تنظیمات آنتی ویروس نود ۳۲ برای جلوگیری از نفوذ به سیستم HIPS

آنتی ویروس نود ۳۲ یکی از آنتی ویروس های قدرتمند کامپیوتر در زمینه تشخیص نفوذ و حملات سایبری محسوب می شود. خرید آنتی ویروس نود ۳۲ به شما اجازه می دهد با استفاده از قابلیت HIPS سیستم خود را در برابر انواع نفوذ، فعالیت های مشکوک و تلاش بعضی برنامه ها برای نقض امنیت محافظت کنید. قیمت آنتی ویروس نود ۳۲ به خصوص برای کاربران ایرانی مناسب است و آن ها می توانند لایسنس این آنتی ویروس را با پرداخت هزینه ای کم تهیه کنند.

تنظیمات Host Intrusion Prevention System (HIPS) آنتی ویروس نود ۳۲

آنتی ویروس nod32 با قابلیت HIPS یا سیستم پیشگیری از نفوذ میزبان، از کامپیوتر شما در برابر بدافزارها و فعالیت های مشکوکی که تاثیر منفی بر امنیت سیستم دارند محافظت می کند. قابلیت HIPS آنالیز رفتاری پیشرفته را به همراه قابلیت های فیلترینگ شبکه به کار می گیرد تا بر فرایندهای در حال اجرا، فایل ها و کلیدهای رجیستری نظارت کند. HIPS قابلیت جداگانه ای از سیستم حفاظت بلادرنگ یا Real-time protection محسوب می شود و همچنین یک فایروال نیست، بلکه فقط بر فرایندهای در حال اجرا روی سیستم عامل نظارت می کند.

برای دسترسی به تنظیمات HIPS در آنتی ویروس نود ۳۲، باید از پنجره اصلی برنامه مسیر زیر را دنبال کنید:

Advanced setup (F5) > Detection engine > HIPS > Basic

همچنین برای اطلاع از فعال بودن این ویژگی می توانید از پنجره اصلی برنامه روی Setup کلیک و قسمت Protection را مشاهده کنید.

تنظیمات اصلی Basic

• Enable HIPS: در آنتی ویروس نود ۳۲ قابلیت HIPS به طور پیش فرض فعال است. غیرفعال کردن این آپشن، ویژگی های دیگر HIPS مانند Exploit Blocker یا مسدودکننده اکسپلویت را غیرفعال می کند.
• Enable Self-Defense: آنتی ویروس ESET nod32 از تکنولوژی Self-Defense به عنوان بخشی از قابلیت HIPS برای جلوگیری از نرم افزارهای مخربی که قصد غیرفعال کردن آنتی ویروس و حفاظت ضد جاسوس افزار را دارند استفاده می کند. تکنولوژی Self-Defense از فرایندهای مهم سیستم، کلیدهای رجیستری و فایل ها در برابر دستکاری شدن محافظت می کند.
• Enable Protected Service: حفاظت را برای سرویس ESET فعال می کند. وقتی این گزینه فعال باشد، سرویس به عنوان یک پنجره حفاظت شده شروع به کار می کند و دفاع در برابر حملات بدافزارها را انجام می دهد. این آپشن فقط در ویندوز ۸.۱ به بعد در دسترس است.
• Enable Advanced memory scanner: در ترکیب با Exploit Blocker برای تقویت حفاظت در برابر بدافزارهایی که به صورتی طراحی شده اند که از تشخیص نرم افزارهای آنتی ویروس دور بمانند، کاربرد دارد. اسکنر حافظه پیشرفته به صورت پیش فرض فعال است.
• Enable Exploit Blocker: طراحی شده برای تقویت انواع برنامه های کاربردی که معمولا مورد حمله قرار می گیرند مانند مرورگرهای وب، سرویس های ایمیل و برنامه های آفیس. قابلیت Exploit Blocker به صورت پیش فرض فعال است.

بررسی رفتاری عمیق Deep Behavioral Inspection

با فعالسازی گزینه Enable Deep Behavioral Inspection لایه حفاظتی دیگری به عنوان قسمتی از ویژگی HIPS شروع به کار می کند. این افزونه HIPS رفتار تمام برنامه های در حال اجرا در کامپیوتر را تجزیه و تحلیل می کند و در صورتی که رفتار مخرب تشخیص داده شود، به شما هشدار می دهد. اگر می خواهید برنامه یا فرایندی را از این بررسی رفتاری مستثنی کنید، این کار با کلیک روی گزینه Exclusions امکانپذیر است.

