設定惡意程式掃描

建立或編輯惡意程式掃瞄設定

• 在您建立惡意程式掃瞄設定後，您可以將其與政策或電腦中的掃瞄關聯（請參閱 選擇要執行的掃瞄類型）
• 當您編輯政策或電腦防護正在使用的惡意程式掃瞄配置時，變更將影響與該配置相關的掃瞄。

秘訣 要建立類似現有的惡意程式掃瞄設定，請複製現有設定並進行編輯。

• Real-time scan configuration: 控制即時掃瞄。某些操作如 Deny Access 僅適用於即時掃瞄配置。
• Manual/scheduled scan configuration: 控制手動或預約掃瞄。一些選項如 CPU 使用率 僅適用於手動/預約掃瞄配置。

1. 前往Policies → Common Objects → Other → Malware Scan Configurations。
2. 要建立掃瞄設定，請點選New，然後點選New Real-Time Scan Configuration或New Manual/Scheduled Scan Configuration。
   1. 請輸入名稱以識別掃瞄配置。當在政策中配置惡意程式掃瞄時，您會在列表中看到該名稱。
   2. （可選）輸入說明以解釋此配置的使用情境。
3. 要查看和編輯現有的掃瞄配置，請選擇它並點選Properties。
4. 要複製掃瞄配置，請選擇它並點選Duplicate。

秘訣 要查看使用惡意程式掃瞄配置的政策和電腦，請參閱屬性的 AssignedTo 標籤。

測試惡意程式掃描

1. 請確保即時掃瞄已啟動並選擇了一個配置。
2. 前往 EICAR 網站並下載他們的惡意程式防護測試檔案。這個標準化檔案將測試即時掃瞄的防毒能力。該檔案應被隔離。
3. 在 Server & Workload Security保護 主控台中，前往 Events & Reports → Anti-Malware Events 以驗證 EICAR 檔案偵測的記錄。如果有偵測記錄，則表示惡意程式防護即時掃描運作正常。

注意 在開始之前，請確保在測試手動/預約掃瞄之前已禁用即時掃瞄。

1. 前往Administration。
2. 點選 Scheduled tasks → New。
3. 從下拉選單中選擇Scan Computers for Malware並選擇頻率。根據您所需的規格完成掃瞄配置。
4. 前往 EICAR 網站並下載他們的惡意程式防護測試檔案。這個標準化檔案將測試手動/預約掃瞄的防毒能力。
5. 選擇預約掃瞄並點選Run Task Now。測試檔案應該被隔離。
6. 在 Server & Workload Security保護 主控台中，前往 Events & Reports → Anti-Malware Events 以驗證 EICAR 檔案偵測的記錄。如果偵測有被記錄，則惡意程式防護手動/預約掃瞄運作正常。

掃瞄特定類型的惡意程式

• 掃瞄文件以檢查漏洞
• 啟用 AMSI 保護（僅限即時掃描）
• 掃瞄間諜程式和可能的資安威脅程式
• 掃瞄壓縮的可執行檔案（僅限即時掃瞄）
• 掃瞄處理記憶體（僅限即時掃瞄）
• 掃瞄壓縮檔案
• 掃瞄內嵌的 Microsoft Office 物件

• 使用 Machine Learning 偵測新興威脅
• 增強的惡意程式防護和勒索軟體掃描，配合行為監控

掃瞄文件以檢測漏洞

注意 對於 macOS 代理程式，不支援掃描文件中的漏洞。

1. 打開惡意程式掃瞄配置的屬性。
2. 在 General 標籤下，於 Document Exploit Protection 中，選擇 Scan documents for exploits 並選擇以下其中一個選項：
   • Scan for exploits against known critical vulnerabilities only：僅檢測已知的重大弱點。此選項與 CVE 弱點攻擊類型相關聯。(請參閱 自訂惡意程式補救動作）。
   • Scan for exploits against known critical vulnerabilities and aggressive detection of unknown suspicious exploits：偵測更多問題，但也可能導致更多誤報。此選項與積極偵測規則弱點類型相關聯。（請參閱 自訂惡意程式補救動作）。
3. 點選 確定。

