Съвети за усъвършенствани инструменти за подобряване на смекчаването на Microsoft (EMET)
- Категория: Уроци
Microsoft Enhanced Mitigation Experience Toolkit, кратко EMET, е незадължително изтегляне за всички поддържани клиентски и сървърни версии на операционната система Windows на Microsoft, което добавя смекчаване на експлоатацията към защитните сили на системата.
По принцип той е създаден, за да предотврати успешното извършване на атаки, ако те вече са нарушили защитните системи, като например антивирусни решения.
излъчва е лесна за инсталиране и изтича извън кутията, но за да извлечете максимума от програмата, трябва да отделите време, за да я опознаете и конфигурирате.
Тази статия ви предоставя съвети как да извлечете максимума от EMET.
1. Защита на важни процеси
EMET защитава основните Microsoft и шепа процеси на трети страни само след инсталирането. Въпреки че това се грижи за програми като Java, Adobe Acrobat, Internet Explorer или Excel, тя няма да защити програми, които сте инсталирали ръчно, като Firefox, Skype или Chrome.
Въпреки че теоретично е възможно да добавите всичките си програми към EMET, вместо това можете да помислите дали към приложението да добавите само високорискови програми.
Програми с висок риск? Кратка дефиниция на високорискова програма е, че тя се експлоатира редовно (например Internet Explorer), способна да изпълнява файлове, изтеглени от Интернет (уеб браузър, имейл клиент), или съхранява ценни данни за вас (напр. Софтуер за криптиране).
Това би направило Firefox, Chrome и Thunderbird цели с висока стойност, а Notepad, миночистач и Paint не.
За добавяне на приложения към списъка за защита на EMET
- Отворете EMET в системата.
- Можете да намерите списък на изпълняваните процеси в интерфейса. Ако програмата, която искате да защитите, не се стартира, стартирайте я на компютъра.
- Щракнете с десния бутон върху процеса след това и изберете „конфигуриране на процес“ от контекстното меню.
- Това добавя избрания процес към списъка с приложения на EMET.
- Изберете добре след това, за да запазите селекцията и рестартирайте току-що добавената програма в EMET.
Бакшиш : Силно се препоръчва да тествате всяко приложение поотделно, преди да започнете да добавяте повече процеси към EMET. Една програма може да не е съвместима с всички техники за смекчаване на експлоатацията, които предлага EMET.
2. Отстраняване на грешки в процесите на неправилно поведение
Вероятността е доста голяма, че ще се сблъскате с проблеми, след като добавите програми към EMET. Някои програми могат да откажат да се стартират изцяло, докато други могат да се отворят и затворят веднага след стартирането им.
Обикновено това е случаят, когато едно или няколко смекчаващи мерки не са съвместими с процеса. Основният проблем тук е, че няма да получавате информация, което смекчаване е причинило проблема.
Проверете дали има проблем
Един от по-лесните начини да се провери дали нещо не работи правилно е да проверите за EMET записи в дневника на Windows.
- Докоснете клавиша на Windows, въведете визуализатора на събития и натиснете Enter.
- Можете да намерите записи в EMET в Event Viewer (локален)> Windows Logs> Application.
Предлагам ви да сортирате по дата и час и да потърсите „Грешка в приложението“ като източник. Трябва да намерите EMET.DLL, посочен като източник на проблема в Общи, когато изберете един от записите в дневника.
Очевидно можете също да премахнете всички защити за приложението в EMET и да го стартирате отново, за да видите дали той разрешава проблема.
Коригиране на проблема
Единственият сигурен начин за налагане на съвместимост с Microsoft EMET е опит и грешки. Отворете списъка със защитените приложения отново в EMET, изключете всички защити и започнете да ги включвате отново една по една.
Опитайте се да стартирате програмата след всеки превключвател, за да видите дали работи. Ако това стане, повторете процеса, като включите следващото смекчаване на ред, докато стигнете до такова, което не позволява на програмата да стартира.
Деактивирайте това смекчаване отново и продължете процеса, докато не активирате всички смекчаващи мерки, които са съвместими с избрания софтуер.
Google Chrome например не успя да започне да използва смекчаването по подразбиране, избрано за нови процеси. Открих, че единственото смекчаване на браузъра не е съвместимо с EAF, което деактивирах като следствие.
3. Правила за цялата система
EMET се доставя с четири правила за цялата система, които можете да конфигурирате в основния интерфейс. Закрепване на сертификата, предотвратяване на изпълнението на данни и защита от презаписване на обработващия изключение на обработващия изключения са активирани като правила за цялата система, докато вместо тях е зададено рандомизиране на пространството на адресното пространство.
Това означава, че трябва да активирате правилото за всяко приложение, което искате да бъде защитено от него. Можете да промените състоянието на тези правила за цялата система, например като наложите правилото за включване и на цялата система.
Това обаче може да доведе до проблеми с програми, работещи в системата. Тъй като тя е наложена за всички програми, когато е активирана, може да искате да наблюдавате внимателно системата и да превключите обратно към включване, ако забележите проблеми при стартиране или стартиране на приложения на устройството.
4. Правило за внос и износ
Конфигурирането на програми в EMET, така че те да бъдат защитени от приложението, отнема известно време поради посочените по-горе проблеми.
Добрата новина е, че не е необходимо да повтаряте процеса на други компютри, които управлявате, тъй като можете да използвате функцията за импортиране и експортиране на EMET за това.
Бакшиш : EMET се доставя с набор от допълнителни правила, които потребителите могат да добавят към програмата. За достъп до тези изберете импортиране в EMET и след това едно от следните:
- CertTrust - конфигурация по подразбиране EMET на фиксиране на доверие на сертификат за онлайн услуги на MS и трети страни
- Популярен софтуер - Активира защити за общ софтуер като Internet Explorer, Microsoft Office, Windows Media Player, Adobe Acrobat Reader, Java, WinZip, VLC, RealPlayer, QuickTime, Opera
- Препоръчителен софтуер - Разрешава защитите за минимално препоръчителен софтуер като Internet Explorer, Microsof Office, Adobe Acrobat Reader и Java
Вариант 3 е опцията по подразбиране, която се зарежда автоматично. Можете да добавяте автоматично други популярни програми към EMET, като импортирате правилата на Популярния софтуер.
Миграция на правилата и политики
За да експортирате правила, изберете бутона за експортиране в основния интерфейс на EMET. Изберете име за xml файла в диалоговия прозорец за запазване и местоположение.
Този набор от правила след това може да бъде импортиран в други системи или да се запази като защитна защита на текущата машина.
Тъй като правилата се запазват като XML файлове, можете да ги редактирате и ръчно.
Администраторите могат да разгърнат директивите за груповата политика и в системите. Adml / admx файловете са част от инсталацията на EMET и след инсталирането могат да бъдат намерени в файловете за разгръщане / групови политики.