سپر باج افزار Ransomware shield

سپر باج افزار آنتی ویروس نود ۳۲ یکی دیگر از لایه های حفاظتی است که به عنوان بخشی از ویژگی HIPS کار می کند. برای اینکه سپر باج افزار کار کند، باید گزینه ESET LiveGrid reputation system در تنظیمات آنتی ویروس روشن باشد.

حالت فیلتر یا Filtering mode

این حالت را می توان با توجه به آپشن های زیر که در منوی کشویی هستند تنظیم کرد:

• Automatic mode: عملیات ها به استثنای مواردی که به وسیله قوانین از پیش تعریف شده برای محافظت از سیستم مسدود شده اند، فعال خواهند شد.
• Smart mode: کاربر فقط در مورد رویدادهای بسیار مشکوک مطلع می شود.
• Interactive mode: تمام عملیات هایی که به وسیله قانون خاصی مجاز نشده اند را مسدود می کند.
• Learning mode: عملیات ها فعال می شوند و پس از هر عملیات، یک قانون ایجاد می گردد. این قوانین در قسمت HIPS rules editor یا ویرایشگر قوانین HIPS قابل مشاهده هستند. این حالت فقط برای مدت محدودی فعال می شود و پس از آن باید قوانین را ویرایش کنید.

همچنین گزینه ای به نام Mode set after learning mode expiration وجود دارد که به شما اجازه می دهد حالت فیلتر بعد از منقضی شدن Learning mode را از پیش تعیین کنید.

سیستم HIPS آنتی ویروس نود ۳۲ رویدادهای داخل سیستم عامل را تحت نظر می گیرد و بر اساس قوانین مشابهی که به وسیله فایروال استفاده می شوند، واکنش نشان می دهد. با کلیک روی گزینه Edit در کنار Rules می توانید ویرایشگر قوانین HIPS را باز کنید. امکان انتخاب، ویرایش، افزودن و حذف قوانین وجود دارد.

پنجره تعاملی HIPS در تنظیمات آنتی ویروس نود ۳۲

پنجره اعلان HIPS آنتی ویروس nod32 به شما امکان می دهد یک قانون جدید بر اساس اقداماتی که HIPS تشخیص می دهد و تعریف می کند، ایجاد نمایید. قوانینی که از طریق این پنجره ایجاد می شوند، معادل قوانین ایجاد شده به صورت دستی در نظر گرفته می شوند.

در قسمت اقدامات که در پایین پنجره قرار دارد، اگر اقدام پیش فرض روی گزینه Ask every time تنظیم شود، هر بار که قانون به وسیله رویدادی فعال گردد، یک پنجره برای کاربر نمایش داده می شود و از او می خواهد یکی از گزینه های Allow اجازه دادن یا Deny رد کردن را انتخاب کند.

گزینه Remember until application quits اقدام مورد نظر را تا زمانی که تغییری در قوانین، حالت فیلتر، آپدیت ماژول HIPS یا ریستارت سیستم انجام شود راه اندازی می کند. همچنین گزینه Create rule and remember permanently یک قانون HIPS جدید ایجاد می کند که می تواند بعدا در تنظیمات تغییر یابد.

اگر می خواهید ببینید چه برنامه یا فرایندی قانون را تحریک کرده است، روی گزینه Details در پایین پنجره کلیک کنید. همچنین با کلیک روی گزینه Advanced options می توانید به تنظیمات پارامترهای قانون دسترسی پیدا کنید.

در صورتی که در قسمت اقدامات گزینه Create rule and remember permanently را انتخاب کرده باشید، آپشن های زیر در دسترس خواهند بود:

• Create a rule valid only for this application: این آپشن قانون را فقط برای اپلیکیشن مربوط ایجاد می کند. اگر تیک باکس گزینه را بردارید، قانون برای تمامی برنامه های اعمال می شود.
• Only for operation: فایل قانون/ اپلیکیشن/ عملیات رجیستری را انتخاب کنید.
• Only for target: فایل قانون/ اپلیکیشن/ اهداف رجیستری را انتخاب کنید.

تشخیص باج افزارهای بالقوه در آنتی ویروس nod32

آنتی ویروس ESET nod32 وقتی یک فرایند یا رفتار مشکوک به باج افزار را شناسایی کند، یک پنجره تعاملی را نمایش خواهد داد. شما می توانید گزینه Allow اجازه دادن یا Deny نادیده گرفتن را انتخاب کنید. همچنین برای مشاهده پارامترهای خاص تشخیص، می توانید روی گزینه Details در پایین پنجره کلیک کنید.

