对McAfee ePO中定义的可执行文件的数字签名检查功能的初步研究

链接到本文:

测试环境:

McAfee ePO 5.10.0

Endpoint Security Suite 10.6.1

==========================================

在Endpoint Security威胁防护中，有一个“访问保护”策略，可以通过标识可执行文件（PE）运行的经过数字签名的“签名者”来自定义规则以排除或禁止某些可执行文件.

此功能比Windows系统随附的数字证书策略更加灵活，因为它不验证完整的数字签名，而仅检查数字签名的“签名者”信息.

例如，管理员想在公司系统中禁用360个家庭存储桶. 这些家庭存储桶安装软件包确实经过了数字签名. 但是，仔细检查发现，用于数字签名的证书对于家族存储桶中不同时期发行的不同产品和版本是不同的. 如果使用Windows的数字证书策略禁止该策略，则需要将许多数字证书添加到“不受信任”组. 即使域在环境中，初始工作量也很大. 并且不可避免的是在360天（主要是指证书的有效期）之后发出新证书.

使用“访问保护”策略，会更容易. （随附了特定的操作方法. ）您只需定义一个或两个数字签名的“签名者”即可识别360个系列存储桶. 即使在不同时间发布数字证书，数字证书的“用户”信息（即数字签名的签名者）也基本上不会改变. “签名者”的定义如下:

C = CN，S =北京，L =北京，O =“北京奇虎科技”，OU = *，CN =“北京奇虎科技”.

**请注意，上面的OU元素后跟一个通配符. 通配符也可以在其他元素中使用.

**********************这是关键点******************

在McAfee策略中通过数字签名定义可执行文件需要以下规则:

（某些限制未在McAfee的官方网站上说明，但我们在实验中发现了这些限制. ）

1. 按元素顺序颠倒，用逗号分隔，没有换行符（表示没有换行，回车）；

2. 如果元素的值包含半角逗号，则该值必须用双角双引号引起来. 相反，如果元素的值中没有半角逗号，则不能使用双引号；

3. 在Windows中，字母不区分大小写；

4，该元素的值可以使用通配符（*）;

5. 元素的数量不能增加或丢失，元素的顺序也不能无序，并且必须与数字签名证书中的元素完全相同；

6. 只能在ePO中输入部分“签名者”信息. 输入Endpoint Security威胁防护软件将提示错误. 例如，中文字符或“ E”（电子邮件）元素；

7. 元素，值和“ =”之间不得有空格. 例如，“ C = CN”是正确的表达式. “ C = CN”，“ C = CN”和“ C = CN”都是错误的.

***********最佳做法***********

使用Endpoint Security威胁防护来阻止运行具有特定数字签名的程序（以360 / Qihu Family Bucket为例）.

1. 在ePO的主菜单中，找到“策略目录”，选择“ Endpoint Security威胁防御”产品，然后选择“访问保护”，然后编辑发布的策略（规则）.

2. 进入编辑模式后，单击“显示高级”以展开高级编辑视图. 在“规则”编辑中，单击“添加”以添加规则.

3. 为规则命名，例如“通过数字签名阻止程序”. 检查阻止和报告. 默认情况下，“可执行文件”和“用户名”均为空白，表示任何可执行文件和任何用户名.

4. 单击下面“子规则”中的“添加”以进入子规则编辑视图.

5. 为子规则命名mcafee epo 授权码，例如“防止运行特定的签名程序”. 对于“子规则”类型，选择“处理”，对于“操作”，选择“运行”.

6. 单击下面“目标”处的“添加”以添加可执行文件的描述.

7. 为其命名，例如“ 360-1”. 默认情况下，“包括状态”处于选中状态. 选中“启用数字签名检查”，选择“签名者”，输入以下信息:

C = CN，S =北京，L =北京，O =“北京奇虎科技”，OU = *，CN =“北京奇虎科技”.

（**请注意mcafee epo 授权码，此处使用双引号）

8. 单击“保存”按钮四次以存储修改后的策略.

如果需要添加更多签名者，请重复步骤6-7. 例如，如果添加另一个“签名者”以拦截“大狗屎”系列垃圾:

C = CN，S =北京，L =北京，O = QIHOO 360软件（北京），OU = *，CN = QIHOO 360软件（北京）

（**请注意，此处不使用双引号）

发表292篇原创文章·喜欢37篇·访问量840,000 +

关注他的留言板

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-145306-1.html