ESET File Security

Transcription

1 ESET FILE SECURITY 适用于 MICROSOFT WINDOWS SERVER 安装手册和用户指南 Microsoft Windows Server 2003 / 2003 R2 / 2008 / 2008 R2 / 2012 / 2012 R2 单击此处下载此文档的最新版本

2 ESET FILE SECURITY 版权所有 2016 ESET, spol s ro ESET Fi l e Securi ty 由 ESET, s pol s ro 开发 有关更多信息 请访问 wwwes etcom 保留所有权利 未经作者书面同意 本文档的任何部分均不得复制 存 入检索系统或以任何形式或任何方式传播 包括电子的 机械的 影 印 记录 扫描或其他方式 ESET, s pol s ro 保留未经事先通知即更改任何所述应用程序软件的权 利 客户服务 wwwes etcom/s upport 修订日期 5/19/2016

3 目录 创建 计 算 机 状 态 快 照 ESET SysInspec tor ESET SysInspec tor 介 绍 启 动 ESET SysInspec tor 用 户 界 面 和 应 用 程 序 的 使 用 程 序 控 件 ESET SysInspec tor 导 航 键 盘 快 捷 方 式 比 较 命 令 行 参 数 服 务 脚 本 生 成 服 务 脚 本 服 务 脚 本 结 构 执 行 服 务 脚 本 常 见 问 题 解 答 ESET SysResc ue Liv e 计 划 任 务 提 交 样 本 以 供 分 析 可疑 文 件 可疑 站 点 误报 文 件 误报 站 点 其他 隔 离 区 6 1 介绍 11 新 功 能 系统需求 8 3 防护类型 9 4 用户界面 ESET Remote Administrator 托管 10 5 通过 5 1 ERA Serv er W eb 控 制 台 服 务 器 代 理 RD Sensor 代 理 安装 6 1 ESET File Sec urity 安 装 步 骤 命 令 行 安 装 群 集 环 境 中 的 安 装 19 支 持 6 2 产 品 激 活 帮 助和 帮 助 主 题 6 3 终 端 服 务 器 如何 ESET 更 新 File Sec urity 6 4 ESET AV Remov er 如何 ESET 激 活 File Sec urity 6 5 升 级 到 新 版 本 如何 在 计 划 任 务 中 创 建 新 任 务 如何 ２ 小 计 划 扫 描 任 务 每 ４ 时 21 7 入门指南 如何 从 服 务 器 中 删 除 病 毒 提 交 支 持 请 求 7 1 用 户 界 面 ESET 专 用 清 理 器 设 置 保 护 关 于 ESET File Sec urity 7 2 日 志 文 件 产 品 激 活 7 3 扫 描 注册 Hyper-V 扫 描 安全 激 管 理 员 活 激活 7 4 更 新 27 失 败 许可 设 置 证 病 毒 库 更 新 激活 配 置 进 度 代 理 服 务 器 进 行 更 新 成 功 激 活 7 5 设 置 服 务 器 计 算 机 工 具 导 入 和 导 出 设 置 7 6 工 具 运 行 的 进 程 查 看 活 动 时段 选 择 ESET Log Collec tor 防 护 统 计 群 集 群集 第 １ 向 导 页 群集 向 导 第 ２ 页 群集 第 ３ 向 导 页 群集 第 ４ 向 导 页 ESET Shell 用法 命令 批处 理 文 件 脚 本 ESET SysInspec tor ESET File Security 75 8 使用 8 1 病 毒防 护 检 测 到 渗 透 进 程 排 除 自 动 排 除 共 享 的 本 地 缓 存 性 能 文 件 系 统 实 时 防 护 排除 添加或 编 辑 排 除 排除格 式 T hreatsense 参 数 不扫描 的 文 件 扩 展 名 其他 T hreatsense 参 数 清除级 别 何时修 改 实 时 防 护 配 置 检查实 时 防 护 实时防 护 不 工 作 时 如 何 应 对 提交

4 统计信 息 可疑文 件 手 动 计 算 机 扫 描 和 Hyper-V 扫 描 自定 义 扫 描 和 Hyper-V 扫 描 启 动 程 序 扫描 进 度 扫描 日 志 配置 文 件 管 理 器 扫描 目 标 暂停 计 划 扫 描 空 闲 状 态 下 扫 描 开 机 扫 描 自动 启 动 文 件 检 查 可 移 动 磁 盘 文 档 防 护 HIPS HIPS 规 则 HIPS 规 则 设 置 高级 设 置 始终允 许 加 载 驱 动 程 序 提 供 的 数 据 访 问 提 供 的 数 据 ERA 扫 描 目 标 日 志 文 件 日 志 过 滤 在 日 志 中 查 找 代 理 服 务 器 电 子 邮 件 通 知 邮 件 格 式 演 示 模 式 诊 断 客 户 服 务 群 集 用 户 界 面 警 报 和 通 知 访 问 设 置 密 码 密 码 设 置 帮 助 123 更 新 ESET Shell 更 新 在 回 滚 96 终 端 服 务 器 上 禁 用 GUI 更 新 已 模 式 96 禁 用 消 息 和 状 态 HT 确 认 T P 代 理 96 消 息 用 以 已 禁 下 身 份 连 接 到 局 域 网 97 用 应 用 程 序 状 态 镜 像 系 98 统 托 盘 图 标 从镜 暂 停 像 更 新 99 防 护 镜 像 右 文 件 100 键 菜 单 镜 像 更 新 问 题 故 障 排 除 恢 复 此 部 分 中 的 所 有 设 置 如 何 创 建 更 新 任 务 恢 复 为 默 认 设 置 126 W eb 和 电 子 邮 件 计 划 任 务 协 议 过 滤 任 务 详 细 信 息 排 除 的 应 用 程 序 任 务 计 时 一 次 排 除 的 IP 地 址 任 务 计 时 Web 和 电 子 邮 件 客 户 端 任 务 计 时 每 天 SSL/ T LS 任 务 计 时 每 周 加 密 的 SSL 通 信 任 务 计 时 由 事 件 触 发 已 知 证 书 列 表 任 务 详 细 信 息 运 行 应 用 程 序 电 子 邮 件 客 户 端 防 护 跳 过 的 任 务 电 子 邮 件 协 议 计 划 任 务 详 细 信 息 警 报 和 通 知 更 新 配 置 文 件 MS Outlook 工 具 栏 创 建 新 任 务 Outlook Express 和 W indows Mail 工 具 栏 确 认 对 话 框 隔 离 隔 离 文 件 重 新 扫 描 邮 件 从 隔 离 区 恢 复 W eb 访 问 保 护 提 交 隔 离 区 中 的 文 件 基 本 URL 系 统 更 新 131 地 址 管 理 操 作 新 建 列 表 地 址 列 表 词汇表 网 络 钓 鱼 防 护 渗 透 类 型 132 设备 控 制 病 毒 设 规 备 控 制 则 编 辑 器 蠕 虫 添 加 设 备 控 制 规 则 木 马 已 检 测 的 设 备 Rootk it 设 备 组 广 告 软 件 间 工具 111 谍 软 件 加 ESET 壳 程 序 133 Liv egrid 漏 排 除 洞 利 用 阻 止 程 序 134 过 滤 器 高 隔 级 内 存 扫 描 程 序 134 离 潜 Mic 在 的 不 安 全 应 用 程 序 134 rosoft W indows 更 新 潜 W 在 的 不 受 欢 迎 应 用 程 序 134 MI 提 供 程 序 112

5 目录

6 1 介绍 ESET File Security 是集成的解决方案 专为 Microsoft Windows Server 环境而设计 ESET File Security 针对各种类 型的恶意软件攻击提供有效和强大的防护 它提供两种类型的防护 病毒和间谍软件防护 ESET File Security 的一些主要功能 ESET 群集 - ESET 服务器产品能够相互通信和交换数据 例如 配置和通知 以及同步产品实例组正确操作所 需的数据 这可为整个群集提供相同的产品配置 ESET File Security 支持 Windows 故障转移群集和网络负载 平衡 NLB) 群集 此外 您可以手动添加 ESET 群集成员 而无需特定 Windows 群集 ESET 群集可在域环境和 工作组环境中使用 存储扫描 - 扫描本地服务器上的所有共享文件 这使得有选择地仅扫描存储在文件服务器上的用户数据更为 容易 自动排除 - 自动检测并排除关键应用程序和服务器文件 以使运行平稳并实现稳定性能 ESET 日志收集器 - 自动收集 ESET File Security 配置等信息和大量日志 ESET 日志收集器将使您可以轻松地收 集所需的诊断信息 以帮助 ESET 技术人员快速解决问题 eshell (ESET Shell) - 一个命令行控制接口 可为高级用户和管理员提供用于管理 ESET 服务器产品的更全面的 选项 eshell 随附在新的和改进的版本 ２ 中 自我保护 保护 ESET 安全解决方案不被修改或停用 有效的故障排除 用于解决各种问题的内置工具 ESET SysInspector 用于系统诊断 ESET SysRescue Live 用于创 建可引导的修复 CD 或 USB 在单机和群集环境中 ESET File Security 支持 Microsoft Windows Server 2003 ２ ８ 和 ２ １ ２ 的大多数版本 您可以 在 ESET Remote Administrator 的帮助下远程管理大型网络中的 ESET File Security 11 新功能 以下功能的集成 群集支持 进程的排除 更好地与第三方软件兼容 GUI 增强功能 基于规则的过滤扫描 可以定义文件规则并运行特定方式的手动扫描 网络钓鱼防护 虚拟环境的优化 Hyper-V 扫描 - 是允许扫描 Microsoft Hyper-V Server 上的虚拟机 VM) 磁盘 而无需使用特定 VM 上任何 服务 器代理 的新技术 6

7 2 系统需求 支持的操作系统 Microsoft Windows Server 2003 SP2 x86 和 x64 Microsoft Windows Server 2003 R2 x86 和 x64 Microsoft Windows Server 2008 x86 和 x64 Microsoft Windows Server 2008 R2 Microsoft Windows Server 2012 Microsoft Windows Server 2012 R2 Storage Server Small Business Server 和 MultiPoint Server Microsoft Windows Storage Server 2008 R2 Essentials SP1 Microsoft Windows Storage Server 2012 Microsoft Windows Storage Server 2012 R2 Microsoft Windows Small Business Server 2003 (x86) Microsoft Windows Small Business Server 2003 R2 (x86) Microsoft Windows Small Business Server 2008 (x64) Microsoft Windows Small Business Server 2011 (x64) Microsoft Windows Server 2012 Essentials Microsoft Windows Server 2012 R2 Essentials Microsoft Windows MultiPoint Server 2010 Microsoft Windows MultiPoint Server 2011 Microsoft Windows MultiPoint Server 2012 支持的 Hyper-V 主机操作系统 Microsoft Windows Server 2008 R2 - 虚拟机仅在脱机时才能进行扫描 Microsoft Windows Server 2012 Microsoft Windows Server 2012 R2 硬件要求取决于所用的操作系统版本 我们建议您阅读 Microsoft Windows Server 产品文档 以获取有关硬件要 求的更详细信息 7

8 3 防护类型 共有两种类型的防护 病毒防护 间谍软件防护 病毒和间谍软件防护是 ESET File Security 产品的基本功能之一 该防护通过控制文件 电子邮件和 Internet 通信 防范恶意系统攻击 如果检测到威胁 病毒防护模块可以通过先阻止它 然后将其清除 删除或移至隔离区来消 除该威胁 8

9 4 用户界面 ESET File Security 具有图形用户界面 GUI) 其设计尽可能地直观 GUI 让用户快速方便地访问程序的主要功能 除了主要 GUI 还有高级设置窗口 可通过按 F5 键从程序中的任何位置访问它 在 高级设置 窗口中 您可以根据自己的需要配置设置和选项 其左侧菜单包括以下类别 一些主要类别包含 子类别 当您在左侧菜单中单击某个项目 类别或子类别 时 该项目的各个设置将显示在右侧窗格上 有关 GUI 的更多详细信息 请单击此处 9

10 5 通过 ESET Remote Administrator 托管 ESET Remote Administrator (ERA) 是一个应用程序 它允许您从一个中心位置管理网络环境中的 ESET 产品 此 ESET Remote Administrator 任务管理系统允许您在远程计算机上安装 ESET 安全解决方案并且快速响应新问题和 威胁 ESET Remote Administrator 自身不提供对恶意代码的防护 它依赖于每个客户端上是否存在 ESET 安全解 决方案 ESET 安全解决方案支持包括多个平台类型的网络 您的网络可以包括当前可在移动设备 手机和平板电脑 上 运行的 Microsoft 操作系统 基于 Linux 的操作系统 Mac OS 操作系统的组合 下图描绘了由 ERA 托管的 ESET 安全解决方案保护的示例网络架构 注意 有关 ERA 的详细信息 请参阅 ESET Remote Administrator 联机帮助 51 ERA Server ESET Remote Administrator Server 是 ESET Remote Administrator 的一个主要组件 它是可执行应用程序 用于处 理从连接到服务器 通过 ERA 服务器代理 的客户端接收的所有数据 ERA 服务器代理将有助于客户端和服务器 之间的通信 数据 客户端日志 配置 服务器代理复制等 将存储在数据库中 若要正确处理数据 则 ERA Server 需要稳定地连接到数据库服务器 我们建议将 ERA Server 和您的数据库安装在不同的服务器上以优化性 能 必须将装有 ERA Server 的计算机配置为接受所有已通过证书验证的服务器代理 代理 RD Sensor 连接 安装 ERA Server 后 您可以打开连接到 ERA Server 的 ERA Web 控制台 如示意图中所示 在您的网络内管理 ESET 安 全解决方案时 所有的 ERA Server 操作都将通过 Web 控制台执行 10

11 52 Web 控制台 ERA Web 控制台是一个基于 Web 的用户界面 它可以显示来自 ERA 服务器的数据并允许您在环境中管理 ESET 安全解决方案 可以使用浏览器访问 Web 控制台 它将显示您网络上的客户端状态的概述 并可用于将 ESET 解 决方案远程部署到未托管的计算机 如果您决定使 Web 服务器可从 Internet 访问 那么您将具有一大优势 即 可以在几乎任何具有有效 Internet 连接的设备上从任何位置使用 ESET Remote Administrator 下面是 Web 控制台面板 在 Web 控制台的顶部栏内 存在一个快速搜索工具 从下拉菜单中选择计算机名称 IPv4/IPv6 地址或威胁名 称 在文本字段内键入搜索字符串 然后单击放大镜符号或按 Enter 以进行搜索 您将重定向到用于显示搜索结 果 客户端或客户端列表 的 组 部分 所有客户端都通过 Web 控制台管理 您可以使用最常见的设备和浏览器 访问 Web 控制台 注意 有关详细信息 请参阅 ESET Remote Administrator 联机帮助 53 服务器代理 ERA 服务器代理是 ESET Remote Administrator 产品的重要部分 客户端计算机上的 ESET 产品 例如 ESET Endpoint Security for Windows 通过该代理与 ERA 服务器通信 此通信允许您从一个中心位置管理所有远程客 户端上的 ESET 产品 服务器代理从客户端收集信息并将它发送到服务器 如果服务器发送了一个客户端任务 该任务将发送到服务器代理 然后由服务器代理将它发送到客户端 所有网络通信均在服务器代理和 ERA 网络 的上半部分 服务器和代理 之间进行 注意 有关详细信息 请参阅 ESET Remote Administrator 联机帮助 ESET 服务器代理使用以下三种方法之一来连接服务器 1 客户端的服务器代理直接连接到服务器 2 客户端的服务器代理通过连接到服务器的代理进行连接 3 客户端的服务器代理通过多个代理连接到服务器 11

12 ESET 服务器代理与安装在客户端上的 ESET 解决方案通信 从该客户端上的程序收集信息 并将从服务器接收的 配置信息传递给客户端 注意 ESET 代理有自己的服务器代理 它可以处理客户端 其他代理与服务器之间的所有通信任务 54 RD Sensor RD (Rogue Detection) Sensor 是一种适用于网络上计算机的搜索工具 RD Sensor 是 ESET Remote Administrator 的 一部分 并且专门用于检测您网络上的计算机 它提供了向 ESET Remote Administrator 添加新计算机的简便方 法 使您无需手动添加它们 在您的网络上找到的每台计算机都将在 Web 控制台中显示 并且将添加到静态组 中 在此处 您可以对单个客户端计算机采取进一步的操作 RD Sensor 是一个被动的侦听器 用于检测网络上存在的计算机并将有关它们的信息发送到 ERA 服务器 然后 ERA Server 将评估在网络上发现的电脑对于 ERA Server 是否处于未知状态 或者是否已被托管 注意 有关详细信息 请参阅 ESET Remote Administrator 联机帮助 55 代理 ERA 代理是 ESET Remote Administrator 的另一个组成部分 它有两种用途 在具有许多客户端 例如 １ 个 客户端或更多 的中型网络或企业网络的情况下 您可以使用 ERA 代理在多个 ERA 代理之间分发负载 从而提 高主 ERA 服务器 的效率 ERA 代理的另一个优点在于 当您要连接到易出故障的远程分支机构时 可以使用它 这意味着每个客户端上的 ERA 服务器代理不会通过 ERA 代理 位于与分支机构相同的本地网络上 直接连接到 主 ERA 服务器 因此 这释放了指向分支机构的链接 ERA 代理接受来自所有本地 ERA 服务器代理的连接 汇总 它们的数据 并将其上载到主 ERA 服务器 或另一个 ERA 代理 这可让您的网络在不影响网络和数据库查询性 能的情况下容纳更多客户端 ERA 代理可能会连接到其他 ERA 代理 然后连接到主 ERA 服务器 具体取决于您的网络配置 为保证 ERA 代理的正常运行 安装 ERA 代理的主机上必须装有 ESET 服务器代理 且必须连接到您网络中较高级 别的 ERA 服务器或较高级别的 ERA 代理 如果存在 注意 有关 ERA 代理的部署方案的示例 请参阅 ESET Remote Administrator 联机帮助 12

13 6 安装 购买 ESET File Security 之后 安装程序可以从 ESET 网站 wwwesetcom) 下载 格式为 msi 软件包 请注意 您需要在内置管理员帐户或域管理员帐户 如果您已禁用本地内置管理员帐户 下执行安装程序 其他 任何用户 即使是管理员组的成员 也不会拥有足够的访问权限 由于您无法成功地在本地或域管理员帐户之 外的其他任何用户帐户下完成安装 因此您需要使用内置管理员帐户 有两种方法可以执行安装程序 您可以使用管理员帐户凭据在本地进行登录 然后轻松地运行安装程序 您可以作为其他用户登录 但是需要使用 运行方式 打开命令提示并键入管理员帐户凭据 以使 cmd 作为 管理员运行 然后键入命令以执行安装程序 例如 msiexec /i 但是您需要将 替换为已下载的 msi 安装程序的 准确文件名 启动安装程序并接受最终用户许可协议 EULA) 后 安装向导将指导您完成安装过程 如果您选择不接受许可协 议中的条款 该向导将无法继续 完全 这是建议的安装类型 它将安装 ESET File Security 的所有功能 选择此类型的安装后 您将仅指定安装产品的文 件夹 但您可以直接接受预定义的默认安装文件夹 建议 安装程序将自动安装所有程序功能 自定义 自定义安装类型使您能够选择将安装在您系统上的 ESET File Security 的程序功能 您将看到一个可从中进行选 择以供安装的功能 组件的典型列表 除了向导安装 您还可以选择通过命令行以静默方式安装 ESET File Security 此安装类型不需要任何交互 例如 在使用上述向导时 这对自动化或精简实例很有用 此类安装也称为无人参与安装 因为它不会提示用户执行 任何操作 静默 无人参与安装 通过命令行完成安装 msiexec /i <packagename> /qn /l*xv msilog 注意 如果可能 强烈建议在新安装和配置的操作系统上安装 ESET File Security 然而 如果需要在现有系统 上安装 最好的做法是卸载以前版本的 ESET File Security 重新启动服务器 然后再安装新的 ESET File Security 注意 如果您之前在系统上使用了其他第三方病毒防护软件 我们建议您先完全卸载它 再安装 ESET File Security 若要执行此操作 您可以使用 ESET AV 清除工具 它可使卸载更容易 13

14 61 ESET File Security 安装步骤 请按照以下步骤进行操作 以使用安装向导安装 ESET File Security 接受 EULA 后 您可以从两种安装类型中进行选择 安装类型 14

15 完全 - 这是建议的安装类型 它将安装 ESET File Security 的所有功能 核心 - 此安装类型适用于 Windows Server Core 该过程类似于完全安装 但仅安装核心组件 使用此方法时 ESET File Security 将不具有 GUI 如果需要 您可以在常规 Windows Server 上运行核心安装 有关核心安装的 更多详细信息 请单击此处 自定义 - 您可以选择将在您系统上安装 ESET File Security 的程序功能 完全安装 也称为完整安装 这将安装所有 ESET File Security 组件 系统将提示您选择安装的目标位置 默认情况下 程序 的安装位置为 C:\Program Files\ESET\ESET File Security 单击浏览可更改此位置 不建议 核心安装 将安装核心功能和命令行用户界面 建议将此方法用于 Windows Server Core 15

16 自定义安装 允许您选择要安装的功能 在您想要自定义仅包含所需组件的 ESET File Security 时有用 您可以向现有安装添加组件或从中删除组件 若要执行上述操作 您可以运行在初始安装期间使用过的 msi 安 装程序包 或者转到程序和功能 可从 Windows 控制面板 访问 右键单击 ESET File Security 并选择更改 这 将打开该安装程序 与您手动运行它一样 按照以下步骤进行操作 以添加或删除组件 组件修改 添加 删除 过程 修复和删除 提供 ３ 个选项 您可以用来修改已安装的组件 修复 ESET File Security 的安装 或完全删除 卸载 它 16

17 如果您选择修改 将显示一个所有可用程序组件的列表 选择您想要添加或删除的组件 您可以同时添加 删除 多个组件 单击组件 然后从下拉菜单中选择一个选项 选中某个选项后 请单击修改以执行修改 注意 您可以通过运行该安装程序随时修改已安装的组件 无需重新启动服务器便可以完成此操作 只需进 行修改即可完成 GUI 将重新启动 并且您仅将看到您选择安装的组件 611 命 令 行 安 装 以下设置旨在仅与用户界面的降低 基本和无级别一起使用 请参阅用于相应命令行开关的 msiexec 版本的 文档 支持的参数 APPDIR=<path> o 路径 有效的目录路径 o 应用程序安装目录 o 例如 emsx_nt64_enumsi /qn APPDIR=C:\ESET\ ADDLOCAL=DocumentProtection APPDATADIR=<path> o 路径 有效的目录路径 o 应用程序数据安装目录 MODULEDIR=<path> o 路径 有效的目录路径 o 模块安装目录 ADDEXCLUDE=<list> o ADDEXCLUDE 列表是所有未安装的功能名称的列表 以逗号分隔 作为已废弃 REMOVE 的替代 o 当选择不安装的功能时 整个路径 即 其所有子功能 和相关的不可见功能必须显式包含在列表中 o 例如 ees_nt64_enumsi /qn ADDEXCLUDE=Firewall,Network 注意: 此 ADDEXCLUDE 不能与 ADDLOCAL 一起使用 17

18 ADDLOCAL=<list> o 组件安装 要在本地安装的非强制性功能的列表 o ESET msi 程序包的使用 emsx_nt64_enumsi /qn ADDLOCAL=<list> o 有关 ADDLOCAL 属性的详细信息 请参阅 29aspx 规则 o ADDLOCAL 列表是所有要安装的功能名称的按逗号分隔的列表 o 当选择要安装的功能时 整个路径 所有父功能 必须显式包含在该列表中 o 有关正确用法的信息 请参阅附加规则 功能状态 o 强制性 - 将始终安装该功能 o 可选 - 可能会取消安装该功能 o 不可见 - 为了使其他功能正常工作 逻辑功能是强制性的 o 占位符 - 不会对产品造成影响的功能 但必须与子功能一同列出 功能树如下所示 功能树 功能名称 功能状态 计算机 计算机 病毒和间谍软件防护 计算机 病毒和间谍软件防护 文件系统实时防护 计算机 病毒和间谍软件防护 计算机扫描 计算机 病毒和间谍软件防护 文档防护 计算机 设备控制 网络 网络 个人防火墙 Web 和电子邮件 Web 和电子邮件协议筛选 Web 和电子邮件 Web 访问保护 Web 和电子邮件 电子邮件客户端防护 Web 和电子邮件 电子邮件客户端防护 MailPlugins Web 和电子邮件 电子邮件客户端防护 反垃圾邮件防 护 Web 和电子邮件 Web 控制 更新镜像 Microsoft NAP 支持 计算机 病毒防护 RealtimeProtection 扫描 DocumentProtection DeviceControl 网络 防火墙 WebAnd ProtocolFiltering WebAccessProtection ClientProtection MailPlugins 反垃圾邮件 必需 必需 必需 必需 可选 可选 占位符 可选 占位符 不可见 可选 可选 不可见 可选 WebControl UpdateMirror MicrosoftNAP 可选 可选 可选 附加规则 o 如果选择安装任意 WebAnd 功能 则不可见 ProtocolFiltering 功能必须显式包含在此列表中 o 如果选择安装任意 ClientProtection 子功能 则不可见 MailPlugins 功能必须显式包含在此列表中 示例 efsw_nt64_enumsi /qn ADDLOCAL=WebAnd ,WebAccessProtection,ProtocolFiltering efsw_nt64_enumsi /qn ADDLOCAL=WebAnd , ClientProtection,Antispam,MailPlugins CFG_ 属性列表 CFG_POTENTIALLYUNWANTED_ENABLED=1/0 已禁用 １ 已启用 CFG_LIVEGRID_ENABLED=1/0 已禁用 １ 已启用 LiveGrid 18

19 FIRSTSCAN_ENABLE=1/0 禁用 １ 启用 在安装后计划新的 FirstScan CFG_EPFW_MODE=0/1/2/3 自动 １ 交互 ２ 策略 ３ 学习 CFG_PROXY_ENABLED=0/1 0 - 已禁用 １ 已启用 CFG_PROXY_ADDRESS=<ip> 代理 IP 地址 CFG_PROXY_PORT=<port> 代理端口号 CFG_PROXY_USERNAME=<user> 用于身份验证的用户名 CFG_PROXY_PASSWORD=<pass> 用于身份验证的密码 612 群 集 环 境 中 的 安 装 您可以在群集环境 例如故障转移群集 中部署 PN%> 我们建议您将 PN%> 安装在活动节点上 然后使用 <%PN%> 的 ESET 群集功能在被动节点上重新分发安装 除了安装外 ESET 群集还将用作 PN%> 配置的复制 以确保正确操作所需的群集节点之间的一致性 62 产品激活 完成安装后 将提示您激活您的产品 19

20 选择一种可用方法来激活 ESET File Security 有关更多信息 请参阅如何激活 ESET File Security 成功激活 ESET File Security 后 主程序窗口将打开并在监视页面中显示您的当前状态 主程序窗口还将显示有关其他项目的通知 例如系统更新 Windows 更新 或病毒库更新 当处理完所有需要注 意的项目后 监视状态将变为绿色并显示状态 最高防护 63 终端服务器 如果您要在充当终端服务器的 Windows Server 上安装 ESET File Security 则建议您禁用 ESET File Security GUI 以 防止其在每次用户登录时都启动 有关禁用该 GUI 的具体步骤 请参阅禁用终端服务器上的 GUI 64 ESET AV Remover 若要从系统中删除 卸载第三方病毒防护软件 我们建议您使用 ESET AV Remover 若要执行该操作 请遵循以下 步骤 1 从 ESET 网站实用程序下载页面下载 ESET AV Remover 2 单击我接受 启动搜索来接受 EULA 并开始搜索您的系统 3 单击启动卸载程序删除已安装的病毒防护软件 对于可以使用 ESET AV Remover 删除的第三方病毒防护软件的列表 请参阅此知识库文章 65 升级到新版本 发布 ESET File Security 的新版本以提供改进功能或修复无法通过程序模块的自动更新来解决的问题 您可以升 级到更新的版本 通过针对现有版本来下载和安装更新的版本 手动进行升级 在安装开始时 您可以选择通过选中使用当前 设置旁的复选框来保留当前程序设置 20

21 7 入门指南 本章提供对 ESET File Security 菜单的主要部分 功能及基本设置的概述 71 用户界面 ESET File Security 的主程序窗口分为两个主要部分 右侧的主窗口显示与左侧的主菜单中选定选项相关的信息 主菜单中的不同部分如下所述 监视 - 提供有关 ESET File Security 的防护状态 许可证有效性 病毒库的最近更新的信息 以及基本统计信息和 系统信息 日志文件 - 访问包含有关所有已发生的重要程序事件的信息的日志文件 这些文件提供检测到的威胁和其他与 安全相关的事件的概述 扫描 - 允许您配置和启动存储扫描 智能扫描 自定义扫描或可移动磁盘扫描 您还可以重复上次运行的扫描 更新 - 显示有关病毒库的信息 并在更新可用时通知您 也可以从此会话中执行产品激活 设置 - 您可以从此处调整服务器和计算机安全设置 工具 - 除了提供可帮助您进一步管理安全的工具之外 还提供有关您的系统和防护的附加信息 工具 部分包 含以下项目 运行进程 查看活动 ESET 日志收集器 防护统计 群集 ESET Shell ESET SysInspector ESET SysRescue Live 用于创建修复 CD 或 USB 和计划任务 您还可以提交样本以供分析并检查您的隔离区 帮助和支持 - 提供对帮助页 ESET 知识库和其他支持工具的访问权限 还提供用于打开客户服务支持请求的链 接以及有关产品激活的信息 监视部分中显示的防护状态为您提供有关计算机的当前防护级别的信息 绿色最高防护状态表示已确保最高 防护 状态窗口还显示指向 ESET File Security 中常用功能的快速链接和有关上次更新的信息 程序工作不正常时如何应对 对于工作正常的模块 会为其指定一个绿色对勾 对于不完全工作的模块 会为其指定一个红色惊叹号或橙色 通知图标 有关模块的其他信息显示在窗口的上半部分 同时还显示用于修复该模块的建议解决方案 若要更 改单个模块的状态 请在主菜单中单击设置 然后单击所需模块 红色图标表示发生严重问题 不能确保为计算机提供最大程度的防护 在以下情况下 会显示此状态 已禁用病毒和间谍软件防护 - 您可以通过单击防护状态窗格中的启用实时防护 或主程序窗口的设置窗 格中的启用病毒和间谍软件防护 重新启用病毒和间谍软件防护 您正在使用过期的病毒库 该产品未激活 您的许可证已过期 - 此问题由防护状态图标变为红色来表示 许可证过期后 该程序将无法更新 我们建议您 按照警报窗口中的说明续订许可证 橙色图标表示 ESET 产品存在一个不严重的问题 需要您关注 可能的原因包括 已禁用 Web 访问保护 - 您可以单击安全通知 然后单击启用 Web 访问保护 重新启用 Web 访问保护 您的许可证即将到期 - 此问题由防护状态图标显示惊叹号来表示 许可证过期后 程序将无法更新 防护状 态图标将变为红色 如果使用建议的解决方案无法解决问题 请单击帮助和支持访问帮助文件或搜索 ESET 知识库 如果仍然需要 帮助 可以提交 ESET 客户服务支持请求 ESET 客户服务将快速响应您的问题并帮助找到解决方案 要查看防护状态 请单击主菜单的顶部选项 有关 ESET File Security 操作的状态摘要将显示在主窗口中 并显 示带有两个项目的子菜单 查看活动和统计信息 选择其中任意一个来查看有关系统的更详细信息 21

22 当 ESET File Security 以全功能运行时 防护状态图标以绿色显示 当需要您注意时 它显示为橙色或红色 单击查看活动可查看文件系统活动的实时图表 横轴 纵轴显示读取数据量 蓝线 和写入数据量 红线 统计信息子菜单允许您查看特定模块的被感染 已清除和干净对象的数量 通过从下拉列表中进行选择 可以 选择许多模块 711 设 置 保 护 ESET File Security 设置对于您的组织安全策略方面非常重要 未经授权的更改可能会破坏系统的稳定和防护 要 访问用户界面设置 请单击主菜单中的设置 然后单击高级设置 或在键盘上按 F5 依次单击用户界面 > 访问 设置 选择密码保护设置 然后单击设置密码 在新密码和确认密码字段中输入密码 然后单击确定 将来对 ESET File Security 进行修改时 将需要此密码 22

