前言

为了有效地使用本文档，您应了解本文档的目标读者、使用的约定、文档内容以及查找其他参考文档的方法。

目录

  • 适用对象
  • 约定
  • 本手册的组织结构
  • 查找产品文档


适用对象

McAfee 文档是经过仔细研究专为目标读者编写的读本。

本指南中的信息主要面向以下人员：
  • 管理员 — 执行和实施公司安全计划的人员。
  • 用户 — 负责在其系统中配置产品选项或更新其系统的人员。


约定

本手册使用以下印刷约定。
书名或重点 | 手册、章节或主题的标题；新术语的介绍；强调。
粗体 | 重点强调的文本。
用户输入或路径 | 用户输入的命令和其他文本；文件夹或程序的路径。
代码 | 代码示例。
用户界面 | 用户界面文字，包括选项、菜单、按钮和对话框。
超文本（蓝色） | 指向某个主题或网站的活动链接。
注释 | 附加信息，例如访问某个选项的替代方法。
提示 | 提议和推荐。
重要事项/注意 | 保护计算机系统、软件安装、网络、企业或数据的有用建议。
警告 | 在使用硬件产品时，保护用户免受人身伤害的重要建议。


本手册的组织结构

本文档与 VirusScan 控制台和 ePolicy Orchestrator 用户界面一起使用作为参考。它还按顺序描述了应如何通过使用 VirusScan Enterprise 的方式来保护系统免受恶意软件的攻击。为了说明该流程，本文档分为以下四个主要部分以及附录：
  • 第 I 部分 - 防护：避免威胁 — 保护系统的最佳方法是防止任何恶意软件获得对系统的访问权限。本文档的此部分说明了以下内容：
    • 保护系统的接入点、溢出错误的内存和有害程序。
    • 检测定义、如何将其用于保护系统以及定期更新这些定义的重要性。
    • 将文件、文件夹和磁盘排除在扫描范围之外。
    • 使用计划的任务定期扫描系统并更新 VirusScan Enterprise 使用的文件。
  • 第 II 部分 - 检测：查找威胁 — 已打开或从其他文件系统或 Internet 复制的文件可能会提供对系统的访问权限。此外，应用程序编程接口 (API) 调用和脚本会给系统带来威胁。在以下 VirusScan Enterprise 扫描进程中会发现这些威胁：
    • 按访问扫描 - 当文件读入或写入磁盘时对该文件进行扫描，以了解是否存在恶意软件，它还保护引导扇区、扫描已运行的进程的内存、检测 Cookie 并抵御有害程序。
    • 按需扫描 - 从 VirusScan 控制台中启动时，按计划或根据需要扫描整个系统，了解是否存在威胁。
    • 发送时扫描电子邮件和按需扫描电子邮件 - 抵御恶意软件通过 Microsoft Outlook 和 Lotus Notes 中的电子邮件传播。
    • 缓冲区溢出保护 - 分析由某些进程进行的 API 调用，以确认这些进程未尝试覆盖内存缓冲区中的相邻数据。
    • ScriptScan - 查找使用 Windows Script Host 访问的浏览器或其他应用程序中的威胁。
  • 第 III 部分 - 响应：处理威胁 — 发现威胁时，可将 VirusScan Enterprise 配置为执行以下任一步骤：
    • 拒绝访问威胁或不进一步采取操作。
    • 删除或清除威胁。采取任一操作时，原始文件的副本将存储在隔离文件夹中。
    附注： 对于任何检测项，您可以将 VirusScan Enterprise 配置为是否通知用户。
  • 第 IV 部分 - 监控、分析和微调您的保护 — 您的保护为最新并开始运行后，应使用 ePolicy Orchestrator 查询和报告监控系统。然后便可以确定对安全设置进行更改，以增加或减少系统保护量。另外，您可能还要使用 VirusScan 控制台日志和简单网络管理协议 (SNMP) 陷阱来监控系统。
  • 附录 - 说明在使用 VirusScan Enterprise 时需要了解的某些其他功能。例如，VirusScan Enterprise 命令行选项、通过 VirusScan Enterprise 连接到远程系统等等。


查找产品文档

McAfee 提供了从安装到使用再到故障排除的每个产品实施阶段所需的信息。发行一个产品后，有关此产品的信息将输入到 McAfee 在线知识库中。
  1. 请转至 McAfee 技术支持 ServicePortal，网址为 http://mysupport.mcafee.com。
  2. 在“自助服务”下，访问所需的信息类型：
    要访问…… 操作方法……
    用户文档

    1. 单击“产品文档”。

    2. 选择“产品”，然后选择“版本”。

    3. 选择产品文档。

    知识库
    • 单击“搜索知识库”获取产品问题的答案。
    • 单击“浏览知识库”查找按产品和版本列出的文章。


入门

了解 McAfee® 的组件、 VirusScan® Enterprise 8.8 软件以及您用来配置软件的顺序能够帮助您保护系统免受威胁的攻击。

目录

  • VirusScan Enterprise 简介
  • 组件及其交互方式
  • 创建安全策略的重要性
  • VirusScan 控制台以及对其访问的方法
  • 首要工作


VirusScan Enterprise 简介

一旦安装完 VirusScan Enterprise 软件，它便开始保护您的系统免受威胁的攻击。如果您对该软件的作用、该版本中的新增功能及其主要组件有所了解，则能够增强您的保护。

它是什么及其功能

VirusScan Enterprise 的保护功能易于扩充、扫描速度快且设计灵活便捷，可以保护您的环境免受以下威胁：

  • 病毒、蠕虫和特洛伊木马程序
  • 访问点违规和被利用的缓冲区溢出
  • 潜在有害代码和程序

它检测威胁，然后采取已配置的操作来保护环境。

可以将软件配置为独立产品，或者可以使用 McAfee® ePolicy Orchestrator® 软件 4.0 版 及更高版本来管理并实施 VirusScan Enterprise 策略，然后使用查询和信息显示板跟踪活动和检测。

附注： 本文档使用 ePolicy Orchestrator 4.0、4.5 和 4.6.进行说明。有关使用这些版本的 ePolicy Orchestrator 的信息，请参阅其产品文档。

新增功能

本版本包含以下新功能：
  • 增强的性能。
  • 可让 ePolicy Orchestrator 4.5 和 4.6 管理您的 VirusScan Enterprise 系统。
  • 新 ScriptScan URL 排除项功能可让您配置排除项，而不是手动编辑注册表。
  • 已将 AntiSpyware Enterprise Module 完全集成到 VirusScan Enterprise 8.8 软件。
  • 支持 Outlook 2010 电子邮件扫描。
  • 支持 Lotus Notes 8.0x 到 8.5.1 电子邮件扫描。


组件及其交互方式

如果您是 VirusScan Enterprise 的管理员或用户，应当熟悉其组件和连接。下图显示了这些针对基本环境的组件。

图 1. VirusScan Enterprise 组件

客户端系统

这是用来安装及配置 VirusScan Enterprise 和可选 McAfee Agent 的位置。
  • DAT 文件 - 检测定义文件（又称为恶意软件特征码文件），使用扫描引擎来识别威胁并采取相应操作。
  • 扫描引擎 - 用于扫描客户端计算机上的文件、文件夹和磁盘，并将这些内容与 DAT 文件中的信息进行比较，以查找是否存在已知病毒。
    附注： 通过使用与 McAfee 总部的 Internet 连接或使用通过企业内部网与指定服务器的可选连接，可以根据需要更新 DAT 文件和扫描引擎。
  • Artemis（对可疑文件进行启发式网络检查）- 查找在受 VirusScan Enterprise 保护的客户端系统上运行的可疑程序和 DLL。恶意软件实时防护检测到可疑程序时，会向 McAfee Labs 托管的中心数据库服务器发送包含可疑文件指纹的 DNS 请求。
  • McAfee Agent（可选）- 提供 McAfee 托管产品和 McAfee ePolicy Orchestrator 服务器之间的安全通信。代理还提供本地服务，例如更新、记录、报告事件和属性、任务计划、通信和策略存储。

McAfee 总部

McAfee 总部是 McAfee Labs 和 McAfee 技术支持的所在地，可提供以下 VirusScan Enterprise 服务：
  • DAT 更新 - 存储在 McAfee 中心数据库服务器上，使用 AutoUpdate 可将这些 DAT 更新文件复制到 VirusScan Enterprise 客户端或可选 DAT 存储库，以提供用于应对已知威胁的信息和实时发现的已知病毒的新列表。
  • 扫描引擎更新 - 存储在中心数据库服务器上，可根据需要下载扫描引擎更新，以使 VirusScan Enterprise 扫描引擎保持最新状态。
  • McAfee Labs - 此威胁库包含有关以下方面的详细信息：病毒、特洛伊木马程序、恶作剧程序和潜在有害程序 (PUP) 威胁、它们的来源、感染系统的方式及其处理方式。Artemis 功能会将可疑文件指纹发送到 McAfee Labs，从中可以分析文件并确定要采取的操作。

服务器

可选服务器使用以下组件来远程管理和更新多个客户端系统：
  • ePolicy Orchestrator - 集中管理并实施 VirusScan Enterprise 策略，然后使用查询和信息显示板跟踪活动和检测。
    附注： 本文档使用 ePolicy Orchestrator 4.0、4.5 和 4.6.进行说明。有关 ePolicy Orchestrator 的信息，请参阅适用于您版本的产品文档。
  • DAT 存储库 - 从 McAfee 下载站点中检索 DAT 更新。可以将 DAT 文件从该处复制到整个组织，以供所有其他计算机访问。这样，通过将更新文件复制到共享站点的过程自动化，可最大程度地降低通过网络传输的数据量。


创建安全策略的重要性

使用 VirusScan Enterprise 保护您的客户端系统免受病毒、蠕虫和特洛伊木马程序文件的攻击需要一个精心策划的策略：定义威胁预防和检测、对威胁的响应以及持续分析和优调。

预防 — 避免威胁

定义安全需求，确保您的所有数据源受到保护，然后开发一种有效策略，在入侵获取访问您环境的权限之前阻止它。配置以下功能防止入侵：
  • 用户界面安全 - 设置显示和密码保护，控制对 VirusScan Enterprise 用户界面的访问。
  • 访问保护 - 使用访问保护规则保护计算机免受关于文件、注册表和端口的不良行为。
  • 缓冲区溢出保护 - 在向缓冲区写入数据时能够防止异常程序或威胁溢出缓冲区边界并覆盖相邻的内存。这些利用的缓冲区溢出可以在您计算机上执行任意代码。
  • 有害程序保护 - 从您的计算机上删除可能有害的程序（例如间谍程序和广告程序）。

检测 - 查找威胁

开发一种有效的策略，以便在发生入侵时进行检测。配置以下功能以便检测威胁：
  • 更新任务 - 从 McAfee 下载网站获取 DAT 和扫描引擎的自动更新。
  • 按访问进行的扫描程序 - 从磁盘读取文件或将文件写入磁盘时检测来自任何可能来源的潜在威胁。您也可以扫描 Cookie 文件夹中可能有害的 Cookie。
  • 按需扫描任务 - 使用即时扫描任务和计划扫描任务检测潜在的威胁。您也可以扫描以前尚未清除的各种可能有害的 Cookie 和间谍程序相关注册表项。
  • 发送时扫描电子邮件和按需扫描电子邮件扫描程序 - 可通过对邮件、附件和公共文件夹进行传递扫描，检测 Microsoft Outlook 电子邮件客户端上存在的潜在威胁。访问邮件时检测 Lotus Notes 电子邮件客户端上的潜在威胁。
  • Quarantine Manager 策略 - 指定隔离位置和保留隔离项目的时间长度。必要时恢复隔离的项目。

响应 - 处理威胁

使用产品日志文件、自动操作和其他通知功能决定进行检测的最佳方式。
  • 操作 - 配置针对检测项采取操作的功能。

  • 日志文件 - 监视产品日志文件以查看检测到的项目历史记录。

  • 查询和信息显示板 - 使用 ePolicy Orchestrator 查询和信息显示板监视扫描活动和检测项。

优调 - 对保护进行监控、分析和优调

在对 VirusScan Enterprise 进行初始配置之后，建议对您的配置进行监控和分析。这可以提高系统和网络的性能，而且在必要时还能增强病毒防护的级别。例如，作为您监控、分析和优调过程的一部分，可对以下 VirusScan Enterprise 工具和功能进行修改：
  • 日志文件(VirusScan 控制台) - 查看已检测项目的历史记录。通过分析此信息，您可以了解是否需要增强保护或更改配置来提高系统性能。
  • 查询和信息显示板（ePolicy Orchestrator 控制台）- 监控扫描活动和检测项。通过分析此信息，您可以了解是否需要增强保护或更改配置来提高系统性能。
  • 计划任务 - 修改任务（如 AutoUpdate）和扫描时间，并通过在非高峰期时间运行这些任务来提高性能。
  • DAT 存储库 - 通过将这些源文件移近需要更新的客户端，缩减企业 Internet 或 intranet 间的网络通讯。
  • 修改扫描策略 - 根据您对日志文件或查询的分析，可以提高性能或病毒防护能力。例如，配置排除项为何时使用高风险和低风险配置文件扫描以及何时禁用写入时扫描均可以提高性能。
    注意：
    无法启用“在从磁盘中读取时”扫描将使您的系统置于大量恶意软件攻击的风险中。


VirusScan 控制台以及对其访问的方法

VirusScan 控制台是针对单机版程序活动的界面。您可以使用其配置、监视和更新产品。
附注： 此信息仅适用于产品的单机版本，而非托管的 ePolicy Orchestrator 版本。


VirusScan 控制台及其工作原理

在了解 VirusScan Enterprise 作用及其组件之后，您需要了解如何访问其功能。使用以下方法之一打开“VirusScan Enterprise 8.8 控制台”：
  • 从“开始”菜单，选择“程序 | McAfee | VirusScan 控制台”。
  • 右键单击系统任务栏中的“VirusScan Enterprise”盾牌图标，然后选择“VirusScan 控制台”。

菜单栏

使用菜单项可创建任务、配置属性并访问其他信息。
  • 任务 — 创建和配置任务，如扫描威胁或更新 DAT 文件。
  • 编辑 — 复制、粘贴、删除或重命名所选任务。
  • 查看 — 显示工具栏和状态栏并刷新显示。
  • 工具 — 配置用户的界面选项、锁定或解锁用户界面安全、配置警报、访问事件查看器、打开远程控制台（如果您具有管理员权限），导入或编辑存储库列表以及回滚 DAT 文件。
  • 帮助 — 访问在线帮助主题、McAfee Labs 网站上的威胁库、“提交样本”网站和“技术支持”网站。您也可以修复产品安装并查看“关于”对话框，获取版权信息以及安装的产品、许可证、定义文件、扫描引擎、附加驱动程序和修补程序的版本。
附注： 菜单中的每一项都有一个关联的快捷键。这些快捷键在某些操作系统中可能不可用，除非使用 F10 或 ALT 访问相应菜单。

工具栏

使用这些图标可访问以下常用的命令：
  • 显示所选任务的属性。
  • 启动所选任务。
  • 停止所选任务。
  • 复制所选任务。
  • 粘贴所选任务。
  • 删除所选任务。
  • 配置警报属性。
  • 启动事件查看器。
  • 访问 McAfee Labs 网站上的信息库。
  • 连接至远程计算机（如果您具有管理员权限）。
  • 新建按需扫描。

任务列表

显示默认任务和您创建的任何任务，以及每个任务的状态和最后结果。

状态栏

显示当前活动的状态。


使用右键功能

使用右键单击功能可快速访问常用操作，如新建任务、查看任务统计信息和日志、打开任务属性页、扫描特定文件或文件夹或者执行即时更新任务。

功能说明

位置 | 说明 | 示例
控制台 右键单击 VirusScan 控制台以显示右键单击功能。这些功能不尽相同，具体取决于是否在任务列表中选择了任务以及选择了哪个任务。
  • 在控制台中，右键单击某个任务可访问其属性。您也可以启动、停止、启用或禁用该任务，以及查看统计信息和活动日志，具体取决于您所选择的任务。在某些情况下，您还可以重命名或删除任务。
  • 右键单击该控制台的空白区域可新建扫描或更新任务。
Windows 资源管理器 右键单击所选文件或文件夹，可对该项目执行即时“威胁扫描”。您可以为扫描选择一项操作：
  • 清除 — 报告并清除检测到的项目。
  • 继续 — 报告检测到的项目并继续扫描。

对您怀疑受到威胁的文件或文件夹执行即时扫描。

启动扫描时，会直接调用按需扫描程序，同时启用所有扫描设置。选择操作选项。您不能自定义任何其他的扫描设置。

系统任务栏 | 有关 VirusScan Enterprise 图标右键的说明，请参阅“系统任务栏图标及其工作原理”。


系统任务栏图标及其工作原理

VirusScan Enterprise 安装完成后，将在 Windows 系统任务栏中出现以下图标之一（如果在安装过程中配置了此功能）。

“M”（盾牌图标中）

显示在 ePolicy Orchestrator 使用 McAfee Agent 版本 4.5 或更高版本的托管系统中。其中会显示：
  • 状态 - 该图标不会更改为指示访问保护触发警报，或者是否已在使用 McTray 2.x 版本或更高版本（使用McAfee Agent 4.5 或更高版本）的 ePolicy Orchestrator 托管客户端上禁用按访问扫描。状态更改显示为工具提示。
  • 工具提示 - 图标工具提示包括：
    • McAfee 状态：OK - 正常。选项可指示：
      • 查看安全状态 - 显示复选标记。
      • “快速设置”|“按访问病毒扫描”- 开 - 显示复选标记。
    • McAfee 状态：检测到问题 - 按访问扫描已禁用。选项可指示：
      • 查看安全状态 - 显示感叹号。
        附注： 单击“查看安全状态”，以显示“状态”列中具有问题 -“按访问扫描已禁用”的“McAfee 安全状态”对话框。
      • “快速设置”|“按访问病毒扫描”- 关 - 不显示复选标记。
    • McAfee 状态：检测到问题 - 访问保护事件已触发。选项可指示：
      • 查看安全状态 - 显示感叹号。
        附注： 单击“查看安全状态”，以显示“状态”列中具有问题 -“请参阅访问保护日志”的“McAfee 安全状态”对话框。
      • “快速设置”|“按访问病毒扫描”- 开 - 显示复选标记。
  • 菜单选项 - 右键单击菜单选项包括：
    • 更新安全 - 更新 DAT 文件和任何其他更改。
    • 快速设置 - 显示：
      • 按访问扫描属性 - 打开按访问扫描程序属性。
      • 打开或关闭按访问扫描 - 切换按访问扫描程序。
      • 按访问扫描属性 - 打开按访问扫描程序属性。
      • 按访问扫描消息 - 打开按访问扫描统计信息或消息。
      • 打开按访问保护日志文件 - 打开日志文件。

    • “管理功能”|“VirusScan Enterprise” - 打开 VirusScan 控制台。
    • “扫描计算机”|“威胁”- 开始立即扫描。
    • 查看安全状态 - 显示“McAfee 安全状态”对话框。
    • McAfee Agent 状态监视器 - 显示“McAfee 安全状态监视器”对话框。
    • 关于 - 打开“关于”对话框。

“M”（框中）

显示在使用 McTray 1.0 的单独系统中以及 ePolicy Orchestrator managed systems 使用 McTray 1.0 的 4.0 版本的 McAfee Agent 托管系统中。其中会显示：
  • 状态 - 显示的内容包括：
    • “M”（框中）- 正常状态。
    • 带有感叹号的 [image] “M”（框中）- 访问保护事件已触发或按访问扫描已禁用。右键单击菜单选项表示：
      • 圆圈加线的 [image] “V”（盾牌中）- 表示按访问扫描已禁用。
      • 带有红色轮廓的 [image] “V”（盾牌中）- 表示按访问扫描已禁用，但参阅访问保护日志文件。

  • 工具提示 - 显示“McAfee”。
  • 菜单选项 - 右键单击菜单选项包括：
    • VirusScan 控制台 - 打开 VirusScan 控制台。
    • 禁用或启用按访问扫描程序 - 切换按访问扫描程序。
    • 按访问扫描属性 - 打开按访问扫描程序属性。
    • 按访问扫描统计信息 - 打开按访问扫描统计信息。
    • 按访问扫描消息 - 打开按访问扫描统计信息或消息。
    • 按需扫描 - 创建一次性可配置按需扫描。
    • 立即更新 — 执行即时更新任务。
    • 关于 VirusScan Enterprise - 打开“关于”对话框。

“V”（盾牌图标中）

出现在不包括 McTray 1.0 的单独系统中。其中会显示：
  • 状态 - 显示的内容包括：
    • “V”（盾牌图标中）- 正常。
    • 圆圈加线的 [image] “V”（盾牌中）- 表示按访问扫描已禁用。
    • 带有红色轮廓的 [image] “V”（盾牌中）- 表示按访问扫描已禁用，但参阅访问保护日志文件。
  • 工具提示 - 工具提示包括：
    • “V”（盾牌图标中）- McAfee OAS：已启用，正常。
    • “V”（盾牌图标中）- McAfee OAS：已禁用。
    • “V”（盾牌图标中）- McAfee OAS：已启用，参阅访问保护日志。

  • 菜单选项 - 右键单击菜单选项包括：
    • 更新安全 - 更新 DAT 文件和任何其他更改。
    • 快速设置 - 显示：
      • 按访问扫描属性 - 打开按访问扫描程序属性。
      • 打开或关闭按访问扫描 - 切换按访问扫描程序。
      • 按访问扫描消息 - 打开按访问扫描统计信息或消息。
      • 打开按访问保护日志文件 - 打开日志文件。

    • “管理功能”|“VirusScan Enterprise” - 打开 VirusScan 控制台。
    • “扫描计算机”|“威胁”- 开始立即扫描。
    • 查看安全状态 - 显示“McAfee 安全状态”对话框。
    • McAfee Agent 状态监视器 - 显示“McAfee 安全状态监视器”对话框。
    • 关于 - 打开“关于”对话框。


首要工作

安装该软件后，它将使用产品附带的 DAT 文件并为环境提供常规安全。McAfee 建议您在将产品部署到客户端系统之前，先获取最新的 DAT 文件并自定义配置，以满足您的要求。

安装产品后，立即采取以下操作。

  1. 设置用户界面安全。将显示选项和密码选项配置为防止用户访问特定组件或整个 VirusScan Enterprise 用户界面。有关详细信息，请参阅“控制对用户界面的访问”。
  2. 更新 DAT 文件。执行“立即更新”任务以确保您具有最新的 DAT 文件。有关详细信息，请参阅“更新检测项定义”。
  3. 防止入侵。配置下列功能可防止潜在威胁访问系统：
    • 访问保护。配置访问保护规则以防止对计算机进行有害更改，并启用防止终止 McAfee 进程的选项。有关详细信息，请参阅“保护系统访问点”。
    • 缓冲区溢出保护。启用缓冲区溢出检测并指定排除项。有关详细信息，请参阅“阻挡缓冲区溢出利用”。
    • 有害程序策略。配置按访问扫描程序、按需扫描程序和电子邮件扫描程序用于检测可能有害的程序的策略。从预定义列表中选择要检测的有害程序类别，然后定义要检测或排除的其他程序。有关详细信息，请参阅“限制可能有害的程序”。
  4. 检测入侵。配置以下功能可检测系统上的潜在威胁，然后在入侵时通知您并对其采取相应的操作：
    • AutoUpdate。配置更新任务以获取最新的 DAT 文件、扫描引擎和产品升级。有关详细信息，请参阅“更新检测项定义”。
    • 按访问扫描程序。将扫描程序配置为可检测潜在的威胁，并在您的环境中访问到这些威胁时对其执行相应操作。启用对有害程序的扫描，并扫描 Cookie 文件夹中的 Cookie。有关详细信息，请参阅“按访问扫描项目”。
    • 按需扫描程序。将扫描任务配置为可检测您环境中存在的潜在威胁并对其采取相应操作。启用对有害程序的扫描、扫描 Cookie 文件夹中的 Cookie，并扫描以前尚未清除的各种可能有害的间谍程序相关注册表项。有关详细信息，请参阅“按需扫描项目”。
    • 电子邮件扫描程序。配置对 Microsoft Outlook 和 Lotus Notes 电子邮件客户端进行的发送时扫描和按需扫描。启用对有害程序的扫描。有关详细信息，请参阅“发送时扫描电子邮件和按需扫描电子邮件”。
  5. 发送警报并隔离威胁。 将这些功能配置为可以在出现检测项时向您发出警报，并可以管理隔离的项目：
    • 警报和通知。配置接收检测项通知和警报的方式和时间。有关详细信息，请参阅“配置警报和通知”。
    • Quarantine Manager 策略。配置隔离文件夹的位置和自动删除隔离项目前保留隔离项目的天数。有关详细信息，请参阅“隔离的项目”。
相关概念
隔离项目
相关任务
发送时扫描电子邮件和按需扫描电子邮件
相关信息
对用户界面的控制访问
更新检测定义
保护系统访问点
阻挡缓冲区溢出利用
限制潜在有害程序
按访问扫描项目
按需扫描项目
配置警报和通知


第 1 部分 - 防护：避免威胁

防护是保护策略的第一步，可阻止威胁访问您的系统。

目录

  • 访问保护
  • 保护系统访问点
  • 阻挡缓冲区溢出利用
  • 限制潜在有害程序
  • 更新检测定义
  • 排除扫描项
  • 使用已计划的任务


访问保护

防止威胁访问您的客户端系统是您阻挡恶意软件的第一道防线。VirusScan Enterprise 的访问保护功能会将所请求操作与配置规则的列表进行对比。可以将每个规则配置为在发生违反访问规则的行为时阻挡或报告，或者阻挡和报告该行为。

访问保护通过限制对指定的端口、文件、共享资源、注册表项和注册表值的访问来防止对计算机的有害更改。它还通过防止用户停止 McAfee 进程，对这些进程进行保护。这种保护在病毒爆发前和爆发期间都很关键。

此功能使用预定义和用户定义的规则来指定可以访问和无法访问的项目。可以将每个规则配置为在发生违反访问规则的行为时阻挡或报告，或者阻挡和报告该行为。可以从 McAfee 更新站点更新预定义的规则和类别。

附注： 必须启用按访问扫描程序（可以检测访问冲突），以便检测对端口、文件、共享资源、注册表项和注册表值的访问尝试。

威胁如何获得访问权限

威胁获得对您系统访问权限的最常用方法包括：
  • 宏 - 作为文字处理文档和电子表格应用程序的一部分。
  • 可执行文件 - 看似无害的程序在包含预期程序的同时可能也包含病毒。例如，一些常用文件扩展名包括 .EXE、.COM、.VBS、.BAT、.HLP 和 .DLL。
  • 电子邮件 - 作为带有附件电子邮件一部分的玩笑程序、游戏和图像。
  • 脚本 - 与网页、电子邮件和脚本相关联的程序（例如 ActiveX 和 JavaScript），如果允许运行，可能包括病毒。
  • Internet 中继聊天 (IRC) 消息 - 随这些消息一起发送的文件比较容易包含作为消息一部分的恶意软件。例如，自动启动过程可能包含蠕虫和特洛伊木马程序威胁。
  • 浏览器和应用程序帮助文件 - 下载这些帮助文件会将系统暴露给嵌入的病毒和可执行文件。
  • 所有以上方法的组合 - 复杂恶意软件创建者会将所有这些提供方法组合在一起，甚至将其中一种恶意软件嵌入到另一恶意软件中，从而试图访问您的计算机。

目录

相关概念
如何阻止访问威胁
相关信息
对用户界面的控制访问


如何阻止访问威胁

通过启用或更改访问保护功能的配置，您可以配置防间谍软件保护、防病毒保护、通用保护和虚拟机保护，并定义您自己的保护规则。以下是 VirusScan Enterprise 用来提供访问保护的基本过程。

出现威胁时所应采取的步骤

  1. 某一用户或进程尝试采取措施。
  2. 访问保护根据定义规则检查该措施。
  3. 当违反了某一规则时，则使用配置规则中的信息对用户或进程请求的措施进行管理。例如，如果措施没有产生任何响应，则阻挡该措施，或者在阻挡该措施的同时发出一份报告。
  4. 系统会更新访问保护日志文件，并对 ePolicy Orchestrator 全局管理员生成事件。

访问威胁的示例

  1. 某用户从 Internet 中下载一个程序 MyProgram.exe。
    附注： 在此示例中，MyProgram.exe 并不是恶意软件。
  2. 该用户启动了程序，启动似乎顺利进行。
  3. MyProgram.exe 然后启动了一个称为 AnnoyMe.exe 的子进程，并试图修改操作系统，以确保能在启动时始终加载。
  4. 访问保护处理该请求，并将其与已配置用来阻挡和报告的现有规则进行匹配。
  5. 当 AnnoyMe.exe 试图修改操作系统时被拒绝访问，访问保护会记录该企图的详细信息，并对 ePolicy Orchestrator 全局管理员生成警报。

生成的日志报告和警报

下面是访问保护日志条目的一个示例。

2010 年 2 月 10 日上午 11:00 由访问保护规则阻挡 TestDomain\TestUser C:\Users\TestUser\Desktop\AnnoyMe.exe \REGISTRY\MACHINE\SOFTWARE\Microsoft\Window\CurrentVersion\Run\ 禁止将程序注册为自动运行

