Prevención de ejecución

Prevención de ejecución permite administrar el funcionamiento de archivos ejecutables y scripts, así como abrir archivos en formato Office. De esta manera, puede, por ejemplo, evitar la ejecución de aplicaciones que no considere seguras. Como resultado, se puede detener la propagación de la amenaza. Prevención de ejecución admite un conjunto de intérpretes de scripts.

Regla de prevención de ejecución

Prevención de ejecución administra el acceso de los usuarios a los archivos con reglas de prevención de ejecución. La regla de Prevención de ejecución es un conjunto de criterios que la aplicación tiene en cuenta para reaccionar frente a la ejecución de un objeto, por ejemplo, cuando bloquea el funcionamiento de un objeto. La aplicación identifica archivos por las rutas o sumas de control que se calculan mediante algoritmos hash MD5 y SHA256.

Puede crear reglas de Prevención de ejecución:

• En Detalles de alerta (solo para EDR Optimum).

  Detalles de alerta es una herramienta que permite ver toda la información que se recopiló sobre una amenaza detectada. Por ejemplo, Detalles de alerta incluye el historial de archivos que aparecen en el equipo. Para obtener más información sobre la administración de los detalles de las alertas, consulte la Ayuda de Kaspersky Endpoint Detection and Response Optimum.

• Con una directiva de grupo o la configuración de la aplicación local. Debe ingresar la ruta del archivo o el hash (SHA256 o MD5), o ambos.

También puede administrar la prevención de ejecución localmente mediante la línea de comandos.

Nota: No se puede bloquear el inicio de objetos críticos del sistema (SCO). Los SCO son archivos que el sistema operativo y la aplicación Kaspersky Endpoint Security for Mac necesitan para ejecutarse.

Modos de la regla de Prevención de ejecución

El componente Prevención de ejecución puede funcionar en dos modos:

• Solo estadísticas

  En este modo, Kaspersky Endpoint Security publica un evento sobre los intentos de iniciar objetos ejecutables o abrir documentos que coinciden con los criterios de la regla de prevención en el registro de eventos de Kaspersky Security Center, pero no bloquea el intento de ejecutar o abrir el objeto o documento. Este modo está seleccionado de manera predeterminada.

• Activa

  En este modo, la aplicación bloquea la ejecución de objetos o la apertura de documentos que coinciden con los criterios de la regla de prevención. La aplicación también publica un evento sobre los intentos de ejecutar objetos o abrir documentos en el registro de eventos de Kaspersky Security Center.

Administrar Prevención de ejecución

Importante: Puede definir la configuración del componente solo en Web Console.

Para prevenir ejecuciones:

1. En la ventana principal de Web Console, seleccione Dispositivos > Directivas y perfiles.
2. Haga clic en el nombre de la directiva de Kaspersky Endpoint Security for Mac.

   Se abre la ventana de propiedades de la directiva.

3. Seleccione la pestaña Configuración de la aplicación.
4. Vaya a Detection and Response > Endpoint Detection and Response.
5. Active el conmutador Prevención de ejecución HABILITADO.
6. En el bloque Acción ante operaciones de ejecución o apertura de un objeto prohibido, seleccione el modo de funcionamiento del componente:
   • Bloquear y escribir en el informe. En este modo, la aplicación bloquea la ejecución de objetos o la apertura de documentos que coinciden con los criterios de la regla de prevención. La aplicación también publica un evento sobre los intentos de ejecutar objetos o abrir documentos en el registro de eventos de Kaspersky Security Center.
   • Registrar solo eventos. En este modo, Kaspersky Endpoint Security publica un evento sobre los intentos de iniciar objetos ejecutables o abrir documentos que coinciden con los criterios de la regla de prevención en el registro de eventos de Kaspersky Security Center, pero no bloquea el intento de ejecutar o abrir el objeto o documento. Este modo está seleccionado de manera predeterminada.
7. Cree una lista de reglas de prevención de ejecución:
   1. Haga clic en Agregar.
   2. En el cuadro de diálogo que se abre, ingrese el nombre de la regla de prevención de ejecución (por ejemplo, Aplicación A).
   3. En la lista desplegable Tipo, seleccione el objeto que desee bloquear: Aplicación, Script o Documento.

      Si selecciona un tipo de objeto incorrecto, Kaspersky Endpoint Security no bloquea el archivo o el script.

   4. Para agregar el archivo, debe ingresar el hash del archivo (SHA256 o MD5), la ruta completa al archivo o ambos.

   Nota: Si el archivo está ubicado en una unidad de red, ingrese la ruta del archivo de la siguiente manera: /Volúmenes/nombre_carpeta_compartida/nombre_archivo. Si la ruta del archivo contiene la letra de una unidad de red, Kaspersky Endpoint Security no bloquea el archivo o el script.

   1. Haga clic en Aceptar.
8. Guarde los cambios.

Como resultado, Kaspersky Endpoint Security bloquea la ejecución de objetos: la ejecución de archivos ejecutables y scripts, y al apertura de archivos en formato Office. Sin embargo, puede, por ejemplo, abrir un archivo de script en un editor de texto incluso si no se puede ejecutar el script. Cuando bloquea la ejecución de un objeto, Kaspersky Endpoint Security muestra una notificación estándar si las notificaciones están habilitadas en la configuración de la aplicación.