ESET NOD32 Antivirus

Transcription

1 ESET NOD32 ANTIVIRUS 10 用户指南 适用于产品版本 100 和更高版本 Microsoft Windows 10 / 81 / 8 / 7 / Vista 单击此处以下载本文档的最新版本

2 ESET NOD32 ANTIVIRUS Copyright 2016 ESET, spol s r o ESET NOD32 Anti vi rus 由 ESET, s pol s r o 开发 有关更多信息 请访问 wwwes etcom 保留所有权利 未经作者书面同意 本文档的任何部分均不得复制 存 入检索系统或以任何形式或任何方式传播 包括电子的 机械的 影 印 记录 扫描或其他方式 ESET, s pol s r o 保留未经事先通知即更改任何所述应用程序软件的 权利 全球客户支持 wwwes etcom/s upport 修订日期 2016/10/24

3 目录 NOD32 Antivirus 5 1 ESET 11 版 本 10 的 新 功 能 我 有 哪 些 产 品 系 统 需 求 预防 安装 2 1 Liv e installer 脱 机 安 装 高 级 设 置 常 见 安 装 问 题 产 品 激 活 输 入 许 可 证 密 钥 升 级 到 更 新 版 本 安 装 完 成 后 的 首 次 扫 描 URL 地 址 管 理 电 子 邮 件 客 户 端 防 护 电子 邮 件 客 户 端 电子 邮 件 协 议 警报 和 通 知 电子 邮 件 客 户 端 集 成 电 子 邮 件 客 户 端 防 护 配 置 POP3 POP3S 过 滤 器 协 议 过 滤 W eb 和 电 子 邮 件 客 户 端 排除 的 应 用 程 序 排除 的 IP 地 址 添 加 IPv 4 地 址 添 加 IPv 6 地 址 SSL/ T LS 证 书 加 密 的 网 络 通 信 已 知 证 书 列 表 SSL/ T LS 过 滤 的 应 用 程 序 列 表 网 络 钓 鱼 防 护 入门指南 4 3 更 新程 序 更 新 设 置 主 程 序 窗 口 更新 配 置 文 件 更 新 高级 更 新 设 置 更 新 模 式 56 ESET NOD32 Antivirus 15 4 使用 HT T P 代 理 更 新 回 滚 计 算 机 防 护 如 何 创 建 更 新 任 务 病 毒 防 护 文件 系 统 实 时 防 护 工 具 其 他 T hreatsense ESET 参 数 19 NOD32 Antiv irus 中 的 工 具 清 除 级 日志 别 19 文 件 何 时 修 日 志 文 改 实 时 防 护 配 置 19 件 检 查 实 运行 时 防 护 19 进 程 实 时 防 防护 护 不 工 作 时 如 何 应 对 20 统 计 计算 查看 机 扫 描 20 活 动 自 定 义 ESET 扫 描 启 动 程 序 21 SysInspec tor 扫 描 进 计划 度 22 任 务 扫 描 配 ESET 置 文 件 23 SysResc ue 计 算 机 ESET 扫 描 日 志 23 Liv egrid 空闲 可 疑 文 状 态 下 扫 描 23 件 开机 隔离 扫 描 23 区 自 动 启 代 理 动 文 件 检 查 24 服 务 器 排除 电子 24 邮 件 通 知 T hreatsense 邮 件 格 参 数 26 式 清 除 选择 样 本 以 供 分 析 不 扫 描 Mic rosoft 的 文 件 扩 展 名 30 W indows 更 新 检测 到 威 胁 用 户界 面 文档 防 护 用 户 界 面 元 素 可 移 动 磁 盘 警 报 和 通 知 设 备 控 制 高级 设 置 设备 控 制 规 则 编 辑 器 访 问 设 置 添加 设 备 控 制 规 则 程 序 菜 单 基 于 主 机 的 入 侵 预 防 系 统 (HIPS) 高级 75 设 置 38 5 高级用户 HIPS 交 互 窗 口 配 置文 件 管 理 器 检测 到 潜 在 的 勒 索 软 件 行 为 键 盘 快 捷 方 式 游 戏 模 式 Internet 防 护 Web 访 问 保 护 基本 W eb 协 议 诊 断 导 入和 导 出 设 置 ESET SysInspec tor ESET SysInspec tor 介 绍 77

4 启动 ESET SysInspec tor 用 户 界 面 和 应 用 程 序 的 使 用 程序 控 件 ESET SysInspec tor 导 航 键盘快 捷 键 比较 命 令 行 参 数 服 务 脚 本 生成 服 务 脚 本 服务 脚 本 结 构 执行 服 务 脚 本 常 见 问 题 解 答 ESET NOD32 Antiv irus 的 ESET SysInspec tor 部 分 5 6 命 令 行 词汇表 6 1 渗 透 类 型 病 毒 蠕 虫 木 马 Rootk it 广 告 软 件 间 谍 软 件 加 壳 程 序 潜 在 的 不 安 全 应 用 程 序 潜 在 的 不 受 欢 迎 应 用 程 序 ESET 技 术 漏 洞 利 用 阻 止 程 序 高 级 内 存 扫 描 程 序 ESET Liv egrid Jav a 漏 洞 利 用 阻 止 程 序 基 于 脚 本 的 攻 击 防 护 勒 索 软 件 防 护 电 子 邮 件 广 告 恶 作 剧 欺 诈 常见问题 7 1 如 何 更 新 ESET NOD32 Antiv irus 如 何 从 PC 中 删 除 病 毒 如 何 在 计 划 任 务 中 创 建 新 任 务 如 何 计 划 每 周 计 算 机 扫 描 96

5 1 ESET NOD32 Antivirus ESET NOD32 Antivirus 代表了真正集成计算机安全的新方法 最新版本的 ESET LiveGrid 扫描引擎提高了速度和精确性 以保护您的计算机安全 由此形成了一个能够对可能威胁您的计算机的攻击和恶意软件持续保持警戒状态的智能系统 ESET NOD32 Antivirus 是结合了最高防护与最少系统占用的完整安全解决方案 我们的先进技术使用人工智能来防止病毒 间谍软件 木马 蠕虫 广告软件 Rootkit 和其他威胁的渗透 且不会妨碍系统性能或中断计算机的运行 功能和优点 重新设计的用户界面 版本 10 中的用户界面已基于可用性测试结果进行了大量重新设计和简化 已仔细 检查所有 GUI 用词和通知 并且该界面现在支持从右到左的语言 例如希伯来语和 阿拉伯语 在线帮助现在集成到 ESET NOD32 Antivirus 中 并提供动态更新支持 内容 病毒和间谍软件防护 主动检测和清除更多已知和未知病毒 蠕虫 木马和 Rootkit 即使是前所未见的恶 意软件 高级启发式扫描也可对其进行标志 从而防止未知威胁并在恶意软件制造 危害之前使其失效 Web 访问保护和网络钓鱼防护的功能是监视 Web 浏览器和 远程服务器之间的通信 包括 SSL 电子邮件客户端防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 定期更新 定期更新病毒库和程序模块是确保计算机最高安全级别的最佳方法 E S E T Liv egrid 云端信誉 用户可以直接从 ESET NOD32 Antivirus 检查运行进程和文件的信誉 设备控制 自动扫描所有 U 盘 内存卡和 CD/DVD 将根据磁盘的类型 制造商 大小和其他 特性阻止可移动磁盘 HIP S 功能 您可以更详细地自定义系统的行为 为系统注册表 活动进程和程序指定规则以及 微调您的安全状态 游戏模式 推迟所有弹出窗口 更新或其他系统占用量大的活动 以为游戏或其他全屏活动保 留系统资源 要使 ESET NOD32 Antivirus 的功能可用 需激活许可证 建议您在 ESET NOD32 Antivirus 许可证过期前的若干周内续订 许可证 11 版本 10 的新功能 ESET NOD32 Antivirus 版本 10 具有以下改进功能 高性能和低系统影响 - 版本 10 旨在高效使用系统资源 从而使您可以在抵御新的威胁类型的同时尽情享受计算机的性 能 Windows 10 兼容性 - ESET 完全支持 Microsoft Windows 10 有关 ESET NOD32 Antivirus 中新功能的更多详细信息 请阅读下面的 ESET 知识库文章 家庭版产品版本 10 中的新功能是什么 12 我有哪些产品 ESET 在新产品中提供多层安全性 从强大而快速的病毒防护解决方案到具有最少系统占用的一体式安全解决方案 ESET ESET ESET ESET NOD 32 A nt iv irus Int ernet S ec urit y S mart S ec urit y S mart S ec urit y P remium 若要确定您安装了哪个产品 请打开主程序窗口 请参阅知识库文章 您将在窗口顶部 标题 看到产品的名称 下表详细介绍了每个特定产品中提供的功能 5

6 E S E T NOD 32 A nt iv irus E S E T Int ernet S ec urit y E S E T S mart S ec urit y E S E T S mart S ec urit y P remium 病毒防护???? 间谍软件防护???? 漏洞利用阻止程序???? 基于脚本的攻击防护???? 网络钓鱼防护???? 反垃圾邮件??? 个人防火墙??? 家庭网络防护??? 网络摄像机防护??? 网络攻击防护??? 僵尸网络保护??? 银行和付款保护??? 家长控制????? 防盗 E S E T P as s word Manager? E S E T S ec ure Dat a? 13 系统需求 若要使 ESET NOD32 Antivirus 发挥最佳性能 您的系统应满足以下硬件和软件要求 支持的处理器 Intel 或 AMD x86-x64 支持的操作系统 Microsoft Microsoft Microsoft Microsoft Microsoft Microsoft Windows Windows Windows Windows Windows Windows Vista Home Server 位 注意 ESET 防盗 不支持 Microsoft Windows Home Server 6

7 14 预防 使用计算机时 尤其是浏览 Internet 时 请记住 世界上没有任何病毒防护系统可以完全消除渗透和攻击 要提供最大保护和 便利 正确使用病毒防护解决方案和遵守一些有用规则非常重要 定期更新 根据 ThreatSense 的统计数据 全球每天都会产生数以千计的新的独特渗透 它们绕过现有安全措施 以损害其他用户利益 为代价给渗透者带来收益 ESET 研究实验室的专家每天分析这些威胁 准备并发布更新 以不断提高用户的保护级别 要确 保这些更新的最大有效性 在系统上适当配置这些更新就显得非常重要 有关如何配置更新的更多信息 请参见更新设置章 节 下载安全补丁 恶意软件的作者通常利用各种系统漏洞 以提高恶意代码的传播效果 出于这种考虑 软件公司密切关注其应用程序中出现的 任何漏洞 并且定期发布可消除潜在威胁的安全更新的原因 安全更新发布后需立即下载 这非常重要 Microsoft Windows 和 Web 浏览器 例如 Internet Explorer 程序是安全更新定期发布的两个程序示例 备份重要数据 恶意软件作者通常不关心用户需求 恶意程序的活动常常导致操作系统故障和重要数据丢失 定期将重要和敏感数据备份到外 部存储器 例如 DVD 或外部硬盘驱动器 就显得非常重要 这将使得发生系统故障时恢复数据更加简单快速 定期扫描计算机 查找病毒 实时文件系统防护模块可检测更多已知和未知的病毒 蠕虫 木马和 Rootkit 这意味着每次您访问或打开文件时 将对其进 行扫描以查找恶意软件活动 我们建议您每月至少运行一次计算机全面扫描 这是因为恶意软件病毒库不断变化并且病毒库每 天都会更新 遵循基本安全规则 这是所有规则中最有用和最有效的一条 始终保持谨慎 现在许多渗透需要用户干预才能执行和船舶 如果您打开新文件时比 较谨慎 可为自己节省清除渗透所需的大量时间和精力 下面是一些实用指南 不访问带有多个弹出窗口和闪烁广告的可疑网站 谨慎安装免费软件 代码包等 只使用安全的程序 只访问安全的 Internet 网站 谨慎打开电子邮件附件 尤其是批量发送的邮件和来自陌生发件人的邮件 不要使用管理员帐户执行计算机的日常工作 7

8 2 安装 有多种方法可用于在您的计算机上安装 ESET NOD32 Antivirus 安装方法稍有差异 具体取决于国家 地区以及分发方式 可以从 ESET 网站上下载 Live installer 此安装程序包通用于所有语言 请选择一种所需的语言 Live installer 文件本 身很小 系统会自动下载安装 ESET NOD32 Antivirus 所需的其他文件 脱机安装 - 从产品 CD/DVD 进行安装时 将使用此安装类型 它将使用一个比 Live installer 文件更大的 exe 文件 且无 需 Internet 连接或其他文件即可完成安装 重要信息 在您安装 ESET NOD32 Antivirus 前 请确保您的计算机上没有安装其他病毒防护程序 如果在一台计算机上安装两个或 更多病毒防护解决方案 可能彼此冲突 建议您卸载系统上的任何其他病毒防护程序 请参见 ESET 知识库文章 了解常 见病毒防护软件的卸载工具列表 提供英语和多个其他语言版本 21 Live installer 下载 Live installer 安装程序包后 双击安装文件并遵循安装程序窗口中的逐步说明 重要信息 您必须连接到 Internet 才可进行此类安装 从下拉菜单中选择所需的语言 然后单击继续 留出一些时间 用于下载安装文件 在接受最终用户许可证协议后 系统将提示您配置 E S E T Liv egrid ESET LiveGrid 可帮助确保 ESET 能够及时且持 续地获知新威胁 从而保护我们的客户 该系统允许向 ESET 研究实验室提交新的威胁 这些威胁将在实验室进行分析 处 理并添加到病毒库中 默认情况下 选择启用 E S E T Liv egrid 反馈系统(推荐) 这将激活此功能 安装过程的下一步是配置潜在不受欢迎的应用程序检测 潜在不受欢迎的应用程序未必是恶意的 但可能对操作系统的运行产 生不良影响 参见潜在不受欢迎的应用程序章节了解更多详细信息 单击安装 开始安装过程 8

9 22 脱机安装 启动脱机安装 (exe) 后 安装向导将引导您完成设置过程 首先 程序检查是否有较新版本的 ESET NOD32 Antivirus 如果发现更新版本 将在安装过程的第一步通知您 如果您选择 下载并安装新版本 将下载新版本并继续安装 仅当比您正在安装的版本更新的版本可用时 此复选框才可见 下一步 将显示最终用户许可证协议 请阅读协议并单击接受以确认您接受最终用户许可证协议 接受后 将继续安装 有关安装步骤 E S E T Liv egrid 和检测潜在不受欢迎的应用程序的详细说明 请遵循上述部分中的说明 请参见 Live installer 9