下表介绍了上一访问保护日志条目中的数据：
日志条目 | 说明
2/10/2010 | 日期
上午 11:00 | 时间
由访问保护规则阻挡 | 执行的操作
TestDomain\TestUser | 凭据
C:\Users\TestUser\Desktop\AnnoyMe.exe | 泄露规则的进程名称
\REGISTRY\MACHINE\SOFTWARE\Microsoft... | 进程试图访问的位置
禁止将程序注册为自动运行 | 触发的访问保护规则

使用 ePolicy Orchestrator 查询可获得类似信息。有关详细信息，请参考“访问查询和信息显示板”。

相关信息
访问查询和信息显示板


对用户界面的控制访问

为客户端计算机上的界面设置安全是保护环境的重要部分。

管理员可执行下列操作：
  • 控制用户对 VirusScan Enterprise 界面的访问权限。
  • 设置密码，防止用户访问或更改选定功能。
  • 根据需要锁定和解锁用户界面。

目录

相关概念
设置密码对用户的影响
相关任务
配置用户界面安全设置


设置密码对用户的影响

设置用户界面密码以阻止持有恶意目的的用户。

如果对客户端计算机上的用户界面进行了密码保护，会对以下用户产生影响：

  • 非管理员 - 无管理员权限的用户。非管理员运行全部 只读模式下的 VirusScan Enterprise 应用程序。他们可以查看某些配置参数、运行已保存的扫描以及运行即时扫描和更新。但他们不能更改任何配置参数，不能创建、删除或修改已保存的扫描或更新任务。
  • Administrators — 具有管理员权限的用户。管理员必须键入密码，以便在读/写模式下访问受保护的选项卡和控件。对于受保护的项目，如果不提供密码，则只能以只读模式查看。


配置用户界面安全设置

使用“常规选项策略”用户界面属性来配置可供用户使用的显示和密码选项。
注意：
在更改这些属性之前，请仔细考虑其相应的安全后果。这些选项可让您限制或允许用户对其安全配置进行更改，并且可能会将系统置于无法免受众多恶意软件攻击的危险境地。

使用这些用户界面控制台配置“常规选项策略”用户界面属性。


ePolicy Orchestrator 4.5 或 4.6

配置“常规选项策略”用户界面属性。

任务

有关选项定义，请单击各选项卡上的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“显示选项”选项卡中，如果用户能够连接到远程系统和其语言选项设置，则配置用户所能看到的 VirusScan Enterprise 系统任务栏图标。
  5. 在“密码选项”选项卡中，配置用户使用正确密码所能更改的 VirusScan Enterprise 任务和用户界面选项。


ePolicy Orchestrator 4.0

配置“常规选项策略”用户界面属性。

任务

有关选项定义，请单击各选项卡上的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“显示选项”选项卡中，如果用户能够连接到远程系统和其语言选项设置，则配置用户所能看到的 VirusScan Enterprise 系统任务栏图标。
  5. 在“密码选项”选项卡中，配置用户使用正确密码所能更改的 VirusScan Enterprise 任务和用户界面选项。


VirusScan 控制台

配置“常规选项”用户界面属性。

任务

有关选项定义，请单击各选项卡上的“帮助”。

  1. 单击“工具”|“常规选项”，可以打开“常规选项”配置对话框。
  2. 在“显示选项”选项卡中，如果用户能够连接到远程系统和其语言选项设置，则配置用户所能看到的 VirusScan Enterprise 系统任务栏图标。
  3. 在“密码选项”选项卡中，配置用户使用正确密码所能更改的 VirusScan Enterprise 任务和用户界面选项。


保护系统访问点

访问保护通过限制对指定的端口、文件、共享资源、注册表项和注册表值的访问来防止对计算机的有害更改。它还通过防止用户停止 McAfee 进程，对这些进程进行保护。这种保护在病毒爆发前和爆发期间都很关键。

此功能使用预定义规则和类别以及用户定义的规则来指定可以访问和无法访问的项目。可以将每个规则配置为在发生违反访问点规则的行为时阻挡和/或报告该行为。预定义规则和类别可以通过 McAfee 更新站点更新内容。

目录

相关概念
违反访问点规则的行为以及 VirusScan Enterprise 的响应方式
相关任务
配置访问保护设置
相关参考
如何定义访问保护规则
用户定义的规则的类型


如何定义访问保护规则

规则分为以下几类，提供以下几个级别的保护。

规则类型描述

规则类型 说明
防病毒

这些预配置规则可保护您的计算机免受恶意软件的常见行为的威胁。您可以启用、禁用和更改配置，但不能删除这些规则。

以下是两个规则示例：

  • 防止禁用或更改关键进程、远程创建或修改可执行文件，防止拦截可执行文件和实施 Windows Process 欺骗，同时禁止群发邮件蠕虫发送邮件。
  • 保护电话簿文件免受密码和电子邮件窃贼的攻击。

以下保护级别适用于防病毒规则：

  • 标准保护
  • 最大保护
  • 爆发控制
通用

这些预配置规则可防止修改通用文件和设置。您可以启用、禁用和更改配置，但不能删除这些规则。

以下是三个规则示例：

  • 防止修改 McAfee 文件和设置。
  • 保护 Mozilla 和 Firefox 文件及设置、Internet Explorer 设置以及网络设置。
  • 防止安装 Browser Helper Objects 以及自动从 Temp 文件夹运行程序。

以下保护级别适用于通用规则：

  • 标准保护
  • 最大保护
虚拟机保护

这些预配置规则禁止终止 VMWare 进程和修改 VMWare 文件。您可以启用、禁用和更改配置，但不能删除这些规则。

以下是规则示例：
  • 禁止终止 VMWare 进程。
  • 禁止修改 VMWare 工作站、服务器或虚拟机文件。
用户定义

这些自定义规则可对“防病毒”规则和“通用”规则提供的保护进行补充。

防间谍程序

以下是规则示例：
  • 禁止 Internet Explorer 收藏夹和设置。
  • 禁止程序从临时文件夹运行并执行脚本。

保护级别描述

保护级别 | 说明
标准 | 一类防病毒规则和通用规则，保护某些关键设置和文件不被修改，但通常允许安装和执行合法软件。
最大 | 一类防病毒规则和通用规则，保护最关键的设置和文件不被修改。此保护级别提供比标准级别更多的保护，但可能会禁止您安装合法软件。如果无法安装软件，我们建议首先禁用“访问保护”功能，安装完成后再重新启用。
爆发控制 | 一类防病毒规则，阻挡破坏性代码访问计算机，直到发布 DAT 文件。预配置这些规则后，可以阻挡爆发期间对共享资源的访问。


违反访问点规则的行为以及 VirusScan Enterprise 的响应方式

受限用户或受限进程尝试启动、停止或访问计算机的受限组件时，将发生违反访问规则的行为。

发生违反访问点规则的行为时：

  • 如果选择了检测违反规则行为的规则对应的“报告” 选项，信息将记录在日志文件中。
  • 如果将“警报属性”配置为在本地事件日志和 SNMP 中记录事件，将执行该操作。
  • 如果将这些产品配置为向 Alert Manager 和 ePolicy Orchestrator 报告事件，将执行该操作。
  • 规则的“阻挡”和“报告”操作确定该规则检测到违反行为时将发生什么情况。
  • 在独立客户端系统上，系统会在系统任务栏图标周围显示红色边框并持续 30 分钟，除非对其进行重置。
    附注： 要重置该图标，请从系统任务栏图标打开“访问保护日志文件”。使用任何其他方法打开日志文件时不会将该图标重置为正常状态。


用户定义的规则的类型

配置新访问保护用户定义的规则时，您可以创建端口阻挡规则、文件和文件夹阻挡规则以及注册表阻挡规则。

下表说明了这些规则。

规则描述

规则 | 说明
端口阻挡规则 | 阻挡特定端口或系列端口的传入或传出网络流量。 附注： 阻挡端口时，将同时阻挡传输控制协议 (TCP) 和用户数据报协议 (UDP) 访问。 附注： 如果您阻挡了某一端口，使用此端口或一系列端口的任何协议被阻挡。例如，将同时阻挡传输控制协议 (TCP) 和用户数据报协议 (UDP) 访问。
文件/文件夹阻挡规则 | 阻挡对文件和文件夹、执行文件以及新创建的文件和删除文件的写入访问权限。 附注： 一旦限制对文件或文件夹的访问，限制将一直有效，直到管理员取消为止。这有助于防止入侵并阻挡其在爆发期间进行传播。
注册表阻挡规则 | 通过阻挡下列操作保护注册表项或注册表值：写入，创建或删除。


配置访问保护设置

使用“访问保护策略”保护系统访问点并防止 McAfee 进程终止。
注意：
如果未能启用访问保护，且未能防止 McAfee 服务停止，将会使您的系统处于不受保护状态，会遭到多种恶意软件的攻击。
您可以配置以下两种类型的访问保护规则。
  • 预定义规则 - 允许您执行以下操作：
    • 在其中一个用户界面控制台中打开访问保护规则类别。
    • 如果规则已破坏，选择要采取的阻挡和报告操作。
  • 用户定义的规则 - 允许您执行以下操作：
    • 使用其中一个用户界面控制台创建用户定义的规则类别。
    • 选择规则实施以下哪种阻挡类型：端口阻挡、文件和文件夹阻挡或注册表阻挡。
    • 配置规则详细信息。
    • 如果需要，保存规则并在将来对其进行修改。

任务

相关任务
配置预定义规则
配置用户定义的规则
删除用户定义的规则
相关参考
端口阻挡规则选项
文件和文件夹阻挡规则选项
注册表阻挡规则选项
包含或排除特定进程选项


配置预定义规则

使用预定义的规则可保护您的计算机免受有害更改的危害。您可以启用和编辑这些规则，但不能删除它们。

预定义的访问保护规则包括：
  • 防间谍程序标准保护
  • 防间谍程序最大保护
  • 防病毒标准保护
  • 防病毒最大保护
  • 防病毒爆发控制
  • 通用标准保护
  • 通用最大保护
  • 虚拟机保护

有关这些预定义访问保护规则的详细信息，请参阅“如何定义访问保护规则”。

使用其中一个用户界面控制台配置预定义的访问保护规则。


ePolicy Orchestrator 4.5 或 4.6

在“访问保护策略”中配置预定义的访问保护规则。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“访问保护策略”页上，单击“访问保护”选项卡以显示访问保护规则。
  5. 在左窗格中选择其中一个预定义规则类别，然后在右窗格中选择特定规则。
  6. 配置“阻挡”或“报告”选项，或者同时配置“阻挡”和“报告”。
  7. 单击“编辑”以配置“规则详细信息”。


ePolicy Orchestrator 4.0

在“访问保护策略”中配置预定义的访问保护规则。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“访问保护策略”页上，单击“访问保护”选项卡以显示访问保护规则。
  5. 在左窗格中选择其中一个预定义规则类别，然后在右窗格中选择特定规则。
  6. 配置“阻挡”或“报告”选项，或者同时配置“阻挡”和“报告”。
  7. 单击“编辑”以配置“规则详细信息”。


VirusScan 控制台

在“访问保护”属性中配置预定义的访问保护规则。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 在“任务”列表中，右键单击“访问保护”，然后单击“属性”以打开对话框。
  2. 在“访问保护策略”对话框上，单击“访问保护”选项卡以显示访问保护规则。
  3. 在左窗格中选择其中一个预定义规则类别，然后在右窗格中选择特定规则。
  4. 配置“阻挡”或“报告”选项，或者同时配置“阻挡”和“报告”。
  5. 单击“编辑”以配置“规则详细信息”。


配置用户定义的规则

创建并编辑用户定义的规则，可补充预定义规则提供的保护。

有关预定义访问保护规则的详细信息，请参阅“如何定义访问保护规则”。

使用其中一个用户界面控制台创建并编辑用户定义的规则访问保护规则。


ePolicy Orchestrator 4.5 或 4.6

在“访问保护策略”中配置用户定义的访问保护规则。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在左侧窗格中选择“用户定义的规则”类别，然后单击“新建”以打开“选择新规则类型”对话框。
  5. 选择规则类型，然后单击“确定”。有关详细信息，请参阅“用户定义的规则的类型”。 显示的访问规则对话框取决于所选的规则类型。
  6. 配置这些访问规则详细信息。
    • 网络端口访问保护规则 - 请参阅“端口阻挡规则选项”中的选项表。
    • 文件/文件夹访问保护规则 - 请参阅“文件和文件夹阻挡规则选项”中的选项表。
    • 注册表访问保护规则 - 请参阅“端口阻挡规则选项”中的选项表。
    附注： 要配置要包含和排除的进程，请参阅 包含或排除特定进程选项。
  7. 单击“确定”。 新的用户定义规则将显示在“阻挡/报告/规则”下的右侧窗格中。要修改新规则，请将其选中并单击“编辑”。


ePolicy Orchestrator 4.0

在“访问保护策略”中配置用户定义的访问保护规则。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在左侧窗格中选择“用户定义的规则”类别，然后单击“新建”以打开“选择新规则类型”对话框。
  5. 选择规则类型，然后单击“确定”。有关详细信息，请参阅“用户定义的规则的类型”。 显示的访问规则对话框取决于所选的规则类型。
  6. 配置这些访问规则详细信息。
    • 网络端口访问保护规则 - 请参阅“端口阻挡规则选项”中的选项表。
    • 文件/文件夹访问保护规则 - 请参阅“文件和文件夹阻挡规则选项”中的选项表。
    • 注册表访问保护规则 - 请参阅“端口阻挡规则选项”中的选项表。
    附注： 要配置要包含和排除的进程，请参阅 包含或排除特定进程选项。
  7. 单击“确定”。 新的用户定义规则将显示在“阻挡/报告/规则”下的右侧窗格中。要修改新规则，请将其选中并单击“编辑”。


VirusScan 控制台

在“访问保护策略”中配置用户定义的访问保护规则。

任务

有关选项定义，请单击界面中的“?”。

  1. 在“任务”列表中，右键单击“访问保护”，然后单击“属性”以打开对话框。
  2. 在左侧窗格中选择“用户定义的规则”类别，然后单击“新建”以打开“选择新类型规则”对话框。
  3. 选择规则类型，然后单击“确定”。有关详细信息，请参阅“用户定义的规则的类型”。 显示的访问规则对话框取决于所选的规则类型。
  4. 配置这些访问规则详细信息。
    • 网络端口访问保护规则 - 请参阅“端口阻挡规则选项”中的选项表。
    • 文件/文件夹访问保护规则 - 请参阅“文件和文件夹阻挡规则选项”中的选项表。
    • 注册表访问保护规则 - 请参阅“端口阻挡规则选项”中的选项表。
    附注： 要配置要包含和排除的进程，请参阅 包含或排除特定进程选项。
  5. 单击“确定”。 新的用户定义规则将显示在“规则”列的右侧窗格中。要修改新规则，请将其选中并单击“编辑”。


端口阻挡规则选项

端口阻挡规则可阻挡用户访问指定的入站和出站端口，并可阻挡其他计算机访问该计算机。

选项定义

选项 | 定义
规则名称 | 输入此规则的名称。
要包含的进程 | 限制访问指定的进程。
要排除的进程 | 允许访问指定的进程。
开始端口 | 指定第一个端口号。这可以是单个端口或一系列端口的开始编号。 附注： 如果您阻挡了对 McAfee 代理或主机入侵防护代理所使用端口的访问，则代理进程将受到信任，可以与被阻挡的端口进行通讯。但是，将阻挡其他所有与这些代理进程无关的通信。
结束端口 | 指定一系列端口中的最后一个端口号。
入站 | 防止网络中的系统访问指定端口。
出站 | 防止本地进程访问网络中的指定端口。


文件和文件夹阻挡规则选项

文件和文件夹阻挡规则可防止未经授权的用户修改、打开或删除指定文件或文件夹。

选项定义

选项 | 定义
规则名称 | 输入此规则的名称。
要包含的进程 | 限制访问指定的进程。
要排除的进程 | 允许访问指定的进程。
要阻挡的文件或文件夹名 | 阻挡对指定文件或文件夹的访问。
浏览文件 | 导航至该文件。
浏览文件夹 | 导航至该文件夹。
对文件进行读访问 | 阻挡对指定文件进行读访问。
对文件进行写访问 | 阻挡对指定文件进行写访问。
正在执行的文件 | 阻挡执行指定文件夹中的文件。
正在创建的新文件 | 阻挡在指定文件夹中创建新文件。
正在删除的文件 | 阻挡从指定文件夹中删除文件。


注册表阻挡规则选项

注册表阻挡规则可阻挡用户和未经授权的程序修改、打开或删除指定的注册表项和值。

附注： 创建注册表阻挡规则时，使用最匹配的配置单元注册表子树缩写。例如，要阻挡 HKLM\System\CurrentControlSet\Services\MyService，选择 HKCCS 配置单元，而不是 HKLM。

选项定义

选项 | 定义
规则名称 | 指定此规则的名称。
要包含的进程 | 限制访问指定的进程。
要排除的进程 | 允许访问指定的进程。
要保护的注册表项或注册表值 保护此注册表项或注册表值：
  • 从下拉列表中选择根项或值。
  • 在文本框中键入项或值。
从下拉列表中选择根项或值是可选操作。使用其中一种方法来指定项或值：
  • 从下拉列表中选择根项或值，然后在文本框中键入项或值的剩余路径。
  • 在文本框中键入项或值的完整路径。
规则类型 选择规则类型：
  • 项 - 此规则保护指定项。
  • 值 - 此规则保护指定值。
向项或值中写入 | 阻挡向指定项或值写入。
创建项或值 | 阻挡创建指定项或值。
删除项或值 | 阻挡删除指定项或值。


包含或排除特定进程选项

选项定义

要更改规则详细信息（例如名称以及要包含或排除的进程），使用“访问保护”，然后单击“编辑”。

选项 | 说明
规则名称 | 此规则的名称。例如，“禁止禁用注册表编辑器和任务管理器”。
要包含的进程 | 限制访问这些进程。使用确切的进程名或使用通配符指定各种进程（例如 *.EXE），然后为特定合法进程添加排除项（例如 SETUP.EXE）。例如，指定 * 将包含所有进程。
要排除的进程 | 允许访问这些进程。使用确切的进程名。例如，指定以下排除项：avtask.exe、cfgwiz.xe、fssm32.exe、giantantispywar*、kavsvc.exe、mmc.exe、navw32.exe、nmain.exe、rtvscan.exe。


删除用户定义的规则

删除您创建但不再使用的规则。

使用其中一个用户界面控制台删除用户定义的规则。


ePolicy Orchestrator 4.5 或 4.6

在“访问保护策略”中，删除您已创建但不再使用的规则。

任务

有关选项定义，请单击界面中的“?”或“帮助”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在左窗格中选择“用户定义的规则”类别，然后在右窗格中选择要删除的规则。
  5. 单击“删除”。
    附注： 要在不删除的情况下禁用某个规则，请取消选择“阻挡”和“报告”操作。如有必要，您可以再次启用该规则。


ePolicy Orchestrator 4.0

在“访问保护策略”中，删除您已创建但不再使用的规则。

任务

有关选项定义，请单击界面中的“?”或“帮助”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在左窗格中选择“用户定义的规则”类别，然后在右窗格中选择要删除的规则。
  5. 单击“删除”。
    附注： 要在不删除的情况下禁用某个规则，请取消选择“阻挡”和“报告”操作。如有必要，您可以再次启用该规则。


VirusScan 控制台

在“访问保护策略”属性中，删除您已创建但不再使用的规则。

使用其中一个用户界面控制台删除用户定义的规则。

任务

有关选项定义，请单击界面中的“?”或“帮助”。

  1. 在“任务”列表中，右键单击“访问保护”，然后单击“属性”以打开对话框。
  2. 在左窗格中选择“用户定义的规则”类别，然后在右窗格中选择要删除的规则。
  3. 单击“删除”。
    附注： 要在不删除的情况下禁用某个规则，请取消选择“阻挡”和“报告”操作。如有必要，您可以再次启用该规则。


阻挡缓冲区溢出利用

缓冲区溢出保护用于防止利用缓冲区溢出在计算机上执行任意代码。它会监视用户模式 API 调用，并确认由于缓冲区溢出而调用它们的时间。

发现检测项时，信息将记录到活动日志中，并显示在“按访问扫描消息”对话框（如果被配置为这样做）。

VirusScan Enterprise 使用缓冲区溢出和访问保护 DAT 文件，可保护大约 30 种应用程序，例如 Internet Explorer、Microsoft Outlook、Outlook Express、Microsoft Word 和 MSN Messenger。

目录

相关概念
缓冲区溢出利用如何发生
相关任务
配置缓冲区溢出保护


缓冲区溢出利用如何发生

攻击程序通过溢出为输入流程预留的固定大小的内存缓冲区，使用缓冲区溢出利用来运行可执行代码。此代码可让攻击程序接管目标计算机或破坏其数据。

缓冲区溢出利用有以下两种类型：
  • 基于堆的攻击 - 淹没为程序预留的内存空间，但这些攻击难以执行且很少发生。
  • 基于堆栈的攻击 - 使用堆栈内存对象来存储用户输入，这些攻击最常见。
以下进程说明了基于堆栈的缓冲区溢出攻击：
  1. 常规堆栈内存进程 - 固定大小的堆栈内存对象通常为空，并等待用户输入。当程序接收到来自用户的输入（例如其名称）时，数据将存储在堆栈的顶部，并被分配返回内存地址。堆栈经过处理后，用户的输入将被发送至由该程序指定的返回地址。
  2. 溢出堆栈 - 程序被写入时，会为数据预留特定数量的内存空间。如果写入的数据超出了为其在内存堆栈中预留的空间，堆栈将溢出。仅当与恶意输入结合时才会出现该问题。
  3. 利用溢出 - 如果程序正等待用户输入其名称，但攻击程序输入的可执行命令超出堆栈大小，则该命令将被保存在预留空间之外。
  4. 运行恶意代码 - 因为此命令超出堆栈缓冲区空间，所以不会自动运行。但是如果攻击程序提供了指向恶意命令的返回地址，此命令将自动运行。首先，由于缓冲区溢出，因此程序开始崩溃，但该程序试图使用由攻击程序提供的返回地址进行恢复。如果返回地址为有效地址，将执行恶意命令。
  5. 利用权限 - 由于程序通常以内核模式或继承服务帐户的权限运行，因此，恶意代码现在正使用与受到威胁的应用程序相同的权限运行。这表明攻击程序可以获取对操作系统的完全控制。


配置缓冲区溢出保护

要阻止应用程序在您的计算机上执行任意代码，您必须配置缓冲区溢出保护策略。

使用以下用户界面控制台配置缓冲区溢出保护策略。


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置缓冲区溢出保护策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“缓冲区溢出保护策略”页面中，单击“缓冲区溢出保护”选项卡，然后配置以下内容：
    1. 启用“缓冲区溢出设置”以及使用的保护模式。将保护模式配置为阻挡利用或只发送消息及记录事件。
    2. 启用在发生缓冲区溢出利用时发送“客户端系统警告”。
    3. 为特定应用程序编程接口 (API) 值配置“缓冲区溢出排除项”，以及可选进程和要排除的模块名称。
  5. 单击“报告”选项卡，启用扫描活动日志文件、其存储位置、大小、格式。
    附注： 在您诊断安全威胁时，这些日志文件非常有用，而且它们可以帮助您确定针对这些威胁采取的操作。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置缓冲区溢出保护策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“缓冲区溢出保护策略”页面中，单击“缓冲区溢出保护”选项卡，然后配置以下内容：
    1. 启用“缓冲区溢出设置”以及使用的保护模式。将保护模式配置为阻挡利用或只发送消息及记录事件。
    2. 启用在发生缓冲区溢出利用时发送“客户端系统警告”。
    3. 为特定应用程序编程接口 (API) 值配置“缓冲区溢出排除项”，以及可选进程和要排除的模块名称。
  5. 单击“报告”选项卡，启用扫描活动日志文件、其存储位置、大小、格式。
    附注： 在您诊断安全威胁时，这些日志文件非常有用，而且它们可以帮助您确定针对这些威胁采取的操作。


VirusScan 控制台

使用此用户界面控制台配置缓冲区溢出保护策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 在“任务”列表中，右键单击“缓冲区溢出保护”，然后单击“属性”以打开对话框。
  2. 从“缓冲区溢出保护属性”页面中，单击“缓冲区溢出保护”选项卡，然后配置以下内容：
    1. 启用“缓冲区溢出设置”以及使用的保护模式。将保护模式配置为阻挡利用或只发送消息及记录事件。
    2. 启用在发生缓冲区溢出利用时发送“客户端系统警告”。
    3. 为特定应用程序编程接口 (API) 值配置“缓冲区溢出排除项”，以及可选进程和要排除的模块名称。
  3. 单击“报告”选项卡，启用扫描活动日志文件、其存储位置、大小、格式。
    附注： 在您诊断安全威胁时，这些日志文件非常有用，而且它们可以帮助您确定针对这些威胁采取的操作。


限制潜在有害程序

VirusScan Enterprise 会保护您的计算机免受那些可能会给您带来麻烦或安全风险的潜在有害程序的危害。已配置了一项通用的有害程序策略，但是您可以为每个 VirusScan Enterprise 扫描程序单独启用或禁用策略并指定操作。

潜在有害程序 (PUP) 定义如下：合法公司编写的、可以更改安装它的计算机的安全状态或隐私策略的软件程序。此软件可以（但并非一定）包含间谍软件、广告软件和拨号程序。您可以随实际需要的程序一起下载这些嵌入式 PUP。具有安全意识的用户会识别出此类程序，在某些情况下会删除它们。


配置有害程序

要保护您的计算机免受有害程序的侵害，您必须配置要在您的环境中检测的有害程序类别。

配置分两步进行：

  1. 配置”有害程序策略”以定义要检测哪些潜在有害程序和排除哪些潜在有害程序：
    • 从当前 DAT 文件附带的预定义列表中，选择所有程序类别或者选择某个类别中的特定程序。
    • 指定排除项。
    • 创建要检测的用户定义的程序的列表。

  2. 在按访问扫描程序、电子邮件扫描程序和按需扫描程序中启用有害程序检测，然后配置在检测到有害程序时将执行的操作。

附注： 针对按需扫描程序启用有害程序检测有所不同，因为按需扫描是任务，而不是策略。有关详细信息，请参阅“配置按需扫描任务”。

任务

相关任务
访问有害程序策略
在按访问扫描程序和电子邮件扫描程序中启用有害程序检测


访问有害程序策略

通过选择要检测的有害程序类别来配置有害程序策略。例如间谍软件和广告软件。您也可以指定排除项以使程序不检测这些排除项。

使用以下用户界面控制台访问有害程序策略。


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置有害程序策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“有害程序策略”页中，单击“扫描项目”选项卡以配置以下内容：
    1. 要检测的有害程序类别 — 例如间谍软件和广告软件。这些类别由当前的 DAT 文件定义。
    2. 排除项 — 您必须指定要排除的检测项的精确名称，而不是文件名。
  5. 单击“用户定义的检测项”选项卡，并指定要视为有害程序的各个文件或程序。按文件名指定各个项目，并为每个项目提供描述。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置有害程序策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“有害程序策略”页中，单击“扫描项目”选项卡以配置以下内容：
    1. 要检测的有害程序类别 — 例如间谍软件和广告软件。这些类别由当前的 DAT 文件定义。
    2. 排除项 — 您必须指定要排除的检测项的精确名称，而不是文件名。
  5. 单击“用户定义的检测项”选项卡，并指定要视为有害程序的各个文件或程序。按文件名指定各个项目，并为每个项目提供描述。


VirusScan 控制台

使用此用户界面控制台配置有害程序属性。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从“任务”列表中，右键单击“有害程序策略”，然后单击“属性”以打开“有害程序策略”对话框。
  2. 从“有害程序策略”页中，单击“扫描项目”选项卡以配置以下内容：
    1. 要检测的有害程序类别 — 例如间谍软件和广告软件。这些类别由当前的 DAT 文件定义。
    2. 排除项 — 您必须指定要排除的检测项的精确名称，而不是文件名。
  3. 单击“用户定义的检测项”选项卡，并指定要视为有害程序的各个文件或程序。按文件名指定各个项目，并为每个项目提供描述。


在按访问扫描程序和电子邮件扫描程序中启用有害程序检测

要使按访问扫描程序和电子邮件扫描程序检测有害程序，您必须从“扫描项目”选项卡中启用该功能。

使用以下用户界面控制台使按访问扫描程序和电子邮件扫描程序检测有害程序。
附注： 要使按需扫描程序检测有害程序，请参阅“配置按需扫描任务”。


ePolicy Orchestrator 4.5 或 4.6

使用 ePolicy Orchestrator 4.5 或 4.6 控制台使按访问扫描程序和电子邮件扫描程序检测有害程序。

对于按访问扫描程序和电子邮件扫描程序来说，启用有害程序检测的过程实质上是一样的。唯一区别是您在策略类别中为步骤 2 选择的策略。要启用潜在有害程序检测：
  • 按访问扫描 — 选择“按访问扫描策略”。
  • 电子邮件扫描 — 选择“发送时电子邮件扫描策略”。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“按访问扫描策略”或“发送电子邮件时扫描策略”页中，单击“扫描项目”选项卡并选择“检测有害程序”。


ePolicy Orchestrator 4.0

使用 ePolicy Orchestrator 4.0 控制台使按访问扫描程序和电子邮件扫描程序检测有害程序。

对于按访问扫描程序和电子邮件扫描程序来说，启用有害程序检测的过程实质上是一样的。唯一区别是您在策略类别中为步骤 2 选择的策略。要启用潜在有害程序检测：
  • 按访问扫描 — 选择“按访问扫描策略”。
  • 电子邮件扫描 — 选择“发送时电子邮件扫描策略”。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“按访问扫描策略”或“发送时电子邮件扫描策略”页中，单击“扫描项目”选项卡并选择“检测有害程序”。