23 72 日志文件 日志文件包含所有已发生的重要程序事件的信息 并提供检测到的威胁的概要信息 日志是系统分析 威胁检 测以及故障排除的必要工具 日志记录在后台主动执行 无需用户交互 对信息的记录是根据当前日志级别设 置进行的 可直接从 ESET File Security 环境查看文本消息和日志 还可使用导出来压缩日志文件 可从主程序窗口中访问日志文件 方法是单击日志文件 从下拉菜单中选择所需日志类型 可用日志包括 检测到的威胁 - 威胁日志提供有关 ESET File Security 模块检测到的渗透的详细信息 信息包括检测时间 渗 透名称 位置 执行的操作以及检测到渗透时登录用户的名称 双击任何日志条目以在单独的窗口中显示其 详细信息 事件 - ESET File Security 执行的所有重要操作都记录在事件日志中 事件日志包含有关程序中发生的事件和错 误的信息 它旨在帮助系统管理员和用户解决问题 通常这里找到的信息可以帮助您找到程序中所发生问题 的解决方案 计算机扫描 - 所有扫描结果在此窗口中显示 每一行对应一个计算机控件 双击任意条目以查看相应扫描的 详细信息 HIPS - 包含特定规则的记录 这些规则标记为用于记录 该协议显示调用操作的应用程序 结果 无论已允许 还是已禁止规则 以及所创建的规则的名称 已过滤的网站 - 如果您想要查看已由 Web 访问保护阻止的网站列表 则此列表很有用 在这些日志中 您可 以查看时间 URL 用户和打开了到特定网站的连接的应用程序 设备控制 - 包含与计算机连接的可移动磁盘或设备的记录 只有具有设备控制规则的设备才会记录到日志文 件 如果规则不匹配连接的设备 则不会创建所连接设备的日志条目 您还可以在这里找到设备类型 序列 号 供应商名称和磁盘大小 如果可用 等详细信息 在每一部分中 显示的信息都可以复制到剪贴板 键盘快捷方式为 Ctrl+C 方法是选择条目并单击复制 Ctrl 和 Shift 键可用于选择多个条目 23

24 单击开关图标 过滤以打开日志过滤窗口 您可以在该窗口中定义过滤条件 通过右键单击特定记录 可以显示右键菜单 右键菜单提供以下选项 显示 - 在新窗口中显示有关选中日志的更多详细信息 相当于双击 过滤相同的记录 - 这将激活日志过滤 以便仅显示与所选记录类型相同的记录 过滤 - 在单击此选项后 日志过滤窗口将允许您为特定日志条目定义过滤条件 启用过滤器 - 激活过滤器设置 您必须在首次使用它时定义过滤条件 此后 它将仅根据之前定义的条件启 用过滤器 禁用过滤器 - 禁用过滤器 相当于单击底部的开关 此选项仅在启用过滤后才可用 复制 - 将选定的 突出显示的记录的信息复制到剪贴板中 全部复制 - 复制窗口中所有记录的信息 删除 - 删除选定的 突出显示的记录 此操作需要管理员权限 全部删除 - 删除窗口中的所有记录 此操作需要管理员权限 导出 - 将选定的 突出显示的记录的信息导出到 XML 文件中 全部导出 - 将窗口中的所有信息导出到 XML 文件 查找 - 打开在日志中查找窗口 并允许您定义搜索条件 处理已过滤的内容 例如 在仍存在非常多的记录 时非常有用 查找下一个 - 根据之前定义的搜索 如上所述 查找下一个匹配项 查找上一个 - 查找上一个匹配项 滚动日志 - 使此选项保持为启用状态以自动滚动旧日志 并在日志文件窗口中查看活动日志 73 扫描 手动扫描程序是 ESET File Security 的一个重要组成部分 它可以扫描计算机上的文件和文件夹 从安全角度说 计算机扫描不应仅在怀疑有渗透时运行 而是应作为日常安全手段的一部分定期运行 这一点非常重要 建议 您执行定期 例如 一个月一次 系统深度扫描以检测文件系统实时防护未检测到的病毒 如果文件系统实时防 护此时处于禁用状态 病毒库未更新或者文件在保存到磁盘时未检测为病毒 则会发生这种情况 24

25 提供两种计算机扫描 智能扫描快速扫描系统 无需进一步配置扫描参数 自定义扫描允许您选择任意预定 义的扫描配置文件以及定义特定扫描目标 请参见扫描进度以了解有关扫描过程的更多信息 存储扫描 扫描本地服务器上的所有共享文件夹 如果存储扫描不可用 则表示您的服务器上不存在任何共享文件夹 Hyper-V 扫描 如果 Hyper-V 管理器安装在运行 ESET File Security 的服务器上 此选项将仅在菜单中可见 Hyper-V 扫描允许扫 描 Microsoft Hyper-V Server 上的虚拟机 VM) 磁盘 而无需在特定 VM 上安装任何 服务器代理 有关详细信息 包括支持的主机操作系统和限制列表 请参阅 Hyper-V 扫描 智能扫描 智能扫描允许您快速启动计算机扫描和清除被感染文件而无需用户干预 智能扫描的优势是便于操作 不需要 详细的扫描配置 智能扫描检查本地驱动器上的所有文件并自动清除或删除检测到的威胁 清除级别被自动设 置为默认值 有关清除类型的更详细信息 请参见清除 自定义扫描 如果您要指定扫描参数 如扫描目标和扫描方法等 自定义扫描是一个理想的解决方案 自定义扫描的优点在 于可以详细配置参数 配置可以保存到用户定义的扫描配置文件中 这在使用相同的参数重复扫描时非常有 用 要选择扫描目标 请选择计算机扫描 > 自定义扫描 然后从扫描目标下拉菜单中选择某个选项 或从树结构 中选择特定目标 也可以通过输入要包括的文件或文件夹路径 指定扫描目标 如果您仅想扫描系统而不进行 附加的清除操作 则选择扫描但不清除 执行扫描时 可以通过依次单击设置 > ThreatSense 参数 > 清除从三 个清除级别中进行选择 仅建议具有病毒防护程序使用经验的高级用户使用自定义扫描来执行计算机扫描 可移动磁盘扫描 与智能扫描类似 快速启动对已连接到计算机的可移动磁盘 例如 CD/DVD/USB 的扫描 这在您将 USB 闪存盘 连接到计算机并想要扫描其内容是否存在恶意软件和其他潜在威胁时非常有用 这一类型的扫描还可以这样启动 单击自定义扫描 然后从扫描目标下拉菜单中选择可移动磁盘并单击扫 描 重复上次扫描 不管上次扫描是何种扫描 存储 智能 自定义等 都使用完全相同的设置运行它 注意 我们建议您每月至少运行一次计算机扫描 在工具 > 计划任务下 可以将扫描配置为计划任务 731 H y p e r-v 扫 描 Hyper-V 病毒防护扫描提供扫描 Microsoft Hyper-V Server 即虚拟机 VM) 的磁盘的能力 无需在特定的 VM 上 安装任何服务器代理 病毒防护使用 Hyper-V 服务器的管理员权限进行安装 Hyper-V 扫描派生自手动计算机扫描模块 其中某些功能 如扫描系统内存 尚未实现 支持的主机操作系统 Windows Server 2008 R2 - 虚拟机仅在脱机时才能进行扫描 Windows Server 2012 Windows Server 2012 R2 硬件要求 服务器在运行虚拟机时不会出现任何性能问题 在大部分情况下 扫描本身仅使用 CPU 资源 在扫描联机 VM 的情况下 要求提供免费磁盘空间 可用磁盘空间必须至少是检查点 屏幕快照和虚拟磁盘所使 用的空间的两倍 25

26 特定限制 由于动态磁盘本身的原因 不支持在 RAID 存储 跨区卷和动态磁盘上进行扫描 因此 我们建议尽可能在 VM 中避免使用动态磁盘类型 将始终只对当前虚拟机执行扫描 并不会影响其检查点 快照 在群集中的主机上运行的 Hyper-V 当前并不受 ESET File Security 支持 Windows Server 2008 R2 上运行的 Hyper-V 主机中的虚拟机只能以只读模式进行扫描 不清除 不论在 ThreatSense 参数中选择了何种清除级别都是如此 注意 ESET File Security 支持扫描虚拟磁盘 MBR 但这属于只读扫描 默认情况下会执行 MBR 扫描 可以在高 级设置 > 病毒防护 > Hyper-V 扫描 > ThreatSense 参数 > 引导区中更改此设置 要扫描的虚拟机处于 脱机 状态 - 已关闭状态 ESET File Security 使用 Hyper-V 管理来检测和连接到虚拟机的虚拟磁盘 这样一来 ESET File Security 便可以像 访问所有常规驱动器的数据和文件一样 也访问虚拟磁盘的内容 要扫描的虚拟机处于 联机 状态 - 正在运行 已暂停 已保存状态 ESET File Security 使用 Hyper-V 管理来检测虚拟机的虚拟磁盘 无法实际连接到这些磁盘 因此 ESET File Security 创建虚拟机的检查点 快照 然后连接到该检查点 快照 扫描完成后 将删除该检查点 快照 这意味着 可以执行只读扫描 因为处于 联机 状态的虚拟机并未受影响 仅当想要获取正在运行的虚拟机上是否存在受 感染项的概要信息以及获取有关这些受感染项的详细信息 如果有 时非常有用 创建检查点 快照操作较为缓慢 可能需要花费数几秒钟到 １ 分钟的时间 当计划在大量虚拟机上运行 Hyper-V 扫描时 需要考虑此因素 命名约定 Hyper-V 扫描模块始终遵循以下命名约定 VirtualMachineName\DiskX\VolumeY 其中 X 是磁盘数 Y 是卷数 例如 Computer\Disk0\Volume1 添加的数字后缀基于检测的顺序 后者与 VM 的磁盘管理器中显示的顺序相同 此命名约定用于要扫描的目标的树状列表 进度条以及日志文件 执行扫描 可以通过 ３ 种方式执行扫描 手动 如果您单击 ESET File Security 菜单中的 Hyper-V 扫描选项 您将看到要扫描的可用虚拟机 如果有 的列 表 它是一个树状列表 其中要扫描的最低级别实体是一个卷 意味着您无法选择要扫描的目录或文件且必 须至少扫描整个卷 为了列出可用的卷 我们必须连接到特定的虚拟磁盘 这可能需要花费几秒钟的时间 因此 更快的选择是标 记要扫描的虚拟机或其磁盘 在您标记了所需的 要进行扫描的虚拟机 磁盘或卷后 请单击 扫描 按钮 通过计划程序 通过 ERA 作为客户端任务 称为服务器扫描 要扫描的最低级别项目为虚拟机的某个磁盘 可以同时执行多个 Hyper-V 扫描 扫描完成后 您将看到关于它的通知和一个 显示日志 链接 通过该链接您可以查看已完成扫描的详细信息 所有扫描日志均可在 ESET File Security 的 日志文件 部分内找到 但是您必须从下拉菜单中选择 Hyper-V 扫描 才能看到相关的日志 可能的问题 26

27 执行联机虚拟机的扫描时 必须创建特定虚拟机的检查点 快照并且在创建检查点/快照期间 可能会限制或 禁用虚拟机的某些常规操作 如果正在扫描脱机虚拟机 在扫描完成之前将无法启动该虚拟机 Hyper-V 管理器允许用完全相同的名称命名两个不同的虚拟机 但是这会在查看扫描日志并尝试区分计算机 时产生问题 74 更新 定期更新 ESET File Security 是保持计算机的最高安全级别的最佳方法 更新模块通过两种方式确保程序始终处 于最新状态 即更新病毒库和更新系统组件 通过在主程序窗口中单击更新 可以查看当前更新状态 包括上一次成功更新的日期和时间以及是否需要更 新 主窗口还包含病毒库版本 此数值指示是指向 ESET 网站的活动链接 其中列出了在给定更新中添加的所有 病毒库 若要开始更新过程 请单击立即更新 更新病毒库和更新程序组件是维持全面防范恶意代码的重要组成部分 上次成功更新 - 最近一次更新的日期 确保是最近的日期 表明病毒库是最新的 病毒库版本 - 病毒库编号 它也是指向 ESET 网站的活跃链接 单击可以查看在给定更新中添加的所有病毒库的 列表 更新过程 单击立即更新后 将开始下载过程并显示更新进度 要中断更新 请单击取消更新 重要信息 一般情况下 如果更新可正常下载 消息不需要更新 病毒库是最新的将显示在更新窗口中 如果不是这样 则表示程序不是最新的 且更容易被感染 请尽快更新病毒库 否则 会显示下列消息之一 病毒库已过期 - 此错误将在几次尝试更新病毒库失败之后显示 建议您检查更新设置 此错误的最常见原 因是错误地输入了验证数据或错误地配置了连接设置 27

28 以前的通知与下列两条有关不成功更新的病毒库更新失败消息相关 无效的许可证 - 更新设置中输入了错误的许可证密钥 建议您检查验证数据 高级设置 窗口 按下键盘上 的 F5 中包含其他更新选项 从主菜单中单击帮助和支持 > 管理许可证以输入新的许可证密钥 下载更新文件时出错 - 此错误的原因可能是不正确的 Internet 连接设置 建议您在 Web 浏览器中打开任意 网站 检查 Internet 连接 如果网站打不开 很可能未建立 Internet 连接 或者计算机存在连接问题 请与 Internet 服务提供商 ISP) 联系以确定您是否有活动的 Internet 连接 注意 有关详细信息 请访问此 ESET 知识库文章 741 设 置 病 毒 库 更 新 更新病毒库和程序组件是全面防范恶意代码的重要组成部分 请注意其配置和操作 从主菜单中 转到更新 然后单击立即更新 检查是否有更新的病毒库 您可以从 高级设置 窗口 按键盘上的 F5 键 配置更新设置 若要配置高级更新选项 如更新模式 代理服务器 访问 LAN 连接和病毒库副本设置 镜像 请单击左侧的高级设置窗口中的更新 如果更新出现了问题 请单 击清除缓存以清除临时更新文件夹 默认情况下 将更新服务器菜单设置为自动选择 自动选择意味着将自 动选中更新服务器 病毒库下载的来源 建议您保持选中默认的选项 如果您不希望屏幕右下角的系统托盘通 知出现 请选择禁用显示关于成功更新的通知 自动更新程序对获得最佳功能非常重要 只有在帮助和支持 > 激活许可证中输入了正确的许可证密钥时才可 以执行此操作 如果您在安装后没有激活产品 您可以随时激活产品 有关激活的详细信息 请参阅如何激活 ESET File Security 并将您随 ESET 安全产品收到的许可证数据输入到许可证详细信息窗口中 742 配 置 代 理 服 务 器 进 行 更 新 如果在已安装 ESET File Security 的系统上使用用于 Internet 连接的代理服务器 则必须在 高级 设置中配置代 理设置 若要访问代理服务器配置窗口 请按 F5 打开 高级 设置窗口 然后依次单击更新 > HTTP 代理 从代理 模式下拉菜单中选择通过代理服务器连接 并填写您的代理服务器详细信息 代理服务器(IP 地址 端口号 用户名和密码(如果适用 如果您不确定代理服务器的详细信息 则可以通过从下拉列表中选择使用全局代理服务器设置尝试自动检测 代理服务器设置 注意 对于不同的更新配置文件 代理服务器选项可能也有所不同 在这种情况下 单击 高级设置 树中的 更新 > 配置文件 75 设置 设置 菜单包含以下三个选项卡 服务器 计算机 工具 28

29 751 服 务 器 ESET File Security 通过一些基本功能为您的服务器提供防护 这些功能诸如 病毒和间谍软件防护 常驻防护 实时防护 Web 访问保护以及电子邮件客户端防护 在 ESET File Security - 计算机 下 您可以阅读有关每种 类型的防护的详细信息 自动排除功能可识别重要的服务器应用程序和服务器操作系统文件 并自动将它们添加到排除列表 此功能 可将潜在冲突的风险降至最低 并在运行病毒防护软件时提高服务器的整体性能 若要设置 ESET 群集 请单击群集向导 有关如何使用向导设置 ESET 群集的详细信息 请单击此处 如果要设置更多详细选项 请单击高级设置或按 F5 在设置窗口的底部还有其他选项 若要使用 xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 请使用导入 导出设置 有关详细信息 请参阅导入 导出设置 752 计 算 机 ESET File Security 具有用于确保将服务器作为计算机进行重点保护的所有必需组件 每个组件都提供特定类型 的防护 例如 病毒和间谍软件防护 文件系统实时防护 Web 访问保护 电子邮件客户端防护 网络钓鱼防护 等 计算机部分可以在设置 > 计算机下找到 您将看到可启用 禁用 使用开关 的组件的列表 若要配置特定 项的设置 请单击齿轮 对于文件系统实时防护 可选择编辑排除 这将打开排除设置窗口 您可以从中排 除不扫描的文件和文件夹 暂停病毒和间谍软件防护 - 在您临时禁用病毒和间谍软件防护时 可以使用下拉菜单选择您希望禁用所选组 件的时间段 然后单击应用以禁用该安全组件 要重新启用防护 请单击启用病毒和间谍软件防护 29

30 计算机模块允许您启用 禁用并配置以下组件 文件系统实时防护 - 在计算机上打开 创建或运行任何文件时 都将扫描该文件是否带有恶意代码 文档防护 - 文档防护功能会在打开 Microsoft Office 文档之前对其进行扫描 还会扫描通过 Internet Explorer 自动下载的文件 如 Microsoft ActiveX 元素 设备控制 - 此模块允许您扫描 阻止或调整扩展的过滤器 权限 并定义用户是否能够访问和使用给定设备 HIPS - HIPS 系统监视操作系统内发生的事件 并按照自定义的规则集进行响应 演示模式 - 为那些需要不中断其使用软件 不希望被弹出窗口打扰 并希望尽量减少 CPU 使用的用户提供的 功能 启用演示模式后您将收到警告消息 潜在安全风险 主程序窗口将变为橙色 反隐藏防护 - 提供对可在操作系统下隐藏自己的危险程序的检测 例如 Rootkit 这意味着使用普通测试技术 很难检测到它们 Web 访问保护 - 如果启用 将扫描所有通过 HTTP 或 HTTPS 的通信以查看是否有恶意软件 电子邮件客户端防护 - 监视通过 POP3 和 IMAP 协议接收的通信 网络钓鱼防护 - 防止冒充合法网站的非法网站尝试获取密码 银行数据和其他敏感信息 从而为您提供保 护 注意 默认情况下 文档防护处于禁用状态 如果需要 您可以通过单击开关图标轻松地启用它 在设置窗口的底部还有其他选项 若要使用 xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 请使用导入 导出设置 有关详细信息 请参阅导入 导出设置 如果要设置更多详细选项 请单击高级设置或按 F5 30

31 753 工 具 诊断日志记录 - 配置在诊断日志记录启用后将编写诊断日志的组件 当您单击开关以启用诊断日志记录时 您 可以选择启用该功能的时间 １ 分钟 ３ 分钟 １ 小时 ４ 小时 ２ ４ 小时 直到下一次服务器重启或永久 此选 项卡内未显示的组件将始终编写诊断日志 在选定时段内启用诊断日志记录 31

32 754 导 入 和 导 出 设 置 可在设置下通过依次单击导入 导出 设置来导入和导出 ESET File Security 的配置 导入和导出都使用 xml 文件类型 如果您需要备份 ESET File Security 的当前设置 导入和导出十分有用 以后可 将其用于对其他计算机应用相同的设置 32

33 76 工具 工具 菜单包含的模块可帮助简化程序管理并提供附加选项 它包含以下工具 正在运行的进程 查看活动 防护统计 群集 ESET Shell ESET SysInspector ESET SysRescue Live 计划任务 提交样本以供分析 隔离区 33

34 761 运 行 的 进 程 运行的进程显示计算机上运行的程序或进程 并保持 ESET 立刻且持续地获知新入侵 ESET File Security 提供有 关运行的进程的详细信息 以通过启用 ESET LiveGrid 技术来保护用户 风险级别 - 在大多数情况下 ESET File Security 和 ESET LiveGrid 技术使用一系列启发式规则检查每个对象的特 性 然后评估恶意活动的可能性 从而将风险级别指定给对象 文件 过程 注册表项等 基于这些启发式扫 描 会向对象指定风险级别 级别从 1 - 良好 绿色 到 9 - 危险 红色 进程 - 当前在计算机上运行的程序或进程的映像名称 要查看计算机上运行的所有进程 还可以使用 Windows 任务管理器 可以通过右键单击任务栏中的空白区域 然后单击任务管理器 或者通过按下键盘上的 Ctrl+Shift +Esc 来打开任务管理器 PID - 是在 Windows 操作系统中运行的进程的 ID 注意 标记为良好 绿色 的已知应用程序肯定干净 白名单 并且不会经过扫描 因为这样将改善手动计算 机扫描的扫描速度或计算机上的实时文件系统防护 用户数量 - 使用给定应用程序的用户数量 此信息由 ESET LiveGrid 技术收集 发现时间 - 自从应用程序被 ESET LiveGrid 技术发现以来的时段 注意 当应用程序被标记为 未知 橙色 安全级别时 它不一定就是恶意软件 通常它是一个较新的应用程 序 如果您对文件不确定 请使用提交样本以供分析功能将该文件发送到 ESET 病毒实验室 如果证实文件是一 个恶意应用程序 则以后的某个病毒库更新中将增加对它的检测 应用程序名称 - 此进程所属程序的给定名称 34

35 通过单击底部的给定应用程序 以下信息将显示在窗口底部 路径 - 计算机上应用程序的位置 大小 - 以 kb 千字节 或 MB 兆字节 为单位的文件大小 说明 - 基于操作系统说明的文件特性 公司 - 供应商或应用程序进程的名称 版本 - 来自应用程序发布者的信息 产品 - 应用程序名称和 或企业名称 创建日期 - 创建应用程序的日期和时间 修改日期 - 最后一次修改应用程序的日期和时间 注意 还可以对不充当运行程序 进程的文件检查信誉 - 标记要检查的文件 右键单击它们 然后从右键菜单 中依次选择高级选项 > 使用 ESET LiveGrid 检查文件信誉 762 查 看 活 动 若要以图表形式查看当前文件系统活动 请单击工具 > 查看活动 将在两个图表中向您显示在系统中读取和 写入的数据量 图表的底部是时间线 用于实时记录选定时间范围内的文件系统活动 若要更改时间范围 请从 刷新率下拉菜单中进行选择 35

36 有以下选项可供使用 1 秒 - 图表每秒刷新一次 时间线范围为最后 １ 分钟 1 分钟 最后 ２ ４ 小时 - 图表每分钟刷新一次 时间线范围为最后 ２ ４ 小时 1 小时 最后一个月 - 图表每小时刷新一次 时间线范围为最后一个月 1 小时 选定月份 - 图表每小时刷新一次 时间线范围为选定的月份 单击更改月份按钮进行其他选择 文件系统活动图表的纵轴表示读取的数据量 蓝色 和写入的数据量 红色 这两个值均以 KB 千字节 MB/ GB 为单位 如果将鼠标移到图表下方图例中的读取数据或写入数据的上方 图表将仅显示该活动类型的数据 7621 时 段 选 择 选择要在图表中查看的文件系统活动 的月份 和年份 763 E S E T Lo g Co lle c to r ESET Log Collector 是一个应用程序 它自动从服务器收集信息 例如配置和日志 以便帮助更快地解决问题 如 果 ESET 客户服务部门正在处理您的案例 可能会要求您提供计算机日志 ESET 日志收集器可使您轻松收集所需 信息 ESET Log Collector 可从主菜单中访问 方法是依次单击工具 > ESET 日志收集器 选择与您想要收集的日志对应的复选框 如果您不确定要选择的内容 请使所有复选框都处于选中状态 默 认 指定要保存压缩文件的位置 然后单击保存 压缩文件名已预定义 单击收集 36

37 在收集期间 您可以查看底部的操作日志窗口 以查看当前正在进行的操作 完成收集后 将显示所有收集和压 缩的文件 这表示收集已成功并且压缩文件 例如 emsx_logszip 已经保存在指定的位置中 有关 ESET Log Collector 的进一步信息以及 ESET Log Collector 实际收集的文件的列表 请访问 ESET 知识库 764 防 护 统 计 要查看与 ESET File Security 的防护模块相关的统计数据的图表 请依次单击工具 > 防护统计 从统计信息下拉 菜单中选择所需的保护模块可以查看相应的图表和图例 如果将鼠标移到图例中的项目上 则图表中将仅显示 该项目的数据 以下统计图表可供使用 病毒和间谍软件防护 - 显示被感染对象和已清除对象的总数 文件系统防护 - 仅显示已读取或写入文件系统的对象 电子邮件客户端防护 - 仅显示电子邮件客户端发送或接收的对象 Web 访问和网络钓鱼防护 - 仅显示 Web 浏览器下载的对象 在统计图表旁边 您可以看到所有已扫描对象数 被感染对象数 已清除对象数和干净对象数 单击重置以清 除统计信息 或单击全部重置以清除并删除所有现有数据 37

38 765 群 集 ESET 群集 是 Microsoft Windows Server 的 ESET 产品线的 P2P 通信基础架构 此基础架构使 ESET Server 产品能够相互通信和交换数据 例如 配置和通知 以及同步产品实例组正确操作所 需的数据 此组的一个示例是安装了 ESET 产品的 Windows 故障转移群集或网络负载平衡 NLB) 群集中的一个 节点组 在该群集中需要使整个群集上的产品配置都一致 ESET 群集可确保实例之间的一致性 注意 用户界面设置在 ESET 群集节点之间不会进行同步 正确配置后 ESET 群集状态页可从工具 > 群集的主菜单访问 且该状态页应如下所示 若要设置 ESET 群集 请单击群集向导 有关如何使用向导设置 ESET 群集的详细信息 请单击此处 设置 ESET 群集时 有两种添加节点的方式 使用现有的 Windows 故障转移群集 NLB 群集自动添加或通过浏览 工作组或域中的计算机手动添加 自动检测 - 自动检测已经是 Windows 故障转移群集 NLB 群集成员的节点并将其添加到 ESET 群集 浏览 - 您可以通过键入服务器名称 同一工作组的成员或同一域的成员 手动添加节点 注意 若要使用 ESET 群集功能 服务器不一定要是Windows 故障转移群集 NLB 群集的成员 若要使用 ESET 群集 您的环境中并不需要 Windows 故障转移群集或 NLB 群集 将节点添加到 ESET 群集后 下一步是在每个节点上安装 ESET File Security 此操作已在 ESET 群集设置期间自动 完成 在其他群集节点上远程安装 ESET File Security 所需的凭据 域方案 域管理员凭据 工作组方案 您需要确保所有节点使用相同的本地管理员帐户凭据 38

39 在 ESET 群集中 您还可以使用自动添加为现有 Windows 故障转移群集 NLB 群集成员的节点以及手动添加的节 点 前提是它们位于相同的域中 的组合 注意 无法合并域节点和工作组节点 使用 ESET 群集的另一项要求是 必须先在 Windows 防火墙中启用文件和打印机共享 然后才能在 ESET 群集节 点上进行 ESET File Security 安装 通过单击销毁群集即可轻松清除 ESET 群集 每个节点都会在它们的事件日志中写入一条关于 ESET 群集销毁的 记录 之后 所有 ESET 防火墙规则都将从 Windows 防火墙中删除 之前的节点将恢复为其以前的状态并且可再 次用于其他 ESET 群集 如有必要 注意 在 ESET File Security 和 ESET File Security for Linux 之间创建 ESET 群集不受支持 可以随时将新的节点添加到现有的 ESET 群集 方法是采用上面以及此处所述的方式运行群集向导 7651 群 集 向 导 第 １ 页 设置 ESET 群集的第一步是添加节点 您可以使用自动检测选项或浏览来添加节点 或者 您可以在文本框中键 入服务器名称 然后单击添加 自动检测可从现有 Windows 故障转移群集 网络负载平衡 NLB) 群集中自动添加节点 若要自动添加节点 您 用来创建 ESET 群集的服务器需是此 Windows 故障转移群集 NLB 群集的成员 NLB 群集必须在 ESET 群集的群集 属性中启用允许远程控制功能 以便 ESET 群集能够正确检测节点 在获得新添加的节点的列表后 如果您只想 要 ESET 群集中的特定节点 您可以删除不需要的节点 单击浏览来查找并选择域或工作组中的计算机 此方法允许手动将节点添加到 ESET 群集 另一种添加节点的方式是通过键入您想要添加的服务器的主机名 然后单击添加 39

40 单击下一步后 当前选中的要添加到 ESET 群集的群集节点 若要修改列表中的群集节点 选择您想要删除的节点并单击删除 或单击全部删除以完全清除列表 如果您已经有现有 ESET 群集 您可以随时向其添加新节点 这些步骤与上面所述的步骤相同 注意 列表中保留的所有节点都必须联机且可读 默认情况下 本地主机将添加到群集节点中 40

41 7652 群 集 向 导 第 ２ 页 定义群集名称 证书分发模式以及是否在其他节点上安装产品 群集名称 - 键入您的群集名称 侦听端口 - 默认端口为 ９ ７ ７ ７ 在 Windows 防火墙中打开端口 - 如果选中的规则是在 Windows 防火墙中创建的 证书分发 自动远程 - 证书将自动安装 手动 - 在您单击生成时 浏览窗口将打开 选择要在其中存储证书的文件夹 将创建一个根证书 并且将为每个 节点 包括您用于设置 ESET 群集的节点 本地计算机 创建一个证书 然后 通过单击是选择将证书注册到本 地计算机 稍后 您将需要手动导入证书 如此处所述 产品安装到其他节点 自动远程 - ESET File Security 将在每个节点上自动安装 前提是它们的操作系统都采用相同的架构 手动 - 如果您想要手动安装 ESET File Security 例如 当您在某些节点上拥有不同的操作系统架构时 则选择此 选项 在未激活产品的情况下将许可证推送到节点 - 选中此选项时 节点将激活 ESET File Security 注意 如果您想要使用混合操作系统架构 ３ ２ 位和 ６ ４ 位 创建 ESET 群集 则需要手动安装 ESET File Security 后续步骤将对此进行检测 您将在日志窗口中看到此信息 41

42 7653 群 集 向 导 第 ３ 页 指定安装详细信息后 节点检查将运行 您将在节点检查日志中看到以下正在检查的内容 检查所有现有节点均处于联机状态 检查新节点可供访问 节点处于联机状态 管理员共享可供访问 可以进行远程执行 已安装正确版本的产品或者无产品 仅在选择了自动安装时 检查是否存在新的证书 42

43 完成节点检查后 您即可看到报告 43

44 7654 群 集 向 导 第 ４ 页 如果在 ESET 群集初始化期间必须在远程计算机上安装产品 安装程序包将检查 ProgramData%\ESET \<Produt_name>\Installer 目录中是否存在安装程序 如果在该处找不到安装程序包 系统将要求用户查找一个 安装程序包 注意 尝试将自动远程安装用于具有不同平台 ３ ２ 位与 ６ ４ 位 的节点时 将对此进行检测并且将建议手动安 装此节点 44

45 注意: 如果您已在某些节点上安装了较旧版本的 ESET File Security 则在创建群集前 需要在这些计算机上重 新安装较新版本的 ESET File Security 这可能会导致这些计算机自动重新启动 在此情况下 您应该会看到一个 警告 45

46 正确配置 ESET 群集后 它将在设置 > 服务器页中显示为已启动 46

47 此外 您还可以在群集状态页 工具 > 群集 中检查其当前状态 导入证书 导航到包含证书 在使用群集向导期间生成 的文件夹 选择证书文件并单击打开 766 E S E T S he ll eshell ESET Shell 的简称 是 ESET File Security 的命令行界面 它是图形用户界面 GUI) 的替代 eshell 具有 GUI 通常可提供的所有功能和选项 eshell 可用来配置和管理整个程序而无需使用 GUI 除了在 GUI 中提供的所有功能和特性 它还通过运行脚本来配置 修改配置或执行操作来提供实现自动化的可 能性 而且 eshell 对于喜欢使用命令行而非 GUI 的用户可能比较有用 eshell 的运行模式有两种 交互模式 当您想要使用 eshell 不仅仅执行单个命令 执行更改配置 查看日志等任务时 它会很有用 即使 您还不熟悉所有命令 也可以使用交互模式 在 eshell 中导航时 交互模式可以使之更容易 它还显示可以在 特定上下文中使用的命令 单个命令 批处理模式 如果您仅需要执行单个命令 则可以使用该模式 而无需进入 eshell 的交互模式 若 要执行此操作 可以在 Windows 命令提示下 键入eshell 来执行此操作 例如 eshell get status 或 eshell set antivirus status disabled 为了在批处理 脚本模式下运行某些命令 例如上述第二个示例 您需要首先配置几个设置 否则 您会收到访 问被拒绝消息 这是出于安全考虑 注意 要获取完整功能 我们建议您使用以管理员身份运行来打开 eshell 通过 Windows 命令提示 cmd) 运 行单个命令时也可使用此方法 使用以管理员身份运行打开 cmd 否则您将无法执行所有命令 这是因为 当 47