10 221 高 级 设 置 选择更改安装文件夹后 系统将提示您为安装选择一个位置 程序默认安装到以下目录 C:\Program Files\ESET\ESET NOD32 Antivirus\ 单击浏览可更改此位置 不建议 若要完成后续安装步骤 E S E T Liv egrid 和检测潜在不受欢迎的应用程序 请安装 Live installer 部分中的说明操作 请 参阅 Live installer 依次单击继续和安装以完成安装 23 常见安装问题 如果在安装期间发生问题 请查看我们的常见安装错误和解决方案列表 以查找有关您的问题的解决方案 24 产品激活 完成 安装后 将提示您激活产品 有几种激活产品的方法 激活窗口中特定激活方案的可用性可能根据国家 地区和分发方式 CD/DVD ESET 网页等 而不 同 如果您购买了本产品的零售版 则使用许可证密钥激活产品 许可证密钥通常位于产品包装的内部或背面 若要成功激 活 必须输入提供的许可证密钥 许可证密钥 - 遵循 XXXX-XXXX-XXXX-XXXX-XXXX 或 XXXX-XXXXXXXX 格式的唯一 字符串 用于标识许可证所有者和激活许可证 如果您想在购买前先评估 ESET NOD32 Antivirus 则选择免费试用许可证 输入电子邮件地址和国家 地区以在有限时间 内激活 ESET NOD32 Antivirus 测试许可证将用电子邮件发送给您 每位客户仅可激活一次试用许可证 如果您没有许可证并且想购买 请单击 购买许可证 它将引导您进入您当地的 ESET 经销商网站 25 输入许可证密钥 自动更新对您的安全很重要 ESET NOD32 Antivirus 仅在使用您的许可证密钥激活后才接收更新 如果您未在安装后输入您的许可证密钥 将不会激活您的产品 您可以在主程序窗口中更改您的许可证 若要执行此操作 请 依次单击帮助和支持 > 激活许可证 然后将随 ESET 安全产品一起收到的许可证数据输入到产品激活窗口中 当输入您的许可证密钥时 请务必按照其写入形式准确键入它 您的许可证密钥是采用 XXXX-XXXX-XXXX-XXXX-XXXX 格式的唯一字符串 用于标识许可证所有者和激活许可证 我们建议您从您的注册电子邮件复制并粘贴许可证密钥 以确保准确性 26 升级到更新版本 发布 ESET NOD32 Antivirus 的新版本可改进功能或修复程序模块自动更新时无法修复的问题 有多种方法可以升级到更新版 本 1 通过程序更新自动升级 因为程序升级被分发给所有用户 而且可能对某些系统配置产生影响 所以会在长时间的测试之后才发布 以确保所有可 能的系统配置都能够工作 如果发布后需要立刻升级到更新版本 请使用以下方法之一 2 通过单击检查更新 在更新部分中 在主程序窗口中手动进行升级 3 通过针对以前的安装来下载和安装更新版本 手动进行升级 10

11 27 安装完成后的首次扫描 安装 ESET NOD32 Antivirus 后 计算机扫描将在首次成功更新之后自动启动 以检查是否存在恶意代码 您也可以单击计算机扫描 > 扫描计算机来从主程序窗口手动启动计算机扫描 有关计算机扫描的更多信息 请参阅计算机扫 描一节 11

12 3 入门指南 本章提供对 ESET NOD32 Antivirus 及其基本设置的初步概述 31 主程序窗口 ESET NOD32 Antivirus 的主程序窗口分为两个主要部分 右侧的主窗口显示与左侧的主菜单中选定选项相关的信息 以下是主菜单中选项的说明 主页 - 提供有关 ESET NOD32 Antivirus 的防护状态的信息 计算机扫描 - 配置并启动对计算机的扫描或创建自定义扫描 更新 - 显示有关病毒库更新的信息 工具 - 提供对日志文件 防护统计信息 查看活动 运行进程 计划任务 ESET SysInspector 和 ESET SysRescue 设置 - 选择此选项以调整计算机 Internet 帮助和支持 - 使您能够访问帮助文件 ESET 知识库 ESET 网站和指向提交支持请求的链接 主页屏幕包含有关计算机的当前防护级别的重要信息 状态窗口显示 ESET NOD32 Antivirus 中的常用功能 有关最近更新 的信息以及程序的到期日期也位于此处 绿色图标和绿色最高防护状态表示已确保最高防护 程序工作不正常时如何应对 如果主动防护模块正常工作 其防护状态图标将为绿色 红色惊叹号或橙色通知图标表明无法确保提供最大程度的防护 将在 主页下显示有关每个模块的保护状态的其他信息 以及针对恢复完全防护的建议的解决方案 若要更改各个模块的状态 请 单击设置并选择所需模块 12

13 红色图标和红色的无法确保提供最大程度的防护状态表示出现严重问题 有几种原因可能显示此状态 例如 产品未激活 - 单击 防护状态 下的激活产品或立即购买 可以从主页激活 ESET NOD32 Antivirus 病毒库已过期 - 此错误将在几次尝试更新病毒库失败之后显示 建议您检查更新设置 此错误的最常见原因是错误 输入验证数据或错误配置连接设置 已禁用病毒和间谍软件防护 - 单击启用病毒和间谍软件防护 可以重新启用病毒和间谍软件防护 许可证已过期 - 此问题由红色防护状态图标表示 许可证过期后该程序将无法更新 按照警报窗口中的说明续订许 可证 橙色图标表示防护受到限制 例如 程序更新有问题或者许可证将要过期 有几种原因导致可能显示此状态 例如 游戏模式处于活动状态 - 启用游戏模式将存在潜在安全风险 启用此功能将禁用所有弹出窗口并停止所有计划任 务 您的许可证很快将到期 - 此问题由系统时针旁边的防护状态图标显示惊叹号来表示 许可证过期后 程序将无法 更新 防护状态图标将变为红色 如果使用建议的解决方案无法解决问题 请单击帮助和支持访问帮助文件或搜索 ESET 知识库 如果您仍需要帮助 您可以 提交支持请求 ESET 客户服务将快速响应您的问题并帮助找到解决方案 13

14 32 更新 更新病毒库和更新程序组件是系统防范恶意代码的重要组成部分 请特别注意其配置和操作 在主菜单中 单击更新 然后 单击立即更新 以检查是否有病毒库更新 如果在激活 ESET NOD32 Antivirus 的过程中未输入许可证密钥 此时将提示您输入 高级设置 窗口 从主菜单中单击设置 然后单击高级设置 或按键盘上的 F5 包含其他更新选项 若要配置高级更新选项 例如更新模式 代理服务器访问和 LAN 连接 请单击更新窗口中的特定选项卡 14

15 4 使用 ESET NOD32 Antivirus ESET NOD32 Antivirus 设置选项允许您调整计算机 设置菜单分为以下部分 计算机防护 Int ernet 防护 单击组件可以调整相应防护模块的高级设置 计算机防护设置允许您启用或禁用以下组件 文件系统实时防护 - 在计算机上打开 创建或运行任何文件时 都将扫描该文件是否带有恶意代码 HIP S - HIPS 系统监视操作系统内的事件 并按照自定义的规则集进行响应 游戏模式 - 启用或禁用游戏模式 启用游戏模式后您将收到警告消息 潜在安全风险 主窗口将变为橙色 Int ernet 防护设置允许您启用或禁用以下组件 Web 访问保护 - 如果启用 将扫描所有通过 HTTP 或 HTTPS 的通信以查看是否有恶意软件 电子邮件客户端防护 - 监视通过 POP3 和 IMAP 协议接收的通信 网络钓鱼防护 - 过滤疑似散布意图操纵用户提交机密信息的内容的网站 若要重新启用已禁用的安全组件 请单击滑块 以便它显示绿色复选标记 注意 当使用此方法禁用防护时 所有禁用的防护模块将在计算机重新启动后启用 在设置窗口的底部还提供了其他选项 使用高级设置链接以为每个模块设置更详细的参数 通过导入 导出设置使用 xml 配 置文件加载设置参数 或将当前设置参数保存为配置文件 15

16 41 计算机防护 单击 设置 窗口中的 计算机防护 查看所有防护模块的概述 若要暂时关闭个别模块 请单击 对您的计算机的保护级别 单击防护模块旁的 单击 注意 这可能会降低 访问该模块的高级设置 > 文件系统实时防护旁边的编辑排除以打开排除设置窗口 此窗口允许您从扫描中排除文件和文件夹 暂停病毒和间谍软件防护 - 禁用所有病毒和间谍软件防护模块 当您禁用防护后 将打开一个窗口 您可以在其中使用时间 间隔下拉菜单确定禁用防护的时间 单击应用进行确认 16

17 411 病 毒 防 护 病毒防护通过控制文件 电子邮件和 Internet 通信防范恶意系统攻击 如果检测到带有恶意代码的威胁 则病毒防护模块可以 通过先阻止 然后清除 删除或将其移至隔离区 来消除威胁 用于所有防护模块 例如 文件系统实时防护 Web 访问保护等 的扫描程序选项允许您启用或禁用对以下对象的检测 潜在的不受欢迎应用程序 (PUA) 未必是恶意的 但可能会对计算机性能造成不良影响 请阅读词汇表中关于这些类型的应用程序的更多信息 潜在的不安全应用程序是指有可能被滥用于恶意用途的合法商业软件 潜在的不安全应用程序的示例包括远程访问工具 密码破解应用程序以及按键记录器 记录用户键盘输入信息的程序 等 此选项默认情况下被禁用 请阅读词汇表中关于这些类型的应用程序的更多信息 可疑应用程序包括使用加壳程序或保护程序压缩的程序 这些类型的保护程序通常被恶意软件作者用来逃避检测 反隐藏技术是一个复杂的系统 它能够检测危险程序 例如 rootkits 这些程序可在操作系统下隐藏自己 这意味着使用 普通测试技术很难检测到它们 使用排除可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时才创建排除 您需要排除某个对象的情况可能包括 在扫描期间会使计算机速度变慢的大型数据库条目扫描 或遇到与扫描冲突的软件 若 要从扫描中排除某个对象 请参阅排除 启用通过 A MS I 的高级扫描 - Microsoft Antimalware Scan Interface 工具 允许应用程序开发人员开发新的恶意软件保护 仅 Windows 10 17

18 4111 文 件 系 统 实 时 防 护 文件系统实时防护控制系统中所有与病毒防护相关的事件 在计算机上打开 创建或运行所有文件时 都将扫描文件是否带有 恶意代码 文件系统实时防护在系统启动时启动 默认情况下 文件系统实时防护在系统启动时启动 并提供不间断的扫描 特殊情况下 例如与其他实时扫描程序存在冲 突 可以通过在高级设置中取消文件系统实时防护 > 基本下的自动启动文件系统实时防护 来禁用实时防护 要扫描的介质 默认情况下 所有类型的介质均可扫描以检查是否存在潜在威胁 本地驱动器 - 控制所有系统硬盘 可移动磁盘 - 控制 CD/DVD USB 存储和蓝牙设备等 网络驱动器 - 扫描所有映射的驱动器 建议您使用默认设置且仅在特殊情况 例如 当扫描某些介质使数据传输速度显著降低时 下修改这些设置 扫描时间 默认情况下 所有文件都在打开 创建或执行时进行扫描 我们建议您保留这些默认设置 因为它们可为计算机提供最高级别 的实时防护 打开文件 - 启用或禁用打开文件时的扫描 创建文件 - 启用或禁用创建文件时的扫描 执行文件 - 启用或禁用运行文件时的扫描 可移动磁盘访问 - 启用或禁用访问具有存储空间的特定可移动磁盘触发的扫描 关闭计算机 - 启用或禁用在计算机关闭时触发的扫描 文件系统实时防护检查所有类型的介质 并由各种系统事件 例如 访问文件 触发 通过使用 ThreatSense 技术检测方法 如 ThreatSense 引擎参数设置部分所述 将文件系统实时防护配置为采用不同的方式对待新创建的文件和现有文件 例 如 您可以将文件系统实时防护配置为更加密切地监视新创建的文件 为确保在使用实时防护时占用最少的系统资源 已扫描的文件不会重复扫描 除非它们已被修改 每次病毒库更新后立刻重 新扫描文件 可使用智能优化控制此行为 如果已禁用智能优化 则所有文件在每次访问时都要进行扫描 要修改此设置 18

19 请按 F5 打开高级设置并依次展开病毒防护 > 文件系统实时防护 依次单击 Threat S ens e 参数 > 其他 然后选中或取 消选中启用智能优化 其 他 T hre a ts e ns e 参 数 用于新创建文件和新修改文件的其他 Threat S ens e 参数 新建或修改的文件受感染的可能性相对于现有文件更高 出于此原因 程序将使用其他扫描参数检查这些文件 ESET NOD32 Antivirus 将可在发布病毒库更新之前检测到新威胁的高级启发式扫描与基于病毒库的扫描方法结合使用 除了新建文 件 系统还扫描自解压文件 (sfx) 和加壳程序 内部压缩的可执行文件 默认情况下 对压缩文件的扫描可深达第 10 个 嵌套层 而且不论其实际大小 都会进行检查 要修改压缩文件扫描设置 请取消选择默认的压缩文件扫描设置 用于已执行文件的其他 Threat S ens e 参数 执行文件时采用高级启发式扫描 - 默认情况下 执行文件时将使用高级启发式扫描 启用后 强烈建议您保持智能优化和 ESET LiveGrid 的启用状态以降低对系统性能的影响 执行可移动磁盘上的文件时采用高级启发式扫描 - 高级启发式扫描将模拟虚拟环境中的代码并在允许从可移动磁盘运行该 代码之前评估其行为 清 除 级 别 实时防护有三种清除级别 要访问清除级别设置 请单击文件系统实时防护部分中的 Threat S ens e 引擎参数设置 然后 单击清除 不清除 - 被感染文件将不会被自动清除 程序会显示一个警告窗口 允许用户选择操作 此级别旨在用于更高级的用户 他 们了解在渗透事件中应采取哪些步骤 正常清除 - 程序将根据预定义操作 取决于渗透类型 尝试自动清除或删除被感染文件 屏幕右下角的通知指示检测到或删 除了被感染文件 如果无法自动选择正确操作 程序将提供其他后续操作 如果预定义的操作无法完成 也会出现相同的情 况 严格清除 - 程序将清除或删除所有被感染文件 唯一例外的是系统文件 如果无法清除被感染文件 将弹出一个警告窗口 提示用户选择操作 警告 如果压缩文件包含一个或多个被感染的文件 有两种选择方式来处理该压缩文件 在标准模式 正常清除 中 如果压缩 文件包含的所有文件都被感染 则将删除整个压缩文件 在严格清除模式中 即使压缩文件只包含一个被感染文件 则无 论被压缩的其他文件是什么状态 都将删除该压缩文件 何 时 修 改 实 时 防 护 配 置 实时防护是维护系统安全的最重要的组件 修改其参数时请务必小心 建议您仅在特定情况下修改其参数 安装 ESET NOD32 Antivirus 后 所有设置都会得到优化以便为用户提供最高级别的系统安全性 若要还原默认设置 请单击 窗口 高级设置 > 病毒防护 > 文件系统实时防护 中每个选项卡旁边的 检 查 实 时 防 护 要验证实时防护是否工作 是否在检测病毒 请使用测试文件 eicarcom 此测试文件是一个可供所有病毒防护程序检测的无 害文件 此文件由 EICAR 欧洲计算机防病毒研究协会 公司创建 用于测试病毒防护程序的功能 此文件可从以下网站下 载 19