秘訣 如果在 Events & Reports → Events → Anti-Malware Events → Identified Files 頁面上檔案被識別為惡意程式，但您知道它不是惡意程式，您可以將其添加到 Document Exploit Protection Rule Exceptions 清單中，該清單位於電腦防護或政策編輯器的 Anti-Malware → Advanced 標籤中。要允許該檔案，請右鍵點選它，選擇 允許，並按照出現的精靈中的步驟操作。

啟用 Windows AMSI 保護（僅限即時掃描）

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤上，選擇Enable AMSI protection。
3. 點選 確定。

掃瞄間諜程式和可能的資安威脅程式

1. 打開惡意程式掃瞄配置的屬性。
2. 在General tab上，選擇Enable spyware/grayware protection。
3. 點選 確定。

掃瞄壓縮的可執行檔案（僅限即時掃瞄）

注意 由於 IntelliTrap 將此類檔案識別為安全風險，並且可能錯誤地封鎖安全檔案，當您啟用 IntelliTrap 時，請考慮將檔案隔離（而不是刪除或清理）。(請參閱 配置如何處理惡意程式。) 如果使用者經常交換即時壓縮的可執行檔案，請關閉 IntelliTrap。IntelliTrap 使用病毒掃瞄引擎、IntelliTrap 病毒碼和 IntelliTrap 例外病毒碼。

注意 對於 macOS 代理程式，不支援 IntelliTrap。

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤上，選擇Enable IntelliTrap。
3. 點選 確定。

掃瞄處理記憶體（僅限即時掃瞄）

注意 對於 macOS 代理程式，不支援掃描處理記憶體。

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤上，選擇Scan process memory for malware。
3. 點選 確定。

掃瞄壓縮檔案

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced標籤上，選擇Scan compressed files。
3. 指定要提取的內容檔案的最大大小（以MB為單位）、要掃瞄的壓縮層級以及要提取的檔案最大數量。
4. 點選 確定。

掃瞄嵌入的 Microsoft Office 物件

注意 對於 macOS 代理程式，不支援掃描嵌入的 Microsoft Office 物件。

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced tab上，選擇Scan Embedded Microsoft Office Objects。
3. 指定要掃瞄的 OLE 層數。
4. 點選 確定。

啟用通知應用程式的手動掃瞄

• 從電腦防護編輯器或政策編輯器中，點選惡意程式防護標籤。
• 點選General水平標籤。
• 在手動掃瞄部分，點選以選取Allow agent to trigger or cancel a manual scan from Trend Micro's notifier application的核取方塊。

指定要掃瞄的檔案

• 包含項目
• 排除項目
• 掃瞄網路目錄（僅限即時掃瞄）

包含項

• 所有檔案
• 由 IntelliScan 識別的檔案類型。IntelliScan 只掃瞄易受感染的檔案類型，例如 .zip 或 .exe。IntelliScan 不依賴副檔名來判斷檔案類型，而是通過讀取檔案的標頭和內容來決定是否應該掃瞄。與掃瞄所有檔案相比，IntelliScan 減少了掃瞄的檔案數量並提高了效能。
• 具有包含在指定列表中的檔案名稱副檔名的檔案：副檔名列表使用具有特定語法的模式。（請參閱 副檔名列表的語法。）

1. 打開惡意程式掃瞄配置的屬性。
2. 點選Inclusions標籤。
3. 要指定要掃瞄的目錄，請選擇All directories或Directory List。
4. 如果您選擇了Directory List，請從下拉選單中選擇現有的列表或選擇New來創建一個。
5. 要指定要掃瞄的檔案，請選擇 All files、File types scanned by IntelliScan 或 File Extension List。
6. 如果您選擇了File Extension List，請從下拉選單中選擇現有的列表或選擇New來創建一個。
7. 點選 確定。

排除項目

• 如果您正在為 Microsoft Exchange 伺服器建立惡意程式掃瞄設定，請排除 SMEX 隔離資料夾，以避免重新掃瞄已確認為惡意程式的檔案。
• 如果您有大型 VMware 映像檔，若遇到效能問題，請排除包含這些映像檔的目錄。

