Acronis - Antivirus MSP: Impostazioni di Protezione antivirus e antimalware

Protezione con password

La protezione con password impedisce a utenti o software non autorizzati di disinstallare l'Agente per Windows o di modificarne i componenti. Queste azioni diventano possibili solo con una password fornita da un amministratore.

Non è mai richiesta la password per le seguenti azioni:

• Aggiornare l'installazione eseguendo nuovamente il programma di installazione in locale

• Aggiornare l'installazione utilizzando la console web di Cyber Protection

• Riparare l'installazione

Impostazione predefinita: Disabilitata

Per ulteriori informazioni su come abilitare la protezione con password, fare riferimento a Impedire la disinstallazione o la modifica non autorizzate degli agenti.

Individuazione dei processi di mining di criptovalute

Questa impostazione determina se Active Protection rileva i potenziali malware di mining di criptovalute.

I malware di mining di criptovalute influiscono negativamente sulle prestazioni delle applicazioni utili, aumentano i costi dei consumi elettrici, possono causare arresti anomali del sistema e perfino danni hardware dovuti all'eccessivo utilizzo. Per proteggere i workload, è consigliabile aggiungere i malware di mining di criptovalute all'elenco dei Processi pericolosi per impedirne l'esecuzione.

Gli amministratori possono abilitare l'individuazione dei processi di mining di criptovalute senza abilitare Active Protection. Impostazione predefinita: Abilitata.

Impostazioni di individuazione dei processi di mining di criptovalute

In Azione al rilevamento, selezionare l’azione che il software dovrà eseguire quando viene individuato un processo di mining di criptovalute, quindi fare clic su Chiudi.

È possibile selezionare una delle seguenti opzioni:

• Solo notifica

  Il software genera un avviso relativo al processo sospettato di attività di mining di criptovalute.

• Arresta il processo

  Il software genera un avviso relativo al processo sospettato di attività di mining di criptovalute e lo arresta.

Impostazione predefinita: Arresta il processo.

Quarantena

Quarantena è una cartella speciale nella quale vengono isolati i file sospetti (probabilmente infetti) o potenzialmente dannosi.

Rimuovi i file posti in quarantena dopo – Definisce il periodo in giorni al termine del quale i file in quarantena verranno rimossi.

Impostazione predefinita: 30 giorni.

Per ulteriori informazioni su questa funzionalità, fare riferimento a Quarantena.

Motore comportamentale

AcronisCyber Protection protegge il sistema utilizzando l'euristica comportamentale per identificare i processi dannosi: il software confronta la catena di azioni eseguita da un processo con le catene di azioni registrate nel database dei modelli di comportamento dannosi. Di conseguenza, il nuovo malware viene individuato in base al comportamento tipico.

Impostazione predefinita: Abilitata.

Impostazioni del motore comportamentale

In Azione al rilevamento, selezionare l’azione che il software dovrà eseguire quando rileva un’attività malware, quindi fare clic su Chiudi.

È possibile selezionare una delle seguenti opzioni:

• Solo notifica

  Il software genera un avviso relativo al processo sospettato di attività malware.

• Arresta il processo

  Il software genera un avviso relativo al processo sospettato di attività malware e lo arresta.

• Quarantena

  Il software genera un avviso, arresta il processo e sposta il file eseguibile nella cartella della quarantena.

Impostazione predefinita: Quarantena.

Prevenzione degli exploit

La prevenzione degli exploit individua e previene i processi infetti che si diffondono nei sistemi Windows e ne sfruttano le vulnerabilità software. Quando viene rilevato un exploit, il software può generare un avviso relativo al processo sospettato di attività di exploit e lo arresta.

La prevenzione degli exploit è disponibile solo con le versioni dell'agente 12.5.23130 (21.08, rilasciata ad agosto 2020) o successive.

Impostazione predefinita: Abilitata per i piani di protezione appena creati e Disabilitata per quelli esistenti, creati con versioni precedenti dell'agente.

