ESET Smart Security Premium

Transcription

1 用户指南 适用于产品版本 12.0 和更高版本 Microsoft Windows 10 / 8.1 / 8 / 7 / Vista / Home Server 2011 单击此处显示此文档的联机帮助版本

2 版权 2018 ESET, spol. s r. o. ESET Sma rt Securi ty Premi um 由 ESET, s pol. s r. o. 开发 有关更多信息 请访问 et.com 保留所有权利 未经作者书面同意 本文档的任何部分均不得复 制 存入检索系统或以任何形式或任何方式传播 包括电子的 机 械的 影印 记录 扫描或其他方式 ESET, s pol. s r. o. 保留未经事先通知即更改任何所述应用程序软件 的权利 全球客户支持 et.com/s upport 修订日期 2018/9/25

3 目录 可 移 动 磁 盘 ESET Sm art Security Prem ium 此 版 本 中 的 新 功 能 设 备 控 制 设备控制规则编辑器 添加设备控制规则 我 有 哪 些 产 品 网络摄像机防护规则编辑器 系 统 需 求 基 于 主 机 的 入 侵 预 防 系 统 (HIPS) 高级设置 预 防 HIPS 交互窗口 检测到潜在的勒索软件行为 安装 游 戏 模 式 Liv e installer Internet 防 护 脱 机 安 装 W eb 访 问 保 护 输 入 许 可 证 密 钥 使 用 许 可 证 管 理 器 高 级 设 置 常 见 安 装 问 题 产 品 激 活 输 入 许 可 证 密 钥 升 级 到 更 新 版 本 安 装 完 成 后 的 首 次 扫 描 基本 Web 协议 URL 地址管理 电 子 邮 件 客 户 端 防 护 电子邮件客户端 电子邮件协议 警报和通知 电子邮件客户端集成 电子邮件客户端防护配置 POP3 POP3S 过滤器 反垃圾邮件防护 入门指南 协 议 过 滤 主 程 序 窗 口 排除的应用程序 更 新 排除的 IP 地址 Web 和电子邮件客户端 添加 IPv4 地址 信 任 区 域 设 置 添加 IPv6 地址 防 盗 SSL/ TLS 家 长 控 制 工 具 使用 ESET Sm art Security Prem ium 证书 加密的网络通信 已知证书列表 SSL/ TLS 过滤的应用程序列表 计 算 机 防 护 网 络 钓 鱼 防 护 检 测 引 擎 网 络 防 护 文件系统实时防护 防 火 墙 其他 ThreatSense 参数 学习模式设置 清除级别 网络攻击防护 何时修改实时防护配置 防 火 墙 配 置 文 件 检查实时防护 已分配到网络适配器的配置文件 实时防护不工作时如何应对 配 置 和 使 用 规 则 计算机扫描 防火墙规则 自定义扫描启动程序 使用规则 扫描进度 配 置 区 域 扫描配置文件 已 知 网 络 计算机扫描日志 已知网络编辑器 空闲状态下扫描 网络验证 服务器配置 开机扫描 日 志 记 录 自动启动文件检查 建 立 连 接 检 测 排除 使 用 ESET 个 人 防 火 墙 解 决 问 题 ThreatSense 参数 故障排除向导 清除 记录日志并从中创建规则或例外 不扫描的文件扩展名 从日志创建规则 检测到威胁 创建个人防火墙通知的例外 文档防护 高级 PCAP 日志记录... 71

4 使用协议过滤解决问题 安 全 工 具 用 户 界 面 用 户 界 面 元 素 家 长 控 制 警 报 和 通 知 类别 高级设置 网站例外 访 问 设 置 更 新 程 序 程 序 菜 单 更 新 设 置 高级用户 高级更新设置 更新模式 配 置 文 件 连接选项 键 盘 快 捷 方 式 更 新 回 滚 如 何 创 建 更 新 任 务 诊 断 工 具 导 入 和 导 出 设 置 Password Manager ESET SysInspec tor 启用 Password Manager 解锁 Password Manager 禁用 Password Manager 支持的浏览器 身 份 应 用 帐 户 W eb 帐 户 菜 单 设置 工具 我 的 帐 户 主密码 同步 Sec ure Data 简 介 安装 入门 加密虚拟驱动器 ESET SysInspec tor 介 绍 启动 ESET SysInspector 用 户 界 面 和 应 用 程 序 的 使 用 程序控件 ESET SysInspector 导航 键盘快捷键 比较 命 令 行 参 数 服 务 脚 本 生成服务脚本 服务脚本结构 执行服务脚本 常 见 问 题 解 答 命 令 行 词汇表 加密可移动驱动器 渗 透 类型 已 连 接 的 家 庭 显 示 器 病 毒 网络设备 蠕 虫 网 络 摄 像 机 防 护 木 马 ESET Smart Sec urity Premium 中 的 工 具 Rootk it 日志文件 广 告 软 件 日志文件 间 谍 软 件 运行进程 加 壳 程 序 安全报告 潜 在 的 不 安 全 应 用 程 序 查看活动 潜 在 的 不 受 欢 迎 应 用 程 序 网络连接 僵 尸 网 络 ESET SysInspector 远 程 攻 击 类型 计划任务 系统清理器 ESET SysRescue 基于云的防护 可疑文件 隔离区 代理服务器 电子邮件通知 DoS 攻 击 DNS 投 毒 蠕 虫 攻 击 端 口 扫 描 T CP 去 同 步 化 SMB 中 继 ICMP 攻 击 邮件格式 ESET 技 术 选择样本以供分析 漏 洞 利 用 阻 止 程 序 Microsoft Windows 更新 高 级 内 存 扫 描 程 序 ESET CMD 网 络 攻 击 防 护 ESET Liv egrid

5 目录 僵 尸 网 络 保 护 Jav a 漏 洞 利 用 阻 止 程 序 银 行 和 付 款 保 护 基 于 脚 本 的 攻 击 防 护 勒 索 软 件 防 护 UEFI 扫 描 程 序 电 子 邮 件 广 告 恶 作 剧 欺 诈 识 别垃 圾 邮 件 欺 骗 规则 白名单 黑名单 例外列表 服务器端控制 常见问题 如 何 更 新 ESET Smart Sec urity Premium 如 何 从 PC 中 删 除 病 毒 如 何 允 许 特 定 应 用 程 序 的 通 信 如 何 为 帐 户 启 用 家 长 控 制 如 何 在 计 划 任 务 中 创 建 新 任 务 如 何 计 划 每 周 计 算 机 扫 描 如 何 解 锁 高 级 设 置

6 1. ESET Smart Security Premium ESET Smart Security Premium 代表了真正集成计算机安全的新方法 最新版本的 ESET LiveGrid 扫描引擎与自定义防火 墙和反垃圾邮件模块相结合 提高了速度和精确性以保护您的计算机安全 由此形成了一个能够对可能威胁您的计算机的攻 击和恶意软件持续保持警戒状态的智能系统 ESET Smart Security Premium 是结合了最高防护与最少系统占用的完整安全解决方案 我们的先进技术使用人工智能来防 止病毒 间谍软件 木马 蠕虫 广告软件 Rootkit 和其他威胁的渗透 且不会妨碍系统性能或中断计算机的运行 功能和优点 重新设计的用户界面 此版本中的用户界面已基于可用性测试结果进行了大量重新设计和简化 已仔细检 查所有 GUI 用词和通知 并且该界面现在支持从右到左的语言 例如希伯来语和阿 拉伯语 在线帮助现在集成到 ESET Smart Security Premium 中 并提供动态更 新支持内容 病毒和间谍软件防护 主动检测和清除更多已知和未知病毒 蠕虫 木马和 Rootkit 即使是前所未见的 恶意软件 高级启发式扫描也可对其进行标志 从而防止未知威胁并在恶意软件制 造危害之前使其失效 Web 访问保护和网络钓鱼防护的功能是监视 Web 浏览器 和远程服务器之间的通信 包括 SSL 电子邮件客户端防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 定期更新 定期更新检测引擎 之前称为 病毒库 和程序模块是确保计算机保持最高安全级 别的最佳方法 E S E T Liv egrid 云端信誉 用户可以直接从 ESET Smart Security Premium 检查运行进程和文件的信誉 设备控制 自动扫描所有 U 盘 内存卡和 CD/DVD 将根据磁盘的类型 制造商 大小和其 他特性阻止可移动磁盘 HIP S 功能 您可以更详细地自定义系统的行为 为系统注册表 活动进程和程序指定规则以及 微调您的安全状态 游戏模式 推迟所有弹出窗口 更新或其他系统占用量大的活动 以为游戏或其他全屏活动保 留系统资源 E S E T S mart S ec urit y P remium 中的功能 银行和付款保护 银行和付款保护提供了一个可供在访问网上银行或在线付款网关时使用的安全浏览 器 用于确保所有在线交易均在受信任且安全的环境中进行 网络签名支持 网络签名允许快速标识并阻止通过用户设备 例如机器人 传送的恶意通信以及漏 洞利用软件包 该功能可以视为僵尸网络保护的增强功能 智能防火墙 阻止未授权的用户访问您的计算机和使用您的个人数据 E S E T 反垃圾邮件 垃圾邮件占全部电子邮件通信的比率高达 80% 反垃圾邮件防护即针对此问题提 供保护 E S E T 防盗 在计算机丢失或被盗的情况下 ESET 防盗 能够扩展用户级别安全 用户安装 ESET Smart Security Premium 和 ESET 防盗 后 其设备将在 Web 界面中列出 Web 界面允许用户在其设备上管理 ESET 防盗 配置并管理防盗功能 家长控制 通过阻止各种网站类别可保护家庭成员不受潜在冒犯 Web 内容的干扰 要使 ESET Smart Security Premium 的功能可用 需激活许可证 建议您在 ESET Smart Security Premium 许可证过期前 的若干周内续订许可证 6

7 1.1 此版本中的新功能 ESET Smart Security Premium 的新版本包含以下改进 一键单击日志记录 只需单击一下即可创建高级日志 统一可扩展固件接口 (UE FI) 扫描程序 通过在操作系统启动之前检测并删除可能触发的威胁来提高恶意软件防护级 别 有关详细信息 请单击此处 高性能和低系统影响 - 此版本旨在高效使用系统资源 从而使您可以在抵御新的威胁类型的同时尽情享受计算机的性能 高级重组设置 ESET LiveGrid 设置移至 检测引擎 部分 反垃圾邮件高级日志移至 诊断 部分等 改进的屏幕阅读器支持 ESET Smart Security Premium 支持最受欢迎的屏幕阅读器 (JAWS NVDA Narrator) 拖放文件扫描 - 只需将文件或文件夹移动到标记区域即可手动扫描文件或文件夹 ESET Smart Security Premium 现在使用最小模块进行安装 使安装轻量快捷 安装并激活产品后 模块开始下载 ESET Smart Security Premium 将在您连接到未受保护的无线网络或防护较弱的网络时通知您 有关 ESET Smart Security Premium 中新功能的更多详细信息 请阅读下面的 ESET 知识库文章 此 ESET 家庭产品版本中的新功能 1.2 我有哪些产品 ESET 在新产品中提供多层安全性 从强大而快速的病毒防护解决方案到具有最少系统占用的一体式安全解决方案 E S E T NOD32 A nt iv irus E S E T Int ernet S ec urit y E S E T S mart S ec urit y P remium 若要确定您安装了哪个产品 请打开主程序窗口 请参阅知识库文章 您将在窗口顶部 标题 看到产品的名称 下表详细介绍了每个特定产品中提供的功能 E S E T NOD32 A nt iv irus E S E T Int ernet S ec urit y E S E T S mart S ec urit y P remium 病毒防护??? 间谍软件防护??? 漏洞利用阻止程序??? 基于脚本的攻击防护??? 网络钓鱼防护??? Web 访问保护??? HIP S 包括防勒索软件防护??? 反垃圾邮件?? 防火墙?? 已连接的家庭显示器?? 网络摄像机防护?? 网络攻击防护?? 僵尸网络保护?? 银行和付款保护?? 家长控制?? 防盗?? 7

8 E S E T P as s word Manager? E S E T S ec ure Dat a? 注意 可能并未针对您的语言 地区提供上述某些产品 1.3 系统需求 若要使 ESET Smart Security Premium 发挥最佳性能 您的系统应满足以下硬件和软件要求 支持的处理器 Intel 或 AMD x86-x64 支持的操作系统 Microsoft Microsoft Microsoft Microsoft Microsoft Microsoft Windows Windows Windows Windows Windows Windows Vista Home Server 位 注意 ESET 防盗 不支持 Microsoft Windows Home Server 1.4 预防 使用计算机时 尤其是浏览 Internet 时 请记住 世界上没有任何病毒防护系统可以完全消除渗透和 攻击. 要提供最大保护和 便利 正确使用病毒防护解决方案和遵守一些有用规则非常重要 定期更新 根据 ThreatSense 的统计数据 每天都会产生数以千计的新的独特渗透 它们绕过现有安全措施 以损害其他用户利益为代 价给渗透者带来收益 ESET 研究实验室的专家每天分析这些威胁 准备并发布更新 以不断提高用户的保护级别 要确保 这些更新的最大有效性 在系统上适当配置这些更新就显得非常重要 有关如何配置更新的更多信息 请参见更新设置章 节 下载安全补丁 恶意软件的作者通常利用各种系统漏洞 以提高恶意代码的传播效果 出于这种考虑 软件公司密切关注其应用程序中出现 的任何漏洞 并且定期发布可消除潜在威胁的安全更新的原因 安全更新发布后需立即下载 这非常重要 Microsoft Windows 和 Web 浏览器 例如 Internet Explorer 程序是安全更新定期发布的两个程序示例 备份重要数据 恶意软件作者通常不关心用户需求 恶意程序的活动常常导致操作系统故障和重要数据丢失 定期将重要和敏感数据备份到 外部存储器 例如 DVD 或外部硬盘驱动器 就显得非常重要 这将使得发生系统故障时恢复数据更加简单快速 定期扫描计算机 查找病毒 实时文件系统防护模块可检测更多已知和未知的病毒 蠕虫 木马和 Rootkit 这意味着每次您访问或打开文件时 将对其进 行扫描以查找恶意软件活动 我们建议您每月至少运行一次计算机全面扫描 这是因为恶意软件病毒库不断变化并且检测引 擎每天会自行更新 8

9 遵循基本安全规则 这是所有规则中最有用和最有效的一条 始终保持谨慎 现在许多渗透需要用户干预才能执行和船舶 如果您打开新文件时 比较谨慎 可为自己节省清除渗透所需的大量时间和精力 下面是一些实用指南 不访问带有多个弹出窗口和闪烁广告的可疑网站 谨慎安装免费软件 代码包等 只使用安全的程序 只访问安全的 Internet 网站 谨慎打开电子邮件附件 尤其是批量发送的邮件和来自陌生发件人的邮件 不要使用管理员帐户执行计算机的日常工作 9

10 2. 安装 有多种方法可用于在您的计算机上安装 ESET Smart Security Premium 安装方法稍有差异 具体取决于国家 地区以及分发 方式 可以从 ESET 网站上下载 Live installer 此安装程序包通用于所有语言 请选择一种所需的语言 Live installer 文件本 身很小 系统会自动下载安装 ESET Smart Security Premium 所需的其他文件 脱机安装 - 从产品 CD/DVD 进行安装时 将使用此安装类型 它将使用一个比 Live installer 文件更大的.exe 文件 且无 需 Internet 连接或其他文件即可完成安装 重要信息 在您安装 ESET Smart Security Premium 之前 确保您的计算机上没有安装其他病毒防护程序 如果在一台计算机上安 装两个或更多病毒防护解决方案 可能彼此冲突 建议您卸载系统上的任何其他病毒防护程序 请参见 ESET 知识库文 章 了解常见病毒防护软件的卸载工具列表 提供英语和多个其他语言版本 2.1 Live installer 下载 Live installer 安装程序包后 双击安装文件并遵循安装程序窗口中的逐步说明 重要信息 您必须连接到 Internet 才可进行此类安装 从下拉菜单中选择所需的语言 然后单击继续 留出一些时间 用于下载安装文件 在您接受最终用户许可协议后 系统会提示您配置 E S E T Liv egrid 和检测潜在不受欢迎的应用程序 E S E T Liv egrid 可帮助确保 ESET 能够及时且持续地获知新威胁 从而保护我们的客户 该系统允许向 ESET 研究实验室提交 新的威胁 这些威胁将在实验室进行分析 处理并添加到检测引擎中 默认情况下 选择启用 E S E T Liv egrid 反馈系统(推荐) 这将激活此功能 安装过程的下一步是配置潜在不受欢迎的应用程序检测 潜在不受欢迎的应用程序未必是恶意的 但可能对操作系统的运行 产生不良影响 参见潜在不受欢迎的应用程序章节了解更多详细信息 单击安装 开始安装过程 可能需要一些时间 单击完成以完成产品安装并开始激活过程 注意 安装并激活产品后 模块开始下载 正在初始化防护 某些功能可能无法完全正常工作 除非下载完成 10

11 注意 如果有允许您安装其他版本产品的许可证 则可以根据自己的偏好选择相应产品 有关每个特定产品中的各项功能的详细 信息 请单击此处 2.2 脱机安装 启动脱机安装 (.exe) 后 安装向导将引导您完成设置过程 从下拉菜单中选择所需的语言 然后单击安装 在您接受最终用户许可协议后 系统会提示您输入许可证密钥或使用许可证管理器 如果您还没有许可证 请选择免费试用版以在一段有限时间内测试 ESET 产品或选择购买许可证 或者 您可以选择跳过 激活以在没有激活的情况下继续安装 稍后系统将提示您输入许可证密钥 11

12 2.2.1 输 入 许 可 证 密 钥 安装向导根据您的许可证密钥选择要安装的产品 并在安装期间显示产品名称 要查看可使用您的许可证激活的产品列表 请单击更改产品 有关每个特定产品中的各项功能的详细信息 请单击此处 单击继续 选择 E S E T Liv egrid 的首选设置和检测潜在不受欢迎的应用程序 E S E T Liv egrid 可帮助确保 ESET 能够及时且持续地获知新威胁 从而保护我们的客户 该系统允许向 ESET 研究实验室提交新的威胁 这些威胁将在实验室 进行分析 处理并添加到检测引擎中 潜在不受欢迎的应用程序未必是恶意的 但可能对操作系统的运行产生不良影响 参见潜在不受欢迎的应用程序章节了解更多详细信息 单击安装 开始安装过程 可能需要一些时间 单击完成以完成产品安装并开始激活过程 注意 安装并激活产品后 模块开始下载 正在初始化防护 某些功能可能无法完全正常工作 除非下载完成 注意 如果您拥有允许您在产品之间进行选择的许可证 则可以根据自己的喜好安装产品 有关每个特定产品中的各项功能的详 细信息 请单击此处 有关安装步骤 E S E T Liv egrid 和检测潜在不受欢迎的应用程序的详细说明 请遵循 Live installer 部分中的说明 使 用 许 可 证 管 理 器 在选择使用许可证管理器后 系统会要求您在新窗口中提供 my.eset.com 凭据 输入您的 my.eset.com 凭据并单击登录 即可在许可证管理器中使用许可证 选择要激活的许可证 单击继续 将激活您的 ESET Smart Security Premium 注意 如果您还没有 my.eset.com 帐户 请通过单击创建帐户按钮进行注册 注意 如果您忘记了密码 则单击忘记密码 然后按照将您重定向到的网页上的步骤操作 ESET 许可证管理器可帮助您管理您的所有 ESET 许可证 您可以轻松续订 升级或扩展许可证 并查看重要的许可证详细 信息 首先 输入许可证密钥 之后 您将看到产品 关联设备 可用席位数和到期日期 您可以停用或重命名特定设备 在单击续订后 系统会将您重定向到在线商店 您可以通过在线商店确认购买并购买续订 12

13 如果要升级您的许可证 例如从 ESET NOD32 Antivirus 升级到 ESET Smart Security Premium 或者想在其他设备上安 装 ESET 安全产品 系统会将您重定向到在线商店以完成购买 在 ESET 许可证管理器中 还可以添加其他许可证 将产品下载到您的设备 高 级 设 置 选择更改安装文件夹后 系统将提示您为安装选择一个位置 程序默认安装到以下目录 C:\Program Files\ESET\ESET Smart Security Premium\ 单击浏览可更改此位置 不建议 若要完成后续安装步骤 E S E T Liv egrid 和检测潜在不受欢迎的应用程序 请按照 Live 安装程序部分中的说明操作 请参阅 Live 安装程序 依次单击继续和安装以完成安装 2.3 常见安装问题 如果在安装期间发生问题 请查看我们的常见安装错误和解决方案列表 以查找有关您的问题的解决方案 2.4 产品激活 完成 安装后 将提示您激活产品 有几种激活产品的方法 激活窗口中特定激活方案的可用性可能根据国家 地区和分发方式 CD/DVD ESET 网页等 而不 同 如果您购买了本产品的零售版 则使用许可证密钥激活产品 许可证密钥通常位于产品包装的内部或背面 若要成功激 活 必须输入提供的许可证密钥 许可证密钥 - 遵循 XXXX-XXXX-XXXX-XXXX-XXXX 或 XXXX-XXXXXXXX 格式的唯 一字符串 用于标识许可证所有者和激活许可证 在选择使用许可证管理器后 系统将要求您在新窗口中提供您的 my.eset.com 凭据 如果您想在购买前先评估 ESET Smart Security Premium 则选择免费试用 输入电子邮件地址和国家 地区以在有限时 间内激活 ESET Smart Security Premium 试用许可证将用电子邮件发送给您 每位客户仅可激活一次试用许可证 如果您没有许可证并且想购买 请单击 购买许可证 它将引导您进入您当地的 ESET 经销商网站 13

14 2.5 输入许可证密钥 自动更新对您的安全很重要 ESET Smart Security Premium 仅在使用您的许可证密钥激活后才接收更新 如果您未在安装后输入您的许可证密钥 将不会激活您的产品 您可以在主程序窗口中更改您的许可证 若要执行此操作 请依次单击帮助和支持 > 激活许可证 然后将随 ESET 安全产品一起收到的许可证数据输入到产品激活窗口中 当输入您的许可证密钥时 请务必按照其写入形式准确键入它 您的许可证密钥是采用 XXXX-XXXX-XXXX-XXXX-XXXX 格式的唯一字符串 用于标识许可证所有者和激活许可证 我们建议您从您的注册电子邮件复制并粘贴许可证密钥 以确保准确性 2.6 升级到更新版本 发布 ESET Smart Security Premium 的新版本可改进功能或修复程序模块自动更新时无法修复的问题 有多种方法可以升级 到更新版本 1. 通过程序更新自动升级 因为程序升级被分发给所有用户 而且可能对某些系统配置产生影响 所以会在长时间的测试之后才发布 以确保所有可 能的系统配置都能够工作 如果发布后需要立刻升级到更新版本 请使用以下方法之一 2. 通过单击 检查更新 在更新部分中 在主程序窗口中手动进行升级 3. 通过针对以前的安装来下载和安装更新版本 手动进行升级 14

15 2.7 安装完成后的首次扫描 安装 ESET Smart Security Premium 后 计算机扫描将在首次成功更新之后自动启动 以检查是否存在恶意代码 您也可以单击计算机扫描 > 扫描计算机来从主程序窗口手动启动计算机扫描 有关计算机扫描的更多信息 请参阅计算机 扫描一节 15

16 3. 入门指南 本章提供对 ESET Smart Security Premium 及其基本设置的初步概述 3.1 主程序窗口 ESET Smart Security Premium 的主程序窗口分为两个主要部分 右侧的主窗口显示与左侧的主菜单中选定选项相关的信 息 以下是主菜单中选项的说明 主页 - 提供有关 ESET Smart Security Premium 的防护状态的信息 计算机扫描 - 配置并启动对计算机的扫描或创建自定义扫描 更新 - 显示有关检测引擎更新的信息 工具 - 提供对日志文件 防护统计信息 查看活动 运行进程网络连接 计划任务 ESET SysInspector 和 ESET SysRescue 设置 - 选择此选项可调整计算机 Internet 网络防护和安全工具的安全级别 帮助和支持 - 使您能够访问帮助文件 ESET 知识库 ESET 网站和指向提交支持请求的链接 主页屏幕包含有关计算机的当前防护级别的重要信息 状态窗口显示 ESET Smart Security Premium 中的常用功能 有关 最近更新的信息以及程序的到期日期也位于此处 绿色图标和绿色最高防护状态表示已确保最高防护 程序工作不正常时如何应对 如果主动防护模块正常工作 其防护状态图标将为绿色 红色惊叹号或橙色通知图标表明无法确保提供最大程度的防护 将 在主页下显示有关每个模块的保护状态的其他信息 以及针对恢复完全防护的建议的解决方案 若要更改各个模块的状态 16

17 请单击设置并选择所需模块 红色图标和红色的无法确保提供最大程度的防护状态表示出现严重问题 有几种原因可能显示此状态 例如 产品未激活 - 可以在主页中通过单击 防护状态 下的激活产品或立即购买来激活 ESET Smart Security Premium 检测引擎已过期 - 此错误将在几次尝试更新病毒库失败之后显示 建议您检查更新设置 此错误的最常见原因是 错误输入验证数据或错误配置连接设置 已禁用病毒和间谍软件防护 - 单击启用病毒和间谍软件防护 可以重新启用病毒和间谍软件防护 已禁用 E S E T 防火墙 - 此问题还会通过桌面上网络项目旁边的安全通知表示 通过单击启用防火墙 可以重新 启用网络防护 许可证已过期 - 此问题由红色防护状态图标表示 许可证过期后该程序将无法更新 按照警报窗口中的说明续订 许可证 橙色图标表示防护受到限制 例如 程序更新有问题或者许可证将要过期 有几种原因导致可能显示此状态 例如 防盗功能优化警告 - 此设备未针对 ESET 防盗 进行优化 例如 可能未在您的计算机上创建 Phantom 帐户 在 您将设备标记为丢失后自动触发的安全功能 您可以使用 ESET 防盗 Web 界面中的优化功能创建 Phantom 帐 户 游戏模式处于活动状态 - 启用游戏模式将存在潜在安全风险 启用此功能将禁用所有弹出窗口并停止所有计划任 务 您的许可证即将到期 - 此问题由系统时针旁边的防护状态图标显示惊叹号来表示 许可证过期后 程序将无法更 新 防护状态图标将变为红色 如果使用建议的解决方案无法解决问题 请单击帮助和支持访问帮助文件或搜索 ESET 知识库 如果您仍需要帮助 您可以 提交支持请求 ESET 客户服务将快速响应您的问题并帮助找到解决方案 17

18 3.2 更新 更新检测引擎和更新程序组件是系统防范恶意代码的重要组成部分 请特别注意其配置和操作 在主菜单中 单击更新 然 后单击检查更新 可检查是否有检测引擎更新 如果在激活 ESET Smart Security Premium 的过程中未输入许可证密钥 此时将提示您输入 高级设置 窗口 从主菜单中单击设置 然后单击高级设置 或按键盘上的 F5 包含其他更新选项 若要配置高级更新选项 例如更新模式 代理服务器访问和 LAN 连接 请单击更新窗口中的特定选项卡 18

19 3.3 信任区域设置 需要配置信任区域来保护您在网络环境中的计算机 通过配置信任区域以允许共享可使其他用户访问您的计算机 依次单击 设置 > 网络防护 > 已连接的网络 然后单击已连接的网络下方的链接 将显示一个选项窗口 可选择您的计算机在网络中 的理想保护模式 在安装好 ESET Smart Security Premium 后 以及在每次计算机连接到新网络时将执行信任区域检测 因此 通常无需定义 信任区域 默认情况下 在检测到新区域时 将有一个对话窗口提示您为该区域设置保护级别 警告 信任区域配置不正确会带来计算机安全风险 注意 默认情况下 信任区域的工作站有权访问共享文件和打印机 传入 RPC 通信被启用且远程桌面共享可用 有关此功能的更多详细信息 请阅读以下 ESET 知识库文章 ESET Smart Security 中检测到的新网络连接 19

20 3.4 防盗 为了在您的计算机丢失或被盗时对其进行保护 请从以下选项中进行选择从而为您的计算机注册 ESET 防盗 1. 在成功激活后 请单击启用防盗功能为您刚才注册的计算机启动 ESET 防盗 功能 2. 如果您在 ESET Smart Security Premium 窗格的主页中看到 E S E T 防盗 可用的消息 则考虑为您的计算机激活该功 能 单击启用 E S E T 防盗 为您的计算机注册 ESET 防盗 3. 从主程序窗口 依次单击设置 > 安全工具 单击 E S E T 防盗 旁的 然后按照弹出窗口中的说明操作 注意 ESET 防盗 不支持 Microsoft Windows Home Server 有关 ESET 防盗 计算机关联的详细说明 请参阅如何添加新设备 3.5 家长控制工具 如果您在 ESET Smart Security Premium 中已启用了家长控制 为保证家长控制的正常运行 您还必须为所需的用户帐户配 置家长控制 如果家长控制处于活动状态 而用户帐户没有配置 那么主程序窗口的主页窗格中会显示家长控制未设置消息 单击设置 规则并参考家长控制一章 了解有关如何为您的孩子设置具体限制以保护他们免受潜在冒犯材料影响的说明 20

21 4. 使用 ESET Smart Security Premium ESET Smart Security Premium 设置选项允许您调整计算机 和网络的防护级别 设置菜单分为以下部分 计算机防护 Int ernet 防护 网络防护 安全工具 单击组件可以调整相应防护模块的高级设置 计算机防护设置允许您启用或禁用以下组件 文件系统实时防护 - 在计算机上打开 创建或运行所有文件时 都将扫描文件是否带有恶意代码 HIP S - HIPS 系统监视操作系统内的事件 并按照自定义的规则集进行响应 游戏模式 - 启用或禁用游戏模式 启用游戏模式后您将收到警告消息 潜在安全风险 主窗口将变为橙色 网络摄像机防护 - 控制访问计算机连接的相机的进程和应用程序 有关详细信息 请单击此处 Int ernet 防护设置允许您启用或禁用以下组件 Web 访问保护 - 如果已启用 将扫描所有通过 HTTP 或 HTTPS 的通信以查看是否有恶意软件 电子邮件客户端防护 - 监视通过 POP3 和 IMAP 协议接收的通信 反垃圾邮件防护 - 扫描不请自来的电子邮件 即垃圾邮件 网络钓鱼防护 - 过滤疑似散布意图操纵用户提交机密信息的内容的网站 网络防护部分允许您启用或禁用防火墙 网络攻击防护 (IDS) 和僵尸网络保护 安全工具设置允许您调整以下模块 21

22 银行和付款保护 家长控制 防盗 Password Manager Secure Data 家长控制可以阻止可能包含潜在冒犯材料的网页 此外 家长可以禁止访问 40 个以上的预先定义的网站类别和超过 140 个 子类别 若要重新启用已禁用的安全组件 请单击滑块 以便它显示绿色复选标记 注意 当使用此方法禁用防护时 所有禁用的防护模块将在计算机重新启动后启用 在设置窗口的底部还提供了其他选项 使用高级设置链接以为每个模块设置更详细的参数 通过导入 导出设置使用.xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 4.1 计算机防护 单击 设置 窗口中的 计算机防护 查看所有防护模块的概述 若要暂时关闭个别模块 请单击 对您的计算机的保护级别 单击防护模块旁的 单击 注意 这可能会降低 访问该模块的高级设置 > 文件系统实时防护旁边的编辑排除以打开排除设置窗口 此窗口允许您从扫描中排除文件和文件夹 暂停病毒和间谍软件防护 - 禁用所有病毒和间谍软件防护模块 当您禁用防护后 将打开一个窗口 您可以在其中使用时 间间隔下拉菜单确定禁用防护的时间 单击应用进行确认 22

23 4.1.1 检 测 引 擎 病毒防护通过控制文件 电子邮件和 Internet 通信防范恶意系统攻击 如果检测到带有恶意代码的威胁 则病毒防护模块可 以通过先阻止 然后清除 删除或将其移至隔离区 来消除威胁 用于所有防护模块 例如 文件系统实时防护 Web 访问保护等 的扫描程序选项允许您启用或禁用对以下对象的检测 潜在的不受欢迎应用程序 (PUA) 未必是恶意的 但可能会对计算机性能造成不良影响 请阅读词汇表中关于这些类型的应用程序的更多信息 潜在的不安全应用程序是指有可能被滥用于恶意用途的合法商业软件 潜在的不安全应用程序的示例包括远程访问工具 密码破解应用程序以及按键记录器 记录用户键盘输入信息的程序 等 此选项默认情况下被禁用 请阅读词汇表中关于这些类型的应用程序的更多信息 可疑应用程序包括使用加壳程序或保护程序压缩的程序 这些类型的保护程序通常被恶意软件作者用来逃避检测 反隐藏技术是一个复杂的系统 它能够检测危险程序 例如 rootkits 这些程序可在操作系统下隐藏自己 这意味着使用 普通测试技术很难检测到它们 使用排除可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时才创建排除 您需要排除某个对象的情况可能包括 在扫描期间会使计算机速度变慢的大型数据库条目扫描 或遇到与扫描冲突的软件 若要从扫描中排除某个对象 请参阅排除 启用通过 A MS I 的高级扫描 - Microsoft Antimalware Scan Interface 工具 允许应用程序开发人员开发新的恶意软件保护 仅限 Windows 10 23

