue,OnlineHelp,OfflineHelp,^ EnterpriseInspector 安装完成后 ESET GUI 将启动并且托盘图标 显示在通知区域 系统托盘 中 示例 在 32 位系统上无 ProtocolFiltering 和 WebAccessProtection 的安装 msiexec /i emsx_nt32_enumsi /qn /l*xv msilog ADDLOCAL=_Base,ShellExt,HIPS,SERVER,^ _FeaturesCore,RealtimeProtection,DeviceControl,WMIProvider,Scan,Updater,DocumentProtection,^ CLUSTER,GraphicUserInterface,eShell,UpdateMirror,SysInspector,SysRescue,OnlineHelp,^ OfflineHelp,EnterpriseInspector 示例 在 64 位系统上添加功能 (ProtocolFiltering) msiexec /i emsx_nt64_enumsi /qn /l*xv msilog ADDLOCAL=WebAnd , ClientProtection,^ MailPlugins,ProtocolFiltering,WebAccessProtection REINSTALL=_Base,ShellExt,HIPS,_Base,SERVER,^ _FeaturesCore,RealtimeProtection,DeviceControl,WMIProvider,Scan,Updater,DocumentProtection,^ CLUSTER,GraphicUserInterface,eShell,UpdateMirror,SysInspector,SysRescue,OnlineHelp,^ OfflineHelp,EnterpriseInspector 示例 在 64 位系统上删除功能 (ProtocolFiltering) msiexec /i emsx_nt64_enumsi /qn /l*xv msilog REMOVE=WebAnd , ClientProtection,^ MailPlugins,ProtocolFiltering,WebAccessProtection REINSTALL=_Base,ShellExt,HIPS,SERVER,^ _FeaturesCore,RealtimeProtection,DeviceControl,WMIProvider,Scan,Updater,DocumentProtection,^ CLUSTER,GraphicUserInterface,eShell,UpdateMirror,SysInspector,SysRescue,OnlineHelp,^ OfflineHelp,EnterpriseInspector 重要信息 在指定 REINSTALL 参数的值时 必须列出其他未用作 ADDLOCAL 或 REMOVE 参数的值的功能 必须正确运 行命令行安装 以便将所有功能列为 REINSTALL ADDLOCAL 和 REMOVE 参数的值 有关功能的完整列表 请查阅命令行安装部分 如果您不使用 REINSTALL 参数 则添加或删除可能不会成功 示例 从 64 位系统中完全删除 卸载 msiexec /x emsx_nt64_enumsi /qn /l*xv msilog 卸载成功后 服务器将自动重新启动 22

23 21 ESET Mail Security 安装步骤 请按照以下步骤进行操作 以使用安装向导安装 ESET Mail Security 单击下一步 将显示最终用户许可协议 在确认接受最终用户许可协议并单击下一步后 请选择一个可用的安装类型 可用的安装类型因您的操作系统而异 23

24 Windows Server R R 及 Windows Small Business Server 2003 和 2003 R2: 完全 安装所有 ESET Mail Security 功能 也称为完整安装 将提示您选择将安装 ESET Mail Security 的位置 默认情况下 程序的安装位置为 C:\Program Files\ESET\ESET Mail Security 单击浏览可更改此位置 不建议 如果您计划针对电子邮件使用本地隔离而不希望将隔离的邮件文件存储在 C: 驱动器上 请将数据文件夹的 路径更改为您的首选驱动器和位置 但是 请切记 此位置将存储所有 ESET Mail Security 数据文件 24

25 单击安装以开始安装 安装完成后 ESET GUI 将启动并且托盘图标 显示在通知区域 系统托盘 中 自定义 允许您选择在系统上安装哪些 ESET Mail Security 功能 它在您想要自定义仅包含所需组件的 ESET Mail Security 时有用 Windows Server R2 及 Windows Small Business Server 2008 和 2011: 典型 安装推荐的 ESET Mail Security 功能 25

26 系统将提示您选择安装位置 默认情况下 程序的安装位置为 C:\Program Files\ESET\ESET Mail Security 单击浏 览可更改此位置 不建议 单击安装以开始安装 安装完成后 ESET GUI 将启动并且托盘图标 显示在通知区域 系统托盘 中 自定义 允许您选择在系统上安装哪些 ESET Mail Security 功能 它在您想要自定义仅包含所需组件的 ESET Mail Security 时有用 注释 在 Windows Server 2008 Windows Server 2008 R2 Small Business Server 2008 和 Small Business Server 2011 上 默认情况下禁止安装 Web 和电子邮件组件 典型安装 如果您想要安装此组件 请选择自定义安装类 型 组件修改 添加 删除 过程 修复和删除 您可以添加或删除包含在安装中的组件 若要执行上述操作 请运行在初始安装期间使用过的 msi 安装程序 包 或者转到程序和功能 可从 Windows 控制面板 访问 右键单击 ESET Mail Security 并选择更改 按照以下 步骤进行操作 以添加或删除组件 提供 3 个可用选项 您可以修改已安装组件 修复 ESET Mail Security 的安装 或完全删除 卸载 它 26

27 如果您选择修改 将显示一个可用程序组件的列表 选择要添加或删除的组件 您可以同时添加 删除多个组 件 单击组件 然后从下拉菜单中选择一个选项 选中某个选项后 请单击修改以执行修改 注释 您可以随时通过运行安装程序修改已安装的组件 对于大部分组件 执行更改未必需要服务器重新启动 GUI 将重新启动 并且您将仅看到您选择安装的组件 对于需要服务器重新启动的组件 Windows Installer 将提 示您重新启动 并且新组件将在服务器重新联机时变得可用 27

28 211 命 令 行 安 装 以下设置旨在仅用于用户界面的降低 基本和无级别 请参阅用于相应命令行开关的 msiexec 版本的文档 支持的参数 APPDIR=<path> 路径 有效的目录路径 应用程序安装目录 例如 emsx_nt64_enumsi /qn APPDIR=C:\ESET\ ADDLOCAL=DocumentProtection APPDATADIR=<path> 路径 有效的目录路径 应用程序数据安装目录 MODULEDIR=<path> 路径 有效的目录路径 模块安装目录 ADDEXCLUDE=<list> ADDEXCLUDE 列表是所有不安装的功能名称的列表 以逗号分隔 作为已废弃的 REMOVE 的替代物 当选择不安装的功能时 整个路径 即 其所有子功能 和相关的不可见功能必须显式包含在列表中 例如 emsx_nt64_enumsi /qn ADDEXCLUDE=<list> ADDEXCLUDE 不能与 ADDLOCAL 一起使用 ADDLOCAL=<list> 组件安装 要在本地安装的非强制性功能的列表 ESET msi 程序包的使用 emsx_nt64_enumsi /qn ADDLOCAL=<list> 有关 ADDLOCAL 属性的详细信息 请参阅 29aspx ADDLOCAL 列表是所有将安装的功能的列表 以逗号分隔 当选择要安装的功能时 完整路径 所有父功能 必须显式包含在该列表中 功能状态 强制 - 始终安装功能 可选 - 可以取消选择安装此功能 不可见 - 为了使其他功能正常工作 逻辑功能是强制性的 ESET Mail Security 功能列表 重要信息 所有功能的名称区分大小写 例如 RealtimeProtection 不等同于 REALTIMEPROTECTION 28 功能名称 功能状态 SERVER 强制 RealtimeProtection 强制 Scan 强制 WMIProvider 强制 HIPS 强制 Updater 强制 eshell 强制

29 功能名称 功能状态 UpdateMirror 强制 DeviceControl 可选 DocumentProtection 可选 WebAnd 可选 ProtocolFiltering 不可见 WebAccessProtection 可选 ClientProtection 可选 MailPlugins 不可见 CLUSTER 可选 _Base _License ShellExt 可选 _FeaturesCore GraphicUserInterface 可选 SysInspector 可选 SysRescue 可选 OnlineHelp 可选 OfflineHelp 可选 EnterpriseInspector 可选 如果您要删除以下功能中的任何一个 则需要删除整个组 GraphicUserInterface,ShellExt WebAnd , ClientProtection,MailPlugins,ProtocolFiltering,WebAccessProtection OnlineHelp,OfflineHelp 示例 在 64 位系统上删除功能 (ProtocolFiltering) msiexec /i emsx_nt64_enumsi /qn ^ /l*xv msilog REMOVE=WebAnd , ClientProtection,MailPlugins,ProtocolFiltering,^ WebAccessProtection REINSTALL=_Base,ShellExt,HIPS,SERVER,_FeaturesCore,RealtimeProtection,^ DeviceControl,WMIProvider,Scan,Updater,DocumentProtection,CLUSTER,GraphicUserInterface,eShell,^ UpdateMirror,SysInspector,SysRescue,OnlineHelp,OfflineHelp,EnterpriseInspector 如果您希望 ESET Mail Security 在安装后自动配置 您可以在安装命令中指定基本配置参数 示例 安装 ESET Mail Security 并禁用 ESET LiveGrid msiexec /i emsx_nt64_enumsi /qn /l*xv msilog CFG_LIVEGRID_ENABLED=0 所有配置属性列表 CFG_POTENTIALLYUNWANTED_ENABLED=1/0 29

30 0 - 已禁用 1 - 已启用 CFG_LIVEGRID_ENABLED=1/0 0 - 已禁用 1 - 已启用 LiveGrid FIRSTSCAN_ENABLE=1/0 0 - 已禁用 1 - 已启用 在安装后计划新的 FirstScan CFG_PROXY_ENABLED=0/1 0 - 已禁用 1 - 已启用 CFG_PROXY_ADDRESS=<ip> 代理 IP 地址 CFG_PROXY_PORT=<port> 代理端口号 CFG_PROXY_USERNAME=<user> 用于身份验证的用户名 CFG_PROXY_PASSWORD=<pass> 用于身份验证的密码 212 在 群 集 环 境 中 安 装 您可以在群集环境 例如 在故障转移群集中 中部署 ESET Mail Security 我们建议您将 ESET Mail Security 安装 在活动节点上 然后使用 ESET Mail Security 的 ESET 群集功能在被动节点上重新分发安装 除了安装外 ESET 群 集还将用作 ESET Mail Security 配置的复制 以确保正确操作所需的群集节点之间的一致性 30

31 22 产品激活 完成安装后 将提示您激活您的产品 选择其中一种可用方法来激活 ESET Mail Security 有关更多信息 请参阅如何激活 ESET Mail Security 31

32 成功激活 ESET Mail Security 后 主程序窗口将打开并在监视页面中显示您的当前状态 最初可能需要您 例如 将询问您是否想要参与 ESET LiveGrid 主程序窗口还将显示有关其他项目的通知 例如系统更新 Windows 更新 或病毒库更新 当处理完所有需要注 意的项目后 监视状态将变为绿色并显示状态最高防护 23 ESET AV Remover 若要从系统中删除 卸载第三方病毒防护软件 我们建议您使用 ESET AV Remover 若要执行该操作 请遵循以下 步骤 1 从 ESET 网站实用程序下载页面下载 ESET AV Remover 2 单击我接受 启动搜索来接受 EULA 并开始搜索您的系统 3 单击启动卸载程序删除已安装的病毒防护软件 对于可以使用 ESET AV Remover 删除的第三方病毒防护软件的列表 请参阅此知识库文章 24 POP3 连接器和反垃圾邮件 Microsoft Windows Small Business Server (SBS) 版本包含本机内置的 POP3 连接器 它使服务器能够从外部 POP3 服务器获取电子邮件 该 Microsoft 本机 POP3 连接器的实现在不同 SBS 版本之间是不同的 如果未正确配置 ESET Mail Security 将不支持 Microsoft SBS POP3 连接器 扫描通过 Microsoft POP3 连接器下载 的邮件 以查找是否存在垃圾邮件 可以对这些邮件提供反垃圾邮件防护 因为该 POP3 连接器通过 SMTP 将这 些电子邮件从 POP3 帐户转发到 Microsoft Exchange Server ESET Mail Security 已通过流行的邮件服务在以下 SBS 系统上进行测试 这些服务包括 Gmailcom Outlookcom Yahoocom Yandexcom 和 gmxde Microsoft Windows Small Business Server 2003 R2 32

33 Microsoft Windows Small Business Server 2008 Microsoft Windows Small Business Server 2011 重要信息 如果您正在使用内置的 Microsoft SBS POP3 连接器并且已扫描了所有电子邮件以查看是否存在垃圾邮件 请 按 F5 以访问 高级设置 导航到服务器 > 邮件传输防护 > 高级设置 然后在同时扫描从验证或内部连接 接收的邮件设置中 从下拉列表中选择由病毒和反垃圾邮件防护扫描 这确保了针对从 POP3 帐户获取的 电子邮件启用反垃圾邮件防护 您也可以使用第三方 POP3 连接器 例如 P3SS 而不是内置 Microsoft SBS POP3 连接器 ESET Mail Security 已在 以下系统 使用 P3SS 连接器获取来自 Gmailcom Outlookcom Yahoocom Yandexcom 和 gmxde 的邮件 上进 行测试: Microsoft Windows Small Business Server 2003 R2 带有 Exchange Server 2007 的 Microsoft Windows Server 2008 带有 Exchange Server 2010 的 Microsoft Windows Server 2008 R2 带有 Exchange Server 2013 的 Microsoft Windows Server 2012 R2 25 升级到新版本 发布 ESET Mail Security 的新版本是为了提供改进功能或修复无法通过程序模块的自动更新来解决的问题 可以 使用的升级方法如下所示 手动 - 下载最新版本的 ESET Mail Security 如果要保留配置 请从现有 ESET Mail Security 中导出设置 卸载 ESET Mail Security 然后重新启动服务器 使用已下载的安装程序执行全新安装 导入设置以加载您的配置 如果您只有一台运行 ESET Mail Security 的服务器 建议您执行此步骤 适用于从任何旧版本升级到版本 6x 远程 - 适用于由 ESET Remote Administrator 管理的大型网络环境 如果您有多台运行 ESET Mail Security 的服 务器 此方法十分有用 适用于从版本 4x 升级到版本 6x ESET 群集向导 - 也可以用作一种升级方法 我们建议对不少于 2 台装有 ESET Mail Security 的服务器使用此方 法 适用于从版本 4x 升级到版本 6x 升级完成后 可以继续使用 ESET 群集并充分利用其功能 升级 ESET Mail Security 期间会要求重新启动服务器 重要信息 升级过程中无法迁移某些设置 尤其是规则 这是因更高产品版本中引入的规则功能更改所致 建议在从 4x 版本迁移之前 先记录您的规则设置 在升级完成后 可以设置规则 与以前版本的 ESET Mail Security 中 的 规则 相比 新的 规则 可提供给您更大灵活性 甚至更多可能性 以下是从以前版本的 ESET Mail Security 中保留的设置 常规 ESET Mail Security 配置 反垃圾邮件防护设置 与以前版本中一致的所有设置 任何新的设置都将使用默认设置 白名单和黑名单条目 注释 升级您的 ESET Mail Security 后 我们建议您检查所有设置 并确保根据您的需要正确配置 33

34 251 通 过 E R A 升 级 借助 ESET Remote Administrator 您可以升级正在运行早期版本的 ESET Mail Security 的多台服务器 此方法适用 于同时升级大量服务器 并且在升级期间确保每个 ESET Mail Security 的配置都完全相同 如有需要 适用于从版本 4x 升级到版本 6x 此过程包含以下阶段 通过以下方式手动升级第一台服务器 基于现有版本安装最新版本的 ESET Mail Security 以保留所有配置 其 中包括规则 大量白名单和黑名单等 在运行 ESET Mail Security 的服务器上以本地方式执行此阶段 在 ERA 中为新升级为版本 6x 的 ESET Mail Security 请求配置并转换为策略 稍后会将该策略应用到所有已升 级的服务器 将使用 ERA 远程执行此阶段以及以下阶段 在所有运行旧版本的 ESET Mail Security 的服务器上运行软件卸载任务 在所有要运行最新版本的 ESET Mail Security 的服务器上运行软件安装任务 向所有运行最新版本的 ESET Mail Security 的服务器分配配置策略 分步过程 1 登录到其中一台运行 ESET Mail Security 的服务器 然后通过基于现有版本下载并安装最新版本进行升级 按 照常规安装步骤进行操作 安装期间会保留旧版 ESET Mail Security 的所有原始配置 2 打开 ERA Web 控制台 从 静态组 或 动态组 中选择客户端计算机 然后单击显示详细信息 34

35 3 导航到配置选项卡 然后单击请求配置按钮以收集托管产品的所有配置 获取配置需花费一点时间 最新配 置显示在列表中后 单击安全产品并选择打开配置 4 通过单击转换为策略按钮来创建配置策略 输入新策略的名称 然后单击完成 5 依次导航到管理员 > 客户端任务 然后选择软件卸载任务 创建卸载任务时 我们建议您通过选中需要时 35

36 自动重新启动复选框 以便在卸载后重新启动服务器 创建该任务后 添加所有需要进行卸载的目标计算 机 6 确保 ESET Mail Security 已从所有目标计算机中卸载 7 创建软件安装任务 以便将最新版本的 ESET Mail Security 安装到所有需要进行安装的目标计算机 8 向所有运行 ESET Mail Security 的服务器分配配置策略 理想情况下是分配到组中 252 通 过 E S E T 群 集 升 级 通过创建 ESET 群集 您可以升级多台装有 ESET Mail Security 早期版本的服务器 它是 ERA 升级的替代方案 当 您的环境中的 2 台或更多台服务器装有 ESET Mail Security 时 建议使用 ESET 群集方法 此升级方法的另一个好 处是 您可以继续使用 ESET 群集 以同步所有成员节点上的 ESET Mail Security 配置 适用于从版本 4x 升级到版本 6x 按照以下步骤操作 使用此方法进行升级 1 登录到其中一台运行 ESET Mail Security 的服务器 然后通过基于现有版本下载并安装最新版本进行升级 按 照常规安装步骤进行操作 安装期间会保留旧版 ESET Mail Security 的所有原始配置 2 运行 ESET 群集向导并添加群集节点 要升级 ESET Mail Security 的服务器 如有必要 也可以添加尚未运行 ESET Mail Security 的其他服务器 将在这些服务器上执行安装 我们建议您在指定群集名称和安装类型时保 留默认设置 确保已选中在未激活产品的情况下将许可证推送到节点 3 查看节点检查日志屏幕 它会列出装有旧产品版本且要重新安装产品的服务器 ESET Mail Security 还将安装 在当前未安装该产品的任何已添加服务器上 36

37 4 节点安装和群集激活屏幕将显示安装进度 安装成功完成后 结束时显示的结果应如下所示 37

38 如果未正确配置网络或 DNS 您可能会收到一条错误消息 显示无法从服务器获得激活标记 尝试再次运行 ESET 群集向导 该向导会销毁该群集并创建新的群集 不会重新安装产品 此时应成功完成激活 如果问题仍 然存在 请检查您的网络和 DNS 设置 38

39 3 入门指南 本章提供对 ESET Mail Security 菜单的主要部分 功能及基本设置的概述 监视 日志文件 扫描 更新 设置 工具 帮助和支持 31 监视 监视部分中显示的防护状态为您提供有关计算机的当前防护级别的信息 有关 ESET Mail Security 操作的状态摘 要将显示在主窗口中 绿色最高防护状态表示已确保最高防护 状态窗口还显示指向 ESET Mail Security 中常用功能的快速链接和 有关上次更新的信息 39

40 对于工作正常的模块 会为其指定一个绿色对勾 对于不完全工作的模块 会为其指定一个红色惊叹号或橙色 通知图标 有关模块的其他信息显示在窗口的上半部分 同时还显示用于修复该模块的建议解决方案 若要更 改单个模块的状态 请在主菜单中单击设置 然后单击所需模块 红色图标表示发生严重问题 不能确保为计算机提供最大程度的防护 显示红色图标 指示出现以下情况 邮件服务器病毒防护已禁用 - 单击监视中的启用病毒防护或在主程序窗口的设置窗格中重新启用病毒和 间谍软件防护 病毒库已过期 - 单击更新病毒库或单击主程序窗口的更新选项卡中的立即更新 产品未激活或许可证已过期 - 此问题由防护状态图标变为红色来表示 许可证过期后 该程序将无法更新 按照警报窗口中的说明续订许可证 注释 如果您在使用 ERA 管理 ESET Mail Security 并将 策略分配给它 则状态链接将处于锁定状态 灰色显示 具体 取决于哪些功能受制于该策略 橙色图标表示 ESET 产品存在一个不严重的问题 需要您关注 显示橙色图标 指示出现以下情况 Web 访问保护已暂停 - 单击监视中的启用 Web 访问保护或在主程序窗口的设置窗格中重新启用 Web 访问 保护 您的许可证即将到期 - 此问题由显示惊叹号的防护状态图标表示 许可证过期后 程序将无法更新 防护状 态图标将变为红色 40

41 策略覆盖处于活动状态 - 暂时覆盖策略设置的配置 可能直到故障排除结束为止 监视 页面还包括有关您的系统的以下信息 产品版本 - ESET Mail Security 的版本号 服务器名称 - 计算机主机名或 FQDN 系统 - 操作系统详细信息 计算机 - 硬件详细信息 服务器正常运行时间 - 显示系统正常运行的时长 基本上相对于停机时间 邮箱计数 - ESET Mail Security 会检测邮箱数目 并基于对以下项的检测显示计数 域 Exchange Server 所属的特定域中所有邮箱的计数 本地 - 反映安装有 ESET Mail Security 的 Exchange Server 的邮箱 如果有 计数 有关详细信息 请参阅我们 的知识库文章 如果使用建议的解决方案无法解决问题 请单击帮助和支持访问帮助文件或搜索 ESET 知识库 如果仍然需要 帮助 可以提交 ESET 客户服务支持请求 ESET 客户服务将快速响应您的问题并帮助找到解决方案 41

42 32 日志文件 日志文件包含已发生的重要程序事件的信息 并提供检测到的威胁的概要信息 日志对于系统分析 威胁检测 和故障排除必不可少 日志记录在后台主动执行 无需用户交互 根据日志级别设置记录信息 可以直接从 ESET Mail Security 环境查看文本消息和日志 或者将它们导出以在别处查看 可从主程序窗口中访问日志文件 方法是单击日志文件 从下拉菜单中选择所需日志类型 可用日志包括 检测到的威胁 - 威胁日志提供有关 ESET Mail Security 模块检测到的渗透的详细信息 此信息包括检测时间 渗透名称 位置 执行的操作以及检测到渗透时登录用户的名称 双击任何日志条目以在单独的窗口中显示 其详细信息 事件 - ESET Mail Security 执行的所有重要操作都记录在事件日志中 事件日志包含有关程序中发生的事件和 错误的信息 它旨在帮助系统管理员和用户解决问题 从此处获取的信息常常有助于解决程序中发生的问 题 计算机扫描 - 所有扫描结果在此窗口中显示 每一行对应一个计算机控件 双击任意条目以查看相应扫描的 详细信息 HIPS - 包含特定规则的记录 这些规则标记为用于记录 该协议显示调用操作的应用程序 结果 无论已允许 还是已禁止规则 以及所创建的规则的名称 已过滤的网站 - 被 Web 访问保护阻止的网站列表 在这些日志中 您可以查看时间 URL 用户和打开了到特 定网站的连接的应用程序 设备控制 - 包含与计算机连接的可移动磁盘或设备的记录 只有具有设备控制规则的设备才会记录到日志文 件 如果规则不匹配连接的设备 则不会创建所连接设备的日志条目 您还可以在这里找到设备类型 序列 号 供应商名称和磁盘大小 如果可用 等详细信息 邮件服务器防护 由 ESET Mail Security 检测为渗透或垃圾邮件的所有邮件都记录在此处 这些日志应用到以 下防护类型中 反垃圾邮件 规则和病毒防护 当您双击某个项目时 将打开一个弹出窗口 该窗口显示关于 42

43 检测到的电子邮件的其他信息 如 IP 地址 HELO 域 邮件 ID 扫描类型 用于显示检测该邮件时所使用的保 护级别 此外 您可以看到病毒和间谍软件防护扫描的结果 以及检测到它的原因或是否激活某个规则 并非所有经过处理的邮件都会记录到邮件服务器防护日志中 但是 所有实际经过修改的邮件 删除的附 件 添加到邮件标题的自定义字符串等 都会写入日志 数据库扫描 - 包含病毒库版本 日期 已扫描位置 扫描的对象数 找到的威胁数 规则命中数和完成时间 灰名单 - 使用灰名单方法评估的所有邮件都记录在此 每个记录都包含 HELO 域 IP 发件人和收件人的地址 操作状态 已拒绝 已拒绝 未验证 和已验证的传入邮件 Hyper-V 扫描 - 包含 Hyper-V 扫描结果列表 双击任意条目以查看相应扫描的详细信息 在每一部分中 显示的信息都可以复制到剪贴板 键盘快捷方式为 Ctrl+C 方法是选择条目并单击复制 Ctrl 和 Shift 键可用于选择多个条目 单击开关图标 过滤以打开日志过滤窗口 您可以在该窗口中定义过滤条件 要查看下面的右键菜单选项 请右键单击特定记录 显示 - 在新窗口中显示有关选中日志的更多详细信息 相当于双击 过滤相同的记录 - 这将激活日志过滤 并且仅显示与所选记录类型相同的记录 过滤 - 在单击此选项后 日志过滤窗口将允许您为特定日志条目定义过滤条件 启用过滤器 - 激活过滤器设置 首次过滤日志时 必须定义过滤条件 过滤器一经设置 在对其编辑前将保持 不变 禁用过滤器 - 关闭过滤器 相当于单击底部的开关 此选项仅在启用过滤后才可用 复制 - 将选定的 突出显示的记录的信息复制到剪贴板中 全部复制 - 复制窗口中所有记录的信息 删除 - 删除选定的 突出显示的记录 此操作需要管理员权限 全部删除 - 删除窗口中的所有记录 此操作需要管理员权限 导出 - 将选定的 突出显示的记录的信息导出到 XML 文件中 全部导出 - 将窗口中的所有信息导出到 XML 文件 查找 - 打开在日志中查找窗口 并允许您定义搜索条件 处理过滤出的内容作为缩小结果的其他方法 查找下一个 - 查找之前定义的搜索 如上所述 的下一个匹配项 查找上一个 - 查找之前定义的搜索 如上所述 的上一个匹配项 删除诊断记录 - 删除窗口中的所有诊断记录 滚动日志 - 使此选项保持为启用状态以自动滚动旧日志 并在日志文件窗口中查看活动日志 43

44 321 扫 描 日 志 扫描日志窗口显示扫描的当前状态以及有关已找到的包含恶意代码的文件数量的信息 在每一部分中 显示的信息都可以复制到剪贴板 键盘快捷方式为 Ctrl+C 方法是选择条目并单击复制 Ctrl 和 Shift 键可用于选择多个条目 单击开关图标 过滤以打开日志过滤窗口 您可以在该窗口中定义过滤条件 若要查看下面的右键菜单 请右键单击指定的记录 显示 - 在新窗口中显示有关选中日志的更多详细信息 相当于双击 过滤相同的记录 - 这将激活日志过滤 以便仅显示与所选记录类型相同的记录 过滤 - 在单击此选项后 日志过滤窗口将允许您为特定日志条目定义过滤条件 启用过滤器 - 激活过滤器设置 首次激活过滤时 必须定义设置 禁用过滤器 - 禁用过滤器 相当于单击底部的开关 复制 - 将选定的 突出显示的记录的信息复制到剪贴板中 全部复制 - 复制有关窗口中所有记录的信息 删除 - 删除选定的 突出显示的记录 此操作需要管理员权限 全部删除 - 删除窗口中的所有记录 此操作需要管理员权限 导出 - 将选定的 突出显示的记录的信息导出到 XML 文件中 全部导出 - 将窗口中的所有信息导出到 XML 文件中 查找 - 打开在日志中查找窗口 并允许您定义搜索条件 即使过滤已打开后 仍可以使用 查找 功能找到特 定记录 查找下一个 - 查找定义的搜索条件的下一个匹配项 查找上一个 - 查找上一个匹配项 滚动日志 - 使此选项保持启用状态以自动滚动旧日志 并在日志文件窗口中查看活动日志 44

45 33 扫描 手动扫描程序是 ESET Mail Security 的一个重要组成部分 它用于执行对计算机上的文件和文件夹的扫描 为了 确保网络的安全 计算机扫描不应仅在怀疑有感染时运行 而是应作为日常安全手段的一部分定期运行 这一 点非常重要 我们建议您定期 例如 一个月一次 执行系统的全面扫描 以检测文件系统实时防护未检测到的 病毒 如果文件系统实时防护处于禁用状态时引入了威胁 病毒库未更新 或者在文件首次保存到磁盘时未检 测文件 则可能会发生这种情况 有两种类型的计算机扫描可用 智能扫描快速扫描系统 无需进一步配置扫描参数 自定义扫描允许您选择任 意预定义的扫描配置文件并定义特定的扫描目标 有关扫描进程的更多信息 请参阅扫描进程 数据库扫描 允许您运行手动数据库扫描 您可以选择公共 文件夹 邮件服务器和 邮箱以进行扫描 此 外 您可以使用计划任务在特定时间或基于某个事件运行数据库扫描 如果运行的是 Microsoft Exchange Server 或 2016 可以在邮箱数据库防护和手动数据库扫描 之间进行选择 同一时间只能使用其中一种防护类型 如果决定使用 手动数据库扫描 需要在服务器下 的 高级设置 中禁用 邮箱数据库防护 集成 否则 手动数据库扫描将不可用 存储扫描 扫描本地服务器上的所有共享文件 如果存储扫描不可用 则表示您的服务器上不存在任何共 享文件夹 Hyper-V 扫描 如果 Hyper-V 管理器安装在运行 ESET Mail Security 的服务器上 此选项将仅在菜单中可见 Hyper-V 扫描允许扫描 Microsoft Hyper-V Server 上的虚拟机 (VM) 磁盘 而无需在特定虚拟机上安装任何 服 务器代理 有关详细信息 包括支持的主机操作系统和限制 请参阅 Hyper-V 扫描 45

46 智能扫描 - 允许您快速启动计算机扫描和清除被感染文件 而无需用户干预 智能扫描的优势是便于操作 不需要详细的扫描配置 智能扫描检查本地驱动器上的所有文件 并自动清除或删除检测到的威胁 清除级 别自动设置为默认值 有关清除类型的更多详细信息 请参阅清除 我们建议您每月至少运行一次计算机扫描 在工具 > 计划任务中 可以将扫描配置为计划任务 自定义扫描 如果您要指定扫描参数 如扫描目标和扫描方法等 自定义扫描是一个理想的解决方案 自 定义扫描的优点在于可以详细配置参数 配置可以保存到用户定义的扫描配置文件中 这在使用相同的参 数重复扫描时非常有用 示例 要选择扫描目标 请选择 计算机扫描 > 自定义扫描 然后从扫描目标下拉菜单中选择某个选项 或从树结 构中选择特定目标 也可以通过输入要包括的文件或文件夹路径 指定扫描目标 如果您仅想扫描系统而不 进行额外的清除操作 则选择扫描但不清除 执行扫描时 可以通过依次单击扫描 > 自定义扫描 > 设置 > ThreatSense 参数 > 清除 从三个清除级别中进行选择 仅建议具有病毒防护程序使用经验的高级用户使用自定义扫描来执行计算机扫描 可移动磁盘扫描 与智能扫描类似 快速启动对已连接到计算机的可移动磁盘 例如 CD/DVD/USB 的扫 描 这在您将 USB 闪存盘连接到计算机并想要扫描其内容是否存在恶意软件和其他潜在威胁时可能很有 用 此类型的扫描还可以通过以下方式启动 单击自定义扫描 从扫描目标下拉菜单中选择可移动磁盘 然后单击扫描 重复上次扫描 使用完全相同的设置重复上次扫描操作 如果存在手动数据库扫描 则 重复上次扫描 不可用 331 H y p e r-v 扫 描 此种类型的扫描允许您扫描 Microsoft Hyper-V Server 即虚拟机 (VM) 的磁盘 无需在 VM 上安装任何服务器代 理 使用 Hyper-V Server 的管理权限安装 ESET Security 最新版本的 Hyper-V 扫描支持在 Hyper-V 中扫描联机或脱机虚拟系统 按托管 Windows Hyper-V 系统和虚拟系 统状态支持的扫描类型如下所示 具有 Hyper-V 功能的虚拟系统 Windows Server Windows Server Windows Server 2012 Windows Server R2 Hyper-V 2012 Hyper-V R2 Hyper-V Hyper-V 联机 VM 不扫描 只读 只读 只读 脱机 VM 只读 清除 只读 清除 只读 清除 只读 清除 硬件要求 服务器在运行虚拟机时不会出现任何性能问题 扫描活动主要使用 CPU 资源 若要联机扫描 VM 需要可用的磁盘空间 磁盘空间必须至少是检查点 屏幕快照和虚拟磁盘所使用的空间的两 倍 特定限制 由于动态磁盘本身的原因 不支持在 RAID 存储 跨区卷和动态磁盘上进行扫描 因此 我们建议尽可能在 VM 中避免使用动态磁盘类型 将始终对当前 VM 执行扫描 不会影响检查点或快照 在群集中的主机上运行的 Hyper-V 当前并不受 ESET Mail Security 支持 Windows Server 2008 R2 上运行的 Hyper-V 主机中的虚拟机只能以只读模式进行扫描 不清除 不论在 ThreatSense 参数中选择了何种清除级别都是如此 46

47 如果 ESET Security 支持扫描虚拟磁盘 MBR 只读扫描是唯一受这些目标对象支持的方法 可以在高级设置 > 病毒防护 > Hyper-V 扫描 > ThreatSense 参数 > 引导区中更改此设置 要扫描的虚拟机处于 脱机 状态 - 已关闭状态 ESET Mail Security 使用 Hyper-V 管理来检测和连接到虚拟磁盘 这样一来 ESET Mail Security 便可以访问虚拟磁 盘的内容 如同访问所有常规驱动器上的数据和文件 要扫描的虚拟机处于 联机 状态 - 正在运行 已暂停 已保存状态 ESET Mail Security 使用 Hyper-V 管理来检测虚拟磁盘 无法实际连接到这些磁盘 因此 ESET Mail Security 创建 虚拟机的检查点 快照 然后连接到该检查点 快照 扫描完成后 将删除该检查点 快照 这意味着可以执行只 读扫描 因为运行中的虚拟机不会受扫描活动影响 允许 ESET Security 在扫描期间创建快照或检查点的所用时间不超过 1 分钟 当在大量虚拟机上运行 Hyper-V 扫 描时 应考虑此因素 命名约定 Hyper-V 扫描模块使用以下命名约定 VirtualMachineName\DiskX\VolumeY 其中 X 是磁盘数 Y 是卷数 例如 Computer\Disk0\Volume1 添加的数字后缀基于检测的顺序 并且与 VM 的磁盘管理器中显示的顺序相同 此命名约定用于要扫描的目标的树状列表 进度条以及日志文件 执行扫描 可以通过 3 种方式执行扫描 手动 - 单击 Hyper-V 扫描 查看可用于扫描的虚拟机和卷的列表 选择要扫描的虚拟机 磁盘或卷 然后单击扫描 通过计划程序 通过 ESET Remote Administrator 作为客户端任务 称为服务器扫描 可以同时执行多个 Hyper-V 扫描 扫描完成后 您会收到一条带有指向日志文件的链接的通知 可能的问题 执行联机虚拟机的扫描时 必须创建特定虚拟机的检查点 快照并且在创建检查点/快照期间 可能会限制或 禁用虚拟机的某些常规操作 如果正在扫描脱机虚拟机 在扫描完成之前将无法启动该虚拟机 Hyper-V 管理器允许您用完全相同的名称命名两个不同的虚拟机 但是这会在查看扫描日志并尝试区分计算 机时产生问题 34 邮件隔离 邮件隔离管理器可用于所有三种隔离类型 本地隔离 隔离邮箱 MS Exchange 隔离区 47

48 如果您的邮件隔离管理器灰显 这由以下原因造成 您运行的 Microsoft Exchange Server 2003 和 2003 R2 或 SBS 2003 和 SBS 2003 R2 不支持此功能 或者未提供 EWS Exchange Web 服务 这不适用于本地隔离 无论是 否提供 EWS 本地隔离在所有 Exchange Server 上都能够正常工作 注释 邮件隔离 Web 界面是对邮件隔离管理器的替代 允许您管理隔离的电子邮件对象 过滤 选择范围 日期自和日期至)以过滤隔离的电子邮件 过滤器 - 在文本框中输入字符串以过滤显示的电子邮件 将搜索所有列 重要信息 邮件隔离管理器数据不会自动更新 我们建议您定期单击刷新 查看邮件隔离区中的最新项目 操作 发布 - 使用重播目录将电子邮件发布到初始收件人并将其从隔离区中删除 单击是以确认操作 注释 从隔离区发布电子邮件时 ESET Mail Security 会忽略 To: MIME 标头 因为它非常容易遭到欺骗 它改为使用 来自 SMTP 连接期间获取的 RCPT TO: 命令中的原始收件人信息 这可确保正确的电子邮件收件人能够收到从 隔离区中发布的邮件 删除 - 从隔离区中删除项目 单击是以确认操作 隔离邮件详细信息 - 双击隔离的邮件或右键单击并选择详细信息 将弹出一个带有关于隔离的电子邮件 的详细信息窗口 在 RFC 电子邮件标题中您也可以找到关于该电子邮件的一些其他信息 48

49 您也可以通过上下文菜单来执行此操作 如果需要 请单击发布 删除或永久删除 对已隔离的电子邮件执行 操作 单击是以确认操作 相对于删除会从邮件隔离管理器视图中删除项目 选择永久删除还可以将邮件从文 件系统中删除 341 已 隔 离 邮 件 详 细 信 息 该窗口包含关于类似类型 原因 主题 发件人 SMTP 收件人 收件人 抄送 日期 附件和标题的隔离电子 邮件的信息 如果需要 您可以选择 复制和粘贴标题 您可以使用按钮对隔离的电子邮件采取操作 发布 - 使用重播目录将电子邮件发布到初始收件人并将其从隔离区中删除 单击是以确认操作 删除 - 从隔离区中删除项目 单击是以确认操作 单击删除按钮将关闭隔离的电子邮件详细信息窗口 49

