Kaspersky Endpoint Security 12.2 forWindows© 2024 AO Kaspersky Lab

1

⽬錄
Kaspersky Endpoint Security for Windows 說明
新增功能
常⾒問題
Kaspersky Endpoint Security for Windows分發套件硬體和軟體需求
取決於作業系統類型的可⽤應⽤程式功能比較
根據管理⼯具比較應⽤程式功能
與其他應⽤程式的相容性
安裝和移除應⽤程式
透過卡巴斯基安全管理中⼼佈署
應⽤程式的標準安裝
建立安裝套件更新安裝套件中的資料庫建立遠端安裝⼯作
使⽤精靈在本機安裝應⽤程式
使⽤系統中⼼設定管理器遠端安裝應⽤程式
setup.ini 檔案安裝設定說明變更程式元件從以前版本的應⽤程式升級
移除應⽤程式
應⽤程式授權
關於最終使⽤者產品授權協議關於授權關於產品授權憑證
關於訂購
關於產品授權⾦鑰
關於啟動碼關於⾦鑰檔案依據⼯作站的產品授權類型比對應⽤程式功能
依據伺服器的產品授權類型比對應⽤程式功能
啟動應⽤程式檢視產品授權資訊
購買產品授權
續約訂購
資料提供
在最終使⽤者產品授權協議下的資料提供
使⽤卡巴斯基安全網路時的資料提供
使⽤ Detection and Response 解決⽅案時的資料提供
Kaspersky Endpoint Detection and Response
Kaspersky Sandbox
Kaspersky Anti Targeted Attack Platform (EDR)
符合歐洲聯盟法規（GDPR）
準備開始
關於 Kaspersky Endpoint Security for Windows 管理外掛程式
使⽤不同版本的管理外掛程式時的特別考慮
2

使⽤加密協定與外部服務進⾏交互時的特殊考量
程式介⾯
⼯作列通知區域中的程式圖⽰
簡化的應⽤程式介⾯
設定應⽤程式介⾯的顯⽰
準備開始
管理政策
⼯作管理
配置本機應⽤程式設定
啟動和停⽌ Kaspersky Endpoint Security
暫停和還原電腦防護和控制
建立和使⽤設定檔
還原應⽤程式預設設定惡意軟體掃描
掃描電腦
掃描連線到電腦的卸除式磁碟
背景掃描
從內容功能表掃描
應⽤程式完整性控制
編輯掃描範圍
執⾏排程的掃描
作為不同使⽤者執⾏掃描
掃描最佳化
更新資料庫和程式模組
資料庫和應⽤程式模組更新⽅案
從伺服器儲存區更新從共⽤資料夾更新
使⽤ Kaspersky 更新實⽤程式更新
在⾏動模式下更新
開始和停⽌更新⼯作
在不同使⽤者帳⼾權限下開始更新⼯作
選取更新⼯作執⾏模式
新增更新來源
更新應⽤程式模組
使⽤代理伺服器進⾏更新
最近更新還原處理活動威脅
在⼯作站上解毒活動威脅
在伺服器上解毒活動威脅啟⽤或停⽤進階解毒技術
處理活動威脅電腦防護檔案威脅防護啟⽤和停⽤檔案威脅防護
⾃動暫停檔案威脅防護
變更“檔案威脅防護”元件對受感染檔案執⾏的操作
構成“檔案威脅防護”元件的防護範圍
選擇掃描⽅式3

在“檔案威脅防護”元件的執⾏中使⽤掃描技術
最佳化檔案掃描
掃描複合檔案變更掃描模式Web 威脅防護
啟⽤和停⽤ Web 威脅防護
設定惡意網址偵測⽅法
釣⿂網站防護建立受信任網址清單匯出和匯入受信任網址的清單
郵件威脅防護啟⽤和停⽤郵件威脅防護
變更對受感染電⼦郵件採取的操作
構成“郵件威脅防護”元件的防護範圍
掃描附加於電⼦郵件中的複合檔案
電⼦郵件訊息附件篩選匯出和匯入附件篩選延伸程式
掃描 Microsoft O ice Outlook 中的電⼦郵件
網路威脅防護啟⽤和停⽤網路威脅防護
封鎖發動攻擊的電腦
設定排除在封鎖外的位址匯出和匯入封鎖排除項⽬清單
按類型配置針對網路攻擊的防護防火牆
啟⽤或停⽤防火牆變更網路連線狀態
管理網路封包規則
建立網路封包規則
啟動或停⽤網路封包規則
變更網路封包規則的防火牆操作變更網路封包規則的優先順序匯出和匯入網路封包規則
以 XML 格式定義網路封包規則
管理應⽤程式網路規則
建立應⽤程式網路規則
啟⽤和停⽤應⽤程式網路規則
變更應⽤程式網路規則的防火牆操作
變更應⽤程式網路規則的優先順序
網路監控
BadUSB 攻擊防護啟⽤和停⽤ BadUSB 攻擊防護使⽤螢幕鍵盤授權 USB 裝置
AMSI 防護啟⽤和停⽤ AMSI 防護
使⽤ AMSI 防護掃描複合檔案弱點利⽤防禦
啟⽤和停⽤弱點利⽤防禦4

系統處理程序記憶體防護
⾏為偵測啟⽤和停⽤⾏為偵測
選擇在偵測到惡意軟體活動時要執⾏的操作
防⽌共⽤資料夾被外部加密啟⽤和停⽤共⽤資料夾對外部加密的防護
選擇在偵測到共⽤資料夾外部加密時採取的操作
建立排除項⽬以防護共⽤資料夾抵禦外部加密
設定共⽤資料夾對外部加密的防護的排除項⽬位址匯出和匯入防⽌共⽤資料夾被外部加密的排除項⽬清單
主機入侵防禦
啟⽤和停⽤主機入侵防禦
管理應⽤程式信任群組
變更應⽤程式的信任群組
配置信任群組權限
選取在 Kaspersky Endpoint Security 啟動之前啟動的應⽤程式信任群組
選擇未知應⽤程式的信任群組
為數位簽章應⽤程式選擇信任群組
管理應⽤程式權限
防護作業系統資源和个⼈資料
刪除有關未使⽤之應⽤程式的資訊
監控主機入侵防禦
防護對⾳訊和視訊的存取修復引擎
卡巴斯基安全網路
啟⽤和停⽤卡巴斯基安全網路的使⽤
卡巴斯基私有安全網路的限制
為防護元件啟⽤和停⽤雲端模式
KSN 代理設定
在卡巴斯基安全網路中檢查檔案信譽
加密連線掃描啟⽤加密連線掃描
安裝受信任根憑證
掃描具有不受信任憑證的加密連線
掃描 Firefox 和 Thunderbird 中的加密連線
從掃描中排除加密連線
抹除資料
電腦控制
Web 控制啟⽤或停⽤ Web 控制
網路資源存取規則操作
新增網路資源存取規則
為網⾴存取規則分配優先順序
啟動和停⽤網⾴存取規則
匯出和匯入 Web 控制規則
測試網⾴存取規則匯出和匯入網⾴資源位址清單
監控使⽤者網際網路活動
5編輯 Web 控制訊息範本
編輯網⾴資源位址的遮罩裝置控制啟⽤和停⽤裝置控制
關於存取規則編輯裝置存取規則
編輯連接介⾯存取規則
管理存取⾏動裝置的權限
列印控制
Wi-Fi 連線控制
監視卸除式磁碟機的使⽤
變更快取持續時間
對信任裝置的操作
在應⽤程式介⾯中向信任清單新增裝置
在卡巴斯基安全管理中⼼中向受信任清單新增裝置匯出和匯入受信任裝置的清單
獲得存取被封鎖裝置的權限
授予存取權限的線上模式
授予存取權限的離線模式
編輯裝置控制訊息範本橋接防護
啟⽤橋接防護變更連線規則的狀態變更連線規則的優先順序
適應性異常控制
啟⽤和停⽤⾃適應異常控制
啟⽤和停⽤適應性異常控制規則
在適應性異常控制規則觸發時變更執⾏的操作
建立適應性異常控制規則的排除項⽬匯出和匯入適應性異常控制規則排除項⽬
更新適應性異常控制規則編輯適應性異常控制訊息範本檢視適應性異常控制報告
應⽤程式控制
應⽤程式控制功能限制
接收有關安裝在使⽤者電腦上的應⽤程式的資訊
啟⽤和停⽤應⽤程式控制
選取應⽤程式控制模式
管理應⽤程式控制規則
為應⽤程式控制規則新增觸發條件
將“可執⾏檔”資料夾中的可執⾏檔新增到應⽤程式類別將事件相關的可執⾏檔新增到應⽤程式類別
新增應⽤程式控制規則
透過卡巴斯基安全管理中⼼變更應⽤程式控制規則的狀態匯出和匯入應⽤程式控制規則
檢視“應⽤程式控制”元件的執⾏所產⽣的事件
檢視有關封鎖的應⽤程式的報告
測試應⽤程式控制規則
6啟⽤和停⽤應⽤程式控制規則測試
檢視有關測試模式下封鎖的應⽤程式的報告
檢視“應⽤程式控制”元件的測試執⾏所產⽣的事件
應⽤程式活動監控
為檔案或資料夾建立名稱遮罩的規則編輯應⽤程式控制訊息範本
實施允許的應⽤程式清單的最佳實踐
配置應⽤程式的允許清單模式
測試允許清單模式
⽀援允許清單模式
網路連接埠監控
啟動對所有網路連接埠的監控
建立受監控網路連接埠的清單
建立所有網路連接埠受監控的應⽤程式清單匯出和匯入受監控的連接埠的清單
記錄檢查
配置預定義規則
新增⾃訂規則檔案完整性監控
編輯監控範圍
檢視系統完整性資訊密碼防護啟⽤密碼防護為單個使⽤者或群組授予權限
使⽤暫時密碼授予權限密碼防護權限的特殊⽅⾯
重設 KLAdmin 密碼
應⽤程式掃描排除項⽬
建立掃描排除項⽬
選擇可偵測的威脅類型編輯信任應⽤程式清單匯出和匯入受信任區域
使⽤受信任的系統憑證儲存
管理備份
配置備份區中的檔案的最⻑儲存期
設定備份區的最⼤容量從備份區中還原檔案從備份區中刪除檔案備份副本
通知服務設定事件⽇誌設定
設定通知的顯⽰和傳送
設定應⽤程式狀態警告在通知區域的顯⽰
使⽤者和管理員之間的訊息傳遞
管理報告
檢視報告
設定最⼤報告儲存時間設定報告檔案的最⼤容量將報告儲存到檔案
7

清理報告
Kaspersky Endpoint Security ⾃我防護
啟⽤和停⽤⾃我防護
啟⽤和停⽤ AM-PPL ⽀援
防護應⽤程式服務抵禦外部管理
⽀援遠端管理應⽤程式
Kaspersky Endpoint Security 的效能以及與其他應⽤程式的相容性
啟⽤或停⽤省電模式
啟⽤或停⽤允許其他應⽤程式使⽤資源
最佳化 Kaspersky Endpoint Security 效能的最佳實踐
資料加密加密功能限制變更加密⾦鑰的⻑度 (AES56 / AES256)
卡巴斯基磁碟加密
SSD 磁碟機加密的特殊功能
啟動卡巴斯基磁碟加密建立硬碟磁碟機加密排除清單匯出和匯入從加密範圍中排除的硬碟磁碟機清單
啟⽤單點登入 (SSO) 技術
管理⾝分驗證代理帳⼾
配合⾝分驗證代理使⽤令牌和智慧卡
硬碟磁碟機解密還原對受卡巴斯基磁碟加密技術防護的磁碟機的存取權限
使⽤⾝分驗證代理服務帳⼾登入
更新作業系統消除加密功能更新的錯誤
選取⾝分驗證代理偵錯等級
編輯⾝分驗證代理說明文字
測試執⾏⾝分驗證代理後，刪除剩餘物件與資料
BitLocker 管理
啟動 BitLocker 磁碟機加密
解密受 BitLocker 防護的硬碟磁碟機
還原對 BitLocker 防護的磁碟機的存取權限
暫停 BitLocker 防護以更新軟體
本機電腦磁碟機上檔案級加密
加密本機電腦磁碟中的檔案
為應⽤程式建立加密檔案存取規則
加密特定應⽤程式建立或修改的檔案
⽣成解密規則在本機電腦磁碟機上解密檔案
建立加密資料
還原對加密檔案的存取權限
作業系統故障後還原對加密檔案的存取編輯加密檔案存取訊息範本
卸除式磁碟機加密啟動卸除式磁碟機加密
新增卸除式磁碟機加密規則
匯出和匯入卸除式磁碟機的加密規則清單8

⽤於存取卸除式磁碟機上加密檔案的攜帶模式
卸除式磁碟機解密
檢視資料加密詳細資訊
檢視加密狀態在卡巴斯基安全管理中⼼的資訊顯⽰器上檢視加密統計資訊
檢視本機電腦磁碟機上檔案加密錯誤
檢視資料加密報告
無法存取加密裝置時的裝置使⽤使⽤ FDERT 還原實⽤程式還原資料
建立作業系統緊急修復光碟Detection and Response 解決⽅案
Kaspersky Endpoint Agent將 [KES+KEA] 配置遷移到 [KES+內建代理] 配置
Kaspersky Endpoint Agent 的政策和⼯作遷移Managed Detection and Response與 MDR 整合
MDR 的 KEA 到 KES 遷移指南
Endpoint Detection and Response與 Kaspersky Endpoint Detection and Response 整合
掃描洩露指⽰器（標準⼯作）移動檔案到隔離獲取檔案刪除檔案
處理程序啟動終⽌處理程序執⾏防護
電腦網路隔離Cloud Sandbox
EDR Optimum 的 KEA 到 KES 遷移指南
Kaspersky Sandbox
Kaspersky Sandbox 整合
新增 TLS 憑證
新增 Kaspersky Sandbox 伺服器
掃描洩露指⽰器（獨立⼯作）
Kaspersky Sandbox 的 KEA 到 KES 遷移指南
Kaspersky Anti Targeted Attack Platform (EDR)與 EDR (KATA) 進⾏整合
配置遙測
EDR (KATA) 的 KEA 到 KES 遷移指南
管理隔離
配置最⼤隔離⼤⼩將有關隔離檔案的資料傳送到卡巴斯基安全管理中⼼從隔離區中還原檔案
KSWS 到 KES 遷移指南
KSWS 和 KES 元件的對應關係
KSWS 和 KES 設定的對應關係
遷移 KSWS 元件
遷移 KSWS ⼯作和政策
9安裝 KES ⽽不是 KSWS
將 [KSWS+KEA] 配置遷移到 [KES+內建代理] 配置
確保已成功刪除 Kaspersky Security for Windows Server
使⽤ KSWS ⾦鑰啟動 KES
遷移⾼負載伺服器的特殊注意事項
從 [KSWS+KEA] 遷移到 KES 的⽰例
管理“核⼼模式”伺服器上的應⽤程式
從命令列管理應⽤程式
安裝應⽤程式啟動應⽤程式
移除應⽤程式AVP 命令SCAN。惡意軟體掃描
UPDATE。更新資料庫和程式模組
ROLLBACK。最近更新還原
TRACES。偵錯
START。啟動設定檔
STOP。停⽌設定檔
STATUS。設定檔狀態STATISTICS。設定檔操作統計
RESTORE。從備份區中還原檔案
EXPORT。匯出應⽤程式設定
IMPORT。匯入應⽤程式設定
ADDKEY。套⽤⾦鑰檔案
LICENSE。產品授權
RENEW。購買產品授權PBATESTRESET。在加密磁碟之前重設磁碟檢查結果
EXIT。結束應⽤程式
EXITPOLICY。停⽤政策
STARTPOLICY。啟⽤政策
DISABLE。停⽤防護SPYWARE。間諜軟體偵測
KSN。在 KSN / KPSN 之間切換
KESCLI 命令
掃描。惡意軟體掃描
GetScanState。掃描完成狀態
GetLastScanTime。確定掃描完成時間
GetThreats。獲取偵測到的威脅的資料
UpdateDe nitions。更新資料庫和程式模組
GetDe nitionState。確定更新完成時間
EnableRTP。啟⽤防護
GetRealTimeProtectionState。“檔案威脅防護”狀態
版本。識別應⽤程式版本
Detection and Response 管理指令
SANDBOX。管理 Kaspersky Sandbox
PREVENTION。管理執⾏防護ISOLATION。管理網路隔離
RESTORE。從隔離區中還原檔案
10

IOCSCAN。掃描查找洩露指⽰器 (IOC)MDRLICENSE.MDR 啟動
EDRKATA。與 EDR (KATA) 進⾏整合
錯誤代碼附錄。應⽤程式設定檔
透過 REST API 管理應⽤程式
使⽤ REST API 安裝應⽤程式
使⽤ API
關於應⽤程式的資訊源
聯絡技術⽀援服務偵錯檔案的內容和儲存
應⽤程式操作追蹤
應⽤程式效能追蹤傾印寫入防護傾印檔案和偵錯檔案
限制和警告
詞彙表
IOC
IOC 檔案
OLE 物件OpenIOC
受信任平台模組
受感染的檔案
可疑網⾴位址資料庫
存檔
⼯作
已感染檔案
憑證發佈者
掃描範圍
授權憑證
攜帶式檔案管理器
啟動⾦鑰
病毒資料庫
管理群組
網路代理
網⾴資源位址的正規表⽰式
解毒
誤報
⾝分驗證代理遮罩
釣⿂網⾴位址資料庫
防護範圍
附加密鑰
附錄
附錄 1。應⽤程式設定
檔案威脅防護Web 威脅防護
郵件威脅防護11網路威脅防護防火牆
BadUSB 攻擊防護AMSI 防護弱點利⽤防禦
⾏為偵測
主機入侵防禦
修復引擎
卡巴斯基安全網路記錄檢查
Web 控制裝置控制應⽤程式控制適應性異常控制
檔案完整性監控
端點感應器
Kaspersky Sandbox
Endpoint Detection and Response
Endpoint Detection and Response (KATA)
完整磁碟加密檔案級加密卸除式磁碟機加密模組（資料加密）排除
應⽤程式設定
報告和儲存
網路設定
介⾯
監控設定
更新資料庫和程式模組
附錄 2。應⽤程式信任群組
附錄 3。檔案延伸程式，⽤於快速掃描卸除式磁碟機
附錄 4。郵件威脅防護附件過濾器的檔案類型
附錄 5。與外部服務交互的網路設定
附錄 6。應⽤程式事件
緊急
功能失敗
警告
資訊訊息
附錄 7。受⽀援的執⾏防護的檔案副檔名附錄 8。⽀援執⾏防⽌的指令碼解譯器附錄 9。登錄檔中的IOC 掃描範圍 (RegistryItem)
附錄 10。IOC 檔案要求有關協⼒廠商代碼的資訊
商標聲明

12

Kaspersky Endpoint Security for Windows 說明

版本 12.2 新增功能
現在您可以為網路威脅防護排除項⽬選擇協定和連接埠 。現在除了指定受信任裝置的 IP 位址外，您還可以選擇連接埠和協定。這使您可以排除個別資料流並防⽌來⾃受信任 IP 位址的網路攻擊。
每個版本 Kaspersky Endpoint Security for Windows 中的新增功能

準備開始
Kaspersky Endpoint Security for Windows 部署
Kaspersky Endpoint Security for Windows 初始設定
Kaspersky Endpoint Security for Windows 授權

消除威脅
⼯作站上
伺服器上
回應偵測到洩露指⽰（網路隔離 → 隔離 → 執⾏防護）將 KES ⽤作其它解決⽅案的⼀部分
Kaspersky EDR
Kaspersky Sandbox
Kaspersky MDR

資料提供
根據最終使⽤者產品授權協議當使⽤ KSN 時
GDPR

13

新增功能
更新 12.2
Kaspersky Endpoint Security 12.2 for Windows 提供了以下功能和改進：
1. 向控制與 Wi-Fi 網路的連線 新增了 WPA3 協定⽀援。現在您可以在受信任的 Wi-Fi 網路設定中選擇 WPA3 協定，並拒絕連線到使⽤不太安全的協定的網路。
2. 現在您可以為網路威脅防護排除項⽬選擇協定和連接埠 。現在除了指定受信任裝置的 IP 位址外，您還可以選擇連接埠和協定。這使您可以排除個別資料流並防⽌來⾃受信任 IP 位址的網路攻擊。
3. 如果政策被套⽤於電腦，本機更新 task 的不同更新來源順序。卡巴斯基安全管理中⼼伺服器，⽽不是卡巴斯
基伺服器，現在被預設⽤作第⼀個更新來源。這有助於在使⽤者執⾏本機更新⼯作時節省流量。
4. 透過改進被掃描檔案的快取演算法，應⽤程式效能得到提⾼。

更新 12.1
Kaspersky Endpoint Security 12.1 for Windows 提供了以下功能和改進：
1. 新增了 Kaspersky Anti Targeted Attack Platform 解決⽅案的內建代理。您不再需要 Kaspersky Endpoint Agent來使⽤ EDR (KATA)。Kaspersky Endpoint Agent 的所有功能將由 Kaspersky Endpoint Security 執⾏。若要遷移
Kaspersky Endpoint Agent 政策，請使⽤遷移精靈。更新應⽤程式後，Kaspersky Endpoint Security 將切換到使⽤內建代理並刪除 Kaspersky Endpoint Agent。Kaspersky Endpoint Agent 已新增⾄不相容的軟體清單中。
Kaspersky Endpoint Security 具有適⽤於所有 Detection and Response 解決⽅案的內建代理，因此不再需要安
裝 Kaspersky Endpoint Agent 來與這些解決⽅案整合。
2. 現在⽀援 Azure WVD 相容模式。此功能允許在 Kaspersky Anti Targeted Attack Platform 主控台中正確顯⽰
Azure 虛擬機的狀態。Azure WVD 相容模式允許為這些虛擬機分配永久唯⼀的感應器 ID。
3. 現在，您可以在 iTunes 或類似應⽤程式中設定⾏動裝置的使⽤者存取權限。例如，您可以允許⾏動裝置只在iTunes 中使⽤並阻⽌將⾏動裝置作為卸除式磁碟機使⽤。該應⽤程式還⽀援 Android 偵錯橋接器 (ADB) 應⽤程
式的這些規則。
4. 不再⽀援卡巴斯基安全管理中⼼版本 11。將卡巴斯基安全管理中⼼升級到最新版本。

更新 12.0
Kaspersky Endpoint Security 12.0 for Windows 提供了以下功能和改進：
1. Kaspersky Endpoint Security 在伺服器上的操作得到了改進。現在您可以從 Kaspersky Security for Windows
Server 遷移到 Kaspersky Endpoint Security for Windows，並使⽤單⼀解決⽅案來防護⼯作站和伺服器。若要
遷移應⽤程式設定，請執⾏政策和⼯作批轉換精靈。KSWS 產品授權⾦鑰可⽤於啟動 KES。遷移到 KES 後，您甚⾄不需要重新啟動伺服器。有關遷移到 KES 的更多資訊，請參閱遷移指南 。
2. 屬於 Amazon Machine Image (AMI) 中付費虛擬機映像的應⽤程式的許可得到了改進。無需單獨啟動應⽤程式。在這種情況下，卡巴斯基安全管理中⼼使⽤已新增到應⽤程式的雲端環境的產品授權⾦鑰。
3. 裝置控制得到了改進：14對於攜帶式裝置 (MTP)，您可以設定存取規則（閱讀/寫入），選擇具有裝置存取權限的使⽤者或者使⽤者
群組，或者設定裝置存取排程。現在，您可以⽤和針對卸除式磁碟機⼀樣的⽅式建立攜帶式裝置存取規則。
現在，您可以在 Android Debug Bridge (ADB) 或類似應⽤程式中設定⾏動裝置的使⽤者存取權限。例如，
您可以允許⾏動裝置只在 ADB 中使⽤並阻⽌將⾏動裝置作為卸除式磁碟機使⽤。
現在，即使⾏動裝置存取被封鎖，您也可以透過將⾏動裝置連線到電腦的 USB 連接埠來為其充電。
對於印表機，您現在可以為使⽤者設定列印權限。Kaspersky Endpoint Security ⽀援控制對本機和網路印
表機的存取。現在，您可以允許或者阻⽌單個使⽤者在本機或者網路印表機上列印。
新增了 WPA3 協定⽀援以控制與 Wi-Fi 網路的連線。現在您可以在受信任的 Wi-Fi 網路設定中選擇使⽤
WPA3 協定，並拒絕連線到使⽤不太安全的協定的網路。

更新 11.11.0
Kaspersky Endpoint Security 11.11.0 for Windows 提供了以下功能和改進：
1. 已新增的伺服器的記錄檢查元件。記錄檢查會基於 Windows 事件記錄分析結果監控受防護環境的完整性。如果應⽤程式在系統中偵測到有非典型⾏為的跡象，它會通知管理員，因為該⾏為可能表明有⼈嘗試網路攻擊。
2. 已新增伺服器的檔案完整性監控元件。檔案完整性監控會偵測給定監控區域中的物件（檔案和資料夾）變
更。這些變更可能表明有電腦安全入侵。當偵測到物件變更時，應⽤程式會通知管理員。
3. Kaspersky Endpoint Detection and Response Optimum (EDR Optimum) 的警⽰詳細資訊介⾯得到了改進。威脅發展鏈的元素得到了統⼀，鏈條中程序之間的連接不再重疊。這使得分析威脅的演化更容易。
4. 改進了應⽤程式效能。為此⽬的，網路威脅防護元件的網路流量處理得到了最佳化。
5. 新增了“升級 Kaspersky Endpoint Security ⽽無需重新啟動”的選項。這可讓您確保升級應⽤程式時伺服器的作
業不中斷。從版本 11.10.0 開始您可以升級應⽤程式⽽無需重新啟動。從版本 11.11.0 開始您可以安裝修補程式⽽
無需重新啟動。
6. “病毒掃描”⼯作在卡巴斯基安全管理中⼼主控台中進⾏了重命名。該⼯作現在稱為“惡意軟體掃描”。

更新 11.10.0

15

Kaspersky Endpoint Security 11.10.0 for Windows 提供了以下功能和改進：
1. 新增了對使⽤卡巴斯基完整磁碟加密進⾏單點登入的協⼒廠商憑據提供者的⽀援。Kaspersky Endpoint
Security 監控 ADSelfService Plus 的使⽤者密碼並在使⽤者變更密碼（例如）時更新⾝分驗證代理的資料。
2. 新增了啟⽤顯⽰ Cloud Sandbox 技術偵測到的威脅的選項。這項技術對 Endpoint Detection andResponse 解決⽅案（EDR Optimum 或 EDR Expert）的使⽤者可⽤。Cloud Sandbox 技術可讓您偵測電腦
上的進階威脅。Kaspersky Endpoint Security ⾃動將被偵測檔案轉寄到 Cloud Sandbox 進⾏分析。Cloud
Sandbox 在隔離環境中執⾏這些檔案以識別惡意活動和決定其信譽。
3. 向 EDR Optimum 使⽤者的警⽰詳情新增了有關檔案的其它資訊。警⽰詳情現在包括有關信任群組、數位
簽名和檔案發佈的資訊，以及其它資訊。您也可以從警⽰詳情直接跳到 Kaspersky Threat Intelligence
Portal (KL TIP) 上的詳細檔案描述。
4. 改進了應⽤程式效能。為此，我們最佳化了背景掃描操作並新增了如果掃描已經在執⾏時佇列掃描⼯作
的能⼒。

更新 11.9.0
Kaspersky Endpoint Security 11.9.0 for Windows 提供了以下功能和改進：
1. 現在，您可以在使⽤卡巴斯基磁碟加密時建立⼀個⾝分驗證代理服務帳⼾。獲取電腦的存取權限時（例如，當使⽤者忘記密碼時）需要該服務帳⼾。您也可以將服務帳⼾作為備⽤帳⼾。
2. Kaspersky Endpoint Agent 分發套件不再是應⽤程式分發套件的⼀部分。若要⽀援 Detection andResponse 解決⽅案，您可以使⽤ Kaspersky Endpoint Security 內建代理。必要的話，您可以從
Kaspersky Anti Targeted Attack 平台分發套件下載 Kaspersky Endpoint Agent 分發套件。
3. Kaspersky Endpoint Detection and Response Optimum (EDR Optimum) 的警⽰詳細資訊介⾯得到了改進。
威脅響應功能現在具有⼯具提⽰。當偵測到洩露指⽰時，系統還會顯⽰確保公司基礎結構安全的逐步操作指⽰。
4. 現在，您可以⽤ Kaspersky Hybrid Cloud Security 產品授權⾦鑰啟動 Kaspersky Endpoint Security for
Windows。
5. 新增了關於與憑證不受信任的網域建立連線和加密連線掃描錯誤的新事件。

更新 11.8.0

16

Kaspersky Endpoint Security 11.8.0 for Windows 提供了以下功能和改進：
1. 新增了內建代理以⽀援 Kaspersky Endpoint Detection and Response Expert 解決⽅案的操作。Kaspersky
Endpoint Detection and Response Expert 是⽤於防護公司 IT 基礎架構抵禦進階網路威脅的解決⽅案。該解決⽅案的功能結合了⾃動偵測威脅和回應這些威脅的能⼒，以抵消包括新漏洞、勒索軟體、無檔案攻擊以及使⽤合法系統⼯具的⽅法。EDR Expert 比 EDR Optimum 提供更多的威脅監控和回應功能。有關解
決⽅案的更多資訊，請參⾒Kaspersky Endpoint Detection and Response Expert 說明 。
2. 網路監控介⾯現已改進。除了 TCP 之外，網路監控現在還顯⽰ UDP 通訊協定。
3. 病毒掃描⼯作得到了改進。如果您在掃描期間重新啟動了電腦，Kaspersky Endpoint Security 將⾃動執⾏
⼯作，從掃描被中斷的地⽅繼續。
4. 現在您可以設定⼯作執⾏時間限制。您可以限制病毒掃描和IOC 掃描⼯作的執⾏時間。超出指定時間
後，Kaspersky Endpoint Security 將停⽌⼯作。例如，為了減少病毒掃描⼯作執⾏時間，您可以配置掃描
範圍或者最佳化掃描。
5. 為 Windows 10 Enterprise 多⼯作階段上安裝的應⽤程式解除了伺服器平台的限制。Kaspersky Endpoint
Security 限制將 Windows 10 Enterprise 多⼯作階段視為⼯作站作業系統⽽不是伺服器作業系統。相應的，伺服器平台限制不再套⽤於 Windows 10 Enterprise 多⼯作階段上的應⽤程式。此外，應⽤程式使⽤⼯作站產品授權⾦鑰進⾏啟動，⽽不是伺服器產品授權⾦鑰。

更新 11.7.0

17

Kaspersky Endpoint Security for Windows 11.7.0 提供以下新功能和改進：
1. Kaspersky Endpoint Security for Windows 介⾯得到更新。
2. ⽀援 Windows 11、Windows 10 21H2 和 Windows Server 2022。
3. 新增了新元件：
已新增⽤於和 Kaspersky Sandbox 進⾏整合的內建代理。Kaspersky Sandbox 解決⽅案可偵測和⾃動
封鎖電腦上的進階威脅。Kaspersky Sandbox 會分析物件⾏為以偵測惡意⾏動和組織的 IT 基礎架構上
的針對性攻擊所特有的活動。Kaspersky Sandbox 會分析和掃描部署了 Microsoft Windows 作業系統的
虛擬影像的特殊伺服器（Kaspersky Sandbox 伺服器）上的物件。有關解決⽅案的詳情，請參閱Kaspersky Sandbox 說明 。
您不再需要 Kaspersky Endpoint Agent 來使⽤ Kaspersky Sandbox。Kaspersky Endpoint Agent 的所有
功能將由 Kaspersky Endpoint Security 執⾏。若要遷移 Kaspersky Endpoint Agent 政策，請使⽤遷移
精靈。您需要卡巴斯基安全管理中⼼ 13.2 以便 Kaspersky Sandbox 的所有功能⼯作。若要瞭解從Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security for Windows 的詳細資訊，請參閱“應⽤程式說明”。
新增了內建代理以⽀援 Kaspersky Endpoint Detection and Response Optimum 解決⽅案的操作。
Kaspersky Endpoint Detection and Response Optimum 是⽤於防護組織的 IT 基礎架構抵禦進階網路威
脅的解決⽅案。該解決⽅案的功能結合了⾃動偵測威脅和回應這些威脅的能⼒，以抵消包括新漏洞、勒索軟體、無檔案攻擊以及使⽤合法系統⼯具的⽅法。有關解決⽅案的更多資訊，請參⾒Kaspersky
Endpoint Detection and Response Optimum 說明 。
您不再需要 Kaspersky Endpoint Agent 來使⽤ Kaspersky Endpoint Detection and Response。
Kaspersky Endpoint Agent 的所有功能將由 Kaspersky Endpoint Security 執⾏。若要遷移 Kaspersky
Endpoint Agent 政策和⼯作，請使⽤遷移精靈。若要使⽤所有功能，Kaspersky Endpoint Detection
and Response Optimum 需要卡巴斯基安全管理中⼼ 13.2。若要瞭解從 Kaspersky Endpoint Agent 遷移
到 Kaspersky Endpoint Security for Windows 的詳細資訊，請參閱“應⽤程式說明”。
4. 以新增適⽤於 Kaspersky Endpoint Agent 政策和⼯作的遷移精靈。遷移精靈將為 Kaspersky Endpoint
Security for Windows 建立新的合併政策和⼯作。該精靈可允許 Detection and Response 解決⽅案從
Kaspersky Endpoint Agent 轉換到 Kaspersky Endpoint Security。Detection and Response 解決⽅案包括
Kaspersky Sandbox、 Kaspersky Endpoint Detection and Response Optimum (EDR Optimum)、和Kaspersky Managed Detection and Response (MDR)。
5. 分發套件中包含的 Kaspersky Endpoint Agent 已更新⾄版本 3.11。
當升級 Kaspersky Endpoint Security 時，應⽤程式會偵測版本和指定 Kaspersky Endpoint Agent 的⽬的。
如果 Kaspersky Endpoint Agent 被指定⽤於操作 Kaspersky Sandbox、Kaspersky Managed Detection andResponse (MDR) 和 Kaspersky Endpoint Detection and Response Optimum (EDR Optimum)，Kaspersky
Endpoint Security 將把這些解決⽅案的操作轉換到應⽤程式的內建代理。對於 Kaspersky Sandbox 和EDR Optimum，應⽤程式會⾃動解除安裝 Kaspersky Endpoint Agent。對於 MDR，您可以⼿動解除安裝Kaspersky Endpoint Agent。如果 Kaspersky Endpoint Agent 被指定⽤於操作 Kaspersky Endpoint
Detection and Response Expert (EDR Expert)，Kaspersky Endpoint Security 將升級 Kaspersky Endpoint
Agent 的版本。有關該應⽤程式的更多詳細資訊，請參閱⽀援 Kaspersky Endpoint Agent 的 Kaspersky 解
決⽅案的文件。
6. BitLocker 加密功能得到改進：
增強 PIN 現在可以和“BitLocker 磁碟機加密”使⽤。增強 PIN 允許使⽤除了數字字元的其它字元：⼤寫
和⼩寫拉丁字⺟，特殊字元，和空格。
新增了停⽤⽤於升級作業系統或者安裝更新套件的 BitLocker ⾝分驗證的功能。安裝更新可能需要多次重啟電腦。為了正確安裝更新，您可以暫時關閉 BitLocker ⾝分驗證並在安裝更新後重新啟⽤⾝分驗證。

18

現在您可以為 BitLocker 加密密碼或者 PIN 設定⼀個到期時間。當密碼或者 PIN 到期時，Kaspersky
Endpoint Security 會提⽰使⽤者設定新密碼。
7. 現在您可以設定 BadUSB 攻擊防護的鍵盤授權嘗試最⼤數量。當達到設定的授權碼輸入失敗嘗試數量時，USB 裝置會被暫時鎖定。
8. 防火墻功能得到改進：
現在您可以設定⼀個⽤於防火墻封包規則的 IP 位址範圍。您可以輸入 IPv4 或者 IPv6 格式的位址範圍。例如，192.168.1.1-192.168.1.100 或者 12:34::2-12:34::99。
現在您可以為防火墻封包規則輸入 DNS 名稱⽽不是 IP 位址。您應該將 DNS 名稱僅⽤於 LAN 電腦後者內部服務。與雲端服務（例如 Microsoft Azure）和其他網際網路資源的交互應該由 Web 控制元件進⾏處理。
9. Web 控制規則搜尋得到改進。若要搜尋網⾴資源存取規則，除了規則名稱外，您可以使⽤網站的 URL、
使⽤者名稱、內容類別、或者資料類型。
10. 病毒掃描⼯作得到了改進：空閒模式中的病毒掃描⼯作得到了改進。如果您在掃描期間重新啟動了電腦，Kaspersky Endpoint
Security 將⾃動執⾏⼯作，從掃描被中斷的地⽅繼續。

病毒掃描⼯作得到了最佳化。預設 Kaspersky Endpoint Security 只在電腦空閒時執⾏掃描。您可以在⼯作內容中設定何時執⾏電腦掃描。

11. 現在您可以限制對應⽤程式活動監控提供的資料的使⽤者存取權限。應⽤程式活動監控是⼀個⽤於即時
檢視使⽤者電腦上的應⽤程式活動資訊的⼯具。管理員可以在應⽤程式政策內容中向使⽤者隱藏應⽤程式活動監控。
12. 改進了透過 REST API 管理應⽤程式的安全性。現在 Kaspersky Endpoint Security 可驗證透過 REST API 傳
送的要求的簽章。若要管理程序，您需要安裝請求識別憑證。

19

Kaspersky Endpoint Security 11.4.0 for Windows 提供了以下功能和改進：
1. 全新設計的⼯作列通知區域中的程式圖⽰。現在將顯⽰全新的 圖⽰，以取代原來的 圖⽰。如果需要
使⽤者執⾏操作（例如，在更新應⽤程式後重新啟動電腦），則圖⽰將變更為 。如果應⽤程式的防護
元件被停⽤或發⽣故障，則圖⽰將變更為 或 。如果將滑鼠懸停在該圖⽰上⽅，Kaspersky Endpoint
Security 將顯⽰有關電腦防護問題的敘述。
2. 分發套件中包含的 Kaspersky Endpoint Agent 已更新⾄版本 3.9。Kaspersky Endpoint Agent 3.9 ⽀援與新的卡巴斯基解決⽅案整合。有關該應⽤程式的更多詳細資訊，請參閱⽀援 Kaspersky Endpoint Agent 的Kaspersky 解決⽅案的文件。
3. 為 Kaspersky Endpoint Security 元件新增了“產品授權不⽀援”狀態。您可以在”主應⽤程式視窗“中的元件
清單中檢視元件的狀態。
4. 來⾃弱點利⽤防禦的新事件已新增到報告中。
5. 現在，在啟動磁碟機加密時，會⾃動將卡巴斯基磁碟加密技術的驅動程式新增到 Windows 還原環境
(WinRE) 中。安裝該應⽤程式時，會向 Kaspersky Endpoint Security 的早期版本新增驅動程式。在受到卡巴斯基磁碟加密技術防護的電腦上還原作業系統時，向 WinRE 新增驅動程式可以提⾼應⽤程式的穩定
性。
端點感應器元件已從 Kaspersky Endpoint Security 中刪除。如果電腦上已安裝 Kaspersky Endpoint
Security 版本 11.0.0 ⾄ 11.3.0，您仍然可以在政策中設定端點感應器設定。

20

Kaspersky Endpoint Security 11.5.0 for Windows 提供了以下功能和改進：
1. ⽀援 Windows 10 20H2。有關對 Microsoft Windows 10 作業系統的⽀援的詳細資訊，請參閱技術⽀援知識庫 。
2. 更新的應⽤程式介⾯。還更新了通知區域、應⽤程式通知和對話框中的應⽤程式圖⽰。
3. 改進了⽤於應⽤程式控制、裝置控制和⾃適應異常控制元件的 Kaspersky Endpoint Security 網⾴外掛程式
的介⾯。
4. 新增了以 XML 格式匯入和匯出規則和排除項⽬清單的功能。XML 格式允許您在清單匯出後對其進⾏編
輯。您只能在卡巴斯基安全管理中⼼主控台中管理清單。以下清單可⽤於匯出/匯入：⾏為偵測（排除項⽬清單）。
Web 威脅防護（受信任的網址清單）。
郵件威脅防護（附件篩選延伸程式清單）。
網路威脅防護（排除項⽬清單）。
防火牆（網路封包規則清單）。
應⽤程式控制（規則清單）。
Web 控制（規則清單）。
網路連接埠監控（Kaspersky Endpoint Security 監控的連接埠和應⽤程式清單）。
卡巴斯基磁碟加密（排除項⽬清單）。
卸除式磁碟機加密（規則清單）。
5. 物件 MD5 資訊已新增到威脅偵測報告中。在應⽤程式的早期版本中，Kaspersky Endpoint Security 僅顯
⽰物件的 SHA256。
6. 在“裝置控制”設定中新增了為裝置存取規則分配優先順序的功能。優先順序分配可讓使⽤者對裝置存取的
設定更加靈活。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據具有最⾼優先順
序的規則來管理裝置存取。例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組分配優先順序 0，為 Everyone 群組分配優先順序 1。您只能為具有檔案系統的裝置配置優先順序。這包括硬碟磁碟機、卸除式磁碟機、軟碟、CD / DVD 磁碟機和可攜式裝置（MTP）。
7. 新增了新功能：
管理⾳頻通知。
如果網際網路連線受到限制（例如，透過⾏動連線），則網路數據流量控制 Kaspersky Endpoint
Security 會限制其⾃⾝的網路流量。
透過受信任的遠端管理應⽤程式（例如 TeamViewer、LogMeIn Pro 和 Remotely Anywhere）來管理
Kaspersky Endpoint Security 設定。您可以使⽤遠端管理應⽤程式來啟動 Kaspersky Endpoint Security
並在應⽤程式介⾯中管理設定。
管理在 Firefox 和 Thunderbird 中的安全流量掃描設定。您可以選擇 Mozilla 將使⽤的憑證儲存：
Windows 憑證儲存或 Mozilla 憑證儲存。此功能僅適⽤於沒有套⽤政策的電腦。如果將政策套⽤於電21腦，Kaspersky Endpoint Security 會⾃動啟⽤在 Firefox 和 Thunderbird 中使⽤ Windows 憑證儲存。
8. 新增了配置安全流量掃描模式的功能：即使停⽤防護元件也始終掃描流量，或者在防護元件請求時掃描流量。
9. 修改了從報告中刪除資訊的處理程序。使⽤者只能刪除所有報告。在應⽤程式的先前版本中，使⽤者可以選擇特定的應⽤程式元件，這些元件的資訊將被從報告中刪除。
10. 修改了⽤於匯入包含 Kaspersky Endpoint Security 設定的設定檔的處理程序，以及修改了⽤於還原應⽤程
式設定的處理程序。匯入或還原之前，Kaspersky Endpoint Security 僅顯⽰警告。在該應⽤程式的早期版
本中，您可以在套⽤新設定之前檢視它們的值。
11. 簡化恢復對由 BitLocker 加密的磁碟機存取的程序。完成存取恢復程序後，Kaspersky Endpoint Security
會提⽰使⽤者設定新密碼或 PIN 代碼。設定新密碼後，BitLocker 將加密磁碟機。在應⽤程式的早期版本
中，使⽤者必須在 BitLocker 設定中⼿動重置密碼。
12. 使⽤者現在可以為特定電腦建立⾃⼰的本機受信任區域。這樣，除了政策中的⼀般受信任區域之外，使⽤者還可以建立⾃⼰的”排除項⽬“和”受信任應⽤程式“的本機清單。管理員可以允許或封鎖使⽤本機排除
項⽬或本機受信任的應⽤程式。管理員可以使⽤卡巴斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
13. 新增了在受信任應⽤程式的屬性中輸入註解的功能。註解有助於簡化對受信任應⽤程式的搜尋和排序。
14. 透過 REST API 管理應⽤程式：
現在可以配置 Outlook 的郵件威脅防護延伸程式的設定。
禁⽌停⽤病毒、蠕蟲和特洛伊⽊⾺偵測。

22

Kaspersky Endpoint Security 11.6.0 for Windows 提供了以下功能和改進：
1. ⽀援 Windows 10 21H1。有關對 Microsoft Windows 10 作業系統的⽀援的詳細資訊，請參閱技術⽀援知識
庫 。
2. Managed Detection and Response 元件已新增。該元件有助於與稱為 Kaspersky Managed Detection andResponse 的解決⽅案進⾏交互。Kaspersky Managed Detection and Response（MDR）提供全天候的防護，以免受越來越多的威脅侵害，這些威脅能夠繞過⼀些組織的⾃動防護機制，這些組織難以找到⾼素質專家或內部資源有限。如欲瞭解該解決⽅案如何⼯作的詳細資訊，請參閱 Kaspersky Managed
Detection and Response 說明。
3. 分發套件中包含的 Kaspersky Endpoint Agent 已更新⾄版本 3.10。Kaspersky Endpoint Agent 3.10 提供了
新功能，解決了⼀些以前的問題，並提⾼了穩定性。有關該應⽤程式的更多詳細資訊，請參閱⽀援
Kaspersky Endpoint Agent 的 Kaspersky 解決⽅案的文件。
4. 現在，它在“網路威脅防護設定”中提供的功能可管理防護以抵禦諸如網路泛洪和連接埠掃描之類的攻擊。
5. 新增了為防火牆建立網路規則的新⽅法。您可以為“網路監控“視窗中顯⽰的連線新增”封包規則“和”應⽤程式規則“。但是，網路規則連線設定將⾃動配置。
6. 網路監控介⾯現已改進。新增了有關網路活動的資訊：處理程序 ID，⽤於啟動網路活動；網路類型（本機網路或網際網路）；本機連接埠。預設隱藏有關網路類型的資訊。
7. 現在，可以為新的 Windows 使⽤者⾃動建立⾝分驗證代理帳⼾。該代理允許使⽤者完成⾝分驗證，以存
取使⽤卡巴斯基磁碟加密技術加密的磁碟機，並加載作業系統。該應⽤程式可檢查有關電腦上 Windows
使⽤者帳⼾的資訊。如果 Kaspersky Endpoint Security 偵測到沒有⾝分驗證代理帳⼾的 Windows 使⽤者
帳⼾，則應⽤程式將建立⼀個新帳⼾來存取加密的磁碟機。這意味著您不需要為具有已加密磁碟機的電腦⼿動新增⾝分驗證代理帳⼾。
8. 現在可以監視使⽤者電腦上的應⽤程式介⾯中的磁碟加密處理程序（卡巴斯基磁碟加密和 BitLocker）。
您可以從“主應⽤程式視窗”執⾏加密監控⼯具。

常⾒問題

⼀般

網際網路

Kaspersky Endpoint Security 可以在哪些電腦上執⾏？
⾃上個版本以來有哪些變更？
Kaspersky Endpoint Security 可以與其他哪些 Kaspersky
應⽤程式⼀起執⾏？
如何在 Kaspersky Endpoint Security 執⾏期間節省電腦資源？

Kaspersky Endpoint Security 是否掃描加密連線 (HTTPS)？
如何允許使⽤者只連線到受信任的 Wi-Fi 網路？
如何封鎖社群網路？

應⽤程式
佈署如何將 Kaspersky Endpoint Security 安裝到組織的所有電腦上？

如何找出使⽤者電腦上安裝了哪些應⽤程式（資產）？
如何防⽌執⾏電腦遊戲？

哪些安裝設定可以在命令列中配置？

如何驗證“應⽤程式控制”是否已正確配置？

如何遠端移除 Kaspersky Endpoint Security？

如何將應⽤程式新增到受信任清單？
23

更新

裝置

有哪些⽅法可以更新資料庫？

如何封鎖使⽤快閃記憶體磁碟機？

如果更新後出現問題應該怎麼辦？

如何將裝置新增⾄受信任清單？

如何更新公司網路外部的資料庫？

是否能獲取對封鎖的裝置的存取權限？

是否能使⽤代理伺服器進⾏更新？
加密在哪些條件下無法進⾏加密？

安全Kaspersky Endpoint Security 如何掃描電⼦郵件？

如何使⽤密碼限制對壓縮檔案的存取？

如何從掃描中排除受信任的檔案？

是否能使⽤加密的智慧卡和權杖？

如何防護電腦免受快閃記憶體磁碟機中的病毒的侵害？

如果未與卡巴斯基安全管理中⼼連線，是否能存取加密資料？

如何執⾏對使⽤者隱藏的惡意軟體掃描？
如何暫時暫停 Kaspersky Endpoint Security 的防護？
如何還原 Kaspersky Endpoint Security 錯誤刪除的檔案？

如果電腦作業系統出現故障但資料仍然加密，應該怎麼辦？

如何防護 Kaspersky Endpoint Security 不被使⽤者移除？
⽀援

報告檔案儲存在何處？
如何建立偵錯檔案？
如何啟⽤傾印寫入？

24

Kaspersky Endpoint Security for Windows
Kaspersky Endpoint Security for Windows（以下簡稱 Kaspersky Endpoint Security）為電腦提供全⾯防護，封鎖各種類型的威脅、網路攻擊和釣⿂攻擊。
該應⽤程式不適⽤於涉及⾃動化控制系統的技術流程。為了防護此類系統中的裝置，建議使⽤ Kaspersky
Industrial CyberSecurity for Nodes 應⽤程式。

根據相關限制性措施，從 2024 年 9 ⽉ 10 ⽇東部夏令時間 (EDT) 凌晨 0 點起，在美國境內使⽤的軟體將無法
提供更新功能（包括防毒軟體簽章更新和程式碼庫更新）和 KSN 功能。

威脅偵測技術機器 學習Kaspersky Endpoint Security 使⽤基於機器
學習的模型。該模型由 Kaspersky 專家開發。隨後，模型被不斷灌輸以 KSN 的威脅
資料（模型訓練）。

雲端 分析
Kaspersky Endpoint Security 接收來⾃卡巴斯基安全網路的威脅資料。卡巴斯基安全網路（KSN）是雲端服務的基礎結構，可提供對線上卡巴斯基知識庫的存取，該知識
庫包含有關檔案、網⾴資源和軟體信譽的
資訊。

專家分析
Kaspersky Endpoint Security 使⽤Kaspersky 病毒分析師新增的威脅資料。如果物件的信譽無法⾃動確定，則病毒分析
師將評估物件。

⾏為 分析
Kaspersky Endpoint Security 會及時分析物件的活動。

⾃動 分析
Kaspersky Endpoint Security 接收來⾃物件⾃動分析系統的資料。系統處理傳送到 Kaspersky 的所有物件。系統然後確
定物件的信譽，並將資料新增⾄病毒資料庫。如果系統無法確定物件的信譽，則系統會查詢 Kaspersky 病毒分析。

Kaspersky Sandbox
Kaspersky Endpoint Security 會處理虛擬機中的物件。
Kaspersky Sandbox 會分析物件的⾏為並就其信譽做出決定。該技術只有在您使⽤ Kaspersky Sandbox 解決⽅案時才
可使⽤。

Cloud Sandbox
Kaspersky Endpoint Security 在卡巴斯基提供的隔離環境中掃描物件。Cloud Sandbox 技術永久啟⽤，對所有卡巴斯基
安全網路使⽤者可⽤，與他們使⽤的產品授權類型無關。如果您已經部署 Endpoint Detection and Response Optimum，
可以為 Cloud Sandbox 偵測到的威脅啟⽤單獨的計數器。

選取⽬錄
每種類型的威脅是由專⾨的元件處理。各個元件均可獨立啟⽤或停⽤，並可以配置其設定。
選取⽬錄

區域

關鍵威脅
防護

元件

檔案威脅防護25

“檔案威脅防護”元件允許您防⽌電腦的檔案系統受到感染。預設情況下，“檔案威脅防護”元件
會永久常駐在電腦的 RAM 中。該元件將掃描電腦所有磁碟機以及連接之磁碟機上的檔案。該元件借助防毒資料庫、卡巴斯基安全網路雲端服務和啟發式分析來提供電腦防護。
Web 威脅防護“Web 威脅防護”元件可防⽌從網際網路下載惡意檔案，同時封鎖惡意網站和釣⿂網站。該元
件借助防毒資料庫、卡巴斯基安全網路雲端服務和啟發式分析來提供電腦防護。
郵件威脅防護“郵件威脅防護”元件掃描傳送和接收電⼦郵件的附件是否有病毒和其他威脅。預設情況下，“郵件威脅防護”元件會永久常駐在電腦的 RAM 中，並掃描使⽤ POP3、SMTP、IMAP 或 NNTP
協定或 Microsoft O ice Outlook 郵件⽤⼾端 (MAPI) 接收或傳送的所有郵件。該元件借助防毒
資料庫、卡巴斯基安全網路雲端服務和啟發式分析來提供電腦防護。
網路威脅防護網路威脅防護元件（也稱為入侵偵測系統）可監控入站網路流量以了解網路攻擊的活動特徵。當 Kaspersky Endpoint Security 偵測到在使⽤者電腦上有網路攻擊企圖時，它將封鎖與攻擊電腦的連線。Kaspersky Endpoint Security 資料庫提供⽬前已知類型的網路攻擊以及應對
⽅法。“網路威脅防護”元件偵測到的網路攻擊清單在資料庫和應⽤程式模組更新期間更新。
防火牆
在網際網路或區域網路上⼯作時，防火牆會封鎖未經授權的電腦連線。防火牆還控制電腦上
應⽤程式的網路活動。這允許您防護公司區域網路免受⾝分竊盜和其他攻擊。該元件借助防毒資料庫、卡巴斯基安全網路雲端服務和預先定義的網路規則來提供電腦防護。
BadUSB 攻擊防護BadUSB 攻擊防護元件可以防⽌受感染的模擬鍵盤的 USB 裝置連線⾄電腦。
AMSI 防護AMSI 防護元件旨在⽀援 Microsoft 的惡意軟體防護掃描介⾯。惡意軟體防護掃描介⾯ (AMSI)
允許具有 AMSI ⽀援的協⼒廠商應⽤程式將物件（例如，PowerShell 指令碼）傳送到
Kaspersky Endpoint Security 進⾏附加掃描，然後接收這些物件的掃描結果。
進階威脅防護卡巴斯基安全網路

卡巴斯基安全網路（KSN）是雲端服務的基礎結構，可提供對線上卡巴斯基知識庫的存取，該知識庫包含有關檔案、網⾴資源和軟體信譽的資訊。使⽤卡巴斯基安全網路的資料可確保
Kaspersky Endpoint Security 能夠更快地對新型威脅作出回應，提⾼⼀些防護元件的效能，並減少誤報風險。如果您正在參與卡巴斯基安全網路，KSN 服務將為 Kaspersky Endpoint
Security 提供有關所掃描檔案的類別和信譽的資訊，以及有關所掃描網址的信譽的資訊。
⾏為偵測“⾏為偵測”元件接收您電腦上的應⽤程式操作的資訊，並將此資訊提供給其他防護元件以提⾼效能。“⾏為偵測”元件將⾏為流簽章 (BSS) ⽤於應⽤程式。如果應⽤程式操作比對危險活動⾏
為流簽章，Kaspersky Endpoint Security 將執⾏選定的回應操作。根據危險活動⾏為流簽章的
Kaspersky Endpoint Security 功能為電腦提供主動防禦。
弱點利⽤防禦
“弱點利⽤防禦”元件可偵測利⽤電腦弱點來利⽤管理員權限或執⾏惡意活動的程式程式碼。例如，弱點利⽤程式可以利⽤緩衝區溢位攻擊。為此，弱點利⽤程式會向易受攻擊的應⽤程式
傳送⼤量資料。處理此資料時，易受攻擊的應⽤程式會執⾏惡意程式碼。此攻擊的結果是，弱點利⽤程式可啟動未經授權的惡意軟體安裝。當存在從易於感染的應⽤程式執⾏可執⾏檔的嘗試，並且該嘗試並非由使⽤者執⾏時，Kaspersky Endpoint Security 將封鎖該檔案執⾏或通知使⽤者。
主機入侵防禦
“主機入侵防禦”元件可避免應⽤程式執⾏可能給作業系統帶來危險的操作，並確保控制對作業
系統資源和個⼈資料的存取。該元件借助防毒資料庫和卡巴斯基安全網路雲端服務來提供電
腦防護。
26

修復引擎
修復引擎允許 Kaspersky Endpoint Security 復原惡意軟體在作業系統中執⾏的操作。
安全控制

應⽤程式控制“應⽤程式控制”管理使⽤者電腦上的應⽤程式啟動。這允許您在使⽤應⽤程式時實⾏公司安全政策。“應⽤程式控制”還透過限制對應⽤程式的存取來降低電腦感染的風險。
裝置控制“裝置控制”管理使⽤者對安裝在電腦上或連線到電腦的裝置（例如，硬碟磁碟機、相機或 WiFi 模組）的存取。這樣可以在連線此類裝置時防護電腦免受感染，並防⽌遺失或洩漏資料。
Web 控制“Web 控制”管理使⽤者對 Web 資源的存取。這有助於減少流量和⼯作時間的不當使⽤。當使
⽤者嘗試開啟受“Web 控制”限制的網站時，Kaspersky Endpoint Security 會封鎖存取或顯⽰警告。
⾃適應異常控制
⾃適應異常控制元件會監視並封鎖不是公司網路內電腦典型操作的相關操作。⾃適應異常控
制使⽤⼀組規則來偵錯非典型⾏為（例如，從 O ice 應⽤程式啟動 Microsoft PowerShell 規則）。規則由 Kaspersky 專家根據惡意活動的典型情景建立。您可以配置“⾃適應異常控制”處
理每條規則的⽅式，例如，允許執⾏使某些⼯作流⼯作⾃動化的 PowerShell 指令碼。
Kaspersky Endpoint Security 會同時更新規則集和應⽤程式資料庫。
記錄審查
記錄檢查會基於 Windows 事件記錄分析結果監控受防護環境的完整性。如果應⽤程式在系統
中偵測到有非典型⾏為的跡象，它會通知管理員，因為該⾏為可能表明有⼈嘗試網路攻擊。
檔案完整性監控
檔案完整性監控會偵測給定監控區域中的物件（檔案和資料夾）變更。這些變更可能表明有電腦安全入侵。當偵測到物件變更時，應⽤程式會通知管理員。

⼯作惡意軟體掃描
Kaspersky Endpoint Security 掃描電腦查找病毒和其它威脅。惡意軟體掃描有助於排除傳播未
被防護元件偵測到（例如，由於安全等級低）的惡意軟體的可能性。
更新
Kaspersky Endpoint Security 下載更新應⽤程式資料庫和模組。更新可以確保電腦防護最新的
病毒和其他威脅。在預設設定下，應⽤程式將會⾃動更新，但視情況所需，您亦可⼿動更新資料庫和應⽤程式模組。
上次更新回溯
Kaspersky Endpoint Security 將回溯最新更新的資料庫和模組。這允許您在必要時將資料庫和
應⽤程式模組回溯到以前的版本，例如，當新資料庫版本包含無效簽章⽽導致 Kaspersky
Endpoint Security 封鎖了安全的應⽤程式時。
完整性檢查
Kaspersky Endpoint Security 將檢查應⽤程式安裝資料夾內的應⽤程式模組以檢查任何損壞或修改。如果應⽤程式模組擁有錯誤的數位簽章，則此模組被認定為損壞。

資料加密

檔案級加密
該元件允許建立檔案加密規則。您可以選擇預定義資料夾進⾏加密，⼿動選擇資料夾，或者
根據副檔名選取單個檔案。
完整磁碟加密該元件允許使⽤卡巴斯基磁碟加密或者 BitLocker 磁碟機加密來加密硬碟。
卸除式磁碟機加密該元件允許防護卸除式磁碟機上的資料。您可以使⽤完整磁碟加密 (FDE) 或者檔案級加密(FLE)。
27

Detection
andResponse

Endpoint Detection and Response Optimum
Kaspersky Endpoint Detection and Response Optimum 解決⽅案的內建代理（以下也稱為 ”
EDR Optimum“）。Kaspersky Endpoint Detection and Response 是⽤於防護組織的 IT 基礎架構抵禦進階網路威脅的解決⽅案。該解決⽅案的功能結合了⾃動偵測威脅和回應這些威脅的能⼒，以抵消包括新漏洞、勒索軟體、無檔案攻擊以及使⽤合法系統⼯具的⽅法。有關解決
⽅案的更多資訊，請參⾒Kaspersky Endpoint Detection and Response Optimum 說明 。
Endpoint Detection and Response Expert
Kaspersky Endpoint Detection and Response Expert 解決⽅案的內建代理（以下也稱為 ”EDR
Expert”）。EDR Expert 比 EDR Optimum 提供更多的威脅監控和回應功能。有關解決⽅案的
更多資訊，請參⾒Kaspersky Endpoint Detection and Response Expert 說明 。
Kaspersky Sandbox
Kaspersky Sandbox 解決⽅案的內建代理。Kaspersky Sandbox 解決⽅案可偵測和⾃動封鎖電
腦上的進階威脅。Kaspersky Sandbox 會分析物件⾏為以偵測惡意⾏動和組織的 IT 基礎架構
上的針對性攻擊所特有的活動。Kaspersky Sandbox 會分析和掃描部署了 Microsoft Windows
作業系統的虛擬影像的特殊伺服器（Kaspersky Sandbox 伺服器）上的物件。有關解決⽅案的
詳情，請參閱 Kaspersky Sandbox 說明 。
Managed Detection and Response
⽀援 Kaspersky Endpoint Detection and Response Optimum 解決⽅案操作的內建代理。
Kaspersky Managed Detection and Response (MDR) 解決⽅案可⾃動偵測和分析您的基礎架構
中的安全事件。為此，MDR 會使⽤從端點和機學習收到的遙測資料。MDR 會將事件資料傳送
給卡巴斯基專家。專家然後可以處理事件，並且，例如，新增新項⽬⾄病毒資料庫。或者，專家可以簽發事件處理建議，並且，例如，建議從網路中隔離電腦。如欲瞭解該解決⽅案如
何⼯作的詳細資訊，請參閱 Kaspersky Managed Detection and Response 說明 。

分發套件分發套裝包括以下分發套件：強加密 (AES256)此分發套件包含⽤於實施有效⾦鑰⻑度為 256 位元的 AES（進階加密標準）加密演算法的加密⼯具。
簡單加密 (AES56)
此分發套件包含⽤於實施有效⾦鑰⻑度為 56 位元的 AES 加密演算法的加密⼯具。
每個分發套件都包含以下檔案：kes_win.msi

Kaspersky Endpoint Security 安裝套件。

setup_kes.exe

透過任⼀可⽤⽅法安裝應⽤程式所需的檔案。

kes_win.kud

⽤於建立 Kaspersky Endpoint Security 安裝套件的檔案。

klcfginst.msi

卡巴斯基安全管理中⼼管理主控台中應⽤程式管理外掛程式的安裝套件。

bases.cab

安裝過程中使⽤的更新套件檔案。

cleaner_v2.cab⽤於刪除不相容軟體的檔案。

cleanerapi_v2.cab
incompatible.txt

包含不相容軟體清單的檔案。
28

ksn_<language_ID>.txt

包含參與卡巴斯基安全網路的條款的檔案。

license.txt

包含最終使⽤者產品授權協議和隱私政策的檔案。

installer.ini

包含分發套裝內部設定的檔案。

kes.cab

應⽤程式圖形介⾯檔案。

aes256.cab / aes56.cab

AES 加密演算法檔案。

keswin_web_plugin.zip

包含安裝卡巴斯基安全管理中⼼網⾴主控台中的應⽤程式 Web 外掛程式所需的檔案的封存。

不建議變更這些設定的值。如果您希望變更安裝選項，請使⽤ setup.ini 檔案。

硬體和軟體需求為確保 Kaspersky Endpoint Security 的正常執⾏，您的電腦必須符合以下需求：
最低⼀般要求：
2 GB 磁碟可使⽤空間；CPU:⼯作站：1 GHz；
伺服器：1.4 GHz；
⽀援 SSE2 指令集合。
RAM:
⼯作站（x86）：1 GB；
⼯作站（x64）：2 GB；
伺服器：2 GB。

⼯作站
⽀援的⼯作站作業系統：
Windows 7 Home / Professional / Ultimate / Enterprise Service Pack 1 或更⾼版本；
Windows 8 Professional / Enterprise;
Windows 8.1 Professional / Enterprise;
Windows 10 Home / Pro / Pro for Workstations / Education / Enterprise / Enterprise 多⼯作階段；
Windows 11 Home / Pro / Pro for Workstations / Education / Enterprise。
29

有關對 Microsoft Windows 10 作業系統的⽀援的詳細資訊，請參閱技術⽀援知識庫 。

有關對 Microsoft Windows 11 作業系統的⽀援的詳細資訊，請參閱技術⽀援知識庫 。

伺服器
Kaspersky Endpoint Security ⽀援執⾏伺服器 Windows 作業系統的電腦上的應⽤程式的核⼼元件。您可以在組織的伺服器和叢集上使⽤ Kaspersky Endpoint Security for Windows ⽽不是 Kaspersky Security for Windows
Server（叢集模式）。應⽤程式也⽀援核⼼模式（請⾒已知問題）。
⽀援的伺服器作業系統：
Windows Small Business Server 2011 Essentials / Standard (64-bit);
Microsoft Small Business Server 2011 Standard（64 位元）僅在安裝了 Service Pack 1 for Microsoft
Windows Server 2008 R2 時才受⽀援。
Windows MultiPoint Server 2011 (64-bit);Windows Server 2008 R2 Foundation / Standard / Enterprise / Datacenter Service Pack 1 或更⾼版本；
Windows Web Server 2008 R2 Service Pack 1 或更⾼版本；
Windows Server 2012 Foundation / Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2012 R2 Foundation / Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2016 Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2019 Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2022 Standard / Datacenter / Datacenter: Azure Edition（包括核⼼模式）。
有關對 Microsoft Windows Server 2016 和 Microsoft Windows Server 2019 作業系統的⽀援的詳細資訊，請參
閱技術⽀援知識庫 。

有關對 Microsoft Windows Server 2022 作業系統的⽀援的詳細資訊，請參閱技術⽀援知識庫 。
不受⽀援的伺服器作業系統：
Windows Server 2003 Standard / Enterprise / Datacenter SP2 或更⾼版本；
Windows Server 2003 R2 Foundation / Standard / Enterprise / Datacenter SP2 或更⾼版本；
Windows Server 2008 Standard / Enterprise / Datacenter SP2 或更⾼版本；
Windows Server 2008 Core Standard / Enterprise / Datacenter SP2 或更⾼版本；
30

Microsoft Small Business Server 2008 Standard / Premium SP2 或更⾼版本。

虛擬平台⽀援的虛擬平台：VMware Workstation 17.0.1 Pro；
VMware ESXi 8.0c；
Microsoft Hyper-V Server 2019；
Citrix Virtual Apps and Desktops 7 2303;
Citrix Provisioning 2303；
Citrix Hypervisor 8.2（累積更新 1）。

終端伺服器
受⽀援的終端伺服器類型：
基於 Windows Server 2008 R2 SP1 的 Microsoft Remote Desktop Services；
基於 Windows Server 2012 的 Microsoft Remote Desktop Services；
基於 Windows Server 2012 R2 的 Microsoft Remote Desktop Services；
基於 Windows Server 2016 的 Microsoft Remote Desktop Services；
基於 Windows Server 2019 的 Microsoft Remote Desktop Services；
基於 Windows Server 2022 的 Microsoft Remote Desktop Services。

卡巴斯基安全管理中⼼⽀援
Kaspersky Endpoint Security ⽀援以下版本的卡巴斯基安全管理中⼼的操作：
卡巴斯基安全管理中⼼ 12
卡巴斯基安全管理中⼼ 13
卡巴斯基安全管理中⼼ 13.1
卡巴斯基安全管理中⼼ 13.2
卡巴斯基安全管理中⼼ 13.2.2
卡巴斯基安全管理中⼼ 14
卡巴斯基安全管理中⼼ 14.1
31卡巴斯基安全管理中⼼ 14.2
卡巴斯基安全管理中⼼ Linux 14.2
卡巴斯基安全管理中⼼ Linux 15
卡巴斯基安全管理中⼼ Linux 15.1