24 文 件 系 统 实 时 防 护 文件系统实时防护控制系统中所有与病毒防护相关的事件 在计算机上打开 创建或运行所有文件时 都将扫描文件是否带 有恶意代码 文件系统实时防护在系统启动时启动 默认情况下 文件系统实时防护在系统启动时启动 并提供不间断的扫描 特殊情况下 例如与其他实时扫描程序存在冲 突 可以通过在高级设置中取消文件系统实时防护 > 基本下的启用文件系统实时防护 来禁用实时防护 要扫描的介质 默认情况下 所有类型的介质均可扫描以检查是否存在潜在威胁 本地驱动器 - 控制所有系统硬盘 可移动磁盘 - 控制 CD/DVD USB 存储和蓝牙设备等 网络驱动器 - 扫描所有映射的驱动器 建议您使用默认设置且仅在特殊情况 例如 当扫描某些介质使数据传输速度显著降低时 下修改这些设置 扫描时间 默认情况下 所有文件都在打开 创建或执行时进行扫描 我们建议您保留这些默认设置 因为它们可为计算机提供最高级 别的实时防护 打开文件 - 启用或禁用打开文件时的扫描 创建文件 - 启用或禁用创建文件时的扫描 执行文件 - 启用或禁用运行文件时的扫描 可移动磁盘访问 - 启用或禁用访问具有存储空间的特定可移动磁盘触发的扫描 文件系统实时防护检查所有类型的介质 并由各种系统事件 例如 访问文件 触发 通过使用 ThreatSense 技术检测方法 如 ThreatSense 引擎参数设置部分所述 将文件系统实时防护配置为采用不同的方式对待新创建的文件和现有文件 例 如 您可以将文件系统实时防护配置为更加密切地监视新创建的文件 为确保在使用实时防护时占用最少的系统资源 已扫描的文件不会重复扫描 除非它们已被修改 在每次检测引擎更新后 会立刻重新扫描文件 可使用智能优化控制此行为 如果已禁用智能优化 则所有文件在每次访问时都要进行扫描 要修 改此设置 请按 F5 打开高级设置并依次展开检测引擎 > 文件系统实时防护 依次单击 Threat S ens e 参数 > 其他 然 后选中或取消选中启用智能优化 24

25 其 他 T hre a ts e ns e 参 数 用于新创建文件和新修改文件的其他 Threat S ens e 参数 新建或修改的文件受感染的可能性相对于现有文件更高 出于此原因 程序将使用其他扫描参数检查这些文件 ESET Smart Security Premium 将可在发布检测引擎更新之前检测到新威胁的高级启发式扫描与基于病毒库的扫描方法结合使用 除了新 建文件 系统还扫描自解压文件 (.sfx) 和加壳程序 内部压缩的可执行文件 默认情况下 对压缩文件的扫描可深达第 10 个嵌套层 而且不论其实际大小 都会进行检查 要修改压缩文件扫描设置 请取消选择默认的压缩文件扫描设置 用于已执行文件的其他 Threat S ens e 参数 执行文件时采用高级启发式扫描 - 默认情况下 执行文件时将使用高级启发式扫描 启用后 强烈建议您保持智能优化和 ESET LiveGrid 的启用状态以降低对系统性能的影响 执行可移动磁盘上的文件时采用高级启发式扫描 - 高级启发式扫描将模拟虚拟环境中的代码并在允许从可移动磁盘运行该 代码之前评估其行为 清 除 级 别 实时防护有三种清除级别 要访问清除级别设置 请单击文件系统实时防护部分中的 Threat S ens e 引擎参数设置 然后 单击清除 不清除 - 不会自动清除被感染文件 程序会显示一个警告窗口 允许用户选择操作 此级别旨在用于更高级的用户 他们了 解在渗透事件中应采取哪些步骤 正常清除 - 程序将根据预定义操作 取决于渗透类型 尝试自动清除或删除被感染文件 屏幕右下角的通知指示检测到或删 除了被感染文件 如果无法自动选择正确操作 程序将提供其他后续操作 如果预定义的操作无法完成 也会出现相同的情 况 严格清除 - 程序将清除或删除所有被感染文件 唯一例外的是系统文件 如果无法清除被感染文件 将弹出一个警告窗口 提示用户选择操作 警告 如果压缩文件包含一个或多个被感染的文件 有两种选择方式来处理该压缩文件 在标准模式 正常清除 中 如果压缩 文件包含的所有文件都被感染 则将删除整个压缩文件 在严格清除模式中 即使压缩文件只包含一个被感染文件 则无 论被压缩的其他文件是什么状态 都将删除该压缩文件 何 时 修 改 实 时 防 护 配 置 实时防护是维护系统安全的最重要的组件 修改其参数时请务必小心 建议您仅在特定情况下修改其参数 安装 ESET Smart Security Premium 后 所有设置都会得到优化以便为用户提供最高级别的系统安全性 若要恢复默认设 置 请单击 窗口 高级设置 > 检测引擎 > 文件系统实时防护 中每个选项卡旁边的 检 查 实 时 防 护 要验证实时防护是否工作 是否在检测病毒 请使用测试文件 eicar.com 此测试文件是一个可供所有病毒防护程序检测的无 害文件 此文件由 EICAR 欧洲计算机防病毒研究协会 公司创建 用于测试病毒防护程序的功能 此文件可从以下网站下 载 注意 执行实时防护检查前 必须禁用防火墙 如果启用防火墙 防火墙将检测文件并阻止下载测试文件 25

26 实 时 防 护 不 工 作 时 如 何 应 对 在本章中 我们将介绍使用实时防护时可能出现的问题 以及如何排除这些故障 实时防护被禁用 如果用户无意中禁用了实时防护 则需要重新启用它 若要重新启用实时防护 请导航至主程序窗口中的设置并单击计算机 防护 > 文件系统实时防护 如果实时防护未能在系统启动时启动 通常是因为启用文件系统实时防护处于禁用状态 若要确保启用此选项 导航至高 级设置 (F5) 然后依次单击检测引擎 > 文件系统实时防护 如果实时防护功能不检测和清除渗透 请确保您的计算机上未安装任何其他病毒防护程序 如果同时安装了两个病毒防护程序 它们可能会彼此冲突 建议您先卸 载系统上的任何其他病毒防护程序 再安装 ESET 实时防护不启动 如果系统启动时实时防护未启动 且启用实时文件系统防护已经启用 可能是因为与其他程序发生冲突 要获取帮助以解 决此问题 请联系 ESET 客户服务 计 算 机 扫 描 手动扫描程序是病毒防护解决方案的一个重要组成部分 它可以扫描计算机上的文件和文件夹 从安全角度说 计算机扫描 应作为日常安全手段的一部分定期执行 而不应仅在怀疑有渗透时执行 这一点非常重要 我们建议您定期执行系统的全面 扫描以检测病毒 这些病毒在写入到磁盘时无法由文件系统实时防护捕获 如果文件系统实时防护此时处于禁用状态 检测 引擎未更新或者文件在保存到磁盘时未检测为病毒 则会发生这种情况 提供两种计算机扫描 扫描计算机可快速扫描系统 而无需指定扫描参数 自定义扫描允许您选择预定义的旨在指向特定 位置的扫描配置文件 以及选择特定扫描目标 扫描计算机 扫描计算机允许您快速启动计算机扫描和清除被感染文件 而无需用户干预 扫描计算机的优势是便于操作 不需要详细的 扫描配置 此扫描检查本地驱动器上的所有文件并自动清除或删除检测到的渗透 清除级别被自动设置为默认值 有关清除 类型的更详细信息 请参阅清除 您还可以使用拖放扫描功能手动扫描文件或文件夹 方法是单击文件或文件夹 长按鼠标按钮的同时将鼠标指针移动到标记 区域 然后释放它 在此之后 应用程序会移动到前台 以下扫描选项在高级扫描下提供 自定义扫描 自定义扫描允许您指定扫描参数 如扫描目标和扫描方法等 自定义扫描的优点在于可以详细配置参数 配置可以保存到用 户定义的扫描配置文件中 这在使用相同的参数重复扫描时非常有用 可移动磁盘扫描 与扫描计算机类似 快速启动对当前连接到计算机的可移动磁盘 例如 CD/DVD/USB 的扫描 这在您将 U 盘连接到计算 机并想要扫描其内容是否存在恶意软件和其他潜在威胁时非常有用 这一类型的扫描还可以这样启动 单击自定义扫描? 从扫描目标下拉菜单中选择可移动磁盘 然后单击扫描 重复上次扫描 允许您使用运行时的相同设置快速启动之前执行的扫描 请参见扫描进度以了解有关扫描进程的更多信息 26

27 注意 我们建议您每月至少运行一次计算机扫描 在工具 > 更多工具 > 计划任务中 可以将扫描配置为计划任务 如何计划 每周计算机扫描 自 定 义 扫 描 启 动 程 序 您可以使用客户扫描来扫描磁盘的特定部分 而不是扫描整个磁盘 若要执行此操作 请依次单击高级扫描 > 自定义扫 描 然后从扫描目标下拉菜单中选择某个选项 或者从文件夹 树 结构中选择特定的目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择由选定的扫描配置文件指定的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 不选择 - 取消所有选择 若要快速导航到扫描目标或添加目标文件夹或文件 请在文件夹列表下方的空白字段中输入目标目录 仅当树结构中未选择 任何目标并且扫描目标菜单设置为未选择时 才可执行此操作 您可以在以下位置配置扫描的清除参数 高级设置 > 检测引擎 > 手动扫描 > Threat S ens e 参数 > 清除 若要运行扫描 但不进行清除操作 请选择扫描但不清除 扫描历史记录将保存到扫描日志 当选择忽略排除时 带有之前从扫描中排除的扩展名的文件也将进行扫描 没有任何例外 可以从扫描配置文件下拉菜单中选择要在扫描特定目标时所用的配置文件 默认配置文件为智能扫描 另外有两个预定义的 扫描配置文件 名为全面扫描和右键菜单扫描 这些扫描配置文件使用不同的 ThreatSense 参数 可用选项在高级设置 > 检测引擎 > 恶意软件扫描 > 手动扫描 > ThreatSense 参数中进行了介绍 单击扫描以使用已设置的自定义参数执行扫描 作为管理员扫描使您能够使用管理员帐户执行扫描 如果当前用户没有权限来访问您要扫描的文件 则使用此选项 如果 当前用户无法以管理员身份调用 UAC 操作 则此按钮不可用 注意 通过单击显示日志 您可以在扫描完成时查看计算机扫描日志 27

28 扫 描 进 度 扫描进度窗口显示扫描的当前状态以及有关已找到的包含恶意代码的文件数量的信息 注意 某些文件 比如受密码保护的文件或仅由系统使用的文件 通常为 pagefile.sys 多详细信息可在我们的知识库文章中找到 和某些日志文件 无法扫描很正常 更 扫描进度 - 进度条显示已扫描对象相对于待扫描对象的状态 扫描进度状态根据扫描中包含的对象总数得出 目标 - 当前扫描的对象的名称及其位置 发现的威胁 - 显示在扫描期间扫描的文件 发现的威胁和清除的威胁的总数 暂停 - 暂停扫描 继续 - 当扫描进度暂停时显示此选项 单击继续可继续扫描 停止 - 终止扫描 滚动扫描日志 - 如果已启用 扫描日志将随着新条目的添加自动向下滚动 以便显示出最新的条目 注意 单击放大镜或箭头以显示有关当前运行的扫描的详细信息 可以单击扫描计算机或自定义扫描来运行另一个并行扫描 扫描后的操作 - 在计算机扫描完成后 会触发计划的关机 重新启动或睡眠 扫描结束后 确认关机对话窗口将打开 60 秒 超时后关机 28

29 扫 描 配 置 文 件 可以保存您的首选扫描参数以用于将来的扫描 建议您创建不同的配置文件 带有各种扫描目标 扫描方法和其他参数 用 于每次定期扫描 要创建新配置文件 请打开 高级设置 窗口 (F5) 并依次单击检测引擎 > 恶意软件扫描 > 手动扫描 > 配置文件列表 配置 文件管理器窗口包括列出现有扫描配置文件的选定配置文件下拉菜单以及可创建新配置文件的选项 为了帮助您创建适合 需求的扫描配置文件 请参阅 ThreatSense 引擎参数设置部分 查看扫描设置中每个参数的描述 注意 假设您想要创建自己的扫描配置文件而且扫描计算机配置部分适用 但您不希望扫描加壳程序或潜在的不安全应用程序 并且还希望应用严格清除 在配置文件管理器窗口中输入新配置文件的名称并单击添加 从选定的配置文件下拉菜单 选择新的配置文件并调整剩余参数以满足要求 然后单击确定以保存新配置文件 计 算 机 扫 描 日 志 计算机扫描日志可为您提供关于扫描的常规信息 例如 完成时间 总扫描时间 已找到的威胁数 已扫描的对象数 已扫描的磁盘 文件夹和文件 扫描的日期和时间 检测引擎的版本 空 闲 状 态 下 扫 描 启用空闲状态下扫描 - 这将在您的计算机处于未使用状态时执行完整的计算机扫描 默认情况下 当计算机 笔记本 采用电池运行时 不会运行空闲状态扫描程序 您可以使用计算机使用蓄电池供电时仍 然运行扫描功能来覆盖此设置 打开启用日志记录以在日志文件部分中记录计算机扫描输出 在主程序窗口中 依次单击工具 > 更多工具 > 日志文件 然 后从日志下拉菜单中选择计算机扫描 当您的计算机处于以下状态时 将运行空闲状态检测 关闭屏幕或屏幕保护程序 计算机锁定 用户注销 单击 ThreatSense 参数 以修改空闲状态扫描程序的扫描参数 例如检测方法 开 机 扫 描 在默认情况下 自动启动文件检查将在系统启动时和检测引擎更新期间执行 此扫描取决于计划任务配置和任务 启动扫描选项是系统启动文件检查计划任务的一部分 若要修改其设置 请导航到工具 > 更多工具 > 计划任务 依次单 击自动启动文件检查? 编辑 在最后一步中 自动启动文件检查窗口将显示 参见下一章了解更多详细信息 有关计划任务创建和管理的详细说明 请参见创建新任务 29

30 自 动 启 动 文 件 检 查 在创建系统启动文件检查计划任务时 有几个选项可用于调整以下参数 通常使用的文件下拉菜单基于保密的复杂算法指定在系统启动时运行的文件的扫描深度 文件按照以下标准以降序排列 所有注册文件 扫描文件最多 很少使用的文件 通常使用的文件 常用文件 仅最常用文件 扫描文件最少 还包括两个特定组 用户登录前运行的文件 - 包含未经用户登录即可访问的位置的文件 包括几乎所有启动位置 如服务 浏览器帮助程序 对象 winlogon 通知 Windows 计划任务条目 已知 dll 等 用户登录后运行的文件 - 包含仅在用户登录后才可访问的位置的文件 包括仅由特定用户运行的文件 通常是 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中的文件 上述每个组的要扫描文件列表是固定的 扫描优先级 - 用于确定何时开始扫描的优先级别 空闲时 - 仅在系统空闲时执行任务 最低 - 在系统负载最低时 较低 - 低系统负载 正常 - 平均系统负载 排 除 使用排除部分可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时才创建排 除 然而 在某些情况下 您可能需要排除某个对象 例如 在扫描期间会使计算机速度变慢的大型数据库条目 或与扫描 冲突的软件 从扫描中排除对象的步骤 1. 单击添加 2. 输入对象的路径或在树结构中选择对象 可使用通配符代表一组文件 问号 (?) 代表单个可变字符 星号 (*) 则代表包含零个或更多字符的可变字符串 示例 30 如果要排除文件夹中的所有文件 则键入文件夹路径并使用掩码 要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果仅要排除 doc 文件 则使用掩码 doc 如果可执行文件的名称中有特定数量的字符 且字符各异 并且您只知道第一个字符 如 D 则使用以下格式 D????.exe 问号用于替代缺少 未知 的字符

31 注意 如果某个文件满足不进行扫描的标准 那么文件系统实时防护模块或计算机扫描模块就不会检测到该文件内的威胁 列 路径 - 已排除文件和文件夹的路径 威胁 - 如果已排除文件旁有一个威胁的名称 则表示该文件仅对给定威胁排除 并不是全部排除 如果该文件稍后被其 他恶意软件感染 将被病毒防护模块检测到 此类型的排除仅可用于特定类型的渗透 它既可以在报告渗透的威胁警报 窗口中创建 单击显示高级选项 然后选择从检测中排除 也可以通过依次单击工具 > 更多工具 > 隔离 然后右键 单击隔离文件并从右键菜单中选择从检测中还原和排除来创建 控件元素 添加 - 选择不予检测的对象 编辑 - 使您能够编辑选定的条目 删除 - 删除选定的条目 31

32 T hre a ts e ns e 参 数 ThreatSense 包括许多复杂的威胁检测方法 此技术具有某种主动性防护功能 也就是说 它可在新威胁开始传播的较早阶 段提供防护 该技术采用代码分析 代码仿真 一般的识别码 病毒库的组合 以显著提高系统安全性 扫描引擎可同时控 制多个数据流 最大限度地提高效率和检测速度 ThreatSense 技术还可成功消除 Rootkit ThreatSense 引擎设置选项允许您指定若干扫描参数 要扫描的文件类型和扩展名 不同检测方法的组合 清除级别等 要进入设置窗口 请单击 Threat S ens e 参数 它位于使用 ThreatSense 技术的任何模块的 高级设置 窗口中 请参见下 文 不同的安全情形可能要求不同的配置 考虑到这一点 可针对下列防护模块对 ThreatSense 进行单独配置 文件系统实时防护 空闲状态下扫描 开机扫描 文档防护 电子邮件客户端防护 Web 访问保护 计算机扫描 ThreatSense 参数已针对每个模块进行了高度优化 对其进行修改可能会明显影响系统操作 例如 将参数更改为始终扫描 运行时加壳程序 或在文件系统实时防护模块中启用高级启发式扫描 可能会造成系统运行缓慢 通常 只有在扫描新建文件 时才使用这些方法 我们建议您保留所有模块 计算机扫描 除外 的默认 ThreatSense 参数 要扫描的对象 此部分使您可以定义要扫描的计算机组件和文件 以查找渗透 系统内存 - 扫描攻击系统的系统内存的威胁 引导区 - 扫描引导区以检查主引导记录中是否存在病毒 电子邮件文件 - 该程序支持以下扩展名 DBX (Outlook Express) 和 EML 压缩文件 - 该程序支持以下扩展名 ARJ BZ2 CAB CHM DBX GZIP ISO/BIN/NRG LHA MIME NSIS RAR SIS TAR TNEF UUE WISE ZIP ACE 以及很多其他扩展名 自解压文件 - 自解压文件 (SFX) 是可提取自身的压缩文件 加壳程序 - 执行后 加壳程序在内存中解压 这一点与标准压缩文件类型不同 除了标准静态加壳程序 UPX yoda ASPack FSG 等 扫描程序能够通过使用代码仿真来识别多种其他类型的加壳程序 扫描选项 选择在扫描系统中的渗透时所用的方法 有以下选项可供使用 启发式扫描 - 启发式扫描是一种分析 恶意 程序行为的算法 此技术的主要优点是能够识别过去不存在或以前的病毒库 未涵盖的恶意软件 缺点是可能发出虚假警报 尽管可能性很小 高级启发式扫描 DNA 病毒库 - 高级启发式扫描是一种独特的启发式扫描算法 该算法由 ESET 开发 针对检测使用高级 编程语言编写的计算机蠕虫和木马进行了优化 使用高级启发式扫描显著提高了 ESET 产品的威胁检测功能 病毒库可以 可靠地检测和识别病毒 利用自动更新系统 可以在发现威胁后的数小时内提供新病毒库 该病毒库的缺点是只能检测到 它所知道的病毒 或在这些病毒基础上略做修改的版本 灰色软件 或 PUA - 潜在不受欢迎的应用程序 是广泛的一类软件 其意图不像恶意软件 如病毒或特洛伊木马 那样具有 明确的恶意 但它可能安装其他不受欢迎的软件 更改数字设备的行为或者执行用户未批准的活动或意外活动 可能被视为灰色软件的类别包括 显示广告的软件 下载封装程序 各种浏览器工具栏 会产生误导行为的软件 捆绑软 件 跟踪软件 任何其他边界软件 或者使用非法或至少是不道德的商业行为 尽管看起来合法 的并且可能被最终用户 最 终用户知道如果允许该软件安装 它会执行哪些操作 视为不需要的软件 潜在的不安全应用程序是本身合法的 可能为商业的 软件 但可能会被攻击者滥用 对这些类型的应用程序的检测可以由 32

33 ESET 软件的用户启用或禁用 在某些情况下 用户可能觉得潜在的不受欢迎应用程序的好处多于风险 为此 与其他类型的恶意软件 例如木马程序或蠕 虫 相比 ESET 将这些应用程序划分到较低风险类别中 警告 发现潜在威胁 检测到潜在不受欢迎的应用程序后 您可以确定采取哪种操作 1. 清除 断开连接 此选项将终止操作并阻止潜在的威胁进入系统 2. 忽略 此选项允许潜在威胁进入系统 3. 若要使应用程序以后能够在计算机上运行而不受到打扰 请单击高级选项 然后选中从检测中排除旁的复选框 当检测到潜在不受欢迎的应用程序并且无法清除它时 将显示地址已被阻止通知 有关此事件的详细信息 请从主菜单导航 至工具 > 日志文件 > 已过滤的网站 33

34 潜在的不受欢迎应用程序 设置 安装 ESET 产品时 您可以确定是否启用潜在不受欢迎的应用程序检测 如下所示 警告 潜在不受欢迎的应用程序可能安装广告软件 工具栏或包含其他不受欢迎和不安全的程序功能 可随时在程序设置中修改这些设置 若要启用或禁用潜在不受欢迎 不安全或可疑的应用程序检测 请按照以下说明操作 1. 打开您的 ESET 产品 如何打开我的 ESET 产品 2. 按 F5 键以访问高级设置 3. 单击病毒防护并根据您的偏好启用或禁用以下选项 启用潜在的不受欢迎应用程序检测功能? 启用潜在不安全应用程 序检测功能和启用可疑应用程序检测功能 单击确定以确认 34

35 潜在的不受欢迎应用程序 软件封装程序 软件封装程序是由一些托管文件的网站使用的特殊类型的应用程序修改 它是一种第三方工具 可安装用户想要下载的程 序 但会添加附加软件 例如工具栏或广告软件 附加的软件可能还会更改您的 Web 浏览器主页和搜索设置 此外 托管 文件的网站通常不会通知软件供应商或下载收件人已进行了修改 并且通常会隐藏退出的选项 基于这些原因 ESET 将软 件封装程序归类为潜在的不受欢迎应用程序类型 以使用户可以接受或不接受下载 请参阅此 ESET 知识库文章了解此帮助页的更新版本 潜在的不安全应用程序 - 潜在的不安全应用程序是一类用于商业目的的合法程序 例如远程访问工具 密码破解应用程序 以及按键记录器 用于记录用户的每次按键的程序 此选项默认情况下处于禁用状态 清除设置决定在清除被感染文件的过程中扫描程序的行为 共有 3 个清除级别 排除 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您定义要扫 描的文件类型 其他 配置 ThreatSense 引擎参数设置以进行手动扫描计算机时 其他部分中的以下选项也可用 扫描交换数据流 (A DS ) - NTFS 文件系统使用的交换数据流是对普通扫描技术不可见的文件和文件夹关联 许多渗透试图 通过伪装成交换数据流来避开检测 以低优先级运行后台扫描 - 每个扫描序列都消耗一定量的系统资源 如果您使用高系统资源负载的程序 则可以激活低优 先级后台扫描 并为应用程序节约资源 记录所有对象 - 如果选中此选项 日志文件将显示包括未感染文件在内的所有已扫描文件 例如 如果压缩文件中发现渗 透 日志还将列出压缩文件中包含的干净文件 启用智能优化 - 启用智能优化后 使用最优化的设置可确保最高效的扫描级别 同时可保持最高的扫描速度 各种保护模 块可进行智能化扫描 使用不同的扫描方法并将它们应用到特定的文件类型 如果禁用了智能优化 则在执行扫描时仅应 用特定模块的 ThreatSense 核心中用户定义的设置 保存上一个访问时戳 - 选中此选项可以保留已扫描文件的最初访问时间而不是更新时间 例如 数据备份系统所使用的访 问时戳 35

36 限制 限制部分允许您指定要扫描的对象的最大大小和嵌套压缩文件的层数 对象设置 最大对象大小 - 定义要扫描对象的最大大小 给定的病毒防护模块将仅扫描小于指定大小的对象 此选项应仅由具有 从扫描中排除大型对象的特定原因的高级用户更改 默认值 无限制 对象的最长扫描时间(秒) - 定义用于对象扫描的最大时间值 如果在此输入用户定义的值 时间用完后病毒防护模块 将停止扫描对象 而不管扫描是否完成 默认值 无限制 压缩文件扫描设置 压缩文件嵌套层数 - 指定压缩文件扫描的最大深度 默认值 10. 压缩文件中文件的最大大小 - 此选项允许您指定要扫描的压缩文件 当解压缩时 中所包含文件的最大文件大小 默 认值 无限制 注意 不建议更改默认值 正常情况下应该没有修改它的理由 清 除 清除设置决定在清除被感染文件的过程中扫描程序的行为 共有 3 个清除级别 不 扫 描 的 文 件 扩 展 名 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您定义要扫描 的文件类型 默认情况下 扫描所有文件 可将任何扩展名添加到不扫描的文件列表中 如果对某些文件类型的扫描导致使用特定扩展名的程序运行不正常 将这些文件排除出扫描之列有时是必要的 例如 在使 用 Microsoft Exchange 服务器时 建议排除.edb,.eml 和.tmp 扩展名 使用添加和删除按钮 可以允许或禁用对特定文件扩展名的扫描 若要将新扩展名添加到列表 请单击添加以将该扩展名键 入到空白字段中 例如 tmp 并单击确定 当您选择输入多个值时 您可以添加多个由行 逗号或分号分隔的文件扩展名 启用多项选择时 扩展名将显示在列表中 选择列表中的扩展名 然后单击删除可从列表中删除该扩展名 如果您希望编辑 选定的扩展名 请单击编辑 可以使用特殊符号? 问号 此 问号表示任意符号 注意 为了在 Windows 操作系统中可以查看文件的确切扩展名 如果存在 必须在控制面板 > 文件夹选项 > 查看 选项 卡 下取消选中隐藏已知文件类型的扩展名选项 并应用此更改 检 测 到 威 胁 威胁可通过各种渠道进入系统 如网页 共享文件夹 电子邮件或可移动设备 USB 外部磁盘 CD DVD 软盘等 标准行为 作为 ESET Smart Security Premium 处理威胁的常见示例 可以使用以下功能检测威胁 36 文件系统实时防护 Web 访问保护 电子邮件客户端防护 手动扫描计算机

37 每个功能使用标准清除级别 将尝试清除文件并移动到隔离区或终止连接 通知窗口显示在屏幕右下角的通知区域 有关清 除级别和行为的详细信息 请参阅清除 清除和删除 如果文件系统实时防护没有预定义操作 程序将显示一个警报窗口 提示您从中选择一个选项 一般会有清除? 删除和不操 作等选项 不建议选择不操作 这样将不会清除被感染文件 除非您确信该文件无害 只是检测失误所致 如果文件遭到了病毒攻击 该病毒在被清除文件上附加了恶意代码 请应用清除 如果是这种情况 请首先尝试清除被感 染文件 使其恢复到初始状态 如果文件全部由恶意代码组成 将删除该文件 如果被感染文件被 锁定 或正在被系统进程使用 通常只在释放后 通常是系统重新启动后 删除 多个威胁 如果在计算机扫描期间没有清除任何被感染文件 或清除级别设置为不清除 则会出现一个警报窗口 提示您为这些文件 选择相应操作 为文件选择相应操作 分别为列表中的每个文件设置操作 然后单击完成 删除压缩文件中的文件 在默认清除模式下 仅当压缩文件只包含被感染文件而没有干净文件时 才会删除整个压缩文件 换言之 如果还包含无害 的干净文件 就不会删除压缩文件 执行严格清除扫描时请小心 严格清除已启用时 即使压缩文件只包含一个被感染文 件 无论压缩文件中其他文件的状态如何 都将删除该压缩文件 37

38 如果您的计算机有被恶意软件感染的迹象 例如速度下降 常常停止响应等 建议您执行以下操作 打开 ESET Smart Security Premium 并单击计算机扫描 单击扫描计算机 有关详细信息 请参阅计算机扫描 扫描完成后 查看日志中已扫描文件 被感染文件和已清除文件的数量 如果您只希望扫描磁盘的某一部分 请单击自定义扫描 然后选择要扫描的目标以查找病毒 文 档 防 护 文档防护功能会在打开 Microsoft Office 文档之前对其进行扫描 还会扫描通过 Internet Explorer 自动下载的文件 如 Microsoft ActiveX 元素 文档防护提供文件系统实时防护之外的另一层防护 可以将其禁用以在无法处理大量 Microsoft Office 文档的系统上增强性能 若要激活文档防护 打开高级设置窗口 按 F5 > 检测引擎 > 恶意软件扫描 > 文档防护 然后单击集成到系统开关 注意 此功能由使用 Microsoft Antivirus API 的应用程序 例如 Microsoft Office 2000 和更高版本或 Microsoft Internet Explorer 5.0 和更高版本 激活 可 移 动 磁 盘 ESET Smart Security Premium 提供自动可移动磁盘 (CD/DVD/USB/...) 扫描 此模块允许您扫描插入的媒体 如果计算机 管理员希望防止用户使用带有不请自来内容的可移动磁盘 此模块将很有用 插入可移动磁盘后要采取的操作 - 选择将可移动磁盘插入到计算机 (CD/DVD/USB) 后将执行的默认操作 如果选择了显示 扫描选项 将显示通知 允许您选择所需操作 不扫描 - 将不执行任何操作 同时将关闭检测到新设备窗口 自动设备扫描 - 将执行已插入可移动磁盘设备的手动计算机扫描 显示扫描选项 - 打开可移动磁盘设置部分 插入可移动磁盘后 将显示以下对话框 立即扫描 - 这将触发对可移动磁盘的扫描 稍后扫描 - 将推迟对可移动磁盘的扫描 设置 - 打开 高级设置 始终使用选择的选项 - 选中后 在其他时间插入可移动磁盘时将执行相同的操作 此外 ESET Smart Security Premium 具有设备控制功能 允许您为给定计算机上的外部设备使用定义规则 在设备控制部 分可找到有关设备控制的更多详细信息 38

39 4.1.3 设 备 控 制 设备控制 ESET Smart Security Premium 提供自动设备 (CD/DVD/USB/...) 控制 此模块允许您阻止或调整扩展的过滤器 权限 并定 义用户访问和使用给定设备的能力 如果计算机管理员不希望使用包含不请自来的内容的设备 此模块将很有用 支持的外部设备 磁盘存储 HDD USB 可移动磁盘 CD/DVD USB 打印机 FireWire 存储 蓝牙设备 智能卡读卡器 刻录设备 调制解调器 LPT/COM 端口 便携式设备 麦克风 所有设备类型 可以在高级设置 (F5) > 设备控制中修改设备控制设置选项 打开集成到系统旁的开关激活 ESET Smart Security Premium 中的设备控制功能 要使此更改生效 需要重新启动计算机 启用设备控制后 规则将变为活跃状态 以允许您打开规则编辑器窗口 注意 您可以创建将应用不同规则的不同设备组 也可以只创建一个设备组 该设备组将应用带有读 写或只读操作的规则 这 确保在无法识别的设备连接到计算机时设备控制会阻止它们 如果插入受现有规则阻止的设备 将显示通知窗口并且不会授予对设备的访问权限 网络摄像机防护 打开集成到系统旁边的开关可激活 ESET Smart Security Premium 中的网络摄像机防护功能 启用网络摄像机防护后 规 则将变为活动状态 允许您打开规则编辑器窗口 39

40 设 备 控 制 规 则 编 辑 器 设备控制规则编辑器窗口显示现有规则 允许精确控制用户连接到计算机的外部设备 可以按照用户或用户组 根据规则配置中可指定的其他设备参数 允许或阻止特定设备 规则列表包含规则的多个说明 例 如名称 外部设备类型 将外部设备连接到计算机后执行的操作以及日志严重级别 单击添加或编辑管理规则 单击复制使用用于其他所选规则的预定义选项创建新规则 单击规则时显示的 XML 字符串可以 复制到剪贴板以帮助系统管理员导出 导入这些数据并使用它们 例如在 ESET Remote Administrator 中 按住 CTRL 并单击 可以选择多个规则和对所有所选规则应用操作 例如删除或上下移动列表 已启用复选框禁用或启用规 则 当不希望永久删除规则以免未来可能要使用时 此功能将很有用 控制通过规则实现 规则排序顺序决定其优先级 高优先级规则位于顶部 从 ESET Smart Security Premium 主窗口的工具可以查看日志条目 > 更多工具 > 日志文件 设备控制日志记录了所有发生设备控制触发的情况 40

