VirusScan Enterprise 简介

VirusScan Enterprise 的保护功能易于扩充、扫描速度快且设计灵活便捷，可以保护您的环境免受病毒、蠕虫、特洛伊木马程序的威胁。它还可以保护您的系统，免受违反访问点规则行为、被利用的缓冲区溢出以及可能有害的代码和程序的危害。它检测威胁，然后采取已配置的操作来保护环境。有关本发行版本新增功能的信息，请参阅“VirusScan Enterprise 发行说明”。

本指南描述如何配置和使用 VirusScan Enterprise。

您可以将 VirusScan Enterprise 配置为单机版产品，也可以使用 ePolicy Orchestrator 版本 3.6.1 和 4.0 来集中管理并实施 VirusScan Enterprise 策略，然后使用查询和仪表板来跟踪活动和检测项。

注： 本文档使用 ePolicy Orchestrator 4.0 进行说明。有关使用任一版本的 ePolicy Orchestrator 的信息，请参阅其产品文档。

目录

  • 使用 VirusScan Enterprise
  • 入门
  • 首要工作
  • 产品信息查找位置


使用 VirusScan Enterprise

使用 VirusScan Enterprise software 可保护您的环境免受潜在的威胁。

安装后，VirusScan Enterprise 配置为使用产品附带的检测项定义 (DAT) 文件并为环境提供常规安全。我们建议您在开始使用产品或将产品部署到客户端计算机之前，先建议定义环境策略和需求，并相应地配置产品，然后更新产品的检测项定义。

每个 VirusScan Enterprise 组件或功能都在保护您的环境方面发挥着各自的作用。

预防

定义安全需求，确保您的所有数据源受到保护，然后开发一种有效策略，在入侵获取访问您环境的权限之前阻止它。配置以下功能防止入侵：
  • 用户界面安全 - 设置显示和密码保护，控制对用户界面的访问。
  • 访问保护 - 使用访问保护规则保护计算机免受关于文件、注册表和端口的不良行为。如果安装了 AntiSpyware Enterprise Module，您将有额外的规则保护计算机免受可能有害的间谍程序相关的威胁。
  • 缓冲区溢出保护 - 用于防止利用缓冲区溢出在计算机上执行任意代码。
  • 有害程序保护 - 从您的计算机上删除可能有害的程序（例如间谍程序和广告程序）。

检测项

开发一种有效的策略，以便在发生入侵时进行检测。配置以下功能以便检测威胁：
  • 更新任务 - 从 McAfee 下载网站获取检测项定义和扫描引擎的自动更新。
  • 按访问扫描 - 从磁盘读取文件和/或将文件写入磁盘时检测来自任何可能来源的潜在威胁。如果安装了 AntiSpyware Enterprise Module，您也可以扫描 Cookie 文件夹中的可能有害的 Cookie。
  • 按需扫描任务 - 使用即时扫描任务和计划扫描任务检测潜在的威胁。如果安装了 AntiSpyware Enterprise Module，您也可以扫描以前尚未清除的各种可能有害的 Cookie 和间谍程序相关注册表项。
  • 传递和按需电子邮件扫描 - 可通过对邮件、附件和公共文件夹进行传递扫描，检测 Microsoft Outlook 电子邮件客户端上存在的潜在威胁。访问邮件时检测 Lotus Notes 电子邮件客户端上的潜在威胁。
  • Quarantine Manager 策略 - 指定隔离位置和保留隔离项目的时间长度。必要时恢复隔离的项目。

通知

警报和通知 - 配置警报，以便在出现检测项时通知您。

响应

使用产品日志文件、自动操作和其他通知功能决定进行检测的最佳方式。

  • 日志文件 - 监视产品日志文件以查看检测到的项目历史。

  • 查询和仪表板 - 使用 ePolicy Orchestrator 查询和仪表板监视扫描活动和检测项。
  • 操作 - 配置针对检测项采取操作的功能。

补充信息

有关其他信息，请参阅以下主题：

  • 访问用户界面选项 - 可通过多种方式访问单机版产品。

  • 添加和排除扫描项目 - 微调各个扫描程序扫描的文件类型列表。

  • 计划任务 - 计划在特定日期和时间或按特定的时间间隔执行按需扫描、更新和镜像任务。

  • 配置命令行选项 - 从命令行配置按需扫描任务和更新任务。

  • 连接到远程系统 - 连接到安装了 VirusScan Enterprise 的远程系统，以执行例如修改和计划扫描任务或更新任务的操作，或者启用并禁用按访问扫描程序。

  • 提交威胁样本以进行分析 - 通过 WebImmune 将未检测到的潜在威胁样本提交给 Avert Labs。

  • 访问 Avert Labs 威胁库 - 访问 Avert Labs 威胁库中的信息。

  • 疑难解答 - 获得有关如何修复产品安装和常见问答的信息。


入门

假设您具有执行本指南所述步骤的必要权限。

  1. 从 McAfee 下载站点获取 VirusScan Enterprise 8.7i 产品文件。这些文件可能包含产品安装文件，产品包文件、报告和帮助扩展文件，以及 ePolicy Orchestrator 迁移工具。有关安装问题和其他已知问题，请参阅 VirusScan Enterprise 8.7i 发行说明。
  2. 对于 ePolicy Orchestrator，使用签入向导将产品和报告扩展文件以及产品包文件添加到存储库。如果从 VirusScan Enterprise 的旧版本升级，并且希望保留原有设置，请运行 ePolicy Orchestrator 迁移工具。有关详细信息，请参阅 ePolicy Orchestrator 产品文档。
  3. 单机安装 VirusScan Enterprise 时，有关该产品的详细安装信息，请参阅《安装指南》。如果是从 VirusScan Enterprise 的旧版本进行升级，请参阅《安装指南》以了解如何保留原有设置。


首要工作

安装后，VirusScan Enterprise 配置为使用产品附带的检测项定义并为环境提供常规安全。我们建议您在将产品部署到客户端系统之前，先获取最新的检测项定义并自定义配置，以满足您的要求。

任务

安装产品后，立即采取以下操作。

  1. 设置用户界面安全。将显示选项和密码选项配置为防止用户访问特定组件或整个 VirusScan Enterprise 用户界面。有关详细信息，请参阅“控制对用户界面的访问”。
  2. 更新检测项定义。执行“立即更新”任务以确保您具有最新的检测项定义。有关详细信息，请参阅“更新检测项定义”。
  3. 防止入侵。配置下列功能可防止潜在威胁访问系统：
    • 访问保护。配置访问保护规则以防止对计算机进行有害更改，并启用防止终止 McAfee 进程的选项。有关详细信息，请参阅“保护系统访问点”。
    • 缓冲区溢出保护。启用缓冲区溢出检测并指定排除项。有关详细信息，请参阅“阻止缓冲区溢出利用”。
    • 有害程序策略。配置按访问扫描程序、按需扫描程序和电子邮件扫描程序用于检测可能有害的程序的策略。从预定义列表中选择要检测的有害程序类别，然后定义要检测或排除的其他程序。有关详细信息，请参阅“限制可能有害的程序”。
  4. 检测入侵。配置以下功能可检测系统上的潜在威胁，然后在入侵时通知您并对其采取相应的操作：
    • AutoUpdate。配置更新任务以获取最新的检测项定义、扫描引擎和产品升级。有关详细信息，请参阅“更新检测项定义”。
    • 按访问扫描程序。将扫描程序配置为可检测潜在的威胁，并在您的环境中访问到这些威胁时对其执行相应操作。启用对有害程序的扫描。如果安装了 AntiSpyware Enterprise Module，也可以在 cookies 文件夹中扫描 cookies。有关详细信息，请参阅“按访问扫描项目”。
    • 按需扫描程序。将扫描任务配置为可检测您环境中存在的潜在威胁并对其采取相应操作。启用对有害程序的扫描。如果安装了 AntiSpyware Enterprise Module，您也可以扫描 cookies 文件夹中的 cookies 和以前尚未清除的各种可能有害的间谍程序相关注册表项。有关详细信息，请参阅“按需扫描项目”。
    • 电子邮件扫描程序。配置对 Microsoft Outlook 和 Lotus Notes 电子邮件客户端进行的传递扫描和按需扫描。启用对有害程序的扫描。有关详细信息，请参阅“传递和按需扫描电子邮件”。
  5. 发送警报并隔离威胁。将这些功能配置为可以在出现检测项时向您发出警报，并可以管理隔离的项目：
    • 警报和通知。配置接收检测项通知和警报的方式和时间。有关详细信息，请参阅“配置警报和通知”。
    • Quarantine Manager 策略。配置隔离文件夹的位置和自动删除隔离项目前保留隔离项目的天数。有关详细信息，请参阅“定义隔离策略”。


产品信息查找位置

产品文档为您提供产品实现的每个阶段所需的信息，包括从评估新产品到维护现有产品。根据产品的不同，可能会有其他文档。产品发布后，有关产品的其他信息会输入到 McAfee ServicePortal 上的在线知识库中。

安装阶段

设置阶段

维护阶段

安装前、安装期间和安装后。

发行说明

  • 当前发行版的已知问题。
  • 自上次发行以来已解决的问题。
  • 产品或其文档的最新更改。

安装指南

  • 在生产环境中准备、安装和部署软件。

启动并运行产品。

产品指南和在线帮助

  • 针对您的环境设置和自定义软件。

在线帮助

  • 通过 ePolicy Orchestrator 管理和部署产品。
  • 有关产品中选项的详细信息。

维护软件。

在线帮助

  • 维护软件。
  • 参考信息。
  • 产品指南中的所有信息。

知识库 (knowledge.mcaf)

  • 发行说明和文档。
  • 产品补充信息。

  • 已知问题解决方法。

查找 McAfee Enterprise 产品的发行说明和文档

  1. 转至 knowledge.mcafee.com，然后选择 Useful links（有用链接）下的 Product Documentation（产品文档）。
  2. 选择 <产品名称> | <产品版本>，然后从文档列表中选择所需的文档。

从产品访问帮助主题

要访问帮助主题：

  • 在 ePolicy Orchestrator 控制台中，单击 ?，然后选择 VirusScan Enterprise 8.7i。

    有关选项定义，请单击策略或任务选项卡上的 ?。

  • 在“VirusScan 控制台”上，在“帮助”菜单上选择“帮助主题”。
    注： 在安装产品后第一次访问“帮助”时，系统将问您是否要下载“帮助”文件。单击“是”可下载“帮助”文件并将其安装在安装目录中。

    有关选项定义，请单击功能属性选项卡上的“帮助”。


控制对用户界面的访问

为客户端计算机上的界面设置安全是保护环境的重要部分。作为管理员，您可以控制用户对 VirusScan Enterprise 界面的访问权限。指定密码，防止用户访问或更改选定功能。您也可以根据需要锁定和解锁用户界面。

目录

  • 设置密码对用户的影响
  • 配置用户界面安全设置


设置密码对用户的影响

设置用户界面密码以阻止持有恶意目的的用户。如果对客户端计算机上的用户界面进行了密码保护，会对用户产生如下影响：

  • 非管理员 - 无管理员权限的用户。非管理员可在只读模式下运行所有 VirusScan Enterprise 应用程序。他们可以查看某些配置参数、运行已保存的扫描以及运行即时扫描和更新。但他们不能更改任何配置参数，不能创建、删除或修改已保存的扫描或更新任务。
  • 管理员 - 具有管理员权限的用户。管理员必须键入密码，以便在读/写模式下访问受保护的选项卡和控件。对于受保护的项目，如果不提供密码，则只能以只读模式查看。


配置用户界面安全设置

访问“用户界面”属性：

  • 在 ePolicy Orchestrator 控制台中，转到“系统 | 策略目录”，然后选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“用户界面策略”。

  • 在 VirusScan 控制台中，选择“工具 | 用户界面选项”。

配置每个选项卡上的选项。对于选项描述，请单击每个选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 | 描述
显示选项
  • 指定用户可以查看的系统任务栏图标选项。
  • 允许连接到远程计算机。
  • 配置控制台语言。
密码选项 | 为整个系统或所选项目指定密码安全。


保护系统访问点

访问保护通过限制对指定的端口、文件、共享资源、注册表项和注册表值的访问来防止对计算机的有害更改。它还通过防止用户停止 McAfee 进程，对这些进程进行保护。这种保护在病毒爆发前和爆发期间都很关键。

此功能使用预定义规则和类别以及用户定义的规则来指定可以访问和无法访问的项目。可以将每个规则配置为在发生违反访问点规则的行为时阻止和/或报告该行为。预定义规则和类别可以通过 McAfee 更新站点更新内容。

注： 访问保护功能使用按访问扫描程序检测违反访问点规则的行为。必须为访问保护功能启用按访问扫描程序，以便检测对端口、文件、共享资源、注册表项和注册表值的访问尝试。

目录

  • 如何定义访问保护规则
  • 违反访问点规则的行为以及 VirusScan Enterprise 的响应方式
  • 用户定义的规则的类型
  • 配置访问保护设置


如何定义访问保护规则

规则分为以下几类，提供以下几个级别的保护。

规则类型描述

规则类型 描述
防病毒

这些预配置规则可保护您的计算机免受恶意软件的常见行为的威胁。您可以启用、禁用和更改配置，但不能删除这些规则。

以下是两个规则示例：

  • 防止禁用或更改关键进程、远程创建或修改可执行文件，防止拦截可执行文件和实施 Windows Process 欺骗，同时禁止群发邮件蠕虫发送邮件。
  • 保护电话簿文件免受密码和电子邮件窃贼的攻击。

以下保护级别适用于防病毒规则：

  • 标准保护
  • 最大保护
  • 爆发控制
通用

这些预配置规则可防止修改通用文件和设置。您可以启用、禁用和更改配置，但不能删除这些规则。

以下是三个规则示例：

  • 防止修改 McAfee 文件和设置。
  • 保护 Mozilla 和 Firefox 文件及设置、Internet Explorer 设置以及网络设置。
  • 防止安装 Browser Helper Objects 以及自动从 Temp 文件夹运行程序。

以下保护级别适用于通用规则：

  • 标准保护
  • 最大保护
虚拟机保护

这些预配置规则禁止终止 VMWare 进程和修改 VMWare 文件。您可以启用、禁用和更改配置，但不能删除这些规则。

以下是规则示例：
  • 禁止终止 VMWAre 进程。
  • 禁止修改 VMWare 工作站、服务器或虚拟机文件。
用户定义

这些自定义规则可对“防病毒”规则和“通用”规则提供的保护进行补充。
防间谍程序

如果安装了 AntiSpyware Enterprise Module，您将有额外的规则保护计算机免受间谍程序相关的威胁。

以下是规则示例：
  • 保护 Internet Explorer 收藏夹和设置。
  • 禁止程序从临时文件夹运行并执行脚本。

保护级别描述

保护级别 | 描述
标准 | 一类防病毒规则和通用规则，保护某些关键设置和文件不被修改，但通常允许安装和执行合法软件。
最大 | 一类防病毒规则和通用规则，保护最关键的设置和文件不被修改。此保护级别表标准级别提供更多的保护，但可能会禁止您安装合法软件。如果无法安装软件，我们建议首先禁用“访问保护”功能，安装完成后再重新启用。
爆发控制 | 一类防病毒规则，阻止破坏性代码访问计算机，直到发布 DAT 文件。预配置这些规则后，可以阻止爆发期间对共享资源的访问。


违反访问点规则的行为以及 VirusScan Enterprise 的响应方式

发生违反访问点规则的行为时：

  • 如果选择了检测违反规则行为的规则对应的“报告”选项，信息将记录在日志文件中。
  • 如果将“警报属性”配置为在本地事件日志和 SNMP 中记录事件，将执行该操作。
  • 如果将这些产品配置为向 Alert Manager 和/或 ePolicy Orchestrator 报告事件，将执行该操作。
  • 是否采取“阻止”和/或“报告”操作取决于为检测违反规则行为的规则配置的操作。

  • 在客户端系统上，系统会在系统任务栏图标周围显示红色边框并持续 30 分钟，除非对其进行重置。

    注： 要重置该图标，请从系统任务栏图标打开“访问保护日志文件”。使用任何其他方法打开日志文件时不会将该图标重置为正常状态。


用户定义的规则的类型

从以下三个规则类型中进行选择。

规则描述

规则 | 描述
端口阻止规则 | 阻止特定端口或系列端口的传入或传出网络流量。 注： 阻止端口时，将同时阻止传输控制协议 (TCP) 和用户数据报协议 (UDP) 访问。
文件/文件夹阻止规则 | 阻止对文件和文件夹的读取或写入访问。 注： 一旦限制对文件或文件夹的访问，限制将一直有效，直到管理员取消为止。这有助于防止入侵并阻止其在爆发期间进行传播。
注册表阻止规则 | 通过阻止下列操作保护注册表项或注册表值：读取、写入、创建或删除。


配置访问保护设置

要访问“访问保护”属性

  • 在 ePolicy Orchestrator 控制台中，请转到“系统 | 策略目录”并选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“访问保护策略”。

  • 在“VirusScan 控制台”中，打开“访问保护”属性。

配置各选项卡上的选项。有关选项描述，请单击各选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 描述
访问保护
  • 启用访问保护。
  • 配置规则。
  • 防止 McAfee 进程停止。
报告
  • 启用活动日志记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。


配置防病毒规则和通用规则

使用预定义的“防病毒”和/或“通用”规则，可保护您的计算机免受有害更改的危害。您可以启用和编辑这些规则，但不能删除它们。

任务

  1. 在左窗格中选择“防病毒”或“通用”类别，然后在右窗格中选择特定规则。
  2. 配置“阻止”和/或“报告”选项。
  3. 单击“编辑”配置“规则详细信息”。


配置用户定义的规则

创建并编辑用户定义的规则，可补充“防病毒”和“通用”规则提供的保护。

任务

  1. 在左窗格中选择“用户定义的规则”类别，然后单击“新建”。
  2. 选择规则类型。
  3. 根据需要更改“阻止”和“报告”操作。
  4. 单击“编辑”，更改配置。