VirusScan 控制台

使用 VirusScan 控制台使按访问扫描程序和电子邮件扫描程序检测有害程序。

对于按访问扫描程序和电子邮件扫描程序来说，启用有害程序检测的过程实质上是一样的。唯一区别是您在 VirusScan 控制台 中为步骤 2 选择的策略。要启用潜在有害程序检测：
  • 按访问扫描 — 选择“按访问扫描策略”。
  • 电子邮件扫描 — 选择“发送时电子邮件扫描程序”。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从“任务”列表中，右键单击以下选项之一，然后单击“属性”以打开其对话框：
    • 按访问扫描策略 — 适用于按访问扫描。
    • 发送时电子邮件扫描程序 — 适用于电子邮件扫描。
  2. 从“按访问扫描策略”或“电子邮件发送时扫描策略”页中，单击“扫描项目”选项卡并选择“检测有害程序”。


更新检测定义

VirusScan Enterprise 软件根据扫描引擎以及检测定义 (DAT) 文件中的信息来识别威胁并采取相应操作。新威胁层出不穷。为了迎接这种挑战，McAfee 每天都结合最新的研究成果，发布新的 DAT 文件。更新任务会从外部 McAfee 更新站点检索最新的 DAT 文件并安装它们。
附注： ePolicy Orchestrator 管理的环境还可以检索最新的 DAT 文件、EXTRA.DAT 文件、扫描引擎、Service Pack 和补丁程序。

目录

相关概念
DAT 文件及其作用
更新策略的重要性
更新任务及其工作方式
镜像任务及如何运行
AutoUpdate 存储库如何使用
回滚 DAT 文件工作原理


DAT 文件及其作用

当扫描引擎扫描文件以查找威胁时，其会将扫描文件的内容与检测定义 (DAT) 文件中存储的已知威胁信息相比较。已知威胁信息，又称签名，是指 McAfee Labs 发现并添加到 DAT 文件的信息。

除了签名以外，DAT 文件还包括如何清理和对抗检测到的病毒所创建的损坏。这就是为什么下载 VirusScan Enterprise 所用的最新版本的 DAT 文件如此重要。
注意：
如果某病毒的签名未包含在您安装的任何 DAT 文件中，则扫描引擎将检测不到该病毒。另外，扫描引擎必须是最新版本才能充分利用最新的 DAT 文件。

VirusScan Enterprise 还使用启发式分析（又称 Artemis）来检查与 DAT 文件一起的可疑文件。有关详细信息，请参阅“Artemis 的用途”。

不同的 DAT 文件存储在以下路径：

\Program Files\Common Files\McAfee\Engine


更新策略的重要性

不能夸大更新策略的重要性。如果您的系统未安装最新 DAT 文件和扫描引擎，则您的系统无法避免最新病毒的侵害。新恶意软件的数量、传播速度和普及程度已经大大增加。此外，越来越多的广告软件和间谍软件需要更一致和有效的检测和删除。

McAfee Labs 几乎每天的 6:00 PM (GMT) 都会发布 DAT 文件更新。当然，在一些比较棘手的时刻大量出现病毒，因而需要紧急发布。当每日 DAT 提前发布时，要提前预防可能的井喷，则该日正常的计划时间不会发布第二个 DAT，除非出现其他紧急情况需要发布。


确定更新策略的方法

您可以通过多种方法更新 VirusScan Enterprise 所用的 DAT 文件和扫描引擎。可以使用 AutoUpdate 任务、手动更新、登录脚本，也可以使用管理工具计划更新。

使用更新任务可以：

  • 计划网络范围的 DAT 文件分发 — 您可能想错开更新任务或设置在 DAT 文件更新中在合适的时间、以管理员或网络用户设置的最短的时间间隔根据不同的网络部分分阶段实施的计划。
  • 拆分回滚管理的职责 — 要提高网络带宽效率，请在不同的大范围网络区域或在其他网络分区之间使用不同的服务器或域控制器，以主要在内部更新通讯。这样还可以降低破坏网络安全的可能性。
  • 缩短下载新 DAT 或升级引擎文件所需的等待时间 — McAfee 计算机上的通讯在定期 DAT 文件发布日期和新产品版本出现时会大大提高。避免网络带宽争用会使您在部署新的软件时中断次数降到最低。


有效更新策略的要求

有效的更新策略通常要求组织中至少有一台客户端或服务器从 McAfee 下载站点检索更新。可以将文件从该处复制到整个组织，以供所有其他计算机访问。理想情况下，应该将复制更新文件到共享站点的过程自动化，最大程度地降低通过网络传输的数据量。

为了高效地进行更新，需要考虑的主要因素是客户端的数目和站点的数目。还可能需要考虑在每个远程站点上的系统数目以及远程站点访问 Internet 的方式。使用中央存储库检索更新以及计划更新任务以保持环境最新的基本概念适用于任何规模的组织。有关部署软件的信息和更新信息，请参阅相应的 ePolicy Orchestrator 产品手册。


更新任务及其工作方式

使用更新任务获取最新的 DAT 文件、扫描引擎和 Service Pack 及修补程序。

VirusScan Enterprise 包括一个默认更新任务，该任务在每天的 5:00 p.m. 运行，有一个小时的随机选择时间。您可以根据需要创建其他更新任务。

更新任务活动

运行更新任务时将发生以下活动：

  • 连接到存储库列表中第一个“已启用”存储库（更新站点）。如果找不到该存储库，将连接下一个站点，依此类推，直到建立连接为止，或到达列表末尾为止。
  • 从该存储库下载一个加密的 CATALOG.Z 文件。该文件包含进行更新所需的基本数据。该数据用于确定可以获取的文件和/或更新。
  • 系统将针对计算机上的版本检查此文件中的软件版本。如果有新的软件更新，则下载这些更新。

更新任务中断

如果更新任务在更新过程中由于某种原因中断：

  • 下次启动 HTTP、UNC 或本地站点的更新任务时，将从该任务停止的位置继续。
  • 如果在下载单个文件过程中，FTP 站点更新任务被中断，则不能再恢复。但是，如果任务是下载多个文件，并且发生中断，将从中断时正在下载的文件之前恢复该任务。

使用 EXTRA.DAT 进行更新

EXTRA.DAT 文件可用作紧急情况下的临时措施。EXTRA.DAT 是在每次更新时从存储库下载的。这可确保在您修改 EXTRA.DAT 并将其作为一个包重新签入时，所有 VirusScan Enterprise 客户端将下载并使用相同的已更新 EXTRA.DAT 包。例如，您可以将 EXTRA.DAT 用作同一可能有害的程序的改进检测器，或作为其他新出现的可能有害的程序的附加检测项。VirusScan Enterprise 仅支持使用一个 EXTRA.DAT 文件。

提示： 使用完 EXTRA.DAT 文件之后，应该将其从主存储库中删除，然后运行复制任务，确保从所有分布式存储库站点都删除该文件。这将阻止 VirusScan Enterprise 客户端在更新过程中尝试下载该 EXTRA.DAT 文件。默认情况下，每日 DAT 文件中添加了新的检测项定义之后，将忽略对 EXTRA.DAT 中新的可能有害的程序的检测。


配置 AutoUpdate 任务

要自动更新所有 McAfee 产品的 DAT 文件和扫描引擎，您必须配置 AutoUpdate 属性和计划。

任务

要查看选项定义，则请单击选项卡上的“?”或“帮助”。

  1. 要访问 AutoUpdate 属性，请使用：

    • ePolicy Orchestrator 4.5 或 4.6 — 单击“菜单”|“系统”|“系统树”并选择“客户端任务”。
      附注： 有关创建新计划客户端任务的详细说明，请参阅《McAfee ePolicy Orchestrator 4.5 产品手册》。
    • ePolicy Orchestrator 4.0 — 单击“系统”|“系统树”|“客户端任务”并选择现有更新任务或创建新任务，单击“新建任务”。
      附注： 有关创建新计划客户端任务的详细说明，请参阅《McAfee ePolicy Orchestrator 4.0 产品手册》。
    • VirusScan 控制台 — 选择现有更新任务（右键单击并选择“属性”），或创建新任务（选择“任务”|“新建更新任务”，从列表中选择新任务）。
      提示： 创建新客户端任务时，建议您用描述性的名称重命名任务。
  2. 指定日志文件的位置和格式。
  3. 配置是否获取更新的 DAT、更新的引擎及其他可用的更新，如 Service Pack 和产品升级。
  4. 指定完成更新任务后该运行哪一个可执行文件，以及是否只在更新操作成功后运行该文件。
  5. 单击“计划”以配置任务的运行时间和运行频率。有关详细信息，请参阅“使用计划任务”。
  6. 单击“立即更新”，任务将立即运行。


镜像任务及如何运行

镜像任务用于把更新文件从存储库列表中定义的第一个可访问存储库复制到网络中的镜像站点。此任务最常用于将 McAfee 下载站点的内容镜像到本地服务器。

复制包含更新文件的 McAfee 站点后，网络中的计算机即可从镜像站点下载文件。这种方法比较实用，因为无论网络中的计算机是否能够访问 Internet，您均可以对其进行更新；另一方面，这种方法也很有效，因为您的系统在与甚至比 McAfee Internet 站点更近的服务器通信，可以节省访问和下载时间。

VirusScan Enterprise 软件依靠目录结构进行自我更新。镜像站点时，请复制整个目录结构，这一点很重要。
附注： 此目录结构也支持以前版本的 VirusScan Enterprise 和 NetShield，只要将整个目录结构复制到 VirusScan Enterprise 8.8 用于更新的同一位置即可。


配置镜像任务

要在指定位置存储 DAT 文件和扫描引擎以供其他计算机使用，请配置位置并使用镜像任务属性进行计划。

任务

要查看选项定义，则请单击选项卡上的“?”或“帮助”。

  1. 要访问“镜像”任务属性，请执行下列操作：

    • ePolicy Orchestrator 4.5 或 4.6 — 单击“菜单”|“系统”|“系统树”并选择“客户端任务”。
      附注： 有关创建新计划客户端任务的详细说明，请参阅《McAfee ePolicy Orchestrator 4.5 产品手册》。
    • ePolicy Orchestrator 4.0 — 单击“系统”|“系统树”|“客户端任务”并选择现有更新任务或创建新任务，单击“新建任务”。
      附注： 有关创建新计划客户端任务的详细说明，请参阅《McAfee ePolicy Orchestrator 4.0 产品手册》。
    • VirusScan 控制台，执行以下操作之一：
      • 选择现有镜像任务，用右键单击，选择“属性”。此时显示“镜像任务”对话框。
      • 要创建新镜像任务，请选择“任务”|“新建镜像任务”，新的更新任务将显示在“任务”列表中。单击新任务以打开“镜像任务”对话框。
        附注： 通过右键单击任务并选择“重命名”将任务名称更改为更具有描述性的名称。
  2. VirusScan 控制台 — 选择现有更新任务（右键单击并选择“属性”），或创建新任务（选择“任务”|“新建镜像任务”，从列表中选择新任务）。
    提示： 创建新客户端任务时，建议您用描述性的名称重命名任务。
  3. 指定日志文件的位置和格式。
  4. 配置是否获取更新的检测项定义、更新的引擎和 DAT，以及其他可用的更新，如 Service Pack 和产品升级。
  5. 指定完成更新任务后该运行哪一个可执行文件，以及是否只在更新操作成功后运行该文件。
  6. 单击“镜像位置”以配置镜像服务器目标。
  7. 单击“计划”以配置任务的运行时间和运行频率。有关详细信息，请参阅“使用计划任务”。
  8. 单击“立即镜像”以立即运行任务。
  9. 配置选项卡上的选项。要查看选项定义，则请单击选项卡上的“?”或“帮助”。

选项卡定义

选项卡 定义
镜像
  • 指定日志文件的位置和格式。
  • 指定完成镜像任务后该运行哪一个可执行文件，以及是否只在镜像操作成功后运行该文件。


AutoUpdate 存储库如何使用

AutoUpdate 存储库列表 (SITELIST.XML) 指定执行 AutoUpdate 任务所必需的配置信息。

AutoUpdate 存储库列表包括：
  • 存储库信息和位置
  • 存储库顺序首选项
  • 代理服务器设置（需要时）
  • 访问每个存储库所需的加密凭据

执行 AutoUpdate 任务时，将连接到存储库列表中第一个已启用存储库（更新站点）。如果存储库不可用，将连接下一个存储库，依此类推，直到建立连接为止，或到达列表末尾为止。

如果您的网络使用代理服务器，则可以指定要使用的代理服务器设置、代理服务器的地址以及是否使用身份验证。代理服务器信息存储在 AutoUpdate 存储库列表中。配置的代理服务器设置将应用于该存储库列表中的所有存储库。

AutoUpdate 存储库列表的位置取决于您的操作系统。
  • 对于 Microsoft Windows XP、Microsoft Vista、Microsoft 2000 Server、Microsoft 2003 Server 和 Microsoft 2008 Server — C:\Documents and Settings\All Users\Application Data\McAfee\Common Framework
  • 对于 Microsoft Windows 7 — C:\ProgramData\McAfee\Common Framework


配置存储库列表

存储库列表包括从中检索更新的存储库。根据需要创建并配置适当数量的存储库。某些站点可以一直使用，而其他站点只是偶尔使用一下。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从 VirusScan 控制台 中，选择“工具”|“编辑 AutoUpdate 存储库列表”以访问“AutoUpdate 存储库列表”属性。
    附注： 要使用 ePolicy Orchestrator 控制台配置存储库功能，导航至“策略目录”|“McAfee Agent”显示，然后单击“存储库”选项卡。
  2. 配置选项卡上的选项。

选项卡定义

选项卡 | 定义
存储库
  • 指定从中获取更新的存储库。
  • 配置访问存储库的次序。
代理服务器设置 | 指定执行更新时使用的代理服务器设置。


回滚 DAT 文件工作原理

如果发现当前的 DAT 文件损坏或不兼容，可将 DAT 文件回滚到上一次备份的版本。

更新 DAT 文件时，旧的版本存储在以下位置：<驱动器>:\Program Files\Common Files\McAfee\Engine\OldDats。

回滚 DAT 文件时，将使用 OldDats 文件夹中的版本替换当前的 DAT 文件，并在以下注册表位置中设置一个标记：HKEY_LOCAL_MACHINE\SOFTWARE\McAfee\DesktopProtection\szRolledbackDATS。

发生回滚之后，无法再次返回上一个版本。下次出现更新时，将对注册表中的 DAT 版本与更新存储库中的 DAT 文件进行比较。如果新的 DAT 文件与注册表中的版本相同，则不会发生更新。


回滚 DAT 文件

要将您的 DAT 文件版本返回到以前的版本，请使用“回滚 DAT”工具。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从 VirusScan 控制台 控制台中选择“工具”|“回滚 DAT”。
  2. 单击“是”执行 DAT 回滚操作。
    附注： 此功能在 ePolicy Orchestrator 控制台中不可用。
  3. 配置选项卡上的选项。


排除扫描项

每个 VirusScan Enterprise 扫描程序都允许您微调扫描的文件类型列表。例如，您排除扫描操作中的文件、文件夹和磁盘。由于当某文件由数据库或服务器使用时扫描程序会扫描并锁定此文件，因此可能需要这些排除项。这将导致数据库或服务器失败或生成错误。

目录

相关参考
指定排除项
如何使用通配符指定扫描项


指定排除项

指定要从扫描操作中排除的文件、文件夹和驱动器。您也可以删除以前指定的任何排除项。

选项定义

选项 定义
要排除的内容 选择排除项的类型。
  • 按文件文件名/位置排除 - 指定文件名、位置和是否排除子文件夹。
    附注： 您必须在字符串的末尾添加一个反斜杠 (\) 以应用到文件夹。否则，它会被认为是文件排除项，并且默认情况下，“同时排除子文件夹”复选框处于禁用状态。
  • 按文件类型排除 - 指定文件类型。
  • 按文件存在时间排除 - 指定访问类型和最短存在时间（天）。
排除时间 选择何时排除选定项目：
  • 读取时
  • 写入时
处理客户端排除项的方法 覆盖客户端排除项 - 仅排除此策略中指定的项目。如果不选择该选项，则客户端计算机将使用本地指定的排除项以及此策略中指定的排除项。
附注： 只有 ePolicy Orchestrator 提供此选项。


如何使用通配符指定扫描项

您可以使用通配符按扩展名排除文件类型。

如果使用通配符，则适用如下限制。

  • 有效通配符为问号 (?)，用于排除单个字符；星号 (*)，用于排除多个字符。
  • 通配符可出现在路径中反斜杠 (\) 的前面。例如：C:\ABC\*\XYZ 与 C:\ABC\DEF\XYZ 相匹配。
  • 如果字符数与文件或文件夹名的长度相符，则适用包含问号 (?) 字符的排除项。例如：排除项 W?? 将排除 WWW，但不排除 WW 或 WWWW。
  • 语法已扩展为包含双星号 (**)，表示没有或有多个任意字符（包含反斜杠）。它允许多级排除项。例如：C:\ABC\**\XYZ 与 C:\ABC\DEF\XYZ 和 C:\ABC\DEF\DEF\XYZ 等等相匹配。


使用已计划的任务

作为配置按需扫描的一部分，您需要指定 AutoUpdate 或镜像任务在何时运行、运行频率以及运行多长时间。在配置进程中，您还需要配置用户权限。

目录

相关参考
配置任务计划
相关信息
计划任务


计划任务

您可以选择按计划在特定的日期和时间，或按特定间隔运行按需、AutoUpdate 和镜像任务。您计划任务的方式取决于所使用的用户界面控制台。

计划以下任务：
  • ePolicy Orchestrator 控制台 — 使用“计划”选项卡显示“计划”页。
  • VirusScan 控制台 — 使用“计划”按钮显示“计划”对话框。
相关任务
配置按需扫描任务
相关参考
配置 AutoUpdate 任务
配置镜像任务
相关信息
配置 ePolicy Orchestrator 服务器任务


配置任务计划

要将任务配置为在指定的时间或以指定的间隔运行，请使用“计划设置”对话框。

开始之前

要计划此任务，您必须具有管理权限。管理员权限可为用户提供对计划任务注册表项的写访问权限。

要计划任务，请单击任务属性对话框中的“计划”。

注意：
McAfee 建议您以最小间隔计划按需扫描。
建议的 McAfee 最小间隔：
  • 每日 — 仅当您出现重要的恶意软件井喷时。
  • 每周 — 建议使用。
  • 每月 — 可接受。
  • 每季度 — 很少使用。

选项卡定义

选项卡 定义
任务
  • 启用在指定时间运行计划任务。
  • 如果任务运行指定的小时和分钟，则停止该任务。
  • 指定用户帐户设置：用户名、域和密码。
计划

指定计划频率和关联设置。


第 2 部分 - 检测：查找威胁

查找威胁是保护策略的第二步，可检测试图访问您系统的恶意软件。

目录

  • 按访问扫描项目
  • 按需扫描项目
  • 发送时扫描电子邮件和按需扫描电子邮件


按访问扫描项目

访问计算机上的文件时，按访问扫描程序对这些文件进行检查，从而提供持续的实时威胁检测。访问保护功能和缓冲区溢出保护功能还使用按访问扫描程序来分别检测访问冲突和利用缓冲区溢出的操作。

目录

相关概念
按访问扫描及其用途
扫描比较：写入磁盘和从磁盘读取
扫描比较：扫描所有文件与扫描默认文件类型 + 其他文件类型
脚本扫描以及用途
确定扫描策略数
Artemis 的用途
相关信息
如何配置常规设置和进程设置


按访问扫描及其用途

按访问扫描程序挂接到系统的最低级别（文件系统过滤器驱动程序），并在文件首次进入您的系统时在该级别扫描文件。按访问扫描程序将作为系统的一部分运行（系统服务），并在出现检测项时通过界面发送通知。

尝试打开、关闭或重命名文件时，扫描程序将拦截操作，并执行下列操作。

  1. 扫描程序依据如下标准确定是否应扫描该文件：
    • 该文件的扩展名与配置相匹配。
    • 尚未缓存该文件。
    • 尚未排除该文件。
    • 以前未扫描该文件。
  2. 如果文件符合扫描标准，则扫描程序会通过将文件中的信息与当前加载的 DAT 文件中的已知恶意软件特征码来扫描该文件。
    • 如果文件是清洁的，则会缓存扫描结果，并授予读、写或重命名操作权限。
    • 如果文件包含威胁，则操作将被拒绝，并执行已配置的操作。例如：
      • 如果需要清理文件，则清理过程由当前加载的 DAT 文件确定。
      • 扫描结果将记录到活动日志（如果扫描程序被配置为这样做）。
      • 将显示“按访问扫描消息”警报，其中描述了文件名和执行的操作（如果扫描程序被配置为这样做）。
  3. 如果文件不满足扫描要求，则不会对其进行扫描。而是会缓存该文件并授予操作权限。
    附注： 例如，当按访问扫描配置已更改、EXTRA.DAT 文件已添加或缓存为满时，扫描文件缓存被清除，所有文件重新扫描。


扫描比较：写入磁盘和从磁盘读取

按访问扫描程序将根据用户是写入磁盘还是从磁盘读取，以不同的方式执行扫描。

将文件写入磁盘时，按访问扫描程序将扫描以下项目：

  • 写入本地硬盘驱动器的传入文件。
  • 在本地硬盘驱动器或映射的网络驱动器上创建的文件（包括新建文件、修改过的文件或从一个驱动器复制或移动到另一驱动器的文件）。
    附注： 要扫描映射的网络驱动器，您必须启用“网络驱动器”选项。请参阅“启用网络驱动器”。

    只能通过安装了 VirusScan Enterprise 的相同客户端访问这些扫描。对于其他系统访问映射网络驱动器的操作，其不检测。

从磁盘读取文件时，按访问扫描程序将扫描以下项目：

  • 从本地硬盘驱动器或映射的网络驱动器读取的传出文件。
    附注： 要扫描映射的网络驱动器，请选择“网络驱动器”选项（如前面的项目符号中所述）以包括远程网络文件。
  • 试图在本地硬盘驱动器上执行进程的任何文件。
  • 本地硬盘驱动器上打开的任何文件。
  • 本地硬盘驱动器上重命名的任何文件（如果文件属性已更改）。


扫描比较：扫描所有文件与扫描默认文件类型 + 其他文件类型

按访问扫描程序将根据其被配置为扫描所有文件还是扫描默认文件类型和其他文件类型，来以不同的方式扫描文件。

如果扫描“所有文件”，扫描程序会检查每个文件类型以查找所有可能威胁。

如果扫描“默认文件类型 + 其他文件类型”，扫描程序将根据您所选择的文件类型检查特定文件列表。
  • 默认文件类型：按访问扫描程序将检查特定的文件类型，以仅查找攻击该文件类型的威胁。

  • 其他文件类型：按访问扫描程序检查与所有可能的威胁具有匹配扩展名的文件。

  • 指定的文件类型：按访问扫描程序检查为所有可能威胁的用户定义的文件扩展名列表。


脚本扫描以及用途

该脚本扫描程序在运行时将作为真正 Windows 脚本宿主组件的代理服务器组件。它将拦截脚本，然后在执行这些脚本之前对其进行扫描。

例如，脚本扫描程序会确认以下内容：

  • 如果脚本是清洁的，则将其传给真正的脚本宿主组件。
  • 如果脚本包含潜在的威胁，则不会执行该脚本。
可以不检查受信任的进程以及利用脚本的网站。
附注： 在 Windows Server 2008 系统中，Script Scan URL 排除项不能与 Windows Internet Explorer 一起使用，除非您单击“启用第三方浏览器扩展”复选框以启用该设置并重启 Windows Server 2008。有关详细信息，请参阅 https://kc.mcafee.com/corporate/index?page=content&id=KB69526。


Artemis 的用途

Artemis 功能对可疑文件执行启发式检查。它可以为使用基于 Windows 的 McAfee 防病毒产品的用户提供针对特定恶意软件的最新实时检测。

Artemis 并不对所有类别的恶意软件提供保护，而只是对可疑样本提供保护。防范特定威胁的好处是：几乎在 McAfee Avert Labs 确定某个样本属恶意软件的同时，就能够立刻保护安装有 McAfee 安全产品的用户免受该恶意软件的危害。

您可以配置管理员所配置的敏感度级别，Artemis 使用该敏感度级别来查找在受 VirusScan Enterprise 保护的客户端系统上运行的可疑程序和 DLL。Artemis 检测到可疑程序时，会向 McAfee Labs 宿主的中央数据库服务器发送 DNS 请求，请求中包含可疑文件的指纹。

附注： 在本版本中，默认情况下将启用 Artemis 功能，同时其敏感度级别将设为非常低。


确定扫描策略数

按如下过程确定是否配置多个按访问扫描策略：


如何配置常规设置和进程设置

按访问扫描程序的常规策略和进程策略是分开进行配置的。
  • 常规设置 - 包括适用于所有进程的选项。
  • 进程设置 - 允许您为所有进程配置一个扫描策略，或为定义为默认、低风险和高风险的进程配置不同的策略。


配置常规设置

常规设置适用于所有进程的扫描，并且包括如下参数：最长扫描时间、扫描脚本、阻挡来自远程计算机的有害威胁、检测到威胁时发送消息以及报告检测项等。

使用以下用户界面控制台配置按访问常规设置。

相关信息
按访问扫描项目


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置适用于扫描所有进程的常规设置。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“按访问常规策略”页中，单击“常规”选项卡以配置适用于所有按访问扫描的常规策略。例如，要扫描的按访问项目、扫描时间、最长扫描时间以及是否应扫描 cookie。

    无论何时启用按访问扫描，您都可以配置针对当前运行于您系统上的所有进程的扫描。这样可以提高您系统的安全性，但会影响您的系统在启动时的性能。

    无论何时启用了按访问扫描，如果要在启用该功能时配置扫描进程，可以在扫描组中单击“启用时配置进程”以扫描当前在您系统中运行的所有进程。
    附注： 启用该功能会影响您系统的启动时间。
  5. 在“ScriptScan”选项卡中，启用“ScriptScan”并配置要从扫描中排除的任何脚本或 URL。
  6. 在“阻挡”选项卡中，配置阻挡来自远程计算机（包含带有潜在威胁或有害程序的写入文件）的连接。
    附注： 默认情况下，当远程系统将任何恶意软件写入到使用 VirusScan Enterprise 的系统时， VirusScan Enterprise 会阻挡到该远程系统的连接。

    您还可以配置发送到该系统（已写入恶意软件）的消息。

    附注： 要发送此消息，需要 Windows Messenger 服务。
  7. 在“消息”选项卡中，用已配置的消息来配置在出现检测项时通知用户的消息，并指定用户可针对该威胁执行的操作。
  8. 在“报告”选项卡中，启用扫描活动日志文件并定义其存储位置、大小、格式以及可帮助您诊断此威胁的任何其他扫描日志记录。
    附注： 在您诊断安全威胁时，这些日志文件非常有用，它们可以帮助您确定针对这些威胁采取的操作。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置适用于扫描所有进程的常规设置。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“按访问常规策略”页中，单击“常规”选项卡以配置适用于所有按访问扫描的常规策略。例如，要扫描的按访问项目、扫描时间、最长扫描时间以及是否应扫描 cookie。

    无论何时启用按访问扫描，您都可以配置针对当前运行于您系统上的所有进程的扫描。这样可以提高您系统的安全性，但会影响您的系统在启动时的性能。

    无论何时启用了按访问扫描，如果要在启用该功能时配置扫描进程，可以在扫描组中单击“启用时配置进程”以扫描当前在您系统中运行的所有进程。
    附注： 启用该功能会影响您系统的启动时间。
  5. 在“ScriptScan”选项卡中，启用“ScriptScan”并配置要从扫描中排除的任何脚本或 URL。
  6. 在“阻挡”选项卡中，配置阻挡来自远程计算机（包含带有潜在威胁或有害程序的写入文件）的连接。
    附注： 默认情况下，当远程系统将任何恶意软件写入到使用 VirusScan Enterprise 的系统时， VirusScan Enterprise 会阻挡到该远程系统的连接。

    您还可以配置发送到该系统（已写入恶意软件）的消息。

    附注： 要发送此消息，需要 Windows Messenger 服务。
  7. 在“消息”选项卡中，用已配置的消息来配置在出现检测项时通知用户的消息，并指定用户可针对该威胁执行的操作。
  8. 在“报告”选项卡中，启用扫描活动日志文件并定义其存储位置、大小、格式以及可帮助您诊断此威胁的任何其他扫描日志记录。
    附注： 在您诊断安全威胁时，这些日志文件非常有用，它们可以帮助您确定针对这些威胁采取的操作。