Impostazioni della prevenzione degli exploit

È possibile selezionare le azioni che il programma dovrebbe compiere al rilevamento di un exploit, e quali metodi di prevenzione degli exploit vengono applicati dal programma.

In Azione abilitata al rilevamento, selezionare cosa fare quando viene rilevato un exploit, quindi fare clic su Fatto.

• Solo notifica

  Il software genera un avviso relativo al processo sospettato di attività malware.

• Arresta il processo

  Il software genera un avviso relativo al processo sospettato di attività malware e lo arresta.

Impostazione predefinita: Arresta il processo

In Tecniche di prevenzione degli exploit abilitate, abilitare o disabilitare i metodi da applicare, quindi fare clic su Fine.

È possibile selezionare una delle seguenti opzioni:

• Protezione della memoria

  Individua e previene modifiche sospette alle autorizzazioni di esecuzione nelle pagine della memoria. I processi dannosi applicano tali modifiche alle proprietà della pagina per abilitare l'esecuzione di codici della shell da aree di memoria non eseguibile, quali stack e heap.

• Protezione da attacchi ROP (Return-oriented programming)

  Individua e previene i tentativi di exploit con tecniche ROP, che consentono agli autori di attacchi di eseguire del codice anche se sono presenti misure di difesa quali protezione degli spazi eseguibili e firma del codice. L'autore dell'attacco prende il controllo dello stack della chiamata e quindi si appropria del flusso di controllo del programma per eseguire codice dannoso.

• Protezione dall'escalation dei privilegi

  Individua e previene i tentativi di innalzamento dei privilegi effettuati da codice o applicazioni non autorizzati. L'escalation dei privilegi viene utilizzata dai codici pericolosi per ottenere l'accesso completo al sistema attaccato, e per eseguire quindi attività critiche e inerenti a dati sensibili. Al codice non autorizzato non è consentito l'accesso alle risorse di critiche del sistema o la modifica delle impostazioni di sistema.

• Protezione dall'iniezione di codice

  Individua e previene l'iniezione di codice dannoso nei processi remoti. L'iniezione di codice viene utilizzata per nascondere le finalità dannose di un'applicazione all'interno di processi puliti o non pericolosi, per eludere l'individuazione da parte di prodotti anti-malware.

Impostazione predefinita: Tutti i metodi sono abilitati.

Autorizzazione alla modifica del backup da parte di processi specifici

L'opzione Consenti a processi specifici di modificare i backup è disponibile solo quando è abilitata l'impostazione Auto-protezione.

L’opzione viene applicata ai file che hanno estensione .tibx, .tib, .tia e si trovano nelle cartelle locali.

Questa impostazione consente di specificare i processi ai quali è consentito modificare i file di backup, anche se tali file sono protetti con l’Auto-protezione. La funzionalità è utile se, ad esempio, si eliminano o si spostano i file di backup in una posizione diversa utilizzando uno script.

Se l'impostazione è disabilitata, i file di backup possono essere modificati solo dai processi firmati dal fornitore del software di backup. Ciò consente al software di applicare delle regole di conservazione e di eliminare i backup quando un utente esegue questa richiesta dall’interfaccia web. Nessun altro processo, che sia sospetto o meno, può modificare i backup.

Se l'impostazione è abilitata, è possibile consentire ad altri processi di modificare i backup. Specificare il percorso completo del processo eseguibile, iniziando con la lettera di unità.

Impostazione predefinita: Disabilitata.

Protezione in tempo reale

La protezione in tempo reale controlla in modo costante il sistema per individuare virus e altre minacce, per tutto il tempo in cui il sistema è attivo.

Impostazione predefinita: Abilitata.

Importante: La protezione in tempo reale è disponibile solo quando il motore locale basato sulle firme è attivo. Per la protezione in tempo reale è necessario attivare sia l'opzione Protezione in tempo reale sia l'opzione Advanced Antimalware.