配置端口阻止规则

阻止用户访问指定的入站和/或出站端口。

选项定义

选项 | 定义
规则名称 | 输入此规则的名称。
要包含的进程 | 限制访问指定的进程。
要排除的进程 | 允许访问指定的进程。
开始端口 | 指定第一个端口号。这可以是单个端口或一系列端口的开始编号。 注： 如果您阻止了对 McAfee 代理、Entercept 代理或主机入侵防护代理所使用端口的访问，则信任代理进程，并允许其与被阻止的端口进行通信。但是，将阻止其他所有与这些代理进程无关的通信。
结束端口 | 指定一系列端口中的最后一个端口号。
入站 | 防止网络中的系统访问指定端口。
出站 | 防止本地进程访问网络中的指定端口。


配置文件/文件夹阻止规则

防止用户对指定文件或文件夹采取操作。

选项定义

选项 | 定义
规则名称 | 输入此规则的名称。
要包含的进程 | 限制访问指定的进程。
要排除的进程 | 允许访问指定的进程。
要阻挡的文件或文件夹名 | 阻止对指定文件或文件夹的访问。
浏览文件 | 导航至该文件。
浏览文件夹 | 导航至该文件夹。
对文件进行读访问 | 阻止对指定文件进行读访问。
对文件进行写访问 | 阻止对指定文件进行写访问。
正在执行的文件 | 阻止执行指定文件夹中的文件。
正在创建的新文件 | 阻止在指定文件夹中创建新文件。
正在删除的文件 | 阻止从指定文件夹中删除文件。


配置注册表阻止规则

阻止用户对指定注册表项或注册表值采取操作。

选项定义

选项 | 定义
规则名称 | 指定此规则的名称。
要包含的进程 | 限制访问指定的进程。
要排除的进程 | 允许访问指定的进程。
要保护的注册表项或注册表值 保护此注册表项或注册表值：
  • 从下拉列表中选择根项或值。
  • 在文本框中键入项或值。
从下拉列表中选择根项或值是可选操作。使用其中一种方法来指定项或值：
  • 从下拉列表中选择根项或值，然后在文本框中键入项或值的剩余路径。
  • 在文本框中键入项或值的完整路径。
规则类型 选择规则类型：
  • 项 - 此规则保护指定项。
  • 值 - 此规则保护指定值。
向项或值中写入 | 阻止向指定项或值写入。
创建项或值 | 阻止创建指定项或值。
删除项或值 | 阻止删除指定项或值。


包含或排除特定进程

选项定义

编辑规则详细信息时可以指定要检测的进程或者要从检测项中排除的进程。

选项 | 描述
规则名称 | 此规则的名称。例如，“禁止禁用注册表编辑器和任务管理器”。
要包含的进程 | 限制访问这些进程。使用确切的进程名或使用通配符指定各种进程（例如 *.EXE），然后为特定合法进程添加排除项（例如 SETUP.EXE）。例如，指定 * 将包含所有进程。
要排除的进程 | 允许访问这些进程。使用确切的进程名。例如，指定以下排除项：avtask.exe、cfgwiz.xe、fssm32.exe、giantantispywar*、kavsvc.exe、mmc.exe、navw32.exe、nmain.exe、rtvscan.exe。


删除用户定义的规则

删除您创建但不再使用的规则。

任务

  1. 在左窗格中选择“用户定义的规则”类别，然后在右窗格中选择要删除的规则。
  2. 单击“删除”。
    注： 要在不删除的情况下禁用某个规则，请取消选择“阻止”和“报告”操作。如有必要，您可以再次启用该规则。


阻止缓冲区溢出利用

缓冲区溢出保护用于防止利用缓冲区溢出在计算机上执行任意代码。它会监视用户模式 API 调用，并确认由于缓冲区溢出而调用它们的时间。

发现检测项时，信息将记录到活动日志中，并显示在“按访问扫描消息”对话框中（如果将那些选项配置为这样操作的话）。

VirusScan Enterprise 使用缓冲区溢出和访问保护 DAT 文件，可保护大约 20 种应用程序，包括 Internet Explorer、Microsoft Outlook、Outlook Express、Microsoft Word 和 MSN Messenger。

目录

  • 缓冲区溢出利用技术的定义方法
  • 配置缓冲区溢出保护


缓冲区溢出利用技术的定义方法

缓冲区溢出利用技术是一种攻击技术，它利用应用程序或进程中的软件设计缺陷强制它们在计算机中执行代码。应用程序具有大小固定的缓冲区，用于存储数据。如果攻击者向其中一个缓冲区发送的数据或代码太多，则该缓冲区会溢出。然后，计算机会将溢出的代码作为程序执行。由于代码的执行发生在应用程序的安全内容中，而这部分内容通常需要拥有较高的权限或管理员级别的权限才能访问，因此入侵者可以获得通常他们不能得到的执行命令的权限。攻击者可以利用这一漏洞在计算机上执行自定义黑客攻击代码，危及计算机的安全和数据完整性。


配置缓冲区溢出保护

要访问“缓冲区溢出保护”属性：

  • 在 ePolicy Orchestrator 控制台中，请转到“系统 | 策略目录”并选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“缓冲区溢出保护策略”。

  • 在“VirusScan 控制台”中，请打开“缓冲区溢出保护”属性。

配置各选项卡上的选项。有关选项描述，请单击各选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 描述
缓冲区溢出保护
  • 启用缓冲区溢出保护。
  • 将检测模式配置为警告您和/或保护您免受缓冲区溢出危害。
  • 发现检测项时，显示“按访问扫描消息”对话框。
报告
  • 启用活动记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。


限制可能有害的程序

VirusScan Enterprise 会保护您的计算机免受那些可能会给您带来麻烦或安全风险的可能有害的程序的危害。已配置了一条通用有害程序策略，但是您可以单独启用或禁用此策略，并为每个 VirusScan Enterprise 扫描程序指定操作。

目录

  • 如何定义可能有害的程序
  • 配置有害程序策略


如何定义可能有害的程序

可能有害的程序定义如下：合法公司编写的、但可能会更改安装它的计算机的安全状态或隐私策略的软件程序。此软件可能（但不一定）包含间谍程序、广告程序和拨号程序。这些程序会随用户需要的程序一起下载。具有安全意识的用户会识别出此类程序，在某些情况下会删除它们。


配置有害程序策略

选项卡描述

配置分两步进行：

  1. 定义要检测和排除的可能有害的程序：
    • 从当前 DAT 文件附带的预定义列表中，选择所有类别的程序，或者选择一个类别中的特定程序。
    • 指定排除项。
    • 创建要检测的用户定义的程序列表。

  2. 配置“有害程序策略”后，在按访问、按需和电子邮件扫描程序中启用有害程序检测，然后配置检测到有害程序时要采取的操作。

访问“有害程序”属性：

  • 在 ePolicy Orchestrator 控制台中，转到“系统 | 策略目录”，然后选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“有害程序策略”。

  • 在 VirusScan 控制台中，打开“有害程序策略”属性。

配置每个选项卡上的选项。对于选项描述，请单击每个选项卡上的 ? 或“帮助”。

选项卡 | 描述
扫描项目
  • 选择要检测的有害程序类别。例如，间谍程序、广告程序等。这些类别由当前 DAT 文件定义。
  • 指定排除项。
用户定义的项目 | 定义要检测的其他有害程序。


更新检测项定义

VirusScan Enterprise 软件根据扫描引擎以及检测项定义 (DAT) 文件中的信息来识别威胁并采取相应操作。新威胁层出不穷。为了迎接这种挑战，McAfee 每天都结合最新的研究成果，发布新的 DAT 文件。更新任务会检索最新的 DAT 文件、EXTRA.DAT 文件、扫描引擎、Service Pack 以及修补程序。

目录

  • 确定更新策略的方法
  • 更新任务及其工作方式
  • 镜像任务及其工作方式
  • AutoUpdate 存储库工作原理
  • 回滚 DAT 文件工作原理


确定更新策略的方法

可以使用多种方法完成更新。可以使用更新任务、手动更新、登录脚本，也可以使用管理工具计划更新。本节描述更新任务的使用。其他任何方法都不属于本指南的讨论范围。

有效的更新策略通常要求组织中至少有一台客户端或服务器从 McAfee 下载站点检索更新。可以将文件从该处复制到整个组织，以供所有其他计算机访问。理想情况下，应该将复制更新文件到共享站点的过程自动化，最大程度地降低通过网络传输的数据量。

为了高效地进行更新，需要考虑的主要因素是客户端的数目和站点的数目。还可能需要考虑在每个远程站点上的系统数目以及远程站点访问 Internet 的方式。但是，使用中央存储库检索更新以及计划更新任务以保持环境最新的基本概念适用于任何规模的组织。

使用更新任务可以：

  • 计划在方便时在整个网络内分发 DAT 文件，而且几乎不需要管理员或网络用户干预。例如，您可以交错地执行更新任务，也可以设置计划，对网络的不同部分逐步或轮流进行 DAT 文件更新。
  • 将发布管理任务分散到不同的服务器或域控制器、分散到广域网的不同地区或其他网络分区。保持主要在网络内部传输更新流量还可以降低违反网络安全的可能性。
  • 减少下载新 DAT 或升级的引擎文件所需的等待时间。在定期的 DAT 文件发布日和新的产品版本可用时，McAfee 计算机上的数据流量将显著提高。避免网络带宽争用会使您在部署新的软件时中断次数降到最低。


更新任务及其工作方式

使用更新任务获取最新的 DAT 文件、扫描引擎和 Service Pack 及修补程序。

VirusScan Enterprise 包含一个默认的更新任务。计划在每天下午 5:00 对默认任务进行更新，有一个小时的随机选择时间。还可以根据您的更新要求创建其他更新任务。

下图显示了典型的更新任务的工作原理：

更新任务活动

运行更新任务时将发生以下活动：

  • 创建了到存储库列表中第一个“已启用”存储库（更新站点）的连接。如果找不到该存储库，将连接下一个站点，依此类推，直到建立连接为止，或到达列表末尾为止。
  • 从该存储库下载一个加密的 CATALOG.Z 文件。该文件包含进行更新所需的基本数据。该数据用于确定可以获取的文件和/或更新。
  • 系统将针对计算机上的版本检查此文件中的软件版本。如果有新的软件更新，则下载这些更新。
  • 将更新签入存储库之后，系统将验证更新以确认它适用于 VirusScan Enterprise，并且其版本新于当前版本。验证之后，VirusScan Enterprise 将在下一次运行更新任务时下载该更新。

更新任务中断

如果更新任务在更新过程中由于某种原因中断：

  • 下次启动 HTTP、UNC 或本地站点的更新任务时，将从该任务停止的位置继续。
  • 如果在下载单个文件过程中，FTP 站点更新任务被中断，则不能再恢复。但是，如果任务是下载多个文件，并且发生中断，将从中断时正在下载的文件之前恢复该任务。

使用 EXTRA.DAT 进行更新

EXTRA.DAT 文件可用作紧急情况下的临时措施。EXTRA.DAT 是在每次更新时从存储库下载的。这可确保在您修改 EXTRA.DAT 并将其作为一个包重新签入时，所有 VirusScan Enterprise 客户端将下载并使用相同的已更新 EXTRA.DAT 包。例如，您可以将 EXTRA.DAT 用作同一可能有害的程序的改进检测器，或作为其他新出现的可能有害的程序的附加检测项。VirusScan Enterprise 仅支持使用一个 EXTRA.DAT 文件。

提示： 使用完 EXTRA.DAT 文件之后，应该将其从主存储库中删除，然后运行复制任务，确保从所有分布式存储库站点都删除该文件。这将阻止 VirusScan Enterprise 客户端在更新过程中尝试下载该 EXTRA.DAT 文件。默认情况下，每日 DAT 文件中添加了新的检测项定义之后，将忽略对 EXTRA.DAT 中新的可能有害的程序的检测。


配置 AutoUpdate 任务

要访问 AutoUpdate 属性，请执行下列操作：

  • 从 ePolicy Orchestrator 控制台转到“系统 | 系统树 | 客户端任务”。选择某个现有更新任务。若要创建新的任务，请单击“新建任务”，然后从“类型”列表中，选择“更新 (McAfee Agent)”并单击“下一步”。

  • 从 VirusScan 控制台中选择某个现有更新任务。若要创建新的任务，则请选择“任务 | 新建更新任务”。

配置选项卡上的选项。如需选项描述，则请单击选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 说明
更新
  • 指定日志文件的位置和格式。
  • 配置是否获取更新的检测项定义、更新的引擎和 DAT，以及其他可用的更新，如 Service Pack 和产品升级。
  • 指定完成更新任务后该运行哪一个可执行文件，以及是否只在更新操作成功后运行该文件。


镜像任务及其工作方式

镜像任务将把更新文件从存储库列表中定义的第一个可访问存储库复制到网络中的镜像站点。此任务最常用于将 McAfee 下载站点的内容镜像到本地服务器。

VirusScan Enterprise 软件依靠目录结构进行自我更新。镜像站点时，请复制整个目录结构，这一点很重要。
注： 此目录结构也支持以前版本的 VirusScan 和 NetShield，只要将整个目录结构复制到 VirusScan 4.5.1 用于更新的同一位置即可。

复制包含更新文件的 McAfee 站点后，网络中的计算机即可从镜像站点下载文件。这种方法比较实用，因为无论网络中的计算机是否能够访问 Internet，您均可以对其进行更新；另一方面，这种方法也更有效率，因为您的系统在与甚至比 McAfee Internet 站点更近的服务器通信，可以节省访问和下载时间。


配置镜像任务

要访问“镜像”任务属性，请执行下列操作：

  • 从 ePolicy Orchestrator 控制台转到“系统 | 系统树 | 客户端任务”。选择某个现有镜像任务。若要创建新的任务，则请单击“新建任务”，然后从“类型”列表中，选择“镜像（McAfee Agent）”，然后单击“下一步”。

  • 从 VirusScan 控制台中选择某个现有镜像任务。若要创建新的任务，则请选择“任务 | 新建镜像任务”。

配置选项卡上的选项。如需选项描述，则请单击选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 描述
镜像
  • 指定日志文件的位置和格式。
  • 指定完成镜像任务后该运行哪一个可执行文件，以及是否只在镜像操作成功后运行该文件。


AutoUpdate 存储库工作原理

AutoUpdate 存储库列表 (SITELIST.XML) 指定执行 AutoUpdate 任务所必需的配置信息。例如：
  • 存储库信息和位置。
  • 存储库顺序首选项。
  • 代理服务器设置（需要的位置）。
  • 访问每个存储库所需的加密凭据。

执行 AutoUpdate 任务时，创建了到存储库列表中第一个“已启用”存储库（更新站点）的连接。如果找不到该存储库，将连接下一个存储库，依此类推，直到建立连接为止，或到达列表末尾为止。

代理服务器是 Internet 安全机制的组成部分，可以在 Internet 中隐藏 Internet 用户的计算机，并通过缓存经常访问的站点提高访问速度。如果您的网络使用代理服务器，则可以指定要使用的代理服务器设置、代理服务器的地址以及是否使用身份验证。代理服务器信息存储在 AutoUpdate 存储库列表中。配置的代理服务器设置将应用于该存储库列表中的所有存储库。

AutoUpdate 存储库列表的位置取决于您的操作系统。例如，对于 Windows XP：

C:\Documents and Settings\All Users\Application Data\McAfee\Common Framework


配置存储库列表

存储库列表包括从中检索更新的存储库。根据需要创建并配置适当数量的存储库。某些站点可以一直使用，而其他站点只是偶尔使用一下。

要访问“AutoUpdate 存储库列表”属性，请执行下列操作：

  • 从 VirusScan 控制台中选择“工具 | 用户界面选项”。

注： 此功能在 ePolicy Orchestrator 控制台中不可用。

配置选项卡上的选项。如需选项描述，请单击选项卡上的“帮助”。

选项卡描述

选项卡 | 描述
存储库
  • 指定从中获取更新的存储库。
  • 配置访问存储库的顺序。
代理服务器设置 | 指定执行更新时使用的代理服务器设置。


回滚 DAT 文件工作原理

如果发现当前的 DAT 文件损坏或不兼容，可将 DAT 文件回滚到上一次备份的版本。

更新 DAT 文件时，旧的版本存储在以下位置：<驱动器>:\Program Files\Common Files\McAfee\Engine\OldDats。回滚 DAT 文件时，将使用 OldDats 文件夹中的版本替换当前的 DAT 文件，并在以下注册表位置中设置一个标记：HKEY_LOCAL_MACHINE\SOFTWARE\McAfee\DesktopProtection\szRolledbackDATS。发生回滚之后，无法再次返回上一个版本。下次出现更新时，将对注册表中的 DAT 版本与更新存储库中的 DAT 文件进行比较。如果新的 DAT 文件与注册表中的版本相同，则不会发生更新。


回滚 DAT 文件

要将 DAT 文件回滚到以前的版本，请执行下列操作：

任务

  1. 从 VirusScan 控制台中选择“工具 | 回滚 DAT”。
  2. 单击“是”即可执行 DAT 回滚操作。
    注：

    此功能在 ePolicy Orchestrator 控制台中不可用。

    配置选项卡上的选项。如需选项描述，请单击选项卡上的“帮助”。


按访问扫描项目

访问计算机上的文件时，按访问扫描程序对这些文件进行检查，从而提供持续的实时威胁检测。访问保护功能和缓冲区溢出保护功能也使用按访问扫描程序分别检测违反访问点规则的行为和缓冲区溢出利用技术。

目录

  • 按访问扫描及其工作原理
  • 脚本扫描及其工作原理
  • 确定扫描策略的数目
  • 确定要为进程指定的风险级别
  • 如何配置常规设置和进程设置
  • 配置常规设置
  • 配置进程设置


