Configuration de la surveillance des comportements

Procédure

1. Accédez à l'écran Configurer une stratégie en effectuant l'une des actions suivantes :
   • Mode Classique : accédez à SECURITY AGENT et sélectionnez un groupe. Cliquez sur → Configurer une stratégie.
   • Mode Avancé : accédez à STRATÉGIES → Gestion des stratégies. Cliquez sur Ajouter ou cliquez sur une stratégie existante.
2. Cliquez sur Windows.
3. Accédez à Surveillance des comportements.
4. Sous Surveillance des comportements, activez cette fonction et configurez les paramètres requis.
5. Dans la section Blocage de comportement de programme malveillant, activez cette fonction et spécifiez les types de menaces à bloquer.
   • Bloquer les menaces connues et potentielles: bloque les comportements associés à des menaces connues et prend des mesures en cas de détection d'un comportement potentiellement malveillant
   • Bloquer les menaces connues: bloque les comportements associés à des menaces connues liées à des programmes malveillants.
6. Dans la section Protection contre les logiciels de rançon, sélectionnez les fonctions que vous souhaitez activer pour vous protéger contre ce type de menace.
   • Protéger des documents contre toute opération de chiffrement ou de modification non autorisée : Empêche les menaces potentielles de logiciels de rançon de chiffrer ou de modifier le contenu de documents
     • Sauvegarder et restaurer automatiquement les fichiers modifiés par des programmes suspects : crée des copies de sauvegarde de fichiers chiffrés sur des Endpoints afin d'éviter toute perte de données après détection d'une menace de logiciel de rançon

       Remarque La sauvegarde automatique des fichiers nécessite au moins 100 Mo d'espace disque sur l'endpoint de l'agent et ne sauvegarde que les fichiers d'une taille inférieure à 10 Mo.

   • Bloquer les processus généralement associés à des logiciels de rançon : Bloque les processus associés à des menaces de logiciels de rançon avant qu'ils ne puissent effectuer un chiffrement ou une modification de documents
   • Activer l'inspection des programmes afin de détecter et de bloquer les fichiers exécutables compromis : L'inspection des programmes surveille les processus et effectue un accrochage aux API pour déterminer si un programme se comporte de façon inattendue. Bien que cette procédure augmente le taux de détection globale de fichiers exécutables compromis, cela peut entraîner une diminution des performances système.
7. Sous Protection contre les exploitations, activez Arrêter les programmes qui présentent un comportement anormal associé à des attaques par exploitation pour protéger contre les programmes potentiellement exploités.
8. Sous Protection Intuit QuickBooks, activez Empêcher les modifications non autorisées sur les fichiers et dossiers QuickBooks pour protéger l'ensemble des fichiers et des dossiers Intuit QuickBooks de toute modification non autorisée par d'autres programmes. Cette fonction n'affecte pas les modifications apportées à partir des programmes Intuit QuickBooks.
   Les produits suivants sont pris en charge :

   • QuickBooks Simple Start
   • QuickBooks Pro
   • QuickBooks Premier
   • QuickBooks Online

   Remarque Tous les fichiers exécutables Intuit ont une signature numérique et les mises à jour de ces fichiers ne seront pas bloquées. Si d'autres programmes tentent de modifier les fichiers binaires Intuit, l'agent affiche un message avec le nom du programme qui tente de les mettre à jour. D'autres programmes peuvent être autorisés à mettre à jour des fichiers Intuit. Pour ce faire, ajoutez le programme requis à la liste d'exception de la surveillance des comportements sur l'agent. Veillez bien à supprimer le programme de la liste d'exceptions après la mise à jour.

9. Dans la section Surveillance des événements :
   1. Activer la surveillance des événements.
   2. Cliquez sur pour développer une liste des événements du système sous Spécifier les événements du système surveillés.
   3. Choisissez les événements du système à surveiller et sélectionnez une action pour chacun de ces événements.
      Pour obtenir des informations sur les événements du système surveillés et les actions correspondantes, voir Surveillance des événements.
10. Cliquez sur Enregistrer.