41 添 加 设 备 控 制 规 则 设备控制规则定义满足规则条件的设备连接到计算机时将采取的操作 在名称字段中输入规则说明以更好识别 单击已启用规则旁的开关以禁用或启用此规则 当您不希望永久删除此规则时 这 很有用 设备类型 从下拉菜单中选择外部设备类型 磁盘存储 便携式设备 蓝牙 FireWire/... 设备类型信息收集自操作系统 可在设备连接 到计算机后在系统设备管理器中查看 存储设备包括通过 USB 或 FireWire 连接的外部磁盘或传统存储卡读卡器 智能卡读 卡器包括具有嵌入式集成电路的所有智能卡读卡器 如 SIM 卡或身份验证卡 成像设备示例包括扫描仪或照相机 由于这些 设备仅提供有关其操作 而非用户 的信息 因此只能全局阻止它们 操作 可以允许或阻止访问非存储设备 相比之下 存储设备规则允许选择以下权限设置之一 读 写 - 将允许对设备的完全访问权限 阻止 - 将阻止对设备的访问 只读 - 仅允许对设备进行读取访问 警告 - 每次连接设备时 系统都会通知用户这是否得到允许或受到阻止 并且将记录日志条目 系统不会记住设备 在 以后连接同一设备时仍会显示通知 注意 不是所有操作 权限 都可用于所有设备类型 如果是存储类型的设备 则所有四项操作均可用 对于非存储设备 只有三项操作可用 例如只读操作对蓝牙不可用 因此这意味着只能允许 阻止或警告蓝牙设备 标准类型 - 选择设备组或设备 下面显示的其他参数可用于微调规则并根据设备定制 所有参数都不区分大小写 供应商 - 按供应商名称或 ID 过滤 型号 - 设备的给定名称 序列号 - 外部设备通常具有自己的序列号 如果是 CD/DVD 则这是给定介质的序列号 而不是 CD 驱动器 41

42 注意 如果未定义这些参数 在匹配时规则将忽略这些字段 所有文本字段中的过滤参数都不区分大小写并且不支持通配符? 注意 若要查看有关设备的信息 请为此类设备创建规则 将该设备连接到计算机 然后检查设备控制日志中的设备详细信息 日志记录严重级别 ESET Smart Security Premium 将所有重要事件保存到日志文件中 用户可通过主菜单直接查看日志文件 依次单击工具 > 日志文件 然后从日志下拉菜单中选择设备控制 始终 - 记录所有事件 诊断 - 记录微调程序所需的信息 信息 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 无 - 不记录任何日志 可以通过将规则添加到用户列表 来将规则限制为特定用户或用户组 添加 - 打开对象类型: 用户或组对话框 该窗口可用来选择需要的用户 删除 - 从过滤器中删除选定用户 注意 所有设备均可按用户规则进行过滤 例如 成像设备不提供用户信息 仅提供操作信息 网 络 摄 像 机 防 护 规 则 编 辑 器 此窗口显示现有规则 并允许控制基于您执行的操作访问计算机网络摄像机的应用程序和进程 可用操作包括 阻止访问 询问 允许访问 基 于 主 机 的 入 侵 预 防 系 统 (H IP S ) 警告 对 HIPS 设置的更改仅应由有经验的用户进行 HIPS 设置的错误配置可能会导致系统不稳定 基于主机的入侵防御系统 (HIPS) 可保护您的系统 以免恶意软件和任何不受欢迎的活动试图对您的计算机产生不利影响 HIPS 利用高级行为分析并配合网络过滤的检测功能来监视正在运行的进程 文件和注册表项 HIPS 独立于文件系统实时防 护 并且不是防火墙 它仅监视在操作系统中运行的进程 HIPS 设置可以在高级设置 (F5) > 检测引擎 > HIP S > 基本下找到 HIPS 状态 已启用 已禁用 显示在设置 > 计算机防 护下的 ESET Smart Security Premium 主程序窗口内 42

43 ESET Smart Security Premium 使用内置的自我保护技术作为 HIPS 的一部分 以防止恶意软件损坏或禁用病毒和间谍软件 防护 自我保护可保护关键系统及 ESET 的进程 注册表项和文件免于篡改 启用受保护的服务 - 启用内核保护 Windows 高级内存扫描程序与漏洞利用阻止程序结合使用以增强对恶意软件的防范 后者旨在通过迷惑或加密方法来逃过反恶意软件 产品的检测 默认情况下 启用高级内存扫描程序 请阅读词汇表中关于此类防护的更多信息 漏洞利用阻止程序旨在强化那些经常被漏洞利用的应用程序类型 例如 Web 浏览器 PDF 阅读器 电子邮件客户端和 MS Office 组件 默认情况下 启用漏洞利用阻止程序 请阅读词汇表中关于此类防护的更多信息 勒索软件防护是作为 HIPS 功能的一部分工作的另一层保护 必须启用 LiveGrid 信誉系统才能使勒索软件防护工作 请在 此处阅读关于此类防护的详细信息 可以使用以下四种模式之一执行过滤 自动模式 - 启用操作 除了保护系统的预定义规则所阻止的操作 智能模式 - 仅通知用户极为可疑的事件 交互模式 - 将提示用户确认操作 基于策略的模式 - 操作被阻止 学习模式 - 启用操作 并在每次操作后创建规则 可在规则编辑器中查看以此模式创建的规则 但其优先级低于手动创建的 规则或在自动模式下创建的规则的优先级 当您从 HIPS 过滤模式 下拉菜单中选择 学习模式 后 学习模式结束时间设置将 变为可用 选择要采用学习模式的时间范围 最长持续时间为 14 天 当指定的持续时间过去后 将会提示您编辑当 HIPS 处于学习模式中时所创建的规则 还可以选择其他过滤模式 或推迟决定并继续使用学习模式 学习模式到期之后设置的模式 - 在学习模式到期后选择将使用的过滤模式 HIPS 系统监控操作系统内的事件 并根据类似于防火墙所使用的规则作出相应的反应 单击规则旁边的编辑以打开 HIPS 规 则管理窗口 在 HIPS 规则窗口中 您可以选择 添加 编辑或删除规则 在下面的示例中 我们将演示如何限制不需要的应用程序行为 43

44 1. 命名规则 并从操作下拉菜单选择阻止 2. 打开通知用户开关以在每次应用规则时显示通知 3. 选择至少一个将为其应用规则的操作 在源应用程序窗口中 从下拉菜单中选择所有应用程序 以将新规则应用于 尝试在指定的应用程序上执行任何选定的应用程序操作的所有应用程序 4. 选择修改其他应用程序的状态 所有操作在产品帮助中都有介绍 可按 F1 键进行访问. 5. 从下拉菜单中选择特定应用程序 然后添加一个或几个要保护的应用程序 6. 单击完成保存新规则 高 级 设 置 以下选项用于调试和分析应用程序的行为 始终允许加载驱动程序 - 始终允许加载选定的驱动程序 而不管配置的过滤模式是什么 除非明确地通过用户规则阻止 记录所有阻止的操作 - 所有阻止的操作将写入到 HIPS 日志中 当启动应用程序发生更改时发送通知 - 每次应用程序添加到系统启动或从中删除时显示桌面通知 有关此帮助页的更新版本 请参阅我们的知识库文章 44

45 H IP S 交 互 窗 口 如果规则的默认操作设置为询问 每次触发该规则时将显示对话窗口 您可以选择拒绝或允许操作 如果在给定时间不选择 操作 将基于规则选择新操作 此对话窗口使您能够基于 HIPS 检测到的任何新操作创建规则 然后定义允许或拒绝此操作的条件 单击详细信息可访问具 体参数的设置 用这种方式创建的规则被认为等同于手动创建的规则 所以从对话窗口创建的规则可以比触发该对话窗口的 规则更笼统 这意味着 在创建这样的规则后 相同的操作可以触发相同的窗口 在应用程序退出之前记住操作将使系统在规则或过滤模式发生更改 HIPS 模块更新或系统重新启动之前始终使用此操作 允许 拒绝 发生这三项操作中的任意一项后 将删除临时规则 检 测 到 潜 在 的 勒 索 软 件 行 为 当检测到潜在的勒索软件行为时 将显示此交互窗口 您可以选择拒绝或允许操作 此对话窗口允许您提交文件以供分析或从检测中排除 单击详细信息可查看特定的检测参数 45

46 重要信息 必须启用 ESET Live Grid 才能使勒索软件防护正常工作 游 戏 模 式 游戏模式是为那些需要不中断其使用软件 不希望被弹出窗口打扰 并希望尽量减少 CPU 使用的用户提供的功能 游戏模式 还可以用于不能被病毒防护活动中断的演示 启用此功能后 将禁用所有弹出窗口 同时完全停止计划任务的活动 系统保 护仍在后台运行 但是不需要任何用户交互 您可以在主程序窗口的设置 > 计算机防护下单击 或游戏模式旁边的 来启用或禁用游戏模式 启用游戏 模式将存在潜在安全风险 因此任务栏上的防护状态将变成橙色 并显示警告 您还将在主程序窗口中看到此警告 您将在 该窗口中看到橙色的游戏模式处于活动状态 在高级设置 (F5) > 工具 > 游戏模式下激活以全屏模式运行应用程序时自动启用游戏模式 以便当您启动全屏应用程序时 立即启动游戏模式 并在您退出应用程序时立即停止该模式 激活自动禁用游戏模式前等待的时间可定义自动禁用游戏模式前的时间量 注意 如果防火墙处于交互模式下 同时已启用游戏模式 您可能会在连接到 Internet 时遇到麻烦 如果您启动连接到 Internet 的游戏 这将出现问题 通常 将提示您确认此类操作 如果未定义通信规则或例外 但是在游戏模式中已经禁用了用 户交互 若要允许通信 请为可能遇到此问题的任何应用程序定义通信规则 或者在防火墙中使用其他过滤模式 请记 住 如果启用了游戏模式 同时您转到一个可能存在安全风险的网页或应用程序 它可能会被阻止 而不会出现任何解释 或警告 因为用户交互已被禁用 4.2 Internet 防护 通过单击 Int ernet 防护 可在设置窗格中找到 Web 和电子邮件配置 可以从这里访问更详细的程序设置 46

47 Internet 连接是个人计算机的一项标准功能 不幸地是 Internet 已成为了散布恶意代码的主要媒介 出于此原因 仔细考虑 Web 访问保护设置就变得很重要 单击 打开 Web/电子邮件 网络钓鱼防护 反垃圾邮件 防护设置 电子邮件客户端防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 使用电子邮件客户端的插件程序 ESET Smart Security Premium 可以控制所有出入电子邮件客户端的通信 POP3 MAPI IMAP 和 HTTP 反垃圾邮件防护可过滤不请自来的电子邮件 当您单击齿轮 在反垃圾邮件防护旁 时 将提供以下选项 配置 - 打开电子邮件客户端反垃圾邮件防护的高级设置 用户的白名单/ 黑名单/ 例外列表 - 打开一个对话窗口 可在其中添加 编辑或删除视为安全或不安全的电子邮件地址 根据此处定义的规则 将不会扫描来自这些地址的电子邮件或将其视为垃圾邮件 单击用户的例外列表以添加 编辑或 删除可能为欺诈且用于发送垃圾邮件的电子邮件地址 来自例外列表中列出的地址的电子邮件将始终被扫描以检查是否 存在垃圾邮件 网络钓鱼防护允许您阻止散布网络钓鱼内容的已知网页 强烈建议您保持启用网络钓鱼防护 您可以禁用 Web/电子邮件 网络钓鱼防护 反垃圾邮件 防护模块 暂时 方法是单击 W e b 访 问 保 护 Internet 连接是个人计算机的一项标准功能 不幸地是 它也成为传输恶意代码的主要媒介 Web 访问保护的功能是监视 Web 浏览器和远程服务器之间的通信 并遵从 HTTP 超文本传输协议 和 HTTPS 加密通信 规则 在下载内容之前 将阻止访问已知包含恶意内容的网页 所有其他网页在加载时会由 ThreatSense 扫描引擎进行扫描 并且 如果检测到恶意内容 将阻止它们 Web 访问保护提供两种级别的保护 按黑名单阻止和按内容阻止 我们强烈建议启用 Web 访问保护 在 ESET Smart Security Premium 主窗口中导航至设置 > Int ernet 防护 > Web 访问 保护可以访问此选项 在高级设置 (F5) > Web 和电子邮件 > Web 访问保护中提供以下选项 Web 协议 - 使您可以为大多数 Internet 浏览器使用的这些标准协议配置监视 URL 地址管理 - 使您可以指定要对其阻止 允许或排除检查的 HTTP 地址 Threat S ens e 参数 - 高级病毒扫描程序设置 使您可以为 Web 访问保护配置设置 例如要扫描的对象类型 电子邮件 压缩文件等 检测方法等 47

48 基 本 启用 Web 访问保护 - 禁用后 Web 访问保护和网络钓鱼防护将无法运行 启用浏览器脚本的高级扫描 - 启用后 Internet 浏览器执行的所有 JavaScript 程序都将由病毒防护扫描程序检查 注意 我们强烈建议您保持启用 Web 访问保护 W e b 协 议 默认情况下 ESET Smart Security Premium 将配置为监视由大部分 Internet 浏览器使用的 HTTP 协议 HTTP 扫描程序设置 在 Windows Vista 及更高版本中 始终在所有应用程序的所有端口上监视 HTTP 通信 在 Windows XP 中 您可以在高 级设置 (F5) > Web 和电子邮件 > Web 访问保护 > Web 协议中修改由 HTTP 协议使用的端口 在所有应用程序 的指定端口上以及标记为 Web 和电子邮件客户端的应用程序的所有端口上监视 HTTP 通信 HTTP S 扫描程序设置 ESET Smart Security Premium 还支持 HTTPS 协议检查 HTTPS 通信使用加密通道在服务器和客户端之间传输信息 ESET Smart Security Premium 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如 何 该程序将只在 HTTP S 协议使用的端口中定义的端口上扫描通信 默认情况下会扫描加密的通信 要查看扫描程序设置 请导航至高级设置部分的 SSL/TLS 单击 Web 和电子邮件 > S S L/ TLS 然后启用启用 S S L/ TLS 协议过滤选项 U R L 地 址 管 理 URL 地址管理部分可使您指定要阻止 允许或排除检查的 HTTP 地址 将不能访问阻止的地址列表中的网站 除非它们还包含在允许的地址列表中 在访问时 不会针对不检查的地址列表中的 网站进行扫描以查找恶意代码 如果您在过滤 HTTP 网页之外还希望过滤 HTTPS 地址 则必须选中启用 S S L/ TLS 协议过滤 否则 将仅添加您访问过 的 HTTPS 站点的域 而不会添加完整 URL 如果将 URL 地址添加到不过滤的地址列表 该地址将从扫描中排除 您还可以通过将其添加到允许的地址列表或阻止的 地址列表 允许或阻止某些地址 如果您希望阻止所有 HTTP 地址 活动的允许的地址列表中存在的地址除外 请将 添加到活动的阻止的地址列表 特殊符号 星号 和? 问号 可用于列表 星号可以替代任意字符串 而问号可以替代任意符号 指定排除的地址时 请务必谨慎 因为此列表只应包含信任的和安全的地址 同样 必须确保在此列表中正确使用符号 和? 有关如何安全匹 配包括所有子域的整个域 请参阅添加 HTTP 地址 域掩码 若要启用某个列表 请选择启用列表 如果您希望在输入来自 当前列表的地址时收到通知 请选择应用时发送通知 注意 URL 地址管理还允许您在浏览 Internet 时阻止或允许打开特定文件类型 例如 如果您不希望打开可执行文件 请从下拉 菜单中选择您希望在其中阻止这些文件的列表 然后输入掩码 exe 48

49 控件元素 添加 - 除了预定义的列表 创建新列表 如果您希望按逻辑拆分不同的地址组 这非常有用 例如 一个阻止的地址列 表可能包含外部公开黑名单中的地址 另一个阻止的地址列表可能包含您自己的黑名单 这可在保持您的黑名单不变的同 时轻松更新外部列表 编辑 - 修改现有列表 使用此项添加或删除地址 删除 - 删除现有列表 仅适用于使用添加创建的列表 不适用于默认列表 电 子 邮 件 客 户 端 防 护 电 子 邮 件 客 户 端 ESET Smart Security Premium 与电子邮件客户端的集成可提高针对电子邮件中恶意代码的主动防护级别 如果您的电子邮 件客户端受支持 则可以在 ESET Smart Security Premium 中启用集成 当集成到电子邮件客户端时 ESET Smart Security Premium 工具栏将直接插入电子邮件客户端 不插入适用于较新版本的 Windows Live Mail 的工具栏 从而提供 更高效的电子邮件防护 集成设置位于高级设置 (F5) > Web 和电子邮件 > 电子邮件客户端防护 > 电子邮件客户端下 电子邮件客户端集成 当前受支持的电子邮件客户端包括 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 电子邮 件防护作为这些程序的插件进行工作 插件的主要优点在于它独立于所用的协议 当电子邮件客户端收到加密邮件时 邮件将进行解密并发送给病毒扫描程序 有关支持的电子邮件客户端及其版本的完整列表 请参考以下 ESET 知识库文 章 即使未启用集成 电子邮件通信仍受电子邮件客户端防护模块 POP3 IMAP 保护 如果在使用 MS Outlook 时遇到系统运行缓慢的情况 请打开禁用对收件箱内容更改的检查 当从 Kerio Outlook Connector Store 中检索电子邮件时可能会发生这种情况 要扫描的电子邮件 通过客户端插件启用电子邮件防护 - 在通过电子邮件客户端禁用电子邮件客户端防护后 仍可通过协议过滤启用电子邮 件客户端防护 已接收的电子邮件 - 切换到检查已接收的邮件 已发送的电子邮件 - 切换到检查已发送的邮件 已阅读的电子邮件 - 切换到检查已阅读的邮件 49

50 要对被感染的电子邮件执行的操作 无操作 - 如果已启用 则程序虽能识别感染的附件 但不会对电子邮件采取任何操作 删除电子邮件 - 程序会通知用户有关渗透的信息并删除邮件 将电子邮件移到已删除邮件文件夹 - 受感染的电子邮件将自动移至 已删除 邮件文件夹 将电子邮件移到文件夹 - 受感染的电子邮件将自动移至指定文件夹 文件夹 - 指定希望将检测到的受感染电子邮件移至其中的自定义文件夹 更新后重新扫描 - 在检测引擎更新后切换到重新扫描 接受其他模块的扫描结果 - 如果选中此选项 电子邮件防护模块会接受其他防护模块的扫描结果 POP3 IMAP 协议 扫描 注意 我们建议您启用通过客户端插件启用电子邮件防护和通过协议过滤启用电子邮件防护 这些设置位于 高级设置 (F5) > Web 和电子邮件 > 电子邮件客户端防护 > 电子邮件协议下 电 子 邮 件 协 议 IMAP 和 POP3 协议是最广泛地用于在电子邮件客户端应用程序中接收电子邮件通信的协议 Internet 消息访问协议 (IMAP) 是另一种用于电子邮件检索的 Internet 协议 与 POP3 相比 IMAP 具有一些优势 例如多个客户端可同时连接到同一邮 箱 并保留邮件状态信息 如邮件是已读 已回复还是已删除 ESET Smart Security Premium 为这些协议提供保护 无 论使用哪种电子邮件客户端 并且无需重新配置电子邮件客户端 系统启动时会自动启动提供此控件的防护模块 之后该模块会在内存中处于活动状态 IMAP 协议控制将自动执行 无需重新 配置电子邮件客户端 默认情况下 程序会扫描端口 143 上的所有通信 如有必要 也可以添加其他通信端口 多个端口号 必须使用逗号分隔 您可以在 高级设置 中配置 IMAP/IMAPS 和 POP3/POP3S 协议检查 若要访问此设置 请依次展开 Web 和电子邮件 > 电 子邮件客户端防护 > 电子邮件协议 通过协议过滤启用电子邮件保护 - 启用电子邮件协议的检查 在 Windows Vista 及更高版本中 将在所有端口上自动检测和扫描 IMAP 和 POP3 协议 在 Windows XP 中 仅针对所有 应用程序扫描已配置的 IMA P / P OP 3 协议使用的端口 而针对标记为 Web 和电子邮件客户端的应用程序扫描所有端口 ESET Smart Security Premium 还支持扫描 IMAPS 和 POP3S 协议 这些协议使用加密通道在服务器和客户端之间传输信 息 ESET Smart Security Premium 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如 何 该程序将只在 IMA P S / P OP 3S 协议使用的端口中定义的端口上扫描通信 默认情况下会扫描加密的通信 要查看扫描程序设置 请导航至高级设置部分的 SSL/TLS 单击 Web 和电子邮件 > S S L/ TLS 然后启用启用 S S L/ TLS 协议过滤选项 50

51 警 报 和 通 知 电子邮件防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 通过使用 Microsoft Outlook 和其他电子邮件客户端的 插件 ESET Smart Security Premium 可控制电子邮件客户端的所有通信 POP3 MAPI IMAP HTTP 检查传入邮件 时 程序使用 ThreatSense 扫描引擎内包含的所有高级扫描方法 这意味着恶意程序检测在与检测引擎匹配之前就已进行 对 POP3 和 IMAP 协议通信的扫描与使用何种电子邮件客户端无关 此功能的选项位于 Web 和电子邮件 > 电子邮件客户端防护 > 警报和通知下的高级设置中 选中一个电子邮件后 可将包含扫描结果的通知附加到邮件中 您可以选择在已接收并阅读的电子邮件上添加标记消息? 在已接收并阅读的被感染电子邮件主题上添加注释或在已发送电子邮件上添加标记消息 请注意 在少数情形下 标 记消息可能被有问题的 HTML 邮件忽略 而恶意软件也可能伪造这些消息 可将标记消息添加到已接收 已阅读的电子邮件 已发送的电子邮件或两类邮件中都添加 有以下选项可供使用 从不 - 将不添加任何标记消息 仅对被感染的电子邮件 - 仅将包含恶意软件的消息标记为已选中 默认 对所有扫描的电子邮件 - 程序将把消息附加到所有已扫描的电子邮件上 在已发送的被感染电子邮件主题中添加注释 - 如果不想要通过电子邮件防护在被感染的电子邮件主题中包含病毒警告 则 禁用此选项 此功能允许对被感染的电子邮件进行简单的 基于主题的过滤 如果电子邮件程序支持 它还可以提高收件 人的可信度级别 如果检测到渗透 它会提供有关给定电子邮件或发件人的威胁级别的有价值信息 添加到被感染电子邮件主题中的模板 - 如果您希望修改被感染电子邮件的主题前缀格式 则编辑此模板 此功能将替换邮 件主题 "Hello" 为以下格式的给定前缀值 "[virus]" : "[virus] Hello" 变量 %VIRUSNAME% 代表被感染的威胁 51

52 电 子 邮 件 客 户 端 集 成 ESET Smart Security Premium 与电子邮件客户端的集成可提高针对电子邮件中恶意代码的主动防护级别 如果您的电子邮 件客户端受支持 则可以在 ESET Smart Security Premium 中启用集成 如果启用了集成 ESET Smart Security Premium 工具栏将被直接插入到电子邮件客户端 从而提供更高效的电子邮件防护 集成设置可通过设置 > 高级设置 > Web 和电子 邮件 > 电子邮件客户端防护 > 电子邮件客户端提供 当前受支持的电子邮件客户端包括 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 有关支持的 电子邮件客户端及其版本的完整列表 请参考以下 ESET 知识库文章 如果使用电子邮件客户端时遇到系统运行缓慢的情况 请选中禁用对收件箱内容更改的检查旁的复选框 当从 Kerio Outlook Connector Store 中检索电子邮件时可能会发生这种情况 即使未启用集成 电子邮件通信仍受电子邮件客户端防护模块 POP3 IMAP 保护 电 子 邮 件 客 户 端 防 护 配 置 电子邮件客户端防护模块支持下列电子邮件客户端 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 电子邮件防护作为这些程序的插件进行工作 插件的主要优点在于它独立于所用的协议 当电子邮件客户端收到加密 邮件时 邮件将进行解密并发送给病毒扫描程序 P OP 3 P OP 3S 过 滤 器 POP3 协议是使用最广泛的在电子邮件客户端应用程序中接收电子邮件通信的协议 无论使用何种电子邮件客户端 ESET Smart Security Premium 均提供对此协议的保护 系统启动时会自动启动提供此控件的防护模块 之后该模块会在内存中处于活动状态 要使模块正常发挥作用 请确保该模 块已启用 将自动执行 POP3 协议检查 无需重新配置电子邮件客户端 默认情况下 程序会扫描端口 110 上的所有通信 如有必要 也可以添加其他通信端口 多个端口号必须使用逗号分隔 默认情况下会扫描加密的通信 要查看扫描程序设置 请导航至高级设置部分的 SSL/TLS 单击 Web 和电子邮件 > S S L/ TLS 然后启用启用 S S L/ TLS 协议过滤选项 在本节中您可以配置 POP3 和 POP3S 协议检查 启用 P OP 3 协议检查 - 如果已启用 将监视所有通过 POP3 的通信以查找恶意软件 P OP 3 协议使用的端口 - POP3 协议使用的端口 默认为 110 列表 ESET Smart Security Premium 也支持 POP3S 协议检查 此类通信使用加密通道在服务器和客户端之间传输信息 ESET Smart Security Premium 利用 SSL 安全套接字层 和 TLS 传输层安全 加密方法检查通信 不使用 P OP 3S 检查 - 不检查加密通信 对选定端口使用 P OP 3S 协议检查 - 选中此选项可仅针对在 P OP 3S 协议使用的端口中定义的端口启用 POP3S 检查 P OP 3S 协议使用的端口 - 要检查的 POP3S 端口 默认为 995 列表 52

53 反 垃 圾 邮 件 防 护 不请自来的电子邮件 称之为垃圾邮件 是电子通信领域面临的最大问题之一 垃圾邮件占全部电子邮件通信的比率高达 80% 反垃圾邮件防护即针对此问题提供保护 反垃圾邮件模块遵循多种电子邮件安全准则 可提供卓越的过滤功能保持收 件箱干净 垃圾邮件检测的一个重要准则是 根据预定义的受信任地址 白名单 和垃圾邮件地址 黑名单 识别不请自来的电子邮件的 功能 来自您的联系人列表的所有地址以及您标记为安全的所有其他地址自动添加到白名单 检测垃圾邮件的主要方法是扫描电子邮件属性 程序按照基本反垃圾邮件标准 邮件定义 统计启发式扫描 识别算法和其 他独特方法 扫描收到的邮件 产生的指数值将决定邮件是否为垃圾邮件 自动启动电子邮件客户端反垃圾邮件防护 - 启用后 反垃圾邮件防护将在系统启动时自动激活 允许高级反垃圾邮件扫描 - 将定期下载其他反垃圾邮件数据 提高反垃圾邮件能力并产生更好效果 ESET Smart Security Premium 中的反垃圾邮件防护允许您设置不同参数来使用邮件列表 选项如下 如何处理邮件 向电子邮件主题添加文字 - 使您可以在被列为垃圾邮件的邮件主题行中添加自定义前缀字符串 默认为 [垃圾邮件] 将邮件移至垃圾邮件文件夹 - 启用后 垃圾邮件将被移动到默认的垃圾邮件文件夹 而且还将被重新分类为非垃圾邮件的 邮件移动到收件箱 在右键单击电子邮件并从右键菜单中选择 ESET Smart Security Premium 后 可从适用选项进行选 择 使用文件夹 - 此选项用于将垃圾邮件移动到用户定义的文件夹 将垃圾邮件标记为已读 - 启用此选项可自动将垃圾邮件标记为已读 这有助于您将注意力放在 干净的 邮件上 将重新分类的邮件标记为未读 - 原来被分类为垃圾邮件 但后来标记为 干净 的邮件将显示为未读 53

54 垃圾邮件分数记录 - ESET Smart Security Premium 反垃圾邮件引擎为每个扫描的邮件分配一个垃圾邮件分数 该信息 将被记录在反垃圾邮件日志 E S E T S mart S ec urit y P remium > 工具 > 日志文件 > 反垃圾邮件防护 中 无 - 将不记录反垃圾邮件扫描中的分数 已重新分类并标记为垃圾邮件 - 如果您希望记录标记为 垃圾邮件 的垃圾邮件分数 则选择此选项 所有 - 所有邮件连同垃圾邮件分数都将记录到日志中 注意 在单击垃圾邮件文件夹中的邮件后 可以选择将所选邮件重新分类为非垃圾邮件 然后该邮件将被移动到收件箱中 在 收件箱中单击被视为垃圾邮件的邮件后 可以选择将邮件重新分类为垃圾邮件 然后该邮件将被移动到垃圾邮件文件夹 中 您可以同时选择多个邮件并在其上执行操作 注意 ESET Smart Security Premium 支持 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 的反垃 圾邮件防护 协 议 过 滤 针对应用程序协议的病毒防护由 ThreatSense 扫描引擎提供 可与所有高级恶意软件扫描技术无缝集成 无论使用哪种 Internet 浏览器或电子邮件客户端 协议过滤都会自动工作 若要编辑加密 (SSL/TLS) 设置 请转到 Web 和电子邮件 > S S L/ TLS 启用应用程序协议内容过滤 - 可用于禁用协议过滤 请注意 许多 ESET Smart Security Premium 组件 Web 访问防护保 护 电子邮件协议防护 网络钓鱼防护 Web 控件 都依赖于此选项 如果没有此选项 这些组件将不起作用 排除的应用程序 - 允许您从协议过滤中排除特定应用程序 在协议过滤导致兼容性问题时很有用 排除的 IP 地址 - 允许您从协议过滤中排除特定远程地址 在协议过滤导致兼容性问题时很有用 Web 和电子邮件客户端 - 仅用于 Windows XP 操作系统 允许您选择通过协议过滤为其过滤所有通信的应用程序 不管使 用何种端口 W e b 和 电 子 邮 件 客 户 端 注意 从 Windows Vista Service Pack 1 和 Windows Server 2008 开始 使用新的 Windows 过滤平台 (WFP) 架构检查网络通 信 由于 WFP 技术使用了特殊的监视技术 因此 Web 和电子邮件客户端部分不可用 由于 Internet 上充斥着大量恶意代码 安全浏览 Internet 就成了计算机保护的一个非常重要的方面 Web 浏览器的漏洞和欺 骗链接能够帮助恶意代码进入系统且不会引起注意 这也是 ESET Smart Security Premium 注重 Web 浏览器安全性的原因 所在 访问网络的每个应用程序都可以标记为 Internet 浏览器 复选框为以下两种状态 已取消选择 - 仅过滤指定端口的应用程序通信 已选择 - 始终过滤通信 即使设置了其他端口 54

55 排 除 的 应 用 程 序 要将特定网络感知应用程序的通信排除在内容过滤之外 请在列表中选择它们 将不检查选定应用程序的 HTTP/POP3/IMAP 通信是否存在威胁 我们建议仅针对因检查其通信而无法正常工作的应用程序使用此选项 将在这里自动显示正在运行的应用程序和服务 单击添加手动添加未显示在协议过滤列表上的应用程序 排 除 的 IP 地 址 列表中的条目将被排除在协议内容过滤之外 将不检查往返选定地址的 HTTP/POP3/IMAP 通信是否存在威胁 我们建议仅 在地址可信赖时使用此选项 单击添加排除未显示在协议过滤列表上的远程点的 IP 地址 地址范围 子网 单击删除将选定条目从列表中删除 55