50 35 更新 定期更新 ESET Mail Security 是保持计算机的最高安全级别的最佳方法 更新模块通过两种方式确保程序始终处 于最新状态 即更新病毒库和更新系统组件 在主程序窗口中单击 更新 即可查看您的系统的当前更新状态 包括上一次成功更新的日期和时间 主窗口 还包含病毒库版本 更新版本号是一个活动链接 指向给定更新中添加的病毒库的相关信息 单击立即更新以检查更新 更新病毒库和更新程序组件是维持全面防范恶意代码的重要组成部分 上次成功更新 - 最近一次更新的日期 确保是最近的日期 表明病毒库是最新的 病毒库版本 - 病毒库编号 它也是指向 ESET 网站的活跃链接 单击可以查看在给定更新中添加的所有病毒库的 列表 更新过程 单击立即更新后 将开始下载过程并显示更新进度 要中断更新 请单击取消更新 重要信息 一般情况下 如果更新可正常下载 消息不需要更新 病毒库是最新的将显示在更新窗口中 如果不是这 样 则表示程序不是最新的 且更容易被感染 请尽快更新病毒库 否则 会显示下列消息之一 病毒库已过期 - 此错误将在几次尝试更新病毒库失败之后显示 建议您检查更新设置 此错误的最常见原 因是错误地输入了验证数据或错误地配置了连接设置 以前的通知与下列两条有关不成功更新的病毒库更新失败消息相关 无效的许可证 - 更新设置中输入了错误的许可证密钥 建议您检查验证数据 高级设置窗口 按下键盘上 的 F5 中包含其他更新选项 从主菜单中单击帮助和支持 > 管理许可证以输入新的许可证密钥 50

51 下载更新文件时出错 - 此错误可能由 Internet 连接设置导致 建议您在 Web 浏览器中打开任意网站 检查 Internet 连接 如果网站打不开 很可能未建立 Internet 连接 或者计算机存在连接问题 请与 Internet 服务 提供商 (ISP) 联系以确定您是否有活动的 Internet 连接 有关详细信息 请访问此知识库文章 351 设 置 病 毒 库 更 新 更新病毒库和程序组件是全面防范恶意代码的重要组成部分 请其配置和操作 从主菜单中 转到更新 然后单击立即更新 检查是否有更新的病毒库 51

52 您可以从高级设置窗口 按键盘上的 F5 键 配置更新设置 若要配置高级更新选项 如更新模式 代理服务器访 问 局域网连接和病毒库副本设置 镜像 请依次单击更新 > 配置文件 如果更新出现了问题 请单击清除以 清除临时更新缓存 52

53 默认情况下 更新服务器菜单设置为自动选择 自动选择意味着将自动选中更新服务器 病毒库下载的来 源 建议您保持选中默认的选项 如果您不希望屏幕右下角的系统托盘通知出现 请选择禁用显示关于成功 更新的通知 自动更新程序对获得最佳功能非常重要 只有在帮助和支持 > 激活许可证中输入了正确的许可证密钥时才可 以执行此操作 如果您在安装后没有激活产品 您可以随时激活产品 有关激活的详细信息 请参阅如何激活 ESET Mail Security 并将您随 ESET 安全产品收到的许可证数据输入到许可证详细信息窗口中 53

54 352 配 置 代 理 服 务 器 进 行 更 新 如果在已安装 ESET Mail Security 的系统上将代理服务器用于 Internet 连接 则必须在高级设置中配置代理设 置 若要访问代理服务器配置窗口 请按 F5 打开高级设置窗口 然后依次单击更新 > 配置文件 > HTTP 代理 从代理模式下拉菜单中选择通过代理服务器连接 并填写您的代理服务器详细信息:代理服务器(IP 地址) 端 口号 用户名和密码(如果适用) 如果您不确定代理服务器的详细信息 可以从下拉列表中选择使用全局代理服务器设置 以自动检测代理设 置 对于不同的更新配置文件 代理服务器选项可能也有所不同 如果是这种情况 请在高级设置 中 通过依次 单击以下各项来配置不同的更新配置文件 更新 > 配置文件 如果代理不可用 请使用直接连接 - 如果产品配置为利用 HTTP 代理 但该代理不可访问 该产品将绕过代 理 直接与 ESET 服务器通信 54

55 36 设置 设置菜单包含以下部分 服务器 计算机 工具 要暂时禁用单个模块 请单击要禁用的模块旁边的绿色开关 这可能会降低对您的计算机的保护级 别 要重新启用已禁用的安全组件的防护 请单击红色开关 以使组件返回其启用状态 若要访问特定安全组件的详细设置 请单击齿轮图标 单击高级设置或按 F5 以配置高级设置 在设置窗口的底部还有其他选项 若要使用 xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 请使用导入 导出设置 有关更多详细信息 请参阅导入 导出设置 55

56 361 服 务 器 您将看到可使用开关 启用 禁用的组件列表 若要配置特定项的设置 请单击齿轮 病毒防护 - 通过控制文件 电子邮件和 Internet 通信防范恶意系统攻击 反垃圾邮件防护 - 集成了多种技术 RBL DNSBL 指纹验证 信誉检查 内容分析 规则 手动白名单 黑名单 等 来最大程度地检测电子邮件威胁 自动排除功能可识别重要的服务器应用程序和服务器操作系统文件 并自动将它们添加到排除列表 此功能 可将潜在冲突的风险降至最低 并在运行病毒防护软件时提高服务器的整体性能 若要设置 ESET 群集 请单击群集向导 有关如何使用向导设置 ESET 群集的详细信息 请单击此处 如果要设置更多详细选项 请单击高级设置或按 F5 在设置窗口的底部还有其他选项 若要使用 xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 请使用导入 导出设置 有关详细信息 请参阅导入 导出设置 362 计 算 机 ESET Mail Security 具有用于确保将服务器作为计算机进行重点保护的所有必需组件 每个组件都提供特定类型 的防护 例如 病毒和间谍软件防护 文件系统实时防护 Web 访问保护 电子邮件客户端防护 网络钓鱼防护 等 计算机部分可以在设置 > 计算机下找到 您将看到可启用 禁用 使用开关 项的设置 请单击齿轮图标 的组件的列表 若要配置特定 对于文件系统实时防护 还可选择编辑排除 这将打开排除设置窗口 您可以从中排除不扫描的文件和文件 夹 暂停病毒和间谍软件防护 - 在您临时禁用病毒和间谍软件防护时 可以使用下拉菜单选择您希望禁用所选组 56

57 件的时间段 然后单击应用以禁用该安全组件 要重新启用防护 请单击启用病毒和间谍软件防护 计算机模块允许您启用 禁用并配置以下组件 文件系统实时防护 - 在计算机上打开 创建或运行任何文件时 都将扫描该文件是否带有恶意代码 文档防护 - 文档防护功能会在打开 Microsoft Office 文档之前对其进行扫描 还会扫描通过 Internet Explorer 自动下载的文件 如 Microsoft ActiveX 元素 默认情况下 文档防护处于禁用状态 如果需要 您可以通过单击开关图标轻松地启用它 设备控制 - 此模块允许您扫描 阻止或调整扩展的过滤器 权限 并定义用户是否能够访问和使用给定设备 HIPS - HIPS 系统监视操作系统内发生的事件 并按照自定义的规则集进行响应 演示模式 - 为那些需要不中断其使用软件 不希望被弹出窗口打扰 并希望尽量减少 CPU 使用的用户提供的 功能 启用演示模式后您将收到警告消息 潜在安全风险 主程序窗口将变为橙色 反隐藏防护 - 提供对可在操作系统下隐藏自己的危险程序的检测 例如 Rootkit 这意味着使用普通测试技术 很难检测到它们 Web 访问保护 - 如果启用 将扫描所有 HTTP 或 HTTPS 通信以查看是否有恶意软件 电子邮件客户端防护 - 监视通过 POP3 和 IMAP 协议接收的通信 网络钓鱼防护 - 防止冒充合法网站的非法网站尝试获取密码 银行数据和其他敏感信息 从而为您提供保 护 在设置窗口的底部还有其他选项 若要使用 xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 请使用导入 导出设置 有关详细信息 请参阅导入 导出设置 如果要设置更多详细选项 请单击高级设置或按 F5 57

58 363 工 具 诊断日志记录 - 当您单击开关以启用诊断日志记录时 可以选择启用该功能的时间 10 分钟 30 分钟 1 小时 4 小时 24 小时 直到下一次服务器重启或永久 单击齿轮图标 启用时 58 后 将打开高级设置窗口 可在此窗口中配置哪些组件可编写诊断日志 在诊断日志记录已

59 在选定时段内启用诊断日志记录 364 导 入 和 导 出 设 置 依次单击设置 > 导入 导出设置 访问您的 ESET Mail Security 的导入 导出设置 导入和导出都使用 xml 文件类型 如果您需要备份 ESET Mail Security 的当前配置 导入和导出十分有用 以后可 将其用于对其他计算机应用相同的设置 如果您没有权限将导出的文件写入到指定目录 则在导出设置时可能会遇到错误 59

60 37 工具 工具 菜单包含的模块可帮助简化程序管理并提供附加选项 它包含以下工具 运行进程 查看活动 ESET Shell 防护统计 集群 ESET SysInspector ESET SysRescue Live 计划任务 提交样本以供分析 隔离区 60

61 371 运 行 进 程 运行进程显示计算机上运行的程序或进程 并保持 ESET 立刻持续获知新入侵 ESET Mail Security 提供有关运行 的进程的详细信息 以通过启用 ESET LiveGrid 技术来保护用户 风险级别 - 在大多数情况下 ESET Mail Security 和 ESET LiveGrid 技术使用一系列启发式规则检查每个对象的特 性 然后评估恶意活动的可能性 将风险级别指定给对象 文件 过程 注册表项等 基于这些启发式扫描 会 向对象指定风险级别 级别从 1 - 良好 绿色 到 9 - 危险 红色 进程 - 当前在计算机上运行的程序或进程的映像名称 要查看计算机上运行的所有进程 还可以使用 Windows 任务管理器 可以通过右键单击任务栏中的空白区域 然后单击任务管理器 或者通过按下键盘上的 Ctrl+Shift +Esc 来打开任务管理器 PID - 是在 Windows 操作系统中运行的进程的 ID 标记为良好 绿色 的已知应用程序肯定干净 白名单 并将排除扫描 因为这样将改善手动计算机扫描的扫 描速度或计算机上的文件系统实时防护 用户数量 - 使用给定应用程序的用户数量 此信息由 ESET LiveGrid 技术收集 发现时间 - 自从应用程序被 ESET LiveGrid 技术发现以来的时段 当应用程序被标记为 未知 橙色 时 它不一定就是恶意软件 通常它是一个较新的应用程序 如果您对文 件不确定 请使用提交样本以供分析功能将该文件发送到 ESET 病毒实验室 如果证实文件是一个恶意应用 程序 则以后的某个病毒库更新中将增加对它的检测 应用程序名称 - 此进程所属程序的给定名称 61

62 通过单击底部的给定应用程序 以下信息将显示在窗口底部 路径 - 计算机上应用程序的位置 大小 - 以 kb 千字节 或 MB 兆字节 为单位的文件大小 说明 - 基于操作系统说明的文件特性 公司 - 供应商或应用程序进程的名称 版本 - 来自应用程序发布者的信息 产品 - 应用程序名称和 或企业名称 创建日期 - 创建应用程序的日期和时间 修改日期 - 最后一次修改应用程序的日期和时间 还可以对不充当运行程序 进程的文件检查信誉 - 标记要检查的文件 右键单击它们 然后从右键菜单中依次 选择高级选项 > 使用 ESET LiveGrid 检查文件信誉 372 查 看 活 动 若要以图表形式查看当前文件系统活动和邮件服务器活动 请单击工具 > 查看活动 图表的底部是时间线 用于实时记录选定时间范围内的文件系统活动 使用刷新率下拉菜单更改更新频率 62

63 有以下选项可供使用 1 秒 - 图表每秒刷新一次 时间线范围为最后 10 分钟 1 分钟(最后 24 小时) - 图表每分钟刷新一次 时间线范围为最后 24 小时 1 小时(最后一个月) - 图表每小时刷新一次 时间线范围为最后一个月 1 小时(选定月份) - 图表每小时刷新一次 时间线范围为选定的月份 单击更改月份按钮进行其他选择 文件系统活动图表的纵轴表示读取的数据量 蓝色 和写入的数据量 红色 这两个值均以 KB 千字节 MB/ GB 为单位 如果将鼠标移到图表下方图例中的读取数据或写入数据的上方 图表将仅显示该活动类型的数据 3721 时 段 选 择 选择要在图表中查看的文件系统活动 或邮件服务器活动 的月份 和年份 373 防 护 统 计 若要在 ESET Mail Security 中查看有关防护模块的统计数据图表 请依次单击工具 > 防护统计 从下拉菜单中选 择所需的保护模块以查看相应的图表和图例 将鼠标移至图例中的某个项目 以在图表中显示该项目的数据 以下统计图表可供使用 病毒和间谍软件防护 - 显示被感染对象和已清除对象的总数 文件系统防护 - 仅显示已读取或写入文件系统的对象 电子邮件客户端防护 - 仅显示电子邮件客户端发送或接收的对象 63

64 邮件服务器防护 - 显示病毒和间谍软件防护邮件服务器统计信息 Web 访问和网络钓鱼防护 - 仅显示 Web 浏览器下载的对象 邮件服务器反垃圾邮件防护 - 显示反垃圾邮件统计信息的历史记录 未扫描数指的是从扫描中已排除的对 象 基于规则 内部邮件 已验证连接等 邮件服务器灰名单防护 - 包括使用灰名单方法生成的反垃圾邮件统计信息 邮件传输防护活动 - 显示邮件服务器验证 阻止 删除的对象 邮件传输防护性能 - 显示由 VSAPI/传输代理处理的数据 (B/s) 邮箱数据库防护活动 - 显示 VSAPI 处理的对象 验证 隔离和删除的对象数 邮箱数据库防护性能 - 显示 VSAPI 处理的数据 今天 过去 7 天的不同平均数和自从上次重置的平均数 在统计图表旁边 您可以看到所有已扫描对象数 被感染对象数 已清除对象数和干净对象数 单击重置以清 除统计信息 或单击全部重置以清除并删除所有现有数据 374 集 群 ESET 群集 是 Microsoft Windows Server 的 ESET 产品线的 P2P 通信基础架构 此基础架构使 ESET 服务器产品能够相互通信和交换数据 例如配置和通知 还可以同步灰名单数据库 以及同 步正确操作产品实例组所需的数据 此组的一个示例是安装了 ESET 产品的 Windows 故障转移群集或网络负载 平衡 (NLB) 群集中的一个节点组 在该群集中需要使整个群集上的产品配置都一致 ESET 群集可确保实例之间 的一致性 用户界面设置在 ESET 群集节点之间不会同步 正确配置后 ESET 群集状态页可从工具 > 群集的主菜单访问 且该状态页应如下所示 若要设置 ESET 群集 请单击群集向导 有关如何使用向导设置 ESET 群集的详细信息 请单击此处 设置 ESET 群集时 有两种添加节点的方式 使用现有的 Windows 故障转移群集 NLB 群集自动添加或通过浏览 64

65 工作组或域中的计算机手动添加 自动检测 - 自动检测已经是 Windows 故障转移群集 NLB 群集成员的节点并将其添加到 ESET 群集 浏览 - 您可以通过键入服务器名称 同一工作组的成员或同一域的成员 手动添加节点 若要使用 ESET 群集功能 服务器不一定要是Windows 故障转移群集 NLB 群集的成员 若要使用 ESET 群集 环境中并不需要 Windows 故障转移群集或 NLB 群集 将节点添加到 ESET 群集后 下一步是在每个节点上安装 ESET Mail Security 此操作已在 ESET 群集设置期间自动 完成 在其他群集节点上远程安装 ESET Mail Security 所需的凭据 域方案 - 域管理员凭据 工作组方案 - 您需要确保所有节点使用相同的本地管理员帐户凭据 在 ESET 群集中 您还可以使用自动添加为现有 Windows 故障转移群集 NLB 群集成员的节点以及手动添加的节 点 前提是它们位于相同的域中 的组合 无法合并域节点和工作组节点 使用 ESET 群集的另一项要求是 必须先在 Windows 防火墙中启用文件和打印机共享 然后才能在 ESET 群集节 点上使用 ESET Mail Security 解决方案 单击销毁群集可清除 ESET 群集 每个节点都会在它们的事件日志中写入一条关于 ESET 群集销毁的记录 之 后 所有 ESET 防火墙规则都将从 Windows 防火墙中删除 之前的节点将恢复为其以前的状态并且可再次用于 其他 ESET 群集 如有必要 在 ESET Mail Security 和 ESET File Security for Linux 之间创建 ESET 群集不受支持 可以随时将新的节点添加到现有的 ESET 群集 方法是采用上面以及此处所述的方式运行群集向导 65

66 3741 群 集 向 导 第 1 页 设置 ESET 群集的第一步是添加节点 您可以使用自动检测选项或浏览来添加节点 或者 您可以在文本框中键 入服务器名称 然后单击添加 自动检测可从现有 Windows 故障转移群集 网络负载平衡 (NLB) 群集中自动添加节点 若要自动添加节点 您 用来创建 ESET 群集的服务器需是此 Windows 故障转移群集 NLB 群集的成员 NLB 群集必须在群集属性中启用 允许远程控制功能 以便 ESET 群集能够正确检测到节点 在获取新添加的节点列表后 可以删除不需要的节 点 单击浏览来查找并选择域或工作组中的计算机 此方法允许手动将节点添加到 ESET 群集 另一种添加节点的方 式是通过键入您想要添加的服务器的主机名 然后单击添加 若要修改列表中的群集节点 选择您想要删除的节点并单击删除 或单击全部删除以完全清除列表 如果您现在已有 ESET 群集 则可以随时向其添加新节点 这些步骤与上面所述的步骤相同 列表中保留的所有节点都必须联机且可读 默认情况下 本地主机将添加到群集节点中 66

67 3742 群 集 向 导 第 2 页 定义群集名称 证书分发模式以及是否在其他节点上安装产品 群集名称 - 键入您的群集名称 侦听端口 - 默认端口为 9777 在 Windows 防火墙中打开端口 - 如果选择的规则已在 Windows 防火墙中创建 证书分发 自动远程 - 证书将自动安装 手动 - 在您单击生成时 浏览窗口将打开 选择要在其中存储证书的文件夹 将创建一个根证书 并且将为每个 节点 包括您用于设置 ESET 群集的节点 本地计算机 创建一个证书 然后 通过单击是选择将证书注册到本 地计算机 稍后 您将需要手动导入证书 如此处所述 产品安装到其他节点 自动远程 - ESET Mail Security 将在每个节点上自动安装 前提是它们的操作系统都采用相同的架构 手动 - 如果您想要手动安装 ESET Mail Security 例如 当您在某些节点上拥有不同的操作系统架构时 则选择 此选项 在未激活产品的情况下将许可证推送到节点 - 选择此选项 使 ESET Security 不使用许可证也可自动激活安装 在节点上的 ESET 解决方案 如果您想要使用混合操作系统架构 32 位和 64 位 创建 ESET 群集 则需要手动安装 ESET Mail Security 后续 步骤将检测所使用的操作系统 您将在日志窗口中看到此信息 67

68 3743 群 集 向 导 第 3 页 指定安装详细信息后 节点检查将运行 以下信息将显示在节点检查日志中 68 验证所有现有节点均处于联机状态 验证新节点可供访问 节点处于联机状态 管理员共享可供访问 可以进行远程执行 已安装正确的产品版本 或者没有产品 验证是否存在新的证书

69 完成节点检查后 您即可看到报告 69

70 3744 群 集 向 导 第 4 页 在 ESET 集群初始化期间安装到远程计算机上时 该向导将尝试在 %ProgramData\ESET\<Product_name>\Installer 目录中查找安装程序 如果在该处找不到安装程序包 系统将要求您指示安装程序文件的位置 尝试将自动远程安装用于具有不同架构 32 位与 64 位 的节点时 会检测到该情况 然后提示您执行手动安 装 70

71 如果某些节点上安装了较旧版本的 ESET Mail Security 系统将告知您需要在这些计算机上安装最新版本 更 新 ESET Mail Security 可能会导致自动重新启动 71

72 正确配置 ESET 群集后 它将在设置 > 服务器页中显示为已启动 72

73 此外 还可以从群集状态页 工具 > 群集 中检查其当前状态 导入证书 - 导航到包含证书 在使用群集向导期间生成 的文件夹 选择证书文件并单击打开 375 E S E T S he ll eshell ESET Shell 的简称 是 ESET Mail Security 的命令行界面 它是图形用户界面 (GUI) 的替代 eshell 包含 GUI 通常提供给您的所有功能和选项 eshell 允许您配置和管理整个程序 而无需使用 GUI 除了在 GUI 中提供的所有功能和特性 它还通过运行脚本来配置 修改配置或执行操作来提供实现自动化的可 能性 此外 eshell 对于喜欢使用命令行而非 GUI 的用户可能比较有用 eshell 的运行模式有两种 交互模式 当您想要使用 eshell 不仅仅执行单个命令 执行更改配置 查看日志等任务时 它会很有用 即使 您还不熟悉所有命令 也可以使用交互模式 在 eshell 中导航时 交互模式可以使之更容易 它还显示可以在 特定上下文中使用的命令 单个命令 批处理模式 如果您仅需要执行单个命令 则可以使用该模式 而无需进入 eshell 的交互模式 若 要执行此操作 可以在 Windows 命令提示下 键入 eshell 以及相应参数 例如 eshell get status 或 eshell set antivirus status disabled 为了在批处理 脚本模式下运行某些命令 例如上述第二个示例 您需要首先配置几个设置 否则 您会收到访 问被拒绝消息 这是出于安全考虑 要获取完整功能 我们建议您使用以管理员身份运行来打开 eshell 通过 Windows 命令提示 (cmd) 运行单 个命令时也可使用此方法 使用以管理员身份运行打开提示 无法以管理员身份运行命令提示将因为缺少 权限而阻止您运行命令 73

74 若要允许在 Windows 命令提示符下使用 eshell 命令 需要更改设置 有关运行批处理文件的进一步信息 请 单击此处 进入 eshell 中的交互模式有两种方法 通过 Windows 开始 菜单 开始 > 所有程序 > ESET >ESET Mail Security > ESET Shell 在 Windows 命令提示下 键入 eshell 并按 Enter 键 重要信息 如果您收到一条错误 'eshell' is not recognized as an internal or external command 这是由于在安装 ESET Mail Security 后系统无法加载新环境变量 打开新的命令提示 然后重新尝试启动 eshell 如果您仍然收 到错误或拥有 ESET Mail Security 的核心安装 请使用绝对路径启动 eshell 例如 "%PROGRAMFILES%\ESET\ESET Mail Security\eShellexe" 必须使用 才能运行命令 当您第一次在交互模式下运行 eshell 时 将显示首次运行 指南 屏幕 如果想要在将来首先显示运行屏幕 则键入guide 命令 它介绍了如何将 eshell 与语法 前缀 命令路径 缩 写格式 别名等一起使用的一些基本示例 下次运行 eshell 时 您将看到此屏幕 命令不区分大小写 无论使用大写还是小写字母 都将执行该命令 自定义 eshell 您可以自定义 eshell 在 ui 等 74 eshell 上下文中 您可以配置别名 颜色 语言 脚本的执行策略 隐藏命令的设置

75 3751 用 法 语法 用正确的语法编写命令格式 命令才有效 命令可以由前缀 上下文 自变量和选项等组成 这是 eshell 中常用 的语法 [<前缀>] [<命令路径>] <命令> [<自变量>] 示例 这将激活文档防护 SET ANTIVIRUS DOCUMENT STATUS ENABLED SET - 前缀 - 特定命令的路径 此命令所属的上下文 - 命令本身 ENABLED - 命令的自变量 ANTIVIRUS DOCUMENT STATUS 使用? 作为命令的参数将显示该特定命令的语法 例如 STATUS? 将向您显示 STATUS 命令的语法 语法 [get] status set status enabled disabled 您可能到[get] 使用了方括号 它表示前缀get 是 status 命令的默认前缀 这意味着当您执行status 而不指 定任何前缀时 实际将使用默认前缀 在此情况下 为 get status 使用无前缀的命令可在键入时节省时间 通 常 get 是大多数命令的默认前缀 但您需要清楚特定命令的默认前缀是什么 而且它确实是您想执行的 命令不区分大小写 无论使用大写还是小写字母 命令将同样执行 前缀 操作 前缀表示一种操作 GET 前缀将提供如何配置 ESET Mail Security 的特定功能的信息 或显示状态 例如GET ANTIVIRUS STATUS 将显示当前防护状态 SET 前缀将配置功能或更改其状态 SET ANTIVIRUS STATUS ENABLED 将 激活防护 这些是 eshell 允许您使用的前缀 命令可能支持 也可能不支持其中一些前缀 - 返回当前设置 状态 - 设置值 状态 SELECT - 选择项目 ADD - 添加项目 REMOVE - 删除项目 CLEAR - 删除所有项目 文件 START - 开始操作 STOP - 停止操作 PAUSE - 暂停操作 RESUME - 继续操作 RESTORE - 恢复默认设置 对象 文件 SEND - 发送对象 文件 IMPORT - 从文件导入 EXPORT - 导出到文件 GET SET 类似GET 和 SET 的前缀可用于许多命令 但某些命令 例如EXIT 则不使用前缀 命令路径 上下文 命令被放置在形成树结构的上下文中 树结构的顶层是根目录 当运行 eshell 时 您处于根目录级 eshell> 75

76 您可以从此处执行命令 也可以输入上下文名称在树中导航 例如 当您输入TOOLS 上下文时 将列出所有命令 和此处可用的子上下文 黄色项目是可以执行的命令 灰色项目是可以输入的子上下文 子上下文包含更多命令 如果需要返回到上一级 则使用 两个点 例如 假设您在此位置 eshell antivirus startup> 键入 以向上一级 达到 eshell antivirus> 如果想要从eShell antivirus startup> 比根目录低两级 返回到根目录 只要键入 两个点和由空格隔开 的另外两个点 即可 这样 您将向上两级 在此情况下为根目录 使用反斜杠\ 从任意层级直接返回到根 无论 您处在上下文树结构中的哪一个层级 如果您想要访问较高级别的特定上下文 只需使用相应数目的 命令即 可访问所需层级 使用空格作为分隔符 例如 如果您想要访问三个更高级别 则使用 路径相对于当前上下文 如果命令包含在当前上下文中 则不输入路径 例如 要执行GET 则输入 - 如果在根上下文中 命令行显示 eshell>) - 如果在上下文ANTIVIRUS 中 命令行显示eShell antivirus>) STATUS - 如果在上下文ANTIVIRUS STARTUP 命令行将显示eShell antivirus ANTIVIRUS STATUS GET ANTIVIRUS STATUS GET STATUS GET startup> ) 您可以使用一个 点 而不是两个 因为一个点是两个点的缩写 例如 GET STATUS - 如果在上下文ANTIVIRUS STARTUP 命令行将显示eShell 自变量 自变量是为特定命令执行的操作 例如 命令CLEAN-LEVEL 位于ANTIVIRUS 一起使用 antivirus startup> ) REALTIME ENGINE 中 可以与以下参数 - 不清除 - 正常清除 strict - 严格清除 no normal 另一个例子是自变量ENABLED 或DISABLED 它们用于启用或禁用特定特性或功能 缩写格式 简写命令 eshell 允许您简写上下文 命令和自变量 如果自变量是开关或备用选项 如果前缀或自变量是类似数字 名称 或路径的具体值 则无法简写 76

77 您可以使用一个1 和0 而非enabled 和disabled 参数 例如 set status enabled set status disabled => => set stat 1 => set stat en set stat 0 简写格式示例 set status enabled add antivirus common scanner-excludes C:\path\fileext => add ant com scann C:\path\fileext 如果有两个命令或上下文以相同字母开始 例如ABOUT 和ANTIVIRUS 而且输入A 作为简写的命令 eshell 将不能 决定您想运行这两个命令中的哪一个 它将显示错误消息 并列出以 A 开头的命令供您选择 eshell>a 以下命令不是唯一的 a 以下命令在此上下文中可用 ABOUT - 显示有关程序的信息 ANTIVIRUS - 对上下文病毒防护进行的更改 通过添加一个或多个字母 例如AB 而不仅仅是A) eshell 将执行ABOUT 命令 因为它现在是唯一的 当您想要确保命令以需要的方式执行时 我们建议不要缩写命令 自变量等 而是使用完整格式 这样可以 按您的需要精确执行 防止出现不希望发生的错误 对于批处理文件 脚本尤其是这样 自动完成 eshell 20 eshell 中引入的此新功能与 Windows 命令提示中的自动完成非常相似 只不过 Windows 命令提示完 成文件路径 而 eshell 完成命令 上下文和操作名称 不支持参数完成 只需在键入命令时按 Tab 即可填充或 循环浏览可用变体 按 Shift + Tab 可循环后退 不支持混合缩写形式和自动完成 使用两者中的一种 例如 当 您键入antivir real scan 点击 Tab 将不起任何作用 应改为键入antivir 然后点击 Tab 以填充antivirus 继续 键入 real 同时点击 Tab 并键入 scan 同时点击 Tab 随后 可以通过所有可用变体进行循环 scan-create scanexecute scan-open 等等 别名 别名是可以用来执行命令的备用名称 假设已为命令指定了别名 下面是一些默认别名 - 退出 - 退出 (global) bye - 退出 warnlog - 工具日志事件 virlog - 工具日志检测 (global) close (global) quit antivirus on-demand log - 工具日志扫描 (global) 表示命令可以用在任何地方 而不管当前的上下文如何 一个命令可以指定多个别名 例如命令EXIT 具有别名CLOSE, QUIT 和BYE 当您想要退出 eshell 时 可以使用EXIT 命令本身或其任意别名 别名VIRLOG 是命令 DETECTIONS 的别名 该命令位于TOOLS LOG 上下文中 这样 检测命令在ROOT 上下文中将可用 从而更便于访问 您不必输入TOOLS 然后再输入LOG 上下文 而是从ROOT) eshell 允许您定义自己的别名 命令ALIAS 可在以下位置找到 UI ESHELL 上下文 密码保护设置 ESET Mail Security 设置可由密码保护 您可以设置使用 GUI 的密码或 eshell 使用set ui access lock-password 然后 您将必须以交互方式为某些命令 例如更改设置或修改数据的命令 输入此密码 如果您计划长期使用 eshell 并且不希望重复输入密码 您可以使用以下命令使 eshell 记住密码 set password 随后即可为每个需 要密码的执行命令自动填写您的密码 只要不退出 eshell 它将一直记住密码 这意味着在以下情况中您需要 再次使用set password 当您启动新会话并希望 eshell 记住您的密码时 指南 帮助 当您运行GUIDE 或HELP 命令时 它将显示 首次运行 屏幕 解释如何使用 eshell 此命令在ROOT 上下文中可用 eshell> ) 77

78 命令历史记录 eshell 保留以前执行的命令的历史记录 这仅应用于当前 eshell 交互会话 一旦退出 eshell 命令历史记录将被 废弃 使用键盘上的 向上 和 向下 箭头键可在历史记录中浏览 一旦找到所寻找的命令 就可以再次执行它或 修改它 而无需从头键入整个命令 CLS/清除屏幕 CLS 命令可用于清除屏幕 它的工作方式与 Windows 命令提示相同 或与命令行界面相似 EXIT / CLOSE / QUIT / BYE 要关闭或退出 eshell 您可以使用以下任意命令 EXIT, CLOSE, QUIT 或BYE) 3752 命 令 本节列出了几个基本 eshell 命令及其说明 命令不区分大小写 无论使用大写还是小写字母 命令将同样执行 示例命令 包含在 ROOT 上下文中 ABOUT 列出有关程序的信息 它显示如下信息 安装的 ESET 安全产品名称及其版本号 操作系统和基本硬件详细信息 用户名 包括域 计算机全名 如果服务器是域成员 则为 FQDN 和席位名称 已安装的 ESET 安全产品组件 包括每个组件的版本号 上下文路径 root PASSWORD 通常 出于安全原因 若要执行受密码保护的命令 将提示您键入密码 它应用于类似禁用病毒防护和可能影响 ESET Mail Security 配置的命令 每次执行这样的命令时 都会提示您输入密码 为了避免每次都输入密码 可以 定义此密码 eshell 将记住该密码 并在执行受密码保护的命令时自动输入它 您的密码仅对于当前 eshell 交互会话起作用 一旦退出 eshell 该定义的密码将被废弃 再次启动 eshell 时 需要重新定义密码 在运行没有签名的批处理文件或脚本时 还可使用定义的密码 运行没有签名的批处理文件时 请确保将 ESET Shell 执行策略设置为完全访问 以下是此类批处理文件的示例 eshell set password plain <yourpassword> "&" set status disabled 上述连接命令定义密码和禁用防护 重要信息 我们建议您随时使用签名的批处理文件 这样 可避免批处理文件中存在纯文本密码 如果使用上述方法 有关详细信息 请参阅批处理文件 脚本 已签名的批处理文件部分 上下文路径 root 语法 [get] restore password set password [plain <password>] 78

79 操作 get - 显示密码 set - 设置或清除密码 restore - 清除密码 自变量 plain - 切换到输入密码作为参数 password - 密码 示例 set password plain <yourpassword> restore password - 设置密码 该密码将用于受密码保护的命令 - 清除密码 示例 get password - 使用此命令可查看密码是否已配置 密码将仅显示为星号 不会列出密码本身 如果看不 到星号 表示还未设置密码 set password plain <yourpassword> restore password - 使用此命令设置定义的密码 - 此命令会清除已定义的密码 STATUS 显示有关 ESET Mail Security 当前保护状态的信息 类似于 GUI 上下文路径 root 语法 [get] restore status set status disabled enabled 操作 get - 显示病毒防护状态 set - 禁用 启用病毒防护 restore - 恢复默认设置 自变量 disabled enabled - 禁用病毒防护 - 启用病毒防护 示例 get status - 显示当前防护状态 set status disabled restore status - 禁用防护 - 恢复对默认设置的防护 已启用 VIRLOG 这是 DETECTIONS 命令的别名 当您需要查看有关检测到的渗透的信息时 它会很有用 WARNLOG 这是 EVENTS 命令的别名 当您需要查看有关各种事件的信息时 它会很有用 79

80 3753 批 处 理 文 件 脚本 您可以将 eshell 用作强大的脚本工具以实现自动化 若要将批处理文件与 eshell 结合使用 请使用 eshell 创建 一个批处理文件并在其中编写命令 例如 eshell get antivirus status 还可以链接命令 有时候这是必要的 例如 如果您想要键入特定的计划任务 输入以下命令 eshell select scheduler task 4 "&" get scheduler action 项目选择 在本例中为 4 号任务 通常仅适用于当前正在运行的 eshell 实例 如果您要依次运行这两个命令 则 第二个命令将会失败 并显示错误 未选择任务或选择的任务已不存在 出于安全原因 默认情况下 执行策略设置为受限脚本 这允许您将 eshell 用作监视工具 但不允许您通过运 行脚本对 ESET Mail Security 进行配置更改 如果您尝试使用会影响安全性的命令 例如禁用防护 执行脚本 会 显示访问被拒绝消息 我们建议您使用已签名的批处理文件 执行对配置进行更改的命令 若要在 Windows 命令提示符下通过手动输入单个命令来更改配置 您必须授予 eshell 完全访问权限 不建议 若要授予完全访问权限 请使用ui eshell shell-execution-policy 在 eshell 本身的交互模式下 也可以通过 高级设置 > 用户界面 > ESET Shell 中的 GUI 完成此操作 已签名的批处理文件 eshell 允许您使用签名保护常用批处理文件 (*bat) 使用与用于设置保护的同一密码对脚本进行签名 为了对 脚本进行签名 您需要先启用设置保护 可以通过 GUI 或者在 eshell 内使用set ui access lock-password 命令 完成此操作 当设置保护密码选择设置后 您可以开始对批处理文件进行签名 若要对批处理文件进行签名 请运行sign <scriptbat> 在 eshell 的根上下文中 其中 scriptbat 是您要进行 签名的脚本的路径 输入并确认将用于进行签名的密码 此密码必须与您的设置保护密码相匹配 签名以注释 的形式置于批处理文件的末尾 如果此脚本已进行过签名 则该签名将替换为新的签名 当您修改之前进行过签名的批处理文件时 必须对该文件进行重新签名 更改设置保护密码后 必须对所有脚本重新签名 否则这些脚本将无法执行以下密码更改 对脚本签名时输 入的密码必须与目标系统上的设置保护密码相匹配 若要在 Windows 命令提示符下或作为计划任务执行已签名的批处理文件 请使用以下命令 eshell run <scriptbat> 其中 scriptbat 是批处理文件的路径 例如 eshell run d:\myeshellscriptbat 376 E S E T S y s Ins p e c to r ESET SysInspector 是一个可彻底检查计算机 收集有关系统组件 例如 已安装的驱动程序和应用程序 网络连 接或重要注册表条目 的详细信息以及评估每个组件风险级别的应用程序 该信息有助于确定可能由于软硬件 不兼容或恶意感染而导致出现可疑系统行为的原因 ESET SysInspector 窗口显示下列有关已创建的日志的信息 时间 - 日志创建时间 - 简短注释 用户 - 创建日志的用户的姓名 状态 - 日志创建的状态 可用操作包括 80 打开 - 打开已创建的日志 还可以右键单击日志 然后从右键菜单中选择显示 比较 - 比较两个现有日志 创建 - 创建新日志 在 ESET SysInspector 日志完成 状态显示为 已创建 之前 请稍候 删除 - 删除列表中选定的日志

81 右键单击一个或多个选定日志后 可从右键菜单中使用以下选项 显示 - 在 ESET SysInspector 中打开选定日志 相当于双击日志 比较 - 比较两个现有日志 创建 - 创建新日志 在 ESET SysInspector 日志完成 状态显示为 已创建 之前 请稍候 删除 - 删除列表中选定的日志 全部删除 - 删除所有日志 导出 - 将日志导出为 xml 文件或压缩的 xml 3761 创 建 计 算 机 状 态 快 照 输入要创建的日志的简短注释 然后单击添加按钮 在 ESET SysInspector 日志完成 状态显示为已创建 之前 请稍候 日志创建可能需要一些时间 具体取决于您的硬件配置和系统数据 377 E S E T S y s R e s c ue Liv e ESET SysRescue Live 是一种实用程序 使您能够创建包含一种 ESET Security 解决方案 ESET NOD32 Antivirus ESET Smart Security 或某些面向服务器的产品 的可引导磁盘 ESET SysRescue Live 的主要优点是 ESET Security 解决方 案独立于主机操作系统运行 并具有直接访问磁盘和文件系统的权限 凭借此功能 您可以删除那些通常无法 删除的渗透 例如在操作系统运行时等 378 计 划 任 务 计划任务可以在主程序窗口的工具部分找到 计划任务 根据已定义的参数管理和启动计划任务 计划任务包含表格形式的所有计划任务列表 表格中会显示任务参数 如任务类型 任务名称 启动时间和上 次运行时间 有关详细信息 请双击某个任务以查看其计划任务概述 安装完成后 会有一组预定义任务 您还 可以通过单击添加任务来新建计划任务 右键单击某个任务时 可以选择要执行的操作 可用操作如下所示 显示任务详细信息 立即运行 添加 编辑 删除 81