按访问扫描及其工作原理

按访问扫描程序接入系统的最低层（文件系统过滤器驱动程序），作为系统的一部分运行（系统服务），并在出现检测项时通过界面传递通知。

本示例描述尝试打开、关闭或重命名文件时出现的情况。扫描程序会拦截操作，然后采取如下操作。

  1. 扫描程序依据如下标准确定是否应扫描该文件：
    • 该文件的扩展名与配置相匹配。
    • 尚未缓存该文件。
    • 尚未排除该文件。
    • 以前未扫描该文件。
  2. 如果该文件满足扫描标准，则对其进行扫描：
    • 如果文件未感染，则将缓存扫描结果，并且授予读、写或重命名操作权限。
    • 如果文件包含威胁，则会拒绝该操作，而采取配置的操作。
    • 如果将扫描程序配置为将扫描结果记录到活动日志，则会按要求执行该操作。
  3. 如果该文件不满足扫描要求，则不会对其进行扫描。将缓存该文件并授予操作权限。


扫描比较：写入磁盘和从磁盘读取

按访问扫描程序对扫描进行不同处理的依据是，用户是写入磁盘还是从磁盘读取。

将文件写入磁盘时，将扫描以下项目：

  • 写入本地硬盘驱动器的传入文件。
  • 在本地硬盘驱动器或映射的网络驱动器上创建的文件（包括新建文件、修改过的文件、从一个驱动器复制或移动到另一驱动器的文件）。

从磁盘读取文件时，将扫描以下项目：

  • 从本地硬盘驱动器中读取的传出文件。选择“扫描项目”选项卡中的“在网络驱动器上”，以便包含远程网络文件。
  • 本地硬盘驱动器上执行的任何文件。
  • 本地硬盘驱动器上打开的任何文件。
  • 如果已更改文件属性，则是本地硬盘驱动器上重命名的任何文件。


扫描比较：扫描所有文件还是扫描默认类型 + 其他文件类型

按访问扫描程序会根据是否已配置为扫描所有文件还是扫描默认类型 + 其他文件类型来区别对待不同的扫描。

扫描“所有文件”时，扫描程序会扫描所有文件类型以查找所有可能的威胁。

扫描“默认类型 + 其他文件类型”时，扫描程序会根据选择的文件类型来扫描特定文件列表。
  • 默认文件类型：扫描程序扫描该文件类型以仅查找可攻击该文件类型的威胁。例如，扫描 XLS 文件时，扫描程序会扫描 XLS 文件以查找可攻击 XLS 文件的各种威胁，如宏。扫描程序不会扫描 XLS 文件来查找 PE（可移植的执行体）传播病毒或 EICAR 测试文件之类的威胁。如果将 XLS 文件重命名为其他文件类型，扫描程序将扫描重命名文件以查找那些会影响新命名文件类型的威胁。

  • 其他文件类型：扫描程序会扫描该文件类型以查找所有可能的威胁，就像您选择的是“所有文件”一样。


脚本扫描及其工作原理

该脚本扫描程序充当真正的 Windows 脚本宿主组件的代理服务器组件。它将拦截脚本，然后在执行这些脚本之前对其进行扫描。

  • 如果脚本中不包含病毒，则将其传给真正的脚本宿主组件。
  • 如果脚本包含潜在的威胁，则不会执行该脚本。

该脚本扫描程序会加载到运行该脚本的进程，因此，如果该进程崩溃，您会在其内存空间中看到 ScriptProxy.dll 和 Mytilus.dll。它也会加载 DAT 文件和扫描引擎，这样将大大增加该进程的内存占用。


确定扫描策略的数目

要确定是否配置多个按访问扫描策略，请完成下列过程：


确定要为进程指定的风险级别

一旦决定需要多个扫描策略，请标识进程并确定要为每个进程指定的风险级别。

任务

  1. 确定正在使用的进程。使用 Windows 任务管理器或 Windows 性能监视器有助于了解哪些进程使用的 CPU 时间和内存最多。
  2. 确定负责每个进程的程序。请记住，只有定义的父进程的子进程遵循该扫描策略。例如，如果将 Microsoft Word 可执行文件 WINWORD.EXE 定义为高风险进程，则将根据高风险扫描策略扫描任何访问的 Microsoft Word 文档。但是，启动父进程 Microsoft Word 时，将根据启动它的进程策略扫描 WINWORD.EXE 文件。
  3. 使用以下指导确定适用于每个进程的风险级别：
    • 低风险 - 传播或引入潜在威胁可能性较低的进程。这些进程可以是访问很多文件的进程，但是访问方式传播潜在威胁的风险较低。例如:

      备份软件

      编译进程

    • 高风险 - 传播或引入潜在威胁可能性较高的进程。例如:

      启动其他进程的进程，如 Microsoft Windows 资源管理器或命令提示符。

      执行脚本或宏的进程，如 WINWORD 或 CSCRIPT。

      用于从 Internet 下载内容的进程，如浏览器、即时消息程序或邮件客户端。

      注： 最初，高风险扫描策略设置为与默认进程的策略相同，以确保对高风险进程进行深入地扫描，从而提供最大程度的保护。我们建议不要降低默认扫描级别。
    • 默认 - 没有定义为低风险或高风险的所有进程。


如何配置常规设置和进程设置

按访问扫描程序的常规策略和进程策略是分开进行配置的。

  • 常规设置 - 常规策略包含适用于所有进程的选项。
  • 进程设置 - 您可以通过进程设置选择为所有进程配置一个扫描策略，还是为定义为默认、低风险和高风险的进程配置不同的策略。


配置常规设置

选项卡描述

常规设置适用于所有进程的扫描，并且包括如下参数：最长扫描时间、扫描脚本、阻止来自远程计算机的有害威胁、检测到威胁时发送消息以及报告检测项。

访问“按访问常规”属性：

  • 在 ePolicy Orchestrator 控制台中，转至“系统 | 策略目录”，然后选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“按访问扫描常规策略”。

  • 在 VirusScan 控制台中，打开“按访问扫描程序”属性，然后在左窗格中选择“常规设置”。

配置每个选项卡上的选项。对于选项描述，请单击每个选项卡上的 ? 或“帮助”。

选项卡 | 描述
常规
  • 关机过程中扫描引导区和/或软盘驱动器。
  • 启用在系统启动时进行按访问扫描。
  • 存档文件和所有文件的最长扫描时间。
  • 扫描所有已在运行的进程。
  • 如果安装了 AntiSpyware Enterprise Module，则扫描 Cookie 文件。
脚本扫描 | 启用脚本扫描并指定排除项。
阻止
  • 在远程计算机向此系统中写入威胁时发送消息，并指定该消息。
  • 在远程计算机向此系统中写入威胁时阻止连接。
  • 在指定时间后取消阻止连接。
  • 在共享文件夹中检测到带有可能有害的程序的文件时阻止连接。
消息
  • 出现检测项时向本地用户显示消息对话框，并指定该消息。
  • 如果安装了 AntiSpyware Enterprise Module ，则在检测到 Cookie 时发送警报。
  • 配置没有管理员权限的用户可对消息采取的操作。
报告
  • 启用活动日志记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。
  • 指定除扫描活动外还要记录哪些内容。


配置进程设置

按访问扫描进程根据为每个进程指定的风险级别进行配置。可以为所有进程配置一种默认的扫描策略，也可以根据为每个进程指定的风险级别配置不同的策略。参数包含为进程指定风险级别、定义要扫描的项目、执行启发式扫描、扫描压缩文件、对检测项采取操作以及扫描查找可能有害的程序。

访问“默认进程”、“低风险进程”或“高风险进程”属性：

  • 在 ePolicy Orchestrator 控制台中，转至“系统 | 策略目录”，然后选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“按访问默认进程策略”、“按访问低风险进程策略”或“按访问高风险进程策略”。

  • 在 VirusScan 控制台中，打开“按访问扫描程序”属性，然后从左窗格中选择“默认进程”、“低风险进程”或“高风险进程”。

配置每个选项卡上的选项。对于选项描述，请单击每个选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 | 描述
进程
  • 按访问默认进程 - 选择为所有进程配置一种扫描策略，还是为默认进程、低风险进程和/或高风险进程分别配置不同的扫描策略。
    注： 如果选择配置一种扫描策略，那么该策略适用于所有进程。如果选择为低风险进程和/或高风险进程配置不同的扫描策略，那么该策略仅适用于未定义为低风险或高风险的进程。
  • 按访问低风险进程 - 指定已定义为低风险的进程。
  • 按访问高风险进程 - 指定已定义为高风险的进程。
注： 为低风险进程和/或高风险进程配置单独的策略之前，必须在“按访问默认进程”选项卡中选中“为高风险、低风险和默认进程配置不同的扫描策略”选项。
扫描项目
  • 配置是扫描读取时、写入时或网络驱动器上的文件，还是扫描打开进行备份的文件。
  • 配置要扫描的文件和文件类型。
  • 扫描查找类似于有害程序、特洛伊木马程序和宏病毒的潜在威胁。
  • 在存档文件内进行扫描以及对 MIME 编码的文件进行解码。
  • 启用有害程序的按访问扫描。
排除项 | 配置要从扫描操作中排除的磁盘、文件和文件夹。
操作
对于威胁检测项：
  • 检测到威胁时采取的主要操作。
  • 第一项操作失败时对威胁检测项采取的辅助操作。
对于有害程序检测项：
  • 检测到有害程序时采取的主要操作。
  • 第一项操作失败时对有害程序检测项采取的辅助操作。


按需扫描项目

按需扫描程序提供一种方法，用于在适宜时间或定期扫描计算机的所有部分以查找潜在威胁。使用按需扫描可以为按访问扫描程序所提供的持续保护进行补充，或者在不影响您工作的情况下计划定期扫描。

目录

  • 按需扫描方法以及如何定义它们
  • 远程存储扫描的工作原理
  • 扫描延期工作原理
  • 如何对可疑文件进行启发式网络检查
  • 系统使用率工作原理
  • 配置按需扫描任务


按需扫描方法以及如何定义它们

按需扫描程序使用以下两种扫描方法：

内存中的进程扫描

此方法在运行按需扫描任务之前检查所有活动的进程。检测到的可能有害的进程将会突出显示，而进程也将停止。这意味着完整执行一次按需扫描程序即可删除可能有害的程序的所有实例。

增量扫描或可恢复扫描

此方法允许扫描程序在上次暂停扫描的地方开始扫描。对于已经计划了起始时间和停止时间或时间限制的扫描，扫描会在到达时间限制时停止。在下一次计划扫描时，将从文件和文件夹结构中上次扫描的停止处继续执行按需扫描。


远程存储扫描的工作原理

远程存储数据存储具有层次结构，包含两个定义的级别：
  • 上层级别，即本地存储，包括在 Windows 2000 Server 上运行“远程存储”的计算机的 NTFS 磁盘卷。
  • 下层级别，即远程存储，位于连接到服务器计算机的自动磁带库或独立磁带机上。

“远程存储”会自动将您本地卷上符合条件的文件复制到磁带库中，然后监视本地卷上的可用空间。文件数据将在本地进行缓存，以便根据需要对其进行快速访问。必要时，“远程存储”会将数据从本地存储移至远程存储。当您需要访问“远程存储”所管理的卷上的文件时，请照常打开该文件。如果文件的数据不再缓存在本地卷上，则“远程存储”会从磁带库中重新调用该数据。


扫描延期工作原理

为了提升性能，您可以在电池电量较低或演讲过程中将按需扫描任务延期。还可以允许用户将已计划的扫描延后一至二十四小时（每次增加一小时）或延后无限长时间。每次用户延期的持续时间至少是一小时。例如，如果“最长推迟时间”选项设置为 2，则用户可以延后扫描任务两次或两个小时。经过指定的最长推迟小时数后，扫描任务将会继续运行。如果管理员通过将该选项设置为零来允许无限制的推迟，则用户可以继续无限期地推迟扫描。


如何对可疑文件进行启发式网络检查

使用基于 Windows 的 McAfee 防病毒产品的客户可通过此功能对某些最新的恶意软件进行实时检测。此功能使用敏感度等级来查找在 VirusScan Enterprise 保护的客户端系统上运行的可疑程序和 DLL。恶意软件实时防护检测到可疑程序时，会向 McAfee Avert Labs 托管的中心数据库服务器发送 DNS 请求。实时防护功能不会对恶意软件提供“分类”保护，只针对某些可疑示例进行保护。防范特定威胁的好处是：几乎在 McAfee Avert Labs 确定某个样本属恶意软件的同时，我们提供的功能就可以立刻保护安装有 McAfee 安全产品的用户免受该恶意软件的危害。 In this release, the feature is disabled by default.启用该功能时必须选择某个敏感度等级。


系统使用率工作原理

启动按需扫描的同时也会确定系统使用率。系统会在头 30 秒钟采集 CPU 和 IO 样本，然后会根据指定的使用率水平进行扫描。

指定的系统使用率不适用于加密的文件。解密是通过 LSASS.EXE，而不是 Scan32 进程完成的。扫描加密文件会大量占用 CPU。不过，即使扫描线程的系统限制很低，扫描文件的速度仍然相当快，因此 LSASS.EXE 必须持续提供解密数据。


配置按需扫描任务

VirusScan Enterprise 包含默认的按需扫描任务。您可以使用默认的任务，也可以创建新任务。

访问按需扫描任务：

  • 在 ePolicy Orchestrator 控制台中，请转到“系统 | 系统树 | 客户端任务”。选择现有的按需任务或访问默认任务，单击“新任务” ，然后从“类型”列表中选择“按需扫描 (VirusScan Enterprise 8.7.0)”并单击“下一步”。

  • 从 VirusScan 控制台中，选择现有的按需扫描任务或访问默认任务，打开“完全扫描”属性。如果您安装了 AntiSpyware Enterprise Module，请打开“目标扫描”属性。要新建任务，请选择“任务 | 新的按需扫描任务”。

配置每个选项卡上的选项。对于选项描述，请单击每个选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 | 描述
扫描位置
  • 指定要扫描的位置和项目。
  • 扫描时包含子文件夹。
  • 扫描时包含引导区。
扫描项目
  • 配置要扫描的文件和文件类型。
  • 针对有害程序启用按需扫描。
  • 在存档文件内进行扫描以及对 MIME 编码的文件进行解码。
  • 扫描已备份到存储器的文件。
  • 扫描查找类似于有害程序、特洛伊木马程序和宏病毒的潜在威胁。
排除项 | 配置要从扫描操作中排除的磁盘、文件和文件夹。
性能
  • 配置何时将扫描延后以及延后多长时间。
  • 指定系统使用率。
  • 配置敏感度等级以便对可疑文件进行启发式网络检查。
操作
对于威胁检测项：
  • 检测到威胁时采取的主要操作。
  • 第一项操作失败时对威胁检测项采取的辅助操作。
对于有害程序检测项：
  • 检测到有害程序时采取的主要操作。
  • 第一项操作失败时对有害程序检测项采取的辅助操作。

对于提示对话框中的允许操作，请直接选择该操作。
报告
  • 启用活动日志记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。
  • 指定除扫描活动外还要记录哪些内容。
  • 如果安装了 AntiSpyware Enterprise Module，则会在检测到 Cookie 时发出警报。
任务 指定运行按需扫描任务的位置。
注： 该选项卡仅在 ePolicy Orchestrator 中提供。


发送时扫描电子邮件和按需扫描电子邮件

电子邮件扫描程序自动检查电子邮件和附件：

  • Microsoft Outlook 是在发送时扫描电子邮件，您也可以直接从 Microsoft Outlook 调用按需电子邮件扫描。
  • 对于 Lotus Notes，则在访问电子邮件时执行扫描。

目录

  • 如何对可疑文件进行启发式网络检查
  • 配置电子邮件扫描属性


如何对可疑文件进行启发式网络检查

使用基于 Windows 的 McAfee 防病毒产品的客户可通过此功能对某些最新的恶意软件进行实时检测。此功能使用敏感度等级来查找在 VirusScan Enterprise 保护的客户端系统上运行的可疑程序和 DLL。恶意软件实时防护检测到可疑程序时，会向 McAfee Avert Labs 托管的中心数据库服务器发送 DNS 请求。实时防护功能不会对恶意软件提供“分类”保护，只针对某些可疑样本进行保护。防范特定威胁的好处是：几乎在 McAfee Avert Labs 确定某个样本属恶意软件的同时，我们提供的功能就可以立刻保护安装有 McAfee 安全产品的用户免受该恶意软件的危害。 In this release, the feature is disabled by default.启用该功能时必须选择某个敏感度等级。


配置电子邮件扫描属性

选项卡描述

访问“发送时电子邮件扫描”属性：

  • 在 ePolicy Orchestrator 控制台中，转至“系统 | 策略目录” ，然后选择“产品” 列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“发送时电子邮件扫描程序策略”。

  • 在 VirusScan 控制台中，打开“发送时电子邮件扫描程序”属性。

访问“按需电子邮件扫描”属性：

  • 在 Microsoft Outlook 中，选择“工具 | 电子邮件扫描属性”。

配置每个选项卡上的选项。对于选项描述，请单击每个选项卡上的 ? 或“帮助”。

选项卡 描述
扫描项目
  • 指定要扫描的邮件和附件。
  • 扫描查找类似于恶意软件的潜在威胁。
  • 扫描查找未知的宏病毒。
  • 查找带有多个扩展名的附件。
  • 在存档文件内进行扫描以及对 MIME 编码的文件进行解码。
  • 启用电子邮件扫描程序扫描查找有害程序。
  • 扫描电子邮件正文。
  • 配置敏感度等级以便对可疑文件进行启发式网络检查。
    注： 此选项仅适用于“发送时电子邮件扫描”。
操作
对于威胁检测项：
  • 检测到威胁时采取的主要操作。
  • 第一项操作失败时采取的辅助操作。
对于有害程序检测项：
  • 检测到有害程序时采取的主要操作。
  • 第一项操作失败时采取的辅助操作。