取決於作業系統類型的可⽤應⽤程式功能比較
可⽤的 Kaspersky Endpoint Security 功能集取決於作業系統的類型：⼯作站或伺服器（請參⾒下表）。
Kaspersky Endpoint Security 功能比較

功能

⼯作站

伺服器

進階威脅防護卡巴斯基安全網路
⾏為偵測弱點利⽤防禦
主機入侵防禦

–修復引擎
關鍵威脅防護檔案威脅防護Web 威脅防護
郵件威脅防護防火牆
網路威脅防護
BadUSB 攻擊防護AMSI 防護
安全控制
記錄檢查

–

應⽤程式控制裝置控制Web 控制適應性異常控制
檔案完整性監控––

資料加密卡巴斯基磁碟加密

–BitLocker 磁碟機加密
檔案級加密

–
32

卸除式磁碟機加密–

Detection and Response
Endpoint Detection and Response Optimum
Endpoint Detection and Response Expert
Endpoint Detection and Response (KATA)
Kaspersky Sandbox
Managed Detection and Response (MDR)

根據管理⼯具比較應⽤程式功能Kaspersky Endpoint Security 中提供的功能集取決於管理⼯具（請參⾒下表）。
您可以使⽤卡巴斯基安全管理中⼼的以下主控台管理應⽤程式：
管理主控台。管理員⼯作站上安裝的 Microsoft 管理主控台 (MMC) 管理單元。
網⾴主控台。管理伺服器上安裝的卡巴斯基安全管理中⼼元件。您可以在任何可存取管理伺服器的電腦上透
過瀏覽器在網⾴主控台中⼯作。
您也可以使⽤卡巴斯基安全管理中⼼雲端主控台管理應⽤程式。卡巴斯基安全管理中⼼雲端主控台是卡巴斯基安
全管理中⼼的雲端版本。這意味著卡巴斯基安全管理中⼼的管理伺服器和其他元件安裝在卡巴斯基雲端基礎架構中。有關使⽤卡巴斯基安全管理中⼼雲端主控台管理應⽤程式的詳細資訊，請參閱卡巴斯基安全管理中⼼雲端主控台說明 。
Kaspersky Endpoint Security 功能比較

功能卡巴斯基安全管理中⼼
管理主控台

網⾴主控台

卡巴斯基安全管理中⼼
雲端主控台

進階威脅防護卡巴斯基安全網路
卡巴斯基私有安全網路–

⾏為偵測弱點利⽤防禦
主機入侵防禦
修復引擎
關鍵威脅防護檔案威脅防護Web 威脅防護
郵件威脅防護防火牆
網路威脅防護33

BadUSB 攻擊防護AMSI 防護
安全控制記錄檢查
應⽤程式控制裝置控制Web 控制適應性異常控制
檔案完整性監控
資料加密卡巴斯基磁碟加密

–BitLocker 磁碟機加密
檔案級加密

–

卸除式磁碟機加密–Detection and Response
Endpoint Detection and Response Optimum–

Endpoint Detection and Response Expert–

Endpoint Detection and Response (KATA)––

Kaspersky Sandbox––

Managed Detection and Response (MDR)
⼯作新增⾦鑰
變更程式元件清查
更新更新回溯
惡意軟體掃描
完整性檢查

–

抹除資料
管理⾝分驗證代理帳⼾（卡巴斯基磁碟加密）–IOC 掃描 (EDR)–

移動檔案到隔離 (EDR)–

獲取檔案 (EDR)–

刪除檔案 (EDR)–

處理程序啟動 (EDR)–

停⽌處理程序 (EDR)–34

與其他應⽤程式的相容性
在安裝前，Kaspersky Endpoint Security 會檢查電腦中是否存在 Kaspersky 應⽤程式。應⽤程式還會檢查電腦中
是否有不相容的軟體。

與協⼒廠商應⽤程式的相容性
分發套件中包含的 incompatible.txt 檔案提供了不相容軟體清單。
下載 INCOMPATIBLE.TXT 檔案與卡巴斯基應⽤程式的相容性
Kaspersky Endpoint Security 與以下 Kaspersky 應⽤程式不相容：卡巴斯基標準版 | 進階版| 專業版。
Kaspersky Small O ice Security。
卡巴斯基安全軟體。
Kaspersky Anti-Virus。
Kaspersky Total Security。
Kaspersky Safe Kids。
Kaspersky Free。
Kaspersky Anti-Ransomware Tool。
Endpoint Sensor 作為 Kaspersky Anti Targeted Attack Platform 和 Kaspersky Endpoint Detection andResponse 解決⽅案的⼀部分。
Kaspersky Endpoint Agent 作為 Detection and Response 解決⽅案的⼀部分。
卡巴斯基正在將所有 Detection and Response 切換為使⽤ Kaspersky Endpoint Security 內建代理，⽽不
是 Kaspersky Endpoint Agent。從版本 12.1 開始，該應⽤程式⽀援所有 Detection and Response 解決⽅
案。
Kaspersky Security for Virtualization Light Agent。
Kaspersky Fraud Prevention for Endpoint。
Kaspersky Security for Windows Server35從 Kaspersky Endpoint Security 12.0 開始，您可以從 Kaspersky Security for Windows Server 遷移到
Kaspersky Endpoint Security for Windows，並使⽤同⼀個解決⽅案來防護⼯作站和伺服器。
Kaspersky Embedded Systems Security。
如果電腦安裝了該清單中的 Kaspersky 應⽤程式，Kaspersky Endpoint Security 會移除這些應⽤程式。請等待此過程結束，然後再繼續安裝 Kaspersky Endpoint Security。

略過不相容的軟體檢查
如果 Kaspersky Endpoint Security 在電腦上偵測到不相容的軟體，應⽤程式安裝將不會繼續。若要繼續安裝，您
必須移除不相容的軟體。不過，如果協⼒廠商軟體的廠商在文件中指明其軟體與 Endpoint Protection Platforms(EPP) 相容，您可以將 Kaspersky Endpoint Security 安裝到包含該廠商的應⽤程式的電腦上。例如，Endpoint
Detection and Response (EDR) 解決⽅案提供者可能宣佈他們與協⼒廠商 EPP 系統相容。如果是這種情況，您需
要啟動安裝 Kaspersky Endpoint Security ⽽不執⾏不相容軟體檢查。為此，將以下參數傳遞給安裝程式：SKIPPRODUCTCHECK=1.停⽤不相容軟體檢查。分發套件中包含的 incompatible.txt 檔案提供了不相容軟體清單。如果沒有為此參數設定任何值，並且偵測到不相容軟體，則將終⽌ Kaspersky Endpoint Security 的安裝。
SKIPPRODUCTUNINSTALL=1。停⽤⾃動移除偵測到的不相容軟體。如果沒有為此參數設定任何值，則Kaspersky Endpoint Security 將嘗試刪除不相容軟體。
CLEANERSIGNCHECK=0。停⽤數位簽章驗證偵測到的不相容軟體。如果未設定此參數，當透過卡巴斯基安全管理中⼼部署應⽤程式時，數位簽章驗證將被停⽤。本機安裝應⽤程式時將預設啟⽤數位簽章驗證。
您可以在本機安裝應⽤程式時在指令列中傳遞參數。
範例:
C:\KES\setup_kes.exe /pEULA=1 /pPRIVACYPOLICY=1 /pKSN=0 /pSKIPPRODUCTCHECK=1/pSKIPPRODUCTUNINSTALL=1 /pCLEANERSIGNCHECK=0 /s
若要遠端安裝 Kaspersky Endpoint Security，您需要將適當的參數新增到安裝套件產⽣檔案，它的名稱為
kes_win.kud，位於 [Setup]中（詳情⾒下）。kes_win.kud 檔案包括在分發套件中。
kes_win.kud[Setup]
UseWrapper=1
ExecutableRelPath=EXEC
Params=/s /pAKINSTALL=1 /pEULA=1 /pPRIVACYPOLICY=1 /pKSN=0 /pSKIPPRODUCTCHECK=1/pSKIPPRODUCTUNINSTALL=1 /pCLEANERSIGNCHECK=0
Executable=setup_kes.exe
RebootDelegated = 1
RebootAllowed=1
ConfigFile=installer.ini
RelPathsToExclude=klcfginst.msi

36安裝和移除應⽤程式
可以透過以下⽅式在電腦上安裝 Kaspersky Endpoint Security：
本機使⽤安裝精靈。
本機使⽤命令列。
遠端使⽤卡巴斯基安全管理中⼼。
遠端透過 Microsoft Windows 群組政策管理編輯器（有關詳細資訊，請造訪 Microsoft 技術⽀援網站 ）。
遠端使⽤系統中⼼配置管理器。
您可以透過多種⽅式配置應⽤程式安裝設定。如果同時使⽤多種⽅法配置設定，Kaspersky Endpoint Security 將套⽤具有最⾼優先順序的設定。Kaspersky Endpoint Security 使⽤以下優先順序順序：
1. 從 setup.ini 檔案收到的設定。
2. 從 installer.ini 檔案收到的設定。
3. 從命令列收到的設定。
我們建議您在啟動 Kaspersky Endpoint Security 安裝（包括遠端安裝）之前關閉所有活動的應⽤程式。

安裝、更新或解除安裝 Kaspersky Endpoint Security 時，可能會出現錯誤。有關解決這些錯誤的更多資訊，
請參閱技術⽀援知識庫 。

透過卡巴斯基安全管理中⼼佈署
Kaspersky Endpoint Security 可以透過多種⽅式佈署在企業網路內的電腦上。您可以為您的組織選取最合適的佈
署⽅案，或同時組合多個佈署⽅案。卡巴斯基安全管理中⼼⽀援以下主要佈署⽅法：
使⽤防護佈署精靈安裝應⽤程式。
如果您滿意 Kaspersky Endpoint Security for Windows 的預設設定，並且的您組織的基礎架構很簡單，不需要
特殊配置，則標準安裝⽅法很⽅便。
使⽤遠端安裝⼯作安裝應⽤程式。
通⽤安裝⽅法允許您配置 Kaspersky Endpoint Security 設定並靈活管理遠端安裝⼯作。Kaspersky Endpoint
Security 的安裝套件括以下步驟：
1. 建立安裝套件。
2. 建立遠端安裝⼯作。
卡巴斯基安全管理中⼼還⽀援使⽤其他⽅法來安裝 Kaspersky Endpoint Security，例如在作業系統映射內佈署。
有關其他佈署⽅法的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

37

應⽤程式的標準安裝卡巴斯基安全管理中⼼提供了防護佈署精靈，以便在企業電腦上安裝應⽤程式。防護佈署精靈包括以下主要操
作：
1. 選擇 Kaspersky Endpoint Security 安裝套件。

安裝套件是為透過卡巴斯基安全管理中⼼遠端安裝 Kaspersky 應⽤程式⽽建立的⼀組檔案。安裝套件中包含安裝應⽤程式以及安裝後立即執⾏應⽤程式所需的⼀系列設定。安裝套件透過應⽤程式分發套件中包括的副檔
名為 .kpd 和 .kud 的檔案建立。Kaspersky Endpoint Security 安裝套件通⽤於所有受⽀援的 Windows 版本和處
理器架構類型。
2. 建立卡巴斯基安全管理中⼼管理伺服器的“遠端安裝應⽤程式”⼯作。

Kaspersky Endpoint Security 佈署

如何在管理主控台 (MMC) 中執⾏防護佈署精靈38

1. 在管理主控台中，轉到資料夾“管理伺服器 → 附加 → 遠端安裝”。
2. 點擊“在受管理裝置上佈署安裝套件（⼯作站）”連結。
這將啟動防護佈署精靈。按照精靈的說明進⾏操作。

⽤⼾端電腦上的 TCP 連接埠 139 和 445 以及 UDP 連接埠 137 和 138 必須開放。

步驟 1. 選取安裝套件從清單中選取 Kaspersky Endpoint Security 安裝套件。如果清單不包含 Kaspersky Endpoint Security 安裝套
件，可以在精靈中建立安裝套件。
您可以在卡巴斯基安全管理中⼼配置安裝套件設定。例如，您可以選取將安裝到電腦的應⽤程式元件。
網路代理將與 Kaspersky Endpoint Security ⼀起安裝。網路代理可促進管理伺服器與⽤⼾端電腦之間的互動。如果電腦上已安裝網路代理，則不會再次安裝。

步驟 2. 選取要進⾏安裝的裝置
選取要安裝 Kaspersky Endpoint Security 的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。網路代理不會安裝在未配置裝置上。在這種情況
下，⼯作將分配給特定裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 3. 定義遠端安裝⼯作設定
配置以下其他應⽤程式設定：
強制下載安裝套件。選取應⽤程式安裝⽅法：使⽤網路代理。如果電腦上未安裝網路代理，將⾸先使⽤作業系統的⼯具安裝網路代理。然後透過網路代理的⼯具安裝 Kaspersky Endpoint Security。
透過發佈點使⽤作業系統資源。透過發佈點使⽤作業系統資源將安裝套件傳輸到⽤⼾端電腦。如果網路中有⾄少⼀個發佈點，則可以選取此選項。有關發佈點的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
透過管理伺服器使⽤作業系統資源。檔案將透過管理伺服器使⽤作業系統資源傳送到⽤⼾端電腦。如果⽤⼾端電腦上未安裝網路代理，但⽤⼾端電腦與管理伺服器在同⼀網路中，可以選取此選項。
透過其他管理伺服器管理的裝置的⾏為。選取 Kaspersky Endpoint Security 安裝⽅法。如果網路中安裝了
多個管理伺服器，這些管理伺服器可能看到相同的⽤⼾端電腦。例如，這可能導致透過不同的管理伺服器在同⼀⽤⼾端電腦上多次遠端安裝同⼀應⽤程式，或產⽣其他衝突。
39如果已經安裝應⽤程式則不再重新安裝。例如，如果要安裝較早版本的應⽤程式，則清除此核取⽅塊。
在 Active Directory 群組政策中指定安裝網路代理程式。使⽤ Active Directory 資源⼿動安裝網路代理。
要安裝網路代理，必須以網域管理員權限執⾏遠端安裝⼯作。

步驟 4. 選取產品授權⾦鑰
向安裝套件新增⽤於啟動應⽤程式的⾦鑰。此步驟為可選項。如果管理伺服器包含帶⾃動分發功能的產品授權⾦鑰，則該⾦鑰稍後將⾃動新增。您還可以稍後透過使⽤“新增⾦鑰”⼯作來啟動應⽤程式。

步驟 5. 選取作業系統重新啟動設定
選取當需要重新啟動電腦時所執⾏的操作。安裝 Kaspersky Endpoint Security 時，不需要重新啟動。僅當在
安裝前必須移除不相容的應⽤程式時，才需要重新啟動。更新應⽤程式版本時也可能需要重新啟動。

步驟 6. 在安裝應⽤程式前刪除不相容的應⽤程式
請仔細閱讀不相容應⽤程式清單並允許移除這些應⽤程式。如果電腦上安裝了不相容的應⽤程式，安裝Kaspersky Endpoint Security 將以出錯結束（請⾒下圖）。

步驟 7. 選取⽤於存取裝置的帳⼾
選取⽤於使⽤作業系統⼯具安裝網路代理的帳⼾。在這種情況下，存取電腦需要管理員權限。您可以新增多個帳⼾。如果某個帳⼾沒有⾜夠權限，安裝精靈將使⽤下⼀個帳⼾。如果使⽤網路代理⼯具安裝 Kaspersky
Endpoint Security，則無需選取帳⼾。

步驟 8. 開始安裝結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。
如何在網⾴主控台和雲端主控台中啟動防護佈署精靈40

在網⾴主控台的主視窗中，選擇“發現和佈署“ → ”部署和分配“ → ”防護佈署精靈”。
這將啟動防護佈署精靈。按照精靈的說明進⾏操作。
⽤⼾端電腦上的 TCP 連接埠 139 和 445 以及 UDP 連接埠 137 和 138 必須開放。

步驟 1. 選取安裝套件從清單中選取 Kaspersky Endpoint Security 安裝套件。如果清單不包含 Kaspersky Endpoint Security 安裝套
件，可以在精靈中建立安裝套件。要建立安裝套件，您無需搜尋分發套件並將其儲存到電腦記憶體中。在卡巴斯基安全管理中⼼中，可以檢視位於 Kaspersky 伺服器中的分發套件清單，安裝套件會⾃動建立。
Kaspersky 在發佈新版本的應⽤程式後會更新該清單。
您可以在卡巴斯基安全管理中⼼配置安裝套件設定。例如，您可以選取將安裝到電腦的應⽤程式元件。

步驟 2. 選取產品授權⾦鑰
向安裝套件新增⽤於啟動應⽤程式的⾦鑰。此步驟為可選項。如果管理伺服器包含帶⾃動分發功能的產品授權⾦鑰，則該⾦鑰稍後將⾃動新增。您還可以稍後透過使⽤“新增⾦鑰”⼯作來啟動應⽤程式。

步驟 3. 選取網路代理
選取將與 Kaspersky Endpoint Security ⼀起安裝的網路代理的版本。網路代理可促進管理伺服器與⽤⼾端電
腦之間的互動。如果電腦上已安裝網路代理，則不會再次安裝。

步驟 4. 選取要進⾏安裝的裝置
選取要安裝 Kaspersky Endpoint Security 的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。網路代理不會安裝在未配置裝置上。在這種情況
下，⼯作將分配給特定裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 5. 配置進階設定
配置以下其他應⽤程式設定：
強制下載安裝套件。選取應⽤程式安裝⽅法：使⽤網路代理。如果電腦上未安裝網路代理，將⾸先使⽤作業系統的⼯具安裝網路代理。然後透過網路代理的⼯具安裝 Kaspersky Endpoint Security。
透過發佈點使⽤作業系統資源。透過發佈點使⽤作業系統資源將安裝套件傳輸到⽤⼾端電腦。如果網路中有⾄少⼀個發佈點，則可以選取此選項。有關發佈點的詳細資訊，請參閱卡巴斯基安全管理中⼼
41

說明 。
透過管理伺服器使⽤作業系統資源。檔案將透過管理伺服器使⽤作業系統資源傳送到⽤⼾端電腦。如果⽤⼾端電腦上未安裝網路代理，但⽤⼾端電腦與管理伺服器在同⼀網路中，可以選取此選項。
如果已經安裝應⽤程式則不再重新安裝。例如，如果要安裝較早版本的應⽤程式，則清除此核取⽅塊。
在 Active Directory 群組政策中指定安裝套件的安裝。Kaspersky Endpoint Security 透過網路代理安裝或透過 Active Directory ⼿動安裝。要安裝網路代理，必須以網域管理員權限執⾏遠端安裝⼯作。

步驟 6. 選取作業系統重新啟動設定
選取當需要重新啟動電腦時所執⾏的操作。安裝 Kaspersky Endpoint Security 時，不需要重新啟動。僅當在
安裝前必須移除不相容的應⽤程式時，才需要重新啟動。更新應⽤程式版本時也可能需要重新啟動。

步驟 7. 在安裝應⽤程式前刪除不相容的應⽤程式
請仔細閱讀不相容應⽤程式清單並允許移除這些應⽤程式。如果電腦上安裝了不相容的應⽤程式，安裝Kaspersky Endpoint Security 將以出錯結束（請⾒下圖）。

步驟 8. 分配到管理群組
選取安裝網路代理後，電腦將被移動到其中的管理群組。需要將電腦移⾄管理群組，以便套⽤政策和群組⼯作。如果電腦已在任意管理群組中，則該電腦不會被重新移動。如果不選取管理群組，電腦將被新增到未配置的裝置群組。

步驟 9. 選取⽤於存取裝置的帳⼾
選取⽤於使⽤作業系統⼯具安裝網路代理的帳⼾。在這種情況下，存取電腦需要管理員權限。您可以新增多個帳⼾。如果某個帳⼾沒有⾜夠權限，安裝精靈將使⽤下⼀個帳⼾。如果使⽤網路代理⼯具安裝 Kaspersky
Endpoint Security，則無需選取帳⼾。

步驟 10.開始安裝結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。

建立安裝套件安裝套件是為透過卡巴斯基安全管理中⼼遠端安裝 Kaspersky 應⽤程式⽽建立的⼀組檔案。安裝套件中包含安裝

應⽤程式以及安裝後立即執⾏應⽤程式所需的⼀系列設定。安裝套件透過應⽤程式分發套件中包括的副檔名為.kpd 和 .kud 的檔案建立。Kaspersky Endpoint Security 安裝套件通⽤於所有受⽀援的 Windows 版本和處理器架構類型。
如何在管理主控台 (MMC) 中建立安裝套件42

1. 在管理主控台中，轉到資料夾“管理伺服器”→“附加”→“遠端安裝”→“安裝套件”。
這將開啟已下載到卡巴斯基安全管理中⼼的安裝套件清單。
2. 點擊“建立安裝套件”按鈕。
新安裝套件精靈啟動。按照精靈的說明進⾏操作。

步驟 1. 選取安裝套件類型
選取“為 Kaspersky 應⽤程式建立安裝套件”選項。

步驟 2. 定義安裝套件名稱
輸入安裝套件的名稱，例如，Kaspersky Endpoint Security for Windows 12.2。

步驟 3. 選取⽤於安裝的分發套件點擊“瀏覽”按鈕，然後選擇分發套件中包含的kes_win.kud檔案。
如有需要，透過使⽤“從儲存區複製更新⾄安裝套件”核取⽅塊來更新安裝套件中的防毒資料庫。

步驟 4. 最終使⽤者產品授權協議和隱私政策
閱讀並接受最終使⽤者產品授權協議的條款。
安裝套件將被建立並新增到卡巴斯基安全管理中⼼中。使⽤安裝套件，您可以在企業網路電腦上安裝Kaspersky Endpoint Security 或更新應⽤程式版本。在安裝套件設定中，您還可以選擇應⽤程式元件並設定
應⽤程式安裝設定（請參⾒下表）。安裝套件包含來⾃管理伺服器儲存區的病毒資料庫。您可以更新安裝套
件中的資料庫，以減少在安裝 Kaspersky Endpoint Security 之後更新資料庫時的流量消耗。
如何在網⾴主控台和雲端主控台中建立安裝套件43

1. 在網⾴主控台的主視窗中，選擇“發現和佈署“ → ”部署和分配“ → ”安裝套件”。
這將開啟已下載到卡巴斯基安全管理中⼼的安裝套件清單。
2. 點擊“新增”按鈕。
新安裝套件精靈啟動。按照精靈的說明進⾏操作。

安裝套件清單

步驟 1. 選取安裝套件類型
選取“為 Kaspersky 應⽤程式建立安裝套件”選項。
精靈將根據 Kaspersky 伺服器上的分發套件建立安裝套件。該清單在新版本的應⽤程式發佈時會⾃動更新。
建議選擇此選項來 安裝 Kaspersky Endpoint Security。
您還可以從檔案建立安裝套件。

44安裝套件類型

步驟 2. 安裝套件
選取 Kaspersky Endpoint Security for Windows 安裝套件。安裝套件建立過程啟動。在安裝套件建立期間，
您必須接受最終使⽤者產品授權協議和隱私權政策的條款。

卡巴斯基伺服器上的安裝套件清單

安裝套件將被建立並新增到卡巴斯基安全管理中⼼中。使⽤安裝套件，您可以在企業網路電腦上安裝Kaspersky Endpoint Security 或更新應⽤程式版本。在安裝套件設定中，您還可以選擇應⽤程式元件並設定
應⽤程式安裝設定（請參⾒下表）。安裝套件包含來⾃管理伺服器儲存區的病毒資料庫。您可以更新安裝套
件中的資料庫，以減少在安裝 Kaspersky Endpoint Security 之後更新資料庫時的流量消耗。

45

安裝套件中包含的元件

安裝套件的安裝設定安裝套件設定

區域

描述

防護
元件

在此區域中，可以選取將可⽤的應⽤程式元件。您可以透過使⽤變更程式元件⼯作在以後變更應⽤
程式元件集合。預設情況下不安裝“BadUSB 攻擊防護”元件、Detection and Response 元件和資料
加密元件。這些元件可在安裝套件設定中新增。
如果需要安裝 Detection and Response 元件，Kaspersky Endpoint Security ⽀援以下設定：
僅 Endpoint Detection and Response Optimum
僅 Endpoint Detection and Response Expert
僅 Endpoint Detection and Response (KATA)
46

僅 Kaspersky Sandbox
Endpoint Detection and Response Optimum 和 Kaspersky Sandbox
Endpoint Detection and Response Expert 和 Kaspersky Sandbox
Endpoint Detection and Response (KATA) 和 Kaspersky Sandbox
Kaspersky Endpoint Security 在安裝應⽤程式之前會驗證所選的元件。如果 Detection andResponse 元件的選取設定不受⽀援，則無法安裝 Kaspersky Endpoint Security。
產品
授權
⾦鑰

在此區段中，您可以啟動應⽤程式。要啟動應⽤程式，您必須選擇⼀個產品授權⾦鑰。在此之前，您必須將⾦鑰新增到管理伺服器。有關將⾦鑰新增到卡巴斯基安全管理中⼼管理伺服器的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

不相
容的
應⽤
程式

請仔細閱讀不相容應⽤程式清單並允許移除這些應⽤程式。如果電腦上安裝了不相容的應⽤程式，安裝 Kaspersky Endpoint Security 將以出錯結束。

安裝設定

將 avp.com 檔案路徑新增⾄系統變數 %PATH%您可以將安裝路徑新增到 %PATH% 變數中，以⽅便
使⽤命令列介⾯。
不防護安裝處理程序安裝防護包括防⽌分發套件被更換為惡意應⽤程式、封鎖對 Kaspersky
Endpoint Security 安裝資料夾的存取，以及封鎖對包含應⽤程式⾦鑰的系統登錄檔部分的存取。但是，如果無法安裝應⽤程式（例如，使⽤ Windows 遠端桌⾯協助執⾏遠端安裝），我們建議您停
⽤安裝過程的防護。
確保與 Citrix PVS 相容 (這僅在使⽤ Citrix PVS 時有必要)您可以啟⽤ Citrix Provisioning Services
⽀援以將 Kaspersky Endpoint Security 安裝到虛擬機。
使⽤ Azure WVD 相容模式此功能允許在 Kaspersky Anti Targeted Attack Platform 主控台中正確顯⽰ Azure 虛擬機的狀態。為了監控電腦的效能，Kaspersky Endpoint Security 將遙測資料傳送到
KATA 伺服器。遙測包括電腦的 ID（感應器 ID）。Azure WVD 相容模式允許為這些虛擬機分配永久
唯⼀的感應器 ID。如果關閉相容模式，由於 Azure 虛擬機的⼯作⽅式，感應器 ID 可能會在電腦重新啟動後發⽣變化。這可能會導致主控台上出現重複的虛擬機。
應⽤程式安裝資料夾的路徑您可以變更⽤⼾端電腦上的 Kaspersky Endpoint Security 安裝路徑。預設情況下，應⽤程式安裝在 %ProgramFiles%\Kaspersky Lab\KES 資料夾中。
設定檔您可以上傳定義了 Kaspersky Endpoint Security 設定的檔案。您可以在應⽤程式的本機介⾯
中建立設定檔。

更新安裝套件中的資料庫
安裝套件包含來⾃管理伺服器儲存區的病毒資料庫，這些資料庫在建立安裝套件時是最新的。建立安裝套件後，
可以更新安裝套件中的病毒資料庫。這樣可以減少在安裝 Kaspersky Endpoint Security 後更新病毒資料庫時的流量消耗。
要更新管理伺服器儲存區中的病毒資料庫，請使⽤管理伺服器的“將更新下載到管理伺服器儲存區”⼯作。有關更
新管理伺服器儲存區中的病毒資料庫的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
您只能在管理主控台和卡巴斯基安全管理中⼼網⾴主控台中更新安裝套件中的資料庫。無法在卡巴斯基安全管理中⼼雲端主控台中更新安裝套件中的資料庫。
如何透過管理主控台 (MMC) 更新安裝套件中的病毒資料庫

47

1. 在管理主控台中，轉到資料夾“管理伺服器”→“附加”→“遠端安裝”→“安裝套件”。
這將開啟已下載到卡巴斯基安全管理中⼼的安裝套件清單。
2. 開啟安裝套件的內容。
3. 在“⼀般”區域中，點擊“更新資料庫”按鈕。
結果，將從管理伺服器儲存區更新安裝套件中的病毒資料庫。分發套件中包含的bases.cab檔案將被
bases資料夾替換。更新套件檔案將位於該資料夾中。
如何透過網⾴主控台更新安裝套件中的病毒資料庫

1. 在網⾴主控台的主視窗中，選擇“發現和佈署“ → ”部署和分配“ → ”安裝套件”。
這將開啟已下載到網⾴主控台的安裝套件清單。
2. 點擊要更新其中的病毒資料庫的 Kaspersky Endpoint Security 安裝套件的名稱。
安裝套件內容視窗將開啟。
3. 在“⼀般資訊”標籤上，點擊“更新資料庫”連結。
結果，將從管理伺服器儲存區更新安裝套件中的病毒資料庫。分發套件中包含的bases.cab檔案將被
bases資料夾替換。更新套件檔案將位於該資料夾中。

建立遠端安裝⼯作
“遠端安裝應⽤程式”⼯作旨在遠端安裝 Kaspersky Endpoint Security。“遠端安裝應⽤程式”⼯作允許您將應⽤程式
的安裝套件佈署到組織中的所有電腦裡。在佈署安裝軟體套件之前，您可以更新安裝套件內的防毒資料庫，並在安裝套件的內容中選取可⽤的應⽤程式元件。
如何在管理主控台 (MMC) 中建立遠端安裝⼯作

48

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“卡巴斯基安全管理中⼼管理伺服器”→“遠端安裝應⽤程式”。

步驟 2. 選取安裝套件從清單中選取 Kaspersky Endpoint Security 安裝套件。如果清單不包含 Kaspersky Endpoint Security 安裝套
件，可以在精靈中建立安裝套件。
您可以在卡巴斯基安全管理中⼼配置安裝套件設定。例如，您可以選取將安裝到電腦的應⽤程式元件。
網路代理將與 Kaspersky Endpoint Security ⼀起安裝。網路代理可促進管理伺服器與⽤⼾端電腦之間的互動。如果電腦上已安裝網路代理，則不會再次安裝。

步驟 3. 其他選取網路代理安裝套件。所選版本的網路代理將與 Kaspersky Endpoint Security ⼀起安裝。

步驟 4. 設定
配置以下其他應⽤程式設定：
強制下載安裝套件。選取應⽤程式安裝⽅法：使⽤網路代理。如果電腦上未安裝網路代理，將⾸先使⽤作業系統的⼯具安裝網路代理。然後透過網路代理的⼯具安裝 Kaspersky Endpoint Security。
透過發佈點使⽤作業系統資源。透過發佈點使⽤作業系統資源將安裝套件傳輸到⽤⼾端電腦。如果網路中有⾄少⼀個發佈點，則可以選取此選項。有關發佈點的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
透過管理伺服器使⽤作業系統資源。檔案將透過管理伺服器使⽤作業系統資源傳送到⽤⼾端電腦。如果⽤⼾端電腦上未安裝網路代理，但⽤⼾端電腦與管理伺服器在同⼀網路中，可以選取此選項。
透過其他管理伺服器管理的裝置的⾏為。選取 Kaspersky Endpoint Security 安裝⽅法。如果網路中安裝了
多個管理伺服器，這些管理伺服器可能看到相同的⽤⼾端電腦。例如，這可能導致透過不同的管理伺服器在同⼀⽤⼾端電腦上多次遠端安裝同⼀應⽤程式，或產⽣其他衝突。
如果已經安裝應⽤程式則不再重新安裝。例如，如果要安裝較早版本的應⽤程式，則清除此核取⽅塊。

步驟 5. 選取作業系統重新啟動設定49

選取當需要重新啟動電腦時所執⾏的操作。安裝 Kaspersky Endpoint Security 時，不需要重新啟動。僅當在
安裝前必須移除不相容的應⽤程式時，才需要重新啟動。更新應⽤程式版本時也可能需要重新啟動。

步驟 6. 選取將要對其分配⼯作的裝置
選取要安裝 Kaspersky Endpoint Security 的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。網路代理不會安裝在未配置裝置上。在這種情況
下，⼯作將分配給特定裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 7. 選取要執⾏⼯作的帳⼾
選取⽤於使⽤作業系統⼯具安裝網路代理的帳⼾。在這種情況下，存取電腦需要管理員權限。您可以新增多個帳⼾。如果某個帳⼾沒有⾜夠權限，安裝精靈將使⽤下⼀個帳⼾。如果使⽤網路代理⼯具安裝 Kaspersky
Endpoint Security，則無需選取帳⼾。

步驟 8. 設定⼯作啟動排程配置啟動⼯作的排程，例如，⼿動或在電腦空閒時。

步驟 9. 定義⼯作名稱
輸入⼯作的名稱，例如“安裝 Kaspersky Endpoint Security for Windows 12.2”。

步驟 10.完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。應⽤程式
將以靜默模式安裝。安裝後， 圖⽰將新增到使⽤者電腦的通知區域。如果圖⽰看起來像 ，請確保您已啟
動應⽤程式。
如何在網⾴主控台和雲端主控台中建立遠端安裝⼯作

50

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 配置⼀般⼯作設定
配置⼀般⼯作設定：
1. 在“應⽤程式”下拉清單中，選取“卡巴斯基安全管理中⼼”。
2. 在“⼯作類型”下拉清單中，選取“遠端安裝應⽤程式”。
3. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“為經理安裝 Kaspersky Endpoint Security”。
4. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。

步驟 2. 選取要進⾏安裝的電腦
在此步驟中，按照選定的⼯作範圍選項，選取要安裝 Kaspersky Endpoint Security 的電腦。

步驟 3. 配置安裝套件
在此步驟中，配置安裝套件：
1. 選取 Kaspersky Endpoint Security for Windows (12.2) 安裝套件。
2. 選取網路代理安裝套件。
所選版本的網路代理將與 Kaspersky Endpoint Security ⼀起安裝。網路代理可促進管理伺服器與⽤⼾端電
腦之間的互動。如果電腦上已安裝網路代理，則不會再次安裝。
3. 在“強制下載安裝套件”塊中，選擇應⽤程式安裝⽅法：使⽤網路代理。如果電腦上未安裝網路代理，將⾸先使⽤作業系統的⼯具安裝網路代理。然後透過網路代理的⼯具安裝 Kaspersky Endpoint Security。
透過發佈點使⽤作業系統資源。透過發佈點使⽤作業系統資源將安裝套件傳輸到⽤⼾端電腦。如果網路中有⾄少⼀個發佈點，則可以選取此選項。有關發佈點的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
透過管理伺服器使⽤作業系統資源。檔案將透過管理伺服器使⽤作業系統資源傳送到⽤⼾端電腦。如果⽤⼾端電腦上未安裝網路代理，但⽤⼾端電腦與管理伺服器在同⼀網路中，可以選取此選項。
4. 在“同時下載的最⼤數量”欄位中，設定傳送到管理伺服器的安裝套件下載請求數量限制。限制請求數有助
於防⽌網路超載。
5. 在“安裝嘗試次數上限”欄位中，設定應⽤程式安裝嘗試次數限制。如果安裝 Kaspersky Endpoint Security
以出錯結束，⼯作將⾃動再次啟動安裝。
51

6. 如果必要，清除“如果已經安裝應⽤程式則不再重新安裝”核取⽅塊。例如，這樣可以安裝應⽤程式的⼀個
先前版本。
7. 如有必要，清除“下載之前驗證作業系統類型”核取⽅塊。這樣可避免在電腦的作業系統不符合軟體需求時
下載應⽤程式分發套件。如果您確定電腦的作業系統符合軟體需求，可以略過此驗證。
8. 如有必要，選中“在 Active Directory 群組政策中指定安裝套件的安裝”核取⽅塊。Kaspersky Endpoint
Security 透過網路代理安裝或透過 Active Directory ⼿動安裝。要安裝網路代理，必須以網域管理員權限
執⾏遠端安裝⼯作。
9. 如有必要，選中“提⽰使⽤者關閉執⾏中的應⽤程式”核取⽅塊。安裝 Kaspersky Endpoint Security 會佔⽤
電腦資源。為⽅便使⽤者，應⽤程式安裝精靈會在開始安裝前提⽰您關閉正在執⾏的應⽤程式。這有助
於防⽌其他應⽤程式執⾏中端，並防⽌可能的電腦故障。
10. 在“透過其他管理伺服器管理的裝置的⾏為”塊中，選取 Kaspersky Endpoint Security 安裝⽅法。如果網路
中安裝了多個管理伺服器，這些管理伺服器可能看到相同的⽤⼾端電腦。例如，這可能導致透過不同的
管理伺服器在同⼀⽤⼾端電腦上多次遠端安裝同⼀應⽤程式，或產⽣其他衝突。

步驟 4. 選取要執⾏⼯作的帳⼾
選取⽤於使⽤作業系統⼯具安裝網路代理的帳⼾。在這種情況下，存取電腦需要管理員權限。您可以新增多個帳⼾。如果某個帳⼾沒有⾜夠權限，安裝精靈將使⽤下⼀個帳⼾。如果使⽤網路代理⼯具安裝 Kaspersky
Endpoint Security，則無需選取帳⼾。

步驟 5. 完成⼯作建立
點擊“完成”按鈕完成精靈。在⼯作清單中將顯⽰⼀個新⼯作。要執⾏⼯作，請選中與⼯作對應的核取⽅塊，
然後點擊“開始”按鈕。應⽤程式將以靜默模式安裝。安裝後， 圖⽰將新增到使⽤者電腦的通知區域。如果
圖⽰看起來像 ，請確保您已啟動應⽤程式。

使⽤精靈在本機安裝應⽤程式
應⽤程式安裝精靈的介⾯包含了對應於應⽤程式安裝步驟的⼀系列視窗。

使⽤安裝精靈來安裝應⽤程式或從上⼀版本升級應⽤程式：
1. 複製“分發套件”資料夾到使⽤者的電腦。
2. 執⾏ setup_kes.exe。
啟動“安裝精靈”。

準備安裝在電腦上安裝 Kaspersky Endpoint Security 或從先前版本升級之前，將檢查以下條件：
是否安裝了不相容的軟體（分發套件中包含的 incompatible.txt 檔案提供了不相容軟體清單）。
無論是否符合軟硬體要求。
52

確認使⽤者是否有權限進⾏安裝。
如果不符合以上任何需求，系統將在電腦螢幕上顯⽰相關通知。例如，關於不相容軟體的通知（請⾒下圖）。

移除不相容軟體

如果電腦符合列出的需求，“安裝精靈”將搜尋應⽤程式安裝期間可能導致衝突的 Kaspersky 應⽤程式。如果發現
衝突的程式，系統將提⽰您⼿動移除它們。
如果偵測到的應⽤包括以前版本的 Kaspersky Endpoint Security，所有可以被移轉的資料（如啟動資料和應⽤程式設定）會在安裝 Kaspersky Endpoint Security 12.2 for Windows 時被保留和使⽤，以前版本的應⽤程式將被⾃動刪除。這適⽤於以下應⽤程式版本:
Kaspersky Endpoint Security 11.6.0 for Windows（版本 11.6.0.394）。
Kaspersky Endpoint Security 11.7.0 for Windows（版本 11.7.0.669）。
Kaspersky Endpoint Security 11.8.0 for Windows（版本 11.8.0.384）。
Kaspersky Endpoint Security 11.9.0 for Windows（版本 11.9.0.351）。
Kaspersky Endpoint Security 11.10.0 for Windows（版本 11.10.0.399）。
Kaspersky Endpoint Security 11.11.0 for Windows（版本 11.11.0.452）。
Kaspersky Endpoint Security 12.0 for Windows（版本 12.0.0.465）。
Kaspersky Endpoint Security 12.1 for Windows（版本 12.1.0.506）。

Kaspersky Endpoint Security 元件
在安裝過程中，您可以選取想要安裝的 Kaspersky Endpoint Security 元件（請⾒下圖）。“檔案威脅防護”元件是必須安裝的必備元件。您無法取消其安裝。

53選擇要安裝的應⽤程式元件

預設情況下，除了以下元件之外選定安裝所有應⽤程式元件：
BadUSB 攻擊防護。
資料加密元件。
Detection and Response 元件。
安裝應⽤程式後，您可以變更可⽤的應⽤程式元件。為此，您需要再次執⾏安裝精靈，然後選擇變更可⽤元件。
如果需要安裝 Detection and Response 元件，Kaspersky Endpoint Security ⽀援以下設定：
僅 Endpoint Detection and Response Optimum
僅 Endpoint Detection and Response Expert
僅 Endpoint Detection and Response (KATA)
僅 Kaspersky Sandbox
Endpoint Detection and Response Optimum 和 Kaspersky Sandbox
Endpoint Detection and Response Expert 和 Kaspersky Sandbox
Endpoint Detection and Response (KATA) 和 Kaspersky Sandbox
Kaspersky Endpoint Security 在安裝應⽤程式之前會驗證所選的元件。如果 Detection and Response 元件的選取設定不受⽀援，則無法安裝 Kaspersky Endpoint Security。

進階設定

54

進階應⽤程式安裝設定
防護應⽤程式安裝處理程序安裝防護包括防⽌分發套件被更換為惡意應⽤程式、封鎖對 Kaspersky Endpoint
Security 安裝資料夾的存取，以及封鎖對包含應⽤程式⾦鑰的系統登錄檔部分的存取。但是，如果無法安裝應⽤程式（例如，使⽤ Windows 遠端桌⾯協助執⾏遠端安裝），我們建議您停⽤安裝過程的防護。
確保與 Citrix PVS 相容 (這僅在使⽤ Citrix PVS 時有必要)您可以啟⽤ Citrix Provisioning Services ⽀援以將
Kaspersky Endpoint Security 安裝到虛擬機。
將 avp.com 檔案路徑新增⾄系統變數 %PATH%您可以將安裝路徑新增到 %PATH% 變數中，以⽅便使⽤命令列介⾯。

使⽤系統中⼼設定管理器遠端安裝應⽤程式
這些⼿冊適⽤於 System Center Con guration Manager 2012 R2。

若要使⽤系統中⼼設定管理器遠端安裝應⽤程式：
1. 開啟設定管理器主控台。
2. 在主控台右側，在“應⽤程式管理”塊中選取“軟體套件”。
3. 在控制⾯板中的主控台右上部分，點擊“建立軟體套件”按鈕。
這會啟動“新建軟體套件和應⽤程式精靈”。
4. 在新建軟體套件和應⽤程式精靈中：
a. 在“軟體套件”區域中：在“名稱”欄位中輸入安裝套件名稱。
在“來源資料夾”欄位中指定包含 Kaspersky Endpoint Security 分發套件的資料夾的路徑。
b. 在“應⽤程式類型”區域中選取“標準程式”選項。
c. 在“標準程式”區域中：55

在“名稱”欄位中，輸入安裝套件的唯⼀名稱（例如包含版本的應⽤程式名稱）。
在“命令列”欄位中從命令列中指定 Kaspersky Endpoint Security 安裝選項。
點擊“瀏覽”按鈕指定應⽤程式可執⾏檔的路徑。
確保執⾏模式清單選擇了以管理員權限執⾏項⽬。
d. 在“要求”區域中：如果您希望在安裝 Kaspersky Endpoint Security 之前啟⽤其他應⽤程式，則選取“⾸先執⾏其他程式”核取⽅塊。
從“應⽤程式”下拉清單中選取此應⽤程式，或者點擊“瀏覽”按鈕指定此應⽤程式可執⾏檔的路徑。
如果希望僅在指定的作業系統中安裝應⽤程式，請在“平台要求“塊中選擇“此程式只能在指定的平台上執⾏”選項。
在此清單中選取要安裝 Kaspersky Endpoint Security 的作業系統旁的核取⽅塊。
此步驟為可選項。
e. 在“摘要”區域中選中所有輸入的設定值，點擊“下⼀步”。
建立的安裝套件將顯⽰在可⽤安裝套件清單的“軟體套件”區域中。
5. 在安裝套件內容功能表中，選取“佈署”。
這將啟動“佈署⼿冊”。
6. 在佈署精靈中：a. 在“⼀般”區域中：在“軟體”欄位中輸入安裝套件的唯⼀名稱或者點擊“瀏覽”按鈕從清單中選取安裝套件。
在“集合”欄位中輸入要安裝應⽤程式的電腦集合的名稱，或者點擊“瀏覽”按鈕選取集合。
b. 在“包括”區域中，新增發佈點（有關詳情，請參閱系統中⼼設定管理器的說明文件）。
c. 如有必要，在佈署精靈中指定其他設定的值。這些設定是 Kaspersky Endpoint Security 遠端安裝的可選項。
d. 在“摘要”區域中選中所有輸入的設定值，點擊“下⼀步”。
佈署精靈完成後將建立遠端安裝 Kaspersky Endpoint Security 的⼯作。

setup.ini 檔案安裝設定說明從命令列安裝程式或使⽤ Microsoft Windows 的群組政策編輯器安裝程式時需要使⽤ setup.ini 檔案。要應⽤
setup.ini 檔案中的設定，請將該檔案放入包含 Kaspersky Endpoint Security 分發套件的資料夾。
下載 SETUP.INI 檔案
setup.ini 檔案包含以下部分：
56

[Setup] – 應⽤程式安裝的⼀般設定。
[Components] – 選取要安裝的應⽤程式元件。⾄少需選取⼀個元件進⾏安裝，未選取的元件將不會進⾏安裝。“檔案威脅防護”是強制性元件，無論此區域中表明的是哪種設定都會安裝在電腦上。
[Tasks] – 選取要包含在 Kaspersky Endpoint Security ⼯作清單中的⼯作。如果沒有指定⼯作，所有⼯作都
包含在Kaspersky Endpoint Security的⼯作清單中。
1 值的替代值可為 yes、on、enable和 enabled。

0 值的替代值可為 no、off、disable 和 disabled。
setup.ini 檔案的設定

區域[Setup]參數

描述

InstallDir

應⽤程式安裝資料夾的路徑。

ActivationCode

Kaspersky Endpoint Security 啟動碼。

EULA=1

接受最終使⽤者產品授權協議的條款。授權協議的內容包括
Kaspersky Endpoint Security 分發套件中。
必須接受最終使⽤者產品授權協議才能安裝應⽤程式或升
程式版本。

PrivacyPolicy=1

接受隱私政策。隱私政策的文字包含在 Kaspersky Endpoin
發套件中。
要安裝應⽤程式或升級應⽤程式版本，您必須接受隱私政KSN

接受或拒絕參與卡巴斯基安全網路 (KSN)。如果沒有為此參值，在⾸次啟動 Kaspersky Endpoint Security 時，Kaspers
Security 將提⽰您確認同意或拒絕加入 KSN。可⽤值：
1 – 同意加入 KSN。
0 – 拒絕加入 KSN（預設值）。
Kaspersky Endpoint Security 分發套件已針對與卡巴斯基安
使⽤進⾏最佳化。如果您選擇不加入卡巴斯基安全網路，則裝完成後立即更新 Kaspersky Endpoint Security。

Login

設定⽤於存取 Kaspersky Endpoint Security 功能和設定的使（“密碼防護”元件）。該使⽤者名稱與“Password”和“Pass設定⼀起進⾏設定。預設使⽤使⽤者名稱 KLAdmin。

密碼

指定⽤於存取 Kaspersky Endpoint Security 功能和設定的密與“Login”和“PasswordArea”參數⼀起指定）。
如果您指定了⼝令，但沒有指定帶有 登入 參數的使⽤者名
使⽤ KLAdmin 使⽤者名稱。

PasswordArea

指定⽤於存取 Kaspersky Endpoint Security 的密碼範圍。當
57

執⾏包含在此範圍中的操作時，Kaspersky Endpoint Secur
⽤者輸入帳⼾憑證（“登入名稱”和“密碼”參數）。使⽤“;”字
多個值。
可⽤值：
SET – 修改應⽤程式設定。
EXIT – 結束應⽤程式。
DISPROTECT – 停⽤防護元件並停⽌掃描⼯作。
DISPOLICY – 停⽤卡巴斯基安全管理中⼼政策。
UNINST – 從電腦中移除應⽤程式。
DISCTRL – 停⽤控制元件。
REMOVELIC – 刪除⾦鑰。
REPORTS – 檢視報告。
例如，
PasswordArea=SET;PasswordArea=UNINST;PasswordA
SelfProtection

啟⽤或停⽤應⽤程式安裝防護機制。可⽤值：
1 – 啟⽤程式安裝防護機制（預設值）。
0 – 停⽤程式安裝防護機制。
安裝防護包括防⽌分發套件被更換為惡意應⽤程式、封鎖對Endpoint Security 安裝資料夾的存取，以及封鎖對包含應⽤的系統登錄檔部分的存取。但是，如果無法安裝應⽤程式
⽤ Windows 遠端桌⾯協助執⾏遠端安裝），我們建議您停的防護。

EnableAzureSupport

啟⽤或停⽤ Azure WVD 相容模式。可⽤值：
1 – Azure WVD 相容模式被啟⽤。
0 – Azure WVD 相容模式被停⽤（預設值）。
此功能允許在 Kaspersky Anti Targeted Attack Platform 主顯⽰ Azure 虛擬機的狀態。為了監控電腦的效能，Kaspers
Security 將遙測資料傳送到 KATA 伺服器。遙測包括電腦的ID）。Azure WVD 相容模式允許為這些虛擬機分配永久唯
ID。如果關閉相容模式，由於 Azure 虛擬機的⼯作⽅式，感能會在電腦重新啟動後發⽣變化。這可能會導致主控台上出
虛擬機。

Reboot=1

⾃動重新啟動電腦（如果安裝或升級應⽤程式後需要重新啟
果未為此參數設定任何值，則阻⽌電腦⾃動重新啟動。
安裝 Kaspersky Endpoint Security 時，不需要重新啟動。僅
必須移除不相容的應⽤程式時，才需要重新啟動。更新應⽤時也可能需要重新啟動。

AddEnvironment

在 %PATH% 系統變數中，新增位於 Kaspersky Endpoint Se
資料夾的可執⾏檔的路徑。可⽤值：58

1 – 以位於 Kaspersky Endpoint Security 安裝資料夾的可路徑補充 %PATH% 系統變數。
0 – 不以位於 Kaspersky Endpoint Security 安裝資料夾的的路徑補充 %PATH% 系統變數。
AMPPL

啟⽤或停⽤ Kaspersky Endpoint Security 處理程序使⽤ AM（惡意軟體防護受防護輕型處理程序）提供的防護。有關
術的詳細資訊，請存取 Microsoft 網站 。
AM-PPL 技術適⽤於 Windows 10 版本 1703 (RS2) 或更⾼版
Windows Server 2019 作業系統。
可⽤值：
1 – 啟⽤ Kaspersky Endpoint Security 處理程序使⽤ AM
提供的防護。
0 – 停⽤ Kaspersky Endpoint Security 處理程序使⽤ AM
提供的防護。

UPGRADEMODE

應⽤程式升級模式：
Seamless意味著⽤電腦重新啟動升級應⽤程式（預設值Force意味著升級應⽤程式⽽無需重新啟動。
從版本 11.10.0 開始您可以升級應⽤程式⽽無需重新啟動。若版本的應⽤程式，您必須重新啟動電腦。從版本 11.11.0 開始
修補程式⽽無需重新啟動。
安裝 Kaspersky Endpoint Security 時，不需要重新啟動。因式的升級模式將在應⽤程式設定中指定。您可以在應⽤程式
政策中變更該參數。
當升級已安裝的應⽤程式時，在 setup.ini 檔案中指定的參數
序比在應⽤程式設定中或者在命令⾏指定的參數的優先順序
如，如果在 setup.ini 檔案中指定“強制”升級模式，在應⽤程
定“無縫”模式，升級將安裝⽽不重新啟動（強制）。如果您
setup.ini 檔案，其中UPGRADEMODE參數未指定，安裝程式將值（無縫），將安裝升級並重新啟動電腦。

SetupReg啟⽤將 setup.reg 檔案中的登錄機碼寫入登錄檔。SetupRe
setup.reg 參數值。

EnableTraces

啟⽤或停⽤應⽤程式跟蹤。Kaspersky Endpoint Security 在錯檔案儲存在資料夾 %ProgramData%\Kaspersky
Lab\KES.21.14\Traces中。可⽤值：
1 – 跟蹤已啟⽤。
0 – 跟蹤已停⽤（預設值）。

TracesLevel

偵錯詳細等級。可⽤值：100（關鍵）。僅包含有關致命錯誤的訊息。
200（⾼）。有關所有錯誤的訊息，包括致命錯誤。
300（診斷）。有關所有錯誤的訊息以及警告。
59

400（重要）。所有錯誤訊息、警告和其他資訊。
500（⼀般）。有關所有錯誤的訊息和警告，以及有關
應⽤程式操作的詳細資訊（預設）。
600（低）。所有訊息。
RESTAPI

透過 REST API 管理應⽤程式。要透過 REST API 管理應⽤程
指定使⽤者名稱（RESTAPI_User 參數）。
可⽤值：
1 –允許透過 REST API 進⾏管理。
0 –封鎖透過 REST API 進⾏管理（預設值）。
要透過 REST API 管理應⽤程式，必須允許使⽤管理系統進執⾏此操作，請設定 AdminKitConnector=1 參數。如果透
API 管理應⽤程式，則無法使⽤ Kaspersky 的管理系統來管
式。

RESTAPI_User

⽤於透過 REST API 管理應⽤程式的 Windows 網域帳⼾的使
只有此使⽤者可以透過 REST API 管理應⽤程式。輸入格式<DOMAIN>\<UserName> 的使⽤者名稱（例如，RESTAPI_User=COMPANY\Administrator）。您只能選擇來使⽤ REST API。
新增使⽤者名稱是透過 REST API 管理應⽤程式的先決條件[Components]

RESTAPI_Port

⽤於透過 REST API 管理應⽤程式的連接埠。預設情況下使接埠。確保連接埠空閒。

RESTAPI_Certificate

⽤於識別請求的憑證（例如，RESTAPI_Certificate=C:\cert.pem）。Kaspersky End
Security 與 REST ⽤⼾端進⾏安全交互需要設定請求識別。
須安裝憑證並隨後簽署每個請求的承載。

ALL安裝所有元件。如果指定了參數值 1，所有元件都將安裝件的安裝設定無關。
因為 Detection and Response 解決⽅案受⽀援的⽅式，E
Detection and Response Optimum 以及 Kaspersky Sand
安裝在電腦上。Endpoint Detection and Response Exper
配置不相容。

MailThreatProtection

郵件威脅防護。

WebThreatProtection

Web 威脅防護。

AMSI

AMSI 防護。

HostIntrusionPrevention

主機入侵防禦。

BehaviorDetection

⾏為偵測。

ExploitPrevention

弱點利⽤防禦。

RemediationEngine

修復引擎。

防火牆

防火牆。
60

NetworkThreatProtection

網路威脅防護。

WebControl

Web 控制。

DeviceControl

裝置控制。

ApplicationControl

應⽤程式控制。

AdaptiveAnomaliesControl

適應性異常控制。

LogInspector

記錄檢查

FileIntegrityMonitor

檔案完整性監控

FileEncryption“檔案級加密”庫。

DiskEncryption“完整磁碟加密”庫。

BadUSBAttackPrevention

BadUSB 攻擊防護。

EDR

Endpoint Detection and Response Optimum (EDR Optimum
該元件與 EDR Expert (EDRCloud) 和 EDR KATA (EDRKAT
相容。

EDRCloud

Endpoint Detection and Response Expert (EDR Expert)。
元件與 EDR Optimum (EDR) 和 EDR KATA (EDRKATA) 元件

AntiAPTFeature

Endpoint Detection and Response (KATA).
該元件與 EDR Expert (EDRCloud) 和 EDR Optimum (EDR
相容。

SB

Kaspersky Sandbox。

MDR

Managed Detection and Response。

AdminKitConnector

使⽤管理系統管理應⽤程式。例如，管理系統包括卡巴斯基中⼼。除了 Kaspersky 管理系統，您還可以使⽤協⼒廠商解Kaspersky Endpoint Security 為此提供了⼀個 API。
可⽤值：1 - 允許在管理系統的幫助下管理應⽤程式（預設值）0 - 僅允許透過本機介⾯管理應⽤程式。

[Tasks]ScanMyComputer

完整掃描⼯作。可⽤值：
1 – 該⼯作將包含在 Kaspersky Endpoint Security ⼯作清
0 – 該⼯作不會包含在 Kaspersky Endpoint Security ⼯作

ScanCritical

關鍵區域掃描⼯作。可⽤值：61

1 – 該⼯作將包含在 Kaspersky Endpoint Security ⼯作清
0 – 該⼯作不會包含在 Kaspersky Endpoint Security ⼯作
Updater

更新⼯作。可⽤值：
1 – 該⼯作將包含在 Kaspersky Endpoint Security ⼯作清
0 – 該⼯作不會包含在 Kaspersky Endpoint Security ⼯作

變更程式元件在安裝應⽤程式期間，您可以選擇變更可⽤的元件。您可以透過以下⽅式變更可⽤的應⽤程式元件：
本機使⽤安裝精靈。
使⽤ Windows 作業系統的⼀般⽅法（透過“主控台”）變更應⽤程式元件。執⾏應⽤程式安裝精靈，然後選取⽤於變更可⽤應⽤程式元件的選項。按照螢幕上的說明進⾏操作。
遠端使⽤卡巴斯基安全管理中⼼。
“變更程式元件”⼯作允許您在安裝應⽤程式後變更 Kaspersky Endpoint Security 元件。
變更應⽤程式元件時，請考慮以下特殊注意事項：
在執⾏ Windows Server 的電腦上，無法安裝 Kaspersky Endpoint Security 的所有元件（例如，“⾃適應異常控制”元件無法使⽤）。
如果電腦上的硬碟受“完整磁碟加密 (FDE)”防護，則無法刪除“完整磁碟加密”元件。要刪除“完整磁碟加密”元件，請解密電腦的所有硬碟。
如果電腦具有加密的檔案 (FLE) 或使⽤者使⽤加密的卸除式磁碟機（FDE 或 FLE），則在刪除資料加密元件之後將無法存取檔案和卸除式磁碟機。您可以透過重新安裝資料加密元件來存取這些檔案和卸除式磁碟機。
如何在管理主控台 (MMC) 中新增或刪除應⽤程式元件

62

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“選擇要安裝的元件”。

步驟 2. 變更應⽤程式元件的⼯作設定
選取將在使⽤者電腦上可⽤的應⽤程式元件。
為⼯作配置進階設定（請參閱下表）。

步驟 3. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 4. 設定⼯作啟動排程配置啟動⼯作的排程，例如，⼿動或在電腦空閒時。

步驟 5. 定義⼯作名稱
輸入⼯作的名稱，例如，“新增應⽤程式控制元件”。

步驟 6. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。
結果，使⽤者電腦上的 Kaspersky Endpoint Security 元件集將在靜默模式下變更。可⽤元件的設定將顯⽰在
應⽤程式的本機介⾯中。應⽤程式中未包括的元件將被停⽤，並且這些元件的設定無法使⽤。
如何在網⾴主控台和雲端主控台中新增或刪除應⽤程式元件
63

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 配置⼀般⼯作設定
配置⼀般⼯作設定：
1. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
2. 在“⼯作類型”下拉式清單中，選取“變更程式元件”。
3. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“新增應⽤程式控制元件”。
4. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。

步驟 2. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。例如，選取單獨的管理群組或構建⼀個選項。

步驟 3. 完成⼯作建立
選中“建立完成時開啟⼯作詳情”核取⽅塊，然後完成精靈。在⼯作內容中，選取“應⽤程式設定”標籤，然後選取可⽤的應⽤程式元件。為⼯作配置進階設定（請參閱下表）。
儲存變更並執⾏⼯作。
結果，使⽤者電腦上的 Kaspersky Endpoint Security 元件集將在靜默模式下變更。可⽤元件的設定將顯⽰在
應⽤程式的本機介⾯中。應⽤程式中未包括的元件將被停⽤，並且這些元件的設定無法使⽤。

安裝、更新或解除安裝 Kaspersky Endpoint Security 時，可能會出現錯誤。有關解決這些錯誤的更多資訊，
請參閱技術⽀援知識庫 。
⼯作的進階設定

參數描述

移除不相容的
協⼒廠商應⽤程式

不相容應⽤程式清單可以在“分發套件”中檢視，該套件包含在“incompatible.txt”中。
如果電腦上安裝了不相容的應⽤程式，安裝 Kaspersky Endpoint Security 將以出錯結
束。

設定修改應⽤程式元件集的密碼

管理員通常啟⽤密碼防護以限制對 Kaspersky Endpoint Security 的存取。也就是說，要修改應⽤程式元件的選擇，您必須輸入具有移除/修改/還原程式權限的使⽤者認證。例如，您可以使⽤ KLAdmin 帳⼾。

使⽤ Azure
WVD 相容模式

此功能允許在 Kaspersky Anti Targeted Attack Platform 主控台中正確顯⽰ Azure 虛擬機的狀態。為了監控電腦的效能，Kaspersky Endpoint Security 將遙測資料傳送到 KATA 伺
服器。遙測包括電腦的 ID（感應器 ID）。Azure WVD 相容模式允許為這些虛擬機分配64

永久唯⼀的感應器 ID。如果關閉相容模式，由於 Azure 虛擬機的⼯作⽅式，感應器 ID 可能會在電腦重新啟動後發⽣變化。這可能會導致主控台上出現重複的虛擬機。
使⽤密碼解除安裝 Kaspersky
Endpoint
Agent 和Kaspersky
Security for
Windows
Server

管理員通常在這些⼯作的設定中啟⽤密碼防護以限制對 Kaspersky Endpoint Agent (KEA)
和 Kaspersky Security for Windows Server (KSWS) 的存取。也就是說，如果您從[KES+KEA] 配置遷移到 [KES+built-in agent]，或者如果您從 KSWS 遷移到 KES，則必須
輸入密碼才能刪除這些應⽤程式。

從以前版本的應⽤程式升級
將以前版本的應⽤程式更新為較新版本時，請考慮以下事項：
當地語係化新版本的 Kaspersky Endpoint Security 必須比對已安裝版本的應⽤程式的當地語係化。如果應⽤程式的當地語係化不比對，則應⽤程式升級會完成但有錯誤。
建議在開始更新之前結束所有活動的應⽤程式。
在更新之前，Kaspersky Endpoint Security 會封鎖完整磁碟加密功能。如果無法鎖定完整磁碟加密，升級安裝將不會啟動。更新應⽤程式後，將還原完整磁碟加密功能。
Kaspersky Endpoint Security ⽀援以下應⽤程式版本的更新：
Kaspersky Endpoint Security 11.6.0 for Windows（版本 11.6.0.394）。
Kaspersky Endpoint Security 11.7.0 for Windows（版本 11.7.0.669）。
Kaspersky Endpoint Security 11.8.0 for Windows（版本 11.8.0.384）。
Kaspersky Endpoint Security 11.9.0 for Windows（版本 11.9.0.351）。
Kaspersky Endpoint Security 11.10.0 for Windows（版本 11.10.0.399）。
Kaspersky Endpoint Security 11.11.0 for Windows（版本 11.11.0.452）。
Kaspersky Endpoint Security 12.0 for Windows（版本 12.0.0.465）。
Kaspersky Endpoint Security 12.1 for Windows（版本 12.1.0.506）。
安裝、更新或解除安裝 Kaspersky Endpoint Security 時，可能會出現錯誤。有關解決這些錯誤的更多資訊，
請參閱技術⽀援知識庫 。

應⽤程式升級⽅法
可以透過以下⽅式在電腦上更新 Kaspersky Endpoint Security：
本機使⽤安裝精靈。
本機使⽤命令列。
65

遠端使⽤卡巴斯基安全管理中⼼。
遠端透過 Microsoft Windows 群組政策管理編輯器（有關詳細資訊，請造訪 Microsoft 技術⽀援網站 ）。
遠端使⽤系統中⼼配置管理器。
如果公司網路中部署的應⽤程式所包含的元件集與預設元件集不同，則透過管理主控台 (MMC) 更新應⽤程式與
透過網⾴主控台和雲端主控台更新應⽤程式也有所差異。在更新 Kaspersky Endpoint Security 時，應考慮以下事項：卡巴斯基安全管理中⼼網⾴主控台或卡巴斯基安全管理中⼼雲端主控台。
如果使⽤預設元件集為新版本的應⽤程式建立安裝套件，則將不會更改使⽤者電腦上的元件集。要為Kaspersky Endpoint Security 使⽤預設元件集，您需要開啟安裝套件內容，變更元件集，然後還原為原始元件
集並儲存變更。
卡巴斯基安全管理中⼼管理主控台。
更新後的應⽤程式元件集將與安裝套件中的元件集相符。也就是說，例如，如果新版本的應⽤程式採⽤預設
元件集，則將從電腦中刪除 BadUSB 攻擊防護元件，因為此元件已從預設元件集中排除。要繼續為應⽤程式
使⽤與更新之前相同的元件集，請在安裝套件設定中選擇所需的元件。

升級應⽤程式⽽無需重新啟動
升級應⽤程式⽽無需重新啟動可以在更新應⽤程式版本時提供不受中斷的伺服器作業。
升級應⽤程式⽽無需重新啟動有以下限制：
從版本 11.10.0 開始您可以升級應⽤程式⽽無需重新啟動。若要升級更早版本的應⽤程式，您必須重新啟動電腦。
從版本 11.11.0 開始您也可以升級應⽤程式⽽無需重新啟動。為較早版本的應⽤程式安裝修補可能需要重新啟動
電腦。
升級應⽤程式⽽無需重新啟動不可在啟⽤了資料加密（卡巴斯基加密 (FDE)，BitLocker，檔案級加密 (FLE)）
的電腦上使⽤。若要在啟⽤了資料加密的電腦上升級應⽤程式，必須重新啟動電腦。
變更應⽤程式元件或者修復應⽤程式後，必須重新啟動電腦。
如何在管理主控台 (MMC) 中選擇應⽤程式升級模式

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 應⽤程式設定”。
5. 在進階設定塊中，選擇或清空安裝應⽤程式更新⽽不重新啟動核取⽅塊以配置應⽤程式升級模式。
6. 儲存變更。
如何在網⾴主控台中選擇應⽤程式升級模式66

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”應⽤程式設定”。
5. 在進階設定塊中，選擇或清空安裝應⽤程式更新⽽不重新啟動核取⽅塊以配置應⽤程式升級模式。
6. 儲存變更。
如何在應⽤程式介⾯中選擇應⽤程式升級模式

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

Kaspersky Endpoint Security for Windows 設定

3. 在操作模式塊中，選擇或清空安裝更新⽽不重新啟動電腦核取⽅塊以配置應⽤程式升級模式。
4. 儲存變更。

67

結果，在升級應⽤程式⽽無需重新啟動後，電腦上將安裝兩個版本的應⽤程式。安裝程式將安裝新版本的應⽤程
式以分開“程式檔案”和“程式資料”資料夾中的⼦資料夾。安裝程式也會為新版本的應⽤程式建立⼀個單獨的登錄機碼。您不必⼿動移除先前版本的應⽤程式。電腦重新啟動時，先前版本將被⾃動移除。
您可以在卡巴斯基安全管理中⼼主控台中使⽤卡巴斯基應⽤程式版本報告檢查 Kaspersky Endpoint Security 升級
狀況。

移除應⽤程式
移除 Kaspersky Endpoint Security 將導致電腦和使⽤者資訊失去對威脅的防護。

安裝、更新或解除安裝 Kaspersky Endpoint Security 時，可能會出現錯誤。有關解決這些錯誤的更多資訊，
請參閱技術⽀援知識庫 。

⽤卡巴斯基安全管理中⼼移除應⽤程式
您可以使⽤“遠端解除安装應⽤程式”⼯作遠端移除應⽤程式。執⾏該⼯作時，Kaspersky Endpoint Security 會將應
⽤程式移除實⽤程式下載到使⽤者的電腦。完成應⽤程式的移除後，將⾃動刪除該實⽤程式。
如何透過管理主控台 (MMC) 刪除應⽤程式

68

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“卡巴斯基安全管理中⼼管理伺服器”→“附加”→“遠端解除安装應⽤程式”。