82 使用任务旁边的复选框激活 停用任务 若要编辑现有计划任务的配置 请右键单击任务并单击编辑 或者选 择要修改的任务并单击编辑按钮 默认 预定义)计划任务如下所示 日志维护 定期自动更新 拨号连接后自动更新 用户登录后自动更新 默认不激活此任务 自动启动文件检查 用户登录后 自动启动文件检查 成功更新病毒库以后 自动开始首次扫描 3781 计 划 任 务 添 加 任 务 若要在计划任务中创建新任务 请单击添加任务或右键单击并从右键菜单中选择添加 将打开一个帮助您创建 计划任务的向导 请参阅以下分步说明 1 输入任务名称 然后从下拉菜单中选择所需的任务类型 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中仍会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作 效率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件 例如 驱动程序 应用程 序 的详细信息并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 20 分钟后 将作为低优先级任务执行计算机扫描 更新 - 计划一个更新任务以执行病毒库和程序模块的更新 Hyper-V 扫描 - 计划 Hyper-V 内的虚拟磁盘扫描 82

83 数据库扫描 - 允许您计划数据库扫描并选择将扫描的项 这实质上是手动数据库扫描 如果您已启用邮箱数据库防护 仍可以计划该任务 但是它将以一条显示在主 GUI 的扫描部分中的错误消息 而结束 该消息指示数据库扫描 扫描因错误而中断 为了防止这种情况 您需要确保在计划运行数据库扫 描期间邮箱数据库防护处于禁用状态 发送邮件隔离报告 - 计划要通过电子邮件发送的邮件隔离报告 后台扫描 - 让 Exchange Server 可以运行数据库后台扫描 如果需要 2 如果您想要在创建任务后停用它 请单击已启用旁边的开关 您可以通过使用计划任务视图中的复选框来 稍后激活任务 单击下一步 3 选择希望运行计划任务的时间 一次 - 任务将仅在指定日期和时间执行一次 重复 - 任务将以指定的时间间隔执行 以分钟为单位 每天 - 任务将在每天指定时间重复运行 每周 - 任务将在每周所选日期和时间运行一次或多次 由事件触发 - 任务将在发生指定事件后执行 4 如果您想要在系统靠电池 例如 UPS 供电的情况下阻止执行任务 请单击靠电池供电时跳过任务旁边的开 关 单击下一步 5 如果任务无法在计划的时间运行 可以选择运行时间 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用自上次运行时间之后经 过的时间选择器来定义间隔 6 单击下一步 可能需要指定任务详细信息 具体取决于任务类型 操作完成后 单击完成 将在计划任务视 图中显示新的计划任务 379 提 交 样 本 以 供 分 析 使用样本提交对话框可将文件或站点发送到 ESET 以供分析 该对话框可在工具 > 提交样本以供分析中找到 如果您在计算机上发现了行为可疑的文件或在 Internet 上发现了可疑的站点 可将其提交给 ESET 的病毒实验室 以供分析 如果文件被证实是一个恶意应用程序或网站 则以后的更新中将增加对它的检测 此外 也可以通过电子邮件提交文件 若要执行此操作 请使用类似 WinRAR 或 WinZip 的程序压缩文件 使用密 码 infected 保护压缩文件 并将其发送至 samples@esetcom 请记住 邮件主题一定要描述清楚 邮件应包含 尽可能多的有关此文件的信息 比如下载此文件的网站名 向 ESET 提交样本前 确保其满足以下一个或多个标准 未检测到文件或网站 将文件或网站错误检测为威胁 除非需要更多信息供分析 否则您不会接收到回信 从提交样本的理由下拉菜单选择最适合您的邮件的描述 可疑文件 可疑站点 被恶意软件感染的网站 误报文件 检测为感染 但并未感染的文件 误报站点 其他 文件 站点 - 您想要提交的文件或网站的路径 83

84 联系人电子邮件 - 此联系人电子邮件随可疑文件一起发送给 ESET 如果需要更多信息以供分析 可能会使用该 电子邮件与您联系 可选择是否输入联系人电子邮件 除非需要更多信息 否则您不会收到 ESET 的回信 由于 我们的服务器每天都会收到数以万计的文件 因此不可能对所有提交一一回复 3791 可 疑 文 件 观察到的恶意软件感染迹象和症状 - 输入在您的计算机上观察到的可疑文件行为的描述 文件来源(URL 地址或供应商) - 请输入文件出处 来源 并注明您是如何遇到该文件的 注释和其他信息 - 您可以在这里输入有助于识别可疑文件过程的其他信息或描述 第一个参数 观察到的恶意软件感染迹象和症状 必填 但是提供其他信息将会很大程度地帮助我们实验 室进行样本的识别过程 3792 可 疑 站 点 请从网站问题下拉菜单选择以下内容之一 被感染 - 包含由各种方法分发的病毒或其他恶意软件的网站 网络钓鱼 - 通常用于获取对敏感数据 如银行帐号 PIN 码等 的访问权限 请阅读词汇表中关于此类攻击的更 多信息 欺诈 - 欺骗或欺诈性网站 如果上述选项与您要提交的站点不符 请选择其他 注释和其他信息 - 您可以在这里输入有助于分析可疑网站的其他信息或描述 3793 误 报 文 件 我们请求您提交已检测为感染但却未感染的文件 以帮助我们改进病毒和间谍软件防护引擎并为其他用户提供 防护 当文件模式匹配病毒库中包含的同一模式时 可能会发生误报 (FP) 应用程序名称和版本 - 程序标题及其版本 例如 编号 别名或代码名称 文件来源(URL 地址或供应商) - 请输入文件出处 来源 并注明您是如何遇到该文件的 应用程序用途 - 一般应用程序描述 应用程序类型 例如浏览器 媒体播放器 及其功能 注释和其他信息 - 您可以在这里添加有助于处理可疑文件的其他信息或描述 这 三个参数是必填的 以识别合法应用程序并将它与恶意代码区分开来 通过提供其他信息 您将对我们实 验室的识别过程和样本的处理提供极大帮助 3794 误 报 站 点 我们鼓励您提交已检测为感染 欺诈或网络钓鱼但实际是误报的站点 当文件模式匹配病毒库中包含的同一模 式时 可能会发生误报 (FP) 请提供该网站以帮助我们改进病毒和网络钓鱼防护引擎 并帮助为其他用户提供 防护 注释和其他信息 - 您可以在这里添加有助于处理可疑文件的其他信息或描述 84

85 3795 其 他 如果文件无法被归类为可疑文件或误报 请使用此表格 提交文件的原因 - 请输入详细描述和发送文件的原因 3710 隔 离 隔离区的主要功能是安全储存被感染文件 隔离文件的前提是文件出现以下情况 无法清除 不安全或被建议 删除 或被 ESET Mail Security 错误检测 您可以选择隔离任何文件 如果文件行为可疑但未被病毒防护扫描程序检测到 建议采取隔离措施 可将隔离 的文件提交到 ESET 病毒实验室进行分析 可在表格中查看储存在隔离区文件夹中的文件 表格中显示隔离的日期和时间 被感染文件原始位置的路径 文件大小 字节数 原因 例如 由用户添加的对象 以及威胁数量 例如 是否为包含多个渗透的压缩文件 等 如果电子邮件对象在文件隔离区中隔离 将显示采用邮箱 文件夹 文件名路径形式的信息 隔离文件 ESET Mail Security 自动隔离被删除的文件 如果您尚未在警报窗口中禁用该选项 如果需要 您可以手动隔离 任何可疑文件 方法是单击隔离隔离的文件将从其初始位置删除 也可用右键菜单达到此目的 在隔离区窗口 中右键单击 然后选择隔离 从隔离区恢复 隔离的文件还可以恢复到其初始位置 可通过在隔离窗口中右键单击给定文件 使用右键菜单中提供的恢复功 能来执行此操作 如果文件被标记为潜在的不受欢迎应用程序 则恢复并且不扫描选项也将可用 请阅读词汇 表中有关此类应用程序的详细信息 右键菜单还提供恢复至 选项 使用此选项可将文件恢复到其被删除时所 在位置之外的其他位置 85

86 如果程序错误地隔离了无害文件 请在文件恢复后将其移出扫描队列 并发送给 ESET 客户服务部门 提交隔离区中的文件 如果程序未检测到您隔离的可疑文件 或文件被错误地确认为已受感染 如启发式扫描代码分析所做的评估 并 且随后被隔离 请将该文件发送到 ESET 病毒实验室 要提交隔离区中的文件 右键单击该文件并从右键菜单中 选择提交要分析的文件 38 帮助和支持 ESET Mail Security 包含故障排除工具和支持信息 帮助您解决可能遇到的问题 帮助 搜索 ESET 知识库 - ESET 知识库包含对大多数常见问题的解答以及各种问题的建议解决方案 知识库由 ESET 专业技术人员定期更新 它已成为解决各类问题的最强大工具 打开帮助 - 单击此链接以启动 ESET Mail Security 帮助页面 查找快速解决方案 - 选择此选项可找到大多数常见问题的解决方案 建议您在联系技术支持之前阅读本节 客户服务 提交支持请求 - 如果您找不到问题的答案 也可以使用位于 ESET 网站上的该表单快速联系我们的客户服务 部门 支持工具 威胁百科全书 - ESET 威胁百科全书的链接 包含有关不同类型渗透的危险和症状的信息 ESET 日志收集器 - 指向 ESET 日志收集器下载页面的链接 日志收集器是一个应用程序 它自动从服务器收集 信息 例如配置和日志 以便帮助更快地解决问题 有关 ESET 日志收集器的详细信息 请参阅联机帮助 病毒库历史记录 - ESET 病毒雷达的链接 包含有关 ESET 病毒库版本的信息 ESET 专用清理器 - 此清理器可自动识别并清除常见的恶意软件感染 有关详细信息 请访问此 ESET 知识库文 章 产品和许可证信息 关于 ESET Mail Security - 显示有关 ESET Mail Security 的副本的信息 激活产品/管理许可证 - 单击以启动产品激活窗口 选择其中一个可用方法来激活 ESET Mail Security 381 帮 助 主 题 本章介绍所有最常见的问题和难题 单击主题标题了解如何解决您的难题 如何更新 ESET Mail Security 如何激活 ESET Mail Security 如何计划扫描任务 每 24 小时 如何从服务器中删除病毒 自动排除的工作方式 如果您的问题未包含在上面列出的帮助页面中 请尝试通过描述问题的关键字或短语进行搜索以及在 ESET Mail Security 帮助页面中搜索 如果在帮助页面中找不到难题 问题的解决方案 您可以尝试使用定期更新的在线知识库 如有必要 您可以直接联系我们的在线技术支持中心咨询您的问题或难题 联系信息表格可在 ESET 程序的 帮 86

87 助和支持 选项卡中找到 3811 如 何 更 新 E S E T Ma il S e c urity 可以通过手动或自动方式更新 ESET Mail Security 若要触发更新 请单击立即更新 您将在程序的更新部分中 找到此按钮 默认安装设置会创建每小时执行的自动更新任务 如果您需要更改时间间隔 请导航到计划任务 有关计划任 务的详细信息 请单击此处 3812 如 何 激 活 E S E T Ma il S e c urity 完成安装后 将提示您激活您的产品 有几种激活产品的方法 激活窗口中特定激活方案的可用性可能根据国家 地区以及分发方式 CD/DVD ESET 网 页等 而不同 要在程序中直接激活您的 ESET Mail Security 副本 请单击系统托盘图标 并从菜单中选择产品未激活 您还 可以在主菜单中的帮助与支持 > 激活产品或监视状态 > 产品未激活下激活您的产品 您可以使用以下任一方法来激活 ESET Mail Security 许可证密钥 - 遵循 XXXX-XXXX-XXXX-XXXX-XXXX 格式的唯一字符串 用于标识许可证所有者和激活许可证 Security Admin - 使用凭据 电子邮件地址 密码 在 ESET 许可证管理员门户网站上创建的帐户 此方法允许您 在一个位置管理多个许可证 脱机许可证文件 将传输到 ESET 产品以提供许可证信息的自动生成的文件 您的脱机许可证文件由许可证门 户生成 并在应用程序无法连接到许可证颁发机构的环境中使用 如果您的计算机是托管网络的成员 请通过 ESET Remote Administrator 单击稍后激活 您的管理员将通过 ESET Remote Administrator 执行远程激活 如果您希望稍后激活此客户端 也可以使用此选项 在主程序窗口中选择帮助和支持 > 管理许可证 以随时管理许可证信息 您将看到 ESET 用来识别产品并用于 许可标识的公共许可证 ID 用于注册计算机的用户名存储在关于部分中 您可以通过右键单击系统托盘图标 来查看它 ESET Remote Administrator 能够使用管理员提供的许可证静默激活客户端计算机 3813 E S E T Ma il S e c urity 如 何 计 算 邮 箱 数 有关详细信息 请参阅我们的知识库文章 3814 如 何 在 计 划 任 务 中 创 建 新 任 务 若要在计划任务中创建新任务 请单击添加任务或右键单击并从右键菜单中选择添加 将打开一个帮助您创建 计划任务的向导 请参阅以下分步说明 1 输入任务名称 然后从下拉菜单中选择所需的任务类型 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中仍会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作 效率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件 例如 驱动程序 应用程 序 的详细信息并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 20 分钟后 将作为低优先级任务执行计算机扫描 更新 - 计划一个更新任务以执行病毒库和程序模块的更新 Hyper-V 扫描 - 计划 Hyper-V 内的虚拟磁盘扫描 87

88 数据库扫描 - 允许您计划数据库扫描并选择将扫描的项 这实质上是手动数据库扫描 如果您已启用邮箱数据库防护 仍可以计划该任务 但是它将以一条显示在主 GUI 的扫描部分中的错误消息 而结束 该消息指示数据库扫描 扫描因错误而中断 为了防止这种情况 您需要确保在计划运行数据库扫 描期间邮箱数据库防护处于禁用状态 发送邮件隔离报告 - 计划要通过电子邮件发送的邮件隔离报告 后台扫描 - 让 Exchange Server 可以运行数据库后台扫描 如果需要 2 如果您想要在创建任务后停用它 请单击已启用旁边的开关 您可以通过使用计划任务视图中的复选框来 稍后激活任务 单击下一步 3 选择希望运行计划任务的时间 一次 - 任务将仅在指定日期和时间执行一次 重复 - 任务将以指定的时间间隔执行 以分钟为单位 每天 - 任务将在每天指定时间重复运行 每周 - 任务将在每周所选日期和时间运行一次或多次 由事件触发 - 任务将在发生指定事件后执行 4 如果您想要在系统靠电池 例如 UPS 供电的情况下阻止执行任务 请单击靠电池供电时跳过任务旁边的开 关 单击下一步 5 如果任务无法在计划的时间运行 可以选择运行时间 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用自上次运行时间之后经 过的时间选择器来定义间隔 6 单击下一步 可能需要指定任务详细信息 具体取决于任务类型 操作完成后 单击完成 将在计划任务视 图中显示新的计划任务 3815 如 何 计 划 扫 描 任 务 每 24 小 时 若要计划定期任务 请转到 ESET Mail Security > 工具 > 计划任务 以下步骤将引导您完成每 24 小时扫描一次本 地驱动器的任务的创建 要计划扫描任务 1 在计划任务主屏幕中 单击添加任务 然后输入任务名称 2 从下拉菜单中选择手动计算机扫描 3 如果您想要在创建任务后停用它 请单击已启用旁边的开关 稍后可通过使用计划任务视图中的复选框来 激活任务 4 设置要重复运行的计划任务 任务将以指定的时间间隔 1440 分钟 执行 5 如果您想要在系统依赖电池 例如 UPS 供电的情况下阻止执行任务 请单击靠电池供电时跳过任务旁边 的开关 6 单击下一步 7 选择计划任务执行因任何原因失败时将执行的操作 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用自上次运行时间之后 经过的时间选择器来定义间隔 8 单击下一步 88

89 9 从目标下拉菜单中选择本地驱动器 10 单击完成以应用此任务 3816 如 何 从 服 务 器 中 删 除 病 毒 如果您的计算机显示感染恶意软件的迹象 例如速度变慢或常常停止响应 我们建议您执行以下操作 1 从 ESET Mail Security 主窗口中 单击计算机扫描 2 单击智能扫描以开始扫描系统 3 扫描完成后 查看日志中扫描文件 被感染文件和已清除文件的数量 4 如果您要仅扫描磁盘的特定部分 请选择自定义扫描 然后选择要进行病毒扫描的目标 有关其他信息 请参阅我们定期更新的知识库文章 382 提 交 支 持 请 求 为了尽可能快速准确地提供支持 ESET 需要有关 ESET Mail Security 配置的信息 详细的系统信息以及关于正在 运行的进程 ESET SysInspector 日志文件 和注册表数据的信息 ESET 仅将此数据用于为客户提供技术帮助 提交 Web 表单后 您的系统配置数据将提交到 ESET 选择始终提交此信息 即可记住针对此进程执行的此操 作 若要在不发送任何数据的情况下提交此表格 请选择不提交数据 然后可使用在线支持表单联系 ESET 客户 服务 还可以从高级设置窗口 按键盘上的 F5 键 配置此设置 依次单击工具 > 诊断 > 客户服务 如果您选择提交系统数据 则必须填写并提交 Web 表单 否则将不会创建您的票证 而且您的系统数据将会 丢失 383 E S E T 专 用 清 理 器 ESET 专用清理器是用于常见恶意软件感染 如 Conficker Sirefef 或 Necurs 的清除工具 有关详细信息 请访问 此 ESET 知识库文章 89

90 384 关 于 E S E T Ma il S e c urity 此窗口提供有关 ESET Mail Security 的已安装版本的详细信息 窗口顶部包含有关您的操作系统和系统资源的信 息 当前用户以及完整计算机名称 90

91 已安装组件包含模块的相关信息 单击已安装组件 查看已安装组件列表及其详细信息 单击复制即可将该 列表复制到您的剪贴板 这在排除故障或联系技术支持时有用 385 产 品 激 活 完成安装后 将提示您激活您的产品 有几种激活产品的方法 激活窗口中特定激活方案的可用性可能根据国家 地区以及分发方式 CD/DVD ESET 网 页等 而不同 要在程序中直接激活您的 ESET Mail Security 副本 请单击系统托盘图标 并从菜单中选择产品未激活 您还 可以在主菜单中的帮助与支持 > 激活产品或监视状态 > 产品未激活下激活您的产品 您可以使用以下任一方法来激活 ESET Mail Security 许可证密钥 - 遵循 XXXX-XXXX-XXXX-XXXX-XXXX 格式的唯一字符串 用于标识许可证所有者和激活许可证 Security Admin - 使用凭据 电子邮件地址 密码 在 ESET 许可证管理员门户网站上创建的帐户 此方法允许您 在一个位置管理多个许可证 脱机许可证文件 将传输到 ESET 产品以提供许可证信息的自动生成的文件 您的脱机许可证文件由许可证门 户生成 并在应用程序无法连接到许可证颁发机构的环境中使用 如果您的计算机是托管网络的成员 请通过 ESET Remote Administrator 单击稍后激活 您的管理员将通过 ESET Remote Administrator 执行远程激活 如果您希望稍后激活此客户端 也可以使用此选项 在主程序窗口中选择帮助和支持 > 管理许可证 以随时管理许可证信息 您将看到 ESET 用来识别产品并用于 许可标识的公共许可证 ID 用于注册计算机的用户名存储在关于部分中 您可以通过右键单击系统托盘图标 来查看它 91

92 ESET Remote Administrator 能够使用管理员提供的许可证静默激活客户端计算机 3851 注 册 通过填写注册表中的字段并单击继续来注册您的许可证 括号中标记为必需的字段为必填字段 此信息将仅用 于与您的 ESET 许可证相关的事项 3852 安全管理员 激活 安全管理员 帐户是使用您的电子邮件地址和密码在许可门户上创建的帐户 它能够看到所有席位授权 安全管理员帐户允许您管理多个许可证 如果您没有 安全管理员 帐户 请单击创建帐户 您将重定向到 ESET License Administrator 网页 您可在其中使用凭据进行注册 如果您已忘记密码 请单击忘记密码 您将重定向到 ESET 业务门户 输入您的电子邮件地址并单击提交以确 认 之后 您将获得一封包含重置密码说明的邮件 有关使用 ESET License Administrator 的详细信息 请参阅 ESET License Administrator 用户指南 3853 激 活 失 败 未成功激活 ESET Mail Security 请确保您已输入正确的许可证密钥或已附加脱机许可证 如果您还有其他的脱 机许可证 请再次输入 若要检查输入的许可证密钥 请单击重新检查许可证密钥或单击购买新的许可证 然后会将您重定向到我们的网页 您可以从中购买新的许可证 3854 许 可 证 如果您选择 安全管理员 激活选项 则将提示您选择与用于 ESET Mail Security 的帐户相关联的许可证 单击激 活以继续 3855 激 活 进 度 正在激活 ESET Mail Security 请耐心等待 这可能需要几分钟 3856 成 功 激 活 激活成功 ESET Mail Security 现已激活 从现在起 ESET Mail Security 将接收定期更新以识别最新威胁并保证您 的计算机安全 单击完成来完成产品激活 92

93 4 使用 ESET Mail Security 在高级设置窗口中 您可以根据自己的需要配置设置和选项 左侧菜单包括以下类别 服务器 - 允许配置病毒和间谍软件防护 邮箱数据库防护 规则等 计算机 - 启用或禁用对潜在不受欢迎 不安全 可疑应用程序的检测 指定排除 实时文件系统防护 手动计 算机扫描以及 Hyper-V 扫描等 更新 - 配置配置文件的列表 创建更新文件的快照 更新源信息 如正在使用的更新服务器和这些服务器的 验证数据 Web 和电子邮件 - 允许您配置电子邮件客户端防护 协议过滤 Web 访问保护等 设备控制 - 配置设备控制规则和组 工具 - 允许您自定义工具 如 ESET LiveGrid 日志文件 代理服务器 群集等 用户界面 - 配置程序的图形用户界面 (GUI) 行为 状态 许可证信息等 当您在左侧菜单中单击某个项目 类别或子类别 时 该项目的各个设置将显示在右侧窗格上 41 服务器 此高级设置部分允许启用或禁用邮箱数据库防护和邮件传输防护集成以及编辑代理优先级 如果运行的是 Microsoft Exchange Server 或 2016 可以在邮箱数据库防护和手动数据库扫描 之间进行选择 同一时间只能使用其中一种防护类型 如果决定使用手动数据库扫描 将需要禁用邮箱数据 库防护集成 否则 手动数据库扫描将不可用 93

94 ESET Mail Security 使用以下功能为您的 Microsoft Exchange Server 提供重要防护 病毒和间谍软件防护 反垃圾邮件防护 规则 邮件传输防护 Exchange Server 邮箱数据库防护 Exchange Server 手动数据库扫描 Exchange Server 邮件隔离 邮件隔离类型设置 411 服 务 器 代 理 优 先 级 设 置 在服务器代理优先级设置菜单中 设置 ESET Mail Security 服务器代理在 Microsoft Exchange Server 启动后变为 活动状态的优先级 数字值定义优先级 数字越小 表示优先级越高 这适用于 Microsoft Exchange Server 2003 编辑 - 设置 ESET Mail Security 服务器代理在 Microsoft Exchange Server 启动后变为活动状态的优先级 修改 - 手动定义数字来更改所选服务器代理的优先级 向上 - 通过在服务器代理列表中上移 提高选定服务器代理的优先级 向下 - 通过在服务器代理列表中下移 降低选定服务器代理的优先级 借助 Microsoft Exchange Server 2003 您可以使用 EOD 数据结束 和 RCPT 收件人 的选项卡单独指定服务器 代理优先级 4111 修 改 优 先 级 如果您运行的是 Microsoft Exchange Server 2003 则可以手动定义一个数字来更改传输代理的优先级 修改文 本字段中的数字 或使用向上和向下箭头更改优先级 数字越小 优先级越高 94

95 412 服 务 器 代 理 优 先 级 设 置 在服务器代理优先级设置菜单中 您可以设置 ESET Mail Security 服务器代理在 Microsoft Exchange Server 启动 后变为活动状态的优先级 这适用于 Microsoft Exchange 2007 及更高版本 向上 - 通过在服务器代理列表中上移 提高选定服务器代理的优先级 向下 通过在服务器代理列表中下移 降低选定服务器代理的优先级 413 病 毒 和 间 谍 软 件 防 护 在此部分中 您可以为邮件服务器配置病毒和间谍软件防护选项 重要信息 邮件传输防护由传输代理提供 并且仅可用于 Microsoft Exchange Server 2003 和更高版本 但是您的 Exchange Server 必须拥有 Edge 传输服务器或 Hub 传输服务器角色 此功能也可应用于将多个 Exchange Server 角色集中在一台计算机上的单服务器安装中执行 前提是该安装拥有 Edge 或 Hub 传输角色 邮件传输防护 如果禁用启用病毒和间谍软件邮件传输防护 Exchange 服务器的 ESET Mail Security 插件将不会从 Microsoft Exchange Server 进程卸载 它将仅通过邮件而不扫描传输层上的病毒 在数据库层上将仍然针对病毒和垃圾邮 件对邮件进行扫描 并且将应用现有规则 95

96 邮箱数据库防护 如果禁用启用病毒和间谍软件邮箱数据库防护 Exchange 服务器的 ESET Mail Security 插件将不会从 Microsoft Exchange Server 进程卸载 它将仅通过邮件而不扫描数据库层上的病毒 在传输层上将仍然针对病毒和垃圾邮 件对邮件进行扫描 并且将应用现有规则 96

97 手动数据库扫描- 在您禁用服务器上的邮箱数据库防护后可用 单击 ThreatSense 参数 以修改扫描参数 97

98 414 反 垃 圾 邮 件 防 护 您的邮件服务器的反垃圾邮件防护默认处于启用状态 若要将其关闭 请单击启用反垃圾邮件防护旁边的开 关 禁用反垃圾邮件防护不会更改保护状态 即使反垃圾邮件已禁用 您仍会在主要图形用户界面的监视部分中 看到绿色的最高防护 禁用反垃圾邮件不代表防护级别的降低 启用使用 Exchange Server 白名单自动绕过反垃圾邮件防护允许 ESET Mail Security 使用特定 Exchange 白名 单 启用后 将考虑以下内容 服务器 IP 地址在 Exchange Server 的 允许的 IP 列表上 邮件收件人已在其邮箱上设置了反垃圾邮件绕过标志 邮件收件人可在其安全发件人列表上找到发件人的地址 请确保您已经在包括安全列表集合在内的 Exchange Server 环境中配置了安全发件人列表同步 如果以上任意情况适用于传入邮件 反垃圾邮件检查将绕过此邮件 不会对此邮件进行 SPAM 评估并且将被发 送到收件人的邮箱 若您在具有绕过反垃圾邮件设置的 Exchange Servers 之间进行已验证的 SMTP 会话 接受在 SMTP 会话中设置 的反垃圾邮件绕过标记将非常有用 例如 如果您拥有 Edge 服务器和 Hub 服务器 则无需对这两个服务器之 间的网络进行扫描 默认情况下 将启用接受在 SMTP 会话中设置的反垃圾邮件绕过标记 但仅在为 Exchange Server 上的 SMTP 会话配置反垃圾邮件绕过标记时才会应用 如果禁用接受在 SMTP 会话中设置的反 垃圾邮件绕过标记 ESET Mail Security 将不管 Exchange Sever 上的反垃圾邮件绕过设置 对垃圾邮件的 SMTP 会话进行扫描 NOTE 为了使反垃圾邮件模块提供最好的防护 有必要定期更新反垃圾邮件数据库 若要允许定期更新反垃圾邮件 数据库 请确保 ESET Mail Security 可访问必要端口上的正确 IP 地址 有关在第三方防火墙中启用的 IP 和端 口的更多信息 请参阅知识库文章 98

99 您可以在其自己的部分找到每个功能的更多设置 过滤和验证 高级设置 灰名单设置 SPF 和 DKIM 4141 过 滤 和 验 证 您可以通过指定诸如 IP 地址或范围 域名等标准 配置已批准 已阻止和已忽略列表 若要添加 修改或删除 标准 请单击希望管理的列表的编辑 将不会针对 RBL 或 DNSBL 测试已忽略列表中包括的 IP 地址或域 但将应用其他反垃圾邮件防护技术 已忽略 列表应包含所有内部基础架构 IP 地址 域名 您还可以包含 ISP 或外部发送邮件服务器的 IP 地址 域 名 这些服务器当前由 RB L或 DNSBL ESET 的黑洞列表或第三方黑洞列表 之一列入黑名单 这允许您接收来 自 忽略 列表所包含的源的电子邮件 即使它们已列入黑名单 将接收此类传入电子邮件 并且其内容将由 其他反垃圾邮件防护技术进一步检查 已批准的 IP 列表 - 自动将来自指定 IP 地址的电子邮件列入白名单 已阻止的 IP 列表 - 自动阻止来自指定 IP 地址的电子邮件 已忽略的 IP 列表 - 将在分类期间忽略的 IP 地址列表 已阻止的正文域列表 - 阻止在邮件正文中包含指定域的电子邮件 已忽略的正文域列表 - 将在分类期间忽略邮件正文中的指定域 已阻止的正文 IP 列表 - 阻止在邮件正文中包含指定 IP 地址的电子邮件 已忽略的正文 IP 列表 - 将在分类期间忽略邮件正文中的指定 IP 地址 已批准的发件人列表 - 将来自指定发件人的电子邮件列入白名单 已阻止的发件人列表 - 阻止来自指定发件人的电子邮件 已批准的域到 IP 列表 - 将来自从该列表中指定域解析的 IP 地址的电子邮件列入白名单 解析 IP 地址时 将 识别SPF 发件人策略框架 记录 已阻止的域到 IP 列表 - 阻止来自从该列表中的指定域解析的 IP 地址的电子邮件 解析 IP 地址时 将识别SPF 记录 已忽略的域到 IP 列表 - 解析为 IP 地址 在分类期间将不会检查它们 的域列表 解析 IP 地址时 将识别SPF 记 录 已阻止的国家 地区列表 - 阻止来自指定国家 地区的电子邮件 阻止基于 GeoIP 如果垃圾邮件发送自具有 您在 已阻止的国家 地区 中选择的国家 地区的地理定位数据库中列出的 IP 地址的邮件服务器 会自动将其 标记为垃圾邮件 并且将根据邮件传输防护下的对垃圾邮件采取的操作设置采取操作 如果想要一次添加多个条目 请在 添加 弹出窗口中单击输入多个值并选择要使用的分隔符 分隔符可以是 换行符 逗号或分号 99

100 4142 高 级 设 置 这些设置允许外部服务器 定义为 RBL - 实时黑洞列表和 DNSBL - DNS 阻止列表 根据其预定的条件来验证邮件 来自 已接收: 标题 的已验证地址的最大数量 - 您可以限制反垃圾邮件检查的 IP 地址的数量 这涉及写入 到 Received: from 标题中的 IP 地址 默认值为 0 即表示无限制 根据最终用户黑名单验证发件人的地址 - 会验证不经邮件服务器 未列为邮件服务器的计算机 发送的电子 邮件以确保发件人不在黑名单上 默认情况下启用此选项 可以禁用它 如果需要 但不会根据黑名单检查不 经邮件服务器发送的邮件 其他 RBL 服务器 - 是分析邮件时需要的实时黑洞列表 (RBL) 服务器的列表 添加其他 RBL 服务器时 请输入服务器的域名 例如 sblspamhausorg 它能够与服务器所支持的任何返回 码配合使用 例如 100

101 或者 您可以采用以下格式指定附带返回码的服务器名称 server:response 例如 zenspamhausorg: 当使用此格式时 我们建议您分别添加每个服务器名称和返回代码 以便得到完 整列表 单击 添加 窗口中的输入多个值以指定所有服务器名称及其返回代码 各条目应如以下示例所示 实 际 RBL 服务器主机名称和返回代码可能略有不同 RBL 查询执行限制(以秒为单位) - 此选项允许您设置 RBL 查询的最长时间 仅在能够及时响应的 RBL 服务器中 使用 RBL 响应 如果该值设置为 0 则不会施加任何的超时 101

102 针对 RBL 的已验证地址的最大数量 - 此选项允许您限制针对 RBL 服务器查询的 IP 地址数 请 RBL 查询的 总数等于 已接收: 标题中的 IP 地址数 最高值为 RBL 执行的 IP 地址检查的最大数量 乘以 RBL 列表中指定的 RBL 服务器数 如果该值设置为 0 将检查无限多的已接收标题 请 忽略的 IP 列表中的 IP 不计入 RBL IP 地址限制中 其他 DNSBL 服务器 - 是 DNS 阻止列表 (DNSBL) 服务器的列表 这些服务器使用从邮件正文提取的域和 IP 地址 进行查询 添加其他 DNSBL 服务器时 请输入服务器的域名 例如 dblspamhausorg 它能够与服务器所支持的任何返 回码配合使用 102

103 或者 您可以采用以下形式指定附带返回码的服务器名称 server:response 例如 zenspamhausorg: 在这种情况下 建议您分别添加每个服务器名称和返回代码 以便拥有完整列 表 单击 添加 窗口中的输入多个值以指定所有服务器名称及其返回代码 各条目应如以下示例所示 实际 DNSBL 服务器主机名称和返回代码可能略有不同 DNSBL 查询执行限制(以秒为单位) - 允许您设置完成所有 DNSBL 查询所需的最大超时 针对 DNSBL 的已验证地址的最大数量 - 允许您限制针对 DNS 阻止列表服务器查询的 IP 地址数 针对 DNSBL 的已验证域的最大数量 - 允许您限制针对 DNS 阻止列表服务器查询的域数量 启用反垃圾邮件引擎诊断日志记录 - 将有关反垃圾邮件引擎的详细信息写入日志文件以供诊断之用 反垃圾 邮件引擎不使用事件日志 即 warnlogdat 文件 因此无法在日志文件查看器中进行查看 它会将记录直接写 入专用文本文件 例如 C:\ProgramData\ESET\ESET Mail Security\Logs\antispam0log 以使所有反垃圾邮件 引擎诊断数据都保留在一个位置 这样 即使遭遇巨大电子邮件通信量 ESET Mail Security 的性能也不会受到影 响 最大邮件扫描大小 (kb) - 限制针对大于指定值的邮件进行反垃圾邮件扫描 反垃圾邮件引擎将不会扫描这些 邮件 默认值 0 表示邮件扫描大小不受限制 通常 没有必要限制反垃圾邮件扫描 但如果在某种情况下需要进 行限制 请将该值更改为所需大小 可以从反垃圾邮件扫描中排除的最小邮件大小为 12 kb 如果将该值设置为 1 到 12 它始终会将邮件大小限制为 12 kb 或更大 即使指定的值低于 12 也是如此 启用暂时拒绝不确定的邮件 - 如果反垃圾邮件引擎无法确定邮件是否为垃圾邮件 这意味着该邮件具有某些 垃圾邮件的可疑特征 但不足以标记为垃圾邮件 例如第一封营销电子邮件或源自评分不一的 IP 范围的电子邮 件 此设置 启用时 允许 ESET Mail Security 暂时拒收该邮件 如同灰名单 并继续在一个特定的时间段内拒 收 直到 a) 时间间隔已过 将在下次发送尝试时接受该邮件 此邮件保留初始分类 垃圾邮件或有害邮件 b) 在时间间隔过去之前 反垃圾邮件云会收集足够数据 确保正确分类该邮件 ESET Mail Security 不会保留拒收的邮件 因为发送邮件服务器会根据 SMTP RFC 重新发送该邮件 允许提交暂时拒绝的邮件以供分析 - 将自动发送邮件内容以供进一步分析 这有助于改善后续电子邮件的邮 件分类 重要信息 暂时拒绝且发送以供分析的邮件实际上可能是有害邮件 在极少数情况下 暂时拒绝的邮件可能会进行手动 评估 请仅在没有任何潜在敏感数据泄露的风险时 才启用此功能 103

104 4143 灰 名 单 设 置 启用灰名单功能将使用以下技术为用户启用垃圾邮件防护功能 对于不是来自已知发件人的任何电子邮件 传 输代理将发送 临时拒绝 SMTP 返回值 默认为 451/471 合法服务器将在延迟之后尝试重新发送邮件 垃圾邮 件服务器通常将不尝试重新发送邮件 因为它们通常会发送至数千个电子邮件地址 而不会浪费时间进行重新 发送 灰名单是反垃圾邮件防护的附加层 对反垃圾邮件模块的垃圾邮件评估能力没有任何影响 在评估邮件源时 灰名单方法会将 Exchange 服务器上的已批准的 IP 列表 忽略的 IP 列表 安全发件人和允 许 IP 列表以及收件人邮箱的反垃圾邮件绕过设置纳入考虑范围 来自这些 IP 地址 发件人列表的电子邮件或发 送给启用了 反垃圾邮件绕过 选项的邮箱的电子邮件 将通过灰名单检测方法而绕过检查 仅使用发件人地址的域部分 - 忽略电子邮件地址中发件人的名字 仅考虑域 在 ESET 群集中同步灰名单数据库 - 在 ESET 群集中的服务器之间实时共享灰名单数据库条目 当其中一台服 务器接收通过灰名单处理的邮件时 ESET Mail Security 会将该信息传播到 ESET 群集中的其余节点 初始连接拒绝的时限(分钟) - 当邮件第一次发送并被临时拒绝时 此参数定义始终拒绝该邮件的时段 从第 一次拒绝测算 在定义的时段过去后 将成功接收该邮件 可输入的最小值为 1 分钟 未验证的连接到期时间(小时) - 此参数定义将存储三组控制数据的最小时间间隔 有效服务器必须在此时段 过期前重新发送需要的邮件 此值必须大于初始连接拒绝的时限值 已验证的连接到期时间(天) - 存储三组控制数据信息的最少天数 在此期间 将接收来自特定发件人的电子 邮件而无任何延迟 此值必须大于未验证的连接到期时间值 使用反垃圾邮件列表自动绕过灰名单和 SPF - 启用后 已批准和已忽略的 IP 列表将与 IP 白名单一起用于自 动绕过灰名单和 SPF IP 白名单 - 在此部分中 您可以添加 IP 地址 附带掩码的 IP 地址 IP 范围 可以通过单击添加 编辑或删除 修改该列表 您还可以导入或导出文件 使用浏览按钮 在计算机上选择用于打开或保存配置文件的位置 域到 IP 白名单 - 此选项允许您指定域 例如 domainnamelocal 若要管理该列表 请使用添加 删除或全部 删除 如果您想要从文件导入自定义列表 而不是手动添加每一个条目 请右键单击该窗口的中间并从右键 104