对于提示对话框中的允许操作，请直接选择该操作。
警报
  • 检测到包含威胁的电子邮件时通知其他用户。
  • 指定提示操作时显示给用户的消息。
报告
  • 启用活动日志记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。
  • 指定除扫描活动外还要记录哪些内容。
Notes 扫描程序设置
注： 此选项卡仅适用于“发送时电子邮件扫描”。

配置 Lotus Notes 特定的设置。

  • 扫描所有服务器数据库。
  • 扫描指定邮箱根文件夹中的服务器邮箱。
  • 要忽略的 Notes 应用程序。


定义隔离策略

根据配置的隔离策略对检测到的文件、注册表项和注册表值进行隔离。必要时恢复隔离的项目。

目录

  • 配置隔离策略以及恢复项目


配置隔离策略以及恢复项目

要访问“隔离”策略和“恢复”属性，请参阅如下所述的每种方法。

配置各选项卡上的选项。有关选项描述，请单击各选项卡上的 ? 或“帮助”。

ePolicy Orchestrator - 隔离策略

在 ePolicy Orchestrator 控制台中，请转到“系统 | 策略目录”并选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“Quarantine Manager 策略”。

选项卡描述

选项卡 描述
策略
  • 指定隔离位置
  • 配置保留隔离项目的时间。

ePolicy Orchestrator - 从隔离任务恢复

在 ePolicy Orchestrator 控制台中，请转到“系统 | 系统树 | 客户端任务”并选择“新建任务”，然后在“类型”下选择“从隔离区恢复 (VirusScan Enterprise 8.7.0)”。

选项卡描述

选项卡 | 描述
恢复 | 指定要恢复的项目。 注： 可在日志文件中找到要恢复的项目名称作为检测项名称。
任务 | 指定可以访问隔离位置的用户帐户。

VirusScan 控制台 - Quarantine Manager 策略

在“VirusScan 控制台”中，请打开“Quarantine Manager 策略”属性。

选项卡描述

选项卡 描述
隔离
  • 指定隔离位置。
  • 配置保留隔离项目的时间。
管理器
  • 恢复、重新扫描、删除和查看隔离项目。
    注：

    可在日志文件中找到要恢复的项目名称作为检测项名称。

  • 针对误报检查隔离项目。


配置警报和通知

检测到潜在威胁时接收通知是保护环境的一个重要部分。出现检测项时，可以使用 Alert Manager 或 VirusScan Enterprise 本地警报向您发出通知。

  • Alert Manager 是一个独立的组件，可以与 VirusScan Enterprise 结合使用来实时处理警报和事件。在典型配置中，Alert Manager 位于中央服务器上，可以侦听 VirusScan Enterprise 向其发送的警报。可以使用它来配置警报的发送目的地和发送方式，以及警报消息的内容。
  • VirusScan Enterprise 提供了用于配置 Alert Manager 的界面以及其他不需要 Alert Manager 的警报选项。按严重性过滤警报以限制发送到 Alert Manager 的警报流量，以及配置不需要 Alert Manager 的本地警报选项。

目录

  • 配置警报


配置警报

要访问“警报”属性：

  • 在 ePolicy Orchestrator 控制台中，请转到“系统 | 策略目录”并选择“产品”列表中的 VirusScan Enterprise 8.7.0 和“类别”列表中的“警报策略”。

  • 在“VirusScan 控制台”中，选择“工具 | 警告”。

    配置各选项卡上的选项。有关选项描述，请单击各选项卡上的 ? 或“帮助”。

选项卡描述

选项卡 描述
Alert Manager 警报
  • 指定生成警报的组件。
  • 配置 Alert Manager。
其他警报选项
  • 按严重性过滤警报。
  • 配置本地警报。


访问查询和仪表板

使用查询和仪表板可监视活动，帮助您确定针对检测项要采取的操作。可以使用预定义的查询和仪表板，也可以根据您的需求创建其他仪表板和查询。有关查询和仪表板的信息，请参阅 ePolicy Orchestrator 产品文档。

查询

要访问 ePolicy Orchestrator 控制台中的查询，请转到“报告”，然后在“查询”下滚动到以 VSE 开头之查询。

可用的预定义查询有：

  • VSE:最近 30 天的符合性
  • VSE:每周检测到威胁的计算机
  • VSE:当前 DAT 采用情况
  • VSE:最近 24 小时 DAT 采用情况
  • VSE:DAT 部署
  • VSE:检测响应摘要
  • VSE:按标记显示检测的数量
  • VSE:最近 24 小时检测到的间谍程序
  • VSE:最近 7 天检测到的间谍程序
  • VSE:最近 24 小时检测到的威胁的摘要
  • VSE:最近 7 天检测到的威胁的摘要
  • VSE:按严重性显示的威胁计数
  • VSE:每周检测到的威胁名称
  • VSE:最近 24 小时检测到的威胁
  • VSE:最近 7 天检测到的威胁
  • VSE:前 2 个季度检测到的威胁
  • VSE:每周检测到的威胁
  • VSE:前 10 个违反的访问保护规则
  • VSE:检测到的前 10 个缓冲区溢出
  • VSE:检测次数最多的前 10 台计算机
  • VSE:前 10 个检测到的威胁
  • VSE:前 10 个威胁来源
  • VSE:每个威胁类别的前 10 个威胁
  • VSE:检测次数最多的前 10 位用户
  • VSE:最近 24 小时检测到的有害程序
  • VSE:最近 7 天检测到的有害程序
  • VSE:8.5 版符合性
  • VSE:8.7 版符合性

仪表板

要访问 ePolicy Orchestrator 控制台中的仪表板，请转到“仪表板”。

可用的预定义仪表板有：
  • VSE:趋势数据
  • VSE:当前检测数


响应检测项

对于检测项可采取不同的操作方式，具体取决于使用哪个功能来检测威胁。

目录

  • 如何针对检测项采取操作
  • 违反系统访问点
  • 缓冲区溢出检测项
  • 有害程序检测项
  • 按访问扫描检测项
  • 按需扫描检测项
  • 电子邮件扫描检测项
  • 隔离的项目


如何针对检测项采取操作

存在检测项时，生成的操作将取决于如何在 DAT 文件中定义检测项定义。例如，如果扫描程序无法清除文件或者文件的损坏程度很高以致无法修复，则扫描程序可能会删除文件或采取辅助操作，具体取决于其在 DAT 文件中的定义。

如果扫描程序拒绝访问包含潜在威胁的文件，则保存文件时，扫描程序还会在文件名后面附加 .mcm 扩展名。


违反系统访问点

违反系统访问点时，所采取的操作取决于规则的配置情况：

  • 如果规则配置为报告，将在日志文件中记录相应信息。

  • 如果规则配置为阻止，将阻止相应的访问。

查看日志文件，确定违反了哪些系统访问点以及哪些规则检测到违反行为，然后配置访问保护规则，允许用户访问合法项目，但阻止用户访问受保护项目。

使用这些方案来决定要采取的响应措施。

检测类型 方案
有害进程
  • 如果规则在日志文件中报告了该违反行为但未加阻止，请选择该规则的 Block（阻止）选项。
  • 如果规则阻止了该违反行为但未在日志文件中进行报告，请选择该规则的 Report（报告）选项。
  • 如果规则阻止并在日志文件中报告了该违反行为，则无需采取任何操作。
  • 如果您发现某个有害进程未被检测到，请编辑该规则，使其包含该进程。
合法进程
  • 如果规则在日志文件中报告了该违反行为但未加阻止，请取消选择该规则的 Report（报告）选项。
  • 如果规则阻止并报告在日志文件中了该违反行为，请编辑该规则，排除该合法进程。


缓冲区溢出检测项

出现缓冲区溢出检测项时：

  • 扫描程序阻止该检测项。
  • 将在“按访问扫描消息”对话框中记录一条消息。查看该对话框，然后决定是否采取以下任何附加的操作：
    • 删除消息 - 在列表中选择相应项目，然后单击“删除”。
    • 创建排除项 - 如果检测到的进程是您合法使用的进程或者是误报，可以使用“按访问扫描消息”对话框中的信息创建一个排除项。查看“名称”列中的信息，确定正在进行调用并拥有可写内存的进程的名称。使用进程名创建排除项。
    • 将样本提交到 Avert Labs 进行分析 - 如果扫描程序检测到您认为不应检测到的内容，或没有检测到您认为应检测到的内容，则可以发送样本到 Avert Labs。


有害程序检测项

按访问扫描程序、按需扫描程序和电子邮件扫描程序都将根据配置的“有害程序策略”检测有害程序。出现检测项后，检测到可能有害的扫描程序将会应用在“操作”选项卡中针对该扫描程序配置的操作。

查看日志文件中的信息，然后决定是否采取以下任何附加的操作：

  • 微调扫描项目，提高扫描效率。
  • 如果检测到合法程序，可以将该程序从检测项中排除。
  • 如果未检测到某个有害程序，可以将该程序添加到用户定义的检测项列表。
  • 将样本提交到 Avert Labs 进行分析 - 如果扫描程序检测到您认为不应检测到的内容，或没有检测到您认为应检测到的内容，则可以发送样本到 Avert Labs。


按访问扫描检测项

出现检测项后：

  • 扫描程序将根据“按访问扫描属性”的“操作”选项卡中的配置采取相应操作。
  • 将在“按访问扫描消息”对话框中记录一条消息。

查看活动日志和/或“按访问扫描消息”对话框中的信息，然后决定是否采取以下任何附加的操作。

  • 微调扫描项目，提高扫描效率。
  • 按访问扫描消息对话框 - 右键单击列表中的某个项目，然后选择下列一项操作：
    • 清理文件 - 尝试清除所选消息引用的文件。
    • 删除文件 - 删除所选消息引用的文件。文件名记录在日志中，以便从 Quarantine Manager 中还原该文件。
    • 全选 (Ctrl+a) - 选择列表中的所有消息。
    • 从列表中删除消息 (Ctrl+d) - 从列表中删除所选消息。已从列表中删除的消息在日志文件中仍然可见。
    • 删除所有消息 - 从列表中删除所有消息。已从列表中删除的消息在日志文件中仍然可见。
    • 打开按访问扫描程序日志文件 - 打开按访问扫描程序活动日志文件。只能从“文件”菜单中找到此选项。
    • 打开访问保护日志文件 - 打开访问保护活动日志文件。只能从“文件”菜单中找到此选项。
    • 如果不能对当前消息采取某项操作，则相应的图标、按钮和菜单项都将被禁用。例如，如果文件已删除，则“清除”将不可用，而如果管理员抑制了“删除”操作，则“删除”将不可用。
    • 清理文件 - 如果 DAT 文件没有清除程序或者损坏严重以致无法修复，则无法清除相应文件。如果无法清除文件，扫描程序将在其文件名后面附加 .mcm 扩展名，并拒绝对其进行访问。在日志文件中记录一个条目。在此情况下，建议删除该文件，然后从未感染的备份副本进行还原。
  • 将样本提交到 Avert Labs 进行分析 - 如果扫描程序检测到您认为不应检测到的内容，或没有检测到您认为应检测到的内容，则可以发送样本到 Avert Labs。


按需扫描检测项

出现检测项后，扫描程序将根据“按需扫描属性”的“操作”选项卡中的配置采取相应操作。

查看日志文件中的信息，然后决定是否采取以下任何附加的操作：

  • 微调扫描项目，提高扫描效率。
  • 如果将扫描程序配置为“操作提示”，则从“按需扫描进度”对话框中选择操作。
  • 将样本提交到 Avert Labs 进行分析 - 如果扫描程序检测到您认为不应检测到的内容，或没有检测到您认为应检测到的内容，则可以发送样本到 Avert Labs。


电子邮件扫描检测项

出现检测项后，扫描程序将根据“发送时电子邮件扫描属性”或“按需电子邮件扫描属性”的“操作”选项卡中的配置采取相应操作。

查看日志文件中的信息，然后决定是否采取以下任何附加操作：

  • 微调扫描项目，提高扫描效率。
  • 将样本提交到 Avert Labs 进行分析 - 如果扫描程序检测到您认为不应检测到的内容，或没有检测到您认为应检测到的内容，则可以发送样本到 Avert Labs。


隔离的项目

查看隔离目录中的项目，然后决定是否采取以下任何附加的操作：

  • 恢复。

  • 重新扫描。

  • 删除。

  • 检查误报。

  • 查看检测属性。

在 ePolicy Orchestrator 控制台中，使用“从隔离区恢复”客户端任务来对隔离的项目采取操作。

在 VirusScan Enterprise 控制台中，使用“管理器”选项卡中的“Quarantine Manager 策略”选项来对隔离的项目采取操作。


补充信息

有关使用 VirusScan Enterprise 的补充信息，请参阅下列主题。

目录

  • 访问用户界面选项
  • 添加和排除扫描项
  • 计划任务
  • 配置命令行选项
  • 连接到远程系统
  • 提交威胁样本以供分析
  • 访问 Avert Labs 威胁库
  • 疑难解答


访问用户界面选项

可以通过多种方式来访问单机版本的 VirusScan Enterprise 用户界面。使用 ePolicy Orchestrator 管理产品时这些信息并不适用。


VirusScan 控制台及其工作原理

“VirusScan 控制台”是针对单机版程序活动的界面。使用以下方法之一打开“VirusScan 控制台”：
  • 从“开始”菜单，选择“程序 | McAfee | VirusScan 控制台”。
  • 右键单击系统任务栏中的“VirusScan Enterprise”盾牌图标，然后选择“VirusScan 控制台”。
VirusScan 控制台分为以下部分：
  • 菜单栏 — 使用菜单项可创建任务、配置属性并访问其他信息。
    • 任务 — 创建和配置任务，如扫描威胁或更新 DAT 文件。
    • 编辑 — 复制、粘贴、删除或重命名所选任务。
    • 查看 — 显示工具栏和/或状态栏并刷新显示。
    • 工具 — 配置用户的界面选项、锁定或解锁用户界面安全、配置警报、访问事件查看器、打开远程控制台（如果您具有管理员权限），导入或编辑存储库列表以及回滚 DAT 文件。
    • 帮助 - 访问在线帮助主题、Avert Labs 网站上的威胁库、“提交样本”网站和“技术支持”网站。您也可以修复产品安装并查看“关于”对话框，获取版权信息以及安装的产品、许可证、定义文件、扫描引擎、附加驱动程序和修补程序的版本。
    注： 菜单中的每一项都有一个关联的快捷键。每一项的快捷键都带有下划线。这些快捷键在某些操作系统中可能不可用，除非使用键盘（F10 或 Alt）访问相应菜单。
  • 工具栏 — 使用这些图标可访问这些常用的命令：
    • 显示所选任务的属性。
    • 启动所选任务。
    • 停止所选任务。
    • 复制所选任务。
    • 粘贴所选任务。
    • 删除所选任务。
    • 配置警报属性。
    • 启动事件查看器。
    • 访问 Avert Labs 网站上的信息库。
    • 连接至远程计算机（如果您具有管理员权限）。
    • 新建按需扫描。
  • 任务列表 — 显示默认任务和您创建的任何任务，以及每个任务的状态和最后结果。
  • 状态栏 — 显示当前活动的状态。


使用右键功能

使用右键单击功能可快速访问常用操作，如新建任务、查看任务统计信息和日志、打开任务属性页、扫描特定文件或文件夹或者执行即时更新任务。

功能说明

位置 说明 示例
控制台 在“VirusScan 控制台”中右键单击可显示右键单击功能。这些功能不尽相同，具体取决于是否在任务列表中选择了任务以及选择了哪个任务。
  • 在控制台中，右键单击某个任务可访问其属性。您也可以启动、停止、启用或禁用该任务，以及查看统计信息和活动日志，具体取决于您所选择的任务。在某些情况下，您还可以重命名或删除任务。
  • 右键单击该控制台的空白区域可新建扫描或更新任务。
Windows 资源管理器 右键单击所选文件或文件夹，可对该项目执行即时“完全扫描”。您可以为扫描选择一项操作：
  • 清除 — 报告并清除检测到的项目。
  • 继续 — 报告检测到的项目并继续扫描。

对您怀疑受到威胁的文件或文件夹执行即时扫描。

启动扫描时，会直接调用按需扫描程序，同时启用所有扫描设置。选择操作选项。您不能自定义任何其他的扫描设置。
系统任务栏 右键单击 VirusScan Enterprise 盾牌图标可显示菜单项。
  • 打开“VirusScan 控制台”。
  • 禁用或启用按访问扫描程序。
  • 打开按访问扫描程序属性。
  • 查看按访问扫描统计信息或消息。
  • 创建一次性可配置的按需扫描。
  • 执行即时更新任务。
  • 打开“关于”对话框。


系统任务栏及其工作原理

VirusScan Enterprise 安装完成后，将在 Windows 系统任务栏中出现盾牌图标（如果在安装过程中配置了此功能）。

考虑下列内容：
  • 按访问扫描程序检测到违反访问保护规则的行为时，图标将变化。该图标周围的红色边框将保留三十分钟（除非您重置它）。有关详细信息，请参阅“保护系统访问点”一节中的“违反访问规则的行为以及 VirusScan Enterprise 的响应方式”。
  • 双击该图标，显示以下菜单项：
    • VirusScan 控制台 - 打开“VirusScan 控制台”。
    • 禁用按访问扫描 — 在禁用和启用之间切换。
      注： 访问保护、缓冲区溢出保护和脚本扫描功能使用按访问扫描程序。如果禁用按访问扫描程序，您将会面临违反访问规则、缓冲区溢出或执行有害脚本等威胁。
    • 按访问扫描属性 - 打开按访问扫描程序的属性页。
    • 按访问扫描统计信息 - 显示按访问扫描程序统计信息，您可在此启用或禁用按访问扫描程序，以及打开按访问扫描程序属性页。
    • 按访问扫描消息 — 显示按访问扫描程序消息，您可在此对列表中的项目采取操作。
    • 按需扫描 — 打开不保存的任务的按需扫描任务属性页，您可在此创建一次性按需扫描任务。
    • 立即更新 — 执行即时 AutoUpdate 任务。
    • 关于 VirusScan Enterprise - 显示有关产品、许可证以及所安装的扫描引擎版本、检测定义文件版本、附加驱动程序 (extra.dat) 版本和修补程序版本的信息。