48 您使用除管理员以外的其他帐户打开 cmd 或 eshell 时 您没有足够的权限 注意 为了从 Windows 命令提示下运行 eshell 命令或运行批处理文件 您需要进行一些设置 有关运行批处 理文件的进一步信息 请单击此处 若要进入 eshell 交互模式 可以使用以下两种方式之一 通过 Windows 开始 菜单 开始 > 所有程序 > ESET > > ESET shell 在 Windows 命令提示下 键入eshell 并按 Enter 键 当您第一次在交互模式下运行 eshell 时 将显示首次运行 指南 屏幕 注意 如果想要在将来首先显示运行屏幕 则键入guide 命令 它显示了如何使用 eshell 的一些基本示例 带 有语法 前缀 命令路径 缩写格式 别名等 它实质上是 eshell 的快速指南 下次运行 eshell 时 您将看到此屏幕 注意 命令不区分大小写 无论使用大写还是小写字母 都将执行该命令 自定义 eshell 您可以自定义 eshell 在ui eshell 上下文中 您可以为脚本配置别名 颜色 语言 执行策略 您可以选择显示 隐藏命令 以及进行一些其他设置 7661 用 法 语法 用正确的语法编写命令格式 命令才有效 命令可以由前缀 上下文 自变量和选项等组成 这是 eshell 中常用 的语法 [<前缀 ] [<命令路径 ] <命令 [<自变量 ] 示例 这将激活文档防护 SET ANTIVIRUS DOCUMENT STATUS ENABLED SET - 前缀 ANTIVIRUS DOCUMENT STATUS - 命令本身 - 命令的自变量 ENABLED 48 - 特定命令的路径 此命令所属的上下文

49 使用? 作为命令的参数将显示该特定命令的语法 例如 STATUS? 将显示STATUS 命令的语法 语法 [get] status set status enabled disabled 您可能注意到[get] 使用了方括号 它表示前缀get 是status 命令的默认值 这意味着当您执行status 而不指定 任何前缀时 实际将使用默认前缀 在此情况下 为get status) 使用无前缀的命令可在键入时节省时间 通常 get 是大多数命令的默认前缀 但您需要清楚特定命令的默认前缀是什么 而且它确实是您想执行的 注意 命令不区分大小写 无论使用大写还是小写字母 命令将同样执行 前缀 操作 前缀表示一种操作 GET 前缀将提供如何配置 ESET File Security 的特定功能的信息 或显示状态 例如GET ANTIVIRUS STATUS 将显示当前防护状态 SET 前缀将配置功能或更改其状态 SET ANTIVIRUS STATUS ENABLED 将 激活防护 这些是 eshell 允许您使用的前缀 命令可能支持 也可能不支持其中一些前缀 - 返回当前设置 状态 - 设置值 状态 SELECT - 选择项目 ADD - 添加项目 REMOVE - 删除项目 CLEAR - 删除所有项目 文件 START - 开始操作 STOP - 停止操作 PAUSE - 暂停操作 RESUME - 继续操作 RESTORE - 恢复默认设置 对象 文件 SEND - 发送对象 文件 IMPORT - 从文件导入 EXPORT - 导出到文件 GET SET 类似GET 和 SET 的前缀可用于许多命令 但某些命令 例如EXIT 则不使用前缀 命令路径 上下文 命令被放置在形成树结构的上下文中 树结构的顶层是根目录 当运行 eshell 时 您处于根目录级 eshell> 49

50 您可以从此处执行命令 也可以输入上下文名称在树中导航 例如 当您输入TOOLS 上下文时 将列出所有命令 和此处可用的子上下文 黄色项目是可以执行的命令 灰色项目是可以输入的子上下文 子上下文包含更多命令 如果需要返回到上一级 则使用 两个点 例如 假设您在此位置 eshell antivirus startup> 键入 将让您向上一级 达到 eshell antivirus> 如果想要从eShell antivirus startup> 比根目录低两级 返回到根目录 只要键入 两个点和由空格隔开 的另外两个点 即可 这样 您将向上两级 在此情况下为根目录 使用反斜杠\ 从任意层级直接返回到根 无论 您处在上下文树结构中的哪一个层级 如果您想要访问较高级别的特定上下文 只需使用相应数目的 作为您 需要访问所需层级对应的数目 但要使用空格作为分隔符 例如 如果您想要访问三个更高级别 则使用 路径相对于当前上下文 如果命令包含在当前上下文中 则不输入路径 例如 要执行GET 则输入 - 如果在根上下文中 命令行显示 eshell> ) GET STATUS - 如果在上下文ANTIVIRUS 中 命令行显示eShell antivirus>) GET STATUS - 如果在上下文ANTIVIRUS STARTUP 命令行将显示eShell antivirus ANTIVIRUS STATUS GET ANTIVIRUS STATUS startup> ) 注意 您可以使用一个 点 而不是两个 因为一个点是两个点的缩写 例如 GET STATUS - 如果在上下文ANTIVIRUS STARTUP 命令行将显示eShell antivirus startup> ) 自变量 自变量是为特定命令执行的操作 例如 命令CLEAN-LEVEL 位于ANTIVIRUS 一起使用 REALTIME ENGINE 中 可以与以下参数 - 不清除 normal - 正常清除 strict - 严格清除 no 另一个例子是自变量ENABLED 或DISABLED 它们用于启用或禁用特定特性或功能 缩写格式 简写命令 eshell 允许您简写上下文 命令和自变量 如果自变量是开关或备用选项 如果前缀或自变量是类似数字 名 称或路径的具体值 则无法简写 50

51 简写格式示例 set status enabled => set stat en add antivirus common scanner-excludes C:\path\fileext => add ant com scann C:\path\fileext 如果有两个命令或上下文以相同字母开始 例如ABOUT 和ANTIVIRUS 而且输入A 作为简写的命令 eshell 将不能 决定您想运行这两个命令中的哪一个 它将显示错误消息 并列出以 A 开头的命令供您选择 eshell>a 以下命令不是唯一的 a 以下命令在此上下文中可用 ABOUT - 显示有关程序的信息 ANTIVIRUS - 对上下文病毒防护进行的更改 通过添加一个或多个字母 例如AB 而不仅仅是A) eshell 将执行ABOUT 命令 因为它现在是唯一的 注意: 当您想要确保命令以需要的方式执行时 我们建议不要缩写命令 自变量等 而是使用完整格式 这样 可以按您的需要精确执行 防止出现不希望发生的错误 对于批处理文件 脚本尤其是这样 自动完成 这是自版本 ２ 起的 eshell 中的新功能 这与 Windows 命令提示中的自动完成非常相似 只不过 Windows 命令 提示完成文件路径 而 eshell 还完成命令 上下文和操作名称 不支持参数完成 当键入命令时 只需按 TAB 键 即可完成或通过可用变体进行循环 按 SHIFT + TAB 循环后退 不支持混合缩写形式和自动完成 使用两者中的 一种 例如 当您键入antivir real scan 后 按 TAB 键将不起任何作用 应改为键入antivir 然后按 TAB 以完成 antivirus 继续键入 real 同时按 TAB 并且键入 scan 同时按 TAB 随后 可以通过所有可用变体进行循环 scancreate scan-execute scan-open 等等 别名 别名是可以用来执行命令的备用名称 假设已为命令指定了别名 下面是一些默认别名 - 退出 - 退出 (global) bye - 退出 warnlog - 工具日志事件 virlog - 工具日志检测 (global) close (global) quit antivirus on-demand log - 工具日志扫描 global) 表示命令可以用在任何地方 而不管当前的上下文如何 一个命令可以有多个别名 例如命令EXIT 具 有别名CLOSE, QUIT 和BYE 当您想要退出 eshell 时 可以使用EXIT 命令本身或其任意别名 别名VIRLOG 是命令 DETECTIONS 的别名 该命令位于TOOLS LOG 上下文中 这样 检测命令在ROOT 上下文中将可用 从而更便于访问 您不必输入TOOLS 然后再输入LOG 上下文 而是从ROOT) eshell 允许您定义自己的别名 命令ALIAS 可在以下位置找到 UI ESHELL 上下文 密码保护设置 ESET File Security 设置可由密码保护 您可以设置使用 GUI 的密码或 eshell 使用set ui access lock-password 命令 然后 您将必须以交互方式为某些命令 例如更改设置或修改数据的命令 输入此密码 如果您计划长期 使用 eshell 并且不希望重复输入密码 您可以使用以下命令使 eshell 记住密码 set password 随后即可为每 个需要密码的执行命令自动填写您的密码 只要不退出 eshell 它将一直记住密码 这意味着在以下情况中您 需要再次使用set password 当您启动新会话并希望 eshell 记住您的密码时 指南 帮助 当您运行GUIDE 或HELP 命令时 它将显示 首次运行 屏幕 解释如何使用 eshell 此命令在ROOT 上下文中可用 eshell> ) 命令历史记录 eshell 保留以前执行的命令的历史记录 这仅应用于当前 eshell 交互会话 一旦退出 eshell 命令历史记录将被 废弃 使用键盘上的 向上 和 向下 箭头键可在历史记录中浏览 一旦找到所寻找的命令 就可以再次执行它或 修改它 而无需从头键入整个命令 CLS/清除屏幕 CLS 命令可用于清除屏幕 它的工作方式与 Windows 命令提示相同 或与命令行界面相似 51

52 EXIT / CLOSE / QUIT / BYE 要关闭或退出 eshell 您可以使用以下任意命令 EXIT, CLOSE, QUIT 或BYE) 7662 命 令 本节列出附带说明的几个 eshell 基础命令作为示例 注意 命令不区分大小写 无论使用大写还是小写字母 命令将同样执行 示例命令 包含在 ROOT 上下文中 ABOUT 列出有关程序的信息 它显示安装的产品名称 版本号 安装的组件 包括每个组件的版本号 和有关服务器和 运行 ESET File Security 的操作系统的基本信息 上下文路径 root PASSWORD 通常 出于安全原因 若要执行受密码保护的命令 将提示您键入密码 它应用于类似禁用病毒防护和可能影响 ESET File Security 功能的命令 每次执行这样的命令时 都会提示您输入密码 为了避免每次都输入密码 可以 定义此密码 eshell 将记住该密码 并在执行受密码保护的命令时自动使用它 这样就不必每次都输入密码 注意 定义的密码仅对于当前 eshell 交互会话起作用 一旦退出 eshell 该定义的密码将被废弃 再次启动 eshell 时 需要重新定义密码 在运行批处理文件 脚本时 该定义的密码也很有用 以下是此类批处理文件的示例 eshell start batch "&" set password plain <yourpassword> "&" set status disabled 上面这一连接的命令将启动批处理模式 定义将使用的密码以及禁用保护 上下文路径 root 语法 [get] restore password set password [plain <password>] 操作 get - 显示密码 set - 设置或清除密码 restore - 清除密码 自变量 plain - 切换到输入密码作为参数 password - 密码 示例 set password plain <yourpassword> restore password 52 - 清除密码 - 设置密码 该密码将用于受密码保护的命令

53 示例 get password - 使用此命令可查看密码是否已配置 密码将仅显示为星号 不会列出密码本身 如果看不到 星号 表示还未设置密码 set password plain <yourpassword> restore password - 使用此命令设置定义的密码 - 此命令清除定义的密码 STATUS 显示有关 ESET File Security 当前保护状态的信息 类似于 GUI 上下文路径 root 语法 [get] restore status set status disabled enabled 操作 get - 显示病毒防护状态 set - 禁用 启用病毒防护 restore - 恢复默认设置 自变量 disabled enabled - 禁用病毒防护 - 启用病毒防护 示例 get status - 显示当前防护状态 set status disabled restore status - 禁用防护 - 恢复对默认设置的防护 已启用 VIRLOG 这是 DETECTIONS 命令的别名 当您需要查看有关检测到的渗透的信息时 它会很有用 WARNLOG 这是 EVENTS 命令的别名 当您需要查看有关各种事件的信息时 它会很有用 7663 批 处 理 文 件 脚本 您可以将 eshell 用作强大的脚本工具以实现自动化 若要将批处理文件与 eshell 结合使用 请使用 eshell 创建 一个批处理文件并在其中编写命令 例如 eshell get antivirus status 您还可以连接命令 有时候这是必要的 例如如果您想要获取特定计划任务的类型 则输入以下命令 eshell select scheduler task 4 "&" get scheduler action 选择项目 在本例中为 ４ 号任务 通常仅适用于当前正在运行的 eshell 实例 如果您要依次运行这两个命令 则 第二个命令将会失败 并显示 未选择任务或选择的任务已不存在 错误 由于安全原因 默认情况下 执行策略将设置为 受限脚本 这允许您将 eshell 用作监视工具 但不允许您对 ESET File Security 进行配置更改 对于可以影响安全性的命令 例如关闭防护 您将收到访问被拒绝消息 为了 能够执行这些命令以进行配置更改 我们建议您使用已签名的批处理文件 53

54 如果出于某些特定原因 您需要能够通过使用在 Windows 命令提示中手动输入的单个命令来更改配置 您必须 授予 eshell 完全访问权限 不建议 若要授予完全访问权限 请使用ui eshell shell-execution-policy 命令 在 eshell 本身的交互模式下 也可以通过高级设置 > 用户界面 > ESET Shell 中的 GUI 完成此操作 已签名的批处理文件 eshell 允许您使用签名保护常用批处理文件 bat) 使用与用于设置保护的同一密码对脚本进行签名 为了对 脚本进行签名 您需要先启用设置保护 您可以通过 GUI 或者在 eshell 内使用set ui access lock-password 命 令完成此操作 当设置保护密码设置完成后 您可以开始对批处理文件进行签名 若要对批处理文件进行签名 请运行sign <scriptbat> 在 eshell 的根上下文中 其中 scriptbat 是您要进行 签名的脚本的路径 输入并确认将用于进行签名的密码 此密码必须与设置保护密码相匹配 签名以注释的形 式置于批处理文件的末尾 如果此脚本之前已进行过签名 则使用新的签名替换该签名 注意 当您修改之前进行过签名的批处理文件时 需要对该文件进行重新签名 注意 如果更改了设置保护密码 则需要对所有脚本进行重新签名 否则在您更改设置保护密码后将无法执 行这些脚本 这是因为在对脚本进行签名时输入的密码必须与目标系统上的设置保护密码相匹配 若要在 Windows 命令提示下或作为计划任务执行已进行签名的批处理文件 请使用以下命令 eshell run <scriptbat> 其中 scriptbat 是批处理文件的路径 例如 eshell run d:\myeshellscriptbat 767 E S E T S y s Ins p e c to r ESET SysInspector 是一个可彻底检查计算机 收集有关系统组件 例如 已安装的驱动程序和应用程序 网络连 接或重要注册表条目 的详细信息以及评估每个组件风险级别的应用程序 该信息有助于确定可能由于软硬件 不兼容或恶意感染而导致出现可疑系统行为的原因 ESET SysInspector 窗口显示下列有关已创建的日志的信息 时间 - 日志创建时间 注释 - 简短注释 用户 - 创建日志的用户的姓名 状态 - 日志创建的状态 可用操作包括 打开 - 打开已创建的日志 您还可以通过以下方式执行此操作 右键单击已创建的日志 然后从右键菜单中选 择显示 比较 - 比较两个现有日志 创建 - 创建新日志 在 ESET SysInspector 日志完成 状态显示为 已创建 之前 请稍候 删除 - 删除列表中选定的日志 右键单击一个或多个选定日志后 可从右键菜单中使用以下选项 显示 - 在 ESET SysInspector 中打开选定日志 相当于双击日志 比较 - 比较两个现有日志 创建 - 创建新日志 在 ESET SysInspector 日志完成 状态显示为 已创建 之前 请稍候 删除 - 删除列表中选定的日志 全部删除 - 删除所有日志 导出 - 将日志导出为 xml 文件或压缩的 xml 54

55 7671 创 建 计 算 机 状 态 快 照 输入要创建的日志的简短注释 然后单击添加按钮 在 ESET SysInspector 日志完成 状态为已创建 之前 请稍 候 日志创建可能需要一些时间 具体取决于您的硬件配置和系统数据 7672 E S E T S y s Ins p e c to r E S E T S y s Ins p e c to r 介 绍 ESET SysInspector 是彻底检查您的计算机并全面显示所收集数据的应用程序 安装的驱动程序和应用程序 网 络连接或重要注册表项等信息有助于调查因软件或硬件不兼容或恶意软件感染引起的可疑系统行为 有两种方式可用来访问 ESET SysInspector 从 ESET Security 解决方案中的集成版本或从 ESET 网站免费下载单机 版本 SysInspectorexe) 两种版本的功能一致且有相同的程序控件 唯一的区别是管理输出的方式不同 无论独 立的还是集成的版本都允许您将系统快照输出为 xml 文件并保存至磁盘 但是 集成的版本还允许您直接在工 具 > ESET SysInspector 中存储系统快照 ESET Remote Administrator 除外 ESET SysInspector 扫描计算机时需要一些时间 可能花费 １ 秒到几分钟 这决取于硬件配置 操作系统和计算 机上安装的应用程序数量 启 动 E S E T S y s Ins p e c to r 若要启动 ESET SysInspector 只需运行从 ESET 网站下载的 SysInspectorexe 可执行文件 应用程序检查您的系统时 可能需要几分钟 请稍作等待 用 户 界 面 和 应 用 程 序 的 使 用 为了方便使用 主程序窗口被划分为四个主要部分 主程序窗口顶端的程序控件 左侧的导航窗口 右侧的说明 窗口以及位于主程序窗口底部的详细信息窗口 日志状态部分列出了日志的基本参数 过滤器使用 过滤器类 型以及日志是否为比较结果等 55

56 程 序 控 件 本部分包含 ESET SysInspector 中所有可用程序控件的说明 文件 单击文件即可存储当前的日志状态以供将来研究使用 或者打开一个先前存储的日志 对于发布用途 我们建 议生成适合发送的日志 这种形式的日志会省略敏感信息 当前用户名 计算机名称 域名 当前用户权限 环 境变量等 注意 可以将先前存储的 ESET SysInspector 报告拖放至主程序窗口以将其打开 目录 允许您展开或关闭所有节点 并将选定部分导出到服务脚本中 列表 包含使您能在程序内更方便地导航的功能 以及诸如在线查找信息等各种其他功能 帮助 包含应用程序及其功能的相关信息 详细信息 此设置影响主程序窗口中显示的信息 使信息更容易使用 在 基本 模式下 您可以访问查找系统常见问题解 决方法所需的信息 在 中等 模式下 程序显示较少使用的详细信息 在 完整 模式下 ESET SysInspector 显示解 决非常具体问题所需的信息 过滤 项目过滤是查找系统中可疑文件或注册表项的最佳方式 通过调整滑块 您可以按风险级别来过滤项目 如果 将滑块设定到最左侧 风险级别 １ 则会显示所有项目 而将滑块移至右侧 程序将会滤除危险程度低于当前风 险级别的所有项目 只显示比显示级别更可疑的项目 若将滑块移至最右侧 程序将仅显示已知的有害项目 所有标记为风险 ６ 至 ９ 的项目可能具有安全风险 如果您未使用 ESET 的安全解决方案 我们建议您在 ESET SysInspector 找到任何此类项目后 使用 ESET Online Scanner 来扫描您的系统 ESET Online Scanner 是免费服务 注意 将项目颜色与风险级别滑块上的颜色进行比较 可以迅速确定项目的风险级别 比较 比较两个日志时 您可以选择显示所有项目 仅显示已添加的项目 仅显示已删除的项目或仅显示已替换的项 目 查找 搜索用于通过项目名称或部分名称来快速查找特定项目 搜索请求的结果将会显示在 说明 窗口中 返回 通过单击后退或前进箭头 您可以在 说明 窗口中返回先前显示的信息 您可以使用退格键和空格键 来代替 单击后退和前进 状态部分 显示导航窗口中的当前节点 重要信息 突出显示为红色的项目为未知项目 这也正是程序将其标记为潜在危险项目的原因 项目为红色并 不一定就意味着您可以将文件删除 删除前 请确保文件确实是危险的或是不需要的 56

57 E S E T S y s Ins p e c to r 导 航 ESET SysInspector 将各种类型的信息划分到一些称为节点的基本部分中 如果可用 您可以通过扩展各个节点 到其子节点中来查找其他详细信息 若要打开或折叠某节点 双击节点的名称或单击或该节点名称旁边的 当在 导航 窗口中浏览节点和子节点的树结构时 您可能会在 说明 窗口中找到有关每个节点的各种详细信 息 如果在说明窗口中浏览项目 有关每个项目的其他详细信息可能会显示在详细信息窗口中 下面是 导航 窗口中主要节点的说明 以及 说明 和 详细信息 窗口中的相关信息 运行进程 该节点包含生成日志时运行的应用程序和进程的相关信息 在说明窗口中 您可以找到有关每个进程的其他详 细信息 例如由进程使用的动态库及其在系统中的位置 应用程序供应商的名称 文件的风险级别 详细信息窗口包含说明窗口中选定项目的其他信息 例如文件大小或其 Hash 信息 注意 操作系统包含若干重要内核组件 它们会持续运行并为其他用户应用程序提供基本和关键功能 在某些 情况下 此类进程会显示在 ESET SysInspector 工具中 文件路径以 \??\ 开头 这些符号为这些进程提供预启动 优化 它们对系统是安全的 网络连接 说明窗口包含进程和应用程序的列表 这些进程和应用程序使用在导航窗口中选择的协议 TCP 或 UDP 的网络 以及应用程序连接到的远程地址进行通讯 您还可以检查 DNS 服务器的 IP 地址 详细信息窗口包含说明窗口中选定项目的其他信息 例如文件大小或其 Hash 信息 重要注册表项 包含通常与各种系统问题相关的一系列选定注册表项 例如指定启动程序 浏览器帮助程序对象 BHO) 等的注 册表项 在 说明 窗口中 可以找到哪些文件与特定注册表项相关 您可以在详细信息窗口中查看其他详细信息 服务 说明 窗口包含注册为 Windows Services 的文件列表 在 详细信息 窗口中可以检查服务的启动设置方法以及 文件的特定详细信息 驱动程序 系统中安装的驱动程序列表 关键文件 说明窗口显示与 Microsoft Windows 操作系统相关的关键文件的内容 系统计划任务 包含 Windows 计划任务在指定时间 间隔触发的任务列表 系统信息 包含有关硬件和软件的详细信息以及有关设置环境变量 用户权限和系统事件日志的信息 文件详细信息 重要系统文件和 Program Files 文件夹中文件的列表 特定于文件的其他信息可以在说明和详细信息窗口中找 到 关于 关于 ESET SysInspector 版本和程序模块列表的信息 57

58 使用 ESET SysInspector 时可用的快捷键有 文件 Ctrl+O Ctrl+S 打开现有日志 保存已创建的日志 生成 Ctrl+G Ctrl+H 生成标准计算机状态快照 生成计算机状态快照并记录日志敏感信息 项目过滤 1, O 2 3 4, U 5 6 7, B Ctrl+9 Ctrl+0 良好 显示风险级别为 １ ９ 的项目 良好 显示风险级别为 ２ ９ 的项目 良好 显示风险级别为 ３ ９ 的项目 未知 显示风险级别为 ４ ９ 的项目 未知 显示风险级别为 ５ ９ 的项目 未知 显示风险级别为 ６ ９ 的项目 危险 显示风险级别为 ７ ９ 的项目 危险 显示风险级别为 ８ ９ 的项目 危险 显示风险级别为 ９ 的项目 降低风险级别 提高风险级别 过滤模式 相等或更高级别 过滤模式 仅相等级别 查看 Ctrl+5 Ctrl+6 Ctrl+7 Ctrl+3 Ctrl+2 Ctrl+1 BackSpace 空格 Ctrl+W Ctrl+Q 按供应商查看 所有供应商 按供应商查看 仅 Microsoft 按供应商查看 所有其他供应商 显示完整的详细信息 显示中等详细信息 基本显示 后退一步 前进一步 扩展树 折叠树 其他控件 Ctrl+T Ctrl+P Ctrl+A Ctrl+C Ctrl+X Ctrl+B Ctrl+L Ctrl+R Ctrl+Z Ctrl+F Ctrl+D Ctrl+E 在搜索结果中选择后 转至项目的原始位置 显示项目的基本信息 显示项目的完整信息 复制当前项目的树 复制项目 在 Internet 上查找选定文件的相关信息 打开选定文件所在的文件夹 在注册表编辑器中打开相应注册表项 复制文件路径 如果该项目与文件相关 切换至搜索字段 关闭搜索结果 运行服务脚本 比较 Ctrl+Alt+O Ctrl+Alt+R Ctrl+Alt+1 58 打开原始 比较日志 取消比较 显示所有项目

59 Ctrl+Alt+2 Ctrl+Alt+3 Ctrl+Alt+4 Ctrl+Alt+5 Ctrl+Alt+C Ctrl+Alt+N Ctrl+Alt+P 仅显示已添加的项目 日志将显示当前日志中的项目 仅显示已删除的项目 日志将显示以前的日志中的项目 仅显示已替换的项目 含文件 仅显示日志之间的差异 显示比较 显示当前日志 打开以前的日志 其他 F1 Alt+F4 Alt+Shift+F4 Ctrl+I 查看帮助 关闭程序 关闭程序而不询问 日志统计信息 比 较 比较功能允许用户比较两个现有日志 该功能的输出结果是一组这两个日志并不共有的项目 如果您想跟踪系 统中的变化 则这是比较合适的 它是检测恶意代码的有用工具 在启动之后 应用程序会创建新日志并显示在新窗口中 单击文件 > 保存日志 将日志保存到文件 稍后可打 开并查看日志文件 若要打开现有日志 请单击文件 > 打开日志 在主程序窗口中 ESET SysInspector 始终一次 显示一个日志 比较两个日志的好处是可以查看当前活跃日志和文件中保存的日志 若要比较日志 请单击文件 > 比较日志 并选择选择文件 将在主程序窗口中比较活动日志与选定日志 比较日志将仅显示这两个日志之间的区别 注意 如果比较两个日志文件 请单击文件 > 保存日志 并将其另存为 ZIP 文件 则会保存这两个文件 如果稍 后打开此类文件 将自动比较包含的日志 在显示项目的旁边 ESET SysInspector 将显示标识所比较日志之间的差别的标记 所有标记的说明可显示在项目旁边 以前日志中没有出现的新值 包含新值的树结构部分 仅在以前日志中出现的已删除的值 包含已删除的值的树结构部分 值 文件已经更改 包含已修改的值 文件的树结构部分 风险级别已经降低 上一个日志中更高 风险级别已经提高 上一个日志中更低 左下角显示的说明部分介绍了所有标记 还显示了所比较的日志的名称 任何比较日志都可以保存到文件并在稍后打开 示例 生成记录有关系统原始信息的日志 并保存到名为 previousxml 的文件 对系统进行更改之后 打开 ESET SysInspector 并使其生成新日志 将其保存到名为 currentxml 的文件 为了跟踪这两个日志之间的更改 请单击文件 > 比较日志 该程序将创建比较日志 显示日志之间的差别 59

60 如果使用以下命令行选项 也可得到相同的结果 SysIsnpectorexe currentxml previousxml 命 令 行 参 数 ESET SysInspector 支持从命令行使用这些参数生成报告 /gen /privacy /zip /silent /blank 直接从命令行生成日志 而无需运行 GUI 生成日志时忽略敏感信息 以压缩的 zip 文件保存输出日志 从命令行生成日志时不显示进度窗口 启动 ESET SysInspector 而无需生成 加载日志 示例 用法 Sysinspectorexe [loadxml] [/gen=savexml] [/privacy] [/zip] [comparetoxml] 若要将特定日志直接加载到浏览器中 请使用 SysInspectorexe \clientlogxml 若要从命令行生成日志 请使用 SysInspectorexe /gen=\mynewlogxml 若要直接在压缩文件中生成不包含敏感信息的日志 请使用 SysInspectorexe /gen=\mynewlogzip /privacy /zip 若要比较两个日志文件并浏览不同之处 请使用 SysInspectorexe newxml oldxml 注意 如果文件 文件夹的名称包含间隔 则应放在引号内 服 务 脚 本 服务脚本轻松移除系统中有害的对象 帮助使用 ESET SysInspector 的客户 服务脚本允许用户导出整个 ESET SysInspector 日志或其选定部分 导出后 您可以标记不需要的对象以便删除 然后运行修改后的日志来删除标记的对象 服务脚本适用于之前有过系统问题诊断经验的用户 不符合资格的修改可能导致操作系统损坏 示例 如果您怀疑计算机受到未被病毒防护程序检测到的病毒感染 请按下面的逐步说明执行操作 运行 ESET SysInspector 来生成一个新的系统快照 在左侧 在树结构中 部分中选择第一个项目 按下 Shift 键并选择最后一个项目 以标记所有项目 右键单击选定对象 选择导出选定部分到服务脚本 选定的对象将被导出为新日志 以下是整个过程中最关键的步骤 打开新日志 并将您想要删除的所有对象的 属性更改为 请确保您没有 标记任何重要操作系统文件 对象 6 打开 ESET SysInspector 单击文件 > 运行服务脚本并输入脚本路径 7 单击确定运行脚本 生 成 服 务 脚 本 若要生成脚本 请右键单击 ESET SysInspector 主窗口菜单树 左侧窗口 中的任何项目 从右键菜单中选择导出 所有部分到服务脚本或导出选定部分到服务脚本 注意 比较两个日志时不能导出服务脚本 60

61 服 务 脚 本 结 构 在脚本标题的第一行中 可以找到关于引擎版本 ev) GUI 版本 gv) 和日志版本 lv) 的信息 您可以使用此数据 跟踪生成脚本的 xml 文件中的可能更改 并防止执行期间出现任何不一致情况 此部分脚本不应被更改 文件的其余部分分为各节 可以编辑其中的项目 表示项目这些将由脚本处理 通过将项目前的 字符替换 为 字符 标记要处理的项目 脚本中的各节通过空行彼此分隔 每一节都带有编号和标题 01) Running processes 运行进程 本节包含系统中运行的所有进程列表 每个进程由 UNC 路径 进而由星号 中的 CRC 16 哈希代码标识 示例 01) Running processes: - \SystemRoot\System32\smssexe *4725* - C:\Windows\system32\svchostexe *FD08* + C:\Windows\system32\module32exe *CF8A* [] 在此示例中 选择进程 module32exe 以 符号标记 执行脚本时进程将结束 02) Loaded modules 加载的模块 本节列出当前使用的系统模块 示例 02) Loaded modules: - c:\windows\system32\svchostexe - c:\windows\system32\kernel32dll + c:\windows\system32\khbekhbdll - c:\windows\system32\advapi32dll [] 在此示例中 模块 khbekhbdll 由 标记 脚本运行时 将使用该模块识别进程并结束它们 03) TCP connections TCP 连接 本节包含现有 TCP 连接的信息 示例 03) TCP connections: - Active connection: : > :55320, owner: ekrnexe - Active connection: : > :50006, - Active connection: : > :30606, owner: OUTLOOKEXE - Listening on *, port 135 (epmap), owner: svchostexe + Listening on *, port 2401, owner: fserviceexe Listening on *, port 445 (microsoft-ds), owner: System [] 脚本运行时 将查找标记 TCP 连接中套接字的所有者 并停止套接字以释放系统资源 04) UDP endpoints UDP 端点 本节包含现有 UDP 端点的信息 示例 04) UDP endpoints: , port 123 (ntp) , port , port 4500 (ipsec-msft) , port 500 (isakmp) [] 脚本运行时 将隔离标记的 UDP 端点处套接字的所有者 并停止套接字 61

62 05) DNS server entries DNS 服务器条目 本节包含当前 DNS 服务器配置的信息 示例 05) DNS server entries: [] 运行脚本时将删除标记的 DNS 服务器条目 06) Important registry entries 重要注册表项 本节包含重要注册表项的信息 示例 06) Important registry entries: * Category: Standard Autostart (3 items) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - HotKeysCmds = C:\Windows\system32\hkcmdexe - IgfxTray = C:\Windows\system32\igfxtrayexe HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - Google Update = "C:\Users\antoniak\AppData\Local\Google\Update\GoogleUpdateexe" /c * Category: Internet Explorer (7 items) HKLM\Software\Microsoft\Internet Explorer\Main + Default_Page_URL = [] 脚本执行时 标记项将被删除 减小至 字节或重置为默认值 应用于特定项的操作取决于项类别和特定注册 表中的键值 07) Services 服务 本节列出系统中注册的服务 示例 07) Services: - Name: Andrea ADI Filters Service, exe path: c:\windows\system32\aeadisrvexe, state: Running, startup: Automatic - Name: Application Experience Service, exe path: c:\windows\system32\aelupsvcdll, state: Running, startup: Automatic - Name: Application Layer Gateway Service, exe path: c:\windows\system32\algexe, state: Stopped, startup: Manual [] 执行脚本时将停止并卸载标记的服务及其相关服务 08) Drivers 驱动程序 本节列出安装的驱动程序 示例 08) Drivers: - Name: Microsoft ACPI Driver, exe path: c:\windows\system32\drivers\acpisys, state: Running, startup: Boot - Name: ADI UAA Function Driver for High Definition Audio Service, exe path: c:\windows\system32 \drivers\adihdaudsys, state: Running, startup: Manual [] 执行脚本时 将停止选定的驱动程序 注意 有些驱动程序不允许停止 09) Critical files 关键文件 本节包含对操作系统正常工作至关重要的文件的信息 62