105 菜单中选择导入 然后浏览到包含要添加到该列表的条目的文件 xml 或 txt 同样的 如果您需要将现有列 表导出到文件 请从右键菜单中选择导出 SMTP 响应 针对临时拒绝的连接 指定响应代码 状态代码和响应消息 这将定义在拒绝邮件时发送到 SMTP 服务器的 SMTP 临时拒绝响应 SMTP 拒绝响应邮件示例 响应代码 状态代码 响应消息 请稍候再试 警告 SMTP 响应代码的语法不正确可能导致灰名单防护故障 结果 垃圾邮件可能被发送给客户端或根本不发送 邮件 在定义 SMTP 拒绝响应时 也可以使用系统变量 使用灰名单方法评估的所有邮件都记录在日志文件中 4144 S P F 和 D KIM SPF (发件人策略框架) 和 DKIM (域名密钥识别邮件) 用作验证方法 对声称来自特定域的电子邮件进行检查 以确认此封电子邮件是否经该域的所有者授权 这有助于防止收件人接收欺诈电子邮件 ESET Mail Security 还使 用 DMARC 基于域的邮件验证 报告和一致性 评估来对 SPF 和 DKIM 进一步增强 将执行 SPF 检查 以验证电子邮件是否由合法的发件人发送 针对发件人域的 SPF 记录执行 DNS 查找 以获取 IP 地址列表 如果来自 SPF 记录中的任何 IP 地址匹配发件人的实际 IP 地址 则 SPF 检查结果为通过 如果发件 人的实际 IP 地址不匹配 则结果为失败 但是 并非所有域都具有 DNS 中指定的 SPF 记录 如果 DNS 中不存在 任何 SPF 记录 则结果为不可用 DNS 请求有时可能会超时 在这种情况下 结果也为不可用 通过根据 DKIM 标准将数字签名添加到传出邮件的标头 DKIM 可用于防止接收欺诈电子邮件 这涉及使用域的 私钥加密域的传出邮件标头 以及将公钥添加到域的 DNS 记录 然后收件人服务器可以检索公钥来解密传入标 头 并验证该邮件确实来自您的域并且沿途并未有所更改 DMARC 建立在 SPF 和 DKIM 这两个现有机制之上 您可以使用邮件传输防护规则来评估 DMARC 结果和应用 DMARC 策略操作 105

106 自动检测 DNS 服务器 - 使用您的网络适配器的设置 DNS 服务器 IP 地址 - 如果您想要将特定 DNS 服务器用于 SPF 和 DKIM 则输入要使用的 DNS 服务器的 IP 地址 采用 IPv4 或 IPv6 格式 DNS 查询超时(秒) - 为 DNS 回复指定超时 自动拒绝接收邮件(如果 SPF 检查失败) - 如果 SPF 检查导致立即失败 则可以在下载电子邮件之前拒绝接收 该邮件 示例 SPF 检查在 SMTP 层上完成 但是 可以在 SMTP 层上或规则评估期间自动拒绝接收邮件 如果您在 SMTP 层上使用自动拒绝接收 则无法将拒绝的邮件记录到事件日志中 这是因为日志记录通过规 则操作完成 而自动拒绝接收直接在 SMTP 层上完成 这发生在规则评估之前 由于在评估规则前已拒绝接 收邮件 因此在进行规则评估时没有要记录的信息 您可以记录拒绝接收的邮件 但前提是您通过规则操作拒绝接收邮件 要拒绝未通过 SPF 检查的的邮件并记 录此类拒收的邮件 请禁用自动拒绝接收邮件(如果 SPF 检查失败)并为邮件传输防护创建以下规则 条件 类型 SPF 结果 操作 为 参数 已失败 操作 类型 拒绝邮件 类型 记入事件 使用 From:标头(如果邮件发送方为空) - 标头 MAIL FROM 可以为空 也很容易仿冒 当启用此选项并且 MAIL FROM 为空时 将下载邮件 并改为使用标头 From: 自动绕过灰名单(如果 SPF 检查已通过) - 如果邮件的 SPF 检查结果为 通过 则没有必要对其使用灰名单 106

107 SMTP 拒绝响应 - 可以指定响应代码 状态代码和响应消息 它们定义邮件遭拒绝时发送给 SMTP 服务器的 SMTP 临时拒绝响应 您可以用以下格式输入响应消息 响应代码 状态代码 响应消息 SPF 检查失败 注释 如果正在运行 Microsoft Exchange Server 2003 和 2003 R2 或 SBS 2003 和 SBS 2003 R2 一些 SPF 和 DKIM 选项不 可用 415 规 则 允许您手动定义电子邮件过滤条件和对过滤的电子邮件采取的操作 有三个独立的规则集 一个规则集适用于 一项操作 邮件传输防护 邮箱数据库防护 手动数据库扫描 重要信息 针对手动数据库扫描错误定义的规则可能导致邮箱数据库发生不可逆转的更改 在首次使用规则运行手动 数据库扫描之前 始终确保您具有邮箱数据库的最新备份 另外 我们强烈建议您验证规则是否按预期运行 若要进行验证 仅使用记录到事件操作来定义规则 因为任何其他操作都会对邮箱数据库做出更改 在验证 后 您可以添加破坏性规则操作 如删除附件 单击编辑打开规则列表 可以在其中添加新规则或修改现有规则 还可以为特定于邮件传输防护 邮箱数据库 防护和手动数据库扫描的规则定义不同的条件和操作 这是因为其中每种保护类型都会在处理邮件时使用稍微 不同的方法 尤其是邮件传输防护 规则分为三个级别 按以下顺序进行评估 过滤规则 (1) - 反垃圾邮件和病毒防护扫描前评估的规则 附件处理规则 (2) - 病毒防护扫描期间评估的规则 结果处理规则 (3) - 病毒防护扫描后评估的规则 示例 对象 隔离包含恶意软件或受密码保护 损坏或加密的附件的邮件 为邮件传输防护创建以下规则 条件 类型 病毒防护扫描结果 操作 不是 参数 清除 操作 类型 隔离邮件 示例 对象 将未通过 SPF 检查的邮件移动到垃圾邮件文件夹 为邮件传输防护创建以下规则 条件 类型 SPF 结果 操作 为 参数 已失败 107

108 操作 类型 设置 SCL 值 值 5 根据 Exchange Server 的 Get-OrganizationConfig cmdlet 的SCLJunkThreshold 参数设置值 有关更多 详细信息 请参阅 SCL 阀值操作文章 示例 对象 丢弃来自特定发件人的邮件 为邮件传输防护创建以下规则 条件 类型 发件人 操作 为 为其中一个 参数 spammer1@domaincom, spammer2@domaincom 操作 类型 以静默方式丢弃邮件 示例 对象 自定义预定义的规则 详细信息 在使用禁止的压缩文件附件规则时 允许在来自指定 IP 地址 例如内部系统 的邮件中压缩附件 打开邮件传输防护规则集 选择禁止的压缩文件附件 然后单击编辑 添加新条件 类型 发件人的 IP 地址 操作 不是 不是任何 参数 1112, 如果已添加新规则或已修改现有规则 将使用新的 修改的规则自动开始重新扫描邮件 如果在设置菜单或高级设置 (F5) > 服务器 > 病毒和间谍软件防护中为邮件传输或邮箱数据库防护层禁用病毒 防护 它会影响以下规则条件 附件名称 附件大小 附件类型 病毒防护扫描结果 附件受密码保护 附件是已损坏的压缩文件 包含已损坏的压缩文件 包含受密码保护的压缩文件 此外 如果在设置菜单或高级设置 (F5) > 服务器 > 病毒和间谍软件防护中为邮件传输层禁用病毒防护 它会 影响以下规则操作 隔离附件 删除附件 108

109 4151 规 则 列 表 规则列表窗口将显示现有规则 规则分为三个级别 按以下顺序进行评估 过滤规则 (1) - 反垃圾邮件和病毒防护扫描前评估的规则 附件处理规则 (2) - 病毒防护扫描期间评估的规则 结果处理规则 (3) - 病毒防护扫描后评估的规则 同级规则的评估顺序与其在 规则 窗口中的显示顺序相同 您只能更改同级规则的规则顺序 示例 当您具有多个过滤规则时 您可以更改应用它们的顺序 您无法通过将附件处理规则放在过滤规则前来更改 它们的顺序 向下/向下按钮将不可用 换句话说 您无法混合不同级别的规则 点击数列显示成功应用规则的次数 取消选中复选框 位于每个规则名称的左侧 可停用相应的规则 直到您再 次选中该复选框 重要信息 通常 如果符合规则的条件 则对于后续较低优先级的规则 将停止规则评估 但是 可以根据需要使用名为 评估其他规则的特殊规则操作来继续执行评估 添加 - 添加新规则 编辑 - 修改现有规则 查看 - 允许您查看从 ERA 策略分配的配置 删除 - 删除所选规则 向上 - 在列表中向上移动所选规则 向下 - 在列表中向下移动所选规则 重置 - 重置所选规则的计数器 点击数 列 如果已添加新规则或已修改现有规则 将使用新的 修改的规则自动开始重新扫描邮件 109

110 当邮件由邮件传输防护 邮箱数据库防护或手动数据库扫描处理时 将针对该邮件来检查规则 每个保护层有 单独的规则集 当邮箱数据库防护或手动数据库扫描规则条件匹配时 规则计数器的计数可能增加 2 或更多 这是因为这些保 护层单独访问邮件的正文和附件 所以规则分别应用于各个部分 在后台扫描期间也应用邮箱数据库防护规则 例如 当 ESET Mail Security 在新的病毒库下载后执行邮箱扫描时 这可增加规则计数器 命中 的计数 规 则 向 导 您可以使用规则向导定义条件和操作 首先定义条件 然后定义操作 某些条件和操作因特定于邮件传输防护 邮箱数据库防护和手动数据库扫描的规则而异 这是因为其中每种保护类型都会在处理邮件时使用稍微不同的 方法 尤其是邮件传输防护 1 单击添加 将显示一个规则条件窗口 您可以从中选择条件类型 操作和值 2 您可以从此处添加规则操作 3 定义条件和操作后 请键入规则的名称 您将根据它来识别规则 此名称将显示在规则列表中 名称为必填字段 如果该字段以红色突出显示 请在文本框中键入规则名称 然后单击确定以创建该规则 即使已输入规则名称 红色突出显示也不会消失 直到您单击确定之后才会消失 4 如果要准备规则但打算以后再使用它们 可以单击活动旁边的开关来停用规则 若要激活规则 请从规则 列表中选中要激活的规则旁边的复选框 重要信息 您可以定义多个条件 如果您定义了多个条件 则必须满足所有条件才能应用该规则 使用逻辑运算符 AND 连接所有条件 即使大部分条件都满足 但有一个条件不满足 也会将条件评估结果视为不满足 并且不会 执行该规则的操作 如果使用参数 %IPAddress% 为邮箱数据库防护配置操作类型登录事件 对于此特定事件 日志文件中的事 件列将为空 这是因为在邮箱数据库防护级别上没有 IP 地址 某些选项并不适用于所有防护级别 IP 地址 - 手动数据库扫描和邮箱数据库防护会忽略它 110

111 邮箱 - 邮件传输防护会忽略它 规 则 条 件 您可以使用此向导来为规则添加条件 从下拉列表中选择条件类型和一个操作 操作列表会根据您选择的规则 类型而更改 然后选择一个参数 参数字段将根据规则类型和操作而更改 或者 您可以指定正则表达式 选择 操作匹配正则表达式或不匹配正则表达式 ESET Mail Security 使用 std::regex 有关构建正则表达式 请参考 ECMAScript 语法 示例 例如 选择文件大小 > 大于 然后在参数下指定 10 MB 使用这些设置后 将使用您已指定的规则操作处理 任何大于 10 MB 的文件 因此 如果您在为规则设置参数时未指定在触发给定规则时所执行的操作 您应该 指定该操作 重要信息 您可以定义多个条件 如果您定义了多个条件 则必须满足所有条件才能应用该规则 使用逻辑运算符 AND 连接所有条件 即使大部分条件都满足 但有一个条件不满足 也会将条件评估结果视为不满足 并且不会 执行该规则的操作 以下条件类型适用于邮件传输防护 邮箱数据库防护和手动数据库扫描 根据之前所选的条件 某些选项可 能不显示 条件名称 邮箱数 邮件传 据库防 输防护 护 手动数 据库扫 描述 描 主题 应用于主题中包含或未包含特定字符串 或正则表达式 的 邮件 发件人 应用于由特定发件人发送的邮件 SMTP 发件人 SMTP 连接期间所使用的 MAIL FROM 信封属性也用于 SPF 验证 发件人的 IP 地址 应用于从特定 IP 地址发送的邮件 发件人的域 应用于来自电子邮件地址中包含特定域的发件人的邮件 SMTP 发件人的域 应用于来自电子邮件地址中包含特定域的发件人的邮件 From 标头 From: 值包含在消息头中 这是收件人可见的地址 但未 检查发送系统是否授权代表该地址进行发送 它经常用于 欺骗发件人 收件人 应用于发送给特定收件人的邮件 收件人的组织单位 应用于发送给属于特定组织单元的收件人的邮件 收件人验证结果 应用于在发送给在 Active Directory 中经验证的收件人的邮 件 附件名称 应用于包含带有特定名称的附件的邮件 附件大小 应用于带有未达到指定大小 在指定大小范围内或超出指 定大小的附件的邮件 111

112 条件名称 邮箱数 邮件传 据库防 输防护 护 手动数 据库扫 描述 描 附件类型 应用于附带指定文件类型的邮件 文件类型归类为多个组以 便于选择 您可以选择多个文件类型或全部类别 邮件大小 应用于带有未达到指定大小 在指定大小范围内或超出指 定大小的附件的邮件 邮箱 应用于位于特定邮箱中的邮件 邮件标题 应用于邮件标题中存在特定数据的邮件 反垃圾邮件扫描结 果 应用于标记为或未标记为有害或垃圾邮件的邮件 病毒防护扫描结果 应用于标记为恶意或非恶意的邮件 内部邮件 根据邮件是否是内部邮件来应用 接收时间 应用于在特定日期之前或之后或者在特定日期范围内接收 的邮件 包含受密码保护的 压缩文件 应用于带有受密码保护的压缩文件附件的邮件 包含已损坏的压缩 文件 应用于带有已损坏 很可能无法打开 的压缩文件附件的邮 件 附件是受密码保护 的压缩文件 应用于受密码保护的附件 附件是已损坏的压 缩文件 应用于已损坏 很可能无法打开 的附件 文件夹名称 应用于位于特定文件夹中的邮件 如果相应文件夹不存在 会创建该文件夹 此操作不适用于公共文件夹 DKIM 结果 应用于通过或未通过 DKIM 验证 如果不可用 则二者择一 的邮件 SPF 结果 应用于通过或未通过 SPF 验证 如果不可用 则二者择一 的邮件 DMARC 结果 应用于通过或未通过 SPF DKIM 或两者同时验证 如果不可 用 则二者择一 的邮件 条件类型与以下操作相关联 字符串 是 不是, 包含, 不包含, 匹配, 不匹配, 在其中, 不在其中 数量 小于, 大于, 介于 文本 包含, 不包含, 匹配,不匹配 日期时间 小于, 大于, 介于 枚举 是 不是 在其中 不在其中 112

113 如果附件名或附件类型为 Microsoft Office (2007+) 文件 则 ESET Mail Security 将其视为压缩文件 这意味着已 提取其内容并且对 Office 压缩文件 例如 docx xlsx xltx pptx ppsx potx等 中包含的每个文件分别 进行扫描 规 则 操 作 您可以添加将对与规则条件匹配的邮件和 或附件执行的操作 可以为一个规则添加多个操作 邮件传输防护 邮箱数据库防护和手动数据库扫描的可用操作列表 根据所选的条件 某些选项可能不显 示 操作名称 邮件传 输防护 邮箱数 据库防 护 手动数据 描述 库扫描 隔离邮件 邮件将不会投递给收件人 并且将移动到邮件隔离区 隔离附件 将电子邮件附件放入文件隔离区 电子邮件将投递给收 件人 同时将附件截断为零长度 删除附件 删除邮件附件 邮件将在不带附件的情况下投递给收件 人 拒绝邮件 将不会投递邮件 并且将向发件人发送一个 NDR 未送达 报告 以静默方式丢弃邮 件 在不发送 NDR 的情况下删除邮件 设置 SCL 值 更改或设置特定的 SCL 值 发送电子邮件通知 将电子邮件通知发送给电子邮件通知中指定的收件人 您需要启用通过电子邮件发送事件通知功能 然后 您可 以自定义事件邮件的格式 使用提供建议的工具提示 同时创建规则 此外 您可以为事件邮件选择级别 但是 这取决于电子邮件通知部分中的最低级别设置 跳过反垃圾邮件扫 描 反垃圾邮件引擎将不会扫描邮件 跳过病毒防护扫描 病毒防护引擎将不会扫描邮件 评估其他规则 允许评估其他规则 使用户可以定义多组条件以及要在 给定条件下执行的多种操作 记入事件 将有关应用规则的信息写入程序日志 并定义事件邮件 的格式 使用提供建议的工具提示 添加标题字段 将自定义字符串添加到邮件标题 使用操作信息替换 附件 删除附件 并将有关对附件所执行操作的信息添加到电 子邮件正文 删除邮件 删除被感染的邮件 113

114 操作名称 邮件传 输防护 邮箱数 据库防 护 手动数据 描述 库扫描 将电子邮件移到文 件夹 会将邮件移动到特定文件夹 将邮件移至垃圾桶 将电子邮件放入电子邮件客户端的垃圾桶文件夹 应用 DMARC 策略 如果满足 DMARC 结果条件 将根据发件人域的 DMARC DNS 记录中指定的策略处理电子邮件 416 邮 件 传 输 防 护 以下系统的高级设置 > 服务器下提供了邮件传输防护 Microsoft Exchange Server 2003 前端服务器 Microsoft Exchange Server 2003 带有多种角色的单服务器安装 Microsoft Exchange Server 2007 Edge 传输或 Hub 传输服务器角色 Microsoft Exchange Server 2007 带有多种角色的单服务器安装 Microsoft Exchange Server 2010 Edge 传输或 Hub 传输服务器角色 Microsoft Exchange Server 2010 带有多种角色的单服务器安装 Microsoft Exchange Server 2013 Edge 传输服务器角色 Microsoft Exchange Server 2013 带有多种角色的单服务器安装 Microsoft Exchange Server 2016 Edge 传输服务器角色 Microsoft Exchange Server 2016 邮箱服务器角色 Windows Small Business Server 2008 Windows Small Business Server 2011 在无法清除时可采取的操作下可以设置传输层上的以下任何病毒防护操作 不操作 保留无法清除的被感染邮件 隔离邮件 将被感染邮件发送到隔离邮箱 拒绝邮件 拒绝被感染的邮件 以静默方式丢弃邮件 - 删除邮件时不发送 NDR 未送达报告 如果选择无操作的同时在病毒和间谍软件防护的 ThreatSense 参数中 将清除级别设置为不清除 保护状态 将变为黄色 这是因为此设置存在安全风险 我们建议您不要使用此组合设置 更改两个设置中的任何一 个 以便实现较高的防护级别 在对垃圾邮件采取的操作下可以设置传输层上的以下任何反垃圾邮件操作 114 不操作 - 保留邮件 即使邮件已标记为垃圾邮件 隔离邮件 - 将标记为垃圾邮件的邮件发送到隔离邮箱 拒绝邮件 拒绝标记为垃圾邮件的邮件 以静默方式丢弃邮件 - 删除邮件时不发送 NDR 未送达报告

115 SMTP 拒绝响应 - 您可以指定响应代码 状态代码和响应消息 它们定义邮件遭拒绝时发送给 SMTP 服务器的 SMTP 临时拒绝响应 您可以用以下格式输入响应消息 响应代码 状态代码 响应消息 请求的邮件操作已成功完成 请求的操作已中止 处理时发生本地 错误 请求的操作未执行 邮箱不可用 无效内容 注释 在配置 SMTP 拒绝响应时 也可以使用系统变量 将扫描结果写入邮件标题 - 如果启用 扫描结果将写入邮件标题 这些邮件标题以使它们容易识别的 X_ESET 开头 例如 X_EsetResult 或 X_ESET_Antispam 向已扫描邮件的正文添加通知提供三个选项 不要附加到邮件 仅附加到被感染的邮件 附加到所有已扫描邮件 不适用于内部邮件 向被感染邮件的主题添加注释 - 如果启用 ESET Mail Security 将向电子邮件主题附加通知标签 该标签具有在 添加到被感染邮件主题的模板文本字段中定义的值 预定义的默认文本为 [found threat %VIRUSNAME%] 此 修改可用于通过过滤具有特定主题的电子邮件自动进行被感染邮件过滤 例如使用规则或客户端上的选择 如 果受电子邮件客户端支持 将这些电子邮件放入单独的文件夹 向垃圾邮件的主题添加注释 - 如果启用 ESET Mail Security 将向电子邮件主题附加通知标签 该标签具有在添 加到垃圾邮件主题的模板文本字段中定义的值 预定义的默认文本为 [SPAM] 此修改可用于通过过滤具有特 115

116 定主题的电子邮件自动进行垃圾邮件过滤 例如使用规则或客户端上的选择 如果受电子邮件客户端支持 将这 些电子邮件放入单独的文件夹 注释 当编辑将要添加到主题的文本时 您还可以使用系统变量 4161 高 级 设 置 在本部分中 您可以更改针对传输代理的高级设置 同时扫描从验证或内部连接接收的邮件 - 对于从已进行身份验证的源或者本地服务器收到的邮件 您可以选 择应执行的扫描类型 但是如果您使用内置的 Microsoft SBS POP3 连接器获取来自外部 POP3 服务器或邮件服务 器 例如 Gmailcom Outlookcom Yahoocom gmxdem 等 的电子邮件 建议扫描此类信息 因为可以加强防 护 有关详细信息 请参阅 POP3 连接器和反垃圾邮件 此设置可为已进行身份验证的用户和内部连接打开 关闭反垃圾邮件防护 来自未经过身份验证连接的电子 邮件始终要经过扫描 即使已选择不扫描也是如此 在组织内部 Outlook 的内部邮件将以 TNEF 格式 传送中性封装格式 发送 TNEF 不受反垃圾邮件支持 因 此 TNEF 格式的内部电子邮件将不会被扫描为垃圾邮件 即使已选择通过反垃圾邮件防护扫描或通过病 毒和反垃圾邮件防护扫描也是如此 在标题中搜索发件人的来源 IP 地址 - 如果启用 ESET Mail Security 将在邮件标题中寻找来源 IP 地址 以便不 同的防护模块 反垃圾邮件以及其他模块 可以使用它 如果您的 Exchange 组织被代理 网关或 Edge 传输服务 器隔离 则电子邮件会显示为来自单个 IP 地址 通常是内部地址 通常 在发件人的 IP 地址已知的外部服务器 例如 DMZ 中的 Edge 传输 上 此 IP 地址将写入到所接收的电子邮件的邮件标题中 在下方带有来源 IP 的标 题字段中指定的值是 ESET Mail Security 在邮件标题中寻找的标题 116

117 带有来源 IP 的标题 - 是 ESET Mail Security 在邮件标题中寻找的标题 通常为 X-Originating-IP 但您可以输入其 他行业标准标头 例如 X-Forwarded-For 或 Forwarded 请参阅 HTTP 标头字段列表 对邮箱隔离启用内部邮件的隔离 - 当启用时 将隔离内部邮件 通常无需隔离内部邮件 扫描前删除现有 SCL 标题 - 默认情况下启用此选项 如果需要保留垃圾邮件可信度 (SCL) 标题 您可以禁用此 选项 417 邮 箱 数 据 库 防 护 以下系统的高级设置 > 服务器下提供了邮件数据库防护 Microsoft Exchange Server 2003 后端服务器 Microsoft Exchange Server 2003 带有多种角色的单服务器安装 Microsoft Exchange Server 2007 邮箱服务器角色 Microsoft Exchange Server 2007 带有多种角色的单服务器安装 Microsoft Exchange Server 2010 邮箱服务器角色 Microsoft Exchange Server 2010 带有多种角色的单服务器安装 Windows Small Business Server 2003 Windows Small Business Server 2008 Windows Small Business Server 2011 邮箱数据库防护不适用于 Microsoft Exchange Server 2013 和 2016 如果取消选中启用病毒和间谍软件防护 VSAPI 26 Exchange 服务器的 ESET Mail Security 插件将不会从 Microsoft Exchange Server 进程卸载 它将仅通过邮件而不扫描病毒 然而 仍将扫描邮件是否为垃圾邮件并将 应用规则 如果主动扫描已启用 新的入站邮件将以邮件接收的相同顺序进行扫描 如果此选项已启用 而且用户打开了 还未扫描的邮件 那么此邮件将在队列中的其他邮件之前进行扫描 后台扫描允许扫描要在后台运行的所有邮件 扫描运行在邮箱和公共文件夹存储上 例如 Exchange 数据库 Microsoft Exchange Server 根据各种因素 例如 当前系统负载 活动用户数等 决定是否将运行后台扫描 Microsoft Exchange Server 保留扫描的邮件和所用病毒库版本的记录 如果您打开尚未由最新病毒库扫描的邮 件 Microsoft Exchange Server 会将邮件发送至 ESET Mail Security 以便在电子邮件客户端上打开该邮件之前进 行扫描 您可以选择仅扫描带有附件的邮件并使用以下扫描级别选项根据接收时间进行过滤 所有邮件 过去一年内收到的邮件 过去 6 个月内收到的邮件 过去 3 个月内收到的邮件 上个月收到的邮件 上周收到的邮件 因为后台扫描可能影响系统负载 在每次病毒库更新后执行扫描 我们建议您将扫描安排在空闲时间段执行 计划的后台扫描可以通过计划任务中的特殊任务配置 当您计划后台扫描任务时 可以设置启动时间 重复次 数以及在计划任务中可用的其他参数 在任务已计划后 它将出现在计划任务列表中 您可以修改其参数 删除 它或临时停用该任务 启用扫描 RTF 邮件正文选项将启用 RTF 邮件正文的扫描 RTF 邮件正文可能包含宏病毒 注释 纯文本电子邮件正文不由 VSAPI 扫描 注释 处理公共文件夹的方式与处理邮箱相同 这意味着同样可以扫描公共文件夹 117

118 418 手 动 数 据 库 扫 描 手动数据库扫描适用于以下系统类型 Microsoft Exchange Server 2007 邮箱或 Hub 传输服务器角色 Microsoft Exchange Server 2007 带有多种角色的单服务器安装 Microsoft Exchange Server 2010 邮箱或 Hub 传输服务器角色 Microsoft Exchange Server 2010 带有多种角色的单服务器安装 Microsoft Exchange Server 2013 邮箱服务器角色 Microsoft Exchange Server 2013 带有多种角色的单服务器安装 Microsoft Exchange Server 2016 邮箱服务器角色 Windows Small Business Server 2008 Windows Small Business Server 2011 如果运行的是 Microsoft Exchange Server 或 2016 可以在邮箱数据库防护和手动数据库扫描 之间进行选择 同一时间只能使用其中一种防护类型 如果决定使用 手动数据库扫描 需要在服务器下 的 高级设置 中禁用 邮箱数据库防护 集成 否则 手动数据库扫描将不可用 主机地址 - 运行 EWS Exchange Web 服务 的服务器的名称或 IP 地址 用户名 - 指定对 EWS Exchange Web 服务 拥有相应访问权限的用户凭据 用户密码 - 单击用户密码旁边的设置并键入此用户帐户的密码 重要信息 若要扫描公共文件夹 用于手动数据库扫描的用户帐户需要拥有一个邮箱 否则 数据库扫描日志中将显示 Failed to load public folders 错误消息 Exchange 还会返回更多具体消息 将 ApplicationImpersonation 角色分配到用户 - 如果此选项灰显 需要指定用户名 单击分配以自动将 ApplicationImpersonation 角色分配给选定的用户 此外 也可以手动将 ApplicationImpersonation 角色分配给用 户帐户 有关详细信息 请参阅数据库扫描帐户详细信息 使用 SSL - 在 IIS 中 如果 EWS Exchange Web 服务 设置为要求 SSL 则需启用 SSL 如果启用 SSL 则必须在带有 ESET Mail Security 的系统上导入 Exchange Server 证书 以防 Exchange Server 角色位于不同的服务器上 可以 在 Sites/Default web site/ews/ssl Settings 下的 IIS 中找到 EWS 的设置 仅当您已在 IIS 中将 EWS 配置为不需要 SSL 时才禁用使用 SSL 118

119 客户端证书 - 仅在 Exchange Web 服务需要客户端证书时 才需要对其进行设置 单击选择选择一个证书 无法清除时可采取的操作 此操作字段允许阻止已感染的内容 无操作 - 对被感染的邮件内容不采取任何操作 将邮件移至垃圾桶 - 不支持 公共文件夹 项 将改为应用删除对象操作 删除对象 - 删除被感染的邮件内容 删除邮件 - 删除整个邮件 包括其被感染的内容 使用操作信息替换对象 - 删除某个对象 并包含已删除对象的信息 扫描线程数 - 您可以指定 ESET Mail Security 在扫描数据库时应使用多少个线程 数字越大 性能越好 不过 这 会影响资源的使用量 默认值设置为 6 个扫描线程 注释 如果您配置手动数据库扫描以使用过多线程 可能会给您的系统带来过多负载 这反而可能会减慢其他进 程 甚至整个系统 您可能会遇到显示 打开的并发连接过多 的错误消息 4181 其 他 邮 箱 项 目 您可以使用手动数据库扫描程序设置来启用或禁用其他邮箱项目类型的扫描 扫描日历 扫描任务 扫描联系人 扫描日记 如果您遇到性能问题 可以禁用这些项目的扫描 当启用这些项目时 扫描将需要更长时间 119

120 4182 代 理 服 务 器 如果您在带有 CAS 角色的 Exchange Server 和安装了 ESET Mail Security 的 Exchange Server 之间使用代理服务器 请指定代理服务器的参数 因为 ESET Mail Security 通过 HTTP/HTTPS 连接到 EWS Exchange Web 服务 API 所以 这是必需的 否则 隔离邮箱和 MS Exchange 隔离区将不起作用 代理服务器 - 输入您使用的代理服务器的 IP 地址或名称 端口 - 输入代理服务器的端口号 用户名 密码 - 如果您的代理服务器需要验证 请输入凭据 4183 数 据 库 扫 描 帐 户 详 细 信 息 如果您未在高级设置中为数据库扫描指定用户名和密码 将显示此对话窗口 在此弹出窗口中指定有权访问 EWS Exchange Web 服务 的用户的凭据 然后单击确定 另外 通过按 F5 转到高级设置 然后导航到服务器 > 手动数据库扫描 键入用户名 单击设置 为此用户帐户输入密码 然后单击 确定 单击保存帐户信息旁边的复选框以保存帐户设置 否则 每次运行手动数据库扫描时系统将提示您输入帐户 信息 如果用户帐户没有相应的 EWS 访问权限 可以选择创建 ApplicationImpersonation 角色分配来将此角色分配 到用户帐户 此外 也可以手动分配 ApplicationImpersonation 角色 请参阅下方的说明以了解详细信息 重要信息 扫描帐户必须已分配 ApplicationImpersonation 角色 才能允许扫描引擎扫描 Exchange 邮箱数据库内的用户 邮箱 如果您运行的是 Exchange Server 2010 或更高版本 将为用户帐户创建新的无限制 EWS 限制策略 确保 为扫描帐户配置 EWS 限制策略 以避免 ESET Mail Security 发出过多操作请求 否则可能导致某些请求超时 请参阅 EWS 最佳实践和了解客户端限制策略文章来了解限制策略 另请参阅更改特定用户的用户限制设置 一文来进一步了解详细信息和示例 如果您希望将 ApplicationImpersonation 角色手动分配给某个用户帐户并为此帐户创建新的 EWS 限制策略 可以使用以下命令 将 ESET-user 替换为您的系统中的实际帐户名称 您还可以为 EWS 限制策略设置限制 方法是将 $null 替换为数字 Exchange Server 2007 Get-ClientAccessServer Add-AdPermission -User ESET-user -ExtendedRights ms-exch-epi-impersonation Get-MailboxDatabase Add-AdPermission -User ESET-user -ExtendedRights ms-exch-epi-may-impersonate Exchange Server 2010 New-ManagementRoleAssignment -Name:ESET-ApplicationImpersonation -Role:ApplicationImpersonation User:ESET-user 需要花费一些时间才会生效 120

121 New-ThrottlingPolicy -Name ESET-ThrottlingPolicy -EWSFindCountLimit $null EWSFastSearchTimeoutInSeconds $null -EWSMaxConcurrency $null -EWSPercentTimeInAD $null EWSPercentTimeInCAS $null -EWSPercentTimeInMailboxRPC $null Set-ThrottlingPolicyAssociation -Identity user-eset -ThrottlingPolicy ESET-ThrottlingPolicy Exchange Server 2013 和 2016 New-ManagementRoleAssignment -Name:ESET-ApplicationImpersonation -Role:ApplicationImpersonation User:ESET-user 需要花费一些时间才会生效 New-ThrottlingPolicy -Name ESET-ThrottlingPolicy -EWSMaxConcurrency Unlimited -EwsCutoffBalance Unlimited -EwsMaxBurst Unlimited -EwsRechargeRate Unlimited Set-ThrottlingPolicyAssociation -Identity ESET-user -ThrottlingPolicy ESET-ThrottlingPolicy 419 邮 件 隔 离 邮件隔离管理器可用于所有三种隔离类型 本地隔离 隔离邮箱 MS Exchange 隔离区 可以在适用于所有隔离类型的邮件隔离管理器中查看邮件隔离的内容 另外 本地隔离也可以在邮件隔离 Web 界面中查看 为不存在的收件人存储邮件 - 此设置适用于由病毒防护 反垃圾邮件防护或基于规则标记为要隔离的邮件 启用后 发送给 Active Directory 中不存在收件人的邮件会存储在邮件隔离区中 如果您不希望在邮件隔离区 中保留此类邮件 则禁用此功能 禁用后 将以静默方式丢弃发送给未知收件人的邮件 示例 121

122 如果您要对所有发送给不存在的收件人的邮件进行隔离 不管是否由病毒防护或反垃圾邮件防护标记 请 为邮件传输防护创建特定规则 其中带有条件类型 收件人验证结果 操作 为 参数 包含无效收件人以及 一个操作类型 隔离邮件 发布电子邮件时跳过评价规则 - 当您发布隔离区中的邮件时 不会使用规则对该邮件进行评价 这会阻止 邮件被重新置于隔离区中 并且将成功地向收件人投递已发布的邮件 仅当管理员发布该邮件时 才使用此 功能 如果您禁用此功能 或者邮件由管理员之外的用户发布 将使用规则对该邮件进行评估 上述两个设置仅适用于 Microsoft Exchange Server 2007 及更高版本 4191 本 地 隔 离 本地隔离使用本地文件系统存储隔离的电子邮件 并使用 SQLite 数据库作为索引 出于安全原因 将对存储的 隔离电子邮件文件以及数据库文件进行加密 这些文件位于 C:\ProgramData\ESET\ESET Mail Security \MailQuarantine 在 Windows Server 2008 和 2012 上 或 C:\Documents and Settings\All Users\Application Data \ESET\ESET Mail Security\MailQuarantine 在 Windows Server 2003 上 下 如果想要将隔离的文件存储在默认 C: 驱动器之外的其他磁盘上 请在安装 ESET Mail Security 期间将数据文 件夹更改为您的首选路径 本地隔离功能 垃圾邮件和隔离电子邮件将存储在本地文件系统中 而不是 Exchange 邮箱数据库中 本地已存储隔离电子邮件文件的加密和压缩 作为邮件隔离管理器替代项的邮件隔离 Web 界面 可以使用计划任务向指定的电子邮件地址发送隔离报告 从隔离窗口中删除的隔离电子邮件文件 默认 21 天后 存储在文件系统中 直到指定天数后发生自动检测 旧电子邮件文件的自动检测 默认 3 天后 有关详细信息 请参阅文件存储设置 您可以使用 eshell 还原已删除的隔离电子邮件文件 假设它们尚未从文件系统中删除 使用本地隔离的缺点是 如果您使用 Hub 传输服务器角色运行 ESET Mail Security 多个服务器 则需要分别管 理每个服务器的本地隔离 服务器越多 需要管理的隔离就越多 检查隔离电子邮件并决定删除或发布其中任意电子邮件 若要查看和管理从本地隔离的电子邮件 您可以使 用主 GUI 中的邮件隔离管理器或邮件隔离 Web 界面 文 件 存 储 在此部分中 您可以更改本地隔离区所使用的文件存储的设置 压缩隔离文件 - 压缩隔离文件占用较少磁盘空间 但是如果您决定不压缩文件 则请使用开关关闭压缩 天 后清除旧文件 - 当消息达到指定天数时 将从隔离区窗口中删除这些文件 但是 在 天 后清除旧文 件中指定的天数内将不会从磁盘中删除文件 由于文件不会从系统中删除 可以使用 eshell 恢复此类文件 天 后清除已删除的文件 - 在指定天数后从磁盘中删除文件 这些文件删除后将无法恢复 除非您准备了文 件系统备份解决方案 122

123 41912 W e b 界 面 邮件隔离 Web 界面是对邮件隔离管理器的替代 但是 它仅适用于本地隔离 邮件隔离 Web 界面在带有 Edge 传输服务器角色的服务器上不可用 这是因为无法访问 Active Directory 进行 验证 邮件隔离 Web 界面允许您查看邮件隔离的状态 它还使您可以管理隔离的电子邮件对象 此 Web 界面可通过 隔离报告中的链接或直接通过将 URL 输入 Web 浏览器来访问 若要访问邮件隔离 Web 界面 您必须使用域凭 据进行验证 Internet Explorer 将自动对域用户进行身份验证 但是 网页证书必须有效 自动登录在 IE 中必须 处于启用状态 并且必须将邮件隔离网站添加到本地内联站点 存在于 Active Directory 中的任何用户都可以访问邮件隔离 Web 接口 但只会看到发送到该用户电子邮件地址 这也包括该用户的别名 的隔离项目 管理员能够看到所有收件人的所有隔离项目 启用 Web 界面开关允许您禁用或启用 Web 界面 重要信息 ESET Mail Security 不会使用 IIS 运行邮件隔离 Web 界面 它改为使用 HTTP 服务器 API 该 API 包含对允许通过 安全 HTTP 连接进行数据交换的 SSL 支持 Windows Server 2003 除外 需要在 IIS 中安装网站证书才能支持 SSL 通信 Web URL - 此 URL 上将提供邮件隔离的 Web 界面 默认情况下 它是具有 /quarantine 的服务器的 FQDN 例如 mailservercompanycom/quarantine 您可以指定您自己的虚拟目录 而不是默认的 /quarantine 可以通过编 辑 Web URL 的值来随时进行更改 指定 Web URL 值无需方案 HTTP HTTPS 和端口号 仅采用 fqdn/ virtualdirectory 形式 您还可以使用通配符替代 FQDN 123