مدیریت قوانین HIPS در آنتی ویروس nod32

آنتی ویروس کامپیوتر نود ۳۲ دارای لیستی از قوانین از پیش تعریف شده به وسیله کاربر و قوانین ایجاد شده به صورت اتوماتیک برای سیستم HIPS می باشد. این لیست شامل اجزای زیر می شود:

ستون ها Columns

• Rule: نام قانون ایجاد شده.
• Enabled: اگر می خواهید قانون مورد نظر را در لیست نگه دارید، اما از آن استفاده نکنید، اسلایدر این گزینه را غیرفعال نمایید.
• Action: هر قانون یک اقدام را مشخص می کند. Allow، Block یا Ask که در شرایط مرتبط نمایش داده می شوند.
• Sources: قانون فقط زمانی مورد استفاده قرار می گیرد که به وسیله برنامه یا برنامه های موجود در این قسمت فعال شود.
• Targets: قانون فقط زمانی مورد استفاده قرار می گیرد که عملیات مرتبط با یک فایل خاص، برنامه یا ورودی رجیستری در این قسمت باشد.
• Logging severity: اگر این آپشن را فعال کنید، اطلاعات در مورد قانون انتخاب شده در قسمت HIPS log نوشته می شوند.
• Notify: یک پنجره کوچک پاپ آپ وقتی قانون مورد هدف قرار می گیرد، در گوشه سمت راست صفحه نمایش داده می شود.

عناصر کنترل Control elements

• Add: ایجاد یک قانون جدید.
• Edit: ویرایش ورودی ها.
• Delete: حذف کردن ورودی ها.

اولویت قوانین HIPS

در واقع آپشنی برای تنظیم سطح اولویت قوانین HIPS با استفاده از دکمه های بالا/ پایین وجود ندارد.

• تمام قوانینی که ایجاد می کنید، اولویت یکسانی دارند.
• هر چه قانون خاص تر باشد، اولویت بیشتری دارد. برای مثال، قانون برای یک برنامه خاص اولویت بالاتری نسبت به قانون ایجاد شده برای تمام برنامه ها دارد.
• سیستم HIPS دارای قوانین دارای اولویت بالاتری است که برای کاربر قابل دسترس نیستند. برای مثال، می توان به قوانین تعریف شده Self-defense اشاره کرد.
• قانونی که ایجاد می کنید و ممکن است سیستم عامل را با کندی یا توقف مواجه کند اجرا نمی شود و در کمترین اولویت قرار دارد.

ویرایش یک قانون HIPS در تنظیمات نود ۳۲

اگر می خواهید یک قانون HIPS را ویرایش کنید، بهتر است ابتدا با کاربرد ستون ها که به آن ها اشاره کردیم آشنا شوید. هر قانون شامل بخش هایی است که شرایط ایجاد کننده را توصیف می کنند، از جمله:

• Source applications: قانون فقط زمانی استفاده خواهد شد که به وسیله برنامه یا برنامه های موجود در این قسمت فعال شود. می توانید از منوی کشویی، برنامه های خاص را انتخاب و روی Add کلیک کنید تا اضافه شوند. همچنین امکان انتخاب تمام برنامه ها از منوی کشویی وجود دارد.
• Target files: قانون فقط زمانی استفاده خواهد شد که مرتبط با اهداف و فایل های تعیین شده باشد. فایل های خاص را می توانید از منوی کشویی انتخاب کنید. همچنین امکان افزودن تمام فایل ها به عنوان اهداف وجود دارد.
• Registry entries: قانون فقط زمانی استفاده خواهد شد که عملیات مرتبط با این هدف باشد. امکان انتخاب ورودی های خاص از طریق منوی کشویی وجود دارد. همچنین می توانید با کلیک روی Open Registry Editor یک کلید از رجیستری سیستم را انتخاب کنید.

عملیات فایل File operations

• Delete file: برنامه درخواست مجوز برای حذف فایل هدف می کند.
• Write to file: برنامه درخواست مجوز برای نوشتن فایل هدف می کند.
• Direct access to disk: برنامه تلاش می کند به روشی غیر استاندارد که روندهای رایج ویندوز را دور می زند، شروع به خواندن دیسک یا نوشتن روی آن نماید. این عملیات ممکن است به وسیله بدافزاری که قصد فرار از شناسایی دارد ایجاد شده باشد. در واقع نرم افزار پشتیبان تلاش می کند یک کپی دقیق از دیسک تهیه کند یا مدیر پارتیشن تلاش می کند پارتیشن های دیسک را دوباره سازماندهی کند.
• Install global hook: به فراخوانی تابع SetWindowsHookEx از کتابخانه MSDN library اشاره دارد.
• Load driver: نصب و بارگذاری درایورها روی سیستم.