步驟 2. 選取要刪除的應⽤程式
選取“移除卡巴斯基安全管理中⼼⽀援的應⽤程式”。

步驟 3. 應⽤程式移除的⼯作設定
選取“Kaspersky Endpoint Security for Windows (12.2)”。

步驟 4. 移除實⽤程式設定
配置以下其他應⽤程式設定：
強制下載解除安装實⽤程式。選取實⽤程式傳送⽅式：
使⽤網路代理。如果電腦上未安裝網路代理，將⾸先使⽤作業系統的⼯具安裝網路代理。然後透過網路代理的⼯具移除 Kaspersky Endpoint Security。
透過管理伺服器使⽤作業系統資源。實⽤程式將透過管理伺服器使⽤作業系統資源傳送到⽤⼾端電腦。如果⽤⼾端電腦上未安裝網路代理，但⽤⼾端電腦與管理伺服器在同⼀網路中，可以選取此選項。
透過發佈點使⽤作業系統資源。透過發佈點使⽤作業系統資源將實⽤程式傳輸到⽤⼾端裝置。如果網
路中有⾄少⼀個發佈點，則可以選取此選項。有關發佈點的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
下載之前驗證作業系統類型。如有必要，清除此核取⽅塊。這樣可避免在電腦的作業系統不符合軟體需
求時下載移除實⽤程式。如果您確定電腦的作業系統符合軟體需求，可以略過此驗證。
如果應⽤程式移除操作受密碼防護，請執⾏以下操作：
1. 選中“使⽤解除安装密碼”核取⽅塊。
2. 點擊“編輯”按鈕。
3. 輸入 KLAdmin 帳⼾密碼。

步驟 5. 選取作業系統重新啟動設定69

移除應⽤程式後，需要重新啟動。選取將要執⾏之⽤於重新啟動電腦的操作。

步驟 6. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 7. 選取要執⾏⼯作的帳⼾
選取⽤於使⽤作業系統⼯具安裝網路代理的帳⼾。在這種情況下，存取電腦需要管理員權限。您可以新增多個帳⼾。如果某個帳⼾沒有⾜夠權限，安裝精靈將使⽤下⼀個帳⼾。如果使⽤網路代理⼯具移除 Kaspersky
Endpoint Security，則無需選取帳⼾。

步驟 8. 設定⼯作啟動排程配置啟動⼯作的排程，例如，⼿動或在電腦空閒時。

步驟 9. 定義⼯作名稱
輸入⼯作的名稱，例如“移除 Kaspersky Endpoint Security 12.2”。

步驟 10.完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。
應⽤程式將以靜默模式移除。
如何透過網⾴主控台和雲端主控台刪除應⽤程式

70

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 配置⼀般⼯作設定
配置⼀般⼯作設定：
1. 在“應⽤程式”下拉清單中，選取“卡巴斯基安全管理中⼼”。
2. 在“⼯作類型”下拉清單中，選取“遠端解除安装應⽤程式”。
3. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“移除技術⽀援電腦中的 Kaspersky Endpoint Security”。
4. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。

步驟 2. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。例如，選取單獨的管理群組或構建⼀個選項。

步驟 3. 配置應⽤程式移除設定
在此步驟中，配置應⽤程式移除設定：
1. 選擇“解除安装受管理應⽤程式”。
2. 選取“Kaspersky Endpoint Security for Windows (12.2)”。
3. 強制下載解除安装實⽤程式。選取實⽤程式傳送⽅式：
使⽤網路代理。如果電腦上未安裝網路代理，將⾸先使⽤作業系統的⼯具安裝網路代理。然後透過網路代理的⼯具移除 Kaspersky Endpoint Security。
透過管理伺服器使⽤作業系統資源。實⽤程式將透過管理伺服器使⽤作業系統資源傳送到⽤⼾端電腦。如果⽤⼾端電腦上未安裝網路代理，但⽤⼾端電腦與管理伺服器在同⼀網路中，可以選取此選項。
透過發佈點使⽤作業系統資源。透過發佈點使⽤作業系統資源將實⽤程式傳輸到⽤⼾端裝置。如果網
路中有⾄少⼀個發佈點，則可以選取此選項。有關發佈點的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
4. 在“同時下載的最⼤數量”欄位中，設定傳送到管理伺服器的下載應⽤程式移除實⽤程式請求數量限制。限制請求數有助於防⽌網路超載。
5. 在“解除安裝嘗試次數上限”欄位中，設定移除應⽤程式嘗試次數限制。如果移除 Kaspersky Endpoint
Security 以出錯結束，⼯作將⾃動再次啟動移除。

71

6. 如有必要，清除“下載之前驗證作業系統類型”核取⽅塊。這樣可避免在電腦的作業系統不符合軟體需求時
下載移除實⽤程式。如果您確定電腦的作業系統符合軟體需求，可以略過此驗證。

步驟 4. 選取要執⾏⼯作的帳⼾
選取⽤於使⽤作業系統⼯具安裝網路代理的帳⼾。在這種情況下，存取電腦需要管理員權限。您可以新增多個帳⼾。如果某個帳⼾沒有⾜夠權限，安裝精靈將使⽤下⼀個帳⼾。如果使⽤網路代理⼯具移除 Kaspersky
Endpoint Security，則無需選取帳⼾。

步驟 5. 完成⼯作建立
點擊“完成”按鈕完成精靈。在⼯作清單中將顯⽰⼀個新⼯作。
要執⾏⼯作，請選中與⼯作對應的核取⽅塊，然後點擊“開始”按鈕。應⽤程式將以靜默模式移除。移除完成
後，Kaspersky Endpoint Security 會顯⽰重新啟動電腦的提⽰。
如果應⽤程式移除操作受密碼防護，請在“遠端解除安装應⽤程式”⼯作的內容中輸入 KLAdmin 帳⼾密
碼。如果沒有密碼，⼯作不會執⾏。

要在“遠端解除安装應⽤程式”⼯作中使⽤ KLAdmin 帳⼾密碼：1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊卡巴斯基安全管理中⼼⼯作“遠端解除安装應⽤程式”。
⼯作內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 選中“使⽤解除安装密碼”核取⽅塊。
5. 輸入 KLAdmin 帳⼾密碼。
6. 儲存變更。
重新啟動應⽤程式以完成移除。為此，網路代理會顯⽰⼀個快顯視窗。

使⽤ Active Directory 遠端移除應⽤程式
您可以使⽤ Microsoft Windows 群組政策遠端解除安裝應⽤程式。若要解除安裝應⽤程式，您需要開啟群組政策
管理主控台 (gpmc.msc) 然後使⽤群組政策編輯器建立⼀個應⽤程式移除⼯作（要了解更多詳情，請造訪
Microsoft 技術⽀援網站 ）。
如果應⽤程式移除操作受密碼防護，則您需要執⾏以下操作：
1. 建立⼀個包含以下內容的 BAT 檔案：
msiexec.exe /x<GUID> KLLOGIN=<使⽤者名稱> KLPASSWD=<密碼> /qn<GUID> 是應⽤程式的唯⼀ ID。您可以使⽤以下命令找到應⽤程式的 GUID：
72

wmic product where "Name like '%Kaspersky Endpoint Security%'" get Name,
IdentifyingNumber
範例:
msiexec.exe /x{6BB76C8F-365E-4345-83ED-6D7AD612AF76} KLLOGIN=KLAdmin
KLPASSWD=!Password1 /qn
2. 在群組政策管理主控台 (gpmc.msc) 中為電腦建立⼀個新的 Microsoft Windows 政策。
3. 使⽤新政策執⾏在電腦上建立的 BAT 檔案。

本機移除應⽤程式
您也可以使⽤安裝精靈本機移除應⽤程式。使⽤ Windows 作業系統的⼀般⽅法（透過“主控台”）移除 Kaspersky
Endpoint Security。啟動“安裝精靈”。按照螢幕上的說明進⾏操作。

選擇應⽤程式移除操作

您可以指定要儲存應⽤程式使⽤的哪些資料，以供在下次安裝應⽤程式（例如升級到較新版本的應⽤程式）時使⽤。如果您並未指定任何資料，應⽤程式將被完全刪除（請⾒下圖）。

移除後儲存資料

您可以儲存以下資料：
73啟動資料，讓您避免再次啟動應⽤程式。如果產品授權期限在安裝之前未到期，Kaspersky Endpoint Security
會⾃動新增產品授權⾦鑰。
備份檔案 – 程式要掃描的置於”備份區”中的物件。
在移除應⽤程式之後儲存的備份檔案只能在⽤於儲存這些檔案的同⼀版本應⽤程式中存取。

如果您排程在移除應⽤程式之後使⽤備份物件，必須在移除應⽤程式之前還原這些物件。但是，Kaspersky 專家不建議從備份區中還原物件，因為這可能會損害電腦。
程式的操作設定 – 應⽤程式配置過程中選取的應⽤程式設定值。
本機儲存的加密⾦鑰 – 該資料提供對在移除程式之前加密的檔案和磁碟機的存取權限。為保證對加密檔案和磁碟機的存取權限，請確保在重新安裝 Kaspersky Endpoint Security 時選擇了資料加密功能。存取以前加密的檔案和磁碟機不需要進⼀步操作。
您也可以使⽤命令列本機刪除應⽤程式。

74

應⽤程式授權
本部分提供了 Kaspersky Endpoint Security 產品授權相關⼀般概念的資訊。

關於最終使⽤者產品授權協議
最終使⽤者產品授權協議是您與 AO Kaspersky Lab 之間達成的法律協議，它規定了您在使⽤所購買的應⽤程式
時須遵循的條款。

建議您在使⽤應⽤程式前認真閱讀《產品授權協議》條款。
您可透過下列⽅式檢視此授權協議的條款：
以互動模式安裝 Kaspersky Endpoint Security 時。
透過閱讀 license.txt 檔案。該檔案包括在應⽤程式分發套件中，還位於應⽤程式安裝資料夾%ProgramFiles(x86)%\Kaspersky Lab\KES\Doc\<locale>\KES 中。
安裝程式時確認您同意最終使⽤者產品授權協議即表⽰您同意最終使⽤者產品授權協議中的條款。如果您不同意
最終使⽤者產品授權協議的條款，將會中⽌安裝。

關於授權產品授權是根據最終使⽤者產品授權協議授予的在有限時間內使⽤本應⽤程式的權限。
該產品授權可讓您根據最終使⽤者授權許可協議的條款使⽤該應⽤程式，並獲得技術⽀援。可以使⽤的功能清單
和應⽤程式使⽤期限取決於啟動應⽤程式的產品授權類型。
我們提供下列授權類型：

試⽤版 – ⽬的在於讓使⽤者熟悉該應⽤程式的免費授權。
試⽤版產品授權通常擁有較短的有效期。當試⽤版授權到期，所有 Kaspersky Endpoint Security 功能將轉為停⽤。要繼續使⽤此應⽤程式，您必須購買⼀個正式授權。
您只能使⽤試⽤產品授權啟動應⽤程式⼀次。

正式版 – 購買 Kaspersky Endpoint Security 的付費授權。
正式產品授權中所能使⽤的應⽤程式功能取決於所選產品。所選的產品指定在產品授權憑證中。可⽤產品的資訊可以在 Kaspersky 網站 上找到。
當正式版產品授權到期時，應⽤程式的關鍵功能將被停⽤。要繼續使⽤此應⽤程式，您必須續約正式產品授權。如果不打算續約產品授權，您必須從電腦移除應⽤程式。

關於產品授權憑證
產品授權憑證 是傳送給使⽤者的⼀個帶有⾦鑰檔案或啟動碼的檔案。
產品授權憑證包含以下產品授權資訊：75產品授權⾦鑰或訂單號。
被授予產品授權的使⽤者詳情。
可以使⽤產品授權啟動的應⽤程式詳情。
授權單元的數量限制（例如，可以在此產品授權下使⽤應⽤程式的裝置數量）。
產品授權期限開始⽇期。
產品授權到期⽇期或產品授權期限。
產品授權類型。

關於訂購
Kaspersky Endpoint Security 訂購是⼀項帶有特定參數（如訂購到期⽇期和受防護裝置數量）的應⽤程式購買訂單。您可以從服務供應商（範例您的 ISP）處訂購 Kaspersky Endpoint Security 訂購。您可以⼿動或⾃動對訂購進⾏續約，也可以取消訂購。您可以在服務供應商網站上管理您的訂購。
訂購可以是有限訂購（範例⼀年時間）或無限訂購（無到期時間）。有限訂購期到期後，要使 Kaspersky
Endpoint Security 繼續⼯作，您必須續約訂購。如果按時預⽀付供應商服務，則可以⾃動續約無限訂購。
有限訂購到期時，您可能得到訂購續費寬限期，在此期間應⽤程式繼續執⾏。寬限期的可⽤性和期限由服務提供者決定。
要在訂購下使⽤ Kaspersky Endpoint Security，您需要套⽤從服務供應商處接收到的啟動碼。套⽤啟動碼之後，將新增啟動⾦鑰。啟動⾦鑰確認在訂購下使⽤應⽤程式的產品授權。您不能使⽤⾦鑰檔案啟動訂購下的應⽤程式。服務提供商只能提供⼀個啟動碼。無法在訂購下新增備⽤⾦鑰。
在訂購下購買的啟動碼可能無法⽤於啟動先前版本的 Kaspersky Endpoint Security。

關於產品授權⾦鑰
產品授權⾦鑰是⼀個序號，可⽤於按照最終使⽤者產品授權協議條款啟動和使⽤應⽤程式。
對於訂購中新增的⾦鑰，不提供產品授權憑證。
您可以透過套⽤⾦鑰檔案或輸入啟動碼來向應⽤程式新增產品授權⾦鑰。
若違反了最終使⽤者授權協議的條款，則 Kaspersky 可以封鎖此⾦鑰。如果⾦鑰被封鎖，則您必須新增其他⾦鑰才繼續使⽤應⽤程式。
有兩種類型的⾦鑰：啟動⾦鑰和備⽤⾦鑰。

啟動⾦鑰是程式⽬前正在使⽤的⾦鑰。試⽤版產品授權或正式版產品授權⾦鑰可以被新增為啟動⾦鑰。本應⽤程
式不能擁有兩個及以上啟動⾦鑰。

76

備⽤⾦鑰使⽤者可新增⼀組⽬前尚未使⽤的⾦鑰。啟動⾦鑰到期後，備⽤⾦鑰將⾃動⽣效。在⽬前已有⾦鑰啟⽤
下才能新增備⽤⾦鑰。

只能將試⽤版產品授權的⾦鑰以啟動⾦鑰的形式進⾏新增。無法將其新增為備⽤⾦鑰。試⽤版產品授權⾦鑰
無法替換正式版產品授權的啟動⾦鑰。
如果密鑰被新增到禁⽌密鑰清單中，則⽤於啟動應⽤程式的產品授權定義的應⽤程式功能將保持八天可⽤。應⽤
程式將通知使⽤者該密鑰已新增到禁⽌密鑰清單中。八天後，應⽤程式功能將限制為產品授權到期後可⽤的功能級別。您可以使⽤防護和控制元件並使⽤產品授權到期之前安裝的應⽤程式資料庫執⾏掃描。此應⽤程式也會繼
續加密在產品授權到期前經過修改或加密過的檔案，但是不會加密新檔案。卡巴斯基安全網路無法使⽤。

關於啟動碼
啟動碼是由 20 個字⺟數字字元組成的唯⼀序號。輸入啟動碼以新增⽤於啟動 Kaspersky Endpoint Security 的產品授權⾦鑰。在您購買 Kaspersky Endpoint Security 之後，您指定的電⼦郵件地址會收到啟動碼。
要⽤啟動碼啟動應⽤程式，需要網際網路接入連線到 Kaspersky 的啟動伺服器。
當應⽤程式使⽤啟動碼啟動時，將新增啟動⾦鑰。備⽤⾦鑰只能使⽤啟動碼新增，⽽不能使⽤⾦鑰檔案新增。
如果啟動應⽤程式後遺失了啟動碼，則您可以還原啟動碼。您可能會需要啟動碼，例如⽤於註冊 Kaspersky
CompanyAccount 。如果啟動碼在應⽤程式啟動後丟失，請聯絡您從其購買產品授權的 Kaspersky 合作廠商。

關於⾦鑰檔案⾦鑰檔案是您從 Kaspersky 接收到的 .key 副檔名的檔案。⾦鑰檔案的⽬的是新增能夠啟動應⽤程式的產品授權⾦鑰。

在購買 Kaspersky Endpoint Security 或訂購 Kaspersky Endpoint Security 試⽤版後，您會在您提供的電⼦郵件地址收到⾦鑰檔案。
使⽤⾦鑰檔案無需連線⾄ Kaspersky 啟動伺服器以啟動應⽤程式。
如果⾦鑰檔案被意外刪除，則您可以還原它。您可能需要⾦鑰檔案註冊諸如卡巴斯基公司帳⼾之類的服務。
若要還原⾦鑰檔案，請執⾏以下操作：
聯絡產品授權銷售商。
基於您現有的啟動碼在 Kaspersky 網站上 獲得⾦鑰檔案。
當使⽤⾦鑰檔案啟動應⽤程式時，將新增啟動⾦鑰。備⽤⾦鑰只能使⽤⾦鑰檔案新增，⽽不能使⽤啟動碼新增。

依據⼯作站的產品授權類型比對應⽤程式功能
⼯作站上可⽤的 Kaspersky Endpoint Security 功能集合取決於產品授權類型（請⾒下表）。
也請參⾒伺服器的應⽤程式功能比對
Kaspersky Endpoint Security 功能比較77

功能

Kaspersky
Endpoint
Security
forBusiness
SelectKaspersky
Endpoint
Security
forBusiness
Advanced

Kaspersky
Total
Security

Kaspersky
Endpoint
DetectionandResponse
Optimum

Kaspersky
Optimum
Security

Kaspersky
Endpoint
DetectionandResponse
ExpertKaspersky
HybridCloud
Security
標準版

–

–

–

–

–

–

–

Kaspe
Hyb
Clo
Secu
企業

進階威脅防
護
卡巴斯基安
全網路
⾏為偵測
弱點利⽤防
禦
主機入侵防
禦
修復引擎
關鍵威脅防
護
檔案威脅防
護
Web 威脅防
護
郵件威脅防
護
防火牆
網路威脅防
護
BadUSB 攻擊防護
AMSI 防護
安全控制
記錄檢查

–

應⽤程式控
制
裝置控制
Web 控制
適應性異常
控制

–

檔案完整性
監控

–

–
–

–

–

–

–

–

資料加密
卡巴斯基磁
碟加密

–

–

78

–

BitLocker 磁
碟機加密

–

–

檔案級加密

–

–

卸除式磁碟
機加密

–

–

DetectionandResponse
Endpoint
DetectionandResponse
Optimum–––

Endpoint
DetectionandResponse
Expert

–

–

–

–

–

–

–

–

–

–

Kaspersky
Sandbox（Kaspersky
Sandbox 產
品授權必須
單獨購買）

依據伺服器的產品授權類型比對應⽤程式功能
伺服器上可⽤的 Kaspersky Endpoint Security 功能集合取決於產品授權類型（請⾒下表）。
也請參⾒⼯作站的應⽤程式功能比對
Kaspersky Endpoint Security 功能比較

功能Kaspersky
Endpoint
Security
forBusiness
SelectKaspersky
Endpoint
Security
forBusiness
Advanced

Kaspersky
Total
Security

Kaspersky
Endpoint
DetectionandResponse
Optimum

Kaspersky
Optimum
Security

Kaspersky
Endpoint
DetectionandResponse
ExpertKaspersky
HybridCloud
Security
標準版

–

–

–

–

–

–

–

Kaspe
Hyb
Clo
Secu
企業

進階威脅防
護
卡巴斯基安
全網路
⾏為偵測
弱點利⽤防
禦
主機入侵防
禦

79

–

修復引擎
關鍵威脅防
護
檔案威脅防
護
Web 威脅防
護

–

郵件威脅防
護

–

防火牆
網路威脅防
護
BadUSB 攻擊防護
AMSI 防護
安全控制
記錄檢查

–

應⽤程式控
制

–

裝置控制

–

Web 控制

–

適應性異常
控制

–

–

–

–

–

–

–

檔案完整性
監控

–

–

–

–

–

–

–

卡巴斯基磁
碟加密

–

–

–

–

–

–

–

BitLocker 磁
碟機加密

–

檔案級加密

–

–

–

–

–

–

–

–

卸除式磁碟
機加密

–

–

–

–

–

–

–

–

Endpoint
DetectionandResponse
Optimum

–

–

–

–

–

–

Endpoint
Detection
and

–

–

–

–

–

–

–

–

–

–

–
–

–

資料加密
–

–

DetectionandResponse–80–Response
ExpertKaspersky
Sandbox（Kaspersky
Sandbox 產
品授權必須
單獨購買）

啟動應⽤程式啟動是⼀種啟動產品授權的過程，允許您在產品授權過期之前使⽤該應⽤程式全部的功能。應⽤程式啟動涉及新增產品授權⾦鑰。

您可以採⽤以下⽅式啟動應⽤程式：
使⽤啟動精靈從應⽤程式介⾯本機進⾏。您可使⽤此⽅式同時新增啟動⾦鑰與備⽤⾦鑰。
遠端使⽤卡巴斯基安全管理中⼼軟體套裝。
使⽤“新增⾦鑰”⼯作。
此⽅法允許您向特定電腦或屬於管理群組的電腦新增⾦鑰。您可使⽤此⽅式同時新增啟動⾦鑰與備⽤⾦
鑰。
透過將儲存在卡巴斯基安全管理中⼼管理伺服器中的⾦鑰分發到電腦。
使⽤此⽅法可以⾃動將⾦鑰新增到已連線到卡巴斯基安全管理中⼼的電腦和新電腦。要使⽤此⽅法，需要先將⾦鑰新增到卡巴斯基安全管理中⼼管理伺服器。有關將⾦鑰新增到卡巴斯基安全管理中⼼管理伺服器
的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
在訂購下購買的啟動碼位於第⼀位。
透過將⾦鑰新增到 Kaspersky Endpoint Security 安裝套件。
此⽅法可讓您在 Kaspersky Endpoint Security 部署期間將⾦鑰新增到安裝套件內容。安裝後應⽤程式會被
⾃動啟動。
使⽤命令列。
根據 Kaspersky 的啟動伺服器的負載分佈情況，（在遠端安裝或非互動安裝失）程式⽤啟動碼啟動可能會花
⼀定時間。若您需要立即啟動應⽤程式，您可能需要中斷正在進⾏的啟動過程，並使⽤啟動精靈進⾏啟動。

啟動應⽤程式如何在管理主控台 (MMC) 中啟動應⽤程式

81

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“新增⾦鑰”。

步驟 2. 新增⾦鑰
輸入啟動碼或選取⾦鑰檔案。
有關將⾦鑰新增到卡巴斯基安全管理中⼼儲存區的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

步驟 3. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 4. 設定⼯作啟動排程配置啟動⼯作的排程，例如，⼿動或在電腦空閒時。

步驟 5. 定義⼯作名稱
輸入⼯作的名稱，例如“啟動 Kaspersky Endpoint Security for Windows”。

步驟 6. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。結果，Kaspersky Endpoint Security 將以靜默模式在使⽤者電腦上啟動。
如何在網⾴主控台和雲端主控台中啟動應⽤程式

82

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 配置⼀般⼯作設定
配置⼀般⼯作設定：
1. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
2. 在“⼯作類型”下拉式清單中，選取“新增⾦鑰”。
3. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“啟動 Kaspersky Endpoint Security for Windows”。
4. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。前往下⼀步。

步驟 2. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟3. 選取產品授權
選取要⽤於啟動應⽤程式的產品授權。前往下⼀步。
您可以向網⾴主控台新增⾦鑰（“操作”→“產品授權”）。

步驟 4. 完成⼯作建立
點擊“完成”按鈕完成精靈。在⼯作清單中將顯⽰⼀個新⼯作。要執⾏⼯作，請選中與⼯作對應的核取⽅塊，
然後點擊“開始”按鈕。結果，Kaspersky Endpoint Security 將以靜默模式在使⽤者電腦上啟動。
如何在應⽤程式介⾯中啟動應⽤程式

83

1. 在應⽤程式主視窗中，轉⾄“產品授權”區域。
2. 單擊“使⽤新產品授權啟動應⽤程式”。
應⽤程式啟動精靈將啟動。按照啟動精靈的指⽰操作。

啟動應⽤程式在“新增⾦鑰”⼯作的內容中，可以將備⽤⾦鑰新增到電腦。當啟動⾦鑰到期或被刪除時，備⽤⾦鑰會成為啟動⾦鑰。使⽤備⽤⾦鑰可避免當產品授權到期時應⽤程式功能受限。
如何透過管理主控台 (MMC) ⾃動向電腦新增產品授權⾦鑰

1. 在管理主控台中，轉到資料夾“管理伺服器 → Kaspersky 產品授權”。
隨即開啟產品授權⾦鑰清單。
2. 開啟產品授權⾦鑰內容。
3. 在“⼀般”區域中，選中“⾃動分發的產品授權⾦鑰”核取⽅塊。
4. 儲存變更。
結果是⾦鑰將⾃動分發到相應電腦。在將⾦鑰作為啟動⾦鑰或備⽤⾦鑰進⾏⾃動分發的過程中，會考慮產
品授權對電腦數量的限制（在⾦鑰內容中設定）。如果達到產品授權限制，會⾃動停⽌將該⾦鑰分發到電
腦。您可以在“裝置”區域的⾦鑰內容中檢視已新增⾦鑰的電腦數量以及其他資料。
如何透過網⾴主控台和雲端主控台⾃動向電腦新增產品授權⾦鑰84

1. 在 Web 主控台的主視窗中，選擇操作 → 產品授權 → Kaspersky 產品授權。
隨即開啟產品授權⾦鑰清單。
2. 開啟產品授權⾦鑰內容。
3. 在“⼀般”索引標籤上，開啟“⾃動佈署產品授權⾦鑰”切換按鈕。
4. 儲存變更。
結果是⾦鑰將⾃動分發到相應電腦。在將⾦鑰作為啟動⾦鑰或備⽤⾦鑰進⾏⾃動分發的過程中，會考慮產
品授權對電腦數量的限制（在⾦鑰內容中設定）。如果達到產品授權限制，會⾃動停⽌將該⾦鑰分發到電
腦。您可以在“裝置”標籤上的⾦鑰內容中檢視已新增⾦鑰的電腦數量以及其他資料。

產品授權使⽤監控
您可以透過以下⽅式監控產品授權的使⽤：
檢視組織基礎架構的⾦鑰使⽤報告（“監控和報告”→“報告”）。
在“裝置”→“受管理裝置”標籤上檢視電腦的狀態。如果應⽤程式未啟動，電腦將具有態。

“應⽤程式未啟動”狀檢視電腦內容中的產品授權資訊。
檢視⾦鑰內容（“操作”→“產品授權”）。

作為卡巴斯基安全網路中⼼雲端主控台的⼀部分啟動應⽤程式的細節卡巴斯基安全管理中⼼雲端主控台提供了試⽤版。試⽤版是卡巴斯基安全管理中⼼雲端主控台的特殊版本，旨在使使⽤者熟悉該應⽤程式的功能。在此版本中，您可以在 30 天內在⼯作區中執⾏操作。所有託管的應⽤程式都⾃動在卡巴斯基安全管理中⼼雲端主控台的試⽤授權許可下執⾏，包括 Kaspersky Endpoint Security。但是，當卡巴斯基安全管理中⼼雲端主控台的試⽤授權許可到期時，您無法使⽤ Kaspersky Endpoint Security ⾃⾝的試⽤
授權許可啟動該應⽤程式。有關卡巴斯基安全管理中⼼產品授權的詳細資訊，請參閱卡巴斯基安全管理中⼼雲端
主控台說明 。
卡巴斯基安全管理中⼼雲端主控台試⽤版不允許以後切換到商業版本。30 天期限到期後，所有試⽤⼯作區
及其所有內容都將被⾃動刪除。

檢視產品授權資訊
要檢視產品授權的相關資訊：
在應⽤程式主視窗中，轉⾄“產品授權”區域（請⾒下圖）。

85

“產品授權管理”視窗該區域會顯⽰以下詳情：⾦鑰狀態。⼀台電腦上可以儲存多個⾦鑰。有兩種類型的⾦鑰：啟動⾦鑰和備⽤⾦鑰。本應⽤程式不能擁有兩個及以上啟動⾦鑰。只有啟動⾦鑰到期或透過點擊“刪除”刪除啟動⾦鑰後，備⽤⾦鑰才變為啟動⾦鑰。

應⽤程式名稱。已購買的 Kaspersky 應⽤程式的全名。
產品授權類型。以下產品授權類型可⽤：試⽤和正式。
功能。在您的產品授權下提供的應⽤程式功能。功能可能包括防護、安全控制、資料加密等。授權憑證中還提供了可⽤功能的清單。

有關產品授權的附加資訊。產品授權期限的開始⽇期和結束⽇期（僅適⽤於啟動⾦鑰），產品授權期限的剩餘時⻑。

產品授權到期⽇期根據作業系統中配置的時區進⾏顯⽰。

⾦鑰。⾦鑰是從啟動碼或⾦鑰檔案⽣成的唯⼀字⺟數字序列。
在“產品授權管理”視窗中，還可以執⾏下列操作之⼀：
購買產品授權 / 續約產品授權。開啟受防護裝置線上商店網站，在其中可以購買或續約產品授權。為此，請輸入您的公司資訊並⽀付訂單。
使⽤新產品授權啟動應⽤程式啟動應⽤程式啟動精靈。在此精靈中可以使⽤啟動碼或⾦鑰檔案新增⾦鑰。應⽤程式啟動精靈允許您新增⼀個啟動⾦鑰和⼀個（且僅有⼀個）備⽤⾦鑰。
86購買產品授權
您可以在安裝程式後購買授權。購買產品授權後，您將收到⽤於啟動應⽤程式的啟動碼或⾦鑰檔案。

要購買產品授權：1. 在應⽤程式主視窗中，轉⾄“產品授權”區域。
2. 請執⾏以下操作之⼀：
如果未新增任何⾦鑰，或新增了試⽤版產品授權的⾦鑰，請點擊“購買產品授權”按鈕。
如果安裝了正式版產品授權的⾦鑰，請點擊“續約產品授權”按鈕。
這時瀏覽器將開啟 Kaspersky 線上商店的視窗，您可以在此網站中購買產品授權。

續約訂購
當您在訂購下使⽤程式時，Kaspersky Endpoint Security 將按照指定間隔⾃動聯絡啟動伺服器，直⾄您的訂購到期。
如果您在無限訂購下使⽤應⽤程式，Kaspersky Endpoint Security 將⾃動檢查啟動伺服器，以背景模式獲取續約的⾦鑰。如果啟動伺服器上有可⽤⾦鑰，應⽤程式會替換先前產品授權繼⽽新增此產品授權。透過這種⽅式，使⽤無限訂購的 Kaspersky Endpoint Security 無需使⽤者介入進⾏更新。
如果您在有限訂購下使⽤本應⽤程式，在訂購到期之⽇（或訂購續約寬限期到期之⽇），Kaspersky Endpoint
Security 將通知您，並停⽌嘗試⾃動續約訂購。在這種情況下，Kaspersky Endpoint Security 將與正式版應⽤程
式到期⼀樣的⽅式執⾏：應⽤程式執⾏但是沒有更新且卡巴斯基安全網路不可⽤。
您可以在服務提供者的網站上續約訂購。

若要從程式介⾯中存取服務供應商網站，請執⾏以下操作：
1. 在應⽤程式主視窗中，轉⾄“產品授權”區域。
2. 單擊“聯絡訂購供應商”。
您可以⼿動更新訂購狀態。如果在寬限期後對訂購進⾏續約並且訂購狀態未⾃動更新時，您可能需要執⾏此操
作。

87

續約訂購

88

資料提供

在最終使⽤者產品授權協議下的資料提供
如果套⽤啟動碼 來啟動 Kaspersky Endpoint Security，則您同意為驗證應⽤程式的正確使⽤⽽⾃動定期向Kaspersky 傳送以下資訊：
Kaspersky Endpoint Security 的類型、版本和中文化；
Kaspersky Endpoint Security 已安裝更新的版本；
電腦 ID 和該電腦上的特定 Kaspersky Endpoint Security 安裝的 ID；
序號和啟動⾦鑰識別碼；
作業系統的類型、版本和比特率，以及虛擬環境的名稱（如果 Kaspersky Endpoint Security 安裝在虛擬環境中）；
傳送資訊時活動的 Kaspersky Endpoint Security 元件的 ID。
Kaspersky 也可以使⽤這些資訊來⽣成關於 Kaspersky 軟體傳播和使⽤的統計資訊。
使⽤啟動碼，即表明您同意⾃動傳送以上列出的資料。如果您不同意傳送這些資訊⾄ Kaspersky，則應該使⽤⾦鑰檔案來啟動 Kaspersky Endpoint Security。
同意最終使⽤者產品授權協議的條款，表⽰您同意⾃動傳送以下資訊：
升級 Kaspersky Endpoint Security 時：
Kaspersky Endpoint Security 的版本；
Kaspersky Endpoint Security 的 ID；啟動⾦鑰；升級⼯作啟動的唯⼀ ID；
Kaspersky Endpoint Security 安裝的唯⼀ ID。
點擊 Kaspersky Endpoint Security 介⾯中的連結時：
Kaspersky Endpoint Security 的版本；
作業系統版本；Kaspersky Endpoint Security 啟動⽇期；
產品授權到期⽇期；
⾦鑰建立⽇期；
Kaspersky Endpoint Security 安裝⽇期；89

Kaspersky Endpoint Security 的 ID；
作業系統中偵測到的弱點的 ID；
為 Kaspersky Endpoint Security 安裝的最新更新的 ID；
偵測到的帶威脅的檔案的雜湊值，以及按照 Kaspersky 分類確定的威脅名稱；Kaspersky Endpoint Security 啟動錯誤類別；
Kaspersky Endpoint Security 啟動錯誤代碼；⾦鑰到期前的天數；新增⾦鑰後經過的天數；產品授權到期後經過的天數；套⽤⽬前產品授權的電腦數量；啟動⾦鑰；Kaspersky Endpoint Security 產品授權條款；產品授權⽬前狀態；⽬前產品授權的類型；
應⽤程式類型；
升級⼯作啟動的唯⼀ ID；
電腦上 Kaspersky Endpoint Security 安裝的唯⼀ ID；
Kaspersky Endpoint Security 介⾯語⾔。
Kaspersky 將根據法律和 Kaspersky 應⽤程式管理規定防護收到的資訊。資料透過加密的通訊通道傳輸。
請閱讀最終使⽤者產品授權協議並存取 Kaspersky 網站 瞭解當您接受《最終使⽤者產品授權協議》和同意《卡巴斯基安全網路聲明》之後我們如何接收、儲存和銷毀有關程式使⽤的資訊。license.txt 和 ksn_<語⾔ ID>.txt 檔
案包含最終使⽤者產品授權協議的文字，卡巴斯基安全網路聲明包含在應⽤程式分發套件中。

使⽤卡巴斯基安全網路時的資料提供
Kaspersky Endpoint Security 傳送到 Kaspersky 的資料集合取決於產品授權的類型和卡巴斯基安全網路使⽤設定。

經產品授權在不超過 4 台電腦上使⽤ KSN
同意卡巴斯基安全網路聲明，表⽰您同意⾃動傳送以下資訊：
有關 KSN 配置更新的資訊：活動配置的識別碼、收到的配置的識別碼、配置更新的錯誤代碼；90

有關要掃描的檔案和 URL 位址的資訊：所掃描檔案的核對總和 (MD5、SHA2-256、SHA1) 和檔案模式 (MD5)，
模式⼤⼩，偵測到的威脅的類型及其在權利所有⼈分類中的名稱，病毒資料庫的識別碼，其信譽被請求的URL 位址，以及引⽤⾴ URL 位址，連線協定的識別碼和使⽤的連接埠號；
偵測到威脅的掃描⼯作的 ID；
有關需要⽤來驗證真實性的數位憑證的資訊：⽤於對掃描的物件進⾏簽章的憑證的核對總和 (SHA256) 以及憑
證的公開⾦鑰；執⾏掃描的軟體元件的識別碼；
病毒資料庫的 ID 以及這些病毒資料庫中的記錄的 ID；
有關電腦上的軟體啟動的資訊：來⾃啟動服務的已簽章票證頭（區域啟動中⼼的識別碼、啟動碼的核對總和、票證的核對總和、票證建立⽇期、票證的唯⼀識別碼、票證版本、產品授權狀態、票證有效期的開始/結束⽇期和時間、產品授權的唯⼀識別碼、產品授權版本），⽤於對票證頭簽章的憑證的識別碼，⾦鑰檔案的核對總和 (MD5)；
有關權利所有⼈的軟體的資訊：完整版本，類型，⽤於連線到 Kaspersky 服務的協定的版本。

經產品授權在 5 台或更多電腦上使⽤ KSN
同意卡巴斯基安全網路聲明，表⽰您同意⾃動傳送以下資訊：
如果選中“卡巴斯基安全網路”核取⽅塊並且清除“啟⽤延伸 KSN 模式”核取⽅塊，則應⽤程式會傳送以下資訊：
有關 KSN 配置更新的資訊：活動配置的識別碼、收到的配置的識別碼、配置更新的錯誤代碼；有關要掃描的檔案和 URL 位址的資訊：所掃描檔案的核對總和 (MD5、SHA2-256、SHA1) 和檔案模式 (MD5)，
模式⼤⼩，偵測到的威脅的類型及其在權利所有⼈分類中的名稱，病毒資料庫的識別碼，其信譽被請求的URL 位址，以及引⽤⾴ URL 位址，連線協定的識別碼和使⽤的連接埠號；
偵測到威脅的掃描⼯作的 ID；
有關需要⽤來驗證真實性的數位憑證的資訊：⽤於對掃描的物件進⾏簽章的憑證的核對總和 (SHA256) 以及憑
證的公開⾦鑰；執⾏掃描的軟體元件的識別碼；
病毒資料庫的 ID 以及這些病毒資料庫中的記錄的 ID；
有關電腦上的軟體啟動的資訊：來⾃啟動服務的已簽章票證頭（區域啟動中⼼的識別碼、啟動碼的核對總和、票證的核對總和、票證建立⽇期、票證的唯⼀識別碼、票證版本、產品授權狀態、票證有效期的開始/結束⽇期和時間、產品授權的唯⼀識別碼、產品授權版本），⽤於對票證頭簽章的憑證的識別碼，⾦鑰檔案的核對總和 (MD5)；
有關權利所有⼈的軟體的資訊：完整版本，類型，⽤於連線到 Kaspersky 服務的協定的版本。
如果除了“卡巴斯基安全網路“核取⽅塊之外，還選擇了“啟⽤延伸 KSN 模式”核取⽅塊，則除了上⾯列出的資訊之外，應⽤程式還會傳送以下資訊：
有關對請求的包含主機的被處理 URL 和 IP 位址的 Web 資源進⾏分類的結果的資訊，執⾏分類的軟體元件的
版本，分類⽅法，以及針對 Web 資源定義的類別集；
有關電腦上安裝的軟體的資訊：軟體應⽤程式和軟體供應商的名稱，登錄機碼及其值，已安裝的軟體元件的檔案資訊（核對總和（MD5、SHA2-256、SHA1）、名稱、檔案在電腦上的路徑、⼤⼩、版本和數位簽章）；91

有關電腦的病毒防護狀態的資訊：正在使⽤的病毒資料庫的版本和發⾏時間戳記，⼯作的 ID 和執⾏掃描的軟
體的 ID；
有關最終使⽤者正在下載的檔案的資訊：下載的檔案和下載⾴的 URL 和 IP 位址，下載協議識別碼和連線連接
埠號，表⽰ URL 是否為惡意的狀態，檔案的屬性、⼤⼩和核對總和（MD5、SHA2-256、SHA1），下載檔案的處理程序的相關資訊（核對總和（MD5、SHA2-256、SHA1）、建立/構建⽇期和時間、⾃動執⾏狀態、內容、封裝程式的名稱、簽章資訊、可執⾏檔標誌、格式識別碼和熵），檔案名稱及其在電腦上的路徑，檔案
的數位簽章及其產⽣時的時間戳記，發⽣偵測的 URL 位址，⾴⾯上看上去可疑或有害的指令碼的編號，有關產⽣的 HTTP 請求以及對它們的回應的資訊；
有關正在執⾏的應⽤程式及其模組的資訊：系統中正在執⾏的處理程序的資料（處理程序 ID (PID)，處理程序名稱，有關啟動處理程序的帳⼾的資訊，啟動處理程序的應⽤程式和指令，受信任程式或處理程序的標誌，
處理程序檔案的完整路徑及其核對總和（MD5、SHA2-256、SHA1），啟動命令列，處理程序完整性等級，處
理程序所屬產品的敘述（產品名稱和發佈者詳細資訊），以及所使⽤的數位憑證和驗證它們的真實性所需的
資訊或者關於是否缺少檔案數位簽章的資訊），以及有關載入到處理程序中的模組的資訊（模組的名稱、⼤⼩、類型、建立⽇期、內容、核對總和（MD5、SHA2-256、SHA1）以及在電腦上的路徑），PE 檔案頭資訊，封裝程式的名稱（如果檔案已封裝）；有關所有潛在惡意物件和活動的資訊：偵測到的物件的名稱，電腦上物件的完整路徑，所處理檔案的核對總
和（MD5、SHA2-256、SHA1），偵測⽇期和時間，感染檔案的名稱、⼤⼩和路徑，路徑範本代碼，可執⾏檔
標誌，表⽰物件是否為容器的指⽰器，封裝程式名稱（如果檔案已封裝），檔案類型代碼，檔案格式 ID，惡意軟體執⾏的操作清單以及軟體和使⽤者針對其做出的回應決策，病毒資料庫的 ID 和這些病毒資料庫中⽤於制定決策的記錄的 ID，潛在惡意物件的指⽰器，偵測到的威脅在權利所有⼈分類中的名稱，危險等級，偵測
狀態和偵測⽅法，包含在已分析上下文中的原因及上下文中檔案的序號，核對總和（MD5、SHA2-256、SHA1），⽤於傳送感染訊息或連結的應⽤程式的可執⾏檔的名稱和內容，被封鎖物件的主機的去個性化 IP 位
址（IPv4 和 IPv6），檔案熵，檔案⾃動執⾏指⽰器，在系統中⾸次偵測到檔案的時間，上次傳送統計資訊後
檔案被執⾏的次數，透過其收到惡意物件的郵件⽤⼾端的名稱、核對總和（MD5、SHA2-256、SHA1）和⼤⼩，執⾏掃描的軟體⼯作的 ID，表⽰檔案信譽或簽章是否經過檢查的指⽰器，檔案處理結果，為物件收集的
模式的核對總和 (MD5)，模式⼤⼩（以位元組為單位），以及使⽤的偵測技術的技術規格；
有關掃描的物件的資訊：檔案移入或移出的指定信任群組，將檔案移入該類別的理由，類別識別碼，有關類
別源的資訊和類別資料庫版本，檔案的受信任憑證標誌，檔案的供應商名稱，檔案版本，包含該檔案的軟體
應⽤程式的名稱和版本；有關偵測到的弱點的資訊：弱點資料庫中的弱點 ID，弱點危險等級；
有關可執⾏檔類比的資訊：檔案⼤⼩及其核對總和（MD5、SHA2-256、SHA1），模擬元件的版本，模擬深度，類比過程中獲得的邏輯塊內的⼀系列內容和函數，可執⾏檔的 PE 頭中的資料；
發起攻擊的電腦的 IP 位址（IPv4 和 IPv6），被當作網路攻擊⽬的的電腦連接埠號，包含攻擊的 IP 封包的協定
的識別碼，攻擊⽬的（組織名稱、網站），攻擊響應標記，攻擊的權重，信任等級；
有關與欺詐網路資源相關的攻擊的資訊，所存取網站的 DNS 和 IP 位址（IPv4 和 IPv6）；
請求的 Web 資源的 DNS 和 IP 位址（IPv4 或 IPv6），有關存取該 Web 資源的檔案和 Web ⽤⼾端的資訊，檔
案的名稱、⼤⼩和核對總和（MD5、SHA2-256、SHA1），檔案的完整路徑和路徑範本代碼，檢查其數位簽章的結果，及其在 KSN 中的狀態；
有關惡意軟體操作回溯的資訊：有關其活動被回溯的檔案的資料（檔案名稱、檔案的完整路徑、檔案的⼤⼩和核對總和（MD5、SHA2-256、SHA1）），有關刪除、重命名和複製檔案以及還原登錄檔中的值（登錄機碼的指令和值）的成功和失敗操作的資料，有關惡意軟體修改的系統檔案的資訊（回溯前後）；有關為適應性異常控制元件設定的排除項⽬的資訊：觸發的規則的 ID 和狀態，觸發規則時軟體執⾏的操作，
處理程序或執⾏緒執⾏可疑活動時所⽤的使⽤者帳⼾的類型，有關執⾏可疑活動或受可疑活動⽀配的處理程
序的資訊（指令碼 ID 或處理程序檔案名稱，處理程序檔案的完整路徑，路徑範本代碼，處理程序檔案的總和檢查碼（MD5、SHA2-256、SHA1））；有關執⾏了可疑操作的物件的資訊以及受可疑活動⽀配的物件的資訊（登錄機碼名稱或檔案名稱，檔案的完整路徑，路徑範本代碼和檔案的總和檢查碼（MD5、SHA2-256、SHA1））。
92

有關載入的軟體模組的資訊：模組檔案的名稱、⼤⼩和核對總和（MD5、SHA2-256、SHA1），模組檔案的完
整路徑和路徑範本代碼，模組檔案的數位簽章設定，簽章建立資料和時間，為模組檔案簽章的主體和組織的
名稱，載入模組的處理程序的 ID，模組供應商的名稱，以及載入佇列中模組的序號；有關軟體與 KSN 服務的互動品質的資訊：產⽣統計資訊的時間段的開始和結束⽇期及時間，有關對所⽤的每
個 KSN 服務的請求和連線的品質的資訊（KSN 服務 ID，成功請求數量，含有來⾃快取的回應的請求數量，不成功請求數量（網路問題、軟體設定中停⽤ KSN、路由不正確），成功請求的時間分佈，取消的請求的時間
分佈，超出時間限制的請求的時間分佈，與取⾃快取的 KSN 的連線數，與 KSN 的成功連線數，與 KSN 的不成
功連線數，成功事務數，不成功事務數，與 KSN 的成功連線的時間分佈，與 KSN 的不成功連線的時間分佈，成功事務的時間分佈，不成功事務的時間分佈）；如果偵測到潛在惡意物件，將提供處理程序的記憶體中的資料的相關資訊：系統物件階層架構(ObjectManager) 的元素、UEFI BIOS 記憶體中的資料、登錄機碼的名稱及其值；
有關系統記錄中的事件的資訊：事件的時間戳記，在其中發現事件的記錄的名稱，事件的類型和類別，事件
來源的名稱和事件的敘述；有關網路連線的資訊：啟動了開啟連接埠的處理程序的檔案的版本和核對總和（MD5、SHA2-256、SHA1），
處理程序檔案的路徑和數位簽章，本機和遠程 IP 位址，本機和遠程連線連接埠號，連線狀態，連接埠開啟時間戳記；有關在電腦上安裝和啟動軟體的⽇期的資訊：出售產品授權的合作夥伴的 ID，產品授權的序列號，來⾃啟動
服務的票證的簽章標頭（區域啟動中⼼的 ID，啟動碼的總和檢查碼，票證的總和檢查碼，票證的建立⽇期，票證的唯⼀ ID，票證版本，產品授權狀態，票證的開始/結束⽇期和時間，產品授權的唯⼀ ID，產品授權版本），⽤於簽署票頭的憑證的 ID，密鑰檔案的總和檢查碼（MD5），電腦上軟體安裝的唯⼀ID，要更新的應
⽤程式的類型和 Id，更新⼯作的 ID；
有關所有已安裝的更新集的資訊以及最近安裝/刪除的更新集的資訊，導致傳送更新資訊的事件的類型，上次安裝更新後經過的時間，有關任何⽬前已安裝的病毒資料庫的資訊；
有關電腦上的軟體執⾏的資訊：CPU 使⽤率資料，記憶體使⽤率資料（專⽤位元組，未分⾴緩衝集區，分⾴
緩衝集區），軟體處理程序中的活動執⾏緒數和掛起執⾏緒數，以及錯誤發⽣前的軟體執⾏時間；
⾃軟體安裝以來和上次更新以來軟體轉儲和系統轉儲 (BSOD) 的次數，當機的軟體模組的識別碼和版本，軟體
處理程序中的記憶體堆疊，以及當機時的病毒資料庫的相關資訊；有關系統轉儲 (BSOD) 的資料：指⽰電腦上發⽣ BSOD 的標誌，導致 BSOD 的驅動程式的名稱，驅動程式中的位址和記憶體堆疊，指⽰發⽣ BSOD 之前作業系統連線持續時間的標誌，當機的驅動程式的記憶體堆疊、
儲存的記憶體傾印的類型，指⽰ BSOD 之前作業系統連線持續 10 分鐘以上的標誌、轉儲的唯⼀識別碼，
BSOD 的時間戳記；有關軟體元件執⾏期間出現的錯誤或效能問題的資訊：軟體的狀態 ID，錯誤類型，代碼和原因以及發⽣錯誤
的時間，元件的 ID，出現錯誤的產品的元件、模組和處理程序的 ID，出現錯誤的⼯作或更新類別的 ID，軟體
使⽤的驅動程式的記錄（錯誤代碼、模組名稱、原始檔案的名稱和出現錯誤的列）；有關病毒資料庫和軟體元件更新的資訊：在上次更新過程中下載以及⽬前更新過程中正在下載的索引檔案的
名稱、⽇期和時間；
有關軟體操作異常終⽌的資訊：轉儲的建立時間戳記、類型，導致軟體操作異常終⽌的事件的類型（意外斷
電、協⼒廠商應⽤程式當機），意外斷電的⽇期和時間；
有關軟體驅動程式與硬體和軟體的相容性的資訊：有關限制軟體元件功能的作業系統內容的資訊（安全啟動、KPTI、WHQL 強制、BitLocker、區分⼤⼩寫），安裝的下載軟體的類型（UEFI、BIOS），受信任平台模組 (TPM) 識別碼，TPM 規範版本，有關電腦上安裝的 CPU 的資訊，代碼完整性和 Device Guard 的執⾏模式
和參數，驅動程式的執⾏模式和使⽤⽬前模式的原因，軟體驅動程式的版本，電腦的軟體和硬體虛擬化⽀援狀態；93

有關導致出錯的協⼒廠商應⽤程式的資訊：應⽤程式名稱、版本和中文化，系統應⽤程式記錄中關於該錯誤
的錯誤代碼和資訊，發⽣錯誤的位址和協⼒廠商應⽤程式的記憶體堆疊，指⽰軟體元件中出現錯誤的標誌，
出錯之前協⼒廠商應⽤程式的執⾏時⻑，出錯的應⽤程式處理程序映射的核對總和（MD5、SHA2-256、SHA1），應⽤程式處理程序映射的路徑和路徑範本代碼，系統記錄中與該應⽤程式相關的錯誤說明資訊，發
⽣錯誤的應⽤程式模組的相關資訊（異常識別碼，應⽤程式模組中偏移量形式的當機記憶體位址，模組的名
稱和版本，權利所有⼈外掛程式中的應⽤程式當機識別碼以及當機的記憶體堆疊，當機之前應⽤程式⼯作階
段的持續時間）；軟體更新程式元件的版本，在元件的⽣命週期內執⾏更新⼯作時更新程式元件當機的次數，更新⼯作類型的ID，更新程式元件完成更新⼯作的失敗嘗試次數；
有關軟體系統監控元件執⾏的資訊：元件的完整版本，啟動元件時的⽇期和時間，溢出事件佇列的事件的代
碼及此類事件的數量，佇列溢出事件的總數，有關事件的發起程式的處理程序的檔案的資訊（檔案名稱及其
在電腦上的路徑、檔案路徑的範本代碼、與檔案關聯的處理程序的核對總和（MD5、SHA2-256、SHA1）、檔
案版本），發⽣的事件攔截的識別碼，攔截篩選器的完整版本，攔截的事件的類型的識別碼，事件佇列的⼤⼩和佇列中第⼀個事件與⽬前事件之間的事件數量，佇列中過期事件的數量，有關⽬前事件的發起程式處理
程序的檔案的資訊（檔案名稱及其在電腦上的路徑，檔案路徑的範本代碼，與檔案關聯的處理程序的核對總
和（MD5、SHA2-256、SHA1）），事件處理持續時間，事件處理最⼤持續時間，傳送統計資訊的概率，有關
超過處理時間限制的作業系統事件的資訊（事件的⽇期和時間，病毒資料庫的重複初始化次數，病毒資料庫
更新後最近⼀次重複初始化的⽇期和時間，每個系統監控元件的事件處理延遲時間，排隊的事件數量，已處
理的事件數量，⽬前類型的延遲事件數量，⽬前類型的事件的總延遲時間，所有事件的總延遲時間）；發⽣軟體效能問題時來⾃ Windows 事件追蹤⼯具（Event Tracing for Windows，ETW）的資訊，來⾃
Microsoft 的 SysCon g / SysCon gEx / WinSATAssesssment 事件的提供者：有關電腦的資訊（型號，製造商，外殼的外形規格，版本） ，有關 Windows 效能指標的資訊（WinSAT 評估，Windows 效能指標），網域
名稱，有關物理和邏輯處理器的資訊（物理和邏輯處理器的數量，製造商，型號，步進級別，核⼼數量，時鐘頻率，CPUID，快取）特性，邏輯處理器特性，⽀援的模式和指令的指⽰），有關 RAM 模組的資訊（類型，表單係數，製造商，型號，容量，記憶體分配的規模），有關網路介⾯的資訊（IP 和 MAC 位址，名稱，描述，網路介⾯的配置，按類型對網路套件的數量和⼤⼩進⾏的細分，網路交換速度，按類型對網路錯誤的
數量進⾏的細分），IDE 控制器的配置，DNS 伺服器的 IP 位址，有關視訊卡的資訊（型號，描述，製造商，
相容性，視訊記憶體容量，熒幕權限，每像素位元數，BIOS 版本），有關即插即⽤裝置的資訊（名稱，描述，裝置識別碼 [PnP，ACPI]，有關磁碟和儲存裝置的資訊（磁碟或快閃磁碟機的數量，製造商，型號，磁碟
容量，磁柱數，每個磁柱的磁道，每個磁道的磁區數，磁區容量，快取特性，序列號，分割數，SCSI 控制器的配置），有關邏輯磁碟的資訊（序列號，分割容量，磁碟區容量，磁碟區字⺟，分割類型，檔案系統類型，叢集數⽬，叢集⼤⼩，每個叢集的磁區數，空叢集和已佔⽤叢集的數⽬，可開機磁碟區的字⺟，與磁碟啟動相關的分割偏移位址），有關 BIOS 主機板的資訊（製造商，發布⽇期，版本），有關主機板的資訊（製造商，型號，類型），有關物理記憶體的資訊（共⽤和可⽤容量），有關作業系統服務的資訊（名稱，描述，狀態，標籤，有關處理程序的資訊 [名稱和 PID]，電腦的能耗參數，中斷控制器的配置，Windows 系統資料夾的路徑（Windows 和 System32），有關作業系統的資訊（版本，內部版本，發⾏⽇期，名稱） ，類型，安裝⽇期），⾴⾯檔案的⼤⼩，有關監視器的資訊（數量，製造商，熒幕權限，分辨率容量，類型），
有關視訊卡驅動的資訊（製造商，發布⽇期，版本）；
來⾃ ETW 的資訊，Microsoft 的 EventTrace/EventMetadata 事件的提供⽅：有關系統事件序列的資訊（類型、時間、⽇期、時區），帶追蹤結果的檔案中繼資料（名稱、結構、追蹤參數、按類型細分的偵錯運算元），有關作業系統的資訊（名稱、類型、版本、內部版本號、發佈⽇期、啟動時間）；
來⾃ ETW 的資訊，Microsoft 的處理程序/Microsoft Windows 核⼼處理程序/Microsoft Windows 核⼼處理器
電源事件的提供⽅：有關已啟動和已完成處理程序的資訊（名稱、PID、啟動參數、命令列、返回代碼、電源管理參數、啟動和完成時間、存取權杖類型、SID、SessionID、已安裝的敘述符數），有關執⾏緒優先順序變
化的資訊（TID、優先順序、時間），有關處理程序的磁碟操作的資訊（類型、時間、容量、編號），可⽤記憶體處理程序的結構和容量的變更歷程記錄；來⾃ ETW 的資訊，Microsoft 的 StackWalk/Per nfo 事件的提供⽅：有關效能計數器的資訊（單個程式碼片
段的效能、函式呼叫的序列、PID、TID、ISR 和 DPC 的位址和內容）；來⾃ ETW 的資訊，Microsoft 的 KernelTraceControl-Image ID 事件的提供⽅：有關可執⾏檔和動態庫的資訊（名稱、映射⼤⼩、完整路徑），有關 PDB 檔案的資訊（名稱、識別碼），可執⾏檔的 VERSIONINFO 資來
源資料（名稱、敘述、建立者、當地語係化、應⽤程式版本和識別碼、檔案版本和識別碼）；94來⾃ ETW 的資訊，Microsoft 的 FileIo/DiskIo/映射/Windows 核⼼磁碟事件的提供⽅：有關檔案和磁碟操作的
資訊（類型、容量、開始時間、完成時間、持續時間、完成狀態、PID、TID、驅動程式函式呼叫位址、I/O 請
求封包 (IRP)、Windows 檔案物件內容），有關檔案和磁碟操作所涉及的檔案的資訊（名稱、版本、⼤⼩、完
整路徑、內容、偏移、映射核對總和、開啟和存取選項）；
來⾃ ETW 的資訊，Microsoft 的 PageFault 事件的提供⽅：有關記憶體⾴⾯存取錯誤的資訊（位址、時間、容量、PID、TID、Windows 檔案物件內容、記憶體分配參數）；來⾃ ETW 的資訊，Microsoft 的執⾏緒事件的提供⽅：有關執⾏緒建立/完成的資訊，有關已啟動的執⾏緒的資訊（PID、TID、堆疊⼤⼩、CPU 資源的優先順序和分配、I/O 資源、執⾏緒間的記憶體⾴⾯、堆疊位址、初始函數位址、執⾏緒環境塊 (TEB) 的位址、Windows 服務標籤）；來⾃ ETW 的資訊，Microsoft 的 Windows 核⼼記憶體事件的提供⽅：有關記憶體管理操作的資訊（完成狀
態、時間、數量、PID），記憶體分配結構（類型、容量、SessionID、PID）；
有關發⽣效能問題時軟體操作的資訊：軟體安裝識別碼，效能下降的類型和值，有關軟體內的事件序列的資訊（時間、時區、類型、完成狀態、軟體元件識別碼、軟體執⾏場景識別碼、TID、PID、函式呼叫位址），
有關要檢查的網路連線的資訊（URL、連線⽅向、網路封包⼤⼩），有關 PDB 檔案的資訊（名稱、識別碼、可執⾏檔的映射⼤⼩），有關要檢查的檔案的資訊（名稱、完整路徑、核對總和），軟體效能監控參數；
有關作業系統上次重新啟動失敗的資訊：作業系統安裝以來重新啟動失敗的次數，系統轉儲資料（錯誤的代碼和參數，導致作業系統執⾏出錯的模組的名稱、版本和核對總和 (CRC32)，模組內偏移量形式的錯誤位
址，系統轉儲的核對總和（MD5、SHA2-256、SHA1））；
驗證⽤於對檔案簽章的數位憑證的真實性所需的資訊：憑證的指紋，核對總和演算法，憑證的公開⾦鑰和序
號，憑證頒發者的名稱，憑證驗證的結果和憑證的資料庫識別碼；
有關對軟體的⾃我防護執⾏攻擊的處理程序的資訊：處理程序檔案的名稱和⼤⼩，其核對總和（MD5、SHA2-256、SHA1），處理程序檔案的完整路徑和檔案路徑的範本代碼，建立/構建時間戳記，可執⾏檔標誌，處理程序檔案的內容，⽤於對處理程序檔案簽章的憑證的相關資訊，⽤於啟動處理程序的帳⼾的代碼，
為存取處理程序所執⾏的操作的 ID，⽤於執⾏操作的資源的類型（處理程序，檔案，登錄檔物件，
FindWindow 搜尋函數），⽤於執⾏操作的資源的名稱，表⽰操作成功的標誌，處理程序檔案的狀態及其在
KSN 中的簽章；權利所有⼈軟體的資訊：使⽤的軟體的完整版本、類型、當地語係化和操作狀態，已安裝的軟體元件的版本及其操作狀態，有關已安裝的軟體更新的資訊，TARGET 篩選器的值，⽤於連線到權利所有⼈的服務所使⽤協定的版本；
有關電腦上安裝的硬體的資訊：類型、名稱、型號名稱、固件版本、內建和所連線裝置的參數、帶有已安裝軟體的電腦的唯⼀識別碼；
有關作業系統和已安裝更新的版本的資訊，作業系統執⾏模式的字體⼤⼩、版本和參數，作業系統核⼼檔案
的版本和總和檢查碼（MD5、SHA2-256、SHA1），以及作業系統啟動⽇期和時間；
可執⾏檔和非可執⾏檔，全部或部分；
電腦 RAM 的⼀部分；
作業系統引導過程中涉及的磁區；
網路流量封包；包含可疑物件和惡意物件的網⾴和電⼦郵件；
WMI 儲存區的類別和類別執⾏個體的描述；應⽤程式活動報告：95傳送的檔案的名稱、⼤⼩和版本，其描述和總和檢查碼（MD5，SHA2-256，SHA1），檔案格式識別碼，檔案廠商的名稱，檔案所屬產品的名稱，到電腦上的檔案的完整路徑，路徑的範本代碼，檔案的建立和修
改時間戳記；
憑證有效期的開始和結束⽇期/時間（如果檔案具有數位簽章），簽章的⽇期和時間，憑證頒發者的名稱，有關憑證持有者的資訊，指紋，憑證的公鑰和適當算法，以及憑證序列號；
執⾏處理程序的帳⼾的名稱；
執⾏處理程序的電腦名稱的總和檢查碼（MD5，SHA2-256，SHA1）；
處理程序視窗的標題；
病毒資料庫的識別碼，根據權利擁有⼈分類偵測到的威脅的名稱；有關已安裝的產品授權的資料，其識別碼、類型和到期⽇期；
提供資訊時電腦的本機時間；
處理程序存取的檔案的名稱和路徑；
處理程序存取的登錄機碼的名稱及其值；
處理程序存取的 URL 和 IP 位址；從中下載執⾏檔案的 URL 和 IP 位址。

使⽤ Detection and Response 解決⽅案時的資料提供
在安裝了 Kaspersky Endpoint Security 的電腦上會儲存準備⾃動傳送到 Kaspersky Endpoint Detection andResponse、Kaspersky Sandbox 和 Kaspersky Anti Targeted Attack Platform 伺服器的資料。檔案以普通未加密的
形式儲存在電腦上。
具體的資料集合取決於使⽤ Kaspersky Endpoint Security 的解決⽅案。

Kaspersky Endpoint Detection and Response
若 Kaspersky Endpoint Security 被解除安裝，則應⽤程式本機儲存在電腦上的所有資料將被從電腦中刪除。

由於 IOC 掃描 ⼯作執⾏（標準⼯作）收到的資料
Kaspersky Endpoint Security 會⾃動提交 IOC 掃描 ⼯作執⾏結果的資料到卡巴斯基安全管理中⼼。

IOC 掃描⼯作執⾏結果中的資料可能包含以下資訊：
來⾃ ARP 表的 IP 位址
來⾃ ARP 表的實體地址
96

DNS 記錄類型和名稱
受防護電腦的 IP 位址
受防護電腦的實體地址（MAC 位址）
事件⽇誌項⽬中的識別碼
記錄中的資料來源名稱
記錄名稱
事件時間
檔案的 MD5 和 SHA256 雜湊
檔案的完整名稱（包括路徑）檔案⼤⼩掃描期間建立連線的遠端 IP 位址和連接埠
本機介⾯卡 IP 位址
本機介⾯卡上開啟的連接埠
數字形式的通訊協定（符合 IANA 標準）
處理程序名稱
處理程序引數
處理程序檔案的路徑處理程序的 Windows 識別碼 (PID)
⽗處理程序的 Windows 識別碼 (PID)
啟動處理程序的使⽤者帳⼾處理程序開始的⽇期和時間
服務名稱
服務說明
DLL 服務的路徑和名稱（對於 svchost）
服務可執⾏檔的路徑和名稱
服務的 Windows 識別碼 (PID)
服務類型（例如，內核驅動程式或介⾯卡）
服務狀態97

服務啟動模式
使⽤者帳⼾名稱
磁碟區名稱
磁碟區字⺟
磁碟區類型
Windows 登錄值登錄區值登錄機碼路徑（沒有登錄區和值名稱）登錄設定系統（環境）
電腦上安裝的作業係統的名稱和版本
受防護電腦的網路名稱
受防護電腦所屬的網域或群組
瀏覽器名稱
瀏覽器版本
上次存取 Web 資源的時間
來⾃ HTTP 請求的 URL
⽤於 HTTP 請求的帳⼾名稱
發出 HTTP 請求的處理程序的檔案名稱發出 HTTP 請求的處理程序的檔案的完整路徑
發出 HTTP 請求的處理程序的 Windows 識別碼 (PID)
HTTP 推薦者（HTTP 請求來源 URL）
透過 HTTP 請求的資源的 URI有關 HTTP 使⽤者代理（發出 HTTP 請求的應⽤程式）的資訊
HTTP 請求執⾏時間
發出 HTTP 請求的處理程序的唯⼀識別碼

⽤於建立威脅發展鏈的資料
⽤於建立威脅發展鏈的資料預設儲存 7 天。資料會⾃動傳送到卡巴斯基安全管理中⼼。
98

⽤於建立威脅發展鏈的資料可能包含以下資訊：
事件⽇期和時間
偵測名稱
掃描模式
與偵測相關的最後⼀個動作的狀態偵測處理失敗的原因
偵測到的物件類型
偵測到的物件名稱
物件被處理後的威脅狀態對物件執⾏操作失敗的原因
為回溯惡意操作⽽執⾏的操作
被處理物件的相關資訊：處理程序的唯⼀識別碼
⽗處理程序的唯⼀識別碼處理程序檔案的唯⼀識別碼
Windows 處理程序識別碼 (PID)
處理程序指令⾏啟動處理程序的使⽤者帳⼾
執⾏處理程序的登錄⼯作階段的代碼
執⾏處理程序的⼯作階段的類型
被處理的處理程序的完整性級別在特權本機和網域群組中啟動處理程序的使⽤者帳⼾的成員⾝份
被處理物件的識別碼
被處理物件的全名
受防護裝置的識別碼
物件全名（本機檔案名稱或下載的檔案網址）
被處理物件的 MD5 或 SHA256 雜湊
被處理物件的類型
99被處理物件的建立⽇期
最後修改被處理物件的⽇期
被處理物件的⼤⼩
被處理物件的屬性簽署被處理物件的組織
被處理物件數位憑證校驗結果
被處理物件的安全識別碼 (SID)
被處理物件的時區識別碼
被處理物件下載網址（僅適⽤於磁碟上的檔案）
下載檔案的應⽤程式的名稱
下載檔案的應⽤程式的 MD5 和 SHA256 雜湊
最後修改檔案的應⽤程式的名稱
最後修改檔案的應⽤程式的 MD5 和 SHA256 雜湊
被處理物件啟動的數⽬
⾸次啟動被處理物件的⽇期和時間
檔案的唯⼀識別碼檔案全名（本機檔案名稱或下載的檔案網址）
被處理的 Windows 登錄變數的路徑被處理的 Windows 登錄變數的名稱被處理的 Windows 登錄變數的值
被處理的 Windows 登錄變數的類型
⾃動執⾏點中被處理登錄機碼成員資格指⽰器
被處理的 Web 請求的網址
被處理的 Web 請求的連接來源
被處理的 Web 請求的使⽤者代理
被處理的 Web 請求的類型（GET or POST）
被處理的 Web 請求的本機 IP 連接埠
被處理的 Web 請求的遠端 IP 連接埠
100被處理的 Web 請求的連線⽅向（傳入或傳出）
嵌入惡意代碼的處理程序的識別碼