124 注释 ESET Mail Security 支持四种不同形式的 Web URL 强通配符 ( +/quarantine) 显式 ( mydomaincom/quarantine) 绑定 IP 的弱通配符 ( /quarantine) 弱通配符 ( */quarantine) 有关详细信息 请参阅 URL 前缀字符串一文的主机说明符类别部分 注释 修改 Web URL 后 可能无法通过单击恢复 图标将它恢复回默认值 删除输入内容 将文本框保留为空 重 新启动服务器 当 ESET Mail Security 启动并发现 Web URL 为空时 它会自动使用默认 fqdn/quarantine 值填 充此字段 HTTPS 端口 - 用于 Web 界面 默认端口号为 443 HTTP 端口 - 用于通过电子邮件报告发布隔离区中的电子邮件 重要信息 如果更改 HTTPS 或 HTTP 的端口号 请务必在 IIS 中添加相应的端口绑定 启用默认管理员 - 默认情况下 将向管理员组的成员授予邮件隔离 Web 界面的管理员访问权限 管理员访问权 限没有限制 可使管理员查看所有收件人的所有隔离项目 如果禁用此选项 则仅管理员用户帐户具有邮件隔 离 Web 界面的访问权限 其他访问权限 - 向用户授予邮件隔离 Web 界面的其他访问权限 并选择访问类型 单击编辑打开其他访问权限 窗口 单击添加向用户授予访问权限 在新访问权限弹出窗口中 单击选择并从 Active Directory 中选择某个用 户 只能选择一个用户 然后从下拉列表中选择访问类型 管理员 - 用户拥有邮件隔离 Web 界面的管理员访问权限 委托的访问权限 - 如果您希望允许 委托 用户查看和管理另一个收件人的隔离邮件 可使用此访问类型 通过键入用户的电子邮件地址来指定收件人地址 该用户的隔离邮件将由代表管理 如果用户在 Active Directory 中具有别名 可以在需要时将其他访问权限添加到每个别名 124

125 被授予邮件隔离 Web 界面的其他访问权限的用户示例 若要访问邮件隔离的 Web 界面 请打开 Web 浏览器并使用在高级设置 > 服务器 > 邮件隔离 > Web 界面 > Web URL 中指定的 URL 发布 - 使用重播目录将电子邮件发布给原始收件人 并将其从隔离区中删除 单击提交确认该操作 从隔离区发布电子邮件时 ESET Mail Security 会忽略 To: MIME 标头 因为它非常容易仿冒 它改为使用来自 SMTP 连接期间获取的 RCPT TO: 命令中的原始收件人信息 这可确保正确的电子邮件收件人收到从隔离区中 发布的邮件 删除 - 从隔离区中删除项目 单击提交确认该操作 125

126 单击主题时 将打开一个弹出窗口 其中含有已隔离电子邮件的详细信息 例如类型 原因 发件人 日期 附件 等 126

127 单击显示标题可查看已隔离电子邮件的标题 如果需要 请单击发布或删除来对隔离的电子邮件执行操作 注释 您必须关闭浏览器窗口才能从邮件隔离 Web 界面完全注销 否则 请单击转到隔离视图来返回到上一屏 幕 重要信息 如果您在从浏览器访问邮件隔离 Web 界面时遇到问题或者得到错误消息HTTP Error Forbidden或类 似消息 请检查选择了哪种隔离类型 并确保它是本地隔离并且启用 Web 界面处于启用状态 127

128 4192 隔 离 邮 箱 和 MS E xc ha ng e 隔 离 如果您决定不使用本地隔离 则您有两个选项 隔离邮箱或 MS Exchange 隔离区 无论您选择哪个选项 您都 需要创建带有一个邮箱 例如 main_quarantine@companycom 的专用用户 之后该用户将用于存储隔离的电 子邮件 此用户和邮箱还将由邮件隔离管理器用于查看和管理隔离区中的项目 您将需要在隔离管理器设置中 指定此用户的帐户详细信息 使用隔离邮箱 MS Exchange 隔离区相对于使用本地隔离区的优势在于 无论有多少使用 Hub 传输服务器角 色的服务器 都从一个位置管理邮件隔离项目 不同于本地隔离 隔离邮箱 MS Exchange 隔离区 SPAM 和隔 离的电子邮件存储在 Exchange 邮箱数据库内 有权访问隔离邮箱的任何人都可以管理隔离邮件 在对隔离邮箱与 MS Exchange 隔离区进行比较后会发现 这两个选项都使用专用邮箱作为存储隔离邮件的内 在机制 但在将电子邮件发送到邮箱时采用的方式上略有不同 隔离邮箱与 MS Exchange 隔离区 如果选择隔离邮箱 则 ESET Mail Security 会创建一封单独的封装电子邮件 其中带有其他信息以及作为附件 的原始电子邮件 然后将它发送到邮箱 如果选择 MS Exchange 隔离区 则 Exchange Server 会亲自负责将该电子邮件发送到邮箱 邮箱必须在 Active Directory 中设置为组织级别的 隔离区 通过以下列出的 PowerShell 命令 重要信息 不建议您使用管理员用户帐户作为隔离邮箱 MS Exchange 隔离区 ESET Mail Security 使用 Microsoft Exchange 隔离系统 这应用于 Microsoft Exchange Server 2007 和更新版本 在此情况下 Exchange 的内部机制用于存储潜在的被感染邮件和垃圾邮件 MS Exchange 隔离区不适用于 Microsoft Exchange 2003 仅本地隔离区和隔离邮箱适用 默认情况下 不激活 Microsoft Exchange 内的内部隔离区 除非已激活它 否则打开 Exchange Management Shell 并键入以下命令 将 Name@domaincom 替换为您的专用邮箱的实际地址 Set-ContentFilterConfig -Quarantin box name@domaincom 隔离邮箱时 指定邮件隔离地址 例如 main_quarantine@companycom 隔 离 区 管 理 器 设 置 主机地址 - 如果您的带有客户端访问服务器 (CAS) 角色的 Exchange Server 存在于本地 将自动显示 此外 如 果 CAS 角色不存在于安装了 ESET Mail Security 的相同服务器上 但可以在 Active Directory AD 内找到它 则主机 地址将自动显示 如果未显示 可以手动键入主机名称 自动检测将不会对 Edge 传输服务器角色起作用 如果您的邮件隔离管理器灰显 这由以下原因造成 您运行的 Microsoft Exchange Server 2003/2003 R2 或 SBS 2003/SBS 2003 R2 不支持此功能 或者未提供 Exchange Web 服务 (EWS) 这不适用于本地隔离 无论是否提供 Exchange Web 服务 (EWS) 本地隔离在所有 Exchange Server 上都能够正常工作 不支持 IP 地址 您需要使用 CAS 服务器的主机名称 用户名 - 您为存储隔离邮件创建的专用隔离用户帐户 或有权通过访问委派访问此邮箱的帐户 在不属于域的 Edge 传输服务器上 必须使用完整的电子邮件地址 例如 main_quarantine@companycom 密码 - 键入您的隔离帐户的密码 使用 SSL - 在 IIS 中 如果 Exchange Web 服务 (EWS) 设置为要求 SSL 则需要启用 如果启用 SSL 则必须在带有 ESET Mail Security 的系统上导入 Exchange Server 证书 以防 Exchange Server 角色位于不同的服务器上 可以 在 Sites/Default web site/ews/ssl Settings 的 IIS 中找到 EWS 的设置 128

129 仅当在 IIS 中 Exchange Web 服务 (EWS) 配置为不需要 SSL 时禁用使用 SSL 忽略服务器证书错误 - 忽略以下状态 自签名 证书中名称错误 使用错误 已过期 代 理 服 务 器 如果您在带有客户端访问服务器 (CAS) 角色的 Exchange Server 和安装了 ESET Mail Security 的 Exchange Server 之 间使用代理服务器 请指定代理服务器的参数 因为 ESET Mail Security 通过 HTTP/HTTPS 连接到 Exchange Web 服务 (EWS) API 所以这是必需的 否则 隔离邮箱和 MS Exchange 隔离区将不起作用 代理服务器 - 输入您使用的代理服务器的 IP 地址或名称 端口 - 输入代理服务器的端口号 用户名 密码 - 如果您的代理服务器需要验证 请输入凭据 4193 隔 离 管 理 器 帐 户 详 细 信 息 如果未针对隔离管理器指定帐户详细信息 用户名和密码 此对话窗口将显示 指定有权访问隔离邮箱的用户 的凭据 然后单击确定 或者 按 F5 访问高级设置并导航到服务器 > 邮件隔离 > 隔离管理器设置 键入您的隔 离邮箱的用户名和密码 单击保存帐户信息旁边的复选框保存帐户设置以供将来在访问隔离管理器时使用 42 计算机 计算机模块可以在设置 > 计算机下找到 它显示之前的章节中所述的防护模块的概述 在此部分中 提供以下 设置 文件系统实时防护 手动扫描计算机 空闲状态下扫描 开机扫描 可移动磁盘 文档防护 HIPS 用于所有防护模块 例如文件系统实时防护 Web 访问保护等 的扫描程序选项允许您启用或禁用对以下对象 的检测 潜在的不受欢迎应用程序 (PUA) 未必是恶意的 但可能会对计算机性能造成不良影响 请阅读词汇表中关于此类应用程序的更多信息 129

130 潜在的不安全应用程序是指有可能被滥用于恶意用途的合法商业软件 潜在的不安全应用程序的示例包 括远程访问工具 密码破解应用程序以及按键记录器 记录用户键盘输入信息的程序 等 此选项默认情况 下处于禁用状态 请阅读词汇表中关于此类应用程序的更多信息 潜在的可疑应用程序包括用加壳程序或保护程序压缩的程序 这些类型的保护程序通常被恶意软件作者 用来逃避检测 反隐藏技术是一个复杂的系统 它能够检测危险程序 例如 rootkits 这些程序可在操作系统下隐藏自己 使得使用普通测试技术无法检测到它们 进程排除 - 允许您排除特定进程 例如备份解决方案的进程 系统将忽略所有归于此类排除进程的文件操作 并将其视为安全操作 从而最大程度地减少对备份进程的干预 排除 - 使您能够将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必 要时才创建排除 您需要排除某个对象的情况可能包括 在扫描期间会使计算机速度变慢的大型数据库条目 扫描 或遇到与扫描冲突的软件 421 检 测 到 渗 透 威胁可通过各种渠道进入系统 如网页 共享文件夹 电子邮件或可移动设备 USB 外部磁盘 CD DVD 软盘 等 标准行为 作为 ESET Mail Security 处理威胁方式的常见示例 可以使用以下功能检测渗透 文件系统实时防护 Web 访问保护 电子邮件客户端防护 手动计算机扫描 每个功能都使用标准清除级别 并且将尝试清除文件并将其移动到隔离区或终止连接 通知窗口显示在屏幕右 下角的通知区域 有关清除级别和行为的详细信息 请参阅清除 清除和删除 如果文件系统实时防护没有预定义操作 程序将显示一个警报窗口 提示您从中选择一个选项 一般会有清 除 删除和不操作等选项 不建议选择不操作 这样将不会清除被感染文件 除非您确信该文件无害 只是检 测失误所致 如果文件遭到了病毒攻击 该病毒在被清除文件上附加了恶意代码 请应用清除 如果是这种情况 请尝试清 除被感染文件 使其恢复到清除之前的初始状态 如果文件全部由恶意代码组成 将删除该文件 如果被感染文件被 锁定 或正在被系统进程使用 通常只在释放后 通常是系统重新启动后 删除 多个威胁 如果在计算机扫描期间没有清除任何被感染文件 或清除级别设置为不清除 则会出现一个警报窗口 提示您 为这些文件选择相应操作 在列表中为每个威胁分别选择一个操作 也可以使用为所有列出的威胁选择操作 并选择一个要在列表中的所有威胁上采取的操作 然后单击完成 删除压缩文件中的文件 在默认清除模式下 仅当压缩文件只包含被感染文件而不包含干净文件时 才会删除整个压缩文件 换言之 如 果还包含无害的干净文件 就不会删除压缩文件 执行严格清除扫描时请小心 启用严格清除时 即使压缩文件 只包含一个被感染文件 无论压缩文件中其他文件的状态如何 都将删除该压缩文件 如果您的计算机有被恶意软件感染的迹象 例如速度下降 常常停止响应等 建议您执行以下操作 打开 ESET Mail Security 并单击计算机扫描 单击智能扫描 有关更多信息 请参见计算机扫描 扫描完成后 查看日志中已扫描文件 被感染文件和已清除文件的数量 如果您只希望扫描磁盘的某一部分 请单击自定义扫描 然后选择要扫描的目标以查找病毒 130

131 422 进 程 排 除 此功能允许您仅将应用程序进程排除在病毒防护访问扫描之外 这些排除可帮助将潜在冲突的风险降至最低 并提高已排除应用程序的性能 进而对操作系统的整体性能产生积极影响 当某个进程排除后 不会监视该进程的可执行文件 ESET Mail Security 将不会监视已排除进程的活动 并且不会 针对该进程所执行的任何文件操作进行任何扫描 依次单击添加 编辑和删除以管理进程排除 示例 Web 访问保护不会考虑此类排除 因此即使您排除了 Web 浏览器的可执行文件 仍然会扫描下载的文件 这 样仍可以检测渗透 此类情况仅作为示例 我们并不建议为 Web 浏览器创建排除 423 自 动 排 除 服务器应用程序和操作系统的开发人员建议 对于其大多数产品 可从病毒防护扫描中排除重要的工作文件和 文件夹集合 病毒防护扫描可能对服务器性能产生不良影响 从而导致冲突甚至妨碍某些应用程序在服务器上 的运行 排除可帮助将潜在冲突的风险降至最低 并在运行病毒防护软件时提高服务器的整体性能 请参阅从 ESET 服务器产品扫描中排除的文件的完整列表 ESET Mail Security 识别重要的服务器应用程序和服务器操作系统文件 并自动将它们添加到排除列表 您可以看 到在自动排除以生成下创建的排除所用于的检测到的服务器应用程序的列表 默认情况下 启用所有的自动 排除 通过单击带有以下结果的开关 您可以禁用 启用每个服务器应用程序 如果应用程序 操作系统排除保持为启用 其任何重要文件和文件夹将添加到不予扫描的文件列表 高级设置 > 计算机 > 基本 > 排除 > 编辑 每次重新启动服务器时 系统会执行排除的自动检查 并还原可能已从列表 删除的任何排除 如果您希望确保始终应用建议的自动排除 则这就是建议的设置 如果用户禁用应用程序 操作系统排除 其重要文件和文件夹将保留在不予扫描的文件列表中 高级设置 > 计 算机 > 基本 > 排除 > 编辑 然而 每次重新启动服务器时 不会自动检查它们 也不会在排除列表中续订 请参见上述第 1 点 我们为高级用户建议此设置 这些用户希望删除或修改一些标准排除 如果您希望从 列表中删除排除而无需重新启动服务器 您将需要从列表中手动删除它们 高级设置 > 计算机 > 基本 > 排除 > 编辑 任何 在高级设置 > 计算机 > 基本 > 排除 > 编辑下 手动输入的用户定义的排除将不受上述设置的影响 Exchange Server 的自动排除基于 Microsoft 的建议 ESET Mail Security 仅应用 目录 文件夹排除 未应用 进程 排除 和 文件扩展名排除 有关详细信息 请参阅以下 Microsoft 知识库文章 运行当前受支持的 Windows 版本的企业计算机的病毒扫描建议 已安装病毒防护软件的 Exchange Server 计算机故障排除的建议 Exchange 2007 上的文件级别的病毒防护扫描 Exchange 2010 上的文件级别的病毒防护扫描 Exchange Server (Exchange 2013) 上的操作系统中的病毒防护软件 在 Exchange 2016 Server 上运行 Windows 病毒防护软件 注释 还有在本地服务器上托管的 DAG 数据库可用性组 中的主动和被动数据库的 Exchange 数据库文件排除 每 30 分钟更新自动排除列表 如果有新创建的 Exchange 数据库文件 将自动排除该文件 无论其状态是主动还 是被动都是如此 131

132 424 共 享 的 本 地 缓 存 通过消除网络中的重复扫描 共享的本地缓存将在虚拟环境中提高性能 这可确保每个文件仅扫描一次并且存 储在共享的缓存中 打开缓存选项开关 以将有关扫描网络上的文件和文件夹的信息保存到本地缓存 如果您 执行新扫描 ESET Mail Security 将在该缓存中搜索已扫描文件 如果文件匹配 将不对其进行扫描 缓存服务器设置包含以下内容 主机名 - 缓存所在的计算机的名称或 IP 地址 端口 - 用于通信的端口号 与在共享的本地缓存中设置的端口号相同 密码 - 指定共享的本地缓存密码 如果需要 425 文 件 系 统 实 时 防 护 文件系统实时防护控制系统中所有与病毒防护相关的事件 在计算机上打开 创建或运行所有文件时 都将扫 描文件是否带有恶意代码 文件系统实时防护在系统启动时启动 默认情况下 文件系统实时防护在系统启动时启动 并提供不间断的扫描 特殊情况下 比如与其他实时扫描程 序存在冲突 可以通过在 高级设置 中取消文件系统实时防护 > 基本下的自动启动文件系统实时防护 来 禁用实时防护 要扫描的对象 默认情况下 所有类型的介质均可扫描以检查是否存在潜在威胁 本地驱动器 - 控制所有系统硬盘 可移动磁盘 - 控制 CD/DVD USB 存储和蓝牙设备等 网络驱动器 - 扫描所有映射的驱动器 建议您使用默认设置且仅在特殊情况 例如 当扫描某些介质使数据传输速度显著降低时 下修改这些设置 运行扫描于 132

133 默认情况下 所有文件都在打开 创建或执行时进行扫描 我们建议您保留这些默认设置 因为它们可为计算机 提供最高级别的实时防护 打开文件 - 启用或禁用打开文件时的扫描 创建文件 - 启用或禁用创建文件时的扫描 执行文件 - 启用或禁用运行文件时的扫描 可移动磁盘访问 - 启用或禁用访问具有存储空间的特定可移动磁盘触发的扫描 关闭计算机 - 启用或禁用在计算机关闭时触发的扫描 文件系统实时防护检查所有类型的介质 并由各种系统事件 例如 访问文件 触发 通过使用 ThreatSense 技术 检测方法 如 ThreatSense 参数部分所述 将文件系统实时防护配置为采用不同的方式对待新创建的文件和现 有文件 例如 您可以将文件系统实时防护配置为更加密切地监视新创建的文件 为确保在使用实时防护时占用最少的系统资源 已扫描的文件不会重复扫描 除非它们已修改 在每次病毒库 更新后立刻重新扫描文件 可使用智能优化控制此行为 如果已禁用智能优化 则每次访问时将扫描所有文 件 若要修改此设置 请按 F5 打开 高级设置 然后依次展开计算机 > 文件系统实时防护 依次单击 ThreatSense 参数 > 其他 然后选中或取消选中启用智能优化 4251 排 除 使用排除可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时 才创建排除 您需要排除某个对象的情况可能包括 在扫描期间会使计算机速度变慢的大型数据库条目扫描 或遇到与扫描冲突的软件 例如备份软件 警告 不要与排除的扩展名混淆 从扫描中排除对象的步骤 单击添加并输入指向对象的路径或在树结构中选择它 可以使用通配符来覆盖一组文件 问号 (?) 表示一个变量字符 而星号 (*) 表示零个或多个字符的变量字符串 示例 如果要排除某个文件夹中的所有文件 键入该文件夹的路径并使用掩码 ** 若要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果只想排除 doc 文件 使用掩码 *doc 如果可执行文件的名称具有一定数量的字符 且字符各不相同 并且您只知道第一个字符 例如 D 使用以下格式 D????exe 问号代替缺失 未知字符 示例 @NAME=Win32/BagleD 示例 可以使用星号 * 来表示文件夹名称 例如 C:\Users\*\Application Data\ 使用星号的其他几个排除示例 C:\Tools - 将自动转换为 C:\Tools\** C:\Tools\*dat - 将排除 Tools 文件夹中的 dat 文件 C:\Tools\sgdat - 将排除位于确切路径中的此特定文件 133

134 如果该文件满足不进行扫描的标准 那么文件系统实时防护模块或计算机扫描模块就不会检测到该文件内 的威胁 列 路径 - 被排除文件和文件夹的路径 威胁 - 如果在已排除文件旁边显示威胁的名称 则表示该文件仅对给定威胁排除 如果该文件稍后被其他恶意 软件感染 将被病毒防护模块检测到 此类型的排除仅可用于特定类型的渗透 它既可以在报告渗透的威胁警报 窗口中创建 单击显示高级选项 然后选择从检测中排除 还可以通过依次选择工具 > 隔离 然后右键单击 隔离文件并从右键菜单中选择恢复并且不扫描来创建 控件元素 添加 - 选择不予检测的对象 编辑 - 使您能够编辑选定的条目 删除 - 删除选定的条目 134

135 42511 添 加 或 编 辑 排 除 可以通过此对话窗口添加或编辑排除 可以采用以下两种方法执行操作 键入通往要排除对象的路径 在树形结构中选择对象 单击文本框末尾的以浏览 如果使用第一种方法 可以使用在排除格式部分中描述的通配符 为此计算机排除 为路径排除 - 排除此计算机的特定威胁或特定路径 排除所有威胁 威胁名称 - 排除应用于潜在的不受欢迎应用程序 潜在的不安全应用程序和可疑应用程序 如果这两个设置都已启用 将无法创建排除 可以使用通配符来覆盖一组文件 问号 (?) 表示一个变量字符 而星号 (*) 表示零个或多个字符的变量字符串 示例 如果要排除某个文件夹中的所有文件 键入该文件夹的路径并使用掩码 ** 若要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果只想排除 doc 文件 使用掩码 *doc 如果可执行文件的名称具有一定数量的字符 且字符各不相同 并且您只知道第一个字符 例如 D 使用以下格式 D????exe 问号代替缺失 未知字符 示例 @NAME=Win32/BagleD 示例 可以使用星号 * 来表示文件夹名称 例如 C:\Users\*\Application Data\ 使用星号的其他几个排除示例 C:\Tools - 将自动转换为 C:\Tools\** C:\Tools\*dat - 将排除 Tools 文件夹中的 dat 文件 C:\Tools\sgdat - 将排除位于确切路径中的此特定文件 135

136 42512 排 除 格 式 可以使用通配符来覆盖一组文件 问号 (?) 表示一个变量字符 而星号 (*) 表示零个或多个字符的变量字符串 示例 如果要排除某个文件夹中的所有文件 键入该文件夹的路径并使用掩码 ** 若要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果只想排除 doc 文件 使用掩码 *doc 如果可执行文件的名称具有一定数量的字符 且字符各不相同 并且您只知道第一个字符 例如 D 使用以下格式 D????exe 问号代替缺失 未知字符 示例 @NAME=Win32/BagleD 示例 可以使用星号 * 来表示文件夹名称 例如 C:\Users\*\Application Data\ 使用星号的其他几个排除示例 C:\Tools - 将自动转换为 C:\Tools\** C:\Tools\*dat - 将排除 Tools 文件夹中的 dat 文件 C:\Tools\sgdat - 将排除位于确切路径中的此特定文件 4252 T hre a ts e ns e 参 数 ThreatSense 技术包括许多复杂的威胁检测方法 此技术具有某种主动性防护功能 也就是说 它可在新威胁开 始传播的较早阶段提供防护 该技术采用代码分析 代码仿真 一般的识别码 病毒库的组合 以显著提高系统 安全性 扫描引擎可同时控制多个数据流 最大限度地提高效率和检测速度 ThreatSense 技术还可成功去除 Rootkit 有关自动启动文件检查的详细信息 请参阅启动扫描 ThreatSense 引擎设置选项允许您指定若干扫描参数 要扫描的文件类型和扩展名 不同检测方法的组合 清除级别等 若要进入设置窗口 请单击 ThreatSense 引擎参数设置 它位于使用 ThreatSense 技术的任何模块的高级设置 窗口中 请参阅下文 不同的安全情形可能要求不同的配置 考虑到这一点 可针对下列防护模块对 ThreatSense 进行单独配置 136 邮件传输防护 手动数据库保护 邮箱数据库防护 Hyper-V 扫描 文件系统实时防护 空闲状态下扫描 开机扫描 文档防护 电子邮件客户端防护

137 Web 访问保护 ThreatSense 参数已针对每个模块进行了高度优化 对其进行修改可能会明显影响系统操作 例如 将参数更改 为始终扫描加壳程序 或在实时文件系统防护模块中启用高级启发式扫描 可能会造成系统性能下降 通常 只 有在扫描新建文件时才使用这些方法 我们建议您保留所有模块 计算机扫描 除外 的默认 ThreatSense 参 数 要扫描的对象 此部分使您可以定义要扫描的计算机组件和文件 以查找渗透 系统内存 - 扫描攻击系统的系统内存的威胁 引导区 - 扫描引导区以检查 MBR 主引导记录 中是否存在病毒 如果运行的是 Hyper-V 虚拟机 将以只读模 式扫描其磁盘 MBR 电子邮件文件 - 该程序支持以下扩展名 DBX (Outlook Express) 和 EML 压缩文件 - 该程序支持以下扩展名 ARJ BZ2 CAB CHM DBX GZIP ISO/BIN/NRG LHA MIME NSIS RAR SIS TAR TNEF UUE WISE ZIP ACE 以及很多其他扩展名 自解压文件 - 自解压文件 (SFX) 是指不需要专门程序对自身进行解压的压缩文件 加壳程序 - 执行后 加壳程序在内存中解压 这一点与标准压缩文件类型不同 除了标准静态加壳程序 UPX yoda ASPack FSG 等 扫描程序能够通过使用代码仿真来识别多种其他类型的加壳程序 对于邮箱数据库防护 将扫描作为附件的电子邮件文件 例如 eml files 无需考虑要扫描的对象下的设置 这是因为 Exchange Server 先解析附加的 eml 文件 然后再提交该文件以供 ESET Mail Security 扫描 VSAPI 插 件从 eml 附件提取文件 而不是接收原始的 eml 文件 扫描选项 选择在扫描系统中的渗透时所用的方法 有以下选项可供使用 启发式扫描 - 启发式扫描是一种分析 恶意 程序行为的算法 此技术的主要优点是能够识别过去不存在或以 前的病毒库无法识别的恶意软件 高级启发式扫描 DNA 病毒库 - 高级启发式扫描具有一种独特的启发式扫描算法 该算法由 ESET 开发 它使 用高级编程语言编写而成 用于优化检测计算机蠕虫和木马 使用高级启发式扫描显著提高了 ESET 产品的威 胁检测功能 病毒库可以可靠地检测和识别病毒 利用自动更新系统 可以在发现威胁后的数小时内提供新病 毒库 该病毒库的缺点是只能检测到它所知道的病毒 或在这些病毒基础上略做修改的版本 清除 清除设置决定在清除被感染文件的过程中扫描程序的行为 共有 3 个清除级别 不清除 - 不会自动清除被感染文件 程序会显示一个警告窗口 允许用户选择操作 此级别专用于更高级的用 户 他们了解在渗透事件中应采取哪些步骤 正常清除 - 程序将根据预定义操作 取决于渗透类型 尝试自动清除或删除被感染文件 屏幕右下角的通知指示 检测到或删除了被感染文件 如果无法自动选择正确操作 程序将提供其他后续操作 如果预定义的操作无法 完成 也会出现相同的情况 严格清除 - 程序将清除或删除所有被感染文件 唯一例外的是系统文件 如果无法清除文件 系统将询问用户 执行哪种操作 警告 如果压缩文件包含一个或多个被感染的文件 有两种选择方式来处理该压缩文件 在默认模式 即正常清 除 中 如果压缩文件包含的文件全部被感染 会删除整个压缩文件 在严格清除模式中 即使压缩文件只 包含一个被感染文件 无论被压缩的其他文件是什么状态 都将删除该压缩文件 重要信息 如果 Hyper-V 主机运行在 Windows Server 2008 R2 上 正常清除和严格清除将不受支持 将以只读模式扫描 137

138 虚拟机磁盘 不会执行清除操作 不论选择何种清除级别 将始终以只读模式执行扫描 排除 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您 定义不扫描的文件类型 其他 配置 ThreatSense 引擎参数设置以进行手动计算机扫描时 其他部分中的以下选项也可用 扫描交换数据流 (ADS) - NTFS 文件系统使用的交换数据流是对普通扫描技术不可见的文件和文件夹关联 许 多渗透试图通过伪装成交换数据流来避开检测 以低优先级运行后台扫描 - 每个扫描序列都消耗一定量的系统资源 如果您使用高系统资源负载的程序 则 可以激活低优先级后台扫描 并为应用程序节约资源 记录所有对象 - 如果选中此选项 日志文件将显示包括未感染文件在内的所有已扫描文件 例如 如果压缩 文件中发现渗透 日志还将列出压缩文件中包含的干净文件 启用智能优化 - 启用智能优化后 使用最优化的设置可确保最高效的扫描级别 同时可保持最高的扫描速 度 各种保护模块可进行智能化扫描 使用不同的扫描方法并将它们应用到特定的文件类型 如果禁用了智能 优化 则在执行扫描时仅应用特定模块的 ThreatSense 核心中用户定义的设置 保存上一个访问时戳 - 选中此选项可以保留已扫描文件的最初访问时间而不是更新时间 例如数据备份系统 所使用的访问时戳 限制 限制部分允许您指定要扫描的对象的最大大小和嵌套压缩文件的层数 对象设置 默认对象设置 - 允许使用默认设置 无限制 ESET Mail Security 将忽略您的自定义设置 最大对象大小 - 定义要扫描对象的最大大小 给定的病毒防护模块将仅扫描小于指定大小的对象 此选项应 仅由具有从扫描中排除大型对象的特定原因的高级用户更改 默认值 无限制 对象的最长扫描时间(秒) - 定义用于对象扫描的最大时间值 如果在此输入用户定义的值 时间用完后病毒 防护模块将停止扫描对象 而不管扫描是否完成 默认值 无限制 压缩文件扫描设置 压缩文件嵌套层数 - 指定压缩文件扫描的最大深度 默认值 10 对于邮件传输防护检测到对象 实际的嵌套层 数为 1 因为电子邮件中的压缩文件附件被视为第一层 例如 如果您将嵌套层数设置为 3 则嵌套层数为 3 的 压缩文件将在传输层上只扫描到其实际层数 2 因此如果您想要邮件传输防护扫描压缩文件到层数 3 请将压 缩文件嵌套层数设置为 4 压缩文件中文件的最大大小 - 此选项允许您指定要扫描的压缩文件 当解压缩时 中所包含文件的最大文件大 小 默认值 无限制 不建议更改默认值 正常情况下应该没有修改它的理由 138

139 42521 不 扫 描 的 文 件 扩 展 名 扩展名是文件名的一部分 由句点分隔 扩展名定义文件类型 通常 扫描所有文件 但如果需要将带有特定扩 展名的文件排除在外 ThreatSense 参数设置让您可以基于文件的扩展名跳过扫描这些文件 如果扫描某些文件 类型会阻止应用程序正常运行 则 排除 可能很有用 示例 若要将一个新扩展名添加到列表中 请单击 添加 在文本框中键入扩展名 例如 tmp 然后单击 确定 如 果选择输入多个值 可以添加由行 逗号或分号分隔的多个文件扩展名 例如 从下拉菜单中选择分号作为 分隔符 然后键入 edb;eml;tmp 可以使用特殊符号? 问号 问号表示任何符号 例如?db 若要显示 Windows 操作系统中所有文件的扩展名 文件类型 请取消选中控制面板 > 文件夹选项 > 查看下 的隐藏已知文件类型的扩展名 其 他 T hre a ts e ns e 参 数 用于新建文件和已修改文件的其他 ThreatSense 参数 - 新建或修改的文件受感染的可能性相对于现有文件更 高 这就是程序使用附加扫描参数检查这些文件的原因 除了使用普通的基于病毒库的扫描方法外 还使用高 级启发式扫描 它可在发布病毒库更新之前检测新威胁 除了新建文件 系统还扫描自解压文件 (sfx) 和加壳程 序 内部压缩的可执行文件 默认情况下 对压缩文件的扫描可深达第 10 个嵌套层 而且不论其实际大小 都 会进行检查 若要修改压缩文件扫描设置 请禁用默认的压缩文件扫描设置 若要了解有关加壳程序 自解压文件以及高级启发式扫描的详细信息 请参阅 ThreatSense 引擎参数设置 用于已执行文件的其他 ThreatSense 参数 - 默认情况下 在执行文件时将使用高级启发式扫描 启用后 强烈 建议您启用智能优化和 ESET LiveGrid 以降低对系统性能的影响 清 除 级 别 实时防护具有三种清除级别 要访问清除级别设置 请单击文件系统实时防护部分中的 ThreatSense 参数 从下 拉列表中选择所需清除级别 不清除 - 不会自动清除被感染文件 程序会显示一个警告窗口 允许用户选择操作 此级别专用于更高级的用 户 他们了解在渗透事件中应采取哪些步骤 正常清除 - 程序将根据预定义操作 取决于渗透类型 尝试自动清除或删除被感染文件 屏幕右下角的通知指示 检测到或删除了被感染文件 如果无法自动选择正确操作 程序将提供其他后续操作 如果预定义的操作无法 完成 也会出现相同的情况 严格清除 - 程序将清除或删除所有被感染文件 唯一例外的是系统文件 如果无法清除文件 系统将询问用户 执行哪种操作 警告 如果压缩文件包含一个或多个被感染的文件 有两种选择方式来处理该压缩文件 在默认模式 即正常清 除 中 如果压缩文件包含的文件全部被感染 会删除整个压缩文件 在严格清除模式中 即使压缩文件只 包含一个被感染文件 无论被压缩的其他文件是什么状态 都将删除该压缩文件 重要信息 如果 Hyper-V 主机运行在 Windows Server 2008 R2 上 正常清除和严格清除将不受支持 将以只读模式扫描 虚拟机磁盘 不会执行清除操作 不论选择何种清除级别 将始终以只读模式执行扫描 139

140 42524 何 时 修 改 实 时 防 护 配 置 文件系统实时防护是维护系统安全的最重要的组件 修改其参数时请务必小心 建议您仅在特定情况下修改其 参数 安装 ESET Mail Security 后 所有设置都会得到优化 以便为用户提供最高级别的系统安全性 若要恢复默认设 置 请在窗口中单击每个选项卡旁边的 高级设置 > 计算机 > 文件系统实时防护 检 查 实 时 防 护 要验证实时防护是否在运行以及是否在检测病毒 请使用来自 eicarcom 的测试文件 此测试文件是一个可供所 有病毒防护程序检测的无害文件 此文件由 EICAR 欧洲计算机防病毒研究协会 公司创建 用于测试病毒防护 程序的功能 此文件可从以下网站下载 实 时 防 护 不 工 作 时 如 何 应 对 在本章中 我们将介绍使用实时防护时可能出现的问题 以及如何排除这些故障 实时防护被禁用 如果用户无意中禁用了实时防护 则需要重新启用它 要重新启用实时防护 请导航至主程序窗口中的设置并 单击文件系统实时防护 如果实时防护未能在系统启动时启动 通常是因为未选中自动启动文件系统实时防护 若要启用此选项 请 导航至高级设置 (F5) 然后在高级设置部分中依次单击计算机 > 文件系统实时防护 > 基本 请确保自动启动 文件系统实时防护已打开 如果实时防护功能不检测和清除渗透 请确保您的计算机上没有安装其他病毒防护程序 如果同时启用两种实时防护 它们可能互相冲突 建议您先 卸载系统上的所有其他病毒防护程序 再安装 ESET 实时防护不启动 如果系统启动时实时防护未启动 且自动启动实时文件系统防护已经启用 可能是因为与其他程序发生冲 突 要获取帮助以解决此问题 请联系 ESET 客户服务 提 交 您可以选择文件和统计信息提交到 ESET 的方式 选择通过远程管理员或直接提交给 ESET 将使用所有可用方 式提交文件和统计信息 选择通过远程管理员选项以将文件和统计信息提交至远程管理服务器 然后将其提 交至 ESET 威胁实验室 如果选中直接提交给 ESET 所有可疑文件和统计信息会直接从程序发送给 ESET 病毒实 验室 当有文件等待提交时 立即提交按钮将处于活动状态 单击此按钮可立即提交文件和统计信息 选中启用日志记录 创建用于记录文件和统计信息提交的日志 统 计 信 息 ThreatSenseNet 早期预警系统将收集您的计算机中与新检测到的威胁相关的匿名信息 该信息可能包括渗透 名称 检测的日期和时间 ESET 安全产品版本 操作系统版本和位置设置等 统计信息通常一天一次或两次发送 给 ESET 服务器 下面是提交的统计数据包示例 # # # # # # # # 140 utc_time= :21:28 country= Slovakia language= ENGLISH osver= NT engine=5417 components=2502 moduleid=0x4e4f4d41 filesize=28368

141 # filename=c:\documents and Settings\Administrator\Local Settings\Temporary Internet Files\ContentIE5\C14J8 提交时间 - 可以定义统计信息的提交时间 如果选择尽快提交 统计信息会在创建后立即发送 该设置适用于 Internet 连接永久可用的情况 如果选择了更新期间 统计信息将在下次更新期间集中提交 可 疑 文 件 可疑文件选项卡可用于配置将威胁提交到 ESET 威胁实验室以供分析的方式 如果发现可疑文件 可以将其提交到我们的威胁实验室进行分析 如果文件是一个恶意应用程序 则下次病毒 库更新中将添加对此程序的检测 文件提交可以设置为自动发生 或者如果希望知道已发送哪些文件供分析 则选择提交前询问并确认提交 如果不想提交任何文件 请选择不提交文件进行分析 选择不提交文件进行分析不会影响统计信息的提交 后 者在其自己的设置中配置 请参见统计信息部分 提交时间 - 默认情况下 选择尽快 以将可疑文件发送到 ESET 威胁实验室 建议使用永久 Internet 连接 这样 可疑文件可及时发送 不致延误 选择更新期间选项 以便将可疑文件在下次更新期间上载到 ThreatSenseNet 排除过滤器 - 排除过滤器允许您不提交某些文件 文件夹 例如 将可能包含机密信息的文件 如文档或电子表 格 排除在外可能很有用 默认情况下 最常见的文件类型均被排除 doc 等 如果需要 可以添加排除文件列 表 联系人电子邮件 - 联系人电子邮件[可选]可以与任何可疑文件一起发送 而且可能用于在需要更多信息以供 分析时联系您 请 除非需要更多信息 否则 ESET 不会与您联系 141

142 426 手 动 计 算 机 扫 描 和 H y p e r-v 扫 描 本部分提供用于选择扫描参数的选项 选定的配置文件手动扫描程序使用的一组特定参数 若要创建新配置 文件 请单击配置文件列表旁边的编辑 此扫描配置文件选择器可应用于手动计算机扫描和 Hyper-V 扫描 如果仅希望扫描特定目标 可以单击扫描目标旁边的编辑 然后从下拉菜单中选择某个选项或从文件夹 树 结 构中选择特定目标 扫描目标窗口允许您定义扫描哪些对象 内存 驱动器 扇区 文件和文件夹 中的渗透 从列有计算机上所有可 用设备的树结构中选择目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 共享文件夹 - 选择本地服务器上共享的所有文件夹 不选择 - 清除所有选择 Hyper -V 下拉菜单的扫描目标允许您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 所有虚拟机 - 选择所有虚拟机 已启动的虚拟机 - 选择所有联机 VM 已关闭的虚拟机 - 选择所有脱机 VM 不选择 - 清除所有选择 单击 ThreatSense 参数 以修改手动计算机扫描程序的扫描参数 例如检测方法 142