63 示例 09) Critical files: * File: winini - [fonts] - [extensions] - [files] - MAPI=1 [] * File: systemini - [386Enh] - woafont=dosappfon - EGA80WOAFON=EGA80WOAFON [] * File: hosts localhost - ::1 localhost [] 选定的项目将被删除或重置为初始值 执 行 服 务 脚 本 标记所有所需项目 然后保存并关闭脚本 通过选择 文件 菜单中的运行服务脚本选项 直接从 ESET SysInspector 主窗口运行编辑的脚本 打开脚本时 程序将提示您以下消息 确定要运行服务脚本 Scriptname % 吗 确认您的选择后可能显示另一个警告 通知您尝试运行的服务脚本尚未签名 单击运行启动脚本 对话窗口将确认脚本成功执行 如果只能部分处理脚本 将显示一个具有以下消息的对话窗口 服务脚本部分运行 是否要查看错误报告 选择是查看列有未执行操作的复杂错误报告 如果脚本未被识别 将显示具有以下消息的对话窗口 所选服务脚本未签名 运行未签名和未知脚本可能严 重危害您的计算机数据 是否确定要运行该脚本并执行操作 这可能是由脚本不一致引起的 标题损坏 节 标题损坏 节之间缺少空行等 您可以重新打开脚本文件并纠正脚本内的错误或创建新的服务脚本 常 见 问 题 解 答 运行 ESET SysInspector 是否需要管理员权限 运行 ESET SysInspector 不需要管理员权限 但收集到的某些信息只能通过管理员帐户访问 以标准用户或受限 制用户的身份运行它 将导致其收集的有关运行环境的信息比较少 ESET SysInspector 是否创建日志文件 ESET SysInspector 可以创建计算机配置的日志文件 要保存某个日志文件 请从主程序窗口中单击文件 > 保存 日志 日志以 XML 格式保存 默认情况下 文件会保存到 %USERPROFILE%\My Documents\ 目录 并使用 "SysInpsector-%COMPUTERNAME%-YYMMDD-HHMMXML" 文件命名约定 如果需要 可以在保存之前更改日志文 件的位置和名称 如何查看 ESET SysInspector 日志文件 若要查看由 ESET SysInspector 创建的日志文件 请运行该程序并从主程序窗口中单击文件 > 打开日志 还可以 将日志文件拖放到 ESET SysInspector 应用程序上 如果需要频繁查看 ESET SysInspector 日志文件 建议在桌面上 创建 SYSINSPECTOREXE 文件的快捷方式 然后可以将日志文件拖放到其中以供查看 出于安全原因 Windows Vista/7 可能不允许在安全权限不同的窗口之间进行拖放 规范是否可用于日志文件格式 SDK 如何 目前 日志文件规范或 SDK 均不可用 因为程序仍在开发中 程序发布之后 我们可能会根据客户反馈和要求提 供这些内容 ESET SysInspector 如何评估由特定对象产生的风险 在大多数情况下 ESET SysInspector 使用一系列启发式规则检查每个对象的特性并评估恶意活动的可能性 将 风险级别指定给对象 文件 进程 注册表项等 基于这些启发式扫描 会向对象指派风险级别 级别从 1- 良 63

64 好 绿色 到 9 - 危险 红色 在左侧导航窗格中 根据所包含对象的最高风险级别 各部分有不同的颜色 风险级别 ６ 未知 红色 是否表示对象存在危险 ESET SysInspector 的评估并不能保证对象是恶意的 这应由安全专家来确定 ESET SysInspector 旨在为安全专家 提供快速评估 以使他们了解需要对系统上的哪些对象进行进一步检查 确定其是否有不正常行为 ESET SysInspector 为什么在运行时连接到 Internet 与许多应用程序一样 ESET SysInspector 已签署数字签名 证书 可帮助确保该软件是 ESET 发布的 并且未进行 过更改 为了验证证书 操作系统会与证书授权机构通信来验证软件发行者的身份 这是 Microsoft Windows 下 通过数字签名的所有程序的正常行为 什么是反隐藏技术 防隐匿技术提供了有效的 Rootkit 检测 如果系统受到行为类似 Rootkit 的恶意代码的攻击 用户将面临数据丢失或被盗的风险 如果没有专用的反 Rootkit 工具 几乎不可能检测到 Rootkit 为什么有时标记为 Signed by MS 的文件同时具有不同的 Company Name 条目 当尝试识别可执行文件的数字签名时 ESET SysInspector 首先查询文件中是否嵌入了数字签名 如果发现数字 签名 将使用该信息验证文件 如果未发现数字签名 ESI 则会开始查找包含已处理可执行文件的相关信息的对 应 CAT 文件 安全目录 %systemroot%\system32\catroot 如果找到相关的 CAT 文件 在可执行文件的验证过程 中将应用该 CAT 文件的数字签名 这就是有时文件标记为 Signed by MS 但却具有不同 CompanyName 条目的原因 768 E S E T S y s R e s c ue Liv e ESET SysRescue Live 是一种实用程序 使您能够创建包含一种 ESET Security 解决方案 ESET NOD32 Antivirus ESET Smart Security 或某些面向服务器的产品 的可引导磁盘 ESET SysRescue Live 的主要优点是 ESET Security 解决方 案独立于主机操作系统运行 并具有直接访问磁盘和文件系统的权限 凭借此功能 您可以删除那些通常无法 删除的渗透 例如在操作系统运行时等 769 计 划 任 务 计划任务管理和启动具有预定义配置和属性的计划任务 配置和属性包含日期和时间等信息以及执行任务期间 使用的配置文件 可从 ESET File Security 主程序窗口中单击工具 > 计划任务来访问 计划任务 计划任务包含所有计划任务和配 置属性 如预定义的日期 时间和使用的扫描配置文件 的列表 计划任务用于计划以下任务 病毒库更新 扫描任务 系统启动文件检查以及日志维护 您可以直接从主 计划 任务 窗口中添加或删除任务 单击添加任务或删除 在 计划任务 窗口中右键单击任意位置可执行以下操 作 显示详细信息 立即执行任务 添加新任务或删除现有任务 使用每个条目开头的复选框来启用 停用任务 默认情况下 计划任务中显示以下计划任务 日志维护 定期自动更新 拨号连接后自动更新 用户登录后自动更新 自动启动文件检查 用户登录后 自动启动文件检查 成功更新病毒库后 自动开始首次扫描 64

65 要编辑现有计划任务 包括默认的和用户定义的 的配置 请右键单击该任务然后单击编辑 或选择要修改的任 务然后单击编辑 添加新任务 1 单击窗口底部的添加任务 2 输入任务的名称 3 从下拉菜单中选择所需任务 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中仍会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作效 率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件 例如 驱动程序 应用程序 的详细信息并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 ２ 分钟后 将作为低优先级任务执行计算机扫描 更新 - 通过更新病毒库和程序模块 计划更新任务 4 如果要激活任务 您可以在之后通过选中 取消选中计划任务列表中的复选框来执行此操作 请单击启用开 关 单击下一步并选择其中一个计时选项 一次 - 任务将在预定义的日期和时间执行 重复 - 任务将以指定的时间间隔执行 每天 - 任务将在每天指定时间重复运行 每周 - 任务将在选定的星期和时间运行 由事件触发 - 任务将在发生指定事件时执行 5 在便携式计算机靠电池供电时 选择靠电池供电时跳过任务以最大限度地减少使用系统资源 将在任务执 行字段中指定的日期和时间运行该任务 如果任务无法在预定义的时间运行 可以指定其再次执行时间 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用自上次运行时间之后经过 65

66 的时间滚动框来定义间隔 右键单击某个任务并单击显示任务详细信息 位于右键菜单中 以查看有关该任务的信息 66

67 7610 提 交 样 本 以 供 分 析 使用样本提交对话框可将文件或站点发送到 ESET 以供分析 该对话框可在工具 > 提交样本以供分析中找到 如果您在计算机上发现了行为可疑的文件或在 Internet 上发现了可疑的站点 可将其提交给 ESET 的病毒实验室 以供分析 如果文件被证实是一个恶意应用程序或网站 则以后的更新中将增加对它的检测 此外 也可以通过电子邮件提交文件 若要执行此操作 请使用类似 WinRAR 或 WinZip 的程序压缩文件 使用密 码 infected 保护压缩文件 并将其发送至 请记住 邮件主题一定要描述清楚 邮件应包含 尽可能多的有关此文件的信息 比如下载此文件的网站名 注意 向 ESET 提交样本前 确保其满足以下一个或多个标准 未检测到文件或网站 将文件或网站错误检测为威胁 除非需要更多信息供分析 否则您不会接收到回信 从提交样本的理由下拉菜单选择最适合您的邮件的描述 可疑文件 可疑站点 被任意恶意软件感染的网站 误报文件 检测为感染 但并未感染的文件 误报站点 其他 文件 站点 - 您想要提交的文件或网站的路径 联系人电子邮件 - 此联系人电子邮件随可疑文件一起发送给 ESET 如果需要更多信息以供分析 可能会使用该 电子邮件与您联系 可选择是否输入联系人电子邮件 除非需要更多信息 否则您不会收到 ESET 的回信 由于 我们的服务器每天都会收到数以万计的文件 因此不可能对所有提交一一回复 67

68 76101 可 疑 文 件 观察到的恶意软件感染迹象和症状 - 输入在您的计算机上观察到的可疑文件行为的描述 文件来源 URL 地址或供应商 - 请输入文件出处 来源 并注明您是如何遇到该文件的 注释和其他信息 - 您可以在这里输入有助于识别可疑文件过程的其他信息或描述 注意 第一个参数 观察到的恶意软件感染迹象和症状 必填 但是提供其他信息将会很大程度地帮助我们 实验室进行样本的识别过程 可 疑 站 点 请从网站问题下拉菜单选择以下内容之一 被感染 - 包含由各种方法分发的病毒或其他恶意软件的网站 网络钓鱼 - 通常用于获取对敏感数据 如银行帐号 PIN 码等 的访问权限 请阅读词汇表中更多关于此类攻 击的信息 欺诈 - 欺骗或欺诈性网站 如果上述选项与您要提交的站点不符 请选择其他 注释和其他信息 - 您可以在这里输入有助于分析可疑网站的其他信息或描述 误 报 文 件 我们请求您提交已检测为感染但却未感染的文件 以帮助我们改进病毒和间谍软件防护引擎并为其他用户提供 防护 当文件模式匹配病毒库中包含的同一模式时 可能会发生误报 FP) 应用程序名称和版本 - 程序标题及其版本 例如 编号 别名或代码名称 文件来源 URL 地址或供应商 - 请输入文件出处 来源 并注明您是如何遇到该文件的 应用程序用途 - 一般应用程序描述 应用程序类型 例如浏览器 媒体播放器 及其功能 注释和其他信息 - 您可以在这里添加有助于处理可疑文件的其他信息或描述 注意 这 三个参数是必填的 以识别合法应用程序并将它与恶意代码区分开来 通过提供其他信息 您将对 我们实验室的识别过程和样本的处理提供极大帮助 误 报 站 点 我们鼓励您提交已检测为感染 欺诈或网络钓鱼但实际是误报的站点 当文件模式匹配病毒库中包含的同一模 式时 可能会发生误报 FP) 请提供该网站以帮助我们改进病毒和网络钓鱼防护引擎 并帮助为其他用户提供 防护 注释和其他信息 - 您可以在这里添加有助于处理可疑文件的其他信息或描述 其 他 如果文件无法归类为可疑文件或误报 请使用此表格 提交文件的原因 - 请输入详细描述和发送文件的原因 68

69 7611 隔 离 区 隔离区的主要功能是安全储存被感染文件 隔离文件的前提是文件出现以下情况 无法清除 不安全或被建议 删除 或被 ESET File Security 错误检测 您可以选择隔离任何文件 如果文件行为可疑但未被病毒防护扫描程序检测到 建议采取隔离措施 可将隔离 的文件提交到 ESET 病毒实验室进行分析 可在表格中查看储存在隔离区文件夹中的文件 表格中显示隔离的日期和时间 被感染文件原始位置的路径 文件大小 字节数 原因 例如 由用户添加的对象 以及威胁数量 例如 是否为包含多个渗透的压缩文件 等 隔离文件 ESET File Security 自动隔离被删除的文件 如果您尚未在警报窗口中禁用该选项 如果需要 您可以手动隔离任 何可疑文件 方法是单击隔离 隔离的文件将从其初始位置删除 也可使用右键菜单达到此目的 在隔离区窗 口中右键单击 然后选择隔离 从隔离区恢复 隔离的文件还可以恢复到其初始位置 可通过在隔离窗口中右键单击给定文件 使用右键菜单中提供的恢复功 能来执行此操作 如果文件被标记为潜在的不受欢迎应用程序 则恢复并且不扫描选项也将可用 请阅读词汇 表中有关此类应用程序的详细信息 右键菜单还提供恢复至 选项 使用此选项可将文件恢复到其被删除时所 在位置之外的其他位置 注意 如果程序错误地隔离了无害文件 请在文件恢复后将其移出扫描队列 并发送给 ESET 客户服务部门 提交隔离区中的文件 如果程序未检测到您隔离的可疑文件 或文件被错误地确认为已受感染 如启发式扫描代码分析所做的评估 并 且随后被隔离 请将该文件发送到 ESET 病毒实验室 要提交隔离区中的文件 请右键单击该文件并从右键菜单 中选择提交要分析的文件 69

70 77 帮助和支持 ESET File Security 包含故障排除工具和支持信息 帮助您解决可能遇到的问题 帮助 搜索 ESET 知识库 - ESET 知识库包含对大多数常见问题的解答以及各种问题的建议解决方案 知识库由 ESET 专业技术人员定期更新 它已成为解决各类问题的最强大工具 打开帮助 - 单击此链接以启动 ESET File Security 帮助页 查找快速解决方案 - 选择此选项可找到大多数常见问题的解决方案 建议您在联系技术支持之前阅读本节 客户服务 提交支持请求 - 如果您找不到问题的答案 也可以使用位于 ESET 网站上的该表格快速联系我们的客户服务 部门 支持工具 威胁百科全书 - ESET 威胁百科全书的链接 包含有关不同类型渗透的危险和症状的信息 病毒库历史记录 - ESET 病毒雷达的链接 包含有关 ESET 病毒库版本的信息 ESET 专用清理器 - 此清理器可自动识别并清除常见的恶意软件感染 有关详细信息 请访问此 ESET 知识库文 章 产品和许可证信息 关于 ESET File Security - 显示有关 ESET File Security 的副本的信息 管理许可证 - 单击以启动产品激活窗口 选择一种可用方法来激活ESET File Security 有关更多信息 请参阅 如何激活 ESET File Security 771 帮 助 主 题 本章介绍所有最常见的问题和难题 单击主题标题了解如何解决您的难题 如何更新 ESET File Security 如何激活 ESET File Security 如何计划扫描任务 每 ２ ４ 小时 如何从服务器中删除病毒 自动排除的工作方式 如果您的问题未包含在上面列出的帮助页面中 请尝试通过描述问题的关键字或短语进行搜索以及在 ESET File Security 帮助页面中搜索 如果在帮助页面中找不到难题 问题的解决方案 您可以尝试使用定期更新的在线知识库 如有必要 您可以直接联系我们的在线技术支持中心咨询您的问题或难题 联系信息表格可在 ESET 程序的 帮 助和支持 选项卡中找到 70

71 7711 如 何 更 新 E S E T File S e c urity 可以通过手动或自动方式更新 ESET File Security 若要触发更新 请单击更新病毒库 您将在程序的更新部分 中找到此按钮 默认安装设置会创建每小时执行的自动更新任务 如果您需要更改时间间隔 请导航到计划任务 有关计划任 务的详细信息 请单击此处 7712 如 何 激 活 E S E T File S e c urity 完成安装后 将提示您激活您的产品 有几种激活产品的方法 激活窗口中特定激活方案的可用性可能根据国家 地区以及分发方式 CD/DVD ESET 网 页等 而不同 要在程序中直接激活您的 ESET File Security 副本 请单击系统托盘图标 并从菜单中选择激活产品许可证 您还可以在主菜单中的帮助与支持 > 激活许可证或保护状态 > 激活产品许可证下激活您的产品 您可以使用以下任一方法来激活 ESET File Security 许可证密钥 - 遵循 XXXX-XXXX-XXXX-XXXX-XXXX 格式的唯一字符串 用于标识许可证所有者和激活许可证 安全管理员帐户 - 使用凭据 电子邮件地址 密码 在 ESET 许可证管理员门户上创建的帐户 此方法允许您 在一个位置管理多个许可证 脱机许可证文件 将传输到 ESET 产品以提供许可证信息的自动生成的文件 您的脱机许可证文件由许可证 门户生成 并在应用程序无法连接到许可证颁发机构的环境中使用 如果您的计算机为托管网络的成员 并且您的管理员将通过 ESET Remote Administrator 执行远程激活 请单击 稍后激活 如果您想要以后再激活此客户端 您也可以使用此选项 在主程序窗口中单击帮助和支持 > 管理许可证 以随时管理许可证信息 您将看到 ESET 用来识别产品并用于 许可标识的公共许可证 ID 您的用户名 计算机在该用户名下注册许可证系统 存储在关于部分中 您可以通过 右键单击系统托盘图标 来查看它 注意 ESET Remote Administrator 能够使用管理员提供的许可证静默激活客户端计算机 7713 如 何 在 计 划 任 务 中 创 建 新 任 务 要在工具 > 计划任务中创建新任务 请单击添加任务或右键单击并从右键菜单中选择添加 提供 ５ 种类型的 计划任务 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中还会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作效 率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件 例如 驱动程序 应用程序 的详细信息并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 ２ 分钟后 将作为低优先级任务执行计算机扫描 更新 - 通过更新病毒库和程序模块 计划更新任务 因为更新是最常用的计划任务之一 所以下面我们将解释如何添加新的更新任务 从计划任务下拉菜单中选择更新 将任务名称输入任务名称字段并单击下一步 选择任务执行频率 提供以 下选项 一次 重复 每天 每周和由事件触发 在便携式计算机靠电池供电时 选择靠电池供电时跳过任 务以最大限度地减少使用系统资源 将在任务执行字段中指定的日期和时间运行该任务 然后 定义无法在计 划时间执行或完成任务时要采取的操作 提供以下选项 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用 自上次运行时间之后经过的 时间 滚动框来定义间隔 71

72 在下一步中 显示有关当前计划任务信息的摘要窗口 完成更改后 单击完成 将显示一个对话窗口 允许您选择用于计划任务的配置文件 您可以在此设置主要和替代配置文件 如果任务 不能用主要配置文件来完成 则使用替代配置文件 单击完成以进行确认 新计划任务将添加到当前计划任务 列表中 7714 如 何 计 划 扫 描 任 务 每 ２４ 小时 若要计划定期任务 请转到 ESET File Security > 工具 > 计划任务 您可以在下面找到关于如何计划每 ２ ４ 小时扫 描一次本地磁盘的任务的简要指南 要计划扫描任务 1 单击主计划任务屏幕中的添加 2 从下拉菜单中选择手动计算机扫描 3 输入任务名称 然后选择重复 4 选择每 ２ ４ 小时 １ ４ ４ 分钟 运行任务 5 选择计划任务执行因任何原因失败时将执行的操作 6 检查计划任务的摘要并单击完成 7 从目标下拉菜单中 选择本地驱动器 8 单击完成以应用此任务 7715 如 何 从 服 务 器 中 删 除 病 毒 如果您的计算机显示感染恶意软件的迹象 例如速度变慢或常常停止响应 我们建议您执行以下操作 1 从 ESET File Security 主窗口中 单击计算机扫描 2 单击智能扫描以开始扫描系统 3 扫描完成后 查看日志中扫描文件 被感染文件和已清除文件的数量 4 如果您要仅扫描磁盘的特定部分 请选择自定义扫描 然后选择要进行病毒扫描的目标 772 提 交 支 持 请 求 为了尽可能快速准确地提供支持 ESET 需要有关 ESET File Security 配置的信息 详细的系统信息以及关于正在 运行的进程 ESET SysInspector 日志文件 和注册表数据的信息 ESET 仅将此数据用于为客户提供技术帮助 提交 Web 表单后 您的系统配置数据将提交到 ESET 如果您希望对此进程记住此操作 请选择始终提交此信 息 若要在不发送任何数据的情况下提交此表格 请单击不提交数据 然后可通过支持的在线表单来联系 ESET 客户服务部门 也可以在高级设置 > 工具 > 诊断 > 客户服务中配置此设置 注意 如果您已决定提交系统数据 则需要填写并提交 Web 表单 否则将不会创建您的票证 而且您的系统 数据将会丢失 72

73 773 E S E T 专 用 清 理 器 ESET 专用清理器是用于常见恶意软件感染 如 Conficker Sirefef 或 Necurs 的清除工具 有关详细信息 请访问 此 ESET 知识库文章 774 关 于 E S E T File S e c urity 此窗口提供已安装版本的 ESET File Security 的详细信息以及已安装程序模块的列表 窗口顶部部分包含有关您 的操作系统和系统资源的信息 您可以单击复制将有关模块 已安装组件 的信息复制到剪贴板 这在排除故障或联系技术支持时有用 775 产 品 激 活 完成安装后 将提示您激活您的产品 有几种激活产品的方法 激活窗口中特定激活方案的可用性可能根据国家 地区以及分发方式 CD/DVD ESET 网 页等 而不同 要在程序中直接激活您的 ESET File Security 副本 请单击系统托盘图标 并从菜单中选择激活产品许可证 您还可以在主菜单中的帮助与支持 > 激活许可证或保护状态 > 激活产品许可证下激活您的产品 您可以使用以下任一方法来激活 ESET File Security 许可证密钥 - 遵循 XXXX-XXXX-XXXX-XXXX-XXXX 格式的唯一字符串 用于标识许可证所有者和激活许可证 安全管理员帐户 - 使用凭据 电子邮件地址 密码 在 ESET 许可证管理员门户上创建的帐户 此方法允许您 在一个位置管理多个许可证 脱机许可证文件 将传输到 ESET 产品以提供许可证信息的自动生成的文件 您的脱机许可证文件由许可证 门户生成 并在应用程序无法连接到许可证颁发机构的环境中使用 73

74 如果您的计算机为托管网络的成员 并且您的管理员将通过 ESET Remote Administrator 执行远程激活 请单击 稍后激活 如果您想要以后再激活此客户端 您也可以使用此选项 在主程序窗口中单击帮助和支持 > 管理许可证 以随时管理许可证信息 您将看到 ESET 用来识别产品并用于 许可标识的公共许可证 ID 您的用户名 计算机在该用户名下注册许可证系统 存储在关于部分中 您可以通过 右键单击系统托盘图标 来查看它 注意 ESET Remote Administrator 能够使用管理员提供的许可证静默激活客户端计算机 7751 注 册 请通过填写包含在注册表中的字段并单击继续来注册您的许可 括号中标记为必需的字段为必填字段 此信息 将仅用于与您的 ESET 许可证相关的事项 7752 安全管理员 激活 安全管理员 帐户是使用您的电子邮件地址和密码在许可门户上创建的帐户 它能够看到所有席位授权 安全管理员帐户允许您管理多个许可证 如果您没有 安全管理员 帐户 请单击创建帐户 您将重定向到 ESET License Administrator 网页 您可在其中使用凭据进行注册 如果您已忘记密码 请单击忘记密码 您将重定向到 ESET 业务门户 输入您的电子邮件地址并单击提交以确 认 之后 您将获得一封包含重置密码说明的邮件 注意 有关使用 ESET License Administrator 的详细信息 请参阅 ESET License Administrator 用户指南 7753 激 活 失 败 未成功激活 ESET File Security 请确保您已输入正确的许可证密钥或已附加脱机许可证 如果您还有其他的脱 机许可证 请再次输入 若要检查输入的许可证密钥 请单击重新检查许可证密钥或单击购买新的许可证 然后会将您重定向到我们的网页 您可以从中购买新的许可证 7754 许 可 证 如果您选择 安全管理员 激活选项 则将提示您选择与用于 ESET File Security 的帐户相关联的许可证 单击激 活以继续 7755 激 活 进 度 正在激活 ESET File Security 请耐心等待 这可能需要几分钟 7756 成 功 激 活 激活成功 ESET File Security 现已激活 从现在起 ESET File Security 将接收定期更新以识别最新威胁并保证您的 计算机安全 单击完成来完成产品激活 74

75 8 使用 ESET File Security 设置菜单包含以下部分 服务器 计算机 工具 要暂时禁用单个模块 请单击要禁用的模块旁边的绿色开关 注意 这可能会降低对您的计算机的保护级 别 要重新启用已禁用的安全组件的防护 请单击红色开关 以使组件返回其启用状态 要访问特定安全组件的详细设置 请单击齿轮 如果要设置更多详细选项 请单击高级设置或按 F5 在设置窗口的底部还有其他选项 若要使用 xml 配置文件加载设置参数 或将当前设置参数保存为配置文件 请使用导入 导出设置 有关更多详细信息 请参阅导入 导出设置 75

76 81 病毒防护 病毒和间谍软件防护通过控制文件 电子邮件和 Internet 通信防范恶意系统攻击 如果检测到威胁 则病毒防 护模块可以通过先阻止 然后清除 删除或将其移至隔离区 来消除威胁 若要详细配置病毒防护模块设置 请单击高级设置或按 F5 用于所有防护模块 例如文件系统实时防护 Web 访问保护 的扫描程序选项允许您启用或禁用对以下对象的 检测 潜在的不受欢迎应用程序 (PUA) 未必是恶意的 但可能会对计算机性能造成不良影响 请阅读词汇表中关于这些类型的应用程序的更多信息 潜在的不安全应用程序是指有可能被滥用于恶意用途的合法商业软件 潜在的不安全应用程序的示例包括 远程访问工具 密码破解应用程序以及按键记录器 记录用户键盘输入信息的程序 等 此选项默认情况下处 于禁用状态 请阅读词汇表中关于这些类型的应用程序的更多信息 潜在的可疑应用程序包括用加壳程序或保护程序压缩的程序 这些类型的保护程序通常被恶意软件作者用 来逃避检测 反隐藏技术是一个复杂的系统 它能够检测危险程序 例如 rootkits 这些程序可在操作系统下隐藏自己 这 意味着使用普通测试技术很难检测到它们 进程排除允许您排除特定进程 例如备份解决方案的进程 系统将忽略所有归于此类排除进程的文件操作并将 其视为安全操作 从而最大程度地减少对备份进程的干涉 使用排除可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时 才创建排除 您需要排除某个对象的情况可能包括 在扫描期间会使计算机速度变慢的大型数据库条目扫描 或遇到与扫描冲突的软件 若要从扫描中排除某个对象 请参阅排除 811 检 测 到 渗 透 威胁可通过各种渠道进入系统 如网页 共享文件夹 电子邮件或可移动设备 USB 外部磁盘 CD DVD 软盘 等 标准行为 作为 ESET File Security 处理威胁的常见示例 可以使用以下功能检测渗透 文件系统实时防护 Web 访问保护 电子邮件客户端防护 手动计算机扫描 每个功能都使用标准清除级别 并且将尝试清除文件并将其移动到隔离区或终止连接 通知窗口显示在屏幕右 下角的通知区域 有关清除级别和行为的详细信息 请参阅清除 清除和删除 如果文件系统实时防护没有预定义操作 程序将显示一个警报窗口 提示您从中选择一个选项 一般会有清 除 删除和不操作等选项 不建议选择不操作 这样将不会清除被感染文件 除非您确信该文件无害 只是检 测失误所致 如果文件遭到了病毒攻击 该病毒在被清除文件上附加了恶意代码 请应用清除 如果是这种情况 请首先尝 试清除被感染文件 使其恢复到初始状态 如果文件全部由恶意代码组成 将删除该文件 如果被感染文件被 锁定 或正在被系统进程使用 通常只在释放后 通常是系统重新启动后 删除 多个威胁 如果在计算机扫描期间没有清除任何被感染文件 或清除级别设置为不清除 则会出现一个警报窗口 提示您 为这些文件选择相应操作 在列表中为每个威胁分别选择一个操作 也可以使用为所有列出的威胁选择操作 76

77 并选择一个要在列表中的所有威胁上采取的操作 然后单击完成 删除压缩文件中的文件 在默认清除模式下 仅当压缩文件只包含被感染文件而不包含干净文件时 才会删除整个压缩文件 换言之 如 果还包含无害的干净文件 就不会删除压缩文件 执行严格清除扫描时请小心 启用严格清除时 即使压缩文件 只包含一个被感染文件 无论压缩文件中其他文件的状态如何 都将删除该压缩文件 如果您的计算机有被恶意软件感染的迹象 例如速度下降 常常停止响应等 建议您执行以下操作 打开 ESET File Security 并单击计算机扫描 单击智能扫描 有关更多信息 请参见计算机扫描 扫描完成后 查看日志中已扫描文件 被感染文件和已清除文件的数量 如果您只希望扫描磁盘的某一部分 请单击自定义扫描 然后选择要扫描的目标以查找病毒 812 进 程 排 除 此功能允许您将应用程序的进程排除在病毒防护访问扫描之外 这些排除可帮助将潜在冲突的风险降至最低 并提高已排除应用程序的性能 进而对操作系统的整体性能产生积极影响 当某个进程已排除时 将不监视其可执行文件 ESET File Security 将不会监视已排除进程的活动 并且不会针对 该进程所执行的任何文件操作进行任何扫描 使用添加 编辑和移除来管理进程排除 注意 进程排除仅从病毒防护访问扫描中排除 例如 Web 访问保护不会考虑此类排除 因此即使您排除了 Web 浏览器的可执行文件 下载的文件仍将进行扫描 这样仍可以检测渗透 此类情况仅作为示例 我们并不建 议为 Web 浏览器创建排除 注意 HIPS 包含在已排除进程的评估中 因此建议您在启用 如果遇到问题 也可以禁用 HIPS 的情况下测试 最新排除的进程 禁用 HIPS 将不会影响进程排除 如果 HIPS 已禁用 则只能基于路径识别已排除的进程 813 自 动 排 除 服务器应用程序和操作系统的开发人员建议 对于其大多数产品 可从病毒防护扫描中排除重要的工作文件和 文件夹集合 病毒防护扫描可能对服务器性能产生不良影响 导致冲突 甚至妨碍某些应用程序在服务器上的 运行 排除可帮助将潜在冲突的风险降至最低 并在运行病毒防护软件时提高服务器的整体性能 ESET File Security 识别重要的服务器应用程序和服务器操作系统文件 并自动将它们添加到排除列表 您可以从 创建排除的自动排除以生成下看到检测到的服务器应用程序的列表 默认情况下 启用所有的自动排除 通过 单击带有以下结果的开关 您可以禁用 启用每个服务器应用程序 1 如果应用程序 操作系统排除保持为启用 它的所有重要文件和文件夹都将添加到不予扫描的文件列表中 高级设置 > > 基本 > 排除 > 编辑 每次重新启动服务器时 系统会执行排除的自动检查 并还原可能 已从列表删除的任何排除 如果您希望确保始终应用建议的自动排除 则这就是建议的设置 2 如果用户禁用应用程序 操作系统排除 其重要文件和文件夹将保留在不予扫描的文件列表中 高级设置 > > 基本 > 排除 > 编辑 然而 每次重新启动服务器时 它们不会被自动检查 也不会在排除列表中续订 请参见上述第 １ 点 我们为高级用户建议此设置 这些用户希望删除或修改一些标准排除 如果您希望 从列表中删除排除而无需重新启动服务器 您将需要从列表中手动删除它们 高级设置 > > 基本 > 排除 > 编辑 任何 在高级设置 > > 基本 > 排除 > 编辑下 手动输入的用户定义的排除将不受上述设置的影响 77