Configurazione dell'azione al rilevamento per la protezione in tempo reale

In Azione al rilevamento, selezionare l’azione che il software dovrà eseguire quando viene individuato un virus o un'altra minaccia potenzialmente dannosa, quindi fare clic su Chiudi.

È possibile selezionare una delle seguenti opzioni:

• Blocca e notifica

  Il software blocca il processo e genera un avviso relativo al processo sospettato di attività malware.

• Quarantena

  Il software genera un avviso, arresta il processo e sposta il file eseguibile nella cartella della quarantena.

Impostazione predefinita: Quarantena.

Configurazione della modalità di scansione per la protezione in tempo reale

In Modalità di scansione, selezionare l’azione che il software dovrà eseguire quando viene individuato un virus o un'altra minaccia potenzialmente dannosa, quindi fare clic su Chiudi.

È possibile selezionare una delle seguenti opzioni:

• Scansione all'accesso – Monitora tutte le attività di sistema e scansiona automaticamente i file quando vi si accede per attività di lettura o scrittura, o quando viene avviato un qualsiasi programma.
• Scansione all'esecuzione – Prevede solo l'analisi automatica dei file eseguibili che vengono aperti, per garantire che non presentino minacce e che non danneggino il computer o i dati.

Impostazione predefinita: Scansione all'accesso.

Pianifica scansione

È possibile definire la pianificazione in base alla quale il sistema verrà controllato alla ricerca del malware, abilitando l'impostazione Pianifica scansione.

Azione al rilevamento:

• Quarantena

  Il software genera un avviso e sposta il file eseguibile nella cartella della quarantena.

• Solo notifica

  Il software genera un avviso relativo al processo sospettato di essere malware.

Impostazione predefinita: Quarantena.

Modalità di scansione:

• Completa

  Rispetto alla scansione rapida, la scansione completa richiede molto tempo per essere completata, perché ogni file verrà controllato.

• Rapida

  La scansione rapida analizza solo le aree comuni del sistema, nelle quali il malware in genere si posiziona.

• Personalizzato

  La scansione personalizzata controlla i file/le cartelle selezionate dall'amministratore nel piano di Protezione.

È possibile pianificare le tre scansioni (Rapida, Completa e Personalizzata in un unico piano di protezione.

Impostazione predefinita: Sono pianificate le scansioni Rapida e Completa.

Predefinite: La scansione Personalizzata è disabilitata.

Pianificare l'esecuzione dell'attività utilizzando gli eventi indicati di seguito:

• Pianificazione oraria – L'attività viene eseguita all'orario specificato.

• Quando l'utente accede al sistema – Per impostazione predefinita, l'accesso di qualsiasi utente determina l'avvio dell'attività. È possibile modificare questa impostazione in modo che solo un account utente specifico possa determinare l'attivazione dell'attività.

• Quando l'utente si disconnette dal sistema – Per impostazione predefinita, la disconnessione di qualsiasi utente determina l'avvio dell'attività. È possibile modificare questa impostazione in modo che solo un account utente specifico possa determinare l'attivazione dell'attività.

  Nota: L'attività non verrà eseguita allo spegnimento del sistema. Nella configurazione della pianificazione, l'arresto del sistema e la disconnessione vanno considerate come azioni differenti.

• All'avvio del sistema – L'attività viene eseguita all'avvio del sistema operativo.
• All'arresto del sistema – L'attività viene eseguita all'arresto del sistema operativo.

Impostazione predefinita: Pianificazione oraria.

Tipo di pianificazione:

• Mensile – Specificare il mese e le settimane o i giorni del mese in cui verrà eseguita l'attività.
• Giornaliera – Specificare i giorni della settimana in cui verrà eseguita l'attività.
• Oraria – Specificare i giorni della settimana, il numero di ripetizioni e l'intervallo temporale in cui verrà eseguita l'attività.

Impostazione predefinita: Ogni giorno.

Ora di avvio – Specificare l'ora esatta di avvio dell'attività.