VirusScan 控制台

使用此用户界面控制台配置适用于扫描所有进程的常规设置。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从“任务”列表中，右键单击“按访问扫描程序”，然后单击“属性”以打开对话框。
  2. 从“按访问常规策略”页中，单击“常规”选项卡以配置适用于所有按访问扫描的常规策略。例如，要扫描的按访问项目、扫描时间、最长扫描时间以及是否应扫描 cookie。

    无论何时启用按访问扫描，您都可以配置针对当前运行于您系统上的所有进程的扫描。这样可以提高您系统的安全性，但会影响您的系统在启动时的性能。

    无论何时启用了按访问扫描，如果要在启用该功能时配置扫描进程，可以在扫描组中单击“启用时配置进程”以扫描当前在您系统中运行的所有进程。
    附注： 启用该功能会影响您系统的启动时间。
  3. 在“ScriptScan”选项卡中，启用“ScriptScan”并配置要从扫描中排除的任何脚本。
  4. 在“阻挡”选项卡中，配置阻挡来自远程计算机（包含带有潜在威胁或有害程序的写入文件）的连接。
    附注： 默认情况下，当远程系统将任何恶意软件写入到使用 VirusScan Enterprise 的系统时， VirusScan Enterprise 会阻挡到该远程系统的连接。

    您还可以配置发送到该系统（已写入恶意软件）的消息。

    附注： 要发送此消息，需要 Windows Messenger 服务。
  5. 在“消息”选项卡中，用已配置的消息来配置在出现检测项时通知用户的消息，并指定用户可针对该威胁执行的操作。
  6. 在“报告”选项卡中，启用扫描活动日志文件并定义其存储位置、大小、格式以及可帮助您诊断此威胁的任何其他扫描日志记录。
    附注： 在您诊断安全威胁时，这些日志文件非常有用，它们可以帮助您确定针对这些威胁采取的操作。


配置进程设置

按访问扫描进程将根据您为每个进程分配的风险进行配置。您可以为所有进程配置一个默认扫描策略，也可以根据为每个进程分配的风险配置不同的策略。参数包括：为进程分配的风险、定义要扫描的项目、执行 Artemis 扫描、扫描压缩文件、对检测项执行操作以及扫描潜在有害程序。

使用以下用户界面控制台配置按访问进程设置。


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置按访问默认进程策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“进程”选项卡中，单击“为高风险进程、低风险进程和默认进程分配不同的扫描策略”以显示按访问默认进程、低风险进程或高风险进程。
  5. 从“按访问默认进程、低风险进程或高风险进程策略”页中，配置各选项卡上的选项。请参阅“进程设置选项卡选项”。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置按访问默认进程策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“进程”选项卡中，单击“为高风险进程、低风险进程和默认进程分配不同的扫描策略”以显示按访问默认进程、低风险进程或高风险进程。
  5. 从“按访问默认进程、低风险进程或高风险进程策略”页中，配置各选项卡上的选项。请参阅“进程设置选项卡选项”。


VirusScan 控制台

使用此用户界面控制台配置按访问扫描属性。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从“任务”列表中，右键单击“按访问扫描程序”，然后单击“属性”以打开对话框。
  2. 从左侧窗格中，单击“所有进程”。
  3. 从“进程”选项卡中，单击“为高风险进程、低风险进程和默认进程分配不同的扫描策略”以显示按访问默认进程、低风险进程或高风险进程。
  4. 从“按访问默认进程、低风险进程或高风险进程策略”页中，配置各选项卡上的选项。请参阅“进程设置选项卡选项”。


“进程设置”选项卡选项

下表介绍了“按访问扫描程序”选项卡选项。

选项卡 | 定义
进程
  • 按访问默认进程 - 选择为所有进程配置一种扫描策略，或为默认进程、低风险进程和高风险进程配置不同的扫描策略。
    附注： 如果选择配置一种扫描策略，则该策略将适用于所有进程。如果选择为低风险进程和高风险进程配置不同的扫描策略，则该策略仅适用于未定义为低风险或高风险的进程。
  • 按访问低风险进程 - 指定您定义为低风险的进程。
  • 按访问高风险进程 - 指定您定义为高风险的进程。
附注： 必须先在“按访问默认进程”选项卡上选择“为高风险进程、低风险进程和默认进程配置不同的扫描策略”选项，然后才能为低风险进程和高风险进程配置单独的策略。
扫描项目
  • 配置是扫描读取时、写入时或网络驱动器上的文件，还是扫描打开进行备份的文件。
    注意：
    如果未启用“写入磁盘时”和“从磁盘读取时”，则您的系统将无法避免大量的恶意软件攻击。
  • 配置要扫描的文件和文件类型。
    注意：
    如果未能启用“所有文件”，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
  • 扫描查找类似于有害程序、特洛伊木马程序和宏病毒的潜在威胁。
  • 在存档内扫描，并对 MIME 编码的文件进行解码。
  • 启用针对有害程序的按访问扫描。
排除项 | 配置要从扫描操作中排除的磁盘、文件和文件夹。
操作
对于威胁检测：
  • 检测到威胁时采取的主要操作。
  • 第一项操作失败时对威胁检测项采取的辅助操作。
对于有害程序检测：
  • 检测到有害程序时采取的主要操作。
  • 第一项操作失败时对有害程序检测项采取的辅助操作。


启用网络驱动器

要扫描映射的网络驱动器，您必须启用“网络驱动器”选项。

使用以下用户界面控制台之一从“按访问默认进程策略”中配置网络驱动器的按访问扫描。


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台从“按访问默认进程策略”中启用网络驱动器。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“按访问默认进程策略”页中，单击扫描文件旁的“扫描项目”选项卡和“网络驱动器”。
  5. 单击“保存”。


ePolicy Orchestrator 4.0

使用此用户界面控制台启用网络驱动器。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“按访问默认进程策略”页中，单击扫描文件旁的“扫描项目”选项卡和“网络驱动器”。
  5. 单击“保存”。


VirusScan 控制台

使用此用户界面控制台启用网络驱动器。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从“任务”列表中，右键单击“按访问扫描程序”，然后单击“属性”以打开“按访问扫描程序属性”对话框。
  2. 单击扫描文件旁的“扫描项目”选项卡和“网络驱动器”。
  3. 单击“保存”。


按需扫描项目

按需扫描程序会在合适的时间或定期扫描计算机的所有部分以查找潜在威胁。使用按需扫描可以为按访问扫描程序所提供的持续保护进行补充，或者在不影响您工作的情况下计划定期扫描。

目录

相关概念
按需扫描及其用途
按需扫描方法以及如何定义它们
远程存储扫描的用途
扫描推迟的用途
系统利用的用途
相关任务
配置按需扫描任务
配置全局系统缓存


按需扫描及其用途

按需扫描程序将搜索系统中的文件、文件夹、内存、注册表，并将更多地查找会对系统造成影响的任何恶意软件。您可以确定何时以及如何进行按需扫描。您可以定期手动扫描系统，或者在每次系统引导时进行扫描。

尝试打开、关闭或重命名文件时，扫描程序将拦截操作，并执行下列操作。

  1. 扫描程序依据如下标准确定是否应扫描文件、文件夹或磁盘：
    • 该文件的扩展名与配置相匹配。
    • 尚未缓存该文件。
    • 尚未排除该文件。
    • 以前未扫描该文件。
      附注： 如果您配置 Artemis，则按需扫描程序将对可疑文件进行启发式检查。有关详细信息，请参阅“Artemis 的用途”。
  2. 如果文件、文件夹或磁盘符合扫描标准，则扫描程序会通过将文件中的信息与当前加载的 DAT 文件中的已知恶意软件特征码进行比较来扫描该文件。
    • 如果文件是清洁的，则将缓存结果并检查下一项目。
    • 如果其包含威胁，则将采取已配置的操作。例如：
      • 如果需要清理文件，则该进程由当前加载的 DAT 文件确定。
      • 扫描结果将记录到活动日志（如果扫描程序被配置为这样做）。
      • 在“按需扫描进度”对话框中，将显示描述内存、文件、文件夹或磁盘名称以及所执行的操作的信息。
  3. 如果内存、文件、文件夹或磁盘不符合扫描要求，不会对其进行扫描，扫描程序将继续进行直到扫描完所有数据。
相关概念
Artemis 的用途


按需扫描方法以及如何定义它们

按需扫描程序使用内存进程扫描以及增量或可恢复扫描。

内存进程扫描

此方法可在运行按需扫描任务之前检查所有活动的进程。检测到的任何潜在有害进程都会突出显示，而进程也将停止。这意味着完整执行一次按需扫描程序即可删除潜在有害程序的所有实例。

增量扫描或可恢复扫描

此方法允许您在发生按需扫描活动时进行限制，但仍在多个会话中扫描整个系统。通过向计划扫描添加时间限制，可设置增量扫描。到达时间限制后，即停止扫描。下一次开始此任务时，将从文件和文件夹结构中上次扫描的停止处继续扫描。


远程存储扫描的用途

远程存储数据具有层次结构，包含两个定义的存储级别。

两个存储级别：
  • 上层级别，即本地存储 — 包括在 Windows 2000 Server 上运行“远程存储”的计算机的 NTFS 磁盘卷。
  • 下层级别，即远程存储 — 位于自动磁带库或与服务器计算机连接的独立磁带驱动器上。

远程存储会自动将您本地卷上符合条件的文件复制到磁带库中，然后监控本地卷上的可用空间。文件数据将在本地进行缓存，以便可以根据需要快速访问。必要时，远程存储会将数据从远程存储移动至本地存储。当您需要访问远程存储所管理的卷上的文件时，请以正常方式打开该文件。如果文件的数据不再缓存在本地卷上，则远程存储会从磁带库中重新调用该数据。

相关任务
配置按需扫描任务


扫描推迟的用途

为了提高性能，您可以在电池电量较低时或全屏演讲过程中将按需扫描任务推迟。您也可以允许用户以一小时为增量推迟已计划的扫描。增量可以持续一小时、24 小时，按需扫描可以无限期推迟。

用户的每次推迟可以持续一小时。例如，如果将“最长推迟时间”选项设为 2，则用户可以将扫描任务推迟两次或推迟两小时。经过指定的最长推迟小时数后，扫描任务将会继续运行。如果管理员通过将该选项设置为零来允许无限制的推迟，则用户可以继续无限期地推迟扫描。


系统利用的用途

按需扫描程序使用 Windows Set Priority 设置来确定扫描进程和线程优先级。这样，操作系统即可在扫描进程中的任意时间点设置按需扫描程序收到的 CPU 时间量。按需扫描属性中的系统利用设置会映射到 Windows Set Priority 控件。

将扫描的系统使用率设置为低，以便为其他正在运行的应用程序提供改进的性能。低等级设置对正在运行最终用户活动的系统很有用。反之，通过将系统利用设置为正常，可更快速地完成扫描。正常设置对具有大量卷和极少最终用户活动的系统很有用。

下表显示了 VirusScan Enterprise 和 ePolicy Orchestrator 默认进程设置。

VirusScan Enterprise 进程设置 | Windows Set Priority 设置
低 | 低
低于正常水平 — ePolicy Orchestrator 默认 | 低于正常水平
正常水平 — VirusScan Enterprise 8.8 默认 | 正常
相关参考
配置按需扫描任务选项卡
相关信息
按需扫描项目


配置按需扫描任务

配置按需任务取决于您所使用的用户界面控制台。这些任务描述了每个用户界面控制台的进程。

任务

相关任务
ePolicy Orchestrator 4.5 或 4.6
ePolicy Orchestrator 4.0
VirusScan 控制台
相关参考
配置按需扫描任务选项卡


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置按需扫描任务。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“系统树”，然后选择“客户端任务”。
  2. 在所显示的“客户端任务”窗格中：
    • 若要编辑现有的按需扫描任务，请在任务的“操作”列中单击“编辑设置”以打开“描述”页。
    • 若要创建新的按需扫描任务，请单击“操作”|“新建任务”以打开“描述”页。
  3. 从“描述”页中：
    • 编辑现有按需扫描任务时，查看描述并单击“下一步”。
    • 创建新的按需扫描任务时，配置以下选项并单击“下一步”：
      • “名称”和“注释”。
      • “类型”，通过从列表中选择“按需扫描” (VirusScan Enterprise 8.8)。
      • “标记”，其可以确定哪些计算机收到按需扫描任务。
  4. 从所显示的“客户端任务生成器”配置页中，配置各选项卡。有关详细信息，请参阅“配置按需扫描任务选项卡”。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置按需扫描任务。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“系统树”|“客户端任务”。
  2. 在所显示的“客户端任务”窗格中：
    • 若要编辑现有的按需扫描任务，请在任务的“操作”列中单击“编辑”以打开“描述”页。
    • 若要创建新的按需扫描任务，请单击“操作”|“新建任务”以打开“描述”页。
  3. 执行以下操作之一：
    • 编辑现有按需扫描任务时，查看描述并单击“下一步”。
    • 创建新的按需扫描任务时，配置以下选项并单击“下一步”：
      • “名称”和“注释”。
      • “类型”，通过从列表中选择“按需扫描” (VirusScan Enterprise 8.8)。
      • “标记”，其可以确定哪些计算机收到按需扫描任务。
  4. 从所显示的“客户端任务生成器”配置页中，配置各选项卡。有关详细信息，请参阅“配置按需扫描任务选项卡”。


VirusScan 控制台

使用此用户界面控制台配置按需扫描任务。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 打开现有任务或新任务的“按需扫描属性”页：
    • 选择现有按需扫描任务并用右键单击，然后选择“属性”。
    • 创建新任务，选择“任务”|“新建按需扫描任务”，右键单击新任务，然后选择“属性”。
  2. 配置“按需扫描属性”对话框中的各选项卡。有关详细信息，请参阅“配置按需扫描任务选项卡”部分。
相关参考
配置按需扫描任务选项卡


配置按需扫描任务选项卡

VirusScan Enterprise 包含默认的按需扫描任务。您可以使用默认任务，也可以创建新任务。

配置各选项卡上的选项。有关选项定义，请单击各选项卡上的“?”或“帮助”。

选项卡定义

选项卡 | 定义
扫描位置
  • 指定要扫描的位置和项目。
  • 包括正在运行的进程。
  • 扫描时包含子文件夹。
  • 扫描时包含引导扇区。
  • 扫描时包含注册表项和值。
  • 扫描时包含 cookie 文件。
注意：
如果不扫描“Rootkit 的内存”和“正在运行的进程”，则您的系统无法避免很多的恶意软件攻击。
附注： 显示“按需扫描进度”对话框时，扫描位置将显示为以逗号分隔的字符串（后跟“扫描位置”）。扫描进度完成后，它们将从字符串中删除。
扫描项目
  • 配置要扫描的文件和文件类型。
  • 启用按需扫描以查找有害程序。
  • 在存档内扫描，并对 MIME 编码的文件进行解码。
  • 扫描已迁移到存储器的文件。
  • 扫描查找类似于有害程序、特洛伊木马程序和宏病毒的潜在威胁。
排除项 | 配置按名称或位置、文件类型、文件存在时间从扫描中排除的磁盘、文件和文件夹。
性能
  • 配置何时推迟扫描以及推迟多长时间。
  • 指定系统利用率。
  • 配置 Artemis 的敏感度级别。
操作
对于威胁检测：
  • 检测到威胁时采取的主要操作。
  • 第一项操作失败时对威胁检测项采取的辅助操作。
对于有害程序检测：
  • 检测到有害程序时采取的主要操作。
  • 第一项操作失败时对有害程序检测项采取的辅助操作。

对于提示对话框中允许的操作，可以直接选择操作。

报告
  • 启用活动记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。
  • 指定除扫描活动外还要记录哪些内容。
  • 指定除扫描活动外，还要记录以下哪些内容：
    • 启用会话设置
    • 启用会话概要
    • 启用失败以扫描加密的文件
  • 检测到 cookie 时启用警报。
任务 指定运行按需扫描任务的位置。
附注： 该选项卡仅在 ePolicy Orchestrator 中提供。


配置全局系统缓存

VirusScan Enterprise 扫描缓存会保存已扫描的清洁文件列表。通过在系统重启期间保存此清洁文件扫描缓存信息，您可以提高系统性能。这样,按需扫描程序可以使用此清洁文件缓存信息来减少重复的文件扫描。

使用以下用户界面控制台从“常规选项策略”和“全局扫描设置”选项卡中配置扫描缓存功能。

任务

相关任务
ePolicy Orchestrator 4.5 或 4.6
ePolicy Orchestrator 4.0
VirusScan 控制台


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台从“常规选项策略”配置扫描缓存功能。

任务

有关选项定义，请单击界面中的“?”或“帮助”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“常规选项策略”中，单击“全局扫描设置”选项卡以配置 VirusScan Enterprise 扫描缓存选项设置。
  5. 为扫描缓存配置以下全局设置：
    • 单击“启用在重新引导时保存扫描数据” — 在您重新引导系统时保存清洁扫描结果。
    • 单击“允许按需扫描利用扫描缓存” — 允许按需扫描程序使用现有的清洁扫描结果来减少重复的扫描。
  6. 单击“保存”。


ePolicy Orchestrator 4.0

使用此用户界面控制台从“常规选项策略”配置扫描缓存功能。

任务

有关选项定义，请单击界面中的“?”或“帮助”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“常规选项策略”中，单击“全局扫描设置”选项卡以配置 VirusScan Enterprise 扫描缓存选项设置。
  5. 为扫描缓存配置以下全局设置：
    • 单击“启用在重新引导时保存扫描数据” — 在您重新引导系统时保存清洁扫描结果。
    • 单击“允许按需扫描利用扫描缓存” — 允许按需扫描程序使用现有的清洁扫描结果来减少重复的扫描。
  6. 单击“保存”。


VirusScan 控制台

使用此用户界面控制台配置扫描缓存功能。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 单击“工具”|“常规选项”和“全局扫描设置”选项卡以显示“全局扫描设置”对话框。
  2. 为扫描缓存配置以下全局设置：
    • 单击“启用在重新引导时保存扫描数据” — 在您重新引导系统时保存清洁扫描结果。
    • 单击“允许按需扫描利用扫描缓存” — 允许按需扫描程序使用现有的清洁扫描结果来减少重复的扫描。
  3. 单击“确定”。


发送时扫描电子邮件和按需扫描电子邮件

电子邮件扫描程序会自动检查电子邮件和附件。

使用以下程序扫描电子邮件：
  • Microsoft Outlook — 发送时扫描电子邮件，您也可以直接从 Microsoft Outlook 调用按需电子邮件扫描。
    附注： 如果配置“启发式”和“Artemis”功能，则发送电子邮件和按需扫描程序将对可疑文件进行启发式检查。有关详细信息，请参阅“Artemis 的用途”。
  • Lotus Notes — 允许您执行以下配置：
    • 访问时扫描电子邮件。
    • 调用时，直接从 Lotus Notes 执行按需电子邮件扫描。
    • 要排除的 Notes 数据库。

使用以下用户界面控制台配置发送时电子邮件扫描策略。

任务

相关任务
ePolicy Orchestrator 4.5 或 4.6
ePolicy Orchestrator 4.0
VirusScan 控制台
相关参考
按需电子邮件扫描策略选项卡定义


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置发送时电子邮件扫描策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“发送时电子邮件扫描程序策略”配置页上，配置各个选项卡上的选项。请参阅按需电子邮件扫描策略选项卡定义。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置发送时电子邮件扫描策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 从“发送时电子邮件扫描程序策略”配置页上，配置各个选项卡上的选项。请参阅按需电子邮件扫描策略选项卡定义。


VirusScan 控制台

使用此用户界面控制台配置发送时电子邮件扫描策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 从“任务”列表中，右键单击“发送时电子邮件扫描属性”，然后单击“属性”以打开对话框。
  2. 从“发送时电子邮件扫描属性”对话框中，配置各个选项卡上的选项。请参阅按需电子邮件扫描策略选项卡定义。


按需电子邮件扫描策略选项卡定义

选项卡 定义
扫描项目
  • 指定要扫描的附件和邮件。
  • 使用启发式分析进行扫描，以查找类似于恶意软件、未知宏病毒的潜在威胁并查找带有多个扩展名的附件。
  • 扫描存档内的压缩文件并对 MIME 编码的文件进行解码。
  • 使电子邮件扫描程序扫描有害程序。
  • 扫描电子邮件正文。
  • 配置 Artemis 的敏感度级别。
    附注： 此选项仅适用于“发送时电子邮件扫描”。
操作
对于威胁检测：
  • 检测到威胁时采取的主要操作。
  • 第一项操作失败时采取的辅助操作。
对于有害程序检测：
  • 检测到有害程序时采取的主要操作。
  • 第一项操作失败时采取的辅助操作。

对于提示对话框中允许的操作，可以直接选择操作。

警报
  • 检测到包含威胁的电子邮件时通知其他用户。
  • 指定提示操作时显示给用户的消息。
报告
  • 启用活动记录。
  • 指定日志文件的名称和位置。
  • 指定日志文件的大小限制。
  • 选择日志文件格式。
  • 指定除扫描活动外还要记录哪些内容。
Notes 扫描程序设置
附注： 此选项卡仅适用于“发送时电子邮件扫描”。

配置特定于 Lotus Notes 的设置。

  • 扫描所有服务器数据库。
  • 扫描指定邮箱根文件夹中的服务器邮箱。
  • 要忽略的 Notes 应用程序。


第 3 部分 - 响应：处理威胁

针对威胁进行响应是保护策略的第三步，可检测并清理试图访问您系统的恶意软件。

目录

  • 检测项和响应
  • 配置警报和通知
  • 访问查询和信息显示板
  • 配置紧急 DAT


检测项和响应

当威胁出现并被检测到时，接下来的操作取决于您将 VirusScan Enterprise 配置为如何响应以及哪一功能检测到了该威胁。了解这些区别可以帮助您制定和实施有效的策略。

目录

相关概念
检测项出现时会怎样
隔离项目
相关参考
系统访问点冲突
缓冲区溢出检测项
有害程序检测项
按访问扫描检测项
按需扫描检测项
电子邮件扫描检测项


检测项出现时会怎样

当某检测项出现并被检测到时，反应取决于 VirusScan Enterprise 是如何配置的。

如果 VirusScan Enterprise 被配置为自动清理（建议的默认设置），则应采取的操作取决于 DAT 文件中的清理指示。例如，如果扫描程序无法清理文件或者文件的损坏程度很高以致无法修复，则扫描程序可能会删除文件或采取辅助操作，具体取决于 DAT 文件中的定义。

如果扫描程序拒绝访问包含潜在威胁的文件，则保存文件时，扫描程序会在文件名后面附加 .mcm 扩展名。


系统访问点冲突

出现系统访问点冲突时，所采取的操作取决于规则是如何配置的。

规则配置及相应的操作：

  • 报告 — 在日志文件中记录信息。

  • 阻挡 — 拒绝访问。

查看日志文件，以确定哪些系统访问点出现冲突以及哪些规则检测到了冲突，然后配置访问保护规则以允许用户访问合法项目并防止用户访问受保护项目。

使用这些方案来决定要采取的响应操作。

检测项类型 方案
有害进程
  • 如果规则在日志文件中报告了冲突但未阻挡该冲突，请为该规则选择“阻挡”选项。
  • 如果规则阻挡了冲突但未在日志文件中报告该冲突，请为该规则选择“报告”选项。
  • 如果规则阻挡并在日志文件中报告了该冲突，则无需采取任何操作。
  • 如果您发现某个有害进程未被检测到，请编辑规则以将该进程包括为阻挡进程。
合法进程
  • 如果规则在日志文件中报告了冲突但未阻挡该冲突，请为该规则取消选择“报告”选项。
  • 如果规则阻挡并在日志文件中报告了冲突，请编辑规则以将合法进程排除在阻挡范围之外。


缓冲区溢出检测项

出现缓冲区溢出检测项时，扫描程序将阻挡该检测项，而且“按访问扫描消息”对话框中将记录一条消息。您可以查看该对话框，然后决定是否采取任何其他操作。

您可以采取的操作包括：
  • 删除消息 - 在列表中选择项目，然后单击“删除”。
  • 创建排除项 - 如果检测到的进程是您合法使用的进程，或者是误报，则使用“按访问扫描消息”对话框中的信息创建排除项。查看“名称”列中的信息，以确定拥有发出呼叫的可写内存的进程名称。使用该进程名创建排除项。
  • 将样本提交到 McAfee Labs 以进行分析 — 如果扫描程序检测到您认为其不应检测的内容，或没有检测到您认为其应检测到的内容，则可以将样本发送到 McAfee Labs。


有害程序检测项

按访问扫描程序、按需扫描程序和电子邮件扫描程序都根据您对“有害程序策略”的配置来检测有害程序。出现检测项时，检测到潜在有害程序的扫描程序会将您在“操作”选项卡中配置的操作应用于该扫描程序。

查看日志文件中的信息，然后决定是否采取以下的任何其他操作：

  • 微调扫描项目 — 这样可以使您的扫描效率更高。
  • 从检测中排除 — 如果检测到了合法项目，您可以将其配置为排除项。
  • 将其添加到用户定义的检测项列表 — 如果未检测到某有害程序，您可以将其添加到用户定义的检测项列表中。
  • 将样本提交到 McAfee Labs 以进行分析 — 如果扫描程序检测到您认为其不应检测的内容，或没有检测到您认为其应检测到的内容，则可以将样本发送到 McAfee Labs。


按访问扫描检测项

当按访问扫描程序检测到任何恶意软件时，其会根据您对“按访问扫描属性”（在“操作”选项卡中）的配置采取操作。另外，“按访问扫描消息”对话框中将记录一条消息。

查看活动日志和“按访问扫描消息”对话框中的信息，然后决定是否采取以下的任何其他操作。

  • 微调扫描项目 — 为使扫描更有效，请排除 VirusScan Enterprise 可能视为威胁的合法项目，并删除可能保存在隔离中的已知威胁。
  • 右键单击“按访问扫描消息”对话框中的项目 — 执行以下操作：
    • 清理文件- 尝试清理所选消息引用的文件。
    • 删除文件 - 删除所选消息引用的文件。文件名记录在日志中，以便您可以从 Quarantine Manager 中还原该文件。
    • 全选 (Ctrl+a) - 选择列表中的所有消息。
    • 从列表中删除消息 (Ctrl+d) - 从列表中删除所选消息。已从列表中删除的消息在日志文件中仍然可见。
    • 删除所有消息 - 从列表中删除所有消息。已从列表中删除的消息在日志文件中仍然可见。
    • 打开按访问扫描程序日志文件- 打开按访问扫描程序活动日志文件。只能从“文件”菜单中找到此选项。
    • 打开访问保护日志文件 - 打开访问保护活动日志文件。只能从“文件”菜单中找到此选项。
    • 如果不能对当前消息执行某项操作，则相应的图标、按钮和菜单项都将被禁用。例如，如果文件已被删除，则“清理”不可用，如果管理员已抑制该操作，则“删除”不可用。
    • 清理文件- 如果 DAT 文件没有清理程序或者损坏严重以致无法修复，则无法清理文件。如果无法清理文件，扫描程序将在其文件名后面附加 .mcm 扩展名，并拒绝对其进行访问。日志文件中将记录一个条目。在此情况下，我们建议删除该文件，然后从清洁的备份副本进行还原。
  • 将样本提交到 McAfee Labs 以进行分析 — 如果扫描程序检测到您认为其不应检测的内容，或没有检测到您认为其应检测到的内容，则可以将样本发送到 McAfee Labs。


按需扫描检测项

出现按需检测时，扫描程序将根据您对“按需扫描属性”（在“操作”选项卡中）的配置采取操作。

查看日志文件中的信息，然后决定是否采取以下的任何其他操作：

  • 微调扫描项目 — 这样可以使您的扫描效率更高。
  • 提示操作 — 通过从“按需扫描进度”对话框中选择操作将扫描程序配置为“提示操作”。
  • 将样本提交到 McAfee Labs 以进行分析 — 如果扫描程序检测到您认为其不应检测的内容，或没有检测到您认为其应检测到的内容，则可以将样本发送到 McAfee Labs。


电子邮件扫描检测项

出现电子邮件扫描检测项时，扫描程序将根据您对“发送时电子邮件扫描属性”或“按需电子邮件扫描属性”（在“操作”选项卡中）的配置来采取操作。

查看日志文件中的信息，然后决定是否采取以下的任何其他操作：

  • 微调扫描项目 — 这样可以使您的扫描效率更高。
  • 将样本提交到 McAfee Labs 以进行分析 — 如果扫描程序检测到您认为其不应检测的内容，或没有检测到您认为其应检测到的内容，则可以将样本发送到 McAfee Labs。


隔离项目

检测为威胁的项目将被清理或删除。另外，该项目的副本将转换为不可执行的格式并保存在“隔离”文件夹中。这样，您就可以在下载较新版本的 DAT（可能包含用于清理威胁的信息）之后在隔离项目上执行进程。