20 41115 实 时 防 护 不 工 作 时 如 何 应 对 在本章中 我们将介绍使用实时防护时可能出现的问题 以及如何排除这些故障 实时防护被禁用 如果用户无意中禁用了实时防护 则需要重新启用它 若要重新启用实时防护 请导航至主程序窗口中的设置并单击计算机 防护 > 文件系统实时防护 如果实时防护未能在系统启动时启动 通常是因为自动启动文件系统实时防护处于禁用状态 若要确保启用此选项 导航至 高级设置 (F5) 然后依次单击病毒防护 > 文件系统实时防护 如果实时防护功能不检测和清除渗透 请确保您的计算机上没有安装其他病毒防护程序 如果同时安装了两个病毒防护程序 它们可能会彼此冲突 建议您先卸载系 统上的任何其他病毒防护程序 再安装 ESET 实时防护不启动 如果系统启动时实时防护未启动 且自动启动实时文件系统防护已经启用 可能是因为与其他程序发生冲突 要获取帮助 以解决此问题 请联系 ESET 客户服务 4112 计 算 机 扫 描 手动扫描程序是病毒防护解决方案的一个重要组成部分 它可以扫描计算机上的文件和文件夹 从安全角度说 计算机扫描不 应仅在怀疑有渗透时运行 而是应作为日常安全手段的一部分定期运行 这一点非常重要 我们建议您定期执行系统的全面扫 描以检测病毒 这些病毒在写入到磁盘时无法由文件系统实时防护捕获 如果文件系统实时防护此时处于禁用状态 病毒库未 更新或者文件在保存到磁盘时未检测为病毒 则会发生这种情况 提供两种计算机扫描 扫描计算机可快速扫描系统 而无需指定扫描参数 自定义扫描允许您选择预定义的旨在指向特定 位置的扫描配置文件 以及选择特定扫描目标 扫描计算机 扫描计算机允许您快速启动计算机扫描和清除被感染文件 而无需用户干预 扫描计算机的优势是便于操作 不需要详细的扫 描配置 此扫描检查本地驱动器上的所有文件并自动清除或删除检测到的渗透 清除级别被自动设置为默认值 有关清除类型 的更详细信息 请参阅清除 自定义扫描 自定义扫描允许您指定扫描参数 如扫描目标和扫描方法等 自定义扫描的优点在于可以详细配置参数 配置可以保存到用户 定义的扫描配置文件中 这在使用相同的参数重复扫描时非常有用 可移动磁盘扫描 与扫描计算机类似 快速启动对当前连接到计算机的可移动磁盘 例如 CD/DVD/USB 的扫描 这在您将 U 盘连接到计算 机并想要扫描其内容是否存在恶意软件和其他潜在威胁时非常有用 这一类型的扫描还可以这样启动 单击自定义扫描? 从扫描目标下拉菜单中选择可移动磁盘 然后单击扫描 重复上次扫描 允许您使用运行时的相同设置快速启动之前执行的扫描 请参见扫描进度以了解有关扫描进程的更多信息 注意 我们建议您每月至少运行一次计算机扫描 在工具 > 计划任务中 可以将扫描配置为计划任务 如何计划每周计算机扫 描 20

21 41121 自 定 义 扫 描 启 动 程 序 您可以使用客户扫描来扫描磁盘的特定部分 而不是扫描整个磁盘 若要执行此操作 请依次单击计算机扫描 > 自定义扫 描 然后从扫描目标下拉菜单中选择某个选项 或者从文件夹 树 结构中选择特定的目标 扫描目标下拉菜单可使您选择预定义的扫描目标 按配置文件设置 - 选择由选定的扫描配置文件指定的目标 可移动磁盘 - 选择磁盘 USB 存储设备和 CD/DVD 本地驱动器 - 选择所有系统硬盘 网络驱动器 - 选择所有映射的网络驱动器 不选择 - 取消所有选择 若要快速导航到扫描目标或添加目标文件夹或文件 请在文件夹列表下方的空白字段中输入目标目录 仅当树结构中未选择任 何目标并且扫描目标菜单设置为未选择时 才可执行此操作 您可以在以下位置配置扫描的清除参数 高级设置 > 病毒防护 > 手动扫描计算机 > Threat S ens e 参数 > 清除 若要运 行扫描但不进行清除操作 请选择扫描但不清除 扫描历史记录将保存到扫描日志 当选择忽略排除时 带有之前从扫描中排除的扩展名的文件也将进行扫描 没有任何例外 可以从扫描配置文件下拉菜单中选择要在扫描特定目标时使用的配置文件 默认的配置文件为智能扫描 另外还有两个预定 义的扫描配置文件 称为全面扫描和右键菜单扫描 这些扫描配置文件使用不同的 ThreatSense 参数 单击设置 可设置 自定义的扫描配置文件 ThreatSense 参数中的其他下介绍了扫描配置文件选项 单击扫描以使用已设置的自定义参数执行扫描 作为管理员扫描使您能够使用管理员帐户执行扫描 如果当前用户没有权限来访问您要扫描的文件 则使用此选项 如果当 前用户无法以管理员身份调用 UAC 操作 则此按钮不可用 注意 通过单击显示日志 您可以在扫描完成时查看计算机扫描日志 21

22 41122 扫 描 进 度 扫描进度窗口显示扫描的当前状态以及有关已找到的包含恶意代码的文件数量的信息 注意 某些文件 比如受密码保护的文件或仅由系统使用的文件 通常为 pagefilesys 和某些日志文件 无法扫描很正常 扫描进度 - 进度条显示已扫描对象相对于待扫描对象的状态 扫描进度状态根据扫描中包含的对象总数得出 目标 - 当前扫描的对象的名称及其位置 发现的威胁 - 显示在扫描期间扫描的文件 发现的威胁和清除的威胁的总数 暂停 - 暂停扫描 继续 - 当扫描进度暂停时显示此选项 单击继续可继续扫描 停止 - 终止扫描 滚动扫描日志 - 如果启用 扫描日志将随着新条目的添加自动向下滚动 以便显示出最新的条目 注意 单击放大镜或箭头以显示有关当前运行的扫描的详细信息 可以单击扫描计算机或自定义扫描来运行另一个并行扫描 扫描后的操作 - 在计算机扫描完成后 触发计划的关机或重新启动 扫描结束后 确认关机对话窗口将打开 60 秒超时后关 机 22

23 41123 扫 描 配 置 文 件 可以保存您的首选扫描参数以用于将来的扫描 建议您创建不同的配置文件 带有各种扫描目标 扫描方法和其他参数 用于 每次定期扫描 要创建新配置文件 请打开 高级设置 窗口 (F5) 并单击病毒防护 > 手动扫描计算机 > 基本 > 配置文件列表 配置文件管 理器窗口包括列出现有扫描配置文件的选定配置文件下拉菜单以及可创建新配置文件的选项 为了帮助您创建适合需求的扫 描配置文件 请参阅 ThreatSense 引擎参数设置部分 查看扫描设置中每个参数的描述 注意 假设您想要创建自己的扫描配置文件而且扫描计算机配置部分适用 但您不希望扫描加壳程序或潜在的不安全应用程序 并且还希望应用严格清除 在配置文件管理器窗口中输入新配置文件的名称并单击添加 从选定的配置文件下拉菜单选 择新的配置文件并调整剩余参数以满足要求 然后单击确定以保存新配置文件 计 算 机 扫 描 日 志 计算机扫描日志可为您提供关于扫描的常规信息 例如 完成时间 总扫描时间 已找到的威胁数 已扫描的对象数 已扫描的磁盘 文件夹和文件 扫描的日期和时间 病毒库的版本 4113 空 闲 状 态 下 扫 描 在高级设置 > 病毒防护 > 空闲状态下扫描 > 基本 下单击启用空闲状态下扫描旁边的开关来允许当计算机不在使用时进 行自动系统扫描 默认情况下 当计算机 笔记本 采用电池运行时 不会运行空闲状态扫描程序 您可以使用计算机使用蓄电池供电时仍然 运行扫描功能来覆盖此设置 打开启用日志记录以记录日志文件部分内的计算机扫描输出 从主程序窗口依次单击工具 > 日志文件 然后从日志下拉菜 单中选择计算机扫描 当您的计算机处于以下状态时 将运行空闲状态检测 屏幕保护程序 计算机锁定 用户注销 单击 ThreatSense 参数 以修改空闲状态扫描程序的扫描参数 例如检测方法 4114 开 机 扫 描 在默认情况下 自动启动文件检查将在系统启动和病毒库更新时执行 此扫描取决于计划任务配置和任务 启动扫描选项是系统启动文件检查计划任务的一部分 若要修改其设置 请导航到工具 > 计划任务 依次单击自动启动文 件检查? 编辑 在最后一步中 自动启动文件检查窗口将显示 参见下一章了解更多详细信息 有关计划任务创建和管理的详细说明 请参见创建新任务 23

24 41141 自 动 启 动 文 件 检 查 在创建系统启动文件检查计划任务时 有几个选项可用于调整以下参数 通常使用的文件下拉菜单基于保密的复杂算法指定在系统启动时运行的文件的扫描深度 文件按照以下标准以降序排列 所有注册文件 扫描文件最多 很少使用的文件 通常使用的文件 常用文件 仅最常用文件 扫描文件最少 还包括两个特定组 用户登录前运行的文件 - 包含未经用户登录即可访问的位置的文件 包括几乎所有启动位置 如服务 浏览器帮助对 象 winlogon 通知 Windows 计划任务条目 已知 dll 等 用户登录后运行的文件 - 包含仅在用户登录后才可访问的位置的文件 包括仅由特定用户运行的文件 通常是 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中的文件 上述每个组的要扫描文件列表是固定的 扫描优先级 - 用于确定何时开始扫描的优先级别 空闲时 - 仅在系统空闲时执行任务 最低 - 系统负载最低 较低 - 低系统负载 正常 - 平均系统负载 4115 排 除 使用排除部分可将文件和文件夹排除在扫描之外 要确保对所有对象进行威胁扫描 我们建议您只在绝对有必要时才创建排 除 然而 在某些情况下 您可能需要排除某个对象 例如 在扫描期间会使计算机速度变慢的大型数据库条目 或与扫描冲 突的软件 从扫描中排除对象的步骤 1 单击添加 2 输入对象的路径或在树结构中选择对象 可使用通配符代表一组文件 问号 (?) 代表单个可变字符 星号 (*) 则代表包含零个或更多字符的可变字符串 示例 24 如果要排除文件夹中的所有文件 则输入文件夹路径并使用掩码 要排除包括所有文件和子文件夹在内的整个驱动器 使用掩码 D:\* 如果仅需要排除 doc 文件 则使用掩码 doc 如果可执行文件名有特定数量的字符 且字符各异 且您只知道第一个字符 如 D 则使用以下格式 D????exe 问 号用于替代缺少 未知 的字符

25 注意 如果某个文件满足不进行扫描的标准 那么文件系统实时防护模块或计算机扫描模块就不会检测到该文件内的威胁 列 路径 - 被排除文件和文件夹的路径 威胁 - 如果已排除文件旁有一个威胁的名称 则表示该文件仅对给定威胁排除 并不是全部排除 如果该文件稍后被其他 恶意软件感染 将被病毒防护模块检测到 此类型的排除仅可用于特定类型的渗透 它既可以在报告渗透的威胁警报窗口 中创建 单击显示高级选项 然后选择从检测中排除 也可以通过依次单击工具 > 隔离 然后右键单击隔离文件并 从右键菜单中选择从检测中还原和排除来创建 控件元素 添加 - 选择不予检测的对象 编辑 - 使您能够编辑选定的条目 删除 - 删除选定的条目 25

26 4116 T hre a ts e ns e 参 数 ThreatSense 包括许多复杂的威胁检测方法 此技术具有某种主动性防护功能 也就是说 它可在新威胁开始传播的较早阶段 提供防护 该技术采用代码分析 代码仿真 一般的识别码 病毒库的组合 以显著提高系统安全性 扫描引擎可同时控制多 个数据流 最大限度地提高效率和检测速度 ThreatSense 技术还可成功消除 Rootkit ThreatSense 引擎设置选项允许您指定若干扫描参数 要扫描的文件类型和扩展名 不同检测方法的组合 清除级别等 要进入设置窗口 请单击 Threat S ens e 参数 它位于使用 ThreatSense 技术的任何模块的 高级设置 窗口中 请参见下 文 不同的安全情形可能要求不同的配置 考虑到这一点 可针对下列防护模块对 ThreatSense 进行单独配置 文件系统实时防护 空闲状态下扫描 开机扫描 文档防护 电子邮件客户端防护 Web 访问保护 计算机扫描 ThreatSense 参数已针对每个模块进行了高度优化 对其进行修改可能会明显影响系统操作 例如 将参数更改为始终扫描运 行时加壳程序 或在文件系统实时防护模块中启用高级启发式扫描 可能会造成系统运行缓慢 通常 只有在扫描新建文件时 才使用这些方法 我们建议您保留所有模块 计算机扫描 除外 的默认 ThreatSense 参数 要扫描的对象 此部分使您可以定义要扫描的计算机组件和文件 以查找渗透 系统内存 - 扫描攻击系统的系统内存的威胁 引导区 - 扫描引导区以检查主引导记录中是否存在病毒 电子邮件文件 - 该程序支持以下扩展名 DBX (Outlook Express) 和 EML 压缩文件 - 该程序支持以下扩展名 ARJ BZ2 CAB CHM DBX GZIP ISO/BIN/NRG LHA MIME NSIS RAR SIS TAR TNEF UUE WISE ZIP ACE 以及很多其他扩展名 自解压文件 - 自解压文件 (SFX) 是可提取自身的压缩文件 加壳程序 - 执行后 加壳程序在内存中解压 这一点与标准压缩文件类型不同 除了标准静态加壳程序 UPX yoda ASPack FSG 等 扫描程序能够通过使用代码仿真来识别多种其他类型的加壳程序 扫描选项 选择在扫描系统中的渗透时所用的方法 有以下选项可供使用 启发式扫描 - 启发式扫描是一种分析 恶意 程序行为的算法 此技术的主要优点是能够识别过去不存在或以前的病毒库 未涵盖的恶意软件 缺点是可能发出虚假警报 尽管可能性很小 高级启发式扫描 DNA 病毒库 - 高级启发式扫描是一种独特的启发式扫描算法 该算法由 ESET 开发 针对检测使用高级 编程语言编写的计算机蠕虫和木马进行了优化 使用高级启发式扫描显著提高了 ESET 产品的威胁检测功能 病毒库可以 可靠地检测和识别病毒 利用自动更新系统 可以在发现威胁后的数小时内提供新病毒库 该病毒库的缺点是只能检测到它 所知道的病毒 或在这些病毒基础上略做修改的版本 潜在的不受欢迎应用程序是一种包含广告软件 安装工具栏或具有其他不明对象的程序 在某些情况下 用户可能觉得潜在的 不受欢迎应用程序的好处多于风险 为此 与其他类型的恶意软件 例如木马程序或蠕虫 相比 ESET 将这些应用程序划分 到较低风险类别中 警告 发现潜在威胁 检测到潜在不受欢迎的应用程序后 您可以确定采取哪种操作 26