开始菜单和它如何用于 VirusScan Enterprise

从 Windows 的“开始”菜单，选择“程序 | McAfee”可访问以下菜单项：
  • VirusScan 控制台 - 打开“VirusScan 控制台”。
  • 按访问扫描 - 打开按访问扫描属性页。
  • 按需扫描 — 打开按需扫描属性页，您可在此配置和执行不保存的一次性“完全扫描”。


命令行和使用命令行配置 VirusScan Enterprise

使用该命令行可从命令提示符执行活动。请参阅“命令行选项”以了解详细信息。


添加和排除扫描项

在配置检测项设置时，每个 VirusScan Enterprise 扫描程序都允许您微调扫描的文件类型列表。


指定扫描项目

通过向默认列表中添加扫描项目或创建特定的扫描扩展名列表来微调扫描功能。

选项定义

选项 定义
要扫描的文件类型
  • 默认 + 其他文件类型 - 指定其他文件扩展名以及是否同时扫描所有文件中的宏。扫描程序可以容纳的其他文件类型扩展名的最大数量为 1,000。
  • 仅指定的文件类型 - 创建特定的扫描扩展名列表。扫描程序可以容纳的其他文件类型扩展名的最大数量为 1,000。


指定排除项

指定要从扫描操作中排除的文件、文件夹和驱动器。您也可以删除以前指定的任何排除项。

选项定义

选项 定义
不扫描的项目 选择排除项的类型。
  • 按模式排除 - 指定模式以及是否包含子文件夹。
  • 按文件类型排除 - 指定文件类型。
  • 按文件存在时间排除 - 指定访问类型和最短存在时间（天）。
  • 受“Windows 文件保护”的保护 - 排除具有“Windows 保护文件”状态的文件。


使用通配符指定扫描项目

使用通配符指定或排除扫描项目时适用以下限制：

  • 有效通配符为问号 (?)，用于排除单个字符；星号 (*)，用于排除多个字符。
  • 通配符可出现在路径中反斜杠 (\) 的前面。例如：C:\ABC\*\XYZ 与 C:\ABC\DEF\XYZ 相匹配。

  • 如果字符数与文件或文件夹名的长度相符，则适用包含问号 (?) 字符的排除项。例如：排除项 W?? 将排除 WWW，但不排除 WW 或 WWWW。

  • 语法已扩展为包含双星号 (**)，表示没有或有多个任意字符（包含反斜杠）。它允许多级排除项。例如：C:\ABC\**\XYZ 与 C:\ABC\DEF\XYZ 和 C:\ABC\DEF\DEF\XYZ 等等相匹配。


计划任务

您可以选择按计划在特定的日期和时间，或按特定间隔运行按需、AutoUpdate 和镜像任务。


配置任务计划

配置在指定时间或时间间隔内运行该任务。

注： 要计划此任务，您必须具有管理权限。管理员权限可为用户提供对计划任务注册表项的写访问权限。

要计划任务，请单击任务属性对话框中的“计划”按钮。

选项卡描述

选项卡 说明
任务
  • 启用在指定时间运行计划任务。
  • 如果任务运行指定的小时和分钟，则停止该任务。
  • 指定用户帐户设置：用户名、域和密码。
计划

指定计划频率和关联设置。


配置命令行选项

可以从命令行安装、配置和运行 VirusScan Enterprise。《VirusScan Enterprise 安装指南》对安装选项进行了描述。本节将描述执行按需扫描和更新任务的选项。


配置按需扫描命令行选项

按需扫描程序使用 SCAN32.EXE 检测威胁。

SCAN32 语法不要求其元素有任何特定顺序，只是不能将属性与其值分开。该语法由以下部分组成：
  • 文件名 - 可执行文件的名称：SCAN32.EXE。
  • 选项 - 选项前面都包含一个正斜杠 (/) 字符，不区分大小写。
例如，SCAN32 PROPERTY=VALUE [,VALUE] [/选项]。

按需扫描选项定义

命令行选项 | 定义
ALL | 扫描目标文件夹中的所有文件。
ALLOLE | 扫描默认文件以及所有 Microsoft Office 文档。
ALWAYSEXIT | 强制退出按需扫描，即使扫描已完成（但出现错误或失败），也是如此。
APPLYNVP | 扫描在“有害程序策略”中定义的可能有害的程序。
ARCHIVE | 扫描存档文件，如 .ZIP、.CAP、LZH 和 .UUE 文件。
AUTOEXIT | 完成非交互式扫描后，退出按需扫描程序。
CLEAN | 发现可能有害的程序时，清除检测到的目标文件。
CLEANA | 发现有害程序时，清除检测到的文件。
CONTINUE | 检测到可能有害的程序后，继续扫描。
CONTINUE2 | 检测到可能有害的程序且主要操作失败后，继续扫描。
CONTINUEA | 检测到有害程序后，继续扫描。
CONTINUEA2 | 检测到有害程序且主要操作失败后，继续扫描。
DEFEXT | 将指定为参数的文件扩展名添加到扫描中包括的选定文件类型列表中。
DELETE | 发现可能有害的程序时，删除检测到的文件。
DELETE2 | 发现可能有害的程序且主要操作失败时，删除检测到的文件。
DELETEA | 检测到有害程序时，删除该文件。
DELETEA2 | 检测到可能有害的程序且主要操作失败时，删除该文件。
EDIT | 显示扫描属性对话框。
EXT | 使用（作为此实际参数后的形式参数）添加的文件扩展名，替换扫描中包括的选定文件类型列表中的扩展名。
LOG | 将检测报告记录到先前指定的日志文件。
LOGFORMAT <值> | 使用指定的日志文件格式。有效值包括 ANSI、UTF8 或 UTF16。
LOGSETTINGS | 记录扫描的配置设置。
LOGSUMMARY | 记录扫描结果摘要。
LOGUSER | 记录有关执行扫描的用户的标识性信息。
MHEUR | 启用对宏威胁的启发式检测。
MIME | 检测 mime（多用途 Internet 邮件扩展）编码的文件中可能有害的程序。
NOESTIMATE | 在开始扫描文件前，不计算扫描大小。不显示进度栏。
PHEUR | 启用对非宏威胁的启发式检测。
PRIORITY | 设置扫描相对于其他 CPU 进程的优先级。需要另一个数值参数。值为 1 时，将为所有其他 CPU 进程指定优先级。值为 5 时，将为扫描指定最高优先级。
PROMPT | 检测到可能有害的程序时，提示用户采取适当的操作。
PROMPT2 | 检测到可能有害的程序且主要操作失败时，提示用户采取适当的操作。
PROMPTA | 检测到有害程序时，提示用户采取适当的操作。
PROMPTA | 检测到有害程序时，提示用户采取适当的操作。
PROMPTA | 检测到有害程序时，提示用户采取适当的操作。
PROMPTA | 检测到有害程序时，提示用户采取适当的操作。
PROMPTA2 | 检测到有害程序且主要操作失败时，提示用户采取适当的操作。
RPTSIZE | 设置警报日志的大小 (MB)。
START | 运行扫描。不显示属性对话框。
TASK | 启动在 VirusScan 控制台中指定的按需扫描程序任务。需要其他参数来指定在以下注册表路径中记录的指定任务 ID：hkey_local_machine_\software\McAfee\Desktop\Protection\Tasks。
UINONE | 在不显示用户界面对话框的情况下启动扫描程序。


配置更新任务命令行选项

VirusScan Enterprise 使用 MCUPDATE.EXE 执行更新任务。

MCUPDATE 语法不要求其元素有任何特定顺序，只是不能将属性与其值分开。该语法由以下部分组成：
  • 文件名 - 可执行文件的名称：MCUPDATE.EXE。
  • 选项 - 选项前面都包含一个正斜杠 (/) 字符，不区分大小写。
例如，MCUPDATE [/<类型> [/TASK <guid>]] [/选项]。

/TASK 子句是可选的。但如果使用该子句，还必须指定更新任务 ID (guid)。选择的任务 ID 必须为更新任务或回滚 DAT 任务的 ID。请不要选择扫描 ID。如果不指定任务 ID，则将使用默认的更新任务。任务 ID 位于：hkey_local_machine\SOFTWARE\McAfee\DesktopProtection\Tasks\

/OPTION 子句是可选的。要执行静默更新任务，请使用 /QUIET。
注： 不支持将 /QUIET 选项与回滚 DAT 任务一起使用。该示例执行无提示更新任务：MCUPDATE [/UPDATE] [/QUIET]。

更新任务选项定义

命令行选项 | 定义
ROLLBACKDATS | 将当前 DAT 文件回滚到上一个备份版本。
UPDATE | 执行 DAT 文件、扫描引擎、产品或 extra.dat 更新。
/TASK | 启动在 VirusScan 控制台中指定的 AutoUpdate 或回滚 DAT 任务。需要其他参数来指定在以下注册表路径中记录的任务 ID： hkey_local_machine\software\McAfee\DesktopProtection\Tasks
/QUIET | 以无提示的方式执行任务。


连接到远程系统

您可以连接到安装了 VirusScan Enterprise 的远程系统，在远程系统上执行修改或计划扫描或更新任务、启用和禁用按访问扫描程序等操作。
注： 如果您不具有连接至远程系统的管理员权限，则会收到“用户权限不足，拒绝访问”错误消息。

启动“VirusScan 远程控制台”时，您所连接到的系统的名称将出现在控制台标题栏中。如果没有连接到网络中的任何系统，标题栏不会显示本地系统的名称。从远程控制台打开任何任务的属性对话框时，系统名称将会显示在属性对话框标题栏中。

您可以打开多个远程控制台。关闭“连接至远程计算机”对话框时，远程系统的连接也同时关闭。


访问安装了 VirusScan Enterprise 的远程系统

连接到安装有 VirusScan Enterprise 的远程系统。

任务

在 VirusScan 控制台中，选择“工具”菜单中的“打开远程控制台”。

  1. 在“连接至计算机”下，键入要管理的系统名称，从列表中选择系统，或单击“浏览”查找网络中的系统。
    注： 如果在为远程任务配置文件或文件夹的路径名时使用环境变量，请确保远程系统上存在该环境变量。“VirusScan 控制台”无法验证远程系统上的环境变量。
  2. 单击“确定”尝试连接到目标系统。 连接到远程系统后：
    • 标题栏会发生变化，以反映出该系统的名称。
    • 控制台读取远程系统的注册表，并显示远程系统的任务。您可以为远程系统添加、删除或重新配置任务。


提交威胁样本以供分析

如果发现当前 DAT 文件未能检测到的潜在威胁，可以将其样本通过 WebImmune 提交给 McAfee Avert Labs。Avert Labs 会对该样本进行分析并考虑将其包含在 DAT 文件中。

如果本扫描程序检测到了您认为不应当检测到的内容，也可以通过 WebImmune 将其样本提交给 Avert Labs。Avert 会对样本进行分析并考虑将其从 DAT 文件中排除。

您可以直接访问网站、使用电子邮件或标准邮件，通过 WebImmune 将样本提交给 Avert Labs。

WebImmune

在 VirusScan 控制台中，选择“帮助 | 提交样本”可访问该网站。

网站位于：https://www.webimmune.net/default.asp。

  1. 登录您的免费帐户或创建一个免费帐户。
  2. .直接将文件上载到 Avert Labs 的自动审查系统。如果需要其他研究，这些项目将会转交给 Avert Labs 分析人员进行处理。

电子邮件

直接向 Avert Labs 的自动审查系统发送电子邮件。如果需要其他研究，这些项目将会转交给 Avert Labs 分析人员进行处理。

全球电子邮件地址是 virus_research@avertlabs.com。
注： 从 WebImmune 网站获得其他地区性的地址。

标准邮件

从 WebImmune 网站获得该地址。
注： 这是最不推荐您使用的方法。以这种方式提交样本时，您的样本审查周期将会最长。


访问 Avert Labs 威胁库

要从 VirusScan 控制台访问 Avert Labs 威胁库，请从“帮助”菜单中选择“McAfee Avert Labs 威胁库”。


疑难解答

本节讲述 VirusScan Enterprise 产品的疑难解答信息。


修复产品安装

使用 VirusScan Enterprise 修复安装实用程序可以恢复程序的默认安装设置，以及/或者重新安装所有程序文件。

要访问“修复安装”实用程序，请从 VirusScan 控制台中选择“帮助 | 修复安装”。
注： 此功能可以在 ePolicy Orchestrator 控制台中找到。

选项定义

选项 | 定义
将所有设置恢复为安装默认设置。 | 恢复 VirusScan Enterprise 默认安装设置。 警告： 自定义的设置可能会丢失。
重新安装所有程序文件 | 重新安装 VirusScan Enterprise 程序文件。 警告： 修补程序、补丁程序和/或 Service Pack 可能被覆盖。


常见问题

本节以常见问题的形式讲述疑难解答信息。

安装

  • 问题：我使用“静默安装”方法安装了该软件，但 Windows 系统任务栏中并未显示 VirusScan Enterprise 图标。

    答案：只有重新启动系统，系统任务栏中才会显示该盾牌图标。但是，即使未显示该图标，VirusScan Enterprise 也已运行，您的系统已受到保护。可通过检查以下注册表项对此进行验证：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ ShStatEXE="C:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE"/STANDALONE。

  • 问题：为什么网络中的某些用户可以配置自己的设置，而其他用户却不可以？

    答案：管理员可能配置了用户界面，使任务受到密码保护。此时，用户便无法更改这些设置。此外，不同的 Windows 操作系统具有不同的用户权限。有关用户权限的详细信息，请参阅 Microsoft Windows 文档。

可能有害的程序

  • 问题：我怀疑系统中存在可能有害的程序，但 VirusScan Enterprise 没有检测出来。

    答案：请从以下网站下载最新的测试版 DAT 文件（仍在测试中，尚未正式发布）：http://vil.nai.com/vil/virus-4d.asp。

禁止的程序

  • 问题：我安装了 VirusScan Enterprise，但现在有一个程序无法运行。

    答案：某个访问保护规则可能禁止该程序运行。
    1. 请检查访问保护日志文件，确定是否某个规则阻挡了该程序的运行。
    2. 如果发现日志中列有该程序，可以将它输入为该规则的排除项或禁用该规则。请参阅“保护系统访问点”以了解详细信息。

Cookie 检测项

  • 问题：在按需扫描活动日志中检查 Cookie 检测项时，我注意到，每个检测项的文件名检测项总是 00000000.ie。其他程序为每个 Cookie 检测项分配单独的文件名或以递增的方式分配文件名，为什么 VirusScan Enterprise 为每个按需扫描 Cookie 检测项分配同一文件名？

    答案： VirusScan Enterprise 为每个 Cookie 检测项分配同一文件名，原因在于按需扫描程序对 Cookie 的检测方式及采取的操作。该行为只适用于按需扫描检测到的 Cookie。一个 Cookie 文件可能包含多个 Cookie。扫描引擎将 Cookie 文件视为存档文件，并分配一个值作为相对于文件开头的偏移量（从零开始）。由于扫描程序在继续扫描前，要使用扫描引擎进行检测，并对每个检测到的 Cookie 采取操作，因此每个检测项的值将由零开始。结果是每个检测项都被分配了 00000000.ie 文件名。其他产品可检测所有 Cookie，并为每个 Cookie 分配单独的文件名或以递增的方式分配文件名，然后对每个检测项采取操作。

常规

  • 问题：我的系统任务栏中的 VirusScan Enterprise 图标似乎被禁用。

    答案：如果 VirusScan Enterprise 图标上覆盖有红色圆圈加红线，则表明按访问扫描程序已禁用。以下为最常见的原因和解决方案。如果这些方法都无法解决您的问题，请与技术支持联系。
    1. 确保已启用按访问扫描程序。在系统任务栏中右键单击 VirusScan Enterprise 图标。如果按访问扫描程序已禁用，则菜单中将显示“启用按访问扫描”。
    2. 确保 McShield 服务正在运行。
      • 从服务控制面板中手动启动该服务。
      • 选择“开始 | 运行”，然后键入“Net Start McShield”。
      • 在服务控制面板中，将该服务设置为自动启动。

  • 问题：我收到一条错误消息，指明我无法下载 CATALOG.Z。

    答案：导致该错误的原因很多。此处列出一些建议，可帮助您确定问题的原因：
    • 如果是使用 McAfee 默认下载站点来下载更新，请确定是否可以通过 Web 浏览器下载 CATALOG.Z 文件。尝试从以下网站下载该文件：http://update.nai.com/Products/CommonUpdater/catalog.z。
    • 如果您无法下载该文件，但可以查看该文件（也就是说，您的浏览器不允许您下载它），则表明存在代理服务器问题，需要咨询网络管理员。
    • 如果您可以下载文件，则 VirusScan Enterprise 也应该可以下载。要解决 VirusScan Enterprise 的安装问题，请与技术支持联系以获得帮助。

  • 问题：HTTP 下载网站的网址是什么？

    答案：
    • McAfee 下载网站的网址为：http://www.mcafeesecurity.com/us/downloads/updates/default.asp。
    • 可从以下网站下载包含最新更新的 CATALOG.Z 文件：http://update.nai.com/Products/CommonUpdater/catalog.z。

  • 问题：FTP 下载网站的网址是什么？

    答案：
    • FTP 下载网站的网址为：ftp://ftp.mcafee.com/pub/antivirus/datfiles/4.x。
    • 可从以下网站下载包含最新更新的 CATALOG.Z 文件：ftp://ftp.mcafee.com/CommonUpdater/catalog.z。