秘訣 您也可以將由受信任的數位憑證簽署的檔案排除在惡意程式防護掃描之外。此類排除項目在政策或電腦防護設定中定義。（請參閱 排除由受信任憑證簽署的檔案。）

1. 打開惡意程式掃瞄配置的屬性。
2. 點選Exclusions標籤。
3. 指定要排除的目錄：
   1. 選擇Directory List。
   2. 選擇目錄列表或選擇New來創建一個。（請參閱目錄列表語法。）
   3. 如果您建立了一個目錄列表，請在目錄列表中選擇它。
4. 同樣地，指定要排除的檔案清單、檔案副檔名清單和處理影像檔案清單。（請參閱 檔案清單語法、檔案副檔名清單語法 和 處理影像檔案清單語法（僅限即時掃描）。）
5. 點選 確定。

測試檔案排除

注意 在開始之前，請確保即時掃瞄已啟動並選擇了一個配置。

1. 前往Policies → Common Objects → Other → Malware Scan Configurations。
2. 點選 New → New Real-time Scan Configuration。
3. 前往Exclusions標籤，並從目錄列表中選擇New。
4. 命名目錄清單。
5. 在目錄下指定您想要排除在掃瞄之外的目錄路徑。例如，c:\Test Folder\。點選OK。
6. 前往General tab，命名手動掃瞄，然後點選確定。
7. 前往 EICAR 網站 並下載他們的惡意程式防護測試檔案。將檔案儲存在前一步驟中指定的資料夾中。該檔案應被儲存且不被惡意程式防護模組檢測到。

目錄列表的語法

注意 目錄列表項目接受正斜杠 "/" 或反斜杠 "\" 以支援 Windows 和 Linux 規範。

c:\abc #Exclude the abc directory

檔案清單的語法

        Matches:
         ac.ap  a123c.ap  ac.a456p  a123c.a456p Does not match: ad.aa</td>
</tr>
<tr>
    <td>Environment variable</td>
    <td>${ENV VAR}</td>
    <td>Excludes files specified by an environment variable with the format ${ENV VAR}. These can be defined or overridden using <term>Policy or Computer Editor &gt; Settings &gt; General &gt; Environment Variable Overrides.</term></td>
    <td>
        <term>
            ${myDBFile}
        </term>
         Excludes the file "myDBFile".</td>
</tr>
<tr>
    <td>Comments</td>
    <td>FILEPATH #Comment</td>
    <td>Adds a comment to your exclusion definitions.</td>
    <td>
        <codeblock>C:\Documents\abc.doc #This is a comment
    </codeblock>
    </td>
</tr>

檔案副檔名列表的語法

doc #This a comment

處理影像檔案列表的語法（僅限即時掃描）

掃瞄網路目錄（僅限即時掃瞄）

注意 透過 GVFS（適用於 GNOME 桌面的虛擬檔案系統）在 "~/.gvfs" 中存取的資源將被視為本地資源，而非網路磁碟機。

注意 如果在掃描 Windows 的網路資料夾時檢測到病毒，代理程式可能會顯示一些「清除失敗」（刪除失敗）事件。

指定即時掃描發生的時間

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced標籤上，選擇即時掃瞄屬性的一個選項。
3. 點選 確定。

配置如何處理惡意程式

• 自訂惡意程式修復動作
• 生成惡意程式檢測警報

自訂惡意程式修復動作

• Pass: 允許完全存取中毒檔案而不對檔案進行任何操作。（仍會記錄惡意程式防護事件。）

  注意 暫不處理 的補救措施絕不應用於可能的病毒。

• Clean: 在允許完全存取之前清除中毒檔案。如果無法清除該檔案，則將其隔離。
• Delete:在 Linux 上，中毒檔案會被刪除且不會備份。
  在 Windows 上，中毒檔案會先備份然後刪除。Windows 備份檔案可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。
• Deny Access:此中毒處理行動只能在即時掃描期間執行。當Server & Workload Security保護偵測到嘗試開啟或執行中毒檔案時，會立即阻止該操作。中毒檔案將保持不變。當觸發拒絕存取行動時，中毒檔案會保留在其原始位置資訊。