56 添 加 IP v 4 地 址 它使您可以为要应用规则的远程点添加 IP 地址 地址范围 子网 Internet 协议版本 4 是旧版本 但仍是使用范围最广泛的版 本 单个地址 - 添加将应用规则的单台计算机的 IP 地址 例如 地址范围 - 输入开始和结束 IP 地址以指定将应用规则的 多台计算机的 IP 范围 例如 至 子网 - 子网 一组计算机 由 IP 地址和掩码定义 例如 是 /24 前缀的网络掩码 表示 至 的地址范围 添 加 IP v 6 地 址 它使您可以为要应用规则的远程点添加 IPv6 地址 子网 这是最新版本的 Internet 协议 将代替旧的版本 4 单个地址 - 添加规则将应用到的单台计算机的 IP 地址 例如 2001:718:1c01:16:214:22ff:fec9:ca5 子网 - 子网 一组计算机 由 IP 地址和掩码定义 例如 2002:c0a8:6301:1::1/ S S L/ T LS ESET Smart Security Premium 能够检查使用 SSL 协议的通信中是否存在威胁 通过受信任的证书 未知证书或不受 SSL 保护的通信检查的证书 可以将不同的扫描模式用于检查受 SSL 保护的通信 启用 S S L/ TLS 协议过滤 - 如果禁用协议过滤 该程序将不会扫描通过 SSL 的通信 S S L/ TLS 协议过滤模式在以下选项中可用 自动模式 - 默认模式将仅扫描适当的应用程序 例如 Web 浏览器和电子邮件客户端 您可以通过选择要扫描其通信的应 用程序来覆盖此选项 交互模式 - 如果您输入一个受 SSL 保护的新站点 使用未知证书 会显示操作选择对话框 此模式允许您创建将不扫 描的 SSL 证书 应用程序列表 策略模式 - 选择此选项可扫描所有受 SSL 保护的通信 除了由排除在检查之外的证书保护的通信 如果使用未知的 签 署的证书建立了新通信 不会提示您 且通信将自动被过滤 当不受信任的证书被标记为受信任 位于受信任的证书列 表上 而用来访问服务器时 会允许对该服务器的通信 也会过滤通信通道的内容 S S L 过滤的应用程序列表 - 允许您为特定应用程序自定义 ESET Smart Security Premium 行为 已知证书列表 - 允许您为特定 SSL 证书自定义 ESET Smart Security Premium 行为 排除使用受信任域的通信 - 启用后 将不检查使用受信任域的通信 域信任由内置白名单确定 阻止使用已过时 S S L v 2 协议加密的通信 - 将自动阻止使用早期版本的 SSL 协议的通信 根证书 将根证书添加到已知浏览器 - 要使 SSL 通信在您的浏览器 电子邮件客户端中正常工作 请务必将 ESET 根证书添加到 已知根证书 发布者 列表中 启用后 ESET Smart Security Premium 可自动将 ESET 根证书添加到已知浏览器 例 如 Opera 和 Firefox 对于使用系统证书存储的浏览器 会自动添加证书 例如 在 Internet Explorer 中 要将该证书应用到不受支持的浏览器 请依次单击查看证书 > 详细信息 > 复制到文件 然后手动将其导入该浏览 器 证书有效性 使用 TRCA 证书机构无法验证该证书时 - 在某些情况下 无法使用受信任的根证书颁发机构 (TRCA) 验证网站证书 这意味着该证书将由某人 例如 Web 服务器或小型企业的管理员 签名 将此证书视为受信任并不总是存在风险 大部 分大型企业 例如银行 使用 TRCA 签名的证书 如果选中了询问证书的有效性 默认为选中 将在建立加密通信 时 提示用户选择要采取的操作 您可以选择阻止使用该证书的通信 以始终终止使用未验证证书站点的加密连接 该证书无效或已损坏时 - 这意味着证书已过期或已错误地签名 在这种情况下 我们建议保持选中阻止使用该证书的 通信 56

57 证 书 要使 SSL 通信在您的浏览器 电子邮件客户端正常工作 请将 ESET 根证书添加到已知根证书 发布者 的列表中 应启用 将根证书添加到已知浏览器 选中此选项可自动将 ESET 根证书添加到已知浏览器 如 Opera 和 Firefox 对于使用系 统证书存储的浏览器 会自动添加证书 如 Internet Explorer 要将该证书应用到不受支持的浏览器 请单击查看证书 > 详细信息 > 复制到文件 然后手动将其导入该浏览器 在某些情况下 使用受信任的根证书颁发机构 比如 VeriSign 无法验证该证书 这意味着该证书将由某人 比如 Web 服务 器或小型公司的管理员 自签名 将此证书视为受信任不总是存在风险 大部分大型公司 比如银行 使用 TRCA 签名的证 书 如果选中了询问证书的有效性 默认为选中 将在建立加密通信时 提示用户选择要采取的操作 将显示操作选择 对话框 其中您可决定是否要标记该证书为受信任或排除 如果证书不存在于 TRCA 列表中 则窗口为红色 如果证书在 TRCA 列表中 则窗口将为绿色 您可以选择阻止使用该证书的通信 以便总是终止使用未经验证证书网站的加密连接 如果该证书无效或损坏 这意味着证书已过期或被错误自签名 在这种情况下 我们建议阻止使用该证书的通信 加 密 的 网 络 通 信 如果计算机配置为 SSL 协议扫描 则在尝试建立加密的通信 使用未知证书 时 可能会打开一个对话窗口 提示您选择操 作 该对话窗口包括以下信息 发起通信的应用程序的名称 所使用的证书的名称 要执行的操作 是否要扫描加密的通信 以及是否要为该应用程序 证书记住此操作 如果信任的根证书颁发机构 (TRCA) 存储中没有该证书 则将该证书视为不受信任 已 知 证 书 列 表 已知证书列表可用于自定义特定 SSL 证书的 ESET Smart Security Premium 行为 如果在 S S L/ TLS 协议过滤模式下选 中交互模式 还可用于记住所选的操作 可以在高级设置 (F5) > Web 和电子邮件 > S S L/ TLS > 已知证书列表中查看和 编辑该列表 已知证书列表窗口包含 列 名称 - 证书名称 证书颁发者 - 证书创建者的名称 证书主题 - 主题字段可标识与存储在主题公共密钥字段中的公共密钥相关联的实体 访问 - 选择允许或阻止作为访问操作 可允许 阻止受此证书保护的通信 不管其可信度如何都是如此 选择自动以允 许受信任的证书并询问是否允许不受信任的证书 选择询问以始终询问用户要执行的操作 扫描 - 选择扫描或忽略作为扫描操作 可扫描或忽略受此证书保护的通信 选择自动以在自动模式下扫描并在交互模式 进行询问 选择询问以始终询问用户要执行的操作 控件元素 添加 - 添加新证书并调整其访问和扫描选项的相关设置 编辑 - 选择您希望配置的证书 然后单击编辑 删除 - 选择您希望删除的证书 然后单击删除 确定 取消 - 如果您希望保存更改 则单击确定 如果您希望在不保存的情况下退出 则单击取消 57

58 S S L/ T LS 过 滤 的 应 用 程 序 列 表 S S L/ TLS 过滤的应用程序列表可用于自定义特定应用程序的 ESET Smart Security Premium 行为 如果在 S S L/ TLS 协 议过滤模式下选中交互模式 还可用于记住所选的操作 可以在高级设置 (F5) > Web 和电子邮件 > S S L/ TLS > S S L/ TLS 过滤的应用程序列表中查看和编辑该列表 S S L/ TLS 过滤的应用程序列表窗口包含 列 应用程序 - 应用程序的名称 扫描操作 - 选择扫描或忽略可扫描或忽略通信 选择自动以在自动模式下扫描并在交互模式进行询问 选择询问以始 终询问用户要执行的操作 控件元素 添加 - 添加过滤的应用程序 编辑 - 选择您希望配置的证书 然后单击编辑 删除 - 选择您希望删除的证书 然后单击删除 确定 取消 - 如果您希望保存更改 则单击确定 如果您希望在不保存的情况下退出 则单击取消 网 络 钓 鱼 防 护 网络钓鱼这一术语是指利用社会工程学 操纵用户以获取机密信息 的一种犯罪活动 网络钓鱼通常被用于获取访问敏感信 息 如银行帐号 PIN 号码等 的权限 在词汇表中阅读此活动的详细信息 ESET Smart Security Premium 包括网络钓鱼 防护 用于阻止散布此类内容的已知网页 我们强烈建议您启用 ESET Smart Security Premium 中的网络钓鱼防护 若要执行此操作 请打开高级设置 (F5) 并导航至 Web 和电子邮件 > 网络钓鱼防护 有关 ESET Smart Security Premium 中网络钓鱼防护的详细信息 请访问我们的知识库文章 访问网络钓鱼网站 当访问已识别的网络钓鱼网站时 以下对话框将显示在您的 Web 浏览器中 如果您仍需要访问该网站 请单击忽略威胁 不建议 58

59 注意 在默认情况下 白名单上列出的潜在网络钓鱼网站将在几小时后过期 要永久允许某一网站 可使用 URL 地址管理工 具 通过高级设置 (F5) 展开 Web 和电子邮件 > Web 访问保护 > URL 地址管理> 地址列表 并单击编辑 然后向 该列表添加要编辑的网站 报告网络钓鱼站点 报告链接使您能够向 ESET 报告网络钓鱼 恶意网站以供分析 注意 向 ESET 提交网站前 确保其满足以下一个或多个标准 未检测到该网站 该网站被错误地检测为威胁 在此情况下 您可以报告错误阻止的页面 此外 也可以通过电子邮件提交网站 请将电子邮件发送至 请记住 邮件主题一定要描述清楚 邮件 应包含尽可能多的有关此网站的信息 例如 引导您访问它的网站 您是如何了解到它的等等 59

60 4.3 网络防护 防火墙可控制进出系统的所有网络通信 其实现方式是按照过滤规则允许或拒绝个别网络连接 它可以防范来自远程计算机 的攻击并可以阻止某些服务 此外还可为 HTTP POP3 和 IMAP 协议提供病毒防护 此功能是计算机安全的一个极其重要 的因素 ESET Smart Security Premium 将在您连接到未受保护的无线网络或防护较弱的网络时通知您 可在网络防护下的设置窗格中找到防火墙配置 您可以在这里调整过滤模式 规则和详细设置 您还可以访问更详细的设 置 方法是单击防火墙旁边的齿轮 > 配置 或按 F5 访问高级设置 单击防火墙旁边的齿轮 可访问以下设置 配置 - 在 高级设置 中打开 防火墙 窗口 您可以在其中定义防火墙处理网络通信的方式 暂停防火墙(允许所有通信) - 与阻止所有网络通信相反 如果选中 所有防火墙的过滤选项都将关闭 并且允许所有传 入和传出连接 当网络通信过滤处于此模式时 请单击启用防火墙以重新启用防火墙 阻止所有通信 - 防火墙将阻止所有入站和出站通信 仅当您认为存在严重的安全风险 必须断开系统与网络的连接时 才使用此选项 当网络通信过滤处于阻止所有通信模式时 单击停止阻止所有通信以还原正常防火墙操作 自动模式 - 当启用了另一个过滤模式时 单击以将过滤模式更改为自动过滤模式 使用用户定义的规则 交互模式 - 当启用了另一个过滤模式时 单击以将过滤模式更改为交互过滤模式 网络攻击防护 (IDS ) - 分析网络通信的内容并防止网络攻击 将阻止视为有害的通信 僵尸网络保护 - 快速准确地发现系统上的恶意软件 已连接网络 - 显示网络适配器连接到的网络 单击网络名称下面的链接后 系统将提示您为通过网络适配器连接到的网络选 择一种防护类型 严格或允许 此设置将针对网络上的其他计算机定义访问您的计算机的方式 临时 IP 地址黑名单 - 查看 IP 地址的列表 这些地址已被检测为攻击源并添加到了黑名单 以在一定时间内阻止连接 有 关更多信息 请单击此选项并按 F1 故障排除向导 - 帮助您解决由 ESET 防火墙导致的连接问题 有关更多详细信息 请参阅故障排除向导 60

61 4.3.1 防 火 墙 防火墙可控制进出系统的所有网络通信 其实现方式是按照指定的过滤规则允许或拒绝每个网络连接 它可以防范来自远程 计算机的攻击 也可以阻止潜在威胁服务 它还针对 HTTP POP3 和 IMAP 协议提供病毒防护 基本 启用防火墙 - 我们建议您使此功能保持启用状态以确保系统安全 启用防火墙后 将以两个方向扫描网络通信 还将评估 Windows 防火墙中的规则 - 在自动模式下 还允许 Windows 防火墙中的规则所允许的传入通信 除非由 ESET 规则明确阻止 过滤模式 - 根据过滤模式的不同 防火墙行为会随之改变 过滤模式还会影响所需的用户交互级别 ESET Smart Security Premium 防火墙有以下几种可用的过滤模式 自动模式 - 默认模式 此模式适用于希望防火墙用起来简单 方便且无需定义规则的用户 可以创建用户定义的自定义 规则 但在自动模式下并非必须创建这些规则 自动模式允许给定系统的所有出站通信并阻止大部分入站通信 来自信 任区域的某些通信 如 IDS 和高级选项 允许服务中所规定 和对最近出站通信的响应除外 交互模式 - 允许您建立自定义的防火墙配置 如果检测到通信却没有现有规则适用于该通信时 会显示一个对话窗口 报告未知的连接 对话窗口中还提供允许或拒绝该通信的选项 并且可以将允许或拒绝的决定另存为防火墙的新规则 如果您选择创建新规则 今后所有此类连接都将根据该规则被允许或阻止 基于策略的模式 - 阻止所有未被特定规则定义为允许的连接 该模式允许高级用户定义规则 仅允许需要且安全的连 接 所有其他未指定的连接将受到防火墙阻止 学习模式 - 自动创建和保存规则 此模式最适用于防火墙的初始配置 但不应在很长一段时间内保持打开状态 不需要 用户交互 因为 ESET Smart Security Premium 会根据预先定义的参数保存规则 应仅在为所需通信创建所有规则来避 免安全风险之前才使用学习模式 通过指定不同情况下的不同规则集 配置文件可用于自定义 ESET Smart Security Premium 防火墙的行为 启用已连接的家庭显示器 - 保护计算机免受传入网络 (Wi-Fi) 威胁 发现新的网络设备时发送通知 - 当在您的网络上检测到新设备时通知您 高级 规则 - 您可以在此处添加规则并定义防火墙如何处理网络通信 区域 - 您可以在此处创建包含一个或多个安全 IP 地址的区域 61

62 注意 您可以在僵尸网络攻击您的计算机时创建一个 IDS 例外 可以在高级设置 (F5) > 网络防护 > 网络攻击防护 > IDS 例 外中通过单击编辑修改例外 学 习 模 式 设 置 针对已在系统中建立的每个通信 学习模式将自动创建并保存规则 不需要用户交互 因为 ESET Smart Security Premium 会根据预先定义的参数保存规则 此模式会使系统承受风险 仅建议用于防火墙的初始配置 从高级设置 (F5) > 防火墙 > 基本 > 过滤模式中的下拉菜单选择学习模式 以激活学习模式选项 此部分包含以下项目 警告 处于学习模式下时 防火墙不会过滤通信 允许所有传出和传入通信 在此模式下 计算机未受到防火墙的完全保护 通信类型 - 为每种通信类型选择特定规则创建参数 通信类型有四种 来自信任区域的入站通信 - 一个信任区域传入连接的示例是来自信任区域的远程计算机尝试与您计算机上运行的本地应 用程序建立通信 到信任区域的出站通信 - 本地应用程序尝试与本地网络中或信任区域的网络中的其他计算机建立连接 Int ernet 入站通信 - 远程计算机尝试与在该计算机上运行的应用程序通信 Int ernet 出站通信 - 本地应用程序尝试与其他计算机建立连接 每个部分都允许您定义要添加到新创建的规则的参数 添加本地端口 - 包括网络通信的本地端口号 对于传出通信 通常会生成随机端口号 因此 建议您仅对传入通信启用此选 项 添加应用程序 - 包括本地应用程序的名称 此选项适用于将来的应用程序级别规则 为整个应用程序定义通信的规则 例 如 您可以仅启用 Web 浏览器或电子邮件客户端的通信 62

63 添加远程端口 - 包括网络通信的远程端口号 例如 可以允许或拒绝与标准端口号关联的特定服务 HTTP - 80 POP3 110 等 添加远程 IP 地址 信任区域 - 远程 IP 地址或区域可以用作新规则的参数 这些规则定义本地系统和远程地址 区域之间的所 有网络连接 该选项适合要为特定计算机或一组联网计算机定义操作的情况 应用程序不同规则的最大数量 - 如果应用程序通过不同的端口与各种 IP 地址等进行通信 则处于学习模式的防火墙会为该 应用程序创建相应的规则数 您可以使用此选项限制可为一个应用程序创建的规则数量 网 络 攻 击 防 护 启用网络攻击防护 (IDS ) - 分析网络通信的内容并防止网络攻击 将阻止任何视为有害的通信 启用僵尸网络保护 - 通过识别表示计算机被感染和机器人尝试通信的模式 检测并阻止与恶意命令和控制服务器相关联的通 信 IDS 例外 - 允许您添加 IDS 例外并自定义对恶意活动的反应 防 火 墙 配 置 文 件 配置文件可用于控制 ESET Smart Security Premium 防火墙的行为 创建或编辑防火墙规则时 可以将规则分配到特定配置 文件 或者将规则应用到每个配置文件 当配置文件在网络接口上处于活动状态时 仅向它应用全局规则 未指定配置文件 的规则 以及已分配到该配置文件的规则 您可以使用已分配到网络适配器或网络的不同规则创建多个配置文件 从而轻松 改变防火墙行为 单击配置文件列表旁边的编辑 以打开可在其中编辑配置文件的防火墙配置文件窗口 当网络适配器连接到特定网络时 可以将它设置为使用为该网络配置的配置文件 还可以在高级设置 (F5) > 网络防护 > 防 火墙 > 已知网络中分配一个要在给定网络上使用的特定配置文件 从已知网络列表中选择网络并单击编辑 以将防火墙配 置文件分配到防火墙配置文件下拉菜单中的特定网络 如果该网络没有分配配置文件 则使用该适配器的默认配置文件 如果该适配器设置为不使用网络的配置文件 则使用其默认配置文件 无论连接到哪个网络都是如此 如果没有适用于网络 和适配器配置的配置文件 则使用全局默认配置文件 若要向网络适配器分配配置文件 请选择网络适配器 单击已分配到 网络适配器的配置文件旁边的编辑 编辑选定的网络适配器 然后从默认防火墙配置文件下拉菜单中选择配置文件 当防火墙切换到另一个配置文件时 在靠近系统时钟的右下角将出现一个通知 已 分 配 到 网 络 适 配 器 的 配 置 文 件 通过切换配置文件 您可以快速对防火墙行为进行多项更改 可以针对特定配置文件设置和应用自定义规则 位于计算机上 的所有适配器的网络适配器条目将自动添加到网络适配器列表 列 名称 - 网络适配器的名称 默认防火墙配置文件 - 如果您连接到的网络没有配置的配置文件 或者您的网络适配器设置为不使用网络配置文件 则使 用默认配置文件 首选网络配置文件 - 已启用首选已连接网络的防火墙配置文件时 网络适配器将尽可能使用已分配给连接网络的防火墙 配置文件 控件元素 添加 - 添加新的网络适配器 编辑 - 允许您编辑现有网络适配器 删除 - 如果您希望从列表中删除网络适配器 请选择该网络适配器并单击删除 确定 取消 - 如果您希望保存更改 则单击确定 如果要在不进行任何更改的情况下离开 则单击取消 63

64 4.3.3 配 置 和 使 用 规 则 规则指对所有网络连接进行针对性测试的一组条件以及为这些条件分配的所有操作 您可以使用防火墙规则定义在建立不同 类型的网络连接时采取的操作 若要访问规则过滤设置 请导航到高级设置 (F5) > 防火墙 > 基本 某些预定义的规则将绑 定到允许的服务 IDS 和高级选项 中的复选框 而且不能直接关闭这些规则 您可以改用这些相关复选框来执行此操作 与早期版本的 ESET Smart Security Premium 不同 将从上到下评估规则 第一个匹配规则的操作可用于要评估的每个网络 连接 这是相对于早期版本的一项重要行为更改 在早期版本中 曾自动执行规则的优先级 并且较为具体的规则所具有的 优先级高于较为常规的规则 连接可分为传入和传出连接 传入连接由远程计算机发起 试图与本地系统建立连接 传出连接则以相反的方式进行 即本 地系统连接远程计算机 如果检测到新的未知通信 您必须仔细斟酌是允许还是拒绝 不请自来 不安全或未知的连接会给系统带来安全风险 如果 建立这类连接 我们建议您特别要注意试图连接到您计算机的远程计算机和应用程序 许多渗透会尝试获得并发送私有数 据 或将其他恶意应用程序下载到主机工作站上 防火墙允许您检测并终止此类连接 防 火 墙 规 则 单击基本选项卡部分中规则旁边的编辑以显示防火墙规则窗口 其中显示了所有规则的列表 使用添加? 编辑和删除可添 加 配置或删除规则 您可以通过选择规则并单击最高 向上 向下 最低来调整规则的优先级 提示: 可按名称 协议或端口使用搜索字段来查找规则 列 名称 - 规则名称 已启用 - 显示规则处于启用状态还是处于禁用状态 必须选中相应的复选框才能激活规则 协议 - 此规则适用的协议 配置文件 - 显示此规则适用的防火墙配置文件 操作 - 显示通信的状态 阻止 允许 询问 方向 - 通信方向 传入 传出 双向 本地 - 本地计算机的 IP 地址和端口 远程 - 远程计算机的 IP 地址和端口 应用程序 - 规则应用到的应用程序 64

65 控件元素 添加 - 创建一个新规则 编辑 - 允许您编辑现有规则 删除 - 删除现有规则 显示内置(预定义)规则 - 由 ESET Smart Security Premium 预定义的规则 可允许或拒绝特定通信 尽管您可以禁用这 些规则 但您无法删除预定义的规则 最高 向上 向下 最低 - 允许您调整规则的优先级 按从最高到最低的顺序执行规则 使 用 规 则 每次受监控的参数发生更改时 都需要进行修改 如果进行的更改使规则无法满足条件且无法应用指定的操作 可能会拒绝 给定的连接 这可能导致受该规则影响的应用程序的操作出现问题 比如 远程端网络地址或端口号若发生更改 就会引发 上述问题 该窗口顶部包含三个选项卡 常规 - 指定规则名称 连接方向 操作 允许? 拒绝? 询问 以及将应用规则的协议和配置文件 本地 - 显示有关连接的本地端的信息 包括本地端口号或端口范围以及通信应用程序的名称 您还可以通过单击添加在此 处添加带有 IP 地址范围的预定义区域或已创建的区域 远程 - 此选项卡包含关于远程端口 端口范围 的信息 您可以使用该选项卡为给定的规则定义远程 IP 地址或区域的列 表 您还可以通过单击添加在此处添加带有 IP 地址范围的预定义区域或已创建的区域 创建新规则时 必须在名称字段中输入该规则的名称 从方向下拉菜单中选择将应用规则的方向 并从操作下拉菜单中选择 当通信符合规则时要执行的操作 协议表示用于规则的传输协议 从下拉菜单中选择为给定规则使用的协议 ICMP 类型 代码表示由数字标识的 ICMP 消息 例如 0 表示 Echo 回复 默认为任何配置文件启用所有规则 或者 使用配置文件下拉菜单选择自定义防火墙配置文件 如果您启用了日志 则与该规则有关的活动将记录到日志中 通知用户在应用规则时显示通知 注意 下面是一个示例 我们在其中创建新规则以允许 Web 浏览器应用程序访问网络 必须配置以下项 在常规选项卡中 启用通过 TCP 和 UDP 协议的传出通信 在本地选项卡中添加您的浏览器应用程序 对于 Internet Explorer 为 iexplore.exe 在远程选项卡上 如果要允许标准 Internet 浏览活动 则启用端口号 80 注意 请注意 可采用有限的方式修改预定义的规则 配 置 区 域 区域是指创建一个 IP 地址逻辑组的网络地址集合 当您需要在多个规则中重新使用同一组地址时非常有用 给定组中的每个 地址都会分配有相似的规则 这些规则是针对整个组集中定义的 受信任的区域即为这类组的一个示例 信任区域是指防火 墙不会以任何方式阻止的一组网络地址 在高级设置 > 防火墙 > 高级中通过单击区域旁边的编辑可配置这些区域 若要添 加新区域 请单击添加 输入该区域的名称? 说明 并将远程 IP 地址添加到远程计算机地址(IP v 4/ IP v 6 范围 掩码)字 段中 在防火墙区域设置窗口中 您可以指定区域名称 说明和网络地址列表 另请参阅已知网络编辑器 65

66 4.3.5 已 知 网 络 如果使用的计算机频繁连接到公共网络或您的正常家庭或工作网络之外的网络 我们建议您验证正在连接的新网络的网络可信 度 定义网络后 ESET Smart Security Premium 可以使用网络标识中配置的网络参数识别受信任的 家庭或办公 网络 计算机经常使用与受信任网络相似的 IP 地址进入网络 在此类情况下 ESET Smart Security Premium 可能将未知网络视 为受信任网络 家庭或办公网络 我们建议您使用网络验证以避免发生此类情况 当网络适配器连接到某个网络或重新配置其网络设置时 ESET Smart Security Premium 将搜索已知网络列表 以查找与新 网络相匹配的记录 如果网络标识和网络验证 可选 可以匹配 则该网络将标记为在此接口中连接 当找到未知网络 时 网络标识配置将创建新的网络连接 以在您下次连接到该网络时标识它 默认情况下 新网络连接使用公共网络保护类 型 检测到新网络连接对话窗口将提示您在公共网络? 家庭或办公网络或使用 Windows 设置保护类型之间进行选择 如果网络适配器连接到已知网络并且该网络标记为家庭或办公网络 则该适配器的本地子网将添加到信任区域 新网络的防护类型 - 选择以下选项之一 使用 Windows 设置? 询问用户或标记为公共默认用于新网络 已知网络允许您配置网络名称 网络标识 保护类型等 要访问已知网络编辑器 请单击编辑 注意 当您选择使用 Windows 设置时 不会出现对话框 并且您所连接到的网络将根据您的 Windows 设置自动标记 这将导 致某些功能 例如文件共享和远程桌面 可以从新网络访问 已 知 网 络 编 辑 器 可在高级设置 > 网络防护 > 防火墙 > 已知网络中通过单击编辑手动配置已知网络 列 名称 - 已知网络的名称 保护类型 - 显示是将网络设置为家庭或办公网络? 公共 还是使用 Windows 设置 防火墙配置文件 - 从显示在配置文件中使用的规则下拉菜单中选择配置文件以显示配置文件规则过滤器 更新配置文件 - 在连接到此网络后 允许您应用已创建的更新配置文件 控件元素 添加 - 创建新的已知网络 编辑 - 单击以编辑现有已知网络 删除 - 选择网络并单击删除 以从已知网络列表中删除它 最高 向上 向下 最低 - 允许您调整已知网络的优先级 按从最高到最低的顺序评估网络 网络配置设置在以下选项卡中进行排列 网络 您可以在此处为网络定义网络名称和选择保护类型 公共网络 家庭或办公网络 或 使用 Windows 设置 使用防火墙 配置文件下拉菜单为此网络选择配置文件 如果该网络使用家庭或办公网络保护类型 则所有直接连接的网络子网都视为 受信任网络 例如 如果网络适配器使用 IP 地址 和子网掩码 连接到此网络 则子网 /24 将添加到该适配器的信任区域 如果该适配器具有多个地址 子网 则无论已知网络的网络标识配置如何 所 有地址 子网都将受信任 此外 其他受信任的地址下添加的地址将始终添加到已连接到此网络的适配器的信任区域 无论网络的保护类型如何 关于弱 WiFi 加密的警告 ESET Smart Security Premium 将在您连接到未受保护的无线网络或防护较弱的网络时通知 您 防火墙配置文件 - 在连接到此网络后 选择将使用的防火墙配置文件 更新配置文件 - 在连接到此网络后 选择将使用的更新配置文件 66

67 若要在已连接网络列表中标记为已连接 该网络必须满足以下条件 网络标识 填写的所有参数都必须匹配活动连接参数 网络验证 如果选定验证服务器 则必须使用 ESET 验证服务器成功进行验证 网络限制 仅限 Windows XP 必须满足所有选定的全局限制 网络标识 根据本地网络适配器的参数执行网络标识 所有选定参数都将与活动网络连接的实际参数进行比较 允许 IPv4 和 IPv6 地 址 网络验证 网络验证搜索网络中的特定服务器并使用不对称加密 (RSA) 来验证该服务器 正在进行验证的网络名称必须匹配验证服务器 设置中设置的区域名称 该名称区分大小写 指定服务器名称 服务器侦听端口和与私人服务器密钥对应的公共密钥 请参 阅网络验证 服务器配置 服务器名称可以采用 IP 地址 DNS 或 NetBios 名称的格式输入 并后跟用于指定服务器上的 密钥位置的路径 例如 server_name_/directory1/directory2/authentication 您可以通过将要使用的备用服务器附加到该 路径来指定它们 以分号分隔 下载 ESET 验证服务器. 可以使用以下任意文件类型导入公共密钥 PEM 加密公共密钥 (.pem) 此密钥可使用 ESET 验证服务器生成 请参阅网络验证 服务器配置 加密公共密钥 公共密钥证书 (.crt) 67

68 单击测试以测试您的设置 如果验证成功 将显示 服务器验证已成功 如果未正确配置验证 将显示以下错误消息之一 服务器验证失败 签名无效或不匹配 服务器签名与输入的公共密钥不匹配 服务器验证失败 网络名称不匹配 配置的网络名称与验证服务器区域名称不相对应 查看这两个名称并确保它们一致 服务器验证失败 服务器无效或没有响应 如果服务器未运行或不可访问 则不会收到任何响应 如果在指定地址上正在运行其他 HTTP 服务器 则收到的响应可 能无效 输入的公共密钥无效 验证您输入的公共密钥文件未损坏 网络限制 仅适用于 Windows XP 在现代操作系统 Windows Vista 及更新版本 上 每个网络适配器都具有自己的信任区域和活动防火墙配置文件 遗憾地 是 在 Windows XP 上不支持此布局 因此所有网络适配器始终共享相同的信任区域和活动防火墙配置文件 当计算机同时 连接到多个网络时 这可能是潜在的安全风险 在此类情况下 可能使用为其他已连接网络配置的信任区域和防火墙配置文 件评估来自不受信任网络的通信 为了降低任何安全风险 您可以使用以下限制来避免在连接其他 潜在不受信任 网络时 在全局应用同一网络配置 在 Windows XP 上 将全局应用连接的网络设置 信任区域和防火墙配置文件 除非至少启用了以下限制之一并且未满足 该限制 a. 仅一个连接处于活动状态 b. 未建立任何无线连接 c. 未建立不安全的无线连接 68

69 网 络 验 证 服 务 器 配 置 验证过程可由连接到将验证的网络的任何计算机 服务器执行 需要在始终可访问的计算机 服务器上安装 ESET 验证服务器 应用程序 以便当客户端无论何时尝试连接到网络时可以进行验证 ESET 验证服务器应用程序的安装文件可从 ESET 网站 下载 安装了 ESET 验证服务器应用程序以后 将显示一个对话窗口 可以通过开始 > 程序 > E S E T > E S E T 验证服务器 访问 该应用程序 要配置验证服务器 则输入验证区域名称 服务器侦听端口 默认为 80 以及存储公共和私人密钥对的位置 然后生成将用 于验证过程的公共和私人密钥 私人密钥将保留在服务器上 而公共密钥需要在设置防火墙设置中的区域时 在 区域 验证部 分中的客户端上导入 有关更多详细信息 请阅读以下 ESET 知识库文章 日 志 记 录 ESET Smart Security Premium 防火墙将重要事件保存到日志文件中 用户可通过主菜单直接查看日志文件 单击工具 > 更 多工具 > 日志文件 然后从日志下拉菜单中选择防火墙 日志文件可用于检测错误并发现系统入侵 ESET 防火墙日志包含以下数据 事件的日期和时间 事件名称 来源 目标网络地址 网络通信协议 应用的规则或蠕虫的名称 如果识别出来 涉及的应用程序 用户 彻底分析这些数据有助于检测损害系统安全的尝试 许多其他因素也能指示潜在的安全风险 使您最大限度地降低其影响 来自未知位置的连接过于频繁 多次尝试建立连接 未知应用程序的通信或不经常使用的端口号 建 立 连 接 检 测 防火墙会检测每个新创建的网络连接 活动的防火墙模式可决定哪些操作是新规则允许执行的 如果激活了自动模式或基于 策略的模式 防火墙将执行预定义的操作 无需用户交互 交互模式会显示一个信息窗口 报告检测到了新网络连接 并显示关于此连接的详细信息 您可以选择允许或拒绝 阻止 该连接 如果在对话窗口中重复允许相同的连接 建议您针对该连接创建一条新规则 为此 请选择创建规则并永久记 住 并将该操作另存为防火墙的新规则 今后如果防火墙识别到相同连接 将应用现有的规则 无需用户干预 创建新规则时请务必小心 仅允许安全的连接 如果所有连接都被允许 那么防火墙就失去了作用 以下是重要的连接参 数 远程端 - 仅允许连接到信任地址和已知地址 本地应用程序 - 建议不要允许连接未知应用程序和进程 端口号 - 正常情况下 应允许常用端口上的通信 例如 Web 通信 端口号 80 为在更大范围内扩散 计算机渗透经常使用 Internet 和隐藏的连接来帮助它们感染远程系统 如果规则配置正确 防火墙可 成为防范各种恶意代码攻击的有效工具 69