  • 问题：如果我检测到可能有害的程序并已选择“用户操作提示”，我应该选择执行哪项操作（“清除”或“删除”）？

    答案：如果您不确定对检测到的文件采取何种操作，我们一般建议您选择“清除”。在清除或删除这些项目之前，按访问和按需扫描程序会自动将这些项目备份到隔离目录中。


“访问保护”选项卡

选项定义

配置访问保护规则，防止 McAfee 进程停止。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
访问保护设置
  • 启用访问保护 - 启用访问保护功能。
  • 禁止 McAfee 服务被停止 - 防止没有调试权限的用户终止 McAfee 进程。

    即使选择此选项，具有调试程序权限的用户仍可以停止 McAfee 进程。

    对于 Windows XP 和 Windows 2003 操作系统，管理员默认拥有调试程序权限。请从用户权限中删除这些权限，以使他们无法停止 McAfee 进程。
访问保护规则

类别 - 选择一个类别，以显示该类别的规则。规则分为以下类别：

  • 防病毒标准保护
  • 防病毒最大保护
  • 防病毒爆发控制
  • 通用标准保护
  • 通用最大保护
  • 虚拟机保护
  • 用户定义的规则

如果安装了 AntiSpyware Enterprise Module 8.7，还会有以下类别：

  • 防间谍程序标准保护
  • 防间谍程序最大保护

有关详细信息，请参阅“访问保护规则的定义方法”。

阻止/报告/规则 - 配置下列规则：

  • 阻止 - 阻止“规则详细信息”中指定的进程。选择“阻止”启用规则，取消选择它则禁用规则。

    注：

    要阻止访问尝试且不记录日志，请选择“阻止”，但不要选择“报告”。

  • 报告 - 启用对企图违反访问保护规则的行为进行报告的功能。如果发现检测项，将在活动日志中记录相应信息。
    注：

    要接收警告但不阻止访问尝试，请选择“报告”，但不选择“阻止”。不了解某一规则的全面影响时，这非常有用。对日志和/或报告进行短时间监视，可确定是否阻止访问。

  • 规则 - 使用规则可保护您的计算机免受有害更改的危害。按类别组织规则。首先选择类别，然后选择规则。有关详细信息，请参阅“配置防病毒规则和通用规则”和“配置用户定义的规则”。

    新建 - 创建新的用户定义的规则。有关详细信息，请参阅“配置用户定义的规则”。

    编辑 - 更改现有规则。

    删除 - 删除现有的用户定义的规则。
    注：

    只能删除用户定义的规则。可以编辑或禁用其他规则，但是不能删除。要禁用规则，请同时取消选择“阻止”和“报告”两个选项。


“其他警报选项”选项卡

选项定义

配置过滤器和本地警报选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
严重性过滤器 请从以下过滤选项中选择：
  • 不过滤警报 - 发送所有警报。
  • 抑制信息警报 - 不发送严重性小于 1 的信息警报。
  • 抑制信息和警告警报 - 不发送严重性小于 2 的信息和警告警报。
  • 抑制信息、警告和低严重性警报 - 不发送严重性小于 3 的信息、警告以及低严重性警报。
  • 抑制除严重警报外的所有警报 - 不发送除严重性大于 4 的警报之外的其他所有警报。
  • 抑制所有警报 - 不发送任何警报。
本地警报
  • 记录到本地应用程序事件日志 - 将信息记录到本地应用程序事件日志中。
  • 使用 SNMP 服务发送 SNMP 陷阱 - 如果使用的是 SNMP，则可以发送 SNMP 陷阱警报。
注：

本地警报选项不需要 Alert Manager。


“警报”选项卡

选项定义

选择希望其生成警报的组件，并配置 Alert Manager（如果已安装）。

有关详细信息，请参阅《Alert Manager 4.7.1 产品指南》。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
生成警报的组件
  • 按访问扫描 - 按访问扫描程序检测到威胁时生成警报。
  • 按需扫描和计划的扫描 - 按需扫描任务检测到威胁时生成警报。
  • 电子邮件扫描 - 电子邮件扫描程序检测到威胁时生成警报。
  • AutoUpdate - 更新任务检测到威胁时生成警报。
  • 访问保护 - 访问保护检测到威胁时生成警报。
Alert Manager 选项
  • 禁用警报 - 出现检测项时不生成警报。
  • 启用集中式警报 - 出现检测项时，使用集中式警报通知您。
  • 启用 Alert Manager 警报 - 出现检测项时，使用 Alert Manager 警报通知您。请选择此选项，并键入接收警报的 Alert Manager 服务器的位置路径。
    • 禁用 Active Directory 查询 - 不使用 Active Directory 查询。


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动日志记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 AccessProtectionLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用的格式。


AutoUpdate 任务

配置 AutoUpdate 任务

选项定义

选项 | 定义
日志文件 | 启用活动日志记录。
格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
获得更新的检测项定义文件（如果可用）

如果有更新的版本可用，则获得最新版本的 DAT 文件。
获得更新的检测引擎(如果可用)

如果有更新的版本可用，则获得最新版本的引擎和/或 DAT 文件。
获得其他可用的更新（Service Pack、升级等）

获得其他更新的最新版本，如 Service Pack 和产品升级。
输入要在更新完成后运行的可执行文件

指定要在运行完 AutoUpdate 任务后启动的可执行文件。指定要运行的可执行文件的路径，或单击“浏览”查找该文件。

例如，可以启动网络消息实用工具，该工具可通知管理员已成功完成 AutoUpdate 任务。

注： 指定的程序文件必须是当前登录的用户可以执行的文件。如果当前登录的用户没有权限访问包含这些程序文件的文件夹，或当前没有登录的用户，则不会运行该程序。
仅在成功更新后运行

仅在成功更新后运行该可执行程序。如果未成功更新，则不会运行指定的程序。
计划

定义此更新任务的计划。

注：

有关详细信息，请参阅“计划任务”。

我们建议您不要将 AutoUpdate 任务和其他镜像任务计划为同时运行。由于这两种任务均使用 McAfee 通用架构服务，因此同时运行两种任务可能会发生冲突。
立即更新

立即执行 AutoUpdate 任务。


“阻止”选项卡

选项定义

阻止来自远程计算机的连接，这些远程计算机共享文件夹中包含具有潜在威胁或有害程序的文件。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
发送消息 | 检测到威胁时将指定的消息发给网络用户 - 检测到威胁时，通知远程计算机上的网络用户。
消息文本

在文本框中键入自定义消息。远程计算机必须运行 Windows Messenger 服务，才能接收此消息。
阻止连接
  • 在共享文件夹中检测到有威胁的文件时阻止连接 - 如果远程计算机上的任何网络用户试图在共享文件夹中读取或写入有威胁的文件，则阻止该用户的连接。
  • 在此时间后取消连接阻止 - 指定分钟数后取消连接阻止。请输入一个介于 1 和 9999 之间的数字。默认值 = 10 分钟。
  • 在共享文件夹的文件中检测到含有可能有害的程序时阻止连接 - 如果远程计算机上的任何用户试图将有害程序写入本地计算机，则阻止该用户的连接。“按访问扫描统计信息”对话框将显示被阻止的计算机列表。


“报告”选项卡

选项定义

启用日志记录可跟踪在本地系统上检测某些进程从堆栈执行代码溢出的情况。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动日志记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 BufferOverflowProtectionLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。


“缓冲区溢出保护”选项卡

选项定义

防止缓冲区溢出利用技术在计算机上执行任意代码。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
缓冲区溢出设置 启用缓冲区溢出保护 - 启用缓冲区溢出保护功能，然后选择保护级别。

  • 警告模式 - 检测到缓冲区溢出时发送警告。不执行其他操作。

    此模式适用于缓冲区溢出的整体影响未知的情况。可以先暂时使用“警告模式”中的功能，在该期间内查看日志文件，以便确定是否更改为“保护模式”。

  • 保护模式 - 检测到缓冲区溢出时进行阻止，并终止检测到的线程。

    这还会导致该应用程序的终止。
客户端系统警告 | 检测到缓冲区溢出时显示消息对话框 - 出现检测项时显示“按访问扫描消息” 对话框。
缓冲区溢出排除项 指定排除项信息：
注：

排除项名称区分大小写。

  • 进程 - 指定拥有正在执行调用的可写内存的进程名。

    可单独键入进程名，也可以包括其路径。

    如果仅键入进程名，如 OUTLOOK.EXE，则无论在任何时候、任何位置执行该进程，均将其排除。如果输入的进程名称包括路径，例如 C:\Program files\OUTLOOK.EXE，则只有在从指定的路径执行该进程时才会排除。不允许使用通配符。

  • 模块(可选) - 如果适用，键入拥有可写内存的模块的名称。这不是必需的信息。
  • API - 指定被调用的 API。
    注：

    只有指定了模块，API 才为必选。


“进程”选项卡

选项定义

选择是为所有进程配置一种扫描策略，还是针对默认进程、低风险进程和高风险进程配置不同的扫描策略。

有关详细信息，请参阅“确定扫描策略的数目”和“确定要为进程指定的风险级别”。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
进程设置 指定是配置一个还是多个扫描策略：
  • 对所有进程配置一个扫描策略 - 如果选择此选项，则配置的策略将适用于所有进程。
  • 为高风险、低风险和默认进程配置不同的扫描策略 - 只有选择此选项才能为低风险进程或高风险进程配置策略。


“显示选项”选项卡

选项定义

配置用户可以访问的系统任务栏选项以及首选语言。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
系统任务栏图标
  • 显示系统任务栏图标及所有菜单选项 - 允许用户查看系统任务栏菜单中的所有选项。
  • 显示系统任务栏图标及最少菜单选项 - 隐藏系统任务栏菜单中除“关于 VirusScan Enterprise”和“按访问扫描统计信息”以外的所有选项。
  • 不显示系统任务栏图标 - 针对所有用户隐藏系统任务栏图标。
控制台选项
注： 只有 ePolicy Orchestrator 提供此选项。

  • 允许此系统与其他系统建立远程控制台连接 - 连接到远程计算机。

    您必须具有管理员权限，且“远程注册服务”正在运行。

  • 在客户端控制台中显示托管任务 — 在客户端计算机的控制台中显示 ePolicy Orchestrator 任务。
  • 禁用默认的 AutoUpdate 任务计划 - 禁用默认更新任务的计划。

    实施该策略后将禁用此计划。必须运行“任务管理器”服务，以便禁用任务计划。

  • 启用闪屏 - 启动控制台或 SHSTAT.EXE 时显示 VirusScan Enterprise 8.7i 闪屏。
    注：

    只有 ePolicy Orchestrator 提供此选项。

控制台语言设置 指定控制台文本使用的语言：
  • 语言可自动选择，或由您选择特定语言。
    注：

    在“VirusScan 控制台”上更改首选语言后，安装程序会提醒您重新启动系统。单击“确定”后，语言更改生效。

    在“ePolicy Orchestrator 控制台”上更改首选语言后，语言更改在首次策略实施时应用于用户控制台。

    对于 ePolicy Orchestrator 托管系统，用户从客户端系统所做的更改会影响控制台界面，但日志文件记录 ePolicy Orchestrator 配置中指定的语言中的活动。控制台重新启动后，控制台语言更改生效。


“操作”选项卡

选项定义

配置检测到威胁或可能有害的程序时采取的操作。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
发现威胁时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 清理附件。
  • 清理附件 - 扫描程序尝试删除附件中的威胁。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
对于此选项，不允许采取辅助操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
对于此选项，不允许采取辅助操作。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
  • 删除邮件(仅适用于 Outlook 扫描) - 扫描程序删除包含潜在威胁的邮件。如果选择此选项作为主要操作，则不允许辅助操作。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 将附件移至文件夹。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
  • 删除邮件(仅适用于 Outlook 扫描) - 扫描程序删除包含潜在威胁的邮件。
发现有害程序时 先执行此操作 - 选择在检测到可能有害的程序时，希望扫描程序采取的第一个操作。默认值 = 清理附件。
  • 清理附件 - 扫描程序尝试删除附件中的威胁。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
对于此选项，不允许采取辅助操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
对于此选项，不允许采取辅助操作。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 将附件移至文件夹。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
对于此选项，不允许采取辅助操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
对于此选项，不允许采取辅助操作。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
移到文件夹 指定隔离文件夹的位置。隔离文件夹必须位于硬盘驱动器上，而且该位置必须为本地驱动器。其不应位于软盘驱动器或 CD 驱动器的默认位置上，根据使用的是 Microsoft Outlook 还是 Lotus Notes，隔离文件夹的默认位置会有所不同。
  • 对于 Microsoft Outlook，隔离文件夹位于 Microsoft Outlook 邮箱内。
  • 对于 Lotus Notes，隔离文件夹位于文件系统内。
“提示”对话框中允许的操作 选择提示用户采取操作时允许的操作。
注：

在采取以下任何一个默认操作之前，发生默认的“拒绝访问”操作。

  • 清理附件
  • 删除附件
  • 移动附件
  • 删除邮件（仅适用于 Microsoft Outlook）
提示用户采取操作时，用户会接收到您在“警报”选项卡中指定的消息。


“警报”选项卡

选项定义

为发送时电子邮件扫描程序配置警报设置。

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 注： 只有 ePolicy Orchestrator 提供此选项。
通过电子邮件发给用户的警报 | 将警报电子邮件发给用户 - 检测到有威胁的电子邮件时通知其他用户。
操作提示消息 | 指定提示操作时显示给用户的消息。必须在“操作”选项卡上选择“操作提示”选项。接受默认消息，或键入新消息。默认消息 = McAfee VirusScan Enterprise 电子邮件扫描程序:警报!


“扫描项目”选项卡

选项定义

为按需电子邮件扫描程序配置检测项选项。

选项 | 定义
要扫描的邮件
  • 所有突出显示项 - 扫描选定的电子邮件和文件夹。
  • 收件箱文件夹中的所有邮件 - 扫描当前在“收件箱”文件夹及其子文件夹中的所有文件。
    • 仅扫描未读邮件 - 扫描当前在“收件箱”文件夹及其子文件夹中的所有未读邮件。
要扫描的附件
  • 所有文件类型 - 扫描所有文件类型，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。选择“默认 + 其他文件类型”，然后在文本框中输入以空格分隔的文件扩展名。

    同时扫描所有附件中的宏 - 如果选择了“默认 + 其他文件类型”，还可以在所有文件中搜索已知的宏威胁。

  • 指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择“指定的文件类型”，然后在文本框中输入以空格分隔的文件扩展名。
启发式扫描
  • 查找未知的程序威胁和特洛伊木马程序 - 使用启发式扫描，检测具有类似恶意软件的代码的可执行文件。
  • 查找未知的宏威胁 - 使用启发式扫描，检测未知的宏病毒。
  • 查找带有多个扩展名的附件 - 将带有多个扩展名的附件视为威胁。

    选择此选项后，将出现“电子邮件扫描警告”对话框。单击“确定”确认选择。
压缩文件
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。

    尽管扫描压缩文件能够提供更好的保护，但是该操作可能会增加执行扫描所需的时间。

  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
有害程序检测 检测有害程序 - 启用发送时电子邮件扫描程序，检测可能有害的程序。电子邮件扫描程序使用“有害程序策略”中配置的信息检测可能有害的程序。

有关详细信息，请参阅“限制可能有害的程序”。
电子邮件正文(仅适用于 Microsoft Outlook) | 扫描电子邮件正文 - 扫描 Microsoft Outlook 电子邮件的正文。


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动日志记录。
日志文件位置 接受默认日志文件位置或指定新位置。

传递电子邮件日志的默认日志名称为 EmailOnDeliveryLog.txt。

按需电子邮件日志的默认日志名称为 EmailOnDemandLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
除扫描活动外还要记录的内容
  • 会话设置 - 在日志文件中记录每个扫描会话的属性。
  • 会话摘要 - 在日志文件中记录每个扫描会话过程中扫描程序操作的摘要。摘要信息包括扫描的文件数，检测项的数目和类型，已清理或已删除的文件数以及其他信息。
  • 扫描加密文件失败 - 记录扫描程序无法扫描的加密文件的名称。
  • 用户名 - 记录在将日志条目记录到日志文件时，登录到该计算机的用户的名称。


“扫描项目”选项卡

选项定义

为电子邮件扫描程序配置检测项选项。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
电子邮件扫描 启用发送时电子邮件扫描。
注： 只有 ePolicy Orchestrator 提供此选项。
要扫描的附件
  • 所有文件类型 - 扫描所有文件类型，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表以及您所指定的任何添加项。默认列表由当前的 DAT 文件定义。选择“默认 + 其他文件类型”，然后在文本框中输入以空格分隔的文件扩展名。

    同时扫描所有附件中的宏 - 如果选择了“默认 + 其他文件类型”，还可以在所有文件中搜索已知的宏威胁。

  • 指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择“指定的文件类型”，然后在文本框中输入以空格分隔的文件扩展名。
启发式扫描
  • 查找未知的程序威胁和特洛伊木马程序 - 使用启发式扫描，检测具有类似恶意软件的代码的可执行文件。
  • 查找未知的宏威胁 - 使用启发式扫描，检测未知的宏病毒。
  • 查找带有多个扩展名的附件 - 将带有多个扩展名的附件视为威胁。

    选择此选项后，将出现“电子邮件扫描警告”对话框。单击“确定”确认选择。
压缩文件
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。

    尽管扫描压缩文件能够提供更好的保护，但是该操作可能会增加执行扫描所需的时间。

  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
有害程序检测 检测有害程序 - 启用发送时电子邮件扫描程序，检测可能有害的程序。电子邮件扫描程序使用“有害程序策略”中配置的信息检测可能有害的程序。

