Issue:
Elements Endpoint Protection 機能 DataGuard が原因で、C:\Windows\System32\svchost.exe をブロックしているランサムウェア アクセス コントロール アラートが多数受信されています。
この根本的な原因は何でしょうか?
Resolution:
ランサムウェア アクセス制御はDataGuard機能であり、ユーザーがランサムウェアから重要なデータを保護できるようになります。詳細については、 この記事とこのヘルプ ガイドに記載されています。
この特定のケースでは、ランサムウェアから保護するために特定のフォルダーに対して DataGuard が有効になっています。このため、svchost.exe (正規の Windows アプリケーション) がこれらのフォルダーにあるファイルにアクセスしようとする可能性がありますが、これは DataGuard によって即座にブロックされます。デフォルトでは、svchost.exe は DataGuard によって信頼されたアプリケーションではありません。
この検出の詳細については、Elements Endpoint Protection ポータルで確認できます。
- Elements Endpoint Protection ポータルにログインします
- 左側のメニューから「セキュリティ イベント PILOT」をクリックします。
- 検出をクリックすると、同様の詳細が表示されます。
アプリケーション C:\Windows\System32\svchost.exe
ターゲットC:\Users\ユーザー名\デスクトップ\マイ ドキュメント\ examplematerial.xlsx
プロファイルのバージョン xxxxxxxxx
クライアントのタイムスタンプ 2020 年 10 月 30 日 4:51:35 AM
トランザクションID 0000-xxxxxxxxx
これは、 svchost.exe が、 DataGuard によって保護されているユーザーのデスクトップに保存されているexamplematerial.xlsxを変更しようとしたことを意味します。
DataGuard は、他のエンジンとは動作が異なり、可能な限り偏執的に動作するよう努めます (Microsoft Windows ファイルの検出も含む)。これは、一部のマルウェアが正規の Microsoft ファイルに挿入されるためであり、DataGuard が他のエンジンに比べてより偏執的である理由が説明されています。 DataGuard では、信頼できるアプリケーションのみが保護されたファイルの変更を許可します。デフォルトでは、svchost.exe は信頼できるアプリケーションではありません。
したがって、選択肢は 1 つあり、そのままにしておくか (これをお勧めします)、svchost.exe を信頼できるアプリケーションとして追加するかのどちらかです。後者を実行したい場合は、 ヘルプ ガイドの手順に従ってください。
Windows プロセス モニターを使用して、どの svchost プロセスがファイルを変更しようとしたかを正確に把握することもできます。
このプロセスを使用する Windows またはサードパーティの機能も使用できます。必要がない場合は無効にすることができますが、当社の製品とは何の関係もありません。必要に応じてこれらのファイルへの書き込みアクセスをブロックするだけです。
Article no: 000027366
The content of this article has been machine translated from the English source article.
While reasonable efforts have been made to provide accurate translations, there may still be translation errors.