Kaspersky Sandbox
若 Kaspersky Endpoint Security 被解除安裝，則應⽤程式本機儲存在電腦上的所有資料將被從電腦中刪除。

服務資料
Kaspersky Endpoint Security 儲存⾃動響應期間處理的以下資料：
在配置 Kaspersky Endpoint Security 的內建代理期間由使⽤者輸入的被處理檔案和資料：
已隔離的檔案
⽤於與 Kaspersky Sandbox 整合的憑證的公開⾦鑰Kaspersky Endpoint Security 內建代理的快取：
掃描結果寫入快取的時間
掃描⼯作的 MD5 雜湊
掃描⼯作識別碼
物件的掃描結果
物件掃描請求佇列：佇列中物件的 ID
物件放入佇列的時間
佇列中物件的處理狀態
使⽤者⼯作階段在建立物件掃描⼯作的作業係統中的 ID
其帳⼾被⽤於建立⼯作的作業係統使⽤者的系統識別碼 (SID)
物件掃描⼯作的 MD5 雜湊有關 Kaspersky Endpoint Security 內建代理正在等待來⾃ Kaspersky Sandbox 的掃描結果的⼯作的資訊：
收到物件掃描⼯作的時間
物件處理狀態
使⽤者⼯作階段在建立物件掃描⼯作的作業係統中的 ID

101

物件掃描⼯作的識別碼
物件掃描⼯作的 MD5 雜湊
其帳⼾被⽤於建立⼯作的作業係統使⽤者的系統識別碼 (SID)
⾃動建立的 IOC 的 XML 架構
被掃描物件的 MD5 或 SHA256 雜湊
處理錯誤
為其建立⼯作的物件的名稱
物件的掃描結果

Kaspersky Sandbox 請求中的資料
來⾃ Kaspersky Endpoint Security 內置代理對 Kaspersky Sandbox 的請求的以下資料儲存在本機電腦上：
掃描⼯作的 MD5 雜湊
掃描⼯作識別碼
被掃描物件和所有相關檔案

由於 IOC 掃描 ⼯作執⾏（獨立⼯作）收到的資料
Kaspersky Endpoint Security 會⾃動提交 IOC 掃描 ⼯作執⾏結果的資料到卡巴斯基安全管理中⼼。

IOC 掃描⼯作執⾏結果中的資料可能包含以下資訊：
來⾃ ARP 表的 IP 位址
來⾃ ARP 表的實體地址
DNS 記錄類型和名稱
受防護電腦的 IP 位址
受防護電腦的實體地址（MAC 位址）
事件⽇誌項⽬中的識別碼
記錄中的資料來源名稱
記錄名稱
事件時間
檔案的 MD5 和 SHA256 雜湊
檔案的完整名稱（包括路徑）
102

檔案⼤⼩
掃描期間建立連線的遠端 IP 位址和連接埠
本機介⾯卡 IP 位址
本機介⾯卡上開啟的連接埠
數字形式的通訊協定（符合 IANA 標準）
處理程序名稱
處理程序引數
處理程序檔案的路徑處理程序的 Windows 識別碼 (PID)
⽗處理程序的 Windows 識別碼 (PID)
啟動處理程序的使⽤者帳⼾處理程序開始的⽇期和時間
服務名稱
服務說明
DLL 服務的路徑和名稱（對於 svchost）
服務可執⾏檔的路徑和名稱
服務的 Windows 識別碼 (PID)
服務類型（例如，內核驅動程式或介⾯卡）
服務狀態
服務啟動模式
使⽤者帳⼾名稱
磁碟區名稱
磁碟區字⺟
磁碟區類型
Windows 登錄值登錄區值登錄機碼路徑（沒有登錄區和值名稱）
登錄設定
103

系統（環境）電腦上安裝的作業係統的名稱和版本
受防護電腦的網路名稱
受防護電腦所屬的網域或群組
瀏覽器名稱
瀏覽器版本
上次存取 Web 資源的時間
來⾃ HTTP 請求的 URL
⽤於 HTTP 請求的帳⼾名稱
發出 HTTP 請求的處理程序的檔案名稱發出 HTTP 請求的處理程序的檔案的完整路徑
發出 HTTP 請求的處理程序的 Windows 識別碼 (PID)
HTTP 推薦者（HTTP 請求來源 URL）
透過 HTTP 請求的資源的 URI有關 HTTP 使⽤者代理（發出 HTTP 請求的應⽤程式）的資訊
HTTP 請求執⾏時間
發出 HTTP 請求的處理程序的唯⼀識別碼

Kaspersky Anti Targeted Attack Platform (EDR)
若 Kaspersky Endpoint Security 被解除安裝，則應⽤程式本機儲存在電腦上的所有資料將被從電腦中刪除。

服務資料
Kaspersky Endpoint Security 的內建代理在本機儲存以下資料：
在配置 Kaspersky Endpoint Security 的內建代理期間由使⽤者輸入的被處理檔案和資料：
已隔離的檔案
Kaspersky Endpoint Security 內建代理設定：
⽤於與 Central Node 整合的憑證的公開⾦鑰104產品授權資料
與 Central Node 整合所需的資料：
遙測事件封包佇列從 Central Node 接收到的 IOC 檔案識別碼的快取要在 Get 檔案⼯作中傳遞到伺服器的物件

Get 鑒定⼯作結果報告

KATA (EDR) 請求中的資料
與 Kaspersky Anti Targeted Attack Platform 整合時，以下資料儲存在本機電腦上：
來⾃ Kaspersky Endpoint Security 的內建代理請求 Central Node 元件的資料：
在同步請求中：唯⼀ ID
伺服器網址的基本部分
電腦名稱電腦 IP 位址電腦 MAC 位址
電腦上的本機時間
Kaspersky Endpoint Security 的⾃我防御狀態
電腦上安裝的作業係統的名稱和版本
Kaspersky Endpoint Security 的版本
應⽤程式設定和⼯作設定的版本
⼯作狀態：⼯作的識別碼、執⾏狀態、錯誤代碼
在從伺服器獲取檔案的請求中：檔案的唯⼀識別碼
唯⼀的 Kaspersky Endpoint Security 識別碼
憑證的唯⼀識別碼安裝了 Central Node 元件的伺服器網址的基本部分
主機 IP 位址在⼯作執⾏結果的報告中：
105

主機 IP 位址
有關在 IOC 掃描或 YARA 掃描期間偵測到的物件的資訊
完成⼯作後執⾏的附加操作的標誌
⼯作執⾏錯誤和返回代碼
⼯作完成狀態⼯作完成時間⽤於執⾏⼯作的設定的版本
有關提交到伺服器的物件、隔離物件和從隔離區還原的物件的資訊：物件路徑、MD5 和 SHA256 雜湊、隔離物件的識別碼有關根據伺服器請求啟動或停⽌的處理程序的資訊：PID 和 UniquePID、錯誤代碼、物件的 MD5 和SHA256 雜湊
有關應伺服器請求在電腦上啟動或停⽌的服務的資訊：服務名稱、啟動類型、錯誤代碼、服務檔案映像的MD5 和 SHA256 雜湊有關為 YARA 掃描建立記憶體傾印的物件的資訊（路徑、傾印檔案識別碼）
伺服器請求的檔案
遙測封包關於正在執⾏的處理程序的資料：
可執⾏檔案名稱，包括完整路徑和副檔名處理程序⾃動執⾏參數處理程序 ID
登入⼯作階段 ID
登入⼯作階段名稱
處理程序開始的⽇期和時間
物件的 MD5 和 SHA256 雜湊
檔案資料：
檔案路徑
檔案名稱
檔案⼤⼩
檔案屬性
檔案建立的⽇期和時間106上次修改檔案的⽇期和時間
檔案描述
公司名稱
物件的 MD5 和 SHA256 雜湊
登錄機碼（適⽤於⾃動執⾏點）抓取物件資訊時發⽣的錯誤資料：
發⽣錯誤時被處理的物件的全名
錯誤代碼
遙測資料：
主機 IP 位址
確認的更新操作之前登錄中的資料類型
確認的變更操作之前登錄機碼中的資料
被處理指令碼的文字或其中的⼀部分
被處理物件的類型
將指令傳遞給指令解釋器的⽅式
從 Central Node 元件的請求到 Kaspersky Endpoint Security 的內建代理的資料：
⼯作設定：
⼯作類型
⼯作排程設定可以執⾏⼯作的帳⼾的名稱和密碼
設定版本
隔離物件的識別碼
物件路徑
物件的 MD5 和 SHA256 雜湊
使⽤引數啟動處理程序的指令⾏
完成⼯作後執⾏的附加操作的標誌
要從伺服器抓取的 IOC 檔案識別碼IOC 檔案107

服務名稱
服務啟動類型
必須為其接收 Get 鑒定⼯作結果的資料夾

Get 鑒定⼯作的物件名稱和副檔名的遮罩
網路隔離設定：設定類型
設定版本
網路隔離排除項⽬和排除項⽬設定清單：流量⽅向、IP 位址、連接埠、通訊協定和可執⾏檔的完整路徑
附加操作的旗標
⾃動隔離停⽤時間
執⾏防護設定設定類型
設定版本
執⾏預防規則和規則設定的清單：物件路徑、物件類型、物件的 MD5 和 SHA256 雜湊
附加操作的旗標事件篩選設定：模組名稱
物件的完整路徑
物件的 MD5 和 SHA256 雜湊
Windows 事件記錄中項⽬的識別碼數位憑證設定流量⽅向、IP 位址、連接埠、通訊協定、可執⾏檔的完整路徑
使⽤者名稱
使⽤者登入名類型
套⽤篩選器的遙測事件類型

YARA 掃描結果中的資料
Kaspersky Endpoint Security 內建代理會⾃動將 YARA 掃描結果傳輸⾄ Kaspersky Anti Targeted Attack Platform
以構建威脅發展鏈。
108

資料臨時儲存在本機佇列中，⽤於向 Kaspersky Anti Targeted Attack Platform 伺服器傳送⼯作執⾏結果。資料將
在傳送後被從臨時儲存中刪除。
YARA 掃描結果包含以下資料：
檔案的 MD5 和 SHA256 雜湊
檔案完整名稱檔案路徑檔案⼤⼩處理程序名稱
處理程序引數
處理程序檔案的路徑處理程序的 Windows 識別碼 (PID)
⽗處理程序的 Windows 識別碼 (PID)
啟動處理程序的使⽤者帳⼾處理程序開始的⽇期和時間

符合歐洲聯盟法規（GDPR）
在以下情況下，Kaspersky Endpoint Security 可能會將資料傳輸到卡巴斯基：使⽤卡巴斯基安全網路。
⽤啟動碼啟動應⽤程式。
更新應⽤程式模組和病毒資料庫。
跟隨應⽤程式介⾯中的連接。
傾印寫入。
無論資料分類和接收資料的地區如何，卡巴斯基都遵守⾼標準的資料安全性，並採取各種法律、組織和技術措施
來防護使⽤者資料，確保資料安全性和機密性，並確保實現適⽤法律保證的使⽤者權利。隱私政策的文本包含在
應⽤程式分發套件中，可以在卡巴斯基網站 上找到。
在使⽤ Kaspersky Endpoint Security 之前，請仔細閱讀最終使⽤者產品授權協議和卡巴斯基安全網路聲明中傳輸
資料的描述。如果根據您當地的法規或標準，在所述任何情況下從 Kaspersky Endpoint Security 傳輸的特定資料
都可以歸類為個⼈資料，則您必須確保對這些資料進⾏合法處理並獲得最終使⽤者的同意，以收集和傳輸這樣的資料。
請閱讀最終使⽤者產品授權協議並存取 Kaspersky 網站 瞭解當您接受《最終使⽤者產品授權協議》和同意《卡巴斯基安全網路聲明》之後我們如何接收、儲存和銷毀有關程式使⽤的資訊。license.txt 和 ksn_<語⾔ ID>.txt 檔
案包含最終使⽤者產品授權協議的文字，卡巴斯基安全網路聲明包含在應⽤程式分發套件中。
109如果您不想將資料傳輸到卡巴斯基，可以停⽤資料供應。

使⽤卡巴斯基安全網路
使⽤卡巴斯基安全網路即表明您同意⾃動提供卡巴斯基安全網路聲明中列出的資料。如果您不同意向卡巴斯基提供此資料，請使⽤卡巴斯基私有安全網路 (KPSN) 或停⽤ KSN。有關 KPSN 的詳細資訊，請參閱卡巴斯基私有安
全網路的文件。

⽤啟動碼啟動應⽤程式
使⽤啟動碼即表明您同意⾃動提供最終使⽤者產品授權協議中列出的資料。如果您不同意提供此資料給
Kaspersky，請使⽤使⽤⾦鑰檔案來啟動 Kaspersky Endpoint Security。

更新應⽤程式模組和病毒資料庫
使⽤ Kaspersky 伺服器即表明您同意⾃動提供最終使⽤者產品授權協議中列出的資料。卡巴斯基需要此資訊以驗證 Kaspersky Endpoint Security 正在被合法使⽤。如果您不同意將這些資訊提供給 Kaspersky，請使⽤卡巴斯基
安全管理中⼼進⾏資料庫更新或使⽤Kaspersky Update Utility。

跟隨應⽤程式介⾯中的連接
使⽤應⽤程式介⾯中的連接即表明您同意⾃動提供最終使⽤者產品授權協議中列出的資料。在每個特定連接中傳
輸的資料的精確清單取決於該連接在應⽤程式介⾯中的位置以及它要解決的問題。如果您不同意向卡巴斯基提供此資料，請使⽤簡化的應⽤程式介⾯或隱藏應⽤程式介⾯。

傾印寫入
如果啟⽤了轉儲寫入，Kaspersky Endpoint Security 將建立⼀個傾印檔案，該檔案將包含建立該傾印檔案時來⾃
應⽤程式處理程序的所有記憶體資料。

110

準備開始
安裝 Kaspersky Endpoint Security 後，您可以使⽤以下介⾯管理應⽤程式：
本機應⽤程式介⾯。
卡巴斯基安全管理中⼼管理主控台。
卡巴斯基安全管理中⼼網⾴主控台。
卡巴斯基安全管理中⼼雲端主控台。

卡巴斯基安全管理中⼼管理主控台
卡巴斯基安全管理中⼼允許您遠端安裝和移除、啟動和停⽌ Kaspersky Endpoint Security，配置應⽤程式設定，
變更可⽤應⽤程式元件的集合，新增⾦鑰以及啟動和停⽌更新和掃描⼯作。
可以使⽤卡巴斯基安全管理中⼼管理外掛程式透過 Kaspersky Endpoint Security 管理應⽤程式。
有關透過卡巴斯基安全管理中⼼管理應⽤程式的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

卡巴斯基安全管理中⼼網⾴主控台或卡巴斯基安全管理中⼼雲端主控台
卡巴斯基安全管理中⼼網⾴主控台（以下簡稱“網⾴主控台”）是⽤於集中執⾏主要⼯作來管理和維護組織網路的
安全系統的 Web 應⽤程式。網⾴主控台是提供使⽤者介⾯的卡巴斯基安全管理中⼼元件。有關卡巴斯基安全管
理中⼼網⾴主控台的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
卡巴斯基安全管理中⼼雲端主控台（以下簡稱“雲端主控台”）是⽤於防護和管理組織網路的基於雲端的解決⽅案。有關卡巴斯基安全管理中⼼雲端主控台的詳細資訊，請參閱卡巴斯基安全管理中⼼雲端主控台說明 。
網⾴主控台和雲端主控台允許您執⾏以下操作：
監控組織的安全系統的狀態。
在網路內的裝置上安裝 Kaspersky 應⽤程式。
管理已安裝的應⽤程式。
檢視有關安全系統狀態的報告。
透過網⾴主控台、雲端主控台和卡巴斯基安全管理中⼼管理主控台管理 Kaspersky Endpoint Security 都提供不同
的管理功能。對於不同的主控台，可⽤的元件和⼯作也有所不同。

關於 Kaspersky Endpoint Security for Windows 管理外掛程式
Kaspersky Endpoint Security for Windows 管理外掛程式允許在 Kaspersky Endpoint Security 和卡巴斯基安全管理
中⼼之間進⾏互動。透過管理外掛程式，您可以使⽤政策、⼯作和本機應⽤程式設定來管理 Kaspersky Endpoint
Security。該 Web 外掛程式提供了與卡巴斯基安全管理中⼼網⾴主控台進⾏互動的功能。

111

管理外掛程式的版本會根據⽤⼾端電腦上所安裝 Kaspersky Endpoint Security 應⽤程式版本的不同⽽有所不同。如果已安裝的管理外掛程式版本的功能少於已安裝的 Kaspersky Endpoint Security 版本，則缺少的功能
的設定不受管理外掛程式的約束。這些設定可以由使⽤者在 Kaspersky Endpoint Security 的本機介⾯中修改。
預設情況下，卡巴斯基安全管理中⼼網⾴主控台中不安裝 Web 外掛程式。與管理員⼯作站上安裝的卡巴斯基安
全管理中⼼管理主控台的管理外掛程式相反，Web 外掛程式必須安裝在已安裝卡巴斯基安全管理中⼼網⾴主控台
的電腦上。有權在瀏覽器中存取網⾴主控台的所有管理員都可以使⽤該 Web 外掛程式的功能。您可以在網⾴主控台介⾯中檢視已安裝的 Web 外掛程式清單：“主控台設定”→“Web 外掛程式”。有關 Web 外掛程式版本與網⾴
主控台的相容性的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

安裝 Web 外掛程式
您可以按如下⽅式安裝該 Web 外掛程式：
使⽤卡巴斯基安全管理中⼼網⾴主控台的“快速啟動精靈”安裝 Web 外掛程式。
第⼀次將網⾴主控台連線到管理伺服器時，網⾴主控台會⾃動提⽰您執⾏快速啟動精靈。您也可以在網⾴主控台介⾯中執⾏快速啟動精靈（“發現和佈署”→“部署和分配”→“快速啟動精靈”）。快速啟動精靈還可以檢查已安裝的 Web 外掛程式是否為最新，並下載必需的更新。有關卡巴斯基安全管理中⼼網⾴主控台的“快速啟動精靈”的更多詳細資訊，請參閱 卡巴斯基安全管理中⼼說明 。
從網⾴主控台中的可⽤分發套件清單安裝 Web 外掛程式。
要安裝 Web 外掛程式，請在網⾴主控台介⾯中選取 Kaspersky Endpoint Security Web 外掛程式的分發套件：“主控台設定”→“Web 外掛程式”。在新版本的 Kaspersky 應⽤程式發佈後，可⽤分發套件清單會⾃動更新。
將分發套件從外部來源下載到網⾴主控台。
要安裝 Web 外掛程式，請在網⾴主控台介⾯中新增 Kaspersky Endpoint Security for Windows Web 外掛程式
的分發套件的 ZIP 存檔：“主控台設定”→“Web 外掛程式”。例如，可以在 Kaspersky 網站下載 Web 外掛程式的分發套件。

更新管理外掛程式
要更新 Kaspersky Endpoint Security for Windows 管理外掛程式，請下載該外掛程式的最新版本（包含在分發套
件中），並執⾏外掛程式安裝精靈。
如果有新版本的 Web 外掛程式可⽤，網⾴主控台將顯⽰通知“所⽤外掛程式有更新”。您可以繼續從該網⾴主控台
通知更新 Web 外掛程式版本。您可以在網⾴主控台介⾯中⼿動檢查新 Web 外掛程式更新（“主控台設定”→“Web外掛程式”）。更新過程中將⾃動刪除以前版本的 Web 外掛程式。
Web 外掛程式更新後，將儲存已有項⽬（例如，政策或⼯作）。⽤於實現 Kaspersky Endpoint Security 新功
能的新項⽬設定將顯⽰在現有項⽬中，並採⽤預設值。
您可以按如下⽅式更新 Web 外掛程式：
在線上模式下，在 Web 外掛程式清單中更新 Web 外掛程式。
要更新 Web 外掛程式，必須在網⾴主控台介⾯中選取 Kaspersky Endpoint Security Web 外掛程式的分發套件
（“主控台設定”→“Web 外掛程式”）。網⾴主控台將在 Kaspersky 伺服器中檢查可⽤更新，並下載相關更新。
從檔案更新 Web 外掛程式。

112

要更新 Web 外掛程式，必須在網⾴主控台介⾯中選取 Kaspersky Endpoint Security for Windows Web 外掛程式的分發套件的 ZIP 存檔：“主控台設定”→“Web 外掛程式”。例如，可以在 Kaspersky 網站下載 Web 外掛程式
的分發套件。您只能將 Kaspersky Endpoint Security Web 外掛程式更新到最新版本。Web 外掛程式不能更新
到較舊版本。
如果開啟了任何項⽬（如政策或⼯作），則 Web 外掛程式將檢查其相容性資訊。如果 Web 外掛程式的版本等於或晚於相容性資訊中指定的版本，則您可變更此項⽬的設定。否則您無法使⽤ Web 外掛程式變更所選項⽬的設定。建議更新 Web 外掛程式。

使⽤不同版本的管理外掛程式時的特別考慮
只有當您的管理外掛程式的版本等於或者晚於 Kaspersky Endpoint Security 與管理外掛程式相容性資訊中指定的
版本時，您才可以透過卡巴斯基安全管理中⼼管理 Kaspersky Endpoint Security。您可以在包括在分發套件中的installer.ini 檔案中檢視管理外掛程式的最低要求版本。
如果開啟了任何項⽬（如政策或⼯作），則管理外掛程式將檢查其相容性資訊。如果管理外掛程式的版本等
於或晚於相容性資訊中指定的版本，則您可變更此項⽬的設定。否則您無法使⽤管理外掛程式變更所選項⽬的設定。建議升級管理外掛程式。
如果在管理主控台中安裝了 Kaspersky Endpoint Security 管理外掛程式，在安裝新版本的管理外掛程式時請考慮
以下事項：
以前版本的 Kaspersky Endpoint Security 管理外掛程式將被移除。
新版本的 Kaspersky Endpoint Security 管理外掛程式⽀援管理使⽤者電腦上的 Kaspersky Endpoint Security
for Windows。
您可以使⽤新版本的管理外掛程式變更由以前版本的管理外掛程式建立的政策、⼯作和其他項⽬中的設定。
對於新設定，新版本的管理外掛程式會在第⼀次儲存政策、政策設定檔或⼯作時分配預設值。
升級管理外掛程式後，建議檢查新設定的值並將其儲存在政策和政策設定檔中。如果不執⾏此操作，使⽤者電腦上的新 Kaspersky Endpoint Security 設定群組將採⽤預設值並可以編輯（ 內容）。建議從頂級
層級的政策和政策設定檔開始檢查設定。還建議使⽤有權存取所有卡巴斯基安全管理中⼼功能區域的使
⽤者帳⼾。

要瞭解應⽤程式的新功能，請參閱版本說明或應⽤程式說明。
如果新版本的管理外掛程式的⼀組設定中新增了新參數，先前為該群組設定的 /更。

內容定義的狀態不會變

使⽤加密協定與外部服務進⾏交互時的特殊考量
Kaspersky Endpoint Security 和卡巴斯基安全管理中⼼使⽤帶有 TLS（傳輸層安全性）的加密通訊通道來與
Kaspersky 的外部服務⼀起使⽤。Kaspersky Endpoint Security 使⽤外部服務來實現以下功能：
更新資料庫和應⽤程式軟體模組；
113

⽤啟動碼啟動應⽤程式（啟動 2.0）；
使⽤卡巴斯基安全網路。
TLS 的使⽤透過提供以下功能來保護應⽤程式的安全：
加密。訊息的內容是機密的，不會透露給第三⽅使⽤者。
完整性郵件接收者確定⾃傳送者轉發郵件以來，郵件內容尚未修改。
⾝分驗證。收件⼈確定僅與受信任的卡巴斯基伺服器建立通訊。
Kaspersky Endpoint Security 使⽤公開⾦鑰憑證進⾏伺服器⾝分驗證。使⽤憑證需要公開⾦鑰基礎結構（PKI）。
憑證授權是 PKI 的⼀部分。卡巴斯基使⽤⾃⼰的憑證授權，因為卡巴斯基的服務具有⾼度技術性且不公開。在這
種情況下，如果撤銷了 Thawte、VeriSign、GlobalTrust 和其他憑證的根憑證，則卡巴斯基 PKI 仍可正常運⾏⽽不會中斷。
Kaspersky Endpoint Security 認為具有 MITM（⽀援 HTTPS 協定解析的軟體和硬體⼯具）的環境是不安全的。使⽤卡巴斯基服務時可能會遇到錯誤。例如，可能會出現關於使⽤⾃簽章憑證的錯誤。由於您環境中的 HTTPS 檢
查⼯具無法識別 Kaspersky PKI，因此可能會出現這些錯誤。要糾正這些問題，必須設定排除項⽬以與外部服務進
⾏交互。

程式介⾯

應⽤程式主視窗

正在監控

報告檢視應⽤程式運⾏期間發⽣的事件、單個元件和⼯作。
114備份檢視應⽤程式已刪除的感染檔案的已儲存副本的清單。
威脅偵測技術檢視有關威脅偵測技術以及這些技術偵測到的威脅數量的資訊。
卡巴斯基安全網路Kaspersky Endpoint Security 和卡巴斯基安全網路之間的連線狀態以及全球KSN 統計資訊。卡巴斯基安全網路（KSN）是雲端服務的基礎結構，可提供對線上卡巴斯基知
識庫的存取，該知識庫包含有關檔案、網⾴資源和軟體信譽的資訊。使⽤卡巴斯基安全網路的
資料可確保 Kaspersky Endpoint Security 能夠更快地對新型威脅作出回應，提⾼⼀些防護元件
的效能，並減少誤報風險。如果您正在參與卡巴斯基安全網路，KSN 服務將為 Kaspersky
Endpoint Security 提供有關所掃描檔案的類別和信譽的資訊，以及有關所掃描網址的信譽的資訊。
應⽤程式活動監控檢視有關已安裝應⽤程式操作的資訊。系統監控將保持對檔案、登錄檔以及
與應⽤程式關聯的作業系統事件的偵錯。
網路監控。即時檢視有關電腦網路活動的資訊。
加密監控器及時監控磁碟加密或解密過程。如果安裝了 Kaspersky Disk Encryption 元件或BitLocker 磁碟機加密元件，則加密監控可⽤。
安全已安裝元件的運⾏狀態。您也可以繼續配置元件或者檢視報告。

更新

管理 Kaspersky Endpoint Security 更新⼯作。您可以更新病毒資料庫和應⽤程式模組並回溯上⼀次更新。管理員可以對使⽤者隱藏該區域或者限制⼯作管理。

⼯作管理 Kaspersky Endpoint Security 掃描⼯作。您可以執⾏惡意軟體掃描和應⽤程式完整性檢查。管
理員可以向使⽤者隱藏⼯作或限制⼯作管理。

產品授權

應⽤程式產品授權。您可以購買產品授權，啟動應⽤程式或續約訂購。您還可以檢視有關當前產品
授權的資訊。
配置應⽤程式設定。管理員可以禁⽌變更卡巴斯基安全管理中⼼中的設定。
有關應⽤程式的資訊：Kaspersky Endpoint Security 的當前版本，資料庫發布⽇期，⾦鑰以及其他資訊。您也可以前往 Kaspersky 資訊資源，其提供實⽤的資訊、建議以及有關如何購買、安裝和使
⽤應⽤程式的常⾒問題解答。
包含有關可⽤更新以及對加密檔案和裝置的存取請求的資訊的訊息。

⼯作列通知區域中的程式圖⽰
Kaspersky Endpoint Security 安裝完成後，程式圖⽰將立即出現在 Microsoft Windows ⼯作列通知區域。
如果⼯作列通知區域的應⽤程式圖⽰被隱藏，則管理員在政策中已停⽤顯⽰應⽤程式介⾯。
本圖⽰有以下功能：顯⽰應⽤程式的活動。
是存取內容功能表和應⽤程式主視窗的快速⽅式。
提供以下應⽤程式圖⽰狀態以顯⽰應⽤程式執⾏資訊：

115圖⽰表⽰應⽤程式⾄關重要的防護元件已啟⽤。如果需要使⽤者執⾏操作（例如，在更新應⽤程式後重新啟動電腦），則 Kaspersky Endpoint Security 將顯⽰警告 。
圖⽰表⽰應⽤程式⾄關重要的防護元件已停⽤或發⽣故障。例如，如果產品授權已到期或存在應⽤程式錯
誤，則可能導致防護元件發⽣故障。Kaspersky Endpoint Security 將顯⽰警告 並敘述電腦防護中的問題。
應⽤程式圖⽰的內容功能表包含下列項⽬：
Kaspersky Endpoint Security for Windows開啟主應⽤程式視窗。在此視窗中，您可以調節應⽤程式元件和⼯作的執⾏，並檢視已處理的檔案和偵測到的威脅的統計資料。
暫停防護 / 還原防護。暫停政策中不帶鎖標記 ( ) 的所有防護和控制元件的執⾏。在執⾏此操作之前，建議停
⽤卡巴斯基安全管理中⼼政策。
在暫停防護和控制元件的執⾏之前，應⽤程式會請求 Kaspersky Endpoint Security 的存取密碼（帳⼾密碼或暫時密碼）。您隨後可以選擇暫停時間段：特定⼀段時間、直⾄重新啟動或使⽤者請求後。
如果已啟⽤密碼防護，則此內容功能表項可⽤。要還原防護和控制元件執⾏，請在應⽤程式的內容功能表中點擊“還原防護”。
暫停防護和控制元件的執⾏不會影響更新和惡意軟體掃描⼯作的效能。應⽤程式也繼續使⽤卡巴斯基安全網路。
停⽤政策 / 啟⽤政策。在電腦上停⽤卡巴斯基安全管理中⼼政策。所有 Kaspersky Endpoint Security 設定均可進⾏配置，包括政策中已上鎖的設定 ( )。如果停⽤政策，應⽤程式將請求存取 Kaspersky Endpoint Security
的密碼（帳⼾密碼或暫時密碼）。如果已啟⽤密碼防護，則此內容功能表項可⽤。要啟⽤政策，請在應⽤程式的內容功能表中選擇“啟⽤政策”。
設定開啟應⽤程式設定視窗。
⽀援這將開啟包含聯絡 Kaspersky 技術⽀援所需資訊的視窗。
關於此項⽬可開啟⼀個包含應⽤程式詳細資訊的視窗。
結束本項⽬可結束 Kaspersky Endpoint Security。點擊內容功能表中的“結束”項⽬會導致應⽤程式結束記憶體。

應⽤程式圖⽰的右鍵選單

簡化的應⽤程式介⾯如果將配置了“顯⽰簡化應⽤程式介⾯”的卡巴斯基安全管理中⼼政策應⽤於已安裝 Kaspersky Endpoint Security
的⽤⼾端電腦，則在此⽤⼾端電腦上不能使⽤應⽤程式主視窗。右鍵點擊 Kaspersky Endpoint Security 圖⽰可開啟內容功能表（如下圖），其中包含以下項⽬：
停⽤政策 / 啟⽤政策。在電腦上停⽤卡巴斯基安全管理中⼼政策。所有 Kaspersky Endpoint Security 設定均可進⾏配置，包括政策中已上鎖的設定 ( )。如果停⽤政策，應⽤程式將請求存取 Kaspersky Endpoint Security
的密碼（帳⼾密碼或暫時密碼）。如果已啟⽤密碼防護，則此內容功能表項可⽤。要啟⽤政策，請在應⽤程式的內容功能表中選擇“啟⽤政策”。
116

⼯作包含以下項的下拉清單：完整性檢查
回溯資料庫到先前的版本
完整掃描
⾃訂掃描
關鍵區域掃描更新
⽀援這將開啟包含聯絡 Kaspersky 技術⽀援所需資訊的視窗。
結束本項⽬可結束 Kaspersky Endpoint Security。點擊內容功能表中的“結束”項⽬會導致應⽤程式結束記憶
體。

顯⽰簡化介⾯時應⽤程式圖⽰的內容功能表

設定應⽤程式介⾯的顯⽰您可以為使⽤者設定應⽤程式介⾯的顯⽰模式。使⽤者可以透過以下⽅式與應⽤程式進⾏互動：顯⽰簡化介⾯在⽤⼾端電腦上，主應⽤程式視窗不可存取，只有 Windows 通知區域中的圖⽰可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint Security 執⾏有限數量的操作。Kaspersky Endpoint
Security 還會在應⽤程式圖⽰上⽅顯⽰通知。
顯⽰使⽤者介⾯在⽤⼾端電腦上，Kaspersky Endpoint Security 的主視窗和 Windows 通知區域中的圖⽰均可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint Security 執⾏操作。Kaspersky Endpoint
Security 還會在應⽤程式圖⽰上⽅顯⽰通知。
不顯⽰在⽤⼾端電腦上，不顯⽰ Kaspersky Endpoint Security 操作的跡象。Windows 通知區域中的圖⽰和通
知不可⽤。
如何在管理主控台 (MMC) 中設定應⽤程式介⾯的顯⽰模式

117

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 介⾯”。
5. 在“使⽤者互動”塊中執⾏以下操作之⼀：
如果您要在⽤⼾端電腦上顯⽰以下介⾯元素，請選擇“顯⽰使⽤者介⾯”核取⽅塊：
包含“開始”功能表中的應⽤程式名稱的資料夾
Microsoft Windows ⼯作通知區域中的 Kaspersky Endpoint Security 圖⽰彈出通知如果選中此核取⽅塊，使⽤者可以從應⽤程式介⾯檢視應⽤程式設定，並可以根據可⽤權限變更應⽤
程式設定。
如果您希望在⽤⼾端電腦上隱藏 Kaspersky Endpoint Security 的所有跡象，請清除“顯⽰使⽤者介⾯”核取⽅塊。
6. 如果您想要簡化的應⽤程式介⾯顯⽰在已安裝 Kaspersky Endpoint Security 的⽤⼾端電腦上，請在“使⽤者互動“塊中選中“顯⽰簡化介⾯”核取⽅塊。
如何在網⾴主控台和雲端主控台中設定應⽤程式介⾯的顯⽰模式

118

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”介⾯”。
5. 在“使⽤者互動”塊中，設定應⽤程式介⾯的顯⽰⽅式：
使⽤簡化介⾯在⽤⼾端電腦上，主應⽤程式視窗不可存取，只有 Windows 通知區域中的圖⽰可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint Security 執⾏有限數量的操作。
Kaspersky Endpoint Security 還會在應⽤程式圖⽰上⽅顯⽰通知。
使⽤完整介⾯在⽤⼾端電腦上，Kaspersky Endpoint Security 的主視窗和 Windows 通知區域中的圖⽰均可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint Security 執⾏操作。
Kaspersky Endpoint Security 還會在應⽤程式圖⽰上⽅顯⽰通知。
無介⾯在⽤⼾端電腦上，不顯⽰ Kaspersky Endpoint Security 操作的跡象。Windows 通知區域中的圖
⽰和通知不可⽤。
6. 儲存變更。

準備開始
在⽤⼾端電腦上佈署應⽤程式後，要從卡巴斯基安全管理中⼼網⾴主控台使⽤ Kaspersky Endpoint Security，需要執⾏以下操作：
建立並配置政策。
您可以使⽤政策讓同⼀ Kaspersky Endpoint Security 設定應⽤於⼀個管理群組的所有⽤⼾端電腦中。卡巴斯基
安全管理中⼼的快速啟動精靈會⾃動為 Kaspersky Endpoint Security 建立政策。
建立“更新”和“惡意軟體掃描”⼯作。

使電腦安全性保持最新需要“更新”⼯作。執⾏該⼯作時，Kaspersky Endpoint Security 將更新病毒資料庫和應
⽤程式模組。更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝
Kaspersky Endpoint Security for Windows 管理外掛程式。
及時偵測威脅和其他惡意軟體需要“惡意軟體掃描”⼯作。您需要⼿動建立“惡意軟體掃描“⼯作。
如何在管理主控台 (MMC) 中建立“惡意軟體掃描”⼯作119

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“病毒軟體掃描”。

步驟 2. 掃描範圍建立 Kaspersky Endpoint Security 在執⾏掃描⼯作時要掃描的物件清單。

步驟 3. Kaspersky Endpoint Security 操作
選擇偵測到威脅後的動作：
解毒；若解毒失敗則刪除如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
解毒；若解毒失敗則通知如果選擇該選項，Kaspersky Endpoint Security 將⾃動對已經偵測到的所有受感
染的檔案執⾏解毒操作。如果無法進⾏解毒，Kaspersky Endpoint Security 會將偵測到的受感染檔案的相關資訊新增到活動威脅清單。
通知如果選擇此選項，Kaspersky Endpoint Security 會在偵測到受感染檔案時將這些檔案的相關資訊新增
到活動威脅清單。
立即執⾏進階解毒技術如果選取該核取⽅塊，則 Kaspersky Endpoint Security 在掃描過程中將使⽤進階解毒技術來處理活動威脅。

進階解毒技術致⼒於清除 RAM 中已啟動處理程序，以及封鎖 Kaspersky Endpoint Security 使⽤其他⽅式移除它們的惡意應⽤程式。這些威脅將從電腦中清除。執⾏進階解毒過程時，我們建議您不要開啟新
的程式或者編輯作業系統登錄檔。進階解毒技術會佔⽤相當多的作業系統資源，這可能會降低其他應⽤
程式的執⾏速度。完成進階解毒後，Kaspersky Endpoint Security 將重啟電腦，且不提⽰使⽤者進⾏確認。
使⽤“僅在電腦空閒時執⾏”配置⼯作執⾏模式。此核取⽅塊可啟⽤/停⽤當電腦資源有限時暫停“惡意軟體掃描”⼯作的功能。當螢幕防護裝置關閉且電腦解除鎖定時，Kaspersky Endpoint Security 將暫停“惡意軟體掃描”⼯作。

步驟 4. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝
置。
120

⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 5. 選取要執⾏⼯作的帳⼾
選取要執⾏惡意軟體掃描⼯作的帳⼾。預設情況下，Kaspersky Endpoint Security 將使⽤本機使⽤者帳⼾的
權限啟動⼯作。如果掃描範圍包括網路磁碟機或存取受限的其他物件，請選擇具有⾜夠存取權限的使⽤者帳
⼾。

步驟 6. 設定⼯作啟動排程設定⼯作啟動排程，例如，⼿動或在將防毒資料庫下載到儲存庫之後。

步驟 7. 定義⼯作名稱
輸入⼯作的名稱，例如“每⽇完整掃描”。

步驟 8. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。結果，將
按照指定排程在使⽤者電腦上執⾏“惡意軟體掃描”⼯作。
如何在網⾴主控台中建立“惡意軟體掃描”⼯作121

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“惡意軟體掃描”。
c. 在“⼯作名稱”欄位中，輸入簡要說明，例如“每週掃描”。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。前往下⼀步。
5. 結束精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
6. 要配置⼯作排程，請轉到⼯作內容。
建議⾄少⼀周⼀次排程執⾏⼯作。
7. 選中該⼯作旁邊的核取⽅塊。
8. 點擊“執⾏”按鈕。
您可以監控⼯作的狀態，以及成功完成⼯作或完成⼯作時發⽣錯誤的裝置數量。
結果，將按照指定排程在使⽤者電腦上執⾏“惡意軟體掃描”⼯作。

管理政策
政策是為管理群組定義的⼀系列應⽤程式設定。您可以為⼀個應⽤程式配置多個具有不同值的政策。對於不同的管理群組，應⽤程式可以在不同的設定下執⾏。每個管理群組都有⾃⼰的應⽤程式政策。

在同步期間，政策設定由網路代理傳送到⽤⼾端電腦。預設情況下，管理伺服器在政策設定發⽣變化後立刻執⾏同步。使⽤⽤⼾端電腦上的 UDP 連接埠 15000 進⾏同步。預設情況下，管理伺服器每 15 分鐘執⾏⼀次同步。如果在政策設定發⽣變化後同步失敗，將按照配置的排程執⾏下⼀次同步嘗試。

活動和不活動政策
政策⽤於⼀組受管理的電腦，可以處於活動或不活動狀態。活動政策的設定在同步期間儲存到⽤⼾端電腦上。您
無法同時將多個政策套⽤到⼀台電腦，因此每個群組只能有⼀個政策處於活動狀態。
您可以建立無限數量的不活動政策。不活動政策不影響網路中電腦的應⽤程式設定。不活動政策⽤作緊急情況（如病毒攻擊）的後備。如果存在透過快閃記憶體磁碟機進⾏的攻擊，您可以啟動⽤於封鎖存取快閃記憶體磁碟機的政策。在這種情況下，活動政策會⾃動變為不活動。
122

漫遊政策
當電腦離開組織網路周界時，漫遊政策啟動。

設定繼承
像管理群組⼀樣，政策按層次結構排列。預設情況下，⼦政策從⽗政策繼承設定。⼦政策是⽤於嵌套階層架構等級的政策，即⽤於嵌套管理群組和輔助管理伺服器的政策。您可以停⽤從⽗政策繼承設定。
每個政策設定都具有 內容，它表⽰設定可以在⼦政策中修改還是在本機應⽤程式設定中修改。僅當為⼦政策中啟⽤了繼承⽗政策設定時， 內容才適⽤。漫遊政策不透過管理群組的階層架構影響其他政策。

設定繼承

為每個擁有卡巴斯基安全管理中⼼管理伺服器存取權限的使⽤者指定存取政策設定的權限（讀取、寫入、執⾏），並為 Kaspersky Endpoint Security 的每個功能範圍單獨指定政策設定。若要配置存取政策設定的權限，請轉⾄卡巴斯基安全管理中⼼管理伺服器內容視窗“安全性”區域中。

建立政策
如何在管理主控台 (MMC) 中建立政策

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，選取相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選擇“政策”標籤。
4. 點擊“新政策”按鈕。
啟動“政策精靈”。
5. 按照“政策精靈”的說明進⾏操作。
如何在網⾴主控台和雲端主控台中建立政策

123

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊“新增”按鈕。
啟動“政策精靈”。
3. 選取 Kaspersky Endpoint Security 並點擊“下⼀步”。
4. 請閱讀並接受卡巴斯基安全網路 (KSN) 聲明的條款，然後點擊“下⼀步”。
5. 在“⼀般”標籤上，可以執⾏以下操作：
變更政策名稱。
選取政策狀態：
作⽤中。下次同步後，該政策將⽤作電腦上的活動政策。
非作⽤中。備份政策。如有必要，不活動政策可切換為活動狀態。
漫遊。當電腦離開組織網路周界時，將啟動該政策。
配置設定繼承：從⽗政策繼承設定。如果開啟此開關，則政策設定值將從頂級政策繼承。如果為⽗政策設定了 ，
則無法編輯政策設定。
在⼦政策中強制繼承設定。如果開啟該切換按鈕，政策設定的值將傳播到⼦政策。在⼦政策的內容中，“從⽗政策繼承設定“切換按鈕將⾃動開啟，且無法關閉。⼦政策設定繼承⾃⽗政策，除了標記
有 的設定外。如果為⽗政策設定了 ，則無法編輯⼦政策設定。
6. 在“應⽤程式設定”標籤上，可以配置 Kaspersky Endpoint Security 政策設定。
7. 儲存變更。
結果，在下次同步期間，將在⽤⼾端電腦上配置 Kaspersky Endpoint Security 設定。透過點擊主螢幕上的 按
鈕，可以在 Kaspersky Endpoint Security 介⾯中檢視有關應⽤於電腦的政策資訊（例如，政策名稱）。為此，在網路代理政策的設定中，需要啟⽤接收延伸政策資料。有關網路代理政策的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

安全等級指⽰器
安全等級指⽰器顯⽰在“內容：<政策名稱>“視窗的上部。此指⽰器的值可能如下：
⾼度防護等級如果啟⽤以下類別的所有元件，指⽰器為此值並變為綠⾊：
緊急此類別包含以下元件：
檔案威脅防護。
⾏為偵測。
弱點利⽤防禦。
124

修復引擎。
重要此類別包含以下元件：
卡巴斯基安全網路。
Web 威脅防護。
郵件威脅防護。
主機入侵防禦。
中度防護等級如果停⽤了⼀個重要元件，指⽰器為此值並變為黃⾊。
低度防護等級在以下任意⼀種情況下，指⽰器為此值並變為紅⾊：
⼀個或多個關鍵元件被停⽤。
兩個或更多重要元件被停⽤。
如果指⽰器的值為“中度防護等級”或“低度防護等級”，則指⽰器的右側將顯⽰⼀個連結，點擊該連結可開啟“進階設定”視窗。在此視窗中，可以啟⽤任⼀建議的防護元件。

⼯作管理
您可以建立以下類型的⼯作來透過卡巴斯基安全管理中⼼管理 Kaspersky Endpoint Security。
為單獨的⽤⼾端電腦設定的本機⼯作。
為⼀個或多個管理群組中的⽤⼾端電腦設定的群組⼯作。
⾯向⼀組所選電腦的⼯作。
您可以建立任意數量的群組⼯作、⾯向⼀組所選電腦的⼯作或本機⼯作。有關使⽤管理群組和電腦選取的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
Kaspersky Endpoint Security ⽀援以下⼯作：惡意軟體掃描。Kaspersky Endpoint Security 將對⼯作設定中指定的電腦區域執⾏病毒掃描。Kaspersky
Endpoint Security 執⾏需要“惡意軟體掃描”⼯作，該⼯作在快速啟動精靈期間建立。建議⾄少⼀周⼀次排程執⾏⼯作。
新增⾦鑰。Kaspersky Endpoint Security 新增⽤於啟動應⽤程式的⾦鑰，包括備⽤⾦鑰。在執⾏該⼯作前，請確保將執⾏該⼯作的電腦數量不超過產品授權允許的電腦數。
變更程式元件。Kaspersky Endpoint Security 將根據⼯作設定中指定元件清單在⽤⼾端電腦上安裝和刪除元件。“檔案威脅防護”元件無法刪除。Kaspersky Endpoint Security 元件的最佳化集合有助於節省電腦資源。
清查。Kaspersky Endpoint Security 將接收電腦上儲存的所有應⽤程式可執⾏檔的相關資訊。“清查”⼯作由“應⽤程式控制”元件執⾏。如果未安裝“應⽤程式控制”元件，該⼯作將以錯誤結束。
更新。Kaspersky Endpoint Security 更新資料庫和應⽤程式模組。Kaspersky Endpoint Security 執⾏需要“更新”⼯作，該⼯作在快速啟動精靈期間建立。建議配置每天⾄少執⾏⼀次該⼯作的排程。

125

抹除資料。Kaspersky Endpoint Security 立即或與卡巴斯基安全管理中⼼⻑時間沒有連線後刪除使⽤者電腦中的檔案和資料夾。
更新回溯。Kaspersky Endpoint Security 回溯最近的資料庫和應⽤程式模組更新。例如，如果新資料庫包含可能導致 Kaspersky Endpoint Security 封鎖安全應⽤程式的錯誤資料，可能需要執⾏此⼯作。
完整性檢查。Kaspersky Endpoint Security 分析應⽤程式檔案，檢查檔案是否損壞或被修改，並驗證應⽤程式
檔案的數位簽章。
管理⾝分驗證代理帳⼾。Kaspersky Endpoint Security 會設定⾝分驗證代理帳⼾設定。使⽤加密磁碟機需要⾝分驗證代理。載入作業系統之前，使⽤者需要使⽤代理完成⾝分驗證。
僅當 Kaspersky Endpoint Security 正在執⾏時，才會在電腦上執⾏⼯作。

新增新⼯作
如何在管理主控台 (MMC) 中建立⼯作1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 選取管理主控台樹狀⽬錄中的“⼯作”資料夾。
3. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。
4. 請按照⼯作精靈的指⽰操作。
如何在網⾴主控台和雲端主控台中建立⼯作1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉清單中，選取要在使⽤者電腦上執⾏的⼯作。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。前往下⼀步。
5. 結束精靈。
126

在⼯作清單中將顯⽰⼀個新⼯作。該⼯作將具有預設設定。要配置⼯作設定，需要轉到⼯作內容。要執⾏⼯作，
需要選中與⼯作對應的核取⽅塊，然後點擊“開始”按鈕。啟動⼯作後，您可以暫停⼯作並稍後還原。
在⼯作清單中，您可以監視⼯作結果，其中包括⼯作狀態和電腦上的⼯作效能統計。您還可以建立⼀組⽤於監控
⼯作完成的事件（“監控和報告”→“事件分類”）。有關事件選取的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。⼯作執⾏結果還本機儲存在 Windows 事件記錄和 Kaspersky Endpoint Security 報告中。

⼯作存取控制透過設定 Kaspersky Endpoint Security 的功能區存取權限，為每個擁有卡巴斯基安全管理中⼼管理伺服器存取權
的使⽤者定義 Kaspersky Endpoint Security ⼯作的存取權限（讀取、寫入、執⾏）。若要配置存取 Kaspersky
Endpoint Security 功能區的權限，請轉⾄卡巴斯基安全管理中⼼管理伺服器內容視窗“安全性”區域中。有關透過卡巴斯基安全管理中⼼進⾏⼯作管理的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
您可以使⽤政策設定使⽤者存取⼯作的權限（⼯作管理模式）。例如，您可以在 Kaspersky Endpoint Security 介
⾯中隱藏群組⼯作。
如何透過管理主控台 (MMC) 在 Kaspersky Endpoint Security 介⾯中設定⼯作管理模式

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“本機⼯作 → ⼯作管理”。
5. 設定⼯作管理模式（參⾒下表）。
6. 儲存變更。
如何透過網⾴主控台在 Kaspersky Endpoint Security 介⾯中設定⼯作管理模式

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”本機⼯作”→”⼯作管理”。
5. 設定⼯作管理模式（參⾒下表）。
6. 儲存變更。
⼯作管理設定參數

描述

允許

如果選擇此核取⽅塊，本機⼯作將顯⽰在 Kaspersky Endpoint Security 的本機介⾯上。當沒有其
127

使⽤
本機
⼯作

他政策限制時，使⽤者可以配置並執⾏⼯作。不過，配置⼯作執⾏排程對於使⽤者仍然不可⽤。
使⽤者只能⼿動執⾏⼯作。
如果此核取⽅塊被清空，則停⽌使⽤本機⼯作。在此模式中，本機⼯作不根據排程執⾏。⼯作無法在 Kaspersky Endpoint Security 本機介⾯中啟動或編輯，使⽤命令列⼯作時也無法進⾏。
使⽤者仍可以透過在檔案或資料夾的內容功能表中選取“掃描病毒”選項開始檔案或資料夾掃描。掃描⼯作將使⽤⾃訂掃描⼯作的預設設定值啟動。

允許
顯⽰
群組
⼯作

如果選擇此核取⽅塊，群組⼯作將顯⽰在 Kaspersky Endpoint Security 的本機介⾯上。使⽤者可以在應⽤程式介⾯中查看所有⼯作的清單。

允許
管理
群組
⼯作

如果選取該核取⽅塊，則使⽤者可以啟動和停⽌在卡巴斯基安全管理中⼼中指定的群組⼯作。使⽤者可以在應⽤程式介⾯或簡化的應⽤程式介⾯中啟動和停⽌⼯作。

如果清除該核取⽅塊，則 Kaspersky Endpoint Security 將顯⽰空的⼯作清單。

如果清除該核取⽅塊，則 Kaspersky Endpoint Security 將⾃動啟動排程⼯作，或者由管理員在卡
巴斯基安全管理中⼼中⼿動啟動⼯作。

配置本機應⽤程式設定
在卡巴斯基安全管理中⼼中，您可以配置特定電腦上的 Kaspersky Endpoint Security 設定。這些設定是本機應⽤
程式設定。某些設定可能無法存取進⾏編輯。這些設定被政策屬性中的 屬性鎖定 。
如何在管理主控台 (MMC) 中配置本機應⽤程式設定128

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，開啟相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選取“裝置”標籤。
4. 選取您想要為其配置 Kaspersky Endpoint Security 設定的電腦。
5. 在⽤⼾端電腦的內容功能表中，選取“內容”。
開啟⽤⼾端電腦的內容視窗。
6. 在⽤⼾端電腦內容視窗中選取“應⽤程式”區域。
安裝在⽤⼾端電腦上的 Kaspersky 應⽤程式清單將顯⽰在⽤⼾端電腦內容視窗的右側。
7. 選取“Kaspersky Endpoint Security”。
8. 點擊 Kaspersky 應⽤程式清單下⽅的“內容”按鈕。
這將開啟“Kaspersky Endpoint Security for Windows 應⽤程式設定”視窗。
9. 在“⼀般設定”區域中，配置 Kaspersky Endpoint Security 以及報告和儲存。
“Kaspersky Endpoint Security for Windows 應⽤程式設定 ”視窗中的其他區域是卡巴斯基安全管理中⼼的標準。《卡巴斯基安全管理中⼼說明》提供了這些區域的說明。
如果某個應⽤程式受到禁⽌變更特定設定的政策的限制，則在“⼀般設定”區域中配置應⽤程式設定時，您將無法編輯它們。
10. 儲存變更。
如何在網⾴主控台和雲端主控台中配置本機應⽤程式設定

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選取要為其配置本機應⽤程式設定的電腦。
這將開啟電腦內容。
3. 選取“應⽤程式”標籤。
4. 點擊“Kaspersky Endpoint Security for Windows”。
這將開啟本機應⽤程式設定。
5. 選取“應⽤程式設定”標籤。
6. 配置本機應⽤程式設定。
7. 儲存變更。
本機應⽤程式設定與政策設定相同，但加密設定除外。

129啟動和停⽌ Kaspersky Endpoint Security
將 Kaspersky Endpoint Security 安裝到使⽤者的電腦後，該應⽤程式會⾃動啟動。預設情況下，Kaspersky
Endpoint Security 在作業系統啟動後啟動。在作業系統設定中無法設定應⽤程式的⾃動啟動。
在作業系統啟動後下載 Kaspersky Endpoint Security 病毒資料庫最多可能需要兩分鐘，具體取決於電腦的功能。在該期間電腦防護等級降低。在已啟動的作業系統上啟動 Kaspersky Endpoint Security 時，下載病毒資料庫不會導致電腦防護等級降低。
如何在管理主控台 (MMC) 中設定 Kaspersky Endpoint Security 的啟動

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 應⽤程式設定”。
5. 使⽤“在電腦啟動時啟動 Kaspersky Endpoint Security（建議）”核取⽅塊配置應⽤程式啟動。
6. 儲存變更。
如何在網⾴主控台中設定 Kaspersky Endpoint Security 的啟動

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”應⽤程式設定”。
5. 使⽤“在電腦啟動時啟動 Kaspersky Endpoint Security（建議）”核取⽅塊配置應⽤程式啟動。
6. 儲存變更。
如何在應⽤程式介⾯中設定 Kaspersky Endpoint Security 的啟動

1301. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

Kaspersky Endpoint Security for Windows 設定

3. 使⽤“在電腦啟動時啟動 Kaspersky Endpoint Security（建議）”核取⽅塊配置應⽤程式啟動。
4. 儲存變更。

Kaspersky 專家建議您不要⼿動停⽌ Kaspersky Endpoint Security，因為這樣做會使電腦和您的個⼈資料曝露
於威脅之中。如有必要，您可以根據需要暫停電腦防護⽽無需停⽌應⽤程式。
您可以使⽤“防護狀態”⼩元件來監控應⽤程式狀態。
如何在管理主控台 (MMC) 中啟動或停⽌ Kaspersky Endpoint Security131

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，開啟相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選取“裝置”標籤。
4. 選取您想要啟動或停⽌應⽤程式的電腦。
5. 右鍵點擊以顯⽰⽤⼾端電腦的內容功能表並選取“內容”。
6. 在⽤⼾端電腦內容視窗中選取“應⽤程式”區域。
安裝在⽤⼾端電腦上的 Kaspersky 應⽤程式清單將顯⽰在⽤⼾端電腦內容視窗的右側。
7. 選取“Kaspersky Endpoint Security”。
8. 請執⾏以下操作：
要啟動應⽤程式，請點擊 Kaspersky 應⽤程式清單右側的按鈕。

要停⽌應⽤程式，請點擊 Kaspersky 應⽤程式清單右側的按鈕。

如何在網⾴主控台中啟動或停⽌ Kaspersky Endpoint Security

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 點擊您要在其上啟動或停⽌ Kaspersky Endpoint Security 的電腦的名稱。
電腦內容視窗將開啟。
3. 選取“應⽤程式”標籤。
4. 選中與 Kaspersky Endpoint Security for Windows 對應的核取⽅塊。
5. 點擊“開始”或“停⽌”按鈕。
如何從命令列啟動或停⽌ Kaspersky Endpoint Security132

1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
您可以在應⽤程式安裝期間將可執⾏檔的路徑新增到 %PATH% 系統變數。
3. 要從命令列啟動應⽤程式，請輸入 klpsm.exe start_avp_service。
4. 要從命令列停⽌應⽤程式，請輸入 klpsm.exe stop_avp_service。
要從命令列停⽌應⽤程式，必須啟⽤系統服務的外部管理。

透過命令列啟動和停⽌應⽤程式

暫停和還原電腦防護和控制
暫停電腦防護和控制表⽰停⽤ Kaspersky Endpoint Security 的所有防護和控制元件⼀段時間。
應⽤程式狀態使⽤⼯作列通知區域中應⽤程式圖⽰進⾏顯⽰。
圖⽰表⽰電腦防護和控制已暫停。
圖⽰表⽰電腦防護和控制已啟⽤。
暫停或還原電腦防護和控制不影響掃描⼯作或程式更新⼯作。
如果在暫停或還原電腦防護和控制時已建立任何網路連線，系統會顯⽰關於終⽌這些網路連線的通知。

暫停電腦防護和控制：
1. 在⼯作列通知區域按右鍵程式圖⽰，開啟內容功能表中。
2. 在內容功能表中，選取“暫停防護”（參⾒下圖）。
如果已啟⽤密碼防護，則此內容功能表項可⽤。
3. 從以下選項中選取⼀個選項：
暫停時間 <時間段> – 經過下⾯的下拉清單中所指定的時間後將還原電腦防護和控制。
暫停⾄應⽤程式重新啟動 – 重新啟動應⽤程式或重新啟動作業系統後還原電腦防護和控制。若要使⽤此選項，必須啟⽤應⽤程式的⾃動啟動。
暫停 – 在您決定重新啟⽤時將還原電腦防護和控制。
133

4. 單擊“暫停防護”。
Kaspersky Endpoint Security 將暫停政策中不帶鎖標記 ( ) 的所有防護和控制元件的執⾏。在執⾏此操作之前，建議停⽤卡巴斯基安全管理中⼼政策。

應⽤程式圖⽰的右鍵選單

還原電腦防護和控制：
1. 在⼯作列通知區域按右鍵程式圖⽰，開啟內容功能表中。
2. 在內容功能表中，選取“還原防護”。
如果您決定還原電腦防護和控制，可以隨時進⾏該操作，這與您之前選取的防護暫停選項無關。

建立和使⽤設定檔帶有 Kaspersky Endpoint Security 設定的設定檔允許您完成以下⼯作：
透過命令列使⽤⾃訂的設定本機安裝 Kaspersky Endpoint Security。
若要執⾏操作，您必須在分發套件所在的相同資料夾內儲存設定檔。
透過卡巴斯基安全管理中⼼使⽤⾃訂的設定遠端安裝 Kaspersky Endpoint Security。
從⼀台電腦上將 Kaspersky Endpoint Security 設定遷移⾄其他電腦上（請參閱以下說明）。

若要建立設定檔，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“變更設定”。
3. 單擊“匯出”。
4. 在開啟的視窗中，指定您要儲存設定檔的路徑並輸入其名稱。
若要使⽤設定檔本機或遠端安裝 Kaspersky Endpoint Security，您必須將其命名為 install.cfg。
5. 儲存檔案。

若要從設定檔匯入 Kaspersky Endpoint Security 設定：
1. 在“應⽤程式主視窗”中，點擊

按鈕。
134

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“變更設定”。
3. 單擊“匯入”。
4. 在開啟的視窗中，輸入設定檔的路徑。
5. 開啟檔案。
Kaspersky Endpoint Security 設定的所有值都將根據選定設定檔進⾏設定。

管理應⽤程式設定

還原應⽤程式預設設定您可以隨時還原卡巴斯基建議的應⽤程式設定 。還原設定之後，應⽤程式將為所有防護元件設定“建議”安全等級。

要還原應⽤程式預設設定，請：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“變更設定”。
3. 單擊“還原”。
4. 儲存變更。
135

管理應⽤程式設定

136惡意軟體掃描惡意軟體掃描對於電腦安全⾄關重要。定期進⾏惡意軟體掃描有助於防⽌因安全等級設定過低或者其他原因導致防護元件未能偵測到惡意軟體進⾏傳播。
Kaspersky Endpoint Security 不會掃描其內容位於 OneDrive 雲端儲存中的檔案，但會建立記錄項⽬來說明尚
未掃描這些檔案。

完整掃描
徹底地掃描整個電腦。Kaspersky Endpoint Security 掃描以下物件：
內核記憶體；
作業系統啟動時載入的物件
開機磁區；
作業系統備份儲存區所有硬碟磁碟機和卸除式磁碟機
Kaspersky 專家建議不要變更“完整掃描”⼯作的掃描範圍。

為節省電腦資源，建議使⽤背景掃描⼯作⽽不是完整掃描⼯作。這不會影響電腦的安全等級。

關鍵區域掃描
預設情況下，Kaspersky Endpoint Security 會掃描內核記憶體、執⾏處理序和磁碟的開啟磁區。
Kaspersky 專家建議不要變更“關鍵區域掃描”⼯作的掃描範圍。

⾃訂掃描Kaspersky Endpoint Security 將掃描使⽤者選擇的物件。您可以掃描下表中的任意物件：
系統記憶體
作業系統啟動時載入的物件
作業系統備份儲存區
Microsoft Outlook 郵箱
硬碟、卸除式和網路磁碟機137

任何選取的檔案

背景掃描

背景掃描是 Kaspersky Endpoint Security 的⼀種掃描模式，不會向使⽤者顯⽰通知。背景掃描比其他類型的掃描（如完整掃描）需要更少的電腦資來源。在此模式下，Kaspersky Endpoint Security 掃描啟動物件、開啟磁區、
系統記憶體和系統磁碟分割。

完整性檢查
Kaspersky Endpoint Security 將檢查程式的模組是否損壞或者被修改，

掃描電腦
掃描對於電腦安全⾄關重要。定期進⾏惡意軟體掃描有助於防⽌因安全等級設定過低或者其他原因導致防護元件
未能偵測到惡意軟體進⾏傳播。該元件借助防毒資料庫、卡巴斯基安全網路雲端服務和啟發式分析來提供電腦防
護。
Kaspersky Endpoint Security 預定義了以下標準⼯作： 完整掃描，關鍵區域掃描，⾃訂掃描。如果您的組織部署
了卡巴斯基安全管理中⼼管理系統，您可以建立⼀個惡意軟體掃描⼯作並配置掃描。背景掃描⼯作也可以在卡巴斯基安全管理中⼼中使⽤。背景掃描不可配置。
如何在管理主控台 (MMC) 中執⾏掃描⼯作

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
3. 選擇掃描⼯作並雙擊以開啟⼯作內容。
需要的話建立 惡意軟體掃描 ⼯作。
4. 在⼯作內容視窗中，選取“設定”區域。
5. 配置掃描⼯作（請參⾒下表）。
如有必要，設定掃描⼯作排程。
6. 儲存變更。
7. 執⾏掃描⼯作。
Kaspersky Endpoint Security 將開始掃描電腦。如果使⽤者中斷了執⾏⼯作（例如，透過關閉電腦），Kaspersky Endpoint Security 會⾃動執⾏⼯作，從掃描被中斷的地⽅繼續。
如何在網⾴主控台和雲端主控台中執⾏掃描⼯作138

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊掃描⼯作。
⼯作內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 配置掃描⼯作（請參⾒下表）。
如有必要，設定掃描⼯作排程。
5. 儲存變更。
6. 執⾏掃描⼯作。
Kaspersky Endpoint Security 將開始掃描電腦。如果使⽤者中斷了執⾏⼯作（例如，透過關閉電腦），Kaspersky Endpoint Security 會⾃動執⾏⼯作，從掃描被中斷的地⽅繼續。
如何在應⽤程式介⾯中執⾏掃描⼯作

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
3. 配置掃描⼯作（請參⾒下表）。
如有必要，設定掃描⼯作排程。
4. 儲存變更。
5. 執⾏掃描⼯作。
Kaspersky Endpoint Security 將開始掃描電腦。應⽤程式將顯⽰掃描進度、已掃描檔案的數⽬以及剩餘的
掃描時間。您可以隨時點擊“停⽌“按鈕來停⽌⼯作。如果掃描⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。
結果，Kaspersky Endpoint Security 將掃描電腦，如果偵測到威脅，將執⾏在應⽤程式設定中設定的動作。通常
來說，應⽤程式會嘗試解毒受感染的檔案。結果，受感染的檔案會收到以下狀態：稍後處理。感染的檔案無法被解毒。應⽤程式將在電腦重新啟動後刪除受感染的檔案。
記錄。感染的檔案無法被解毒。應⽤程式會將偵測到的受感染檔案的相關資訊新增到活動威脅清單。
不⽀援寫入或者寫入錯誤。感染的檔案無法被解毒。應⽤程式沒有寫入存取權限。
已處理。應⽤程式較早偵測到⼀個受感染的檔案。應⽤程式將在電腦重新啟動後解毒或者刪除受感染的檔
案。
掃描設定

參數

安全等級

描述

Kaspersky Endpoint Security 可以使⽤不同的設定群組來執⾏掃描。這些儲存在應⽤程139

式中的設定群組稱為“安全防護等級”：
⾼。Kaspersky Endpoint Security 將掃描所有類型的檔案。在掃描複合檔案時，應⽤程式同時將掃描郵件格式的檔案。
建議。Kaspersky Endpoint Security 將僅掃描電腦所有硬碟磁碟機、網路磁碟機和
卸除式儲存介質中的指定檔案格式，還有嵌入式 OLE 物件。應⽤程式不掃描壓縮套
件或安裝套件。
低。Kaspersky Endpoint Security 僅掃描電腦的所有硬碟磁碟機、卸除式磁碟機以及網路磁碟上擁有指定副檔名的新建檔案或已修改檔案。應⽤程式不掃描複合檔案。
您可以選擇某種預設的安全防護等級或⼿動配置安全性等級的設定。如果您改變了檔案
安全防護等級設定，仍可隨時還原到建議的檔案安全防護等級設定。
偵測到威脅
後的動作

解毒；若解毒失敗則刪除。如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感
染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
解毒；若解毒失敗則封鎖。如果選擇該選項，Kaspersky Endpoint Security 將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果無法進⾏解毒，Kaspersky Endpoint
Security 會將偵測到的受感染檔案的相關資訊新增到活動威脅清單。
通知。如果選擇此選項，Kaspersky Endpoint Security 會在偵測到受感染檔案時將這些檔案的相關資訊新增到活動威脅清單。
在嘗試解毒或刪除受感染的檔案之前，應⽤程式會建立該檔案的備份副本，以防您
需要還原該檔案或將來可以對其進⾏解毒。

在偵測到屬於 Windows Store 應⽤程式⼀部分的受感染檔案時，Kaspersky
Endpoint Security 將嘗試刪除檔案。

立即執⾏進
階解毒技術

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）

僅當在套⽤於電腦的政策的內容中啟⽤“進階解毒”功能後，才會在此電腦上執⾏病
毒掃描⼯作期間執⾏進階解毒。
如果選擇該核取⽅塊，Kaspersky Endpoint Security 會在執⾏病毒掃描⼯作期間偵測到活躍感染後立即解毒。活躍感染被解毒後，Kaspersky Endpoint Security 會不提⽰使⽤者即重新啟動電腦。
如果清空該核取⽅塊，則 Kaspersky Endpoint Security 不會在執⾏病毒掃描⼯作期間偵
測到活躍感染後立即解毒。卡巴斯基安全管理中⼼會在本機應⽤程式報告中和卡巴斯基
安全管理中⼼端產⽣活躍感染事件。當開啟進階解毒功能再次執⾏病毒掃描⼯作時，活躍感染會被解毒。按此⽅式，系統管理員可以選擇合適的時間執⾏進階解毒並隨後⾃動重新啟動電腦。