78 814 共 享 的 本 地 缓 存 通过消除网络中的重复扫描 共享的本地缓存将在虚拟环境中提高性能 这可确保每个文件仅扫描一次并且存 储在共享的缓存中 打开缓存选项开关 以将有关扫描网络上的文件和文件夹的信息保存到本地缓存 如果您 执行新扫描 ESET File Security 将搜索该缓存中的已扫描文件 如果文件匹配 将不对其进行扫描 缓存服务器设置包含以下内容 主机名 - 缓存所在的计算机的名称或 IP 地址 端口 - 用于通信的端口号 与在共享的本地缓存中设置的端口号相同 密码 - 指定共享的本地缓存密码 如果需要 815 性 能 您可以设置在同一时间内由病毒防护和间谍软件防护使用的独立 ThreatSense 扫描引擎数 如果没有其他限制 建议您根据以下公式增加 ThreatSense 扫描引擎的数量 ThreatSense 扫描引擎数 物理 CPU 数 x 2) + 1 注意 可接受的值在 １ ２ 之间 因此您最多可以使用 ２ 个 ThreatSense 扫描引擎 816 文 件 系 统 实 时 防 护 文件系统实时防护控制系统中所有与病毒防护相关的事件 在计算机上打开 创建或运行所有文件时 都将扫 描文件是否带有恶意代码 文件系统实时防护在系统启动时启动 默认情况下 文件系统实时防护在系统启动时启动 并提供不间断的扫描 特殊情况下 比如与其他实时扫描程 序存在冲突 可以通过在 高级设置 中取消文件系统实时防护 > 基本下的自动启动文件系统实时防护 来 禁用实时防护 78

79 要扫描的对象 默认情况下 所有类型的介质均可扫描以检查是否存在潜在威胁 本地驱动器 - 控制所有系统硬盘 可移动磁盘 - 控制 CD/DVD USB 存储和蓝牙设备等 网络驱动器 - 扫描所有映射的驱动器 建议您使用默认设置且仅在特殊情况 例如 当扫描某些介质使数据传输速度显著降低时 下修改这些设置 运行扫描于 默认情况下 所有文件都在打开 创建或执行时进行扫描 我们建议您保留这些默认设置 因为它们可为计算机 提供最高级别的实时防护 打开文件 - 启用或禁用打开文件时的扫描 创建文件 - 启用或禁用创建文件时的扫描 执行文件 - 启用或禁用运行文件时的扫描 可移动磁盘访问 - 启用或禁用访问具有存储空间的特定可移动磁盘触发的扫描 关闭计算机 - 启用或禁用在计算机关闭时触发的扫描 文件系统实时防护检查所有类型的介质 并由各种系统事件 例如 访问文件 触发 通过使用 ThreatSense 技术 检测方法 如 ThreatSense 参数部分所述 将文件系统实时防护配置为采用不同的方式对待新创建的文件和现 有文件 例如 您可以将文件系统实时防护配置为更加密切地监视新创建的文件 为确保在使用实时防护时占用最少的系统资源 已扫描的文件不会重复扫描 除非它们已修改 在每次病毒库 更新后立刻重新扫描文件 可使用智能优化控制此行为 如果已禁用智能优化 则每次访问时将扫描所有文 件 若要修改此设置 请按 F5 打开 高级设置 然后依次展开 文件系统实时防护 依次单击 ThreatSense 参 数 > 其他 然后选中或取消选中启用智能优化 8161 排 除 注意不要与排除的扩展名混淆 使用排除可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时 才创建排除 您需要排除某个对象的情况可能包括 在扫描期间会使计算机速度变慢的大型数据库条目扫描 或遇到与扫描冲突的软件 例如备份软件 从扫描中排除对象的步骤 单击添加并输入指向对象的路径或在树结构中选择它 可使用通配符代表一组文件 问号 代表单个可变字符 星号 则代表包含零个或更多字符的可变字符串 示例 如果要排除文件夹中的所有文件 则输入文件夹路径并使用掩码 要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果仅需要排除 doc 文件 则使用掩码 doc 如果可执行文件名有特定数量的字符 且字符各异 且您只知道第一个字符 如 D 则使用以下格式 D???? exe 问号用于替代缺少 未知 的字符 注意 如果该文件满足不进行扫描的标准 那么文件系统实时防护模块或计算机扫描模块就不会检测到该文 件内的威胁 列 路径 - 被排除文件和文件夹的路径 威胁 - 如果在已排除文件旁边显示威胁的名称 则表示该文件仅对给定威胁排除 如果该文件稍后被其他恶意 软件感染 将被病毒防护模块检测到 此类型的排除仅可用于特定类型的渗透 它既可以在报告渗透的威胁警 报窗口中创建 单击更多信息 然后选择从检测中排除 还可以通过依次单击工具 > 隔离 然后右键单击隔 离文件并从右键菜单中选择恢复并且不扫描来创建 79

80 控件元素 添加 - 选择不予检测的对象 编辑 - 使您能够编辑选定的条目 删除 - 删除选定的条目 添 加 或 编 辑 排 除 在此对话窗口中可添加或编辑排除 可通过两种方式来操作 键入要排除对象的路径 在树结构中进行选择 在文本字段的末尾单击 以进行浏览 如果使用第一种方式 可使用在排除格式部分介绍的通配符 排 除 格 式 可使用通配符代表一组文件 问号 代表单个可变字符 星号 则代表包含零个或更多字符的可变字符串 示例 如果要排除文件夹中的所有文件 则输入文件夹路径并使用掩码 要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果仅需要排除 doc 文件 则使用掩码 doc 如果可执行文件名有特定数量的字符 且字符各异 且您只知道第一个字符 如 D 则使用以下格式 D???? exe 问号用于替代缺少 未知 的字符 8162 T hre a ts e ns e 参 数 ThreatSense 技术包括许多复杂的威胁检测方法 此技术具有某种主动性防护功能 也就是说 它可在新威胁开 始传播的较早阶段提供防护 该技术采用代码分析 代码仿真 一般的识别码 病毒库的组合 以显著提高系统 安全性 扫描引擎可同时控制多个数据流 最大限度地提高效率和检测速度 ThreatSense 技术还可成功去除 Rootkit 注意 有关自动启动文件检查的详细信息 请参阅启动扫描 ThreatSense 引擎设置选项允许您指定若干扫描参数 要扫描的文件类型和扩展名 不同检测方法的组合 清除级别等 若要进入设置窗口 请单击 ThreatSense 引擎参数设置 它位于使用 ThreatSense 技术的任何模块的高级设置 窗口中 请参阅下文 不同的安全情形可能要求不同的配置 考虑到这一点 可针对下列防护模块对 ThreatSense 进行单独配置 文件系统实时防护 空闲状态下扫描 开机扫描 文档防护 电子邮件客户端防护 Web 访问保护 计算机扫描 ThreatSense 参数已针对每个模块进行了高度优化 对其进行修改可能会明显影响系统操作 例如 将参数更改 为始终扫描加壳程序 或在实时文件系统防护模块中启用高级启发式扫描 可能会造成系统性能下降 通常 只 有在扫描新建文件时才使用这些方法 我们建议您保留所有模块 计算机扫描 除外 的默认 ThreatSense 参 数 80

81 要扫描的对象 此部分使您可以定义要扫描的计算机组件和文件 以查找渗透 系统内存 - 扫描攻击系统的系统内存的威胁 引导区 - 扫描引导区以检查 MBR 主引导记录 中是否存在病毒 如果运行的是 Hyper-V 虚拟机 将以只读模 式扫描其磁盘 MBR 电子邮件文件 - 该程序支持以下扩展名 DBX (Outlook Express) 和 EML 压缩文件 - 该程序支持以下扩展名 ARJ BZ2 CAB CHM DBX GZIP ISO/BIN/NRG LHA MIME NSIS RAR SIS TAR TNEF UUE WISE ZIP ACE 以及很多其他扩展名 自解压文件 - 自解压文件 SFX) 是指不需要专门程序对自身进行解压的压缩文件 加壳程序 - 执行后 加壳程序在内存中解压 这一点与标准压缩文件类型不同 除了标准静态加壳程序 UPX yoda ASPack FSG 等 扫描程序能够通过使用代码仿真来识别多种其他类型的加壳程序 扫描选项 选择在扫描系统中的渗透时所用的方法 有以下选项可供使用 启发式扫描 - 启发式扫描是一种分析 恶意 程序行为的算法 此技术的主要优点是能够识别过去不存在或以 前的病毒库无法识别的恶意软件 缺点是可能发出虚假警报 尽管可能性很小 高级启发式扫描 DNA/智能病毒库 - 高级启发式扫描具有一种独特的启发式扫描算法 该算法由 ESET 开发 它使用高级编程语言编写而成 用于优化检测计算机蠕虫和木马 使用高级启发式扫描显著提高了 ESET 产品 的威胁检测功能 病毒库可以可靠地检测和识别病毒 利用自动更新系统 可以在发现威胁后的数小时内提 供新病毒库 该病毒库的缺点是只能检测到它所知道的病毒 或在这些病毒基础上略做修改的版本 清除 清除设置决定在清除被感染文件的过程中扫描程序的行为 共有 ３ 个清除级别 不清除 - 不会自动清除被感染文件 程序会显示一个警告窗口 允许用户选择操作 此级别专用于更高级的用 户 他们了解在渗透事件中应采取哪些步骤 正常清除 - 程序将根据预定义操作 取决于渗透类型 尝试自动清除或删除被感染文件 屏幕右下角的通知指示 检测到或删除了被感染文件 如果无法自动选择正确操作 程序将提供其他后续操作 如果预定义的操作无法 完成 也会出现相同的情况 严格清除 - 程序将清除或删除所有被感染文件 唯一例外的是系统文件 如果无法清除文件 系统将询问用户 执行哪种操作 警告 如果压缩文件包含一个或多个被感染的文件 有两种选择方式来处理该压缩文件 在标准模式 标准 清除 中 如果压缩文件包含的文件全部被感染 则会删除整个压缩文件 在严格清除模式中 即使压缩文件只 包含一个被感染文件 无论被压缩的其他文件是什么状态 都将删除该压缩文件 重要信息 如果 Hyper-V 主机运行在 Windows Server 2008 R2 上 正常清除和严格清除将不受支持 将以只 读模式扫描虚拟机磁盘 不清除 不论选择何种清除级别 将始终以只读模式执行扫描 排除 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您 定义不扫描的文件类型 81

82 其他 配置 ThreatSense 引擎参数设置以进行手动计算机扫描时 其他部分中的以下选项也可用 扫描交换数据流 ADS) - NTFS 文件系统使用的交换数据流是对普通扫描技术不可见的文件和文件夹关联 许 多渗透试图通过伪装成交换数据流来避开检测 以低优先级运行后台扫描 - 每个扫描序列都消耗一定量的系统资源 如果您使用高系统资源负载的程序 则 可以激活低优先级后台扫描 并为应用程序节约资源 记录所有对象 - 如果选中此选项 日志文件将显示包括未感染文件在内的所有已扫描文件 例如 如果压缩 文件中发现渗透 日志还将列出压缩文件中包含的干净文件 启用智能优化 - 启用智能优化后 使用最优化的设置可确保最高效的扫描级别 同时可保持最高的扫描速 度 各种保护模块可进行智能化扫描 使用不同的扫描方法并将它们应用到特定的文件类型 如果禁用了智 能优化 则在执行扫描时仅应用特定模块的 ThreatSense 核心中用户定义的设置 保存上一个访问时戳 - 选中此选项可以保留已扫描文件的最初访问时间而不是更新时间 例如数据备份系统 所使用的访问时戳 限制 限制部分允许您指定要扫描的对象的最大大小和嵌套压缩文件的层数 对象设置 默认对象设置 最大对象大小 - 定义要扫描对象的最大大小 给定的病毒防护模块将仅扫描小于指定大小的对象 此选项应 仅由具有从扫描中排除大型对象的特定原因的高级用户更改 默认值 无限制 对象的最长扫描时间 秒 - 定义用于对象扫描的最大时间值 如果在此输入用户定义的值 时间用完后病毒 防护模块将停止扫描对象 而不管扫描是否完成 默认值 无限制 压缩文件扫描设置 压缩文件嵌套层数 - 指定压缩文件扫描的最大深度 默认值 10 压缩文件中文件的最大大小 - 此选项允许您指定要扫描的压缩文件 当解压缩时 中所包含文件的最大文件大 小 默认值 无限制 注意 不建议更改默认值 正常情况下应该没有修改它的理由 不 扫 描 的 文 件 扩 展 名 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您 定义要扫描的文件类型 默认情况下 扫描所有文件 可将任何扩展名添加到不扫描的文件列表中 如果对某些文件类型的扫描导致使用特定扩展名的程序运行不正常 将这些文件排除出扫描之列有时是必要 的 例如 使用 Microsoft Exchange 服务器时 建议排除 edb eml 和 tmp 扩展名 使用添加和删除按钮 可以允许或禁用对特定文件扩展名的扫描 若要将新扩展名添加到列表 请单击 添 加 以将该扩展名键入到空白字段中 然后单击 确定 当您选择输入多个值时 您可以添加多个由行 逗号或 分号分隔的文件扩展名 启用多项选择时 扩展名将显示在列表中 选择列表中的扩展名 然后单击删除可从 列表中删除该扩展名 如果您希望编辑选定的扩展名 请单击编辑 可以使用特殊符号 星号 和 问号 星号表示任意字符串 而问号表示任意符号 82

83 81622 其 他 T hre a ts e ns e 参 数 用于新建文件和已修改文件的其他 ThreatSense 参数 - 新建或修改的文件受感染的可能性相对于现有文件更 高 这就是程序使用附加扫描参数检查这些文件的原因 除了使用普通的基于病毒库的扫描方法外 还使用高 级启发式扫描 它可在发布病毒库更新之前检测新威胁 除了新建文件 系统还扫描自解压文件 sfx) 和加壳程 序 内部压缩的可执行文件 默认情况下 对压缩文件的扫描可深达第 １ 个嵌套层 而且不论其实际大小 都 会进行检查 若要修改压缩文件扫描设置 请禁用默认的压缩文件扫描设置 若要了解有关加壳程序 自解压文件以及高级启发式扫描的详细信息 请参阅 ThreatSense 引擎参数设置 用于已执行文件的其他 ThreatSense 参数 - 默认情况下 在执行文件时将使用高级启发式扫描 启用后 强烈 建议您启用智能优化和 ESET LiveGrid 以降低对系统性能的影响 清 除 级 别 实时防护具有三种清除级别 要访问清除级别设置 请单击文件系统实时防护部分中的 ThreatSense 参数 然 后单击清除 不清除 - 不会自动清除被感染文件 程序会显示一个警告窗口 允许用户选择操作 此级别专用于更高级的用 户 他们了解在渗透事件中应采取哪些步骤 正常清除 - 程序将根据预定义操作 取决于渗透类型 尝试自动清除或删除被感染文件 屏幕右下角的通知指示 检测到或删除了被感染文件 如果无法自动选择正确操作 程序将提供其他后续操作 如果预定义的操作无法 完成 也会出现相同的情况 严格清除 - 程序将清除或删除所有被感染文件 唯一例外的是系统文件 如果无法清除文件 系统将询问用户 执行哪种操作 警告 如果压缩文件包含一个或多个被感染的文件 有两种选择方式来处理该压缩文件 在标准模式 标准 清除 中 如果压缩文件包含的文件全部被感染 则会删除整个压缩文件 在严格清除模式中 即使压缩文件只 包含一个被感染文件 无论被压缩的其他文件是什么状态 都将删除该压缩文件 重要信息 如果 Hyper-V 主机运行在 Windows Server 2008 R2 上 正常清除和严格清除将不受支持 将以只 读模式扫描虚拟机磁盘 不清除 不论选择何种清除级别 将始终以只读模式执行扫描 何 时 修 改 实 时 防 护 配 置 文件系统实时防护是维护系统安全的最重要的组件 修改其参数时请务必小心 建议您仅在特定情况下修改其 参数 安装 ESET File Security 后 所有设置都会得到优化以便为用户提供最高级别的系统安全性 若要恢复默认设置 请在窗口中单击每个选项卡旁边的 高级设置 > > 文件系统实时防护 检 查 实 时 防 护 要验证实时防护是否在运行以及是否在检测病毒 请使用来自 eicarcom 的测试文件 此测试文件是一个可供所 有病毒防护程序检测的无害文件 此文件由 EICAR 欧洲计算机防病毒研究协会 公司创建 用于测试病毒防护 程序的功能 此文件可从以下网站下载 实 时 防 护 不 工 作 时 如 何 应 对 在本章中 我们将介绍使用实时防护时可能出现的问题 以及如何排除这些故障 实时防护被禁用 如果用户无意中禁用了实时防护 则需要重新启用它 要重新启用实时防护 请导航至主程序窗口中的设置并 单击文件系统实时防护 如果实时防护未能在系统启动时启动 通常是因为未选中自动启动文件系统实时防护 要启用此选项 请导 航至 高级设置 F5) 并在高级设置部分中依次单击计算机 > 文件系统实时防护 > 基本 请确保自动启动文件 系统实时防护已打开 83

84 如果实时防护功能不检测和清除渗透 请确保您的计算机上没有安装其他病毒防护程序 如果同时启用两种实时防护 它们可能互相冲突 建议您先 卸载系统上的所有其他病毒防护程序 再安装 ESET 实时防护不启动 如果系统启动时实时防护未启动 且自动启动实时文件系统防护已经启用 可能是因为与其他程序发生冲 突 要获取帮助以解决此问题 请联系 ESET 客户服务 提 交 您可以选择文件和统计信息提交到 ESET 的方式 选择通过远程管理员或直接提交给 ESET 选项 将使用所有可 用方式提交文件和统计信息 选择通过远程管理员选项以将文件和统计信息提交至远程管理服务器 然后将 其提交至 ESET 威胁实验室 如果选中直接提交给 ESET 所有可疑文件和统计信息会直接从程序发送给 ESET 病 毒实验室 当有文件等待提交时 立即提交按钮将处于活动状态 单击此按钮可立即提交文件和统计信息 选中启用日志记录 创建用于记录文件和统计信息提交的日志 统 计 信 息 ThreatSenseNet 早期预警系统将收集您的计算机中与新检测到的威胁相关的匿名信息 该信息可能包括渗透 名称 检测的日期和时间 ESET 安全产品版本 操作系统版本和位置设置等 统计信息通常一天一次或两次发送 给 ESET 服务器 下面是提交的统计数据包示例 # # # # # # # # # utc_time= :21:28 country="slovakia" language="english" osver= NT engine=5417 components=2502 moduleid=0x4e4f4d41 filesize=28368 filename=c:\documents and Settings\Administrator\Local Settings\Temporary Internet Files\ContentIE5\C14J8 提交时间 - 可以定义统计信息的提交时间 如果选择尽快提交 统计信息会在创建后立即发送 该设置适用于 Internet 连接永久可用的情况 如果选择了更新期间 统计信息将在下次更新期间集中提交 可 疑 文 件 可疑文件选项卡可用于配置将威胁提交到 ESET 威胁实验室以供分析的方式 如果发现可疑文件 可以将其提交到我们的威胁实验室进行分析 如果文件是一个恶意应用程序 则下次病毒 库更新中将添加对此程序的检测 文件提交可以设置为自动发生 或者如果希望知道已发送哪些文件供分析 则选择提交前询问并确认提交 如果不想提交任何文件 请选择不提交文件进行分析选项 选择不提交文件进行分析不会影响统计信息的提 交 后者在其自己的设置中配置 请参见统计信息部分 提交时间 - 默认情况下 选择尽快选项以将可疑文件发送到 ESET 威胁实验室 建议使用永久 Internet 连接 这 样可疑文件可及时发送 不致延误 选择更新期间选项 以便将可疑文件在下次更新期间上载到 ThreatSenseNet 排除过滤器 - 排除过滤器允许您不提交某些文件 文件夹 例如 将可能包含机密信息的文件 如文档或电子表 格 排除在外可能很有用 默认情况下最常见的文件类型均被排除 doc 等 如果需要 可以添加排除文件列 表 联系人电子邮件 - 联系人电子邮件[可选]可以与任何可疑文件一起发送 而且可能用于在需要更多信息以供 分析时联系您 请注意 除非需要更多信息 否则 ESET 不会与您联系 84

85 817 手 动 计 算 机 扫 描 和 H y p e r-v 扫 描 本部分提供用于选择扫描参数的选项 注意 此扫描配置文件选择器可应用于手动计算机扫描和 Hyper-V 扫描 选定的配置文件 - 手动扫描程序使用的一组特定参数 若要创建新配置文件 请单击配置文件列表旁边的编 辑 如果仅希望扫描特定目标 您可以单击扫描目标旁边的编辑 然后从下拉菜单中选择某个选项或从文件夹 树 结构中选择特定目标 扫描目标窗口允许您定义扫描哪些对象 内存 驱动器 扇区 文件和文件夹 中的渗透 从列有计算机上所有可 用设备的树结构中选择目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 共享文件夹 - 选择本地服务器上共享的所有文件夹 不选择 - 取消所有选择 单击 ThreatSense 参数 以修改手动计算机扫描程序的扫描参数 例如检测方法 8171 自 定 义 扫 描 和 H y p e r-v 扫 描 启 动 程 序 如果只希望扫描特定目标 您可以使用自定义扫描工具 方法是依次单击计算机扫描 > 自定义扫描并从扫描 目标下拉菜单中选择一个选项 或者从文件夹 树 结构中选择特定目标 注意 此扫描目标选择器可应用于自定义扫描和 Hyper-V 扫描 扫描目标窗口允许您定义扫描哪些对象 内存 驱动器 扇区 文件和文件夹 中的渗透 从列有计算机上所有可 用设备的树结构中选择目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 共享文件夹 - 选择本地服务器上共享的所有文件夹 不选择 - 取消所有选择 85

86 要快速浏览至某个扫描目标 或直接添加某个所需的目标 文件夹或文件 请在文件夹列表下的空白字段中输 入它 仅当树结构中没有选定任何目标且扫描目标菜单设置为不选择时 才可执行此操作 自定义扫描弹出窗口 如果您仅想扫描系统而不进行附加的清除操作 则选择扫描但不清除 仅当想要获取是否存在受感染项的概要 信息以及获取有关这些受感染项的详细信息 如果有 时非常有用 此外 还可以通过依次单击设置 > ThreatSense 参数 > 清除从三个清除级别中进行选择 扫描信息保存至扫描日志 选择忽略排除后 您能够执行一个扫描 同时忽略已应用的排除 Hyper-V 扫描弹出窗口 有关详细信息 请参阅 Hyper-V 扫描 可以从扫描配置文件下拉菜单中选择要用于扫描选定目标的配置文件 默认的配置文件为智能扫描 另外还 有两个预定义的扫描配置文件 称为全面扫描和右键菜单扫描 这些扫描配置文件使用不同的 ThreatSense 引 86

87 擎参数 单击设置 从 扫描配置文件 菜单中详细设置选定的扫描配置文件 可用的选项在 ThreatSense 引擎 参数设置的其他部分下进行了介绍 单击保存 - 保存对目标选择所做的更改 包括在文件夹树结构中所做的选择 单击扫描以使用已设置的自定义参数执行扫描 作为管理员扫描使您能够使用管理员帐户执行扫描 如果当前用户无权访问要扫描的适当文件 则单击此选 项 请注意 如果当前用户无法以管理员身份调用 UAC 操作 则此按钮不可用 8172 扫 描 进 度 扫描进度窗口显示扫描的当前状态以及有关已找到的包含恶意代码的文件数量的信息 注意 某些文件 比如受密码保护的文件或仅由系统使用的文件 通常为 pagefilesys 和某些日志文件 无法 扫描很正常 87

88 扫描进度 - 进度条显示已扫描对象相对于待扫描对象的状态 扫描进度状态根据扫描对象总数得出 目标 - 当前扫描的对象及其位置的名称 已找到的威胁 - 显示在扫描过程中已找到的威胁总数 暂停 - 暂停扫描 继续 - 当扫描进度暂停时显示此选项 单击 继续 可继续扫描 停止 - 终止扫描 滚动扫描日志 - 如果启用 扫描日志将随着新条目的添加自动向下滚动 以便显示出最新的条目 在扫描过程中 您可以单击更多信息查看详细信息 例如从 GUI 执行扫描过程的用户 已扫描的对象数和扫描 持续时间 88

89 8173 扫 描 日 志 扫描日志窗口显示扫描的当前状态以及有关已找到的包含恶意代码的文件数量的信息 在每一部分中 显示的信息都可以复制到剪贴板 键盘快捷方式为 Ctrl+C 方法是选择条目并单击复制 Ctrl 和 Shift 键可用于选择多个条目 单击开关图标 过滤以打开日志过滤窗口 您可以在该窗口中定义过滤条件 通过右键单击特定记录 可以显示右键菜单 右键菜单提供以下选项 过滤相同的记录 - 这将激活日志过滤 并且仅显示与所选记录类型相同的记录 过滤 - 在单击此选项后 日志过滤窗口将允许您为特定日志条目定义过滤条件 启用过滤器 - 激活过滤器设置 首次过滤日志时 必须定义过滤条件 过滤器一经设置 在对其编辑前将保持 不变 禁用过滤器 - 禁用过滤器 相当于单击底部的开关 此选项仅在启用过滤后才可用 复制 - 将选定的 突出显示的记录的信息复制到剪贴板 全部复制 - 复制窗口中所有记录的信息 导出 - 将选定的 突出显示的记录的信息导出到 XML 文件中 全部导出 - 将窗口中的所有信息导出到 XML 文件 查找 - 打开在日志中查找窗口 并允许您定义搜索条件 处理过滤出的内容作为缩小结果的其他方法 查找下一个 - 查找之前定义的搜索 如上所述 的下一个匹配项 查找上一个 - 查找之前定义的搜索 如上所述 的上一个匹配项 89

90 8174 配 置 文 件 管 理 器 配置文件管理器用在 ESET File Security 中的两个地方 在手动计算机扫描部分和更新部分中 手动计算机扫描 可以保存您的首选扫描参数以用于将来的扫描 建议您为每次定期扫描创建不同的配置文件 带有各种扫描目 标 扫描方法和其他参数 若要创建新配置文件 请打开 高级设置 窗口 F5) 然后依次单击 手动计算机扫描 再单击配置文件列表旁 边的编辑 列出现有扫描配置文件的选定的配置文件下拉列表 为了帮助您创建满足需求的扫描配置文件 请 参阅 ThreatSense 引擎参数设置部分 查看扫描设置中每个参数的描述 示例 假设您想要创建自己的扫描配置文件而且智能扫描配置部分适用 但您不希望扫描加壳程序或潜在的不 安全应用程序 并且还希望应用严格清除 在配置文件管理器窗口中输入新配置文件的名称并单击添加 从 选定的配置文件下拉菜单选择新的配置文件并调整剩余参数以满足要求 单击确定以保存新配置文件 更新 更新设置部分中的配置文件编辑器允许用户创建新的更新配置文件 请只在计算机使用多种方式连接更新服务 器时 创建和使用您自己的自定义配置文件 不是默认的我的配置文件 例如 一台笔记本电脑通常连接的是本地网络中的本地服务器 镜像 但在断开与本地网络的连接时 比如出 于商务旅行的需要 可能会使用两个配置文件直接从 ESET 的更新服务器下载更新 第一个配置文件用于连接到 本地服务器 另一个配置文件用于连接到 ESET 服务器 配置完这些配置文件后 浏览到工具 > 计划任务 编辑 更新任务参数 将其中一个配置文件指定为主配置文件 另一个为次配置文件 选定的配置文件 - 当前使用的更新配置文件 要更改它 请从下拉菜单中选择一个配置文件 配置文件列表 - 新建或编辑更新配置文件 8175 扫 描 目 标 扫描目标窗口允许您定义扫描哪些对象 内存 驱动器 扇区 文件和文件夹 中的渗透 从列有计算机上所有可 用设备的树结构中选择目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择选定扫描配置文件中设置的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 共享文件夹 - 选择本地服务器上共享的所有文件夹 不选择 - 取消所有选择 8176 暂 停 计 划 扫 描 可以推迟计划扫描 如果要推迟计算机扫描 请为停止计划扫描 分钟 选项设置值 818 空 闲 状 态 下 扫 描 您可以在高级设置 位于 空闲状态下扫描 > 基本下 中启用空闲状态扫描程序 将启用空闲状态扫描旁边 的开关设置为 开 以启用此功能 当计算机处于空闲状态时 会在所有本地驱动器上执行静默的计算机扫描 默认情况下 当计算机 笔记本电脑 使用电池运行时 不会运行空闲状态扫描程序 您可以通过选中高级设置 中计算机使用蓄电池供电时仍然运行扫描旁边的复选框来覆盖此设置 打开高级设置中的启用日志记录开关 以记录日志文件部分内的计算机扫描输出 从主程序窗口依次单击工具 > 日志文件并从日志下拉菜单中选择计算机扫描 当您的计算机处于以下状态时 将运行空闲状态检测 关闭屏幕或屏幕保护程序 计算机锁定 用户注销 90

91 单击 ThreatSense 参数 以修改空闲状态扫描程序的扫描参数 例如检测方法 819 开 机 扫 描 在默认情况下 自动启动文件检查将在系统启动和病毒库更新时执行 此扫描由计划任务配置和任务控制 启动扫描选项是系统启动文件检查计划任务的一部分 要修改启动扫描设置 导航至工具>计划任务 单击自 动启动文件检查 然后单击编辑 在最后一步中 自动启动文件检查窗口将显示 参见下一章了解更多详细信 息 有关计划任务创建和管理的详细说明 请参见创建新任务 8191 自 动 启 动 文 件 检 查 在创建系统启动文件检查计划任务时 您可以使用几个选项来调整以下参数 扫描级别下拉菜单指定系统启动时运行的文件扫描深度 文件按照以下标准以升序排列 仅最常用文件 扫描文件最少 常用文件 共用文件 很少使用的文件 所有注册文件 扫描文件最多 还包括两个特定扫描级别组 用户登录前运行的文件 - 包含未经用户登录即可访问的位置的文件 包括几乎所有启动位置 如服务 浏览 器帮助对象 winlogon 通知 Windows 计划任务条目 已知 dll 等 用户登录后运行的文件 - 包含仅在用户登录后才可访问的位置的文件 包括仅由特定用户运行的文件 通常 是 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中的文件 上述每个组的要扫描文件列表是固定的 扫描优先级 - 用于确定何时开始扫描的优先级别 正常 - 平均系统负载 较低 - 低系统负载 最低 - 系统负载最低 空闲时 - 仅在系统空闲时执行任务 8110 可 移 动 磁 盘 ESET File Security 提供自动可移动磁盘 CD/DVD/USB) 扫描 此模块允许您扫描插入的媒体 如果计算机管理员 希望防止用户使用带有不请自来内容的可移动磁盘 此模块将很有用 插入可移动磁盘后要采取的操作 - 选择将可移动磁盘插入到计算机 CD/DVD/USB) 时将执行的默认操作 如果 选择了显示扫描选项 将显示通知 允许您选择所需操作 不扫描 - 将不执行任何操作 同时将关闭检测到新设备窗口 自动设备扫描 - 将执行已插入可移动磁盘设备的手动计算机扫描 显示扫描选项 - 打开可移动磁盘设置部分 插入可移动磁盘后 将显示以下对话框 立即扫描 - 这将触发对可移动磁盘的扫描 稍后扫描 - 将推迟对可移动磁盘的扫描 设置 - 打开 高级设置 始终使用选择的选项 - 选中后 在其他时间插入可移动磁盘时将执行相同的操作 此外 ESET File Security 具有设备控制功能 允许您为给定计算机上的外部设备使用定义规则 在设备控制部分 可找到设备控制的更多详细信息 91