有关详细信息，请参阅“限制可能有害的程序”。
电子邮件正文(仅适用于 Microsoft Outlook) | 扫描电子邮件正文 - 扫描 Microsoft Outlook 电子邮件的正文。
对可疑文件进行启发式网络检查
配置灵敏度等级以用于确定检测到的样本是否为恶意软件。对于除“禁用”以外的所有等级，样本的指纹或“哈希”会提交给 Avert Labs 以确定其是否为恶意软件。给您带来的好处是将在 AVERT Labs 发布更新时进行检测，并且您无需等到下次 DAT 发行才进行。选择的灵敏度等级越高，恶意软件检测的数量就越多。但是，允许的检测越多，您收到的误报结果也有可能更多。请从以下灵敏度等级中选择：

  • 禁用 - 不将任何指纹或数据提交到 Avert Labs 以确定其是否为恶意软件。

  • 极低级 — 检测和误报的风险与使用常规 DAT 相同。VirusScan Enterprise 将在 Avert Labs 发布相关信息时进行检测，而不是等到下次 DAT 更新时才进行。

  • 低级 — 该等级定义为介于“极低级”和“中级”之间。

  • 中级 — 当受恶意软件侵害的常规风险大于误报的风险时，使用此等级。Avert Labs 特有的启发式检查会导致类似于恶意软件的检测。但是，检测不常见的文件时会有一些风险，这可能会导致误报的检测。Avert Labs 证实使用这些设置检测常见应用程序和操作系统文件时不会生成误报。

  • 高级 - 该等级定义为介于“中级”和“极高级”之间。

  • 极高级 - 我们建议仅将此等级用于电子邮件以及用于扫描不支持执行程序和操作系统的卷和目录。使用此等级发现的检测可能为恶意的，但是尚未进行全面的检测以确定这些检测不是误报。


“常规”选项卡

选项定义

配置常规按访问扫描选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
扫描 指定常规扫描项目：
  • 引导扇区 - 扫描引导扇区。
  • 在关机过程中扫描软盘 - 在计算机关机时扫描软盘。

  • 已启用的进程 — McAfee 按访问 McShield 服务将扫描所有已运行的进程。
启用按访问扫描 指定启用扫描的时间：
  • 启用在系统启动时进行按访问扫描 - 每次启动计算机时启用按访问扫描程序。
  • 实施策略时启用按访问扫描 - 每次实施策略时启用按访问扫描程序。
注： 只有 ePolicy Orchestrator 提供此选项。
最长扫描时间 存档文件最长扫描时间 - 指定存档文件的最长扫描时间（秒）。默认值 = 15 秒。 选择的扫描存档文件的时间必须短于选择的扫描所有文件的时间。
  • 强制所有文件采用最长扫描时间 - 定义一个最长扫描时间，并强制用于所有文件。
  • 最长扫描时间 - 指定用于所有文件的最长扫描时间（秒）。默认值 = 45 秒。
注： 如果扫描超过时间限制，扫描将彻底停止，并记录一条消息。如果扫描无法彻底停止，则将终止，并在下次扫描时再次启动。
Cookie
注： 此选项仅在安装了 AntiSpyware Enterprise Module 8.7 时可用。

扫描 Cookie 文件 — 启用 Cookie 文件扫描。


“进程”选项卡

步骤 1 的选项定义

指定定义为高风险的进程。此过程分两步进行。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
进程设置

打开“按访问扫描默认进程策略”，然后选择：

  • 为高风险、低风险和默认进程配置不同的扫描策略
注：

只有选择此选项后才能为低风险进程或高风险进程配置策略。

步骤 2 的选项定义

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 注： 只有 ePolicy Orchestrator 提供此选项。
高风险进程 | 打开“按访问扫描高风险进程策略”，指定确认为高风险的进程。根据需要添加并删除进程。

有关详细信息，请参阅“确定扫描策略的数目”和“确定要为进程指定的风险级别”。


“进程”选项卡

步骤 1 的选项定义

指定定义为低风险的进程。此过程分两步进行。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
进程设置

打开“按访问扫描默认进程策略”，然后选择：

  • 为高风险、低风险和默认进程配置不同的扫描策略
注：

只有选择此选项后才能为低风险进程或高风险进程配置策略。

步骤 2 的选项定义

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 注： 只有 ePolicy Orchestrator 提供此选项。
低风险进程 | 打开“按访问扫描低风险进程策略”，指定确定为低风险的进程。根据需要添加并删除进程。

有关详细信息，请参阅“确定扫描策略的数目”和“确定要为进程指定的风险级别”。


“消息”选项卡

选项定义

为本地用户以及无管理权限的用户配置消息选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
用户消息 指定本地用户将接收的消息。
  • 检测到威胁时显示消息对话框并在消息中显示指定的文本 — 发生检测时向本地用户显示“按访问扫描消息”。

  • 发生 Cookie 检测时发送警报 — 检测到 Cookie 时发送警报。这包括生成 ePolicy Orchestrator 警报，向“按访问扫描消息”对话框发送消息，在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。如果您取消选择此选项，ePolicy Orchestrator 不会生成警报，但是仍会在活动日志中记录检测（如果已在 Reports（报告）选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。

    注：

    此选项仅在安装了 AntiSpyware Enterprise Module 8.7 时可用。
消息文本

接受默认消息，或键入自定义消息。默认值 = VirusScan 警报!
用户可采取的操作
  • 从列表中删除消息 - 允许没有管理员权限的用户从列表中删除消息。
  • 清理文件 - 允许没有管理员权限的用户清理列表中消息引用的文件。
  • 删除文件 - 允许没有管理员权限的用户删除列表中消息引用的文件。


镜像任务

配置镜像任务

VirusScan 控制台 - 选项定义

选项 | 定义
日志文件 | 启用活动日志记录。
格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
获得更新的检测项定义文件（如果可用）

此选项不适用于镜像任务。
获得更新的检测引擎(如果可用)

此选项不适用于镜像任务。
获得其他可用的更新（Service Pack、升级等）

此选项不适用于镜像任务。
输入镜像完成后运行的可执行文件

指定要在运行完镜像任务后启动的可执行文件。指定要运行的可执行文件的路径，或单击“浏览”查找该文件。

例如，可以启动网络消息实用工具，该工具可通知管理员已成功完成镜像任务。

注： 指定的程序文件必须是当前登录的用户可以执行的文件。如果当前登录的用户没有权限访问包含这些程序文件的文件夹，或当前没有登录的用户，则不会运行该程序。
仅在成功镜像后运行

仅在成功镜像后运行该可执行程序。如果镜像未成功，则不会运行指定的程序。
镜像位置

指定本地系统上用于镜像站点的目标位置的路径。

注： 支持系统变量。
计划

定义此更新任务的计划。

注：

有关详细信息，请参阅“计划任务”。

我们建议您不要将 AutoUpdate 任务和镜像任务计划为同时运行。由于这两种任务均使用 McAfee 通用架构服务，因此同时运行两种任务可能会发生冲突。
立即镜像

立即执行镜像任务。


“Notes 扫描程序设置”选项卡

选项定义

为发送时电子邮件扫描程序配置 Lotus Notes 设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
服务器扫描设置
  • 扫描所有服务器数据库 - 扫描所有服务器数据库，查找潜在的威胁。
  • 扫描服务器邮箱 - 扫描所有服务器邮箱，查找潜在的威胁。
  • 邮箱根文件夹 - 指定根文件夹的位置。接受邮箱根文件夹的默认位置或指定新位置。此选项仅适用于发送时电子邮件扫描。默认值 = !!mail\。
高级选项 | 要排除的 Notes 应用程序 - 指定要排除在扫描之外的 Lotus Notes 应用程序。默认值 = MNOTES。


“操作”选项卡

选项定义

配置检测到威胁或可能有害的程序时采取的操作。如果要为默认进程、低风险进程和高风险进程配置不同的扫描策略，则必须对每个进程类型都要配置此选项卡上的选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
发现威胁时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 自动清理文件。
  • 自动清理文件 - 扫描程序尝试删除检测到的文件中的威胁。
  • 拒绝访问文件 - 拒绝所有用户访问含有扫描程序找到的潜在威胁的所有文件。
  • 自动删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 自动删除文件。
  • 拒绝访问文件 - 拒绝所有用户访问含有扫描程序找到的潜在威胁的所有文件。
  • 自动删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
发现有害程序时 先执行此操作 - 选择在检测到可能有害的程序时，希望扫描程序采取的第一个操作。默认值 = 自动清理文件。
  • 允许访问文件 - 使用户可以访问检测到的文件和/或程序。
    注：

    使用此操作监视正在检测的内容，然后决定采取什么操作。查看活动日志，可了解正在检测的程序。对于此选项，不允许采取辅助操作。

  • 自动清理文件 - 自动删除检测到的文件和/或程序中的威胁。
  • 拒绝访问文件 - 防止用户访问检测到的文件和/或程序。
  • 自动删除文件 - 自动删除检测到的文件和/或程序。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 自动删除文件。
  • 允许访问文件 - 使用户可以访问检测到的文件和/或程序。
  • 拒绝访问文件 - 防止用户访问检测到的文件和/或程序。
  • 自动删除文件 - 自动删除检测到的文件和/或程序。


“排除项”选项卡

选项定义

指定排除在扫描之外的项目。如果要为默认进程、低风险进程和高风险进程配置不同的扫描策略，则必须对每个进程类型都要配置此选项卡上的选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
不扫描的项目 从下拉列表中选择排除项的类型，然后指定排除项的详细信息：
  • 按模式排除 - 在文本框中键入模式。如果需要，选择“包括子文件夹” 。
  • 按文件类型排除 - 在文本框中键入文件类型。
  • 按文件存在时间排除 - 选择访问类型，然后指定最短存在时间（天）。
  • 受“Windows 文件保护”的保护

有关详细信息，请参阅“添加和排除扫描项目”。
处理客户端排除项的方法 覆盖客户端排除项 — 只排除此策略中指定的项目。如果不选择该选项，则客户端计算机将使用本地指定的排除项以及此策略中指定的排除项。
注： 只有 ePolicy Orchestrator 提供此选项。


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动日志记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 OnAccessScanLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\。

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
除扫描活动外还要记录的内容
  • 会话设置 - 在日志文件中记录每个扫描会话的属性。
  • 会话摘要 - 在日志文件中记录每个扫描会话过程中扫描程序操作的摘要。摘要信息包括扫描的文件数，检测项的数目和类型，已清理或已删除的文件数以及其他信息。
  • 扫描加密文件失败 - 记录扫描程序无法扫描的加密文件的名称。


“扫描项目”选项卡

选项定义

配置检测选项。如果要为默认进程、低风险进程和高风险进程配置不同的扫描策略，则必须对每个进程类型都要配置此选项卡上的选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
扫描文件
  • 在写入磁盘时 - 在计算机上或其他数据存储设备上写文件或修改文件时，扫描相应的所有文件。

    如果要将文件从一台计算机复制或移动至另一台计算机，则所有计算机应采用完全相同的配置，这一点非常重要，只有这样，才不会将具有潜在威胁的文件复制到计算机中或写入计算机。

  • 在从磁盘中读取时 - 从计算机或其他数据存储设备上读取文件时，扫描相应的所有文件。
  • 在网络驱动器上 - 扫描映射网络驱动器上的资源。

    扫描网络资源可能会影响性能。

  • 打开以便备份 - 检查打开以进行备份操作的文件。
要扫描的文件类型
  • 所有文件 - 扫描所有文件，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。

    同时扫描所有文件中的宏 - 如果选择了此选项，还可以在所有文件中搜索已知的宏威胁。

  • 仅限指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择此选项，然后在文本框中输入以空格分隔的文件扩展名。
启发式扫描
  • 查找未知的程序威胁和特洛伊木马程序 - 使用启发式扫描，检测具有类似恶意软件的代码的可执行文件。
  • 查找未知的宏威胁 - 使用启发式扫描，检测未知的宏病毒。
压缩文件
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。
  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
注： 尽管扫描压缩文件能够提供更好的保护，但是该操作可能会增加执行扫描所需的时间。
有害程序检测
  • 检测有害程序 - 启用按访问扫描程序，检测可能有害的程序。

    扫描程序使用在“有害程序策略”中配置的信息检测可能有害的程序。

    有关详细信息，请参阅“限制可能有害的程序”。


“操作”选项卡

选项定义

配置检测到威胁或可能有害的程序时采取的操作。

选项 定义
发现威胁时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 清理文件。
  • 清理文件 - 扫描程序尝试删除检测到的文件中的威胁。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 自动删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 删除文件。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
发现有害程序时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 清理文件。
  • 清理文件 - 扫描程序尝试删除检测到的文件中的威胁。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 删除文件。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。


“排除项”选项卡

选项定义

指定排除在扫描之外的项目。

选项 定义
不扫描的项目 从下拉列表中选择排除项的类型，然后指定排除项的详细信息：
  • 按模式排除 - 在文本框中键入模式。如果需要，选择“包括子文件夹”。
  • 按文件类型排除 - 在文本框中键入文件类型。
  • 按文件存在时间排除 - 选择访问类型，然后指定最短存在时间（天）。
  • 受“Windows 文件保护”的保护

有关详细信息，请参阅“添加和排除扫描项目”。
处理客户端排除项的方法 覆盖客户端排除项 - 只排除此策略中指定的项目。如果不选择该选项，则客户端计算机将使用本地指定的排除项以及此策略中指定的排除项。
注：

此选项只能通过 ePolicy Orchestrator 进行设置。


“性能”选项卡

选项定义

指定扫描延期选项和系统使用选项以改善性能。

选项 | 定义
扫描延期选项 选择扫描延期选项：
  • 使用电池供电时推迟扫描 — 当系统正被使用且使用电池供电时延迟扫描。
  • 演示时推迟扫描 — 当系统处于演示模式时延迟扫描。
  • 用户可以推迟计划扫描 — 允许用户推迟计划扫描。

  • 最长推迟时间 — 指定推迟扫描的时间长度。请在 1 至 24 小时之间选择，或选择零将扫描推迟无限长时间。

有关详细信息，请参阅“扫描延期的工作原理”。
系统使用情况 | 使用滑块设置扫描的使用率计划。每项任务都独立运行，不考虑其他任务的限制。ePolicy Orchestrator 中此任务的默认值 = 30%。VirusScan Enterprise 8.7i 中此任务的默认值 = 100%。
对可疑文件进行启发式网络检查
配置灵敏度等级以用于确定检测到的样本是否为恶意软件。对于除“禁用”以外的所有等级，样本的指纹或“哈希”会提交给 Avert Labs 以确定其是否为恶意软件。给您带来的好处是将在 AVERT Labs 发布更新时进行检测，并且您无需等到下次 DAT 发行才进行。选择的灵敏度等级越高，恶意软件检测的数量就越多。但是，允许的检测越多，您收到的误报结果也有可能更多。请从以下灵敏度等级中选择：

  • 禁用 - 不将任何指纹或数据提交到 Avert Labs 以确定其是否为恶意软件。

  • 极低级 — 检测和误报的风险与使用常规 DAT 相同。VirusScan Enterprise 将在 Avert Labs 发布相关信息时进行检测，而不是等到下次 DAT 更新时才进行。

  • 低级 — 该等级定义为介于“极低级”和“中级”之间。

  • 中级 — 当受恶意软件侵害的常规风险大于误报的风险时，使用此等级。Avert Labs 特有的启发式检查会导致类似于恶意软件的检测。但是，检测不常见的文件时会有一些风险，这可能会导致误报的检测。Avert Labs 证实使用这些设置检测常见应用程序和操作系统文件时不会生成误报。

  • 高级 - 该等级定义为介于“中级”和“极高级”之间。

  • 极高级 - 我们建议仅将此等级用于电子邮件以及用于扫描不支持执行程序和操作系统的卷和目录。使用此等级发现的检测可能为恶意的，但是尚未进行全面的检测以确定这些检测不是误报。


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
记录到文件 | 启用活动日志记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 OnDemandScanLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\。

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
除扫描活动外还要记录的内容
  • 会话设置 - 在日志文件中记录每个扫描会话的属性。
  • 会话摘要 - 在日志文件中记录每个扫描会话过程中扫描程序操作的摘要。摘要信息包括扫描的文件数，检测项的数目和类型，已清理或已删除的文件数以及其他信息。
  • 扫描加密文件失败 - 记录扫描程序无法扫描的加密文件的名称。
发生 Cookie 检测时发出警报
注：

此选项仅在安装了 AntiSpyware Enterprise Module 8.7 时可用。

发生 Cookie 检测时发送警报 — 检测到 Cookie 时发送警报。这包括生成 ePolicy Orchestrator 警报，发送检测通知，在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。如果您取消选择此选项，ePolicy Orchestrator 不会生成警报，但是仍会在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。


“扫描项目”选项卡

选项定义

配置检测选项。

选项 定义
要扫描的文件类型
  • 所有文件 - 扫描所有文件，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。

    选择此选项，然后在文本框中输入以空格分隔的文件扩展名。

    同时扫描所有文件中的宏 - 如果选择了“默认 + 其他文件类型”，还可以在所有文件中搜索已知的宏威胁。

  • 指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择此选项，然后在文本框中输入以空格分隔的文件扩展名。
选项
  • 检测有害程序 - 启用按访问扫描程序，检测可能有害的程序。

    扫描程序使用在“有害程序策略”中配置的信息检测可能有害的程序。

    有关详细信息，请参阅“限制可能有害的程序”。

  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。
尽管扫描压缩文件能够提供更好的保护，但是该操作可能会增加执行扫描所需的时间。

  • 扫描已迁移到存储器中的文件 - 扫描存储在远程存储器上的缓存文件。

    有关详细信息，请参阅“远程存储扫描的工作原理”。
启发式扫描
  • 查找未知程序威胁 - 使用启发式扫描，检测具有类似有害程序代码的可执行文件。
  • 查找未知的宏威胁 - 使用启发式扫描，检测未知的宏病毒。