Esegui entro un intervallo di date – Impostare un intervallo di validità della pianificazione configurata.

Condizioni di avvio – Definire tutte le condizioni che devono essere soddisfatte simultaneamente per avviare l'attività.

Le condizioni di avvio per le scansioni antimalware sono simili alle condizioni di avvio del modulo Backup descritte in "Condizioni di avvio". È possibile definire le seguenti condizioni di avvio aggiuntive:

• Ripartisci orari di avvio dell'attività all'interno di una finestra dell'orario – Questa opzione consente di definire l'intervallo di tempo durante il quale deve essere eseguita l'attività in modo da evitare colli di bottiglia sulla rete. È possibile specificare il ritardo in ore o minuti. Se, ad esempio, l'orario di avvio predefinito è alle 10:00 e il ritardo è di 60 minuti, l'attività verrà avviata tra le 10:00 e le 11:00.

• Se la macchina è spenta, esegui le attività mancanti all'avvio della macchina

• Impedisci la modalità di sospensione o ibernazione durante l'esecuzione dell'attività – Questa opzione è valida solo per i sistemi che eseguono Windows.

• Se le condizioni di avvio non sono soddisfatte, esegui comunque l'attività dopo – Specificare il periodo successivamente al quale l'attività verrà comunque avviata, indipendentemente dalle altre condizioni di avvio.

Scansiona solo i file nuovi e modificati – Vengono scansionati solo i file nuovi e modificati.

Impostazione predefinita: Abilitata.

Quando si pianifica una Scansione completa, si hanno due opzioni aggiuntive:

Scansiona file di archivio

Impostazione predefinita: Abilitata.

• Profondità di ricorsione massima

  Specifica quanti livelli di archivi incorporati possono essere scansionati. Ad esempio, Documento MIME > Archivio ZIP > Archivio Office > contenuto del documento.

  Impostazione predefinita: 16.

• Dimensione massima

  La dimensione massima di un file di archivio da scansionare.

  Impostazione predefinita: Illimitata.

Scansiona unità rimovibili

Impostazione predefinita: Disabilitata.

• Unità di rete (remote) mappate

• Dispositivi di archiviazione USB (come unità flash e unità esterne)

• CD/DVD

Esclusioni dalla protezione

Per ridurre al minimo il consumo di risorse da parte dell'analisi euristica, e per eliminare i cosiddetti falsi positivi, quando un programma affidabile è considerato un ransomware, è possibile definire le seguenti impostazioni:

Nella scheda Attendibili è possibile specificare:

• I processi che non devono mai essere considerati malware. I processi firmati da Microsoft sono sempre considerati affidabili.

• Le cartelle in cui non verranno monitorate le modifiche apportate ai file.

• I file e le cartelle in cui la scansione pianificata non viene eseguita.

Per specificare gli elementi che vengono sempre considerati attendibili:

1. Aprire il Piano di protezione.

2. Espandere il modulo Protezione antivirus e anti-malware.

3. Selezionare l'opzione Esclusioni dalla protezione. Viene visualizzata la finestra Esclusioni dalla protezione.

4. Nella scheda Attendibili sono visualizzate le opzioni seguenti:

   • Hash: se si seleziona questa opzione e si fa clic su Aggiungi, viene visualizzata la finestra Aggiungi hash. Qui è possibile inserire, su righe separate, gli hash MD5 che verranno inclusi come attendibili nell'elenco delle Esclusioni dalla protezione. In base a questi hash, Cyber Protection esclude i processi descritti dagli hash MD5 dall'attività di monitoraggio eseguita dal motore comportamentale.

   • Processi: se si seleziona questa opzione e si fa clic su Aggiungi, viene visualizzata la finestra Aggiungi processi. Qui è possibile inserire, su righe separate, il percorso di ogni processo da includere come attendibile nell'elenco delle Esclusioni dalla protezione.