27 1 清除 断开连接 此选项将终止操作并阻止潜在的威胁进入系统 2 忽略 此选项允许潜在威胁进入系统 3 若要使应用程序以后能够在计算机上运行而不受到打扰 请单击高级选项 然后选中从检测中排除旁的复选框 当检测到潜在不受欢迎的应用程序并且无法清除它时 将显示地址已被阻止通知 有关此事件的详细信息 请从主菜单导航 至工具 > 日志文件 > 已过滤的网站 27

28 潜在的不受欢迎应用程序 设置 安装 ESET 产品时 您可以确定是否启用潜在不受欢迎的应用程序检测 如下所示 警告 潜在不受欢迎的应用程序可能安装广告软件 工具栏或包含其他不受欢迎和不安全的程序功能 可随时在程序设置中修改这些设置 若要启用或禁用潜在不受欢迎 不安全或可疑的应用程序检测 请按照以下说明操作 1 打开您的 ESET 产品 如何打开我的 ESET 产品 2 按 F5 键以访问高级设置 3 单击病毒防护并根据您的偏好启用或禁用以下选项 启用潜在的不受欢迎应用程序检测功能? 启用潜在不安全应用程 序检测功能和启用可疑应用程序检测功能 单击确定以确认 28

29 潜在的不受欢迎应用程序 软件封装程序 软件封装程序是由一些托管文件的网站使用的特殊类型的应用程序修改 它是一种第三方工具 可安装用户想要下载的程序 但会添加附加软件 例如工具栏或广告软件 附加的软件可能还会更改您的 Web 浏览器主页和搜索设置 此外 托管文件的 网站通常不会通知软件供应商或下载收件人已进行了修改 并且通常会隐藏退出的选项 基于这些原因 ESET 将软件封装程 序归类为潜在的不受欢迎应用程序类型 以使用户可以接受或不接受下载 请参阅此 ESET 知识库文章了解此帮助页的更新版本 潜在的不安全应用程序 - 潜在的不安全应用程序是一类用于商业目的的合法程序 例如远程访问工具 密码破解应用程序 以及按键记录器 用于记录用户的每次按键的程序 此选项默认情况下处于禁用状态 清除设置决定在清除被感染文件的过程中扫描程序的行为 共有 3 个清除级别 排除 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您定义要扫描 的文件类型 其他 配置 ThreatSense 引擎参数设置以进行手动扫描计算机时 其他部分中的以下选项也可用 扫描交换数据流 (A DS ) - NTFS 文件系统使用的交换数据流是对普通扫描技术不可见的文件和文件夹关联 许多渗透试图 通过伪装成交换数据流来避开检测 以低优先级运行后台扫描 - 每个扫描序列都消耗一定量的系统资源 如果您使用高系统资源负载的程序 则可以激活低优 先级后台扫描 并为应用程序节约资源 记录所有对象 - 如果选中此选项 日志文件将显示包括未感染文件在内的所有已扫描文件 例如 如果压缩文件中发现渗 透 日志还将列出压缩文件中包含的干净文件 启用智能优化 - 启用智能优化后 使用最优化的设置可确保最高效的扫描级别 同时可保持最高的扫描速度 各种保护模 块可进行智能化扫描 使用不同的扫描方法并将它们应用到特定的文件类型 如果禁用了智能优化 则在执行扫描时仅应用 特定模块的 ThreatSense 核心中用户定义的设置 保存上一个访问时戳 - 选中此选项可以保留已扫描文件的最初访问时间而不是更新时间 例如数据备份系统所使用的访问 时戳 29

30 限制 限制部分允许您指定要扫描的对象的最大大小和嵌套压缩文件的层数 对象设置 最大对象大小 - 定义要扫描对象的最大大小 给定的病毒防护模块将仅扫描小于指定大小的对象 此选项应仅由具有 从扫描中排除大型对象的特定原因的高级用户更改 默认值 无限制 对象的最长扫描时间(秒) - 定义用于对象扫描的最大时间值 如果在此输入用户定义的值 时间用完后病毒防护模块 将停止扫描对象 而不管扫描是否完成 默认值 无限制 压缩文件扫描设置 压缩文件嵌套层数 - 指定压缩文件扫描的最大深度 默认值 10 压缩文件中文件的最大大小 - 此选项允许您指定要扫描的压缩文件 当解压缩时 中所包含文件的最大文件大小 默 认值 无限制 注意 不建议更改默认值 正常情况下应该没有修改它的理由 清 除 清除设置决定在清除被感染文件的过程中扫描程序的行为 共有 3 个清除级别 不 扫 描 的 文 件 扩 展 名 扩展名是用句点分隔的文件名的一部分 扩展名定义文件的类型和内容 ThreatSense 参数设置的此部分允许您定义要扫描的 文件类型 默认情况下 扫描所有文件 无论其扩展名是什么 可将任何扩展名添加到不扫描的文件列表中 如果对某些文件类型的扫描导致使用特定扩展名的程序运行不正常 将这些文件排除出扫描之列有时是必要的 例如 使用 Microsoft Exchange 服务器时 建议排除 edb eml 和 tmp 扩展名 使用添加和删除按钮 可以允许或禁用对特定文件扩展名的扫描 若要将新扩展名添加到列表 请单击添加以将该扩展名键 入到空白字段中 然后单击确定 当您选择输入多个值时 您可以添加多个由行 逗号或分号分隔的文件扩展名 启用多项 选择时 扩展名将显示在列表中 选择列表中的扩展名 然后单击删除可从列表中删除该扩展名 如果您希望编辑选定的扩 展名 请单击编辑 可以使用特殊符号? 问号 此问号表示任意符号 注意 为了在 Windows 操作系统中可以查看文件的确切扩展名 如果存在 必须在控制面板 > 文件夹选项 > 查看 选项 卡 下取消选中隐藏已知文件类型的扩展名选项 并应用此更改 4117 检 测 到 威 胁 威胁可通过各种渠道进入系统 如网页 共享文件夹 电子邮件或可移动设备 USB 外部磁盘 CD DVD 软盘等 标准行为 作为 ESET NOD32 Antivirus 处理威胁的常见示例 可以使用以下功能检测威胁 30 文件系统实时防护 Web 访问保护 电子邮件客户端防护 手动扫描计算机

31 每个功能使用标准清除级别 将尝试清除文件并移动到隔离区或终止连接 通知窗口显示在屏幕右下角的通知区域 有关清除 级别和行为的详细信息 请参阅清除 清除和删除 如果文件系统实时防护没有预定义操作 程序将显示一个警报窗口 提示您从中选择一个选项 一般会有清除? 删除和不操 作等选项 不建议选择不操作 这样将不会清除被感染文件 除非您确信该文件无害 只是检测失误所致 如果文件遭到了病毒攻击 该病毒在被清除文件上附加了恶意代码 请应用清除 如果是这种情况 请首先尝试清除被感染 文件 使其恢复到初始状态 如果文件全部由恶意代码组成 将删除该文件 如果被感染文件被 锁定 或正在被系统进程使用 通常只在释放后 通常是系统重新启动后 删除 多个威胁 如果在计算机扫描期间没有清除任何被感染文件 或清除级别设置为不清除 则会出现一个警报窗口 提示您为这些文件 选择相应操作 为文件选择相应操作 分别为列表中的每个文件设置操作 然后单击完成 31

32 删除压缩文件中的文件 在默认清除模式下 仅当压缩文件只包含被感染文件而没有干净文件时 才会删除整个压缩文件 换言之 如果还包含无害的 干净文件 就不会删除压缩文件 执行严格清除扫描时请小心 严格清除已启用时 即使压缩文件只包含一个被感染文件 无 论压缩文件中其他文件的状态如何 都将删除该压缩文件 如果您的计算机有被恶意软件感染的迹象 例如速度下降 常常停止响应等 建议您执行以下操作 打开 ESET NOD32 Antivirus 并单击计算机扫描 单击扫描计算机 有关详细信息 请参阅计算机扫描 扫描完成后 查看日志中已扫描文件 被感染文件和已清除文件的数量 如果您只希望扫描磁盘的某一部分 请单击自定义扫描 然后选择要扫描的目标以查找病毒 4118 文 档 防 护 文档防护功能会在打开 Microsoft Office 文档之前对其进行扫描 还会扫描通过 Internet Explorer 自动下载的文件 如 Microsoft ActiveX 元素 文档防护提供文件系统实时防护之外的另一层防护 可以将其禁用以在无法处理大量 Microsoft Office 文档的系统上增强性能 若要激活文档防护 打开高级设置窗口 按 F5 > 病毒防护 > 文档防护 然后单击集成到系统开关 注意 此功能由使用 Microsoft Antivirus API 的应用程序 例如 Microsoft Office 2000 和更高版本或 Microsoft Internet Explorer 50 和更高版本 激活 412 可 移 动 磁 盘 ESET NOD32 Antivirus 提供自动可移动磁盘 (CD/DVD/USB/) 扫描 此模块允许您扫描插入的媒体 如果计算机管理员希 望防止用户使用带有不请自来内容的可移动磁盘 此模块将很有用 插入可移动磁盘后要采取的操作 - 选择将可移动磁盘插入到计算机 (CD/DVD/USB) 后将执行的默认操作 如果选择了显示 扫描选项 将显示通知 允许您选择所需操作 不扫描 - 将不执行任何操作 同时将关闭检测到新设备窗口 自动设备扫描 - 将执行已插入可移动磁盘设备的手动扫描计算机 显示扫描选项 - 打开可移动磁盘设置部分 插入可移动磁盘后 将显示以下对话框 立即扫描 - 这将触发对可移动磁盘的扫描 稍后扫描 - 将推迟对可移动磁盘的扫描 设置 - 打开 高级设置 始终使用选择的选项 - 选中后 在其他时间插入可移动磁盘时将执行相同的操作 此外 ESET NOD32 Antivirus 具有设备控制功能 允许您为给定计算机上的外部设备使用定义规则 在设备控制部分可找到 有关设备控制的更多详细信息 32

33 413 设 备 控 制 设备控制 ESET NOD32 Antivirus 提供自动设备 (CD/DVD/USB/) 控制 此模块允许您扫描 阻止或调整扩展的过滤器 权限 并定义 用户访问和使用给定设备的能力 如果计算机管理员希望防止用户使用带有不请自来内容的设备 此模块将很有用 支持的外部设备 磁盘存储 HDD USB 可移动磁盘 CD/DVD USB 打印机 FireWire 存储 蓝牙设备 智能卡读卡器 刻录设备 调制解调器 LPT/COM 端口 便携式设备 麦克风 所有设备类型 可以在高级设置 (F5) > 设备控制中修改设备控制设置选项 打开集成到系统旁的开关激活 ESET NOD32 Antivirus 中的设备控制功能 要使此更改生效 需要重新启动计算机 启用设 备控制后 规则将变为活跃状态 以允许您打开规则编辑器窗口 注意 您可以创建将应用不同规则的不同设备组 也可以只创建一个设备组 该设备组将应用带有读 写或只读操作的规则 这 确保在无法识别的设备连接到计算机时设备控制会阻止它们 如果插入受现有规则阻止的设备 将显示通知窗口并且不会授予对设备的访问权限 网络摄像机防护 打开集成到系统旁边的开关可激活 ESET NOD32 Antivirus 中的网络摄像机防护功能 启用网络摄像机防护后 规则将变为 活动状态 允许您打开规则编辑器窗口 33

34 4131 设 备 控 制 规 则 编 辑 器 设备控制规则编辑器窗口显示现有规则 允许精确控制用户连接到计算机的外部设备 可以按照用户或用户组 根据规则配置中可指定的其他设备参数 允许或阻止特定设备 规则列表包含规则的多个说明 例如 名称 外部设备类型 将外部设备连接到计算机后执行的操作以及日志严重级别 单击添加或编辑管理规则 单击复制使用用于其他所选规则的预定义选项创建新规则 单击规则时显示的 XML 字符串可以 复制到剪贴板以帮助系统管理员导出 导入这些数据并使用它们 例如在 ESET Remote Administrator 中 按住 CTRL 并单击 可以选择多个规则和对所有所选规则应用操作 例如删除或上下移动列表 已启用复选框禁用或启用规 则 当不希望永久删除规则以免未来可能要使用时 此功能将很有用 控制通过规则实现 规则排序顺序决定其优先级 高优先级规则位于顶部 从 ESET NOD32 Antivirus 主窗口的工具可以查看日志条目 > 日志文件 设备控制日志记录了所有发生设备控制触发的情况 单击填充可以为连接到计算机的设备自动填充可移动磁盘设备参数 34