  注意 當 即時掃瞄 設定為 During Write 時，請勿使用補救措施 Deny Access。當選擇 During Write 時，檔案在寫入時會被掃描，並且動作 Deny Access 無效。

• Quarantine:將中毒檔案移至電腦防護或虛擬裝置上的隔離目錄。隔離的檔案可以在Events & Reports → Events → Anti-Malware Events → Identified Files中查看和還原。

  注意 在 Linux 上標記為 Quarantined 的惡意程式在 Windows 上可能會標記為 Deleted，儘管這兩個作業系統上的惡意程式是相同的。在任何情況下，該檔案都可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。

  注意 在 Windows 上，中毒的非壓縮檔案（例如 .txt 檔案）會被隔離，而中毒的壓縮檔案（例如 .zip 檔案）會被刪除。在 Windows 上，無論是被隔離或刪除的檔案都有備份，可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。在 Linux 上，所有中毒的檔案（無論是壓縮或非壓縮）都會被隔離，並且可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。

注意 對於 macOS 代理程式，支援的自訂動作包括病毒、木馬和間諜程式。

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced標籤上，為Remediation Actions選擇Custom。
3. 指定要採取的動作：
   • 若要讓 ActiveAction 決定要採取的動作，請選擇 Use action recommended by ActiveAction。
   • 要為每種類型的弱點指定操作，請選擇Use custom actions，然後選擇要使用的操作。
4. 指定對可能的惡意程式採取的動作。
5. 點選 確定。

ActiveAction 動作

注意 當代理程式從主動式更新伺服器或中繼站下載病毒碼更新時，可能會更改其 ActiveAction 掃瞄動作。

生成惡意程式檢測警報

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤上，為警訊選擇Alert when this Malware Scan Configuration logs an event。
3. 點選 確定。

通過檔案雜湊摘要識別惡意程式檔案

1. 打開您要配置的策略或電腦防護編輯器。
2. 點選 Anti-Malware → Advanced。
3. 在File Hash Calculation下，清除Default或Inherited複選框。（Default顯示於根策略，Inherited顯示於子策略）。

   注意 當選取Inherited時，檔案雜湊設定會從目前策略的父策略繼承。

   注意 當選擇Default時，Server & Workload Security保護不會計算任何雜湊值。

4. 選擇Calculate hash values of all anti-malware events。
5. 預設情況下，Server & Workload Security保護 將生成 SHA-1 雜湊值。如果您想生成其他雜湊值，您可以選擇 MD5 和/或 SHA256。
6. 您也可以更改將計算雜湊值的惡意程式檔案的最大大小。預設情況下，會跳過大於 128MB 的檔案，但您可以將該值更改為 64 到 512 MB 之間的任何值。

在電腦防護上配置通知

1. 前往電腦防護或政策編輯器。
2. 點選左側的設定。
3. 將 Suppress all pop-up notifications on host 設定為 是。這些訊息仍會在 Server & Workload Security保護 中顯示為警報或事件。欲了解有關通知器的詳細資訊，請參閱 通知器。

當 Server & Workload Security保護 無法存取時執行預約掃瞄

注意 此功能在 Windows 上的 20.0.3445+ 版本代理中受支持。

1. 前往電腦防護或政策編輯器。
2. 在左側點選惡意程式防護。
3. 在 General 標籤上，選擇預約掃瞄 Enable agent to trigger scheduled scan for malware。

注意 當勾選此核取方塊時： Run Task Now 按鈕在 Scheduled Tasks 頁面上將對此代理停用。 Server & Workload Security保護 管理員在代理程式離線時不會主動排隊任何預約掃瞄任務。

疑難排解

1. 如果電腦關機，當電腦重新啟動時，預約掃瞄可能因超時而無法觸發。
2. 如果在預約掃瞄期間電腦關機，當電腦重新啟動時，中斷的預約掃瞄將不會繼續。