Paramètres antivirus et HIPS : guide des paramètres sur accès

Lorsque vous activez ce paramètre, ce dernier ajoute les formats de fichiers archive les plus répandus dans la liste des extensions qui sont vérifiées par le contrôle sur accès.

Nous avons désactivé ce paramètre car il n'est généralement pas nécessaire pour exécuter des contrôles sur accès des fichiers archive. Si vous utilisez les paramètres de contrôle sur accès par défaut que nous avons mis au point, tout fichier à l'intérieur de l'archive fera l'objet d'un contrôle au moment de son ouverture ou de son exécution. Etant donné que le contrôle d'une archive est un processus gourmand en mémoire et que la plupart des fichiers archive d'une entreprise ne contiennent pas de malwares (ils doivent faire l'objet d'un filtrage à la passerelle par un produit comme l'appliance Sophos Web and Control), nous estimons que le temps de traitement supplémentaire prévu pour le contrôle des archives ne compense pas le retard que connaît l'utilisateur sur son poste d'extrémité.

Bien entendu, si vous avez plusieurs utilisateurs qui connectent leurs clés USB personnelles ou d'autres supports amovibles à votre réseau ou si vous avez des besoins professionnels particuliers, il peut s'avérer judicieux d'activer ce paramètre pour une partie de vos utilisateurs.

En guise d'alternative au contrôle sur accès des archives, nous vous suggérons d'envisager :

• d'apprendre à vos utilisateurs de toujours cliquer avec le bouton droit de la souris sur les fichiers archive et de sélectionner 'Contrôler avec Sophos Anti-Virus' pour les contrôler avant de les ouvrir. Ainsi, seules les archives que vous voulez ouvrir seront contrôlées au moment de leur accès. Pour vérifier un groupe d'archives, placez-les dans un dossier unique et cliquez avec le bouton droit de la souris sur le dossier pour le contrôler.
  
• de paramétrer un contrôle planifié pour les archives seulement. Etant donné que ce contrôle décompresse chaque fichier, contrôle son contenu, puis le compresse à nouveau, l'opération est longue. Ce contrôle doit donc s'exécuter à un moment de la journée où l'ordinateur est en marche et où le contrôle ne gêne pas le travail de l'utilisateur. Pour créer le contrôle, paramétrez un nouveau contrôle planifié et ajoutez seulement dans la liste des extensions celles que vous voulez contrôler.

Les applications potentiellement indésirables (PUA, Potentially Unwanted Applications) sont des applications du type logiciel de surveillance PC et des blagues. Les SophosLabs incluent la détection des PUA connues dans les données de détection des menaces, elles-mêmes incluses dans vos mises à jour Endpoint Security and Control updates.

Ce paramètre est désactivé par défaut car nous vous conseillons tout d'abord d'autoriser les applications légitimes, comme les outils d'administration. Pour cela, exécutez un contrôle planifié de votre réseau en identifiant les applications légitimes et en les autorisant, puis activez le contrôle sur accès pour bloquer à l'avenir les applications non autorisées. Pour plus d'instructions détaillées, reportez-vous au Guide de déploiement de l'administrateur pour une protection contre les applications potentiellement indésirables (PUA).

Si vous activez ce paramètre sans tout d'abord paramétrer les exclusions, votre réseau peut se retrouver inondé d'alertes sur les détections de PUA. Vous pouvez passer en revue les alertes qui sont générées et paramétrer les exclusions dans l'Enterprise Console pour les effacer. Cette opération peut prendre un certain temps. Sachez que vous devrez exécuter un contrôle planifié pour nettoyer toutes les PUA trouvées.

Les Labs examinent régulièrement les définitions de leurs PUA pour s'assurer que les nouveaux programmes aux intentions malveillantes ou immorales peuvent être bloqués de votre réseau. Vous pouvez suggérer de nouvelles PUA dans : https://secure.sophos.com/support/samples/.

Les fichiers suspects sont des fichiers qui contiennent du code généralement utilisé dans les malwares. Comme il n'existe aucun moyen pour un programme de contrôle antivirus de connaître le contexte d'un fichier (par exemple, pour savoir que tel fichier écrit par l'un de vos ingénieurs logiciel est sûr), nous signalons tout fichier suspect possible. Cela peut conduire à quelques détections indisérables (anglais), mais nous estimons qu'il est important de mettre l'accent sur tous les fichiers potentiellement dangereux afin que tout un chacun puisse ensuite en fournir le contexte.