92 8111 文 档 防 护 文档防护功能会在打开 Microsoft Office 文档之前对其进行扫描 还会扫描通过 Internet Explorer 自动下载的文 件 如 Microsoft ActiveX 元素 文档防护提供文件系统实时防护之外的另一层防护 可以将其禁用以加强没有运 行大容量 Microsoft Office 文档时的系统性能 集成到系统将启动防护系统 若要修改此选项 请按 F5 打开 高级设置 窗口 然后在 高级设置 树中依次单 击 > 文档防护 请参阅 Threatsense 参数以获取有关文档防护设置的详细信息 此功能由使用 Microsoft Antivirus API 的应用程序 例如 Microsoft Office 2000 和更高版本或 Microsoft Internet Explorer 50 和更高版本 激活 8112 H IP S 对 HIPS 设置的更改仅应由有经验的用户进行 HIPS 设置的错误配置可能会导致系统不稳定 基于主机的入侵防御系统 (HIPS) 可保护您的系统 以免恶意软件和任何不受欢迎的活动试图对您的计算机产 生不利影响 HIPS 利用高级行为分析并配合网络过滤的检测功能来监视正在运行的进程 文件和注册表项 HIPS 独立于文件系统实时防护 并且不是防火墙 它仅监视在操作系统中运行的进程 可以在以下位置找到 HIPS 设置 高级设置 (F5) > > HIPS HIPS 状态 启用 禁用 显示在 ESET File Security 主程序 窗口的设置窗格中 位于计算机部分的右侧 ESET File Security 具有内置的自我保护技术 可防止恶意软件损坏或禁用病毒和间谍软件防护 这样您可以确保 系统随时受到保护 对启用 HIPS 和启用 SD (自我保护 设置的更改在 Windows 操作系统重新启动后生效 禁用 整个 HIPS 系统也将需要计算机重新启动 高级内存扫描程序与漏洞利用阻止程序结合使用以增强对恶意软件的防范 恶意软件旨在通过迷惑或加密方 法来逃过反恶意软件产品的检测 默认情况下 启用高级内存扫描程序 请阅读词汇表中关于此类防护的更多 信息 漏洞利用阻止程序旨在强化那些经常被漏洞利用的应用程序类型 例如 Web 浏览器 PDF 阅读器 电子邮件客 户端和 MS Office 组件 默认情况下 启用漏洞利用阻止程序 请阅读词汇表中关于此类防护的更多信息 可以使用以下四种模式之一执行过滤 自动模式 - 启用操作 除了保护系统的预定义规则所阻止的操作 智能模式 - 仅通知用户极为可疑的事件 交互模式 - 将提示用户确认操作 基于策略的模式 - 操作被阻止 学习模式 - 启用操作 并在每次操作后创建规则 可在规则编辑器中查看以此模式创建的规则 但其优先级 低于手动创建的规则或在自动模式下创建的规则的优先级 当您从 HIPS 过滤模式 下拉菜单中选择 学习模 式 后 学习模式结束时间设置将变为可用 选择您想要执行的学习模式的持续时间 最长为 １ ４ 天 当指定的 持续时间过去后 将会提示您编辑 HIPS 在学习模式下所创建的规则 还可以选择其他过滤模式 或推迟决定 并继续使用学习模式 HIPS 系统监控操作系统内的事件 并根据类似于个人防火墙使用的规则相应地对事件作出反应 单击编辑以打 开 HIPS 规则管理窗口 在此您可以选择 创建 编辑或删除规则 编辑规则一章可以找到关于规则创建和 HIPS 操作的更多详细信息 如果规则的默认操作设置为 询问 每次触发该规则时将显示对话窗口 您可以选择阻止或允许该操作 如果 在给定时间不选择操作 将基于规则选择新操作 此对话窗口使您能够基于 HIPS 检测到的任何新操作来创建规则 然后定义允许或阻止此操作的条件 单击显示 选项可访问具体参数的设置 用这种方式创建的规则相当于手动创建的规则 所以从对话窗口创建的规则可以 比触发该对话窗口的规则更笼统 这意味着 在创建这样的规则后 相同的操作可以触发相同的窗口 暂时对此进程记住此操作将使系统在规则或过滤模式发生更改 HIPS 模块更新或系统重启之前始终使用此操 作 允许 阻止 发生这三项操作中的任意一项后 将删除临时规则 92

93 81121 H IP S 规 则 此窗口向您提供了现有 HIPS 规则的概览 列 规则 - 用户定义的或自动选择的规则名称 已启用 - 如果要将规则保留在列表中但不想使用 可停用此开关 操作 - 该规则指定条件正确的情况下应执行的一项操作 允许 阻止或询问 源 - 仅当事件被应用程序触发时才使用该规则 目标 - 仅当操作与特定文件 应用程序或注册表项相关时才使用该规则 日志 - 如果启用此选项 有关此规则的信息将写入到 HIPS 日志中 通知 - 如果事件被触发 在右下角将显示一个小的弹出窗口 控件元素 添加 - 创建一个新规则 编辑 - 使您能够编辑选定的条目 删除 - 删除选定的条目 H IP S 规 则 设 置 规则名称 - 用户定义的或自动选择的规则名称 操作 - 该规则指定条件正确的情况下应执行的一项操作 允许 阻止或询问 操作影响 - 您必须选择将要应用该规则的操作的类型 该规则将仅用于此类型的操作和选定的目标 文件 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择 特定文件 并单击 添加 以添加新文件或 文件夹 或者可以从下拉菜单中选择 所有文件 以添加所有应用程序 应用程序 - 仅当事件被此应用程序触发时才使用该规则 从下拉菜单中选择 特定应用程序 并单击 添 加 以添加新文件或文件夹 或者可以从下拉菜单中选择 所有应用程序 以添加所有应用程序 注册表条目 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择 特定条目 并单击 添加 以添加 新文件或文件夹 或者可以从下拉菜单中选择 所有条目 以添加所有应用程序 已启用 - 如果要将规则保留在列表中但不想使用 可停用此开关 日志 - 如果启用此选项 有关此规则的信息将写入到 HIPS 日志中 通知用户 - 如果事件被触发 在右下角将显示一个小的弹出窗口 该规则包含以下部分 它们描述了触发此规则的条件 源应用程序 - 仅当此应用程序触发事件时才会使用该规则 从下拉菜单中选择特定应用程序 然后单击添加 以添加新文件或文件夹 或者可以从下拉菜单中选择所有应用程序以添加所有应用程序 文件 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择特定文件 并单击添加以添加新文件或文件 夹 或者可以从下拉菜单中选择所有文件以添加所有应用程序 应用程序 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择特定应用程序 并单击添加以添加新 文件或文件夹 或者可以从下拉菜单中选择所有应用程序以添加所有应用程序 注册表条目 - 仅当操作与此目标相关时才使用该规则 从下拉菜单中选择特定条目 并单击添加以添加新文 件或文件夹 或者可以从下拉菜单中选择所有条目以添加所有应用程序 重要操作的说明 文件操作 删除文件 - 应用程序要求获得删除目标文件的权限 写入到文件 - 应用程序要求写入目标文件的权限 直接访问磁盘 - 应用程序尝试以绕过常见 Windows 过程的非标准方式读取或写入磁盘 这可能导致修改 文件而不应用相应规则 尝试回避检测的恶意软件 尝试精确复制磁盘的备份软件或者尝试重新组织磁盘 卷的分区管理器都可能导致此操作 安装全局挂钩 - 指从 MSDN 库调用 SetWindowsHookEx 功能 加载驱动程序 - 在系统上安装和加载驱动程序 93

94 应用程序操作 调试其他应用程序 - 将调试程序附加到进程 调试应用程序时 可以查看和修改其行为的许多详细信息 并访问其数据 拦截其他应用程序的事件 - 源应用程序尝试捕获针对特定应用程序的事件 例如尝试捕获浏览器事件的按 键记录程序 终止 暂停其他应用程序 - 暂停 恢复或中止进程 可以直接从进程浏览器或进程窗格访问 启动新应用程序 - 启动新应用程序或进程 修改其他应用程序的状态 - 源应用程序尝试写入目标应用程序内容或运行自己的代码 在阻止此操作使 用的规则中将其配置为目标应用程序 从而保护重要应用程序时此功能可能很有用 注册表操作 修改启动设置 - 定义应用程序在 Windows 启动时如何运行的设置的任何更改 例如 可通过在 Windows 注 册表中搜索 Run 键来找到这些信息 从注册表删除 - 删除注册表项或其值 重命名注册表项 - 重命名注册表项 修改注册表 - 创建注册表项的新值 更改现有值 在数据库树中移动数据 或设置用户或组对注册表项的权 限 注意 在输入目标时 可以使用带有某些限制的通配符 注册表路径中可以使用 星号 符号代替特定项 例 如 HKEY_USERS\*\software 可以表示 HKEY_USER\default\software 但不可以表示 HKEY_USERS\S \default\software HKEY_LOCAL_MACHINE\system\ControlSet* 不是有效的 注册表项路径 包含 \* 的注册表项路径定义 此路径 或在该符号后的任意级别的任意路径 这是为文件目标 使用通配符的唯一方式 首先 将评估路径的特定部分 然后是通配符符号 后的路径 如果创建了太笼统的规则 将会显示关于此类规则的警告 高 级 设 置 以下选项用于调试和分析应用程序的行为 始终允许加载驱动程序 - 始终允许加载选定的驱动程序 而不管配置的过滤模式是什么 除非明确地通过用户 规则阻止 记录所有阻止的操作 - 所有阻止的操作将写入到 HIPS 日志中 当启动应用程序发生更改时发送通知 - 每次应用程序添加到系统启动或从中删除时显示桌面通知 有关此帮助页的更新版本 请参阅我们的知识库文章 始 终 允 许 加 载 驱 动 程 序 始终允许加载此列表中显示的驱动程序 而不管 HIPS 过滤模式是什么 除非明确地通过用户规则阻止 添加 - 添加新驱动程序 编辑 - 编辑选定驱动程序的路径 删除 - 从列表中删除驱动程序 重置 - 重新加载一组系统驱动程序 注意 如果您不希望包含已手动添加的驱动程序 请单击重置 如果您已添加多个驱动程序并且无法手动将 它们从列表中删除 这将会很有用 94

95 82 更新 在更新 > 常规下的高级设置树 F5) 中 提供了更新设置选项 此部分指定更新源信息 例如正在使用的更新服 务器和这些服务器的验证信息 常规 当前使用的更新配置文件显示在选定的配置文件下拉菜单中 若要创建新配置文件 请单击配置文件列表旁 边的编辑 输入您自己的配置文件名称 然后单击添加 如果更新出现了问题 请单击清除以清除临时更新缓存 过期病毒库警报 自动设置病毒库最长保留时长 - 允许设置最长保留时长 以天为单位 在此之后病毒库将报告为已过期 默 认值为 ７ 回滚 如果您怀疑病毒库和 或程序模块的新更新不稳定或损坏 可以回滚至以前版本并禁用设定时期内的更新 此 外 您可以启用先前禁用的更新 如果曾将其无限期推迟 ESET File Security 记录病毒库和程序模块的快照以用于回滚功能 要创建病毒库快照 请保持创建更新文件快 照开关处于启用状态 本地存储的快照数量字段定义了存储的先前病毒库快照的数量 如果您单击回滚 高级设置 (F5) > 更新 > 常规 则必须从下拉菜单中选择时间间隔 该间隔表示将暂停病毒库 和程序模块更新的时段 为使更新正常下载 必须正确填写所有更新参数 如果使用防火墙 请确保您的 ESET 程序能与 Internet 通信 例 如 HTTP 通信 默认情况下 更新类型 位于基本下 将设置为定期更新 以确保更新文件将以最小的网络流量从 ESET 服务器 自动进行下载 基本 禁用显示关于成功更新的通知 - 关闭屏幕右下角的系统托盘通知 如果正在运行全屏应用程序或游戏 选择 此选项很有用 请注意 演示模式将关闭所有通知 默认情况下 将更新服务器菜单设置为 自动选择 更新服务器是存储更新的地方 如果使用 ESET 服务器 我 们建议您保持选中默认选项 如果使用自定义更新服务器 并希望将其改回为默认值 请键入 自动选择 ESET File Security 将自动选择 ESET 更新服务器 使用本地 HTTP 服务器 也称为 镜像 时 更新服务器应进行如下设置 使用启用 SSL 的本地 HTTP 服务器时 更新服务器应进行如下设置 使用本地共享文件夹时 更新服务器应进行如下设置 \\computer_name_or_its_ip_address\shared_folder 从镜像更新 更新服务器的验证基于授权密钥 该密钥在您购买之后生成并发送给您 当使用本地镜像服务器时 您可以先 定义凭据 以便客户端在接收更新前登录镜像服务器 默认情况下 无需进行验证并且用户名和密码字段留 空 95

96 821 更 新 回 滚 如果您单击回滚 高级设置 (F5) > 更新 > 配置文件 则必须从下拉菜单中选择时间间隔 该间隔表示将暂停病 毒库和程序模块更新的时段 选择直到调用可将常规更新无限期推迟 直到您手动恢复更新功能 因为它具有潜在安全风险 我们不建议选 择此选项 病毒库版本降级至最旧版本 并作为快照存储在本地计算机文件系统中 示例 以 １ ６ ４ ６ 作为病毒库最新版本 １ ６ ４ ５ 和 １ ６ ４ ３ 存储作为病毒库快照 在下载 １ ６ ４ ４ 之前注意到 １ ６ ４ ４ 现在 不可用 例如 因为计算机长时间关闭 并且有更新的更新可用 如果将本地存储的快照数量字段设置为 ２ 并 单击回滚 病毒库 包括程序模块 将恢复至版本号 １ ６ ４ ３ 此过程需要一些时间 在 ESET File Security 主程序窗 口的更新部分检查病毒库版本是否已降级 822 更 新 模 式 更新模式选项卡包含关于程序组件更新的选项 此程序使您能够预定义在有新的程序组件升级时执行何种操 作 程序组件更新会增加新的功能 或对以前版本中已存在的功能进行更改 更新无需用户介入即可自动执行 您 也可以选择执行时收取通知 程序组件更新安装完毕后 可能需要重新启动 在程序组件更新部分中 提供以 下三个选项 下载程序组件前询问 - 这是默认选项 当更新可用时 将提示您确认或拒绝程序组件更新 总是更新程序组件 - 将自动下载并安装程序组件更新 请记住 计算机可能需要重新启动 从不更新程序组件 - 不执行程序组件更新 该选项适用于服务器安装 因为服务器通常只在进行维护时才重 新启动 注意 最适合选项的选择取决于将应用这些设置的工作站 请注意工作站和服务器之间存在区别 例如程序 更新后自动重新启动服务器可能会造成严重损害 如果启用了下载更新前先询问选项 在新更新可用时将显示通知 如果更新文件大小大于询问的前提是更新文件大于 kb) 字段中指定的值 程序将显示通知 823 H T T P 代 理 要访问给定更新配置文件的代理服务器设置选项 请单击高级设置树 F5) 中的更新 然后单击 HTTP 代理 单 击代理模式下拉菜单并选择以下三个选项之一 不使用代理服务器 通过代理服务器连接 使用全局代理服务器设置 选择使用全局代理服务器设置选项将使用 高级设置 树的工具 > 代理服务器分支中已经指定的代理服务器 配置选项 选择不使用代理服务器可指定不使用代理服务器来更新 ESET File Security 以下情况下应使用通过代理服务器连接选项 应使用代理服务器来更新 ESET File Security 同时与全局设置 工具 > 代理服务器 中指定的代理服务器不 同 如果是这种情况 应在此处指定设置 代理服务器地址 通信端口 默认情况下是 ３ １ ２ ８ 再加上代理服务 器的用户名和密码 如果需要 代理服务器设置未全局设置 但是 ESET File Security 将连接到代理服务器以进行更新 您的计算机通过代理服务器连接到 Internet 这些设置是在安装程序时从 Internet Explorer 获取的 如果之后 设置发生更改 比如更换了 Internet 服务提供商 请检查此窗口中列出的 HTTP 代理设置是否正确 否则程序 将无法连接到更新服务器 代理服务器的默认设置为使用全局代理服务器设置 注意 用户名和密码等验证数据用于访问代理服务器 仅当需要用户名和密码时才填写这些字段 请注意 96

97 这些字段中不能填写 ESET File Security 的用户名 密码 仅当您知道通过代理服务器访问 Internet 需要填写密码 时才填写这些信息 824 用 以 下 身 份 连 接 到 局 域 网 从运行 Windows NT 版本操作系统的本地服务器更新时 默认需要对每个网络连接进行验证 若要配置此类帐户 请从本地用户类型下拉菜单中选择 系统帐户 默认值 当前用户 指定的用户 选择系统帐户 默认 以使用系统帐户进行验证 通常 如果主更新设置部分不提供验证数据 则不会进行验证 若要确保程序使用当前登录的用户帐户验证 请选择当前用户 此解决方案的缺点在于 如果当前没有用户登 录 则程序将无法连接到更新服务器 如果希望程序使用特定用户帐户进行验证 请选择指定用户 当默认系统帐户连接失败时使用此方式 请注 意 指定用户帐户必须有权访问本地服务器上的更新文件目录 否则 程序将无法建立连接并下载更新 警告 选择当前用户或指定用户后 如果将程序身份更改为所需用户 可能发生错误 我们建议在主更新设 置部分中输入局域网验证数据 在此更新设置部分中 应按如下所示输入验证数据 domain_name\user 如果是 工作组 请输入 workgroup_name\name 和密码 从本地服务器的 HTTP 版本更新时 无需验证 如果更新下载后与服务器的连接仍然保持活动状态 则执行更新后断开与服务器的连接以强制断开连接 97

98 825 镜 像 ESET File Security 允许您创建更新文件的副本 可用于更新位于网络中的其他工作站 使用 镜像 - 在局域网环 境中复制更新文件很方便 因为更新文件不需要通过每台工作站从供应商更新服务器反复下载 可将更新下载 到本地镜像服务器 然后分发给所有工作站 以避免网络流量过载风险 从镜像更新客户端工作站可优化网络 负载平衡 并节约 Internet 连接带宽 本地镜像服务器的配置选项位于更新下的 高级设置 中 要访问此部分 请按 F5 以访问 高级设置 单击更新 并选择镜像选项卡 若要在客户端工作站上创建镜像 请启用创建更新镜像 启用此选项后 将激活其他镜像配置选项 例如访问 更新文件的方式和镜像文件的更新路径 访问更新文件 通过内部 HTTP 服务器提供更新文件 - 启用后 通过 HTTP 即可访问更新文件 而无需提供凭据 注意 Windows XP 需要 Service Pack 2 或更高版本以使用 HTTP 服务器 在从镜像更新中详细描述了访问镜像服务器的方法 有两种访问镜像的基本方法 具有更新文件的文件夹可以 表示为共享网络文件夹 或者客户端可以访问位于 HTTP 服务器上的镜像 用于为镜像存储更新文件的文件夹在存储镜像文件的文件夹下定义 单击文件夹可浏览本地计算机上的文件 夹或共享网络文件夹 如果需要对指定文件夹的授权 则必须在用户名和密码字段中输入验证数据 如果选定 的目标文件夹位于运行 Windows NT/2000/XP 操作系统的网络磁盘上 则指定的用户名和密码必须对选定的文 件夹有写权限 用户名和密码应按照域 用户或工作组 用户的格式输入 请记住提供相应密码 文件 - 配置镜像后 可指定要下载的更新的语言版本 选定的语言必须受用户配置的镜像服务器支持 HTTP 服务器 服务器端口 - 默认情况下 服务器端口设置为 ２ ２ ２ １ 98

99 验证 - 定义用于访问更新文件的验证方法 有以下选项可供使用 无 基本和 NTLM 选择基本以使用 base64 编 码进行基本用户名和密码验证 NTLM 选项提供使用安全编码方法的编码 对于验证 将使用在共享更新文件的 工作站上创建的用户 默认设置为无 此设置授予对更新文件的访问权 无需验证 添加您的证书链文件 或者如果您要运行具有 HTTPS (SSL) 支持的 HTTP 服务器 也可以生成自签名证书 可用 的证书类型包括 ASN PEM 和 PFX 若要获得更高的安全性 您可以使用 HTTPS 协议来下载更新文件 几乎无法 跟踪使用此协议的数据传输和登录凭据 默认情况下 私人密钥类型将设置为已集成 因此默认禁用私人密钥 文件选项 这意味着私人密钥是所选证书链文件的一部分 用以下身份连接到局域网 本地用户类型 - 系统帐户 默认 当前用户和指定用户设置将显示在相应的下拉菜单中 用户名和密码设置 是可选项 请参阅用以下身份连接到局域网 如果更新下载后与服务器的连接仍然保持活动状态 则选择更新后断开与服务器的连接以强制断开连接 程序组件更新 自动更新组件 - 允许安装新功能并更新现有功能 无需用户介入即可自动执行更新 或者您也可以选择在执行 时收取通知 程序组件更新安装完毕后 可能需要重新启动 立即更新组件 - 将程序组件更新到最新版本 8251 从 镜 像 更 新 有两种配置镜像的基本方法 该镜像实质上是一个存储库 客户端可在其中下载更新文件 具有更新文件的文 件夹可以表示为共享网络文件夹或 HTTP 服务器 使用内部 HTTP 服务器访问镜像 此配置是默认的 在预定义的程序配置中指定 若要允许使用 HTTP 服务器访问镜像 请浏览至高级设置 > 更新 > 镜像并选择创建更新镜像 在HTTP 服务器部分 镜像选项卡内 可以指定 HTTP 服务器将侦听的服务器端口 以及 HTTP 服务器使用的验 证类型 默认情况下 服务器端口设置为 2221 验证选项定义用于访问更新文件的验证方法 有以下选项可供 使用 无 基本和 NTLM 选择基本以使用 base64 编码进行基本用户名和密码验证 NTLM 选项提供使用安全编码方法的编码 对于验证 将使用在共享更新文件的工作站上创建的用户 默认设置为无 此设置授予对更新文件的访问权 无需验证 警告 如果您希望允许通过 HTTP 服务器访问更新文件 镜像文件夹必须和创建它的 ESET File Security 实例 位于同一计算机上 用于 HTTP 服务器的 SSL 添加您的证书链文件 或者如果您要运行具有 HTTPS (SSL) 支持的 HTTP 服务器 也可以生成自签名证书 可用 的证书类型包括 PEM PFX 和 ASN 若要获得更高的安全性 您可以使用 HTTPS 协议来下载更新文件 几乎无法 跟踪使用此协议的数据传输和登录凭据 私人密钥类型默认设置为已集成 这意味着私人密钥是所选证书链 文件的一部分 注意 在几次尝试从镜像更新病毒库失败之后 将在主菜单的 更新 窗格中显示用户名和 或密码无效错 误 我们建议导航至高级设置 > 更新> 镜像并检查用户名和密码 此错误的最常见原因是错误输入了验证数 据 配置镜像服务器后 您必须在客户端工作站上添加新的更新服务器 要执行该操作 请遵循以下步骤 访问高级设置 (F5) 并依次单击更新 > 基本 取消自动选择并采用以下格式之一将新服务器添加到更新服务器字段 如果使用 SSL 99

100 通过系统共享访问镜像 首先 应在本地或网络设备上创建共享文件夹 为镜像创建文件夹时 必须为将更新文件保存到文件夹的用户 提供 写入 权限 为所有将从镜像文件夹更新 ESET File Security 的用户提供 读取 权限 接下来 继续在高级设置 > 更新 > 镜像选项卡中配置对镜像的访问 方法是禁用通过内部 HTTP 服务器提供更 新文件 程序安装包中默认启用此选项 如果共享文件夹位于网络中的另一台计算机上 必须输入验证数据以访问该计算机 要输入验证数据 请打开 ESET File Security 高级设置 (F5) 并依次单击更新 > 用以下身份连接到局域网 如用以下身份连接到局域网部 分所述 此设置和用于更新的设置相同 完成镜像配置后 在客户端工作站上使用以下步骤将 \\UNC\PATH 设置为更新服务器 1 打开 ESET File Security 高级设置并依次单击更新 > 基本 2 单击更新服务器并使用 \\UNC\PATH 格式添加新服务器 注意 为使更新正常工作 镜像文件夹的路径必须指定为 UNC 路径 从映射驱动器进行的更新可能无法工 作 最后一个部分控制程序组件 PCU) 默认准备下载的程序组件复制本地镜像 如果激活程序组件更新 则无需 单击更新 因为当文件可用时将自动复制到本地镜像 参见更新模式了解程序组件更新的更多信息 8252 镜 像 文 件 可用和本地化的程序组件文件的列表 8253 镜 像 更 新 问 题 故 障 排 除 在大多数情况下 在从镜像服务器更新的过程中发生的问题可能因以下一种或多种情况引起 错误地指定镜像 文件夹选项 镜像文件夹验证数据不正确 尝试从镜像下载更新文件的本地工作站上的配置不正确 或以上原 因的综合 下面我们简要介绍在从镜像更新的过程中可能发生的最常见问题 连接到镜像服务器时 ESET File Security 报告错误 可能因错误地指定本地工作站从中下载更新的更新服务 器 镜像文件夹的网络路径 引起 要验证文件夹 请单击 Windows 开始菜单 单击运行 输入文件夹名称并 单击确定 应显示文件夹的内容 ESET File Security 需要用户名和密码 - 可能因在更新部分中输入了错误的验证数据 用户名和密码 引起 用 户名和密码用于授予对更新服务器的访问权 程序将从更新服务器自行更新 确保验证数据正确并以正确格 式输入 例如 域 用户名或工作组 用户名 再加上相应的密码 如果镜像服务器可供 所有人 访问 请注意 这并不意味着向任何用户授予访问权 所有人 不意味着任何非授权用户 它仅表示文件夹可供所有域用户 访问 因此 如果文件夹可供 所有人 访问 仍需要在更新设置部分中输入域用户名和密码 连接到镜像服务器时 ESET File Security 报告错误 定义用于访问 HTTP 版镜像的端口上的通信被阻止 826 如 何 创 建 更 新 任 务 更新可以手动方式触发 方法是在主菜单中单击更新 在显示的主窗口中单击更新病毒库 更新还可以作为计划任务运行 要配置计划任务 请单击工具 > 计划任务 默认情况下 在 ESET File Security 中 会启用以下任务 定期自动更新 拨号连接后自动更新 用户登录后自动更新 可以修改每个更新任务以满足您的需要 除了默认更新任务外 您还可以使用用户定义的配置创建新更新任 务 有关创建和配置更新任务的更多详细信息 请参阅本指南的计划任务部分 100

101 83 Web 和电子邮件 Web 和电子邮件部分允许您配置电子邮件客户端防护 使用 Web 访问保护保护您的 Internet 通信 并通过配 置协议过滤来控制 Internet 协议 在通过 Internet 通信时 这些功能对于保护您的计算机很重要 电子邮件客户端防护控制所有电子邮件通信 防止恶意代码并允许您在检测到感染时选择要采取的操作 Web 访问保护监视 Web 浏览器和远程服务器之间的通信 并遵从 HTTP 和 HTTPS 规则 此功能还允许您阻止 允许或排除某些 URL 地址 协议过滤是应用程序协议的高级保护 并由 ThreatSense 扫描引擎提供 无论使用 Web 浏览器还是电子邮件客 户端 该控件都会自动工作 它还可用于加密的 SSL/TLS) 通信 831 协 议 过 滤 协议过滤 针对应用程序协议的病毒防护由 ThreatSense 扫描引擎提供 可与所有高级恶意软件扫描技术无缝集成 无论 使用哪种 Internet 浏览器或电子邮件客户端 协议过滤都会自动工作 若要编辑加密 SSL) 设置 请转到 Web 和 电子邮件 > SSL/TLS 启用应用程序协议内容过滤 可以用于禁用协议过滤 请注意 许多 ESET File Security 组件 Web 访问保护 电 子邮件协议防护和网络钓鱼防护 都依赖于此选项 如果没有此选项 组件将不起作用 排除的应用程序 允许您从协议过滤中排除特定远程地址 在协议过滤导致兼容性问题时很有用 排除的 IP 地址 允许您从协议过滤中排除特定应用程序 在协议过滤导致兼容性问题时很有用 Web 和电子邮件客户端 仅用于 Windows 操作系统 允许您选择通过协议过滤为其过滤所有通信的应用程序 不管使用何种端口 记录 ESET 支持所需的信息 以诊断协议过滤问题 启用诊断数据的高级日志记录 仅在 ESET 支持有相关要求时 使用此选项 8311 排 除 的 应 用 程 序 要将特定网络感知应用程序的通信排除在内容过滤之外 请在列表中选择它们 将不检查选定应用程序的 HTTP/POP3 通信是否存在威胁 我们建议 仅当应用程序无法正常工作而需要检查其通信时才使用此选项 单击添加后 将自动显示已受协议过滤影响的应用程序和服务 编辑 编辑列表中的选定条目 删除 - 删除列表中的选定条目 8312 排 除 的 IP 地 址 此列表中的 IP 地址将被排除在协议内容过滤之外 将不检查往返选定地址的 HTTP/POP3/IMAP 通信是否存在威 胁 我们建议仅在地址可信赖时使用此选项 添加 - 单击以添加将应用规则的远程点的 IP 地址 地址范围 子网 编辑 - 编辑列表中的选定条目 删除 - 删除列表中的选定条目 101

102 8313 W e b 和 电 子 邮 件 客 户 端 注意 从 Windows Vista Service Pack 1 和 Windows Server 2008 开始 使用新的 Windows 过滤平台 WFP) 架构 检查网络通信 由于 WFP 技术使用了特殊的监视技术 因此 Web 和电子邮件客户端部分不可用 由于 Internet 上充斥着大量恶意代码 安全浏览 Internet 就成了计算机保护的一个非常重要的方面 Web 浏览 器的漏洞和欺骗链接能够帮助恶意代码进入系统且不会引起注意 这也是 ESET File Security 注重 Web 浏览器安 全性的原因所在 访问网络的每个应用程序都可以标记为 Internet 浏览器 可以将已使用协议进行通信的应用 程序或来自选定路径的应用程序添加到 Web 和电子邮件客户端列表 832 S S L/ T LS ESET File Security 能够检查使用 SSL/TLS 协议的通信中是否存在威胁 通过受信任的证书 未知证书或不受 SSL 保护的通信检查的证书 可以将不同的扫描模式用于检查受 SSL 保护的通信 启用 SSL/TLS 协议过滤 - 如果禁用协议过滤 则该程序将不会通过 SSL/TLS 扫描通信 SSL/TLS 协议过滤模式在以下选项中可用 自动模式 - 选择此选项来扫描所有受 SSL/TLS 保护的通信 除了由排除在检查之外的证书保护的通信 如果使 用未知的 签署的证书建立了新通信 不会提示您 且通信将自动被过滤 当不受信任的证书被标记为受信任 位于受信任的证书列表上 而用来访问服务器时 会允许对该服务器的通信 也会过滤通信通道的内容 交互模式 - 如果您输入一个受 SSL/TLS 保护的新站点 使用未知证书 将显示操作选择对话框 此模式允许您 创建将不扫描的 SSL/TLS 证书列表 阻止使用已过时 SSL v2 协议加密的通信 - 将自动阻止使用早期版本的 SSL 协议的通信 根证书 根证书 要使 SSL/TLS 通信在您的浏览器 电子邮件客户端中正常工作 请务必将 ESET 根证书添加到已知根证书 发布者 的列表中 应启用将根证书添加到已知浏览器 选中此选项可自动将 ESET 根证书添加到已知浏览器 如 Opera 和 Firefox 对于使用系统证书存储的浏览器 会自动添加证书 例如 在 Internet Explorer 中 要将该证书应用到不受支持的浏览器 请依次单击查看证书 > 详细信息 > 复制到文件 然后手动将其导入该 浏览器 证书有效性 使用 TRCA 证书机构无法验证该证书时 在某些情况下 无法使用受信任的根证书颁发机构 TRCA) 验证网站证 书 这意味着该证书将由某人 例如 Web 服务器或小型企业的管理员 签名 将此证书视为受信任并不总是存在 风险 大部分大型企业 例如银行 使用 TRCA 签名的证书 如果选中了询问证书的有效性 默认为选中 将在 建立加密通信时 提示用户选择要采取的操作 您可以选择阻止使用该证书的通信 以始终终止使用未验证证 书站点的加密连接 该证书无效或已损坏时 这意味着证书已过期或已错误地签名 在这种情况下 我们建议保持选中阻止使用该 证书的通信 已知证书列表允许您自定义针对特定 SSL 证书的 ESET File Security 行为 8321 加 密 的 SSL 通 信 如果您的系统配置为使用 SSL 协议扫描 在两种情况下将显示用于提示您选择操作的对话窗口 首先 如果网站使用无法验证或无效的证书 而且 ESET File Security 配置为在此类情况下询问用户 默认情况 下 无法验证的证书为 是 无效的证书为 否 将显示一个对话框询问您允许还是阻止该连接 其次 如果 SSL 协议过滤模式设置为交互模式 用于每个网站的对话框都将询问要扫描还是忽略通信 某些应 用程序验证其 SSL 通信未受到任何人的修改或检查 在此类情况下 ESET File Security 必须忽略该通信以保持应 用程序正常工作 在这两种情况下 用户可以选择记住选中的操作 保存的操作存储在已知证书列表中 102