70 4.3.8 使 用 E S E T 个 人 防 火 墙 解 决 问 题 如果您在 ESET Smart Security Premium 安装后遇到了连接问题 有几种方法来判断是否是 ESET 防火墙引起了该问题 此外 ESET 防火墙可以帮助您创建新规则或例外以解决连接问题 有关使用 ESET 防火墙解决问题的帮助 请参阅下列主题 故障排除向导 记录日志并从中创建规则或例外 创建防火墙通知的例外 高级 PCAP 日志记录 使用协议过滤解决问题 故 障 排 除 向 导 故障排除向导以静默方式监视所有已阻止的连接 并引导您完成故障排除的过程 以解决特定应用程序或设备的防火墙问题 接下来 该向导将建议应用一组新的规则 如果您批准这些规则 可以在设置 > 网络保护下的主菜单中找到故障排除向 导 记 录 日 志 并 从 中 创 建 规 则 或 例 外 默认情况下 ESET 防火墙并不记录所有已阻止的连接 如果您想要查看防火墙已阻止的内容 请在工具 > 诊断 > 启用防 火墙高级日志记录下的高级设置中启用日志记录 如果您在日志中看到不希望防火墙阻止的连接 您可以在该项上右键单 击并选择在将来不阻止类似事件来为它创建规则或 IDS 例外 请注意 所有已阻止的连接的日志可能包含数千个项目 可 能很难在此日志中找到某个特定的连接 在您已解决问题后 可以关闭日志记录 有关日志的更多信息 请参阅日志文件 注意 请使用日志记录查看防火墙已阻止特定连接的顺序 此外 从日志创建规则使您可以创建能精确执行您想要的操作的规 则 从 日 志 创 建 规 则 新版本的 ESET Smart Security Premium 允许您从日志创建规则 在主菜单中 依次单击工具 > 更多工具 > 日志文件 从下拉菜单中选择防火墙 右键单击所需的日志条目 然后从右键菜单中选择在将来不阻止类似事件 通知窗口将显示您 的新规则 若要允许从日志创建新规则 必须使用以下设置来配置 ESET Smart Security Premium 在高级设置 (F5) > 工具 > 日志文件中将日志记录的最低级别设置为诊断 在高级设置 (F5) > 防火墙 > IDS 和高级选项 > 入侵检测中 启用还为针对安全漏洞的传入攻击显示通知 创 建 个 人 防 火 墙 通 知 的 例 外 当 ESET 防火墙检测到恶意网络活动时 将显示一个描述该事件的通知窗口 此通知包含一个链接 您可以通过此链接了解 有关该事件的详细信息并为该事件设置例外 如果您希望 注意 如果网络应用程序或设备未正确实现网络标准 则它可能触发重复的防火墙 IDS 通知 您可以从通知直接创建例外以防止 ESET 防火墙检测此应用程序或设备 70

71 高 级 P CA P 日 志 记 录 该功能旨在为 ESET 客户支持提供更复杂的日志文件 仅在 ESET 客户支持发出相应请求时使用该功能 因为它可能会生成 一个巨大的日志文件并降低计算机的运行速度 1. 导航到高级设置 > 工具 > 诊断 然后启用启用防火墙高级日志记录 2. 尝试重现您所遇到的问题 3. 禁用高级 PCAP 日志记录 4. 可在生成诊断内存转储的同一目录中找到 PCAP 日志文件 Microsoft Windows Vista 或更新版本 C:\ProgramData\ESET\ESET Smart Security Premium\Diagnostics\ Microsoft Windows XP C:\Documents and Settings\All Users\ 使 用 协 议 过 滤 解 决 问 题 如果您遇到浏览器或电子邮件客户端的问题 请首先确定该问题是否因协议过滤引起 若要做到这一点 请尝试在高级设置 中暂时禁用应用程序协议过滤 请记住在完成后将其设置回启用 否则您的浏览器和电子邮件客户端将处于未保护状态 如果将其关闭后问题即消失 则请参考下面的常见问题列表及其解决方法 更新或安全通信问题 如果应用程序反映无法更新或通信信道不安全 如果您已将 SSL 协议过滤启用 请尝试暂时将其关闭 如果该操作起作用 您可以继续使用 SSL 过滤并通过排除有问题 的通信以使更新正常工作 将 SSL 协议过滤模式切换到交互模式 重新运行更新 应出现一个通知您有关加密的网络通信的对话框 确保该应用程 序与您正在进行故障排除的应用程序相匹配 并且证书应来自它在其中进行更新的服务器 然后选择 记住对此证书的操 作 并单击 忽略 如果未显示更多相关的对话框 您可以将过滤模式切换回自动模式 并且问题应已解决 如果出现问题的应用程序不是浏览器或电子邮件客户端 您可以完全将其从协议过滤中排除 为浏览器或电子邮件客户端执 行此操作会使您暴露 在添加例外时 任何在过去将其通信过滤的应用程序应已添加在向您提供的列表中 所以没有必 要手动将其添加 有关访问网络上的设备的问题 如果无法使用您网络上的设备的任何功能 这可能是指打开网络摄像机的网页或在家庭媒体播放器上播放视频 请尝试将其 IPv4 和 IPv6 地址添加到排除地址列表中 特定网站的问题 您可以使用 URL 地址管理将特定网站从协议过滤中排除 例如 如果您无法访问 请尝试将 gmail.com* 添加到排除地址列表中 错误 某些能够导入根证书的应用程序尚在运行中 当您启用 SSL 协议过滤时 ESET Smart Security Premium 通过将证书导入应用程序的证书机构来确保已安装的应用程序信 任它过滤 SSL 协议的方式 对于某些应用程序 当它们正在运行时 不能实现此操作 这些应用程序包括 Firefox 和 Opera 确保它们没有运行 要做到这一点 最好的方法是打开任务管理器并确保 进程 选项卡下不存在 firefox.exe 或 opera.exe 然后点击 重试 有关不受信任的颁发者或无效签名的错误 这很可能意味着上述导入失败 请首先确保提到的应用程序都没有运行 然后禁用 SSL 协议过滤 再将其启用 该操作将 重新运行导入 71

72 4.4 安全工具 安全工具设置允许您调整以下模块 银行和付款保护 家长控制 防盗 Password Manager Secure Data 家 长 控 制 家长控制模块允许您配置家长控制设置 这些设置将为家长提供自动工具 帮助保护其孩子并设置设备和服务的限制 其目 的是防止小孩和未成年人访问不适当的或具有有害内容的页面 家长控制可以阻止可能包含潜在冒犯材料的网页 此外 家长可以禁止访问 40 个以上的预先定义的网站类别和超过 140 个 子类别 要为特定的用户帐户激活家长控制 请遵循以下步骤 1. 默认情况下 家长控制在 ESET Smart Security Premium 中处于禁用状态 有两种方式可以激活家长控制 o 在主程序窗口的设置 > 安全工具 > 家长控制中单击 并将 家长控制 状态更改为 已启用 o 按 F5 访问高级设置树 导航到 Web 和电子邮件 > 家长控制 然后打开集成到系统旁的开关 2. 从主程序窗口依次单击设置 > 安全工具 > 家长控制 即使已启用出现在家长控制旁边 您仍必须通过单击保护孩子帐 户或家长帐户为所需帐户配置家长控制 在下一个窗口中选择出生日期 确定访问级别和建议的适龄网页 现在已对指 定的用户帐户启用家长控制 在帐户名称下单击阻止的内容和设置 以自定义您希望在类别选项卡中允许或阻止的类 别 若要允许或阻止与类别不匹配的自定义网页 请单击例外选项卡 如果您从 ESET Smart Security Premium 的主产品窗口中依次单击设置 > 安全工具 > 家长控制 您将看到该主窗口包含 72

73 Windows 用户帐户 如果您为现有帐户创建了一个角色 该角色将显示在此处 单击滑块 绿色复选标记 网页 以便它将为该帐户在家长控制旁边显示一个 在活动帐户下 单击阻止的内容和设置 以查看此帐户的允许的网页类别列表 以及阻止和允许的 重要信息 要创建新帐户 例如 为儿童创建 请使用以下分步说明 适用于 Windows 7 或 Windows Vista 单击开始按钮 位于桌面左侧底部 打开用户帐户 单击家长控制 然后单击用户帐户 单击管理用户帐户 如果提示输入管理员密码或进行确认 则键入密码或进行确认 单击创建新帐户 键入为新账户所取的名称 单击某一帐户类型 然后单击创建帐户 通过再次从 ESET Smart Security Premium 的主程序窗口单击设置 > 安全工具 > 家长控制 可重新打开 家长控制 窗 格 窗口的底部部分包含 为网站添加例外 - 根据您的偏好 分别针对每个家长帐户允许或阻止特定网站 显示日志 - 这将显示家长控制活动的详细日志 阻止的页面 阻止页面的帐户 类别等 通过单击 基于选择的条件过滤此日志 过滤 还可以 家长控制 禁用家长控制后 将显示禁用家长控制窗口 在此您可以设置禁用防护的时间间隔 然后 该选项将更改为已暂停或永久 禁用 用密码保护 ESET Smart Security Premium 中的设置很重要 此密码可以在访问设置部分中设置 如果未设置任何密码 将显示以下警告 使用密码保护所有设置 以防止未经授权的更改 家长控制中设置的限制仅影响标准用户帐户 因为管 理员可以绕过任何限制 所以它们没有任何作用 默认不过滤 HTTPS (SSL) 通信 因此 家长控制无法阻止以 开始的网页 若要启用此功能 请打开 Web 和电子 邮件 > S S L/ TLS 下高级设置树中的启用 S S L/ TLS 协议过滤设置 注意 家长控制需要启用应用程序协议内容过滤? HTTP 协议检查和防火墙才能正常工作 默认启用所有这些功能 73

74 类别 打开某个类别旁边的开关以允许该类别 如果您使开关保持关闭状态 在该帐户中将不允许该类别 以下是用户可能不熟悉的类别 组 的一些示例 其他 - 通常为私人 本地 IP 地址 例如内联网 / /16 等 如果收到 403 或 404 错误代码 则该网站也符合此类别 未解决 - 此类别包括因连接到家长控制数据库引擎时发生错误而未解决的网页 未分类 - 家长控制数据库中尚没有的未知网页 动态 重定向到其他网站上的其他页面的网页 74

75 网 站 例 外 若要为网站添加例外 请依次单击设置 > 安全工具 > 家长控制 然后单击为网站添加例外 在网站 URL 字段中输入 URL 为每个特定用户帐户选择 允许 或 阻止 然后单击确定来将其添加到列表 若要从列表中删除 URL 地址 请依次单击设置 > 安全工具 > 家长控制 单击所需用户帐户下的阻止的内容和设置 单击 例外选项卡 选择该例外 然后单击删除 75

76 在 URL 地址列表中 不能使用特殊符号 星号 和? 问号 例如 具有多个 TLD 的网页地址必须手动输入 ( examplepage.com? examplepage.sk 等 向列表添加域后 将根据您选择的基于 URL 的操作阻止或允许该域及所有子 域的所有内容 例如 sub.examplepage.com 注意 阻止或允许特定网页比阻止或允许网页类别更准确 当更改这些设置以及将类别 网页添加到列表时要小心 4.5 更新程序 定期更新 ESET Smart Security Premium 是确保计算机的最高安全级别的最佳方法 更新模块可确保程序模块和系统组件始 终为最新 通过在主程序窗口中单击更新 可以查看当前更新状态 包括上一次成功更新的日期和时间以及是否需要更新 除了自动更新外 您还可以单击检查更新来触发手动更新 定期更新程序模块和组件是全面防范恶意代码的重要组成部分 请注意其配置和操作 必须使用许可证密钥激活您的产品以便接收更新 如果您未在安装期间执行此操作 可以在更新时输 入许可证密钥以激活产品 从而访问 ESET 更新服务器 注意 您的许可证密钥在购买 ESET Smart Security Premium 后通过 ESET 发送电子邮件提供 76

77 当前版本 显示您安装的当前产品版本的版本号 上次成功更新 - 显示最近一次成功更新的日期 如果未看到最近的日期 则您的产品模块可能不是最新的 上次成功检查更新 显示上次成功检查更新的日期 显示所有模块 显示已安装程序模块的列表 单击检查更新以检测 ESET Smart Security Premium 的最新可用版本 更新过程 单击检查更新后 即开始下载 屏幕上会显示下载进度条和剩余时间 要中断更新 请单击取消更新 77

78 重要信息 一般情况下 您可以在更新窗口中看到表示程序处于最新状态的绿色对号标记 如果不是这样 则表示程序不是最新的 且更容易被感染 请尽快更新模块 如果收到更新失败的消息 可能的原因如下所示 1. 无效的许可证 - 在更新设置中输入的许可证密钥不正确 建议您检查验证数据 高级设置 窗口 从主菜单中单击设 置 然后单击高级设置 或按键盘上的 F5 包含其他更新选项 从主菜单中单击帮助和支持 > 更改许可证以输入新的 许可证密钥 2. 下载更新文件时出错 - 此错误可能由不正确的 Internet 连接设置导致 建议您检查 Internet 连接 方法是在 Web 浏览器 中打开任意网站 如果网站不打开 很可能未建立 Internet 连接 或者计算机存在连接问题 请与 Internet 服务提供商 (ISP) 联系以确定您是否有活跃 Internet 连接 78

79 重要信息 建议在成功更新后重新启动计算机 以确保所有程序模块已正常更新 注意 有关详细信息 请访问此 ESET 知识库文章 更 新 设 置 在更新 > 基本下的高级设置树 (F5) 中 可以访问更新设置选项 此部分指定更新源信息 例如正在使用的更新服务器和这 些服务器的验证信息 基本 当前使用的更新配置文件 除非在高级设置 > 防火墙 > 已知网络下设置一个特定的更新配置文件 显示在选择默认更新配 置文件下拉菜单中 自动切换配置文件 允许您更改特定网络的配置文件 如果您在尝试下载检测引擎更新时遇到困难 请单击清除以清除临时更新文件 缓存 模块回滚 如果您怀疑病毒库和 或程序模块的新更新不稳定或损坏 可以回滚至以前版本并禁用设定时期内的更新 此外 您可以启用 先前禁用的更新 如果曾将其无限期推迟 ESET Smart Security Premium 会记录检测引擎和程序模块的快照以用于 回滚 功能 要创建病毒库快照 请保持创建更新文 件快照开关处于启用状态 本地存储的快照数量字段定义了存储的先前病毒库快照的数量 79

80 如果您单击回滚 高级设置 (F5) > 更新 > 基本 则必须从下拉菜单中选择时间间隔 该间隔表示将暂停检测引擎和程序 模块更新的时段 为使更新正常下载 必须正确填写所有更新参数 如果使用防火墙 请确保您的 ESET 程序能与 Internet 通信 例如 HTTP 通信 配置文件 对于各种更新配置和任务 可以创建更新配置文件 创建更新配置文件对于移动用户 这些用户需要备用配置文件以用于定 期更改的 Internet 连接属性 尤其有用 选择要编辑的配置文件下拉菜单显示当前选定的配置文件 默认情况下设置为我的配置文件 若要创建新配置文件 请单 击配置文件列表旁边的编辑 输入您自己的配置文件名称 然后单击添加 更新 默认情况下 更新类型设置为定期更新 以确保更新文件将以最小的网络流量从 ESET 服务器自动进行下载 预发布更新 预发布更新选项 已经经过内部彻底测试 将很快公开提供 您可以通过获得最新检测方法和修补程序 从启用预发布更 新中获益 但是 预发布更新可能并不始终稳定 不得在需要最大程度可用性和稳定性的生产服务器和工作站上使用 下载更新前先询问 程序将显示通知 从中您可以选择确认或拒绝下载更新文件 询问更新文件大小是否大于 (k B ) 如果更新文件大小大于指定的值 程序将显示通知 禁用关于成功更新的通知 - 关闭屏幕右下角的系统托盘通知 如果正在运行全屏应用程序或游戏 选择此选项很有用 请 注意 游戏模式将关闭所有通知 模块更新 启用更频繁的检测病毒库更新 检测病毒库将以更短的时间间隔进行更新 禁用此设置可能会对检测速度产生负面影响 程序组件更新 应用程序更新 如果需要重新安装 将显示确认对话框 80

81 高 级 更 新 设 置 高级更新设置选项包括更新模式和 HTTP 代理的配置 更 新 模 式 更新模式选项卡包含关于常规程序更新的选项 这些设置使您能够预定义在新版本的检测引擎或程序组件更新可用时的程序 行为 程序组件更新包括新的功能或者对以前版本的功能作出更改 并且作为常规 检测引擎 更新的一部分而包含在内 程序组 件更新安装完毕后 可能需要重新启动 可用设置包括 应用程序更新 - 启用后 将自动以静默方式执行每个程序组件升级 而无需进行完整的产品升级 启用程序组件手动更新 - 默认已禁用 启用并且新版本的 ESET Smart Security Premium 可用后 可以在更新窗格中 检查更新 然后安装更新的版本 下载更新之前询问 - 当该选项处于活动状态时 在安装之前 将显示通知并要求您确认任何可用更新的安装 询问更新文件是否大于该值 (k B ) - 如果更新文件大于此处指定的大小 在安装之前 将显示通知并要求您确认任何可 用更新的安装 连 接 选 项 要访问给定更新配置文件的代理服务器设置选项 请单击高级设置树 (F5) 中的更新 然后依次单击配置文件 > 更新 > 连接 选项 单击代理模式下拉菜单并选择以下三个选项之一 不使用代理服务器 通过代理服务器连接 使用全局代理服务器设置 选择使用全局代理服务器设置可使用 高级设置 树的工具 > 代理服务器分支中已经指定的代理服务器配置选项 选择不使用代理服务器可指定不使用代理服务器来更新 ESET Smart Security Premium 在以下情况下应选择通过代理服务器连接选项 将使用不同于工具 > 代理服务器中定义的代理服务器来更新 ESET Smart Security Premium 在此配置中 应在代 理服务器地址中指定新代理的信息 通信端口 默认为 3128 以及代理服务器的用户名和密码 如果需要 代理服务器设置不会全局设置 但 ESET Smart Security Premium 将连接到代理服务器以进行更新 您的计算机通过代理服务器连接到 Internet 这些设置是在安装程序时从 Internet Explorer 获取的 但是如果设置发生 更改 例如 如果您更改 ISP 请确保在此窗口中列出的 HTTP 代理设置正确 否则程序将无法连接到更新服务 器 代理服务器的默认设置为使用全局代理服务器设置 如果代理不可用 请使用直接连接 - 如果代理不可访问 将在更新期间绕过代理 注意 此部分中的用户名和密码字段特定于代理服务器 仅当访问代理服务器需要用户名和密码时才填写这些字段 这些字段 中不能填写您的 ESET Smart Security Premium 用户名和密码 仅当您知道通过代理服务器访问 Internet 需要填写密码时 才应填写 81

82 4.5.2 更 新 回 滚 如果您怀疑检测引擎和 或程序模块的新更新不稳定或损坏 可以回滚至以前版本并禁用更新一段时间 此外 您可以启用先 前禁用的更新 如果曾将其无限期推迟 ESET Smart Security Premium 会记录检测引擎和程序模块的快照以用于 回滚 功能 要创建检测引擎快照 请选中创建更新 文件快照复选框 本地存储的快照数量字段定义了存储的先前检测引擎快照的数量 如果您单击回滚 高级设置 (F5) > 更新 > 基本 则必须从持续时间下拉菜单中选择时间间隔 该间隔表示将暂停检测引 擎和程序模块更新的时段 选择直到调用可将常规更新无限期推迟 直到您手动恢复更新功能 因为它具有潜在安全风险 我们不建议选择此选项 如果执行回滚 回滚按钮将变为允许更新 不允许暂停更新下拉菜单选择的时间间隔内的任何更新 检测引擎的版本将降 级至最旧版本 并作为快照存储在本地计算机文件系统中 注意 以编号 6871 作为检测引擎的最新版本 6870 和 6868 作为检测引擎快照存储 在下载 6869 之前注意到 6869 现在不可 用 例如 因为计算机长时间关闭 并且有更新的更新可用 如果将本地存储的快照数量字段设置为 2 并单击回滚 检测引擎 包括程序模块 将恢复至版本号 6868 此过程可能需要一些时间 在 ESET Smart Security Premium 主程序 窗口的更新部分检查检测引擎版本是否已降级 82

83 4.5.3 如 何 创 建 更 新 任 务 更新可以手动触发 方法是在主菜单中单击更新后 在显示的主窗口中单击检查更新 更新还可以作为计划任务运行 要配置计划任务 请单击工具 > 计划任务 默认情况下 在 ESET Smart Security Premium 中会启用以下任务 定期自动更新 拨号连接后自动更新 用户登录后自动更新 可以修改每个更新任务以满足您的需要 除了默认更新任务外 您还可以使用用户定义的配置创建新更新任务 有关创建和 配置更新任务的更多详细信息 请参见计划任务部分 4.6 工具 工具菜单包含的模块可帮助简化程序管理并为高级用户提供更多选项 P as s word Manager - 使您的密码保持安全 有关详细信息 请单击此处 S ec ure Dat a - 保护您的私人文件和机密文件 有关详细信息 请单击此处 已连接的家庭显示器 - 减少连接到网络时的安全风险问题 有关详细信息 请单击此处 银行和付款保护 - ESET Smart Security Premium 可以在您使用网上银行或付款网站时保护您的信用卡号及其他敏感 个人数据 为了提供更安全的银行交易 将启动安全浏览器 有关详细信息 请访问此 ESET 知识库文章 防盗 - 在设备丢失或被盗时定位并帮助查找您丢失的设备 83

84 单击更多工具可显示用于保护计算机的其他工具 P a s s wo rd Ma na g e r Password Manager 是 ESET Smart Security Premium 程序包的组成部分 它是用于保护和存储您的密码和个人数据的 Password Manager 它还包含表单填写功能 通过自动和准确地填写 Web 表单而节省时间 开始使用 P as s word Manager 启用 Password Manager 导入或创建您的身份和 Web 或应用帐户 了解可用于确保帐户安全的工具 注释只是简短的评论 尽管您可以忽略它 但注释可以提供有价值的信息 例如特定 功能或指向某些相关主题的链接 功能和优点 强密码 内置的密码生成器会提示您创建不可预测的强密码 完成创建新帐户后 将自动存 储您的新登录凭据 自动登录到网站和应用程序 Password Manager 与许多应用程序相集成 一次单击即可自动启动您收藏的 受密码保护的网站并使您登录 多平台 Password Manager 支持所有主流平台 Windows Mac Android 和 ios 浏览器集成和导入 Password Manager 支持所有主要浏览器 从而使您可以轻松导入来自主流浏览器 或其他 Password Manager 中您的凭据和身份 安全面板 在一个位置集中显示弱密码 以便您始终知道哪些帐户需要更改密码以增强安全 性 一次单击填写表单 通过自动插入注册表单和在线购物车数据 帮助您节省时间 您可以保存多个身 份 以供在任意数量的不同站点和应用程序中使用 例如一个身份供个人使用 一 个身份供工作使用 快速启动 按 CTRL+ALT+R 可立即访问您的 Web 帐户 启 用 P a s s wo rd Ma na g e r 若要启用 Password Manager 请打开主程序窗口 导航到设置 > 安全工具 然后单击 Password Manager 旁边的开关 等 待一会儿以使更改生效 然后单击开始 > 立即配置以启动 Password Manager 设置 P as s word Manager 帐户 在其他安全工具中启用 Password Manager 后 Password Manager 会启动 您可以选择使用现有密码存储或创建新密码存 储 a. 现有密码存储 输入您的电子邮件地址和主密码以重新开始使用您的 Password Manager 帐户 b. 新密码存储 遵循以下步骤以创建新密码存储 1. 输入您的电子邮件地址作为您帐户的标识符 然后创建新的主密码 2. 确认您的主密码 3. 选择想要与 Password Manager 结合使用的浏览器 有关支持的浏览器列表 请参阅支持的浏览器 4. 系统会提示您向浏览器添加扩展和 或关闭正在运行的浏览器 5. 从导入或创建帐户和身份开始 84

85 解 锁 P a s s wo rd Ma na g e r 注意 确保 Password Manager 在设置中已启用 当您的计算机启动并在后台运行时 Password Manager 会自动启动 为了确保您的密码和个人数据安全 需要密码才能访问 Password Manager 在一段时间后用户未使用时 Password Manager 将自行锁定 您可以在设置 > 安全 > 自动锁定下调整该间隔 若要解锁 Password Manager 按 CTRL+ A LT+ L 显示解锁屏幕 再次按此组合键将锁定 Password Manager 单击浏览器工具栏内的 Password Manager 图标 若要打开 Password Manager 打开 开始 菜单 按 Windows 键? 键入 Password Manager 然后按 E nt er 若要从 ESET Smart Security Premium 启动 Password Manager 请打开主程序窗口 然后导航到设置 > 安全工具 > P as s word Manager 禁 用 P a s s wo rd Ma na g e r 若要禁用 Password Manager 请打开主程序窗口 然后导航到设置 > 安全工具 单击 P as s word manager 旁边的开关以 允许更改生效 开关呈现红色时 表示 Password Manager 已禁用 您的密码仍将存储在本计算机中 并且您可以随时重新 启用 Password Manager 若要从本计算机中永久删除您的密码存储 请单击 P as s word manager 旁边的齿轮图标 然后从下拉菜单中选择重置全部 密码 支 持 的 浏 览 器 Password Manager 支持以下浏览器 Microsoft Internet Explorer Mozilla Firefox Google Chrome Chromium Opera Seamonkey Yandex Comodo Dragon Pale Moon Password Manager 还支持许多流行的应用程序 如 Skype 身 份 添加身份可帮助您自动填写较长的在线表单 当将个人信息输入到在线表单时 Password Manager 会提示您是否要将该数据 保存为身份 保存之后 Password Manager 会使用此信息替您填写在线表单 您可以存储多个身份 例如一个身份用于您的家庭地址 另一个身份用于您的工作信息 诸如此类 如果您愿意的话 可以将 您的个人数据直接输入到 Password Manager 若要执行此操作 请单击主用户界面中的身份选项卡 然后单击添加身份 完成您的身份配置后 您将可以选择适用于不同表单和应用程序的相应信息 85

86 4.6.3 应 用 帐 户 Password Manager 适用于许多主流应用程序 若要让 Password Manager 保存应用程序信息 请启动该应用程序 单击窗口 右上角的 P as s word Manager 图标 然后选择添加帐户 在该应用程序的对话框中输入您的登录名和密码 复查输入的信 息 然后单击添加新帐户 下一次您启动该应用时 Password Manager 将自动替您登录 使用窗口按钮旁边位于右上角的 P as s word Manager 按钮管理您的应用帐户 86

87 4.6.4 W e b 帐 户 添加新的 Web 帐户非常容易 只需像往常一样输入您的用户名 登录名 和密码登录到网站 Password Manager 会提供密 码生成器来创建强密码 如果网站或特定登录名尚未存储在数据库中 Password Manager 会提示您是否要保存刚输入的凭 据 以后访问该网站时 Password Manager 会填写您的用户名和密码 替您自动登录 此外 如果为特定网站保存了多个凭据 您可以将其中一个设置为默认值 或者可以让 Password Manager 在您每次访问时提示选择一组凭据 使用位于您浏览器工具栏中的 P as s word Manager 浏览器扩展管理您的 Web 帐户 菜 单 您可以访问应用程序菜单中的以下选项 锁定 - 使用您的主密码锁定 Password Manager 窗口 添加 - 添加新的 Web 帐户? 应用帐户或身份 工具 - 使用 Password Manager 中的内置工具之一 有关工具的详细信息 请参阅工具主题 导入 导出 - 导入来自浏览器或其他 Password Manager 中您的密码和个人数据 将您的数据库导出到加密文件 设置 - 更改 Password Manager 设置 退出 - 关闭 Password Manager 87

88 设 置 支持的浏览器 Password Manager 支持的所有浏览器的列表 已安装的浏览器显示在该列表的顶部 Password Manager 图标将显示在已集 成的浏览器旁边 单击卸载删除 Password Manager 扩展 或者单击安装将 Password Manager 与浏览器集成 安全 更改您的主密码? 自动锁定时间或授权方法 我们不建议在使用 Password Manager 时禁用 自动锁定 功能 忽略的网站 Password Manager 将忽略的网站列表 自动填写不会在这些网站上工作 受信任的网站 如果在您访问您确认是安全的网站时 Password Manager 向您发出网络钓鱼警告 您可以将该网站添加到此列表以防止出现 该警告 将针对表现可疑行为 例如重定向到其他域 的网站显示该警告 忽略的应用 选择不想与 Password Manager 结合使用的应用程序 热键 设置 Password Manager 的键盘快捷方式 数据库 编辑 Password Manager 数据库和备份文件夹位置 工 具 若要使用 Password Manager 中的内置工具之一 请打开主程序窗口 导航到菜单 > 工具 然后选择所需工具 恢复 如果发生任何错误或者您意外删除了重要的帐户数据 您可以回滚密码数据库 经常在您的计算机上创建备份文件 您可以选 择备份到特定备份日期 时间还是备份到对数据库所做的特定更改 您可以在设置中更改备份文件夹的位置 虚拟键盘 虚拟键盘有助于抵御键盘记录器 如果您选中反间谍复选框以启用此功能 就无法跟踪您的键盘敲击 我们建议在机场 咖 啡馆和其他公共场所使用虚拟键盘 用于启动虚拟键盘的默认键盘快捷方式为 CTRL+ A LT+ K 您可以在设置中更改此快捷 方式 密码生成器 只要您创建新密码或想要更改现有密码 密码生成器就会生成可以在 Password Manager 中保存的复杂密码 您可以在 其 他 选项中调整密码长度 或者选择要使用或排除的字符 快速启动框 此快速启动框用于快速访问您的 Web 或应用程序帐户 按 CTRL+ A LT+ R 显示快速启动框 您可以在设置中更改此快捷方 式 输入用于从该列表中选择您的帐户的关键字 再次按该键盘快捷方式会隐藏启动框 导入 导出 您可以通过主窗口或应用程序菜单访问导入 导出功能 导入使您可以从备份文件 其他 Password Manager 以及应用程序或 支持的浏览器中收集所有您的密码和个人数据 88

89 导出使您可以创建 spdb 格式的 Password Manager 数据库的加密备份 您也可以创建 xml html 或 txt 格式的未加密文 件 请注意 这些格式未进行加密 我们不建议您将它们用于密码或个人数据 我 的 帐 户 您将在首次启用 Password Manager 时创建您的 Password Manager 帐户 这是您的个人管理帐户 可供您管理 Password Manager 许可证 每一个 ESET Smart Security Premium 许可证包括 5 个 ESET Password Manager 席位 电子邮件 - 该电子邮件地址用作您的登录名 并且是您的 Password Manager 的唯一标识符 主密码 - 您创建的主密码可供您访问您的 Password Manager 帐户和密码数据库 若要登录您的 Password Manager 帐户 请单击 Password Manager 主窗口中的我的帐户 主 密 码 您的主密码是您加密数据库的密钥 只有您本人知道您的主密码 ESET 绝不会在我们的服务器上保存它或通过 Internet 发 送它 如果您忘记或丢失您的主密码 不会向您重新发送它 务必选择一个您会记得的强密码 通常 您的主密码长度越长 越好 我们建议您的主密码至少含有 8 个字符 并且由大写字母 小写字母 数字和特殊字符混合组成 同 步 借助 Password Manager 您可以将您的加密数据库同步并备份到安全云或您的设备 同步状态会显示在主窗口的底部 同步时间记录格式 HH:MM:SS AM/PM - 与时间戳一起显示的绿色勾选标记表示您的帐户同步已成功 同步已禁用 同步不在工作 您的许可证可能已到期或 Password Manager 无法连接到 Internet S e c ure D a ta 简 介 借助 ESET 的 Secure Data 您可以对计算机和 USB 驱动器上的数据加密以使机密私人信息免遭滥用 安 装 Secure Data 是 ESET Smart Security Premium 的一部分 在以下安装并激活 ESET Smart Security Premium 的过程中 您可以选择启用 Secure Data 以及其他功能 单击 S ec ure Dat a 旁边的启用以启用 Secure Data 如果您在未启用 Secure Data 的情况下退出欢迎屏幕 您可以在 ESET Smart Security Premium 的设置 > 安全工具部分中 通过单击 S ec ure Dat a 来激活该加密功能 89

90 入 门 Secure Data 启用后 导航到工具 > S ec ure Dat a 将显示呈现可用加密选项的屏幕 您可以创建加密虚拟驱动器或加密可移动驱动器 加 密 虚 拟 驱 动 器 Secure Data 可用于创建加密虚拟驱动器 可以创建的驱动器没有数量限制 只要硬盘驱动器空间足以供它们使用 按照以下 步骤进行操作 创建加密虚拟驱动器 1. 在加密此计算机或可移动驱动器上的数据屏幕中 单击虚拟驱动器 2. 单击浏览以选择将存储该虚拟驱动器的位置 3. 为该虚拟驱动器输入一个名称 然后单击保存 90

91 4. 使用最大容量下拉菜单以设置您的虚拟驱动器的大小 然后单击继续 5. 为您的虚拟驱动器设置密码 如果您使用 Windows 帐户登录时不希望自动解密虚拟驱动器 请取消选中自动解密(使 用此 Windows 帐户登录) 单击继续 6. 您的加密虚拟驱动器已完成创建并随时可供使用 当您打开此电脑 在 Windows 7 及更早版本中为计算机 时 它 将显示为本地磁盘 若要在重新启动计算机后访问该加密驱动器 请找到您创建的加密驱动器文件.eed 文件类型 然后双击该文件 出现系 统提示时 请输入您在创建加密驱动器时配置的密码 将加载该驱动器 并在此电脑 在 Windows 7 及更早版本中为计算 机 下显示为本地磁盘 注意 加密驱动器加载为本地磁盘后 除非您注销或重新启动计算机 否则该本地磁盘及其加密内容将提供给该 Windows 计算机 上的其他用户 91