35 4132 添 加 设 备 控 制 规 则 设备控制规则定义满足规则条件的设备连接到计算机时将采取的操作 在名称字段中输入规则说明以更好识别 单击已启用规则旁的开关以禁用或启用此规则 当您不希望永久删除此规则时 这 很有用 设备类型 从下拉菜单中选择外部设备类型 磁盘存储 便携式设备 蓝牙 FireWire/ 设备类型信息收集自操作系统 可在设备连接到 计算机后在系统设备管理器中查看 存储设备包括通过 USB 或 FireWire 连接的外部磁盘或传统存储卡读卡器 智能卡读卡器 包括具有嵌入式集成电路的所有智能卡读卡器 如 SIM 卡或身份验证卡 成像设备示例包括扫描仪或照相机 由于这些设备 仅提供有关其操作 而非用户 的信息 因此只能全局阻止它们 操作 可以允许或阻止访问非存储设备 相比之下 存储设备规则允许选择以下权限设置之一 读 写 - 将允许对设备的完全访问权限 阻止 - 将阻止对设备的访问 只读 - 仅允许对设备进行读取访问 警告 - 每次连接设备时 系统都会通知用户是否允许或阻止该设备 并且将记录日志条目 系统不会记住设备 在以后连 接同一设备时仍会显示通知 注意 不是所有操作 权限 都可用于所有设备类型 如果是存储类型的设备 则所有四项操作均可用 对于非存储设备 只 有三项操作可用 例如只读操作对蓝牙不可用 因此这意味着只能允许 阻止或警告蓝牙设备 标准类型- 选择设备组或设备 下面显示的其他参数可用于微调规则并根据设备定制 所有参数都不区分大小写 供应商 - 按供应商名称或 ID 过滤 型号 - 设备的给定名称 序列号 - 外部设备通常具有自己的序列号 如果是 CD/DVD 则这是给定介质的序列号 而不是 CD 驱动器 注意 如果未定义这些参数 在匹配时规则将忽略这些字段 所有文本字段中的过滤参数都不区分大小写并且不支持通配符? 35

36 注意 若要查看有关设备的信息 请为此类设备创建规则 将该设备连接到计算机 然后检查设备控制日志中的设备详细信息 日志记录严重级别 ESET NOD32 Antivirus 将所有重要事件保存到日志文件中 用户可通过主菜单直接查看日志文件 依次单击工具 > 日志文 件 然后从日志下拉菜单中选择设备控制 始终 - 记录所有事件 诊断 - 记录微调程序所需的信息 信息 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 无 - 不记录任何日志 可以通过将规则添加到用户列表 来将规则限制为特定用户或用户组 添加 - 打开对象类型: 用户或组对话框 该窗口可用来选择需要的用户 删除 - 从过滤器删除选定用户 注意 所有设备均可按用户规则进行过滤 例如 成像设备不提供用户信息 仅提供操作信息 414 基 于 主 机 的 入 侵 预 防 系 统 (H IP S ) 警告 对 HIPS 设置的更改仅应由有经验的用户进行 HIPS 设置的错误配置可能会导致系统不稳定 基于主机的入侵防御系统 (HIPS) 可保护您的系统 以免恶意软件和任何不受欢迎的活动试图对您的计算机产生不利影响 HIPS 利用高级行为分析并配合网络过滤的检测功能来监视正在运行的进程 文件和注册表项 HIPS 独立于文件系统实时防 护 并且不是防火墙 它仅监视在操作系统中运行的进程 HIPS 设置可以在高级设置 (F5) > 病毒防护 > HIP S > 基本下找到 HIPS 状态 已启用 已禁用 显示在设置 > 计算机防 护下的 ESET NOD32 Antivirus 主程序窗口内 36

37 ESET NOD32 Antivirus 使用内置的自我保护技术 可防止恶意软件损坏或禁用病毒和间谍软件防护 这样您可以确保系统随 时受到保护 有必要重新启动 Windows 以禁用 HIPS 或自我保护 启用受保护的服务 - 启用内核保护 Windows 高级内存扫描程序与漏洞利用阻止程序结合使用以增强对恶意软件的防范 后者旨在通过迷惑或加密方法来逃过反恶意软件 产品的检测 默认情况下 启用高级内存扫描程序 请阅读词汇表中关于此类防护的更多信息 漏洞利用阻止程序旨在强化那些经常被漏洞利用的应用程序类型 例如 Web 浏览器 PDF 阅读器 电子邮件客户端和 MS Office 组件 默认情况下 启用漏洞利用阻止程序 请阅读词汇表中关于此类防护的更多信息 勒索软件防护是作为 HIPS 功能的一部分工作的另一层保护 必须启用 LiveGrid 信誉系统才能使勒索软件防护工作 请在此 处阅读关于此类防护的详细信息 可以使用以下四种模式之一执行过滤 自动模式 - 启用操作 除了保护系统的预定义规则所阻止的操作 智能模式 - 仅通知用户极为可疑的事件 交互模式 - 将提示用户确认操作 基于策略的模式 - 操作被阻止 学习模式 - 操作被启用 并在每次操作后创建规则 可在规则编辑器中查看以此模式创建的规则 但其优先级低于手动创建 的规则或在自动模式下创建的规则的优先级 当您从 HIPS 过滤模式 下拉菜单中选择 学习模式 后 学习模式结束时间设置 将变为可用 选择要采用学习模式的时间范围 最长持续时间为 14 天 当指定的持续时间过去后 将会提示您编辑当 HIPS 处于学习模式中时所创建的规则 还可以选择其他过滤模式 或推迟决定并继续使用学习模式 学习模式到期之后设置的模式 - 在学习模式到期后选择过滤模式 HIPS 系统监控操作系统内的事件 并根据类似于个人防火墙所使用的规则作出相应的反应 单击编辑以打开 HIPS 规则管理 窗口 在此您可以选择 创建 编辑或删除规则 在下面的示例中 我们将演示如何限制不需要的应用程序行为 1 命名规则 并从操作下拉菜单选择阻止 2 打开通知用户开关以在每次应用规则时显示通知 3 选择至少一个将为其应用规则的操作 在源应用程序窗口中 从下拉菜单中选择所有应用程序 以将新规则应用于 尝试在指定的应用程序上执行任何选定的应用程序操作的所有应用程序 4 选择修改其他应用程序的状态 所有操作在产品帮助中都有介绍 可按 F1 键进行访问 5 从下拉菜单中选择特定应用程序 然后添加一个或几个要保护的应用程序 6 单击完成保存新规则 37

38 4141 高 级 设 置 以下选项用于调试和分析应用程序的行为 始终允许加载驱动程序 - 始终允许加载选定的驱动程序 而不管配置的过滤模式是什么 除非明确地通过用户规则阻止 记录所有阻止的操作 - 所有阻止的操作将写入到 HIPS 日志中 当启动应用程序发生更改时发送通知 - 每次应用程序被添加到系统启动或从中删除时显示桌面通知 有关此帮助页的更新版本 请参阅我们的知识库文章 38

39 4142 H IP S 交 互 窗 口 如果规则的默认操作设置为询问 每次触发该规则时将显示对话窗口 您可以选择拒绝或允许操作 如果在给定时间不选择 操作 将基于规则选择新操作 此对话窗口使您能够基于 HIPS 检测到的任何新操作创建规则 然后定义允许或拒绝此操作的条件 单击详细信息可访问具 体参数的设置 用这种方式创建的规则被认为等同于手动创建的规则 所以从对话窗口创建的规则可以比触发该对话窗口的规 则更笼统 这意味着 在创建这样的规则后 相同的操作可以触发相同的窗口 在应用程序退出之前记住操作将使系统在规则或过滤模式发生更改 HIPS 模块更新或系统重新启动之前始终使用此操作 允许 拒绝 发生这三项操作中的任意一项后 将删除临时规则 39

40 4143 检 测 到 潜 在 的 勒 索 软 件 行 为 当检测到潜在的勒索软件行为时 将显示此交互窗口 您可以选择拒绝或允许操作 此对话窗口允许您提交文件以供分析或从检测中排除 单击详细信息可查看特定的检测参数 415 游 戏 模 式 游戏模式是为那些需要不中断其使用软件 不希望被弹出窗口打扰 并希望尽量减少 CPU 使用的用户提供的功能 游戏模式 还可以用于不能被病毒防护活动中断的演示 启用此功能后 将禁用所有弹出窗口 同时完全停止计划任务活动 系统保护仍 在后台运行 但是不需要任何用户交互 您可以在主程序窗口的设置 > 计算机防护下单击 或游戏模式旁边的 来启用或禁用游戏模式 启用游戏模 式将存在潜在安全风险 因此任务栏上的防护状态将变成橙色 并显示警告 您还将在主程序窗口中看到此警告 您将在该窗 口中看到橙色的游戏模式处于活动状态 在高级设置 (F5) > 工具下激活以全屏模式运行应用程序时自动启用游戏模式 以便当您启动全屏应用程序时立即启动游 戏模式 并在您退出应用程序时立即停止该模式 激活自动禁用游戏模式前等待的时间可定义自动禁用游戏模式前的时间量 40

41 42 Internet 防护 通过单击 Int ernet 防护 可在设置窗格中找到 Web 和电子邮件配置 可以从这里访问更详细的程序设置 Internet 连接是个人计算机的一项标准功能 不幸地是 Internet 已成为了散布恶意代码的主要媒介 出于此原因 仔细考虑 Web 访问保护设置就变得很重要 单击 打开 Web/电子邮件 网络钓鱼防护 防护设置 电子邮件客户端防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 使用电子邮件客户端的插件程序 ESET NOD32 Antivirus 可以控制所有出入电子邮件客户端的通信 POP3 MAPI IMAP 和 HTTP 网络钓鱼防护允许您阻止散布网络钓鱼内容的已知网页 强烈建议您保持启用网络钓鱼防护 您可以禁用 Web/电子邮件 网络钓鱼防护 防护模块 暂时 方法是单击 41

42 421 W e b 访 问 保 护 Internet 连接是个人计算机的一项标准功能 不幸地是 它也成为传输恶意代码的主要媒介 Web 访问保护的功能是监视 Web 浏览器和远程服务器之间的通信 并遵从 HTTP 超文本传输协议 和 HTTPS 加密通信 规则 在下载内容之前 将阻止访问已知包含恶意内容的网页 所有其他网页在加载时会由 ThreatSense 扫描引擎进行扫描 并且 如果检测到恶意内容 将阻止它们 Web 访问保护提供两种级别的保护 按黑名单阻止和按内容阻止 我们强烈建议启用 Web 访问保护 在 ESET NOD32 Antivirus 主窗口中导航至设置 > Int ernet 防护 > Web 访问保护可以 访问此选项 在高级设置 (F5) > Web 和电子邮件 > Web 访问保护中提供以下选项 Web 协议 - 使您可以为大多数 Internet 浏览器使用的这些标准协议配置监视 URL 地址管理 - 使您指定要对其阻止 允许或排除检查的 HTTP 地址 Threat S ens e 参数 - 高级病毒扫描程序设置 使您能够为 Web 访问保护配置设置 例如要扫描的对象类型 电子邮件 压缩文件等 检测方法等 4211 基 本 启用 Web 访问保护 - 禁用后 Web 访问保护和网络钓鱼防护将无法运行 启用浏览器脚本的高级扫描 - 启用后 Internet 浏览器执行的所有 JavaScript 程序都将由病毒防护扫描程序检查 注意 我们强烈建议您保持启用 Web 访问保护 42

43 4212 W e b 协 议 默认情况下 ESET NOD32 Antivirus 将配置为监视由大部分 Internet 浏览器使用的 HTTP 协议 HTTP 扫描程序设置 在 Windows Vista 及更高版本中 始终在所有应用程序的所有端口上监视 HTTP 通信 在 Windows XP 中 您可以在高 级设置 (F5) > Web 和电子邮件 > Web 访问保护 > Web 协议中修改由 HTTP 协议使用的端口 在所有应用程序的 指定端口上以及标记为 Web 和电子邮件客户端的应用程序的所有端口上监视 HTTP 通信 HTTP S 扫描程序设置 ESET NOD32 Antivirus 还支持 HTTPS 协议检查 HTTPS 通信使用加密通道在服务器和客户端之间传输信息 ESET NOD32 Antivirus 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如何 该程序将只 在 HTTP S 协议使用的端口中定义的端口上扫描通信 加密的通信不会被扫描 要启用加密通信的扫描和查看扫描程序设置 请导航至高级设置部分的 SSL/TLS 单击 Web 和电 子邮件 > S S L/ TLS 然后启用启用 S S L/ TLS 协议过滤选项 4213 U R L 地 址 管 理 URL 地址管理部分可使您指定要阻止 允许或排除检查的 HTTP 地址 将不能访问阻止的地址列表中的网站 除非它们还包含在允许的地址列表中 在访问时 不会针对不检查的地址列表中的 网站进行扫描以查找恶意代码 如果您在过滤 HTTP 网页之外还希望过滤 HTTPS 地址 则必须选中启用 S S L/ TLS 协议过滤 否则 将仅添加您访问过的 HTTPS 站点的域 而不会添加完整 URL 如果将 URL 地址添加到不过滤的地址列表 该地址将从扫描中排除 您还可以通过将其添加到允许的地址列表或阻止的地 址列表 允许或阻止某些地址 如果您希望阻止所有 HTTP 地址 活动的允许的地址列表中存在的地址除外 请将 添加到活动的阻止的地址列表 可以在该列表中使用特殊符号 星号 和? 问号 星号可以替代任意字符串 而问号可以替代任意符号 指定排除的地 址时 请务必谨慎 因为此列表只应包含信任的和安全的地址 同样 必须确保在此列表中正确使用符号 和? 有关如何安 全匹配包括所有子域的整个域 请参阅添加 HTTP 地址 域掩码 若要启用某个列表 请选择启用列表 如果您希望在输入来 自当前列表的地址时收到通知 请选择应用时发送通知 注意 URL 地址管理还允许您在浏览 Internet 时阻止或允许打开特定文件类型 例如 如果您不希望打开可执行文件 请从下拉 菜单中选择您希望在其中阻止这些文件的列表 然后输入掩码 exe 43

44 控件元素 添加 - 创建除预定义列表以外的新列表 如果您希望按逻辑拆分不同的地址组 这非常有用 例如 一个阻止的地址列表 可能包含外部公开黑名单中的地址 另一个阻止的地址列表可能包含您自己的黑名单 这可在保持您的黑名单不变的同时 轻松更新外部列表 编辑 - 修改现有列表 使用此项添加或删除地址 删除 - 删除现有列表 仅适用于使用添加创建的列表 不适用于默认列表 422 电 子 邮 件 客 户 端 防 护 4221 电 子 邮 件 客 户 端 ESET NOD32 Antivirus 与电子邮件客户端的集成可提高针对电子邮件中恶意代码的主动防护级别 如果您的电子邮件客户端 受支持 则可以在 ESET NOD32 Antivirus 中启用集成 当集成到电子邮件客户端时 ESET NOD32 Antivirus 工具栏将直接 插入电子邮件客户端 不插入适用于较新版本的 Windows Live Mail 的工具栏 从而提供更高效的电子邮件防护 集成设置 位于高级设置 (F5) > Web 和电子邮件 > 电子邮件客户端防护 > 电子邮件客户端下 电子邮件客户端集成 当前受支持的电子邮件客户端包括 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 电子邮 件防护作为这些程序的插件进行工作 插件的主要优点在于它独立于所用的协议 当电子邮件客户端收到加密邮件时 邮 件将进行解密并发送给病毒扫描程序 有关支持的电子邮件客户端及其版本的完整列表 请参考以下 ESET 知识库文 章 即使未启用集成 电子邮件通信仍受电子邮件客户端防护模块 POP3 IMAP 保护 如果在使用 MS Outlook 时遇到系统运行缓慢的情况 请打开禁用对收件箱内容更改的检查 当从 Kerio Outlook Connector Store 中检索电子邮件时可能会发生这种情况 要扫描的电子邮件 通过客户端插件启用电子邮件防护 - 在通过电子邮件客户端禁用电子邮件客户端防护后 仍可通过协议过滤启用电子邮 件客户端防护 已接收的电子邮件 - 切换到检查已接收到的邮件 已发送的电子邮件 - 切换到检查已发送的邮件 已阅读的电子邮件 - 切换到检查已阅读的邮件 44