143 4261 自 定 义 扫 描 和 H y p e r-v 扫 描 启 动 程 序 如果您仅希望扫描特定目标 可以使用自定义扫描 然后从扫描目标下拉菜单中选择某个选项或从文件夹 树 结构中选择特定目标 此扫描目标选择器可应用于自定义扫描和 Hyper-V 扫描 扫描目标窗口允许您定义扫描哪些对象 内存 驱动器 扇区 文件和文件夹 中的渗透 从列有计算机上所有可 用设备的树结构中选择目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 共享文件夹 - 选择本地服务器上共享的所有文件夹 不选择 - 清除所有选择 Hyper -V 下拉菜单的扫描目标允许您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 所有虚拟机 - 选择所有虚拟机 已启动的虚拟机 - 选择所有联机 VM 已关闭的虚拟机 - 选择所有脱机 VM 不选择 - 清除所有选择 要迅速浏览至某个扫描目标 或添加新的目标文件或文件夹 请在文件夹列表下的空白字段中输入目标对象 仅 当树结构中未选择任何目标并且扫描目标菜单设置为未选择时 才可执行此操作 自定义扫描弹出窗口 如果您仅想扫描系统而不进行附加的清除操作 则选择扫描但不清除 仅当想要获取是否存在受感染项的概要 信息以及获取有关这些受感染项的详细信息 如果有 时非常有用 可以通过依次单击设置 > ThreatSense 参数 > 清除 从三个清除级别中进行选择 扫描信息保存至扫描日志 选择忽略排除后 您能够执行一个扫描 同时忽略已应用的排除 143

144 Hyper-V 扫描弹出窗口 有关详细信息 请参阅 Hyper-V 扫描 可以从扫描配置文件下拉菜单中选择要用于扫描选定目标的配置文件 默认的配置文件为智能扫描 另外还 有两个预定义的扫描配置文件 称为全面扫描和右键菜单扫描 这些扫描配置文件使用不同的 ThreatSense 引 擎参数 单击设置 从 扫描配置文件 菜单中详细配置扫描配置文件 ThreatSense 引擎参数设置中对可用选 项做了说明 单击保存 - 保存对目标选择所做的更改 包括在文件夹树结构中所做的选择 单击扫描以使用已设置的自定义参数执行扫描 作为管理员扫描使您能够使用管理员帐户执行扫描 如果当前用户无权访问要扫描的适当文件 则单击此选 项 请 如果当前用户无法以管理员身份调用 UAC 操作 则此按钮不可用 144

145 4262 扫 描 进 度 扫描进度窗口显示扫描的当前状态以及有关已找到的包含恶意代码的文件数量的信息 某些文件 比如受密码保护的文件或仅由系统使用的文件 通常为 pagefilesys 和某些日志文件 无法扫描很 正常 扫描进度 - 进度条显示已扫描对象相对于待扫描对象的状态 扫描进度状态根据扫描对象总数得出 目标 - 当前扫描的对象及其位置的名称 已找到的威胁 - 显示在扫描过程中已找到的威胁总数 暂停 - 暂停扫描 继续 - 当扫描进度暂停时显示此选项 单击继续可继续扫描 停止 - 终止扫描 滚动扫描日志 - 如果启用 扫描日志将随着新条目的添加自动向下滚动 以便显示出最新的条目 145

146 在扫描过程中 可以单击更多信息查看详细信息 例如 执行扫描的用户 已扫描的对象数和扫描持续时 间 如果手动数据库扫描正在运行 它将显示执行扫描的用户 而不是扫描期间用于连接到 EWS (Exchange Web Services) 的实际数据库扫描帐户 4263 配 置 文 件 管 理 器 配置文件管理器用在 ESET Mail Security 中的两个地方 在手动计算机扫描部分和更新部分中 手动计算机扫描 可以保存您的首选扫描参数以用于将来的扫描 建议您为每次定期扫描创建不同的配置文件 带有各种扫描目 标 扫描方法和其他参数 若要创建新配置文件 请打开高级设置窗口 (F5) 然后依次单击 计算机 > 手动计算机扫描 再单击配置文件 列表旁边的编辑 列出现有扫描配置文件的选定的配置文件下拉列表 为了帮助您创建满足需求的扫描配置 文件 请参阅 ThreatSense 引擎参数设置部分 查看扫描设置中每个参数的描述 示例 假设您想要创建自己的扫描配置文件而且智能扫描配置部分适用 但您不希望扫描加壳程序或潜在的不 安全应用程序 并且还希望应用严格清除 在配置文件管理器窗口中输入新配置文件的名称并单击添加 从 选定的配置文件下拉菜单选择新的配置文件并调整剩余参数以满足要求 单击确定以保存新配置文件 更新 更新设置部分中的配置文件编辑器允许用户创建新的更新配置文件 仅在计算机使用多种方式连接更新服务 器时 才有必要创建自定义更新配置文件 例如 一台笔记本电脑通常连接的是本地网络中的本地服务器 镜像 但在断开与本地网络的连接时 比如出 于商务旅行的需要 可能会使用两个配置文件直接从 ESET 的更新服务器下载更新 第一个配置文件用于连接到 本地服务器 另一个配置文件用于连接到 ESET 服务器 配置完这些配置文件后 浏览到工具 > 计划任务 编辑 更新任务参数 将其中一个配置文件指定为主配置文件 另一个为次配置文件 选定的配置文件 - 当前使用的更新配置文件 要更改它 请从下拉菜单中选择一个配置文件 146

147 配置文件列表 - 新建或编辑更新配置文件 4264 扫 描 目 标 扫描目标窗口允许您定义扫描哪些对象 内存 驱动器 扇区 文件和文件夹 中的渗透 从列有计算机上所有可 用设备的树结构中选择目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 共享文件夹 - 选择本地服务器上共享的所有文件夹 不选择 - 清除所有选择 Hyper -V 下拉菜单的扫描目标允许您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 所有虚拟机 - 选择所有虚拟机 已启动的虚拟机 - 选择所有联机 VM 已关闭的虚拟机 - 选择所有脱机 VM 不选择 - 清除所有选择 4265 暂 停 计 划 扫 描 可以推迟计划扫描 如果要推迟计算机扫描 请为停止计划扫描(分钟)选项设置值 427 空 闲 状 态 下 扫 描 可以在高级设置中启用空闲状态扫描程序或按 F5 然后导航到病毒防护 > 空闲状态扫描 > 基本 将启用空闲 状态扫描旁边的开关设置为启用此功能 当计算机处于空闲状态时 会在所有本地驱动器上执行静默的计算机 扫描 默认情况下 当计算机 笔记本电脑 使用电池运行时 不会运行空闲状态扫描程序 您可以通过选中计算机使 用蓄电池供电时仍然运行扫描旁边的复选框来覆盖此设置 在高级设置中打开启用日志记录开关或按 F5 以将计算机扫描输出记录在日志文件部分 在主程序窗口中 单 击日志文件 然后从下拉菜单中选择日志类型计算机扫描 当您的计算机处于以下状态时 将运行空闲状态检测 关闭屏幕或屏幕保护程序 计算机锁定 用户注销 单击 ThreatSense 参数 以修改空闲状态扫描程序的扫描参数 例如检测方法 428 开 机 扫 描 在默认情况下 自动启动文件检查将在系统启动和病毒库更新时执行 此扫描由计划任务配置和任务控制 启动扫描选项是系统启动文件检查计划任务的一部分 要修改启动扫描设置 导航至工具>计划任务 单击自 动启动文件检查 然后单击编辑 在最后一步中 自动启动文件检查窗口将显示 参见下一章了解更多详细信 息 有关计划任务创建和管理的详细说明 请参见创建新任务 147

148 4281 自 动 启 动 文 件 检 查 在创建系统启动文件检查计划任务时 您可以使用几个选项来调整以下参数 扫描目标下拉菜单指定系统启动时运行的文件扫描深度 文件按照以下标准以升序排列 仅最常用文件 扫描文件最少 常用文件 共用文件 很少使用的文件 所有注册文件 扫描文件最多 还包括两个特定扫描目标组 用户登录前运行的文件 - 包含未经用户登录即可访问的位置的文件 包括几乎所有启动位置 如服务 浏览 器帮助对象 winlogon 通知 Windows 计划任务条目 已知 dll 等 用户登录后运行的文件 - 包含仅在用户登录后才可访问的位置的文件 包括仅由特定用户运行的文件 通常 是 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中的文件 上述每个组的要扫描文件列表是固定的 扫描优先级 - 用于确定何时开始扫描的优先级别 正常 - 平均系统负载 较低 - 低系统负载 最低 - 系统负载最低 空闲时 - 仅在系统空闲时执行任务 429 可 移 动 磁 盘 ESET Mail Security 提供自动可移动磁盘 (CD/DVD/USB) 扫描 此模块允许您扫描插入的媒体 如果计算机管理员 希望防止用户使用带有不请自来内容的可移动磁盘 此模块将很有用 插入可移动磁盘后要采取的操作 - 选择将可移动磁盘插入到计算机 (CD/DVD/USB) 时将执行的默认操作 如果 选择了显示扫描选项 将显示通知 允许您选择所需操作 不扫描 - 将不执行任何操作 同时将关闭检测到新设备窗口 自动设备扫描 - 将执行已插入可移动磁盘设备的手动计算机扫描 显示扫描选项 - 打开可移动磁盘设置部分 插入可移动磁盘后 将显示以下对话框 立即扫描 - 这将触发对可移动磁盘的扫描 稍后扫描 - 将推迟对可移动磁盘的扫描 设置 - 打开 高级设置 始终使用选择的选项 - 选中后 在其他时间插入可移动磁盘时将执行相同的操作 此外 ESET Mail Security 具有设备控制功能 允许您为给定计算机上的外部设备使用定义规则 在设备控制部分 可找到设备控制的更多详细信息 4210 文 档 防 护 文档防护功能会在打开 Microsoft Office 文档之前对其进行扫描 还会扫描通过 Internet Explorer 自动下载的文 件 如 Microsoft ActiveX 元素 文档防护提供文件系统实时防护之外的另一层防护 可以将其禁用以加强没有运 行大容量 Microsoft Office 文档时的系统性能 集成到系统将启动防护系统 若要修改此选项 请按 F5 打开高级设置窗口 然后在 高级设置 树中依次单 击 计算机 > 文档防护 请参阅 Threatsense 参数以获取有关文档防护设置的详细信息 此功能由使用 Microsoft Antivirus API 的应用程序 例如 Microsoft Office 2000 和更高版本或 Microsoft Internet 148

149 Explorer 50 和更高版本 激活 4211 H IP S 基于主机的入侵防御系统 (HIPS) 可保护您的系统 以免恶意软件和任何不受欢迎的活动试图对您的计算机产 生不利影响 HIPS 利用高级行为分析并配合网络过滤的检测功能来监视正在运行的进程 文件和注册表项 HIPS 独立于文件系统实时防护 并且不是防火墙 它仅监视在操作系统中运行的进程 警告 对 HIPS 设置的更改仅应由有经验的用户进行 HIPS 设置的错误配置可能会导致系统不稳定 可以在以下位置找到 HIPS 设置 高级设置树 (F5) > 计算机 > HIPS HIPS 状态 启用 禁用 显示在 ESET Mail Security 主程序窗口的设置选项卡中 位于计算机部分的右侧 ESET Mail Security 具有内置的自我保护技术 可防止恶意软件损坏或禁用病毒和间谍软件防护 这样您可以确 保系统随时受到保护 对启用 HIPS 和启用 SD (自我保护)设置的更改在 Windows 操作系统重新启动后生效 禁 用整个 HIPS 系统也将需要计算机重新启动 高级内存扫描程序与漏洞利用阻止程序结合使用以增强对恶意软件的防范 恶意软件旨在通过迷惑或加密方 法来逃过反恶意软件产品的检测 默认情况下 启用高级内存扫描程序 请阅读词汇表中关于此类防护的更多 信息 漏洞利用阻止程序旨在强化那些经常被漏洞利用的应用程序类型 例如 Web 浏览器 PDF 阅读器 电子邮件客 户端和 MS Office 组件 默认情况下 启用漏洞利用阻止程序 请阅读词汇表中关于此类防护的更多信息 可以使用以下四种模式之一执行过滤 自动模式 - 启用操作 除了保护系统的预定义规则所阻止的操作 智能模式 - 仅通知用户极为可疑的事件 交互模式 - 将提示用户确认操作 基于策略的模式 - 操作被阻止 学习模式 - 启用操作 并在每次操作后创建规则 可在规则编辑器中查看以此模式创建的规则 但其优先级 149

150 低于手动创建的规则或在自动模式下创建的规则的优先级 当您从 HIPS 过滤模式 下拉菜单中选择学习模式 后 学习模式结束时间 设置将变为可用 选择您想要执行的学习模式的持续时间 最长为 14 天 当指定的 持续时间过去后 将会提示您编辑 HIPS 在学习模式下所创建的规则 还可以选择其他过滤模式 或推迟决定 并继续使用学习模式 HIPS 系统监控操作系统内的事件 并根据类似于个人防火墙使用的规则相应地对事件作出反应 单击编辑以打 开 HIPS 规则管理窗口 在此您可以选择 创建 编辑或删除规则 编辑规则一章可以找到关于规则创建和 HIPS 操作的更多详细信息 如果规则的默认操作设置为 询问 每次触发该规则时将显示对话窗口 您可以选择阻止或允许该操作 如果 在给定时间不选择操作 将基于规则选择新操作 此对话窗口使您能够基于 HIPS 检测到的任何新操作来创建规则 然后定义允许或阻止此操作的条件 单击详细 信息可访问具体参数的设置 用这种方式创建的规则相当于手动创建的规则 所以从对话窗口创建的规则可以 比触发该对话窗口的规则更笼统 这意味着 在创建这样的规则后 相同的操作可以触发相同的窗口 暂时对此进程记住此操作将使系统在规则或过滤模式发生更改 HIPS 模块更新或系统重启之前始终使用此操 作 允许 阻止 发生这三项操作中的任意一项后 将删除临时规则 H IP S 规 则 此窗口向您提供了现有 HIPS 规则的概览 列 规则 - 用户定义的或自动选择的规则名称 已启用 - 如果要将规则保留在列表中但不想使用 可停用此开关 操作 - 该规则指定条件正确的情况下应执行的一项操作 允许 阻止或询问 源 - 仅当事件被应用程序触发时才使用该规则 目标 - 仅当操作与特定文件 应用程序或注册表项相关时才使用该规则 日志 - 如果启用此选项 有关此规则的信息将写入到 HIPS 日志中 通知 - 如果事件被触发 在右下角将显示一个小的弹出窗口 150

151 控件元素 添加 - 创建一个新规则 编辑 - 使您能够编辑选定的条目 删除 - 删除选定的条目 示例 在下面的示例中 我们将演示如何限制不需要的应用程序行为 1 命名规则 并从操作下拉菜单中选择阻止 2 打开通知用户开关以在每次应用规则时显示通知 3 至少选择一个将为其应用规则的操作 在源应用程序窗口中 从下拉菜单中选择所有应用程序 以将新 规则应用于尝试在指定应用程序上执行任何选定应用程序操作的所有应用程序 4 选择修改其他应用程序的状态 所有操作在产品帮助中都有介绍 可按 F1 键进行访问 5 从下拉菜单中选择特定应用程序 然后添加一个或几个要保护的应用程序 6 单击完成保存新规则 H IP S 规 则 设 置 规则名称 - 用户定义的或自动选择的规则名称 操作 - 该规则指定条件正确的情况下应执行的一项操作 允许 阻止或询问 操作影响 - 您必须选择将要应用该规则的操作的类型 该规则将仅用于此类型的操作和选定的目标 文件 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择文件 然后单击添加以添加新的文件或文 件夹 还可以从下拉菜单中选择所有文件以添加所有应用程序 应用程序 - 仅当事件被此应用程序触发时才使用该规则 从下拉菜单中选择 特定应用程序 然后单击添加 以添加新文件或文件夹 或者可以从下拉菜单中选择 所有应用程序 以添加所有应用程序 注册表条目 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择 特定条目 然后单击添加以添加 新文件或文件夹 或者可以从下拉菜单中选择 所有条目 以添加所有应用程序 已启用 - 如果要将规则保留在列表中但不想使用 可停用此开关 日志 - 如果启用此选项 有关此规则的信息将写入到 HIPS 日志中 通知用户 - 如果事件被触发 在右下角将显示一个小的弹出窗口 151

152 该规则包含以下部分 它们描述了触发此规则的条件 源应用程序 - 仅当此应用程序触发事件时才会使用该规则 从下拉菜单中选择特定应用程序 然后单击添加 以添加新文件或文件夹 或者可以从下拉菜单中选择所有应用程序以添加所有应用程序 文件 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择特定文件 然后单击添加以添加新的文件或 文件夹 还可以从下拉菜单中选择所有文件以添加所有应用程序 应用程序 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择特定应用程序 然后单击添加以添加 新的文件或文件夹 还可以从下拉菜单中选择所有应用程序以添加所有应用程序 注册表条目 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择特定条目 然后单击添加以添加新 的文件或文件夹 还可以从下拉菜单中选择所有条目以添加所有应用程序 无法阻止 HIPS 预定义特定规则的一些操作 默认为允许这些操作 此外 HIPS 并不监视所有系统操作 HIPS 监视视为不安全的操作 重要操作的说明 文件操作 删除文件 - 应用程序要求获得删除目标文件的权限 写入到文件 - 应用程序要求写入目标文件的权限 直接访问磁盘 - 应用程序尝试以绕过常见 Windows 过程的非标准方式读取或写入磁盘 这可能导致修改 文件而不应用相应规则 尝试回避检测的恶意软件 尝试精确复制磁盘的备份软件或者尝试重新组织磁盘 卷的分区管理器都可能导致此操作 安装全局挂钩 - 指从 MSDN 库调用 SetWindowsHookEx 功能 加载驱动程序 - 在系统上安装和加载驱动程序 应用程序操作 调试其他应用程序 - 将调试程序附加到进程 调试应用程序时 可以查看和修改其行为的许多详细信息 并访问其数据 拦截其他应用程序的事件 - 源应用程序尝试捕获针对特定应用程序的事件 例如尝试捕获浏览器事件的按 键记录程序 终止 暂停其他应用程序 - 暂停 恢复或中止进程 可以直接从进程浏览器或进程窗口访问 启动新应用程序 - 启动新应用程序或进程 修改其他应用程序的状态 - 源应用程序尝试写入目标应用程序内容或运行自己的代码 在阻止此操作使 用的规则中将其配置为目标应用程序 从而保护重要应用程序时此功能可能很有用 注册表操作 修改启动设置 - 定义应用程序在 Windows 启动时如何运行的设置的任何更改 例如 可通过在 Windows 注 册表中搜索 Run 键来找到这些信息 从注册表删除 - 删除注册表项或其值 重命名注册表项 - 重命名注册表项 修改注册表 - 创建注册表项的新值 更改现有值 在数据库树中移动数据 或设置用户或组对注册表项的权 限 在输入目标时 可以使用带有某些限制的通配符 注册表路径中可以使用 星号 符号代替特定项 例如 HKEY_USERS\*\software 可以表示 HKEY_USER\default\software 但不可以表示 HKEY_USERS\S \default\software HKEY_LOCAL_MACHINE\system\ControlSet* 不是有效 的注册表项路径 包含 \* 的注册表项路径定义 此路径 或在该符号后的任意级别的任意路径 这是为文件 目标使用通配符的唯一方式 首先 将评估路径的特定部分 然后是通配符符号 (*) 后的路径 警告 如果您创建过于通用的规则 可能会收到通知 152

153 42112 高 级 设 置 以下选项用于调试和分析应用程序的行为 始终允许加载驱动程序 - 除非用户规则明确阻止 否则始终允许加载选定的驱动程序 无论过滤模式是否已 配置都是如此 记录所有阻止的操作 - 所有阻止的操作将写入到 HIPS 日志中 当启动应用程序发生更改时发送通知 - 每次应用程序添加到系统启动或从中删除时显示桌面通知 始 终 允 许 加 载 驱 动 程 序 始终允许加载此列表中显示的驱动程序 而不管 HIPS 过滤模式是什么 除非明确地通过用户规则阻止 添加 - 添加新的驱动程序 编辑 - 编辑选定驱动程序的路径 删除 - 从列表中删除驱动程序 重置 - 重新加载一组系统驱动程序 如果您不希望包含已手动添加的驱动程序 请单击重置 如果您已添加多个驱动程序并且无法手动将它们从 列表中删除 这将会很有用 43 更新 在更新 > 常规下的高级设置窗口 按键盘上的 F5 键 中 提供了更新设置选项 此部分指定更新源信息 例如 正在使用的更新服务器和这些服务器的验证信息 为使更新正常下载 必须正确填写所有更新参数 如果使用防火墙 请确保您的 ESET 程序能与 Internet 通信 例如 HTTP 通信 常规 当前使用的更新配置文件显示在所选的配置文件下拉菜单中 如果更新出现了问题 请单击清除以清除临时 更新缓存 过期病毒库警报 自动设置病毒库最长保留时长/最长的病毒库保留时长(天) - 允许设置最长保留时长 以天为单位 在此 之后病毒库将报告为已过期 默认值为 7 153

154 回滚 如果您怀疑病毒库和 或程序模块的新更新不稳定或损坏 可以回滚至以前版本并禁用设定时期内的更新 此 外 您可以启用先前禁用的更新 如果曾将其无限期推迟 ESET Mail Security 记录病毒库和程序模块的快照以 用于回滚功能 要创建病毒库快照 请保持创建更新文件快照处于启用状态 本地存储的快照数量字段定义 了存储的先前病毒库快照的数量 示例 以 作为病毒库最新版本 和 存储作为病毒库快照 在下载 之前到 现在不 可用 例如 因为计算机长时间关闭 并且有更新的更新可用 如果将本地存储的快照数量字段设置为 2 并单击回滚 病毒库 包括程序模块 将恢复至版本号 此过程需要一些时间 在 ESET Mail Security 主程 序窗口的更新部分检查病毒库版本是否已降级 配置文件 154

155 若要创建新配置文件 请选择配置文件列表旁边的编辑 输入您自己的配置文件名称 然后单击添加 您可以 使用以下选项编辑配置文件 基本 更新类型 - 从下拉菜单中选择要使用的更新类型 定期更新 - 默认情况下 更新类型 设置为 定期更新 以确保用最少的网络流量从 ESET 服务器自动下载 更新文件 预发布更新 - 是已经经过内部彻底测试的更新 将很快公开提供 您可以通过获得最新检测方法和修补程 序 从启用预发布更新中获益 但是 预发布更新可能并不始终稳定 不得在需要最大程度可用性和稳定性 的生产服务器和工作站上使用 延迟更新 - 允许从提供新版本病毒库的延迟至少 X 小时的特别更新服务器进行更新 即在真实环境中测试 并因此视为稳定的数据库 禁用关于成功更新的通知 - 关闭屏幕右下角的系统托盘通知 如果正在运行全屏应用程序或游戏 选择此 选项很有用 请 演示模式将关闭所有通知 从可移动磁盘更新 - 当可移动磁盘包含了创建的镜像时 允许您从该可移动磁盘更新 选中了自动执行后 将在后台运行更新 如果要显示更新对话框 请选中始终询问 默认情况下 更新服务器菜单设置为自动选择 更新服务器是存储更新的地方 如果使用 ESET 服务器 我 们建议您保持选中默认选项 使用本地 HTTP 服务器 也称为 镜像 时 更新服务器应进行如下设置 使用启用 SSL 的本地 HTTP 服务器时 更新服务器应进行如下设置 使用本地共享文件夹时 更新服务器应进行如下设置 \\computer_name_or_its_ip_address\shared_folder 从镜像更新 155

156 更新服务器的验证基于许可证密钥 该密钥在您购买之后生成并发送给您 当使用本地镜像服务器时 您可 以先定义凭据 以便客户端在接收更新前登录镜像服务器 默认情况下 无需进行验证并且用户名和密码字 段留空 更新模式 HTTP 代理 用以下身份连接到局域网 镜像 431 更 新 回 滚 如果单击回滚 则必须从下拉菜单中选择时间间隔 该间隔表示将暂停病毒库和程序模块更新的时段 选择直到调用可将常规更新无限期推迟 直到您手动恢复更新功能 因为它具有潜在安全风险 我们不建议选 择此选项 病毒库版本降级至最旧版本 并作为快照存储在本地计算机文件系统中 432 更 新 模 式 更新模式选项卡包含关于程序组件更新的选项 此程序使您能够预定义在有新的程序组件升级时执行何种操 作 程序组件更新包含新功能 或对以前版本中已存在的功能进行更改 更新无需用户介入即可自动执行 您也可 以选择执行时收取通知 程序组件更新安装完毕后 可能需要重新启动 在程序组件更新部分中 提供以下三 个选项 下载程序组件前询问 - 默认选项 当更新可用时 将提示您确认或拒绝程序组件更新 总是更新程序组件 - 将自动下载并安装程序组件更新 请记住 计算机可能需要重新启动 从不更新程序组件 - 不执行程序组件更新 该选项适用于服务器安装 因为服务器通常只在进行维护时才重 新启动 最适合选项的选择取决于将应用这些设置的工作站 请工作站和服务器之间存在区别 例如程序更新后 自动重新启动服务器可能会造成严重损害 156

157 如果您想要升级到新版本的 ESET Mail Security 请启用程序组件手动更新 此项默认已禁用 当启用此项并且 较新版本的 ESET Mail Security 可用时 检查更新将显示在更新选项卡中 如果启用了下载更新前先询问选项 在新更新可用时将显示通知 如果更新文件大小大于询问的前提是更新文件大于 (kb) 字段中指定的值 程序将显示通知 157

158 433 H T T P 代 理 若要访问给定更新配置文件的代理服务器设置选项 请单击代理模式并并选择以下三个选项之一 不使用代理服务器 用于指定将不使用代理服务器来更新 ESET Mail Security 代理服务器的默认设置为使用全局代理服务器设置 使用全局代理服务器设置选项将使用已在高级设置 > 工具 > 代理服务器中指定的代理服务器配置选项 在以下情况下应选择通过代理服务器连接选项 o 应使用代理服务器来更新 ESET Mail Security 同时与全局设置 工具 > 代理服务器 中指定的代理服务器不 同 如果是这种情况 应在此处指定设置 代理服务器地址 通信端口 默认情况下是 3128 再加上代理服 务器的用户名和密码 如果需要 o 代理服务器设置未全局设置 但是 ESET Mail Security 将连接到代理服务器以进行更新 o 您的计算机通过代理服务器连接到 Internet 这些设置是在安装程序时从 Internet Explorer 获取的 如果之 后设置发生更改 例如更换了 Internet 服务提供商 请检查此窗口中列出的 HTTP 代理设置是否正确 否则 程序将无法连接到更新服务器 用户名和密码等验证数据用于访问代理服务器 仅当需要用户名和密码时才填写这些字段 请 这些字 段中不能填写 ESET Mail Security 的用户名 密码 仅当您知道通过代理服务器访问 Internet 需要填写密码时 才填写这些信息 如果代理不可用 请使用直接连接 - 如果产品配置为利用 HTTP 代理 但该代理不可访问 该产品将绕过代 理 直接与 ESET 服务器通信 158

159 434 用 以 下 身 份 连 接 到 局 域 网 从运行 Windows 的本地服务器更新时 默认需要对每个网络连接进行验证 配置选项位于更新 > 配置文件 > 用以下身份连接到局域网下的高级设置树 (F5) 中 若要配置您的帐户 请从本地用户类型下拉菜单中选择以 下选项之一 系统帐户(默认) - 使用系统帐户进行验证 通常 如果主更新设置部分不提供验证数据 则不会进行验证 当前用户 - 若要确保程序使用当前登录的用户帐户进行验证 请选择此选项 此解决方案的缺点在于 如果 当前没有用户登录 则程序将无法连接到更新服务器 指定用户 - 若要使用特定用户帐户进行验证 请选择此选项 当默认系统帐户连接失败时使用此方式 请注 意 指定用户帐户必须有权访问本地服务器上的更新文件目录 否则 程序将无法建立连接并下载更新 警告 选择当前用户或指定用户后 如果将程序身份更改为所需用户 可能发生错误 我们建议在主更新设置部 分中输入局域网验证数据 在此更新设置部分中 应按如下所示输入验证数据 domain_name\user 如果是工 作组 请输入 workgroup_name\name 和密码 从本地服务器的 HTTP 版本更新时 无需验证 更新后断开与服务器的连接 - 如果与服务器的连接在更新完成下载后仍保持活动状态 将强制断开连接 159

160 435 镜 像 ESET Mail Security 允许您创建更新文件的副本 可用于更新位于网络中的其他工作站 使用 镜像 - 在局域网环 境中复制更新文件很方便 因为更新文件不需要通过每台工作站从供应商更新服务器反复下载 可将更新下载 到本地镜像服务器 然后分发给所有工作站 以避免网络流量过载风险 从镜像更新客户端工作站可优化网络 负载平衡 并节约 Internet 连接带宽 本地镜像服务器的配置选项位于更新 > 配置文件 > 镜像选项卡中的高级设置树 (F5) 中 创建更新镜像 创建更新镜像 - 启用此选项后 将激活其他镜像配置选项 例如访问更新文件的方式和镜像文件的更新路 径 访问更新文件 通过内部 HTTP 服务器提供更新文件 - 启用后 即可通过 HTTP 访问更新文件 而无需提供凭据 Windows XP 需要 Service Pack 2 或更高版本以使用 HTTP 服务器 在从镜像更新中详细描述了访问镜像服务器的方法 有两种访问镜像的基本方法 具有更新文件的文件夹 可以表示为共享网络文件夹 或者客户端可以访问位于 HTTP 服务器上的镜像 存储镜像文件的文件夹 - 单击清除 如果想要更改存储镜像文件的已定义默认文件夹C:\ProgramData \ESET\ESET File Security\mirror 单击编辑以浏览到本地计算机上的文件夹或共享网络文件夹 如果需要对 指定文件夹的授权 则必须在用户名和密码字段中输入验证数据 如果选定的目标文件夹位于运行 Windows NT/2000/XP 操作系统的网络磁盘上 则指定的用户名和密码必须对选定的文件夹有写权限 用户 名和密码应按照域 用户或工作组 用户的格式输入 请记住提供相应密码 文件 - 配置镜像后 可指定要下载的更新的语言版本 选定的语言必须受用户配置的镜像服务器支持 HTTP 服务器 160

161 服务器端口 - 默认情况下 服务器端口设置为 2221 验证 - 定义用于访问更新文件的验证方法 有以下选项可供使用 无 基本和 NTLM 选择基本以使用 base64 编码进行基本用户名和密码验证 NTLM 选项提供使用安全编码方法的编码 对于验证 将使用在共享更新文件的工作站上创建的用户 默认 设置为无 此设置授予对更新文件的访问权 无需验证 用于 HTTP 服务器的 SSL 添加您的证书链文件 或者如果您要运行具有 HTTPS (SSL) 支持的 HTTP 服务器 也可以生成自签名证书 可用的证书类型包括 PEM PFX 和 ASN 若要获得更高的安全性 您可以使用 HTTPS 协议来下载更新文件 几乎无法跟踪使用此协议的数据传输和登录凭据 默认情况下 私人密钥类型设置为已集成 因此 默认禁用私人密钥文件选项 这意味着私人密钥是所 选证书链文件的一部分 用以下身份连接到局域网 本地用户类型 - 系统帐户(默认) 当前用户和指定用户设置将显示在相应的下拉菜单中 用户名和密码 设置是可选项 请参阅用以下身份连接到局域网 如果更新下载后与服务器的连接仍然保持活动状态 则选择更新后断开与服务器的连接以强制断开连 接 程序组件更新 自动更新组件 - 允许安装新功能并更新现有功能 无需用户介入即可自动执行更新 或者您也可以选择在 执行时收取通知 程序组件更新安装完毕后 可能需要重新启动 立即更新组件 - 将程序组件更新到最新版本 4351 从 镜 像 更 新 有两种配置镜像的基本方法 该镜像实质上是一个存储库 客户端可在其中下载更新文件 具有更新文件的文 件夹可以表示为共享网络文件夹或 HTTP 服务器 使用内部 HTTP 服务器访问镜像 此配置是默认的 在预定义的程序配置中指定 若要允许使用 HTTP 服务器访问镜像 请导航到高级设置 (F5) > 更新 > 配置文件 > 镜像 然后选择创建更新镜像 在HTTP 服务器部分 镜像选项卡内 可以指定 HTTP 服务器将侦听的服务器端口 以及 HTTP 服务器使用的验 证类型 默认情况下 服务器端口设置为 2221 验证选项定义用于访问更新文件的验证方法 有以下选项可供使 用 无 基本和 NTLM 选择基本以使用 base64 编码进行基本用户名和密码验证 NTLM 选项提供使用安全编码方法的编码 对于验证 将使用在共享更新文件的工作站上创建的用户 默认设置为无 此设置授予对更新文件的访问权 无需验证 警告 如果您希望允许通过 HTTP 服务器访问更新文件 镜像文件夹必须和创建它的 ESET Mail Security 实例位于同 一计算机上 用于 HTTP 服务器的 SSL 添加您的证书链文件 或者如果您要运行具有 HTTPS (SSL) 支持的 HTTP 服务器 也可以生成自签名证书 可用 的证书类型包括 PEM PFX 和 ASN 若要获得更高的安全性 您可以使用 HTTPS 协议来下载更新文件 几乎无法 跟踪使用此协议的数据传输和登录凭据 私人密钥类型默认设置为已集成 这意味着私人密钥是所选证书链文 件的一部分 161

162 在几次尝试从镜像更新病毒库失败之后 将在主菜单的 更新 选项卡中显示用户名和 或密码无效错误 建 议导航到高级设置 (F5) > 更新 > 配置文件 > 镜像 然后检查用户名和密码 此错误的最常见原因是错误输 入了验证数据 配置镜像服务器后 您必须在客户端工作站上添加新的更新服务器 要执行该操作 请遵循以下步骤 1 访问高级设置 (F5) 然后依次单击更新 > 配置文件 > 基本 2 取消自动选择并采用以下格式之一将新服务器添加到更新服务器字段 如果使用 SSL 通过系统共享访问镜像 首先 应在本地或网络设备上创建共享文件夹 为镜像创建文件夹时 必须为将更新文件保存到文件夹的用户提 供 写入 权限 为所有将从镜像文件夹更新 ESET Mail Security 的用户提供 读取 权限 接下来 继续在高级设置 > 更新 > 配置文件 > 镜像中配置对镜像的访问 方法是禁用通过内部 HTTP 服务器提 供更新文件 程序安装包中默认启用此选项 如果共享文件夹位于网络中的另一台计算机上 必须输入验证数据以访问该计算机 要输入验证数据 请打开 ESET Mail Security 高级设置 (F5) 然后依次单击更新 > 配置文件 > 用以下身份连接到局域网 如用以下身份 连接到局域网部分所述 此设置和用于更新的设置相同 完成镜像配置后 在客户端工作站上使用以下步骤将 \\UNC\PATH 设置为更新服务器 1 打开 ESET Mail Security 高级设置 (F5) 然后依次单击更新 > 配置文件 > 基本 2 单击更新服务器并使用 \\UNC\PATH 格式添加新服务器 为使更新正常工作 镜像文件夹的路径必须指定为 UNC 路径 从映射驱动器进行的更新可能无法工作 最后一个部分控制程序组件 (PCU) 默认准备下载的程序组件复制本地镜像 如果激活程序组件更新 则无需 162

163 单击更新 因为当文件可用时将自动复制到本地镜像 参见更新模式了解程序组件更新的更多信息 4352 镜 像 文 件 可用和本地化的程序组件文件的列表 4353 镜 像 更 新 问 题 故 障 排 除 在大多数情况下 在从镜像服务器更新的过程中发生的问题可能因以下一种或多种情况引起 错误地指定镜像 文件夹选项 镜像文件夹验证数据不正确 尝试从镜像下载更新文件的本地工作站上的配置不正确 或以上原因 的综合 下面我们简要介绍在从镜像更新的过程中可能发生的最常见问题 连接到镜像服务器时 ESET Mail Security 报告错误 可能因错误地指定本地工作站从中下载更新的更新服务 器 镜像文件夹的网络路径 引起 要验证文件夹 请单击 Windows 开始菜单 单击运行 输入文件夹名称并单 击确定 应显示文件夹的内容 ESET Mail Security 需要用户名和密码 - 可能因在更新部分中输入了错误的验证数据 用户名和密码 引起 用 户名和密码用于授予对更新服务器的访问权 程序将从更新服务器自行更新 确保验证数据正确并以正确格 式输入 例如 域 用户名或工作组 用户名 再加上相应的密码 如果镜像服务器可供 所有人 访问 请 这并不意味着向任何用户授予访问权 所有人 不意味着任何非授权用户 它仅表示文件夹可供所有域用户访 问 因此 如果文件夹可供 所有人 访问 仍需要在更新设置部分中输入域用户名和密码 连接到镜像服务器时 ESET Mail Security 报告错误 定义用于访问 HTTP 版镜像的端口上的通信被阻止 44 Web 和电子邮件 Web 和电子邮件部分允许您配置电子邮件客户端防护 使用 Web 访问保护保护您的 Internet 通信 以及通过 配置协议过滤来控制 Internet 协议 在通过 Internet 通信时 这些功能对于保护您的计算机很重要 电子邮件客户端防护控制所有电子邮件通信 防止恶意代码并允许您在检测到感染时选择要采取的操作 Web 访问保护监视 Web 浏览器和远程服务器之间的通信 并遵从 HTTP 和 HTTPS 规则 此功能还允许您阻止 允许或排除某些 URL 地址 协议过滤为应用程序协议提供高级保护 它由 ThreatSense 扫描引擎提供 无论使用 Web 浏览器还是使用电子 邮件客户端 该控件都会自动工作 它还可用于加密的 (SSL/TLS) 通信 在 Windows Server 2008 Windows Server 2008 R2 Small Business Server 2008 和 Small Business Server 2011 上 默认情况下禁止安装 Web 和电子邮件组件 如果您想要安装此功能 请选择自定义安装类型 如果已安 装 ESET Mail Security 可以再次运行安装程序 以便通过添加 Web 和电子邮件组件来修改现有安装 441 协 议 过 滤 针对应用程序协议的病毒防护由 ThreatSense 扫描引擎提供 该引擎集成了多种高级恶意软件扫描技术 无论 使用哪种 Internet 浏览器或电子邮件客户端 协议过滤都会自动工作 如果协议过滤已启用 ESET Mail Security 将检查使用 SSL/TLS 协议的通讯 请转到 Web 和电子邮件 > SSL/TLS 启用应用程序协议内容过滤 可以用于禁用协议过滤 请 许多 ESET Mail Security 组件 Web 访问保护 电子邮件协议防护和网络钓鱼防护 都依赖于此选项 如果没有此选项 组件将不起作用 排除的应用程序 - 允许您从协议过滤中排除特定应用程序 单击编辑 从应用程序列表中进行选择 排除的 IP 地址 - 允许您从协议过滤中排除特定远程地址 协议过滤导致兼容性问题时 排除非常有用 163