عملیات برنامه Application operations

• Debug another application: اتصال یک اشکال زدا یا debugger به فرایند. هنگام اشکال زدایی یک برنامه، می توان جزئیات زیادی از رفتار آن را مشاهده و اصلاح کرد و به داده های آن دسترسی داشت.
• Intercept events from another application: برنامه منبع در حال تلاش برای دریافت اطلاعات از رویدادهای یک نرم افزار هدف است. برای مثال، یک کی لاگر تلاش می کند رویدادهای مرورگر را ضبط کند.
• Terminate/suspend another application: تعلیق، از سر گیری یا پایان دادن به یک فرایند.
• Start new application: شروع کردن برنامه ها یا فرایندهای جدید.
• Modify state of another application: برنامه منبع در حال تلاش برای نوشتن روی حافظه نرم افزارهای هدف یا اجرای کد بر اساس رفتار خودش است. این قابلیت ممکن است برای حفاظت از یک برنامه خاص با پیکربندی آن به عنوان نرم افزار هدف مفید باشد.

عملیات رجیستری Registry operations

• Modify startup settings: هر گونه تغییر در تنظیمات که مشخص می کند کدام برنامه ها در هنگام راه اندازی ویندوز اجرا می شوند. این موارد را می توان با جستجوی Run key در رجیستری ویندوز پیدا کرد.
• Delete from registry: حذف یک کلید رجیستری یا مقدار آن.
• Rename registry key: تغییر نام کلید رجیستری.
• Modify registry: ایجاد مقادیر جدید برای کلیدهای رجیستری، تغییر مقادیر موجود، انتقال داده ها در درخت دیتابیس یا تنظیم حقوق کاربر یا گروه برای کلیدهای رجیستری.

افزودن مسیر برنامه یا رجیستری برای HIPS

آنتی ویروس nod32 امکان افزودن مسیر برنامه ها یا کلیدهای رجیستری را برای سیستم HIPS فراهم می کند. این کار با کلیک روی آیکون سه نقطه و انتخاب مسیر فایل برنامه امکانپذیر است. اگر یه پوشه را انتخاب کنید، تمام برنامه های موجود در آن اضافه می شوند.

همچنین گزینه Open Registry Editor ویرایشگر رجیستری ویندوز یا regedit را باز می کند. هنگام افزودن مسیر رجیستری باید مکان درست را در فیلد وارد نمایید.

نمونه های مسیر فایل یا رجیستری:

C:\Program Files\Internet Explorer\iexplore.exe

HKEY_LOCAL_MACHINE\system\ControlSet

تنظیمات پیشرفته HIPS

تنظیمات پیشرفته HIPS در آنتی ویروس نود ۳۲ دسترسی به آپشن های زیر را برای اشکال زدایی و آنالیز رفتار برنامه ها فراهم می کنند:

• Drivers always allowed to load: درایورهای لیست شده همیشه مجاز به بارگیری بدون در نظر گرفتن حالت فیلتر پیکربندی شده هستند، مگر اینکه به صراحت توسط قانون کاربر مسدود شده باشند. امکان استفاده از گزینه های Add، Edit، Delete و Reset برای مدیریت درایورها وجود دارد.
• Log all blocked operations: تمام عملیات های مسدود شده در HIPS log یا گزارشات HIPS نوشته می شوند. از این ویژگی فقط هنگام عیب یابی یا درخواست پشتیبانی فنی ESET استفاده کنید. چرا که ممکن است یک فایل گزارش بزرگ ایجاد کند و سرعت کامپیوتر را برای مدتی کاهش دهد.
• Notify when changes occur in Startup applications: هر بار که یک برنامه به لیست استارتاپ یا اجرا هنگام راه اندازی سیستم اضافه یا از آن حذف می شود، یک اعلان دسکتاپ نمایش داده خواهد شد.

جمع بندی

آنتی ویروس نود ۳۲ دارای سیستم پیشگیری از نفوذ میزبان پیشرفته ای است که امکانات سفارشی سازی متعددی را در اختیار کاربران قرار می دهد. این قابلیت کمک زیادی به شناسایی و مسدودسازی بدافزارها و حملات پیشرفته که قصد نفوذ به سیستم را دارند می کند. البته پیشنهاد می شود اگر کاربر حرفه ای نیستید، از دستکاری تنظیمات یا افزودن قوانین جدید خودداری کنید تا سطح حفاظتی آنتی ویروس حفظ شود.