103 8322 已 知 证 书 列 表 已知证书列表可用于自定义特定 SSL 证书的 ESET File Security 行为 如果在 SSL 协议过滤模式下选中交互模式 还可用于记住所选的操作 可以在高级设置 (F5) > Web 和电子邮件 > SSL 协议检查 > 已知证书列表中查看和 编辑该列表 已知证书列表窗口包含 列 名称 - 证书名称 证书颁发者 - 证书创建者的名称 证书主题 - 主题字段可标识与存储在主题公共密钥字段中的公共密钥相关联的实体 访问 - 选择允许或阻止作为访问操作 以允许 阻止受此证书保护的通信 不管其可信度如何都是如此 选择 自动以允许受信任的证书并询问是否允许不受信任的证书 选择询问以始终询问用户要执行的操作 扫描 - 选择扫描或忽略作为扫描操作 以扫描或忽略受此证书保护的通信 选择自动以在自动模式下扫描并 在交互模式进行询问 选择询问以始终询问用户要执行的操作 控件元素 编辑 - 选择您希望配置的证书 然后单击编辑 删除 - 选择您希望删除的证书 然后单击删除 确定 取消 - 如果您希望保存更改 则单击确定 如果您希望在不进行保存的情况下退出 则单击取消 833 电 子 邮 件 客 户 端 防 护 ESET File Security 与电子邮件客户端的集成可提高针对电子邮件中恶意代码的主动防护级别 如果您的电子邮 件客户端受支持 则可以在 ESET File Security 中启用集成 如果激活了集成 则 ESET File Security 工具栏将直接 插入电子邮件客户端 未插入适用于较新版本的 Windows Live Mail 的工具栏 从而提供更高效的电子邮件防 护 集成设置位于设置 > 高级设置 > Web 和电子邮件 > 电子邮件客户端防护 > 电子邮件客户端下 电子邮件客户端集成 当前受支持的电子邮件客户端包括 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 电 子邮件保护的工作方式和这些程序的插件相同 插件的主要优点在于它独立于所用的协议 当电子邮件客户端 收到加密邮件时 邮件会解密并发送给病毒扫描程序 有关支持的电子邮件客户端及其版本的完整列表 请参 考以下 ESET 知识库文章 即使未启用集成 电子邮件通信仍受电子邮件客户端防护模块 POP3 IMAP 保护 如果使用电子邮件客户端 仅限 MS Outlook 时遇到系统运行缓慢的情况 请启用禁用对收件箱内容更改的检 查 当从 Kerio Outlook Connector Store 中检索电子邮件时可能会发生这种情况 要扫描的电子邮件 已接收的电子邮件 - 切换到检查已接收到的邮件 已发送的电子邮件 - 切换到检查已发送的邮件 已阅读的电子邮件 - 切换到检查已阅读的邮件 要对被感染的电子邮件执行的操作 不操作 - 如果启用 则程序虽能识别感染的附件 但不会对电子邮件采取任何操作 删除电子邮件 - 程序会通知用户有关渗透的信息并删除邮件 将电子邮件移到已删除文件夹 - 受感染的电子邮件将自动移至 已删除 文件夹 将电子邮件移到文件夹 - 受感染的电子邮件将自动移至指定的文件夹 文件夹 - 指定希望将检测到的受感染电子邮件移到的自定义文件夹 更新后重新扫描 - 在病毒库更新后切换到重新扫描 103

104 接受其他模块的扫描结果 - 如果选中此选项 电子邮件保护模块会接受其他保护模块的扫描结果 POP3 IMAP 协议扫描 8331 电 子 邮 件 协 议 IMAP 和 POP3 协议是最广泛地用于在电子邮件客户端应用程序中接收电子邮件通信的协议 无论使用何种电子 邮件客户端 ESET File Security 均提供对这些协议的保护 无需重新配置电子邮件客户端 您可以在 高级设置 中配置 IMAP/IMAPS 和 POP3/POP3S 协议检查 若要访问此设置 请依次展开 Web 和电子 邮件 > 电子邮件客户端防护 > 电子邮件协议 ESET File Security 还支持扫描 IMAPS 和 POP3S 协议 这些协议使用加密通道在服务器和客户端之间传输信息 ESET File Security 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如何 该程序 将只在 IMAPS/POP3S 协议使用的端口中定义的端口上扫描通信 如果默认设置正在使用中 将不会扫描加密通信 若要启用加密通信扫描 请导航到 高级设置 中的 SSL/TLS 协 议检查 依次单击 Web 和电子邮件 > SSL/TLS 然后选择启用 SSL/TLS 协议过滤 8332 警 报 和 通 知 电子邮件防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 通过使用 Microsoft Outlook 和其他电子邮件 客户端的插件程序 ESET File Security 可控制电子邮件客户端的所有通信 POP3 MAPI IMAP 和 HTTP 检查传 入邮件时 程序使用 ThreatSense 扫描引擎内包含的所有高级扫描方法 这意味着恶意程序检测在与病毒库匹 配之前就已进行 对 POP3 和 IMAP 协议通信的扫描与使用何种电子邮件客户端无关 此功能的选项在 Web 和电子邮件 > 电子邮件客户端防护 > 警报和通知下的高级设置中可用 ThreatSense 参数 - 高级病毒扫描程序设置使您能够配置扫描目标 检测方法等 单击以显示详细的病毒扫描程 序设置窗口 选中一个电子邮件后 可将包含扫描结果的通知附加到邮件中 您可以选择在已接收并阅读的电子邮件上添 加标记消息 在已接收并阅读的被感染电子邮件主题上添加注释或在已发送电子邮件上添加标记消息 请注意 在少数情形下 标记消息可能被有问题的 HTML 邮件忽略 而恶意软件也可能伪造这些消息 可将标记 消息添加到已接收 已阅读的电子邮件 已发送的电子邮件或两类邮件中都添加 可用选项包括 从不 - 不添加任何标记信息 仅对被感染的电子邮件 - 仅将包含恶意软件的邮件标记为已选中 默认 对所有扫描的电子邮件 - 程序将把消息附加到所有已扫描的电子邮件上 在已发送的被感染电子邮件主题中添加注释 - 如果不想要在被感染的电子邮件主题中包含病毒警告 则禁用 此选项 此功能允许对被感染的电子邮件进行简单的 基于主题的过滤 如果电子邮件程序支持 它还可提高 收件人的可信性 如果检测到渗透 还可提供关于给定电子邮件或发件人威胁级别的宝贵信息 添加到被感染电子邮件主题中的模板 - 如果您希望修改被感染电子邮件的主题前缀格式 则编辑此模板 此 功能将替换邮件主题 "Hello" 为以下格式的给定前缀值 "[virus]" "[virus] Hello" 变量 %VIRUSNAME% 代表被感染 的威胁 8333 MS Outlo o k 工 具 栏 Microsoft Outlook 防护以插件模块的方式工作 安装 ESET File Security 后 包含病毒防护选项的此工具栏将添加 到 Microsoft Outlook ESET File Security - 单击图标 打开 ESET File Security 的主程序窗口 重新扫描邮件 - 使您能够手动启动电子邮件检查 您可以指定将被检查的邮件 并且可以启用对已接收电子邮 件的重新扫描 有关详细信息 请参阅电子邮件客户端防护 扫描程序设置 - 显示电子邮件客户端防护设置选项 104

105 8334 Outlo o k E xp re s s 和 W ind o ws Ma il 工 具 栏 Outlook Express 和 Windows Mail 防护以插件模块的方式工作 安装 ESET File Security 后 包含病毒防护选项的 此工具栏将添加到 Outlook Express 或 Windows Mail ESET File Security - 单击图标 打开 ESET File Security 的主程序窗口 重新扫描邮件 - 使您能够手动启动电子邮件检查 您可以指定将被检查的邮件 并且可以启用对已接收电子邮 件的重新扫描 有关详细信息 请参阅电子邮件客户端防护 扫描程序设置 - 显示电子邮件客户端防护设置选项 用户界面 自定义外观 - 可为电子邮件客户端修改工具栏的外观 取消选中此选项可以不依赖电子邮件程序参数而自定义 外观 显示文本 - 显示图标的说明 右侧文本 - 选项说明将从图标的底部移到右侧 大图标 - 显示菜单选项的大图标 8335 确 认 对 话 框 此通知用于验证用户是否确实想执行所选操作 这将消除可能发生的错误 另一方面 该对话框也提供禁用确认的选项 8336 重 新 扫 描 邮 件 ESET File Security 工具栏与电子邮件客户端集成在一起 使用户能指定若干电子邮件检查选项 重新扫描邮件 选项提供两种扫描模式 当前文件夹中的所有邮件 - 扫描当前显示的文件夹中的邮件 仅选定的邮件 - 仅扫描由用户标记的邮件 重新扫描已扫描的邮件复选框为用户提供了选项 可用来对以前已扫描的邮件再次执行扫描 834 W e b 访 问 保 护 Internet 连接是大多数个人计算机的一项标准功能 不幸地是 它也成为传输恶意代码的主要媒介 Web 访问保 护的功能是监视 Web 浏览器和远程服务器之间的通信 并遵从 HTTP 超文本传输协议 和 HTTPS 加密通信 规 则 在下载内容之前 将阻止访问已知包含恶意内容的网页 所有其他网页在加载时会由 ThreatSense 扫描引擎进 行扫描 并且如果检测到恶意内容 将阻止它们 Web 访问保护提供两种级别的保护 按黑名单阻止和按内容阻 止 我们强烈建议您保持启用 Web 访问保护 通过导航至设置 > 计算机 > Web 访问保护 可以从 ESET File Security 的主程序窗口中访问此选项 在高级设置 (F5) > Web 和电子邮件 > Web 访问保护中提供以下选项 基本 - 允许您启用或禁用完整 Web 访问保护 禁用该功能后 以下选项会处于非活动状态 Web 协议 - 使您可以为大多数 Internet 浏览器使用的这些标准协议配置监视 URL 地址管理 - 使您指定要对其阻止 允许或排除检查的 HTTP 地址 ThreatSense 引擎参数设置 - 高级病毒扫描程序设置 使您能够为 Web 访问保护配置设置 例如要扫描的对 象类型 电子邮件 压缩文件等 检测方法等 Web 协议 105

106 默认情况下 ESET File Security 将配置为监视由大部分 Internet 浏览器使用的 HTTP 协议 在 Windows Vista 及更高版本中 始终在所有应用程序的所有端口上监视 HTTP 通信 在 Windows XP/2003 中 您 可以在高级设置 (F5) > Web 和电子邮件 > Web 访问保护 > Web 协议 > HTTP 扫描程序设置中修改由 HTTP 协 议使用的端口 在所有应用程序的指定端口上以及标记为 Web 和电子邮件客户端的应用程序的所有端口上监 视 HTTP 通信 ESET File Security 还支持 HTTPS 协议检查 HTTPS 通信使用加密通道在服务器和客户端之间传输信息 ESET File Security 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如何 该程序将只在 HTTPS 协议使用的端口中定义的端口上扫描通信 如果默认设置正在使用中 将不会扫描加密通信 若要启用加密通信扫描 请导航到 高级设置 中的 SSL 协议检 查 依次单击 Web 和电子邮件 > SSL 协议检查 然后选择启用 SSL 协议过滤 8341 基 本 选择是要启用 默认 还是禁用 Web 访问保护 禁用该功能后 以下选项会处于非活动状态 注意 我们强烈建议您保持启用 Web 访问保护 通过导航至设置 > 计算机 > Web 访问保护 还可以从 ESET File Security 的主程序窗口中访问此选项 8342 U R L 地 址 管 理 URL 地址管理部分可允许您指定要对其阻止 允许或排除检查的 HTTP 地址 将不能访问已阻止地址列表中的网站 除非它们还包含在已允许地址的列表中 在访问时 不会针对不进行检 查的地址列表中的网站进行扫描以查找恶意代码 如果您在过滤 HTTP 网页之外还希望过滤 HTTPS 地址 则必须选中启用 SSL/TLS 协议过滤 否则 将仅添加您访 问过的 HTTPS 站点的域 而不会添加完整 URL 在所有列表中 您都可以使用特殊符号 星号 和 问号 星号表示任何数字或字符 而问号表示任一字符 指定排除的地址时 请务必谨慎 因为此列表应仅包含信任的和安全的地址 同样 必须确保在此列表中正确使 用符号 和 如果您希望阻止所有 HTTP 地址 活动的允许的地址列表中存在的地址除外 请将 添加到活动的阻止的地 址列表 添加 - 除了预定义的列表 创建新列表 如果您希望按逻辑拆分不同的地址组 这非常有用 例如 一个阻止的 地址列表可能包含某些外部公开黑名单中的地址 另一个阻止的地址列表可能包含您自己的黑名单 这可在保 持您的黑名单不变的同时轻松更新外部列表 编辑 - 修改现有列表 使用此选项从列表中添加或删除地址 删除 - 删除现有列表 仅适用于使用 添加 创建的列表 不适用于默认列表 新 建 列 表 此部分允许您指定将会被阻止 允许或从检查中排除的 URL 地址 掩码的列表 在新建列表时 可配置以下选项 地址列表类型 - 提供三种列表类型 不检查的地址列表 - 程序不会对已添加至此列表的任何地址执行恶意代码检查 阻止的地址列表 - 将不允许用户访问此列表中指定的地址 这仅适用于 HTTP 协议 将不会阻止除 HTTP 之外 的协议 允许的地址列表 - 如果启用了仅允许访问许可地址列表中的 HTTP 地址选项且阻止地址列表中包含 与所有 地址相匹配 则将只允许用户访问此列表中指定的地址 允许该列表中的地址 即使这些地址还与阻止的地 址列表相匹配也是如此 列表名称 - 指定列表的名称 在编辑三个预定义列表之一时 此字段将变灰 列表说明 - 键入列表的简短说明 可选 在编辑三个预定义列表之一时 将变灰 要激活列表 请选中该列表旁边的列表活动 如果您希望在特定列表用于评估您访问过的 HTTP 网站时收到通 106

107 知 请选择应用时发送通知 例如 将在阻止或允许网站时发出通知 因为它包含在阻止或允许的地址列表 中 该通知将包含含有指定网站的列表的名称 添加 - 将新 URL 地址添加到列表 输入带有分隔符的多个值 编辑 - 修改列表中的现有地址 仅可用于使用 添加 创建的地址 删除 - 删除列表中的现有地址 仅可用于使用 添加 创建的地址 导入 - 导入带有 URL 地址的文件 使用换行符分隔值 例如使用编码 UTF-8 的 txt 地 址 列 表 在此部分中 您可以指定将会被阻止 允许或从检查中排除的 HTTP 地址的列表 默认情况下 有以下三种列表可供使用 不检查的地址列表 - 程序不会对已添加至此列表的任何地址执行恶意代码检查 允许的地址列表 - 如果启用了仅允许访问许可地址列表中的 HTTP 地址且阻止地址列表中包含 与所有地 址相匹配 则将只允许用户访问此列表中指定的地址 允许该列表中的地址 即使这些地址包含在阻止地址 列表中也是如此 阻止的地址列表 - 将不允许用户访问此列表中指定的地址 除非这些地址还出现在允许的地址列表中 单击添加创建新的列表 若要删除选定列表 请单击删除 835 网 络 钓 鱼 防 护 网络钓鱼这一术语是指利用社会工程学 操纵用户以获取机密信息 的一种犯罪活动 网络钓鱼通常用于获取敏 感信息 如银行帐号 PIN 码等 的访问权限 在词汇表中阅读此活动的详细信息 ESET File Security 包括网络钓 鱼防护 用于阻止散布此类内容的已知网页 我们强烈建议您启用 ESET File Security 中的网络钓鱼防护 若要执行此操作 请打开高级设置 (F5) 并导航至 Web 和电子邮件 > 网络钓鱼防护 有关 ESET File Security 中网络钓鱼防护的详细信息 请访问我们的知识库文章 访问网络钓鱼网站 当访问已识别的网络钓鱼网站时 以下对话框将显示在您的 Web 浏览器中 如果您仍需要访问该网站 请单击 继续浏览此网站 不推荐 107

108 注意 在默认情况下 白名单上列出的潜在网络钓鱼网站将在几小时后过期 要永久允许某一网站 可使用 URL 地址管理工具 通过高级设置 (F5) 展开 Web 和电子邮件 > Web 访问保护 > URL 地址管理> 地址列表 并 单击编辑 然后向该列表添加要编辑的网站 报告网络钓鱼站点 报告链接使您能够向 ESET 报告网络钓鱼 恶意网站以供分析 注意 向 ESET 提交网站前 确保其满足以下一个或多个标准 未检测到该网站 该网站被错误地检测为威胁 在此情况下 您可以报告误报的网络钓鱼站点 此外 也可以通过电子邮件提交网站 请将电子邮件发送至 请记住 邮件主题一定要描述 清楚 邮件应包含尽可能多的有关此网站的信息 例如 从哪里引用了此网站 您是如何了解到它的等 108

109 84 设备控制 ESET File Security 提供自动设备 CD/DVD/USB/) 控制 此模块允许您扫描 阻止或调整扩展的过滤器 权限 并定 义用户访问和使用给定设备的能力 如果计算机管理员不希望使用包含不请自来的内容的设备 此模块将很有 用 支持的外部设备 磁盘存储 HDD USB 可移动磁盘 CD/DVD USB 打印机 FireWire 存储 蓝牙设备 智能卡读卡器 刻录设备 调制解调器 LPT/COM 端口 便携式设备 所有设备类型 可以在高级设置 (F5) > 设备控制中修改设备控制设置选项 启用集成到系统旁的开关激活 ESET File Security 中的设备控制功能 要使此更改生效 需要重新启动计算机 启 用设备控制后 规则编辑器将处于活跃状态 以允许您打开规则编辑器窗口 如果插入受现有规则阻止的设备 则将显示通知窗口并且不会授予对设备的访问权限 841 设 备 控 制 规则编辑器 设备控制规则编辑器窗口显示现有规则 允许精确控制用户连接到计算机的外部设备 可以按照用户 用户组或规则配置中可指定的其他参数来允许或阻止特定设备 规则列表包含规则的多个说 明 例如其名称 外部设备类型 将外部设备连接到计算机后执行的操作以及日志严重级别 单击添加或编辑以管理规则 若要删除选定的规则 请单击删除 或者取消选中给定规则旁的启用复选框以禁 用它 如果不希望永久删除规则 以便将来可以使用该规则 这可能很有用 复制 - 基于选定规则的参数创建新规则 单击填充可以为连接到计算机的设备自动填充可移动磁盘设备参数 按优先级顺序列出规则 具有较高优先级的规则比较靠近顶端 您可以选择多个规则并应用操作 例如删除它 们或通过单击最高 向上 向下 最低 箭头按钮 在列表中上下移动它们 从 ESET File Security 主程序窗口的工具 > 日志文件可以查看日志条目 842 添 加 设 备 控 制 规 则 设备控制规则定义满足规则条件的设备连接到计算机时将采取的操作 在名称字段中输入规则说明以更好识别 单击已启用规则旁的开关以禁用或启用此规则 如果不希望永久删除 此规则 这可能会有用 设备类型 从下拉菜单中选择外部设备类型 磁盘存储 便携式设备 蓝牙 FireWire/ 设备类型从操作系统继承 只要设 备连接到计算机 就可在系统设备管理器中查看 存储设备包括通过 USB 或 FireWire 连接的外部磁盘或传统存 储卡读卡器 智能卡读卡器包括具有嵌入式集成电路的所有智能卡读卡器 如 SIM 卡或身份验证卡 成像设备 示例包括扫描仪或照相机 这些设备不提供用户信息 仅提供用户操作信息 这意味着只能全局阻止成像设备 操作 可以允许或阻止访问非存储设备 相比之下 存储设备规则允许选择以下权限设置之一 109

110 读 写 - 将允许对设备的完全访问权限 阻止 - 将阻止对设备的访问 只读 - 仅允许对设备进行读取访问 警告 - 每次连接设备时 系统都会通知用户这是否得到允许或受到阻止 并且将记录日志条目 系统不会记住 设备 在以后连接同一设备时仍会显示通知 请注意 不是所有权限 操作 都可用于所有设备类型 如果设备具有存储空间 则所有四个操作都可用 对于非 存储设备 只有两个操作可用 例如只读操作对蓝牙不可用 因此这意味着只能允许或阻止蓝牙设备 下面显示的其他参数可用于微调规则并根据设备定制 所有参数都不区分大小写 供应商 - 按供应商名称或 ID 过滤 型号 - 设备的给定名称 序列号 - 外部设备通常具有自己的序列号 如果是 CD/DVD 这是给定介质的序列号 而不是 CD 驱动器 注意 如果这三个描述符是空的 则匹配后该规则将忽略这些字段 所有文本字段中的过滤参数都不区分大小 写并且不支持通配符 提示 要找出设备参数 请创建允许此设备类型的规则 将设备连接到计算机 然后查看设备控制日志中的设 备详细信息 严重级别 始终 - 记录所有事件 诊断 - 记录微调程序所需的信息 信息 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 无 - 不记录任何日志 可以通过将规则添加到用户列表 来将规则限制为特定用户或用户组 添加 - 打开对象类型 用户或组对话框 该窗口可用来选择需要的用户 删除 - 从过滤器删除选定用户 注意 所有设备均可按用户规则进行过滤 例如 成像设备不提供用户信息 仅提供已调用操作的信息 843 已 检 测 的 设 备 填充按钮提供了当前所有已连接设备的概述 其中包括以下信息 设备类型 设备供应商 型号以及序列号 如 果有 当您 从已检测的设备列表 选择某个设备并单击确定时 将显示具有预定义信息的规则编辑器窗口 可 调整所有设置 844 设 备 组 连接到计算机的设备可能会带来安全风险 设备组 窗口分为两个部分 该窗口右侧包含属于各个组的设备列表 而该窗口左侧包含现有组的列表 选择 包含要在右窗格中显示的设备的组 打开 设备组 窗口且选择组后 您可以从该列表添加或删除设备 另一种向组添加设备的方法是从文件导入它 们 此外 还可以单击填充 然后连接到计算机的所有设备将在已检测的设备窗口中列出 从已填充的列表中 选择设备 然后单击确定以将其添加到组 控件元素 添加 - 可通过输入组的名称将该组添加到现有组 或将设备添加到现有组 可以选择指定详细信息 如供应 商名称 型号和序列号 具体取决于您单击该按钮时它在窗口中所处的位置 编辑 - 让您可以修改选定组的名称或其中包含的设备的参数 供应商名称 型号和序列号 删除 - 删除选定组或设备 具体取决于您在窗口中单击的位置 导入 - 从文件导入设备列表 110

111 填充按钮提供了当前所有已连接设备的概述 其中包括以下信息 设备类型 设备供应商 型号以及序列号 如果有 完成自定义后 单击确定 若要在不保存更改的情况下离开设备组窗口 请单击取消 提示: 您可以针对应用的不同规则来创建不同的设备组 也可以针对通过读 写或只读操作所应用的规则仅创 建一个设备组 这确保了在未标识的设备连接到计算机时 设备控制会阻止它们 注意 不是所有操作 权限 都可用于所有设备类型 对于存储设备 所有四项操作都可用 对于非存储设备 只 有三项操作可用 例如只读操作对蓝牙不可用 因此这意味着只能允许 阻止或警告蓝牙设备 85 工具 下面是 ESET File Security 在 GUI 窗口中的工具选项卡下提供的所有工具的高级设置 851 E S E T Liv e Grid ESET LiveGrid 是包含多种基于云的技术的高级预警系统 它帮助基于信誉检测新威胁 并通过白名单提高扫描 性能 新威胁信息将实时传输到云 这使 ESET 恶意软件研究实验室能够提供及时的响应 并始终提供持续的防 护 用户可以直接从程序界面或右键菜单检查运行进程和文件的信誉 并从 ESET LiveGrid 获取其他信息 安装 ESET File Security 时 请选择以下选项之一 1 您可以决定不启用 ESET LiveGrid 您的软件不会失去任何功能 但在某些情况下 ESET File Security 可能会比 病毒库更新更慢地响应新威胁 2 您可以配置 ESET LiveGrid 以提交关于新威胁以及检测到的新威胁代码所在位置的匿名信息 此文件可以发送 到 ESET 以供详细分析 研究这些威胁将帮助 ESET 更新其威胁检测功能 ESET LiveGrid 将收集您的计算机中与新检测到的威胁相关的信息 这些信息可能包括出现威胁的文件的样本或 副本 该文件的路径 文件名 日期和时间 威胁出现在计算机上的过程 以及有关您的计算机操作系统的信 息 默认情况下 ESET File Security 配置为提交可疑文件以供 ESET 病毒实验室详细分析 始终排除具有特定扩展名 的文件 例如 doc 或 xls 如果您或您的组织希望避免发送特定类型的文件 也可以添加其他扩展名 ESET LiveGrid 信誉系统提供了基于云的白名单和黑名单 若要访问 ESET LiveGrid 的设置 请按 F5 以进入 高级设 置 然后依次展开工具 > ESET LiveGrid 启用 ESET LiveGrid 信誉系统 建议 - ESET LiveGrid 信誉系统通过将已扫描的文件与云中白名单和黑名单项目数 据库进行比较 可提高 ESET 恶意软件防护解决方案的效率 提交匿名统计 - 允许 ESET 收集有关新检测到的威胁的信息 如威胁名称 检测日期和时间 检测方法和相关联 的元数据 产品版本以及配置 其中包括有关您的系统的信息 提交文件 - 将类似威胁的可疑文件和 或具有不正常特征或行为的文件提交给 ESET 以供分析 选择启用日志记录以创建记录文件和统计信息提交的事件日志 这将启用在发送文件或统计信息后记录到事 件日志 联系人电子邮件 可选 - 您的联系人电子邮件可以与任何可疑文件一起发送 而且可能用于在需要进一步信息 以供分析时联系您 请注意 除非需要更多信息 否则 ESET 不会与您联系 排除 - 排除 过滤器允许您不提交某些文件 文件夹 例如 在排除诸如文档或电子表格等可能包含机密信息的 文件时会很有用 列出的文件即使包含可疑代码也不会发送给 ESET 实验室以供分析 默认情况下 最常见的 文件类型均会排除 doc 等 如果需要 可以添加到排除文件列表 如果您以前使用过 ESET LiveGrid 但已禁用它 可能仍会发送数据包 即使已停用 此类数据包也会发送给 ESET 发送完当前所有信息后 将不会再创建任何数据包 111

112 8511 排 除 过 滤 器 ESET LiveGrid 中 排除 旁的编辑选项可用于配置将威胁提交到 ESET 病毒实验室以供分析的方式 如果发现可疑文件 可以将其提交到我们的威胁实验室进行分析 如果文件是一个恶意应用程序 则下次病毒 库更新中将添加对此程序的检测 852 隔 离 将被感染或可疑的文件以无危险方式存储在隔离区文件夹中 默认情况下 实时防护模块隔离所有新创建的可 疑文件 以避免受感染 每次更新后重新扫描被隔离文件 - 所有隔离对象将在每次病毒库更新之后扫描 因误报检测将文件移动到隔 离区时 此功能尤其有用 启用此选项后 某些类型的文件可以自动恢复到其初始位置 853 Mic ro s o ft W ind o ws 更 新 Windows 更新提供对潜在危险的漏洞的重要修复 并提高计算机的常规安全级别 出于此原因 即时安装 Microsoft Windows 更新很重要 ESET File Security 会根据您指定的级别 通知您有关错过的更新 可用级别包 括 无更新 - 不提供系统更新供下载 可选更新 - 将提供标记为低优先级及更高优先级的更新供下载 建议的更新 - 将提供标记为常用及更高优先级的更新供下载 重要更新 - 将提供标记为重要及更高优先级的更新供下载 关键更新 - 仅提供关键更新供下载 单击确定可保存更改 在验证更新服务器的状态后将显示系统更新窗口 在保存更改后系统更新信息可能无法 立即使用 854 W MI 提 供 程 序 关于 WMI Windows 管理设备 WMI) 是基于 Web 的企业管理 WBEM) 的 Microsoft 实现 WBEM 是一个行业计划 旨在开发 在企业环境中访问管理信息的标准技术 有关 WMI 的详细信息 请参阅 aa384642(v=vs85)aspx ESET WMI 提供程序 ESET WMI 提供程序的目的是允许在企业环境中远程监视 ESET 产品 而无需任何 ESET 特定的软件或工具 通过 WMI 公开基本产品 状态和统计信息 在监视 ESET 产品时 我们极大地增强了企业管理员的可能作用 管理员 可以利用由 WMI 提供的大量访问方法 命令行 脚本和第三方企业监视工具 来监控其 ESET 产品的状态 当前的实现提供了对基本的产品信息 安装的功能 以及它们的防护状态 个别扫描程序的统计信息和产品的 日志文件的只读访问权限 WMI 提供程序支持使用标准 Windows WMI 基础架构和工具读取产品状态和产品日志 8541 提 供 的 数 据 所有与 ESET 产品相关的 WMI 类都位于 root\eset 命名空间中 当前已实现以下类 将在以下部分详细介绍它 们 常规 ESET_Product ESET_Features ESET_Statistics 日志 112

113 ESET_ThreatLog ESET_EventLog ESET_ODFileScanLogs ESET_ODFileScanLogRecords ESET_ODServerScanLogs ESET_ODServerScanLogRecords ESET_GreylistLog ESET_SpamLog ESET_Product 类 ESET_Product 类可能只包括一个实例 此类的属性表示您已安装的 ESET 产品的基本信息 ID - 产品类型标识符 例如 essbe Name - 产品名称 例如 ESET Security Edition - 产品的版本 例如 Microsoft SharePoint Server Version - 产品版本号 例如 ４ ５ １ ５ １ ３ VirusDBVersion - 病毒库版本号 例如 ７ ８ ６ ８ ２ １ ３ １ ７ VirusDBLastUpdate - 病毒库最后更新版本的时间戳 该字符串包含采用 WMI 日期 时间格式的时间戳 例 如 ２ １ ３ １ １ ８ １ １ ５ ５ １ １ ６ LicenseExpiration - 许可证过期时间 该字符串包含采用 WMI 日期 时间格式的时间戳 例 如 ２ １ ３ １ １ ８ １ １ ５ ５ １ １ ６ KernelRunning - 指示 ekrn 服务是否在计算机上运行的布尔值 例如 TRUE StatusCode - 指示产品防护状态的数字 绿色 良好 １ 黄色 警告 ２ 红色 错误 StatusText - 描述出现非零状态代码的原因的消息 否则为空 ESET_Features 类 ESET_Features 类具有多个实例 具体取决于产品功能数 每个实例都包含 Name - 功能名称 名称列表在下面提供 Status - 功能状态 非活动 １ 禁用 ２ 启用 表示当前可识别的产品功能的字符串的列表 CLIENT_FILE_AV - 文件系统实时病毒防护 CLIENT_WEB_AV - 客户端 Web 病毒防护 CLIENT_DOC_AV - 客户端文档病毒防护 CLIENT_NET_FW - 客户端个人防火墙 CLIENT_ _AV - 客户端电子邮件病毒防护 CLIENT_ _AS - 客户端电子邮件反垃圾邮件防护 SERVER_FILE_AV - 对受保护的文件服务器产品上的文件的实时病毒防护 例如 以 ESET File Security 为例 SharePoint 的内容数据库中的文件 SERVER_ _AV - 对受保护的服务器产品中的电子邮件的病毒防护 例如 MS Exchange 或 IBM Domino 中的 电子邮件 SERVER_ _AS - 对受保护的服务器产品中的电子邮件的反垃圾邮件防护 例如 MS Exchange 或 IBM Domino 中的电子邮件 SERVER_GATEWAY_AV - 对网关上受保护的网络协议的病毒防护 SERVER_GATEWAY_AS - 对网关上受保护的网络协议的反垃圾邮件防护 113

114 ESET_Statistics 类 ESET_Statistics 类具有多个实例 具体取决于产品中的扫描程序数 每个实例都包含 Scanner - 特定扫描程序的字符串代码 例如 CLIENT_FILE Total - 已扫描文件的总数 Infected - 找到的受感染文件的数量 Cleaned - 已清除文件的数量 Timestamp - 对此统计信息的最后一次更改的时间戳 采用 WMI 日期 时间格式 例如 ２ １ ３ １ １ ８ １ １ ５ ５ １ １ +060 ResetTime - 最后一次重置统计计数器时的时间戳 采用 WMI 日期 时间格式 例如 ２ １ ３ １ １ ８ １ １ ５ ５ １ １ +060 表示当前可识别的扫描程序的字符串的列表 CLIENT_FILE CLIENT_ CLIENT_WEB SERVER_FILE SERVER_ SERVER_WEB ESET_ThreatLog 类 ESET_ThreatLog 类具有多个实例 每个实例表示 检测到的威胁 日志中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug Info-Footnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Scanner - 创建此日志事件的扫描程序的名称 ObjectType - 生成此日志事件的对象的类型 ObjectName - 生成此日志事件的对象的名称 Threat - 已在由 ObjectName 和 ObjectType 属性描述的对象中找到的威胁的名称 Action - 识别威胁后所执行的操作 User - 导致此日志事件生成的用户帐户 Information - 对事件的其他描述 ESET_EventLog ESET_EventLog 类具有多个实例 每个实例表示 事件 日志中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 区间内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical 模块 - 创建此日志事件的模块的名称 事件 - 事件的说明 User - 导致此日志事件生成的用户帐户 ESET_ODFileScanLogs ESET_ODFileScanLogs 类具有多个实例 每个实例表示一条手动文件扫描记录 这相当于其中包含日志的 GUI 手 动计算机扫描 列表 每个实例都包含 ID - 此手动日志的唯一 ID Timestamp - 日志的创建时间戳 采用 WMI 日期 时间格式 Targets - 扫描的目标文件夹 对象 TotalScanned - 已扫描对象的总数 Infected - 找到的受感染对象的数量 Cleaned - 已清除对象的数量 Status - 扫描进程的状态 114