掃描範圍

Kaspersky Endpoint Security 在執⾏掃描⼯作時掃描的物件清單。掃描範圍內的物件可以包括內核記憶體、執⾏的處理程序、開機磁區、系統備份儲存、郵件資料庫、硬碟磁
碟機、卸除式磁碟機或網路磁碟、資料夾或檔案。

掃描排程⼿動。執⾏模式，您可以在⽅便時⼿動開始掃描。
依排程。在該掃描⼯作執⾏模式下，應⽤程式將按照您建立的排程啟動掃描⼯作。如果選擇該掃描⼯作執⾏模式，您也可以⼿動啟動掃描⼯作。

程式啟動後
延遲執⾏時
間 N 分鐘在應⽤程式啟動後延遲的掃描啟動。作業系統啟動時有許多處理程序在執⾏，因此延遲
執⾏掃描⼯作⽽不是在 Kaspersky Endpoint Security 啟動後立刻執⾏更有利。
140

執⾏略過的⼯作

如果選中此核取⽅塊，Kaspersky Endpoint Security 將在可能的情況下儘快啟動已略過的掃描⼯作。更新⼯作在某些情況下可能被略過，例如，電腦在排程的更新⼯作啟動時
關閉。如果清除此核取⽅塊，Kaspersky Endpoint Security 不會執⾏已略過的掃描⼯
作。它將按照⽬前排程執⾏下⼀次掃描⼯作。

僅在電腦空
閒時執⾏

電腦資源繁忙時，推遲掃描⼯作的啟動。如果電腦已鎖定或熒幕保護程式已開啟，Kaspersky Endpoint Security 會啟動掃描⼯作。如果您中斷了執⾏⼯作（例如，透過解
鎖電腦），Kaspersky Endpoint Security 會⾃動執⾏⼯作，從被中斷的地⽅繼續。

執⾏掃描為

預設情況下，掃描⼯作以您在作業系統中註冊了其權限的使⽤者的名稱執⾏。防護範圍
可能包括網路磁碟或其他需要特殊存取權限的物件。您可以在應⽤程式設定中指定⼀個擁有所需權限的使⽤者，然後使⽤此使⽤者帳⼾執⾏掃描⼯作。

檔案類型
Kaspersky Endpoint Security 將沒有副檔名的檔案視為可執⾏檔。應⽤程式總是掃
描可執⾏檔，⽽與所選的要掃描的檔案類型無關。
所有檔案如果啟⽤該設定，Kaspersky Endpoint Security 將毫無例外地掃描所有檔案
（所有格式和副檔名）。
按格式掃描檔案。如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。在掃描檔案以尋找惡意程式碼之前，系統將分析檔案的內部頭以確定檔案的格式（例如，.txt、.doc
或 .exe）。掃描還會查找具有特定副檔名的檔案。
按副檔名掃描檔案。如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。此時，系統將根據檔案的副檔名確定檔案格式。
預設情況下，Kaspersky Endpoint Security 根據其格式掃描檔案。根據副檔名掃描檔案
不太安全，因為惡意檔案可以有不在潛在感染清單上的副檔名（例如 .123）。
只掃描新增
及修改的檔
案

僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續時間。此模式適⽤於簡單檔案和複合檔案。

略過掃描超
過該時間的
物件 N 秒

這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。
這有助於縮短掃描的持續時間。

不要同時執
⾏多個掃描
⼯作

如果掃描已經在執⾏，延遲啟動掃描⼯作。如果⽬前掃描繼續，Kaspersky Endpoint
Security 將加入佇列新的掃描⼯作。這將有助於最佳化電腦負載。例如，讓我們假設應
⽤程式已根據排程啟動了⼀項完整掃描⼯作。如果使⽤者嘗試從應⽤程式介⾯啟動快速
掃描，Kaspersky Endpoint Security 將加入佇列該快速掃描⼯作，然後在完整掃描⼯作
結束後⾃動啟動該⼯作。
不過，即使以下掃描⼯作之⼀在執⾏，Kaspersky Endpoint Security 也會立即啟動掃描
⼯作：
連線時掃描卸除式磁碟機。
從內容功能表掃描。
偵測到洩露指⽰器 (IoC) 時啟動的關鍵區域掃描。
如果清除此核取⽅塊，Kaspersky Endpoint Security 可讓您同時執⾏多個掃描⼯作。執⾏多個掃描⼯作需要更多電腦資源。

掃描存檔

掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。應⽤程式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏巡迴解壓縮。這可讓⼈偵測多層封存（封存內的封存）內的威脅。

掃描分發套

該核取⽅塊⽤於啟⽤/停⽤對協⼒廠商分發套件的掃描。
141

件
掃描
Microsoft
O ice 格式的檔案

掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。
O ice 格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1 MB 的
o ice 格式檔案，無論該核取⽅塊是否被選中。

掃描電⼦郵
件格式

掃描電⼦郵件格式檔案和電⼦郵件資料庫。應⽤程式掃描 MS Outlook 和 Windows Mail
郵件⽤⼾端使⽤的 PST 和 OST 檔案以及 EML 檔案。
Kaspersky Endpoint Security 不⽀援 64 位元版本的 MS Outlook 電⼦郵件⽤⼾端。
這意味著如果電腦上安裝了 64 位元版本的 MS Outlook，則即使郵件包含在掃描範
圍內，Kaspersky Endpoint Security 也不掃描 MS Outlook 檔案（PST 和 OST 檔案）。
如果選取此⽅塊，Kaspersky Endpoint Security 將把郵件格式檔案的各個部分分解（標題、正文、附件）後掃描威脅。
如果清空此⽅塊，Kaspersky Endpoint Security 將把郵件格式的檔案作為⼀個單獨的檔
案掃描。

掃描受密碼
防護的存檔

如果選擇此⽅塊，應⽤程式將掃描密碼防護的存檔。在掃描存檔中的檔案前，系統將提
⽰您輸入密碼。
如果清空此⽅塊，應⽤程式將略過掃描密碼防護的存檔。

不解壓縮⼤
型複合檔案

如果選中該核取⽅塊，應⽤程式不會掃描其⼤⼩超過指定值的複合檔案。
如果清除該核取⽅塊，應⽤程式將掃描所有⼤⼩的複合檔案。
應⽤程式會掃描從存檔中提取的⼤檔案，⽽不管是否選中該核取⽅塊。

機器學習和
簽章分析

機器學習和簽章分析使⽤ Kaspersky Endpoint Security 資料庫，其中包含已知威脅的敘
述以及消除它們的⽅法。使⽤此⽅法的防護提供了可接受的最低安全等級。
根據 Kaspersky 專家的建議，機器學習和簽章分析始終啟⽤。

啟發式分析

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可以偵
測受未知病毒或已知病毒新變種感染的可疑檔案。
掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟發式分析器執
⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、
載入作業系統資源和啟發式分析持續時間之間進⾏平衡。

iSwift 技術

（僅在管理
主控台
（MMC）和

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將
檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈
⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔
案系統的 iChecker 技術的增強版。

Kaspersky
Endpoint
Security 介⾯

中可⽤）

iChecker 技
術

（僅在管理
主控台
（MMC）和

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將
檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈
⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限
制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。

Kaspersky
Endpoint
Security 介⾯

中可⽤）

142

掃描連線到電腦的卸除式磁碟
Kaspersky Endpoint Security 會掃描您執⾏或者複製的所有檔案，即使檔案位於卸除式磁碟機上（檔案威脅防護元件）。若要防⽌病毒和其它惡意軟體的傳播，您可以配置當卸除式磁碟機連線到電腦時對其⾃動掃描。
Kaspersky Endpoint Security 將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，Kaspersky
Endpoint Security 將刪除檔案。該元件透過執⾏實作機器學習、啟發式分析（⾼等級）和特征碼分析的掃描來保持電腦安全。Kaspersky Endpoint Security 還使⽤ iSwift 和 iChecker 掃描最佳化技術。這些技術總是開啟，無法停⽤。
如何在管理主控台 (MMC) 中配置執⾏卸除式磁碟機掃描

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“本機⼯作 → 卸除式磁碟機掃描”。
5. 在“連接到卸除式磁碟機的操作”下拉式清單中，選擇“詳細掃描”或者“快速掃描”。
6. 配置卸除式磁碟機掃描的進階選項（請參⾒下表）。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中配置執⾏卸除式磁碟機掃描

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”本機⼯作”→”卸除式磁碟機掃描”。
5. 在“連接到卸除式磁碟機的操作”下拉式清單中，選擇“詳細掃描”或者“快速掃描”。
6. 配置卸除式磁碟機掃描的進階選項（請參⾒下表）。
7. 儲存變更。
如何在應⽤程式介⾯中配置執⾏卸除式磁碟機掃描143

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
3. 使⽤“卸除式磁碟機掃描“開關可以啟⽤或停⽤在連線到電腦時對卸除式磁碟機執⾏掃描。
4. 配置卸除式磁碟機掃描的進階選項（請參⾒下表）。
5. 儲存變更。
因此，Kaspersky Endpoint Security 會對不⼤於指定最⼤的⼤⼩的卸除式磁碟機執⾏卸除式磁碟機掃描。
如果“卸除式磁碟機掃描”⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。
“卸除式磁碟機掃描”⼯作設定

參數

描述

連接到
卸除式
磁碟機
的操作

詳細掃描如果選擇該項⽬，當連線卸除式磁碟機時，Kaspersky Endpoint Security 會掃描卸除式
磁碟機上的所有檔案，包括巢狀於復合物件中的檔案、壓縮檔案、分發套件和 O ice 格式的檔案。Kaspersky Endpoint Security 不掃描郵件格式的檔案或者密碼防護的壓縮檔案。

卸除式
磁碟機
最⼤容
量

如果選中此核取⽅塊，Kaspersky Endpoint Security 對於⼤⼩不超過指定最⼤磁碟⼤⼩的卸除式
磁碟機，執⾏在“連接到卸除式磁碟機的操作”下拉清單中選取的動作。

顯⽰掃
描進度

如果選中此核取⽅塊，Kaspersky Endpoint Security 將在單獨的視窗和“⼯作”區域中顯⽰卸除式
磁碟機掃描進度。

快速掃描如果選取此選項，Kaspersky Endpoint Security 將在連線卸除式磁碟機後只掃描最容易
被感染的特定格式的檔案，並且不會解壓縮複合物件。

如果清空此核取⽅塊，Kaspersky Endpoint Security 對於任何⼤⼩的卸除式磁碟機，均執⾏在“連接到卸除式磁碟機的操作”下拉清單中選取的動作。

如果清除該核取⽅塊，Kaspersky Endpoint Security 將在背景啟動卸除式磁碟機掃描。
封鎖停
⽌掃描
⼯作

如果選擇了該核取⽅塊，則對於 Kaspersky Endpoint Security 的本機介⾯中的卸除式磁碟機掃描
⼯作，“⼯作”區域中的“停⽌”按鈕和卸除式磁碟機掃描視窗中的“停⽌”按鈕將不可使⽤。

背景掃描
背景掃描是 Kaspersky Endpoint Security 的⼀種掃描模式，不會向使⽤者顯⽰通知。背景掃描比其他類型的掃描（如完整掃描）需要更少的電腦資來源。在此模式下，Kaspersky Endpoint Security 掃描啟動物件、開啟磁區、
系統記憶體和系統磁碟分割。

為節省電腦資源，建議使⽤背景掃描⼯作⽽不是完整掃描⼯作。這不會影響電腦的安全等級。這些⼯作的掃描範
圍⼀樣。為了最佳化電腦負載，應⽤程式不會同時執⾏完整掃描⼯作和背景掃描⼯作。如果您已經執⾏了完整掃
描⼯作，在完整掃描⼯作完成後幾天 Kaspersky Endpoint Security 不會啟動背景掃描⼯作。
在以下情況下，啟動背景掃描：
病毒資料庫更新後。
Kaspersky Endpoint Security 啟動 30 分鐘後。
每六個⼩時⼀次。
144當電腦空閒五分鐘或更⻑時間（電腦被鎖定或熒幕保護程式開啟）時。
當滿⾜以下任⼀條件時，電腦空閒時進⾏的背景掃描會中斷：電腦進入活動模式。
如果背景掃描超過⼗天未執⾏，則掃描不會中斷。
電腦（筆記型電腦）轉換到電池模式。
執⾏背景掃描時，Kaspersky Endpoint Security 不掃描其內容位於 OneDrive 雲端儲存中的檔案。
如何在管理主控台 (MMC) 中啟⽤背景掃描

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“本機⼯作 → 背景掃描”。
5. 使⽤“啟⽤背景掃描”核取⽅塊可啟⽤或停⽤背景掃描。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤背景掃描

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”本機⼯作”→”背景掃描”。
5. 使⽤“啟⽤背景掃描”核取⽅塊可啟⽤或停⽤背景掃描。
6. 儲存變更。
如何在應⽤程式介⾯中啟⽤背景掃描145

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
3. 使⽤背景掃描開關可啟⽤或停⽤背景掃描。
4. 儲存變更。
如果“背景掃描”未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。

從內容功能表掃描
Kaspersky Endpoint Security 允許您從內容功能表執⾏單個檔案掃描來尋找病毒和其他惡意軟體（請參⾒下圖）。
從内容功能表執⾏掃描時，Kaspersky Endpoint Security 不掃描其內容位於 OneDrive 雲端儲存中的檔案。

從內容功能表掃描

如何在管理主控台 (MMC) 中配置從內容功能表掃描

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“本機⼯作 → 從內容功能表掃描”。
5. 配置從內容功能表掃描（請參⾒下表）。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中配置從內容功能表掃描146

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”本機⼯作”→”從內容功能表掃描”。
5. 配置從內容功能表掃描（請參⾒下表）。
6. 儲存變更。
如何在應⽤程式介⾯中配置從內容功能表掃描

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
3. 配置從內容功能表掃描（請參⾒下表）。
4. 儲存變更。
如果“從內容功能表掃描”⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。
“從內容功能表掃描”⼯作設定

參數

描述

安全等級

Kaspersky Endpoint Security 可以使⽤不同的設定群組來執⾏掃描。這些儲存在應⽤程式中的
設定群組稱為“安全防護等級”：
⾼。Kaspersky Endpoint Security 將掃描所有類型的檔案。在掃描複合檔案時，應⽤程式
同時將掃描郵件格式的檔案。
建議。Kaspersky Endpoint Security 將僅掃描電腦所有硬碟磁碟機、網路磁碟機和卸除式
儲存介質中的指定檔案格式，還有嵌入式 OLE 物件。應⽤程式不掃描壓縮套件或安裝套件。
低。Kaspersky Endpoint Security 僅掃描電腦的所有硬碟磁碟機、卸除式磁碟機以及網路
磁碟上擁有指定副檔名的新建檔案或已修改檔案。應⽤程式不掃描複合檔案。

偵測到威
脅後的動
作

解毒；若解毒失敗則刪除。如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
解毒；若解毒失敗則封鎖。如果選擇該選項，Kaspersky Endpoint Security 將⾃動對已經偵測
到的所有受感染的檔案執⾏解毒操作。如果無法進⾏解毒，Kaspersky Endpoint Security 會將
偵測到的受感染檔案的相關資訊新增到活動威脅清單。
通知。如果選擇此選項，Kaspersky Endpoint Security 會在偵測到受感染檔案時將這些檔案的相關資訊新增到活動威脅清單。

檔案類型
Kaspersky Endpoint Security 將沒有副檔名的檔案視為可執⾏檔。應⽤程式總是掃描可執147

⾏檔，⽽與所選的要掃描的檔案類型無關。
所有檔案。如果啟⽤該設定，Kaspersky Endpoint Security 將毫無例外地掃描所有檔案（所有
格式和副檔名）。
按格式掃描檔案。如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。在掃描檔案以尋找惡
意程式碼之前，系統將分析檔案的內部頭以確定檔案的格式（例如，.txt、.doc 或 .exe）。掃
描還會查找具有特定副檔名的檔案。
按副檔名掃描檔案。如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。此時，系統將根據檔案的副檔名確定檔案格式。
預設情況下，Kaspersky Endpoint Security 根據其格式掃描檔案。根據副檔名掃描檔案不太安
全，因為惡意檔案可以有不在潛在感染清單上的副檔名（例如 .123）。
只掃描新
增及修改
的檔案

僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續時間。此模式適⽤於簡單檔案和複合檔案。

略過掃描
超過該時
間的物件
N秒

這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。

掃描存檔

掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。應⽤程式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏巡迴解壓縮。這可讓
⼈偵測多層封存（封存內的封存）內的威脅。

掃描分發
套件

此⽅塊將啟⽤或停⽤對分發套件的掃描。

掃描
Microsoft
O ice 格式的檔案

掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。O ice
格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1 MB 的 o ice 格式檔案，
無論該核取⽅塊是否被選中。

掃描電⼦
郵件格式

掃描電⼦郵件格式檔案和電⼦郵件資料庫。應⽤程式掃描 MS Outlook 和 Windows Mail 郵件⽤
⼾端使⽤的 PST 和 OST 檔案以及 EML 檔案。
Kaspersky Endpoint Security 不⽀援 64 位元版本的 MS Outlook 電⼦郵件⽤⼾端。這意味著如果電腦上安裝了 64 位元版本的 MS Outlook，則即使郵件包含在掃描範圍內，
Kaspersky Endpoint Security 也不掃描 MS Outlook 檔案（PST 和 OST 檔案）。
如果選取此⽅塊，Kaspersky Endpoint Security 將把郵件格式檔案的各個部分分解（標題、正文、附件）後掃描威脅。
如果清空此⽅塊，Kaspersky Endpoint Security 將把郵件格式的檔案作為⼀個單獨的檔案掃
描。

掃描受密
碼防護的
存檔

如果選擇此⽅塊，應⽤程式將掃描密碼防護的存檔。在掃描存檔中的檔案前，系統將提⽰您
輸入密碼。

不解壓縮
⼤型複合
檔案

如果選中該核取⽅塊，應⽤程式不會掃描其⼤⼩超過指定值的複合檔案。

機器學習
和簽章分
析

機器學習和簽章分析使⽤ Kaspersky Endpoint Security 資料庫，其中包含已知威脅的敘述以及消除它們的⽅法。使⽤此⽅法的防護提供了可接受的最低安全等級。

如果清空此⽅塊，應⽤程式將略過掃描密碼防護的存檔。
如果清除該核取⽅塊，應⽤程式將掃描所有⼤⼩的複合檔案。
應⽤程式會掃描從存檔中提取的⼤檔案，⽽不管是否選中該核取⽅塊。

根據 Kaspersky 專家的建議，機器學習和簽章分析始終啟⽤。
148

啟發式分
析

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可以偵測受未
知病毒或已知病毒新變種感染的可疑檔案。
掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟發式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業
系統資源和啟發式分析持續時間之間進⾏平衡。

iSwift 技
術

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案
排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案
的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系統的 iChecker
技術的增強版。

iChecker
技術

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案
排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案
的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。

應⽤程式完整性控制
Kaspersky Endpoint Security 將檢查程式的模組是否損壞或者被修改，例如，如果套⽤庫的數位簽章錯誤，則該庫被視為損壞。“完整性檢查”⼯作⽤於檢查應⽤程式檔案。如果 Kaspersky Endpoint Security 偵測到惡意物件但未清除它，請執⾏“完整性檢查⼯作。
您可以在卡巴斯基安全管理中⼼網⾴主控台和管理主控台中建立“完整性檢查”⼯作。無法在卡巴斯基安全管
理中⼼雲端主控台中建立⼯作。
在以下情況下，應⽤程式完整性可能會被破壞：
惡意物件修改了 Kaspersky Endpoint Security 的檔案。在這種情況下，使⽤作業系統的⼯具執⾏還原
Kaspersky Endpoint Security 的步驟。還原後，執⾏電腦完整掃描並重複完整性檢查。
數位簽章已過期。在這種情況下，請更新 Kaspersky Endpoint Security。
如何透過管理主控台 (MMC) 執⾏應⽤程式完整性檢查

149

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“完整性檢查”。

步驟 2. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 3. 設定⼯作啟動排程設定⼯作啟動排程，例如，⼿動或當偵測到病毒爆發時。

步驟 4. 定義⼯作名稱
輸入⼯作的名稱，例如“在電腦感染後執⾏完整性檢查”。

步驟 5. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。結果，Kaspersky Endpoint Security 將檢查應⽤程式的完整性。您還可以在⼯作內容中配置應⽤程式完整性檢查排程（請參⾒下表）。
如何透過網⾴主控台執⾏應⽤程式完整性檢查

150

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“完整性檢查”。
c. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“在電腦感染後檢查應⽤程式的完整性”。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。前往下⼀步。
5. 結束精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
6. 選中該⼯作旁邊的核取⽅塊。
結果，Kaspersky Endpoint Security 將檢查應⽤程式的完整性。您還可以在⼯作內容中配置應⽤程式完整性檢查排程（請參⾒下表）。
如何在應⽤程式介⾯中執⾏完整性檢查

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 這將開啟⼯作清單；選擇“完整性檢查”⼯作，然後點擊“執⾏”。
結果，Kaspersky Endpoint Security 將檢查應⽤程式的完整性。您還可以在⼯作內容中配置應⽤程式完整性檢查排程（請參⾒下表）。如果“完整性檢查”未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。
完整性檢查⼯作設定

參數

描述

掃描
排程

⼿動執⾏模式，您可以在⽅便時⼿動開始掃描。

執⾏
略過
的⼯
作

如果選中此核取⽅塊，Kaspersky Endpoint Security 將在可能的情況下儘快啟動已略過的掃描⼯
作。更新⼯作在某些情況下可能被略過，例如，電腦在排程的更新⼯作啟動時關閉。如果清除此核
取⽅塊，Kaspersky Endpoint Security 不會執⾏已略過的掃描⼯作。它將按照⽬前排程執⾏下⼀次
掃描⼯作。

僅在
電腦
空閒
時執
⾏

電腦資源繁忙時，推遲掃描⼯作的啟動。如果電腦已鎖定或熒幕保護程式已開啟，Kaspersky
Endpoint Security 會啟動掃描⼯作。如果您中斷了執⾏⼯作（例如，透過解鎖電腦），Kaspersky
Endpoint Security 會⾃動執⾏⼯作，從被中斷的地⽅繼續。

依排程在該掃描⼯作執⾏模式下，應⽤程式將按照您建立的排程啟動掃描⼯作。如果選擇該掃描⼯
作執⾏模式，您也可以⼿動啟動掃描⼯作。

151編輯掃描範圍“掃描範圍”是⼀個 Kaspersky Endpoint Security 執⾏⼯作時掃描的資料夾和路徑的路徑清單。Kaspersky Endpoint
Security 輸入遮罩時⽀援環境變量以及*和?字元。
若要編輯掃描範圍，我們建議使⽤“⾃訂掃描”⼯作。卡巴斯基專家建議不要變更“完整掃描”和“關鍵區域掃描”
⼯作的掃描範圍。
Kaspersky Endpoint Security 有以下預定義物件屬於掃描範圍：我的電⼦郵件與 Outlook 郵件⽤⼾端相關的檔案：資料檔案 (PST)，離線資料檔案 (OST)。
系統記憶體
啟動物件
處理程序和系統啟動時執⾏的應⽤程式可執⾏檔所佔⽤的記憶體。
磁碟開機磁區
硬碟和卸除式磁碟開機磁區。
系統備份
“系統磁碟區內容資訊”資料夾。
所有外部裝置所有硬碟磁碟機
所有網路磁碟機
我們建議建立單獨的掃描⼯作來掃描網路磁碟機或共⽤資料夾。在惡意軟體掃描⼯作的設定中，指定對
此磁碟機具有寫入權限的使⽤者；這對於減輕偵測到的威脅很有必要。如果網路磁碟機所在的伺服器有
⾃⼰的安全⼯具，請不要對該磁碟機執⾏掃描⼯作。這樣就可以避免兩次檢查物件，提⾼伺服器的效能。
要從掃描範圍中排除資料夾或檔案，請將資料夾或者檔案新增⾄受信任區域。
如何在管理主控台 (MMC) 中編輯掃描排除項⽬

152

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
3. 選擇掃描⼯作並雙擊以開啟⼯作內容。
需要的話建立 惡意軟體掃描 ⼯作。
4. 在⼯作內容視窗中，選取“設定”區域。
5. 在“掃描範圍”區域中點擊“設定”。
6. 在開啟的視窗中，選擇要新增到掃描範圍或從中排除的物件。
7. 如果您希望將新物件新增⾄掃描範圍：a. 單擊“新增”。
b. 在“物件”欄位中，輸入資料夾或者檔案路徑。
使⽤遮罩：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾
中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT
副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所
有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在檔案或者資料夾路徑的任何地⽅使⽤遮罩。例如，如果您想要掃描範圍包括電腦上的所有使
⽤者帳⼾的“下載”資料夾，請輸入 C:\Users\*\Downloads\ 遮罩。
您可以從掃描中排除物件，⽽無需將其從掃描範圍內的物件清單中刪除。為此，請清除物件旁邊的核取⽅塊。
8. 儲存變更。
如何在網⾴主控台和雲端主控台中編輯掃描範圍

153

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊掃描⼯作。
⼯作內容視窗將開啟。需要的話建立 惡意軟體掃描 ⼯作。
3. 選取“應⽤程式設定”標籤。
4. 在“掃描範圍”中，選擇要新增到掃描範圍或從中排除的物件。
5. 如果您希望將新物件新增⾄掃描範圍：a. 點擊“新增”按鈕。
b. 在“路徑”欄位中，輸入資料夾或者檔案路徑。
使⽤遮罩：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾
中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT
副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所
有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在檔案或者資料夾路徑的任何地⽅使⽤遮罩。例如，如果您想要掃描範圍包括電腦上的所有使
⽤者帳⼾的“下載”資料夾，請輸入 C:\Users\*\Downloads\ 遮罩。
您可以從掃描中排除物件，⽽無需將其從掃描範圍內的物件清單中刪除。為此，將它旁邊的切換開關設
為關閉位置。
6. 儲存變更。
如何在應⽤程式介⾯中編輯掃描範圍

154

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 這將開啟⼯作清單；選擇⾃訂掃描⼯作，然後點擊選擇。

您也可以編輯其它⼯作的掃描範圍。卡巴斯基專家建議不要變更“完整掃描”和“關鍵區域掃描”⼯作的掃描
範圍。

3. 在開啟的視窗中，選擇要新增到掃描範圍的物件。
4. 儲存變更。
如果掃描⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。

執⾏排程的掃描
完整掃描電腦會花費⼀些時間和電腦的資源。您應該選擇最佳時間來執⾏電腦掃描，以避免負⾯影響其它軟體的效能。Kaspersky Endpoint Security 可讓您設定正常的電腦掃描排程。如果您所在的組織有⼯作排程的話，這會很⽅便。您可以設定在晚上或者週末執⾏電腦掃描。如果由於任何原因無法執⾏掃描⼯作（例如，當時電腦處於關機狀態），則可以設定錯過的⼯作，使其在電腦可⽤時儘快⾃動執⾏。
如果不可能設定最佳掃描排程，Kaspersky Endpoint Security 可讓您在滿⾜以下特殊情況時執⾏電腦掃描：在資料庫更新後。
Kaspersky Endpoint Security 可⽤更新的簽章資料庫執⾏電腦掃描。
在應⽤程式啟動後。
Kaspersky Endpoint Security 可在應⽤程式啟動經過指定時間時執⾏電腦掃描。作業系統啟動時有許多處理程
序在執⾏，因此延遲執⾏掃描⼯作⽽不是在 Kaspersky Endpoint Security 啟動後立刻執⾏更有利。
網路喚醒。
即使電腦關閉，Kaspersky Endpoint Security 也可以根據排程執⾏電腦掃描。為此，應⽤程式會使⽤作業系統
的“網路喚醒”功能。“網路喚醒”功能允許透過區域網路遠端傳送特殊信號來開機電腦。要使⽤此功能，您必須
在 BIOS 設定中啟⽤“網路喚醒”。
您只能在卡巴斯基安全管理中⼼中為“惡意軟體掃描”⼯作設定使⽤“網路喚醒”執⾏掃描。您不能在應⽤程式介⾯中啟⽤“網路喚醒”進⾏電腦掃描。
在電腦空閒時
當熒幕保護程式處於活躍狀態或者熒幕被鎖定時，Kaspersky Endpoint Security 會根據排程執⾏電腦掃描。如果使⽤者解鎖了電腦，Kaspersky Endpoint Security 會暫停掃描。這意味著應⽤程式可能需要花好幾天來完成
⼀次完整的電腦掃描。
如何在管理主控台 (MMC) 中設定掃描排程155

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
3. 選擇掃描⼯作並雙擊以開啟⼯作內容。
需要的話建立 惡意軟體掃描 ⼯作。
4. 在⼯作內容視窗中，選取“排程”區域。
5. 設定掃描⼯作排程。
6. 根據選定的頻率，配置指定⼯作執⾏排程的進階設定（請⾒下表）。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中配置掃描排程

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊掃描⼯作。
⼯作內容視窗將開啟。
3. 選取“排程”標籤。
4. 設定掃描⼯作排程。
5. 根據選定的頻率，配置指定⼯作執⾏排程的進階設定（請⾒下表）。
6. 儲存變更。
如何在應⽤程式介⾯中設定掃描排程156

僅當政策沒有套⽤到電腦時，您才可以設定掃描排程。對於政策下的電腦，您可以在卡巴斯基安全管理
中⼼中設定“惡意軟體掃描”⼯作。
1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
您可以設定執⾏完整掃描、關鍵區域掃描、或者完整性檢查的排程。您只能⼿動執⾏“⾃訂掃描”。
3. 單擊“掃描排程”。
4. 在開啟的視窗中，設定掃描⼯作執⾏排程。
5. 根據選定的頻率，配置指定⼯作執⾏排程的進階設定（請⾒下表）。
6. 儲存變更。
掃描排程設定

參數

描述

掃描排程

⼿動執⾏模式，您可以在⽅便時⼿動開始掃描。
依排程在該掃描⼯作執⾏模式下，應⽤程式將按照您建立的排程啟動掃描⼯作。如果選擇該
掃描⼯作執⾏模式，您也可以⼿動啟動掃描⼯作。

程式啟動後
延遲執⾏時
間 N 分鐘在應⽤程式啟動後延遲的掃描啟動。作業系統啟動時有許多處理程序在執⾏，因此延遲執⾏
掃描⼯作⽽不是在 Kaspersky Endpoint Security 啟動後立刻執⾏更有利。

執⾏略過的
⼯作

如果選中此核取⽅塊，Kaspersky Endpoint Security 將在可能的情況下儘快啟動已略過的掃描⼯作。更新⼯作在某些情況下可能被略過，例如，電腦在排程的更新⼯作啟動時關閉。如果清除此核取⽅塊，Kaspersky Endpoint Security 不會執⾏已略過的掃描⼯作。它將按照⽬
前排程執⾏下⼀次掃描⼯作。

僅在電腦空
閒時執⾏

電腦資源繁忙時，推遲掃描⼯作的啟動。如果電腦已鎖定或熒幕保護程式已開啟，Kaspersky Endpoint Security 會啟動掃描⼯作。如果您中斷了執⾏⼯作（例如，透過解鎖電腦），Kaspersky Endpoint Security 會⾃動執⾏⼯作，從被中斷的地⽅繼續。

使⽤⼯作啟
動⾃動隨機
延遲

如果選擇該核取⽅塊，則⼯作不會嚴格按照排程執⾏，⽽是在某個間隔內隨機執⾏，即⼯作
的開始時間分散開。隨機開始時間有助於避免當⼯作按照排程執⾏時，⼤量電腦同時存取管
理伺服器。

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）

隨機開始時間的範圍在建立⼯作時⾃動計算，取決於分配了⼯作的電腦數量。隨後，⼯作會始終在計算的開始時間執⾏。不過，只要⼯作設定被修改或者⼿動執⾏⼯作，計算的開始時
間就會變更。
如果清除該核取⽅塊，則⼯作會準確在排程的時間執⾏。

如果⼯作執
⾏時間超過
N（分
鐘），則停
⽌⼯作

限制⼯作執⾏時間 超出指定時間後，Kaspersky Endpoint Security 將停⽌⼯作。⼯作未標記
為已完成。下次 Kaspersky Endpoint Security 執⾏該⼯作時，它將從頭開始按排程執⾏。
例如，為了減少⼯作執⾏時間，您可以配置掃描範圍或者最佳化掃描。

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）
157

啟動⼯作前
透過網路喚
醒啟動裝置
（分）

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）

如果選擇此核取⽅塊，則電腦的作業系統會被給與指定的前置重疊時間以在執⾏⼯作前完成
啟動。預設前置重疊時間為 5 分鐘。
如果您希望在包括關機電腦在內的所有電腦上執⾏⼯作，請選擇此核取⽅塊。

作為不同使⽤者執⾏掃描
預設情況下，掃描⼯作以您在作業系統中註冊了其權限的使⽤者的名稱執⾏。防護範圍可能包括網路磁碟或其他需要特殊存取權限的物件。您可以在應⽤程式設定中指定⼀個擁有所需權限的使⽤者，然後使⽤此使⽤者帳⼾執
⾏掃描⼯作。
您可以作為不同使⽤者執⾏以下掃描：關鍵區域掃描。
完整掃描。
⾃訂掃描。
從內容功能表掃描。
您無法設定執⾏“卸除式磁碟機掃描”、“背景掃描”、或者“完整性檢查”的使⽤者權限。
如何在管理主控台 (MMC) 中作為不同使⽤者執⾏掃描

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，開啟相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選取“⼯作”標籤。
4. 選擇掃描⼯作並雙擊以開啟⼯作內容。
5. 在⼯作內容視窗中，選取“帳⼾”區域。
6. 輸入您希望⽤其權限執⾏掃描⼯作的使⽤者的帳⼾認證。
7. 儲存變更。
如何在 Web 主控台或雲端主控台中作為不同使⽤者執⾏掃描158

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊掃描⼯作。
⼯作內容視窗將開啟。
3. 選取“設定”標籤。
4. 在“帳⼾”塊中，點擊“設定”。
5. 輸入您希望⽤其權限執⾏掃描⼯作的使⽤者的帳⼾認證。
6. 儲存變更。
如何在應⽤程式介⾯中作為不同使⽤者執⾏掃描

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
3. 在⼯作內容中，選擇“進階設定“ → ”執⾏掃描為”。
4. 在開啟的視窗中，輸入您希望⽤其權限執⾏掃描⼯作的使⽤者的帳⼾認證。
5. 儲存變更。
如果掃描⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。

掃描最佳化
您可以最佳化檔案掃描：縮短掃描時間並提⾼ Kaspersky Endpoint Security 的執⾏速度。這可以透過僅掃描新檔
案和上次掃描後經過修改的檔案來實現。此模式適⽤於簡單檔案和複合檔案。您還可以設定單個檔案的掃描限制。當指定的時間間隔到期時，Kaspersky Endpoint Security 將從⽬前掃描中排除該檔案（除包含多個檔案的存檔和物件之外）。
隱藏病毒和其他惡意程式的⼀種常⽤⽅法就是將其植入複合檔案中，例如存檔案或資料庫中。為了偵測以這種⽅式隱藏的病毒和其他惡意軟體，必須將複合檔案解壓縮，但是這可能會降低掃描速度。您可以限制要掃描的複合檔案類型，從⽽加快掃描速度。
您也可以啟⽤ iChecker 和 iSwift 技術。iChecker 和 iSwift 技術可以透過排除上次掃描後未修改的檔案來最佳化檔
案掃描速度。
如何在管理主控台 (MMC) 中最佳化掃描159

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
3. 選擇掃描⼯作並雙擊以開啟⼯作內容。
需要的話建立 惡意軟體掃描 ⼯作。
4. 在⼯作內容視窗中，選取“設定”區域。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
這將開啟掃描⼯作設定視窗。
6. 在“掃描最佳化“塊中，配置掃描設定：
只掃描新增及修改的檔案僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續
時間。此模式適⽤於簡單檔案和複合檔案。
您也可以設定依類型掃描新檔案。例如，您可以掃描所有分發套件和只掃描新壓縮檔案和 O ice 格式
的檔案。
略過掃描時間超過以下值的檔案 N 秒。這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。
不要同時執⾏多個掃描⼯作如果掃描已經在執⾏，延遲啟動掃描⼯作。如果⽬前掃描繼續，Kaspersky
Endpoint Security 將加入佇列新的掃描⼯作。這將有助於最佳化電腦負載。例如，讓我們假設應⽤程式已根據排程啟動了⼀項完整掃描⼯作。如果使⽤者嘗試從應⽤程式介⾯啟動快速掃描，Kaspersky
Endpoint Security 將加入佇列該快速掃描⼯作，然後在完整掃描⼯作結束後⾃動啟動該⼯作。
7. 單擊“附加”。
這會開啟複合檔案掃描設定視窗。
8. 在“容量限制“塊中，選中“複合檔案⼤於指定值時不解壓縮”核取⽅塊。這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。
無論是否選中“複合檔案⼤於指定值時不解壓縮”核取⽅塊，Kaspersky Endpoint Security 均會掃描從
存檔中提取的⼤型檔案。
9. 單擊“確定”。
10. 選取“其它”標籤。
11. 在“掃描技術”塊中，選取您要在掃描期間使⽤的技術名稱旁邊的核取⽅塊。
iSwift 技術該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔
案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上
次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系統的 iChecker 技術的增強版。
iChecker 技術該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將
檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的
上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和.rar)。
160

12. 儲存變更。
如何在網⾴主控台和 Cloud Console 中最佳化掃描

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊掃描⼯作。
⼯作內容視窗將開啟。需要的話建立 惡意軟體掃描 ⼯作。
3. 選取“應⽤程式設定”標籤。
4. 在“偵測到威脅後的動作“塊中，選中“只掃描新增及修改的檔案”核取⽅塊。僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續時間。此模式適⽤於簡單檔案和複合檔案。
您也可以設定依類型掃描新檔案。例如，您可以掃描所有分發套件和只掃描新壓縮檔案和 O ice 格式的檔案。
5. 在“掃描最佳化“塊中，選中“複合檔案⼤於指定值時不解壓縮”核取⽅塊。這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。
無論是否選中“複合檔案⼤於指定值時不解壓縮”核取⽅塊，Kaspersky Endpoint Security 均會掃描從
存檔中提取的⼤型檔案。
6. 選擇“不要同時執⾏多個掃描⼯作”核取⽅塊。如果掃描已經在執⾏，延遲啟動掃描⼯作。如果⽬前掃描繼續，Kaspersky Endpoint Security 將加入佇列新的掃描⼯作。這將有助於最佳化電腦負載。例如，讓我們假設應⽤程式已根據排程啟動了⼀項完整掃描⼯作。如果使⽤者嘗試從應⽤程式介⾯啟動快速掃描，
Kaspersky Endpoint Security 將加入佇列該快速掃描⼯作，然後在完整掃描⼯作結束後⾃動啟動該⼯作。
7. 在“進階設定”塊中，選擇“略過掃描時間超過以下值的檔案 N 秒的檔案”核取⽅塊。這會設定⽤來掃描單個
物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。
8. 儲存變更。
如何在應⽤程式介⾯中最佳化掃描161

1. 在應⽤程式主視窗中，轉⾄“⼯作”區域。
2. 在⼯作清單中，選擇掃描⼯作，然後點擊 。
3. 單擊“進階設定”。
4. 在“掃描最佳化“塊中，配置掃描設定：
只掃描新增及修改的檔案僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續
時間。此模式適⽤於簡單檔案和複合檔案。
您也可以設定依類型掃描新檔案。例如，您可以掃描所有分發套件和只掃描新壓縮檔案和 O ice 格式的檔案。
略過掃描超過該時間的物件 N 秒。這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。
不要同時執⾏多個掃描⼯作如果掃描已經在執⾏，延遲啟動掃描⼯作。如果⽬前掃描繼續，Kaspersky
Endpoint Security 將加入佇列新的掃描⼯作。這將有助於最佳化電腦負載。例如，讓我們假設應⽤程式已根據排程啟動了⼀項完整掃描⼯作。如果使⽤者嘗試從應⽤程式介⾯啟動快速掃描，Kaspersky
Endpoint Security 將加入佇列該快速掃描⼯作，然後在完整掃描⼯作結束後⾃動啟動該⼯作。
5. 在“⼤⼩限制“塊中，選中“不解壓縮⼤型複合檔案”核取⽅塊。這會設定⽤來掃描單個物件的時間限制。超出指定時間後，應⽤程式將停⽌掃描檔案。這有助於縮短掃描的持續時間。
無論是否選中“不解壓縮⼤型複合檔案”核取⽅塊，Kaspersky Endpoint Security 均會掃描從存檔中提取的⼤型檔案。
6. 在“掃描技術”塊中，選取您要在掃描期間使⽤的技術名稱旁邊的核取⽅塊。
iSwift 技術該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔
案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上
次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系統的 iChecker 技術的增強版。
iChecker 技術該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將
檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的
上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和.rar)。
7. 儲存變更。
如果掃描⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。

162

更新資料庫和程式模組
更新 Kaspersky Endpoint Security 的資料庫和程式模組可為您的電腦提供最新防護。新病毒和其他類型的惡意程
式每天都在全世界出現。Kaspersky Endpoint Security 資料庫包含關於威脅的資訊和解毒的⽅法。要快速侦测到威脅，建議您定期更新資料庫和應⽤程式模組。
定期更新需要⼀份程式要使⽤的活動授權檔案。如果⽬前沒有產品授權，您將只能執⾏⼀次更新。
您的電腦必須連線到網際網路才能成功下載來⾃卡巴斯基更新伺服器的更新資料。預設情況下，系統將⾃動確定
網際網路連線設定。如果您使⽤代理伺服器，則需要設定代理伺服器設定。
透過 HTTPS 協定下載更新。當無法透過 HTTPS 協定下載更新時，也可以透過 HTTP 協定下載。
當執⾏更新時，以下物件將下載並安裝到您的電腦中：
Kaspersky Endpoint Security 資料庫。由於資料庫包含了威脅簽章和關於如何刪除威脅的資訊，電腦因此⽽獲得防護。當搜尋並為受感染檔案解毒時，防護元件將使⽤此資訊。資料庫將不斷更新應對它們的⽅法和新威脅記錄。因此，我們建議您定期更新資料庫。
除了 Kaspersky Endpoint Security 資料庫之外，系統也會更新已啟⽤程式元件以攔截網路流量的網路驅動程
式。
程式模組。除了 Kaspersky Endpoint Security 資料庫，您也可以更新程式模組。更新程式模組可以修復Kaspersky Endpoint Security 中的弱點、新增新功能或強化現有功能。
更新時，您的電腦上的程式模組和資料庫將與最新版本更新來源進⾏對比。如果您⽬前資料庫和程式模組與對應的最新版本不同，缺少的更新部分將安裝在您的電腦上。
如果資料庫過期，更新量可能會很⼤，這可能會花費更多的網際網路流量（最多達幾⼗ MB）。
Kaspersky Endpoint Security 資料庫的⽬前狀態相關資訊顯⽰在應⽤程式主視窗中，或者通知區域中當您將游標
懸浮在應⽤程式圖⽰上看到的⼯具提⽰中。
有關更新⼯作執⾏期間更新結果和所有發⽣事件的資訊將記錄在 Kaspersky Endpoint Security 報告中。

資料庫和應⽤程式模組更新⽅案
更新 Kaspersky Endpoint Security 的資料庫和程式模組可為您的電腦提供最新防護。新病毒和其他類型的惡意程
式每天都在全世界出現。Kaspersky Endpoint Security 資料庫包含關於威脅的資訊和解毒的⽅法。要快速侦测到威脅，建議您定期更新資料庫和應⽤程式模組。
以下物件在使⽤者的電腦上更新：
病毒資料庫。病毒資料庫包括惡意軟體簽章資料庫、網路攻擊敘述、惡意和釣⿂網址資料庫、廣告欄資料
庫、垃圾郵件資料庫以及其他資料。
程式模組。模組更新旨在消除應⽤程式中的弱點和改進電腦防護⽅法。模組更新可能變更應⽤程式元件的⾏
為和新增新功能。
Kaspersky Endpoint Security ⽀援下列資料庫和應⽤程式模組更新⽅案：
163

從 Kaspersky 伺服器更新。
卡巴斯基更新伺服器位於全球多個國家。這可確保更新的⾼可靠性。如果無法從⼀台伺服器執⾏更新，
Kaspersky Endpoint Security 會切換到下⼀台伺服器。

從 Kaspersky 伺服器更新

集中更新。
集中更新可減少外部網際網路流量，並提供⽅便的更新監控。
集中更新套件括以下步驟：1. 將更新套件下載到組織網路內的儲存區。
更新套件由名為“將更新下載到管理伺服器儲存區”的管理伺服器⼯作下載到儲存區。
2. 將更新套件下載到共⽤資料夾（可選）。
您可以使⽤以下⽅法將更新套件下載到共⽤資料夾：使⽤ Kaspersky Endpoint Security 的“更新”⼯作。該⼯作⽤於公司區域網路中的⼀台電腦。
使⽤ Kaspersky 更新實⽤程式。有關使⽤ Kaspersky 更新實⽤程式的詳細資訊，請參閱 卡巴斯基知識庫 。
3. 將更新套件分發到⽤⼾端電腦。
更新套件由 Kaspersky Endpoint Security 的“更新”⼯作分發到⽤⼾端電腦。您可以為每個管理群組建立無限數量的更新⼯作。

從伺服器儲存區更新從共⽤資料夾更新

164

使⽤ Kaspersky 更新實⽤程式更新

對於卡巴斯基安全管理中⼼，預設更新來源清單包含卡巴斯基安全管理中⼼管理伺服器和卡巴斯基更新伺服器。
對於卡巴斯基安全管理中⼼雲端主控台，預設更新來源清單包含發佈點和卡巴斯基更新伺服器。有關發佈點的詳
細資訊，請參閱卡巴斯基安全管理中⼼雲端主控台說明 。您可以在清單中新增其他更新來源。您可以指定
HTTP/FTP 伺服器和共⽤資料夾作為更新來源。如果無法從⼀個更新來源執⾏更新，Kaspersky Endpoint Security
會轉換到下⼀個更新來源。
更新透過標準網路通訊協定從卡巴斯基更新伺服器或其他 FTP 或 HTTP 伺服器下載。如果存取更新來源需要連線
代理伺服器，則在 Kaspersky Endpoint Security 政策設定中指定代理伺服器設定。

從伺服器儲存區更新為了節省網際網路流量，您可以配置組織的 LAN 中的電腦從伺服器儲存區更新資料庫和應⽤程式模組。為此，卡巴斯基安全管理中⼼必須將更新套件從卡巴斯基更新伺服器下載到儲存區（FTP 或 HTTP 伺服器、網路或本機
資料夾）。組織的 LAN 中的其他電腦將能夠從伺服器儲存區接收更新套件。
配置從伺服器儲存區更新資料庫和應⽤程式模組包括以下步驟：1. 配置將更新套件下載到管理伺服器儲存區（“將更新下載到管理伺服器儲存區”⼯作）。

將更新下載⾄管理伺服器儲存區⼯作將由管理伺服器快速啟動精靈⾃動建立，該⼯作只能有⼀個實例。預設

情況下，卡巴斯基安全管理中⼼將更新套件複製到資料夾 \\<server name>\KLSHARE\Updates。有關下載
更新到管理伺服器儲存區的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
2. 配置組織的 LAN 中的其餘電腦從指定伺服器儲存區更新資料庫和應⽤程式模組（“更新”⼯作）。
如何在管理主控台 (MMC) 中配置指定伺服器儲存中的 Kaspersky Endpoint Security 更新

165

1. 開啟卡巴斯基安全管理中⼼管理主控台。
在主控台樹狀⽬錄中，選擇 “⼯作”。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
3. 在⼯作內容視窗中，選取“設定”區域。

更新⼯作設定4. 在”本機模式更新設定”塊中，點擊”設定”按鈕。
5. 在更新來源清單中，確保啟⽤來⾃卡巴斯基安全管理中⼼來源的更新。此外，卡巴斯基安全管理中⼼來源必須具有最⾼優先順序。
6. 如有必要，新增更新來源：a. 在更新來源清單中，點擊“新增”按鈕。
b. 在“來源”欄位中，指定卡巴斯基安全管理中⼼會將接收⾃ Kaspersky 伺服器的更新套件複製到的
FTP 或 HTTP 伺服器、網路資料夾或者本機資料夾的位址。
當設定將更新下載到伺服器儲存時，更新源來的位址必須與您在“更新儲存資料夾“欄位中指定
的位址相符（下載管理伺服器儲存區更新⼯作）。
166c. 點擊“確定”。
您可以排除更新來源⽽不將其從更新來源清單中刪除。為此，請清除物件旁邊的核取⽅塊。

更新來源

7. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
8. 在⼯作內容視窗中，選取“排程”區域並配置⼯作執⾏模式。
9. 預設情況下，Kaspersky Endpoint Security 以⼿動模式執⾏⼯作。
10. 儲存變更。
如何在 Web 主控台中配置指定伺服器儲存中的 Kaspersky Endpoint Security 更新

167

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
3. 選取“應⽤程式設定”標籤 →“ 本機模式”。
4. 在更新來源清單中，確保啟⽤來⾃卡巴斯基安全管理中⼼來源的更新。此外，卡巴斯基安全管理中⼼來源必須具有最⾼優先順序。
5. 如有必要，新增更新來源：a. 在更新來源清單中，點擊“新增”按鈕。
b. 在“來源”欄位中，指定卡巴斯基安全管理中⼼會將接收⾃ Kaspersky 伺服器的更新套件複製到的
FTP 或 HTTP 伺服器、網路資料夾或者本機資料夾的位址。
當設定將更新下載到伺服器儲存時，更新源來的位址必須與您在“更新儲存資料夾“欄位中指定
的位址相符（下載管理伺服器儲存區更新⼯作）。
c. 點擊“確定”。
您可以排除更新來源⽽不將其從更新來源清單中刪除。為此，將它旁邊的切換開關設為關閉位置。

168

更新來源

6. 使⽤“上”和“下”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
7. 在⼯作內容視窗中，選取“排程”區域並配置⼯作執⾏模式。
8. 預設情況下，Kaspersky Endpoint Security 以⼿動模式執⾏⼯作。
9. 儲存變更。
如何在應⽤程式介⾯中配置指定伺服器儲存中的 Kaspersky Endpoint Security 更新

169您不能在應⽤程式介⾯中配置更新群組⼯作。只有⼀個本機更新⼯作，資料庫和應⽤程式模組更新，可供使⽤者使⽤。如果資料庫和應⽤程式模組更新⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。
1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 在⼯作內容視窗中，點擊選擇更新來源。
4. 在更新來源清單中，確保啟⽤來⾃卡巴斯基安全管理中⼼來源的更新。此外，卡巴斯基安全管理中⼼來源必須具有最⾼優先順序。
5. 如有必要，新增更新來源：a. 在更新來源清單中，點擊“新增”按鈕。

170

更新來源

a. 指定卡巴斯基安全管理中⼼會將接收⾃ Kaspersky 伺服器的更新套件複製到的 FTP 或 HTTP 伺服器、網路資料夾或者本機資料夾的位址。
當設定將更新下載到伺服器儲存時，更新源來的位址必須與您在“更新儲存資料夾“欄位中指定
的位址相符（下載管理伺服器儲存區更新⼯作）。
b. 單擊“選擇”。
您可以排除更新來源⽽不將其從更新來源清單中刪除。為此，將它旁邊的切換開關設為關閉位置。
6. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
如果電腦由卡巴斯基安全管理中⼼管理，則無法配置資料庫和應⽤程式模組更新⼯作的執⾏模式。您只能⼿動執⾏⼯作。
7. 儲存變更。

從伺服器儲存區更新
171從共⽤資料夾更新為了節省流量，您可以配置組織的 LAN 中的電腦從共⽤資料夾更新資料庫和應⽤程式模組。為此，組織的 LAN
中的⼀台電腦必須從卡巴斯基安全管理中⼼管理伺服器或從卡巴斯基更新伺服器接收更新套件，然後將收到的更新套件複製到共⽤資料夾。組織的 LAN 中的其他電腦將能夠從該共⽤資料夾接收更新套件。
將更新套件複製到共⽤資料夾的 Kaspersky Endpoint Security 應⽤程式的版本和當地語係化必須比對從共⽤資料夾更新資料庫的應⽤程序的版本和當地語係化。如果應⽤程式的版本或者當地語係化不比對，資料庫更新可能會以錯誤結束。
配置從共⽤資料夾更新資料庫和應⽤程式模組包括以下步驟：
1. 設定從伺服器儲存區更新資料庫和應⽤程式模組。
2. 啟⽤將更新資料複製到位於區域網路上的⼀台電腦的共⽤資料夾中。
如何啟⽤在管理主控台 (MMC) 中將更新套件複製到共⽤資料夾

172

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
必須為將⽤作更新來源的電腦分配“更新”⼯作。
3. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
4. 在⼯作內容視窗中，選取“設定”區域。

更新⼯作設定5. 在”本機模式更新設定”塊中，點擊”設定”按鈕。
6. 配置更新來源。
更新來源可以是卡巴斯基更新伺服器、卡巴斯基安全管理中⼼管理伺服器、其他 FTP 或 HTTP 伺服器、本機資料夾或網路資料夾。
7. 選擇“將更新複製到資料夾”核取⽅塊。
8. 在“資料夾路徑”欄位中，輸入共⽤資料夾的 UNC 路徑（例如 \\<server
name>\KLSHARE\Updates）。
173如果將該欄位留空，Kaspersky Endpoint Security 會將更新套件複製到 C:\Documents andSettings\All Users\Application Data\Kaspersky Lab\AVP12\Update distribution\。
9. 儲存變更。
如何啟⽤在網⾴主控台和雲端主控台中將更新套件複製到共⽤資料夾

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
必須為將⽤作更新來源的電腦分配“更新”⼯作。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。
3. 更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
4. 選取“應⽤程式設定”標籤 →“ 本機模式”。
5. 配置更新來源。
更新來源可以是卡巴斯基更新伺服器、卡巴斯基安全管理中⼼管理伺服器、其他 FTP 或 HTTP 伺服器、本機資料夾或網路資料夾。
6. 選擇“將更新複製到資料夾”核取⽅塊。
7. 在“路徑”欄位中，輸入共⽤資料夾的 UNC 路徑（例如 \\<server name>\KLSHARE\Updates）。
如果將該欄位留空，Kaspersky Endpoint Security 會將更新套件複製到 C:\Documents andSettings\All Users\Application Data\Kaspersky Lab\AVP12\Update distribution\。
8. 儲存變更。
如何啟⽤在應⽤程式介⾯中將更新套件複製到共⽤資料夾

174

1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 在“正在發佈更新”塊中，選中“將更新複製到資料夾”核取⽅塊。
4. 輸入共⽤資料夾的 UNC 路徑（例如 \\<server name>\KLSHARE\Updates）。
儲存變更。

3. 配置組織的 LAN 中的其餘電腦從指定共⽤資料夾更新資料庫和應⽤程式模組。
如何在管理主控台 (MMC) 中設定共⽤資料夾更新

175

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“更新”。
4. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
5. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“更新”。

步驟 2. 選擇更新來源
新增新的更新來源：共⽤資料夾。來源位址必須與您之前配置將更新套件複製到共⽤資料夾時在“資料夾路徑”欄位中指定的位址相比對。使⽤“上移”和“下移”按鈕配置更新來源的優先順序。

步驟 3. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位
址和 IP ⼦網路。
必須為組織的 LAN 中除⽤作更新來源的電腦之外的電腦分配“更新”⼯作。

步驟 4. 選取要執⾏⼯作的帳⼾
選取要執⾏更新⼯作的帳⼾。預設情況下，Kaspersky Endpoint Security 將使⽤本機使⽤者帳⼾的權限啟
動⼯作。
176

步驟 5. 設定⼯作啟動排程設定⼯作啟動排程，例如，⼿動或在將防毒資料庫下載到儲存庫之後。

步驟 6. 定義⼯作名稱
輸入⼯作名稱，例如 從共⽤資料夾更新。

步驟 7. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。結果，
將按照指定排程在使⽤者電腦上執⾏更新⼯作。
如何在網⾴主控台和雲端主控台中配置共⽤資料夾更新

177

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“更新”。
c. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“從共⽤資料夾更新”。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
必須為組織的 LAN 中除⽤作更新來源的電腦之外的電腦分配“更新”⼯作。
4. 按照所選⼯作範圍選項選取裝置，然後前往下⼀步。
5. 結束精靈。
在⼯作表中將顯⽰⼀個新⼯作。
6. 點擊新建立的“更新”⼯作。
⼯作內容視窗將開啟。
7. 選取“應⽤程式設定 → 本機模式”標籤。
8. 在“更新來源”塊中，點擊“新增”。
9. 在“來源”欄位中，輸入共⽤資料夾的路徑。
來源位址必須與您之前配置將更新套件複製到共⽤資料夾時在“路徑”欄位中指定的位址相比對（請參⾒上述說明）。
10. 點擊“確定”。
11. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
12. 儲存變更。
如何在應⽤程式介⾯中設定共⽤資料夾更新

178

1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 單擊“選擇更新來源”。
4. 在開啟的視窗中，點擊“新增”按鈕。
5. 在開啟的視窗中，輸入共⽤資料夾的路徑。
來源位址必須與您之前設定將更新套件複製到共⽤資料夾時指定的位址相符（請參⾒上述說明）。
6. 單擊“選擇”。
7. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
8. 儲存變更。

179

從共⽤資料夾更新

使⽤ Kaspersky 更新實⽤程式更新
為了節省網際網路流量，您可以使⽤ Kaspersky 更新實⽤程式配置從共⽤資料夾更新組織 LAN 中的電腦上的資料
庫和應⽤程式模組。為此，組織的 LAN 中的⼀台電腦必須從卡巴斯基安全管理中⼼管理伺服器或從卡巴斯基更
新伺服器接收更新套件，然後使⽤實⽤程式將收到的更新套件複製到共⽤資料夾。組織的 LAN 中的其他電腦將
能夠從該共⽤資料夾接收更新套件。
將更新套件複製到共⽤資料夾的 Kaspersky Endpoint Security 應⽤程式的版本和當地語係化必須比對從共⽤資料夾更新資料庫的應⽤程序的版本和當地語係化。如果應⽤程式的版本或者當地語係化不比對，資料庫更新可能會以錯誤結束。
配置從共⽤資料夾更新資料庫和應⽤程式模組包括以下步驟：
1. 設定從伺服器儲存區更新資料庫和應⽤程式模組。
2. 在組織的 LAN 的⼀台電腦上安裝 Kaspersky 更新實⽤程式。
3. 在 Kaspersky 更新實⽤程式設定中配置將更新套件複製到共⽤資料夾。
您可以從 Kaspersky 技術⽀援網站 下載 Kaspersky 更新實⽤程式分發套件。安裝該實⽤程式後，選擇更新來源（例如，管理伺服器儲存區）和 Kaspersky 更新實⽤程式將更新套件複製到的共⽤資料夾。有關使⽤Kaspersky 更新實⽤程式的詳細資訊，請參閱 卡巴斯基知識庫 。
4. 配置組織的 LAN 中的其餘電腦從指定共⽤資料夾更新資料庫和應⽤程式模組。
如何在管理主控台 (MMC) 中設定共⽤資料夾更新180

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
3. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
4. 在⼯作內容視窗中，選取“設定”區域。

更新⼯作設定5. 在”本機模式更新設定”塊中，點擊”設定”按鈕。
6. 在更新來源清單中，點擊“Add”按鈕。
7. 在“Source”欄位中，輸入共⽤資料夾的 UNC 路徑（例如 \\<server name>\KLSHARE\Updates）。
來源位址必須與 Kaspersky 更新實⽤程式設定中指⽰的位址比對。
8. 點擊“確定”。
9. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
181

10. 儲存變更。
如何在網⾴主控台和雲端主控台中配置共⽤資料夾更新

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
3. 選取“應⽤程式設定”標籤 →“ 本機模式”。
4. 在更新來源清單中，點擊“新增”按鈕。
5. 在“來源”欄位中，輸入共⽤資料夾的 UNC 路徑（例如 \\<server name>\KLSHARE\Updates）。
來源位址必須與 Kaspersky 更新實⽤程式設定中指⽰的位址比對。
6. 單擊“確定”。
7. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
8. 儲存變更。
如何在應⽤程式介⾯中設定共⽤資料夾更新

182

您不能在應⽤程式介⾯中配置更新群組⼯作。只有⼀個本機更新⼯作，資料庫和應⽤程式模組更新，可供使⽤者使⽤。如果資料庫和應⽤程式模組更新⼯作未顯⽰，則意味著管理員已在政策中禁⽌使⽤本機⼯作。
1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 在⼯作內容視窗中，點擊選擇更新來源。
4. 在更新來源清單中，點擊“新增”按鈕。

183

更新來源

5. 輸入共⽤資料夾的 UNC 路徑（例如 \\<server name>\KLSHARE\Updates）。
來源位址必須與 Kaspersky 更新實⽤程式設定中指⽰的位址比對。
6. 單擊“選擇”。
7. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
8. 儲存變更。

使⽤ Kaspersky 更新實⽤程式更新

184

在⾏動模式下更新
⾏動模式是電腦離開組織網路周界（離線電腦）時 Kaspersky Endpoint Security 的執⾏模式。有關使⽤離線電腦
以及與漫遊使⽤者⼀起⼯作的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。

組織網路外部的離線電腦無法連線到管理伺服器來更新資料庫和應⽤程式模組。預設情況下，只有卡巴斯基更新伺服器⽤作⾏動模式下更新資料庫和應⽤程式模組的更新來源。是否使⽤代理伺服器連線到網際網路由特殊漫遊
政策確定。漫遊政策必須單獨建立。當 Kaspersky Endpoint Security 切換到⾏動模式後，更新⼯作每兩⼩時啟動⼀次。
如何在管理主控台 (MMC) 中設定⾏動模式的更新設定

185

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “⼯作”。
3. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
4. 在⼯作內容視窗中，選取“設定”區域。

更新⼯作設定5. 在”⾏動模式更新設定”塊中，點擊”設定”按鈕。
6. 配置更新來源。更新來源可以是卡巴斯基更新伺服器、其他 FTP 和 HTTP 伺服器、本機資料夾或網路資料夾。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中配置⾏動模式的更新設定

186

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。

更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
3. 選取“應⽤程式設定”標籤 →“ ⾏動模式”。
4. 配置更新來源。更新來源可以是卡巴斯基更新伺服器、其他 FTP 和 HTTP 伺服器、本機資料夾或網路資料夾。
5. 儲存變更。
結果，當使⽤者電腦切換到⾏動模式時，資料庫和應⽤程式模組將獲得更新。

開始和停⽌更新⼯作
無論選取的何種更新⼯作執⾏模式，您都可以隨時啟動或停⽌ Kaspersky Endpoint Security 更新⼯作。

若要啟動或停⽌更新⼯作，請執⾏以下操作：
1. 在應⽤程式主視窗中，轉⾄“更新”區域。
2. 如果要啟動更新⼯作，請在“資料庫和應⽤程式模組更新“塊中，點擊“更新”按鈕。
Kaspersky Endpoint Security 將啟動應⽤程式模組和資料庫的更新。該應⽤程式將顯⽰⼯作進度、下載檔案的
⼤⼩以及更新來源。您可以隨時點擊“停⽌更新“按鈕來停⽌⼯作。

要在顯⽰簡化的應⽤程式介⾯時啟動或停⽌更新⼯作：1. 在⼯作列通知區域按右鍵程式圖⽰，開啟內容功能表中。
2. 在內容功能表中的“⼯作”下拉清單中，執⾏以下操作之⼀：
選擇未執⾏的更新⼯作以將其啟動
選擇正在執⾏的更新⼯作以將其停⽌
選擇暫停的更新⼯作以將其還原或重新啟動

在不同使⽤者帳⼾權限下開始更新⼯作
預設情況下，Kaspersky Endpoint Security 使⽤您⽤來登入作業系統的帳⼾執⾏更新⼯作。但是，Kaspersky
Endpoint Security 可以從使⽤者沒有存取權限的更新來源（例如，含有更新資料的共⽤資料夾）進⾏更新，或者
從沒有設定過代理伺服器⾝分驗證的更新來源進⾏更新。在應⽤程式設定中，您可以指定⼀個擁有以上權限的使
⽤者，然後使⽤此使⽤者帳⼾開始 Kaspersky Endpoint Security 更新⼯作。
187

若要使⽤不同的使⽤者帳⼾開始更新⼯作，請執⾏以下操作：
1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 單擊“以使⽤者權限執⾏資料庫更新”。
4. 在開啟的視窗中選擇“其他使⽤者”。
5. 輸入具有存取更新來源所需權限的使⽤者的帳⼾憑據。
6. 儲存變更。

選取更新⼯作執⾏模式
如果出於任何原因無法執⾏更新⼯作（例如，電腦當時沒有開啟），您可以設定錯過的⼯作在可能執⾏時立即⾃動開始。
如果您選取了“依排程”更新⼯作執⾏模式，⽽且 Kaspersky Endpoint Security 的啟動時間與更新⼯作啟動排程相符，您可以在程式啟動後延遲更新⼯作的執⾏。更新⼯作只能在 Kaspersky Endpoint Security 啟動後經過特定時
間間隔後執⾏。

若要選取更新⼯作執⾏模式，請執⾏以下操作：
188

1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 單擊“執⾏模式”。
4. 在開啟的視窗中，選擇更新⼯作執⾏模式：
如果您希望 Kaspersky Endpoint Security 根據是否能夠從更新來源獲得更新資料來執⾏更新⼯作，請選取“⾃動”。Kaspersky Endpoint Security 檢查更新資料的頻率在病毒爆發時會新增，在其他時候會減少。
如果您希望⼿動開始更新⼯作，請選取“⼿動”。
如果您希望為執⾏更新⼯作設定⼀個排程，請選取其它選項。設定⽤於啟動更新⼯作的進階設定：
在“程式啟動後延遲執⾏時間 N 分鐘”欄位中，輸入您希望在 Kaspersky Endpoint Security 啟動後延遲啟動更新⼯作的時間間隔。
如果您希望 Kaspersky Endpoint Security 在第⼀機會執⾏錯過的更新⼯作，請選擇“電腦關閉時，在隔
天執⾏排程掃描”。
5. 儲存變更。

新增更新來源189

更新來源是包含 Kaspersky Endpoint Security 的資料庫和程式模組更新的資源。
更新來源包括卡巴斯基安全管理中⼼、卡巴斯基更新伺服器、以及網路或本機資料夾。
更新來源的預設清單包括了卡巴斯基安全管理中⼼和卡巴斯基更新伺服器。您可以在清單中新增其他更新來源。
您可以指定 HTTP/FTP 伺服器和共⽤資料夾作為更新來源。
除非它們是卡巴斯基的更新伺服器，否則 Kaspersky Endpoint Security 不⽀援來⾃ HTTPS 伺服器的更新。
如果選取了多個來源作為更新來源，Kaspersky Endpoint Security 將嘗試從清單頂端開始依次連接，使⽤從第⼀個可⽤源檢索到的更新資料執⾏更新⼯作。
預設情況下，Kaspersky Endpoint Security 使⽤卡巴斯基安全管理中⼼伺服器作為第⼀個更新來源。這有助於在更新時節省流量。如果政策未被套⽤到電腦，卡巴斯基伺服器將被選為更新本機⼯作設定中的第⼀個更新來源，
因為應⽤程式可能無法存取卡巴斯基安全管理中⼼伺服器。
如何在管理主控台 (MMC) 中新增更新來源190

1. 開啟卡巴斯基安全管理中⼼管理主控台。
在主控台樹狀⽬錄中，選擇 “⼯作”。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。
3. 更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
4. 在⼯作內容視窗中，選取“設定”區域。