164 4411 排 除 的 应 用 程 序 要将特定网络感知应用程序的通信排除在内容过滤之外 请在列表中选择它们 将不检查选定应用程序的 HTTP/POP3 通信是否存在威胁 重要信息 我们建议 仅当应用程序无法正常工作而需要检查其通信时才使用此选项 可使用的功能如下所示 添加 显示已受协议过滤影响的应用程序和服务 编辑 - 从列表中选择的应用程序 删除 - 从列表中选择的应用程序 4412 排 除 的 IP 地 址 此列表中的 IP 地址将被排除在协议内容过滤之外 将不检查往返选定地址的 HTTP/POP3/IMAP 通信是否存在威 胁 重要信息 我们建议仅在地址可信赖时使用此选项 可使用的功能如下所示 添加 - 添加将应用规则的远程点的 IP 地址 地址范围 子网 当选择输入多个值时 可以添加由换行符 逗号或分号分隔的多个 IP 地址 启用多项选择时 地址将显示在已 排除 IP 地址的列表中 编辑 - 编辑选择的 IP 地址 删除 - 从列表中删除选择的 IP 地址 4413 W e b 和 电 子 邮 件 客 户 端 由于 Internet 上充斥着大量恶意代码 安全浏览 Internet 就成了计算机保护的一个非常重要的方面 Web 浏览 器的漏洞和欺骗链接能够帮助恶意代码进入系统且不会引起 这也是 ESET Mail Security 注重 Web 浏览器安 全性的原因所在 访问网络的每个应用程序都可以标记为 Internet 浏览器 可以将已使用协议进行通信的应用 程序或来自选定路径的应用程序添加到 Web 和电子邮件客户端列表 从 Windows Vista Service Pack 1 和 Windows Server 2008 开始 使用新的 Windows 过滤平台 (WFP) 架构检查 网络通信 由于 WFP 技术使用了特殊的监视技术 因此 Web 和电子邮件客户端部分不可用 442 S S L/ T LS ESET Mail Security 能够检查使用 SSL/TLS 协议的通信中是否存在威胁 通过受信任的证书 未知证书或不受 SSL 保护的通信检查的证书 可以将不同的扫描模式用于检查受 SSL 保护的通信 启用 SSL/TLS 协议过滤 - 如果禁用协议过滤 该程序将不会通过 SSL/TLS 扫描通信 SSL/TLS 协议过滤模式在以下选项中可用 自动模式 - 选择此选项来扫描所有受 SSL/TLS 保护的通信 除了由排除在检查之外的证书保护的通信 如 果使用未知的 签署的证书建立了新通信 不会提示您 且通信将自动被过滤 当不受信任的证书被标记 为受信任 位于受信任的证书列表上 而用来访问服务器时 会允许对该服务器的通信 也会过滤通信通 道的内容 交互模式 - 如果您输入一个受 SSL/TLS 保护的新站点 使用未知证书 将显示操作选择对话框 此模式允 许您创建将不扫描的 SSL/TLS 证书列表 164

165 已知证书列表 - 允许您自定义针对特定 SSL 证书的 ESET Mail Security 行为 阻止使用已过时 SSL v2 协议加密的通信 - 将自动阻止使用该早期版本的 SSL 协议的通信 根证书 要使 SSL/TLS 通信在您的浏览器 电子邮件客户端中正常工作 请务必将 ESET 根证书添加到已知根证书 发布者 的列表中 应启用将根证书添加到已知浏览器 选中此选项可自动将 ESET 根证书添加到已知浏览器 如 Opera 和 Firefox 对于使用系统证书存储的浏览器 会自动添加证书 例如 在 Internet Explorer 中 要将该证书应用到不受支持的浏览器 请依次单击查看证书 > 详细信息 > 复制到文件 然后手动将其导入该 浏览器 证书有效性 使用 TRCA 证书机构无法验证该证书时 在某些情况下 无法使用受信任的根证书颁发机构 (TRCA) 验证网站证 书 这意味着该证书将由某人 例如 Web 服务器或小型企业的管理员 签名 将此证书视为受信任并不总是存在 风险 大部分大型企业 例如银行 使用 TRCA 签名的证书 如果选中了询问证书的有效性 默认为选中 将在 建立加密通信时 提示用户选择要采取的操作 您可以选择阻止使用该证书的通信 以始终终止使用未验证证 书站点的加密连接 该证书无效或已损坏时 这意味着证书已过期或已错误地签名 在这种情况下 我们建议保持选中阻止使用该 证书的通信 4421 加 密 的 S S L 通 信 如果您的系统配置为使用 SSL 协议扫描 在两种情况下将显示用于提示您选择操作的对话窗口 首先 如果网站使用无法验证或无效的证书 而且 ESET Mail Security 配置为在此类情况下询问用户 默认情况 下 无法验证的证书为 是 无效的证书为 否 将显示一个对话框询问您允许还是阻止该连接 其次 如果 SSL 协议过滤模式设置为交互模式 用于每个网站的对话框都将询问要扫描还是忽略通信 某些应 用程序验证其 SSL 通信未受到任何人的修改或检查 在此类情况下 ESET Mail Security 必须忽略该通信以保持应 用程序正常工作 在这两种情况下 用户可以选择记住选中的操作 保存的操作存储在已知证书列表中 165

166 4422 已 知 证 书 列 表 已知证书列表可用于自定义特定 SSL/TLS 证书的 ESET Mail Security 行为 如果在 SSL/TLS 协议过滤模式下选中交 互模式 还可用于记住所选的操作 可以通过单击已知证书列表旁边的编辑 查看和管理该列表 您可以从以下操作中选择 添加 - 从 URL 或文件添加证书 编辑 - 选择您希望配置的证书 然后单击编辑 删除 - 选择您希望删除的证书 然后单击删除 转到添加证书窗口后 单击 URL 或文件 然后指定证书 URL 或浏览到证书文件 将自动使用证书中的数据填充 以下字段 证书名称 - 证书的名称 证书颁发者 - 证书创建者的名称 证书主题 - 主题字段可标识与存储在主题公共密钥字段中的公共密钥相关联的实体 可以配置的选项 选择允许或阻止作为访问操作 以允许 阻止受此证书保护的通信 不管其可信度如何都是如此 选择自动 以允许受信任的证书并询问是否允许不受信任的证书 选择询问 在遇到特定证书时会收到提示 选择扫描或忽略作为扫描操作 以扫描或忽略受此证书保护的通信 选择自动以在自动模式下扫描并在交 互模式进行询问 选择询问 在遇到特定证书时会收到提示 单击确定 保存更改 或单击取消 在不保存的情况下退出 166

167 443 电 子 邮 件 客 户 端 防 护 ESET Mail Security 与电子邮件客户端的集成可提高针对电子邮件中恶意代码的主动防护级别 如果您的电子邮 件客户端受支持 则可以在 ESET Mail Security 中启用集成 如果激活了集成 则 ESET Mail Security 工具栏将直接 插入电子邮件客户端 未插入适用于较新版本的 Windows Live Mail 的工具栏 从而提供更高效的电子邮件防 护 集成设置位于设置 > 高级设置 > Web 和电子邮件 > 电子邮件客户端防护 > 电子邮件客户端下 电子邮件客户端集成 当前受支持的电子邮件客户端包括 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 电 子邮件保护的工作方式和这些程序的插件相同 插件的主要优点在于它独立于所用的协议 当电子邮件客户端 收到加密邮件时 邮件会解密并发送给病毒扫描程序 有关支持的电子邮件客户端及其版本的完整列表 请参 阅以下知识库文章 即使未启用集成 电子邮件通信仍受电子邮件客户端防护模块 POP3 IMAP 保护 如果使用电子邮件客户端 仅限 MS Outlook 时遇到系统运行缓慢的情况 请启用禁用对收件箱内容更改的检 查 当从 Kerio Outlook Connector Store 中检索电子邮件时可能会发生这种情况 要扫描的电子邮件 已接收的电子邮件 - 切换到检查已接收到的邮件 已发送的电子邮件 - 切换到检查已发送的邮件 已阅读的电子邮件 - 切换到检查已阅读的邮件 要对被感染的电子邮件执行的操作 不操作 - 如果启用 则程序虽能识别感染的附件 但不会对电子邮件采取任何操作 删除电子邮件 - 程序会通知用户有关渗透的信息并删除邮件 将电子邮件移到已删除文件夹 - 受感染的电子邮件将自动移至 已删除 文件夹 将电子邮件移到文件夹 - 受感染的电子邮件将自动移至指定的文件夹 文件夹 - 指定希望将检测到的受感染电子邮件移到的自定义文件夹 更新后重新扫描 - 在病毒库更新后切换到重新扫描 接受其他模块的扫描结果 - 如果选中此选项 电子邮件保护模块会接受其他保护模块的扫描结果 POP3 IMAP 协议扫描 4431 电 子 邮 件 协 议 启用通过协议过滤提供电子邮件防护 IMAP 和 POP3 协议是使用最广泛的协议 用于在电子邮件客户端应用 程序中接收电子邮件通信 无论使用何种电子邮件客户端 ESET Mail Security 均对这些协议提供保护 ESET Mail Security 还支持扫描 IMAPS 和 POP3S 协议 这些协议使用加密通道在服务器和客户端之间传输信息 ESET Mail Security 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如何 该程序 将只在 IMAPS/POP3S 协议使用的端口中定义的端口上扫描通信 IMAPS/POP3S 扫描程序设置 如果默认设置正在使用中 将不会扫描加密通信 若要启用加密通信的扫描 请 导航至 SSL/TLS 协议检查 端口号用于标识端口类型 下面介绍默认电子邮件端口的相关内容 端口名称 端口号 说明 POP3 110 默认 POP3 非加密端口 IMAP 143 默认 IMAP 非加密端口 安全 IMAP (IMAP4-SSL) 585 启用 SSL/TLS 协议过滤 多个端口号必须使用逗号分隔 IMAP4 over SSL (IMAPS) 993 启用 SSL/TLS 协议过滤 多个端口号必须使用逗号分隔 安全 POP3 (SSL-POP) 启用 SSL/TLS 协议过滤 多个端口号必须使用逗号分隔

168 4432 警 报 和 通 知 电子邮件防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 通过使用 Microsoft Outlook 和其他电子邮件 客户端的插件程序 ESET Mail Security 可控制电子邮件客户端的所有通信 POP3 MAPI IMAP 和 HTTP 检查传 入邮件时 程序使用 ThreatSense 扫描引擎内包含的所有高级扫描方法 这意味着恶意程序检测在与病毒库匹 配之前就已进行 对 POP3 和 IMAP 协议通信的扫描与使用何种电子邮件客户端无关 此功能的选项在 Web 和电子邮件 > 电子邮件客户端防护 > 警报和通知下的高级设置中可用 ThreatSense 参数 - 高级病毒扫描程序设置使您能够配置扫描目标 检测方法等 单击以显示详细的病毒扫描程 序设置窗口 选中一个电子邮件后 可将包含扫描结果的通知附加到邮件中 您可以选择在已接收并阅读的电子邮件上添 加标记消息 在已接收并阅读的被感染电子邮件主题上添加注释或在已发送电子邮件上添加标记消息 请 在少数情形下 标记消息可能被有问题的 HTML 邮件忽略 而恶意软件也可能伪造这些消息 可将标记 消息添加到已接收 已阅读的电子邮件 已发送的电子邮件或两类邮件中都添加 可用选项包括 从不 - 不添加任何标记信息 仅对被感染的电子邮件 - 仅将包含恶意软件的邮件标记为已选中 默认 对所有扫描的电子邮件 - 程序将把消息附加到所有已扫描的电子邮件上 在已发送的被感染电子邮件主题中添加注释 - 如果不想要在被感染的电子邮件主题中包含病毒警告 则禁用 此选项 此功能允许对被感染的电子邮件进行简单的 基于主题的过滤 如果电子邮件程序支持 它还可提高 收件人的可信性 如果检测到渗透 还可提供关于给定电子邮件或发件人威胁级别的宝贵信息 添加到被感染电子邮件主题中的模板 - 如果您希望修改被感染电子邮件的主题前缀格式 则编辑此模板 此 功能将替换邮件主题 "Hello" 为以下格式的给定前缀值 "[virus]" "[virus] Hello" 变量 %VIRUSNAME% 代表被感染 的威胁 4433 MS Outlo o k 工 具 栏 Microsoft Outlook 防护以插件模块的方式工作 安装 ESET Mail Security 后 包含病毒防护选项的此工具栏将添加 到 Microsoft Outlook ESET Mail Security - 单击图标 打开 ESET Mail Security 的主程序窗口 重新扫描邮件 - 允许您手动启动电子邮件检查 您可以指定将被检查的邮件 并且可以启用对已接收电子邮件 的重新扫描 有关详细信息 请参阅电子邮件客户端防护 扫描程序设置 - 显示电子邮件客户端防护设置选项 4434 Outlo o k E xp re s s 和 W ind o ws Ma il 工 具 栏 Outlook Express 和 Windows Mail 防护以插件模块的方式工作 安装 ESET Mail Security 后 包含病毒防护选项的 此工具栏将添加到 Outlook Express 或 Windows Mail ESET Mail Security - 单击图标 打开 ESET Mail Security 的主程序窗口 重新扫描邮件 - 使您能够手动启动电子邮件检查 您可以指定将被检查的邮件 并且可以启用对已接收电子邮 件的重新扫描 有关详细信息 请参阅电子邮件客户端防护 扫描程序设置 - 显示电子邮件客户端防护设置选项 用户界面 自定义外观 - 可为电子邮件客户端修改工具栏的外观 取消选中此选项可以不依赖电子邮件程序参数而自定义 外观 显示文本 - 显示图标的说明 右侧文本 - 选项说明将从图标的底部移到右侧 大图标 - 显示菜单选项的大图标 168

169 4435 确 认 对 话 框 此通知用于验证用户是否确实想执行所选操作 这将消除可能发生的错误 该对话框也提供禁用确认的选项 4436 重 新 扫 描 邮 件 ESET Mail Security 工具栏与电子邮件客户端集成在一起 使用户能指定若干电子邮件检查选项 重新扫描邮件 选项提供两种扫描模式 当前文件夹中的所有邮件 - 扫描当前显示的文件夹中的邮件 仅选定的邮件 - 仅扫描由用户标记的邮件 重新扫描已扫描的邮件 - 提供给用户对之前已扫描过的邮件运行另一个扫描的选项 444 W e b 访 问 保 护 Web 访问保护通过监视 Web 浏览器和远程服务器之间的通信来保护您免受在线威胁 遵循 HTTP 超文本传输 协议 和 HTTPS 加密通信 规则 在下载内容之前 将阻止访问已知包含恶意内容的网页 所有其他网页在加载时会由 ThreatSense 扫描引擎进 行扫描 并且如果检测到恶意内容 将阻止它们 Web 访问保护提供两种级别的保护 按黑名单阻止和按内容阻 止 我们强烈建议您保持启用 Web 访问保护 在高级设置 (F5) > Web 和电子邮件 > Web 访问保护中提供以下选 项 基本 - 允许您启用或禁用 Web 访问保护 禁用该功能后 以下选项会处于非活动状态 Web 协议 - 允许您为大多数 Internet 浏览器使用的这些标准协议配置监视 默认情况下 ESET Mail Security 将配置为监视由大部分 Internet 浏览器使用的 HTTP 协议 在 Windows Vista 及更高版本中 始终在所有应用程序的所有端口上监视 HTTP 通信 在 Windows XP/2003 中 您可以在高级设置 (F5) > Web 和电子邮件 > Web 访问保护 > Web 协议 > HTTP 扫描程序设置中修改 由 HTTP 协议使用的端口 在所有应用程序的指定端口上以及标记为 Web 和电子邮件客户端的应用程序 的所有端口上监视 HTTP 通信 ESET Mail Security 还支持 HTTPS 协议检查 HTTPS 通信使用加密通道在服务器和客户端之间传输信息 ESET Mail Security 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如何 该程序将 只在 HTTPS 协议使用的端口中定义的端口上扫描通信 如果默认设置正在使用中 将不会扫描加密通信 若要启用加密通信扫描 请导航到 高级设置 (F5)中的 SSL 协议检查 依次单击 Web 和电子邮件 > SSL 协议检查 然后选择启用 SSL 协议过滤 URL 地址管理 - 允许您指定要阻止 允许或不检查的 HTTP 地址 ThreatSense 参数 - 允许您配置设置 如扫描类型 电子邮件 压缩文件 排除 限制等 以及 Web 访问保护的 检测方法 4441 基 本 选择是要启用 默认 还是禁用 Web 访问保护 禁用该功能后 以下选项会处于非活动状态 我们强烈建议您保持启用 Web 访问保护 通过导航至设置 > 计算机 > Web 访问保护 还可以从 ESET Mail Security 的主程序窗口中访问此选项 169

170 4442 U R L 地 址 管 理 URL 地址管理允许您指定要阻止 允许或不检查的 HTTP 地址 单击编辑 以在预定义的列表之外另行创建新列 表 如果您希望按逻辑拆分不同的地址组 这可能非常有用 示例 一个阻止的地址列表可能包含某些外部公开黑名单中的地址 另一个阻止的地址列表可能包含您自己的黑 名单中的地址 这可在保持您的黑名单不变的同时轻松更新外部列表 将不能访问已阻止地址列表中的网站 除非它们还包含在已允许地址的列表中 在访问时 不会针对不进行检查的地址列表中的网站进行扫描以查找恶意代码 如果您在过滤 HTTP 网页之外还希望过滤 HTTPS 地址 则必须启用 SSL/TLS 协议过滤 否则 将仅添加您访问过 的 HTTPS 站点的域 而不会添加完整 URL 在所有列表中 您都可以使用特殊符号 星号 和? 问号 星号表示任何数字或字符 而问号表示任一字符 指定排除的地址时 请务必谨慎 因为此列表应仅包含信任的和安全的地址 同样 必须确保在此列表中正确使 用符号 和? 如果您希望阻止所有 HTTP 地址 活动的允许的地址列表中存在的地址除外 请将 添加到活动的阻止的 地址列表 新 建 列 表 除了预定义的地址列表之外 还可以创建新的列表 该列表包含将会被阻止 允许或不检查的所需 URL 地址 域 掩码 在新建列表时 请指定以下各项 地址列表类型 - 从下拉列表中选择类型 不检查 阻止或允许 列表名称 - 指定列表的名称 在编辑三个预定义列表之一时 此字段将变灰 列表说明 - 键入列表的简短说明 可选 在编辑三个预定义列表之一时 将变灰 列出活动 - 使用开关停用该列表 您可以在以后需要时激活它 应用时发送通知 - 如果您希望在特定列表用于评估您访问过的 HTTP 网站时收到通知 可选择该项 示例 将在阻止或允许网站时发出通知 因为它包含在阻止或允许的地址列表中 该通知将包含含有指定网站的列 表的名称 170

171 单击添加 指定 URL 地址 域掩码 选择列表中的某个地址 然后单击删除即可删除该地址 单击编辑 可更改 现有条目 只可以删除自定义地址列表 ESET Mail Security 允许用户阻止对指定网站的访问 并阻止 Internet 浏览器显示其内容 除此之外 它还允许用 户指定应从检查中排除的地址 如果用户不知道远程服务器的完整名称 或想要指定整组远程服务器 可以使 用所谓的掩码来标识这样的组 掩码包括符号? 和 使用? 来替代一个符号 使用 来替代一个文本字符串 示例 *c?m 应用于最后部分以字母 c 开头 以字母 m 结尾 其间包含一个未知字符的所有地址 com cam 等 若在域名的开头处使用 将特殊处理以 开头的序列 首先 在本例中 通配符不能代表斜杠字符 这是 为了避免绕过掩码 例如掩码 domaincom 将不匹配 此类后缀可 以附加到任何 URL 不会影响下载 第二 在此特殊案例中 还将匹配一个空字符串 这是为了可使用单个 掩码匹配包括任何子域在内的整个域 例如 掩码 domaincom 还匹配 使用 *domaincom 是不正确的 因为它还会匹配 171

172 选择输入多个值时 可以添加多个由换行符 逗号或分号分隔的文件扩展名 启用多项选择时 地址将显示在 列表中 导入 - 导入内含 URL 地址的文本文件 使用换行符分隔值 例如使用 UTF-8 编码的 *txt 172

173 44422 地 址 列 表 默认情况下 有以下三种列表可供使用 不检查的地址列表 - 程序不会对已添加至此列表的任何地址执行恶意代码检查 允许的地址列表 - 如果启用了 仅允许访问许可地址列表中的 HTTP 地址 且阻止地址列表中包含 与所有地 址相匹配 将只允许用户访问此列表中指定的地址 允许该列表中的地址 即使这些地址包含在阻止地址列 表中也是如此 阻止的地址列表 - 将不允许用户访问此列表中指定的地址 除非这些地址还出现在允许的地址列表中 添加 - 将新 URL 地址添加到列表 使用分隔符输入多个值 编辑 - 修改列表中的现有地址 仅可用于使用 添加 创建的地址 删除 - 删除列表中的现有地址 仅可用于使用 添加 创建的地址 445 网 络 钓 鱼 防 护 ESET Mail Security 提供网络钓鱼防护 网络钓鱼防护是 Web 和电子邮件模块的组成部分 如果已使用完全安装 类型安装了 ESET Mail Security 默认情况下 安装的 Web 和电子邮件会启用网络钓鱼防护 但是 这并不适用于 运行 Microsoft Windows Server 2008 的系统 Web 和电子邮件组件不是 Windows Server 2008 或 Windows Server 2008 R2 系统上完全 ESET Mail Security 安装 类型的组成部分 如果需要 可以通过添加 Web 和电子邮件组件并启用网络钓鱼防护来修改现有安装 网络钓鱼这一术语是指利用社会工程学 操纵用户以获取机密信息 的一种犯罪活动 网络钓鱼通常用于获取敏 感信息 如银行帐号 PIN 码等 的访问权限 在词汇表中阅读此活动的详细信息 ESET Mail Security 包括网络钓 鱼防护 用于阻止散布此类内容的已知网页 我们强烈建议您启用 ESET Mail Security 中的网络钓鱼防护 若要执行此操作 请打开高级设置 (F5) 并导航至 Web 和电子邮件 > 网络钓鱼防护 有关 ESET Mail Security 中网络钓鱼防护的详细信息 请访问我们的知识库文章 173

174 访问网络钓鱼网站 当访问已识别的网络钓鱼网站时 以下对话框将显示在您的 Web 浏览器中 如果您仍需要访问该网站 请单击 继续浏览此网站 不推荐 在默认情况下 白名单上列出的潜在网络钓鱼网站将在几小时后过期 要永久允许某一网站 可使用 URL 地 址管理工具 通过高级设置 (F5) 展开 Web 和电子邮件 > Web 访问保护 > URL 地址管理> 地址列表 并单击 编辑 然后向该列表添加要编辑的网站 报告网络钓鱼站点 报告链接使您能够向 ESET 报告网络钓鱼 恶意网站以供分析 向 ESET 提交网站前 确保其满足以下一个或多个标准 未检测到该网站 该网站被错误地检测为威胁 在此情况下 您可以报告误报的网络钓鱼站点 此外 也可以通过电子邮件提交网站 请将电子邮件发送至 请记住 邮件主题一定要描述 清楚 邮件应包含尽可能多的有关此网站的信息 例如 从哪里引用了此网站 您是如何了解到它的等 174

175 45 设备控制 ESET Mail Security 提供自动设备 (CD/DVD/USB/) 控制 此模块允许您扫描 阻止或调整扩展的过滤器 权限 并定 义用户访问和使用给定设备的能力 如果计算机管理员不希望使用包含不请自来的内容的设备 此模块将很有 用 支持的外部设备 磁盘存储 HDD USB 可移动磁盘 CD/DVD USB 打印机 FireWire 存储 蓝牙设备 智能卡读卡器 刻录设备 调制解调器 LPT/COM 端口 便携式设备 所有设备类型 启用集成到系统旁的开关激活 ESET Mail Security 中的设备控制功能 要使此更改生效 需要重新启动计算机 设备控制规则和组将处于活动状态 允许您编辑它们的设置 如果检测到受现有规则阻止的设备 将显示通知窗口并且不会授予对设备的访问权限 451 设 备 控 制 规 则 编 辑 器 设备控制规则编辑器 窗口显示现有规则 允许精确控制用户连接到计算机的外部设备 可以按照用户 用户组或规则配置中可指定的其他参数来允许或阻止特定设备 规则列表包含规则的多项说 明 如名称 外部设备的类型 检测到设备后要执行的操作和日志严重级别 175

176 使用窗口底部的以下按钮管理规则 添加 - 允许您添加新规则 编辑 - 允许您修改现有规则的设置 复制 - 基于选定规则的参数创建新规则 删除 - 如果您想要删除所选规则 此外 还可以使用给定规则旁边的复选框禁用规则 如果不希望永久删除 规则 以便将来可以使用该规则 这可能很有用 填充 - 检测与计算机连接的设备的可移动磁盘设备参数 按优先级顺序列出规则 优先级较高的规则位于顶部 您可以选择多个规则并应用操作 例如删除它们或通 过单击最高 向上 向下 最低 箭头按钮 在列表中上下移动它们 从 ESET Mail Security 主程序窗口的工具 > 日志文件可以查看日志条目 452 添 加 设 备 控 制 规 则 设备控制规则定义满足规则条件的设备连接到计算机时将采取的操作 在名称字段中输入规则说明以更好识别 单击已启用规则旁的开关以禁用或启用此规则 如果不希望永久删除 此规则 这可能会有用 设备类型 从下拉菜单中选择外部设备类型 磁盘存储 便携式设备 蓝牙 FireWire/ 设备类型从操作系统继承 只要设 备连接到计算机 就可在系统设备管理器中查看 存储设备包括通过 USB 或 FireWire 连接的外部磁盘或传统存 储卡读卡器 智能卡读卡器包括具有嵌入式集成电路的所有智能卡读卡器 如 SIM 卡或身份验证卡 成像设备 示例包括扫描仪或照相机 这些设备不提供用户信息 仅提供用户操作信息 这意味着只能全局阻止成像设备 176

177 操作 可以允许或阻止访问非存储设备 相比之下 存储设备规则允许选择以下权限设置之一 读 写 - 将允许对设备的完全访问权限 阻止 - 将阻止对设备的访问 只读 - 仅允许对设备进行读取访问 警告 - 每次连接设备时 系统都会通知用户这是否得到允许或受到阻止 并且将记录日志条目 系统不会记住 设备 在以后连接同一设备时仍会显示通知 请 不是所有权限 操作 都可用于所有设备类型 如果设备具有存储空间 则所有四个操作都可用 对于非 存储设备 只有两个操作可用 例如只读操作对蓝牙不可用 因此这意味着只能允许或阻止蓝牙设备 下面显示的其他参数可用于微调规则并根据设备定制 所有参数都不区分大小写 供应商 - 按供应商名称或 ID 过滤 型号 - 设备的给定名称 序列号 - 外部设备通常具有自己的序列号 如果是 CD/DVD 这是给定介质的序列号 而不是 CD 驱动器 如果这三个描述符是空的 则匹配后该规则将忽略这些字段 所有文本字段中的过滤参数都不区分大小写并 且不支持通配符? 要找出设备参数 请创建允许此设备类型的规则 将设备连接到计算机 然后查看设备控制日志中的设备详细 信息 严重级别 始终 - 记录所有事件 诊断 - 记录微调程序所需的信息 信息 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 无 - 不记录任何日志 可以通过将规则添加到用户列表 来将规则限制为特定用户或用户组 添加 - 打开对象类型 用户或组对话框 该窗口可用来选择需要的用户 删除 - 从过滤器删除选定用户 所有设备均可按用户规则进行过滤 例如 成像设备不提供用户信息 仅提供已调用操作的信息 453 检 测 的 设 备 填充按钮提供了当前所有已连接设备的概述 其中包括以下信息 设备类型 设备供应商 型号以及序列号 如 果有 当您 从已检测的设备列表 选择某个设备并单击确定时 将显示具有预定义信息的规则编辑器窗口 可 调整所有设置 454 设 备 组 设备组 窗口分为两个部分 该窗口右侧包含属于各个组的设备列表 而该窗口左侧包含现有组的列表 选择 包含要在右窗格中显示的设备的组 警告 将外部设备连接到计算机可能会带来安全风险 打开 设备组 窗口且选择组后 您可以从该列表添加或删除设备 另一种向组添加设备的方法是从文件导入它 们 此外 还可以单击填充 然后连接到计算机的所有设备将在已检测的设备窗口中列出 从已填充的列表中 选择设备 然后单击确定以将其添加到组 177

178 您可以针对应用的不同规则来创建不同的设备组 还可以创建设置为读 写或只读的单个设备组 这确保了 在未标识的设备连接到计算机时 设备控制会阻止它们 可使用的功能如下所示 添加 - 通过输入其名称添加新设备组或将设备添加到现有组 您可以选择指定详细信息 例如供应商名称 型号和序列号 具体取决于您在窗口中点击按钮的位置 编辑 - 让您可以修改选定组的名称或其中包含的设备的参数 供应商 型号和序列号 删除 - 删除选定组或设备 具体取决于您在窗口中单击的位置 导入 - 从文件导入设备序列号列表 填充 - 检测与计算机连接的设备的可移动磁盘设备参数 完成自定义后 单击确定 若要在不保存更改的情况下离开设备组窗口 请单击取消 并非所有操作 权限 都可用于所有设备类型 对于存储设备 所有四项操作都可用 对于非存储设备 只有三项操作可用 例如只读操作对蓝牙不可用 因此这意味着只能允许 阻止或警告蓝牙设备 46 工具 下面是 ESET Mail Security 在主 GUI 窗口中的工具选项卡下提供的所有工具的高级设置 日志文件 代理服务器 电子邮件通知 演示模式 诊断 群集 461 E S E T Liv e Grid ESET LiveGrid 是包含多种基于云的技术的高级预警系统 它帮助基于信誉检测新威胁 并通过白名单提高扫描 性能 新威胁信息将实时传输到云 这使 ESET 恶意软件研究实验室能够提供及时的响应 并始终提供持续的防 护 用户可以直接从程序界面或右键菜单检查运行进程和文件的信誉 并从 ESET LiveGrid 获取其他信息 安装 ESET Mail Security 时 请选择以下选项之一 1 您可以决定不启用 ESET LiveGrid 您的软件不会失去任何功能 但在某些情况下 ESET Mail Security 可能会比 病毒库更新更慢地响应新威胁 2 您可以配置 ESET LiveGrid 以提交关于新威胁以及检测到的新威胁代码所在位置的匿名信息 此文件可以发 送到 ESET 以供详细分析 研究这些威胁将帮助 ESET 更新其威胁检测功能 ESET LiveGrid 将收集您的计算机中与新检测到的威胁相关的信息 这些信息可能包括出现威胁的文件的样本或 副本 该文件的路径 文件名 日期和时间 威胁出现在计算机上的过程 以及有关您的计算机操作系统的信 息 默认情况下 ESET Mail Security 配置为向 ESET 病毒实验室提交可疑文件以供分析 始终排除具有特定扩展名的 文件 例如 doc 或 xls 如果您或您的组织希望避免发送特定类型的文件 也可以添加其他扩展名 178

179 ESET LiveGrid 信誉系统提供了基于云的白名单和黑名单 若要访问 ESET LiveGrid 的设置 请按 F5 以进入高级设 置p 然后依次展开工具 > ESET LiveGrid 启用 ESET LiveGrid 信誉系统 建议 - ESET LiveGrid 信誉系统通过将已扫描的文件与云中白名单和黑名单项目 数据库进行比较 可提高 ESET 恶意软件防护解决方案的效率 提交匿名统计 - 允许 ESET 收集有关新检测到的威胁的信息 如威胁名称 检测日期和时间 检测方法和相关联 的元数据 产品版本以及配置 其中包括有关您的系统的信息 提交样本 - 将类似威胁的可疑样本和 或具有不正常特征或行为的样本提交给 ESET 以供分析 选择启用日志记录以创建记录文件和统计信息提交的事件日志 这将启用在发送文件或统计信息后记录到事 件日志 联系人电子邮件(可选) - 您的联系人电子邮件可以与任何可疑文件一起发送 而且可能用于在需要进一步信息 以供分析时联系您 请 除非需要更多信息 否则 ESET 不会与您联系 179

180 排除 - 排除 过滤器允许您不提交某些文件 文件夹 例如 在排除诸如文档或电子表格等可能包含机密信息的 文件时会很有用 列出的文件即使包含可疑代码也不会发送给 ESET 实验室以供分析 默认情况下 最常见的 文件类型均被排除 doc 等 如果需要 可以添加到排除文件列表 如果您以前使用过 ESET LiveGrid 但已禁用它 可能仍会发送数据包 即使已停用 此类数据包也会发送给 ESET 发送完当前所有信息后 将不会再创建任何数据包 4611 排 除 过 滤 器 ESET LiveGrid 中 排除 旁的编辑选项可用于配置将威胁提交到 ESET 病毒实验室以供分析的方式 如果发现可疑文件 可以将其提交到我们的威胁实验室进行分析 如果文件是一个恶意应用程序 则下次病毒 库更新中将添加对此程序的检测 180

181 462 Mic ro s o ft W ind o ws 更 新 Windows 更新提供对潜在危险的漏洞的重要修复 并提高计算机的常规安全级别 出于此原因 即时安装 Microsoft Windows 更新很重要 ESET Mail Security 会根据您指定的级别 通知您有关错过的更新 可用级别包 括 无更新 - 不提供系统更新供下载 可选更新 - 将提供标记为低优先级及更高优先级的更新供下载 建议的更新 - 将提供标记为常用及更高优先级的更新供下载 重要更新 - 将提供标记为重要及更高优先级的更新供下载 关键更新 - 仅提供关键更新供下载 单击确定可保存更改 在验证更新服务器的状态后将显示系统更新窗口 在保存更改后系统更新信息可能无法 立即使用 463 E S E T CMD 这一功能支持高级 ecmd 命令 它允许使用命令行 (ecmdexe) 导出和导入设置 目前 只可以使用 GUI 导出设 置 ESET Mail Security 配置可以导出为 xml 文件 启用 ESET CMD 后 提供有两种授权方法 无 - 无需授权 不建议您使用此方法 因为该选项允许导入任何未签名的配置 存在潜在风险 高级设置密码 - 需要密码才能导入 xml 文件中的配置 该文件必须经过签名 有关详细信息 请参阅 签名 xml 配置文件 在可以导入新配置之前 必须提供访问设置中指定的密码 如果未启用访问设置 密码不匹 配或 xml 配置文件未签名 则不会导入配置 在 ESET CMD 启用后 即可使用命令行来导入或导出 ESET Mail Security 配置 既可手动执行 也可为了自动执行 而创建脚本 重要信息 若要使用高级 ecmd 命令 需要具有管理员权限才可运行这些命令 或者使用以管理员身份运行打开 Windows 命令提示 (cmd) 否则 将收到 Error executing command 消息 此外 导出配置时 目标文件夹必须 存在 ESET CMD 设置关闭后 导出命令仍然有效 示例 导出设置命令 ecmd /getcfg c:\config\settingsxml 导入设置命令 ecmd /setcfg c:\config\settingsxml 高级 ecmd 命令只可以本地运行 使用 ERA 执行客户端任务运行命令将不起作用 签名 xml 配置文件 1 下载 XmlSignTool 可执行文件 2 使用以管理员身份运行打开 Windows 命令提示 (cmd) 3 导航到 xmlsigntoolexe 所在的位置 4 执行对 xml 配置文件进行签名的命令 用法 xmlsigntool /version 1 2 <xml_file_path> 重要信息 参数 /version 的值取决于 ESET Mail Security 的版本 ESET Mail Security 65 使用 /version 1 181

182 5 当 XmlSignTool 提示输入您的高级设置密码时 请输入两遍该密码 您的 xml 配置文件现在已完成签名 可用于使用密码授权方法通过 ESET CMD 在 ESET Mail Security 的另一个实例上进行导入 示例 对已导出配置文件进行签名的命令 xmlsigntool /version 1 c:\config\settingsxml 如果您的访问设置密码已更改并且想要导入之前使用旧密码签名的配置 则使用当前密码重新对该 xml 配 置文件进行签名 这使您可以使用较旧的配置文件 而无需在导入之前将它导出到运行 ESET Mail Security 的 另一台计算机 464 W MI 提 供 程 序 关于 WMI Windows 管理设备 (WMI) 是基于 Web 的企业管理 (WBEM) 的 Microsoft 实现 WBEM 是一个行业计划 旨在开发 在企业环境中访问管理信息的标准技术 有关 WMI 的详细信息 请参阅 aa384642(v=vs85)aspx ESET WMI 提供程序 ESET WMI 提供程序的目的是允许在企业环境中远程监视 ESET 产品 而无需任何 ESET 特定的软件或工具 通过 WMI 公开基本产品 状态和统计信息 在监视 ESET 产品时 我们极大地增强了企业管理员的可能作用 管理员 可以利用由 WMI 提供的大量访问方法 命令行 脚本和第三方企业监视工具 来监控其 ESET 产品的状态 当前的实现提供了对基本的产品信息 安装的功能 以及它们的防护状态 个别扫描程序的统计信息和产品的 日志文件的只读访问权限 WMI 提供程序支持使用标准 Windows WMI 基础架构和工具读取产品状态和产品日志 182