     • Esempi di descrizione del processo:

       • *.exe

       • C:\Cartella\file.exe

       • /home/cartella/file.exe

   • Cartelle: se si seleziona questa opzione e si fa clic su Aggiungi, viene visualizzata la finestra Aggiungi cartelle. Cyber Protection esclude le cartelle dall'attività di monitoraggio eseguita dal motore comportamentale.

     • Esempi di descrizione della cartella:

       • C:\cartella\

       • /home/Cartella/cartella2

       • F:\

   • File e cartelle: se si seleziona questa opzione e si fa clic su Aggiungi, viene visualizzata la finestra Aggiungi file e cartelle. Cyber Protection esclude i file e le cartelle specificati dalla protezione in tempo reale o dalle scansioni pianificate.

Nella scheda Bloccati è possibile specificare:

• I processi che saranno sempre bloccati. Fino a quando Active Protection è attiva nel sistema, tali processi non potranno essere avviati.

• Le cartelle in cui qualsiasi processo deve essere bloccato.

Per specificare gli elementi che saranno sempre bloccati:

1. Aprire il Piano di protezione.

2. Espandere il modulo Protezione antivirus e anti-malware.

3. Selezionare l'opzione Esclusioni dalla protezione. Viene visualizzata la finestra Esclusioni dalla protezione.

4. Nella scheda Bloccati sono visualizzate le opzioni seguenti:

• Hash: se si seleziona questa opzione e si fa clic su Aggiungi, viene visualizzata la finestra Aggiungi hash. In questa finestra è possibile aggiungere gli hash da bloccare nell'elenco delle Esclusioni dalla protezione.

• Processi: se si seleziona questa opzione e si fa clic su Aggiungi, viene visualizzata la finestra Aggiungi processi. In questa finestra è possibile aggiungere i processi da bloccare nell'elenco delle Esclusioni dalla protezione.

Impostazione predefinita: per impostazione predefinita non è definita alcuna esclusione.

Specificare il percorso completo del processo eseguibile, iniziando con la lettera di unità. Ad esempio: C:\Windows\Temp\er76s7sdkh.exe.

Caratteri jolly

Per specificare le cartelle, è possibile utilizzare uno o più caratteri jolly * e ?. L'asterisco (*) sostituisce lo zero o altri caratteri. Il punto interrogativo (?) sostituisce un solo carattere. Non è possibile utilizzare le variabili di ambiente, ad esempio %AppData%.

È possibile utilizzare un carattere jolly (*) per aggiungere elementi agli elenchi di esclusione.

• I caratteri jolly possono essere inseriti nel mezzo o alla fine di una descrizione.

Esempi di caratteri jolly accettati nelle descrizioni:

C:\*.pdf

D:\cartelle\file.*

• Non è possibile utilizzare i caratteri jolly all'inizio di una descrizione.

Esempi di caratteri jolly non accettati nelle descrizioni:

*.docx

*:\cartella\

Variabili

È inoltre possibile utilizzare le variabili per aggiungere elementi all'elenco delle Esclusioni dalla protezione, con le limitazioni seguenti:

• In Windows, sono supportate solo variabili SYSTEM. Non sono supportate le variabili utente, ad esempio %USERNAME%, %APPDATA%. Non sono supportate la variabili con {username}. Per ulteriori informazioni, vedere https://ss64.com/nt/syntax-variables.html.

• In macOS non sono supportate le variabili di ambiente.

• In Linux non sono supportate le variabili di ambiente.

Esempio di formati supportati:

• %WINDIR%\Media

• %public%

• %CommonProgramFiles%\Acronis\

Descrizione

Il campo Descrizione consente di aggiungere delle note alle esclusioni aggiunte all'elenco delle Esclusioni dalla protezione. Alcuni suggerimenti sul tipo di note da aggiungere:

• Motivi e finalità dell'esclusione.

• Nome corrente di un file di un'esclusione di hash.

• Indicatori data e ora.

Se sono stati aggiunti più elementi in un'unica voce, può essere presente un solo commento acquisito per i diversi elementi della voce.