Prevención de ejecución

Prevención de ejecución permite administrar la ejecución de archivos ejecutables y scripts, así como abrir archivos en formato Office. De esta manera, por ejemplo, puede evitar la ejecución de aplicaciones que considere inseguras. Como resultado, se puede detener la propagación de la amenaza. Prevención de ejecución admite un conjunto de intérpretes de scripts.

Regla de Prevención de ejecución

Prevención de ejecución administra el acceso de los usuarios a los archivos con reglas de Prevención de ejecución. La regla de Prevención de ejecución es un conjunto de criterios que la aplicación tiene en cuenta cuando reacciona a la ejecución de un objeto, por ejemplo, cuando bloquea la ejecución de un objeto. La aplicación identifica archivos por las rutas o sumas de verificación que se calculan mediante algoritmos hash MD5 y SHA256.

Puede crear reglas de Prevención de ejecución:

• En los detalles de alerta (solo para EDR Optimum).

  Detalles de alerta es una herramienta para ver toda la información recopilada sobre una amenaza detectada. Los detalles de la alerta incluyen, por ejemplo, el historial de archivos que aparecen en el ordenador. Para obtener más información sobre la administración de los detalles de las alertas, consulte la Ayuda de Kaspersky Endpoint Detection and Response Optimum.

• Con una directiva de grupo o la configuración de la aplicación local. Debe introducir la ruta del archivo o el hash (SHA256 o MD5), o tanto la ruta del archivo como el hash del archivo.

También puede administrar Prevención de ejecución localmente mediante la línea de comandos.

Nota: No se puede bloquear el inicio de objetos críticos del sistema (SCO). Los SCO son archivos que el sistema operativo y la aplicación Kaspersky Endpoint Security for Mac requieren para poder ejecutarse.

Modos de la regla de Prevención de ejecución

El componente de Prevención de ejecución puede funcionar en dos modos:

• Solo estadísticas

  En este modo, Kaspersky Endpoint Security publica un evento sobre los intentos de ejecutar objetos ejecutables o abrir documentos que coinciden con los criterios de la regla de prevención en el registro de eventos de Kaspersky Security Center, pero no bloquea el intento de ejecutar ni de abrir el objeto o documento. Este modo está seleccionado de manera predeterminada.

• Activa

  En este modo, la aplicación bloquea la ejecución de objetos o la apertura de documentos que coinciden con los criterios de la regla de prevención. La aplicación también publica un evento sobre los intentos de ejecutar objetos o abrir documentos en el registro de eventos de Kaspersky Security Center.

Administrar Prevención de ejecución

Importante: Solo puede definir la configuración del componente en Web Console.

Para evitar la ejecución, siga estos pasos:

1. En la ventana principal de Web Console, elija Dispositivos > Directivas y perfiles.
2. Haga clic en el nombre de la directiva de Kaspersky Endpoint Security for Mac.

   Se abre la ventana de propiedades de la directiva.

3. Seleccione la pestaña Configuración de la aplicación.
4. Vaya a Detection and Response > Endpoint Detection and Response.
5. Active el interruptor Prevención de ejecución ACTIVADA.
6. En el bloque Acción al ejecutar o abrir un objeto prohibido, seleccione el modo de funcionamiento del componente:
   • Bloquear y escribirlo en el informe. En este modo, la aplicación bloquea la ejecución de objetos o la apertura de documentos que coinciden con los criterios de la regla de prevención. La aplicación también publica un evento sobre los intentos de ejecutar objetos o abrir documentos en el registro de eventos de Kaspersky Security Center.
   • Solo registrar eventos. En este modo, Kaspersky Endpoint Security publica un evento sobre los intentos de ejecutar objetos ejecutables o abrir documentos que coinciden con los criterios de la regla de prevención en el registro de eventos de Kaspersky Security Center, pero no bloquea el intento de ejecutar o abrir el objeto o documento. Este modo está seleccionado de manera predeterminada.
7. Cree una lista de reglas de Prevención de ejecución:
   1. Haga clic en Agregar.
   2. En el cuadro de diálogo que se abre, introduzca el nombre de la regla de Prevención de ejecución (por ejemplo, Aplicación A).
   3. En la lista desplegable Tipo, seleccione el objeto que desea bloquear: Aplicación, Script, Documento.

      Si selecciona un tipo de objeto incorrecto, Kaspersky Endpoint Security no bloquea el archivo o script.

   4. Para añadir el archivo, debe introducir el hash del archivo (SHA256 o MD5), la ruta completa al archivo o tanto el hash como la ruta.

   Nota: Si el archivo está ubicado en una unidad de red, introduzca la ruta del archivo de la siguiente manera: /Volúmenes/nombre_de_carpeta_compartida/nombre_de_archivo. Si la ruta del archivo contiene la letra de una unidad de red, Kaspersky Endpoint Security no bloquea el archivo o script.

   1. Haga clic en Aceptar.
8. Guarde los cambios.

Como resultado, Kaspersky Endpoint Security bloquea la ejecución de objetos: ejecutar archivos ejecutables y scripts, abrir archivos en formato Office. Sin embargo, por ejemplo, puede abrir un archivo de script en un editor de texto incluso si no se puede ejecutar el script. Cuando bloquea la ejecución de un objeto, Kaspersky Endpoint Security muestra una notificación estándar si las notificaciones están activadas en la configuración de la aplicación.