45 要对被感染的电子邮件执行的操作 不操作 - 如果启用 则程序虽能识别被感染的附件 但不会对电子邮件采取任何操作 删除电子邮件 - 程序会通知用户有关渗透的信息并删除邮件 将电子邮件移到已删除文件夹 - 受感染的电子邮件将自动移至 已删除 文件夹 将电子邮件移到文件夹 - 受感染的电子邮件将自动移至指定的文件夹 文件夹 - 指定希望将检测到的受感染电子邮件移到的自定义文件夹 更新后重新扫描 - 切换到在病毒库更新后重新扫描 接受其他模块的扫描结果 - 如果选中此选项 电子邮件保护模块会接受其他保护模块的扫描结果 POP3 IMAP 协议 扫描 注意 我们建议您启用通过客户端插件启用电子邮件防护和通过协议过滤启用电子邮件防护 这些设置位于 高级设置 (F5) > Web 和电子邮件 > 电子邮件客户端防护 > 电子邮件协议下 4222 电 子 邮 件 协 议 IMAP 和 POP3 协议是最广泛地用于在电子邮件客户端应用程序中接收电子邮件通信的协议 Internet 消息访问协议 (IMAP) 是另一种用于电子邮件检索的 Internet 协议 与 POP3 相比 IMAP 具有一些优势 例如多个客户端可同时连接到同一邮箱 并保留邮件状态信息 如邮件是已读 已回复还是已删除 ESET NOD32 Antivirus 为这些协议提供保护 无论使用哪种电 子邮件客户端 并且无需重新配置电子邮件客户端 系统启动时会自动启动提供此控件的防护模块 之后该模块会在内存中处于活动状态 IMAP 协议控制将自动执行 无需重新 配置电子邮件客户端 默认情况下 程序会扫描端口 143 上的所有通信 如有必要 也可以添加其他通信端口 多个端口号 必须使用逗号分隔 您可以在 高级设置 中配置 IMAP/IMAPS 和 POP3/POP3S 协议检查 若要访问此设置 请依次展开 Web 和电子邮件 > 电 子邮件客户端防护 > 电子邮件协议 通过协议过滤启用电子邮件保护 - 启用电子邮件协议的检查 在 Windows Vista 及更高版本中 将在所有端口上自动检测和扫描 IMAP 和 POP3 协议 在 Windows XP 中 仅针对所有应 用程序扫描已配置的 IMA P / P OP 3 协议使用的端口 而针对标记为 Web 和电子邮件客户端的应用程序扫描所有端口 ESET NOD32 Antivirus 还支持扫描 IMAPS 和 POP3S 协议 这些协议使用加密通道在服务器和客户端之间传输信息 ESET NOD32 Antivirus 利用 SSL 安全套接字层 和 TLS 传输层安全 协议检查通信 无论操作系统版本如何 该程序 将只在 IMA P S / P OP 3S 协议使用的端口中定义的端口上扫描通信 加密的通信不会被扫描 要启用加密通信的扫描和查看扫描程序设置 请导航至高级设置部分的 SSL/TLS 单击 Web 和电 子邮件 > S S L/ TLS 然后启用启用 S S L/ TLS 协议过滤选项 45

46 4223 警 报 和 通 知 电子邮件防护可控制通过 POP3 和 IMAP 协议接收的电子邮件通信 通过使用 Microsoft Outlook 和其他电子邮件客户端的插 件 ESET NOD32 Antivirus 可控制电子邮件客户端的所有通信 POP3 MAPI IMAP HTTP 检查传入邮件时 程序使 用 ThreatSense 扫描引擎内包含的所有高级扫描方法 这意味着恶意程序检测在与病毒库匹配之前就已进行 对 POP3 和 IMAP 协议通信的扫描与使用何种电子邮件客户端无关 此功能的选项位于 Web 和电子邮件 > 电子邮件客户端防护 > 警报和通知下的高级设置中 选中一个电子邮件后 可将包含扫描结果的通知附加到邮件中 您可以选择在已接收并阅读的电子邮件上添加标记消息? 在已接收并阅读的被感染电子邮件主题上添加注释或在已发送电子邮件上添加标记消息 请注意 在少数情形下 标记 消息可能被有问题的 HTML 邮件忽略 而恶意软件也可能伪造这些消息 可将标记消息添加到已接收 已阅读的电子邮件 已 发送的电子邮件或两类邮件中都添加 有以下选项可供使用 从不 - 将不添加任何标记消息 仅对被感染的电子邮件 - 仅将包含恶意软件的邮件标记为已选中 默认 对所有扫描的电子邮件 - 程序将把消息附加到所有已扫描的电子邮件上 在已发送的被感染电子邮件主题中添加注释 - 如果不想在被感染的电子邮件主题中包含病毒警告 请禁用此选项 此功能 允许对被感染的电子邮件进行简单的 基于主题的过滤 如果电子邮件程序支持 它还可以提高收件人的可信度级别 如果 检测到渗透 它会提供有关给定电子邮件或发件人的威胁级别的有价值信息 添加到被感染电子邮件主题中的模板 - 如果您希望修改被感染电子邮件的主题前缀格式 则编辑此模板 此功能将替换邮 件主题 "Hello" 为以下格式的给定前缀值 "[virus]" "[virus] Hello" 变量 %VIRUSNAME% 代表被感染的威胁 46

47 4224 电 子 邮 件 客 户 端 集 成 ESET NOD32 Antivirus 与电子邮件客户端的集成可提高针对电子邮件中恶意代码的主动防护级别 如果您的电子邮件客户端 受支持 则可以在 ESET NOD32 Antivirus 中启用集成 如果启用了集成 ESET NOD32 Antivirus 工具栏将被直接插入到电 子邮件客户端 从而提供更高效的电子邮件防护 集成设置可通过设置 > 高级设置 > Web 和电子邮件 > 电子邮件客户端 防护 > 电子邮件客户端提供 当前受支持的电子邮件客户端包括 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 有关支持的 电子邮件客户端及其版本的完整列表 请参考以下 ESET 知识库文章 如果使用电子邮件客户端时遇到系统运行缓慢的情况 请选中禁用对收件箱内容更改的检查旁的复选框 当从 Kerio Outlook Connector Store 中检索电子邮件时可能会发生这种情况 即使未启用集成 电子邮件通信仍受电子邮件客户端防护模块 POP3 IMAP 保护 电 子 邮 件 客 户 端 防 护 配 置 电子邮件客户端保护模块支持下列电子邮件客户端 Microsoft Outlook Outlook Express Windows Mail 和 Windows Live Mail 电子邮件保护的工作方式和这些程序的插件相同 插件的主要优点在于它独立于所用的协议 当电子邮件客户端收到加 密邮件时 邮件会被解密并发送给病毒扫描程序 4225 P OP 3 P OP 3S 过 滤 器 POP3 协议是使用最广泛的在电子邮件客户端应用程序中接收电子邮件通信的协议 无论使用何种电子邮件客户端 ESET NOD32 Antivirus 均提供对此协议的保护 系统启动时会自动启动提供此控件的防护模块 之后该模块会在内存中处于活动状态 要使模块正常发挥作用 请确保该模块 已启用 POP3 协议检查是自动执行的 无需重新配置电子邮件客户端 默认情况下 程序会扫描端口 110 上的所有通信 如有必要 也可以添加其他通信端口 多个端口号必须使用逗号分隔 加密的通信不会被扫描 要启用加密通信的扫描和查看扫描程序设置 请导航至高级设置部分的 SSL/TLS 单击 Web 和电 子邮件 > S S L/ TLS 然后启用启用 S S L/ TLS 协议过滤选项 在本节中您可以配置 POP3 和 POP3S 协议检查 启用 P OP 3 协议检查 - 如果启用该选项 则将监视所有通过 POP3 进行的通信以查找恶意软件 P OP 3 协议使用的端口 - POP3 协议使用的端口 默认为 110 的列表 ESET NOD32 Antivirus 也支持 POP3S 协议检查 此类通信使用加密通道在服务器和客户端之间传输信息 ESET NOD32 Antivirus 利用 SSL 安全套接字层 和 TLS 传输层安全 加密方法检查通信 不使用 P OP 3S 检查 - 不检查加密通信 对选定端口使用 P OP 3S 协议检查 - 选中此选项可仅对在 P OP 3S 协议使用的端口中定义的端口启用 POP3S 检查 P OP 3S 协议使用的端口 - 要检查的 POP3S 端口 默认为 995 的列表 423 协 议 过 滤 针对应用程序协议的病毒防护由 ThreatSense 扫描引擎提供 可与所有高级恶意软件扫描技术无缝集成 无论使用哪种 Internet 浏览器或电子邮件客户端 协议过滤都会自动工作 若要编辑加密 (SSL/TLS) 设置 请转到 Web 和电子邮件 > S S L/ TLS 启用应用程序协议内容过滤 - 可以用于禁用协议过滤 请注意 许多 ESET NOD32 Antivirus 组件 Web 访问防护保护 电子邮件协议防护 网络钓鱼防护 Web 控件 都依赖于此选项 如果没有此选项 这些组件将不起作用 排除的应用程序 - 允许您从协议过滤中排除特定应用程序 在协议过滤导致兼容性问题时很有用 排除的 IP 地址 - 允许您从协议过滤中排除特定远程地址 在协议过滤导致兼容性问题时很有用 Web 和电子邮件客户端 - 仅用于 Windows XP 操作系统 允许您选择通过协议过滤为其过滤所有通信的应用程序 不管使 用何种端口 47

48 4231 W e b 和 电 子 邮 件 客 户 端 注意 从 Windows Vista Service Pack 1 和 Windows Server 2008 开始 使用新的 Windows 过滤平台 (WFP) 架构检查网络通 信 由于 WFP 技术使用了特殊的监视技术 因此 Web 和电子邮件客户端部分不可用 由于 Internet 上充斥着大量恶意代码 安全浏览 Internet 就成了计算机保护的一个非常重要的方面 Web 浏览器的漏洞和欺 骗链接能够帮助恶意代码进入系统且不会引起注意 这也是 ESET NOD32 Antivirus 注重 Web 浏览器安全性的原因所在 访 问网络的每个应用程序都可以标记为 Internet 浏览器 复选框为以下两种状态 取消选择 - 仅过滤指定端口的应用程序通信 已选择 - 始终过滤通信 即使设置了其他端口 4232 排 除 的 应 用 程 序 要将特定网络感知应用程序的通信排除在内容过滤之外 请在列表中选择它们 将不检查选定应用程序的 HTTP/POP3/IMAP 通信是否存在威胁 我们建议仅针对因检查其通信而无法正常工作的应用程序使用此选项 将在这里自动显示正在运行的应用程序和服务 单击添加手动添加未显示在协议过滤列表上的应用程序 48

49 4233 排 除 的 IP 地 址 列表中的条目将被排除在协议内容过滤之外 将不检查往返选定地址的 HTTP/POP3/IMAP 通信是否存在威胁 我们建议仅在 地址可信赖时使用此选项 单击添加排除未显示在协议过滤列表上的远程点的 IP 地址 地址范围 子网 单击删除将选定条目从列表中删除 添 加 IP v 4 地 址 它使您可以为要应用规则的远程点添加 IP 地址 地址范围 子网 Internet 协议版本 4 是旧版本 但仍是使用范围最广泛的版 本 单个地址 - 添加将应用规则的单台计算机的 IP 地址 例如 地址范围 - 输入开始和结束 IP 地址以指定将应用规则的 多台计算机的 IP 范围 例如 至 子网 - 子网 一组计算机 由 IP 地址和掩码定义 例如 是 /24 前缀的网络掩码 表示 至 的地址范围 添 加 IP v 6 地 址 它使您可以为要应用规则的远程点添加 IPv6 地址 子网 这是最新版本的 Internet 协议 将代替旧的版本 4 单个地址 - 添加将应用规则的单台计算机的 IP 地址 例如 2001:718:1c01:16:214:22ff:fec9:ca5 子网 - 子网 一组计算机 由 IP 地址和掩码定义 例如 2002:c0a8:6301:1::1/ S S L/ T LS ESET NOD32 Antivirus 能够检查使用 SSL 协议的通信中是否存在威胁 通过受信任的证书 未知证书或不受 SSL 保护的通 信检查的证书 可以将不同的扫描模式用于检查受 SSL 保护的通信 启用 S S L/ TLS 协议过滤 - 如果禁用协议过滤 则该程序将不会通过 SSL 扫描通信 S S L/ TLS 协议过滤模式在以下选项中可用 自动模式 - 默认模式将仅扫描适当的应用程序 例如 Web 浏览器和电子邮件客户端 您可以通过选择要扫描其通信的应 用程序来覆盖此选项 49