183 4641 提 供 的 数 据 所有与 ESET 产品相关的 WMI 类都位于 root\eset 命名空间中 当前已实现以下类 将在以下部分详细介绍它 们 常规 ESET_Product ESET_Features ESET_Statistics 日志 ESET_ThreatLog ESET_EventLog ESET_ODFileScanLogs ESET_ODFileScanLogRecords ESET_ODServerScanLogs ESET_ODServerScanLogRecords ESET_MailServerLog ESET_Product 类 ESET_Product 类只能有一个实例 此类的属性表示您已安装的 ESET 产品的基本信息 ID - 产品类型标识符 例如 emsl Name - 产品名称 例如 ESET Mail Security FullName - 产品的全名 例如 ESET Mail Security for IBM Domino Version - 产品版本号 例如 VirusDBVersion - 病毒库版本号 例如 ( ) VirusDBLastUpdate - 病毒库最后更新版本的时间戳 该字符串包含采用 WMI 日期 时间格式的时间戳 例 如 LicenseExpiration - 许可证过期时间 该字符串包含采用 WMI 日期 时间格式的时间戳 KernelRunning - 指示 ekrn 服务是否在计算机上运行的布尔值 例如 TRUE StatusCode - 指示产品防护状态的数字 0 - 绿色 良好 1 - 黄色 警告 2 - 红色 错误 StatusText - 描述出现非零状态代码的原因的消息 否则为空 ESET_Features 类 ESET_Features 类具有多个实例 具体取决于产品功能数 每个实例都包含 Name - 功能名称 名称列表在下面提供 Status - 功能状态 0 - 非活动 1 - 禁用 2 - 启用 表示当前可识别的产品功能的字符串的列表 CLIENT_FILE_AV - 文件系统实时病毒防护 CLIENT_WEB_AV - 客户端 Web 病毒防护 CLIENT_DOC_AV - 客户端文档病毒防护 CLIENT_NET_FW - 客户端个人防火墙 CLIENT_ _AV - 客户端电子邮件病毒防护 CLIENT_ _AS - 客户端电子邮件反垃圾邮件防护 SERVER_FILE_AV - 对受保护的文件服务器产品上的文件的实时病毒防护 例如 以 ESET Mail Security 为例 SharePoint 的内容数据库中的文件 SERVER_ _AV - 对受保护的服务器产品中的电子邮件的病毒防护 例如 MS Exchange 或 IBM Domino 中 的电子邮件 SERVER_ _AS - 对受保护的服务器产品中的电子邮件的反垃圾邮件防护 例如 MS Exchange 或 IBM Domino 中的电子邮件 SERVER_GATEWAY_AV - 对网关上受保护的网络协议的病毒防护 SERVER_GATEWAY_AS - 对网关上受保护的网络协议的反垃圾邮件防护 183

184 ESET_Statistics 类 ESET_Statistics 类具有多个实例 具体取决于产品中的扫描程序数 每个实例都包含 Scanner - 特定扫描程序的字符串代码 例如 CLIENT_FILE Total - 已扫描文件的总数 Infected - 找到的受感染文件的数量 Cleaned - 已清除文件的数量 Timestamp - 对此统计信息的最后一次更改的时间戳 采用 WMI 日期 时间格式 例 如 ResetTime - 最后一次重置统计计数器时的时间戳 采用 WMI 日期 时间格式 例如 表示当前可识别的扫描程序的字符串的列表 CLIENT_FILE CLIENT_ CLIENT_WEB SERVER_FILE SERVER_ SERVER_WEB ESET_ThreatLog 类 ESET_ThreatLog 类具有多个实例 每个实例表示 检测到的威胁 日志中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Scanner - 创建此日志事件的扫描程序的名称 ObjectType - 生成此日志事件的对象的类型 ObjectName - 生成此日志事件的对象的名称 Threat - 已在由 ObjectName 和 ObjectType 属性描述的对象中找到的威胁的名称 Action - 识别威胁后所执行的操作 User - 导致此日志事件生成的用户帐户 Information - 对事件的其他描述 ESET_EventLog ESET_EventLog 类具有多个实例 每个实例表示 事件 日志中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 区间内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical 模块 - 创建此日志事件的模块的名称 事件 - 事件的说明 User - 导致此日志事件生成的用户帐户 ESET_ODFileScanLogs ESET_ODFileScanLogs 类具有多个实例 每个实例表示一条手动文件扫描记录 这相当于其中包含日志的 GUI 手 动计算机扫描 列表 每个实例都包含 184 ID - 此手动日志的唯一 ID Timestamp - 日志的创建时间戳 采用 WMI 日期 时间格式 Targets - 扫描的目标文件夹 对象 TotalScanned - 已扫描对象的总数 Infected - 找到的受感染对象的数量 Cleaned - 已清除对象的数量 Status - 扫描进程的状态

185 ESET_ODFileScanLogRecords ESET_ODFileScanLogRecords 类具有多个实例 每个实例表示一个扫描日志 由 ESET_ODFileScanLogs 类中的实例 表示 中的一条日志记录 此类中的实例提供所有手动扫描 日志的日志记录 当仅需某个特定扫描日志中的实 例时 必须按 LogID 属性对其进行过滤 每个类实例都包含 LogID - 此日志所属的扫描日志的 ID ESET_ODFileScanLogs 类中某个实例的 ID ID - 此扫描日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Log - 实际日志消息 ESET_ODServerScanLogs ESET_ODServerScanLogs 类具有多个实例 每个实例表示手动服务器扫描的一次运行 每个实例都包含 ID - 此手动日志的唯一 ID Timestamp - 日志的创建时间戳 采用 WMI 日期 时间格式 Targets - 扫描的目标文件夹 对象 TotalScanned - 已扫描对象的总数 Infected - 找到的受感染对象的数量 Cleaned - 已清除对象的数量 RuleHits - 规则命中总数 Status - 扫描进程的状态 ESET_ODServerScanLogRecords ESET_ODServerScanLogRecords 类具有多个实例 每个实例表示一个扫描日志 由 ESET_ODServerScanLogs 类中的 实例表示 中的一条日志记录 此类中的实例提供所有手动扫描 日志的日志记录 当仅需某个特定扫描日志中 的实例时 必须按 LogID 属性对其进行过滤 每个类实例都包含 LogID - 此日志所属的扫描日志的 ID ESET_ODServerScanLogs 类中某个实例的 ID ID - 此扫描日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 区间内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Log - 实际日志消息 ESET_GreylistLog ESET_GreylistLog 类具有多个实例 每个实例表示 灰名单 日志中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical HELODomain - HELO 域的名称 IP - 源 IP 地址 Sender - 电子邮件发件人 Recipient - 电子邮件收件人 Action - 执行的操作 TimeToAccept - 接受电子邮件前所需的分钟数 185

186 4642 访 问 提 供 的 数 据 以下提供几个有关如何从 Windows 命令行和 PowerShell 访问 ESET WMI 数据的示例 应可从当前任何 Windows 操作系统进行操作 但是 还存在使用其他脚本语言和工具访问该数据的许多其他方法 不带脚本的命令行 此wmic 命令行工具可用于访问各种预定义的或任何自定义的 WMI 类 显示本地计算机上的产品的完整信息 wmic /namespace:\\root\eset Path ESET_Product 仅显示计算机上的产品的产品版本号 wmic /namespace:\\root\eset Path ESET_Product Get Version 显示 IP 为 的远程计算机上的产品的完整信息 wmic /namespace:\\root\eset /node: /user:administrator Path ESET_Product PowerShell 获取并显示本地计算机上的产品的完整信息 Get-WmiObject ESET_Product -namespace 'root\eset' 获取并显示 IP 为 的远程计算机上的产品的完整信息 $cred = Get-Credential # 提示用户输入凭据并将其存储在变量中 Get-WmiObject ESET_Product -namespace 'root\eset' -computername ' ' -cred $cred 465 E R A 扫 描 目 标 此功能允许 ESET Remote Administrator 在具有 ESET Mail Security 的服务器上运行服务器扫描客户端任务时使 用合适的扫描目标 手动邮箱数据库扫描和 Hyper-V 扫描 当您启用生成目标列表时 ESET Mail Security 将创建可用扫描目标的列表 此列表根据更新时段定期生成 186

187 在首次启用生成目标列表时 ERA 需要花费大约一半的指定更新时段来选取它 所以 如果更新时段设置 为 60 分钟 ERA 要花费大约 30 分钟接收扫描目标列表 如果需要 ERA 更早地收集列表 请将更新时段设置为 较小的值 您始终可以稍后增加此值 当 ERA 运行服务器扫描客户端任务时 它会收集该列表 并要求您为该特定服务器上的手动邮箱数据库扫描选 择扫描目标 466 日 志 文 件 该部分允许您修改 ESET Mail Security 日志记录的配置 日志记录 记录将写入事件日志 ( C:\ProgramData\ESET\ESET Mail 器中进行查看 使用开关启用或禁用特定功能 Security\Logs\warnlogdat ) 并且可以在日志文件查看 记录邮件传输错误 - 当启用此选项时 如果邮件传输层发生问题 错误消息将写入事件日志 记录邮件传输异常 - 邮件传输层中出现任何异常时 相关详细信息将写入事件日志 日志记录过滤器 由于默认情况下启用所有日志记录选项 因此会产生大量数据 我们建议您选择性地禁用对于问题不重要或与 问题不相关的组件的日志记录 注释 若要启动实际日志记录 需要在主菜单 设置 > 工具 中启用产品级别的通用诊断日志记录 日志记录本身 打开后 ESET Mail Security 将依据本部分中启用的功能收集详细的日志 使用开关启用或禁用特定功能 还可以组合使用这些选项 具体取决于 ESET Mail Security 中各个组件的可用 性 187

188 数据库防护诊断日志记录 邮件传输诊断日志记录 重要信息 当使用正常操作中运行的数据库扫描解决问题时 我们建议您禁用邮件传输诊断日志记录 否则 它可能 会堵塞生成的日志 使其难以分析 手动数据库扫描诊断日志记录 将详细信息写入日志 特别是在需要排除故障时 群集诊断日志记录 - 这意味着群集日志记录将包括在通用诊断日志记录中 日志文件 定义日志的管理方式 这很重要 主要用于防止耗尽磁盘空间 默认设置允许自动删除旧的日志 以节省磁盘空 间 自动删除早于以下天数的记录字段中指定天数以前的日志条目将自动删除 如果已超过日志大小 则自动删除旧记录 - 如果日志大小超过最大日志大小 [MB] 将删除旧的日志记录 直 到达到减少的日志大小 [MB] 备份自动删除的记录 - 自动删除的日志记录和文件将备份到指定目录下 并且可以选择压缩为 ZIP 文件 备份诊断日志 - 将备份自动删除的诊断日志 如果未启用 则不会备份诊断日志记录 备份文件夹 - 将存储日志备份的文件夹 您可以启用使用 ZIP 压缩的日志备份 自动优化日志文件 - 如果执行 则碎片百分比高于如果未使用记录数超过 (%)字段中指定的值后 将自动整 理日志文件碎片 单击优化开始对日志文件进行碎片整理 将删除所有空白日志条目 以改善性能并提高日志处理速度 尤其在 日志包含大量条目时 可以感受到这种提高 打开启用文本协议 以支持采用不同于日志文件的其他文件格式存储日志 目标目录 - 将存储日志文件的目录 仅适用于文本 CSV 每个日志部分都具有自己的文件 该文件具有预 定义的文件名 例如 如果您使用纯文本文件格式存储日志 则日志文件的检测到的威胁部分将使用 virlogtxt 类型 - 如果您选择文本文件格式 日志将存储在文本文件中 数据将由制表符分隔 这也适用于由逗号分隔 的 CSV 文件格式 如果您选择事件 则日志将存储在 Windows 事件日志 可以使用控制面板中的事件查看 器进行查看 而非文件中 删除所有日志文件 - 将擦除当前在类型下拉菜单中选定的所有存储日志 导出到 Windows 应用程序和服务日志 - 使您可以将记录从邮件服务器防护日志复制到应用程序和服务日志 若要查看邮件服务器防护日志 请打开 Windows 事件查看器 然后依次导航到应用程序和服务日志 > ESET > 安全 > Exchange Server > 邮件防护 为了帮助更快地解决问题 ESET 客户服务部门会要求您提供计算机日志 ESET 日志收集器可使您轻松收集所 需信息 有关 ESET 日志收集器的详细信息 请参阅我们的知识库文章 188

189 4661 日 志 过 滤 日志存储重要系统事件的相关信息 日志过滤功能可以显示特定类型事件的记录 将搜索关键字输入到查找文本字段中 使用在列中搜索下拉菜单优化您的搜索 记录类型 - 从下拉菜单选择一个或多个记录日志类型 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护时出错 时段 - 定义想要显示其结果的时段 仅全字匹配 - 如果想要搜索特定的全字以得到更精确的结果 则选中此复选框 区分大小写 - 如果在过滤时使用大写或小写对您很重要 则启用此选项 4662 在 日 志 中 查 找 除了日志过滤 您还可以使用日志文件中的搜索功能 但您也可以通过日志过滤单独使用它 这在您寻找日志 中的特定记录时很有用 类似日志过滤 此搜索功能将帮助您查找需要的信息 尤其在有太多记录时 在日志中进行搜索时 您可以通过键入特定字符串查找文本 使用在列中搜索下拉菜单按列搜索 选择记录类 型并设置时段以仅搜索特定时段内的记录 通过指定某些搜索选项 在 日志文件 窗口中仅搜索相关记录 根 据搜索选项 查找文本:键入字符串 词语或部分词语 将仅查找包含此字符串的记录 将省略其他记录 在列中搜索:选择在搜索时将考虑哪些列 您可以选中一个或多个列以用于搜索 默认情况下 将选中所有列 时间 已扫描的文件夹 事件 用户 记录类型 从下拉菜单中选择一个或多个记录日志类型 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护时出错 时段 定义想要显示其结果的时段 未指定 默认 不在时段内搜索 而是搜索整个日志 前一天 上一周 上个月 时段 - 可以指定精确的时段 日期和时间 仅搜索指定时段内的记录 仅全字匹配 - 仅查找字符串与内容文本框中的全字匹配的记录 区分大小写 - 仅查找字符串与内容文本框中的精确大写匹配的记录 向上搜索 - 从当前位置向上搜索 配置搜索选项后即可单击查找以开始搜索 当找到第一个相应的记录时 搜索会停止 再次单击查找以查看更 多记录 从您的当前位置 突出显示的记录 开始 从上往下搜索日志文件 189

190 467 代 理 服 务 器 在大型 LAN 网络中 计算机可通过代理服务器连接到 Internet 如果是这样连接的 则需要定义以下设置 否则 程序将无法自动更新 在 ESET Mail Security 中 高级设置窗口 (F5) 中的两个不同部分提供了代理服务器设置 1 高级设置 > 更新 > 配置文件 > HTTP 代理 - 此设置适用于给定更新配置文件 建议笔记本电脑用户使用 因 为他们经常从不同位置接收病毒库更新 有关此设置的详细信息 请参阅高级更新设置部分 2 高级设置 > 工具 > 代理服务器 - 通过在此级别指定代理服务器定义所有 ESET Mail Security 的全局代理服务 器设置 此处的参数将由连接到 Internet 的所有模块使用 要指定此级别的代理服务器设置 请打开使用代理服务器开关 然后将代理服务器地址和代理服务器的端口号 输入到代理服务器字段 如果与代理服务器的通信需要验证 请打开代理服务器需要验证开关 然后在相应字段中输入有效的用户 名和密码 单击检测以自动检测和填充代理服务器设置 将复制在 Internet Explorer 中指定的参数 此功能不检索验证数据 用户名和密码 它必须由您提供 如果代理不可用 请使用直接连接 - 如果产品配置为利用 HTTP 代理 但该代理不可访问 该产品将绕过代 理 直接与 ESET 服务器通信 190

191 468 电 子 邮 件 通 知 如果发生具有所选级别的事件 ESET Mail Security 可以自动发送通知电子邮件 启用通过电子邮件发送事件通 知以激活电子邮件通知 ESET Mail Security 支持采用 TLS 加密的 SMTP 服务器 SMTP 服务器 - 用于发送通知的 SMTP 服务器 用户名和密码 如果 SMTP 服务器需要验证 则需在字段中填写有效的用户名和密码 这样才能访问 SMTP 服 务器 发件人地址 - 输入发件人地址 该地址将在通知电子邮件的标题中显示 这是收件人会在发件人字段中看到 的内容 收件人地址 指定收件人电子邮件地址 将向收件人传递通知 通知的最低级别 - 指定要发送的通知的最低级别 启用 TLS - 允许 TLS 加密支持的警报和通知邮件 在此间隔后将发送新的通知电子邮件(分钟) - 在此间隔 以分钟为单位 后将通过电子邮件发送新的通知 如果要立即发送这些通知 则将该值设置为 0 在单独的电子邮件中发送每个通知 - 启用后 收件人将收到有关每个单独通知的新电子邮件 这可能导致 在短时间内收到大量的电子邮件 邮件格式 事件邮件的格式 - 显示在远程计算机上的事件邮件的格式 另请参阅编辑格式 威胁警告邮件的格式 - 威胁警报和通知邮件具有预定义的默认格式 我们建议您不要更改该格式 不过在某 些情况下 例如 如果有自动电子邮件处理系统 可能需要更改邮件格式 另请参阅编辑格式 191

192 使用本地字母字符 基于 Windows 区域设置 例如 Windows-1250 将电子邮件转换为 ANSI 字符编码 如果 保留此选项未选中 将转换邮件并以 ACSII 7 位编码 例如 á 将更改为 a 未知符号改为? 使用本地字符编码 电子邮件源将编码为使用 ASCII 字符的引用可打印 (QP) 格式 可通过 8 位格式电子邮件 正确传输特殊国家字符 (áéíóú) 4681 邮 件 格 式 程序和远程用户或系统管理员之间的通信通过电子邮件或 LAN 消息 使用 Windows 消息服务 来进行 多数情 况下 警报消息和通知的默认格式是最适用的 而在某些情况下 可能需要更改事件邮件的格式 在邮件中 关键字 用 符号隔开的字符串 由指定的实际信息替换 可用关键字包括 %TimeStamp% - 事件的日期和时间 %Scanner% - 相关模块 %ComputerName% - 发生警报的计算机的名称 %ProgramName% - 产生警报的程序 %InfectedObject% - 被感染文件 邮件等的名称 %VirusName% - 感染标识 %ErrorDescription% - 非病毒事件的说明 关键字 %InfectedObject% 和 %VirusName% 仅用于威胁警告邮件 而 %ErrorDescription% 仅用于事件邮件 469 演 示 模 式 演示模式是为那些需要不中断其使用软件 不希望被弹出窗口打扰 并希望尽量减少 CPU 使用的用户提供的功 能 演示模式还可以用于不能被病毒防护活动中断的演示 启用时 将禁用所有弹出窗口 并且不会运行计划任 务 系统保护仍在后台运行 但是不需要任何用户交互 启用时 将禁用所有弹出窗口 并且不会运行计划任 务 系统保护仍在后台运行 但是不需要任何用户交互 依次单击设置 > 计算机 然后单击演示模式旁边的开关以手动启用演示模式 在高级设置窗口 (F5) 中 依次单击工具 > 演示模式 然后单击全屏模式运行应用程序时自动启用演示模 式以在运行全屏应用程序时使 ESET Mail Security 自动处于演示模式 启用演示模式将存在潜在安全风险 因 此任务栏上的监视状态图标将变成橙色 并显示警告 您还将在主程序窗口中看到此警告 其中您将看到橙 色的已启用演示模式 当以全屏模式运行应用程序时自动启用演示模式时 演示模式将在启动全屏应用程序时启动 并在退出该应 用程序后自动停止 这对于在启动游戏 打开全屏应用程序或开始播放演示文稿后立即启动演示模式尤为有 用 您还可以选择自动禁用演示模式时间 以定义将在多久后 以分钟为单位 自动禁用演示模式 4610 诊 断 诊断提供 ESET 进程 例如 ekrn 的应用程序崩溃转储 如果应用程序崩溃 将生成一个转储 这能够帮助开发人 员调试和修复各种 ESET Mail Security 问题 单击转储类型旁的下拉菜单并选择以下三个可用选项之一 选择禁用 默认 以禁用此功能 小型 - 记录可能有助于识别应用程序意外崩溃原因的最小有用信息集 此类转储文件在空间有限时有用 然 而 因为所包含的信息有限 分析此文件可能无法找到不是由出现问题时正在运行的线程直接导致的错误 完整 - 当应用程序意外停止时记录系统内存的所有内容 完整的内存转储可能包含在收集内存转储时正在运 行进程的数据 启用协议过滤高级日志记录 - 采用 PCAP 格式记录所有通过协议过滤引擎传递的数据 从而帮助开发人员诊 断和修复与协议过滤相关的问题 目标目录 - 在崩溃期间将生成转储的目录 打开诊断文件夹 - 单击打开以在新的 Windows 资源管理器窗口中打开此目录 192

193 4611 客 户 服 务 提交系统配置数据 - 从下拉菜单中选择总是提交 或选择提交前询问以在提交数据前进行提示 4612 集 群 配置 ESET 群集时 启用群集将自动启用 您可以通过单击开关图标 在高级设置窗口中禁用它 当您需要在不 影响 ESET 群集中其他节点的情况下更改配置时 这是适合的操作 此开关仅启用或禁用 ESET 群集功能 若要 设置或销毁群集 请使用群集向导 或销毁位于主程序窗口的工具 > 群集部分中的群集 未配置和禁用的 ESET 群集 193

194 已使用其详细信息和选项正确配置的 ESET 群集 有关 ESET 群集的详细信息 请单击此处 47 用户界面 用户界面允许您配置程序的图形用户界面 (GUI) 行为 您可以调整程序的视觉外观和效果 用户界面元素 在用户界面元素部分中 您可以调整工作环境 使用 GUI 启动模式下拉菜单从以下图形用户界面 (GUI) 启动模 式中进行选择 o 完整 - 将显示完整 GUI o 终端 - 将不显示任何通知或警报 只能由管理员启动 GUI 如果图形元素降低计算机性能或导致其他问题 应将用户界面设置为终端 您可能还希望关闭终端服务器上的 GUI 有关安装在终端服务器上的 ESET Mail Security 的详细信息 请参阅禁用终端服务器上的 GUI 主题 如果希望停用 ESET Mail Security 初始屏幕 则取消选择启动时显示初始屏幕 若要使 ESET Mail Security 在扫描期间发生重要事件时 例如 在发现威胁时或已完成扫描时 发出声音 请选 中使用声音信号 194

195 集成到右键菜单 - 将 ESET Mail Security 控件元素集成到右键菜单中 应用程序状态 - 单击编辑 管理 启用或禁用 主菜单中的监视选项卡中显示的状态 还可以使用 ESET Remote Administrator 策略配置您的应用程序状态 许可证信息 - 启用后 将显示关于您的许可证的消息和通知 警报和通知 - 通过配置警报和通知 您可以更改检测到的威胁警报和系统通知的行为 可自定义这些设置以 满足您的需求 如果您选择不显示某些通知 它们将显示在已禁用消息和状态区域中 您可以在此处检查它 们的状态 显示更多详细信息或将它们从此窗口中删除 访问设置 - 您可以使用工具访问设置工具来阻止所有未经授权的更改 确保安全性保持较高级别 帮助 - 使用本地安装的脱机帮助作为帮助内容的主要来源 ESET Shell - 您可以使用 eshell 通过更改 ESET Shell 执行策略配置对产品设置 功能和数据的访问权限 右键菜单 - 右键单击某个项可显示 ESET Mail Security 右键菜单集成 使用此工具将 ESET Mail Security 控件元 素集成到右键菜单中 演示模式对于以下用户来说非常有用 他们希望在不受弹出窗口 计划任务和其他可能对系统资源造成压力 的组件的影响下使用应用程序 系统托盘图标 恢复此部分中的所有设置/恢复为默认设置 195

196 471 警 报 和 通 知 警报和通知部分 在用户界面下 允许您配置如何由 ESET Mail Security 处理威胁警报和系统通知 成功更新消 息 您还可以设置显示时间和系统托盘通知透明度 这仅适用于支持系统托盘通知的系统 警报窗口 禁用显示警报将取消所有警报窗口 这只适用于少数特定情况 对于大多数用户 我们建议保留该选项的默认 设置 启用 桌面通知 桌面通知和气球提示仅作为信息提示方式 并且不需要用户交互 它们显示在屏幕右下角的通知区域 要启用 桌面通知 请选择在桌面上显示通知 可通过以下方式修改通知显示时间和窗口透明度等更多详细选项 打开在全屏模式下运行应用程序时不显示通知开关以阻止所有非交互通知 您可以通过要显示事件的最低级别下拉菜单选择要显示的警报和通知的严重性级别 提供以下选项 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护时出错等 此部分的最后一项功能允许您在多用户环境中配置通知目标 对于多用户系统 在以下用户的屏幕上显示通 知字段在允许多个用户同时连接的系统上指定一个接收系统和其他通知的用户 正常情况下应该是系统或网络 管理员 假如所有系统通知都发给管理员 该选项对终端服务器特别有用 消息框 若要在一段时间后自动关闭弹出窗口 请选择自动关闭消息框 如果未手动关闭 警报窗口会在超过指定时限 后自动关闭 196

197 472 访 问 设 置 为最大限度地保障系统安全 必须正确配置 ESET Mail Security 任何未经授权的更改都可能导致重要数据的丢 失 要避免未经授权的更改 可用密码保护 ESET Mail Security 的设置参数 用于密码保护的配置设置位于高级 设置树 (F5) 中用户界面下的访问设置子菜单中 密码保护设置 - 锁定 解锁程序的设置参数 单击以打开 密码设置 窗口 要设置或更改密码以保护设置参数 请单击设置密码 受限的管理员帐户需要完全的管理员权限 - 选中此选项 可在修改某些系统参数 类似于 Windows Vista 中的 UAC 时提示当前用户 如果该用户没有管理员权限 输入管理员用户名和密码 修改包括禁用保护模块 如果 访问设置 密码更改 并且想要使用 ESET CMD 命令行导入现有 xml 配置文件 密码更改之前已签名 请务必使用当前密码重新对该配置文件进行签名 这使您在导入之前无需在另一台运行 ESET Mail Security 的 计算机上导出旧版本配置文件 即可使用该配置文件 4721 密 码 要避免未经授权的修改 可用密码保护 ESET Mail Security 的设置参数 197

198 4722 密 码 设 置 若要保护 ESET Mail Security 的设置参数以避免发生未经授权的修改 则必须设置新密码 如果希望更改现有的 密码 则可以在旧密码字段中键入旧密码 并在新密码和确认密码字段中输入新密码 然后单击确定 将来对 ESET Mail Security 的任何修改将需要该密码 473 帮 助 当您按 F1 键或单击? 按钮时 将打开一个联机帮助窗口 这是帮助内容的主要来源 但是 还有与程序一起安 装的帮助的脱机副本 脱机帮助在诸如未连接到 Internet 等情况下会打开 当您有正常的 Internet 连接时 将自动显示联机帮助的最新版本 474 E S E T S he ll 您可以使用 eshell 通过更改 ESET Shell 执行策略配置对产品设置 功能和数据的访问权限 默认设置为受限脚 本 但如果需要 您可以将其更改为已禁用 只读或完全访问 已禁用 - eshell 完全不能使用 仅允许使用 eshell 本身的配置 在ui 的外观 但无法访问产品设置或数据 eshell 上下文中 您可以自定义 eshell 只读 - eshell 可以用作监视工具 您可以在交互模式和批处理模式下查看所有设置 但您无法修改任何设置 或功能 或者修改任何数据 受限脚本 - 在交互模式下 您可以查看和修改所有设置 功能和数据 在批处理模式下 eshell 的工作方式与 在只读模式下相同 但是如果使用已签名的批处理文件 您将能够编辑设置和修改数据 完全访问 - 在交互模式和批处理模式下 在运行批处理文件时 对所有设置的访问都不受限制 您可以查看 和修改任何设置 您必须使用管理员帐户 才能通过完全访问权限运行 eshell 如果 UAC 已启用 还需要使用 提升权限 475 在 终 端 服 务 器 上 禁 用 GU I 本章介绍如何为用户会话禁用运行在 Windows 终端服务器上的 ESET Mail Security 的 GUI 通常 ESET Mail Security GUI 在每次远程用户登录到服务器时启动 并创建终端会话 这在终端服务器上通常不 需要 如果希望关闭终端会话的 GUI 您可以使用 eshell 通过运行setui ui gui-start-mode terminal 命令实现 该目的 这会将 GUI 置于终端模式 GUI 启动有两种可用模式 set ui ui gui-start-mode full set ui ui gui-start-mode terminal 如果希望了解当前正在使用何种模式 可运行 get ui ui gui-start-mode 命令 如果您已在 Citrix 服务器上安装了 ESET Mail Security 建议使用知识库文章中所述的设置 476 已 禁 用 消 息 和 状 态 确认消息 - 向您显示确认消息列表 您可以从中选择是否显示确认消息 应用程序状态设置 - 允许您在主菜单的监视选项卡中启用或禁用显示状态 198

199 4761 确 认 消 息 该对话窗口将显示在执行任何操作之前 ESET Mail Security 显示的确认消息 选中或取消选中每条确认消息旁的 复选框以启用或禁用它 4762 应 用 程 序 状 态 设 置 此对话窗口使您可以选择或取消选择要显示或不要显示的应用程序状态 例如 当您暂停病毒和间谍软件防护 时 会导致防护状态发生变化 此种情况会显示在监视页面中 如果您的产品未激活或者许可证已到期 也将显 示应用程序状态 可以通过 ESET Remote Administrator 策略管理应用程序状态 列表中显示的类别和状态具有以下两个选项 显示 和发送状态 应用程序状态的发送列仅在 ESET Remote Administrator 策略配置中可见 ESET Mail Security 显示带 有锁定图标的设置 您可以使用覆盖模式暂时更改应用程序状态 199

200 477 系 统 托 盘 图 标 可通过右键单击系统托盘图标 使用一些最重要的设置选项和功能 暂停防护 - 显示禁用病毒和间谍软件防护的确认对话框 这些防护通过控制文件 Web 和电子邮件通信来保护 系统免受攻击 时间间隔下拉菜单表示将为其禁用病毒和间谍软件防护的时段 高级设置 - 选择此选项以进入高级设置 您还可以通过按 F5 键或导航到设置 > 高级设置来访问高级设置 日志文件 - 日志文件包含所有已发生的重要程序事件的信息 并提供检测到的威胁的概要信息 隐藏 ESET Mail Security - 从屏幕隐藏 ESET Mail Security 窗口 重置窗口布局 - 将 ESET Mail Security 窗口重置为其默认大小和屏幕位置 病毒库更新 - 开始更新病毒库以确保您对恶意代码的防护级别 关于 - 提供系统信息 有关已安装的 ESET Mail Security 版本以及安装的程序模块的详细信息 以及您的许可证 到期日期 有关您的操作系统和系统资源的信息可以在页面底部找到 200

201 4771 暂 停 防 护 每当您使用系统托盘图标 暂时禁用病毒和间谍软件防护时 暂停防护对话框就会出现 这将在选定时段内 禁用与恶意软件相关的防护 若要永久禁用防护 则必须使用高级设置 请谨慎使用此选项 因为禁用保护可 能会使系统暴露在威胁之下 478 右 键 菜 单 右键单击对象 文件 后 就会显示右键菜单 该菜单将列出您可以在对象上执行的所有操作 可以将 ESET Mail Security 控件元素集成到右键菜单中 此功能的设置选项在用户界面 > 用户界面元素下的高 级设置树中提供 集成到右键菜单 - 将 ESET Mail Security 控件元素集成到右键菜单中 48 恢复此部分中的所有设置 将模块设置恢复为 ESET 定义的默认设置 请 单击恢复为默认值后 已做的所有更改都将丢失 恢复表格内容 - 当启用时 已手动或自动添加的规则 任务或配置文件将丢失 201

202 49 恢复为默认设置 对于所有模块 所有程序设置将重置为其在全新安装后会具有的状态 410 计划任务 计划任务用于计划以下任务 病毒库更新 扫描任务 系统启动文件检查以及日志维护 您可以直接从主 计划 任务 窗口中添加或删除任务 单击底部的 添加任务 或 删除 在 计划任务 窗口中右键单击任意位置可执行 以下操作 显示详细信息 立即执行任务 添加新任务和删除现有任务 使用每个条目开头的复选框来启用 停 用任务 默认情况下 计划任务中显示以下计划任务 日志维护 定期自动更新 拨号连接后自动更新 用户登录后自动更新 自动启动文件检查 用户登录后 自动启动文件检查 成功更新病毒库后 自动开始首次扫描 要编辑现有计划任务 包括默认和用户定义的 的配置 请右键单击任务并单击编辑 或选择要修改的任务并 单击编辑按钮 添加新任务 1 单击窗口底部的添加任务 2 输入任务的名称 3 选择所需的任务类型 4 如果要激活任务 您可以之后通过选中 取消选中计划任务列表中的复选框来执行此操作 请打开已启用开 关 5 单击下一个 然后选择其中一个计时选项并指定何时再次执行它 6 在计划任务视图中双击任务时查看计划任务 或右键单击计划任务并选择显示任务详细信息进行查看 202

203 4101 任 务 详 细 信 息 输入任务名称 然后从下拉菜单中选择所需的任务类型 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中仍会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作效 率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件 例如 驱动程序 应用程序 的详细信息并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 20 分钟后 将作为低优先级任务执行计算机扫描 更新 - 计划一个更新任务以执行病毒库和程序模块的更新 数据库扫描 - 允许您计划数据库扫描并选择将扫描的项 这实质上是手动数据库扫描 如果您已启用邮箱数据库防护 仍可以计划该任务 但错误消息数据库扫描 扫描因错误而中断将显示在主 GUI 的扫描部分 为了防止出现这种情况 确保在计划运行数据库扫描期间 邮箱数据库防护 处于禁用状 态 发送邮件隔离报告 - 计划要通过电子邮件发送的邮件隔离报告 后台扫描 - 让 Exchange Server 可以运行数据库后台扫描 如果需要 Hyper-V 扫描 - 计划 Hyper-V 内的虚拟磁盘扫描 如果您想要在创建任务后停用它 请单击已启用旁边的开关 您可以通过使用计划任务视图中的复选框来稍后 激活任务 单击下一步 继续执行下一个步骤 4102 任 务 计 时 一 次 指定一次性任务执行的日期和时间 4103 任 务 计 时 当您想要计划运行任务时 请选择以下要定义的计时选项之一 一次 - 任务将仅在指定日期和时间执行一次 重复 - 任务将以指定的时间间隔执行 以分钟为单位 每天 - 任务将在每天指定时间重复运行 每周 - 任务将在每周所选日期和时间运行一次或多次 由事件触发 - 任务将在发生指定事件后执行 如果靠电池供电时跳过任务已启用 则在任务应该启动时系统正靠电池供电 将不会启动该任务 比如 这适 用于依赖 UPS 运行的计算机 单击下一步 继续执行下一个步骤 4104 任 务 计 时 每 天 指定每天执行任务的时间 203

204 4105 任 务 计 时 每 周 任务将在所选日期和时间运行 4106 任 务 计 时 由 事 件 触 发 任务可能由以下任一事件触发 每次计算机启动 每天计算机第一次启动时 拨号连接至 Internet/VPN 成功更新病毒库 成功更新程序组件 用户登录 威胁检测 计划由事件触发任务时 可以指定两次任务完成之间的最小间隔 例如 如果您每天多次登录计算机 可以选择 24 小时 这样仅在当天首次登录时执行任务 然后在第二天再执行任务 4107 任 务 详 细 信 息 运 行 应 用 程 序 使用此任务可计划外部应用程序的执行 可执行文件 - 从目录树中选择可执行文件 单击 浏览 () 或手动输入路径 工作文件夹 - 定义外部应用程序的工作目录 选定可执行文件的所有临时文件将在此目录中创建 参数 - 应用程序的命令行参数 可选 单击完成 创建任务或应用更改 如果已修改现有计划任务 4108 任 务 详 细 信 息 发 送 邮 件 隔 离 报 告 发送邮件隔离报告任务通过电子邮件发送邮件隔离报告 发送邮件隔离报告任务仅在使用本地隔离时可用 您将无法通过隔离邮箱和 MS Exchange 隔离使用它 发件人地址 - 指定显示为邮件隔离报告的发件人的电子邮件地址 报告中记录的最大计数 - 可以限制每个报告的条目数 默认计数设置为 50 Web URL - 此 URL 将包含在邮件隔离报告中 以便收件人只需单击该链接即可访问邮件隔离的 Web 界面 收件人 - 用于选择接收邮件隔离报告的用户 单击编辑以选择适用于特定收件人的邮箱 单击完成以创建计划任务 邮件隔离报告仅当存在隔离的邮件时发送 如果隔离区为空 则将不发送报告 4109 跳 过 的 任 务 如果任务无法在预定义的时间运行 可以指定其执行时间 在下一个计划时间 - 任务将在指定时间执行 如 24 小时后 尽快 - 任务将尽快执行 当阻止任务执行的操作不再有效时 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 - 自上次运行时间之后经过的时间 (小时) - 选择了此选项后 任务将在指定时间间隔 以小时为单位 后始终重复执行 204

205 41010 计 划 任 务 概 述 当您双击计划任务视图中的任务 或者右键单击计划任务并选择显示任务详细信息时 该对话框窗口会显示 有关计划任务的详细信息 计 划 任 务 后 台 扫 描 此任务类型允许在后台通过 VSAPI 进行数据库扫描 它实质上可让 Exchange Server 在需要时运行后台扫描 扫 描由 Exchange Server 本身触发 这意味着由 Exchange Server 来决定是否将在允许的时间内执行扫描 我们建议您允许此任务在高峰时段以外 此时 Exchange Server 不太忙碌 运行 例如在夜间 这是因为数据库后 台扫描可能会对系统施加一定量的负载 此外 时间范围不应与可能在 Exchange Server 上运行的任何备份有冲 突 以防止出现性能或可用性问题 必须启用邮箱数据库防护才能使计划任务运行 此类防护仅适用于以邮箱服务器 Microsoft Exchange 2010 和 2007 或后端服务器 (Microsoft Exchange 2003) 角色运行的 Microsoft Exchange Server 和 2003 超时(小时) - 指定从执行此计划任务的时间开始算起 允许 Exchange Server 运行数据库后台扫描多少小时 一 旦到达超时后 将指示 Exchange 停止其后台扫描 205

206 41012 更 新 配 置 文 件 如果您希望从两个更新服务器更新程序 则有必要创建两个不同的更新配置文件 如果第一个更新配置文件无 法下载更新文件 则程序会自动切换到备用更新配置文件 这适用于一般从本地局域网更新服务器进行更新但 其所有者经常通过其他网络连接到 Internet 的设备 例如 笔记本电脑 因此 如果第一个配置文件出现故障 第二个配置文件将从 ESET 的更新服务器上自动下载更新文件 在更新一章中 您可以找到有关更新配置文件的更多信息 411 隔离 隔离文件 从隔离区恢复 提交隔离区中的文件 4111 隔 离 文 件 ESET Mail Security 自动隔离被删除的文件 如果您尚未在警报窗口中禁用该选项 如果需要 您可以手动隔离 任何可疑文件 方法是单击隔离 这种情况下 程序不会将原文件从其初始位置删除 也可以使用右键菜单达 到此目的 在隔离区窗口中右键单击 然后选择隔离 4112 从 隔 离 区 恢 复 隔离的文件还可以恢复到其初始位置 若要恢复隔离的文件 请在 隔离区 窗口中右键单击该文件 然后在右 键菜单中选择恢复 如果文件被标记为潜在的不受欢迎应用程序 则恢复并且不扫描也将可用 右键菜单还包 含恢复至 选项 使用此选项可将文件恢复到其被删除时所在位置之外的其他位置 从隔离区中删除 - 右键单击给定项并选择从隔离区中删除 或选择想要删除的项然后在键盘上按 Delete 键 还可以选择多个项 然后将它们一起删除 如果程序错误地隔离了无害文件 请在文件恢复后将其移出扫描队列 并发送给 ESET 客户服务部门 206