这些附加进程包括：

  • 恢复。

  • 重新扫描。

  • 删除。

  • 检查误报。

  • 查看检测项属性。

附注： 隔离项目可以包括多种类型的扫描对象。这些对象包括文件、cookie、注册表或 VirusScan Enterprise 为查找恶意软件而扫描的任何对象。


配置隔离策略

如果需要，请访问 Quarantine Manager 策略并配置隔离策略，或接受默认设置。

使用以下用户界面控制台配置 Quarantine Manager 策略。

任务

相关任务
ePolicy Orchestrator 4.5 或 4.6
ePolicy Orchestrator 4.0
VirusScan 控制台


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置 Quarantine Manager 策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“隔离”页中，接受默认的隔离目录或选择其他目录。
  5. 要配置隔离项目的保存天数，请单击“在指定天数之后自动删除隔离数据”并键入“在隔离目录中保存备份数据的天数”。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置 Quarantine Manager 策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 在“隔离”页中，接受默认的隔离目录或选择其他目录。
  5. 要配置隔离项目的保存天数，请单击“在指定天数之后自动删除隔离数据”并键入“在隔离目录中保存备份数据的天数”。


VirusScan 控制台

使用此用户界面控制台配置 Quarantine Manager 策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 从“任务”列表中，右键单击“Quarantine Manager 策略”，然后单击“属性”以打开“Quarantine Manager 策略”对话框。
  2. 接受默认的隔离策略或选择其他目录。
  3. 要配置隔离项目的保存天数，请单击“在指定天数之后自动删除隔离数据”并键入“在隔离目录中保存备份数据的天数”。


管理隔离项目

处理隔离项目以对其进行进一步检查，并使用 VirusScan 控制台 手动删除或还原它们。
附注： 从 ePolicy Orchestrator 控制台中，使用“从隔离还原”客户端任务来对还原隔离项目。

任务

有关选项定义，请单击界面中的“?”。

  1. 从“VirusScan 控制台 任务”列表中，单击“Quarantine Manager 策略”以打开“Quarantine Manager 策略”对话框。
  2. 单击“Manager”选项卡，然后右键单击某项目以访问以下高级选项：

    • 恢复。

    • 重新扫描。

    • 删除。

    • 检查误报。

    • 查看检测项属性。

  3. 此时将显示一个对话框，其中描述了您的操作的效果。


配置警报和通知

检测到潜在威胁时接收通知是保护环境的一个重要部分。你可以使用 ePolicy Orchestrator 控制台或VirusScan 控制台 来配置发现检测项时向您发出通知的方式。通过这两个控制台可以配置警报选项，按严重性过滤警报以限制流量，并配置本地警报选项。

相关任务
配置警报
相关参考
按访问扫描检测项


配置警报

配置各种扫描程序检测到威胁时出现警报和通知属性。

使用相同过程为这些策略配置警报：
  • 警报策略
  • 缓冲区溢出保护策略
  • 发送时电子邮件扫描策略

使用以下用户界面控制台为所有三种策略配置警报通知策略。

任务

相关任务
ePolicy Orchestrator 4.5 或 4.6
ePolicy Orchestrator 4.0
VirusScan 控制台
相关参考
“警报策略”选项卡配置


ePolicy Orchestrator 4.5 或 4.6

使用此用户界面控制台配置警报策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“菜单”|“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑设置”以打开策略配置页。
    创建新策略
    1. 单击“操作”|“新策略”以打开“新策略”对话框。
    2. 从“类别”列表中，选择现有策略。
    3. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    4. 键入新策略名称。
    5. 键入注释（如果需要）。
    6. 单击“确定”。新策略将显示在现有策略列表中。
    7. 从新策略的“操作”列中，单击“编辑设置”以打开策略配置页。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 配置“警报策略”选项卡。请参阅“警报策略”选项卡配置。


ePolicy Orchestrator 4.0

使用此用户界面控制台配置警报策略。

任务

有关选项定义，请单击界面中的“?”。

  1. 单击“系统”|“策略目录”，然后从“产品”列表中选择 VirusScan Enterprise 8.8.0。“类别”列表将显示 VirusScan Enterprise 8.8.0 的策略类别。
  2. 编辑现有策略或创建新策略： 编辑现有策略
    1. 从“类别”列表中，选择策略类别。
    2. 在“操作”列中，单击“编辑”以打开策略配置页。
    创建新策略
    1. 单击“新建策略”以打开“新建策略”对话框。
    2. 从“根据此现有策略创建新策略”列表中，选择其中一个设置。
    3. 键入新策略名称。
    4. 单击“确定”。新策略将显示在现有策略列表中。
  3. 从“以下对象的设置”列表中，选择“工作站”或“服务器”。
  4. 配置“警报策略”选项卡。请参阅“警报策略”选项卡配置。


VirusScan 控制台

使用此用户界面控制台配置警报策略。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 打开以下属性之一，以配置警报：
    • 警报 - 单击“工具”|“警报”，以打开“警报属性”对话框。
    • 缓冲区溢出保护 - 选择“缓冲区溢出保护”任务，右键单击“属性”，以打开“缓冲区溢出保护属性”对话框。
    • 发送时电子邮件扫描程序 - 选择“发送时电子邮件扫描程序”任务，右键单击“属性”，以打开“发送时电子邮件扫描程序属性”对话框。单击“警报”选项卡。
  2. 配置“警报策略”选项卡。请参阅“警报策略”选项卡配置。


“警报策略”选项卡配置

任务 配置
警报策略

  1. 在“操作”列中，选择“编辑设置”以打开“警报策略”页。

  2. 配置“生成警报的组件”和“警报管理器选项”。

缓冲区溢出保护策略

  1. 在“操作”列中，选择“编辑设置”以打开“缓冲区溢出保护”页。

  2. 在“客户端系统警告”旁边，单击“检测到缓冲区溢出时显示消息对话框”。

发送时电子邮件扫描策略

  1. 在“操作”列中，选择“编辑设置”以打开“缓冲区发送时电子邮件扫描策略”页。

  2. 单击“警报”并配置“通过电子邮件发给用户的警报”和“操作提示消息”。


访问查询和信息显示板

使用查询和信息显示板可监视活动，帮助您确定针对检测项要采取的操作。可以使用预定义的查询和信息显示板，也可以根据您的需求创建其他仪表板和查询。有关查询和信息显示板的信息，请参阅 ePolicy Orchestrator 产品文档。

查询

根据您的 ePolicy Orchestrator 版本，使用以下操作导航至“查询”：

ePolicy Orchestrator 4.5 和 4.6
  1. 单击“菜单”|“报告”|“查询”，此时会显示“查询”页面。
  2. 在“查询”窗格中，在“快速查找”中键入 VSE:，然后单击“应用”。只有 VirusScan Enterprise 查询出现在列表中。
ePolicy Orchestrator 4.0
  1. 单击“菜单”|“报告”|“查询”，此时会显示“查询”页面。
  2. 在“查询”列表中，在右侧窗格中向下滚动，找到以“VSE:”开头的查询。

可用的预定义查询有：

VSE: 最近 30 天的符合性

VSE: 每周检测到威胁的计算机

VSE: 当前 DAT 采用情况

VSE: 最近 24 小时 DAT 采用情况

VSE: DAT 部署

VSE: 检测项响应摘要

VSE: 按标记显示检测项的数量

VSE: 最近 24 小时检测到的间谍程序

VSE: 最近 7 天检测到的间谍程序

VSE: 最近 24 小时检测到的威胁的摘要

VSE: 最近 7 天检测到的威胁的摘要

VSE: 按严重性显示的威胁计数

VSE: 每周检测到的威胁名称

VSE: 最近 24 小时检测到的威胁

VSE: 最近 7 天检测到的威胁

VSE: 前 2 个季度检测到的威胁

VSE: 每周检测到的威胁

VSE: 前 10 个违反的访问保护规则

VSE: 检测到的前 10 个缓冲区溢出

VSE: 检测项最多的前 10 台计算机

VSE: 前 10 个检测到的威胁

VSE: 前 10 个威胁来源

VSE: 每个威胁类别的前 10 个威胁

VSE: 检测项最多的前 10 位用户

VSE: 最近 24 小时检测到的有害程序

VSE: 最近 7 天检测到的有害程序

VSE: 8.5 版合规性

VSE: 8.7 版合规性

VSE: 8.8 版合规性

信息显示板

要访问 ePolicy Orchestrator 控制台中的仪表板，请转到“信息显示板”。

可用的预定义信息显示板有：
  • VSE: 8.8 版合规性
  • VSE: 趋势数据
  • VSE: 当前检测数


配置紧急 DAT

在常规 VirusScan DAT 更新发布之前，可以手动下载紧急 DAT，以保护您的系统免受重要病毒的攻击。
附注： 应将这些 EXTRA.DAT 作为客户端系统 AutoUpdate 或 ePolicy Orchestrator 计划纳入进程的一部分自动下载。请参考“更新检测定义”部分。
配置紧急 DAT 分两步进行。
  1. 下载紧急 DAT 文件。此过程对客户端系统和 ePolicy Orchestrator 存储库是相同的。
  2. 安装紧急 DAT 文件。此过程对客户端系统和 ePolicy Orchestrator 4.0 4.5 及 4.6 服务器是不同的。

其中每个过程会在此部分中进行介绍。

目录

相关概念
有关紧急 DAT
相关任务
下载 SuperDAT 文件
在 ePolicy Orchestrator 存储库中安装 SuperDAT 文件
在客户端系统中安装 EXTRA.DAT 文件
相关信息
更新检测定义


有关紧急 DAT

紧急 DAT，称为 EXTRA.DAT 文件，包含由 VirusScan Enterprise 用来检测新病毒的信息。当发现新的恶意软件并需要进行额外的检测时，可从 McAfee Labs 中获得 EXTRA.DAT 文件（打包在 SuperDAT [SDAT] 可执行文件中），直至发布 VirusScan Enterprise DAT 更新。
附注： McAfee 无需在安全更新下载站点上发布各个 EXTRA.DAT 文件。若要针对某一特定威胁获取 EXTRA.DAT 文件，请转到位于 https://www.webimmune.net/extra/getextra.aspx 的 McAfee Avert Labs Extra.dat 请求页。

SuperDAT 包

SuperDAT 可执行文件为自我安装包。它可能也会包含一个新的病毒扫描引擎和其他程序组件。该文件使用名称格式 sdatXXXX.exe，其中 XXXX 为四位数字格式的 DAT 版本号，例如 sdat4321.exe。

在 EXTRA.DAT 文件从 SuperDAT 可执行文件提取并添加到硬盘驱动器上的 Engine 文件夹后，除了一般 DAT 文件外，还会由 VirusScan Enterprise 使用来检测新病毒。这可让 VirusScan Enterprise 保护您的计算机免受新恶意软件代码的攻击，直至发布正式 DAT 更新（包含恶意软件检测和删除信息）。在发布并安装正式 DAT 更新后，就不再需要 EXTRA.DAT 文件。

附注： EXTRA.DAT 文件会在您的文件系统中保留 5 天，然后被自动删除。您应当通过自动下载和安装正式每日更新来使 VirusScan Enterprise DAT 文件保持更新。


下载 SuperDAT 文件

若要下载 SuperDAT (SDAT) 文件，您必须连接到 McAfee 安全更新页。

开始之前

  • 若要访问 McAfee 安全更新页，您必须具有有效的授权号。http://www.mcafee.com/apps/downloads/security_updates/dat.asp
  • 您必须具有管理员权限，才能更新 McAfee 软件。

任务

  1. 转到位于以下 URL 的 McAfee 安全更新页：http://www.mcafee.com/apps/downloads/security_updates/dat.asp
  2. 单击“SuperDAT”选项卡，并双击“sdatXXXX.exe”文件，其中 XXXX 为最新 DAT 更新的编号。
    附注： 双击“readme.txt”文件可获得其他信息。
  3. 将可执行文件保存到临时位置，其文件名使用默认名称。


在 ePolicy Orchestrator 存储库中安装 SuperDAT 文件

下载 SuperDAT 文件之后，您必须将其安装在 ePolicy Orchestrator 服务器上。

开始之前

您必须具有管理员权限，才能更新 McAfee 软件。

任务

有关选项定义，请单击界面中的“?”。

  1. 若要在 ePolicy Orchestrator 服务器上安装 SuperDAT 文件，使用下列任一方法：
    服务器 步骤……
    ePolicy Orchestrator 4.5 和 4.6
    1. 单击“菜单”|“软件”|“主存储库”可在 ePolicy Orchestrator 4.5 和 4.6 控制台中打开“主存储库”页中的包。
    2. 单击“操作”|“签入包”。
    ePolicy Orchestrator 4.0
    1. 单击“菜单”|“软件”|“主存储库”可打开“主存储库”页中的包。
    2. 单击“签入包”可打开“签入包”页。
  2. 选择“Super DAT (EXE)”，浏览至您要保存该文件的位置，然后单击“下一步”。
  3. 确认您的选择，然后单击“保存”。“主存储库”页中的包将在“名称”列表中显示新的 DAT 包。


在客户端系统中安装 EXTRA.DAT 文件

您从 McAfee Labs 下载文件之后，即可在独立客户端系统中安装 EXTRA.DAT 文件。有关 EXTRA.DAT 文件下载信息，请参考“有关紧急 DAT”。

开始之前

您必须具有管理员权限，才能更新 McAfee 安全软件。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 在下载完成之后，找到您刚才保存的文件，运行可执行文件，并按照向导中的说明进行操作。 可执行 EXTRA.DAT 文件可执行以下步骤：
    • 卸载 McAfee 内存常驻软件，或者停止使用您当前 DAT 文件的服务。
    • 将新 DAT 文件复制到相应的程序目录。
    • 重新启动使用新 DAT 文件继续扫描所需的软件组件。
  2. 当安装程序完成更新 DAT 文件时，则可以删除已下载的文件，或保留一个副本以便进一步更新。


第 4 部分 - 监控、分析和微调您的保护策略

对您的保护策略进行初始配置之后，您应当监控、分析和微调您的保护策略。通过查看活动日志文件和 ePolicy Orchestrator 查询，您可以提高 VirusScan Enterprise 系统的性能和加强对其的保护。

目录

  • 在环境中监视活动
  • 分析您的保护


在环境中监视活动

保护策略中的一个重要步骤是监视系统上发生的恶意软件事件。要执行此操作，您需要了解要使用的工具及其使用方式。


用于监视活动的工具

VirusScan Enterprise 提供了多种用来监视您的保护系统上发生的威胁事件的方式。使用哪种工具取决于您是否使用 ePolicy Orchestrator 控制台或 VirusScan 控制台。


查询和信息显示板的使用

使用 ePolicy Orchestrator 查询和信息显示板可监视 McAfee 托管系统上的活动，并确定要对检测项采取的操作。

有关查询和信息显示板的其他信息，请参阅以下内容：
  • 请参阅“访问查询和信息显示板”，以获得可用预定义查询的完整列表。
  • 请参阅 ePolicy Orchestrator 产品文档，以获得有关修改及创建查询和信息显示板的信息。
相关信息
访问查询和信息显示板


活动日志的使用

VirusScan 控制台 活动日志存储您的 VirusScan Enterprise 保护系统上发生的事件的记录。下表介绍了日志文件。

默认情况下，所有活动日志文件存储在以下位置之一，具体取决于所使用的操作系统：
  • 对于 Microsoft Windows XP、Microsoft Vista、Microsoft 2000 Server、Microsoft 2003 Server 和 Microsoft 2008 Server - C:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection
  • 对于 Microsoft Windows 7 - C:\ProgramData\McAfee\DesktopProtection
表 1. 日志文件
文件名 | 如何访问 | 显示
AccessProtectionLog.txt | 在“任务”列中，单击“访问保护”|“报告”选项卡，然后单击“查看日志”。 | 日期、时间、事件、用户和文件名。
BufferOverflowProtectionLog.txt | 在“任务”栏中，单击“缓冲区溢出保护”|“报告”选项卡，然后单击“查看日志”。 | 日期、时间、导致溢出的可执行文件，以及其是否为堆栈或堆溢出。
MirrorLog.txt
  • 对于 Microsoft Windows XP、Microsoft Vista、Microsoft 2000 Server、Microsoft 2003 Server 和 Microsoft 2008 Server - C:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection
  • 对于 Microsoft Windows 7 - C:\ProgramData\McAfee\DesktopProtection
日期、时间、镜像文件的路径，以及任何其他信息。
OnAccessScanLog.txt | 在“任务”列中，单击“按访问扫描程序”|“常规设置”|“报告”选项卡，然后单击“查看日志”。 | 日期、时间、检测到的恶意软件、采取的操作，以及发现的情况。
OnDemandScanLog.txt | 从菜单中单击“任务”|“查看日志”。 | 执行扫描的日期、时间、执行的任何操作、操作的文件，以及发现的情况。
UpdateLog.txt
  • 对于 Microsoft Windows XP、Microsoft Vista、Microsoft 2000 Server、Microsoft 2003 Server 和 Microsoft 2008 Server - C:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection
  • 对于 Microsoft Windows 7 - C:\ProgramData\McAfee\DesktopProtection
更新日期、时间、启动更新的人员，以及有关更新的任何信息。


运行示例查询

运行简单查询可确定每周在您的托管系统上检测到多少威胁。此查询只是一个示例。运行或配置哪种查询取决于您想要从 ePolicy Orchestrator 数据库中检索的信息。

任务

有关选项定义，请单击界面中的“?”。

  1. 使用以下任一方法运行简单 ePolicy Orchestrator 查询：
    • ePolicy Orchestrator 4.5 或 4.6 - 单击“菜单”|“报告”|“查询”，向下滚动到“VSE：每周检测到的威胁”查询，然后单击“运行”。
    • ePolicy Orchestrator 4.0 - 单击“报告”|“查询”，向下滚动到“VSE：每周检测到的威胁”查询，然后单击“运行”。
  2. 如果检测到任何威胁，查询输出会显示将显示以下内容：
    • 包含威胁数的条形图，以及发生威胁的周。
    • 包含类似信息和威胁总数的表。
    附注： 您可以在此条形图或表信息上单击，以打开 ePolicy Orchestrator 数据库数据。
  3. 单击“关闭”可返回到查询列表。
您可以运行更多的默认查询，并且可以创建您自己的查询。有关详细信息，请参阅 ePolicy Orchestrator 文档。


分析您的保护

分析您 VirusScan Enterprise 受保护系统的保护是否应该是正在进行的进程，并且提高您系统的保护和性能。

目录

相关概念
分析的重要性
相关任务
分析保护示例


分析的重要性

通过分析您的保护，可以确定您正面临哪些类型的威胁、威胁来自于何处、发现威胁的频率，以及哪些系统会受到攻击。例如，如果某个系统持续不断地受到攻击，可能应将该系统移动到更安全的网络部分，并启用提升后的安全性以对其进行保护。

在以下情况下此分析也很有帮助：
  • 为 IT 和管理人员创建报告。
  • 捕获用于创建脚本和查询的信息。
  • 监视网络访问时间和 VirusScan Enterprise 更新网络使用率。


分析保护示例

您可以将这些分析示例中的步骤用作分析大多数 VirusScan Enterprise 保护方案的框架。

这些示例说明了看到恶意软件攻击的峰值，并确定：
  • 发生攻击的位置和时间
  • 攻击中使用哪些恶意软件
  • 攻击对系统的影响

任务

相关任务
ePolicy Orchestrator 4.5 或 4.6
ePolicy Orchestrator 4.0
VirusScan 控制台


ePolicy Orchestrator 4.5 或 4.6

此示例分析可用作分析具有 VirusScan Enterprise 的大多数保护方案的框架。ePolicy Orchestrator 4.5 或 4.6。

开始之前

您必须具有对 VirusScan Enterprise 受保护系统的直接或远程访问权限，以执行此示例分析。

任务

有关选项定义，请单击界面中的“?”。

  1. 确定发生攻击的位置和时间：
    1. 单击“菜单”|“报告”|“查询”以打开“查询”窗格。
    2. 在 “快速查找”搜索中键入“恶意软件”，然后单击“应用”。恶意检测历史记录查询将显示在“查询”列表中。
    3. 选择查询，然后单击“操作”|“运行”。查询将返回最近攻击数。
  2. 要确定攻击中使用哪些恶意软件，单击“菜单”|“报告”|“威胁事件日志”以显示威胁事件日志。
  3. 双击日志事件可在窗格中显示详细信息页面。从日志事件您可以确定：
    • 将显示威胁来源 IP 地址和目标，以帮助您确定要采取的操作。
    • 威胁名称和威胁类型说明了攻击中使用哪些恶意软件。
    • 威胁事件描述说明了攻击对系统的影响以及对这些威胁采取的操作。


ePolicy Orchestrator 4.0

此示例分析可用作分析具有 VirusScan Enterprise 的大多数保护方案的框架。ePolicy Orchestrator 4.0。

开始之前

您必须具有对 VirusScan Enterprise 受保护系统的直接或远程访问权限，以执行此示例分析。

任务

有关选项定义，请单击界面中的“?”。

  1. 确定发生攻击的位置和时间：
    1. 单击“报告”|“查询”以打开“查询”页面。
    2. 从“公共查询”列表中选择“ePO:恶意软件检测历史记录”，然后单击“更多操作”|“运行”。恶意检测历史记录查询将显示在“查询”列表中。
  2. 要查看触发恶意软件检测的事件，单击“报告”|“事件日志”，查询将返回最近的攻击数。
  3. 双击日志事件可在窗格中显示详细信息页面。从日志事件您可以确定：
    • 将显示威胁来源 IP 地址和目标，以帮助您确定要采取的操作。
    • 威胁名称和威胁类型说明了攻击中使用哪些恶意软件。
    • 威胁事件描述说明了攻击对系统的影响以及对这些威胁采取的操作。


VirusScan 控制台

此示例分析可用作使用 VirusScan Enterprise 的大多数保护方案的框架。VirusScan 控制台。

开始之前

您必须具有对 VirusScan Enterprise 受保护系统的直接或远程访问权限，以执行此示例分析。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 从“任务”列表中，右键单击“按访问扫描程序”，然后从列表中选择“统计信息”。出现“按访问扫描统计信息”对话框。
  2. 在“扫描统计信息”组中，注意出现的检测到的文件数。如果是零以外的任意数字，单击“属性”以打开“按访问扫描属性”对话框。
  3. 单击“报告”选项卡和“查看日志”。OnAccessScanLog.txt 文件将显示在记事本窗口中。
  4. 从此输出可确定：
    • 攻击中使用哪些恶意软件。例如，
      C:\...\eicar.com	EICAR 测试文件
    • 攻击对系统的影响。例如，
      (清理失败，因为此检测项不可清理)
    • 要对威胁采取的操作。例如，
      已删除
  5. 使用之前步骤中的信息可确定是否需要对来源或目标系统的病毒防护设置进行修改，或者您是否想要采取某些其他操作。


附录

您可以使用更多的配置和故障排除功能来提高VirusScan Enterprise 所提供的保护。这些功能使用熟悉的工具，例如，ePolicy Orchestrator 控制台、命令行和 Internet。

目录

  • 配置 ePolicy Orchestrator 服务器任务
  • 使用 VirusScan Enterprise 命令行
  • 连接到远程系统
  • 提交威胁样本以供分析
  • 访问 McAfee Labs 威胁库
  • 故障排除


配置 ePolicy Orchestrator 服务器任务

在 ePolicy Orchestrator 中配置的服务器任务可允许您计划及运行自动任务，以管理您的服务器和 VirusScan Enterprise 软件。

可将 VirusScan Enterprise 服务器任务配置为自动生成以下内容：
  • 导出策略 - 运行策略报告并将策略信息存储在文件中。
  • 运行查询 - 运行预先配置的查询，如果已配置，则会在 ePolicy Orchestrator 信息显示板上显示输出。
  • 导出查询 - 运行预先配置的查询，并通过电子邮件将报告发送至已配置的地址，或者将报告导出至已配置的位置。
    附注： 只有在使用 ePolicy Orchestrator 4.5 和 4.6 时才可使用导出查询功能。
ePolicy Orchestrator 服务器已安装了以下 VirusScan Enterprise 服务器任务：
  • VSE:最近 30 天的符合性 - 每天运行一次存储有关 McAfee 防病毒软件合规性状态的查询。
  • VSE:最近 24 小时 DAT 采用情况 - 每小时运行一次存储有关 McAfee 防病毒软件 DAT 版本状态的查询。
附注： 要配置自定义服务器任务，请参阅相应的 ePolicy Orchestrator 产品手册以获得详细说明。


配置示例服务器任务

要启用并配置现有 ePolicy Orchestrator VSE，请执行以下操作：最近 30 天服务器任务的符合性。

开始之前

您必须具有管理员权限，才能更新 ePolicy Orchestrator 配置。

任务

有关选项定义，请单击界面中的“?”。

  1. 从 ePolicy Orchestrator 打开现有“服务器任务”页面。
    • ePolicy Orchestrator 4.5 或 4.6 — 单击“菜单”|“自动化”|“服务器任务”。
    • ePolicy Orchestrator 4.0 — 单击“自动化”|“服务器任务”。
  2. 在“名称”列中，找到“VSE:最近 30 天的符合性”任务，然后在“操作”列中单击“编辑”。此时会显示“服务器任务生成器”页。
  3. 在“计划状态”旁边，单击“已启用”，然后单击“下一步”。此时会显示“操作”页。 默认情况下，“1. 操作”旁边的“运行查询”处于选中状态。
  4. 默认情况下，“查询”旁边的“VSE:8.8.0 版合规性”处于选中状态。如果需要，更改语言设置。 在“子操作”组中，确认默认情况下以下项目处于选中状态：
    • “子操作”列表中的“生成合规性事件”。
    • 在文本框中选择的“目标系统的特定数量”为 1。
  5. 将 VirusScan Enterprise、8.7 和 8.5 版合规性操作添加到服务器任务：
    1. 在“1. 操作”行中，单击加号 (+) 以打开其他操作行。
    2. 在新的“2. 操作”行中配置以下内容：
      • 在“2. 操作”旁边，从列表中选择“运行查询”。
      • 在“查询”旁边，从列表中选择“VSE:8.7 版合规性”。
      • 如果需要，更改语言设置。
      • 确认在“子操作”组中，“生成合规性事件”和“目标系统的特定数量”在文本框中选择为 1。
    3. 在“2. 操作”行中，单击加号 (+) 以打开其他操作行。
    4. 在新的“3. 操作”行中配置以下内容：
      • 在“3. 操作”旁边，从列表中选择“运行查询”。
      • 在“查询”旁边，从列表中选择“VSE:8.5 版合规性”。
      • 如果需要，更改语言设置。
      • 确认在“子操作”组中，“生成合规性事件”和“目标系统的特定数量”在文本框中选择为 1。
  6. 单击“下一步”以打开“计划”页面。
  7. 从“计划类型”列表中选择运行服务器任务的频率。
    • 设置“开始日期”，或接受当前日期为默认设置。
    • 设置“结束日期”，或接受“无结束日期”为默认设置。
    • 设置“计划”，接受默认设置，或者为要运行的查询设置其他开始时间。
  8. 单击“下一步”以打开“摘要”页面。确认信息配置正确。
  9. 单击“保存”，此时会重新出现“服务器任务”页面。
  10. 确认“VSE:最近 30 天服务器任务的符合性”已启用其“状态”，并且“下次运行”日期和时间设置正确。


使用 VirusScan Enterprise 命令行

您可以使用命令提示符运行某些基本 VirusScan Enterprise 进程。可以从命令行中安装、配置和更新 VirusScan Enterprise。《VirusScan Enterprise安装手册》中说明了命令行安装选项。

命令行扫描示例

要扫描所有文件、更新包含扫描结果的日志文件，并在完成后自动关闭按需扫描，请输入以下命令：

scan32 /all /log /autoexit

命令行更新示例

要以静默方式更新 DAT 文件、扫描引擎和产品，或者在更新过程中不显示“McAfee 更新”对话框，请输入以下命令

mcupdate /update /quiet


按需扫描命令行选项

VirusScan Enterprise 使用按需扫描程序 SCAN32.EXE 检测威胁。您可以在命令行中或作为批处理文件的一部分，使用相同的可执行命令 SCAN32 来运行扫描。

SCAN32 语法不要求其元素有任何特定顺序，只是不能将属性与其值分开。该语法由以下部分组成：
  • 文件名 - 可执行文件的名称：SCAN32.EXE。
  • 选项 - 选项前面都包含一个正斜杠 (/) 字符，不区分大小写。
命令格式如下：