115 ESET_ODFileScanLogRecords ESET_ODFileScanLogRecords 类具有多个实例 每个实例表示一个扫描日志 由 ESET_ODFileScanLogs 类中的实例 表示 中的一条日志记录 此类中的实例提供所有手动扫描 日志的日志记录 当仅需某个特定扫描日志中的实 例时 必须按 LogID 属性对其进行过滤 每个类实例都包含 LogID - 此日志所属的扫描日志的 ID ESET_ODFileScanLogs 类中某个实例的 ID ID - 此扫描日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug Info-Footnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Log - 实际日志消息 ESET_ODServerScanLogs ESET_ODServerScanLogs 类具有多个实例 每个实例表示手动服务器扫描的一次运行 每个实例都包含 ID - 此手动日志的唯一 ID Timestamp - 日志的创建时间戳 采用 WMI 日期 时间格式 Targets - 扫描的目标文件夹 对象 TotalScanned - 已扫描对象的总数 Infected - 找到的受感染对象的数量 Cleaned - 已清除对象的数量 RuleHits - 规则命中总数 Status - 扫描进程的状态 ESET_ODServerScanLogRecords ESET_ODServerScanLogRecords 类具有多个实例 每个实例表示一个扫描日志 由 ESET_ODServerScanLogs 类中的 实例表示 中的一条日志记录 此类中的实例提供所有手动扫描 日志的日志记录 当仅需某个特定扫描日志中 的实例时 必须按 LogID 属性对其进行过滤 每个类实例都包含 LogID - 此日志所属的扫描日志的 ID ESET_ODServerScanLogs 类中某个实例的 ID ID - 此扫描日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 区间内的数字表示 这些值与以下命名级别相对应 Debug InfoFootnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Log - 实际日志消息 ESET_GreylistLog ESET_GreylistLog 类具有多个实例 每个实例表示 灰名单 日志中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug Info-Footnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical HELODomain - HELO 域的名称 IP - 源 IP 地址 Sender - 电子邮件发件人 Recipient - 电子邮件收件人 Action - 执行的操作 TimeToAccept - 接受电子邮件前所需的分钟数 115

116 ESET_SpamLog ESET_SpamLog 类具有多个实例 每个实例表示 垃圾邮件日志 中的一条日志记录 每个实例都包含 ID - 此日志记录的唯一 ID Timestamp - 日志记录的创建时间戳 采用 WMI 日期 时间格式 LogLevel - 日志记录的严重性 以 [0-8] 内的数字表示 这些值与以下命名级别相对应 Debug Info-Footnote Info Info-Important Warning Error SecurityWarning Error-Critical SecurityWarning-Critical Sender - 电子邮件发件人 Recipient - 电子邮件收件人 Subject - 电子邮件主题 Received - 接收时间 Score - 垃圾邮件分数 采用百分制 [0-100] Reason - 此电子邮件标记为垃圾邮件的原因 Action - 执行的操作 DiagInfo - 其他诊断信息 8542 访 问 提 供 的 数 据 以下提供几个有关如何从 Windows 命令行和 PowerShell 访问 ESET WMI 数据的示例 应可从当前任何 Windows 操作系统进行操作 但是 还存在使用其他脚本语言和工具访问该数据的许多其他方法 不带脚本的命令行 此wmic 命令行工具可用于访问各种预定义的或任何自定义的 WMI 类 显示本地计算机上的产品的完整信息 wmic /namespace:\\root\eset Path ESET_Product 仅显示计算机上的产品的产品版本号 wmic /namespace:\\root\eset Path ESET_Product Get Version 显示 IP 为 １ １ １ １ ８ １ ８ 的远程计算机上的产品的完整信息 wmic /namespace:\\root\eset /node: /user:administrator Path ESET_Product PowerShell 获取并显示本地计算机上的产品的完整信息 Get-WmiObject ESET_Product -namespace 'root\eset' 获取并显示 IP 为 １ １ １ １ ８ １ ８ 的远程计算机上的产品的完整信息 $cred = Get-Credential # 提示用户输入凭据并将其存储在变量中 Get-WmiObject ESET_Product -namespace 'root\eset' -computername ' ' -cred $cred 855 E R A 扫 描 目 标 此功能允许 ESET Remote Administrator 使用相应的 Hyper-V 扫描目标 当在服务器上与 ESET File Security 一起运 行服务器扫描客户端任务时 当您启用生成目标列表功能时 ESET File Security 将创建当前可用扫描目标的列表 此列表将根据定义的更新 时段 以分钟为单位 定期生成 当 ERA 想要运行服务器扫描客户端任务时 它将收集该列表并允许您为该特 定服务器上的手动扫描选择扫描目标 注意 在首次启用生成目标列表时 ERA 需要花费大约一半的指定更新时段来选取它 所以 如果更新时段 设置为 ６ 分钟 ERA 要花费大约 ３ 分钟接收扫描目标列表 如果需要 ERA 更早地收集列表 请将更新时段设置 为较小的值 您始终可以稍后增加此值 116

117 856 日 志 文 件 该部分允许您修改 PN%> 日志记录的配置 您可以使用开关禁用或启用特定功能 若要启动实际日志记录 需要在主菜单 设置 > 工具中启用产品级别的通用诊断日志记录 诊断日志记录 - 您可以使用开关禁用或启用群集诊断日志记录 如果需要 它在默认情况下处于启用状 态 这意味着群集日志记录将包括在通用诊断日志记录中 日志文件 - 可以定义日志的管理方式 程序自动删除旧的日志以节省磁盘空间 自动删除早于以下天数的记录字段中指定天数以前的日志条目将自动删除 如果已超过日志大小 则自动删除旧记录 - 如果日志大小超过最大日志大小 [MB] 将删除旧的日志记录 直 到达到减少的日志大小 [MB] 备份自动删除的记录 自动删除的日志记录和文件将备份到指定目录下 并且可以选择压缩为 ZIP 文件 备份诊断日志 - 将备份自动删除的诊断日志 如果未启用 则不备份诊断日志记录 备份文件夹 - 将存储日志备份的文件夹 您可以启用使用 ZIP 压缩的日志备份 自动优化日志文件 - 如果执行 则碎片百分比高于如果未使用记录数超过 字段中指定的值后 将自动整 理日志文件碎片 单击优化以开始整理日志文件的碎片 将删除所有空白日志条目 以改善性能并提高日志处理速度 尤其在日 志包含大量条目时 可以感受到这种改善效果 打开启用文本协议 以支持采用不同于日志文件的其他文件格式存储日志 目标目录 - 将存储日志文件的目录 仅适用于文本 CSV 每个日志部分都具有其自己的文件 该文件具有预 定义的文件名 例如 如果您使用纯文本文件格式存储日志 则日志文件的检测到的威胁部分将使用 virlogtxt 类型 - 如果您选择文本文件格式 日志将存储在文本文件中 数据将由制表符分隔 这也适用于由逗号分隔 的 CSV 文件格式 如果您选择事件 则日志将存储在 Windows 事件日志 可以使用控制面板中的事件查看器 进行查看 而非文件中 删除将擦除当前在类型下拉菜单中选定的所有存储日志 注意 为了帮助更快地解决问题 ESET 客户服务部门会要求您提供计算机日志 ESET 日志收集器可使您轻松 收集所需信息 有关 ESET 日志收集器的详细信息 请参阅我们的 ESET 知识库文章 8561 日 志 过 滤 日志存储重要系统事件的相关信息 日志过滤功能可以显示特定类型事件的记录 将搜索关键字输入到查找文本字段中 使用在列中搜索下拉菜单优化您的搜索 记录类型 - 从下拉菜单选择一个或多个记录日志类型 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护时出错 时段 - 定义想要显示其结果的时段 仅全字匹配 - 如果想要搜索特定的全字以得到更精确的结果 则选中此复选框 区分大小写 - 如果在过滤时使用大写或小写对您很重要 则启用此选项 117

118 8562 在 日 志 中 查 找 除了日志过滤 您还可以使用日志文件中的搜索功能 但您也可以通过日志过滤单独使用它 这在您寻找日志 中的特定记录时很有用 类似日志过滤 此搜索功能将帮助您查找需要的信息 尤其在有太多记录时 在日志中进行搜索时 您可以通过键入特定字符串查找文本 使用在列中搜索下拉菜单按列搜索 选择记录 类型并设置时段以仅搜索特定时段内的记录 通过指定某些搜索选项 在 日志文件 窗口中仅搜索相关记录 根据搜索选项 查找文本 键入字符串 词语或部分词语 将仅查找包含此字符串的记录 将省略其他记录 在列中搜索 选择在搜索时将考虑哪些列 您可以选中一个或多个列以用于搜索 默认情况下 将选中所有列 时间 已扫描的文件夹 事件 用户 记录类型 从下拉菜单中选择一个或多个记录日志类型 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护时出错 时段 定义想要显示其结果的时段 未指定 默认 不在时段内搜索 而是搜索整个日志 前一天 上一周 上个月 时段 - 可以指定精确的时段 日期和时间 仅搜索指定时段内的记录 仅全字匹配 - 仅查找字符串与内容文本框中的全字匹配的记录 区分大小写 - 仅查找字符串与内容文本框中的精确大写匹配的记录 向上搜索 - 从当前位置向上搜索 配置搜索选项后即可单击查找以开始搜索 当找到第一个相应的记录时 搜索会停止 再次单击查找以查看更 多记录 从您的当前位置 突出显示的记录 开始 从上往下搜索日志文件 857 代 理 服 务 器 在大型 LAN 网络中 计算机可通过代理服务器连接到 Internet 如果是这样连接的 则需要定义以下设置 否则 程序将无法自动更新 在 ESET File Security 中 高级设置 树中的两个不同部分提供了代理服务器设置 首先 可以在高级设置 在工具 > 代理服务器下 中配置代理服务器设置 在此级别指定的代理服务器定义了 所有 ESET File Security 的全局代理服务器设置 此处的参数将用于需要连接到 Internet 的所有模块 要指定此级别的代理服务器设置 请打开使用代理服务器开关 然后将代理服务器地址和代理服务器的端口 号输入到代理服务器字段 如果与代理服务器的通信需要验证 请打开代理服务器需要验证开关 然后在相应字段中输入有效的用户名 和密码 单击检测以自动检测和填充代理服务器设置 将复制在 Internet Explorer 中指定的参数 注意 此功能不检索验证数据 用户名和密码 它必须由您提供 还可以在 高级更新 设置中建立代理服务器设置 通过从代理模式下拉菜单选择通过代理服务器连接来选择 高级设置 > 更新 > HTTP 代理 此设置适用于给定更新配置文件 并建议笔记本电脑用户使用 因为他们经常 从不同位置接收病毒库更新 有关此设置的详细信息 请参阅高级更新设置部分 118

119 858 电 子 邮 件 通 知 如果发生具有所选级别的事件 ESET File Security 可以自动发送通知电子邮件 启用通过电子邮件发送事件通 知以激活电子邮件通知 注意 ESET File Security 支持采用 TLS 加密的 SMTP 服务器 SMTP 服务器 用于发送通知的 SMTP 服务器 用户名和密码 如果 SMTP 服务器需要验证 则需在字段中填写有效的用户名和密码 这样才能访问 SMTP 服 务器 发件人地址 - 输入发件人地址 该地址将在通知电子邮件的标题中显示 收件人将该地址视为发件人地址 收件人地址 指定收件人电子邮件地址 将向收件人传递通知 通知的最低级别 - 指定要发送的通知的最低级别 启用 TLS - 允许 TLS 加密支持的警报和通知邮件 在此间隔后将发送新的通知电子邮件 分钟 - 在此间隔 以分钟为单位 后将通过电子邮件发送新的通知 如果要立即发送这些通知 则将该值设置为 在单独的电子邮件中发送每个通知 - 启用后 收件人将收到有关每个单独通知的新电子邮件 这可能导致 在短时间内收到大量的电子邮件 邮件格式 事件邮件的格式 - 显示在远程计算机上的事件邮件的格式 另请参阅编辑格式 威胁警告邮件的格式 - 威胁警报和通知邮件具有预定义的默认格式 我们建议您不要更改该格式 不过在某 些情况下 例如 如果有自动电子邮件处理系统 可能需要更改邮件格式 另请参阅编辑格式 使用本地字母字符 基于 Windows 区域设置 例如 Windows-1250 将电子邮件转换为 ANSI 字符编码 如果 保留此选项未选中 将转换邮件并以 ACSII 7 位编码 例如 á 将更改为 a 未知符号改为 使用本地字符编码 电子邮件源将编码为使用 ASCII 字符的引用可打印 QP) 格式 可通过 ８ 位格式电子邮件 正确传输特殊国家字符 áéíóú) 8581 邮 件 格 式 程序和远程用户或系统管理员之间的通信通过电子邮件或 LAN 消息 使用 Windows 消息服务 来进行 多数情 况下 警报消息和通知的默认格式是最适用的 而在某些情况下 可能需要更改事件邮件的格式 在邮件中 关键字 用 符号隔开的字符串 由指定的实际信息替换 可用关键字包括 %TimeStamp% - 事件的日期和时间 %Scanner% - 相关模块 %ComputerName% - 发生警报的计算机的名称 %ProgramName% - 产生警报的程序 %InfectedObject% - 被感染文件 邮件等的名称 %VirusName% - 感染标识 %ErrorDescription% - 非病毒事件的说明 关键字 %InfectedObject% 和 %VirusName% 仅用于威胁警告邮件 而 %ErrorDescription% 仅用于事件邮件 859 演 示 模 式 演示模式是为那些需要不中断其使用软件 不希望被弹出窗口打扰 并希望尽量减少 CPU 使用的用户提供的功 能 演示模式还可以用于不能被病毒防护活动中断的演示 启用时 将禁用所有弹出窗口 并且不会运行计划任 务 系统保护仍在后台运行 但是不需要任何用户交互 依次单击设置 > 计算机 然后单击演示模式旁边的开关 以手动启用演示模式 在高级设置 (F5) 中 依次单击 工具 > 演示模式 然后单击全屏模式运行应用程序时自动启用演示模式旁边的开关 以在运行全屏应用程 序时使 ESET File Security 自动处于演示模式 启用演示模式将存在潜在安全风险 因此任务栏上的防护状态将 变成橙色 并显示警告 您还将在主程序窗口中看到此警告 其中您将看到橙色的已启用演示模式 执行以全屏模式运行应用程序时自动启用演示模式时 演示模式将在启动全屏应用程序时启动 并在退出该 119

120 应用程序后自动停止 这对于在启动游戏 打开全屏应用程序或开始播放演示文稿后立即启动演示模式尤为有 用 您还可以选择自动禁用演示模式时间 以定义将在多久后 以分钟为单位 自动禁用演示模式 8510 诊 断 诊断提供 ESET 进程 比如 ekrn 的应用程序崩溃转储 如果应用程序崩溃 将生成一个转储 这能够帮助开发人 员调试和修复各种 ESET File Security 问题 单击转储类型旁的下拉菜单并选择以下三个可用选项之一 选择禁用 默认 以禁用此功能 小型 - 记录可能有助于识别应用程序意外崩溃原因的最小有用信息集 此类转储文件在空间有限时有用 然 而 因为所包含的信息有限 分析此文件可能无法找到不是由出现问题时正在运行的线程直接导致的错误 完整 - 当应用程序意外停止时记录系统内存的所有内容 完整的内存转储可能包含在收集内存转储时正在运 行进程的数据 目标目录 - 在崩溃期间将生成转储的目录 打开诊断文件夹 - 单击打开以在新的 Windows 资源管理器窗口中打开此目录 8511 客 户 服 务 提交系统配置数据 - 从下拉菜单中选择总是提交 或选择提交前询问以在提交数据前进行提示 8512 群 集 配置 ESET 群集时 启用群集将自动启用 您可以通过单击开关图标 在 高级设置 窗口中禁用它 当您需要在 不影响 ESET 群集中其他节点的情况下更改配置时 这是适合的操作 此开关仅启用或禁用 ESET 群集功能 若 要正确地设置或销毁群集 需要使用群集向导或销毁位于主程序窗口的工具>群集部分中的群集 未配置和禁用的 ESET 群集 120

121 已使用其详细信息和选项正确配置的 ESET 群集 有关 ESET 群集的详细信息 请单击此处 86 用户界面 用户界面允许您配置程序的图形用户界面 GUI) 行为 您可以调整程序的视觉外观和效果 为提供您的安全软件的最大安全性 您可以使用访问设置工具来阻止所有未经授权的更改 通过配置警报和通知 您可以更改检测到的威胁警报和系统通知的行为 可自定义这些设置以满足您的需求 如果您选择不显示某些通知 它们将显示在已禁用消息和状态区域中 您可以在此处检查它们的状态 显示更 多详细信息或将它们从此窗口中删除 右键单击选定对象后 将显示右键菜单集成 使用此工具将 ESET File Security 控件元素集成到右键菜单中 演示模式对于以下用户来说非常有用 他们希望在不受弹出窗口 计划任务和任何可能对系统资源造成压力的 组件的影响下使用应用程序 用户界面元素 ESET File Security 中的用户界面配置选项允许您调整工作环境以符合您的需要 可以从 ESET File Security 高级设 置树的用户界面 > 用户界面元素分支访问这些配置选项 在用户界面元素部分中 您可以调整工作环境 如果图形元素降低计算机性能或导致其他问题 应将用户界面 设置为终端 您可能还希望关闭终端服务器上的 GUI 有关安装在终端服务器上的 ESET File Security 的详细信 息 请参阅禁用终端服务器上的 GUI 主题 单击启动模式下拉菜单 从以下 启动模式 中进行选择 完整 - 将显示完整 GUI 终端 - 将不显示任何通知或警报 只能由管理员启动 GUI 121

122 如果希望停用 ESET File Security 初始屏幕 则取消选择启动时显示初始屏幕 若要使 ESET File Security 在扫描期间发生重要事件时 例如 在发现威胁时或已完成扫描时 发出声音 请选中 使用声音信号 集成到右键菜单 - 将 ESET File Security 控件元素集成到右键菜单中 状态 - 单击编辑以管理 启用或禁用 主菜单的监视窗格中显示的状态 应用程序状态 - 允许您在主菜单的保 护状态窗格中启用或禁用显示状态 许可证信息 - 启用此许可证信息 邮件和通知即可支持此选项 861 警 报 和 通 知 警报和通知部分 在用户界面下 允许您配置如何由 ESET File Security 处理威胁警报和系统通知 比如成功更新 消息 您还可以设置显示时间和系统托盘通知透明度 这仅适用于支持系统托盘通知的系统 警报窗口 禁用显示警报将取消所有警报窗口 这只适用于少数特定情况 对于大多数用户 我们建议保留该选项的默认 设置 启用 桌面通知 桌面通知和气球提示仅作为信息提示方式 并且不需要用户交互 它们显示在屏幕右下角的通知区域 要启用 桌面通知 请选择在桌面上显示通知 可通过以下方式修改通知显示时间和窗口透明度等更多详细选项 打开在全屏模式下运行应用程序时不显示通知开关以阻止所有非交互通知 您可以通过要显示事件的最低级别下拉菜单选择要显示的警报和通知的严重性级别 提供以下选项 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护时出错等 此部分的最后一项功能允许您在多用户环境中配置通知目标 对于多用户系统 在以下用户的屏幕上显示通 知字段在允许多个用户同时连接的系统上指定一个接收系统和其他通知的用户 正常情况下应该是系统或网络 管理员 假如所有系统通知都发给管理员 该选项对终端服务器特别有用 消息框 若要在一段时间后自动关闭弹出窗口 请选择自动关闭消息框 如果未手动关闭 警报窗口会在超过指定时限 后自动关闭 862 访 问 设 置 为最大限度地保障系统安全 必须正确配置 ESET File Security 任何未经授权的更改都可能导致重要数据的丢 失 要避免未经授权的更改 可用密码保护 ESET File Security 的设置参数 用于密码保护的配置设置位于高级设 置树中用户界面下的访问设置子菜单中 密码保护设置 - 锁定 解锁程序的设置参数 单击以打开 密码设置 窗口 要设置或更改密码以保护设置参数 请单击设置密码 受限的管理员帐户需要完全的管理员权限 - 选中此选项 可在修改某些系统参数 类似于 Windows Vista 中的 UAC 时提示当前用户 如果他或她没有管理员权限 输入管理员用户名和密码 修改包括禁用保护模块 122

123 8621 密 码 要避免未经授权的更改 可用密码保护 ESET File Security 的设置参数 8622 密 码 设 置 若要保护 ESET File Security 的设置参数以避免发生未经授权的修改 则必须设置新密码 如果希望更改现有的 密码 则可以在旧密码字段中键入旧密码 并在新密码和确认密码字段中输入新密码 然后单击确定 将来对 ESET File Security 的任何修改将需要该密码 863 帮 助 当您按 F1 键或单击? 按钮时 将打开一个联机帮助窗口 这是帮助内容的主要来源 但是 还有与程序一起安 装的帮助的脱机副本 脱机帮助在诸如未连接到 Internet 等情况下会打开 当您有正常的 Internet 连接时 将自动显示联机帮助的最新版本 864 E S E T S he ll 您可以使用 eshell 通过更改 ESET Shell 执行策略配置对产品设置 功能和数据的访问权限 默认设置为受限 脚本 但如果需要 您可以将其更改为已禁用 只读或完全访问 已禁用 - eshell 完全不能使用 仅允许使用 eshell 本身的配置 在ui 的外观 但无法访问产品设置或数据 eshell 上下文中 您可以自定义 eshell 只读 - eshell 可以用作监视工具 您可以在交互模式和批处理模式下查看所有设置 但您无法修改任何设置 或功能 或者修改任何数据 受限脚本 - 在交互模式下 您可以查看和修改所有设置 功能和数据 在批处理模式下 eshell 的工作方式与 在只读模式下相同 但是如果使用已签名的批处理文件 您将能够编辑设置和修改数据 完全访问 - 在交互模式和批处理模式下 对所有设置的访问都不受限制 您可以查看和修改任何设置 您必 须使用管理员帐户 才能通过完全访问权限运行 eshell 如果 UAC 已启用 还需要使用提升权限 865 在 终 端 服 务 器 上 禁 用 GU I 本章介绍如何为用户会话禁用运行在 Windows 终端服务器上的 ESET File Security 的 GUI 通常 ESET File Security GUI 在每次远程用户登录到服务器时启动 并创建终端会话 这在终端服务器上通常不 需要 如果希望关闭终端会话的 GUI 您可以使用 eshell 通过运行setui ui gui-start-mode terminal 命令实现 该目的 这会将 GUI 置于终端模式 GUI 启动有两种可用模式 set ui ui gui-start-mode full set ui ui gui-start-mode terminal 如果希望了解当前所使用的模式 请运行 get ui ui gui-start-mode 命令 注意 如果您已在 Citrix 服务器上安装 ESET File Security 建议使用 KB 文章中所述的设置 866 已 禁 用 消 息 和 状 态 确认消息 - 向您显示确认消息列表 您可以从中选择是否显示确认消息 已禁用应用程序状态 - 允许您在主菜单的保护状态窗格中启用或禁用显示状态 123

124 8661 确 认 消 息 该对话窗口将显示在执行任何操作之前 ESET File Security 显示的确认消息 选中或取消选中每条确认消息旁的 复选框以启用或禁用它 8662 已 禁 用 应 用 程 序 状 态 在此对话窗口中 您可以选择或取消选择要显示或不要显示的应用程序状态 例如 暂停病毒和间谍软件防护 或者启用演示模式的情况 如果您的产品未激活或者许可证已到期 也将显示应用程序状态 867 系 统 托 盘 图 标 可通过右键单击系统托盘图标 使用一些最重要的设置选项和功能 暂停防护 - 显示禁用病毒和间谍软件防护的确认对话框 这些防护通过控制文件 Web 和电子邮件通信来保护 系统免受攻击 时间间隔下拉菜单表示将为其禁用病毒和间谍软件防护的时段 高级设置 - 选择此项以进入高级设置树 您还可以通过按 F5 键或导航到设置 > 高级设置来访问高级设置 日志文件 - 日志文件包含所有已发生的重要程序事件的信息 并提供检测到的威胁的概要信息 隐藏 ESET File Security - 从屏幕中隐藏 ESET File Security 窗口 重置窗口布局 - 将 ESET File Security 窗口重置为其默认大小和屏幕位置 病毒库更新 - 开始更新病毒库以确保您对恶意代码的防护级别 关于 - 提供系统信息 有关已安装的 ESET File Security 版本以及安装的程序模块的详细信息 以及您的许可证到 期日期 有关您的操作系统和系统资源的信息可以在页面底部找到 8671 暂 停 防 护 每当您使用系统托盘图标 暂时禁用病毒和间谍软件防护时 暂时禁用防护对话框都会出现 这将在选定时 段内禁用与恶意软件相关的防护 若要永久禁用防护 则必须使用 高级 设置 请谨慎使用此选项 因为禁用 保护可能会使系统暴露在威胁之下 124

125 868 右 键 菜 单 右键单击对象 文件 后 就会显示右键菜单 该菜单将列出您可以在对象上执行的所有操作 可以将 ESET File Security 控件元素集成到右键菜单中 此功能的设置选项在用户界面 > 用户界面元素下的高级 设置树中提供 集成到右键菜单 - 将 ESET File Security 控件元素集成到右键菜单中 87 恢复此部分中的所有设置 将模块设置恢复为 ESET 定义的默认设置 请注意 单击恢复为默认值后 已做的所有更改都将丢失 恢复表格内容 - 当启用时 已手动或自动添加的规则 任务或配置文件将丢失 125

126 88 恢复为默认设置 对于所有模块 所有程序设置将重置为其在全新安装后会具有的状态 89 计划任务 计划任务位于 ESET File Security 主菜单中的工具下 计划任务包含所有计划任务和配置属性的列表 如预定义 的日期 时间和使用的扫描配置文件 126

127 默认情况下 计划任务中显示以下计划任务 日志维护 定期自动更新 拨号连接后自动更新 用户登录后自动更新 自动启动文件检查 用户登录后 自动启动文件检查 成功更新病毒库后 自动开始首次扫描 要编辑现有计划任务 包括默认和用户定义的 的配置 请右键单击任务然后单击编辑 或选择要修改的任务 然后单击编辑 按钮 891 任 务 详 细 信 息 输入任务的名称并选定一个任务类型选项 然后单击下一步 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中仍会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作效 率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件的详细信息 例如 驱动程序 应用程序 并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 ２ 分钟后 将作为低优先级任务执行计算机扫描 更新 - 通过更新病毒库和程序模块 计划更新任务 如果要激活任务 您可以之后通过选中 取消选中计划任务列表中的复选框来执行此操作 请打开已启用开 关 单击下一步 然后选择以下计时选项之一 一次 重复 每天 每周和由事件触发 将根据选定的频率为您提 供不同的更新参数 当计算机靠电池供电或断电时 可以跳过任务 下一步 定义无法在计划时间执行或完成任务时要采取的操作 在下一步中 显示有关当前计划任务信息的摘要窗口 完成更改后 请单击完成 892 任 务 计 时 一次 任务执行 指定的任务仅在指定的日期和时间运行一次 893 任 务 计 时 任务将以指定的时间间隔重复执行 选择以下计时选项之一 一次 - 任务将仅在预定义的日期和时间执行一次 重复 - 任务将以指定的时间间隔 以小时为单位 执行 每天 - 任务将在每天指定时间运行 每周 - 任务每周在选定的某天和某个时间运行一次或多次 由事件触发 - 任务将在指定事件后执行 靠电池供电时跳过任务 - 如果在任务应该启动时您的计算机正靠电池供电 则任务将不会启动 这也适用于依 赖 UPS 运行的计算机 127

128 894 任 务 计 时 每天 任务将在每天指定时间重复运行 895 任 务 计 时 每周 任务将在所选日期和时间运行 896 任 务 计 时 由事件触发 任务可能由以下任一事件触发 每次计算机启动 每天计算机第一次启动时 拨号连接至 Internet/VPN 成功更新病毒库 成功更新程序组件 用户登录 威胁检测 计划由事件触发任务时 可以指定两次任务完成之间的最小间隔 例如 如果您每天多次登录计算机 可以选择 24 小时 这样仅在当天首次登录时执行任务 然后在第二天再执行任务 897 任 务 详 细 信 息 运行应用程序 使用此任务可计划外部应用程序的执行 可执行文件 - 从目录树中选择可执行文件 单击选项或手动输入路径 工作文件夹 - 定义外部应用程序的工作目录 选定可执行文件的所有临时文件将在此目录中创建 参数 - 应用程序的命令行参数 可选 单击完成以应用此任务 898 跳 过 的 任 务 如果任务无法在预定义的时间运行 可以指定其执行时间 在下一个计划时间 - 任务将在指定时间执行 如 ２ ４ 小时后 尽快 - 任务将尽快执行 当阻止任务执行的操作不再有效时 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 - 自上次运行时间之后经过的时间 (小时 - 选择了此选项后 任务将在指定时间间隔 小时 后始终重复执行 899 计 划 任 务 详 细 信 息 当您双击自定义任务 或者右键单击自定义计划任务并单击显示任务详细信息时 该对话窗口将显示有关所 选计划任务的详细信息 8910 更 新 配 置 文 件 如果您希望从两个更新服务器更新程序 则有必要创建两个不同的更新配置文件 如果第一个更新配置文件无 法下载更新文件 则程序会自动切换到备用更新配置文件 这适用于一般从本地局域网更新服务器进行更新但 其所有者经常通过其他网络连接到 Internet 的设备 例如 笔记本电脑 因此 如果第一个配置文件出现故障 第二个配置文件将从 ESET 的更新服务器上自动下载更新文件 在更新一章中 您可以找到有关更新配置文件的更多信息 128

129 8911 创 建 新 任 务 要在计划任务中创建新任务 请单击添加任务按钮或右键单击并从右键菜单中选择添加 共有 ５ 种类型的计划 任务 运行外部应用程序 - 计划外部应用程序的执行 日志维护 - 日志文件中仍会包含已删除记录的残余信息 此任务定期优化日志文件中的记录以提高工作效 率 系统启动文件检查 - 检查在系统启动或登录时允许运行的文件 创建计算机状态快照 - 创建 ESET SysInspector 计算机快照 收集有关系统组件的详细信息 例如 驱动程序 应用程序 并评估每个组件的风险级别 手动计算机扫描 - 执行计算机上文件和文件夹的计算机扫描 首次扫描 - 默认情况下 在安装完成或重新启动 ２ 分钟后 将作为低优先级任务执行计算机扫描 更新 - 通过更新病毒库和程序模块 计划更新任务 因为更新是最常用的计划任务之一 所以我们将解释如何添加新的更新任务 将任务的名称输入到任务名称字段中 从任务类型下拉菜单中 选择更新 然后单击下一步 如果要激活任务 您可以之后通过选中 取消选中计划任务列表中的复选框来执行此操作 请打开启用开关 单击下一步 然后选择其中一个计时选项 一次 重复 每天 每周和由事件触发 将根据选定的频率为您提供不同的更新参数 然后 定义无法在计划 时间执行或完成任务时要采取的操作 有以下三个选项可用 在下一个计划时间 尽快 如果自上次运行时间之后经过的时间超过指定值 则立即跳过任务 可使用 自上次运行时间之后经过的 时间 滚动框来定义间隔 在下一步中 显示有关当前计划任务信息的摘要窗口 完成更改后 请单击完成 将显示一个对话窗口 允许您选择用于计划任务的配置文件 您可以在此设置主要和替代配置文件 如果任务 不能用主要配置文件来完成 则使用替代配置文件 单击完成以进行确认 新计划任务将添加到计划任务列表 中 129

130 810 隔离 隔离区的主要功能是安全储存被感染文件 隔离文件的前提是文件出现以下情况 无法清除 不安全或被建议 删除 或被 ESET File Security 错误检测 您可以选择隔离任何文件 如果文件行为可疑但未被病毒防护扫描程序检测到 建议采取隔离措施 可将隔离 的文件提交到 ESET 病毒实验室进行分析 可在表格中查看储存在隔离区文件夹中的文件 表格中显示隔离的日期和时间 被感染文件原始位置的路径 文件大小 字节数 原因 例如 由用户添加的对象 以及威胁数量 例如 是否为包含多个渗透的压缩文件 等 隔离文件 ESET File Security 自动隔离被删除的文件 如果您尚未在警报窗口中禁用该选项 如果需要 您可以手动隔离任 何可疑文件 方法是单击隔离 隔离的文件将从其初始位置删除 也可使用右键菜单达到此目的 在隔离区窗 口中右键单击 然后选择隔离 从隔离区恢复 隔离的文件还可以恢复到其初始位置 可通过在隔离窗口中右键单击给定文件 使用右键菜单中提供的恢复功 能来执行此操作 如果文件被标记为潜在的不受欢迎应用程序 则恢复并且不扫描选项也将可用 请阅读词汇 表中有关此类应用程序的详细信息 右键菜单还提供恢复至 选项 使用此选项可将文件恢复到其被删除时所 在位置之外的其他位置 注意 如果程序错误地隔离了无害文件 请在文件恢复后将其移出扫描队列 并发送给 ESET 客户服务部门 130