更新⼯作設定5. 在”本機模式更新設定”塊中，點擊”設定”按鈕。

191

更新來源

6. 在更新來源清單中，點擊“新增”按鈕。
7. 在Source欄位中，指定包含更新套件的 FTP 或 HTTP 伺服器、網路資料夾或本機資料夾的位址。
更新來源使⽤以下路徑格式：對於 FTP 或 HTTP 伺服器，請輸入它的網址或 IP 位址。
例如，http://dnl-01.geo.kaspersky.com/ 或 93.191.13.103。
對於 FTP 伺服器，可以⽤以下格式在位址內指定⾝分驗證設定：ftp://<使⽤者名稱>:<密碼>@<節點>:<連接埠>。
對於網路資料夾，輸入 UNC 路徑。
例如，\\Server\Share\Update distribution。
對於本機資料夾，輸入此資料夾的完整路徑。
例如，C:\Documents and Settings\All Users\Application Data\Kaspersky
Lab\AVP11\Update distribution\。
您可以排除更新來源⽽不將其從更新來源清單中刪除。為此，請清除物件旁邊的核取⽅塊。
8. 點擊“確定”。
9. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
10. 如有需要，為⾏動模式新增更新來源。⾏動模式是電腦離開組織網路周界（離線電腦）時 Kaspersky
Endpoint Security 的執⾏模式。
11. 儲存變更。
如何在網⾴主控台和雲端主控台中新增更新來源192

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“更新”⼯作。
⼯作內容視窗將開啟。
3. 更新⼯作由管理伺服器快速啟動精靈⾃動建立。要建立“更新”⼯作，請在執⾏精靈時安裝 Kaspersky
Endpoint Security for Windows 管理外掛程式。
4. 選取“應⽤程式設定”標籤 →“ 本機模式”。

更新來源

5. 在更新來源清單中，點擊“新增”按鈕。
6. 在來源欄位中，指定包含更新套件的 FTP 或 HTTP 伺服器、網路資料夾或本機資料夾的位址。
更新來源使⽤以下路徑格式：對於 FTP 或 HTTP 伺服器，請輸入它的網址或 IP 位址。
例如，http://dnl-01.geo.kaspersky.com/ 或 93.191.13.103。
對於 FTP 伺服器，可以⽤以下格式在位址內指定⾝分驗證設定：ftp://<使⽤者名稱>:<密碼>@<節點>:<連接埠>。
對於網路資料夾，輸入 UNC 路徑。
193

例如，\\Server\Share\Update distribution。
對於本機資料夾，輸入此資料夾的完整路徑。
例如，C:\Documents and Settings\All Users\Application Data\Kaspersky
Lab\AVP11\Update distribution\。
您可以排除更新來源⽽不將其從更新來源清單中刪除。為此，將它旁邊的切換開關設為關閉位置。
7. 點擊“確定”。
8. 使⽤“上”和“下”按鈕配置更新來源的優先順序。
如果無法從第⼀個更新來源執⾏更新，Kaspersky Endpoint Security 會轉換到下⼀個更新來源。
9. 如有需要，為⾏動模式新增更新來源。⾏動模式是電腦離開組織網路周界（離線電腦）時 Kaspersky
Endpoint Security 的執⾏模式。
10. 儲存變更。
如何在應⽤程式介⾯中新增更新來源194

1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 點擊“選擇更新來源”按鈕。
4. 在開啟的視窗中，點擊“新增”按鈕。

195

更新來源

5. 在開啟的視窗中，指定包含更新套件的 FTP 或 HTTP 伺服器、網路資料夾或本機資料夾的位址。
更新來源使⽤以下路徑格式：對於 FTP 或 HTTP 伺服器，請輸入它的網址或 IP 位址。
例如，http://dnl-01.geo.kaspersky.com/ 或 93.191.13.103。
對於 FTP 伺服器，可以⽤以下格式在位址內指定⾝分驗證設定：ftp://<使⽤者名稱>:<密碼>@<節點>:<連接埠>。
對於網路資料夾，輸入 UNC 路徑。
例如，\\Server\Share\Update distribution。
對於本機資料夾，輸入此資料夾的完整路徑。
例如，C:\Documents and Settings\All Users\Application Data\Kaspersky
Lab\AVP11\Update distribution\。
6. 點擊“選擇”按鈕。
7. 使⽤“上移”和“下移”按鈕配置更新來源的優先順序。
8. 儲存變更。

更新應⽤程式模組
196

應⽤程式模組更新可修復錯誤、提⾼效能並新增新功能。當有新的應⽤程式模組更新可⽤時，您需要確認更新的安裝。您可以在應⽤程式介⾯或卡巴斯基安全管理中⼼中確認安裝了應⽤程式模組更新。每當有更新可以使⽤時，應⽤程式就會在 Kaspersky Endpoint Security 的主視窗中顯⽰通知： 。如果應⽤程式模組更新需要檢視和
接受最終使⽤者產品授權協議，應⽤程式將在最終使⽤者產品授權協議被接受後，安裝更新。有關在卡巴斯基安
全管理中⼼中追蹤應⽤程式模組更新並確認更新的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
安裝應⽤程式更新後，您可能需要重新啟動電腦。

若要設定應⽤程式模組更新：
1. 在應⽤程式主視窗中，轉⾄“更新”區域。

本機更新⼯作2. 這將開啟⼯作清單；選擇資料庫和應⽤程式模組更新⼯作，然後點擊 。
⼯作內容視窗將開啟。
3. 在“下載和安裝應⽤程式模組更新“塊中，選中“下載應⽤程式模組更新”核取⽅塊。
4. 請選取您要安裝的應⽤程式模組更新。
安裝重⼤和指定的更新如果選擇此選項，當有應⽤程式模組更新可⽤時，僅在這些更新透過應⽤程式介⾯或在卡巴斯基安全管理中⼼⼀側被本機批准後，Kaspersky Endpoint Security 才會⾃動安裝關鍵更新和所
有其他應⽤程式模組更新。
僅安裝指定的更新如果選擇此選項，當有應⽤程式模組更新可⽤時，僅在這些更新透過應⽤程式介⾯或在卡巴斯基安全管理中⼼⼀側被本機批准後，Kaspersky Endpoint Security 才會安裝它們。預設情況下已勾
選此選項。

197

5. 儲存變更。

使⽤代理伺服器進⾏更新
您可能需要指定代理伺服器設定才能從更新來源下載資料庫和應⽤程式模組更新。如果有多個更新來源，代理伺
服器設定將適⽤於所有來源。如果某些更新來源不需要代理伺服器，可以在政策內容中停⽤代理伺服器。
Kaspersky Endpoint Security 還將使⽤代理伺服器存取卡巴斯基安全網路和啟動伺服器。

要配置透過代理伺服器連線到更新來源：
1. 在網⾴主控台的主視窗中點擊。

“管理伺服器”內容視窗將開啟。
2. 轉到“設定網際網路存取”區域。
3. 選中“使⽤代理伺服器”核取⽅塊。
4. 配置代理伺服器連線設定：代理伺服器位址、連接埠和⾝分驗證設定（使⽤者名稱和密碼）。
5. 儲存變更。

要對特定管理群組禁⽌使⽤代理伺服器：
1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”網路設定”。

198

Kaspersky Endpoint Security for Windows 網路設定。

5. 在“代理伺服器設定”塊中，選取“本機位址不使⽤代理伺服器”。
6. 儲存變更。

要在應⽤程式介⾯中配置代理伺服器設定，請：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。

199

應⽤程式網路設定

3. 在”代理伺服器”塊中，點擊”代理伺服器設定”連接。

代理伺服器連線設定
200

4. 在開啟的視窗中，選擇以下選項之⼀以確定代理伺服器位址：⾃動偵測代理伺服器設定
預設情況下已勾選此選項。Kaspersky Endpoint Security 使⽤作業系統設定中定義的代理伺服器設定。
使⽤指定的代理伺服器設定
如果選擇此選項，請配置⽤於連線到代理伺服器的設定：代理伺服器位址和連接埠。
5. 如果要在代理伺服器上啟⽤⾝分驗證，請選中“使⽤代理伺服器⾝分驗證“核取⽅塊並提供您的使⽤者帳⼾憑
據。
6. 如果您希望在從共⽤資料夾更新資料庫和應⽤程式模組時停⽤代理伺服器，請選中“對本機位址不使⽤代理伺
服器”核取⽅塊。
7. 儲存變更。
因此，Kaspersky Endpoint Security 將使⽤代理伺服器下載應⽤程式模組和資料庫更新。Kaspersky Endpoint
Security 還將使⽤代理伺服器存取 KSN 伺服器和卡巴斯基啟動伺服器。如果代理伺服器上要求進⾏⾝分驗證，
但未提供使⽤者帳⼾憑據或憑據不正確，Kaspersky Endpoint Security 將提⽰您輸入使⽤者名稱和密碼。

最近更新還原在資料庫和程式模組進⾏第⼀次更新以後，就能夠將資料庫和程式模組回溯⾄前⼀版本的功能。
每次使⽤者開始更新程式時，Kaspersky Endpoint Security 會為⽬前資料庫和程式模組建立⼀個備份副本。讓您
能夠在必要時將資料庫和程式模組回溯⾄它們的前⼀版本。回溯⾄前⼀更新這個功能⼗分有⽤，例如，當新資料庫版本包含⼀個無效的簽章⽽導致 Kaspersky Endpoint Security 封鎖某個安全的應⽤程式時，回溯操作就會⼗分
有⽤。

若要回溯到最近更新，請執⾏以下操作：
1. 在應⽤程式主視窗中，轉⾄“更新”區域。

201

本機更新⼯作2. 在“回溯資料庫到先前的版本“塊中，點擊“回溯”按鈕。
Kaspersky Endpoint Security 將開始回溯上⼀次資料庫更新。應⽤程式將顯⽰回溯進度、下載檔案的⼤⼩以及更新來源。您可以隨時點擊“停⽌更新“按鈕來停⽌⼯作。

要在顯⽰簡化的應⽤程式介⾯時啟動或停⽌回溯⼯作：
1. 在⼯作列通知區域按右鍵程式圖⽰，開啟內容功能表中。
2. 在內容功能表中的“⼯作”下拉清單中，執⾏以下操作之⼀：
選取未執⾏的回溯⼯作以將其啟動。
選取正在執⾏的回溯⼯作以將其停⽌。
選取暫停的回溯⼯作以將其還原或重新啟動。

202處理活動威脅
Kaspersky Endpoint Security 將記錄偵測到威活動脅但未處理的檔案的相關資訊。此資訊在活動威脅清單中以事
件的形式記錄（請參⾒下圖）。為了處理活動威脅，Kaspersky Endpoint Security 使⽤進階解毒技術。進階解毒的⼯作⽅式對⼯作站和伺服器不同。您可以在惡意軟體掃描⼯作設定和應⽤程式設定中配置進階解毒。

活動威脅清單

在⼯作站上解毒活動威脅若要在⼯作站上處理活動威脅，請在應⽤程式設定中啟⽤進階解毒技術。接下來，請在“惡意軟體掃描”⼯作屬性
中配置使⽤者經驗。⼯作內容中有⼀個“立即執⾏進階解毒技術”核取⽅塊。如果設定了該標記，Kaspersky
Endpoint Security 將不通知使⽤者就執⾏解毒。解毒完成時，電腦將重啟。如果未設定該標記，Kaspersky
Endpoint Security 將顯⽰活動威脅通知（請參⾒下圖）。未處理檔案，不可關閉此通知。
僅當在套⽤於電腦的政策的內容中啟⽤“進階解毒”功能後，才會在此電腦上執⾏病毒掃描⼯作期間執⾏進階
解毒。

203

活動威脅通知在伺服器上解毒活動威脅
若要在伺服器上處理活動威脅，您需要執⾏以下操作：
在應⽤程式設定中啟⽤進階解毒技術；
在“惡意軟體掃描”⼯作屬性中啟⽤立即使⽤進階解毒。
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則 Kaspersky Endpoint
Security 不顯⽰通知。因此，使⽤者無法選擇解毒活動威脅的動作。若要解毒威脅，您需要在應⽤程式設定
中啟⽤進階解毒技術，在“惡意軟體掃描 ”⼯作設定中啟⽤立即執⾏進階解毒。然後您需要啟動“惡意軟體掃描”⼯作。

啟⽤或停⽤進階解毒技術
如果 Kaspersky Endpoint Security 無法停⽌惡意軟體的執⾏，您可以使⽤進階解毒技術。預設停⽤進階解毒，因為該技術會使⽤⼤量電腦資源。因此，您僅可在處理活動威脅時啟⽤進階解毒。
進階解毒的⼯作⽅式對⼯作站和伺服器不同。若要在伺服器上使⽤該技術，您必須在“惡意軟體掃描”⼯作的屬性中啟⽤立即使⽤進階解毒。在⼯作站上使⽤該技術不需要此先決條件。
如何在管理主控台（MMC）中啟⽤或停⽤進階解毒技術

204

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 應⽤程式設定”。
5. 在“操作模式”塊中，選擇或者清除“啟⽤進階解毒技術“核取⽅塊來啟⽤或停⽤進階解毒技術。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤進階解毒技術

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 選擇“⼀般設定 → 應⽤程式設定”。
5. 在“操作模式”塊中，選擇或者清除“啟⽤進階解毒技術“核取⽅塊來啟⽤或停⽤進階解毒技術。
6. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤進階解毒技術

205

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

Kaspersky Endpoint Security for Windows 設定

3. 在“操作模式”塊中，選擇或者清除“使⽤進階解毒技術 (需要⼤量電腦資源)“核取⽅塊來啟⽤或停⽤進階解
毒技術。
4. 儲存變更。
因此，活動解毒進⾏時使⽤者不能使⽤⼤多數作業系統功能。解毒完成時，電腦被重啟。

處理活動威脅如果 Kaspersky Endpoint Security 在掃描電腦查找病毒和其他惡意軟體的過程中對檔案進⾏了解毒或刪除了威脅，則受感染的檔案被認為已處理。
如果 Kaspersky Endpoint Security 在掃描電腦中的病毒和其他威脅時由於某種原因未能按照指定的應⽤程式設定
對某個檔案執⾏操作，Kaspersky Endpoint Security 會將該檔案移⾄活動威脅清單。
在下列情況中可能出現此狀況：
掃描的檔案無法使⽤（例如，檔案位於網路磁碟或沒有讀寫權限的卸除式磁碟機上）。
在惡意軟體掃描⼯作設定中，偵測到威脅後的動作被設定為“通知”。然後，當受感染的檔案通知顯⽰在熒幕上時，使⽤者選擇”略過“。
206

如果存在任何未處理的威脅，Kaspersky Endpoint Security 會將圖⽰變更為 。在應⽤程式主視窗中，將顯⽰威
脅通知（請⾒下圖）。在卡巴斯基安全管理中⼼主控台中，電腦的狀態更改為緊急 。
如何在管理主控台 (MMC) 中處理威脅

1. 在管理主控台中，轉到資料夾“管理伺服器”→“附加”→“儲存區”→“活動威脅”。
活動威脅清單開啟。
2. 選擇您要處理的物件。
3. 選擇您要如何處理威脅：解毒。如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
刪除。
如何在網⾴主控台和雲端主控台中處理威脅

1. 在 Web 主控台的主視窗中，選擇操作 → 儲存區 → 活動威脅。
活動威脅清單開啟。
2. 選擇您要處理的物件。
3. 選擇您要如何處理威脅：解毒。如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
刪除。
如何在應⽤程式介⾯中處理威脅207

1. 在應⽤程式主視窗的“正在監控”區域中，點擊“防護存在風險”圖標。
活動威脅清單開啟。
2. 選擇您要處理的物件。
3. 選擇您要如何處理威脅：
處理如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
新增⾄排除項⽬如果選擇此操作，Kaspersky Endpoint Security 會建議 將檔案新增到掃描排除項⽬清單中。排除設定⾃動配置。如果新增排除項⽬不可⽤，則表⽰管理員已停⽤在政策設定中新增排除項⽬。
略過如果選擇此選項，Kaspersky Endpoint Security 將從活動威脅清單中刪除該條⽬。如果清單上沒
有剩餘活動威脅，則電腦狀態將變更為“確定”。如果再次偵測到該物件，Kaspersky Endpoint Security會將新條⽬新增到活動威脅清單中。
開啟所在資料夾如果選擇此選項，Kaspersky Endpoint Security 將在檔案總管中開啟包含物件的資料
夾。然後，您可以⼿動刪除物件或將物件移動到防護範圍之外的資料夾中。
瞭解更多如果選擇此選項，則 Kaspersky Endpoint Security 會開啟Kaspersky 病毒百科全書網站 。

偵測到威脅時的主應⽤程式視窗

208

電腦防護

檔案威脅防護“檔案威脅防護”元件允許您防⽌電腦的檔案系統受到感染。預設情況下，“檔案威脅防護”元件會永久常駐在電腦的
RAM 中。該元件將掃描電腦所有磁碟機以及連接之磁碟機上的檔案。該元件借助防毒資料庫、卡巴斯基安全網路
雲端服務和啟發式分析來提供電腦防護。
該元件將掃描使⽤者或應⽤程式存取的檔案。如果偵測到惡意檔案，Kaspersky Endpoint Security 將封鎖檔案操
作。應⽤程式隨後將根據“檔案威脅防護”元件的設定來清除或刪除惡意檔案。
當嘗試存取其內容儲存在 OneDrive 雲端中的檔案時，Kaspersky Endpoint Security 會下載並掃描檔案內容。

啟⽤和停⽤檔案威脅防護
預設情況下，“檔案威脅防護”元件已啟⽤並在 Kaspersky 專家建議的模式下執⾏。對於檔案威脅防護，Kaspersky
Endpoint Security 可以套⽤不同的設定群組。這些儲存在應⽤程式中的設定群組稱為安全防護等級：⾼、建議、低。建議安全防護等級設定將被視為 Kaspersky 專家建議的最佳設定（請⾒下表）。您可以選擇某種預設的安全防護等級或⼿動配置安全性等級的設定。如果您改變了檔案安全防護等級設定，仍可隨時還原到建議的檔案安全防護等級設定。

要啟⽤或停⽤“檔案威脅防護”元件：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 使⽤“檔案威脅防護“切換開關可啟⽤或停⽤元件。
4. 如果啟⽤了該元件，請在“安全等級“塊中執⾏下列操作之⼀：
如果您希望套⽤⼀種預設的安全防護等級，請使⽤移動滑桿選取：
⾼選擇此檔案安全等級後，“檔案威脅防護”元件將對開啟、儲存和執⾏的所有檔案實施最嚴格的控制。
“檔案威脅防護”元件會掃描電腦的所有硬碟磁碟機、卸除式磁碟機和網路磁碟機上的所有檔案類型。它
還掃描存檔、安裝套件和嵌入式 OLE 物件。
建議Kaspersky Lab 專家建議此檔案安全等級。“檔案威脅防護”元件僅掃描電腦的所有硬碟磁碟機、卸除式磁碟機和網路磁碟機上的指定檔案格式，以及嵌入式 OLE 物件。“檔案威脅防護”元件不掃描壓縮套
件或安裝套件。下表提供了建議的安全防護等級的設定值。
低此檔案安全等級的設定可確保最⼤掃描速度。“檔案威脅防護”元件僅掃描電腦的所有硬碟磁碟機、卸除式磁碟機以及網路磁碟機上擁有指定副檔名的檔案。“檔案威脅防護”元件不掃描複合檔案。
如果要設定⾃訂安全防護等級，請點擊“進階設定“按鈕然後定義您⾃⼰的元件設定。
您可以透過點擊“還原建議的安全等級”按鈕來還原預設安全等級的值。.
5. 儲存變更。
209卡巴斯基專家建議的檔案威脅防護設定（建議的安全防護等級）

參數

值

描述

檔案類型

按格
式掃
描檔
案

如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。在掃描檔案以尋找惡意程式
碼之前，系統將分析檔案的內部頭以確定檔案的格式（例如，.txt、.doc 或.exe）。掃描還會查找具有特定副檔名的檔案。

啟發式分
析

輕度
掃描

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可
以偵測受未知病毒或已知病毒新變種感染的可疑檔案。
掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟發式分析
器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋
新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。

只掃描新
增及修改
的檔案

開

僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續時間。
此模式適⽤於簡單檔案和複合檔案。

使⽤
iSwift 技術

開

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料
庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對
⽤於 NTFS 檔案系統的 iChecker 技術的增強版。

使⽤
iChecker
技術

開

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料
庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受
到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。

掃描
Microsoft
O ice 格式的檔案開

掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。O ice 格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1
MB 的 o ice 格式檔案，無論該核取⽅塊是否被選中。

掃描模式

智慧
模式

在此模式中，檔案威脅防護將基於對物件所做操作進⾏分析以掃描物件。例如，當
操作某個 Microsoft O ice ⼿冊時，Kaspersky Endpoint Security 將在其⾸次開啟
和最後⼀次關閉時掃描該檔案。覆蓋檔案的操作過程不會掃描檔案。

偵測到威
脅後的動
作

解
毒；
若解
毒失
敗則
刪除

如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。

⾃動暫停檔案威脅防護
您可以設定“檔案威脅防護”在指定時間或處理特定應⽤程式時⾃動暫停。
只有“檔案威脅防護”與某些應⽤程式衝突時，才應將其暫停作為最後⼿段。如果在元件執⾏時發⽣任何衝突，建議您聯繫Kaspersky 技術⽀援 。⽀援專家將幫助您設定“檔案威脅防護”元件以便與您的電腦上的其他
應⽤程式同時執⾏。

要設定“檔案威脅防護”的⾃動暫停：
1. 在“應⽤程式主視窗”中，點擊

按鈕。
210

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 在”暫停檔案威脅防護”塊中，點擊”暫停檔案威脅防護”連接。
5. 在開啟的視窗中，配置⽤於暫停檔案威脅防護'的設定：
a. 配置⾃動暫停檔案威脅防護排程。
b. 建立⼀個其操作應導致檔案威脅防護暫停其活動的應⽤程式清單。
6. 儲存變更。

變更“檔案威脅防護”元件對受感染檔案執⾏的操作
預設情況下，“檔案威脅防護”元件將⾃動嘗試對已經偵測到的所有受感染檔案執⾏解毒操作。如果解毒失敗，“檔案威脅防護”元件將刪除這些檔案。

要變更“檔案威脅防護”元件對受感染檔案執⾏的操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 在“偵測到威脅後的動作”塊，選取相關選項：
解毒；若解毒失敗則刪除如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
解毒；若解毒失敗則封鎖如果選擇該選項，Kaspersky Endpoint Security 將⾃動對已經偵測到的所有受感
染的檔案執⾏解毒操作。如果無法進⾏解毒，Kaspersky Endpoint Security 會將偵測到的受感染檔案的相關資訊新增到活動威脅清單。
封鎖如果選擇該選項，“檔案威脅防護”元件將⾃動封鎖所有受感染的檔案，⽽不對其進⾏解毒處理。
在嘗試解毒或刪除受感染的檔案之前，應⽤程式會建立該檔案的備份副本，以防您需要還原該檔案或將來可以對其進⾏解毒。
4. 儲存變更。

構成“檔案威脅防護”元件的防護範圍
防護範圍是指元件啟⽤時的掃描物件。不同元件的防護範圍有不同的參數。要掃描的檔案的位置和類型是“檔案
威脅防護”元件防護範圍的內容。預設情況下，“檔案威脅防護”元件僅掃描從硬碟、抽取式磁碟機和網路磁碟機執⾏的潛在受感染檔案 。
選取需要掃描的檔案類型時，請考慮以下資訊：
2111. 將惡意程式碼引入某些格式的檔案並隨後將其啟動的可能性很低（例如 TXT 格式）。同時，部分檔案格式會
包含可幸執⾏檔代碼（如 .exe、.dll）。可執⾏代碼還可能包含在並非⽤於此⽤途的格式（例如 DOC 格式）的檔案中。這些檔案中，惡意程式碼入侵並執⾏的可能性⾼。
2. 入侵者可能會把可執⾏檔的副檔名重新命名為 .txt，然後將其中的病毒或其他惡意應⽤程式傳送到您的電腦
中。如果您按照副檔名選取掃描檔案，程式將在掃描期間略過此檔案。如果選擇按格式掃描檔案，則Kaspersky Endpoint Security 會分析檔案標頭，和副檔名無關。如果此分析顯⽰檔案具有可執⾏檔的格式（例如，EXE），則應⽤程式將對其進⾏掃描。

要建立防護範圍，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 在“檔案類型”塊中，指定您希望“檔案威脅防護”元件掃描的檔案類型：
所有檔案如果啟⽤該設定，Kaspersky Endpoint Security 將毫無例外地掃描所有檔案（所有格式和副檔名）。
按格式掃描檔案如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。在掃描檔案以尋找惡意程式碼之
前，系統將分析檔案的內部頭以確定檔案的格式（例如，.txt、.doc 或 .exe）。掃描還會查找具有特定副檔名的檔案。
按副檔名掃描檔案如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。此時，系統將根據檔案的副檔名
確定檔案格式。
5. 點擊”編輯防護範圍”連接。
6. 在開啟的視窗中，選擇要新增到防護範圍或從中排除的物件。
您無法刪除或編輯包括在預設防護範圍中的物件。
7. 如果您希望將新物件新增⾄防護範圍：a. 單擊“新增”。
資料夾樹開啟。
b. 選擇要新增到防護範圍的物件。
您可以從掃描中排除物件，⽽無需將其從掃描範圍內的物件清單中刪除。為此，請清除物件旁邊的核取⽅塊。
8. 儲存變更。

選擇掃描⽅式212

Kaspersky Endpoint Security 使⽤⼀種稱為機器學習和特徵碼分析的掃描技術。在特徵碼分析中，Kaspersky
Endpoint Security 會將偵測物件與其資料庫中的記錄進⾏比對。根據 Kaspersky 專家的建議，機器學習和簽章分
析始終啟⽤。
您可以使⽤啟發式分析提⾼防護效率。掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟
發式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業系
統資源和啟發式分析持續時間之間進⾏平衡。

要設定“檔案威脅防護”元件執⾏中啟發式分析的使⽤：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 如果希望應⽤程式使⽤啟發式分析來防禦檔案威脅，請選中“掃描⽅式“塊中的“啟發式分析”核取⽅塊。然後使⽤捲軸設定啟發式分析等級：輕度掃描、中度掃描或深度掃描。
5. 儲存變更。

在“檔案威脅防護”元件的執⾏中使⽤掃描技術
要設定“檔案威脅防護”元件執⾏中掃描技術的使⽤：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 在“掃描技術”塊中，選取您要⽤於檔案威脅防護的技術名稱旁邊的核取⽅塊。
使⽤ iSwift 技術該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔
案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系統的 iChecker 技術的增強版。
使⽤ iChecker 技術該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法
將檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上
次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無法操作⼤檔案，並且僅能套⽤
⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。
5. 儲存變更。

最佳化檔案掃描您可以透過減少掃描時間和提⾼ Kaspersky Endpoint Security 的執⾏速度來最佳化“檔案威脅防護”元件執⾏的檔
案掃描。這可以透過僅掃描新檔案和上次掃描後經過修改的檔案來實現。此模式適⽤於簡單檔案和複合檔案。
您也可以啟⽤ iChecker 和 iSwift 技術，在掃描中排除最近⼀次掃描後未修改的檔案，從⽽最佳化檔案掃描速度。
213

要最佳化檔案掃描，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 在“最佳化“塊中，選中“只掃描新增及修改的檔案”核取⽅塊。
5. 儲存變更。

掃描複合檔案隱藏病毒和其他惡意程式的⼀種常⽤⽅法就是將其植入複合檔案中，例如存檔案或資料庫中。為了偵測以這種⽅式隱藏的病毒和其他惡意軟體，必須將複合檔案解壓縮，但是這可能會降低掃描速度。您可以限制要掃描的複合檔案類型，從⽽加快掃描速度。
⽤於處理受感染複合檔案（解毒或刪除）的⽅法取決於檔案類型。

“檔案威脅防護”元件會解毒 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR 和 ICE 格式的複合檔案並刪除所有其他格式的檔案（郵件資料庫除外）。

若要設定複合檔案的掃描，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 在“掃描複合檔案”塊中，指定您希望掃描的複合檔案類型：存檔、分發套件或 O ice 格式檔案。
5. 如果停⽤了僅掃描新檔案和修改的檔案，請配置⽤於掃描每種類型的複合檔案的設定：掃描所有此類檔案或僅掃描新檔案。
如果啟⽤僅掃描新檔案和修改的檔案，則 Kaspersky Endpoint Security 將僅掃描所有類型的複合檔案中的新檔
案和修改的檔案。
6. 配置⽤於掃描複合檔案的進階設定。
複合檔案⼤於指定值時不解壓縮
如果選中該核取⽅塊，Kaspersky Endpoint Security 不會掃描其⼤⼩超過指定值的複合檔案。
如果清除該核取⽅塊，Kaspersky Endpoint Security 將掃描所有⼤⼩的複合檔案。
無論是否選中“複合檔案⼤於指定值時不解壓縮”核取⽅塊，Kaspersky Endpoint Security 均會掃描從存
檔中提取的⼤型檔案。

214

在背景解壓縮複合檔案
如果選中該核取⽅塊，Kaspersky Endpoint Security 會提供對⼤於指定值的複合檔案的存取權限，然後再掃描這些檔案。在這種情況下，Kaspersky Endpoint Security 在背景解壓並掃描複合檔案。
對於⼩於該值的複合檔案，只有在解壓和掃描這些檔案後，Kaspersky Endpoint Security 才會提供對這些
檔案的存取權限。
如果未選中該核取⽅塊，則只有在解壓和掃描任何⼤⼩的複合檔案後，Kaspersky Endpoint Security 才會
提供對這些檔案的存取權限。
7. 儲存變更。

變更掃描模式
掃描模式是指觸發“檔案威脅防護”元件進⾏檔案掃描的條件。預設情況下，Kaspersky Endpoint Security 以智慧模式掃描檔案。在此檔案掃描模式下，“檔案威脅防護”元件將確定是否在使⽤者、應⽤程式（以使⽤者⾝分在登入的帳⼾下或⽤不同帳⼾）或作業系統對檔案執⾏分析操作後掃描檔案。例如，當操作某個 Microsoft O ice Word
⼿冊時，Kaspersky Endpoint Security 將在其⾸次開啟和最後⼀次關閉時掃描該檔案。覆蓋檔案的操作過程不會
掃描檔案。

若要變更檔案掃描模式，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“檔案威脅防護”。
3. 單擊“進階設定”。
4. 在“掃描模式”塊中，選取所需的模式：
智慧模式在此模式中，檔案威脅防護將基於對物件所做操作進⾏分析以掃描物件。例如，當操作某個
Microsoft O ice ⼿冊時，Kaspersky Endpoint Security 將在其⾸次開啟和最後⼀次關閉時掃描該檔案。覆蓋檔案的操作過程不會掃描檔案。
在存取及修改時在該模式中，檔案威脅防護將在出現開啟/修改檔案的嘗試時掃描物件。
存取時在此模式中，檔案威脅防護將在出現開啟/修改檔案的嘗試時掃描物件。
執⾏時在該模式中，檔案威脅防護僅在出現執⾏檔案的嘗試時掃描物件。
5. 儲存變更。

Web 威脅防護“Web 威脅防護”元件可防⽌從網際網路下載惡意檔案，同時封鎖惡意網站和釣⿂網站。該元件借助防毒資料庫、
卡巴斯基安全網路雲端服務和啟發式分析來提供電腦防護。
Kaspersky Endpoint Security 掃描 HTTP、HTTPS 和 FTP 流量。Kaspersky Endpoint Security 掃描 URL 和 IP 位
址。您可以指定 Kaspersky Endpoint Security 將監控的連接埠，或選擇所有連接埠。
對於 HTTPS 流量監控，需要啟⽤加密連線掃描。
215

當使⽤者嘗試開啟惡意網站或釣⿂網站時，Kaspersky Endpoint Security 將封鎖其存取並顯⽰警告（請參⾒下圖）。

網站存取被拒絕的訊息

啟⽤和停⽤ Web 威脅防護
預設情況下，“Web 威脅防護”元件已啟⽤並在 Kaspersky 專家建議的模式下執⾏。對於 Web 威脅防護，應⽤程式
可以套⽤不同的設定群組。這些儲存在應⽤程式中的設定群組稱為安全防護等級：⾼、建議、低。建議Web 流量
安全防護等級設定將被視為 Kaspersky 專家建議的最佳設定（請⾒下表）。您可以為透過 HTTP 和 FTP 協定接收或傳送的網⾴流量選取⼀個預先設定的安全等級，或者也可以設定⼀個⾃訂網⾴流量安全等級。如果您對網⾴流量安全等級進⾏了變更，以後隨時可以還原⾄建議的網⾴流量安全等級設定。
您只能在管理主控台 (MMC) 或者應⽤程式的本機介⾯中選擇或者設定安全等級。您不能在網⾴主控台或者
雲端主控台中選擇或者設定安全等級。
如何在管理主控台（MMC）中啟⽤或停⽤“Web 威脅防護”元件

216

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → Web 威脅防護”。
5. 使⽤“Web 威脅防護“核取⽅塊來啟⽤或停⽤元件。
6. 如果啟⽤了該元件，請在“安全防護等級“塊中執⾏下列操作之⼀：
如果您希望套⽤⼀種預設的安全防護等級，請使⽤移動滑桿選取：
⾼防護在此安全等級下，“Web 威脅防護”元件對電腦透過 HTTP 和 FTP 協定收到的 Web 流量執⾏
最⼤限度的掃描。“Web 威脅防護”使⽤整個程式應⽤資料庫詳細掃描所有 Web 流量物件，並盡可能執⾏最深度的啟發式分析 。
建議防護該安全等級在 Kaspersky Endpoint Security 的效能和 Web 流量的安全之間提供最佳平衡。“Web 威脅防護”元件執⾏中度掃描等級的啟發式分析。Kaspersky 專家建議使⽤此 Web 流量安
全等級。下表提供了建議的安全防護等級的設定值。
低防護此 Web 流量安全等級的設定可確保最快的 Web 流量掃描速度。“Web 威脅防護”元件執⾏輕
度掃描等級的啟發式分析。
如果要設定⾃訂安全防護等級，請點擊“設定“按鈕然後定義您⾃⼰的元件設定。
您可以透過點擊“根據預設”按鈕來還原預設安全等級的值。.
7. 在偵測到威脅後的動作塊中，選取 Kaspersky Endpoint Security 對惡意網⾴流量物件所採取的操作：
封鎖如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將封鎖存取物件並在瀏覽器中顯⽰⼀條訊息。
通知如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將允許此物件下載到
電腦，但會將受感染物件的相關資訊新增到活動威脅清單中。
8. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤“Web 威脅防護”元件

217

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”Web 威脅防護”。
5. 使⽤“Web 威脅防護“切換開關可啟⽤或停⽤元件。
6. 在偵測到威脅後的動作塊中，選取 Kaspersky Endpoint Security 對惡意網⾴流量物件所採取的操作：
封鎖如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將封鎖存取物件並在瀏覽器中顯⽰⼀條訊息。
通知如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將允許此物件下載到
電腦，但會將受感染物件的相關資訊新增到活動威脅清單中。
7. 儲存變更。
如何啟⽤或停⽤“Web 威脅防護”元件

218

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“Web 威脅防護”。
3. 使⽤“Web 威脅防護“切換開關可啟⽤或停⽤元件。
4. 如果啟⽤了該元件，請在“安全等級“塊中執⾏下列操作之⼀：
如果您希望套⽤⼀種預設的安全防護等級，請使⽤移動滑桿選取：
⾼在此安全等級下，“Web 威脅防護”元件對電腦透過 HTTP 和 FTP 協定收到的 Web 流量執⾏最⼤限度的掃描。“Web 威脅防護”使⽤整個程式應⽤資料庫詳細掃描所有 Web 流量物件，並盡可能執⾏最深度的啟發式分析 。
建議該安全等級在 Kaspersky Endpoint Security 的效能和 Web 流量的安全之間提供最佳平衡。
“Web 威脅防護”元件執⾏中度掃描等級的啟發式分析。Kaspersky 專家建議使⽤此 Web 流量安全等級。下表提供了建議的安全防護等級的設定值。
低此 Web 流量安全等級的設定可確保最快的 Web 流量掃描速度。“Web 威脅防護”元件執⾏輕度掃描等級的啟發式分析。
如果要設定⾃訂安全防護等級，請點擊“進階設定“按鈕然後定義您⾃⼰的元件設定。
您可以透過點擊“還原建議的安全等級”按鈕來還原預設安全等級的值。.
5. 在偵測到威脅後的動作塊中，選取 Kaspersky Endpoint Security 對惡意網⾴流量物件所採取的操作：
封鎖如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將封鎖存取物件並在瀏覽器中顯⽰⼀條訊息。
通知如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將允許此物件下載到
電腦，但會將受感染物件的相關資訊新增到活動威脅清單中。
6. 儲存變更。
卡巴斯基專家建議的 Web 威脅防護設定（建議的安全防護等級）

參數

值

描述

檢查網址
是否在惡
意網址資
料庫中

開

掃描連接以確定它們是否包含在惡意網址資料庫中，可以讓您追蹤被新增到拒絕清單的網站。惡意網址資料庫由 Kaspersky 維護，包含在程式安裝套件中，並透過
Kaspersky Endpoint Security 資料庫更新進⾏補充。

檢查網址
是否在釣
⿂網址資
料庫中

開

釣⿂網址資料庫包含⽬前⽤於啟動釣⿂攻擊的已知網站的位址。卡巴斯基使⽤從名為“釣⿂防護⼯作組”的國際組織獲得的位址來補充網路釣⿂連線資料庫。釣⿂位址資料庫
包含在程式安裝套件中，並透過 Kaspersky Endpoint Security 資料庫更新進⾏補充。

使⽤啟發
式分析
（Web
威脅防
護）

中度
掃描

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可以
偵測受未知病毒或已知病毒新變種感染的可疑檔案。

使⽤啟發
式分析

開

當掃描網路流量中的病毒和其他構成威脅的應⽤程式時，啟發式分析將在可執⾏檔案中執⾏指令。啟發式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式
分析等級可在全⾯搜尋新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。
開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可以
偵測受未知病毒或已知病毒新變種感染的可疑檔案。
219

（反網路
釣⿂）
偵測到威
脅後的動
作

封鎖

如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件將封鎖存取物件並在瀏覽器中顯⽰⼀條訊息。

設定惡意網址偵測⽅法
Web 威脅防護使⽤病毒資料庫、卡巴斯基安全網路雲端服務和啟發式分析偵測惡意網址。
您只能在管理主控台 (MMC) 或者應⽤程式的本機介⾯中選擇惡意網址偵測⽅法。您不能在網⾴主控台或者
雲端主控台中選擇惡意網址偵測⽅法。預設選項是使⽤啟發式分析（中度掃描）根據惡意位址資料庫檢查網址。

使⽤惡意位址資料庫掃描
掃描連接以確定它們是否包含在惡意網址資料庫中，可以讓您追蹤被新增到拒絕清單的網站。惡意網址資料庫由
Kaspersky 維護，包含在程式安裝套件中，並透過 Kaspersky Endpoint Security 資料庫更新進⾏補充。
Kaspersky Endpoint 將掃描所有連接，以確定它們是否在惡意網址資料庫中。應⽤程式的安全連線掃描設定
不會影響連接掃描功能。換句話說，如果停⽤了加密連線掃描，即使網路流量是透過加密連線傳輸的，
Kaspersky Endpoint Security 也會根據惡意網址資料庫檢查連接。
如何啟⽤或者停⽤使⽤管理主控台 (MMC) 根據惡意網址資料庫檢查網址

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → Web 威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中，在“掃描⽅式”塊中，選擇或者清除“檢查網址是否在惡意網址資料庫中”核取⽅塊來啟⽤
或者停⽤檢查網址是否在惡意網址資料庫中。
7. 儲存變更。
如何在應⽤程式介⾯中啟⽤或者停⽤檢查網址是否在惡意網址資料庫中。

220

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“Web 威脅防護”。
3. 單擊“進階設定”。
4. 在“掃描⽅式”塊中，選擇或者清除“檢查網址是否在惡意網址資料庫中”核取⽅塊來啟⽤或者停⽤檢查網址
是否在惡意網址資料庫中。
5. 儲存變更。

啟發式分析
在啟發式分析中，Kaspersky Endpoint Security 將分析應⽤程式在作業系統中的活動。啟發式分析可以偵測
Kaspersky Endpoint Security 資料庫中尚無記錄的安全威脅。
當掃描網路流量中的病毒和其他構成威脅的應⽤程式時，啟發式分析將在可執⾏檔案中執⾏指令。啟發式分析器
執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。
如何在管理主控台（MMC）中啟⽤或停⽤啟發式分析

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → Web 威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 如果希望應⽤程式在掃描 Web 流量中的病毒和其他惡意軟體時使⽤啟發式分析，請在“掃描⽅式“塊中，選中“使⽤啟發式分析”核取⽅塊。
7. 使⽤捲軸設定啟發式分析等級：輕度掃描、中度掃描或深度掃描。
當掃描網路流量中的病毒和其他構成威脅的應⽤程式時，啟發式分析將在可執⾏檔案中執⾏指令。啟發
式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。
8. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤啟發式分析221

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“Web 威脅防護”。
3. 單擊“進階設定”。
4. 如果希望應⽤程式在掃描 Web 流量中的病毒和其他惡意軟體時使⽤啟發式分析，請在“掃描⽅式“塊中，選中“使⽤啟發式分析”核取⽅塊。
當掃描網路流量中的病毒和其他構成威脅的應⽤程式時，啟發式分析將在可執⾏檔案中執⾏指令。啟發
式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。
5. 儲存變更。

釣⿂網站防護Web 威脅防護可檢查連接來查看他們是否屬於網路釣⿂網址。這有助於防範“釣⿂攻擊”。釣⿂攻擊常常帶有偽裝，比如從您銀⾏發來的帶有銀⾏官⽅網站連結的電⼦郵件訊息。點擊此連結，您將進入銀⾏網站的完整複製網
站，甚⾄可以在瀏覽器位址欄看到其真實位址，即使您在假網站上。從此刻起，您在網站上的所有操作都將被追蹤，進⽽⽤來竊取您的⾦錢。
由於釣⿂網站的連結不僅能透過電⼦郵件訊息傳送，⽽且還可能來⾃其他來源（比如即時訊息軟體），因此“Web 威脅防護”元件將在 Web 流量掃描等級監視您存取釣⿂網站的操作並封鎖您存取此類網站。Kaspersky
Endpoint Security 分發套件中包含釣⿂網址清單。
您只能在管理主控台 (MMC) 或者應⽤程式的本機介⾯中設定網路釣⿂防護。您不能在網⾴主控台或者雲端
主控台中設定網路釣⿂防護。預設啟⽤使⽤啟發式分析進⾏網路釣⿂防護。
如何在管理主控台（MMC）中啟⽤或停⽤網路釣⿂防護222

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → Web 威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中，在網路釣⿂防護設定塊中，選擇或者清除檢查網址是否在釣⿂網址資料庫中核取⽅塊
以啟⽤或停⽤反網路釣⿂。
釣⿂網址資料庫包含⽬前⽤於啟動釣⿂攻擊的已知網站的位址。卡巴斯基使⽤從名為“釣⿂防護⼯作組”的國際組織獲得的位址來補充網路釣⿂連線資料庫。釣⿂位址資料庫包含在程式安裝套件中，並透過
Kaspersky Endpoint Security 資料庫更新進⾏補充。
7. 如果希望應⽤程式在掃描網⾴中的釣⿂連結時使⽤啟發式分析，請選中“使⽤啟發式分析”核取⽅塊。
在啟發式分析中，Kaspersky Endpoint Security 將分析應⽤程式在作業系統中的活動。啟發式分析可以偵
測 Kaspersky Endpoint Security 資料庫中尚無記錄的安全威脅。
若要掃描連接，除了病毒資料庫和啟發式分析外，您還可以使⽤卡巴斯基安全網路信譽資料庫。
8. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤網路釣⿂防護1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“Web 威脅防護”。
3. 單擊“進階設定”。
4. 如果您希望 Web 威脅防護元件根據網路釣⿂網址資料庫檢查連結，請選中“釣⿂防護“塊中的“檢查網址是否在釣⿂網址資料庫中”核取⽅塊。釣⿂網址資料庫包含⽬前⽤於啟動釣⿂攻擊的已知網站的位址。卡巴
斯基使⽤從名為“釣⿂防護⼯作組”的國際組織獲得的位址來補充網路釣⿂連線資料庫。釣⿂位址資料庫包含在程式安裝套件中，並透過 Kaspersky Endpoint Security 資料庫更新進⾏補充。
5. 如果希望應⽤程式在掃描網⾴中的釣⿂連結時使⽤啟發式分析，請選中“使⽤啟發式分析”核取⽅塊。
在啟發式分析中，Kaspersky Endpoint Security 將分析應⽤程式在作業系統中的活動。啟發式分析可以偵
測 Kaspersky Endpoint Security 資料庫中尚無記錄的安全威脅。
若要掃描連接，除了病毒資料庫和啟發式分析外，您還可以使⽤卡巴斯基安全網路信譽資料庫。
6. 儲存變更。

建立受信任網址清單

223

Web 威脅防護除了封鎖惡意網站和釣⿂網站外，還可以封鎖其它網站。例如，Web 威脅防護可以封鎖不符合
RFC 標準的 HTTP 流量。您可以為您信任其內容的網址建立⼀個清單。“Web 威脅防護”元件不會分析來⾃受信任網址的資訊，不會檢查它們中是否含有病毒或其他威脅。在⼀些情況下本選項⼗分有⽤，例如，當“Web 威脅防護”元件⼲擾您從⼀個已知網站上下載檔案時。
網址可以是某特定網⾴的位址，也可以是某網站的位址。
如何使⽤管理主控台 (MMC) 新增受信任網址

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → Web 威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選擇“受信任網址”標籤。
7. 選擇“不掃描受信任網址的 Web 流量”核取⽅塊。
如果選中此⽅塊，“Web 威脅防護”元件將不再掃描其網址包含在受信任網址清單中的網⾴或網站的內容。
您可以將網⾴/網站的特定位址和位址遮罩新增⾄受信任網址清單。
8. 為您信任其內容的網⾴或網址建立清單。
Kaspersky Endpoint Security 輸入遮罩時⽀援* 和 ?字元。
您還可以從 XML 檔案匯入受信任網址清單。
9. 儲存變更。
如何在網⾴主控台和雲端主控台中新增受信任網址

224

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”Web 威脅防護”。
5. 在“受信任網址“塊中，選中“不掃描受信任網址的 Web 流量”核取⽅塊。
如果選中此⽅塊，“Web 威脅防護”元件將不再掃描其網址包含在受信任網址清單中的網⾴或網站的內容。
您可以將網⾴/網站的特定位址和位址遮罩新增⾄受信任網址清單。
6. 為您信任其內容的網⾴或網址建立清單。
Kaspersky Endpoint Security 輸入遮罩時⽀援* 和 ?字元。
您還可以從 XML 檔案匯入受信任網址清單。
7. 儲存變更。
如何在應⽤程式介⾯中新增受信任網址

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“Web 威脅防護”。
3. 單擊“進階設定”。
4. 選取“不掃描來⾃以下的 Web 流量受信任網址”核取⽅塊。
如果選中此⽅塊，“Web 威脅防護”元件將不再掃描其網址包含在受信任網址清單中的網⾴或網站的內容。
您可以將網⾴/網站的特定位址和位址遮罩新增⾄受信任網址清單。
5. 為您信任其內容的網⾴或網址建立清單。
Kaspersky Endpoint Security 輸入遮罩時⽀援* 和 ?字元。
您還可以從 XML 檔案匯入受信任網址清單。
6. 儲存變更。
因此，Web 威脅防護不掃描受信任網址的流量。使⽤者總是可以從該網站開啟受信任網站並下載檔案。如果無法獲得網站的存取權限，請檢查加密連線掃描、Web 控制和網路連接埠監控元件。如果 Kaspersky Endpoint
Security 偵測到從受信任網站下載的檔案為惡意檔案，您可以“將該檔案新增到排除項⽬”。
您也可以建立⼀個通⽤加密連線排除項⽬清單。在此情況下，當 Web 威脅防護、郵件威脅防護、Web 控制元件
執⾏⼯作時，Kaspersky Endpoint Security 不掃描受信任網址的 HTTPS 流量。

匯出和匯入受信任網址的清單您可以將受信任網址清單匯出到 XML 檔案。然後，您可以修改檔案，例如，新增⼤量相同類型的網址。您還可
以使⽤匯出/匯入功能來備份受信任的網址清單，或將清單遷移到其他伺服器。
225

如何在管理主控台 (MMC) 中匯出和匯入受信任的網址清單

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → Web 威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選擇“受信任網址”標籤。
7. 要匯出受信任網址清單：
a. 選擇您要匯出的受信任網址。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果未選擇任何受信任網址，則 Kaspersky Endpoint Security 將匯出所有網址。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將受信任網址清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個受信任網址清單匯出到 XML 檔案。
8. 要匯入受信任網址的清單：
a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入受信任網址清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有受信任網址清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML
檔案向其中新增新項⽬。
9. 儲存變更。
如何在網⾴主控台和雲端主控台中匯出和匯入受信任的網址清單

226

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”Web 威脅防護”。
5. 要匯出”受信任網址”塊中的排除項⽬清單：
a. 選擇您要匯出的受信任網址。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將受信任網址清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個受信任網址清單匯出到 XML 檔案。
6. 要匯入“受信任網址“塊中的排除項⽬清單：
a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入受信任網址清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有受信任網址清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML
檔案向其中新增新項⽬。
7. 儲存變更。

郵件威脅防護“郵件威脅防護”元件掃描傳送和接收電⼦郵件的附件是否有病毒和其他威脅。該元件借助防毒資料庫、卡巴斯基
安全網路雲端服務和啟發式分析來提供電腦防護。
郵件威脅防護可以掃描傳入和傳出的郵件。該應⽤程式在以下郵件⽤⼾端中⽀援 POP3、SMTP、IMAP 和
NNTP：
Microsoft O ice Outlook
Mozilla Thunderbird
Windows Mail
郵件威脅防護不⽀援其他協定和郵件⽤⼾端。

227

郵件威脅防護並不總是能夠獲得協定級別的郵件存取權限（例如，當使⽤ Microsoft Exchange 解決⽅案時）。為
此，郵件威脅防護包括 Microsoft O ice Outlook 延伸程式。該延伸程式允許在郵件⽤⼾端級別掃描郵件。郵件
威脅防護延伸⽀援 Outlook 2010、2013、2016 和 2019 的操作。
如果在瀏覽器中開啟郵件⽤⼾端，“郵件威脅防護”元件不會掃描郵件。
如果在附件中偵測到惡意檔案，Kaspersky Endpoint Security 會將有關已執⾏操作的資訊新增到郵件主旨，例如，[郵件已處理] <郵件主旨>。

啟⽤和停⽤郵件威脅防護
預設情況下，“郵件威脅防護”元件已啟⽤並在 Kaspersky 專家建議的模式下執⾏。對於郵件威脅防護，Kaspersky
Endpoint Security 可套⽤不同的設定群組。這些儲存在應⽤程式中的設定群組稱為安全防護等級：⾼、建議、低。建議郵件安全防護等級設定將被視為 Kaspersky 專家建議的最佳設定（請⾒下文）。您可以選取某個預設的
電⼦郵件安全防護等級，也可以設定⾃訂電⼦郵件安全防護等級。如果您變更了電⼦郵件安全防護等級，您可以隨時還原為建議的電⼦郵件安全防護等級設定。
使⽤ Mozilla Thunderbird 郵件⽤⼾端時，如果使⽤篩檢程式將訊息移出“收件箱”資料夾，“郵件威脅防護”元件
將不能掃描病毒、其他惡意程式或經由 IMAP 協定傳送的電⼦郵件。

要啟⽤或停⽤“郵件威脅防護”元件：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“郵件威脅防護”。
3. 使⽤“郵件威脅防護“切換開關可啟⽤或停⽤元件。
4. 如果啟⽤了該元件，請在“安全等級“塊中執⾏下列操作之⼀：
如果您希望套⽤⼀種預設的安全防護等級，請使⽤移動滑桿選取：
⾼選擇此電⼦郵件安全等級時，“郵件威脅防護”元件會最徹底地掃描電⼦郵件。“郵件威脅防護”元件將
掃描傳送和接收的電⼦郵件訊息，並執⾏深度啟發式分析。對於⾼風險環境，建議使⽤“⾼“郵件安全防護等級。這種情況的⼀個例⼦就是，未獲得集中式電⼦郵件防護的家⽤網路連線免費的電⼦郵件服務。
建議此電⼦郵件安全等級在 Kaspersky Endpoint Security 的效能和電⼦郵件安全性之間提供最佳平衡。
“郵件威脅防護”元件將掃描傳送和接收的電⼦郵件，並執⾏中度啟發式分析。Kaspersky 專家建議採⽤
這⼀郵件流量安全等級。下表提供了建議的安全防護等級的設定值。
低選擇此電⼦郵件安全等級時，“郵件威脅防護”元件只掃描接收的電⼦郵件訊息，執⾏輕度啟發式分
析，不掃描電⼦郵件的壓縮套件附件。在這⼀郵件安全等級中，“郵件威脅防護”元件將使⽤最少的作業
系統資源，以最⼤速度掃描電⼦郵件。在防護良好的環境中⼯作時，建議使⽤“低”郵件安全等級。這類
環境的⼀個例⼦是具有集中式電⼦郵件防護的企業區域網路。
如果要設定⾃訂安全防護等級，請點擊“進階設定“按鈕然後定義您⾃⼰的元件設定。
您可以透過點擊“還原建議的安全等級”按鈕來還原預設安全等級的值。.
5. 儲存變更。
卡巴斯基專家建議的郵件威脅防護設定（建議的安全防護等級）
228

參數

值

描述

防護範圍

接收
和傳
送的
郵件

防護範圍包括元件執⾏時檢查的物件： 接收和傳送的郵件或僅接收的訊息 。

連線
Microsoft
Outlook
延伸程式

開如果選中該核取⽅塊，則在 Microsoft Outlook 中集成的延伸程式⼀側啟⽤對透過
POP3、SMTP、NNTP、IMAP 協定傳輸的電⼦郵件的掃描。

掃描附件
中的壓縮
檔案

開

掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。
應⽤程式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏
巡迴解壓縮。這可讓⼈偵測多層封存（封存內的封存）內的威脅。

掃描
Microsoft
O ice 格式的附加檔案開掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。O ice 格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1
MB 的 o ice 格式檔案，無論該核取⽅塊是否被選中。

附件篩選

重新
命名
選取
類型
的附
件

如果選擇此選項，郵件威脅防護元件將⽤下劃線字符（例如，attachment.doc__）
替換在指定類型的附件檔案中找到的最後⼀個延伸字符。因此，為了開啟檔案，使⽤者必須重命名檔案。

啟發式分
析

中度
掃描

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可
以偵測受未知病毒或已知病毒新變種感染的可疑檔案。

為了防護您的電腦，您只需要掃描傳入的郵件。您可以開啟對傳出郵件的掃描功
能，以防⽌受感染的檔案在存檔中傳送。如果要防⽌傳送特定格式的檔案（例如⾳訊和視訊檔案），您也可以開啟傳出郵件的掃描功能。

如果使⽤ Microsoft Outlook 的延伸程式掃描郵件，建議使⽤緩衝區的交換模式。
有關 Cached Exchange 模式的詳細資訊和對其⽤途的建議，請參閱 Microsoft 知識庫。

掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟發式分析
器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋
新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。
偵測到威
脅後的動
作

解
毒；
若解
毒失
敗則
刪除

在入站或出站郵件中偵測到受感染的物件時，Kaspersky Endpoint Security 會嘗試
對偵測到的物件進⾏解毒。使⽤者將能夠存取帶安全附件的郵件。如果無法解毒物
件，Kaspersky Endpoint Security 將刪除受感染的物件。Kaspersky Endpoint
Security 會將有關已執⾏操作的資訊新增到郵件主旨，例如，[郵件已處理] <郵件
主旨>。

變更對受感染電⼦郵件採取的操作
預設情況下，“郵件威脅防護”元件將⾃動嘗試對已經偵測到的所有受感染電⼦郵件執⾏解毒操作。如果解毒失敗，“郵件威脅防護”元件會刪除感染的電⼦郵件。

若變更對受感染電⼦郵件執⾏的操作，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“郵件威脅防護”。
3. 在“偵測到威脅後的動作”塊中選取 Kaspersky Endpoint Security 對偵測到受感染郵件執⾏的操作：
229

解毒；若解毒失敗則刪除在入站或出站郵件中偵測到受感染的物件時，Kaspersky Endpoint Security 會嘗
試對偵測到的物件進⾏解毒。使⽤者將能夠存取帶安全附件的郵件。如果無法解毒物件，Kaspersky
Endpoint Security 將刪除受感染的物件。Kaspersky Endpoint Security 會將有關已執⾏操作的資訊新增到
郵件主旨，例如，[郵件已處理] <郵件主旨>。
解毒；若解毒失敗則封鎖在入站郵件中偵測到受感染的物件時，Kaspersky Endpoint Security 會嘗試對偵
測到的物件進⾏解毒。使⽤者將能夠存取帶安全附件的郵件。如果無法解毒物件，Kaspersky Endpoint
Security 會將警告新增到郵件主旨。使⽤者將能夠存取帶原始附件的郵件。在出站郵件中偵測到受感染的物件時，Kaspersky Endpoint Security 會嘗試對偵測到的物件進⾏解毒。如果無法解毒物件，Kaspersky
Endpoint Security 會封鎖郵件的傳輸，郵件⽤⼾端會顯⽰錯誤。
封鎖如果在入站郵件中偵測到受感染的物件，Kaspersky Endpoint Security 會將警告新增到郵件主旨。使⽤者將能夠存取帶原始附件的郵件。如果在出站郵件中偵測到受感染的物件，Kaspersky Endpoint Security
會封鎖郵件的傳輸，郵件⽤⼾端會顯⽰錯誤。
4. 儲存變更。

構成“郵件威脅防護”元件的防護範圍
防護範圍是指活動時被該元件掃描的物件。不同元件的防護範圍有不同的參數。“郵件威脅防護”元件的防護範圍內容包括將“郵件威脅防護”元件整合⾄郵件⽤⼾端的設定，以及被“郵件威脅防護”元件掃描流量的電⼦郵件類型和電⼦郵件協定。預設情況下，Kaspersky Endpoint Security 將掃描透過 POP3、SMTP、NNTP 和 IMAP 協定進出
的電⼦郵件和流量，並且該掃描與 Microsoft O ice Outlook 電⼦郵件⽤⼾端相整合。

要構成“郵件威脅防護”元件的防護範圍：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“郵件威脅防護”。
3. 單擊“進階設定”。
4. 在“防護範圍“塊中，選擇要掃描的訊息：接收和傳送的郵件
僅接收訊息
為了防護您的電腦，您只需要掃描傳入的郵件。您可以開啟對傳出郵件的掃描功能，以防⽌受感染的檔案在存檔中傳送。如果要防⽌傳送特定格式的檔案（例如⾳訊和視訊檔案），您也可以開啟傳出郵件的掃描功能。
如果您選取僅掃描接收的郵件，建議為所有傳送的郵件執⾏⼀次性掃描，因為有可能您的電腦存有郵件
蠕蟲病毒並且會透過郵件傳播。這有助於避免因未監控電腦⼤量電⼦郵件散播⽽造成的問題。
5. 在“連線”塊中執⾏下列操作：
如果您希望“郵件威脅防護”元件在經由 POP3、SMTP、NNTP 和 IMAP 協議傳送的電⼦郵件被使⽤者的電腦收到之前進⾏掃描，請選取“掃描 POP3、SMTP、NNTP 和 IMAP 流量”核取⽅塊。

230如果您不希望“郵件威脅防護”元件在經由 POP3、SMTP、NNTP 和 IMAP 協議傳送的電⼦郵件到達使⽤者的電腦之前進⾏掃描，請清除“掃描 POP3、SMTP、NNTP 和 IMAP 流量”核取⽅塊。在這種情況下，如果選
定了“連線 Microsoft Outlook 延伸程式”核取⽅塊，使⽤者電腦上接收到郵件時，郵件將經過 Microsoft
O ice Outlook 郵件⽤⼾端中嵌入的“郵件威脅防護”延伸外掛程式的掃描。
如果您使⽤的郵件⽤⼾端不是 Microsoft O ice Outlook，則如果清理了“掃描 POP3、SMTP、NNTP
和 IMAP 流量”核取⽅塊，郵件威脅防護元件不會掃描經由 POP3、SMTP、NNTP 和 IMAP 通訊協定傳
輸的電⼦郵件。
如果您希望允許從 Microsoft O ice Outlook 存取“郵件威脅防護”設定並且希望經由 POP3、SMTP、
NNTP、IMAP 和 MAPI 協議傳送的郵件在到達電腦後由嵌入在 Microsoft O ice Outlook 的延伸外掛程式進
⾏掃描，請選取“連線 Microsoft Outlook 延伸程式”核取⽅塊。
如果您希望封鎖從 Microsoft O ice Outlook 存取“郵件威脅防護”設定並且禁⽌經由 POP3、SMTP、
NNTP、IMAP 和 MAPI 協議傳送的郵件在到達電腦後由嵌入在 Microsoft O ice Outlook 的延伸外掛程式進
⾏掃描，請清除“連線 Microsoft Outlook 延伸程式”核取⽅塊。
“郵件威脅防護”延伸程式在安裝 Kaspersky Endpoint Security 時嵌入在 Microsoft O ice Outlook 郵件
⽤⼾端中。
6. 儲存變更。

掃描附加於電⼦郵件中的複合檔案您可以啟⽤或停⽤掃描郵件附件，限制要掃描的郵件附件的最⼤⼤⼩並限制郵件附件最⼤掃描時⻑。

若要設定對附加於電⼦郵件中的複合檔案掃描：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“郵件威脅防護”。
3. 單擊“進階設定”。
4. 在“掃描複合檔案“塊中，配置掃描設定：
掃描 Microsoft O ice 格式的附加檔案掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他
Microsoft 副檔名）。O ice 格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1 MB 的
o ice 格式檔案，無論該核取⽅塊是否被選中。
掃描附件中的壓縮檔案掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。應⽤程式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏巡迴解壓縮。這可讓⼈偵
測多層封存（封存內的封存）內的威脅。
如果在掃描期間 Kaspersky Endpoint Security 在郵件的文字中偵測到存檔的密碼，該密碼將被⽤來掃
描惡意應⽤程式的存檔的內容。在此情況下不儲存密碼。存檔在掃描期間被解壓縮。如果在解壓縮過
程中發⽣應⽤程式錯誤，您可以⼿動刪除儲存到以下路徑的解壓縮檔案： %systemroot%\temp。這些檔案有 PR 前綴。
不掃描⼤於該值的存檔 N MB。如果選擇此⽅塊，“郵件威脅防護”元件將在掃描中排除⼤⼩超過指定值的電
⼦郵件附件。如果清空此⽅塊，則“郵件威脅防護”元件可以掃描任意尺⼨的電⼦郵件附件。
231

限制壓縮檔案的檢查時間為 N 秒。如果選擇此⽅塊，則分配的⽤於掃描電⼦郵件壓縮檔案附件的時間將被
限制為指定的⻑度。
5. 儲存變更。

電⼦郵件訊息附件篩選附件篩選功能不適⽤於發出的電⼦郵件。
惡意應⽤程式會以電⼦郵件附件的形式傳播。您可以根據郵件附件類型設定篩選，指定類型的檔案可以被⾃動重
新命名或刪除。透過重新命名某種類型的附件，Kaspersky Endpoint Security 可以防護您的電腦，防禦惡意應⽤
程式的⾃動執⾏。

若要設定附件的篩選，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“郵件威脅防護”。
3. 單擊“進階設定”。
4. 在“附件篩選”塊中執⾏以下操作之⼀：
停⽤篩選功能如果選擇此選項，“郵件威脅防護”元件將不篩選屬於電⼦郵件附件的檔案。
重新命名選取類型的附件如果選擇此選項，郵件威脅防護元件將⽤下劃線字符（例如，attachment.doc__）替換在指定類型的附件檔案中找到的最後⼀個延伸字符。因此，為了開啟檔案，使⽤者必須重命名檔案。
刪除選取類型的附件如果選擇此選項，“郵件威脅防護”元件將從電⼦郵件中刪除指定的附件類型。
5. 如果您在上個步驟中選取了“重新命名選取類型的附件”選項或者“刪除選取類型的附件”選項，則選取相應類型
檔案旁的核取⽅塊。
6. 儲存變更。

匯出和匯入附件篩選延伸程式
您可以將附件篩選延伸程式清單匯出到 XML 檔案。您可以使⽤匯出/匯入功能來備份延伸程式清單，或將清單遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入附件篩選延伸程式清單232

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 郵件威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選取“附件封包”標籤。
7. 要匯出延伸程式清單：
a. 選擇您要匯出的延伸程式。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
b. 點擊“匯出”連接。
c. 在開啟的視窗中，指定您要將延伸程式清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個延伸程式清單匯出到 XML 檔案。
8. 要匯入延伸程式清單：
a. 點擊”匯入”連接。
b. 在開啟的視窗中，選取要從中匯入延伸程式清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有延伸程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
9. 儲存變更。
如何在網⾴主控台和雲端主控台中匯出和匯入附件篩選延伸程式清單233

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”郵件威脅防護”。
5. 要匯出“附件篩選“塊中的延伸程式清單：
a. 選擇您要匯出的延伸程式。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將延伸程式清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個延伸程式清單匯出到 XML 檔案。
6. 要匯入“附件篩選“塊中的延伸程式清單：
a. 點擊”匯入”連接。
b. 在開啟的視窗中，選取要從中匯入延伸程式清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有延伸程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
7. 儲存變更。

掃描 Microsoft O ice Outlook 中的電⼦郵件
在 Kaspersky Endpoint Security 安裝期間，“郵件威脅防護”延伸程式嵌入到 Microsoft O ice Outlook（以下簡稱Outlook）中。該延伸程式允許在郵件⽤⼾端級別⽽不是協定級別掃描郵件。除了郵件之外，該延伸程式還允許
您掃描透過 MAPI 接⼝從 Microsoft Exchange 儲存庫接收到的物件（例如，⽇曆中的物件）。此掃描在郵件⽤⼾
端中進⾏。
您可從 Outlook 內部快速開啟“郵件威脅防護”元件設定，指定在何時掃描電⼦郵件以尋找掃描病毒和其他威脅。
郵件威脅防護延伸⽀援 Outlook 2010、2013、2016 和 2019 的操作。
在 Outlook 中，接收的電⼦郵件⾸先由“郵件威脅防護”元件進⾏掃描（如果在 Kaspersky Endpoint Security 介⾯
中選定了“掃描 POP3、SMTP、NNTP 和 IMAP 流量”核取⽅塊），然後由 Outlook 的“郵件威脅防護”延伸程式進⾏掃描。如果“郵件威脅防護”元件在郵件中偵測到惡意物件，會就此事件向您發出警訊。

234

如果在 Kaspersky Endpoint Security 介⾯中選定了“Microsoft Outlook 延伸程式已連線”，則可以直接在 Outlook
中配置“郵件威脅防護”元件設定（請⾒下圖）。

Outlook 中的郵件威脅防護元件設定

傳送的電⼦郵件⾸先由 Outlook 的“郵件威脅防護”延伸程式進⾏掃描，然後由“郵件威脅防護”元件進⾏掃描。
如果使⽤ Outlook 的“郵件威脅防護”延伸程式掃描郵件，建議使⽤緩衝區的交換模式。有關 CachedExchange 模式的詳細資訊和對其⽤途的建議，請參閱 Microsoft 知識庫 。

要設定 Outlook 的“郵件威脅防護”延伸程式的作業模式：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 郵件威脅防護”。
5. 在”安全防護等級”塊中，點擊”設定”按鈕。
6. 在”連線”塊中，點擊”設定”按鈕。
7. 在“電⼦郵件防護”視窗中執⾏下列操作之⼀：
如果您希望 Outlook 的“郵件威脅防護”延伸程式在郵件到達信箱時進⾏掃描，選取“接收時掃描”核取⽅塊。
如果您希望 Outlook 的“郵件威脅防護”延伸程式在使⽤者開啟郵件時進⾏掃描，請選中“讀取時掃描”核取⽅塊。
如果您希望 Outlook 的“郵件威脅防護”延伸程式在傳送郵件時掃描郵件，請選中“傳送時掃描”核取⽅塊。
8. 儲存變更。