SCAN32 PROPERTY=VALUE [,VALUE] [/option]。

以下是 scan32.exe 命令示例：

scan32.exe PRIORITY /normal

在本示例中：
  • “PRIORITY”是命令值。
  • “/normal”是值选项。

按需扫描值和选项

命令行值 选项定义

ALL

扫描目标文件夹中的所有文件。

ALLOLE

扫描默认文件以及所有 Microsoft Office 文档。

ALWAYSEXIT

强制退出按需扫描，即使扫描已完成（但出现错误或失败），也是如此。

APPLYNVP

扫描在“有害程序策略”中定义的潜在有害程序。

ARCHIVE

扫描存档文件，如 .ZIP、.CAP、LZH 和 .UUE 文件。

AUTOEXIT

完成非交互式扫描后，退出按需扫描程序。

CLEAN

发现潜在有害程序时，清理检测到的目标文件。

CLEANA

发现有害程序时，清理检测到的文件。

CONTINUE

检测到潜在有害程序后，继续扫描。

CONTINUE2

检测到潜在有害程序且主要操作失败后，继续扫描。

CONTINUEA

检测到有害程序后，继续扫描。

CONTINUEA2

检测到有害程序且主要操作失败后，继续扫描。

DEFEXT

将指定为参数的文件扩展名添加到扫描中包括的选定文件类型列表中。

DELETE

发现潜在有害程序时，删除检测到的文件。

DELETE2

发现潜在有害程序且主要操作失败时，删除检测到的文件。

DELETEA

检测到有害程序时，删除该文件。

DELETEA2

检测到潜在有害程序且主要操作失败时，删除该文件。

EDIT

显示“扫描属性”对话框。

EXT

使用添加的文件扩展名（作为此参数后的参数），替换扫描中包括的选定文件类型列表中的扩展名。

LOG

将检测报告记录到先前指定的日志文件。

LOGFORMAT <value>

使用指定的日志文件格式。有效值包括 ANSI、UTF8 或 UTF16。

LOGSETTINGS

记录扫描的配置设置。

LOGSUMMARY

记录扫描结果摘要。

LOGUSER

记录有关执行扫描的用户的标识性信息。

MHEUR

启用对宏威胁的 Artemis 检测。

MIME

检测 mime（多用途 Internet 邮件扩展）编码的文件中的潜在有害程序。

NOESTIMATE

在开始扫描文件前，不计算扫描大小。不显示进度条。

PHEUR

启用对非宏威胁的 Artemis 检测。

PRIORITY

设置相对于其他 CPU 进程的扫描优先级。选择以下一种选项:
  • LOW
  • BELOWNORMAL — ePolicy Orchestrator 默认。
  • NORMAL — VirusScan 控制台 默认。
附注： 您可以输入 1 到 100 之间的数字参数，其中，10 等于 LOW，50 等于 BELOWNORMAL，100 等于 NORMAL。

PROMPT

检测到潜在有害程序时，提示用户采取适当的操作。

PROMPT2

检测到潜在有害程序且主要操作失败时，提示用户采取适当的操作。

PROMPTA

检测到有害程序时，提示用户采取适当的操作。

PROMPTA2

检测到有害程序且主要操作失败时，提示用户采取适当的操作。

RPTSIZE

设置警报日志的大小 (MB)。

START

运行扫描。不显示“属性”对话框。

TASK

启动在 VirusScan 控制台中指定的按需扫描程序任务。需要其他参数来指定指定的任务 ID，如以下位置的注册表中所记录：hkey_local_machine_\software\McAfee\Desktop\Protection\Tasks。

UINONE

在不显示用户界面对话框的情况下启动扫描程序。


更新任务命令行选项

VirusScan Enterprise 使用 MCUPDATE.EXE 执行更新任务。您可以在命令行中或作为批处理文件的一部分，使用相同的可执行命令 MCUPDATE 来运行更新任务。

MCUPDATE 语法不要求其元素有任何特定顺序，只是不能将属性与其值分开。该语法由以下部分组成：
  • 文件名 - 可执行文件的名称：MCUPDATE.EXE。
  • 选项 - 选项前面都包含一个正斜杠 (/) 字符，不区分大小写。
命令格式如下：
MCUPDATE [/<type> [/TASK <guid>]] [/option]。
附注： 在之前的格式中，<type> 可以为 ROLLBACKDATS 或 UPDATE。

/TASK 子句是可选的。但如果使用该子句，还必须指定更新任务 ID (guid)。选择的任务 ID 必须为更新任务或回滚 DAT 任务的 ID。请不要选择扫描 ID。如果不指定任务 ID，则将使用默认的更新任务。任务 ID 位于：hkey_local_machine\SOFTWARE\McAfee\DesktopProtection\Tasks\

/option 子句是可选的。要执行静默更新任务，请使用 /QUIET。
附注： 不支持将 /QUIET 选项与回滚 DAT 任务一起使用。该示例执行静默更新任务：MCUPDATE /UPDATE /QUIET。

更新任务选项

命令行选项 | 定义
ROLLBACKDATS | 将当前 DAT 文件回滚到上一个备份版本。
UPDATE | 执行 DAT 文件、扫描引擎、产品或 extra.dat 更新。
/TASK | 启动在 VirusScan 控制台中指定的 AutoUpdate 或回滚 DAT 任务。需要其他参数来指定在以下注册表路径中记录的任务 ID： hkey_local_machine\software\McAfee\DesktopProtection\Tasks
/QUIET | 以静默方式执行任务。


连接到远程系统

您可以连接到安装了 VirusScan Enterprise 的远程系统，以在远程系统上执行修改、计划扫描、更新任务或启用和禁用按访问扫描程序等操作。
附注： 如果您不具有连接至远程系统的管理员权限，则会收到“用户权限不足，拒绝访问”消息。

启动“VirusScan 远程控制台”时，您所连接的系统的名称将显示在控制台标题栏中。如果没有连接到位于网络其他位置的系统，标题栏不会显示本地系统的名称。从远程控制台打开任何任务的属性对话框时，系统名称将会显示在属性对话框标题栏中。

您可以打开多个远程控制台。关闭“连接至远程计算机”对话框时，远程系统的连接也同时关闭。


访问安装了 VirusScan Enterprise 的远程系统

要连接到您想管理的远程系统（安装了 VirusScan Enterprise），请使用 VirusScan 控制台 上的“打开远程控制台”。

任务

有关选项定义，请单击界面中的“帮助”。

  1. 在 VirusScan Enterprise 8.8 控制台中的“工具”菜单中，选择“打开远程控制台”。
  2. 在“连接到计算机”下，键入您要管理的系统的名称，并从列表中选择一个系统，或单击 浏览，用于在网络上查找系统。
    附注： 如果在为远程任务配置文件或文件夹的路径名时使用环境变量，请确保远程系统上存在要使用的环境变量。VirusScan Enterprise 8.8 控制台无法验证远程系统上的环境变量。
  3. 单击“确定”以尝试连接到目标系统。 连接到远程系统后：
    • 标题栏会发生变化，以显示该系统的名称。
    • 控制台将读取远程系统的注册表，并显示远程系统的任务。
    • 您可以为远程系统添加、删除或重新配置任务。


提交威胁样本以供分析

如果您发现未被检测到的潜在威胁或者扫描程序检测到您认为其不应检测为威胁的对象，您可以通过 WebImmune 连同当前的 DAT 文件将威胁样本提交到 McAfee。McAfee Labs 会对该样本进行分析并考虑在下一 DAT 文件中包含或排除该样本。

您可以通过三种方式向 McAfee Labs 提交样本：访问网站 WebImmune、通过电子邮件、通过独立的邮件。

WebImmune

  1. 在 VirusScan 控制台 中，选择“帮助”|“提交样本”以访问该网站。网站位于：https://www.webimmune.net/default.asp。
  2. 登录您的免费帐户或创建一个免费帐户。
  3. 直接将文件上载到 McAfee Labs 的自动系统以供审查。如果需要其他研究，这些项目将会转交给 Avert Labs 分析人员进行处理。

电子邮件

直接向 McAfee Labs 自动系统发送电子邮件以供审查。如果需要其他研究，这些项目将会转交给 McAfee Labs 分析人员进行处理。

全球电子邮件地址是 virus_research@avertlabs.com。
附注： 从 WebImmune 网站获得其他区域的地址。

标准邮件

从 WebImmune 网站获得地址。
附注： 这是最不推荐您使用的方法。以这种方式提交样本时，您的样本审查周期将会最长。


访问 McAfee Labs 威胁库

要从 VirusScan Enterprise 8.8 控制台访问 McAfee Labs 威胁库，请从“帮助”菜单中选择“McAfee Labs 威胁库”。您的 Internet 浏览器将打开并连接到 http://vil.nai.com/vil/default.aspx。


故障排除

在拨打 McAfee 技术支持电话之前，请阅读本部分中的信息。其包含了您排除 VirusScan Enterprise 配置故障和常见问题所用的进程和信息。


修复产品安装

您有时候可能需要修复 VirusScan Enterprise 的安装以恢复默认设置和/或重新安装程序文件。您可以从 VirusScan 控制台 或命令行执行此操作。

使用 VirusScan 控制台

使用“修复安装”实用程序从 VirusScan Enterprise 8.8 控制台中选择“帮助”|“修复安装”。
附注： 此功能在 ePolicy Orchestrator 控制台中不可用。
选项 | 定义
将所有设置恢复为安装默认设置 | 恢复 VirusScan Enterprise 默认安装设置。 注意： 自定义的设置可能会丢失。
重新安装所有程序文件 | 重新安装 VirusScan Enterprise 程序文件。 注意： 修补程序、补丁程序和 Service Pack 可能被覆盖。

在命令行中使用 SETUPVSE.exe

要从命令行中使用 SETUPVSE.exe 命令修复或重新安装 VirusScan Enterprise，请使用以下命令。
附注： 对于 REINSTALLMODE 命令行参数选项，请参阅“REINSTALLMODE 属性”（位于 http://msdn.microsoft.com/en-us/library/aa371182(VS.85).aspx）。
说明 | 命令
只安装程序文件 | SETUPVSE.exe REINSTALLMODE=sec /q
只安装注册表文件 | SETUPVSE.exe REINSTALLMODE=secum /q
安装程序文件和注册表文件 | SETUPVSE.exe REINSTALLMODE=amus /q

在命令行中使用 msiexec.exe

要从命令行中使用 msiexec.exe 命令修复或重新安装 VirusScan Enterprise，请使用以下命令。
附注： 对于 msiexec.exe 命令行选项，请参阅“Microsoft Windows 安装程序工具 Msiexec.exe 的命令行选项”（位于 http://support.microsoft.com/kb/314881）。
说明 | 命令
只安装程序文件 | msiexec.exe /I VSE880.msi REINSTALL=ALL REINSTALLMODE=sa /q REBOOT=R
只安装注册表文件 | msiexec.exe /I VSE880.msi REINSTALL=ALL REINSTALLMODE=mu /q REBOOT=R
安装程序文件和注册表文件 | msiexec.exe /I VSE880.msi REINSTALL=ALL REINSTALLMODE=samu /q REBOOT=R


查看按访问活动日志文件

VirusScan 控制台 按访问活动日志文件显示了更新历史记录、威胁活动，以及 VirusScan Enterprise 的响应情况。在对自动更新活动和策略配置进行故障排除时，此信息非常有用。

使用以下进程之一，以访问按访问活动日志文件：
附注： 您必须启用创建的按访问活动日志文件。要启用按访问活动日志文件，请参阅“配置常规设置”。

任务

有关选项定义，请单击各选项卡上的“帮助”。
  1. 从“任务”列表中，右键单击“按访问扫描程序”，然后单击“属性”以打开对话框。
  2. 从“按访问扫描程序属性”对话框中，单击“报告”选项卡，然后单击“查看日志”。OnAccessScanLog.txt 文件将显示在记事本窗口中。以下是日志文件输出的示例。

  3. 下表介绍了之前 OnAccessScanLog.txt 示例中的数据：
    日志条目示例 | 说明
    4/27/2010 | 日期
    下午 1:35:47 | 时间
    已清理/已删除/未执行操作 | 执行的操作
    文件已更新 = 版本，或 (清理失败，因为... | 操作说明
    SRVR\用户 | 凭据
    C:\WINDOWS\system32\NOTEPAD.EXE C:\temp\eicar.com | 威胁文件的路径和名称
    EICAR 测试文件 (测试) | 文件的说明

使用 ePolicy Orchestrator 查询可获得类似信息。有关详细信息，请参考“访问查询和信息显示板”。

相关任务
配置常规设置
相关信息
访问查询和信息显示板


在故障排除过程中使用 MER 工具

McAfee Minimum Escalation Requirements Tool (MERTool) 可从您的计算机中收集 McAfee VirusScan Enterprise 和其他 McAfee 产品、数据。通过使用此数据，McAfee 技术支持可以分析和解决您的问题。

可使用以下任何文件格式下载 WebMER 工具：
  • EXE
  • ZIP
  • ProtectedZip
由 WebMER 工具收集的信息包括：
  • 注册表详细信息
  • 文件版本详细信息
  • 文件
  • 事件日志
  • 进程详细信息
要使用 WebMER 工具，您必须：
  • 查看“使用 McAfee WebMER 获取 Minimum Escalation Requirements”教程，访问地址为： https://kc.mcafee.com/corporate/index?page=content&id=TU30146.
  • 从以下站点下载并安装此工具： http://mer.mcafee.com.
    附注： 还可获得 ePolicy Orchestrator 可部署版本。此版本使用 ePolicy Orchestrator 控制台在客户端计算机上运行 MER，以便在诊断 McAfee 产品问题时收集日志和信息。从以下站点下载适用于 ePolicy Orchestrator 4.x (v2.0) 的 McAfee MER。 http://mer.mcafee.com/enduser/downloadepomer.aspx.
  • 运行此工具并将输出发送回 McAfee 技术支持。


在故障排除过程中禁用 VirusScan Enterprise

如果系统问题与 VirusScan Enterprise 正在运行的进程有关，您可以系统地禁用 VirusScan Enterprise 功能，直到系统问题消除为止。或者，至少可以将 VirusScan Enterprise 作为问题原因加以消除。
注意：
您必须重新配置或恢复 VirusScan Enterprise，以便在故障排除后再次具有完全恶意软件防护。
系统地禁用 VirusScan Enterprise 功能分为以下八步式流程：
  1. 正在禁用缓冲区溢出保护
  2. 正在禁用访问保护
  3. 正在禁用 ScriptScan
  4. 正在禁用按访问扫描
  5. 正在禁用按访问扫描，然后重新启动
  6. 正在阻止 MFEVTP 加载，然后重新启动
  7. 正在重命名 mfehidk.sys，然后重新启动
  8. 正在删除产品，然后重新启动

以下几节中分别说明了这八个步骤。要查看 VirusScan 控制台 中的选项定义，请单击界面中的“帮助”。

正在禁用缓冲区溢出保护

按照以下步骤禁用缓冲区溢出保护。
  1. 从 VirusScan 控制台 任务列表中，右键单击“缓冲区溢出保护”，然后单击“属性”。
  2. 从“属性”对话框中，取消选择“启用缓冲区溢出保护”，然后单击“确定”。
  3. 通过禁用缓冲区溢出保护是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与此功能无关。

正在禁用访问保护

按照以下步骤禁用访问保护。
  1. 从 VirusScan 控制台 任务列表中，双击“访问保护”以打开“访问保护属性”对话框。
  2. 单击“访问保护”选项卡，取消选择“启用访问保护”并单击“确定”。
  3. 通过禁用访问保护是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与 VirusScan Enterprise 无关。

正在禁用 ScriptScan

按照以下步骤禁用 ScriptScan。
  1. 从 VirusScan 控制台 任务列表中，右键单击“按访问扫描程序”以打开“按访问扫描属性”对话框。
  2. 单击“ScriptScan”选项卡，取消选择“启用脚本扫描”，然后单击“确定”。
  3. 通过禁用 ScriptScan 是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与 VirusScan Enterprise 无关。

正在禁用按访问扫描

按照以下步骤禁用按访问扫描。
  1. 禁用访问保护。从任务列表的 VirusScan 控制台 中，右键单击“访问保护”，然后选择“禁用”。
  2. 通过以下操作将 McShield 服务小程序开始类型更改为“已禁用”：
    • 单击“开始”|“控制面板”|“管理工具”|“服务”以打开服务小程序。
    • 在服务（本地）中，向下滚动到“McAfee McShield”，然后右键单击名称以打开“McAfee McShield 属性”对话框。
    • 单击“常规”选项卡, 从“启动类型”列表中，单击“已禁用”，然后单击“确定”。
  3. 从 VirusScan 控制台 任务列表中，右键单击“按访问扫描程序”，然后从出现的列表中单击“禁用”。“按访问扫描程序”图标应更改为包含带斜杠的圆圈以表示此功能已禁用。
  4. 通过禁用按访问扫描是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与此功能无关。

正在禁用按访问扫描，然后重新启动

按照以下步骤禁用按访问扫描，然后重新启动。
附注： 以下过程假定您在前面的部分中禁用按访问扫描后尚未将其重新启用。

  1. 完全关闭系统，然后重新启动。
  2. 通过禁用按访问扫描然后重新启动是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与此功能无关。

正在阻止 MFEVTP 加载，然后重新启动

按照以下步骤阻止 McAfee 验证信息保护服务 (MFEVTP) 加载，然后重新启动系统：
注意：
此部分包含有关打开或修改注册表的信息。
  • 以下信息供系统管理员使用。注册表的修改不可撤回，如果操作不正确，会导致系统故障。
  • 在继续操作之前，McAfee 强烈建议您备份注册表并了解恢复过程。有关详细信息，请参阅： http://support.microsoft.com/kb/256986 .
  • 不要运行未被确认为真正注册表导入文件的 .REG 文件。

  1. 从命令行中，键入 regedit 以显示注册表编辑器用户界面。
  2. 导航至以下注册表：[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mfevtp]
  3. 在右侧窗格中，右键单击“开始”，然后单击“修改”以显示“编辑 DWORD 值”对话框。
  4. 在“数值数据”中输入 4，然后单击“确定”。
  5. 通过阻止 MFEVTP 加载然后重新启动是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与此功能无关。

正在重命名 mfehidk.sys 文件，然后重新启动

按照以下步骤重命名 mfehidk.sys 文件，然后重新启动系统。
  1. 根据您的操作系统，导航至以下文件夹中的 mfehidk.sys 文件：
    • 对于 32 位操作系统 - %windir%\System32\drivers
    • 对于 64 位操作系统 - %windir%\System64\drivers
  2. 将文件名从 mfehidk.sys 更改为（例如）mfehidk.sys.saved。
  3. 重新启动系统以停止并重新启动 VirusScan Enterprise，而不加载 mfehidk.sys 文件。
  4. 通过重命名 mfehidk.sys 文件然后重新启动是否已解决原始系统问题：
    • 是 - 转至 http://mysupport.mcafee.com 上的 McAfee 技术支持 ServicePortal，并搜索解决方案或联系 McAfee 技术支持。
    • 否 - 原始系统问题可能与 VirusScan Enterprise 无关。

正在删除产品，然后重新启动

按照以下步骤完全删除 VirusScan Enterprise，然后重新启动：
  1. 删除 VirusScan Enterprise 程序文件。请参阅 McAfee 《VirusScan Enterprise 8.8 安装手册》以获得详细说明。
  2. 重新启动系统以停止并重新启动操作系统，而不安装 VirusScan Enterprise。
  3. 通过完全删除 VirusScan Enterprise 程序文件然后重新启动是否已解决原始系统问题：
    • 否 - 原始系统问题可能与 VirusScan Enterprise 无关。
    • 否 - 转至 http://mysupport.mcafee.com 中的 McAfee 技术支持，并搜索解决方案或联系 McAfee 技术支持。


建议的支持和故障排除工具

作为 VirusScan Enterprise 全局管理员，您应安装及配置一些工具，以帮助您对系统的安全和性能进行故障排除和评估。当您与 McAfee 技术支持联系时，他们可能会要求您在对配置进行故障排除时运行其中某些工具。您可以从下表中列出的 Internet 站点上下载这些工具。

McAfee 工具

您可以从此表中列出的 McAfee 中下载支持和故障排除工具。

工具 | 下载站点
MER 工具 | WebMER
ProcessCounts | 由 McAfee 支持团队提供
SuperDAT Manager | 由 McAfee 支持团队提供
McAfee Profiler | 由 McAfee 支持团队提供

非 McAfee 工具

此表中列出了支持和故障排除工具、可执行文件和下载站点。

工具 | 可执行文件 | 下载站点
Driver Verifier | Verifier | Microsoft.com
性能监视器 | PerfMon | Microsoft.com
池监视器 | PoolMon | Microsoft.com
进程监视器 | ProcMon | Microsoft.com
Process Explorer | ProcExp | Microsoft.com
流程转储 | ProcDump | Microsoft.com
Windows 对象查看器 | WinObj | Microsoft.com
TCP 查看器 | TCPView | Mircosoft.com
调试输出查看器 | DebugView | Microsoft.com
Windows 调试器 | WinDbg | Microsoft.com
内核速率查看器 | KrView | Microsoft.com
Windows 性能分析工具 | Xperf | Microsoft.com
虚拟机转换器 | Varies | Vmware.com
WireShark | wireshark | Wireshark.org


常见问题

本部分以常见问题的形式介绍了故障排除方面的信息。

安装

  • 问题：我使用静默安装方法安装了该软件，但 Windows 系统任务栏中并未显示 VirusScan Enterprise 图标。

    答案：只有重新启动系统，系统任务栏中才会显示该盾牌图标。但是，即使未显示该图标，VirusScan Enterprise 也已运行，您的系统已受到保护。可通过检查以下注册表项对此进行验证：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ ShStatEXE="C:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE"/STANDALONE。

  • 问题：为什么网络中的某些用户可以配置自己的设置，而其他用户却不可以？

    答案：管理员可能配置了用户界面，使任务受到密码保护。如果是这样，用户便无法更改这些设置。此外，不同的 Windows 操作系统具有不同的用户权限。有关用户权限的详细信息，请参阅相应的 Microsoft Windows 文档。

阻挡的程序

  • 问题：我安装了 VirusScan Enterprise，但现在我有一个程序无法运行。

    答案：某个访问保护规则可能阻挡该程序运行。
    1. 请检查访问保护日志文件，确定是否某个规则阻挡了该程序的运行。
    2. 如果发现日志中列有该程序，可以将它输入为该规则的排除项或禁用该规则。有关详细信息，请参阅“保护系统访问点”。

Cookie 检测项

  • 问题：在按需扫描活动日志中检查 Cookie 检测项时，我注意到，每个检测项的文件名检测项总是 00000000.ie。其他程序为每个 Cookie 检测项分配单独的文件名或以递增的方式分配文件名，为什么 VirusScan Enterprise 为每个按需扫描 Cookie 检测项分配同一文件名？

    答案： VirusScan Enterprise 为每个 Cookie 检测项分配同一文件名，原因在于按需扫描程序对 Cookie 的检测方式及采取的操作。该行为只适用于按需扫描检测到的 Cookie。一个 Cookie 文件可能包含多个 Cookie。扫描引擎将 Cookie 文件视为存档文件，并分配一个值作为相对于文件开头的偏移量（从零开始）。由于扫描程序在继续扫描前，要使用扫描引擎进行检测，并对每个检测到的 Cookie 采取操作，因此每个检测项的值将由零开始。结果是每个检测项都被分配了 00000000.ie 文件名。其他产品可检测所有 Cookie，并为每个 Cookie 分配单独的文件名或以递增的方式分配文件名，然后对每个检测项采取操作。

常规

  • 问题：在我的独立 VirusScan Enterprise 系统中，系统任务栏中的系统图标显示为被禁用。

    答案：如果 VirusScan Enterprise 图标上覆盖有红色圆圈加红线，则表明按访问扫描程序已禁用。以下为最常见的原因和解决方案。如果这些方法都无法解决您的问题，请与技术支持联系：
    1. 确保已启用按访问扫描程序。在系统任务栏中右键单击 VirusScan Enterprise 图标。如果按访问扫描程序已禁用，请单击“启用按访问扫描”。
    2. 确保 McShield 服务正在运行。
      • 从服务控制面板中手动启动该服务。
      • 选择“开始”|“运行”，然后键入 Net Start McShield。
      • 在服务控制面板中，将该服务设置为自动启动。

  • 问题：我收到一条错误消息，指明我无法下载 CATALOG.Z。

    答案：导致该错误的原因很多。此处列出一些建议，可帮助您确定问题的原因：
    • 如果是使用 McAfee 默认下载站点来下载更新，请确定是否可以通过 Web 浏览器下载 CATALOG.Z 文件。尝试从以下网站下载该文件：http://update.nai.com/Products/CommonUpdater/catalog.z。
    • 如果您无法下载该文件，但可以查看该文件（也就是说，您的浏览器不允许您下载它），则表明存在代理服务器问题，需要咨询网络管理员。
    • 如果您可以下载文件，则 VirusScan Enterprise 也应该可以下载。要解决 VirusScan Enterprise 的安装问题，请与技术支持联系以获得帮助。

  • 问题：HTTP 下载网站的网址是什么？

    答案：
    • McAfee 下载网站的网址为：http://www.mcafee.com/us/downloads/。
    • 可从以下网站下载包含最新更新的 CATALOG.Z 文件：http://update.nai.com/Products/CommonUpdater/catalog.z。

  • 问题：FTP 下载网站的网址是什么？

    答案：
    • FTP 下载网站的网址为：ftp://ftp.mcafee.com/pub/antivirus/datfiles/4.x。
    • 可从以下网站下载包含最新更新的 CATALOG.Z 文件：ftp://ftp.mcafee.com/CommonUpdater/catalog.z。

  • 问题：如果我检测到可能有害的程序并已选择“提示用户操作”，我应该选择执行哪项操作（“清理”还是“删除”）？

    答案：如果您不确定对检测到的文件采取何种操作，我们一般建议您选择“清理”。在清理或删除这些项目之前，按访问和按需扫描程序会自动将这些项目备份到隔离目录中。


“访问保护”选项卡

选项定义

配置访问保护规则，防止 McAfee 进程停止。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
访问保护设置
  • 启用访问保护 - 启用访问保护功能。
  • 禁止 McAfee 服务被停止 - 防止没有调试权限的用户终止 McAfee 进程。

    即使选择此选项，具有调试程序权限的用户仍可以停止 McAfee 进程。

    对于 Windows XP 和 Windows 2003 操作系统，管理员默认拥有调试程序权限。请从用户权限中删除这些权限，以使他们无法停止 McAfee 进程。

注意：
如果未能启用访问保护，且未能防止 McAfee 服务停止，将会使您的系统处于不受保护状态，会遭到恶意软件的攻击。
访问保护规则

类别 - 选择一个类别，以显示该类别的规则。规则分为以下类别：

  • 防病毒标准保护
  • 防病毒最大保护
  • 防病毒爆发控制
  • 通用标准保护
    注意：
    如果未能配置通用标准保护，且未能启用“阻挡”和“报告”，对于以下规则，将会使您的系统处于不受保护状态，会遭到恶意软件的攻击：
    • 防止修改 McAfee 文件和设置。
    • 禁止修改 McAfee Common Management Agent 文件和设置。
    • 禁止修改 McAfee 扫描引擎文件和设置。
    • 防止终止 McAfee 进程。
  • 通用最大保护
  • 虚拟机保护
  • 用户定义的规则
  • 防间谍程序标准保护
  • 防间谍程序最大保护

有关详细信息，请参阅“访问保护规则的定义方法”。

阻挡/报告/规则 - 配置下列规则：

  • 阻挡 - 阻挡“规则详细信息”中指定的进程。选择“阻挡”启用规则，取消选择它则禁用规则。

    附注：

    要阻挡访问尝试且不记录日志，请选择“阻挡”，但不要选择“报告”。

  • 报告 - 启用对企图违反访问保护规则的行为进行报告的功能。如果发现检测项，将在活动日志中记录相应信息。
    附注：

    要接收警告但不阻挡访问尝试，请选择“报告”，但不选择“阻挡”。不了解某一规则的全面影响时，这非常有用。对日志和报告进行短时间监视，可确定是否阻挡访问。

  • 规则 - 使用规则可保护您的计算机免受有害更改的危害。按类别组织规则。首先选择类别，然后选择规则。有关详细信息，请参阅“配置预定义规则”和“配置用户定义的规则”。

    新建 - 创建新的用户定义的规则。有关详细信息，请参阅“配置用户定义的规则”。

    编辑 - 更改现有规则。

    删除 - 删除现有的用户定义的规则。
    附注：

    只能删除用户定义的规则。可以编辑或禁用其他规则，但是不能删除。要禁用规则，请同时取消选择“阻挡”和“报告”两个选项。

相关任务
配置用户界面安全设置
相关信息
访问保护


“其他警报选项”选项卡

选项定义

配置过滤器和本地警报选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
严重性过滤器 请从以下过滤选项中选择：
  • 不过滤警报 - 发送所有警报。
  • 抑制信息警报 - 不发送严重性小于 1 的信息警报。
  • 抑制信息和警告警报 - 不发送严重性小于 2 的信息和警告警报。
  • 抑制信息、警告和低严重性警报 - 不发送严重性小于 3 的信息、警告以及低严重性警报。
  • 抑制除严重警报外的所有警报 - 不发送除严重性大于 4 的警报之外的其他所有警报。
  • 抑制所有警报 - 不发送任何警报。
本地警报
  • 记录到本地应用程序事件日志 - 将信息记录到本地应用程序事件日志中。
  • 使用 SNMP 服务发送 SNMP 陷阱 - 如果使用的是 SNMP，则可以发送 SNMP 陷阱警报。
附注：

本地警报选项不需要 Alert Manager。
相关任务
配置警报
相关信息
配置警报和通知


“警报”选项卡

选项定义

选择希望其生成警报的组件，并配置 Alert Manager（如果已安装）。

有关详细信息，请参阅《 Alert Manager 4.7.1 产品指南》。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
生成警报的组件
  • 按访问扫描 - 按访问扫描程序检测到威胁时生成警报。
  • 按需扫描和计划的扫描 - 按需扫描任务检测到威胁时生成警报。
  • 电子邮件扫描 - 电子邮件扫描程序检测到威胁时生成警报。
  • AutoUpdate - 更新任务检测到威胁时生成警报。
  • 访问保护 - 访问保护检测到威胁时生成警报。
Alert Manager 选项
  • 禁用警报 - 出现检测项时不生成警报。
  • 启用集中式警报 - 出现检测项时，使用集中式警报通知您。
  • 启用 Alert Manager 警报 - 出现检测项时，使用 Alert Manager 警报通知您。请选择此选项，并键入接收警报的 Alert Manager 服务器的位置路径。
    • 禁用 Active Directory 查询 - 不使用 Active Directory 查询。
相关任务
配置警报
相关信息
配置警报和通知