Ce paramètre est désactivé par défaut car nous vous conseillons d'autoriser tout d'abord les fichiers légitimes, comme ceux écrits par vos employés. Pour cela, exécutez un contrôle planifié de votre réseau en identifiant les fichiers légitimes et en les autorisant dans l'Enterprise Console, puis activez le contrôle sur accès pour détecter les applications non autorisées à l'avenir.

Pour plus d'informations sur HIPS, veuillez consulter l'article de la base de connaissances suivante : http://www.sophos.fr/support/knowledgebase/article/48765.html

Nous vous conseillons de toujours utiliser ce paramètre lorsque le contrôle sur accès est activé. Le contrôle au moment de la lecture garantit que tous les fichiers faisant l'objet d'un accès sont contrôlés avant leur ouverture ou leur utilisation.

En renommant est utile dans au moins deux situations (inhabituelles).

La première concerne la détection des fichiers malveillants. Lorsqu'un fichier malveillant est installé sur votre ordinateur, il peut avoir une extension qui n'existe pas, comme .abc. Lorsqu'il est sur le point de s'exécuter, il peut être renommé en .exe. Aussi, les malwares peuvent écrire un fichier dans un emplacement, puis l'enregistrer dans un autre emplacement avec un nouveau nom. Cette opération qui consiste à renommer n'est pas captée par les contrôles en lecture ou en écriture.

La seconde situation dans laquelle les contrôles 'en renommant' sont utiles est pour le contrôle des fichiers téléchargés. Certains navigateurs téléchargent un fichier avec un nom temporaire qui ne figure pas dans la liste des extensions par défaut et le renomment ensuite en un nom correct lorsque le téléchargement est terminé. Par exemple, un fichier .exe téléchargé peut éviter le contrôle même si le contrôle en écriture est activé.

Par conséquent, si vous avez quelque raison de soupçonner que votre réseau est infecté par un malware, vous pouvez, si vous le voulez, activer temporairement ce paramètre dans vos stratégies.

Etant donné que les autres paramètres de contrôle sur accès empêchent toute attaque par des types de fichiers connus pour servir à infecter les ordinateurs (y compris les types de fichiers que vous pouvez définir vous-même), il est conseillé de conserver ce paramètre par défaut (désactivé) dans la plupart des circonstances.

Le contrôle des fichiers non infectables sur l'ordinateur au moment de leur accès peut avoir des conséquences importantes sur les performances. Par exemple, de nombreuses applications utilisent leurs propres formats pour les fichiers temporaires. Lorsque chacun de ces éléments fait l'objet d'un accès, il est contrôlé. C'est pourquoi un programme qui nécessite déjà beaucoup de mémoire, comme les suites de photo-édition ou les logiciels financiers, va avoir besoin d'encore plus de temps pour le traitement pendant que le programme de contrôle sur accès contrôle chacun des fichiers temporaires qu'il utilise. Même pour les activités de réseau et informatiques habituelles, la diminution des performances qu'entraîne ce paramètre ne compense pas la très mince possibilité de détection par le programme de contrôle sur accès d'un fichier malveillant non inclus dans la liste des exécutables contrôlés par défaut.

Par contre, lors d'un attaque de malware (ou directement après), assurez-vous que tous les composants d'un virus ont été supprimés après la désinfection. Ceci devrait normalement être effectué sous le contrôle du support technique de Sophos.

Bien ententu, si vous vous sentez plus en sécurité de savoir que votre programme de contrôle viral vérifie tous les fichiers, nous vous suggérons de planifier à la place un contrôle hebdomadaire de tous les fichiers. Veillez simplement à prévoir cette planification lorsque vous utilisez rarement votre ordinateur (comme un dimanche après-midi).

Nous vous conseillons de toujours activer ce paramètre. Lorsqu'il est activé, ce contrôle vérifie tous les fichiers portant des extensions d'exécutables (par exemple, '.EXE', '.BAT', '.PIF') ou des fichiers qui sont susceptibles d'être infectés (comme les fichiers '.DOC', '.CHM', '.PDF'). Il vérifie aussi rapidement la structure de tous les fichiers et les contrôle si leur format est celui d'un fichier exécutable.