網路威脅防護235

網路威脅防護元件（也稱為入侵偵測系統）可監控入站網路流量以了解網路攻擊的活動特徵。當 Kaspersky
Endpoint Security 偵測到在使⽤者電腦上有網路攻擊企圖時，它將封鎖與攻擊電腦的連線。Kaspersky Endpoint
Security 資料庫提供⽬前已知類型的網路攻擊以及應對⽅法。“網路威脅防護”元件偵測到的網路攻擊清單在資料
庫和應⽤程式模組更新期間更新。

啟⽤和停⽤網路威脅防護
預設情況下，“網路威脅防護”已啟⽤並在最佳化模式下執⾏。Kaspersky Endpoint Security 會監控入站網路流量以
了解網路攻擊的活動特徵並封鎖攻擊。
如何在管理主控台（MMC）中啟⽤或停⽤網路威脅防護元件

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 網路威脅防護”。
5. 使⽤“網路威脅防護“核取⽅塊來啟⽤或停⽤元件。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤“網路威脅防護”元件

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”網路威脅防護”。
5. 使⽤“網路威脅防護“切換開關可啟⽤或停⽤元件。
6. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤網路威脅防護

236

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“網路威脅防護”。

網路威脅防護設定

3. 使⽤“網路威脅防護“切換開關可啟⽤或停⽤元件。
4. 儲存變更。

封鎖發動攻擊的電腦
如果啟⽤網路威脅防護元件，Kaspersky Endpoint Security 會⾃動封鎖網路威脅。此外，該應⽤程式可以封鎖發動攻擊的電腦並在⼀定時間內限製傳送網路封包。預設情況下，Kaspersky Endpoint Security 會封鎖電腦⼀⼩時。
如何在管理主控台 (MMC) 中封鎖發動攻擊的電腦

237

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 網路威脅防護”。
5. 在網路威脅防護設定下⾯，選擇 封鎖攻擊裝置 氮 分 核取⽅塊。
如果啟⽤此選項，“網路威脅防護”元件將把發動攻擊的電腦新增⾄封鎖清單。這意味著，“網路威脅防護”
元件將會在該發動攻擊的電腦的⾸次網路攻擊嘗試後的指定時間段內，封鎖與該電腦的網路連線。此封
鎖操作將會⾃動防護電腦避免以後來⾃同⼀位址的攻擊。發動攻擊的電腦必須待在封鎖清單中的最短時
間為⼀分鐘。最⻑時間為 999 分鐘。
6. 在“封鎖攻擊裝置 N 分”核取⽅塊右側的欄位中，為發動攻擊的電腦設定不同的封鎖時⻑。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中封鎖發動攻擊的電腦

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”網路威脅防護”。
5. 在網路威脅防護設定下⾯，選擇 封鎖攻擊裝置 氮 分鐘 核取⽅塊。
如果啟⽤此選項，“網路威脅防護”元件將把發動攻擊的電腦新增⾄封鎖清單。這意味著，“網路威脅防護”
元件將會在該攻擊電腦的⾸次網路攻擊嘗試後的指定時間段內，封鎖與該電腦的網路連線。此封鎖操作
將會⾃動防護電腦避免以後來⾃同⼀位址的攻擊。攻擊電腦必須待在封鎖清單中的最短時間為⼀分鐘。
最⻑時間為 999 分鐘。
6. 在“封鎖攻擊裝置 N 分鐘”核取⽅塊下的欄位中，為發動攻擊的電腦設定不同的封鎖時⻑。
7. 儲存變更。
如何在應⽤程式的使⽤者介⾯中封鎖發動攻擊的電腦238

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“網路威脅防護”。

網路威脅防護設定

3. 開啟 封鎖攻擊裝置 氮 分鐘 切換開關。
如果啟⽤此選項，“網路威脅防護”元件將把發動攻擊的電腦新增⾄封鎖清單。這意味著，“網路威脅防護”
元件將會在該攻擊電腦的⾸次網路攻擊嘗試後的指定時間段內，封鎖與該電腦的網路連線。此封鎖操作
將會⾃動防護電腦避免以後來⾃同⼀位址的攻擊。攻擊電腦必須待在封鎖清單中的最短時間為⼀分鐘。
最⻑時間為 999 分鐘。
4. 在“封鎖攻擊裝置 N 分鐘”切換開關下的欄位中，為發動攻擊的電腦設定不同的封鎖時⻑。
5. 儲存變更。
因此，當 Kaspersky Endpoint Security 偵測到在使⽤者電腦上有網路攻擊企圖時，它將封鎖與發動攻擊的電腦的
所有連線。
當指定時間⽤完時，Kaspersky Endpoint Security 會解除對電腦的封鎖。除了報告中的偵測到網路攻擊事件之外，卡巴斯基安全管理中⼼主控台不提供⽤於監控被封鎖電腦的其他⼯具。您只能在應⽤程式介⾯中檢視封鎖電腦的清單。此功能由網路監控⼯具提供。您還可以使⽤網路監控⼯具來解鎖電腦。

要解鎖電腦：
1. 在應⽤程式主視窗的“正在監控”區域中，點擊“網路監控”圖標。
2. 選擇“已封鎖的電腦”標籤。
239

這將開啟被封鎖電腦清單（⾒下圖）。
重新啟動應⽤程式以及變更網路威脅防護設定時，Kaspersky Endpoint Security 會清除封鎖清單。
3. 選擇您要取消封鎖的電腦，然後點擊解除封鎖。

被封鎖的電腦清單

設定排除在封鎖外的位址
Kaspersky Endpoint Security 可以識別網路攻擊並封鎖傳輸⼤量封包（例如，來⾃監視攝像機）的不安全網路連線。要使⽤受信任裝置，您可以將這些裝置的 IP 位址新增到排除項⽬清單中。您還可以選擇⽤於通信並允許特定
網路活動的協定和連接埠。
Kaspersky Endpoint Security 12.2 中新增了選擇排除哪些協定和連接埠的功能。確保應⽤程式和管理外掛程式已更新⾄版本 12.2 或更⾼版本。如果您使⽤的是早期版本的應⽤程式或管理插件，Kaspersky Endpoint
Security 只能依據 IP 位址允許網路活動。
如何在管理主控台 (MMC) 中設定排除在封鎖外的位址

240

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 網路威脅防護”。
5. 在”網路威脅防護設定”塊中，點擊”排除項⽬”按鈕。
6. 在開啟的視窗中，點擊“新增”按鈕。
7. 輸入不封鎖網路攻擊的電腦的 IP 位址。
如果需要，選擇透過其傳輸資料的協定和連接埠。
8. 儲存變更。
如何在網⾴主控台和雲端主控台中配置排除在封鎖外的位址

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”網路威脅防護”。
5. 在”網路威脅防護設定”塊中，點擊”排除項⽬”連接。
6. 在開啟的視窗中，點擊“新增”按鈕。
7. 輸入不封鎖網路攻擊的電腦的 IP 位址。
如果需要，選擇透過其傳輸資料的協定和連接埠。
8. 儲存變更。
如何在應⽤程式的使⽤者介⾯中設定排除在封鎖外的位址

241

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“網路威脅防護”。

網路威脅防護設定

3. 點擊”管理排除項⽬”連接。
4. 在開啟的視窗中，點擊“新增”按鈕。
5. 輸入不封鎖網路攻擊的電腦的 IP 位址。
如果需要，選擇透過其傳輸資料的協定和連接埠。
6. 儲存變更。

匯出和匯入封鎖排除項⽬清單您可以將排除項⽬清單匯出到 XML 檔案。然後，您可以修改檔案，例如，新增⼤量相同類型的位址。您還可以
使⽤匯出/匯入功能來備份排除項⽬清單，或將清單遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入排除項⽬清單242

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 網路威脅防護”。
5. 在”網路威脅防護設定”塊中，點擊”排除項⽬”按鈕。
6. 要匯出規則清單：
a. 選取您想要匯出的排除項⽬。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何排除項⽬，則 Kaspersky Endpoint Security 將匯出所有排除項⽬。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
7. 若要匯入排除項⽬清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
8. 儲存變更。
如何在網⾴主控台和 Cloud Console 中匯出和匯入排除項⽬清單

243

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”網路威脅防護”。
5. 在”網路威脅防護設定”塊中，點擊”排除項⽬”連接。
排除項⽬清單開啟。
6. 要匯出規則清單：
a. 選取您想要匯出的排除項⽬。
b. 單擊“匯出”。
c. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
d. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
e. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
7. 若要匯入排除項⽬清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
8. 儲存變更。

按類型配置針對網路攻擊的防護
Kaspersky Endpoint Security 使您可以管理針對以下類型網路攻擊的防護：網路泛洪是對組織的網路資源（例如 Web 伺服器）的攻擊。這種攻擊包括傳送⼤量請求以超載網路資源的帶寬。發⽣這種情況時，使⽤者將無法存取組織的網路資源。

連接埠掃描攻擊包括掃描電腦上的 UDP 連接埠、TCP 連接埠和網路服務。此攻擊使攻擊者可以在進⾏更危險
類型的網路攻擊之前確定電腦的漏洞程度。連接埠掃描還使攻擊者能夠識別電腦上的作業系統，並為該作業
系統選擇適當的網路攻擊。

244

MAC 欺騙攻擊包括變更網路裝置（網卡）的 MAC 位址。結果，攻擊者可以將傳送到某台裝置的資料重新導向到另⼀台裝置，並獲得對該資料的存取權限。Kaspersky Endpoint Security 允許您封鎖 MAC 欺騙攻擊並接收關於攻擊的通知。
如果某些允許的應⽤程式執⾏這些類型攻擊的典型操作，您可以停⽤對這些類型攻擊的偵測。這將有助於避免誤報。
預設情況下，Kaspersky Endpoint Security 不監視網路泛洪、連接埠掃描和 MAC 欺騙攻擊。
如何在管理主控台 (MMC) 中按類型配置網路威脅防護

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“關鍵威脅防護 → 網路威脅防護”。
5. 使⽤“將連接埠掃描和網路洪⽔當做攻擊處理”核取⽅塊來啟⽤或停⽤對這些攻擊的偵測。
如果啟⽤此功能，Kaspersky Endpoint Security 會監控網路流量以進⾏連接埠掃描和網路泛洪。如果偵測
到此類⾏為，應⽤程式會通知使⽤者並將相應事件傳送到卡巴斯基安全管理中⼼。該應⽤程式提供有關發出請求的電腦的資訊。此資訊對於及時回應很有必要。但是，Kaspersky Endpoint Security 不會封鎖發
出請求的電腦，因為此類流量可能在公司網路上很常⾒。
6. 在“MAC 欺騙防護模式”區域，選取以下選項之⼀：
不跟蹤 MAC 欺騙
通知
封鎖
7. 儲存變更。
如何在網⾴主控台和雲端主控台中配置網路威脅防護

245

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”關鍵威脅防護”→”網路威脅防護”。
5. 使⽤“將連接埠掃描和網路洪⽔當做攻擊處理”核取⽅塊來啟⽤或停⽤對這些攻擊的偵測。
如果啟⽤此功能，Kaspersky Endpoint Security 會監控網路流量以進⾏連接埠掃描和網路泛洪。如果偵測
到此類⾏為，應⽤程式會通知使⽤者並將相應事件傳送到卡巴斯基安全管理中⼼。該應⽤程式提供有關發出請求的電腦的資訊。此資訊對於及時回應很有必要。但是，Kaspersky Endpoint Security 不會封鎖發
出請求的電腦，因為此類流量可能在公司網路上很常⾒。
6. 使⽤ 網路威脅防護已啟⽤ 切換開關來啟⽤對這些攻擊的偵測。從以下選項中選取⼀個選項：
通知
封鎖
7. 儲存變更。
如何在應⽤程式介⾯中按類型配置網路威脅防護

246

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“網路威脅防護”。

網路威脅防護設定

3. 使⽤切换“將連接埠掃描和網路洪⽔當做攻擊處理”來啟⽤或停⽤對這些攻擊的偵測。
如果啟⽤此功能，Kaspersky Endpoint Security 會監控網路流量以進⾏連接埠掃描和網路泛洪。如果偵測
到此類⾏為，應⽤程式會通知使⽤者並將相應事件傳送到卡巴斯基安全管理中⼼。該應⽤程式提供有關發出請求的電腦的資訊。此資訊對於及時回應很有必要。但是，Kaspersky Endpoint Security 不會封鎖發
出請求的電腦，因為此類流量可能在公司網路上很常⾒。
4. 使⽤切换“MAC 欺騙防護”來啟⽤或停⽤對這些攻擊的偵測。
5. 在“偵測到 MAC 欺騙攻擊時”區域，選取以下選項之⼀：
通知
封鎖
6. 儲存變更。

防火牆

247

在網際網路或區域網路上⼯作時，防火牆會封鎖未經授權的電腦連線。防火牆還控制電腦上應⽤程式的網路活動。這允許您防護公司區域網路免受⾝分竊盜和其他攻擊。該元件借助防毒資料庫、卡巴斯基安全網路雲端服務
和預先定義的網路規則來提供電腦防護。
網路代理⽤於與卡巴斯基安全中⼼進⾏交互。防火牆會⾃動建立應⽤程式和網路代理正常⼯作所需的網路規則。結果，防火牆在电脑上開啟了多個連接埠。哪個連接埠開啟取決於电脑的⾓⾊（例如，分發點）。要了解將在电脑上開啟的連接埠的更多資訊，請參閱 卡巴斯基安全管理中⼼說明 。

網路規則
您可以在以下等級配置網路規則：

網路封包規則。網路封包規則將對網路封包進⾏限制，與應⽤程式無關。此類規則將限制透過特定連接埠的

選定資料協定傳送和接收的網路流量。Kaspersky Endpoint Security 具有預先定義的網路封包規則，其中的權
限由 Kaspersky 專家推薦。

應⽤程式網路規則。應⽤程式網路規則將對特定應⽤程式的網路活動進⾏限制。它們不僅將網路封包的特徵
列入重要參考因素，還把接收或傳送此網路封包的應⽤程式列入重要參考因素中。

應⽤程式對作業系統資源、處理程序和個⼈資料的控制存取由“主機入侵防禦”元件透過應⽤程式權限提供。
在應⽤程式⾸次啟動期間，“防火牆”會執⾏以下操作：
1. 使⽤下載的防毒資料庫檢查應⽤程式的安全性。
2. 在卡巴斯基安全網路中檢查應⽤程式安全性。
建議您加入卡巴斯基安全網路以幫助“防火牆”元件更有效地⼯作。
3. 將應⽤程式放置在其中⼀個信任群組中：受信任，低限制，⾼限制， 不信任。
信任群組定義了在控制應⽤程式活動時 Kaspersky Endpoint Security 所引⽤的權限。Kaspersky Endpoint
Security 會將應⽤程式放置在某個信任群組中，實際取決於該應⽤程式可能對電腦造成的危險等級⽽定。
Kaspersky Endpoint Security 將應⽤程式放置在“防火牆”和“主機入侵防禦”元件的信任群組中。您不能僅變更“防火牆”或“主機入侵防禦”的信任群組。

如果您拒絕加入 KSN 或沒有網路，Kaspersky Endpoint Security 會根據“主機入侵防禦”元件的設定將應⽤
程式放置在某個信任群組中。從 KSN 收到應⽤程式的信譽後，可以⾃動變更信任群組。
4. 它是根據信任群組封鎖應⽤程式的網路活動。例如，不允許“⾼限制”信任群組中的應⽤程式使⽤任何網路連線。
下次啟動應⽤程式時，Kaspersky Endpoint Security 會檢查該應⽤程式的完整性。如果應⽤程式未變更，則該元件將對其套⽤⽬前的網路權限。如果應⽤程式已經過修改，Kaspersky Endpoint Security 會分析應⽤程式，就像
它初次開機時⼀樣。

網路規則優先順序248

每條規則都有優先順序。規則在清單中的位置越⾼，優先順序越⾼。如果將網路活動新增到多條規則中，“防火牆”會根據優先等級最⾼的規則來管理網路活動。
網路封包規則的優先順序比應⽤程式網路規則⾼。如果網路封包規則和應⽤程式網路規則指定了同⼀類別的網路活動，則該網路活動將根據網路封包規則進⾏處理。
應⽤程式的網路規則以特定⽅式⼯作。應⽤程式的網路規則包括基於網路狀態的存取規則：公⽤網路，本機網路,
受信任網路。例如，預設情況下，“⾼限制 ”信任群組中的應⽤程式在所有狀態的網路中均不允許進⾏任何網路活動。如果為單個應⽤程式（⽗應⽤程式）指定了網路規則，則其他應⽤程式的⼦處理程序將依據⽗應⽤程式的網
路規則執⾏。如果應⽤程式沒有網路規則，則⼦程序將根據應⽤程式信任組的網路存取規則執⾏。
例如，對於瀏覽器 X 以外的所有應⽤程式，您已禁⽌所有狀態的網路中的任何網路活動。如果從瀏覽器 X（⽗應⽤程式）開始安裝瀏覽器 Y（⼦處理程序），則瀏覽器 Y 安裝程式將存取網路並下載必要的檔案。安裝後，根據
防火牆設定，瀏覽器 Y 將被拒絕執⾏任何網路連線。要禁⽌作為⼦處理程序的瀏覽器 Y 安裝程式的網路活動，必須為瀏覽器 Y 的安裝程式新增網路規則。

網路連線狀態“防火牆”允許您根據網路連線的狀態來控制網路活動。Kaspersky Endpoint Security 從電腦的作業系統接收網路連線狀態。作業系統中的網路連線狀態由使⽤者在設定連線時設定。您可以在 Kaspersky Endpoint Security 設定中
變更網路連線的狀態。“防火牆”將根據 Kaspersky Endpoint Security 設定⽽不是作業系統中的網路狀態來監控網路活動。
網路連線可具有下列狀態類型：
公⽤網路網路不受防毒應⽤程式、防火牆或篩檢程式防護（例如咖啡館中的 Wi-Fi）。當使⽤者操作連接到此
類網路的電腦時，防火牆可封鎖對此電腦的檔案和印表機的存取。外部使⽤者也無法透過共⽤資料夾存取資料，以及遠端存取該電腦的桌⾯。防火牆根據為每⼀個應⽤程式設定的網路規則，篩選應⽤程式的網路活動。
防火牆預設為網際網路分配公⽤網路狀態。您無法變更網際網路的狀態。
本機網路使⽤者對此電腦上的檔案和印表機的存取受限網路（例如，公司區域網路或家⽤網路）。
受信任網路其中的電腦不會曝露於被攻擊或未經授權的資料存取嘗試的安全網路。防火牆允許在具有此狀態
的網路中進⾏任何網路活動。

啟⽤或停⽤防火牆
預設情況下，防火牆為啟動狀態，各種功能均設定為最佳化。

要啟⽤或停⽤防火牆：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 使⽤“防火牆“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
結果，如果防火墻被啟⽤，Kaspersky Endpoint Security 將控制網路活動和封鎖未經授權的網路連線到您的電
腦，以及封鎖您的電腦上未經授權的應⽤程式的網路活動。網路活動也被網路威脅防護元件所控制。“網路威脅防護”元件將掃描接收的網路流量以偵測常⾒的網路攻擊活動。
249

Kaspersky Endpoint Security 會在報告中記錄網路攻擊事件，與防火墻設定無關。即使防火墻使⽤規則封鎖
了網路連線，因此防⽌了網路攻擊，網路威脅防護元件也會記錄網路攻擊事件。要求就您的組織內的電腦上的網路攻擊產⽣統計資訊。

變更網路連線狀態
防火牆預設為網際網路分配公⽤網路狀態。您無法變更網際網路的狀態。

若要變更網路連線狀態，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“可⽤網路”。
4. 選取您想要變更其狀態的網路連線。
5. 在“網路類型“列中，選擇網路連線的狀態：
公⽤網路網路不受防毒應⽤程式、防火牆或篩檢程式防護（例如咖啡館中的 Wi-Fi）。當使⽤者操作連接
到此類網路的電腦時，防火牆可封鎖對此電腦的檔案和印表機的存取。外部使⽤者也無法透過共⽤資料夾
存取資料，以及遠端存取該電腦的桌⾯。防火牆根據為每⼀個應⽤程式設定的網路規則，篩選應⽤程式的網路活動。
本機網路使⽤者對此電腦上的檔案和印表機的存取受限網路（例如，公司區域網路或家⽤網路）。
受信任網路其中的電腦不會曝露於被攻擊或未經授權的資料存取嘗試的安全網路。防火牆允許在具有此狀
態的網路中進⾏任何網路活動。
6. 儲存變更。

管理網路封包規則
您在管理網路封包規則時可執⾏以下操作：
建立新的網路封包規則。
您可以透過建立⼀個可應⽤於網路封包和資料流的條件集和操作集來建立新的網路封包規則。
啟⽤或停⽤網路封包規則。
預設情況下，由防火牆建立的所有網路封包規則處於“開”狀態。當啟⽤網路封包規則時，防火牆套⽤此規則。
您可以停⽤網路封包規則清單中選取的任何網路封包規則。當停⽤網路封包規則時，防火牆將暫時不套⽤此規則。
預設情況下，新增到網路封包規則清單中的⾃訂網路封包規則處於“開”狀態。
編輯現有網路封包規則的設定。
250

當您建立新的網路封包規則之後，您始終可以重新編輯其設定並根據需要進⾏修改。
變更網路封包規則的防火牆操作。
在網路封包規則清單中，您可以編輯防火牆在偵測到與特定網路封包規則相符的網路活動時的操作。
變更網路封包規則的優先順序。
您可以提⾼或降低清單中選取的網路封包規則的優先順序。
刪除網路封包規則。
您可以刪除網路封包規則以停⽌防火牆將此規則應⽤於偵測網路活動，並停⽌將此規則顯⽰在“關”狀態的網路
封包規則清單中。

建立網路封包規則
您可以透過以下⽅式建立網路封包規則：
使⽤網路監控⼯具。

網路監控是⼀個⽤於即時檢視網路活動資訊的⼯具。這很⽅便，因為您不需要配置所有規則設定。某些防火牆設定將從網路監控資料中⾃動插入。網路監控僅在應⽤程式介⾯中可⽤。
配置防火墻設定。
這使您可以微調防火牆設定。您可以為任何網路活動建立規則，即使當前沒有網路活動也是如此。
在建立網路封包規則時，請記得，它們的優先順序比應⽤程式網路規則⾼。
如何使⽤網路監控⼯具在應⽤程式介⾯中建立網路封包規則

251

1. 在應⽤程式主視窗的“正在監控”區域中，點擊“網路監控”圖標。
2. 選擇“網路活動”標籤。
“網路活動”標籤顯⽰電腦⽬前所有活動的網路連線。接收和傳送的網路連線都將同時顯⽰。
3. 在網路連線的內容功能表中，選擇“建立網路封包規則”。
這將開啟網路規則屬性。
4. 設置封包規則的“啟動“狀態。
5. 在“名稱“欄位中⼿動輸入網路服務的名稱。
6. 設定網路規則設定（參⾒下表）。
您可以透過點擊“網路規則範本“連線來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
7. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
8. 單擊“儲存”。
新的網路規則將新增到清單中。
9. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
10. 儲存變更。
如何使⽤防火牆設定在應⽤程式介⾯中建立網路封包規則

252

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“封包規則”。
這將開啟防火牆設定的預設網路規則清單。
4. 單擊“新增”。
這將開啟網路規則屬性。
5. 設置封包規則的“啟動“狀態。
6. 在“名稱“欄位中⼿動輸入網路服務的名稱。
7. 設定網路規則設定（參⾒下表）。
您可以透過點擊“網路規則範本“連線來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
8. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
9. 單擊“儲存”。
新的網路規則將新增到清單中。
10. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
11. 儲存變更。
如何在管理主控台 (MMC) 中建立網路封包規則

253

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選取“關鍵威脅防護”→“防火牆”。
5. 在”防火牆設定”塊中，點擊”設定”按鈕。
這將開啟網路封包規則清單和應⽤程式網路規則清單。
6. 選擇“網路封包規則”標籤。
這將開啟防火牆設定的預設網路規則清單。
7. 單擊“新增”。
這將開啟封包規則屬性。
8. 在“名稱“欄位中⼿動輸入網路服務的名稱。
9. 設定網路規則設定（參⾒下表）。
您可以透過點擊 按鈕來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
10. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
11. 儲存新網路規則。
12. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
13. 儲存變更。
防火牆將根據規則控製網路封包。您可以從防火牆操作中停⽤封包規則，⽽無需將其從清單中刪除。為此，請清除物件旁邊的核取⽅塊。
如何在網⾴主控台和雲端主控台中建立網路封包規則

254

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 選擇“關鍵威脅防護” → “防火牆”。
5. 在”防火牆設定”塊中，點擊”網路封包規則”連接。
這將開啟防火牆設定的預設網路規則清單。
6. 單擊“新增”。
這將開啟封包規則屬性。
7. 在“名稱“欄位中⼿動輸入網路服務的名稱。
8. 設定網路規則設定（參⾒下表）。
您可以透過點擊“選擇範本“連線來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
9. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
10. 儲存網路規則。
新的網路規則將新增到清單中。
11. 使⽤“上” / “下”按鈕設定網路規則的優先順序。
12. 儲存變更。
防火牆將根據規則控製網路封包。您可以從防火牆操作中停⽤封包規則，⽽無需將其從清單中刪除。使⽤“狀態“列中的開關來啟⽤或停⽤封包規則。
“網路封包規則”設定

參數

操作

描述

允許。
封鎖
按應⽤程式規則如果選擇此選項，則防火牆將應⽤程式網路規則套⽤於網路連線。

協定

透過所選協定控製網路活動：TCP，UDP，ICMP，ICMPv6，IGMP 和 GRE。
如果選取的是 ICMP 或 ICMPv6 埠，您可以定義 ICMP 封包類型和代碼：
如果選取的是 TCP 或 UDP 協定類型，您可以指定其連線受監控的本機和遠端電腦逗號分隔的連接埠。

⽅向

接收 (封包)。防火牆將網路規則套⽤於所有接收網路封包。
接收防火牆將把網路規則套⽤到透過遠端電腦發起的連線傳送的所有網路封包。
接收/傳送防火牆將為接收和傳送的網路封包套⽤網路規則，與此網路連線的發起者是使⽤者電腦
還是遠端電腦無關。
傳送 (封包)防火牆將網路規則套⽤於所有傳送網路封包。
傳送防火牆將為透過使⽤者電腦發起的連線傳送的所有網路封包套⽤網路規則。
255

網路
介⾯
卡

可以傳送和/或接收網路封包的網路介⾯卡。指定網路介⾯卡的設定可以區分相同 IP 位址傳送或接收的網路封包。

⽣存
時間
(TTL)

根據網路封包的⽣存時間（TTL）限制對網路封包的控制。

遠端位址

可以傳送和接收網路封包的遠端電腦的網路位址。防火牆將網路規則套⽤於指定範圍的遠端網路
位址。您可以將所有 IP 位址包括在網路規則中，建立單獨的 IP 位址清單，指定 IP 位址範圍，或選擇⼀個⼦網（信任網路，本機網路，公⽤網路）。您也可以指定電腦的 DNS 名稱⽽不是它的 IP 位
址。您應該將 DNS 名稱僅⽤於 LAN 電腦後者內部服務。與雲端服務（例如 Microsoft Azure）和其他網際網路資源的交互應該由 Web 控制元件進⾏處理。
Kaspersky Endpoint Security ⾃版本 11.7.0 起⽀援 DNS 名稱。如果為 11.6.0 或更早的版本指定
DNS 名稱，Kaspersky Endpoint Security 可能會將相關規則套⽤到所有位址。

如果在網路封包規則中新增了無法確定 IP 位址的 DNS 名稱，Kaspersky Endpoint Security 將顯⽰警告。在 Web 主控台的網路封包規則清單中，新增了包含錯誤描述的問題欄。在管理主
控台 (MMC) 中，錯誤描述不可⽤。此類封包規則⽤顏⾊突出顯⽰。

本機位址

可以傳送和接收網路封包的電腦的網路位址。防火牆將網路規則套⽤於指定範圍的區域網路位
址。您可以在網路規則中包括所有 IP 位址，建立⼀個單獨的 IP 位址清單，或指定⼀個 IP 位址範圍。
Kaspersky Endpoint Security ⾃版本 11.7.0 起⽀援 DNS 名稱。如果為 11.6.0 或更早的版本指定
DNS 名稱，Kaspersky Endpoint Security 可能會將相關規則套⽤到所有位址。

有時候無法獲得應⽤程式的本機位址。在這種情況下，此參數將被忽略。

啟動或停⽤網路封包規則
若要啟⽤或停⽤網路封包規則，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“封包規則”。
這將開啟防火牆設定的預設網路封包規則清單。
4. 在清單中選取所需的網路封包規則。
5. 使⽤“狀態“列中的開關來啟⽤或停⽤規則。
6. 儲存變更。
256變更網路封包規則的防火牆操作若要變更應⽤於網路封包規則的防火牆操作，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“封包規則”。
這將開啟防火牆設定的預設網路封包規則清單。
4. 請在網路封包規則清單中選取並點擊“編輯”按鈕。
5. 在“操作”下拉清單中選取防火牆在偵測到此類網路活動後的操作：
允許
封鎖
按應⽤程式規則如果選擇此選項，則防火牆將應⽤程式網路規則套⽤於網路連線。
6. 儲存變更。

變更網路封包規則的優先順序
網路封包規則的優先順序取決於其在網路包規則清單中的位置。封包規則清單中位於最上⽅的優先等級最⾼。
每個⼿動建立的網路封包規則都將被新增到封包規則清單尾部，擁有最低的優先等級。
防火牆將按照網路封包規則清單中規則的顯⽰順序⾃上⽽下執⾏規則。根據套⽤於特定網路連線的每個已處理網路封包規則，防火牆會允許或封鎖對該網路連線設定中指定的位址和通訊埠的網路存取。

若要變更網路封包規則優先順序，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“封包規則”。
這將開啟防火牆設定的預設網路封包規則清單。
4. 在清單中選取您希望變更其優先順序的網路封包規則。
5. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
6. 儲存變更。

257

匯出和匯入網路封包規則
您可以將網路封包規則清單匯出到 XML 檔案。然後，您可以修改檔案，例如，新增⼤量相同類型的規則。您可
以使⽤匯出/匯入功能來備份網路封包規則清單，或將清單遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入網路封包規則清單

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選取“關鍵威脅防護”→“防火牆”。
5. 在”防火牆設定”塊中，點擊”設定”按鈕。
這將開啟網路封包規則清單和應⽤程式網路規則清單。
6. 選擇“網路封包規則”標籤。
7. 要匯出網路封包規則清單：
a. 選取您想要匯出的規則。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何規則，則 Kaspersky Endpoint Security 將匯出所有規則。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將規則清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到 XML 檔案。
8. 要匯入網路封包規則清單，請：a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
9. 儲存變更。
如何在網⾴主控台和雲端主控台中匯出和匯入網路封包規則清單258

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 選擇“關鍵威脅防護” → “防火牆”。
5. 在”防火牆設定”塊中，點擊”網路封包規則”連接。
6. 要匯出網路封包規則清單：
a. 選取您想要匯出的規則。
b. 單擊“匯出”。
c. 確認您只想匯出選定的規則，還是匯出整個清單。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到預設下載資料夾中的 XML 檔案。
7. 要匯入網路封包規則清單，請：a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
8. 儲存變更。

以 XML 格式定義網路封包規則
防火墻允許以 XML 格式匯出網路封包規則。然後，您可以修改檔案，例如，新增⼤量相同類型的規則。
XML 文件包含兩個主要節點：規則和資源。規則節點列出網路封包規則。此節點包含預設配置的規則（預定義
規則）以及使⽤者新增的規則（⾃訂規則）。
“網路封包規則”標記<key name="0000"><tDWORD name="RuleId">100</tDWORD><tDWORD name="RuleState">1</tDWORD><tDWORD name="RuleTypeId">4</tDWORD><tQWORD name="AppIdEx">0</tQWORD><tDWORD name="ResIdEx">812</tDWORD><tDWORD name="ResIdEx2">0</tDWORD>

259

<tDWORD name="AccessFlag">2</tDWORD></key>XML 格式的網路封包規則”設定

參數

描述

值

<key
name="0000">

規則的優先順序。值越低，優先順序越⾼。

整數
優先順序值必須由 4 個數字組成。XML
檔案中的節點必須按優先順序值排列，以0000開始。

RuleId

規則的 ID。

預定義規則

100 – 透過 TCP 存取 DNS 伺服器服務。
101 – 透過 UDP 存取 DNS 伺服器服務。
102 – 傳送電⼦郵件訊息。
110 – 任何網路活動（信任網路）。
125 – 任何網路活動（本機網路）。
130 – 遠端桌⾯網路活動。
131 – 透過本機連接埠的 TCP 連線。
132 – 透過本機連接埠的 UDP 連線。
133 – 接收的 TCP 串流資料。
134 – 接收的 UDP 串流資料。
137 – ICMP ⽬的地無法接通接收封包。
138 – 接收 ICMP Echo 回應封包。
140 – ICMP 接收回應逾時。
142 – 接收的 ICMP 串流資料。
266 – 接收 ICMPv6 Echo 請求封包。

RuleState

規則的狀態。

0 – 預定義規則已停⽤
1 – 預定義規則已啟⽤2 – ⾃訂規則已停⽤
3 – ⾃訂規則已啟⽤RuleTypeId

規則類型的 ID。

4 – 網路封包規則。

AppIdEx

網路封包規則所屬的應⽤程式的 ID。

如果規則不屬於任何應⽤程式，則值為0。

ResIdEx

具有規則設定的資源的主 ID。您可以使
⽤此識別符尋找資源節點中具有規則設
定的塊。

整數

ResIdEx2

網路類型的 ID。

0 – 任何位址。
50 – 信任網路。
51 – 本機網路。
260

52 – 公⽤網路。
<網路標識符> – 來⾃清單的位址 （位址⼿動定義）。
AccessFlag

動作 參數的值。

0 – 允許。
2 – 按應⽤程式規則。
3 – 封鎖。
4個 – 允許 和 記錄事件。
6個 – 按應⽤程式規則 和 記錄事件。
7個 – 封鎖 和 記錄事件。

</key>
資源節點包含網路封包規則設定。⾃訂網路封包規則設定列出在<key name="0004">塊中。
“⾃訂網路封包規則”標記<key name="0026"><key name="Data"><key name="RemotePorts"> </key><key name="LocalPorts"> </key><key name="AdapterBindings"><key name="0000"><key name="IpAddresses"><key name="0000"><key name="IP"><key name="V6"><tQWORD
name="Hi">0</tQWORD><tQWORD
name="Lo">0</tQWORD><tDWORD
name="Zone">0</tDWORD><tSTRING
name="ZoneStr"/></key><tBYTE
name="Version">4</tBYTE><tDWORD
name="V4">16909060</tDWORD><tBYTE name="Mask">32</tBYTE></key><key name="AddressIP"> </key><tSTRING name="Address"/></key></key><key name="MacAddresses"><key name="0000"><tDWORD name="Type">0</tDWORD><tQWORD
name="AddressData0">1108152157446</tQWORD><tQWORD name="AddressData1">0</tQWORD></key></key><tSTRING name="AdapterName">ADAPTER TEST 123</tSTRING><tDWORD name="InterfaceType">3</tDWORD></key></key>
261

<tTYPE_ID name="unique">3213697024</tTYPE_ID><tBYTE name="Proto">2</tBYTE><tBYTE name="Direction">2</tBYTE><tBYTE name="IcmpType">0</tBYTE><tBYTE name="IcmpCode">0</tBYTE><tDWORD name="Flags">1</tDWORD><tBYTE name="TTL">255</tBYTE></key><key name="Childs"> </key><tDWORD name="Id">1073747214</tDWORD><tDWORD name="ParentID">7</tDWORD><tDWORD name="Flags">38</tDWORD><tSTRING name="Name">TEST1</tSTRING></key>“⾃訂網路封包規則”設定

參數

描述

值

<key
name="Data">

參數塊的 ID。

整數

RemotePorts

遠端連接埠 參數的值。

遠端連接埠範圍清單。

LocalPorts

本機連接埠 參數的值。

本機連接埠範圍清單。

AdapterBindings

網路介⾯卡 參數的值。

IpAddresses – IP 位址 參數的值。
MacAddresses – MAC 位址 參數的值。
AdapterName – 網路介⾯卡名稱。
InterfaceType – 介⾯類型 參數的值：0 – 其他。
1 – 本機網路位置。
2 – 有線網路(⼄太網路)。
3 – 無線網路(Wi-Fi)。
4 – 通道。
5 – PPP 連線。
6 – PPPoE 連線。
7 – VPN 連線。
8 – Modem 連線。

unique

結構的內部 ID。

整數
建議不變更此參數。

Proto

協定 參數的值。

0 – 已停⽤。
1 – ICMP。
262

2 – IGMP。
6 – TCP。
17 – UDP。
47 – GRE。
58 – ICMPv6。
Direction

⽅向 參數的值。

1 – 接收 (封包)。
2 – 傳送 (封包)。
3 – 接收/傳送。
4 – 接收。
5 – 傳送。

IcmpType

ICMP 類型 參數的值。

ICMP 協定

0 – Echo 回應 (ICMP) 或已停⽤。
3 – 無回應 (ICMP)。
4 – 來源隱藏。
5 – 重新導向。
6 – 備⽤主機位址。
8 – Echo 請求。
9 – 路由器公告封包。
10 – 路由器邀請封包。
11 – 逾時。
12 – 參數問題。
13 – 時間戳記。
14 – 時間戳記回應。
15 – 資訊請求。
16 – 資訊回應。
17 – 位址遮罩請求。
18 – 位址遮罩回應。
30 – 追蹤路由。
31 – 資料報轉換錯誤。
32 – ⾏動主機重新導向。
33 – IPv6 位置請求。
34 – IPv6 位置應答。
35 – ⾏動註冊請求。
36 – ⾏動註冊回應。
37 – 網域名稱請求。
38 – 網域名稱回應。
40 – Photuris。
ICMPv6 協定

263

1 – 無回應。
2 – 封包太⼤。
3 – 逾時。
4 – 參數問題。
128 – Echo 請求。
129 – Echo 回應。
130 – 多點廣播監聽查詢。
131 – 多點廣播監聽報告。
132 – 多點廣播監聽完成。
133 – 路由器邀請封包。
134 – 路由器公告封包。
135 – 網路芳鄰邀請封包。
136 – 網路芳鄰公告封包。
137 – 重新導向訊息。
138 – 路由器重新編號。
139 – ICMP 節點訊息查詢。
141 – 反向的網芳邀請封包。
142 – 反向的網芳公告封包。
143 – 多點廣播監聽報告第⼆版。
144 – ICMP原始地代理位址找尋請求訊息。
145 – ICMP原始地代理位址找尋回覆訊息。
146 – ⾏動式前置請求。
147 – ⾏動式前置公告。
148 – 憑證路徑邀請訊息。
149 – 憑證路徑公告訊息。
151 – 多路廣播路由公告。

264

152 – 多路廣播路由邀請。
153 – 多路廣播路由終端。

IcmpCode

ICMP 代碼 參數的值。

0 – 代碼 0 或已停⽤。
1 – 代碼 1。
2 – 代碼 2。

Flags

結構屬性指標。

整數
建議不變更此參數。

⽣存時間 (TTL) 參數的值。

值（秒鐘）。若已停⽤，則值為 0。

ID

資源的主 ID（參⾒規則節點）。

整數ParentID

⽗群組的 ID。

整數TTL</key>

建議不變更此參數。

Flags

規則的狀態。

6 – 規則已停⽤。
38 – 規則已啟⽤。

名稱

網路封包規則的名稱。

字串

管理應⽤程式網路規則
預設情況下，Kaspersky Endpoint Security 將按照其所監控的檔案或網路活動所對應的軟體的供應商名稱對安裝
在電腦上的所有應⽤程式進⾏群組分配。應⽤程式群組將依次被歸類到“信任群組”中。所有應⽤程式和應⽤程式
群組都將繼承來⾃其⽗群組的內容：應⽤程式控制規則、應⽤程式網路規則及其執⾏優先順序。
像“主機入侵防禦”元件⼀樣，預設情況下，“防火牆”元件在篩選應⽤程式群組內所有應⽤程式的網路活動時將套⽤
應⽤程式群組的網路規則。應⽤程式群組網路規則將定義群組中應⽤程式存取不同網路連線的權限。
預設情況下，防火牆將為電腦上的 Kaspersky Endpoint Security 偵測到的每個應⽤程式群組建立網路規則集。您可以變更套⽤於預設建立的應⽤程式群組網路規則的防火牆操作。您不能編輯、刪除、停⽤或變更預
設情況下建立的應⽤程式群組網路規則的優先等級。
您也可以為單個應⽤程式建立網路規則。此類規則將擁有比該應⽤程式所屬網路規則群組⾼的優先順序。

建立應⽤程式網路規則265

預設情況下，應⽤程式活動由針對 Kaspersky Endpoint Security 在此應⽤程式第⼀次啟動時將其分配到的信任群
組定義的網路規則來控制。如有必要，您可以為整個信任群組、單個應⽤程式或信任群組內的⼀組應⽤程式建立
網路規則。
⼿動定義的網路規則比為信任群組確定的網路規則具有更⾼的優先順序。換句話說，如果⼿動定義的應⽤程式規則與為信任群組確定的應⽤程式規則不同，則防火牆將根據⼿動定義的應⽤程式規則控制應⽤程式活動。
預設情況下，防火牆為每個應⽤程式建立以下網路規則：
信任網路中的任何網路活動。
本機網路中的任何網路活動。
公⽤網路中的任何網路活動。
Kaspersky Endpoint Security 根據預定義的網路規則控制應⽤程式的網路活動，如下所⽰：
受信任和低限制：允許所有網路活動。
⾼限制和不受信任：所有網路活動被封鎖。
預定義的應⽤程式規則無法編輯或刪除。
您可以透過以下⽅式建立應⽤程式網路規則：
使⽤網路監控⼯具。

網路監控是⼀個⽤於即時檢視網路活動資訊的⼯具。這很⽅便，因為您不需要配置所有規則設定。某些防火牆設定將從網路監控資料中⾃動插入。網路監控僅在應⽤程式介⾯中可⽤。
配置防火墻設定。
這使您可以微調防火牆設定。您可以為任何網路活動建立規則，即使當前沒有網路活動也是如此。
為應⽤程式建立網路規則時，請記住，網路封包規則的優先順序⾼於應⽤程式網路規則。
如何使⽤網路監控⼯具在應⽤程式介⾯中建立應⽤程式網路規則266

1. 在應⽤程式主視窗的“正在監控”區域中，點擊“網路監控”圖標。
2. 選擇“網路活動”或“開放連接埠”標籤。
“網路活動”標籤顯⽰電腦⽬前所有活動的網路連線。接收和傳送的網路連線都將同時顯⽰。
“開放連接埠”標籤列出電腦所有開啟的網路連接埠。
3. 在網路連線的內容功能表中，選擇“建立應⽤程式網路規則”。
“應⽤程式規則和屬性”視窗將開啟。
4. 選擇“網路規則”標籤。
這將開啟防火牆設定的預設網路規則清單。
5. 單擊“新增”。
這將開啟網路規則屬性。
6. 在“名稱“欄位中⼿動輸入網路服務的名稱。
7. 設定網路規則設定（參⾒下表）。
您可以透過點擊“網路規則範本“連線來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
8. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
9. 單擊“儲存”。
新的網路規則將新增到清單中。
10. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
11. 儲存變更。
如何使⽤防火牆設定在應⽤程式介⾯中建立應⽤程式網路規則267

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 點擊“應⽤程式規則”。
這將開啟防火牆設定的預設網路規則清單。
4. 在應⽤程式清單中，選取您想為其建立網路規則的應⽤程式或應⽤程式群組。
5. 右鍵點擊以開啟內容功能表並選取“細節和規則”。
“應⽤程式規則和屬性”視窗將開啟。
6. 選擇“網路規則”標籤。
7. 單擊“新增”。
這將開啟網路規則屬性。
8. 在“名稱“欄位中⼿動輸入網路服務的名稱。
9. 設定網路規則設定（參⾒下表）。
您可以透過點擊“網路規則範本“連線來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
10. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
11. 單擊“儲存”。
新的網路規則將新增到清單中。
12. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
13. 儲存變更。
如何在管理主控台 (MMC) 中建立應⽤程式網路規則268

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選取“關鍵威脅防護”→“防火牆”。
5. 在”防火牆設定”塊中，點擊”設定”按鈕。
這將開啟網路封包規則清單和應⽤程式網路規則清單。
6. 選擇“應⽤程式網路規則”標籤。
7. 單擊“新增”。
8. 在開啟的視窗中，輸入條件搜尋您想為其建立網路規則的應⽤程式。
您可以輸入應⽤程式名稱或供應商名稱。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*
和?字元。
9. 點擊 重新整理按鈕。
Kaspersky Endpoint Security 將在受管電腦上安裝的應⽤程式的合併清單中搜尋該應⽤程式。Kaspersky
Endpoint Security 將顯⽰滿⾜您搜尋條件的應⽤程式清單。
10. 選取需要的應⽤程式。
11. 在“將選擇應⽤程式新增⾄信任群組”下拉清單中，選擇“預設群組”，然後點擊“確定”。
該應⽤程式將被新增到預設群組。
12. 選擇相關的應⽤程式，然後從應⽤程式的內容功能表中選擇“應⽤程式權限”。
“應⽤程式規則和屬性”視窗將開啟。
13. 選擇“網路規則”標籤。
這將開啟防火牆設定的預設網路規則清單。
14. 單擊“新增”。
這將開啟網路規則屬性。
15. 在“名稱“欄位中⼿動輸入網路服務的名稱。
16. 設定網路規則設定（參⾒下表）。
您可以透過點擊 按鈕來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
17. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
18. 儲存新網路規則。
19. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
20. 儲存變更。

269

如何在網⾴主控台和雲端主控台中建立應⽤程式網路規則270

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 選擇“關鍵威脅防護” → “防火牆”。
5. 在”防火牆設定”塊中，點擊”應⽤程式網路規則”連接。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
您將在視窗左側看到信任群組清單，並在右側看到它們的屬性。
7. 單擊“新增”。
這將啟動⽤於將應⽤程式新增到信任群組的精靈。
8. 選擇相關應⽤程式信任群組。
9. 選擇應⽤程式類型。前往下⼀步。
如果要為多個應⽤程式建立網路規則，請選擇”群組“類型並為應⽤程式組定義⼀個名稱。
10. 在開啟的應⽤程式清單中，選取您想為其建立網路規則的應⽤程式。
使⽤過濾器。您可以輸入應⽤程式名稱或供應商名稱。Kaspersky Endpoint Security 輸入遮罩時⽀援環境
變量以及*和?字元。
11. 結束精靈。
該應⽤程式將被新增到信任群組。
12. 在視窗左側，選取相關應⽤程式。
13. 在視窗的右側，從下拉清單中選擇網路規則。
這將開啟防火牆設定的預設網路規則清單。
14. 單擊“新增”。
這將開啟應⽤程式規則屬性。
15. 在“名稱“欄位中⼿動輸入網路服務的名稱。
16. 設定網路規則設定（參⾒下表）。
您可以透過點擊“選擇範本“連線來選擇預定義的規則範本。規則範本描述了最常⽤的網路連線。
所有網路規則設定將⾃動填寫。
17. 如果您希望將網路規則的操作反映在報告中，請選取“記錄事件”核取⽅塊。
18. 儲存網路規則。
新的網路規則將新增到清單中。
19. 使⽤“上” / “下”按鈕設定網路規則的優先順序。
271

20. 儲存變更。
“應⽤程式網路規則”設定

參數

操作

描述

允許
封鎖

協定

透過所選協定控製網路活動：TCP，UDP，ICMP，ICMPv6，IGMP 和 GRE。
如果選取的是 ICMP 或 ICMPv6 埠，您可以定義 ICMP 封包類型和代碼：
如果選取的是 TCP 或 UDP 協定類型，您可以指定其連線受監控的本機和遠端電腦逗號分隔的連接
埠。

⽅向

接收
接收/傳送
傳送

遠端
位址

可以傳送和接收網路封包的遠端電腦的網路位址。防火牆將網路規則套⽤於指定範圍的遠端網路位
址。您可以將所有 IP 位址包括在網路規則中，建立單獨的 IP 位址清單，指定 IP 位址範圍，或選擇
⼀個⼦網（信任網路，本機網路，公⽤網路）。您也可以指定電腦的 DNS 名稱⽽不是它的 IP 位
址。您應該將 DNS 名稱僅⽤於 LAN 電腦後者內部服務。與雲端服務（例如 Microsoft Azure）和其他網際網路資源的交互應該由 Web 控制元件進⾏處理。
Kaspersky Endpoint Security ⾃版本 11.7.0 起⽀援 DNS 名稱。如果為 11.6.0 或更早的版本指定
DNS 名稱，Kaspersky Endpoint Security 可能會將相關規則套⽤到所有位址。
如果在網路封包規則中新增了無法確定 IP 位址的 DNS 名稱，Kaspersky Endpoint Security 將顯⽰
警告。在 Web 主控台的網路封包規則清單中，新增了包含錯誤描述的問題欄。在管理主控台(MMC) 中，錯誤描述不可⽤。此類封包規則⽤顏⾊突出顯⽰。

本機位址

可以傳送和接收網路封包的電腦的網路位址。防火牆將網路規則套⽤於指定範圍的區域網路位址。
您可以在網路規則中包括所有 IP 位址，建立⼀個單獨的 IP 位址清單，或指定⼀個 IP 位址範圍。
Kaspersky Endpoint Security ⾃版本 11.7.0 起⽀援 DNS 名稱。如果為 11.6.0 或更早的版本指定
DNS 名稱，Kaspersky Endpoint Security 可能會將相關規則套⽤到所有位址。

有時候無法獲得應⽤程式的本機位址。在這種情況下，此參數將被忽略。

啟⽤和停⽤應⽤程式網路規則
若要啟⽤或停⽤應⽤程式網路規則，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“應⽤程式規則”。
這將開啟應⽤程式規則清單。
272

4. 在應⽤程式清單中，選取您想為其建立或編輯網路規則的應⽤程式或應⽤程式群組。
5. 右鍵點擊以開啟內容功能表並選取“細節和規則”。
“應⽤程式規則和屬性”視窗將開啟。
6. 選擇“網路規則”標籤。
7. 在應⽤程式群組的網路規則清單中，選取相關的網路規則。
“網路規則”視窗將開啟。
8. 設定網路規則的“啟動“或“未啟動”狀態。
您不能停⽤預設情況下由防火牆建立的應⽤程式群組網路規則。
9. 儲存變更。

變更應⽤程式網路規則的防火牆操作您可以變更應⽤於應⽤程式或應⽤程式群組的網路規則的預設建立的防火牆操作，也可以為應⽤程式或應⽤程式
群組變更單個⾃訂網路規則的防火牆操作。

若要為應⽤程式或應⽤程式群組變更所有網路規則的防火牆操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“應⽤程式規則”。
這將開啟應⽤程式規則清單。
4. 如果您希望變更預設建立的應⽤⾄所有網路規則的防火牆操作，則選取清單中應⽤程式或應⽤程式群組。⼿動建立的網路規則將保持不變。
5. 右鍵點擊以開啟內容功能表，選擇“網路規則“，然後選擇要分配的操作：
繼承允許封鎖
6. 儲存變更。

若要變更⼀個應⽤程式或應⽤程式群組網路規則的防火牆操作，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“應⽤程式規則”。
這將開啟應⽤程式規則清單。
4. 在清單中選取您想為其變更⼀個網路規則操作的應⽤程式或應⽤程式群組。
273

5. 右鍵點擊以開啟內容功能表並選取“細節和規則”。
“應⽤程式規則和屬性”視窗將開啟。
6. 選擇“網路規則”標籤。
7. 選取您要為其變更防火牆操作的網路規則。
8. 在“動作”列中，點擊右鍵顯⽰內容功能表，然後選擇您要分配的操作：
繼承
允許
拒絕
記錄事件
9. 儲存變更。

變更應⽤程式網路規則的優先順序
網路規則的優先順序取決於其在網路規則清單中的位置。防火牆執⾏按照網路規則清單中規則的顯⽰順序⾃上⽽下執⾏規則。根據套⽤於特定網路連線的每個已處理網路規則，防火牆會允許或封鎖對該網路連線設定中指定的位址和連接埠的網路存取。
⼿動建立的網路規則擁有比預設網路規則⾼的優先順序。
您不能變更預設應⽤程式群組網路規則的優先順序。

要變更網路規則的優先順序，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“防火牆”。
3. 單擊“應⽤程式規則”。
這將開啟應⽤程式規則清單。
4. 在應⽤程式群組網路規則清單中，選取您要變更網路規則優先順序的應⽤程式或應⽤程式群組。
5. 右鍵點擊以開啟內容功能表並選取“細節和規則”。
“應⽤程式規則和屬性”視窗將開啟。
6. 選擇“網路規則”標籤。
7. 選取您想要變更其優先順序的網路規則。
8. 使⽤“上移” / “下移”按鈕設定網路規則的優先順序。
9. 儲存變更。
274

網路監控
網路監控是⼀個⽤於即時檢視網路活動資訊的⼯具。
若要啟動網路監控，請執⾏以下操作：
在應⽤程式主視窗的“正在監控”區域中，點擊“網路監控”圖標。
開啟“網路監控”視窗。在該視窗中，將以四個標籤顯⽰電腦網路活動的相關資訊：“網路活動”標籤顯⽰電腦⽬前所有活動的網路連線。接收和傳送的網路連線都將同時顯⽰。在此標籤上，您還
可以為防火牆操作建立網路封包規則。
“開放連接埠”標籤列出電腦所有開啟的網路連接埠。在此標籤上，您還可以為防火牆操作建立網路封包規則和
應⽤程式規則。
“網路流量”標籤顯⽰使⽤者電腦⽬前連線其他電腦之間傳送和接收的網路流量。
“已封鎖的電腦”標籤列出“網路威脅防護”元件在偵測到網路攻擊後封鎖該網路活動的遠端電腦 IP 位址。

BadUSB 攻擊防護某些病毒會修改 USB 裝置的固件以欺騙作業系統，將 USB 偽裝為鍵盤。結果，該病毒可能在您的使⽤者帳⼾下
執⾏命令以下載惡意軟體（例如）。
BadUSB 攻擊防護元件可以防⽌受感染的模擬鍵盤的 USB 裝置連線⾄電腦。
當 USB 裝置連線⾄電腦並被作業系統識別為鍵盤時，應⽤程式將提⽰使⽤者使⽤此鍵盤或螢幕鍵盤（如果可⽤）輸入應⽤程式產⽣的數位代碼。這個步驟稱為鍵盤授權。
如果正確輸入代碼，程式將在授權鍵盤清單中儲存識別參數 - 鍵盤的 VID/PID 和其所連接的連接埠號。重新啟動
作業系統後重新連線鍵盤時無需重複鍵盤授權。
經授權的鍵盤連接⾄該電腦不同 USB 連接埠時，程式將再次提⽰為該鍵盤授權。
如果錯誤輸入數位代碼，則程式將⽣成新的代碼。您可以設定輸入數位代碼的嘗試次數。如果數位代碼多次輸入
不正確，或者鍵盤授權視窗被關閉（請⾒下圖），則應⽤程式封鎖來⾃此鍵盤的輸入。當 USB 裝置封鎖時間經
過或者作業系統重新啟動後，程式將再次提⽰使⽤者重新執⾏鍵盤授權。
程式將允許使⽤經過授權的鍵盤並封鎖未經授權的鍵盤。
預設情況下，未安裝“BadUSB 攻擊防護”元件。如果需要“BadUSB 攻擊防護”元件，可以在安裝應⽤程式前在
安裝套件的內容中新增該元件，或者在安裝應⽤程式後變更可⽤的應⽤程式元件。

275

鍵盤授權

啟⽤和停⽤ BadUSB 攻擊防護在 BadUSB 攻擊防護元件安裝前被電腦識別為鍵盤的 USB 裝置在該元件安裝後仍將被認定為經過授權。

要啟⽤或停⽤ BadUSB 攻擊防護：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“BadUSB 攻擊防護”。
3. 使⽤“BadUSB 攻擊防護“切換開關可啟⽤或停⽤元件。
4. 在“連線時的 USB 鍵盤授權”塊中，調節授權碼輸入安全設定：
USB 裝置授權嘗試最⼤數量在授權碼不正確輸入達到指定次數時⾃動封鎖 USB 裝置。有效值為 1 到 10。例如，如果您允許嘗試輸入授權碼 5 次，則 USB 裝置會在第五次嘗試失敗後被封鎖。Kaspersky Endpoint
Security 會顯⽰ USB 裝置的封鎖時⻑。該時間經過後，您可以有 5 次嘗試輸入授權碼。
達到嘗試的最⼤數量時逾時授權碼輸入指定嘗試失敗數⽬後封鎖 USB 裝置的時⻑。有效值為 1 到 180（分鐘）。
5. 儲存變更。
因此，如果啟⽤了 BadUSB 攻擊防護，則 Kaspersky Endpoint Security 要求對作業系統識別為鍵盤的已連線
USB 裝置進⾏授權。鍵盤經過授權前使⽤者無法使⽤該鍵盤。

使⽤螢幕鍵盤授權 USB 裝置
應當僅在 USB 裝置授權不⽀援輸入隨機字元時（例如條碼掃描器）使⽤螢幕鍵盤授權。不建議使⽤螢幕鍵盤授
權未知的 USB 裝置。

若要允許或封鎖使⽤螢幕鍵盤進⾏授權：1. 在“應⽤程式主視窗”中，點擊

按鈕。
276

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“BadUSB 攻擊防護”。
3. 請使⽤“禁⽌使⽤螢幕鍵盤授權 USB 裝置”核取⽅塊來封鎖或允許使⽤螢幕鍵盤進⾏授權。
4. 儲存變更。

AMSI 防護AMSI 防護元件旨在⽀援 Microsoft 的惡意軟體防護掃描介⾯。惡意軟體防護掃描介⾯ (AMSI) 允許具有 AMSI ⽀
援的協⼒廠商應⽤程式將物件（例如，PowerShell 指令碼）傳送到 Kaspersky Endpoint Security 進⾏附加掃描，
然後接收這些物件的掃描結果。例如，協⼒廠商應⽤程式可能包括 Microsoft O ice 應⽤程式（請參⾒下圖）。
有關 AMSI 的詳細資訊，請參閱 Microsoft 文件 。
AMSI 防護元件只能偵測威脅並將偵測到的威脅通知給協⼒廠商應⽤程式。在收到威脅通知後，協⼒廠商應⽤程式不允許執⾏惡意操作（例如，終⽌）。

AMSI 操作⽰範AMSI 防護元件可能會拒絕協⼒廠商應⽤程式的請求，例如，如果該應⽤程式超出了指定間隔內的最⼤請求
數。Kaspersky Endpoint Security 將有關來⾃協⼒廠商應⽤程式的被拒絕請求的資訊傳送⾄管理伺服器。
AMSI 防護元件不會拒絕來⾃對其啟⽤了與 AMSI 防護元件的持續整合的協⼒廠商應⽤程式的請求。
AMSI 防護元件可⽤於以下適⽤於⼯作站和伺服器的作業系統：
Windows 10 Home / Pro / Pro for Workstations / Education / Enterprise / Enterprise 多⼯作階段；
Windows 11 Home / Pro / Pro for Workstations / Education / Enterprise；
Windows Server 2016 Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2019 Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2022 Standard / Datacenter / Datacenter: Azure Edition（包括核⼼模式）。

啟⽤和停⽤ AMSI 防護
預設啟⽤ AMSI 防護。

要啟⽤或停⽤ AMSI 防護：277

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“AMSI 防護”。

“AMSI 防護”設定

3. 使⽤“AMSI 防護“切換開關可啟⽤或停⽤元件。
4. 儲存變更。

使⽤ AMSI 防護掃描複合檔案隱藏病毒和其他惡意軟體的⼀種常⽤⽅法就是將其植入複合檔案中，例如存檔。為了偵測以這種⽅式隱藏的病毒
和其他惡意軟體，必須將複合檔案解壓縮，但是這可能會降低掃描速度。您可以限制要掃描的複合檔案的類型，
從⽽加快掃描速度。

若要設定複合檔案的 AMSI 防護掃描，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”關鍵威脅防護“→“AMSI 防護”。

278

“AMSI 防護”設定

3. 在“掃描複合檔案”塊中，指定您希望掃描的複合檔案類型：存檔、分發套件或 O ice 格式檔案。
4. 在“⼤⼩限制”塊中執⾏以下操作之⼀：
要封鎖“AMSI 防護”元件解壓縮⼤型複合檔案，請選中“不解壓縮⼤型複合檔案”核取⽅塊，並在“最⼤檔案容量”欄位中指定所需值。“AMSI 防護”元件不會解壓縮⼤於指定⼤⼩的複合檔案。
要允許“AMSI 防護”元件解壓縮⼤型複合檔案，請取消選中“不解壓縮⼤型複合檔案”核取⽅塊。
無論是否選中“不解壓縮⼤型複合檔案”核取⽅塊，“AMSI 防護”元件均會掃描從存檔中提取的⼤型檔案。
5. 儲存變更。

弱點利⽤防禦
“弱點利⽤防禦”元件可偵測利⽤電腦弱點來利⽤管理員權限或執⾏惡意活動的程式程式碼。例如，弱點利⽤程式
可以利⽤緩衝區溢位攻擊。為此，弱點利⽤程式會向易受攻擊的應⽤程式傳送⼤量資料。處理此資料時，易受攻
擊的應⽤程式會執⾏惡意程式碼。此攻擊的結果是，弱點利⽤程式可啟動未經授權的惡意軟體安裝。當存在從易
於感染的應⽤程式執⾏可執⾏檔的嘗試，並且該嘗試並非由使⽤者執⾏時，Kaspersky Endpoint Security 將封鎖
該檔案執⾏或通知使⽤者。

279啟⽤和停⽤弱點利⽤防禦
預設情況下，弱點利⽤防禦為啟動狀態，各種功能均設定為最佳化。Kaspersky Endpoint Security 可監控易受攻
擊的應⽤程式執⾏的可執⾏檔。如果 Kaspersky Endpoint Security 偵測到某個易於感染的應⽤程式的可執⾏檔被
除使⽤者以外的事物執⾏，Kaspersky Endpoint Security 將執⾏選擇的操作（例如，封鎖運⾏）。
如何在管理主控台（MMC）中啟⽤或停⽤弱點利⽤防禦

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 弱點利⽤防禦”。
5. 使⽤“弱點利⽤防禦“核取⽅塊來啟⽤或停⽤元件。
6. 在“偵測到弱點時”塊中選擇相關操作：封鎖操作如果選擇此項，在偵測到弱點時，Kaspersky Endpoint Security 會封鎖此弱點的操作，並⽣
成⼀條包含此弱點相關資訊的⽇誌項⽬。
通知如果選擇此項⽬，Kaspersky Endpoint Security 將在偵測到弱點時記錄包含弱點相關資訊的項⽬，並將此弱點的相關資訊新增⾄活動威脅清單。

活動威脅通知7. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤弱點利⽤防禦280

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”弱點利⽤防禦”。
5. 使⽤“弱點利⽤防禦“切換開關可啟⽤或停⽤元件。
6. 在“偵測到弱點時”塊中選擇相關操作：封鎖操作如果選擇此項，在偵測到弱點時，Kaspersky Endpoint Security 會封鎖此弱點的操作，並⽣
成⼀條包含此弱點相關資訊的⽇誌項⽬。
通知如果選擇此項⽬，Kaspersky Endpoint Security 將在偵測到弱點時記錄包含弱點相關資訊的項⽬，並將此弱點的相關資訊新增⾄活動威脅清單。

活動威脅通知7. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤弱點利⽤防禦281

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“弱點利⽤防禦”。

弱點利⽤防禦設定

3. 使⽤“弱點利⽤防禦“切換開關可啟⽤或停⽤元件。
4. 在“偵測到弱點時”塊中選擇相關操作：封鎖操作如果選擇此項，在偵測到弱點時，Kaspersky Endpoint Security 會封鎖此弱點的操作，並⽣
成⼀條包含此弱點相關資訊的⽇誌項⽬。
通知如果選擇此項⽬，Kaspersky Endpoint Security 將在偵測到弱點時記錄包含弱點相關資訊的項⽬，並將此弱點的相關資訊新增⾄活動威脅清單。
5. 儲存變更。

系統處理程序記憶體防護
預設情況下，啟⽤系統處理程序記憶體防護。Kaspersky Endpoint Security 會封鎖嘗試存取系統處理程序的外部
處理程序。
如何在管理主控台（MMC）中啟⽤或停⽤系統處理程序記憶體防護282

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 弱點利⽤防禦”。
5. 使⽤“啟⽤系統處理程序記憶體防護“核取⽅塊來啟⽤或停⽤選項。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤系統處理程序記憶體防護

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”弱點利⽤防禦”。
5. 使⽤“系統處理程序記憶體防護”開關來啟⽤或停⽤此功能。
6. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤系統處理程序記憶體防護283

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“弱點利⽤防禦”。

弱點利⽤防禦設定

3. 使⽤“啟⽤系統處理程序記憶體防護”開關來啟⽤或停⽤此功能。
4. 儲存變更。

⾏為偵測“⾏為偵測”元件接收您電腦上的應⽤程式操作的資訊，並將此資訊提供給其他防護元件以提⾼效能。“⾏為偵測”元件將⾏為流簽章 (BSS) ⽤於應⽤程式。如果應⽤程式操作比對危險活動⾏為流簽章，Kaspersky Endpoint
Security 將執⾏選定的回應操作。根據危險活動⾏為流簽章的 Kaspersky Endpoint Security 功能為電腦提供主動
防禦。

啟⽤和停⽤⾏為偵測預設情況下，⾏為偵測已啟⽤並在 Kaspersky 專家建議的模式下執⾏。您可以根據需要停⽤⾏為偵測。

284

除非絕對必要，否則不建議停⽤⾏為偵測，因為這樣做會降低防護元件的有效性。防護元件可請求“⾏為偵測”元件收集的資料以偵測威脅。

要啟⽤或停⽤“⾏為偵測”：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“⾏為偵測”。

⾏為偵測設定3. 使⽤“⾏為偵測“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
因此，如果啟⽤了“⾏為偵測”，Kaspersky Endpoint Security 將使⽤⾏為流簽章來分析作業系統中應⽤程式的活動。

選擇在偵測到惡意軟體活動時要執⾏的操作
要選擇當有應⽤程式進⾏惡意活動時要執⾏的操作，請執⾏以下步驟：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“⾏為偵測”。

285

⾏為偵測設定

3. 在“偵測到惡意軟體活動時的動作”塊中選擇相關操作：刪除檔案如果選擇此項⽬，在偵測到惡意活動時，Kaspersky Endpoint Security 會刪除惡意應⽤程式的可執⾏檔，同時在備份區建立該檔案的備份副本。
封鎖如果選擇此項⽬，在偵測到惡意活動時，Kaspersky Endpoint Security 會終⽌該應⽤程式。
通知如果選擇此項⽬並且偵測到應⽤程式的惡意軟體活動，Kaspersky Endpoint Security 將應⽤程式惡意
軟體活動的相關資訊新增⾄活動威脅清單。
4. 儲存變更。

防⽌共⽤資料夾被外部加密
此元件只能監控針對儲存在檔案系統為 NTFS 的⼤型儲存裝置上並且未使⽤ EFS 加密的檔案所進⾏的操作。
共⽤資料夾對外部加密的防護提供對共⽤資料夾中活動的分析。如果該活動與外部加密的典型⾏為流簽章比對，
Kaspersky Endpoint Security 將執⾏選定操作。
預設情況下，停⽤共⽤資料夾對外部加密的防護。
安裝 Kaspersky Endpoint Security 後，共⽤資料夾對外部加密的防護將受到限制，直到電腦重新啟動為⽌。
286

啟⽤和停⽤共⽤資料夾對外部加密的防護
安裝 Kaspersky Endpoint Security 後，共⽤資料夾對外部加密的防護將受到限制，直到電腦重新啟動為⽌。