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 AccessProtectionLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用的格式。
相关概念
违反访问点规则的行为以及 VirusScan Enterprise 的响应方式
相关任务
VirusScan 控制台
相关参考
查看按访问活动日志文件


AutoUpdate 任务

配置 AutoUpdate 任务

选项定义

选项 | 定义
日志文件 | 启用活动记录。
格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
获得更新的检测项定义文件（如果可用）

如果有更新的版本可用，则获得最新版本的 DAT 文件。

获得更新的检测引擎(如果可用)

如果有更新的版本可用，则获得最新版本的引擎和 DAT 文件。

获得其他可用的更新（Service Pack、升级等）

获得其他更新的最新版本，如 Service Pack 和产品升级。

输入要在更新完成后运行的可执行文件

指定要在运行完 AutoUpdate 任务后启动的可执行文件。指定要运行的可执行文件的路径，或单击“浏览”查找该文件。

例如，可以启动网络消息实用工具，该工具可通知管理员已成功完成 AutoUpdate 任务。

附注： 指定的程序文件必须是当前登录的用户可以执行的文件。如果当前登录的用户没有权限访问包含这些程序文件的文件夹，或当前没有登录的用户，则不会运行该程序。
仅在成功更新后运行

仅在成功更新后运行该可执行程序。如果未成功更新，则不会运行指定的程序。

计划

定义此更新任务的计划。

附注：

有关详细信息，请参阅“计划任务”。

我们建议您不要将 AutoUpdate 任务和镜像任务计划为同时运行。由于这两种任务均使用 McAfee 通用架构服务，因此同时运行两种任务可能会发生冲突。

立即更新

立即执行 AutoUpdate 任务。

相关概念
更新任务及其工作方式
相关参考
配置 AutoUpdate 任务


“阻挡”选项卡

选项定义

阻挡来自远程计算机的连接，这些远程计算机共享文件夹中包含具有潜在威胁或有害程序的文件。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
发送消息 | 检测到威胁时将指定的消息发给网络用户 - 检测到威胁时，通知远程计算机上的网络用户。
消息文本

在文本框中键入自定义消息。远程计算机必须运行 Windows Messenger 服务，才能接收此消息。
阻挡连接
  • 在共享文件夹中检测到有威胁的文件时阻挡连接 - 如果远程计算机上的任何网络用户试图在共享文件夹中读取或写入有威胁的文件，则阻挡该用户的连接。
  • 在此时间后取消连接阻挡 - 指定分钟数后取消连接阻挡。请输入一个介于 1 和 9999 之间的数字。默认值 = 10 分钟。
  • 在共享文件夹的文件中检测到含有可能有害的程序时阻挡连接 - 如果远程计算机上的任何用户试图将有害程序写入本地计算机，则阻挡该用户的连接。“按访问扫描统计信息对话框将显示被阻挡的计算机列表。
相关参考
端口阻挡规则选项
文件和文件夹阻挡规则选项
注册表阻挡规则选项
相关信息
访问保护


“报告”选项卡

选项定义

启用日志记录可跟踪在本地系统上检测某些进程从堆栈执行代码溢出的情况。

选项 | 定义
cookie 警报 | 发生 cookie 检测时通知用户。 默认值 = 选中。
记录到文件 | 启用活动日志记录并接受默认日志文件位置或指定新位置。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 BufferOverflowProtectionLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\

默认位置可能会因所用操作系统的不同而有所变化。

日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
相关信息
配置警报和通知
阻挡缓冲区溢出利用


“缓冲区溢出保护”选项卡

选项定义

防止缓冲区溢出利用技术在计算机上执行任意代码。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
缓冲区溢出设置 启用缓冲区溢出保护 - 启用缓冲区溢出保护功能，然后选择保护级别。

  • 警告模式 - 检测到缓冲区溢出时发送警告。不执行其他操作。

    此模式适用于缓冲区溢出的整体影响未知的情况。使用“警告模式”中的功能一段时间，然后查看该时间段的日志文件，以帮助确定是否更改为“保护模式”。

  • 保护模式 - 检测到缓冲区溢出时进行阻挡，并终止检测到的线程。

    这还会导致该应用程序的终止。

注意：
如果未能启用“缓冲区溢出保护”和“保护模式”，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
客户端系统警告 | 检测到缓冲区溢出时显示消息对话框 - 出现检测项时显示“按访问扫描消息”对话框。
缓冲区溢出排除项 指定排除项信息：
附注：

排除项名称区分大小写。

  • 进程 - 指定拥有正在执行调用的可写内存的进程名。

    可单独键入进程名，也可以包括其路径。

    如果仅键入进程名，如 OUTLOOK.EXE，则无论在任何时候、任何位置执行该进程，均将其排除。如果输入的进程名称包括路径，例如 C:\Program files\OUTLOOK.EXE，则只有在从指定的路径执行该进程时才会排除。不允许使用通配符。

  • 模块(可选) - 如果适用，键入拥有可写内存的模块的名称。这不是必需的信息。
  • API - 指定被调用的 API。
    附注：

    只有指定了模块，API 才为必选。

相关任务
配置缓冲区溢出保护
相关信息
阻挡缓冲区溢出利用


“进程”选项卡

选项定义

选择是为所有进程配置一种扫描策略，还是针对默认进程、低风险进程和高风险进程配置不同的扫描策略。

有关详细信息，请参阅“确定扫描策略的数目”和“确定要为进程指定的风险级别”。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
进程设置 指定是配置一个还是多个扫描策略：
  • 对所有进程配置一个扫描策略 - 如果选择此选项，则配置的策略将适用于所有进程。
  • 为高风险、低风险和默认进程配置不同的扫描策略 - 只有选择此选项才能为低风险进程或高风险进程配置策略。
相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“显示选项”选项卡

选项定义

配置用户可以访问的系统任务栏选项以及首选语言。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
系统任务栏图标
  • 显示系统任务栏图标及所有菜单选项 - 允许用户查看系统任务栏菜单中的所有选项。
  • 显示系统任务栏图标及最少菜单选项 - 隐藏系统任务栏菜单中除“关于 VirusScan Enterprise”和“按访问扫描统计信息”以外的所有选项。
  • 不显示系统任务栏图标 - 针对所有用户隐藏系统任务栏图标。
控制台选项
附注： 只有 ePolicy Orchestrator 提供此选项。

  • 允许此系统与其他系统建立远程控制台连接 - 连接到远程计算机。

    您必须具有管理员权限，且“远程注册服务”正在运行。

  • 在客户端控制台中显示托管任务 — 在客户端计算机的控制台中显示 ePolicy Orchestrator 任务。
  • 禁用默认的 AutoUpdate 任务计划 - 禁用默认更新任务的计划。

    实施该策略后将禁用此计划。必须运行“任务管理器”服务，以便禁用任务计划。

  • 启用闪屏 - 启动控制台或 SHSTAT.EXE 时显示 VirusScan Enterprise 8.8 闪屏。
    附注：

    只有 ePolicy Orchestrator 提供此选项。

控制台语言设置 指定控制台文本使用的语言：
  • 语言可自动选择，或由您选择特定语言。
    附注：

    在“VirusScan Enterprise 8.8 控制台”上更改首选语言后，安装程序会提醒您重新启动系统。单击“确定”，语言更改生效。

    在“ePolicy Orchestrator 控制台”上更改首选语言后，语言更改在首次策略实施时应用于用户控制台。

    对于 ePolicy Orchestrator 托管系统，用户从客户端系统所做的更改会影响控制台界面，但日志文件记录 ePolicy Orchestrator 配置中指定的语言中的活动。控制台重新启动后，控制台语言更改生效。

相关任务
配置用户界面安全设置
相关信息
访问保护


“操作”选项卡

选项定义

配置检测到威胁或可能有害的程序时采取的操作。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
发现威胁时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 清理附件。
  • 清理附件 - 扫描程序尝试删除附件中的威胁。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
对于此选项，不允许采取辅助操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
对于此选项，不允许采取辅助操作。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
  • 删除邮件(仅适用于 Outlook 扫描) - 扫描程序删除包含潜在威胁的邮件。如果选择此选项作为主要操作，则不允许辅助操作。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 将附件移至文件夹。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
  • 删除邮件(仅适用于 Outlook 扫描) - 扫描程序删除包含潜在威胁的邮件。
发现有害程序时 先执行此操作 - 选择在检测到可能有害的程序时，希望扫描程序采取的第一个操作。默认值 = 清理附件。
  • 清理附件 - 扫描程序尝试删除附件中的威胁。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
对于此选项，不允许采取辅助操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
对于此选项，不允许采取辅助操作。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 将附件移至文件夹。
  • 操作提示 - 检测到威胁时，提示用户采取适当的操作。选择此选项，然后在“‘提示’对话框中允许的操作”下指定用户可以采取的操作。
对于此选项，不允许采取辅助操作。
  • 继续扫描 - 检测到包含威胁的附件时继续扫描。
对于此选项，不允许采取辅助操作。
  • 将附件移至文件夹 - 扫描程序将存在潜在威胁的附件移至指定的文件夹。
  • 删除附件 - 扫描程序在检测到包含潜在威胁的附件后立即将其删除。对于 Microsoft Outlook，将删除电子邮件。对于 Lotus Notes，将删除附件。
移到文件夹 指定隔离文件夹的位置。隔离文件夹必须位于硬盘驱动器上，而且该位置必须为本地驱动器。其不应位于软盘驱动器或 CD 驱动器的默认位置上，根据使用的是 Microsoft Outlook 还是 Lotus Notes，隔离文件夹的默认位置会有所不同。
  • 对于 Microsoft Outlook，隔离文件夹位于 Microsoft Outlook 邮箱内。
  • 对于 Lotus Notes，隔离文件夹位于文件系统内。
“提示”对话框中允许的操作 选择提示用户采取操作时允许的操作。
附注：

在采取以下任何一个默认操作之前，发生默认的“拒绝访问”操作。

  • 清除附件
  • 删除附件
  • 移动附件
  • 删除邮件（仅适用于 Microsoft Outlook）
提示用户采取操作时，用户会接收到您在“警报”选项卡中指定的消息。
相关任务
配置隔离策略
相关参考
按访问扫描检测项
按需扫描检测项
电子邮件扫描检测项
相关信息
检测项和响应


“警报”选项卡

选项定义

为发送时电子邮件扫描程序配置警报设置。

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 附注： 只有 ePolicy Orchestrator 提供此选项。
通过电子邮件发给用户的警报 | 将警报电子邮件发给用户 - 检测到有威胁的电子邮件时通知其他用户。
操作提示消息 | 指定提示操作时显示给用户的消息。必须在“操作”选项卡上选择“操作提示”选项。接受默认消息，或键入新消息。默认消息 = McAfee VirusScan Enterprise 电子邮件扫描程序：警报!
相关任务
配置警报


“扫描项目”选项卡

选项定义

为按需电子邮件扫描程序配置检测项选项。

选项 | 定义
要扫描的邮件
  • 所有突出显示项 - 扫描选定的电子邮件和文件夹。
  • 收件箱文件夹中的所有邮件 - 扫描当前在“收件箱”文件夹及其子文件夹中的所有文件。
    • 仅扫描未读邮件 - 扫描当前在“收件箱”文件夹及其子文件夹中的所有未读邮件。
要扫描的附件
  • 所有文件类型 - 扫描所有文件类型，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。选择“默认 + 其他文件类型”，然后在文本框中输入以空格分隔的文件扩展名。

    同时扫描所有附件中的宏 - 如果选择了“默认 + 其他文件类型”，还可以在所有文件中搜索已知的宏威胁。

  • 指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择“指定的文件类型”，然后在文本框中输入以空格分隔的文件扩展名。

Artemis (对可疑文件进行启发式网络检查)
  • 查找未知的程序威胁和特洛伊木马程序 - 使用 Artemis 扫描，检测具有类似恶意软件的代码的可执行文件。
  • 查找未知的宏威胁 - 使用 Artemis 扫描，检测未知的宏病毒。
  • 查找带有多个扩展名的附件 - 将带有多个扩展名的附件视为威胁。

    选择此选项后，将出现“电子邮件扫描警告”对话框。单击“确定”确认选择。

注意：
如果未能启用“Artemis”，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
压缩文件
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。

    尽管扫描压缩文件能够提供更好的保护，但是该操作会增加执行扫描所需的时间。

  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
有害程序检测 检测有害程序 - 启用发送时电子邮件扫描程序，检测可能有害的程序。电子邮件扫描程序使用“有害程序策略”中配置的信息检测可能有害的程序。

有关详细信息，请参阅“限制可能有害的程序”。

电子邮件正文（仅适用于 Microsoft Outlook） | 扫描电子邮件正文 - 扫描 Microsoft Outlook 电子邮件的正文。
相关任务
配置按需扫描任务
相关信息
按需扫描项目


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动记录。
日志文件位置 接受默认日志文件位置或指定新位置。

按需电子邮件日志的默认日志名称为 EmailOnDemandLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\

默认位置可能会因所用操作系统的不同而有所变化。

日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
除扫描活动外还要记录的内容
  • 会话设置 - 在日志文件中记录每个扫描会话的属性。
  • 会话摘要 - 在日志文件中记录每个扫描会话过程中扫描程序操作的摘要。摘要信息包括扫描的文件数，检测项的数量和类型，已清理或已删除的文件数以及其他信息。
  • 扫描加密文件失败 - 记录扫描程序无法扫描的加密文件的名称。
相关任务
配置警报


“扫描项目”选项卡

选项定义

为电子邮件扫描程序配置检测项选项。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
电子邮件扫描 启用发送时电子邮件扫描。
附注： 只有 ePolicy Orchestrator 提供此选项。
要扫描的附件
  • 所有文件类型 - 扫描所有文件类型，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。选择“默认 + 其他文件类型”，然后在文本框中输入以空格分隔的文件扩展名。

    同时扫描所有附件中的宏 - 如果选择了“默认 + 其他文件类型”，还可以在所有文件中搜索已知的宏威胁。

  • 指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择“指定的文件类型”，然后在文本框中输入以空格分隔的文件扩展名。

Artemis (对可疑文件进行启发式网络检查)
  • 查找未知的程序威胁和特洛伊木马程序 - 使用 Artemis 扫描，检测具有类似恶意软件的代码的可执行文件。
  • 查找未知的宏威胁 - 使用 Artemis 扫描，检测未知的宏病毒。
  • 查找带有多个扩展名的附件 - 将带有多个扩展名的附件视为威胁。

    选择此选项后，将出现“电子邮件扫描警告”对话框。单击“确定”确认选择。

注意：
如果未能启用“Artemis”，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
压缩文件
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。

    尽管扫描压缩文件能够提供更好的保护，但是该操作会增加执行扫描所需的时间。

  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
有害程序检测 检测有害程序 - 启用发送时电子邮件扫描程序，检测可能有害的程序。电子邮件扫描程序使用“有害程序策略”中配置的信息检测可能有害的程序。

有关详细信息，请参阅“限制可能有害的程序”。

电子邮件正文（仅适用于 Microsoft Outlook） | 扫描电子邮件正文 - 扫描 Microsoft Outlook 电子邮件的正文。
对可疑文件进行启发式网络检查
配置灵敏度等级以用于确定检测到的样本是否为恶意软件。对于除“已禁用”以外的所有等级，样本的指纹或“哈希”会提交给 McAfee Labs 以确定其是否为恶意软件。给您带来的好处是将在 McAfee Labs 发布更新时进行检测，并且您无需等到下次 DAT 发行才进行。选择的灵敏度等级越高，恶意软件检测的数量就越多。但是，允许的检测越多，您收到的误报结果也有可能更多。请从以下灵敏度等级中选择：

  • 已禁用 — 不将任何指纹或数据提交到 McAfee Labs 以确定其是否为恶意软件。

  • 非常低 - 检测和误报的风险与使用常规 DAT 相同。将在 McAfee 发布相关信息时检测 VirusScan Enterprise，而不是等到下次 DAT 更新时才进行。

  • 低级 - 该等级定义为介于“非常低”和“中级”之间。

  • 中级 - 当受恶意软件侵害的常规风险大于误报的风险时，使用此等级。McAfee Labs 特有的启发式检查会导致类似于恶意软件的检测。但是，检测不常见的文件时会有一些风险，这可能会导致误报的检测。McAfee Labs 证实使用这些设置检测常见应用程序和操作系统文件时不会生成误报。

  • 高级 - 该等级定义为介于“中级”和“非常高”之间。

  • 非常高 - 我们建议仅将此等级用于电子邮件以及用于扫描不支持执行程序和操作系统的卷和目录。使用此等级发现的检测可能为恶意的，但是尚未进行全面的检测以确定这些检测不是误报。

相关任务
发送时扫描电子邮件和按需扫描电子邮件


“常规”选项卡

选项定义

配置常规按访问扫描选项。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
扫描 指定常规扫描项目：
  • 引导扇区 - 扫描引导扇区。默认值 = 已启用。
  • 在关机过程中扫描软盘 — 在计算机关机时扫描软盘。默认值 = 已启用。
  • 已启用的进程 - McAfee 按访问 McShield 服务将扫描所有已运行的进程。默认值 = 已禁用。
    附注： 启用此功能可提高安全性，但会影响引导时性能。
启用按访问扫描 指定启用扫描的时间：
  • 启用在系统启动时进行按访问扫描 - 每次启动计算机时启用按访问扫描程序。
  • 实施策略时启用按访问扫描 - 每次实施策略时启用按访问扫描程序。
附注： 只有 ePolicy Orchestrator 提供此选项。
最长扫描时间 指定最长扫描时间：
  • 强制所有文件采用最长扫描时间 - 定义一个最长扫描时间，并强制用于所有文件。
  • 最长扫描时间 - 指定用于所有文件的最长扫描时间（秒）。默认值 = 45 秒。
附注： 如果扫描超过时间限制，扫描将彻底停止，并记录一条消息。如果扫描无法彻底停止，则将终止，并在下次扫描时再次启动。
Cookie

扫描 Cookie 文件 — 启用 Cookie 文件扫描。

Artemis (对可疑文件进行启发式网络检查) | 为 Artemis 指定介于“已禁用”与“非常高”之间的六种灵敏度等级之一。默认值 = 非常低。
相关任务
配置常规设置
相关信息
按访问扫描项目


“全局扫描设置”选项卡

选项定义

将扫描缓存选项设置为在系统重新启动时保存扫描数据，并允许按需扫描利用清理缓存数据，以提高性能。有关详细信息，请参阅“配置全局选项设置”。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
扫描缓存 配置全局选项和设置
  • 启用在重新引导时保存扫描数据 - 通过使用此选项，即使是在重新启动系统时也可保存清理扫描结果。（默认值 = 选中。）
    附注： 如果所使用的系统中硬盘驱动器可能被外部修改，请禁用此功能。例如，如果硬盘驱动器已删除，其内容已更新，并且随后被替换（具有双启动配置的虚拟机和系统包含在此例外中）。
  • 允许按需扫描利用扫描缓存 - 通过此选项，按需扫描程序可利用现有的清理扫描结果，以减少重复扫描。（默认值 = 选中。）
相关任务
配置全局系统缓存


“进程”选项卡

步骤 1 的选项定义

指定定义为高风险的进程。此过程分两步进行。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
进程设置

打开“按访问扫描默认进程策”，然后选择：

  • 为高风险、低风险和默认进程配置不同的扫描策略
附注：

只有选择此选项后才能为低风险进程或高风险进程配置策略。

步骤 2 的选项定义

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 附注： 只有 ePolicy Orchestrator 提供此选项。
高风险进程 | 打开“按访问扫描高风险进程策略”，指定确认为高风险的进程。根据需要添加并删除进程。

有关详细信息，请参阅“确定扫描策略的数目”和“确定要为进程指定的风险级别”。

相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“进程”选项卡

步骤 1 的选项定义

指定定义为低风险的进程。此过程分两步进行。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
进程设置

打开“按访问扫描默认进程策”，然后选择：

  • 为高风险、低风险和默认进程配置不同的扫描策略
附注：

只有选择此选项后才能为低风险进程或高风险进程配置策略。

步骤 2 的选项定义

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 附注： 只有 ePolicy Orchestrator 提供此选项。
低风险进程 | 打开“按访问扫描低风险进程策略”，指定确定为低风险的进程。根据需要添加并删除进程。

有关详细信息，请参阅“确定扫描策略的数目”和“确定要为进程指定的风险级别”。

相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“消息”选项卡

选项定义

为本地用户以及无管理权限的用户配置消息选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
用户消息 指定本地用户将接收的消息。
  • 检测到威胁时显示消息对话框并在消息中显示指定的文本 - 发生检测时向本地用户显示“按访问扫描消息”对话框。

  • 发生 Cookie 检测时发送警报 - 检测到 Cookie 时发送警报。这包括生成 ePolicy Orchestrator 警报，向“按访问扫描消息”对话框发送消息，在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。如果您取消选择此选项，ePolicy Orchestrator 不会生成警报，但是仍会在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。

消息文本

接受默认消息，或键入自定义消息。默认值 = VirusScan Enterprise 8.8 警报!

用户可采取的操作
  • 从列表中删除消息 - 允许没有管理员权限的用户从列表中删除消息。
  • 清理文件 - 允许没有管理员权限的用户清理列表中消息引用的文件。
  • 删除文件 - 允许没有管理员权限的用户删除列表中消息引用的文件。
相关参考
按访问扫描检测项


镜像任务

配置镜像任务

VirusScan Enterprise 8.8 控制台 - 选项定义

选项 | 定义
日志文件 | 启用活动记录。
格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
获得更新的检测项定义文件（如果可用）

此选项不适用于镜像任务。
获得更新的检测引擎(如果可用)

此选项不适用于镜像任务。
获得其他可用的更新（Service Pack、升级等）

此选项不适用于镜像任务。
输入镜像完成后运行的可执行文件

指定要在运行完镜像任务后启动的可执行文件。指定要运行的可执行文件的路径，或单击“浏览”查找该文件。

例如，可以启动网络消息实用工具，该工具可通知管理员已成功完成镜像任务。

附注： 指定的程序文件必须是当前登录的用户可以执行的文件。如果当前登录的用户没有权限访问包含这些程序文件的文件夹，或当前没有登录的用户，则不会运行该程序。
仅在成功镜像后运行

仅在成功镜像后运行该可执行程序。如果镜像未成功，则不会运行指定的程序。
镜像位置

指定本地系统上用于镜像站点的目标位置的路径。

附注： 支持系统变量。
计划

定义此更新任务的计划。

附注：

有关详细信息，请参阅“计划任务”。

我们建议您不要将 AutoUpdate 任务和镜像任务计划为同时运行。由于这两种任务均使用 McAfee 通用架构服务，因此同时运行两种任务可能会发生冲突。
立即镜像

立即执行镜像任务。

相关概念
镜像任务及如何运行
相关参考
配置镜像任务


“Notes 扫描程序设置”选项卡

选项定义

为发送时电子邮件扫描程序配置 Lotus Notes 设置。

Lotus Notes 密码配置

在 Windows 2000 Server、Windows 2003 Server 或 Windows XP 上访问本地数据库时，系统会提示您输入密码。当您输入密码时，将启动文本搜索对话框，并且密码将会插入到文本搜索对话框，而不是插入密码对话框。密码对话框不是完全模式的。再次选择对话框，即可输入密码。

McAfee 建议您按以下方式防止多次提示输入密码：
  1. 在 Lotus Notes 中，单击“文件”|“首选项”|“安全”|“用户安全”|对话框。.
  2. 单击““不要从其他基于 Notes 的程序提示输入密码（以免降低安全性）”。
    注意：
    该配置可能会降低系统安全性。
选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
服务器扫描设置
  • 扫描所有服务器数据库 - 扫描所有服务器数据库，查找潜在的威胁。
  • 扫描服务器邮箱 - 扫描所有服务器邮箱，查找潜在的威胁。
  • 邮箱根文件夹 - 指定根文件夹的位置。接受邮箱根文件夹的默认位置或指定新位置。此选项仅适用于发送时电子邮件扫描。默认值 = !!mail\。
高级选项 | 要排除的 Notes 应用程序 - 指定要排除在扫描之外的 Lotus Notes 应用程序。默认值 = MNOTES。
相关任务
发送时扫描电子邮件和按需扫描电子邮件


“操作”选项卡

选项定义

配置检测到威胁或可能有害的程序时采取的操作。如果要为默认进程、低风险进程和高风险进程配置不同的扫描策略，则必须对每个进程类型都要配置此选项卡上的选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
发现威胁时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 自动清理文件。
  • 自动清理文件 - 扫描程序尝试删除检测到的文件中的威胁。
  • 拒绝访问文件 - 拒绝所有用户访问含有扫描程序找到的潜在威胁的所有文件。
  • 自动删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 自动删除文件。
  • 拒绝访问文件 - 拒绝所有用户访问含有扫描程序找到的潜在威胁的所有文件。
  • 自动删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
发现有害程序时 先执行此操作 - 选择在检测到可能有害的程序时，希望扫描程序采取的第一个操作。默认值 = 自动清理文件。
  • 允许访问文件 - 使用户可以访问检测到的文件和程序。
    附注：

    使用此操作监视正在检测的内容，然后决定采取什么操作。查看活动日志，可了解正在检测的程序。对于此选项，不允许采取辅助操作。

  • 自动清理文件 - 自动删除检测到的文件和程序中的威胁。
  • 拒绝访问文件 - 防止用户访问检测到的文件和程序。
  • 自动删除文件 - 自动删除检测到的文件和程序。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 自动删除文件。
  • 允许访问文件 - 使用户可以访问检测到的文件和程序。
  • 拒绝访问文件 - 防止用户访问检测到的文件和程序。
  • 自动删除文件 - 自动删除检测到的文件和程序。
相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“排除项”选项卡

选项定义

指定排除在扫描之外的项目。如果要为默认进程、低风险进程和高风险进程配置不同的扫描策略，则必须对每个进程类型都要配置此选项卡上的选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
要排除的内容 选择排除项的类型，然后指定排除项的详细信息：
  • 按文件文件名/位置排除 - 在文本框中键入文件名和位置。如果需要，选择“同时排除子文件夹”。
    附注： 您必须在字符串的末尾添加一个反斜杠 (\) 以应用到文件夹。否则，它会被认为是文件排除项，并且默认情况下，“同时排除子文件夹”复选框处于禁用状态。
  • 按文件类型排除 - 在文本框中键入文件类型。
  • 按文件存在时间排除 - 选择访问类型，然后指定最短存在时间（天）。

有关详细信息，请参阅“添加和排除扫描项目”。

排除时间 选择何时排除选定项目：
  • 读取时
  • 写入时
处理客户端排除项的方法 覆盖客户端排除项 - 仅排除此策略中指定的项目。如果不选择该选项，则客户端计算机将使用本地指定的排除项以及此策略中指定的排除项。
附注： 只有 ePolicy Orchestrator 提供此选项。
相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
记录到文件 | 启用活动记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 OnAccessScanLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\。

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
除扫描活动外还要记录的内容
  • 会话设置 - 在日志文件中记录每个扫描会话的属性。
  • 会话摘要 - 在日志文件中记录每个扫描会话过程中扫描程序操作的摘要。摘要信息包括扫描的文件数，检测项的数量和类型，已清理或已删除的文件数以及其他信息。
  • 扫描加密文件失败 - 记录扫描程序无法扫描的加密文件的名称。
相关任务
配置按需扫描任务
相关信息
按需扫描项目


“扫描项目”选项卡

选项定义

配置检测选项。如果要为默认进程、低风险进程和高风险进程配置不同的扫描策略，则必须对每个进程类型都要配置此选项卡上的选项。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
扫描文件
  • 在写入磁盘时 - 在计算机上或其他数据存储设备上写文件或修改文件时，扫描相应的所有文件。
    注意：
    如果未能启用“在写入磁盘时”，您的将处于不受保护状态，会遭到多种恶意软件的攻击。

    如果要将文件从一台计算机复制或移动至另一台计算机，则所有计算机应采用完全相同的配置，这一点非常重要，只有这样，才不会将具有潜在威胁的文件复制到计算机中或写入计算机。

  • 在从磁盘中读取时 - 从计算机或其他数据存储设备上读取文件时，扫描相应的所有文件。
    注意：
    如果未能启用“在从磁盘中读取时”，您的将处于不受保护状态，会遭到多种恶意软件的攻击。
  • 在网络驱动器上 - 扫描映射网络驱动器上的资源。

    扫描网络资源可能会影响性能。

  • 打开以便备份 - 检查打开以进行备份操作的文件。
要扫描的文件类型
  • 所有文件 - 扫描所有文件，不考虑扩展名。
    注意：
    如果未能启用“所有文件”，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。

    同时扫描所有文件中的宏 - 如果选择了此选项，还可以在所有文件中搜索已知的宏威胁。

  • 仅限指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择此选项，然后在文本框中输入以空格分隔的文件扩展名。