Si vous voulez contrôler des types de fichiers supplémentaires, vous pouvez ajouter les extensions de ces fichiers à la liste à contrôler à l'aide du bouton Ajouter.

Logiquement, vous voudrez à coup sûr choisir cette option pour nettoyer automatiquement tout malware trouvé, mais nous vous laissons décider : peut-être avez-vous vos propre procédures de nettoyage des malwares. Nous ne voulons pas effectuer d'opérations sans votre consentement. Par exemple, vous pouvez préférer laisser en quarantaine les éléments détectés jusqu'à ce vous puissiez vous en occuper.

Lorsque le programme de contrôle sur accès nettoie automatiquement les élements contenant un virus ou un spyware, il détruit tous les éléments qui sont du malware pure et essaie de désinfecter tous les éléments qui ont été infectés. Ces fichiers désinfectés doivent être considérés comme définitivement endommagés car le programme de contrôle viral ne peut pas savoir ce que le fichier contenait avant qu'il ne soit endommagé : il peut seulement nettoyer le code qui était injecté par le virus.

L'option par défaut ‘Refuser uniquement l'accès’ signifie que le programme de contrôle viral vous demande ce qu'il faut faire avant de continuer. Tout élément trouvé reste bloqué jusqu'à ce que vous indiquiez au programme de contrôle viral ce qu'il faut faire.

Les autres options 'Supprimer' et ‘Refuser l'accès et déplacer' peuvent être utilisées dans des circonstances particulières (comme quand le support technique Sophos vous conseille de sélectionner cette option).

Nous ne vous conseillons pas d'autoriser le programme de contrôle viral à supprimer automatiquement les fichiers infectés, car parfois des fichiers légitimes peuvent être détectés. Si vous activez ce paramètre, vérifiez régulièrement les journaux pour vous assurer que vous n'avez pas supprimé des fichiers importants.

Ce paramètre détecte les opérations sur les fichiers lors de leur exécution. S'il pense que la simultanéité ou les séries d'opérations en cours d'exécution posent une menace, il vous alerte (si 'alerter seulement' est sélectionné) ou bloque l'opération (si 'alerter seulement' est désactivé) .

Nous vous conseillons d'utiliser ce paramètre en mode 'alerter seulement' au départ et autoriser toute application qui déclenche des détections indésirables (anglais). Après vous être familiarisé avec les types d'applications qui déclenchent les alertes et si vous êtes sûr que vous avez autorisé les applications approuvées sur votre réseau, nous vous conseillons de désactiver 'alerter seulement'.

Ce paramètre protège votre ordinateur de toute attaque par dépassement de la mémoire tampon et nous vous conseillons de le laisser activé. Il est indispensable pour empêcher (et bloquer, si 'alerter seulement' est désactivé) les nouveaux malwares d'infecter vos systèmes.

Etant donné que les dépassements de la mémoire tampon ne sont désirables en aucune circonstance, contactez tous les éditeurs de logiciels dont l'application déclenche un dépassement de la mémoire tampon qui, vous le savez, n'est pas un malware. Autorisez seulement ces applications si elles sont essentielles pour votre entreprise. Si vous rencontrez tout dépassement de la mémoire tampon suspect, veuillez contacter le support technique Sophos pour obtenir de l'aide sur l'identification et l'élimination des menaces.

La détection de tout comportement suspect doit être prioritaire lorsque vous déployez une nouvelle stratégie antivirus car ce paramètre 'Alerter seulement' est partagé avec la détection de la mémoire tampon, laquelle doit bloquer les attaques éventuelles juste après que la stratégie ne soit déployée. Par conséquent, une fois que vous avez approuvé les programmes légitimes qui sont susceptibles d'afficher un comportement suspect sur votre réseau, nous vous conseillons de désactiver 'alerter seulement' sans délai.

Que vous vouliez ou non alerter l'utilisateur final sur vos ordinateurs, c'est votre choix.

Ce paramètre fait apparaître un message sur le poste d'extrémité indiquant ce qui a été détecté, où et comment cela a été traité. Vous pouvez ajouter votre propre message à utiliser pour tout événement à propos duquel vous choisissez d'alerter l'utilisateur.

Nous vous conseillons de conserver ce paramètre activé afin que l'utilisateur final puisse contacter votre support technique en cas de détection sur son ordinateur. Vous pouvez, si vous le voulez, ajouter un message personnalisé pour communiquer la stratégie de votre entreprise.