Issue:
Nous recevons de nombreuses alertes de contrôle d'accès Ransomware causées par la fonctionnalité Elements Endpoint Protection DataGuard, qui bloque C:\Windows\System32\svchost.exe
Quelle est la cause profonde de cela?
Resolution:
Le contrôle d'accès aux ransomwares est une fonctionnalité de DataGuard , qui permet à l'utilisateur de protéger les données importantes contre les ransomware. Plus d'informations sont fournies dans cet article et dans ce guide d'aide .
Dans ce cas particulier, où DataGuard est activé pour des dossiers spécifiques à protéger contre les ransomware. À partir de là, svchost.exe (une application Windows légitime) peut essayer d'accéder au fichier disponible dans ces dossiers, qui est immédiatement bloqué par DataGuard. Par défaut, svchost.exe n'est pas une application approuvée par DataGuard.
Vous pouvez trouver plus de détails sur cette détection sur le portail Elements Endpoint Protection :
- Connectez-vous au portail Elements Endpoint Protection
- Dans le menu de gauche, cliquez sur Security Events PILOT
- Cliquez sur la détection et vous verrez des détails similaires :
Application C:\Windows\System32\svchost.exe
Cible C:\Users\Username\Desktop\My Documents\ examplematerial.xlsx
Version du profil xxxxxxxxx
Horodatage du client 30 octobre 2020 04:51:35
Identifiant de transaction 0000-xxxxxxxxx
Cela signifie que svchost.exe a essayé de modifier examplematerial.xlsx qui est enregistré sur le bureau des utilisateurs protégé par DataGuard.
DataGuard fonctionne différemment de nos autres moteurs, car il essaie d'être aussi paranoïaque que possible (même en détectant les fichiers Microsoft Windows). En effet, certains malwares s'injectent dans des fichiers Microsoft légitimes, ce qui explique pourquoi DataGuard est plus paranoïaque que d'autres moteurs. DataGuard autorise uniquement les applications approuvées à modifier les fichiers protégés. Par défaut, svchost.exe n'est pas une application de confiance.
Donc, cela vous laisse un choix, qui est de le laisser tel quel (ce que nous recommandons) ou d'ajouter svchost.exe en tant qu'application de confiance. Si vous souhaitez effectuer cette dernière opération, vous pouvez suivre les étapes du Guide d'aide .
Vous pouvez également utiliser le moniteur de processus Windows pour déterminer quel processus svchost a exactement tenté de modifier le fichier.
Il peut également s'agir de fenêtres ou de fonctionnalités tierces utilisant ce processus, et si vous n'en avez pas besoin, vous pouvez le désactiver, mais cela n'a rien à voir avec notre produit - nous bloquons simplement l'accès en écriture à ces fichiers comme nous le devrions
Article no: 000027366
The content of this article has been machine translated from the English source article.
While reasonable efforts have been made to provide accurate translations, there may still be translation errors.