92 加 密 可 移 动 驱 动 器 Secure Data 允许您在可移动驱动器上创建加密目录 要执行该操作 请遵循以下步骤 1. 将可移动驱动器 U 盘 USB 硬盘 插入计算机 2. 单击加密此计算机或可移动驱动器上的数据屏幕中的可移动驱动器 3. 选择要加密的已连接可移动驱动器 然后单击继续 4. 为可移动驱动器上的加密目录设置所需密码 如果您使用 Windows 帐户登录时不希望自动解密虚拟驱动器 请取消选 中自动解密(使用此 Windows 帐户登录) 单击继续 5. 您的可移动驱动器已处于保护状态 并且该驱动器上的加密目录随时可供使用 92

93 此后 当您将可移动驱动器连接到已安装 Secure Data 的计算机时 加密文件夹将不可见 如果将可移动驱动器连接到已安 装 Secure Data 的计算机 系统会提示您输入密码以解密可移动驱动器 如果不输入任何密码 加密文件夹将可见但不可访 问 已 连 接 的 家 庭 显 示 器 已连接的家庭显示器可帮助识别家庭网络中的漏洞 如开放端口或较弱的路由器密码 它还可为您提供易于访问的已连接设 备列表 该列表中的设备按设备类型 如打印机 路由器 移动设备等 分类 可向您显示家庭网络中连接了哪些设备 它 不会为您重新配置路由器 您将使用路由器的专用接口进行更改 家庭路由器会非常容易受到用于启动分布式拒绝服务攻击 (DDoS) 的恶意软件的攻击 如果用户尚未更改路由器的默认密码 则黑客很容易猜到路由器密码 然后登录到您的路由器并 进行重新配置或侵入您的网络 警告 我们强烈建议创建一个足够长的强密码 其中包含数字 符号或大写字母 要使密码难以破解 请混合使用不同类型的字 符 连接到您的网络的每台设备都将在声纳视图中显示 将您的光标悬停在设备图标上以查看基本信息 如网络名称和上次查看 日期 单击设备图标以查看关于设备的详细信息 若要在列表视图中显示所有已连接设备的信息 请单击 下拉菜单根据以下条件过滤设备 列表视图以列表格式显示与声纳视图相同的数据 您可以使用 仅连接到当前网络的设备 未分类设备 连接到所有网络的设备 已连接的家庭显示器模块显示两种类型的通知 与网络连接的新设备 - 在用户连接时之前未见过的设备连接到网络的情况下显示 找到新的网络设备 在重新连接到家庭网络并且现在存在之前未见过的设备时显示 注意 如果未经授权的设备正在尝试连接到您的网络 会向您发送这两种类型的通知 注意 最近连接过的设备会靠近路由器显示 以便您可以轻松地发现它们 已连接的家庭显示器可帮助您识别路由器的漏洞 并提升与外部网络连接时的防护级别 单击扫描网络可对您当前连接到的网络手动执行扫描 可选择以下扫描选项 扫描所有内容 仅扫描路由器 仅扫描设备 警告 仅对您自己的家庭网络执行网络扫描 如果您在其他人的网络中执行此操作 请小心潜在的危险 扫描完成时 将显示一条通知 带有指向关于设备的基本信息的链接 您也可以双击列表或声纳视图中的可疑设备 单击 故障排除以查看最近阻止的通信 注意 有关防火墙故障排除的详细信息 请单击此处 93

94 网 络 设 备 可以在此处找到关于设备的详细信息 包括 设备名称 设备类型 最近查看 网络名称 IP 地址 MAC 地址 铅笔图标表示您可以修改设备名称或更改设备类型 删除设备 如果之前连接到您的网络的设备不再存在 则可以删除它 网 络 摄 像 机 防 护 网络摄像机防护可使您查看访问计算机的网络摄像机的进程和应用程序 如果有不受欢迎的应用程序尝试访问您的相机 将 显示通知窗口 您可以允许或阻止不受欢迎的进程或应用程序访问相机 E S E T S ma rt S e c urity P re mium 中 的 工 具 此类 更多工具 菜单包含的模块可帮助简化程序管理并为高级用户提供其他选项 94

95 此菜单包括下列工具 日志文件 安全报告 查看活动 运行进程 如果 ESET LiveGrid 已在 ESET Smart Security Premium 中启用 网络连接 如果防火墙已在 ESET Smart Security Premium 中启用 ESET SysInspector ESET SysRescue Live - 将您重定向到 ESET SysRescue Live 页面 您可以在其中下载 ESET SysRescue Live 映像 或适用于 Microsoft Windows 操作系统的 Live CD/USB Creator 计划任务 系统清理器 - 有助于在清除威胁后将计算机恢复为可用状态 提交样本以供分析 - 允许您提交可疑文件以供 ESET 研究实验室进行分析 单击此选项后显示的对话窗口将在此部分中 进行介绍 隔离区 注意 在 ESET 安全产品的较早版本中 ESET SysRescue 可能不适用于 Windows 8 在这种情况下 我们建议升级您的产品 或在其他版本的 Microsoft Windows 上创建 ESET SysRescue 磁盘 日 志 文 件 日志文件包含关于已发生的重要程序事件的信息 并提供检测到的威胁的概述 日志记录是系统分析 威胁检测以及故障排 除的重要部分 日志记录在后台主动执行 无需用户交互 对信息的记录是根据当前日志级别设置进行的 可以直接从 ESET Smart Security Premium 环境以及归档日志中查看文本消息和日志 可从主程序窗口中访问日志文件 方法是依次单击工具 > 更多工具 > 日志文件 从日志下拉菜单选择所需日志类型 可用 日志包括 检测到的威胁 - 威胁日志提供有关 ESET Smart Security Premium 检测到的渗透的详细信息 日志信息包括检测时 间 渗透名称 位置 执行的操作以及检测到渗透时登录用户的名称 双击任何日志条目以在单独的窗口中显示其详 细信息 事件 - ESET Smart Security Premium 执行的所有重要操作都记录在事件日志中 事件日志包含有关程序中发生的事 件和错误的信息 它为系统管理员和用户解决问题而设计 通常这里找到的信息可以帮助您找到程序中所发生问题的 解决方案 计算机扫描 - 所有已完成的手动或计划扫描的结果显示在此窗口中 每一行对应一个计算机控件 双击任意条目可查 看相应扫描的详细信息 HIP S - 包含特定 HIPS 规则的记录 这些规则被标记为用于进行记录 该协议显示触发操作的应用程序 结果 规则 被允许还是被禁止 和规则名称 网络防护 - 网络防护日志显示防火墙检测到的所有远程攻击 您可以在此处找到关于计算机上所有攻击的信息 事件 列列出检测到的攻击 来源 列提供关于攻击者的更多信息 协议 列说明了攻击使用的通信协议 对网络防护日志的分 析有助于及时检测到系统渗透尝试 以防止对系统进行未授权访问 已过滤的网站 - 此列表可用于查看被 Web 访问保护或家长控制阻止的网站的列表 每个日志都包含时间 URL 地 址 用户和创建了到特定网站的连接的应用程序 反垃圾邮件防护 - 包含与标记为垃圾邮件的电子邮件相关的记录 家长控制 - 显示家长控制阻止或允许的网页 匹配类型 和 匹配值 列告诉您如何应用过滤规则 95

96 设备控制 - 包含与计算机连接的可移动磁盘或设备的记录 只有具有相应设备控制规则的设备将记录到日志文件 如 果规则不匹配连接的设备 则不会创建所连接设备的日志条目 您还可以查看设备类型 序列号 供应商名称和磁盘 大小 如果可用 等详细信息 网络摄像机防护 - 包含关于网络摄像机防护阻止的应用程序的记录 选择任意日志的内容 然后按 Ct rl + C 来将其复制到剪贴板 按住 Ct rl 和 S hif t 可选择多个条目 单击 过滤可打开日志过滤窗口 您可以在该窗口中定义过滤条件 右键单击指定的记录来打开右键菜单 右键菜单中提供以下选项 显示 - 在新窗口中显示有关选中日志的更多详细信息 过滤相同记录 - 激活此过滤器后 您将仅看到相同类型的记录 诊断 警告 过滤 查找 - 在单击此选项后 在日志中搜索窗口将允许您为特定日志条目定义过滤条件 启用过滤器 - 激活过滤器设置 禁用过滤器 - 清除所有过滤器设置 如上文所述 复制 全部复制 - 复制有关窗口中所有记录的信息 删除 全部删除 - 删除选定记录或显示的所有记录 此操作需要管理员权限 导出 - 以 XML 格式导出有关记录的信息 全部导出 - 以 XML 格式导出有关所有记录的信息 滚动日志 - 使此选项保持为启用状态以自动滚动旧日志 并在日志文件窗口中查看活动日志 日 志 文 件 可从主程序窗口访问 ESET Smart Security Premium 的日志记录配置 单击设置 > 进入高级设置 > 工具 > 日志文件 日志部分用来定义如何管理日志 程序自动删除旧的日志以节省硬盘空间 您可以为日志文件指定以下选项 日志记录的最低级别 - 指定要记录的事件的最低级别 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护 防火墙出错等 自动删除早于以下天数的记录字段中指定天数以前的日志条目将自动删除 自动优化日志文件 - 如果选中该选项 则碎片百分比高于如果未使用记录数超过 (% ) 字段中指定的值后将自动整理日志文 件碎片 单击优化开始对日志文件进行碎片整理 在此过程中会删除所有空日志条目 这将提高性能和日志处理速度 尤其在日志包 含大量条目数时 可以感受到这种提高 启用文本协议支持采用不同于日志文件的其他文件格式存储日志 目标目录 - 将存储日志文件的目录 仅适用于文本 CSV 每个日志部分都具有其自己的文件 该文件具有预定义的文件 名 例如 如果您使用纯文本文件格式存储日志 则日志文件的检测到的威胁部分具有 virlog.txt 类型 - 如果您选择文本文件格式 日志将存储在文本文件中 并且数据将由制表符分隔 这也适用于由逗号分隔的 CS V 文件格式 如果您选择事件 则日志将存储在 Windows 事件日志 可以使用控制面板中的事件查看器进行查看 而非文件 中 删除所有日志文件 - 将擦除当前在类型下拉菜单中选定的所有存储日志 将显示关于成功删除这些日志的通知 注意 为了帮助更快地解决问题 ESET 会要求您提供计算机日志 ESET Log Collector 可使您轻松收集所需信息 有关 ESET Log Collector 的详细信息 请访问我们的 ESET 知识库文章 96

97 运 行 进 程 运行进程显示计算机上运行的程序或进程 并保持 ESET 立刻持续获知新入侵 ESET Smart Security Premium 提供有关运 行的进程的详细信息 使用 ThreatSense 技术保护用户 进程 - 当前在计算机上运行的程序或进程的映像名称 要查看计算机上运行的所有进程 还可以使用 Windows 任务管理器 若要打开任务管理器 右键单击任务栏中的空白区域 然后单击任务管理器 或者按键盘上的 Ct rl+s hif t +E s c 风险级别 - 在大多数情况下 ESET Smart Security Premium 和 ThreatSense 技术使用一系列启发式规则检查每个对象的特 性 然后评估恶意活动的可能性 从而将风险级别指定给对象 文件 进程 注册表项等 基于这些启发式扫描 会向对 象指定风险级别 级别从 1 - 良好 绿色 到 9 - 危险 红色 注意 标记为良好 绿色 的已知应用程序肯定干净 在白名单中列出 将不进行扫描以提高性能 P ID - 进程标识符编号可用作各种函数调用中的参数 如调整进程的优先级 用户数量 - 使用给定应用程序的用户数量 此信息由 ThreatSense 技术收集 发现时间 - 自应用程序由 ThreatSense 技术发现以来的时段 注意 标记为未知 橙色 的应用程序不一定是恶意软件 通常它是一个较新的应用程序 如果您对文件不确定 可以通过提交 文件以供分析 将文件提交到 ESET 研究实验室 如果文件被证实是一个恶意应用程序 则以后的更新中将增加它的检 测 应用程序名称 - 程序或进程的给定名称 在新窗口中打开 - 将在新窗口中打开运行进程的信息 97

98 单击某个应用程序可显示该应用程序的以下详细信息 路径 - 计算机上应用程序的位置 大小 - 以 B 字节 为单位的文件大小 说明 - 基于操作系统说明的文件特性 公司 - 供应商或应用程序进程的名称 版本 - 来自应用程序发布者的信息 产品 - 应用程序名称和 或企业名称 创建 修改时间 - 创建 修改 的日期和时间 注意 您还可以检查不充当正在运行的程序 进程的文件的信誉 若要执行此操作 请右键单击它们并依次选择高级选项 > 检查 文件信誉 安 全 报 告 此功能可提供以下类别统计信息的概述 已阻止的网页 - 显示已阻止网页的数量 PUA 的黑名单 URL 网络钓鱼 受攻击的路由器 IP 或证书 已检测到的被感染电子邮件对象 - 显示已检测到的被感染邮件对象的数量 已阻止的家长控制中的网页 - 显示家长控制中已阻止的网页的数量 已检测到的 P UA - 显示潜在不受欢迎的应用程序 (PUA) 的数量 已检测到的垃圾电子邮件 - 显示已检测到的垃圾电子邮件的数量 已阻止对网络摄像头的访问 - 显示已阻止对网络摄像头访问的数量 已保护对网上银行的访问 - 显示已保护对网上银行访问的数量 已检查的文档 - 显示已扫描的文档对象的数量 已检查的应用 - 显示已扫描的可执行对象的数量 已检查的其他对象 - 显示其他已扫描对象的数量 已检查的网页对象 - 显示已扫描的网页对象的数量 已检查的电子邮件对象 - 显示已扫描的电子邮件对象的数量 这些类别的顺序取决于从最高到最低的数值 不会显示值为零的类别 单击 显示更多 可展开并显示隐藏的类别 在类别下方 会看到采用世界地图形式呈现的实际病毒情况 每个国家 地区存在的病毒使用颜色表示 颜色越深 数字越 高 没有数据的国家 地区将灰显 将鼠标光标悬停在国家 地区上方 即可显示所选国家 地区的数据 可以选择特定大洲 地图会自动缩放 安全报告的最后部分让您能够激活以下功能 Password Manager Secure Data 家长控制 防盗 在功能启用后 不会再在安全报告中显示为不起作用 单击右上角的齿轮 即可启用 禁用安全报告通知 或者选择是否显示最后 30 天的数据 自产品激活以后 如果 ESET Smart Security Premium 安装的天数不足 30 天 那么仅可选择完成安装之后算起的天数 默认情况下 设置的时间段 为 30 天 重置数据会清除所有统计信息 并删除安全报告的现有数据 除非在高级设置 > 用户界面 > 警报和通知 > 确认消息中取 消选择重置统计前先询问选项 否则必须确认此操作 98

99 查 看 活 动 若要以图表方式查看当前文件系统活动 请依次单击工具 > 更多工具 > 查看活动 图表的底部是时间线 用于实时记录选 定时间范围内的文件系统活动 若要更改时间范围 请从刷新率下拉菜单中进行选择 有以下选项可供使用 步进: 步进: 步进: 步进: 秒 - 图表每秒刷新一次 时间线范围为最后 10 分钟 分钟(最后 24 小时) - 图表每分钟刷新一次 时间线范围为最后 24 小时 小时(最后一个月) - 图表每小时刷新一次 时间线范围为最后一个月 小时(选定月份) - 图表每小时刷新一次 时间线范围为选定的最后 X 个月 文件系统活动图表的纵轴表示读取的数据 蓝色 和写入的数据 红色 两个值均以 KB 千字节 MB/GB 为单位 如 果将鼠标移到图表下方图例中的读取数据或写入数据的上方 图表将仅显示该活动类型的数据 还可以从下拉菜单中选择网络活动 文件系统活动和网络活动的图表显示和选项都是相同的 只不过网络活动的图表会显 示接收的数据 红色 和发送的数据 蓝色 99

100 网 络 连 接 在 网络连接 部分中 您可以看到活动连接和挂起连接的列表 这可帮助您控制所有建立传出连接的应用程序 第一行显示应用程序的名称及其数据传输速度 若要查看应用程序所建连接的列表 以及更详细的信息 请单击 + 列 应用程序 本地 IP - 应用程序的名称 本地 IP 地址和通信端口 远程 IP - 特定远程计算机的 IP 地址和端口号 协议 - 使用的传输协议 上行速度 下行速度 - 传出和传入数据的当前速度 已发送 已接收 - 连接中交换的数据量 显示详细信息 - 选择此选项以显示有关选定连接的详细信息 右键单击连接可查看其他选项 其中包括 解析主机名称 - 如果可能 所有网络地址都以 DNS 格式而非数字的 IP 地址格式显示 仅显示 TCP 连接 - 列表只显示属于 TCP 协议包的连接 显示监听连接 - 选中此选项以仅显示目前未建立通信但系统已打开端口并在等待接通的连接 显示计算机内的连接 - 选中此选项以仅显示远程端为本地系统的连接 即 本地主机 连接 刷新速度 - 选择刷新活动连接的频率 立刻刷新 - 重新加载 网络连接 窗口 以下选项仅在单击应用程序或进程而不是单击活动连接后可用 100

101 暂时拒绝某个进程的通信 - 拒绝给定应用程序的当前连接 如果建立新连接 防火墙将使用预定义的规则 在配置和使 用规则一节中可以找到设置的说明 暂时允许某个进程的通信 - 允许给定应用程序的当前连接 如果建立新连接 防火墙将使用预定义的规则 在配置和使 用规则一节中可以找到设置的说明 E S E T S y s Ins p e c to r ESET SysInspector 是一个可彻底检查计算机 收集有关系统组件 例如 驱动程序和应用程序 网络连接或重要注册表 项 的详细信息以及评估每个组件风险级别的应用程序 该信息有助于确定可能由于软硬件不兼容或恶意感染而导致出现可 疑系统行为的原因 SysInspector 窗口显示下列有关已创建的日志的信息 时间 注释 用户 状态 - 日志创建时间 - 简短注释 - 创建日志的用户的姓名 - 日志创建的状态 可用操作包括 显示 - 打开已创建的日志 还可以右键单击给定日志文件 然后在右键菜单中选择显示 比较 - 比较两个现有日志 创建 - 创建新日志 请在 ESET SysInspector 完成 日志状态将显示为 已创建 之前稍作等待 完成后再尝试访问日 志 删除 - 删除列表中选定的日志 当选中一个或多个日志文件时 右键菜单中的以下项将为可用 显示 - 在 ESET SysInspector 中打开选定日志 相当于双击日志 比较 - 比较两个现有日志 创建 - 创建新日志 请在 ESET SysInspector 完成 日志状态将显示为 已创建 之前稍作等待 完成后再尝试访问日 志 删除 - 删除列表中选定的日志 全部删除 - 删除所有日志 导出 - 将日志导出为.xml 文件或压缩的.xml 计 划 任 务 计划任务管理和启动具有预定义配置和属性的计划任务 计划任务 可从 ESET Smart Security Premium 主程序窗口中通过单击工具 > 更多工具 > 计划任务来访问 计划任务包含 所有计划任务和配置属性 如预定义的日期 时间和使用的扫描配置文件 的列表 任务计划用于计划以下任务 更新模块 扫描任务 系统启动文件检查以及日志维护 您可以直接从主 计划任务 窗口中添 加或删除任务 单击底部的添加任务或删除 可以通过单击默认将计划任务的列表恢复为默认并删除所有更改 在 计划 任务 窗口中右键单击任意位置可执行以下操作 显示详细信息 立即执行任务 添加新任务和删除现有任务 使用每个条目 开头的复选框来启用 停用任务 默认情况下 计划任务中显示以下计划任务 日志维护 定期自动更新 拨号连接后自动更新 用户登录后自动更新 定期检查最新产品版本 参见更新模式 自动启动文件检查 用户登录后 自动启动文件检查 成功更新检测引擎后 要编辑现有计划任务 包括默认和用户定义的 的配置 请右键单击任务然后单击编辑 或选择要修改的任务然后单击编 辑 101

102 添加新任务 1. 单击窗口底部的添加任务 2. 输入任务的名称 3. 从下拉菜单中选择所需任务 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中还包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作效率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件 例如 驱动程序 应用程序 的详细信 息并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 更新 - 通过更新模块 计划更新任务 4. 如果要激活任务 您可以之后通过选中 取消选中计划任务列表中的复选框来执行此操作 请打开启用开关 单击下一 步 然后选择其中一个计时选项 一次 - 任务将在预定义的日期和时间执行 重复 - 任务将以指定的时间间隔执行 每天 - 任务将在每天的指定时间重复运行 每周 - 任务将在选定的星期和时间运行 由事件触发 - 任务将在发生指定事件时执行 5. 在便携式计算机靠电池供电时 选择靠电池供电时跳过任务以最大限度地减少系统资源 将在任务执行字段中指定的日 期和时间运行该任务 如果任务无法在预定义的时间运行 可以指定其再次执行时间 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用自上次运行时间之后经过的时间滚动框 来定义间隔 您可以通过右键单击并单击显示任务详细信息来查看计划任务 102

103 系 统 清 理 器 系统清理器是一个工具 有助于在清除威胁后将计算机恢复为可用状态 恶意软件可能会禁用系统实用工具 如注册表编辑 器 任务管理器或 Windows 更新 一次单击 系统清理器即可恢复给定系统的默认值和设置 系统清理器报告来自五个设置类别的问题 安全设置 可能导致计算机漏洞增加的设置更改 例如 Windows 更新 系统设置 可能更改计算机行为的系统设置更改 例如文件关联 系统外观 影响系统外观的设置 例如桌面壁纸 已禁用功能 可能已禁用的重要功能和应用程序 Windows 系统还原 Windows 系统还原功能的设置 允许您将系统还原到以前的状态 在以下情况下 可以请求系统清理 发现威胁时 用户单击重置时 您可以查看更改 并在需要时重置设置 注意 仅具有管理员权限的用户可以在系统清理器中执行上述操作 E S E T S y s R e s c ue ESET SysRescue 是一种实用程序 使您能够创建包含一种 ESET Security 解决方案 ESET NOD32 Antivirus ESET Internet Security ESET Smart Security ESET Smart Security Premium 或某些面向服务器的产品 的可引导磁盘 ESET SysRescue 的主要优点是 ESET Security 解决方案独立于主机操作系统运行 但具有直接访问磁盘和文件系统的权 限 凭借此功能 您可以删除那些通常无法删除的渗透 例如在操作系统运行时等 基 于 云 的 防 护 ESET LiveGrid 建立在 ESET ThreatSense.Net 高级早期预警系统之上 利用 ESET 用户在世界各地提交并发送给 ESET 研究实验室的数据 通过提供可疑的样本和原始的元数据 ESET LiveGrid 使我们能够立即对客户的需求作出反应并 使 ESET 能够持续应对最新的威胁 请阅读词汇表中有关 ESET LiveGrid 的更多信息 用户可以直接从程序界面或右键菜单通过 ESET LiveGrid 提供的额外信息来检查运行进程和文件的信誉 有两种选择 1. 您可以选择不启用 ESET LiveGrid 您不会失去软件中的任何功能 但启用 ESET Live Grid 后 ESET Smart Security Premium 在某些情况下可能会比检测引擎更新更快地响应新威胁 2. 您可以配置 ESET LiveGrid 以提交关于新威胁以及新威胁代码所在位置的匿名信息 此文件可以发送到 ESET 以供详 细分析 研究这些威胁将帮助 ESET 更新其威胁检测功能 ESET LiveGrid 将收集您的计算机中与新检测到的威胁相关的信息 这些信息可能包括出现威胁的文件的样本或副本 该文 件的路径 文件名 日期和时间 威胁出现在计算机上的过程 以及有关您的计算机操作系统的信息 默认情况下 ESET Smart Security Premium 配置为提交可疑文件 以供 ESET 病毒实验室详细分析 始终排除具有特定扩 展名的文件 例如.doc 或.xls 如果您或贵组织希望避免发送特定类型的文件 还可以添加其他扩展名 ESET LiveGrid 信誉系统提供了基于云的白名单和黑名单 若要访问 ESET LiveGrid 的设置 请按 F5 以进入 高级设 置 然后依次展开工具 > E S E T Liv egrid 启用 E S E T Liv egrid 信誉系统(建议) - ESET LiveGrid 信誉系统通过将已扫描的文件与云中白名单和黑名单项目数据 库进行比较 可提高 ESET 恶意软件防护解决方案的效率 启用 E S E T Liv egrid 反馈系统 - 将数据发送到 ESET 研究实验室以执行进一步分析 提交崩溃报告和诊断数据 - 发送诸如崩溃报告 模块内存转储之类的数据 103

104 提交匿名统计 - 允许 ESET 收集有关新检测到的威胁的信息 如威胁名称 检测日期和时间 检测方法和相关联的元数据 产品版本以及配置 其中包括有关您的系统的信息 联系人电子邮件(可选) - 您的联系人电子邮件可以与任何可疑文件一起发送 我们可能在需要进一步信息以供分析时使用该 电子邮件与您联系 请注意 除非需要更多信息 否则 ESET 不会与您联系 提交样本 提交感染的样本 - 这会将所有感染的样本提交到 ESET 以供分析并改进以后的检测 以下选项可用 所有已感染的样本 除文档外的所有样本 不提交 提交可疑样本 可执行文件 - 包括诸如 exe dll sys 等文件 压缩文件 - 包括诸如 zip rar 7z arch arj bzip gzip ace arc cab 等文件类型 脚本 - 包括诸如 bat cmd hta js vbs ps1 等文件类型 其他 - 包括诸如 jar reg msi sfw lnk 等文件类型 可能的垃圾电子邮件 - 这将允许向 ESET 发送可能的垃圾邮件部分或整个可能的垃圾电子邮件以及附件 以供进一步分析 启用此选项可改进垃圾邮件的全局检测 包括为您改进将来的垃圾邮件检测 文档 - 包括 Microsoft Office 文档或带有活动内容的 PDF 排除 - 排除 过滤器允许您不提交某些文件 文件夹 例如 排除诸如文档或电子表格等可能包含机密信息的文件会很有用 列出的文件即使包含可疑代码也不会发送给 ESET 实验室以供分析 默认情况下 最常见的文件类型均会排除 doc 等 如果需要 可以添加到排除文件列表 如果您以前使用过 ESET LiveGrid 但已禁用它 可能仍会发送数据包 即使已停用 此类数据包也会发送给 ESET 发送 完当前所有信息后 将不会再创建任何数据包 可 疑 文 件 如果发现可疑文件 可以将其提交到我们的 ESET 研究实验室以供分析 如果文件是一个恶意应用程序 则下次病毒库更新 中将添加对此程序的检测 排除过滤器 - 排除过滤器允许您不提交某些文件 文件夹 列出的文件即使包含可疑代码也不会发送给 ESET 研究实验室进 行分析 例如 将可能包含机密信息的文件 如文档或电子表格 排除在外可能很有用 默认情况下最常见的文件类型均被 排除 doc 等 如果需要 可以添加排除文件列表 联系人电子邮件(可选) - 您的联系人电子邮件可以与任何可疑文件一起发送 我们可能在需要进一步信息以供分析时使用该 电子邮件与您联系 请注意 除非需要更多信息 否则 ESET 不会与您联系 选择启用日志记录以创建记录文件和统计信息提交的事件日志 这将启用在发送文件或统计信息后记录到事件日志 104

105 隔 离 区 隔离区的主要功能是安全储存被感染文件 隔离文件的前提是文件出现以下情况 无法清除 不安全或被建议删除 或被 ESET Smart Security Premium 错误检测 您可以选择隔离任何文件 如果文件行为可疑但未被病毒防护扫描程序检测到 建议采取隔离措施 可将隔离的文件提交给 ESET 研究实验室进行分析 可在表格中查看储存在隔离区文件夹中的文件 表格中显示隔离的日期和时间 被感染文件原始位置的路径 文件大小 字节 数 原因 例如 由用户添加的对象 以及威胁数量 例如 是否为包含多个渗透的压缩文件 等 隔离文件 ESET Smart Security Premium 自动隔离被删除的文件 如果您尚未在警报窗口中取消该选项 如果需要 您可以手动隔 离任何可疑文件 方法是单击隔离 这种情况下 程序不会将原文件从其初始位置删除 也可用右键菜单达到此目的 在 隔离区窗口中右键单击 然后选择隔离 从隔离区恢复 隔离的文件还可以恢复到其初始位置 使用恢复功能可达到此目的 在 隔离区 窗口中右键单击给定文件 然后从右键菜单中 选择相关项即可完成恢复操作 如果文件标记为潜在不受欢迎的应用程序 则启用恢复并且不扫描选项 请阅读词汇表中 更多关于此类应用程序的信息 右键菜单还提供恢复至 选项 使用此选项可将文件恢复到其被删除时位置之外的其他位 置 从隔离区中删除 - 右键单击给定项并选择从隔离区中删除 或选择想要删除的项 然后在键盘上按 Delet e 键 还可以选 择多个项 然后将它们一起删除 注意 如果程序错误地隔离了无害文件 请在文件恢复后将其移出扫描队列 并发送给 ESET 客户服务部门 105

106 提交隔离区中的文件 如果程序未检测到您隔离的可疑文件 或文件被错误地确认为被感染 如启发式扫描代码分析所做的评估 并被隔离 请将该 文件发送到 ESET 病毒实验室 要提交隔离区中的文件 右键单击该文件并从右键菜单中选择提交要分析的文件 代 理 服 务 器 在大型局域网网络中 计算机与 Internet 之间的通信可通过代理服务器进行协调 使用此配置时需要定义以下设置 否则程 序将无法自动更新 在 ESET Smart Security Premium 中 高级设置 树中的两个不同部分提供了代理服务器设置 首先 可以在高级设置 在工具 > 代理服务器下 中配置代理服务器设置 在此级别指定的代理服务器定义了所有 ESET Smart Security Premium 的全局代理服务器设置 此处的参数将用于需要连接到 Internet 的所有模块 若要指定此级别的代理服务器设置 请选中使用代理服务器 然后在代理服务器字段输入代理服务器地址以及该代理服务器 的端口号 如果与代理服务器的通信需要验证 请选中代理服务器需要验证 然后在相应字段中输入有效用户名和密码 单击检测以 自动检测和填充代理服务器设置 将复制在 Internet Explorer 中指定的参数 注意 您必须在代理服务器设置中输入用户名和密码 如果代理不可用 请使用直接连接 - 如果将产品配置为利用 HTTP 代理 并且该代理不可访问 该产品将绕过代理 直接 与 ESET 服务器通信 还可以在 高级更新 设置中建立代理服务器设置 通过从代理模式下拉菜单中选择通过代理服务器连接来选择高级设置 > 更新 > 配置文件 > 更新 > 连接选项 此设置适用于给定更新配置文件 并建议笔记本电脑用户使用 因为他们经常从远 程位置接收病毒库更新 有关此设置的详细信息 请参阅高级更新设置 电 子 邮 件 通 知 如果发生具有所选级别的事件 ESET Smart Security Premium 可以自动发送通知电子邮件 启用通过电子邮件发送事件 通知以激活电子邮件通知 106