Artemis (对可疑文件进行启发式网络检查)
  • 查找未知的程序威胁和特洛伊木马程序 - 使用 Artemis 扫描，检测具有类似恶意软件的代码的可执行文件。
  • 查找未知的宏威胁 - 使用 Artemis 扫描，检测未知的宏病毒。
注意：
如果未能启用“Artemis”，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
压缩文件
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。
  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
附注： 尽管扫描压缩文件能够提供更好的保护，但是该操作会增加执行扫描所需的时间。
有害程序检测
  • 检测有害程序 - 启用按访问扫描程序，检测可能有害的程序。

    扫描程序使用您在 “有害程序策略”中配置的信息来检测可能有害的程序。

    有关详细信息，请参阅“限制可能有害的程序”。

相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“操作”选项卡

选项定义

配置检测到威胁或可能有害的程序时采取的操作。

选项 定义
发现威胁时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 清理文件。
  • 清理文件 - 扫描程序尝试删除检测到的文件中的威胁。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 自动删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 删除文件。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
发现有害程序时 先执行此操作 - 选择在检测到威胁时，希望扫描程序采取的第一个操作。默认值 = 清理文件。
  • 清理文件 - 扫描程序尝试删除检测到的文件中的威胁。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
如果第一个操作失败，则执行此操作 - 选择第一个操作失败时希望扫描程序采取的下一个操作。默认值 = 删除文件。
  • 继续扫描 - 在检测到受威胁文件时继续扫描。
  • 删除文件 - 扫描程序在检测到潜在威胁时立即删除相应文件。
相关参考
“进程设置”选项卡选项
相关信息
按访问扫描项目


“排除项”选项卡

选项定义

指定排除在扫描之外的项目。

选项 定义
要排除的内容 从下拉列表中选择排除项的类型，然后指定排除项的详细信息：
  • 按文件文件名/位置排除 - 在文本框中键入文件名和位置。如果需要，选择“同时排除子文件夹”。
    附注： 您必须在字符串的末尾添加一个反斜杠 (\) 以应用到文件夹。否则，它会被认为是文件排除项，并且默认情况下，“同时排除子文件夹”复选框处于禁用状态。
  • 按文件类型排除 - 在文本框中键入文件类型。
  • 按文件存在时间排除 - 选择访问类型，然后指定最短存在时间（天）。

有关详细信息，请参阅“添加和排除扫描项目”。

排除时间 选择何时排除选定项目：
  • 读取时
  • 写入时
处理客户端排除项的方法 覆盖客户端排除项 - 仅排除此策略中指定的项目。如果不选择该选项，则客户端计算机将使用本地指定的排除项以及此策略中指定的排除项。
附注：

此选项只能通过 ePolicy Orchestrator 进行设置。

相关参考
配置按需扫描任务选项卡
相关信息
按需扫描项目


“性能”选项卡

选项定义

指定扫描延期选项和系统使用选项以改善性能。

选项 定义
扫描延期选项 选择扫描延期选项：
  • 使用电池供电时推迟扫描 - 当系统正被使用且使用电池供电时延迟扫描。
  • 演示时推迟扫描 - 当系统处于演示模式时延迟扫描。
  • 用户可以推迟计划扫描 - 允许用户推迟计划扫描。

  • 最长推迟时间 - 指定推迟扫描的时间长度。请在 1 至 24 小时之间选择，或选择零将扫描推迟无限长时间。

有关详细信息，请参阅“扫描延期的工作原理”。

系统利用 使用该列表，通过 ePolicy Orchestrator 或滑块，从 VirusScan 控制台 中设置扫描的使用率计划。每项任务都独立运行，不考虑其他任务的限制。增量包括：
  • 低
  • 低于正常水平 - ePolicy Orchestrator 默认值。
  • 正常水平 - VirusScan Enterprise 8.8 默认值。
Artemis (对可疑文件进行启发式网络检查)
配置灵敏度等级以用于确定检测到的样本是否为恶意软件。对于除“已禁用”以外的所有等级，样本的指纹或“哈希”会提交给 McAfee Labs 以确定其是否为恶意软件。给您带来的好处是将在 McAfee Labs 发布更新时进行检测，并且您无需等到下次 DAT 发行才进行。选择的灵敏度等级越高，恶意软件检测的数量就越多。但是，允许的检测越多，您收到的误报结果也有可能更多。请从以下灵敏度等级中选择：

  • 已禁用 — 不将任何指纹或数据提交到 McAfee Labs 以确定其是否为恶意软件。

  • 非常低 - 检测和误报的风险与使用常规 DAT 相同。将在 McAfee 发布相关信息时检测 VirusScan Enterprise，而不是等到下次 DAT 更新时才进行。

  • 低级 - 该等级定义为介于“非常低”和“中级”之间。

  • 中级 - 当受恶意软件侵害的常规风险大于误报的风险时，使用此等级。McAfee Labs 特有的启发式检查会导致类似于恶意软件的检测。但是，检测不常见的文件时会有一些风险，这可能会导致误报的检测。McAfee Labs 证实使用这些设置检测常见应用程序和操作系统文件时不会生成误报。

  • 高级 - 该等级定义为介于“中级”和“非常高”之间。

  • 非常高 - 我们建议仅将此等级用于电子邮件以及用于扫描不支持执行程序和操作系统的卷和目录。使用此等级发现的检测可能为恶意的，但是尚未进行全面的检测以确定这些检测不是误报。

相关概念
系统利用的用途
相关参考
配置按需扫描任务选项卡
相关信息
按需扫描项目


“报告”选项卡

选项定义

启用日志记录可跟踪网络活动，并记录用于检测和响应扫描程序所发现的所有潜在威胁的设置。

选项 | 定义
记录到文件 | 启用活动记录。
日志文件位置 接受默认日志文件位置或指定新位置。

默认日志名称为 OnDemandScanLog.txt。

默认位置为：<驱动器>:\Documents and Settings\All Users\Application Data\McAfee\DesktopProtection\。

默认位置可能会因所用操作系统的不同而有所变化。
日志文件大小 | 限制日志文件的大小。接受默认大小 (1 MB)，或设置大小，范围从 1 MB 到 999 MB。如果日志文件中的数据超过所设置的文件大小，则会删除最先记录的 20% 的条目，然后将新数据追加到文件中。
日志文件格式 选择日志文件的格式。默认值 = Unicode (UTF8)。
  • Unicode (UTF8) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • Unicode (UTF16) - 存储东方文本（每个字符占用一个或两个字节）或在跨国组织内部共享信息时推荐使用的格式。
  • ANSI - 存储西方文本（每个字符占用一个字节）时推荐使用 ANSI 格式。
除扫描活动外还要记录的内容
  • 会话设置 - 在日志文件中记录每个扫描会话的属性。
  • 会话摘要 - 在日志文件中记录每个扫描会话过程中扫描程序操作的摘要。摘要信息包括扫描的文件数，检测项的数量和类型，已清理或已删除的文件数以及其他信息。
  • 扫描加密文件失败 - 记录扫描程序无法扫描的加密文件的名称。
发生 Cookie 检测时发出警报

发生 Cookie 检测时发送警报 - 检测到 Cookie 时发送警报。这包括生成 ePolicy Orchestrator 警报，发送检测通知，在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。如果您取消选择此选项，ePolicy Orchestrator 不会生成警报，但是仍会在活动日志中记录检测（如果已在“报告”选项卡上启用活动日志记录），以及计算扫描统计信息中检测的数量。
相关参考
配置按需扫描任务选项卡
相关信息
按需扫描项目


“扫描项目”选项卡

选项定义

配置检测选项。

选项 定义
要扫描的文件类型
  • 所有文件 - 扫描所有文件，不考虑扩展名。
  • 默认 + 其他文件类型 - 扫描默认扩展名列表中的文件类型以及指定的其他文件类型。默认列表由当前的 DAT 文件定义。

    选择此选项，然后在文本框中输入以空格分隔的文件扩展名。

    同时扫描所有文件中的宏 - 如果选择了“默认 + 其他文件类型”，还可以在所有文件中搜索已知的宏威胁。

  • 指定的文件类型 - 创建要扫描的用户指定的扩展名列表。还可以删除以前添加的任意扩展名。

    选择此选项，然后在文本框中输入以空格分隔的文件扩展名。

选项
  • 检测有害程序 - 启用按访问扫描程序，检测可能有害的程序。

    扫描程序使用您在 “有害程序策略”中配置的信息来检测可能有害的程序。

    有关详细信息，请参阅“限制可能有害的程序”。

  • 解码 MIME 编码文件 - 检测、解码和扫描多用途 Internet 邮件扩展 (MIME) 编码的文件。
  • 扫描存档文件内部 - 检查存档文件（压缩文件）及其内容。
尽管扫描压缩文件能够提供更好的保护，但是该操作会增加执行扫描所需的时间。

  • 扫描已迁移到存储器中的文件 - 扫描存储在远程存储器上的缓存文件。

    有关详细信息，请参阅“远程存储扫描的工作原理”。

Artemis (对可疑文件进行启发式网络检查)
  • 查找未知程序威胁 - 使用 Artemis 扫描，检测具有类似有害程序代码的可执行文件。
  • 查找未知的宏威胁 - 使用 Artemis 扫描，检测未知的宏病毒。
相关参考
配置按需扫描任务选项卡
相关信息
按需扫描项目


“任务”选项卡

选项定义

指定运行此按需任务的平台。

选项 定义
运行此任务的平台
  • 在服务器上运行此任务 - 在服务器上运行此按需扫描任务。
  • 在工作站上运行此任务 - 在工作站上运行此按需扫描任务。
运行任务时要使用的用户帐户
  • 用户名 - 指定用户帐户名。如果未输入帐户信息，将在系统帐户下运行该任务。
  • 密码 - 键入密码。
  • 域 - 键入域。
附注：

要计划此任务，您必须具有管理权限。管理权限可为用户提供对计划任务注册表项的写访问权限。有关计划客户端任务的信息，请参见 ePolicy Orchestrator 文档。

相关参考
配置按需扫描任务选项卡
相关信息
按需扫描项目


“密码选项”选项卡

选项定义

为整个系统或所选项目设置密码安全。有关详细信息，请参阅“设置密码对用户产生的影响”。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
用户界面密码 指定用户界面安全：
  • 无密码 - 访问配置设置时不需要密码。
  • 使用密码保护列出的所有项目 - 为列表中的所有项目指定一个密码。
  • 使用密码保护选定的项目 - 为列表中选定的项目指定一个密码。
  • 符合通用标准的密码保护 - 根据政府机构要求保护界面，这些政府机构必须仅使用国家信息保险合作伙伴关系 (NIAP) 通用标准验证的安全产品。

    这确保没有管理凭据的用户不能访问所有配置选项，但工作站用户可对自己的工作站执行即时按需扫描。在即时按需扫描中包含或排除文件。在即时按需扫描中包含或排除存档文件（例如 .ZIP 文件）。查看按需扫描和按访问扫描活动日志。

密码 - 键入密码。

确认密码 - 再次键入密码进行确认。
受密码保护的用户界面项目 选择要使用密码保护的项目。
  • 全选 - 选择该部分中的所有项目。
  • 取消全选 - 取消选择该部分中的所有项目。

管理员可以通过“控制台”锁定或解锁界面。

相关参考
配置任务计划
相关信息
对用户界面的控制访问


“策略”选项卡

选项定义

配置隔离位置和保留隔离项目的时间长度。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
隔离目录 | 接受默认隔离目录位置或指定新位置。默认值 = <系统驱动器>\Quarantine。
隔离数据保留
  • 自动删除隔离数据 - 指定天数后删除隔离项。
  • 在隔离目录中保留已备份数据的天数 - 指定自动删除前，保留隔离项的天数。可以在 1 到 999 天之间选择。
相关任务
配置隔离策略


“代理服务器设置”选项卡

代理服务器是 Internet 安全机制的组成部分，可以在 Internet 中隐藏 Internet 用户的计算机，并通过缓存经常访问的站点提高访问速度。

如果您的网络使用代理服务器，则可以指定要使用的代理服务器设置、代理服务器的地址以及是否使用身份验证。代理服务器信息存储在 AutoUpdate 存储库列表 (sitelist.xml) 中。此处配置的代理服务器设置将应用于该存储库列表中的所有存储库。

附注：

“ePolicy Orchestrator 控制台”中该功能不可用。在“VirusScan Enterprise 8.8 控制台”中访问该功能。

选项定义

选项 定义
不使用代理服务器

不指定代理服务器。

使用 Internet Explorer 代理服务器设置

使用适用于当前安装的 Internet Explorer 版本的代理服务器设置。

默认值 = 使用 Internet Explorer 代理服务器设置。

手动配置代理服务器设置

根据自己的特定需要配置代理服务器设置。

例外

仅在您选择“手动配置代理服务器设置”时可用。

指定代理服务器例外。单击“例外”打开“代理服务器例外”对话框：
  • 指定例外 - 选择此选项可输入代理服务器例外。
  • 使用分号 (;) 分隔条目 - 例如：internal1;internal2
HTTP

键入 HTTP 代理服务器的地址。

FTP

键入 FTP 代理服务器的地址。

端口

键入 HTTP 或 FTP 代理服务器的端口号。

使用 HTTP 身份验证

将指定的凭据用于访问 HTTP 代理服务器。

HTTP 用户名

键入 HTTP 用户名。

HTTP 密码

键入 HTTP 密码。

相关概念
AutoUpdate 存储库如何使用
相关参考
配置存储库列表


“扫描项目”选项卡

选项定义

选择要检测的可能有害的程序的类别，并创建不希望检测的程序排除项。

选项 | 定义
设置用于 | 从下拉列表中选择“工作站”或“服务器”。 附注： 只有 ePolicy Orchestrator 提供此选项。
选择要检测的有害程序的类别 | 指定要检测的可能有害的程序的类别。
有害程序排除项 | 按检测项名称指定排除项。根据需要添加并删除项目。
相关任务
配置有害程序
相关信息
../../pgrestrictingunwantedprogram_chapter.ditamap


“隔离策略”选项卡

选项定义

配置隔离位置和保留隔离项目的时间长度。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
隔离目录 | 接受默认隔离目录位置或指定新位置。默认值 = <系统驱动器>\Quarantine。
隔离数据保留
  • 自动删除隔离数据 - 指定天数后删除隔离项。
  • 在隔离目录中保留已备份数据的天数 - 指定自动删除前，保留隔离项的天数。可以在 1 到 999 天之间选择。
相关任务
配置隔离策略


添加并编辑存储库

添加新的存储库或编辑现有的存储库。

选项定义

选项 定义
存储库描述

指定存储库的名称。
检索文件自
选择检索文件的位置。默认值 = HTTP 存储库。
  • HTTP 存储库 - 从指定的 HTTP 存储库位置检索文件。
    附注： HTTP 站点和 FTP一样，提供的更新不受网络安全的约束，但是它支持的并发连接级别高于 FTP。
  • FTP 存储库 - 从指定的 FTP 存储库位置检索文件。
    附注： FTP 站点提供灵活的更新方式，不必完全遵循网络安全权限。FTP 受到有害代码攻击的可能性比 HTTP 小，因此容错能力更好。
  • UNC 路径 - 从指定的 UNC 路径位置检索文件。
    附注： UNC 站点设置起来最快、最容易。跨域 UNC 更新需要拥有每个域的安全权限，这使得更新配置更为复杂。
  • 本地路径 - 从指定的本地路径位置检索文件。
URL
仅在您选择“HTTP 存储库”或“FTP 存储库”时可用。
  • HTTP - 键入 HTTP 服务器的位置，以及更新文件所在的文件夹。
  • FTP — 键入 FTP 服务器的位置，以及更新文件所在的文件夹。
路径
仅在您选择“UNC 路径”或“本地路径”时可用。
  • UNC 路径 - 使用 UNC 表示法 (\\servername\path\)，键入更新文件所在存储库的路径。
  • 本地路径 - 键入包含更新文件的本地文件夹的路径，或单击“浏览”导航至该文件夹。该路径可以指向本地驱动器或网络驱动器上的文件夹。
端口

仅在您选择“HTTP 存储库”或“FTP 存储库”时可用。键入您指定的 HTTP 或 FTP 服务器的端口号。

使用身份验证

使用匿名登录

使用登录的帐户
将指定的凭据用于访问存储库。
附注：

此选项的标题会因您在“检索文件自”部分所选选项的不同而不同。

AutoUpdate 使用您指定的凭据来访问存储库，以便下载所需的更新文件。配置存储库的帐户凭据时，请确保该帐户拥有包含更新文件的文件夹的读取权限。
  • FTP 和 UNC 存储库要求提供下载凭据；但对于 HTTP 存储库，下载凭据是可选的。
  • FTP 更新支持匿名存储库连接。
  • 使用 UNC 更新，还可以使用已登录的帐户，利用已登录用户的权限访问存储库。
用户名

键入用户名
密码

键入密码。
确认

再次键入密码进行确认。
相关概念
AutoUpdate 存储库如何使用
相关参考
配置存储库列表


“存储库”选项卡

配置从中获取更新的存储库。
附注：

“ePolicy Orchestrator 控制台”中该功能不可用。在“VirusScan Enterprise 8.8 控制台”中访问该功能。

选项定义

选项 定义
存储库描述

指定存储库的名称。

该列表预配置了 HTTP 和 FTP 存储库。
  • http://update.nai.com/Products/CommonUpdater
  • ftp://ftp.nai.com/CommonUpdater

HTTP 存储库是默认的下载站点。
状态

已启用 - 可以在 AutoUpdate 过程中使用的已定义存储库。

已禁用 - 不希望在 AutoUpdate 过程中访问的已定义存储库。这可能只是需要偶尔使用而不是一直使用的存储库。

附注： 根据需要，创建适当数量的存储库站点，然后启用和禁用这些站点。
添加

向列表中添加新存储库。
编辑

编辑所选存储库。
删除

删除所选存储库。
上移

在列表中上移所选存储库。
下移

在列表中下移所选存储库。
相关概念
AutoUpdate 存储库如何使用
相关参考
配置存储库列表


“管理器”选项卡

在列表中选择一个项目，然后右键单击项目以访问高级选项。可以重新扫描、检查误报、恢复、删除或查看属性。

相关任务
配置隔离策略


“任务”选项卡

选项定义

为具有访问还原位置权限的用户指定帐户信息。如果未在此处输入帐户，将在系统帐户下运行还原任务。

选项 | 定义
用户 | 键入具有访问还原位置权限的用户的名称。
密码 | 输入指定用户的密码。
域 | 输入指定用户的域。
相关任务
配置隔离策略


“扫描位置”选项卡

选项定义

配置要扫描的项目类型和位置。

选项 定义
要扫描的位置 选择要扫描的位置。默认值 = 扫描内存以查找 rootkit、运行进程和所有本地驱动器、注册表和 Cookie。单击“添加”、“编辑”和“删除”，以更改“项目名称”。
  • 扫描内存以查找 rootkit。扫描系统内存，查看是否存在已安装的 rootkit、隐藏的进程，以及是否存在其他表明恶意代码正试图隐藏自己的行为。此扫描过程发生在其他所有扫描过程之前。
    注意：
    如果未能启用“扫描内存以查找 rootkit”，您的系统将处于不受保护状态，会遭到多种恶意软件。
  • 运行进程。扫描所有正在运行进程的内存。除“清理”以外的操作均被视为“继续扫描”。
    注意：
    如果未能启用“运行进程”扫描，您的系统将处于不受保护状态，会遭到多种恶意软件的攻击。
  • 已注册文件。扫描已注册的所有文件。扫描程序首先在注册表中搜索文件名，然后再扫描文件。扫描程序将从注册表中删除对可能有害的文件的引用。
  • 我的电脑。 扫描所有物理连接到计算机的驱动器或逻辑映射为计算机驱动器盘符的驱动器。
  • 所有本地驱动器。扫描计算机上的所有驱动器及其子文件夹。
  • 所有固定驱动器。扫描所有物理连接到计算机的驱动器。
  • 所有可移动驱动器。扫描连接到计算机的所有可移动驱动器或其他存储设备。
  • 所有映射驱动器。扫描逻辑映射为计算机上网络驱动器的网络驱动器。
  • 主文件夹。扫描启动扫描的用户的主文件夹。
  • 用户配置文件文件夹。扫描启动扫描的用户的配置文件，包括该用户的“我的文档”文件夹。
  • Windows 文件夹。扫描 Windows 文件夹的内容。
  • Program Files 文件夹。扫描 Program Files 文件夹的内容。
  • Temp 文件夹。扫描 Temp 文件夹的内容。
  • 回收站。扫描回收站内的内容。
  • 驱动器或文件夹。扫描指定的驱动器或文件夹。
  • 文件。扫描指定文件。
  • Cookie。扫描 Cookie 文件夹中的 Cookie。
  • 注册表。扫描注册表项。
附注： 使用默认的扫描项目列表可能会导致非常耗时的全面扫描。请考虑是否要为了经常使用而缩小该扫描的范围。
显示“按需扫描进度”对话框时，扫描位置将显示为以逗号分隔的字符串（后跟“扫描位置”）。扫描进度完成后，它们将从字符串中删除。
扫描选项 选定项目的扫描类型。
  • 包括子文件夹 - 扫描程序将检查指定卷中的所有子文件夹。取消选择此选项将只扫描卷的根级别。
  • 扫描引导区 - 扫描程序检查磁盘的引导区。
如果磁盘包含无法扫描的特别或异常的引导区，则也许应该禁用引导区扫描。
相关参考
配置按需扫描任务选项卡
相关信息
按访问扫描项目


高级计划选项

配置计划参数。

选项定义

选项 | 定义
开始日期 | 指定启动此任务的日期。
结束日期 | 指定结束此任务的日期。
重复任务 | 按照指定的频率重复该任务。 如果选择此选项，另请指定重复此任务的频率。
每隔 | 指定重复此任务的频率。 另请选择频率是以小时还是以分钟为单位。
时间（本地） | 在指定的本地时间重复此任务。 如果选择此选项，另请选择特定时间。
持续时间 | 重复此任务指定的小时数和分钟数。 如果选择此选项，另请选择小时数和分钟数。
小时 | 小时数。选择 0 到 99 之间的数字。
分钟 | 分钟数。选择 0 到 59 之间的数字。
相关概念
更新任务及其工作方式
相关参考
配置 AutoUpdate 任务


“计划”选项卡

指定此任务的计划频率和其他设置。

选项定义

选项 定义
运行时

运行任务，从以下选项选择此任务的频率：

每天 - 在指定天数内每天运行该任务。

每天任务可以间隔很多天运行一次，或从星期一到星期日每天都运行。如果您只希望在一周的特定日期运行该任务，而不是从星期一到星期日每天都运行，则建议您使用每周任务频率。

每周 - 在指定的星期和日期，每周运行该任务。

每月 - 在指定的日期和月份，每天运行该任务。

一次 - 在指定日期运行一次该任务。

启动时 - 在系统启动时运行该任务，并指定是否每天运行一次该任务，以及该任务延迟的分钟数。

登录时 - 在登录时运行该任务，并指定是否每天运行一次该任务，以及该任务延迟的分钟数。

空闲时 - 在计算机空闲时运行该任务，并指定在启动任务之前计算机空闲的分钟数。

如果启动了该任务且用户在任务完成之前恢复使用计算机，则任务将继续运行，直至完成。

立即 - 立即运行该任务。

拨号时 - 在拨号时运行该任务。

开始时间

选择计划任务的起始时间。

UTC 时间

协调世界时 (UTC)。选择此选项，将在所有时区同时运行该任务。

本地时间

在每个本地时区中独立运行该任务。

附注： 默认值 = 本地时间
启用随机选择

在设置的时间间隔内，随机运行该任务。

如果选择此选项，还要为最大时间段指定小时和分钟数。

附注：

指定介于 1 分钟（最小）和 23 小时（最大）之间的时间间隔。例如，将任务计划设置为 1:00，随机选择设置为三小时，会在 1:00 和 4:00 之间的任意时间运行该任务。

在“启动时”、“登录时”或“空闲时”计划任务时，此选项不可用。

小时

小时数。选择 0 至 23 小时

分钟

分钟数。

附注：
可供选择的分钟数取决于选择的选项。例如：
  • 启用随机选择 - 选择 0 至 59 分钟。
  • 延迟错过任务到 - 选择 0 至 99 分钟。
错过时运行

确保在计算机重新启动时运行错过的任务。如果按计划运行该任务时，计算机处于离线状态，就会错过该任务。

附注： 按计划运行某项任务时，如果远程用户刚好处于离线状态，该功能可确保远程用户和网络受到全面的保护。
延迟错过任务到

选择您希望错过的任务延迟的分钟数。选择 0 至 99 分钟。

间隔天数

每间隔指定的天数运行此任务一次。选择 0 到 9999 天。

附注： 此选项仅在选择“每天”运行任务时可用。
间隔周数

每间隔指定的周数运行此任务一次。选择 0 到 99 周。

如果选择此选项，另请指定周数和星期几。

附注：

对于星期几，请选择“星期日”、“星期一”、“星期二”、“星期三”、“星期四”、“星期五”或“星期六”。

此选项仅在选择“每周”运行任务时可用。

日期

在特定的日期运行此任务。选择 1 到 31 天。

如果选择此选项，另请指定日期。

附注： 此选项仅在选择“每月”运行任务时可用。
周日期

在指定的日期运行此任务。

如果选择此选项，另请指定发生时间和日期。

附注：

对于发生时间，请选择“第一个”、“第二个”、“第三个”、“第四个”或“最后一个”。

对于星期几，请选择“星期日”、“星期一”、“星期二”、“星期三”、“星期四”、“星期五”或“星期六”。

此选项仅在选择“每月”运行任务时可用。

选择月份

指定要运行此任务的月份。

附注： 此选项仅在选择“每月”运行任务时可用。
运行日期

指定希望运行此任务的日期。

附注： 此选项仅在选择“一次”运行任务时可用。
一天仅运行此任务一次

每天运行此任务一次。

附注：

如果不选择此选项，则在每次启动或登录时运行此任务。

此选项仅在“启动时”、“登录时”或“拨号时运行”计划任务时可用。

延迟任务到

指定此任务延迟的分钟数。选择 0 到 99 之间的数字。

附注：

这让用户有时间登录，且有时间执行登录脚本。

此选项仅在选择“启动时”或“登录时”运行任务时可用。

当计算机空闲时间达到

指定计算机在空闲多少分钟后启动该任务。选择 0 至 999 分钟。

附注：

如果启动了该任务且用户在任务完成之前恢复使用计算机，则任务将继续运行，直至完成。

此选项仅在“空闲时”计划任务时可用。

高级

配置高级选项。

附注： 有关详细信息，请参阅“高级计划选项”。
相关概念
更新任务及其工作方式
相关参考
配置 AutoUpdate 任务


“任务”选项卡

启用此任务的计划并指定用户帐户设置。

选项定义

选项 | 定义
启用（在指定时间运行计划任务） | 计划在指定时间运行该任务。 附注： 必须选择此选项，才能计划任务。
任务停止前的运行时限 | 在指定的小时数和分钟数后停止任务。 附注： 如果任务在完成之前发生中断，则下一次启动时将从中断的位置恢复执行扫描。
小时 | 经过这个小时数后，任务将停止。
分钟 | 经过这个分钟数后，任务将停止。
用户 | 键入执行该任务所使用的用户 ID。 附注： 是否使用凭据是可选的。如果不在此处键入凭据，则使用本地系统帐户运行计划任务。 有关详细信息，请参阅“登录权限”。
域 | 键入指定的用户 ID 所对应的域。
密码 | 键入指定的用户 ID 和域所对应的密码。
相关概念
更新任务及其工作方式
相关参考
配置 AutoUpdate 任务


“ScriptScan”选项卡

选项定义

防止执行有害脚本。

有关详细信息，请参阅“脚本扫描及其工作原理”。

选项 | 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
ScriptScan | 启用脚本扫描 - 在执行 JavaScript 和 VBScript 脚本前对其进行扫描。
ScriptScan 进程排除项 | 进程 - 按进程名指定 ScriptScan 排除项。指定进程名时，不允许使用通配符。
ScriptScan URL 排除项 URL - 按 URL 指定 ScriptScan URL 排除项。注意以下内容：
  • 指定 URL 时，不允许使用通配符。但是，例如，如果 msn.com 已排除，任何包含该字符串的 URL 都将从扫描中排除。例如，以下 URL 被排除：
    • http://weather.msn.com
    • http://music.msn.com
  • 除非您单击“启用第三方浏览器扩展”复选框以启用该设置并重新启动 Windows Server 2008，否则在 Windows Server 2008 上，Script Scan URL 排除项无法与 Windows Internet Explorer 配合使用。有关详细信息，请参阅 https://kc.mcafee.com/corporate/index?page=content&id=KB69526。
相关任务
配置常规设置
相关信息
按访问扫描项目


“用户定义的检测项”选项卡

选项定义

指定将视为有害程序的各个文件或程序。

选项 定义
设置用于 从下拉列表中选择“工作站”或“服务器”。
附注： 只有 ePolicy Orchestrator 提供此选项。
用户定义的项目
  • 文件名 - 指定要检测的文件或程序的名称。

  • 描述 - 指定在检测到指定的文件时，要在通知中显示的描述。

附注： 扫描程序将不检测大小为零字节的用户定义的有害程序。
相关任务
配置常规设置
相关信息
按访问扫描项目