“任务”选项卡

选项定义

指定运行此按需任务的平台。

选项 定义
运行此任务的平台
  • 在服务器上运行此任务 - 在服务器上运行此按需扫描任务。
  • 在工作站上运行此任务 - 在工作站上运行此按需扫描任务。
运行任务时要使用的用户帐户
  • 用户名 - 指定用户帐户名。如果未输入帐户信息，将在系统帐户下运行该任务。
  • 密码 - 键入密码。
  • 域 - 键入域。
注：

要计划此任务，您必须具有管理权限。管理权限可为用户提供对计划任务注册表项的写访问权限。有关计划客户端任务的信息，请参阅 ePolicy Orchestrator 文档。


“密码选项”选项卡

选项定义

为整个系统或所选项目设置密码安全。有关详细信息，请参阅“设置密码对用户产生的影响”。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
用户界面密码 指定用户界面安全：
  • 无密码 - 访问配置设置时不需要密码。
  • 使用密码保护列出的所有项目 - 为列表中的所有项目指定一个密码。
  • 使用密码保护选定的项目 - 为列表中选定的项目指定一个密码。
  • 符合通用标准的密码保护 - 根据政府机构要求保护界面，这些政府机构必须仅使用国家信息保险合作伙伴关系 (NIAP) 通用标准验证的安全产品。

    这确保没有管理凭据的用户不能访问所有配置选项，但工作站用户可对自己的工作站执行即时按需扫描。在即时按需扫描中包含或排除文件。在即时按需扫描中包含或排除存档文件（例如 .ZIP 文件）。查看按需扫描和按访问扫描活动日志。

密码 - 键入密码。

确认密码 - 再次键入密码进行确认。
受密码保护的用户界面项目 选择要使用密码保护的项目。
  • 全选 - 选择该部分中的所有项目。
  • 取消全选 - 取消选择该部分中的所有项目。

管理员可以通过“控制台”锁定或解锁界面。


“策略”选项卡

选项定义

配置隔离位置和保留隔离项目的时间长度。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
隔离目录 | 接受默认隔离目录位置或指定新位置。默认值 = <系统驱动器>\Quarantine。
隔离数据保留
  • 自动删除隔离数据 - 指定天数后删除隔离项。
  • 在隔离目录中保留已备份数据的天数 - 指定自动删除前，保留隔离项的天数。可以在 1 到 999 天之间选择。


“代理服务器设置”选项卡

代理服务器是 Internet 安全机制的组成部分，可以在 Internet 中隐藏 Internet 用户的计算机，并通过缓存经常访问的站点提高访问速度。

如果您的网络使用代理服务器，则可以指定要使用的代理服务器设置、代理服务器的地址以及是否使用身份验证。代理服务器信息存储在 AutoUpdate 存储库列表 (sitelist.xml) 中。此处配置的代理服务器设置将应用于该存储库列表中的所有存储库。

注：

“ePolicy Orchestrator 控制台”中该功能不可用。在“VirusScan 控制台”中访问该功能。

选项定义

选项 定义
不使用代理服务器

不指定代理服务器。

使用 Internet Explorer 代理服务器设置

使用适用于当前安装的 Internet Explorer 版本的代理服务器设置。

默认值 = 使用 Internet Explorer 代理服务器设置。
手动配置代理服务器设置。

根据自己的特定需要配置代理服务器设置。
例外

仅在您选择“手动配置代理服务器设置”时可用。

指定代理服务器例外。单击“例外”打开“代理服务器例外”对话框：
  • 指定例外 — 选择此选项可输入代理服务器例外。
  • 使用分号 (;) 分隔条目 — 例如：internal1;internal2
HTTP

键入 HTTP 代理服务器的地址。
FTP

键入 FTP 代理服务器的地址。
端口

键入 HTTP 或 FTP 代理服务器的端口号。
使用 HTTP 身份验证

将指定的凭据用于访问 HTTP 代理服务器。
HTTP 用户名

键入 HTTP 用户名。
HTTP 密码

键入 HTTP 密码。


“扫描项目”选项卡

选项定义

选择要检测的可能有害的程序的类别，并创建不希望检测的程序排除项。

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 注： 只有 ePolicy Orchestrator 提供此选项。
选择要检测的有害程序的类别 | 指定要检测的可能有害的程序的类别。
有害程序排除项 | 按检测项名称指定排除项。根据需要添加并删除项目。


“隔离策略”选项卡

选项定义

配置隔离位置和保留隔离项目的时间长度。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
隔离目录 | 接受默认隔离目录位置或指定新位置。默认值 = <系统驱动器>\Quarantine。
隔离数据保留
  • 自动删除隔离数据 - 指定天数后删除隔离项。
  • 在隔离目录中保留已备份数据的天数 - 指定自动删除前，保留隔离项的天数。可以在 1 到 999 天之间选择。


添加并编辑存储库

添加新的存储库或编辑现有的存储库。

选项定义

选项 定义
存储库描述

指定存储库的名称。
检索文件自
选择检索文件的位置。默认值 = HTTP 存储库。
  • HTTP 存储库 - 从指定的 HTTP 存储库位置检索文件。
    注： HTTP 站点和 FTP一样，提供的更新不受网络安全的约束，但是它支持的并发连接级别高于 FTP。
  • FTP 存储库 - 从指定的 FTP 存储库位置检索文件。
    注： FTP 站点提供灵活的更新方式，不必完全遵循网络安全权限。FTP 受到有害代码攻击的可能性比 HTTP 小，因此容错能力更好。
  • UNC 路径 - 从指定的 UNC 路径位置检索文件。
    注： UNC 站点设置起来最快、最容易。跨域 UNC 更新需要拥有每个域的安全权限，这使得更新配置更为复杂。
  • 本地路径 - 从指定的本地路径位置检索文件。
URL
仅在您选择“HTTP 存储库”或“FTP 存储库”时可用。
  • HTTP - 键入 HTTP 服务器的位置，以及更新文件所在的文件夹。
  • FTP — 键入 FTP 服务器的位置，以及更新文件所在的文件夹。
路径
仅在您选择“UNC 路径”或“本地路径”时可用。
  • UNC 路径 - 使用 UNC 表示法 (\\servername\path\)，键入更新文件所在存储库的路径。
  • 本地路径 - 键入包含更新文件的本地文件夹的路径，或单击“浏览”导航至该文件夹。该路径可以指向本地驱动器或网络驱动器上的文件夹。
端口

仅在您选择“HTTP 存储库”或“FTP 存储库”时可用。键入您指定的 HTTP 或 FTP 服务器的端口号。

使用身份验证

使用匿名登录

使用登录的帐户
将指定的凭据用于访问存储库。
注：

此选项的标题会因您在“检索文件自”部分所选选项的不同而不同。

AutoUpdate 使用您指定的凭据来访问存储库，以便下载所需的更新文件。配置存储库的帐户凭据时，请确保该帐户拥有包含更新文件的文件夹的读取权限。
  • FTP 和 UNC 存储库要求提供下载凭据；但对于 HTTP 存储库，下载凭据是可选的。
  • FTP 更新支持匿名存储库连接。
  • 使用 UNC 更新，还可以使用已登录的帐户，利用已登录用户的权限访问存储库。
用户名

键入用户名
密码

键入密码。
确认

再次键入密码进行确认。


“存储库”选项卡

配置从中获取更新的存储库。
注：

“ePolicy Orchestrator 控制台”中该功能不可用。在“VirusScan 控制台”中访问该功能。

选项定义

选项 定义
存储库描述

指定存储库的名称。

该列表预配置了 HTTP 和 FTP 存储库。
  • http://update.nai.com/Products/CommonUpdater
  • ftp://ftp.nai.com/CommonUpdater

HTTP 存储库是默认的下载站点。
状态

已启用 - 可以在 AutoUpdate 过程中使用的已定义存储库。

已禁用 - 不希望在 AutoUpdate 过程中访问的已定义存储库。这可能只是需要偶尔使用而不是一直使用的存储库。

注： 根据需要，创建适当数量的存储库站点，然后启用和禁用这些站点。
添加

向列表中添加新存储库。
编辑

编辑所选存储库。
删除

删除所选存储库。
上移

在列表中上移所选存储库。
下移

在列表中下移所选存储库。


“管理器”选项卡

在列表中选择一个项目，然后右键单击项目以访问高级选项。可以重新扫描、检查误报、恢复、删除或查看属性。


“任务”选项卡

选项定义

为具有访问还原位置权限的用户指定帐户信息。如果未在此处输入帐户，将在系统帐户下运行还原任务。

选项 | 定义
用户 | 键入具有访问还原位置权限的用户的名称。
密码 | 输入指定用户的密码。
域 | 输入指定用户的域。


“扫描位置”选项卡

选项定义

配置要扫描的项目类型和位置。

选项 定义
要扫描的位置 选择要扫描的位置。默认值 = 扫描内存以查找 rootkit、运行进程和所有本地驱动器。单击“添加”、“编辑”和“删除”，以更改“项目名称”。
  • 扫描内存以查找 rootkit。扫描系统内存，查看是否存在已安装的 rootkit、隐藏的进程，以及是否存在其他表明恶意代码正试图隐藏自己的行为。此扫描过程发生在其他所有扫描过程之前。
  • 运行进程。扫描所有正在运行进程的内存。除“清理”以外的操作均被视为“继续扫描”。
  • 已注册文件。扫描已注册的所有文件。扫描程序首先在注册表中搜索文件名，然后再扫描文件。扫描程序将从注册表中删除对可能有害的文件的引用。
  • 我的电脑。 扫描所有物理连接到计算机的驱动器或逻辑映射为计算机驱动器盘符的驱动器。
  • 所有本地驱动器。扫描计算机上的所有驱动器及其子文件夹。
  • 所有固定驱动器。扫描所有物理连接到计算机的驱动器。
  • 所有可移动驱动器。扫描连接到计算机的所有可移动驱动器或其他存储设备。
  • 所有映射驱动器。扫描逻辑映射为计算机上网络驱动器的网络驱动器。
  • 主文件夹。扫描启动扫描的用户的主文件夹。
  • 用户配置文件文件夹。扫描启动扫描的用户的配置文件，包括该用户的“我的文档”文件夹。
  • Windows 文件夹。扫描 Windows 文件夹的内容。
  • Program Files 文件夹。扫描 Program Files 文件夹的内容。
  • Temp 文件夹。扫描 Temp 文件夹的内容。
  • 回收站。扫描回收站内的内容。
  • 驱动器或文件夹。扫描指定的驱动器或文件夹。
  • 文件。扫描指定文件。
  • 注册表。扫描注册表项。此位置仅在安装了 AntiSpyware Enterprise Module 8.7 时可用。
  • Cookie。扫描 Cookies 文件夹中的 Cookie。此位置仅在安装了 AntiSpyware Enterprise Module 8.7 时可用。
注： 使用默认的扫描项目列表可能会导致非常耗时的全面扫描。请考虑是否要为了经常使用而缩小该扫描的范围。
扫描选项 选定项目的扫描类型。
  • 包括子文件夹 - 扫描程序将检查指定卷中的所有子文件夹。取消选择此选项将只扫描卷的根级别。
  • 扫描引导区 - 扫描程序检查磁盘的引导区。
如果磁盘包含无法扫描的特别或异常的引导区，则也许应该禁用引导区扫描。


高级计划选项

配置计划参数。

选项定义

选项 | 定义
起始日期 | 指定启动此任务的日期。
结束日期 | 指定结束此任务的日期。
重复任务 | 按照指定的频率重复该任务。 如果选择此选项，另请指定重复此任务的频率。
每隔 | 指定重复此任务的频率。 另请选择频率是以小时还是以分钟为单位。
时间（本地） | 在指定的本地时间重复此任务。 如果选择此选项，另请选择特定时间。
持续时间 | 重复此任务指定的小时数和分钟数。 如果选择此选项，另请选择小时数和分钟数。
小时 | 小时数。选择 0 到 99 之间的数字。
分钟 | 分钟数。选择 0 到 59 之间的数字。


“计划”选项卡

指定此任务的计划频率和其他设置。

选项定义

选项 定义
运行时

运行任务 从以下选项选择此任务的频率：

每天 — 在指定天数内每天运行该任务。

每天任务可以间隔很多天运行一次，或从星期一到星期日每天都运行。如果您只希望在一周的特定日期运行该任务，而不是从星期一到星期日每天都运行，则建议您使用每周任务频率。

每周 — 在指定的星期和日期，每周运行该任务。

每月 — 在指定的日期和月份，每天运行该任务。

一次 — 在指定日期运行一次该任务。

启动时 — 在系统启动时运行该任务，并指定是否每天运行一次该任务，以及该任务延迟的分钟数。

登录时 — 在登录时运行该任务，并指定是否每天运行一次该任务，以及该任务延迟的分钟数。

空闲时 — 在计算机空闲时运行该任务，并指定在启动任务之前计算机空闲的分钟数。

如果启动了该任务且用户在任务完成之前恢复使用计算机，则任务将继续运行，直至完成。

立即 — 立即运行该任务。

拨号时 — 在拨号时运行该任务。
起始时间

选择计划任务的起始时间。
UTC 时间

协调世界时 (UTC)。选择此选项，将在所有时区同时运行该任务。
本地时间

在每个本地时区中独立运行该任务。

注： 默认值 = 本地时间
启用随机选择

在设置的时间间隔内，随机运行该任务。

如果选择此选项，还要为最大时间段指定小时和/或分钟数。

注：

指定介于 1 分钟（最小）和 23 小时（最大）之间的时间间隔。例如，将任务计划设置为 1:00，随机选择设置为三小时，会在 1:00 和 4:00 之间的任意时间运行该任务。

在“启动时”、“登录时”或“空闲时”计划任务时，此选项不可用。
小时

小时数。选择 0 至 23 小时
分钟

分钟数。

注：
可供选择的分钟数取决于选择的选项。例如：
  • 启用随机选择 — 选择 0 至 59 分钟。
  • 延迟错过任务到 — 选择 0 至 99 分钟。
错过时运行

确保在计算机重新启动时运行错过的任务。如果按计划运行该任务时，计算机处于离线状态，就会错过该任务。

注： 按计划运行某项任务时，如果远程用户刚好处于离线状态，该功能可确保远程用户和网络受到全面的保护。
延迟错过任务到

选择您希望错过的任务延迟的分钟数。选择 0 至 99 分钟。
间隔天数

每间隔指定的天数运行此任务一次。选择 0 到 9999 天。

注： 此选项仅在选择“每天”运行任务时可用。
间隔周数

每间隔指定的周数运行此任务一次。选择 0 到 99 周。

如果选择此选项，另请指定周数和星期几。

注：

对于星期几，请选择“星期日”、“星期一”、“星期二”、“星期三”、“星期四”、“星期五”或“星期六”。

此选项仅在选择“每周”运行任务时可用。

日期

在特定的日期运行此任务。选择 1 到 31 天。

如果选择此选项，另请指定日期。

注： 此选项仅在选择“每月”运行任务时可用。
周日期

在指定的日期运行此任务。

如果选择此选项，另请指定发生时间和日期。

注：

对于发生时间，请选择“第一个”、“第二个”、“第三个”、“第四个”或“最后一个”。

对于星期几，请选择“星期日”、“星期一”、“星期二”、“星期三”、“星期四”、“星期五”或“星期六”。

此选项仅在选择“每月”运行任务时可用。
选择月份

指定要运行此任务的月份。

注： 此选项仅在选择“每月”运行任务时可用。
运行日期

指定希望运行此任务的日期。

注： 此选项仅在选择“一次”运行任务时可用。
一天仅运行此任务一次

每天运行此任务一次。

注：

如果不选择此选项，则在每次启动或登录时运行此任务。

此选项仅在“启动时”、“登录时”或“拨号时运行”计划任务时可用。
延迟任务到

指定此任务延迟的分钟数。选择 0 到 99 之间的数字。

注：

这让用户有时间登录，且有时间执行登录脚本。

此选项仅在选择“启动时”或“登录时”运行任务时可用。
当计算机空闲时间达到

指定计算机在空闲多少分钟后启动该任务。选择 0 至 999 分钟。

注：

如果启动了该任务且用户在任务完成之前恢复使用计算机，则任务将继续运行，直至完成。

此选项仅在“空闲时”计划任务时可用。
高级

配置高级选项。

注： 有关详细信息，请参阅“高级计划选项”。


“任务”选项卡

启用此任务的计划并指定用户帐户设置。

选项定义

选项 | 定义
启用（在指定时间运行计划任务） | 计划在指定时间运行该任务。 注： 必须选择此选项，才能计划任务。
任务停止前的运行时限 | 在指定的小时数和/或分钟数后停止任务。 注： 如果任务在完成之前发生中断，则下一次启动时将从中断的位置恢复执行扫描。
小时 | 经过这个小时数后，任务将停止。
分钟 | 经过这个分钟数后，任务将停止。
用户 | 键入执行该任务所使用的用户 ID。 注： 是否使用凭据是可选的。如果不在此处键入凭据，则使用本地系统帐户运行计划任务。 有关详细信息，请参阅“登录权限”。
域 | 键入指定的用户 ID 所对应的域。
密码 | 键入指定的用户 ID 和域所对应的密码。


“脚本扫描”选项卡

选项定义

防止执行有害脚本。

有关详细信息，请参阅“脚本扫描及其工作原理”。

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 注： 只有 ePolicy Orchestrator 提供此选项。
脚本扫描 | 启用脚本扫描 - 在执行 JavaScript 和 VBScript 脚本前对其进行扫描。
脚本扫描排除项 | 进程 - 按进程名指定脚本扫描排除项。指定进程名时，不允许使用通配符。


“用户定义的检测项”选项卡

选项定义

指定将视为有害程序的各个文件或程序。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
注： 只有 ePolicy Orchestrator 提供此选项。
用户定义的项目
  • 文件名 - 指定要检测的文件或程序的名称。

  • 描述 - 指定在检测到指定的文件时，要在通知中显示的描述。

注： 扫描程序将不检测大小为零字节的用户定义的有害程序。