50 交互模式 - 如果您输入一个受 SSL 保护的新站点 使用未知证书 将显示操作选择对话框 此模式允许您创建将不扫 描的 SSL 证书 应用程序列表 策略模式 - 选择此选项来扫描所有受 SSL 保护的通信 除了由排除在检查之外的证书保护的通信 如果使用未知的 签 署的证书建立了新通信 不会提示您 且通信将自动被过滤 当不受信任的证书被标记为受信任 位于受信任的证书列表 上 而用来访问服务器时 会允许对该服务器的通信 也会过滤通信通道的内容 S S L 过滤的应用程序列表 - 允许您为特定应用程序自定义 ESET NOD32 Antivirus 行为 已知证书列表 - 允许您为特定 SSL 证书自定义 ESET NOD32 Antivirus 行为 排除受扩展验证证书 (E V ) 保护的通信 - 启用后 将不检查使用此类型的 SSL 证书的通信 扩展验证 SSL 证书确保您确 实在查看您的网站 而不是看起来非常像您的网站的假网站 典型的网络钓鱼网站 阻止使用通过 S S L v 2 协议加密的通信 - 将自动阻止使用早期版本的 SSL 协议的通信 根证书 将根证书添加到已知浏览器 - 要使 SSL 通信在您的浏览器 电子邮件客户端中正常工作 请务必将 ESET 根证书添加到 已知根证书 发布者 的列表中 启用后 ESET NOD32 Antivirus 可自动将 ESET 根证书添加到已知浏览器 例如 Opera 和 Firefox 对于使用系统证书存储的浏览器 会自动添加证书 例如 在 Internet Explorer 中 要将该证书应用到不受支持的浏览器 请依次单击查看证书 > 详细信息 > 复制到文件 然后手动将其导入该浏览 器 证书有效性 使用 TRCA 证书存储无法验证该证书时 - 在某些情况下 无法使用受信任的根证书颁发机构 (TRCA) 存储验证网站证 书 这意味着该证书将由某人 例如 Web 服务器或小型企业的管理员 签名 将此证书视为受信任并不总是存在风险 大部分大型企业 例如银行 使用 TRCA 签名的证书 如果选中了询问证书的有效性 默认为选中 将在建立加密通 信时 提示用户选择要采取的操作 您可以选择阻止使用该证书的通信 以始终终止使用未验证证书站点的加密连接 该证书无效或已损坏时 - 这意味着证书已过期或已错误地签名 在这种情况下 我们建议保持选中阻止使用该证书的 通信 证 书 要使 SSL 通信在您的浏览器 电子邮件客户端正常工作 请将 ESET 根证书添加到已知根证书 发布者 的列表中 应启用 将根证书添加到已知浏览器 选中此选项可自动将 ESET 根证书添加到已知浏览器 如 Opera 和 Firefox 对于使用系统 证书存储的浏览器 会自动添加证书 如 Internet Explorer 要将该证书应用到不受支持的浏览器 请单击查看证书 > 详 细信息 > 复制到文件 然后手动将其导入该浏览器 在某些情况下 使用受信任的根证书颁发机构 比如 VeriSign 无法验证该证书 这意味着该证书将由某人 比如 Web 服务 器或小型公司的管理员 自签名 将此证书视为受信任不总是存在风险 大部分大型公司 比如银行 使用 TRCA 签名的证 书 如果选中了询问证书的有效性 默认为选中 将在建立加密通信时 提示用户选择要采取的操作 将显示操作选择对 话框 其中您可决定是否要标记该证书为受信任或排除 如果证书不存在于 TRCA 列表中 则窗口为红色 如果证书在 TRCA 列表中 则窗口将为绿色 您可以选择阻止使用该证书的通信 以便总是终止使用未经验证证书网站的加密连接 如果该证书无效或损坏 这意味着证书已过期或被错误自签名 在这种情况下 我们建议阻止使用该证书的通信 加 密 的 网 络 通 信 如果计算机配置为 SSL 协议扫描 则在尝试建立加密的通信 使用未知证书 时 可能会打开一个对话窗口 提示您选择操 作 该对话窗口包括以下信息 发起通信的应用程序的名称 所使用的证书的名称 要执行的操作 是否要扫描加密的通信 以及是否要为该应用程序 证书记住此操作 如果信任的根证书颁发机构 (TRCA) 存储中没有该证书 则将该证书视为不受信任 50

51 42342 已 知 证 书 列 表 已知证书列表可用于自定义特定 SSL 证书的 ESET NOD32 Antivirus 行为 如果在 S S L/ TLS 协议过滤模式下选中交互模 式 还可用于记住所选的操作 可以在高级设置 (F5) > Web 和电子邮件 > S S L/ TLS > 已知证书列表中查看和编辑该列 表 已知证书列表窗口包含 列 名称 - 证书名称 证书颁发者 - 证书创建者的名称 证书主题 - 主题字段可标识与存储在主题公共密钥字段中的公共密钥相关联的实体 访问 - 选择允许或阻止作为访问操作 以允许 阻止受此证书保护的通信 不管其可信度如何都是如此 选择自动以允许 受信任的证书并询问是否允许不受信任的证书 选择询问以始终询问用户要执行的操作 扫描 - 选择扫描或忽略作为扫描操作 以扫描或忽略受此证书保护的通信 选择自动以在自动模式下扫描并在交互模式 进行询问 选择询问以始终询问用户要执行的操作 控件元素 添加 - 添加新证书并调整其有关访问和扫描选项的设置 编辑 - 选择您希望配置的证书 然后单击编辑 删除 - 选择您希望删除的证书 然后单击删除 确定 取消 - 如果您希望保存更改 则单击确定 如果您希望在不进行保存的情况下退出 则单击取消 S S L/ T LS 过 滤 的 应 用 程 序 列 表 S S L/ TLS 过滤的应用程序列表可用于自定义特定应用程序的 ESET NOD32 Antivirus 行为 如果在 S S L/ TLS 协议过滤 模式下选中交互模式 还可用于记住所选的操作 可以在高级设置 (F5) > Web 和电子邮件 > S S L/ TLS > S S L/ TLS 过 滤的应用程序列表中查看和编辑该列表 S S L/ TLS 过滤的应用程序列表窗口包含 列 应用程序 - 应用程序的名称 扫描操作 - 选择扫描或忽略来扫描或忽略通信 选择自动以在自动模式下扫描并在交互模式进行询问 选择询问以始终 询问用户要执行的操作 控件元素 添加 - 添加过滤的应用程序 编辑 - 选择您希望配置的证书 然后单击编辑 删除 - 选择您希望删除的证书 然后单击删除 确定 取消 - 如果您希望保存更改 则单击确定 如果您希望在不进行保存的情况下退出 则单击取消 51

52 424 网 络 钓 鱼 防 护 网络钓鱼这一术语是指利用社会工程学 操纵用户以获取机密信息 的一种犯罪活动 网络钓鱼通常被用于获取访问敏感信息 如银行帐号 PIN 号码等 的权限 在词汇表中阅读此活动的详细信息 ESET NOD32 Antivirus 包括网络钓鱼防护 用于 阻止散布此类内容的已知网页 我们强烈建议您启用 ESET NOD32 Antivirus 中的网络钓鱼防护 若要执行此操作 请打开高级设置 (F5) 并导航至 Web 和 电子邮件 > 网络钓鱼防护 有关 ESET NOD32 Antivirus 中网络钓鱼防护的详细信息 请访问我们的知识库文章 访问网络钓鱼网站 当访问已识别的网络钓鱼网站时 以下对话框将显示在您的 Web 浏览器中 如果您仍需要访问该网站 请单击忽略威胁 不 建议 注意 在默认情况下 白名单上列出的潜在网络钓鱼网站将在几小时后过期 要永久允许某一网站 可使用 URL 地址管理工具 通过高级设置 (F5) 展开 Web 和电子邮件 > Web 访问保护 > URL 地址管理> 地址列表 并单击编辑 然后向该列表 添加要编辑的网站 报告网络钓鱼站点 报告链接使您能够向 ESET 报告网络钓鱼 恶意网站以供分析 注意 向 ESET 提交网站前 确保其满足以下一个或多个标准 未检测到该网站 该网站被错误地检测为威胁 在此情况下 您可以报告错误阻止的页面 此外 也可以通过电子邮件提交网站 请将电子邮件发送至 请记住 邮件主题一定要描述清楚 邮件 应包含尽可能多的有关此网站的信息 例如 引导您访问它的网站 您是如何了解到它的等等 52

53 43 更新程序 定期更新 ESET NOD32 Antivirus 是确保计算机的最高安全级别的最佳方法 更新模块通过两种方式确保程序始终处于最新状 态 即更新病毒库和更新系统组件 通过在主程序窗口中单击更新 可以查看当前更新状态 包括上一次成功更新的日期和时间以及是否需要更新 主窗口还包 含病毒库版本 此数值指示是指向 ESET 网站的活动链接 其中列有在给定更新内添加的所有病毒库 除了自动更新外 您可以单击立即更新以手动触发更新 更新病毒库和更新程序组件是维持全面防范恶意代码的重要组成部 分 请注意其配置和操作 必须使用许可证密钥激活您的产品以便接收更新 如果您未在安装期间执行此操作 您可以在更新 时输入许可证密钥以激活产品 从而访问 ESET 更新服务器 注意 您的许可证密钥在购买 ESET NOD32 Antivirus 后通过 ESET 发送电子邮件提供 上次成功更新 - 最近一次更新的日期 如果未看到最近的日期 则病毒库可能不是最新的 病毒库版本 - 病毒库编号 它也是指向 ESET 网站的活跃链接 单击可以查看在给定更新中添加的所有病毒库的列表 单击检查更新以检测 ESET NOD32 Antivirus 的最新可用版本 更新过程 单击立即更新后 即开始下载 屏幕上会显示下载进度条和剩余时间 要中断更新 请单击取消更新 53

54 重要信息 一般情况下 消息不需要更新 病毒库是最新的将显示在更新窗口中 如果不是这样 则表示程序不是最新的 且更容 易被感染 请尽快更新病毒库 以前的通知与下列有关不成功更新的两条病毒库更新以错误结束消息相关 1 无效的许可证 - 更新设置中输入了错误的许可证密钥 建议您检查验证数据 高级设置 窗口 从主菜单中单击设置 然 后单击高级设置 或按键盘上的 F5 键 包含其他更新选项 从主菜单中单击帮助和支持 > 更改许可证以输入新的许可 证密钥 2 下载更新文件时出错 - 此错误可能由不正确的 Internet 连接设置所导致 建议您检查 Internet 连接 方法是在 Web 浏览 器中打开任意网站 如果网站不打开 很可能未建立 Internet 连接 或者计算机存在连接问题 请与 Internet 服务提供 商 (ISP) 联系以确定您是否有活跃 Internet 连接 54

55 注意 有关详细信息 请访问此 ESET 知识库文章 431 更 新 设 置 在更新 > 基本下的高级设置树 (F5) 中 可以访问更新设置选项 此部分指定更新源信息 例如正在使用的更新服务器和这 些服务器的验证信息 常规 当前使用的更新配置文件显示在选定的配置文件下拉菜单中 若要创建新配置文件 请单击配置文件列表旁边的编辑 输 入您自己的配置文件名称 然后单击添加 如果您在尝试下载病毒库更新时遇到困难 请单击清除以清除临时更新文件 缓存 回滚 如果您怀疑病毒库和 或程序模块的新更新不稳定或损坏 可以回滚至以前版本并禁用设定时期内的更新 此外 您可以启用 先前禁用的更新 如果曾将其无限期推迟 ESET NOD32 Antivirus 记录病毒库和程序模块的快照以用于 回滚 功能 要创建病毒库快照 请保持创建更新文件快照开关 处于启用状态 本地存储的快照数量字段定义了存储的先前病毒库快照的数量 如果您单击回滚 块更新的时段 高级设置 (F5) > 更新 > 常规 则必须从下拉菜单中选择时间间隔 该间隔表示将暂停病毒库和程序模 为使更新正常下载 必须正确填写所有更新参数 如果使用防火墙 请确保您的 ESET 程序能与 Internet 通信 例如 HTTP 通信 基本 默认情况下 更新类型设置为定期更新 以确保更新文件将以最小的网络流量从 ESET 服务器自动进行下载 预发布更新 预发布更新选项 已经经过内部彻底测试 将很快公开提供 您可以通过获得最新检测方法和修补程序 从启用预发布更 新中获益 但是 预发布更新可能并不始终稳定 不得在需要最大程度可用性和稳定性的生产服务器和工作站上使用 55

56 禁用显示关于成功更新的通知 - 关闭屏幕右下角的系统托盘通知 如果正在运行全屏应用程序或游戏 选择此选项很有用 请注意 游戏模式将关闭所有通知 4311 更 新 配 置 文 件 对于各种更新配置和任务 可以创建更新配置文件 创建更新配置文件对于移动用户 这些用户需要备用配置文件以用于定期 更改的 Internet 连接属性 尤其有用 选定的配置文件下拉菜单显示当前选定的配置文件 默认情况下设置为我的配置文件 若要创建新配置文件 请单击配置 文件列表旁边的编辑 输入您自己的配置文件名称 然后单击添加 4312 高 级 更 新 设 置 高级更新设置选项包括更新模式和 HTTP 代理的配置 更 新 模 式 更新模式选项卡包含关于常规程序更新的选项 这些设置使您能够预定义在新病毒库或程序组件更新可用时的程序操作 程序组件更新包括新的功能或者对以前版本的功能作出更改 并且作为常规 病毒库 更新的一部分而包含在内 程序组件更 新安装完毕后 可能需要重新启动 可用设置包括 应用程序更新 - 启用后 将自动以静默方式执行每个程序组件升级 而无需进行完整的产品升级 下载更新之前询问 - 当该选项处于活动状态时 在安装之前 将显示通知并要求您确认任何可用更新的安装 询问更新文件是否大于 (k B ) - 如果更新文件大于此处指定的大小 在安装之前 将显示通知并要求您确认任何可用更新 的安装 H T T P 代 理 要访问给定更新配置文件的代理服务器设置选项 请单击高级设置树 (F5) 中的更新 然后单击 HTTP 代理 单击代理模式 下拉菜单并选择以下三个选项之一 不使用代理服务器 通过代理服务器连接 使用全局代理服务器设置 选择使用全局代理服务器设置可使用 高级设置 树的工具 > 代理服务器分支中已经指定的代理服务器配置选项 选择不使用代理服务器可指定不使用代理服务器来更新 ESET NOD32 Antivirus 在以下情况下应选择通过代理服务器连接选项 将使用不同于工具 > 代理服务器中定义的代理服务器来更新 ESET NOD32 Antivirus 在此配置中 应在代理服务器 地址中指定新代理的信息 通信端口 默认为 3128 以及代理服务器的用户名和密码 如果需要 代理服务器设置不会全局设置 但 ESET NOD32 Antivirus 将连接到代理服务器以进行更新 您的计算机通过代理服务器连接到 Internet 这些设置是在安装程序时从 Internet Explorer 获取的 但是如果设置发生 更改 例如 如果您更改 ISP 请确保在此窗口中列出的 HTTP 代理设置正确 否则程序将无法连接到更新服务器 代理服务器的默认设置为使用全局代理服务器设置 如果代理不可用 请使用直接连接 - 如果代理不可访问 将在更新期间绕过代理 注意 此部分中的用户名和密码字段特定于代理服务器 仅当访问代理服务器需要用户名和密码时才填写这些字段 这些字段中 不能填写您的 ESET NOD32 Antivirus 用户名和密码 仅当您知道通过代理服务器访问 Internet 需要填写密码时才应填 写 56