107 S MTP 服务器 S MTP 服务器 - 用于发送通知的 SMTP 服务器 例如 smtp.provider.com:587 预定义的端口为 25 注意 ESET Smart Security Premium 支持采用 TLS 加密的 SMTP 服务器 用户名和密码 - 如果 SMTP 服务器需要验证 则应在这些字段中填写有效的用户名和密码 以便访问 SMTP 服务器 发件人地址 - 定义发件人地址 发件人地址将显示在通知电子邮件的标题中 收件人地址 - 定义收件人地址 收件人地址将显示在通知电子邮件的标题中 多个值受支持 请使用分号作为分隔符 从通知的最低级别下拉菜单中 可以选择要发送的通知的起始严重性级别 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录信息性消息 如非标准的网络事件 其中包括成功更新消息及以上所有记录 警告 - 记录严重错误和警告消息 未正确运行反隐藏技术或者更新失败 错误 - 将记录错误 未启动文档防护 和严重错误 严重 - 仅记录严重错误 启动病毒防护或被感染的系统时出错 启用 TLS - 允许发送 TLS 加密支持的警报和通知消息 在此间隔后将发送新的通知电子邮件(分钟) - 在此间隔 以分钟为单位 后将新的通知发送到电子邮件 若将该值设置 为 0 则立即发送这些通知 在单独的电子邮件中发送每个通知 - 启用后 收件人将收到有关每个单独通知的新电子邮件 这可能导致在短时间内收 到大量的电子邮件 邮件格式 事件消息的格式 - 显示在远程计算机上的事件消息的格式 威胁警告消息的格式 - 威胁警报和通知消息具有预定义的默认格式 我们建议您不要更改该格式 但是在某些情况下 例 如 如果有自动电子邮件处理系统 可能需要更改邮件格式 字符集 - 基于 Windows 区域设置 例如 windows-1250 Unicode (UTF-8) ACSII 7 位 例如 将 á 更改为 a 以及将 未知符号更改为? 或 Japanese (ISO-2022-JP) 将电子邮件转换为 ANSI 字符编码 使用可打印字符引用编码 - 电子邮件源将编码为使用 ASCII 字符的引用可打印 (QP) 格式 可通过 8 位格式电子邮件正确 传输特殊国家字符 (áéíóú) 邮 件 格 式 这里可以设置远程计算机上显示的事件邮件格式 威胁警报和通知邮件有预定义的默认格式 我们建议您不要更改该格式 不过在某些情况下 例如 如果有自动电子邮件处 理系统 可能需要更改邮件格式 在邮件中 关键字 用 符号隔开的字符串 由指定的实际信息替换 可用关键字包括 % TimeS t amp% - 事件的日期和时间 % S c anner% - 相关模块 % Comput ername% - 发生警报的计算机的名称 % P rogramname% - 生成警报的程序 % Inf ec t edobjec t % - 被感染文件 邮件等的名称 % V irus Name% - 感染标识 % A c t ion% 针对渗透采取的操作 % E rrordes c ript ion% - 非病毒事件的说明 关键字 % Inf ec t edobjec t % 和 % V irus Name% 仅用于威胁警告邮件 而 % E rrordes c ript ion% 仅用于事件邮件 使用本地字母字符 - 根据 Windows 区域设置 例如 windows-1250 将电子邮件转换为 ANSI 字符编码 如果保留此选项未 选中 将转换邮件并以 ACSII 7 位编码 例如 á 将更改为 a 未知符号改为? 107

108 使用本地字符编码 - 电子邮件源将编码为使用 ASCII 字符的引用可打印 (QP) 格式 可通过 8 位格式电子邮件正确传输特殊 国家字符 (áéíóú) 选 择 样 本 以 供 分 析 使用文件提交对话框可将文件或站点发送到 ESET 以供分析 该对话框可在工具中找到 > 提交样本以供分析 如果您在 计算机上发现了行为可疑的文件或在 Internet 上发现了可疑的站点 可将其提交给 ESET 研究实验室以供分析 如果文件被 证实是一个恶意应用程序或网站 则以后的更新中将增加对它的检测 此外 也可以通过电子邮件提交文件 如果您选用此方式 则使用 WinRAR/ZIP 压缩文件 用密码 infected 保护压缩文件并 发送至 samples@eset.com 请记住 邮件主题一定要描述清楚 邮件应包含尽可能多的有关此文件的信息 比如下载此文 件的网站名 注意 向 ESET 提交文件前 确保其满足以下一个或多个标准 未检测到文件 将文件错误检测为威胁 除非需要更多信息供分析 否则您不会收到回信 从提交文件的理由下拉菜单选择最适合您的邮件的描述 可疑文件 可疑站点 被任何恶意软件感染的网站 误报文件 文件检测为感染 但并未感染 误报站点 其他 文件 站点 - 您想要提交的文件或网站的路径 联系人电子邮件 - 此联系人电子邮件随可疑文件一起发送给 ESET 如果需要更多信息以供分析 可能会使用该电子邮件与 您联系 可选择是否输入联系人电子邮件 样本可以匿名提交 除非需要更多信息 否则您不会收到 ESET 的回信 由于 我们的服务器每天都会收到数以万计的文件 因此不可能对所有提交一一回复 Mic ro s o ft W ind o ws 更 新 Windows 更新功能是防止用户遭受恶意软件攻击的重要组件 出于此原因 即时安装 Microsoft Windows 更新很重要 ESET Smart Security Premium 会根据您指定的级别 通知您有关错过的更新 可用级别包括 无更新 - 没有提供可供下载的系统更新 可选更新 - 将提供标记为低优先级及更高优先级的更新以供下载 建议的更新 - 将提供标记为常用及更高优先级的更新以供下载 重要更新 - 将提供标记为重要及更高优先级的更新以供下载 关键更新 - 仅提供关键更新以供下载 单击确定可保存更改 在验证更新服务器的状态后将显示系统更新窗口 因此 在保存更改后系统更新信息可能无法立即使 用 E S E T CMD 该功能支持高级 ecmd 命令 它允许您使用命令行 (ecmd.exe) 导出和导入设置 到目前为止 只可以使用 GUI 导出设置 ESET Smart Security Premium 配置可以导出为 xml 文件 启用 ESET CMD 后 有两种授权方法可用 无 - 无授权 不建议您使用此方法 因为它允许导入任何未签名的配置 这可能存在风险 高级设置密码 - 需要密码才可从 xml 文件导入配置 此文件必须已签名 请参阅下面的签名 xml 配置文件 可以导入 新配置之前 必须提供访问设置中指定的密码 如果未启用访问设置 密码不匹配或 xml 配置文件未签名 将不会导入配 置 ESET CMD 启用后 可使用命令行导入或导出 ESET Smart Security Premium 配置 可以手动执行上述操作 也可以创建 用于自动执行的脚本 108

109 重要信息 若要使用高级 ecmd 命令 您需要具有管理员权限才可以运行这些命令 或者使用以管理员身份运行打开 Windows 命令 提示符 (cmd) 否则 您会收到 E rror ex ec ut ing c ommand. 消息 此外 导出配置时 目标文件夹必须已存在 ESET CMD 设置关闭时 导出命令仍可正常工作 示例 导出设置命令 ecmd /getcfg c:\config\settings.xml 导入设置命令 ecmd /setcfg c:\config\settings.xml 注意 高级 ecmd 命令只可以在本地运行 对 xml 配置文件签名 1. 下载 XmlSignTool 可执行文件 2. 使用以管理员身份运行打开 Windows 命令提示符 (cmd) 3. 导航到 xmlsigntool.exe 的保存位置 4. 执行对 xml 配置文件进行签名的命令 用法 xmlsigntool /version 1 2 <xml_file_path> 重要信息 /version 参数的值取决于您的 ESET Smart Security Premium 的版本 为早于 11.1 版本的 ESET Smart Security Premium 使用 /version 1 为 ESET Smart Security Premium 的当前版本使用 /version 2 5. XmlSignTool 提示输入两遍高级设置密码 您的 xml 配置文件现已完成签名 可以用于使用 ESET CMD 以及密码授 权方法导入 ESET Smart Security Premium 的另一个实例 示例 对导出的配置文件进行签名的命令 xmlsigntool /version 1 c:\config\settings.xml 109

110 注意 如果访问设置密码更改 并且想要导入之前使用旧密码签名的配置 需要重新使用当前密码对 xml 配置文件进行签名 这使您在导入之前无需在另一台运行 ESET Smart Security Premium 的计算机上导出旧版本配置文件 即可使用该配置文 件 4.7 用户界面 用户界面允许您配置程序的图形用户界面 (GUI) 行为 使用图形工具 您可以调整程序的视觉外观和使用的效果 通过配置警报和通知 您可以更改检测到的威胁警报和系统通知的行为 可自定义这些设置以满足您的需求 为提供您的安全软件的最大安全性 您可以使用访问设置工具通过密码保护设置 以避免未经授权更改 用 户 界 面 元 素 ESET Smart Security Premium 中的用户界面配置选项允许您调整工作环境以符合您的需要 可以从高级设置 > 用户界面 > 用户界面元素访问这些配置选项 如果希望停用 ESET Smart Security Premium 启动画面 则取消选择启动时显示启动画面 若要使 ESET Smart Security Premium 在扫描期间发生重要事件时 例如 在发现威胁时或已完成扫描时 发出声音 请选中使用声音信号 集成到右键菜单 - 将 ESET Smart Security Premium 控件元素集成到右键菜单中 状态 应用程序状态 - 单击编辑按钮以管理 禁用 在主菜单的第一个窗格中显示的状态 110

111 4.7.2 警 报 和 通 知 警报和通知部分 在用户界面下 允许您配置 ESET Smart Security Premium 如何处理威胁警报和系统通知 例如成功更 新消息 您还可以设置显示时间和系统托盘通知透明度 这仅适用于支持系统托盘通知的系统 警报窗口 禁用显示警报将取消所有警报窗口 这只适用于少数特定情况 对于大多数用户 我们建议保留该选项的默认设置 启 用 产品内消息发送 显示营销邮件 - 产品内消息发送已设计为向用户发送有关 ESET 新闻和其他通信的通知 发送营销邮件需要用户同意 因此 默认情况下营销邮件不会发送给用户 显示为问号 启用此选项 即表示您同意接收 ESET 营销邮件 如果您 对接收 ESET 营销邮件不感兴趣 则禁用此选项 桌面通知 桌面通知和气球提示仅作为信息提示方式 而不需要用户交互 它们显示在屏幕右下角的通知区域 要启用桌面通知 请选择在桌面上显示通知 启用在全屏模式下运行应用程序时不显示通知以阻止所有非交互通知 可通过以下方式修改通知显示时间和窗口透明 度等更多详细选项 显示安全报告通知 - 可以启用或禁用安全报告通知 您可以通过要显示事件的最低级别下拉菜单选择要显示的警报和通知的严重性级别 有以下选项可供使用 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护 内置防火墙出错等 111

112 此部分的最后一项功能允许您在多用户环境中配置通知目标 对于多用户系统 在以下用户的屏幕上显示通知字段在 允许多个用户同时连接的系统上指定一个接收系统和其他通知的用户 正常情况下应该是系统或网络管理员 该选项对 终端服务器尤其有用 如果所有系统通知都发送给管理员 消息框 若要在一段时间后自动关闭弹出窗口 请选择自动关闭消息框 如果未手动关闭 警报窗口会在超过指定时限后自动关 闭 确认消息 - 向您显示确认消息列表 您可以从中选择是否显示确认消息 高 级 设 置 从要显示事件的最低级别下拉菜单中 可以选择要显示的警报和通知的起始严重性级别 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护 防火墙出错等 此部分的最后一项功能是在多用户环境中配置通知目标 对于多用户系统 在以下用户的屏幕上显示通知字段在允许多个 用户同时连接的系统上指定一个接收系统和其他通知的用户 正常情况下应该是系统或网络管理员 假如所有系统通知都发 给管理员 该选项对终端服务器特别有用 访 问 设 置 ESET Smart Security Premium 设置是安全策略的重要部分 未经授权的更改会潜在破坏系统的稳定和防护 要避免未经授 权的修改 可用密码保护 ESET Smart Security Premium 的设置参数 密码保护设置 - 指示密码设置 单击以打开 密码设置 窗口 若要设置或更改密码以保护设置参数 请单击设置 112

113 注意 当想要访问受保护的高级设置时 会显示用于输入密码的窗口 如果已忘记或遗失密码 请单击以下恢复密码选项 然后 输入用于许可证注册的电子邮件地址 ESET 会向您发送一封电子邮件 其中内含验证码以及如何重置密码的说明 有关 详细信息 请单击此处 受限的管理员帐户需要完全的管理员权限 - 选中此选项 可在修改某些系统参数 类似于 Windows Vista 和 Windows 7 中 的用户帐户控制 (UAC) 时提示当前用户 如果他或她没有管理员权限 输入管理员用户名和密码 此类修改包括禁用防护 模块或关闭防火墙 在未运行 UAC 的 Windows XP 系统中 用户将启用需要管理员权限(无 UA C 支持的系统)选项 仅适用于 Windows XP 需要管理员权限(无 UA C 支持的系统) - 启用此选项后 ESET Smart Security Premium 将提示用户提供管理员凭据 程 序 菜 单 可通过右键单击系统托盘图标 使用一些最重要的设置选项和功能 快速链接 - 显示最常用的 ESET Smart Security Premium 部分 您可以从程序菜单快速访问这些常用部分 暂停防护 - 显示禁用病毒和间谍软件防护的确认对话框 这些防护通过控制文件 Web 和电子邮件通信来保护系统免受恶意 系统攻击 时间间隔下拉菜单表示将为其禁用病毒和间谍软件防护的时段 暂停防火墙(允许所有通信) - 将防火墙切换为非活动状态 有关详细信息 请参阅网络 阻止所有网络通信 - 阻止所有网络通信 您可以通过单击停止阻止所有网络通信来重新启用它 高级设置 - 选择此选项以进入高级设置树 还有其他方法来打开高级设置 例如按 F5 键或导航到设置 > 高级设置 113

114 日志文件 - 日志文件包含已发生的重要程序事件的信息 并提供检测到的威胁的概要信息 隐藏 E S E T S mart S ec urit y P remium - 从屏幕隐藏 ESET Smart Security Premium 窗口 重置窗口布局 - 将 ESET Smart Security Premium 的窗口重置为其默认大小和屏幕位置 检查更新 - 开始更新检测引擎 以前称为 病毒库 以确保针对恶意代码的防护级别 关于 - 提供系统信息 有关已安装的 ESET Smart Security Premium 版本以及安装的程序模块的详细信息 在这里 您可以 找到许可证到期日期和有关操作系统与系统资源的信息 114

115 5. 高级用户 5.1 配置文件 配置文件管理器用在 ESET Smart Security Premium 中的两个地方 在手动计算机扫描部分和更新部分中 计算机扫描 可以保存您的首选扫描参数以用于将来的扫描 建议您创建不同的配置文件 带有各种扫描目标 扫描方法和其他参数 用 于每次定期扫描 要创建新配置文件 请打开 高级设置 窗口 (F5) 并依次单击检测引擎 > 恶意软件扫描 > 手动扫描 > 配置文件列表 配置 文件管理器窗口包括列出现有扫描配置文件的选定配置文件下拉菜单以及可创建新配置文件的选项 为了帮助您创建适合 需求的扫描配置文件 请参阅 ThreatSense 引擎参数设置部分 查看扫描设置中每个参数的描述 注意 假设您想要创建自己的扫描配置文件而且扫描计算机配置部分适用 但您不希望扫描加壳程序或潜在的不安全应用程序 并且还希望应用严格清除 在配置文件管理器窗口中输入新配置文件的名称并单击添加 从选定的配置文件下拉菜单 选择新的配置文件并调整剩余参数以满足要求 然后单击确定以保存新配置文件 更新 更新设置部分中的配置文件编辑器允许用户创建新的更新配置文件 请只在计算机使用多种方式连接更新服务器时 创建和 使用您自己的自定义配置文件 不是默认的我的配置文件 例如 一台笔记本电脑通常连接的是本地网络中的本地服务器 镜像 但在断开与本地网络的连接时 比如出于商务旅行的 需要 可能会使用两种配置文件直接从 ESET 的更新服务器下载更新 第一个连接到本地服务器 另一个连接到 ESET 的服 务器 配置完这些配置文件后 浏览到工具 > 计划任务 编辑更新任务参数 将其中一个配置文件指定为主配置文件 另 一个为次配置文件 更新配置文件 - 当前使用的更新配置文件 要更改它 请从下拉菜单中选择一个配置文件 配置文件列表 - 新建或删除现有更新配置文件 5.2 键盘快捷方式 要在您的 ESET 产品中更好地导航 可以使用以下键盘快捷键 F1 F5 向上 向下键 TAB Esc Ctrl+U Ctrl+R 打开帮助页面 打开 高级设置 在产品中的项目之间导航 折叠 高级设置 树节点 在窗口中移动光标 关闭活动对话窗口 显示有关许可证的信息 客户服务详细信息 将产品窗口重置为其默认大小和屏幕位置 115

116 5.3 诊断 诊断提供 ESET 进程 比如 ekrn 的应用程序崩溃转储 如果应用程序崩溃 将生成一个转储 这能够帮助开发人员调试 和修复各种 ESET Smart Security Premium 问题 单击转储类型旁的下拉菜单并选择以下三个可用选项之一 选择禁用 默认 以禁用此功能 小型 - 记录可能有助于识别应用程序意外崩溃原因的最小有用信息集 此类转储文件在空间有限时有用 但是 因为所包 含的信息有限 分析此文件可能无法找到不是由出现问题时正在运行的线程直接导致的错误 完整 - 当应用程序意外停止时记录系统内存的所有内容 完整的内存转储可能包含在收集内存转储时正在运行进程的数 据 启用网络防护高级日志记录 - 采用 PCAP 格式记录所有通过防火墙传递的网络数据 从而帮助开发人员诊断和修复与防火 墙有关的问题 启用协议过滤高级日志记录 - 采用 PCAP 格式记录所有通过协议过滤引擎传递的数据 从而帮助开发人员诊断和修复与协 议过滤相关的问题 启用更新引擎高级日志记录 - 记录更新过程中发生的所有事件 这可以帮助开发人员诊断并修复与更新引擎有关的问题 启用家长控制高级日志记录 - 记录家长控制中发生的所有事件 这可以帮助开发人员诊断和修复与家长控制相关的问题 启用许可高级日志记录 - 记录所有产品与许可证服务器的通信 启用防盗引擎高级日志记录 记录发生在防盗中的所有事件 以支持诊断和解决问题 启用反垃圾邮件引擎高级日志记录 - 记录反垃圾邮件扫描期间发生的所有事件 这可以帮助开发人员诊断和修复与 ESET 反垃圾邮件引擎有关的问题 启用操作系统高级日志记录 - 将收集有关操作系统的其他信息 比如正在运行的进程 CPU 活动和磁盘操作 这可以帮助 开发人员诊断并修复与操作系统上运行的 ESET 产品有关的问题 适用于 Windows 10 可在下面的位置找到日志文件 C:\ProgramData\ESET\ESET Smart Security Premium\Diagnostics\ and Settings\All Users\... 在较早版本的 Windows 中 在 Windows Vista 和更高版本中 或 C:\Documents 目标目录 - 将生成在崩溃期间转储的目录 打开诊断文件夹 - 单击打开以在新的 Windows 资源管理器 窗口中打开此目录 创建诊断转储 - 单击创建以在目标目录中创建诊断转储文件 116

117 5.4 导入和导出设置 您可以从设置菜单导入或导出自定义的 ESET Smart Security Premium.xml 配置文件 当需要备份 ESET Smart Security Premium 的当前配置以备日后使用时 配置文件的导入和导出功能十分有用 对于想要在 多个系统上使用其首选配置的用户 导出设置选项也很便利 因为他们可以方便地导入.xml 文件来传输这些设置 导入配置非常简单 在主程序窗口中 单击设置 > 导入和导出设置 然后选择导入设置 输入配置文件的文件名 或单击... 按钮来找到想要导入的配置文件 导出配置的步骤非常相似 在主程序窗口中 单击设置 > 导入和导出设置 选择导出设置并输入配置文件的文件名 即 export.xml 使用浏览器在计算机上选择要保存配置文件的位置 注意 如果您没有足够的权限将导出的文件写入到指定的目录 则在导出设置时可能遇到错误 5.5 ESET SysInspector E S E T S y s Ins p e c to r 介 绍 ESET SysInspector 是彻底检查您的计算机并全面显示所收集数据的应用程序 安装的驱动程序和应用程序 网络连接或重 要注册表项等信息有助于调查因软件或硬件不兼容或恶意感染引起的可疑系统行为 您可以使用两种方法访问 ESET SysInspector 一种是从 ESET Security 解决方案中的集成版访问 另一种是从 ESET 网站 免费下载单机版访问 这两个版本的功能一致 且具有相同的程序控件 唯一的区别是管理输出的方式不同 单机版和集成版 均允许您将系统快照输出为.xml 文件 并将它们保存到磁盘 但是 集成版还允许您直接将系统快照存储在工具 > E S E T S y s Ins pec t or 中 ESET Remote Administrator 除外 ESET SysInspector 扫描您的计算机时 请等待一些时间 它可能要花 10 秒到几分钟的时间 具体取决于您的硬件配置 操 作系统和计算机上安装的应用程序的数量 117

118 启 动 E S E T S y s Ins p e c to r 若要启动 ESET SysInspector 只需运行从 ESET 网站下载的 SysInspector.exe 可执行文件 应用程序检查您的系统时 可能需要几分钟 请稍等 用 户 界 面 和 应 用 程 序 的 使 用 为了方便使用 主程序窗口被划分为四个主要部分 主程序窗口顶端的程序控件 左侧的导航窗口 右侧的说明窗口以及位于 主程序窗口底部的详细信息窗口 日志状态部分列出了日志的基本参数 过滤器使用 过滤器类型以及日志是否为比较结果 等 程 序 控 件 本部分将涵盖 ESET SysInspector 中所有可用程序控件的说明 文件 单击 文件 即可存储当前的系统状态以供将来研究使用 或者打开一个先前存储的日志 对于发布用途 我们建议生成适合 发送的日志 这种形式的日志会省略敏感信息 当前用户名 计算机名称 域名 当前用户权限 环境变量等 注意 可以将先前存储的 ESET SysInspector 报告拖放至主程序窗口以将其打开 树 允许您展开或关闭所有节点 并将选定部分导出到服务脚本中 列表 包含使您能在程序内更方便地导航的功能 以及诸如在线查找信息等各种其他功能 118

119 帮助 包含应用程序及其功能的相关信息 详细信息 此设置影响主程序窗口中显示的信息 使信息更容易使用 在 基本 模式下 您可以访问查找系统常见问题解决方法所需的信 息 在 中等 模式下 该程序将显示较少使用的详细信息 在 全部 模式下 ESET SysInspector 将显示解决具体问题所需的 所有信息 过滤 项目过滤是查找系统中可疑文件或注册表项的最佳方式 通过调整滑块 您可以按风险级别来过滤项目 如果将滑块完全设定 到左侧 风险级别 1 则会显示所有项目 如果将滑块移至右侧 程序将会滤除危险程度低于当前风险级别的所有项目 只 显示比显示级别更可疑的项目 如果将滑块完全移至右侧 该程序将仅显示已知的有害项目 所有标记为风险 6 至 9 的项目可能具有安全风险 如果您未使用 ESET 的安全解决方案 我们建议您在 ESET SysInspector 找到任何此类项目后 使用 ESET Online Scanner 来扫描您的系统 ESET Online Scanner 是免费服务 注意 将项目颜色与风险级别滑块上的颜色进行比较 可以迅速确定项目的风险级别 比较 比较两个日志时 您可以选择显示所有项目 仅显示已添加的项目 仅显示已删除的项目或仅显示已替换的项目 查找 搜索用于通过项目名称或部分名称来快速查找特定项目 搜索请求的结果将会显示在 说明 窗口中 返回 通过单击后退或前进箭头 您可以在 说明 窗口中返回先前显示的信息 您可以使用退格键和空格键 来代替单击后退和前 进 状态部分 显示 导航 窗口中的当前节点 重要 突出显示为红色的项目为未知项目 这也正是程序将其标记为潜在危险项目的原因 项目为红色并不一定就意味着您 可以将文件删除 删除前 请确保文件确实是危险的或不需要的 E S E T S y s Ins p e c to r 导 航 ESET SysInspector 将各种类型的信息划分到一些称为节点的基本部分中 如果可用 您可以通过将各个节点扩展到其子节 点中来查找其他详细信息 若要打开或折叠某节点 双击节点的名称或单击该节点名称旁边的 或 当在 导航 窗口中浏览 节点和子节点的树结构时 您可能会在 说明 窗口中找到有关每个节点的各种详细信息 如果在 说明 窗口中浏览项目 有关 每个项目的其他详细信息可能会显示在 详细信息 窗口中 下面是 导航 窗口中主要节点的说明 以及 说明 和 详细信息 窗口中的相关信息 运行进程 该节点包含生成报告时运行的应用程序和进程的相关信息 在 说明 窗口中 您可以找到有关每个进程的其他详细信息 例如 由进程使用的动态库及其在系统中的位置 应用程序供应商的名称和文件的风险级别 详细信息 窗口包含 说明 窗口中选定项目的其他信息 例如文件大小或其 Hash 信息 注意 操作系统包含若干重要内核组件 它们会持续运行并为其他用户应用程序提供基本和关键功能 在某些情况下 此类 进程会显示在 ESET SysInspector 工具中 文件路径以 \??\ 开头 这些标记为这些进程提供预启动优化 它们对系统是安全 的 网络连接 说明 窗口包含进程和应用程序的列表 这些进程和应用程序使用在 导航 窗口中选定的协议 TCP 或 UDP 的网络以及应用 程序连接到的远程地址进行通讯 您还可以检查 DNS 服务器的 IP 地址 119

120 详细信息 窗口包含 说明 窗口中选定项目的其他信息 例如文件大小或其 Hash 信息 重要注册表项 包含通常与各种系统问题相关的一系列选定注册表项 例如指定启动程序 浏览器帮助程序对象 (BHO) 等的注册表项 在 说明 窗口中 可以找到哪些文件与特定注册表项相关 您可以在 详细信息 窗口中查看其他详细信息 服务 说明 窗口包含注册为 Windows Services 的文件列表 在 详细信息 窗口中可以检查服务的启动设置方法以及文件的特定详细 信息 驱动程序 系统中安装的驱动程序列表 关键文件 说明 窗口显示与 Microsoft Windows 操作系统相关的关键文件的内容 系统计划任务 包含在特定时间 间隔由 Windows 任务计划触发的任务列表 系统信息 包含有关硬件和软件的详细信息以及有关设置环境变量 用户权限和系统事件日志的信息 文件详细信息 重要系统文件和 Program Files 文件夹中文件的列表 特定于文件的其他信息可以在 说明 和 详细信息 窗口中找到 关于 有关 ESET SysInspector 版本和程序模块列表的信息 键 盘 快 捷 键 使用 ESET SysInspector 时可用的快捷键有 文件 Ctrl+O Ctrl+S 打开现有日志 保存已创建的日志 生成 Ctrl+G Ctrl+H 生成标准的计算机状态快照 生成还会记录敏感信息的计算机状态快照 项目过滤 1, O 2 3 4, U 5 6 7, B Ctrl 良好 显示风险级别为 1-9 的项目 良好 显示风险级别为 2-9 的项目 良好 显示风险级别为 3-9 的项目 未知 显示风险级别为 4-9 的项目 未知 显示风险级别为 5-9 的项目 未知 显示风险级别为 6-9 的项目 危险 显示风险级别为 7-9 的项目 危险 显示风险级别为 8-9 的项目 危险 显示风险级别为 9 的项目 降低风险级别 提高风险级别 过滤模式 相等或更高级别

121 Ctrl+0 过滤模式 仅相等级别 查看 Ctrl+5 Ctrl+6 Ctrl+7 Ctrl+3 Ctrl+2 Ctrl+1 BackSpace 空格 Ctrl+W Ctrl+Q 按供应商查看 所有供应商 按供应商查看 仅 Microsoft 按供应商查看 所有其他供应商 显示完整的详细信息 显示中等详细信息 基本显示 后退一步 前进一步 扩展树 折叠树 其他控件 Ctrl+T Ctrl+P Ctrl+A Ctrl+C Ctrl+X Ctrl+B Ctrl+L Ctrl+R Ctrl+Z Ctrl+F Ctrl+D Ctrl+E 在搜索结果中选择后 转至项目的原始位置 显示项目的基本信息 显示项目的完整信息 复制当前项目的树 复制项目 在 Internet 上查找选定文件的相关信息 打开选定文件所在的文件夹 在注册表编辑器中打开相应注册表项 复制文件路径 如果该项目与文件相关 切换至搜索字段 关闭搜索结果 运行服务脚本 比较 Ctrl+Alt+O Ctrl+Alt+R Ctrl+Alt+1 Ctrl+Alt+2 Ctrl+Alt+3 Ctrl+Alt+4 Ctrl+Alt+5 Ctrl+Alt+C Ctrl+Alt+N Ctrl+Alt+P 打开原始 比较日志 取消比较 显示所有项目 仅显示已添加的项目 日志将显示当前日志中的项目 仅显示已删除的项目 日志将显示以前的日志中的项目 仅显示已替换的项目 含文件 仅显示日志之间的差异 显示比较 显示当前日志 打开以前的日志 其他 F1 Alt+F4 Alt+Shift+F4 Ctrl+I 查看帮助 关闭程序 关闭程序而不询问 日志统计信息 121

122 比 较 比较功能允许用户比较两个现有日志 该功能的输出结果是一组这两个日志并不共有的项目 如果您想跟踪系统中的变化 这 是比较合适的 它是检测恶意代码的有用工具 在启动之后 应用程序会创建新日志并显示在新窗口中 依次单击文件 > 保存日志 将日志保存到文件 稍后可打开并查看 日志文件 若要打开现有日志 请依次单击文件 > 打开日志 在主程序窗口中 ESET SysInspector 始终一次显示一个日 志 比较两个日志的好处是您可以查看当前活动的日志和文件中保存的日志 若要比较日志 请依次单击文件 > 比较日志 并选 择选择文件 将在主程序窗口中比较活动的日志与选定日志 该比较日志将仅显示这两个日志之间的差别 注意 如果比较两个日志文件 请依次单击文件 > 保存日志 将其另存为 ZIP 文件 将保存这两个文件 如果稍后打开此 文件 将自动比较包含的日志 在显示项目的旁边 ESET SysInspector 将显示标识所比较日志之间的差别的标记 所有标记的说明可显示在项目旁边 以前日志中没有出现的新值 包含新值的树结构部分 仅在以前日志中出现的已删除的值 包含已删除的值的树结构部分 值 文件已更改 包含已修改的值 文件的树结构部分 风险级别已经降低 上一个日志中更高 风险级别已经提高 上一个日志中更低 左下角显示的说明部分介绍了所有标记 还显示了所比较的日志的名称 任何比较日志都可以保存到文件并在稍后打开 示例 生成记录有关系统原始信息的日志 并保存到名为 previous.xml 的文件 对系统进行更改之后 打开 ESET SysInspector 并 允许其生成新日志 将其保存到名为 current.xml 的文件 为了跟踪这两个日志之间的更改 请单击文件 > 比较日志 该程序将创建比较日志 显示日志之间的差别 如果使用以下命令行选项 也可得到相同的结果 SysIsnpector.exe current.xml previous.xml 122

123 5.5.3 命 令 行 参 数 ESET SysInspector 支持从使用这些参数的命令行生成报告 / gen / priv ac y / z ip / s ilent / blank 直接从命令行生成日志 而无需运行 GUI 生成日志 忽略敏感信息 以压缩的 zip 文件保存输出日志 从命令行生成日志时不显示进度窗口 启动 ESET SysInspector 而无需生成 加载日志 示例 用法 Sysinspector.exe [load.xml] [/gen=save.xml] [/privacy] [/zip] [compareto.xml] 若要将特定日志直接加载到浏览器中 请使用 SysInspector.exe.\clientlog.xml 若要从命令行生成日志 请使用 SysInspector.exe /gen=.\mynewlog.xml 若要直接在压缩文件中生成不包含敏感信息的日志 请使用 SysInspector.exe /gen=.\mynewlog.zip /privacy /zip 若要比较两个日志文件并浏览不同之处 请使用 SysInspector.exe new.xml old.xml 注意 如果文件 文件夹的名称包含间隔 则应采用引号 服 务 脚 本 服务脚本是向使用 ESET SysInspector 的客户提供帮助的一款工具 该工具可使用户轻松删除系统中不需要的对象 服务脚本允许用户导出整个 ESET SysInspector 日志或其选定部分 导出后 您可以标记要删除的不需要的对象 然后运行 修改的日志来删除标记的对象 服务脚本适用于之前有过系统问题诊断经验的用户 不合格的修改可能会导致操作系统损坏 示例 如果您怀疑计算机受到未被病毒防护程序检测到的病毒感染 请按下面的分步说明执行操作 运行 ESET SysInspector 来生成一个新的系统快照 在左侧 在树结构中 部分中选择第一个项目 按下 Shift 键并选择最后一个项目 以标记所有项目 右键单击选定对象 选择导出选定部分到服务脚本 选定的对象将会被导出到新日志中 这是整个过程中最关键的步骤 打开新的日志 并将您想要删除的所有对象的 属性更改为 请确保您未标记任何重要 的操作系统文件 对象 6. 打开 ESET SysInspector 单击 文件 > 运行服务脚本 然后输入脚本路径 7. 单击 确定 运行脚本 生 成 服 务 脚 本 若要生成脚本 请右键单击 ESET SysInspector 主窗口菜单树 左侧窗格 中的任何项目 从右键菜单中 选择导出所有部 分到服务脚本或导出选定部分到服务脚本 注意 比较两个日志时不能导出服务脚本 123