57 432 更 新 回 滚 如果您怀疑病毒库和 或程序模块的新更新不稳定或损坏 可以回滚至以前版本并禁用设定时期内的更新 此外 您可以启用 先前禁用的更新 如果曾将其无限期推迟 ESET NOD32 Antivirus 记录病毒库和程序模块的快照以用于 回滚 功能 要创建病毒库快照 请选中创建更新文件快照复选 框 本地存储的快照数量字段定义了存储的先前病毒库快照的数量 如果您单击回滚 高级设置 (F5) > 更新 > 常规 则必须从持续时间下拉菜单中选择时间间隔 该间隔表示将暂停病毒库 和程序模块更新的时段 选择直到调用可将常规更新无限期推迟 直到您手动恢复更新功能 因为它具有潜在安全风险 我们不建议选择此选项 如果执行回滚 回滚按钮将变为允许更新 不允许暂停更新下拉菜单选择的时间间隔内的任何更新 病毒库版本降级至最旧 版本 并作为快照存储在本地计算机文件系统中 注意 以 6871 作为病毒库最新版本 6870 和 6868 存储作为病毒库快照 在下载 6869 之前注意到 6869 现在不可用 例如 因 为计算机长时间关闭 并且有更新的更新可用 如果将本地存储的快照数量字段设置为 2 并单击回滚 病毒库 包括 程序模块 将恢复至版本号 6868 此过程需要一定时间 在 ESET NOD32 Antivirus 主程序窗口的更新部分检查病毒库版 本是否已降级 57

58 433 如 何 创 建 更 新 任 务 更新可以手动方式触发 方法是在主菜单中单击更新 在显示的主窗口中单击更新病毒库 更新还可以作为计划任务运行 要配置计划任务 请单击工具 > 计划任务 默认情况下 在 ESET NOD32 Antivirus 中会启 用以下任务 定期自动更新 拨号连接后自动更新 用户登录后自动更新 可以修改每个更新任务以满足您的需要 除了默认更新任务外 您还可以使用用户定义的配置创建新更新任务 有关创建和配 置更新任务的更多详细信息 请参见计划任务部分 44 工具 工具菜单包含的模块可帮助简化程序管理并为高级用户提供更多选项 单击更多工具可显示用于保护计算机的其他工具 441 E S E T N OD 32 A ntiv irus 中 的 工 具 此类工具 菜单包含的模块可帮助简化程序管理并为高级用户提供其他选项 58

59 此菜单包括下列工具 日志文件 防护统计 查看活动 运行进程 如果 ESET LiveGrid 已在 ESET NOD32 Antivirus 中启用 ESET SysInspector ESET SysRescue Live - 将您重定向到 ESET SysRescue Live 页面 您可以在其中下载 ESET SysRescue Live 映像 或适用于 Microsoft Windows 操作系统的 Live CD/USB Creator 计划任务 提交样本以供分析 - 允许您提交可疑文件供 ESET 研究实验室进行分析 单击此选项后显示的对话窗口将在此部分中进 行介绍 隔离区 注意 在 ESET 安全产品的较早版本中 ESET SysRescue 可能不适用于 Windows 8 在这种情况下 我们建议升级您的产品 或在其他版本的 Microsoft Windows 上创建 ESET SysRescue 磁盘 4411 日 志 文 件 日志文件包含关于已发生的重要程序事件的信息 并提供检测到的威胁的概述 日志记录是系统分析 威胁检测以及故障排除 的重要部分 日志记录在后台主动执行 无需用户交互 对信息的记录是根据当前日志级别设置进行的 可以直接从 ESET NOD32 Antivirus 环境以及归档日志中查看文本消息和日志 可从主程序窗口中访问日志文件 方法是依次单击工具 > 日志文件 从日志下拉菜单选择所需日志类型 可用日志包括 检测到的威胁 - 威胁日志提供有关 ESET NOD32 Antivirus 检测到的渗透的详细信息 日志信息包括检测时间 渗透 名称 位置 执行的操作以及检测到渗透时登录用户的名称 双击任何日志条目以在单独的窗口中显示其详细信息 事件 - ESET NOD32 Antivirus 执行的所有重要操作都记录在事件日志中 事件日志包含有关程序中发生的事件和错误 的信息 它为系统管理员和用户解决问题而设计 通常这里找到的信息可以帮助您找到程序中所发生问题的解决方案 计算机扫描 - 所有已完成的手动或计划扫描的结果显示在此窗口中 每一行对应一个计算机控件 双击任意条目可查 看相应扫描的详细信息 HIP S - 包含特定 HIPS 规则的记录 这些规则被标记为用于进行记录 该协议显示触发操作的应用程序 结果 规则 被允许还是被禁止 和规则名称 已过滤的网站 -此列表可用于查看被 Web 访问保护阻止的网站的列表 每个日志都包含时间 URL 地址 用户和创建 了到特定网站的连接的应用程序 设备控制 - 包含与计算机连接的可移动磁盘或设备的记录 只有具有相应设备控制规则的设备将记录到日志文件 如果 规则不匹配连接的设备 则不会创建所连接设备的日志条目 您还可以查看设备类型 序列号 供应商名称和磁盘大小 如果可用 等详细信息 选择任意日志的内容 然后按 Ct rl + C 来将其复制到剪贴板 按住 Ct rl 和 S hif t 可选择多个条目 单击 过滤可打开日志过滤窗口 您可以在该窗口中定义过滤条件 59

60 右键单击指定的记录来打开右键菜单 右键菜单中提供以下选项 显示 - 在新窗口中显示有关选中日志的更多详细信息 过滤相同的记录 - 激活此过滤器后 您将仅看到相同类型的记录 诊断 警告 过滤 查找 - 在单击此选项后 在日志中搜索窗口将允许您为特定日志条目定义过滤条件 启用过滤器 - 激活过滤器设置 禁用过滤器 - 清除所有过滤器设置 如上文所述 复制 全部复制 - 复制有关窗口中所有记录的信息 删除 全部删除 - 删除选定记录或显示的所有记录 此操作需要管理员权限 导出 - 以 XML 格式导出有关记录的信息 全部导出 - 以 XML 格式导出所有记录的信息 滚动日志 - 使此选项保持为启用状态以自动滚动旧日志 并在日志文件窗口中查看活动日志 日 志 文 件 可从主程序窗口访问 ESET NOD32 Antivirus 的日志记录配置 单击设置 > 进入高级设置 > 工具 > 日志文件 日志部分 用来定义如何管理日志 程序自动删除旧的日志以节省硬盘空间 您可以为日志文件指定以下选项 最低日志记录级别 - 指定要记录的事件的最低级别 诊断 - 记录微调程序所需的信息和以上所有记录 信息性 - 记录包括成功更新消息及以上所有记录在内的信息性消息 警告 - 记录严重错误和警告消息 错误 - 将记录类似 下载文件时出错 等错误和严重错误 严重 - 仅记录严重错误 启动病毒防护出错等 自动删除早于以下天数的记录字段中指定天数以前的日志条目将自动删除 自动优化日志文件 - 如果选中该选项 则碎片百分比高于如果未使用记录数超过(% )中指定的值后将自动整理日志文件碎 片 单击优化开始对日志文件进行碎片整理 在此过程中会删除所有空日志条目 这将提高性能和日志处理速度 尤其在日志包 含大量条目数时 可以感受到这种提高 启用文本协议支持采用不同于日志文件的其他文件格式存储日志 目标目录 - 将存储日志文件的目录 仅适用于文本 CSV 每个日志部分都具有其自己的文件 该文件具有预定义的文件 名 例如 如果您使用纯文本文件格式存储日志 则日志文件的检测到的威胁部分具有 virlogtxt 类型 - 如果您选择文本文件格式 日志将存储在文本文件中 并且数据将由制表符分隔 这也适用于由逗号分隔的 CS V 文件格式 如果您选择事件 则日志将存储在 Windows 事件日志 可以使用控制面板中的事件查看器进行查看 而非文件 中 删除所有日志文件 - 将擦除当前在类型下拉菜单中选定的所有存储日志 将显示关于成功删除这些日志的通知 注意 为了帮助更快地解决问题 ESET 会要求您提供计算机日志 ESET Log Collector 可使您轻松收集所需信息 有关 ESET Log Collector 的详细信息 请访问我们的 ESET 知识库文章 60

61 4412 运 行 进 程 运行进程显示计算机上运行的程序或进程 并保持 ESET 立刻持续获知新入侵 ESET NOD32 Antivirus 提供有关运行的进程 的详细信息 使用 ThreatSense 技术保护用户 进程 - 当前在计算机上运行的程序或进程的映像名称 要查看计算机上运行的所有进程 还可以使用 Windows 任务管理器 若要打开任务管理器 右键单击任务栏中的空白区域 然后单击任务管理器 或者按键盘上的 Ct rl+s hif t +E s c 风险级别 - 在大多数情况下 ESET NOD32 Antivirus 和 ThreatSense 技术使用一系列启发式规则检查每个对象的特性 然 后评估恶意活动的可能性 将风险级别指定给对象 文件 过程 注册表项等 基于这些启发式扫描 会向对象指派风险级 别 级别从 1 - 良好 绿色 到 9 - 危险 红色 注意 标记为良好 绿色 的已知应用程序肯定干净 在白名单中列出 将不进行扫描以提高性能 P ID - 进程标识符编号可用作各种函数调用中的参数 如调整进程的优先级 用户数量 - 使用给定应用程序的用户数量 此信息由 ThreatSense 技术收集 发现时间 - 自从应用程序被 ThreatSense 技术发现以来的时段 注意 标记为未知 橙色 的应用程序不一定是恶意软件 通常它是一个较新的应用程序 如果您对文件不确定 可以通过提交 文件以供分析 将文件提交到 ESET 研究实验室 如果文件被证实是一个恶意应用程序 则以后的更新中将增加它的检 测 应用程序名称 - 程序或进程的给定名称 在新窗口中打开 - 将在新窗口中打开运行进程的信息 61

62 单击某个应用程序可显示该应用程序的以下详细信息 路径 - 计算机上应用程序的位置 大小 - 以 B 字节 为单位的文件大小 说明 - 基于操作系统说明的文件特性 公司 - 供应商或应用程序进程的名称 版本 - 来自应用程序发布者的信息 产品 - 应用程序名称和 或企业名称 创建 修改时间- 创建 修改 的日期和时间 注意 您还可以检查不充当正在运行的程序 进程的文件的信誉 若要执行此操作 请右键单击它们并依次选择高级选项 > 检查 文件信誉 4413 防 护 统 计 要查看与 ESET NOD32 Antivirus 的防护模块相关的统计数据的图表 请单击防护状态 > 防护统计 从统计信息下拉菜单 中选择所需的保护模块可以查看相应的图表和图例 如果将鼠标移到图例中的项目上 则图表中将仅显示该项目的数据 以下统计图表可供使用 病毒和间谍软件防护 - 显示被感染对象和已清除对象的数量 文件系统防护 - 仅显示已读取或写入文件系统的对象 电子邮件客户端防护 - 仅显示电子邮件客户端发送或接收的对象 Web 访问和网络钓鱼防护 - 仅显示 Web 浏览器下载的对象 在统计图表下 可以看到扫描对象的总数 最近扫描的对象和统计时戳 单击重置以清除所有统计信息 62

63 4414 查 看 活 动 若要以图表方式查看当前文件系统活动 请依次单击工具 > 查看活动 图表的底部是时间线 用于实时记录选定时间范围 内的文件系统活动 若要更改时间范围 请从刷新率下拉菜单中进行选择 有以下选项可供使用 步进: 1 步进: 1 步进: 1 步进: 1 秒 - 图表每秒刷新一次 时间线范围为最后 10 分钟 分钟(最后 24 小时) - 图表每分钟刷新一次 时间线范围为最后 24 小时 小时(最后一个月) - 图表每小时刷新一次 时间线范围为最后一个月 小时(选定月份) - 图表每小时刷新一次 时间线范围为选定的最后 X 个月 文件系统活动图表的纵轴表示读取的数据 蓝色 和写入的数据 红色 两个值均以 KB 千字节 MB/GB 为单位 如 果将鼠标移到图表下方图例中的读取数据或写入数据的上方 图表将仅显示该活动类型的数据 4415 E S E T S y s Ins p e c to r ESET SysInspector 是一个可彻底检查计算机 收集有关系统组件 例如 驱动程序和应用程序 网络连接或重要注册表 项 的详细信息以及评估每个组件风险级别的应用程序 该信息有助于确定可能由于软硬件不兼容或恶意感染而导致出现可疑 系统行为的原因 SysInspector 窗口显示下列有关已创建的日志的信息 时间 注释 用户 状态 - 日志创建时间 - 简短注释 - 创建日志的用户的姓名 - 日志创建的状态 63

64 可用操作包括 显示 - 打开已创建的日志 还可以右键单击给定日志文件 然后在右键菜单中选择显示 比较 - 比较两个现有日志 创建 - 创建新日志 请在 ESET SysInspector 完成 日志状态将显示为 已创建 之前稍作等待 完成后再尝试访问日 志 删除 - 删除列表中选定的日志 当选中一个或多个日志文件时 右键菜单中的以下项将为可用 显示 - 在 ESET SysInspector 中打开选定日志 相当于双击日志 比较 - 比较两个现有日志 创建 - 创建新日志 请在 ESET SysInspector 完成 日志状态将显示为 已创建 之前稍作等待 完成后再尝试访问日 志 删除 - 删除列表中选定的日志 全部删除 - 删除所有日志 导出 - 将日志导出为 xml 文件或压缩的 xml 4416 计 划 任 务 计划任务管理和启动具有预定义配置和属性的计划任务 计划任务 可从 ESET NOD32 Antivirus 主程序窗口中单击工具 > 计划任务来访问 计划任务包含所有计划任务和配置属性 如预定义的日期 时间和使用的扫描配置文件 的列表 任务计划用于计划以下任务 病毒库更新 扫描任务 系统启动文件检查以及日志维护 您可以直接从主 计划任务 窗口中添 加或删除任务 单击底部的添加 或删除 在 计划任务 窗口中右键单击任意位置可执行以下操作 显示详细信息 立即执 行任务 添加新任务和删除现有任务 使用每个条目开头的复选框来启用 停用任务 默认情况下 计划任务中显示以下计划任务 日志维护 定期自动更新 拨号连接后自动更新 用户登录后自动更新 定期检查最新产品版本 参见更新模式 自动启动文件检查 用户登录后 自动启动文件检查 成功更新病毒库以后 要编辑现有计划任务 包括默认和用户定义的 的配置 请右键单击任务然后单击编辑 或选择要修改的任务然后单击编 辑 添加新任务 1 单击窗口底部的添加任务 2 输入任务的名称 64