124 服 务 脚 本 结 构 在脚本标题的第一行中 可以找到关于引擎版本 (ev) GUI 版本 (gv) 和日志版本 (lv) 的信息 您可以使用此数据跟踪生成脚 本的 xml 文件中的可能更改 并阻止执行时的任何不一致情况 不得修改这部分脚本 文件的其余部分分为各个部分 可以编辑其中的项目 注意这些将由脚本处理 将项目前的 字符替换为 字符 标记要 处理的项目 脚本中的各部分通过空行彼此分隔 每个部分具有编号和标题 01) Running proc es s es 运行进程 此部分包含系统中运行的所有进程列表 每个进程由 UNC 路径 进而由星号中的 CRC 16 哈希代码标识 (*) 示例 01) Running processes: - \SystemRoot\System32\smss.exe *4725* - C:\Windows\system32\svchost.exe *FD08* + C:\Windows\system32\module32.exe *CF8A* [...] 在此示例中 选择进程 module32.exe 以 符号标记 执行脚本时进程将结束 02) Loaded modules 加载的模块 此部分列出当前使用的系统模块 示例 02) Loaded modules: - c:\windows\system32\svchost.exe - c:\windows\system32\kernel32.dll + c:\windows\system32\khbekhb.dll - c:\windows\system32\advapi32.dll [...] 在此示例中 模块 khbekhb.dll 以 标记 脚本运行时 将使用该模块识别进程并结束它们 03) TCP c onnec t ions TCP 连接 此部分包含现有 TCP 连接的信息 示例 03) TCP connections: - Active connection: : > :55320, owner: ekrn.exe - Active connection: : > :50006, - Active connection: : > :30606, owner: OUTLOOK.EXE - Listening on *, port 135 (epmap), owner: svchost.exe + Listening on *, port 2401, owner: fservice.exe Listening on *, port 445 (microsoft-ds), owner: System [...] 脚本运行时 将查找标记 TCP 连接中套接字的所有者 并停止套接字以释放系统资源 04) UDP endpoint s UDP 端点 此部分包含现有 UDP 端点的信息 示例 04) UDP endpoints: , port 123 (ntp) , port , port 4500 (ipsec-msft) , port 500 (isakmp) [...] 脚本运行时 将隔离标记 UDP 端点处套接字的所有者 并停止套接字 124

125 05) DNS s erv er ent ries DNS 服务器条目 此部分包含当前 DNS 服务器配置的信息 示例 05) DNS server entries: [...] 运行脚本时将删除标记的 DNS 服务器条目 06) Import ant regis t ry ent ries 重要注册表项 此部分包含重要注册表项的信息 示例 06) Important registry entries: * Category: Standard Autostart (3 items) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - HotKeysCmds = C:\Windows\system32\hkcmd.exe - IgfxTray = C:\Windows\system32\igfxtray.exe HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - Google Update = "C:\Users\antoniak\AppData\Local\Google\Update\GoogleUpdate.exe" /c * Category: Internet Explorer (7 items) HKLM\Software\Microsoft\Internet Explorer\Main + Default_Page_URL = [...] 脚本执行时 标记项将被删除 减小至 0 字节或重置为默认值 应用于特定项的操作取决于项类别和特定注册表中的键值 07) S erv ic es 服务 此部分列出系统中注册的服务 示例 07) Services: - Name: Andrea ADI Filters Service, exe path: c:\windows\system32\aeadisrv.exe, state: Running, startup: Automatic - Name: Application Experience Service, exe path: c:\windows\system32\aelupsvc.dll, state: Running, startup: Automatic - Name: Application Layer Gateway Service, exe path: c:\windows\system32\alg.exe, state: Stopped, startup: Manual [...] 执行脚本时将停止并卸载标记的服务及其相关服务 08) Driv ers 驱动程序 此部分列出安装的驱动程序 示例 08) Drivers: - Name: Microsoft ACPI Driver, exe path: c:\windows\system32\drivers\acpi.sys, state: Running, startup: Boot - Name: ADI UAA Function Driver for High Definition Audio Service, exe path: c: \windows\system32\drivers\adihdaud.sys, state: Running, startup: Manual [...] 执行脚本时 选择的驱动程序将停止 请注意 某些驱动程序不允许自行停止 09) Crit ic al f iles 关键文件 此部分包含有关对操作系统正常工作至关重要的文件的信息 125

126 示例 09) Critical files: * File: win.ini - [fonts] - [extensions] - [files] - MAPI=1 [...] * File: system.ini - [386Enh] - woafont=dosapp.fon - EGA80WOA.FON=EGA80WOA.FON [...] * File: hosts localhost - ::1 localhost [...] 选择的项将被删除或重置为初始值 10) 计划任务 本节包含有关计划任务的信息 示例: 10) Scheduled tasks - c:\windows\syswow64\macromed\flash\flashplayerupdateservice.exe - c:\users\admin\appdata\local\google\update\googleupdate.exe - c:\users\admin\appdata\local\google\update\googleupdate.exe - c:\windows\syswow64\macromed\flash\flashplayerupdateservice.exe - c:\users\admin\appdata\local\google\update\googleupdate.exe /c - c:\users\admin\appdata\local\google\update\googleupdate.exe /ua /installsource - %windir%\system32\appidpolicyconverter.exe - %windir%\system32\appidcertstorecheck.exe - aitagent [...] 执 行 服 务 脚 本 标记所有所需项目 然后保存并关闭脚本 通过选择 文件 菜单中的 运行服务脚本 选项 直接从 ESET SysInspector 主窗 口运行编辑的脚本 打开脚本时 程序将提示您以下消息 是否确实要运行服务脚本 % S c ript name% 确认您的选择后 可能显示另一个警告 通知您尝试运行的服务脚本尚未签名 单击 运行 启动脚本 对话框窗口将确认该脚本已成功执行 如果只能部分处理脚本 将显示一个具有以下消息的对话框窗口 服务脚本部分运行 是否要查看错误报告 选择 是 查 看列有未执行操作的复杂错误报告 如果该脚本未识别 将显示具有以下消息的对话框窗口 所选服务脚本未签名 运行未签名和未知脚本可能严重危害您 的计算机数据 是否确定要运行该脚本并执行操作 这可能因脚本不一致引起 标题损坏 节标题损坏 节之间缺少空行 等 您可以重新打开脚本文件并纠正脚本内的错误或创建新的服务脚本 常 见 问 题 解 答 运行 E S E T S y s Ins pec t or 是否需要管理员权限 运行 ESET SysInspector 不需要管理员权限 但收集到的某些信息只能通过管理员帐户访问 以标准用户或受限制用户的身 份运行它 将导致其收集的有关运行环境的信息比较少 E S E T S y s Ins pec t or 是否创建日志文件 ESET SysInspector 可以创建计算机配置的日志文件 要保存某个日志文件 请从主程序窗口中单击文件 > 保存日志 日志 以 XML 格式保存 默认情况下 文件会保存到 %USERPROFILE%\My Documents\ 目录 并使用 SysInpsector-% COMPUTERNAME%-YYMMDD-HHMM.XML 文件命名约定 如果需要 可以在保存之前更改日志文件的位置和名称 126

127 如何查看 E S E T S y s Ins pec t or 日志文件 若要查看由 ESET SysInspector 创建的日志文件 请运行该程序并从主程序窗口中单击文件 > 打开日志 还可以将日志文 件拖放到 ESET SysInspector 应用程序上 如果需要频繁查看 ESET SysInspector 日志文件 建议在桌面上创建 SYSINSPECTOR.EXE 文件的快捷方式 然后可以将日志文件拖放到其中以供查看 出于安全原因 Windows Vista/7 可能 不允许在安全权限不同的窗口之间进行拖放 某规范是否可用于日志文件格式 S DK 如何 目前 日志文件规范或 SDK 均不可用 因为程序仍在开发中 程序发布之后 我们可能会根据客户反馈和要求提供这些内 容 E S E T S y s Ins pec t or 如何评估由特定对象产生的风险 在大多数情况下 ESET SysInspector 使用一系列启发式规则检查每个对象的特性并评估恶意活动的可能性 然后将风险级 别指定给对象 文件 过程 注册表项等 根据这些启发式规则 对象被指定的风险级别范围从 1 - 良好 绿色 至 9-危 险 红色 在左侧导航窗格中 根据其中对象的最高风险级别对各部分进行着色 危险级别 6 - 未知 红色 是否表示对象存在危险 ESET SysInspector 的评估并不能保证对象是恶意的 这应由安全专家来确定 ESET SysInspector 旨在为安全专家提供快 速评估 以使他们了解需要对系统上的哪些对象进行进一步检查 确定其是否有不正常行为 E S E T S y s Ins pec t or 为什么在运行时连接到 Int ernet 与许多应用程序一样 ESET SysInspector 已签署数字签名 证书 可帮助确保该软件是由 ESET 发布的 并且未进行过更 改 为了验证证书 操作系统会与证书授权机构通信来验证软件发行者的身份 这是 Microsoft Windows 下通过数字签名的所 有程序的正常行为 什么是防隐匿技术 防隐匿技术提供了有效的 Rootkit 检测 如果系统受到行为类似 Rootkit 的恶意代码的攻击 用户将面临数据丢失或被盗 如果没有专用的反 Rootkit 工具 则几乎不 可能检测到 Rootkit 为什么有时标记为 S igned by MS " 的文件同时具有不同的 Company Name" 条目 当尝试识别可执行文件的数字签名时 ESET SysInspector 首先检查文件中是否嵌入了数字签名 如果找到了数字签名 则 使用该信息验证文件 如果未找到数字签名 则 ESI 会开始查找对应的 CAT 文件 安全目录 %systemroot% \system32\catroot 该文件包含有关已处理的可执行文件的信息 如果找到相关的 CAT 文件 在可执行文件的验证过程中 将应用该 CAT 文件的数字签名 这是有时文件标记为 Signed by MS 但却具有不同 CompanyName 条目的原因 示例 Windows 2000 包括 HyperTerminal 应用程序 位于 C:\Program Files\Windows NT 中 主应用程序可执行文件没有进行数字 签名 但 ESET SysInspector 将其标记为由 Microsoft 签署的文件 这是因为在 C:\WINNT\system32\CatRoot\{F750E6C338EE-11D1-85E5-00C04FC295EE}\sp4.cat 中有一个引用指向了 C:\Program Files\Windows NT\hypertrm.exe HyperTerminal 应用程序的主要可执行文件 而 sp4.cat 是由 Microsoft 提供的数字签名 5.6 命令行 可通过命令行启动 ESET Smart Security Premium 的病毒防护模块 手动 使用 ecls 命令 或使用批处理 bat 文件启 动 ESET 命令行扫描程序用法 ecls [选项 ] 文件 从命令行运行手动扫描程序时 可使用以下参数和开关 选项 /base-dir=folder 从 文件夹 加载模块 127

128 /quar-dir=folder /exclude=mask /subdir /no-subdir /max-subdir-level=level /symlink /no-symlink /ads /no-ads /log-file=file /log-rewrite /log-console /no-log-console /log-all /no-log-all /aind /auto 隔离 文件夹 不扫描与 掩码 匹配的文件 扫描子文件夹 默认 不扫描子文件夹 要扫描的文件夹中的最大子文件夹层数 跟踪符号链接 默认 跳过符号链接 扫描 ADS 默认 不扫描 ADS 将结果记录到 文件 覆盖输出文件 默认 附加 将结果记录到控制台 默认 不将结果记录到控制台 同时记录清除文件 不记录干净的文件 默认 显示活动指示器 扫描并自动清除所有本地磁盘中的病毒 扫描程序选项 /files /no-files /memory /boots /no-boots /arch /no-arch /max-obj-size=size /max-arch-level=level /scan-timeout=limit /max-arch-size=size /max-sfx-size=size /mail /no-mail /mailbox /no-mailbox /sfx /no-sfx /rtp /no-rtp /unsafe /no-unsafe /unwanted /no-unwanted /suspicious /no-suspicious /pattern /no-pattern /heur /no-heur /adv-heur /no-adv-heur /ext=extensions /ext-exclude=extensions 128 扫描文件 默认 不扫描文件 扫描内存 扫描引导区 不扫描引导区 默认 扫描压缩文件 默认 不扫描压缩文件 仅扫描小于指定 大小 兆字节的文件 默认值 0 = 无限制 要扫描的压缩档 嵌套压缩档 中的最大子压缩档层数 扫描压缩文件超时时间 秒 如果压缩文件中的文件小于指定 大小 默认值 0 = 无限制 则仅扫描这些文件 如果自解压文件中的各个文件小于指定 大小 兆字节 默认值 0 = 无限制 则只扫描这些文 件 扫描电子邮件文件 默认 不扫描电子邮件文件 扫描邮箱 默认 不扫描邮箱 扫描自解压文件 默认 不扫描自解压文件 扫描加壳程序 默认 不扫描加壳程序 扫描潜在的不安全应用程序 不扫描可能不安全的应用程序 默认 扫描潜在的不受欢迎应用程序 不扫描潜在不受欢迎的应用程序 默认 扫描可疑应用程序 默认 不扫描可疑应用程序 使用病毒库 默认 不使用病毒库 启用启发式扫描 默认 禁用启发式扫描 启用高级启发式扫描 默认 禁用高级启发式扫描 仅扫描具有指定 扩展名 的文件 用冒号分隔 不扫描具有指定 扩展名 的文件 用冒号分隔

129 /clean-mode=mode 对被感染的对象使用清除 模式 有以下选项可供使用 none - 不会进行自动清除 s tandar d 默认 ecls.exe 将尝试自动清除或删除被感染的文件 s tr ic t - ecls.exe 将尝试自动清除或删除被感染的文件 且无需用户干预 在删除文件之前 您不会收到提 示 r igor ous - ecls.exe 将在不尝试清除的情况下删除文件 无论文件是什么 delete - ecls.exe 将在不尝试清除的情况下删除文件 但将避免删除敏感文件 如 Windows 系统文件 /quarantine /no-quarantine 将被感染的文件 若已清除 复制到隔离区 补充清理时执行的操作 不将被感染的文件复制到隔离区 常规选项 /help /version /preserve-time 显示帮助并退出 显示版本信息并退出 保存上一个访问时戳 退出代码 未发现威胁 发现威胁并已清除 某些文件无法扫描 可能是威胁 发现威胁 错误 注意 退出代码大于 100 表示未扫描文件 该文件可能被感染 129

130 6. 词汇表 6.1 渗透类型 渗透是一种试图进入和 或损坏用户计算机的恶意软件 病 毒 计算机病毒是一段预先附着或追加到计算机上现有文件的恶意代码 计算机病毒之所以用生物学上的 病毒 一词命名 是因为 它们使用类似手法在计算机之间传播 对于 病毒 一词 通常错误用于指代任何类型的威胁 这种用法正在逐渐改变 而由 更为准确的术语 恶意软件 所取代 计算机病毒主要攻击可执行文件和文档 计算机病毒的工作方式可简述如下 执行被感染文件后 在执行原始应用程序前调 用并执行恶意代码 病毒可以感染当前用户具有写入权限的任何文件 计算机病毒的目的和严重性各有不同 其中有些病毒非常危险 因为它们会故意删除硬盘驱动器上的文件 另一方面 一些 病毒不造成任何破坏 它们只是骚扰用户 展示其作者的技术技巧 如果您的计算机感染病毒而无法清除 请提交至 ESET 研究实验室寻求帮助 在某些情况下 被感染文件可能被修改至无法 清除的程度 必须以干净副本替换文件 蠕 虫 计算机蠕虫是包含可通过网络攻击主机并传播的恶意代码的程序 病毒和蠕虫的基本区别在于蠕虫具有自我传播的能力 它 们不依赖主机文件 或引导区 蠕虫通过联系人列表中的电子邮件地址或利用网络应用程序中的安全漏洞进行传播 因此 蠕虫的生存能力远超计算机病毒 由于 Internet 的广泛应用 它们可以在发布后数小时甚至数分钟内传播到世界各 地 这种独立快速复制的能力使得它们比其他类型恶意软件更加危险 在系统中激活的蠕虫会带来多种不便 它可以删除文件 降低系统性能 甚至停止程序 计算机蠕虫的特性使其适合作为其 他类型渗透的 传输手段 如果您的计算机感染了蠕虫 建议您删除被感染文件 因为它们可能包含恶意代码 木 马 过去对计算机木马 特洛伊木马程序 的定义是 试图以有用程序的假面具欺骗用户运行的一类威胁 由于木马的涵盖范围非常广 因此常被分为许多子类别 Downloader - 能够从 Internet 下载其他威胁的恶意程序 Dropper - 能够将其他类型的恶意软件放入所破坏计算机的恶意程序 B ac k door - 与远程攻击者通信 允许其获得计算机访问权限并控制计算机的恶意程序 K ey logger 按键记录程序 一种记录用户键入的每个按键并将信息发送给远程攻击者的程序 Dialer - 一种用于连接附加计费号码而不是用户的 Internet 服务提供商的恶意程序 用户几乎无法注意到新连接的创建 Dialer 只能对使用拨号调制解调器 现在已很少使用 的用户造成破坏 如果计算机上的文件被检测为木马 建议您将其删除 因为它极有可能包含恶意代码 R o o tk it Rootkit 是一种恶意程序 它能在隐瞒自身存在的同时赋予 Internet 攻击者不受限制的系统访问权 访问系统 通常利用系统 漏洞 后 Rootkit 可使用操作系统中的功能避开病毒防护软件的检测 它们能够隐藏进程 文件和 Windows 注册表数据 有鉴于此 几乎无法使用普通测试技术检测到它们 有两种检测级别可阻止 Rootkit 1. Rootkit 试图访问系统时 它们还未出现 因此处于不活动状态 大部分病毒防护系统能够清除此级别的 Rootkit 假定系 统实际检测到此类文件被感染 2. 隐藏自己而不被一般测试检测到它们时 ESET Smart Security Premium 用户可以利用反隐藏技术 该技术还能够检测 并清除活动的 Rootkit 130

131 6.1.5 广 告 软 件 广告软件是可支持广告宣传的软件的简称 显示广告资料的程序便属于这一类别 广告软件应用程序通常会在 Internet 浏览 器中自动打开一个包含广告的新弹出窗口 或者更改浏览器主页 广告软件经常与免费软件程序捆绑在一起 以填补其开发 人员开发应用程序 通常为有用程序 的成本 广告软件本身并不危险 用户仅会受到广告的干扰 广告软件的危险在于它也可能执行跟踪功能 和间谍软件一样 如果您决定使用免费软件产品 请特别注意安装程序 安装程序大多会通知您将要安装附加的广告软件程序 通常您可以取 消它 仅安装不带有广告软件的程序 如果不安装广告软件 某些程序可能无法安装 或者功能受到限制 这意味着 广告软件可能常常以 合法 方式访问系统 因 为用户已同意安装它 在此情况下 应防患于未然 如果计算机上的某个文件被检测为广告软件 我们建议您删除它 因为 该软件极有可能包含恶意代码 间 谍 软 件 此类别包括所有在未经用户同意 了解的情况下发送私人信息的应用程序 间谍软件使用跟踪功能发送各种统计数据 例如所 访问网站的列表 用户联系人列表中的电子邮件地址或记录按键记录器的列表 间谍软件的作者宣称 这些技术旨在更好地了解用户需求和兴趣 从而使广告更有针对性 问题在于 有用和恶意的应用程 序之间并没有明显的差别 任何人都无法确保检索到的信息不会被滥用 间谍软件应用程序获得的数据可能包括安全代码 PIN 银行帐号等 程序的作者通常将间谍软件与其免费版本程序捆绑 以获取收益或促使用户购买软件 通常 在程序安装 期间会告知用户存在间谍软件 以促使其将软件升级为不带间谍软件的付费版本 比如 P2P 点对点 网络客户端应用程序就是著名的捆绑了间谍软件的免费软件产品 Spyfalcon 或 Spy Sheriff 以及更 多 属于特定的间谍软件子类别 它们看上去像间谍软件防护程序 但实际上其本身就是间谍软件程序 如果计算机上的某个文件被检测为间谍软件 我们建议您删除它 因为该软件极有可能包含恶意代码 加 壳 程 序 加壳程序是一个运行时自解压的可执行文件 可将多种恶意软件合并在单个包中 常见的加壳程序包括 UPX PE_Compact PKLite 和 ASPack 若使用不同的加壳程序进行压缩 相同的恶意软件的检测 方式可能会有所不同 此外 加壳程序还能使其 签名 随着时间发生变异 从而使恶意软件更加难以检测和移除 潜 在 的 不 安 全 应 用 程 序 许多合法程序可用于简化联网计算机的管理 然而 不法之徒可能将其滥用为恶意目的 ESET Smart Security Premium 提 供检测此类威胁的选项 潜在的不安全应用程序是指用于商业目的的合法软件 其中包括远程访问工具 密码破解应用程序以及按键记录器 用于记 录用户键盘输入信息 等程序 如果您发现计算机上存在且正在运行潜在的不安全应用程序 而您并没有安装它 请咨询您的网络管理员或删除该应用程 序 潜 在 的 不 受 欢 迎 应 用 程 序 灰色软件 或 PUA - 潜在不受欢迎的应用程序 是广泛的一类软件 其意图不像恶意软件 如病毒或特洛伊木马 那样具有 明确的恶意 但它可能安装其他不受欢迎的软件 更改数字设备的行为或者执行用户未批准的活动或意外活动 可能被视为灰色软件的类别包括 显示广告的软件 下载封装程序 各种浏览器工具栏 会产生误导行为的软件 捆绑软 件 跟踪软件 任何其他边界软件 或者使用非法或至少是不道德的商业行为 尽管看起来合法 的并且可能被最终用户 最 终用户知道如果允许该软件安装 它会执行哪些操作 视为不需要的软件 潜在的不安全应用程序是本身合法的 可能为商业的 软件 但可能会被攻击者滥用 对这些类型的应用程序的检测可以由 ESET 软件的用户启用或禁用 在某些情况下 用户可能觉得潜在的不受欢迎应用程序的好处多于风险 为此 与其他类型的恶意软件 例如木马程序或蠕 虫 相比 ESET 将这些应用程序划分到较低风险类别中 131

132 警告 发现潜在威胁 检测到潜在不受欢迎的应用程序后 您可以确定采取哪种操作 1. 清除 断开连接 此选项将终止操作并阻止潜在的威胁进入系统 2. 忽略 此选项允许潜在威胁进入系统 3. 若要使应用程序以后能够在计算机上运行而不受到打扰 请单击高级选项 然后选中从检测中排除旁的复选框 当检测到潜在不受欢迎的应用程序并且无法清除它时 将显示地址已被阻止通知 有关此事件的详细信息 请从主菜单导航 至工具 > 日志文件 > 已过滤的网站 132

133 潜在的不受欢迎应用程序 设置 安装 ESET 产品时 您可以确定是否启用潜在不受欢迎的应用程序检测 如下所示 警告 潜在不受欢迎的应用程序可能安装广告软件 工具栏或包含其他不受欢迎和不安全的程序功能 可随时在程序设置中修改这些设置 若要启用或禁用潜在不受欢迎 不安全或可疑的应用程序检测 请按照以下说明操作 1. 打开您的 ESET 产品 如何打开我的 ESET 产品 2. 按 F5 键以访问高级设置 3. 单击病毒防护并根据您的偏好启用或禁用以下选项 启用潜在的不受欢迎应用程序检测功能? 启用潜在不安全应用程 序检测功能和启用可疑应用程序检测功能 单击确定以确认 133

134 潜在的不受欢迎应用程序 软件封装程序 软件封装程序是由一些托管文件的网站使用的特殊类型的应用程序修改 它是一种第三方工具 可安装用户想要下载的程 序 但会添加附加软件 例如工具栏或广告软件 附加的软件可能还会更改您的 Web 浏览器主页和搜索设置 此外 托管 文件的网站通常不会通知软件供应商或下载收件人已进行了修改 并且通常会隐藏退出的选项 基于这些原因 ESET 将软 件封装程序归类为潜在的不受欢迎应用程序类型 以使用户可以接受或不接受下载 请参阅此 ESET 知识库文章了解此帮助页的更新版本 僵 尸 网 络 机器人或网络机器人是一种自动化的恶意软件程序 它可以扫描网络地址块并感染容易受到威胁的计算机 这允许黑客同时 控制多台电脑并将它们变成机器人 也称为 僵尸 黑客通常使用机器人感染大量的计算机 使其形成一个网络或僵尸网 络 一旦您的计算机中存在僵尸网络 它便可用于分布式拒绝服务 (DDoS) 攻击 代理 并在您不知情的情况下通过 Internet 执行自动化任务 例如 发送垃圾邮件 病毒或盗用银行凭据或信用卡号等个人隐私信息 6.2 远程攻击类型 许多特殊技术可使攻击者危害远程系统安全 它们分为多个类别 D o S 攻 击 DoS 或 拒绝服务 是一种使计算机或网络对其目标用户不可用的尝试 受影响用户之间的通信会受到阻塞 无法以正常方 式继续执行 受到 DoS 攻击的计算机通常需要重新启动才能正常工作 在大多数情况下 此攻击的目标是 Web 服务器 目的在于使用户在一段时间内无法访问它们 134

135 6.2.2 D N S 投 毒 使用 DNS 域名服务器 投毒 黑客可以欺骗任何计算机的 DNS 服务器 使其相信他们提供的假数据是合法且可信的 虚 假信息将缓存一段时间 允许攻击者改写 IP 地址的 DNS 回复 因此 尝试访问 Internet 网站的用户将下载计算机病毒或蠕 虫 而不是网站的初始内容 蠕 虫 攻 击 计算机蠕虫是包含可通过网络攻击主机并传播的恶意代码的程序 网络蠕虫能够利用各种应用程序中的安全漏洞 借助 Internet 它们可以在发布后数小时内传播到全世界 通过使用防火墙的默认安全设置或阻止未保护和未使用的端口 可以避免大部分蠕虫攻击 Sasser SqlSlammer 此外 使用最新安全补丁更新您的操作系统也非常重要 端 口 扫 描 端口扫描用于确定网络主机上有哪些开放的计算机端口 端口扫描程序是用于查找此类端口的软件 计算机端口是处理传入和传出数据的虚拟点 从安全角度来说 它非常重要 在大型网络中 端口扫描程序收集的信息可能 有助于识别潜在漏洞 此类使用是合法行为 不过 试图破坏系统安全的黑客也常使用端口扫描 他们第一步是向每个端口发送数据包 根据响应类型 可以确定哪些端 口正在使用中 扫描本身不引起破坏 但请注意 此活动可暴露潜在漏洞并允许攻击者控制远程计算机 建议网络管理员阻止所有未使用的端口 保护正在使用的端口免遭未经授权的访问 T CP 去 同 步 化 TCP 去同步化是 TCP 劫持攻击中使用的技术 它由进程触发 在该进程中传入数据包的序列号与预期序列号不同 具有非 预期序列号的数据包将被拒绝 或者如果它们出现在当前通信窗口中 则保存在缓存存储区中 在去同步化中 两个通信端点都释放收到的数据包 远程攻击者在该点上能够渗透并提供具有正确序列号的数据包 攻击者 甚至可以操纵或修改通信 TCP 劫持攻击的目的在于中断服务器与客户端通信或点对点通信 对每个 TCP 段使用验证可以避免许多攻击 此外 我们 建议您使用网络设备的推荐配置 S MB 中 继 SMB 中继和 SMB 中继 2 是能够对远程计算机执行攻击的特殊程序 它们利用了 NetBIOS 中的服务器消息块 (Server Message Block) 文件共享协议 用户在 LAN 内共享任何文件夹或目录将很有可能使用此文件共享协议 在本地网络通信中 密码哈希可以交换 SMB 中继在 UDP 端口 139 和 445 上接收连接 中继客户端和服务器交换的数据包并修改它们 连接并验证后 将断开客户 端连接 SMB 中继会创建新虚拟 IP 地址 可以使用命令 net use \\ 访问新地址 该地址可供任何 Windows 网 络功能使用 SMB 中继可中继除协商和验证以外的 SMB 协议通信 只要连接了客户端计算机 远程攻击者就可以使用 IP 地址 SMB 中继 2 与 SMB 中继的工作原理相同 区别在于前者使用 NetBIOS 名而不是 IP 地址 它们两者都可以发起 中间人 攻 击 此类攻击允许远程攻击者在不被注意的情况下读取 插入和修改两个通信端点之间交换的消息 受到此类攻击的计算机 常常停止响应或意外重新启动 要避免攻击 建议您使用验证密码或密钥 135

136 6.2.7 ICMP 攻 击 ICMP Internet 控制消息协议 是一种流行且广泛使用的 Internet 协议 它主要由联网计算机用于发送各种错误消息 远程攻击者试图利用 ICMP 协议的弱点 ICMP 设计用于无需验证的单向通信 这允许远程攻击者触发所谓的 DoS 拒绝服 务 攻击 或允许未经授权的个人访问传入和传出数据包的攻击 典型 ICMP 攻击包括 ping flood ICMP_ECHO flood 和 smurf attack 受到 ICMP 攻击的计算机速度明显减慢 这适用于所 有使用 Internet 的应用程序 并且出现 Internet 连接问题 6.3 ESET 技术 漏 洞 利 用 阻 止 程 序 漏洞利用阻止程序旨在强化那些经常被漏洞利用的应用程序类型 例如 Web 浏览器 PDF 阅读器 电子邮件客户端和 MS Office 组件 它的工作原理是通过监视进程的行为来查找可能表明漏洞的可疑活动 在漏洞利用阻止程序识别出某个可疑的进程后 它将立即停止该进程并记录有关该威胁的数据 然后将数据发送到 ThreatSense 云系统 该数据将由 ESET 研究实验室进行处理并用来更好地保护所有用户 以使他们免受未知威胁和零日攻 击 新发布的恶意软件 目前没有预配置的补救措施 的侵害 高 级 内 存 扫 描 程 序 高级内存扫描程序与漏洞利用阻止程序结合使用以增强对恶意软件的防范 后者旨在通过迷惑和 或加密方法来逃过反恶意软 件产品的检测 为了以防普通的模拟或启发式扫描无法检测出某个威胁 高级内存扫描程序可以在可疑行为和威胁出现在系 统内存中时识别可疑行为并扫描威胁 此解决方案对迷惑性极强的恶意软件也非常有效 与漏洞利用阻止程序不同 高级内存扫描程序是执行后方法 这意味着可能存在它检测到威胁之前某些恶意活动已执行的风 险 但是在其他检测技术都失效的情况下 该方法可以提供额外一层安全性 网 络 攻 击 防 护 网络攻击防护是防火墙的扩展功能 可在网络级别改进对已知漏洞的漏洞利用的检测 通过对广泛使用协议 例如 SMB RPC 和 RDP 中的常见漏洞利用实施检测 它构成了针对广泛传播的恶意软件 通过网络进行的攻击以及尚未发布或部署补 丁的漏洞利用的另一层重要防护 E S E T Liv e Grid ESET LiveGrid 建立在 ThreatSense.Net 高级早期预警系统之上 并利用 ESET 用户在世界各地提交并发送给 ESET 研 究实验室的数据 通过提供可疑的样本和原始的元数据 ESET LiveGrid 使我们能够立即对客户的需求作出反应并使 ESET 能够持续应对最新的威胁 ESET 恶意软件研究人员使用该信息生成全球威胁的性质和范围的精确快照 以帮助我们将注意 力放在正确的目标上 ESET LiveGrid 数据在我们设置自动处理优先级时起着重要的作用 此外 它还实施了一个信誉系统 可帮助提高我们的反恶意软件解决方案的整体效率 在用户系统上检查可执行文件或压缩 文件时 系统会首先将其哈希标记与数据库中的白名单和黑名单项进行对比 如果发现它位于白名单中 则检查的文件将被 视作未感染并且将被标记 以便从日后的扫描中排除 如果发现它位于黑名单中 将根据威胁的性质采取相应的措施 如果 未发现匹配 将彻底扫描文件 基于此次扫描的结果 文件将被分类为威胁或非威胁 此方法对于扫描性能有着极为重要的 积极影响 此信誉系统可以有效地检测恶意软件样本 甚至是在这些样本的病毒库通过更新的病毒库发送到用户的计算机之前 每天执行 若干次 136

137 6.3.5 僵 尸 网 络 保 护 僵尸网络保护通过分析其网络通信协议来帮助发现恶意软件 相较于过去数年未曾更新的网络协议 僵尸网络恶意软件不断 变化 这种新技术可以帮助 ESET 抵制试图避开检测并尝试将您的计算机连接到僵尸网络的恶意软件 J a v a 漏 洞 利 用 阻 止 程 序 Java 漏洞利用阻止程序是现有漏洞利用阻止程序防护的扩展 它可以监控 Java 并查找类似漏洞利用的行为 可以将阻止的 样本报告给恶意软件分析人员 以便分析人员创建签名来在不同的层 URL 阻止 文件下载等 上阻止它们 银 行 和 付 款 保 护 银行和付款保护是旨在在线交易期间保护财务数据的一层额外保护 ESET Smart Security Premium 包含内置的预定义网站列表 它们将触发受保护的浏览器打开 您可以在产品配置中添加网 站或编辑网站的列表 有关此功能的更多详细信息 请阅读以下 ESET 知识库文章 如何使用 ESET 银行和付款保护 大多数情况下 访问已知银行网站后将在默认浏览器上启动银行和付款保护 我们建议您在收到使用银行和付款保护的提示时单击打开安全浏览器 如果您决定不再针对某个您已经保存的站点使用安全浏览器 请打开设置 > 安全工具 > 银行业务和付款保护 可以在该处 从触发安全浏览器的 URL 列表中删除该站点 若要执行受保护的浏览 必须使用 HTTPS 加密的通信 若要使用安全浏览 您的 Internet 浏览器应满足下面列出的最低要 求 Mozilla Firefox 24 Internet Explorer 8 Google Chrome 30 我们建议您在完成在线交易或付款后 关闭安全的浏览器 137