要啟⽤或停⽤共⽤資料夾對外部加密的防護：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“⾏為偵測”。

⾏為偵測設定3. 使⽤“啟⽤共⽤資料夾對外部加密的防護“開關可啟⽤或停⽤對外部加密典型活動的偵測。
4. 儲存變更。

選擇在偵測到共⽤資料夾外部加密時採取的操作
要選擇在偵測到共⽤資料夾外部加密時採取的操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“⾏為偵測”。
287

⾏為偵測設定

3. 在“共⽤資料夾對外部加密的防護”塊中選擇相關操作：
封鎖連線時間 N 分 (從1到43800)。如果選擇此選項並且卡巴斯基安全管理中⼼偵測到修改共⽤資料夾中的檔案的嘗試，則會採取以下操作：
封鎖存取啟動惡意活動的⼯作階段的檔案修改（檔案將為只讀）。
建立被修改的檔案的備份副本。
向本機應⽤程式介⾯報告新增⼀個項⽬。
將有關偵測到的惡意活動的資訊傳送到卡巴斯基安全管理中⼼。
此外，如果啟⽤了“修復引擎”元件，被修改的檔案將從備份副本還原。
通知如果選擇此選項並且卡巴斯基安全管理中⼼偵測到修改共⽤資料夾中的檔案的嘗試，則會採取以下操作：
向本機應⽤程式介⾯報告新增⼀個項⽬。
將條⽬新增到活動威脅清單中。
將有關偵測到的惡意活動的資訊傳送到卡巴斯基安全管理中⼼。
4. 儲存變更。

288

建立排除項⽬以防護共⽤資料夾抵禦外部加密如果您的組織在使⽤共⽤資料夾交換檔案時使⽤資料加密，排除資料夾可減少誤判的數量。例如，當使⽤者在共⽤資料夾中處理具有 ENC 副檔名的檔案時，⾏為偵測可能提⾼誤判數量。此類活動比對外部加密通常有的⾏為模式。如果您加密了共⽤資料夾中的檔案以防護資料，請將該資料夾新增到排除項⽬。
如何使⽤管理主控台 (MMC) 建立排除項⽬以防護共⽤資料夾

289

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 排除項⽬”。
5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選擇“掃描排除項⽬”標籤。
這將開啟包含排除項⽬清單的視窗。
7. 如果要為公司內的所有電腦建立排除項⽬的綜合清單，請選取“繼承時合併值”核取⽅塊。將合併⽗政策和⼦政策中的排除項⽬清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的排除項⽬以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的排除項⽬。
8. 如果想要使⽤者能夠建立本機排除項⽬清單，請選中“允許使⽤本機排除項⽬“核取⽅塊。這樣，除了在政
策中產⽣的排除項⽬的⼀般清單外，使⽤者还可以建立⾃⼰的排除項⽬本機清單。管理員可以使⽤卡巴
斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的排除項⽬的⼀般清單。
9. 單擊“新增”。
10. 在“內容“塊中，選中“檔案或資料夾”核取⽅塊。
11. 點擊「掃描排除項⽬說明(點擊下劃線項⽬進⾏編輯)」區塊中的「選擇檔案或資料夾。」連結以開啟「檔
案或資料夾名稱」視窗。
12. 點擊瀏覽並選擇共⽤資料夾。
您也可以⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援* 和 ?字元：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\**\*.txt
將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶
TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在路徑的開始、中間或者結尾使⽤遮罩。例如，如果您想要將⼀個針對所有使⽤者的資料夾新增
到排除項⽬，請輸入 C:\Users\*\Folder\ 遮罩。
13. 如有必要，在“註解”欄位，輸入您建立的掃描排除項⽬的簡要說明。
14. 點選“掃描排除項⽬說明(點擊下劃線項⽬進⾏編輯)”塊中的“任何”連結可開啟“選擇元件”連結。
15. 點擊“選擇元件”連結以開啟“防護元件”視窗。
290

16. 選擇“⾏為偵測”元件旁邊的核取⽅塊。
17. 儲存變更。
如何使⽤網⾴主控台和雲端主控台建立排除項⽬以防護共⽤資料夾

291

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”排除項⽬和偵測到的物件類型”。
5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”掃描排除項⽬”連接。
6. 如果要為公司內的所有電腦建立排除項⽬的綜合清單，請選取“繼承時合併值”核取⽅塊。將合併⽗政策和⼦政策中的排除項⽬清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的排除項⽬以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的排除項⽬。
7. 如果想要使⽤者能夠建立本機排除項⽬清單，請選中“允許使⽤本機排除項⽬“核取⽅塊。這樣，除了在政
策中產⽣的排除項⽬的⼀般清單外，使⽤者还可以建立⾃⼰的排除項⽬本機清單。管理員可以使⽤卡巴
斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的排除項⽬的⼀般清單。
8. 單擊“新增”。
9. 選擇要如何新增排除項⽬檔案或資料夾。
10. 點擊瀏覽並選擇共⽤資料夾。
您也可以⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援* 和 ?字元：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\**\*.txt
將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶
TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在路徑的開始、中間或者結尾使⽤遮罩。例如，如果您想要將⼀個針對所有使⽤者的資料夾新增
到排除項⽬，請輸入 C:\Users\*\Folder\ 遮罩。
11. 在“防護元件“塊中，選中“⾏為偵測”元件。
12. 如有必要，在“註解”欄位，輸入您建立的掃描排除項⽬的簡要說明。
13. 選擇排除項⽬的“啟動”狀態。
您可以隨時使⽤開關停⽌排除。
14. 儲存變更。
如何在應⽤程式介⾯中建立排除項⽬以防護共⽤資料夾
292

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。
3. 在”排除項⽬”塊中，點擊”管理排除項⽬”連接。
4. 單擊“新增”。
5. 點擊瀏覽並選擇共⽤資料夾。
您也可以⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援* 和 ?字元：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\**\*.txt
將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶
TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在路徑的開始、中間或者結尾使⽤遮罩。例如，如果您想要將⼀個針對所有使⽤者的資料夾新增
到排除項⽬，請輸入 C:\Users\*\Folder\ 遮罩。
6. 在“防護元件“塊中，選中“⾏為偵測”元件。
7. 如有必要，在“註解”欄位，輸入您建立的掃描排除項⽬的簡要說明。
8. 選擇排除項⽬的“啟動”狀態。
您可以隨時使⽤開關停⽌排除。
9. 儲存變更。

設定共⽤資料夾對外部加密的防護的排除項⽬位址必須啟⽤稽核登入服務，才能從共⽤資料夾對外部加密的防護中排除位址。預設情況下，稽核登入服務已停
⽤（有關啟⽤稽核登入服務的詳細資訊，請存取 Microsoft 網站）。

如果遠端電腦在 Kaspersky Endpoint Security 啟動前啟動，從共⽤資料夾防護中排除位址的功能將不適⽤於該遠端電腦。您可以在 Kaspersky Endpoint Security 啟動後重啟該遠端電腦，確保從共⽤資料夾防護中排除
位址的功能在此遠端電腦上有效。

要排除對共⽤資料夾執⾏外部加密的遠端電腦：
1. 在“應⽤程式主視窗”中，點擊

按鈕。
293

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“⾏為偵測”。

⾏為偵測設定3. 在”排除項⽬”塊中，點擊”設定排除項⽬位址”連接。
4. 如果您要向排除清單新增 IP 位址或電腦名稱，請點擊“新增”按鈕。
5. 輸入不應處理其外部加密嘗試的電腦的 IP 位址或名稱。
6. 儲存變更。

匯出和匯入防⽌共⽤資料夾被外部加密的排除項⽬清單您可以將排除項⽬清單匯出到 XML 檔案。然後，您可以修改檔案，例如，新增⼤量相同類型的位址。您還可以
使⽤匯出/匯入功能來備份排除項⽬清單，或將清單遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入排除項⽬清單294

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → ⾏為偵測”。
5. 在”共⽤資料夾對外部加密的防護”塊中，點擊”排除項⽬”按鈕。
6. 要匯出規則清單：
a. 選取您想要匯出的排除項⽬。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何排除項⽬，則 Kaspersky Endpoint Security 將匯出所有排除項⽬。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
7. 若要匯入排除項⽬清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
8. 儲存變更。
如何在網⾴主控台和 Cloud Console 中匯出和匯入排除項⽬清單295

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”⾏為偵測”。
5. 要匯出”排除項⽬”塊中的排除項⽬清單：
a. 選取您想要匯出的排除項⽬。
b. 單擊“匯出”。
c. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
d. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
e. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
6. 要匯入“排除項⽬“塊中的排除項⽬清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
7. 儲存變更。

主機入侵防禦
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。
“主機入侵防禦”元件可避免應⽤程式執⾏可能給作業系統帶來危險的操作，並確保控制對作業系統資源和個⼈資料的存取。該元件借助防毒資料庫和卡巴斯基安全網路雲端服務來提供電腦防護。
該元件透過應⽤程式權限來控制應⽤程式的操作。應⽤程式權限包括以下存取參數：
對作業系統資源（例如，⾃動啟動選項、登錄機碼）的存取權限
對個⼈資料（例如檔案和應⽤程式）的存取權限296

應⽤程式的網路活動由防火牆使⽤網路規則控制。
在應⽤程式⾸次啟動期間，“主機入侵防禦”元件會執⾏以下操作：
1. 使⽤下載的防毒資料庫檢查應⽤程式的安全性。
2. 在卡巴斯基安全網路中檢查應⽤程式安全性。
建議您加入卡巴斯基安全網路以幫助“主機入侵防禦”元件更有效地⼯作。
3. 將應⽤程式放置在其中⼀個信任群組中：受信任，低限制，⾼限制， 不信任。
信任群組定義了在控制應⽤程式活動時 Kaspersky Endpoint Security 所引⽤的權限。Kaspersky Endpoint
Security 會將應⽤程式放置在某個信任群組中，實際取決於該應⽤程式可能對電腦造成的危險等級⽽定。
Kaspersky Endpoint Security 將應⽤程式放置在“防火牆”和“主機入侵防禦”元件的信任群組中。您不能僅變更“防火牆”或“主機入侵防禦”的信任群組。

如果您拒絕加入 KSN 或沒有網路，Kaspersky Endpoint Security 會根據“主機入侵防禦”元件的設定將應⽤
程式放置在某個信任群組中。從 KSN 收到應⽤程式的信譽後，可以⾃動變更信任群組。
4. 根據信任群組封鎖應⽤程式操作。例如，“⾼限制”信任群組中的應⽤程式會被拒絕存取作業系統模組。
下次啟動應⽤程式時，Kaspersky Endpoint Security 會檢查該應⽤程式的完整性。如果應⽤程式未變更，則該元
件對其應⽤⽬前應⽤程式權限。如果應⽤程式已經過修改，Kaspersky Endpoint Security 會分析應⽤程式，就像
它初次開機時⼀樣。

啟⽤和停⽤主機入侵防禦
預設情況下，“主機入侵防禦”元件已啟⽤並在 Kaspersky 專家建議的模式下執⾏。
如何在管理主控台（MMC）中啟⽤或停⽤主機入侵防禦元件297

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 使⽤“主機入侵防禦“核取⽅塊來啟⽤或停⽤元件。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤主機入侵防禦元件298

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 使⽤“主機入侵防禦“切換開關可啟⽤或停⽤元件。
6. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤主機入侵防禦元件299

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 使⽤“主機入侵防禦“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
如果啟⽤了主機入侵防禦元件，Kaspersky Endpoint Security 會將應⽤程式放置在某個信任群組中，實際取決於
該應⽤程式可能對電腦造成的危險等級⽽定。然後，Kaspersky Endpoint Security 將根據信任群組封鎖應⽤程式的操作。

管理應⽤程式信任群組
每個應⽤程式⾸次啟動時，“主機入侵防禦”元件都會檢查此應⽤程式的安全性並將其置於某個信任群組中。
在應⽤程式掃描的第⼀階段，Kaspersky Endpoint Security 將搜尋已知應⽤程式的內部資料庫檢視是否存在比對
的項⽬，同時向卡巴斯基安全網路資料庫傳送請求（如果網際網路連線可⽤）。根據內部資料庫和卡巴斯基安全網路資料庫中的搜尋結果，應⽤程式將被放入信任群組。隨後每次啟動應⽤程式時，如果應⽤程式在 KSN 資料庫
中的信譽已變更，則 Kaspersky Endpoint Security 會向 KSN 資料庫傳送⼀個新查詢，並將該應⽤程式放入另⼀個
信任群組。
您可以選擇 Kaspersky Endpoint Security 必須⾃動將所有未知應⽤程式分配到的信任群組。先於 Kaspersky
Endpoint Security 啟動的應⽤程式會⾃動移動到“在主機入侵防禦元件設定”中定義的信任群組。
對於先于 Kaspersky Endpoint Security 啟動的應⽤程式，只有網路活動受到控制。根據防火牆設定中定義的
網路規則執⾏控制。

變更應⽤程式的信任群組
每個應⽤程式⾸次啟動時，“主機入侵防禦”元件都會檢查此應⽤程式的安全性並將其置於某個信任群組中。
Kaspersky 專家建議您不要將應⽤程式從⾃動分配的信任群組移動到不同的信任群組。作為替代，如有必要，您可以修改單個應⽤程式的權限。
如何在管理主控台 (MMC) 中變更應⽤程式的信任群組

300

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”設定”按鈕。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
7. 單擊“新增”。
8. 在開啟的視窗中，輸入條件搜尋要變更其信任群組的應⽤程式。
您可以輸入應⽤程式名稱或供應商名稱。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*
和?字元。
9. 單擊“重新整理”。
Kaspersky Endpoint Security 將在受管電腦上安裝的應⽤程式的合併清單中搜尋該應⽤程式。Kaspersky
Endpoint Security 將顯⽰滿⾜您搜尋條件的應⽤程式清單。
10. 選取需要的應⽤程式。
301

11. 在“將選擇應⽤程式新增⾄信任群組”下拉清單中，為應⽤程式選擇必要的信任群組。
12. 儲存變更。
如何在網⾴主控台和雲端主控台中變更應⽤程式的信任群組

302

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”應⽤程式權限和受防護資源”連接。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
您將在視窗左側看到信任群組清單，並在右側看到它們的屬性。
7. 單擊“新增”。
這將啟動⽤於將應⽤程式新增到信任群組的精靈。
8. 選擇相關應⽤程式信任群組。
9. 選擇應⽤程式類型。前往下⼀步。
如果要變更多個應⽤程式的信任群組，請選擇群組類型並定義應⽤程式組的名稱。
303

10. 在開啟的應⽤程式清單中，選擇要變更其信任群組的應⽤程式。
使⽤過濾器。您可以輸入應⽤程式名稱或供應商名稱。Kaspersky Endpoint Security 輸入遮罩時⽀援環境
變量以及*和?字元。
11. 結束精靈。
該應⽤程式將被新增到信任群組。
12. 儲存變更。
如何在應⽤程式介⾯中變更應⽤程式的信任群組

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 單擊“管理應⽤程式”。
這將開啟已安裝的應⽤程式的清單。
4. 選取需要的應⽤程式。
5. 在應⽤程式的內容功能表中，點擊“限制”→ <信任群組>。
6. 儲存變更。
結果，該應⽤程式將被放入另⼀個信任群組。然後，Kaspersky Endpoint Security 將根據信任群組封鎖應⽤程式的操作。 (user-de ned)狀態將分配給該應⽤程式。如果在卡巴斯基安全網路中變更了應⽤程式的信譽，則主機
入侵防禦元件將使該應⽤程式的信任群組保持不變。

配置信任群組權限
預設情況下，將為不同的信任群組建立最佳應⽤程式權限。信任群組中的應⽤程式群組的權限設定會繼承信任群組權限設定的值。
如何在管理主控台（MMC）中變更信任群組權限

304

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”設定”按鈕。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
7. 選擇必要的信任群組。
8. 在信任群組的內容功能表中，選取“群組權限”。
這將開啟信任群組屬性。
9. 請執⾏以下操作之⼀：
如果要編輯⽤作業系統登錄檔、使⽤者檔案和應⽤程式設定來管理操作的的信任群組權限，請選取“檔案和系統登錄檔”標籤。
如果要編輯管理對作業系統處理程序和物件存取權限的信任群組權限，請選擇“權限“標籤。
305

應⽤程式的網路活動由防火牆使⽤網路規則控制。
10. 對於相關資源，在相應操作的列中，右鍵點擊以開啟內容功能表，然後選擇必要的選項：繼承，允許（）或封鎖（ ）。
11. 如果要監視電腦資源的使⽤，請選擇“記錄事件“ （/）。

Kaspersky Endpoint Security 將記錄有關主機入侵防禦元件操作的資訊。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
12. 儲存變更。
如何在網⾴主控台和雲端主控台中變更信任群組權限

306

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”應⽤程式權限和受防護資源”連接。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
您將在視窗左側看到信任群組清單，並在右側看到它們的屬性。
7. 在視窗的左側，選擇相關的信任群組。
8. 在視窗右側的下拉清單中，執⾏下列操作之⼀：
要編輯管理應⽤程式存取作業系統登錄檔、使⽤者檔案和應⽤程式設定的權限的信任群組權限，請選取“檔案和系統登錄檔”標籤。
如果要編輯⽤於管理對作業系統處理程序和物件存取權限的信任群組權限，請選擇“權限“。
307

應⽤程式的網路活動由防火牆使⽤網路規則控制。
9. 對於相關資源，在相應操作的列中，選擇必要的選項：繼承，允許 (10. 如果要監視電腦資源的使⽤，請選擇“記錄事件“ （/)，封鎖 ()。

）。

Kaspersky Endpoint Security 將記錄有關主機入侵防禦元件操作的資訊。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
11. 儲存變更。
如何在應⽤程式介⾯中變更信任群組權限

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 單擊“管理應⽤程式”。
這將開啟已安裝的應⽤程式的清單。
4. 選擇必要的信任群組。
5. 在信任群組的內容功能表中，選取“細節和規則”。
這將開啟信任群組屬性。
6. 請執⾏以下操作之⼀：
如果要編輯⽤作業系統登錄檔、使⽤者檔案和應⽤程式設定來管理操作的的信任群組權限，請選取“檔案和系統登錄檔”標籤。
如果要編輯管理對作業系統處理程序和物件存取權限的信任群組權限，請選擇“權限“標籤。
應⽤程式的網路活動由防火牆使⽤網路規則控制。
7. 對於相關資源，在相應操作的列中，右鍵點擊以開啟內容功能表，然後選擇必要的選項：繼承，允許（），拒絕（ ）。
8. 如果要監視電腦資源的使⽤，請選擇“記錄事件“ （ ）。
Kaspersky Endpoint Security 將記錄有關主機入侵防禦元件操作的資訊。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
9. 儲存變更。
信任群組權限將被變更。然後，Kaspersky Endpoint Security 將根據信任群組封鎖應⽤程式的操作。 狀態（⾃訂設定）將分配給信任群組。

選取在 Kaspersky Endpoint Security 啟動之前啟動的應⽤程式信任群組308

對於先于 Kaspersky Endpoint Security 啟動的應⽤程式，只有網路活動受到控制。根據防火牆設定中定義的
網路規則執⾏控制。若要指定必須為此類應⽤程式的網路活動應⽤哪些網路規則，您必須選取信任群組。
如何在管理主控台（MMC）中為在 Kaspersky Endpoint Security 之前啟動的應⽤程式選擇信任群組

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”編輯”按鈕。
6. 對於“Kaspersky Endpoint Security for Windows 開始⼯作前啟動的應⽤程式信任組”設定，選擇合適的“信任群組”。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中為 Kaspersky Endpoint Security 之前啟動的應⽤程式選擇信任群組309

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 對於“Kaspersky Endpoint Security for Windows 開始⼯作前啟動的應⽤程式信任組”設定，選擇合適的“信任群組”。
6. 儲存變更。
如何選取在 Kaspersky Endpoint Security 啟動之前啟動的應⽤程式信任群組

310

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 在“Kaspersky Endpoint Security for Windows 開始⼯作前啟動的應⽤程式信任組”塊中，選擇合適的“信任群組”。
4. 儲存變更。
結果，在 Kaspersky Endpoint Security 之前啟動的應⽤程式將被放入另⼀個信任群組。然後，Kaspersky
Endpoint Security 將根據信任群組封鎖應⽤程式的操作。

選擇未知應⽤程式的信任群組
在⾸次啟動應⽤程式期間，主機入侵防禦元件將確定該應⽤程式的信任群組。如果您沒有網際網路存取權限，或者如果卡巴斯基安全網路沒有有關此應⽤程式的資訊，則預設情況下，Kaspersky Endpoint Security 會將應⽤程式放入“低限制”組。當在 KSN 中偵測到有關先前未知應⽤程式的資訊時，Kaspersky Endpoint Security 將更新該
應⽤程式的權限。隨後您可以⼿動編輯應⽤程式權限。
如何在管理主控台（MMC）中為未知應⽤程式選擇信任群組311

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在“應⽤程式處理規則“塊中，使⽤“無法新增⾄現有群組的應⽤程式信任群組”下拉清單選擇必要的信任群組。
如果啟⽤了參與卡巴斯基安全網路，Kaspersky Endpoint Security 會在每次應⽤程式啟動時向 KSN 傳送有關應⽤程式信譽的請求。根據收到的回應，應⽤程式可能會被移動⾄與“主機入侵防禦”元件設定中指定
的信任群組不同的信任群組中。
6. 使⽤“從 KSN 資料庫更新以前未知的應⽤程式的權限“核取⽅塊來配置未知應⽤程式的權限的⾃動更新。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中為未知應⽤程式選擇信任群組

312

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在“應⽤程式處理規則“塊中，使⽤“無法新增⾄現有群組的應⽤程式信任群組”下拉清單選擇必要的信任群組。
如果啟⽤了參與卡巴斯基安全網路，Kaspersky Endpoint Security 會在每次應⽤程式啟動時向 KSN 傳送有關應⽤程式信譽的請求。根據收到的回應，應⽤程式可能會被移動⾄與“主機入侵防禦”元件設定中指定
的信任群組不同的信任群組中。
6. 使⽤“從 KSN 資料庫更新以前未知的應⽤程式的權限“核取⽅塊來配置未知應⽤程式的權限的⾃動更新。
7. 儲存變更。
如何在應⽤程式介⾯中為未知應⽤程式選擇信任群組313

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 在「應⽤程式處理規則」區塊中，選擇合適的信任群組。
如果啟⽤了參與卡巴斯基安全網路，Kaspersky Endpoint Security 會在每次應⽤程式啟動時向 KSN 傳送有關應⽤程式信譽的請求。根據收到的回應，應⽤程式可能會被移動⾄與“主機入侵防禦”元件設定中指定
的信任群組不同的信任群組中。
4. 使⽤“從卡巴斯基安全網路為之前未知應⽤程式更新規則“核取⽅塊來配置未知應⽤程式的權限的⾃動更新。
5. 儲存變更。

為數位簽章應⽤程式選擇信任群組
Kaspersky Endpoint Security 總是將帶有 Microsoft 憑證簽章或 Kaspersky 憑證簽章的應⽤程式放入受信任群組。
如何在管理主控台（MMC）中為數位簽章的應⽤程式選擇信任群組314

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在“應⽤程式處理規則”塊中，使⽤“信任具有數位簽章的應⽤程式核取⽅塊來為包含受信任供應商的數位簽章的應⽤程式啟⽤或停⽤⾃動分配給“受信任”群組。

受信任供應商是卡巴斯基包含在受信任群組中的那些软体供應商。您還可以⼿動將供應商憑證新增到受
信任系統憑證儲存中。

如果清空此核取⽅塊，“主機入侵防禦”將不再信任經過數位簽章的應⽤程式，並使⽤其他參數以確定它們
的信任群組。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中為數位簽章的應⽤程式選擇信任群組

315

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在“應⽤程式處理規則”塊中，使⽤“信任具有數位簽章的應⽤程式核取⽅塊來為包含受信任供應商的數位簽章的應⽤程式啟⽤或停⽤⾃動分配給“受信任”群組。

受信任供應商是卡巴斯基包含在受信任群組中的那些软体供應商。您還可以⼿動將供應商憑證新增到受
信任系統憑證儲存中。

如果清空此核取⽅塊，“主機入侵防禦”將不再信任經過數位簽章的應⽤程式，並使⽤其他參數以確定它們
的信任群組。
6. 儲存變更。
如何在應⽤程式介⾯中為數位簽章的應⽤程式選擇信任群組316

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 在“應⽤程式處理規則”塊中，使⽤“信任具有數位簽章的應⽤程式核取⽅塊來為包含受信任供應商的數位簽章的應⽤程式啟⽤或停⽤⾃動分配給“受信任”群組。

受信任供應商是卡巴斯基包含在受信任群組中的那些软体供應商。您還可以⼿動將供應商憑證新增到受
信任系統憑證儲存中。

如果清空此核取⽅塊，“主機入侵防禦”將不再信任經過數位簽章的應⽤程式，並使⽤其他參數以確定它們
的信任群組。
4. 儲存變更。

管理應⽤程式權限
預設情況下，應⽤程式活動是根據為 Kaspersky Endpoint Security ⾸次啟動時分配給該應⽤程式的特定信任群組
定義的應⽤程式權限來控制的。如有必要，您可以為整個信任群組、單個應⽤程式或信任群組內的⼀組應⽤程式
編輯應⽤程式權限。
⼿動定義的應⽤程式權限比為信任群組定義的應⽤程式權限具有更⾼的優先級。換句話說，如果⼿動定義的應⽤
程式權限與為信任群組定義的應⽤程式權限不同，則主機入侵防禦元件將根據⼿動定義的應⽤程式權限來控制應
⽤程式活動。
您為應⽤程式建立的規則被⼦應⽤程式繼承。例如，如果您拒絕cmd.exe的所有網路活動，則如果使⽤cmd.exe啟
動notepad.exe，則所有網路活動也將被拒絕。當應⽤程式不是另⼀個應⽤程式的⼦應⽤程式時，規則不被繼承。
如何在管理主控台 (MMC) 中變更應⽤程式權限

317

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”設定”按鈕。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
7. 單擊“新增”。
8. 在開啟的視窗中，輸入條件以搜尋要變更其應⽤程式權限的應⽤程式。
您可以輸入應⽤程式名稱或供應商名稱。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*
和?字元。
9. 單擊“重新整理”。
Kaspersky Endpoint Security 將在受管電腦上安裝的應⽤程式的合併清單中搜尋該應⽤程式。Kaspersky
Endpoint Security 將顯⽰滿⾜您搜尋條件的應⽤程式清單。
10. 選取需要的應⽤程式。
318

11. 在“將選擇應⽤程式新增⾄信任群組”下拉清單中，選擇“預設群組”，然後點擊“確定”。
該應⽤程式將被新增到預設群組。
12. 選擇相關的應⽤程式，然後從應⽤程式的內容功能表中選擇“應⽤程式權限”。
這將開啟應⽤程式屬性。
13. 請執⾏以下操作之⼀：
如果要編輯⽤作業系統登錄檔、使⽤者檔案和應⽤程式設定來管理操作的的信任群組權限，請選取“檔案和系統登錄檔”標籤。
如果要編輯管理對作業系統處理程序和物件存取權限的信任群組權限，請選擇“權限“標籤。
應⽤程式的網路活動由防火牆使⽤網路規則控制。
14. 對於相關資源，在相應操作的列中，右鍵點擊以開啟內容功能表，然後選擇必要的選項：繼承，允許（）或封鎖（ ）。
15. 如果要監視電腦資源的使⽤，請選擇“記錄事件“ （/）。

Kaspersky Endpoint Security 將記錄有關主機入侵防禦元件操作的資訊。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
16. 儲存變更。
如何在網⾴主控台和雲端主控台中變更程序權限

319

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”應⽤程式權限和受防護資源”連接。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“應⽤程式權限”標籤。
您將在視窗左側看到信任群組清單，並在右側看到它們的屬性。
7. 單擊“新增”。
這將啟動⽤於將應⽤程式新增到信任群組的精靈。
8. 選擇相關應⽤程式信任群組。
9. 選擇應⽤程式類型。前往下⼀步。
如果要變更多個應⽤程式的信任群組，請選擇群組類型並定義應⽤程式組的名稱。
320

10. 在開啟的應⽤程式清單中，選擇要變更其應⽤程式權限的應⽤程式。
使⽤過濾器。您可以輸入應⽤程式名稱或供應商名稱。Kaspersky Endpoint Security 輸入遮罩時⽀援環境
變量以及*和?字元。
11. 結束精靈。
該應⽤程式將被新增到信任群組。
12. 在視窗左側，選取相關應⽤程式。
13. 在視窗右側的下拉清單中，執⾏下列操作之⼀：
要編輯管理應⽤程式存取作業系統登錄檔、使⽤者檔案和應⽤程式設定的權限的信任群組權限，請選取“檔案和系統登錄檔”標籤。
如果要編輯⽤於管理對作業系統處理程序和物件存取權限的信任群組權限，請選擇“權限“。
應⽤程式的網路活動由防火牆使⽤網路規則控制。
14. 對於相關資源，在相應操作的列中，選擇必要的選項：繼承，允許 (15. 如果要監視電腦資源的使⽤，請選擇“記錄事件“ （/)，封鎖 ()。

）。

Kaspersky Endpoint Security 將記錄有關主機入侵防禦元件操作的資訊。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
16. 儲存變更。
如何在應⽤程式介⾯中變更應⽤程式權限

321

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 單擊“管理應⽤程式”。
這將開啟已安裝的應⽤程式的清單。
4. 選取需要的應⽤程式。
5. 在應⽤程式的內容功能表中，選取“細節和規則”。
這將開啟應⽤程式屬性。
6. 請執⾏以下操作之⼀：
如果要編輯⽤作業系統登錄檔、使⽤者檔案和應⽤程式設定來管理操作的的信任群組權限，請選取“檔案和系統登錄檔”標籤。
如果要編輯管理對作業系統處理程序和物件存取權限的信任群組權限，請選擇“權限“標籤。
7. 對於相關資源，在相應操作的列中，右鍵點擊以開啟內容功能表，然後選擇必要的選項：繼承，允許（）或拒絕（ ）。
8. 如果要監視電腦資源的使⽤，請選擇“記錄事件“ （ ）。
Kaspersky Endpoint Security 將記錄有關主機入侵防禦元件操作的資訊。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
9. 選擇”排除項⽬”標籤並配置應⽤程式的⾼級設定（請參閱下表）。
10. 儲存變更。
應⽤程式的⾼級設定參數描述開啟前不掃描檔案

Kaspersky Endpoint Security 的掃描將排除應⽤程式開啟的所有檔案。例如，如果您正在使⽤應⽤程式備份檔案，則此功能有助於減少 Kaspersky
Endpoint Security 的資源消耗。

不監控應⽤程式活動

Kaspersky Endpoint Security 將不會監控作業系統中應⽤程式的檔案和網路
活動。應⽤程式活動由以下元件監控：⾏為偵測，弱點利⽤防禦，主機入
侵防禦，修復引擎和防火牆。

不繼承⽗處理程序(應⽤程式)的限制

Kaspersky Endpoint Security 不會將為⽗程序配置的限制套⽤於⼦程序。⽗
程序由配置了應⽤程式權限 （主機入侵防禦）和應⽤程式網路規則（防火牆）的應⽤程式啟動。

不監控⼦應⽤程式活動Kaspersky Endpoint Security 將不會監控該應⽤程式啟動的應⽤程式的檔案
活動或網路活動。

允許與 Kaspersky
Endpoint Security
for Windows 介⾯進⾏互動

Kaspersky Endpoint Security ⾃我防護可封鎖從遠端電腦管理應⽤程式服務
的所有嘗試。如果選擇該核取⽅塊，則允許遠端存取應⽤程式透過
Kaspersky Endpoint Security 介⾯管理 Kaspersky Endpoint Security 設定。

不掃描加密流量/不
掃描所有流量Kaspersky Endpoint Security 將從掃描中排除由應⽤程式啟動的網路流量。
您可以從掃描中排除所有流量或僅排除加密流量。您也可以從掃描中排除
單個 IP 位址和連接埠號。
322

防護作業系統資源和个⼈資料“主機入侵防禦”元件管理應⽤程式處理各種不同類別作業系統資源和個⼈資料的權限。Kaspersky 專家已建立受防
護資源的預設類別。例如，“作業系統“類別具有“啟動設定”⼦類別，該⼦類別列出了與應⽤程式⾃動執⾏相關的所
有登錄機碼。您無法編輯或刪除受防護資源的預設類別，或這些類別中的受防護資源。
如何在管理主控台 (MMC) 中新增受防護資源323

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”設定”按鈕。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“受防護資源”標籤。
您將在視窗左側看到受防護資源的清單，以及根據特定信任群組存取這些資源的相應權限。
7. 選擇要向其新增受防護資源的受防護資源類別。
如果要新增⼦類別，請點擊新增→類別。
8. 點擊”新增“按鈕。在下拉清單中，選擇要新增的資源類型：檔案或資料夾或登錄機碼。
9. 在開啟的視窗中，選擇檔案、資料夾或登錄機碼。
您可以檢視應⽤程式的權限以存取新增的資源。為此，請在視窗的左側選擇新增的資源，Kaspersky
Endpoint Security 將顯⽰每個信任群組的存取權限。您還可以透過使⽤新資源旁邊的核取⽅塊來停⽤對
包含資源的應⽤程式活動的控制。
324

10. 儲存變更。
如何在網⾴主控台和雲端主控台中新增受防護資源

325

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在”應⽤程式權限和受防護資源”塊中，點擊”應⽤程式權限和受防護資源”連接。
這將開啟應⽤程式權限配置視窗和受防護資源的清單。
6. 選擇“受防護資源”標籤。
您將在視窗左側看到受防護資源的清單，以及根據特定信任群組存取這些資源的相應權限。
7. 單擊“新增”。
新資源精靈啟動。
8. 點擊群組名稱連接選擇要向其新增受防護資源的受防護資源類別。
如果要新增⼦類別，請選擇受防護資源的類別選項。
9. 選擇要新增的資源類型：檔案或資料夾或登錄機碼。
326

10. 選擇⼀個檔案、資料夾或登錄機碼。
11. 結束精靈。
您可以檢視應⽤程式的權限以存取新增的資源。為此，請在視窗的左側選擇新增的資源，Kaspersky
Endpoint Security 將顯⽰每個信任群組的存取權限。您還可以使⽤“狀態“列中的核取⽅塊停⽤控制有資源
的應⽤程式活動。
12. 儲存變更。
如何在應⽤程式介⾯中新增受防護資源

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 單擊“管理資源”。
受防護資源清單開啟。
4. 選擇要向其新增受防護資源的受防護資源類別。
如果要新增⼦類別，請點擊新增→類別。
5. 點擊”新增“按鈕。在下拉清單中，選擇要新增的資源類型：檔案或資料夾或登錄機碼。
6. 在開啟的視窗中，選擇檔案、資料夾或登錄機碼。
您可以檢視應⽤程式的權限以存取新增的資源。為此，請在視窗的左側選擇新增的資源，Kaspersky
Endpoint Security 將顯⽰應⽤程式清單以及每個應⽤程式的存取權限。您還可以透過使⽤狀態列中的 啟
⽤控制按鈕來停⽤對有資源的應⽤程式活動的控制。
7. 儲存變更。
Kaspersky Endpoint Security 將控制對新增的作業系統資源和個⼈資料的存取。Kaspersky Endpoint Security根據
分配給該應⽤程式的信任群組控制應⽤程式對資源的存取。您可以⼿動變更應⽤程式的信任群組。

刪除有關未使⽤之應⽤程式的資訊
Kaspersky Endpoint Security 使⽤應⽤程式權限來控制應⽤程式的活動。應⽤程式權限由其信任群組確定。⾸次啟動應⽤程式時，Kaspersky Endpoint Security 會將應⽤程式放入信任群組。您可以⼿動變更應⽤程式的信任群組。您還可以⼿動配置單⼀應⽤程式的權限。Kaspersky Endpoint Security 儲存有關應⽤程式的以下資訊：應⽤
程式的信任群組和應⽤程式的權限。
Kaspersky Endpoint Security 會⾃動刪除有關未使⽤的應⽤程式資訊以節省電腦資源。Kaspersky Endpoint
Security 根據以下規則刪除應⽤程式資訊：
如果應⽤程式的信任組和權限已⾃動確認，Kaspersky Endpoint Security 將在 30 天後刪除有關此應⽤程式的訊息。不能變更應⽤程式訊息的儲存期限或關閉⾃動刪除。
如果您⼿動將應⽤程式放入信任群組或配置其存取權限，Kaspersky Endpoint Security 將在 60 天（預設儲存
期限）後刪除有關此應⽤程式的資訊。您可以變更應⽤程式資訊的儲存期限，或關閉⾃動刪除（請參⾒下⾯
說明）。
當啟動資訊已被刪除的應⽤程式時，Kaspersky Endpoint Security 會像⾸次啟動該應⽤程式⼀樣對其進⾏分析。
327

如何在管理主控台（MMC）中配置⾃動刪除有關未使⽤的應⽤程式的資訊

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 主機入侵防禦”。

入侵防禦設定5. 在“應⽤程式處理規則”塊中執⾏以下操作之⼀：
如果要配置⾃動刪除，請選擇刪除超過以下時間未啟動的應⽤程式的規則 N 天核取⽅塊並輸入天數。
您⼿動放入信任群組或⼿動設定其存取權限的應⽤程式相關資訊在定義的天數後將被 Kaspersky
Endpoint Security 刪除。有關已⾃動確定其信任群組和應⽤程式權限的應⽤程式資訊也將在 30 天後
被 Kaspersky Endpoint Security 刪除。
如果要關閉⾃動刪除，請清除“刪除超過以下時間未啟動的應⽤程式的規則 N 天”核取⽅塊。
您⼿動放入信任群組或⼿動設定其存取權限的應⽤程式相關資訊將被 Kaspersky Endpoint Security 無限期儲存，且沒有任何儲存期限。Kaspersky Endpoint Security 在 30 天後將只刪除已⾃動確定其信任
群組和應⽤程式權限之應⽤程式的相關資訊。
6. 儲存變更。

328

如何在網⾴主控台和雲端主控台中配置有關未使⽤應⽤程式的資訊的⾃動刪除329

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”主機入侵防禦”。

入侵防禦設定5. 在“應⽤程式處理規則”塊中執⾏以下操作之⼀：
如果要配置⾃動刪除，請選擇刪除超過以下時間未啟動的應⽤程式的規則 N 天核取⽅塊並輸入天數。
您⼿動放入信任群組或⼿動設定其存取權限的應⽤程式相關資訊在定義的天數後將被 Kaspersky
Endpoint Security 刪除。有關已⾃動確定其信任群組和應⽤程式權限的應⽤程式資訊也將在 30 天後
被 Kaspersky Endpoint Security 刪除。
如果要關閉⾃動刪除，請清除“刪除超過以下時間未啟動的應⽤程式的規則 N 天”核取⽅塊。
您⼿動放入信任群組或⼿動設定其存取權限的應⽤程式相關資訊將被 Kaspersky Endpoint Security 無限期儲存，且沒有任何儲存期限。Kaspersky Endpoint Security 在 30 天後將只刪除已⾃動確定其信任
群組和應⽤程式權限之應⽤程式的相關資訊。
6. 儲存變更。
330

如何在應⽤程式介⾯中配置有關未使⽤的應⽤程式的資訊的⾃動刪除

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“主機入侵防禦”。
3. 在“應⽤程式處理規則”塊中執⾏以下操作之⼀：
如果要配置⾃動刪除，請選擇刪除超過以下時間未啟動的應⽤程式的規則 N 天核取⽅塊並輸入天數。
您⼿動放入信任群組或⼿動設定其存取權限的應⽤程式相關資訊在定義的天數後將被 Kaspersky
Endpoint Security 刪除。有關已⾃動確定其信任群組和應⽤程式權限的應⽤程式資訊也將在 30 天後
被 Kaspersky Endpoint Security 刪除。
如果要關閉⾃動刪除，請清除“刪除超過以下時間未啟動的應⽤程式的規則 N 天”核取⽅塊。
您⼿動放入信任群組或⼿動設定其存取權限的應⽤程式相關資訊將被 Kaspersky Endpoint Security 無限期儲存，且沒有任何儲存期限。Kaspersky Endpoint Security 在 30 天後將只刪除已⾃動確定其信任
群組和應⽤程式權限之應⽤程式的相關資訊。
4. 儲存變更。

監控主機入侵防禦
您可以收到有關主機入侵防禦元件操作的報告。報告包含有關應⽤程式執⾏的電腦資源操作的資訊（允許或禁⽌）。報告還包含有關利⽤每種資源的應⽤程式的資訊。
要監視主機入侵防禦操作，您需要啟⽤報告寫作功能。例如，您可以在主機入侵防禦元件設定中為單個應⽤程式
啟⽤報告轉發。
在配置主機入侵防禦監視時，將事件轉發到卡巴斯基安全管理中⼼時請考慮潛在的網路負載。您還可以僅在
Kaspersky Endpoint Security 的本機記錄中啟⽤報告儲存。

防護對⾳訊和視訊的存取網路罪犯可以使⽤特殊程式來嘗試存取記錄⾳訊和視訊的裝置（例如麥克風或網路攝影機）。Kaspersky
Endpoint Security 可控制應⽤程式何時接收⾳訊資料流或視訊資料流，並防護資料免遭未經授權的攔截。
預設情況下，Kaspersky Endpoint Security 控制應⽤程式對⾳訊資料流和視訊資料流的存取權限如下：
預設情況下，允許受信任和低限制的應⽤程式從裝置接收⾳訊資料流和視訊資料流。
預設情況下，⾼限制和不信任的應⽤程式不允許從裝置接收⾳訊資料流和視訊資料流。
您可以⼿動允許應⽤程式接收⾳訊資料流和視訊資料流。

⾳訊資料流防護的特殊功能
331

⾳訊資料流防護有以下特性：
必須啟⽤“主機入侵防禦”元件，此功能才有效。
如果在“主機入侵防禦”元件啟動之前該應⽤程式開始接受⾳訊資料流，則 Kaspersky Endpoint Security 允許該
應⽤程式接收⾳訊資料流且不顯⽰任何通知。
如果您在應⽤程式開始接收⾳訊資料流之後將該應⽤程式移動⾄“不信任”群組或“⾼限制”群組，Kaspersky
Endpoint Security 將允許應⽤程式接收⾳訊資料流且不顯⽰任何通知。
應⽤程式存取錄⾳裝置的設定被變更後（例如，如果封鎖了應⽤程式接收⾳訊資料流），則必須重新啟動該
應⽤程式才能封鎖其繼續接收⾳訊資料流。
控制對錄⾳裝置⾳訊資料流的存取不取決於應⽤程式的鏡頭存取設定。
Kaspersky Endpoint Security 僅防護對內建麥克風和外建麥克風的存取。不⽀援其他⾳訊資料流裝置。
Kaspersky Endpoint Security 無法防護對其他諸如單反相機、攜帶式錄影機和動作捕捉相機中⾳訊資料流的防護。
當您在安裝 Kaspersky Endpoint Security 之後⾸次執⾏⾳訊和視訊錄製或播放應⽤程式時，⾳訊和視訊播放或錄製可能會被中斷。為了確保該功能能夠控制應⽤程式對錄⾳裝置的存取，這是必要的。Kaspersky Endpoint
Security ⾸次執⾏時控制⾳訊硬體的系統裝置將重新開機。

應⽤程式網路攝影機存取防護的特殊功能
網路攝影機存取防護功能擁有以下特別考慮和限制：
應⽤程式將控制從處理鏡頭資料⽽來的視訊和靜⽌影像。
應⽤程式將控制視訊流，如果其作為鏡頭接收視訊流的⼀部分。
應⽤程式僅控制在 Windows 裝置管理員中顯⽰為“影像裝置”透過 USB 或 IEEE1394 連線的鏡頭。
Kaspersky Endpoint Security ⽀援以下鏡頭：Logitech HD Webcam C270
Logitech HD Webcam C310
Logitech Webcam C210
Logitech Webcam Pro 9000
Logitech HD Webcam C525
Microsoft LifeCam VX-1000
Microsoft LifeCam VX-2000
Microsoft LifeCam VX-3000
Microsoft LifeCam VX-800
Microsoft LifeCam Cinema
332Kaspersky 不保證⽀援不在清單中的鏡頭。

修復引擎
修復引擎允許 Kaspersky Endpoint Security 復原惡意軟體在作業系統中執⾏的操作。
回溯作業系統中的惡意軟體活動時，Kaspersky Endpoint Security 將處理以下類型的惡意軟體活動：
檔案活動
Kaspersky Endpoint Security 執⾏以下操作：
移除惡意軟體（在除網路磁碟外的所有介質上）建立的可執⾏檔。
移除已被惡意軟體入侵的程式所建立的可執⾏檔。
還原被惡意軟體修改或刪除的檔案。
檔案還原功能有⼀些限制。
登錄檔活動Kaspersky Endpoint Security 執⾏以下操作：刪除由惡意軟體建立的登錄機碼。
不會還原被惡意軟體修改或刪除的登錄機碼。
系統活動
Kaspersky Endpoint Security 執⾏以下操作：
終⽌由惡意軟體啟動的處理程序。
終⽌被惡意應⽤程式滲透的處理程序。
不會還原被惡意程式掛起的處理程序。
網路活動
Kaspersky Endpoint Security 執⾏以下操作：
封鎖惡意軟體的網路活動。
封鎖被惡意軟體入侵的處理程序的網路活動。
“檔案威脅防護”或“⾏為偵測”元件或在惡意軟體掃描過程中可以啟動惡意軟體操作回溯。
回溯惡意程式操作的過程將會影響⼀組嚴格限定的資料。回溯對於作業系統或您的電腦中資料的完整性不會產⽣
負⾯影響。
如何在管理主控台（MMC）中啟⽤或停⽤修復引擎元件333

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 修復引擎”。
5. 使⽤“修復引擎“核取⽅塊來啟⽤或停⽤元件。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤修復引擎元件

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”修復引擎”。
5. 使⽤“修復引擎“切換開關可啟⽤或停⽤元件。
6. 儲存變更。
如何在應⽤程式介⾯中啟⽤或停⽤修復引擎元件

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“修復引擎”。
3. 使⽤“修復引擎“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
因此，如果啟⽤了修復引擎，則 Kaspersky Endpoint Security 將復原由作業系統中的惡意應⽤程式執⾏的操作。

卡巴斯基安全網路
為了更有效地防護您的電腦，Kaspersky Endpoint Security 使⽤從全球使⽤者處接收的資料。卡巴斯基安全網路
旨在獲取此資料。

334

卡巴斯基安全網路（KSN）是雲端服務的基礎結構，可提供對線上卡巴斯基知識庫的存取，該知識庫包含有關檔

案、網⾴資源和軟體信譽的資訊。使⽤卡巴斯基安全網路的資料可確保 Kaspersky Endpoint Security 能夠更快地
對新型威脅作出回應，提⾼⼀些防護元件的效能，並減少誤報風險。如果您正在參與卡巴斯基安全網路，KSN 服
務將為 Kaspersky Endpoint Security 提供有關所掃描檔案的類別和信譽的資訊，以及有關所掃描網址的信譽的資
訊。
卡巴斯基安全網路的使⽤是⾃願的。應⽤程式將在初始化設定期間提⽰您使⽤ KSN。使⽤者可以隨時開始或停⽌加入 KSN。
有關在參與 KSN 期間⽣成的 Kaspersky 統計資訊的傳送詳情，以及有關此類資訊的儲存和銷毀，請參閱卡巴斯基
安全網路聲明和 Kaspersky 網站 。含有卡巴斯基安全網路聲明文字的 ksn_<語⾔ ID>.txt 檔案包括在應⽤程式分
發套件中。

卡巴斯基信譽資料庫的基礎結構
Kaspersky Endpoint Security ⽀援以下⽤於使⽤ Kaspersky 信譽資料庫的基礎結構解決⽅案：

卡巴斯基安全網路 (KSN) 是⼤多數 Kaspersky 應⽤程式使⽤的解決⽅案。KSN 參與者從卡巴斯基接收資訊，並向 Kaspersky 傳送使⽤者電腦上偵測到的物件的資訊，以便 Kaspersky 分析⼈員進⾏額外分析，並包括在信譽
和統計資料庫中。

卡巴斯基安全網路 (KSN) 是讓承載 Kaspersky Endpoint Security 或其他 Kaspersky 應⽤程式的電腦的使⽤者獲得卡巴斯基信譽資料庫以及其他統計資料的存取權限的解決⽅案，無需從他們⾃⼰的電腦向卡巴斯基傳送資料。KPSN 專為因以下任⼀原因無法參與卡巴斯基安全網路的公司客⼾所設計：本機⼯作站未連線網際網路。
法律禁⽌或公司安全政策限制將任何資料傳輸到國家/地區外部或公司 LAN 外部。
預設情況下，卡巴斯基安全管理中⼼使⽤ KSN。您可以在管理主控台 (MMC)、卡巴斯基安全管理中⼼網⾴主控台和 命令列中設定 KPSN 的使⽤。無法在卡巴斯基安全管理中⼼雲端主控台中設定 KPSN 的使⽤。
有關 KPSN 的詳細資訊，請參閱卡巴斯基私有安全網路的文件。

啟⽤和停⽤卡巴斯基安全網路的使⽤
若要啟⽤和停⽤卡巴斯基安全網路的使⽤，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“卡巴斯基安全網路”。
3. 使⽤“卡巴斯基安全網路“切換開關可啟⽤或停⽤元件。
如果啟⽤了使⽤ KSN，Kaspersky Endpoint Security 將顯⽰卡巴斯基安全網路聲明。如果同意，請接受《卡巴
斯基安全網路(KSN)聲明》的使⽤條款。
預設情況下，Kaspersky Endpoint Security 使⽤延伸 KSN 模式。延伸 KSN 模式是 Kaspersky Endpoint Security
向 Kaspersky 傳送附加資料的⼀種模式。
4. 如果需要，請關閉“啟⽤延伸 KSN 模式”開關。
335

5. 儲存變更。
因此，如果啟⽤了使⽤ KSN，則 Kaspersky Endpoint Security 會使⽤有關從卡巴斯基安全網路收到的檔案、網⾴資源和應⽤程式信譽的資訊。

卡巴斯基私有安全網路的限制
卡巴斯基安全網路 (KSN) 是讓承載 Kaspersky Endpoint Security 或其他 Kaspersky 應⽤程式的電腦的使⽤者獲得卡巴斯基信譽資料庫以及其他統計資料的存取權限的解決⽅案，無需從他們⾃⼰的電腦向卡巴斯基傳送資料。卡
巴斯基私有安全網路使您可以使⽤⾃⼰的本機信譽資料庫來檢查物件（檔案或網址）的信譽。與新增到 KSN /KPSN 中的物件相比，新增到本機信譽資料庫中的物件的信譽具有更⾼的優先級。例如，假設 Kaspersky
Endpoint Security 正在掃描電腦並請求 KSN / KPSN中 檔案的信譽。如果檔案在本機信譽資料庫中具有“不信任”的信譽，但在 KSN / KPSN 中具有“受信任”的信譽，則 Kaspersky Endpoint Security 會將檔案偵測為“不信任”，並將採取針對偵測到的威脅⽽定義的操作。
但是，在某些情況下，Kaspersky Endpoint Security 可能不會請求 KSN / KPSN 中物件的信譽。在這種情況下，Kaspersky Endpoint Security 將不會從 KPSN 的本機信譽資料庫接收資料。由於以下原因，Kaspersky Endpoint
Security 可能不會請求 KSN / KPSN 中物件的信譽：卡巴斯基應⽤程式正在使⽤離線信譽資料庫。離線信譽資料庫旨在在卡巴斯基應⽤程式運⾏期間最佳化資源，並防護電腦上的重要物件。離線信譽資料庫由卡巴斯基專家根據卡巴斯基安全網路中的資料建立。卡巴
斯基應⽤程式使⽤特定應⽤程式的病毒資料庫更新離線信譽資料庫。如果離線信譽資料庫包含有關被掃描物
件的資訊，則應⽤程式不會從 KSN / KPSN 請求該物件的信譽。
在應⽤程式設定中配置掃描排除項⽬（受信任區域）。在這種情況下，應⽤程式不會考慮本機信譽資料庫中
物件的信譽。
該應⽤程式使⽤掃描最佳化技術（例如 iSwift 或 iChecker），或者正在將信譽請求快取到 KSN / KPSN。在這種情況下，應⽤程式不可請求先前掃描的物件的信譽。
為了最佳化其⼯作量，應⽤程式掃描特定格式和⼤⼩的檔案。有關格式和⼤⼩限制的清單由卡巴斯基專家確定。此清單已使⽤應⽤程式的病毒資料庫更新。您也可以在應⽤程式介⾯中配置掃描優化設定，例如，檔案
威脅防護元件 。

為防護元件啟⽤和停⽤雲端模式
雲端模式 是指 Kaspersky Endpoint Security 使⽤輕量級版本的病毒資料庫的應⽤程式執⾏模式。當使⽤輕量級病
毒資料庫時，卡巴斯基安全網路⽀援應⽤程式執⾏。與通常的資料庫相比，輕量級版本的病毒資料庫僅需要⼤約
⼀半的電腦 RAM。如果您未參與卡巴斯基安全網路或已停⽤雲端模式，Kaspersky Endpoint Security 會從
Kaspersky 伺服器下載完整版本的病毒資料庫。
從卡巴斯基專屬安全網路版本 3.0 開始，在使⽤卡巴斯基專屬安全網路時，雲端模式功能可⽤。

要為防護元件啟⽤或停⽤雲端模式：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”進階威脅防護“→“卡巴斯基安全網路”。
3. 使⽤“啟⽤雲端模式“切換開關可啟⽤或停⽤元件。

336

4. 儲存變更。
因此，Kaspersky Endpoint Security 在下⼀次更新期間將下載輕量級版本或完整版的病毒資料庫。

如果病毒資料庫的輕量級版本不可⽤，Kaspersky Endpoint Security 會⾃動轉換到病毒資料庫的進階版本。

KSN 代理設定
受卡巴斯基安全管理中⼼管理伺服器管理的使⽤者電腦可以透過 KSN 代理服務與 KSN 互動。
KSN 代理服務提供以下功能：
使⽤者的電腦可以查詢的 KSN 和將資訊送交 KSN，即使沒有直接連線網際網路。
KSN 代理服務暫存處理過的資料，從⽽減少外部網路通訊信道上的負荷，並加快使⽤者接收資料的速度。
預設情況下，在 KSN 被啟⽤和 KSN 聲明被接受後，應⽤程式將使⽤代理伺服器連線到卡巴斯基安全網路。應⽤
程式使⽤的代理伺服器是透過 TCP 連接埠 13111 的卡巴斯基安全管理中⼼管理伺服器。因此，如果 KSN 代理不可
⽤，您需要驗證以下資訊：

Ksnproxy 服務正在管理伺服器上執⾏。
電腦上的防火墻沒有封鎖連接埠 13111。
您可以如下配置KSN 代理：啟⽤或停⽤ KSN 代理，然後配置⽤於連線的連接埠。為此，您需要開啟管理伺服器
內容。有關 KSN 代理配置的詳細資訊，請參閱卡巴斯基安全管理中⼼說明。您也可以在 Kaspersky Endpoint
Security 政策中為單台電腦啟⽤或停⽤ KSN 代理。
如何在管理主控台（MMC）中啟⽤或停⽤ KSN 代理

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“進階威脅防護 → 卡巴斯基安全網路”。
5. 在“KSN 代理設定“塊中，使⽤“使⽤管理伺服器為 KSN 代理伺服器”核取⽅塊來啟⽤或停⽤ KSN 代理。
6. 如有必要，選中“當 KSN 代理伺服器不可⽤時使⽤卡巴斯基安全網路伺服器”核取⽅塊。
如果選中該核取⽅塊，當 KSN 代理服務不可⽤時，Kaspersky Endpoint Security 將使⽤ KSN 伺服器。
KSN 伺服器可以位於 Kaspersky 側，也可以位於協⼒廠商⼀側的伺服器（使⽤卡巴斯基私有安全網路
時）。
7. 儲存變更。
如何在 Web 主控台中啟⽤或停⽤ KSN 代理337

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”進階威脅防護”→”卡巴斯基安全網路”。
5. 使⽤“使⽤管理伺服器為 KSN 代理伺服器”核取⽅塊可啟⽤或停⽤ KSN 代理。
6. 如有必要，選中“當 KSN 代理伺服器不可⽤時使⽤卡巴斯基安全網路伺服器”核取⽅塊。
如果選中該核取⽅塊，當 KSN 代理服務不可⽤時，Kaspersky Endpoint Security 將使⽤ KSN 伺服器。
KSN 伺服器可以位於 Kaspersky 側，也可以位於協⼒廠商⼀側的伺服器（使⽤卡巴斯基私有安全網路
時）。
7. 儲存變更。
KSN 代理位址與管理伺服器位址比對。如果管理伺服器網域名稱被變更，則您需要⼿動更新 KSN 代理位址。

若要配置 KSN 代理位址：1. 在管理主控台中，轉到資料夾“管理伺服器”→“附加”→“遠端安裝”→“安裝套件”。
2. 在“安裝套件”資料夾中，選取“內容”。
3. 在開啟視窗的“⼀般”標籤上，指定 KSN 代理伺服器的新位址。
4. 儲存變更。

在卡巴斯基安全網路中檢查檔案信譽如果您懷疑某個檔案的安全性，可以在卡巴斯基安全網路中檢查其信譽。
如果您已接受“卡巴斯基安全網路聲明”的條款，則可以檢查檔案的信譽。

若要在卡巴斯基安全網路中檢查檔案信譽：開啟檔案內容功能表，然後選取“檢查 KSN 中的信譽”選項（請參⾒下圖）。

338

檔案內容功能表

Kaspersky Endpoint Security 會顯⽰檔案信譽：
受信任(卡巴斯基安全網路)。卡巴斯基安全網路的⼤多數使⽤者已確認該檔案可信。
可被入侵者利⽤以破壞您的電腦或個⼈資料的合法軟體。有關可被犯罪分⼦⽤來破壞電腦或使⽤者個⼈資料的合法軟體的詳細資訊，請造訪 Kaspersky IT 百科全書網站 。您可以將這些應⽤程式新增到受信任清單。
不受信任(卡巴斯基安全網路)。造成威脅的病毒或其他應⽤程式。
未知(卡巴斯基安全網路)。卡巴斯基安全網路沒有任何有關此檔案的資訊。您可以使⽤防毒資料庫掃描檔案（內容功能表中的“ 掃描病毒 ”選項）。
Kaspersky Endpoint Security 會顯⽰⽤來確認檔案信譽的 KSN 解決⽅案：卡巴斯基安全網路 or 卡巴斯基私有安全網路。
Kaspersky Endpoint Security 還會顯⽰有關檔案的其他資訊（請參⾒下圖）。

卡巴斯基安全網路中的檔案信譽

加密連線掃描安裝後，Kaspersky Endpoint Security 會將 Kaspersky 憑證新增到受信任憑證的系統儲存（Windows 憑證儲存）。Kaspersky Endpoint Security 使⽤該憑證掃描加密連線。Kaspersky Endpoint Security 還包括使⽤ Firefox
和 Thunderbird 中的受信任憑證系統儲存來掃描這些應⽤程式的流量。
Web 控制、郵件威脅防護和 Web 威脅防護元件可以解密和掃描透過使⽤以下協定建立的加密連線傳輸的網路流量：SSL 3.0。
TLS 1.0、TLS 1.1、TLS 1.2、TLS 1.3。
339啟⽤加密連線掃描
若要啟⽤加密連線掃描：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。

加密連線掃描設定

3. 在“加密連線掃描”塊中，選擇加密連線掃描模式：
不掃描加密連線Kaspersky Endpoint Security 將無法存取其位址以https://開頭的網站的內容。
根據防護元件的請求掃描加密連線僅在 Web 威脅防護、郵件威脅防護和 Web 控制元件要求時，Kaspersky
Endpoint Security 才會掃描加密流量。
始終掃描加密連線即使防護元件被停⽤，Kaspersky Endpoint Security 也會掃描加密的網路流量。
Kaspersky Endpoint Security 不會掃描由停⽤了流量掃描的受信任應⽤程式建立的加密連線。Kaspersky
Endpoint Security 不會掃描預定義的受信任網站清單中的加密連線。預定義的受信任網站清單由卡巴斯基專家建立。此清單已使⽤應⽤程式的病毒資料庫更新。您只能在 Kaspersky Endpoint Security 介⾯中檢
視預定義的受信任網站清單。您只能在卡巴斯基安全管理中⼼主控台中檢視清單。
4. 如有必要，新增掃描排除項⽬：受信任位址和應⽤程式。
5. 設定⽤於掃描加密連線的設定（參⾒下表）。
340

掃描加密連線的附加設定

6. 儲存變更。
加密連線掃描設定

參數

描述

信任
根憑
證

信任根憑證清單。如果（例如）您需要部署新認證中⼼，Kaspersky Endpoint Security 可讓您
在使⽤者電腦上安裝受信任根憑證。該應⽤程式可讓您將憑證新增⾄⼀個特殊的 Kaspersky
Endpoint Security 憑證商店。在此情況下，該憑證被認為僅對 Kaspersky Endpoint Security 應
⽤程式受信任。換⽽⾔之，使⽤者可以⽤瀏覽器中的新憑證存取網站。如果其它應⽤程式嘗試
存取網站，你會因為憑證問題得到⼀個連線錯誤。若要新增⾄系統憑證商店，您可以使⽤
Active Directory 群組政策。

在存
取具
有不
受信
任憑
證的
網域
時

允許當存取具有不受信任憑證的網域時，Kaspersky Endpoint Security 將允許網路連線。
在瀏覽器中開啟具有未受信任憑證的網域時，Kaspersky Endpoint Security 會顯⽰⼀個
HTML ⾴⾯，其中顯⽰警告和不建議存取該網域的原因。使⽤者可以點擊 HTML 警告⾴⾯中的連結來獲取對所請求 Web 資源的存取權限。
如果協⼒廠商應⽤程式或服務與具有不受信任憑證的網域建立連線，Kaspersky Endpoint
Security 將建立⾃⼰的憑證來掃描流量。新憑證的狀態為“不受信任”。這對於警告協⼒廠商應⽤程式關注不受信任的連線很有必要，因為在此情況下無法顯⽰ HTML ⾴⾯，連線可以在
背景模式中建立。
封鎖連線如果選取此選項，當存取具有不受信任憑證的網域時，Kaspersky Endpoint
Security 將封鎖網路連線。在瀏覽器中開啟具有未受信任憑證的網域時，Kaspersky
Endpoint Security 會顯⽰⼀個 HTML ⾴⾯，其中顯⽰封鎖該網域的原因。

在出
現安
全連

封鎖連線如果選取此項，在發⽣加密連線掃描錯誤時，Kaspersky Endpoint Security 會封鎖
網路連線。
341

線掃
描錯
誤時

將網域新增⾄排除項⽬如果選取此項，在發⽣加密連線掃描錯誤時，Kaspersky Endpoint
Security 將導致錯誤的網域新增到具有掃描錯誤的網域清單中，並且在存取此網域時不監控
加密網路流量。您只能在應⽤程式的本機介⾯中檢視具有加密連線掃描錯誤的網域清單。要清除清單內容，您需要選擇“封鎖連線”。Kaspersky Endpoint Security 還會為加密連線掃描
錯誤產⽣⼀個事件。

封鎖
SSL
2.0
連線
(建
議)

如果選中該核取⽅塊，應⽤程式將封鎖透過 SSL 2.0 協定建立的網路連線。

解密
與使
⽤
EV
憑證
的網
站之
間的
加密
連線

EV 憑證（延伸驗證憑證）確認網站的真實性並增強連線的安全性。瀏覽器在網址列中使⽤鎖定圖⽰來指⽰網站具有 EV 憑證。瀏覽器也可能⽤綠⾊部分或完全渲染網址列。

如果清除該核取⽅塊，應⽤程式不會封鎖透過 SSL 2.0 協定建立的網路連線，並且不監控透過這些連線傳輸的網路流量。

如果選中該核取⽅塊，應⽤程式將解密並監控具有 EV 憑證的網站的加密連線。
如果清除該核取⽅塊，應⽤程式無權存取 HTTPS 流量的內容。為此，應⽤程式僅基於網址（例如 https://bing.com）監控 HTTPS 流量。
如果您第⼀次開啟具有 EV 憑證的網站，則無論是否選中該核取⽅塊，加密連線都將被解密。

安裝受信任根憑證
如果（例如）您需要部署新認證中⼼，Kaspersky Endpoint Security 可讓您在使⽤者電腦上安裝受信任根憑證。
該應⽤程式可讓您將憑證新增⾄⼀個特殊的 Kaspersky Endpoint Security 憑證商店。在此情況下，該憑證被認為
僅對 Kaspersky Endpoint Security 應⽤程式受信任。換⽽⾔之，使⽤者可以⽤瀏覽器中的新憑證存取網站。如果
其它應⽤程式嘗試存取網站，你會因為憑證問題得到⼀個連線錯誤。若要新增⾄系統憑證商店，您可以使⽤
Active Directory 群組政策。
如何在管理主控台 (MMC) 中安裝受信任根憑證

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 網路設定”。
5. 在”信任根憑證”塊中，點擊”新增”按鈕。
6. 這會開啟⼀個視窗，在視窗中選擇⼀個受信任根憑證。
Kaspersky Endpoint Security ⽀援具有 PEM、DER 和 CRT 副檔名的憑證。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中安裝受信任根憑證342

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”網路設定”。
5. 點擊”受信任的根憑證”連接。
6. 這會開啟⼀個視窗，點擊“新增”然後選擇⼀個受信任根憑證。
Kaspersky Endpoint Security ⽀援具有 PEM、DER 和 CRT 副檔名的憑證。
7. 儲存變更。
如何在應⽤程式介⾯中安裝受信任根憑證

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在”加密連線掃描”塊中，點擊”顯⽰憑證”按鈕。
4. 這會開啟⼀個視窗，點擊“新增”然後選擇⼀個受信任根憑證。
Kaspersky Endpoint Security ⽀援具有 PEM、DER 和 CRT 副檔名的憑證。
5. 儲存變更。
結果，當掃描流量時，除了系統憑證商店外，Kaspersky Endpoint Security 還使⽤⾃⼰的憑證商店。

掃描具有不受信任憑證的加密連線
安裝後，Kaspersky Endpoint Security 會將 Kaspersky 憑證新增到受信任憑證的系統儲存（Windows 憑證儲存）。Kaspersky Endpoint Security 使⽤該憑證掃描加密連線。在存取具有不受信任憑證的網域時，您可以允許
或者拒絕使⽤者存取該網域（請參⾒以下操作指⽰）。
如果您允許使⽤者存取具有不受信任憑證的網域，Kaspersky Endpoint Security 將執⾏以下操作：當在瀏覽器中存取具有不受信任憑證的網域時，Kaspersky Endpoint Security 會使⽤卡巴斯基憑證掃描流量。
Kaspersky Endpoint Security 會顯⽰⼀個 HTML ⾴⾯，上有不建議存取相關網域的警告和原因資訊（請⾒下圖）。使⽤者可以點擊 HTML 警告⾴⾯中的連結來獲取對所請求 Web 資源的存取權限。點擊此連結後，在隨
後⼀個⼩時內存取同⼀網域中的其他資源時，Kaspersky Endpoint Security 不會顯⽰關於不受信任憑證的警
告。Kaspersky Endpoint Security 還會就與不受信任憑證建立加密連線產⽣⼀個事件。
如果協⼒廠商應⽤程式或服務與具有不受信任憑證的網域建立連線，Kaspersky Endpoint Security 將建立⾃⼰的憑證來掃描流量。新憑證的狀態為“不受信任”。這對於警告協⼒廠商應⽤程式關注不受信任的連線很有必
要，因為在此情況下無法顯⽰ HTML ⾴⾯，連線可以在背景模式中建立。因此，如果協⼒廠商應⽤程式有內建憑證驗證⼯具，連線可能被終⽌。在此情況下，您必須聯絡網域擁有者然後設定受信任連線。如果無法設
343

定受信任連線，您可以將該協⼒廠商應⽤程式新增⾄受信任應⽤程式清單。Kaspersky Endpoint Security 還會
就與不受信任憑證建立加密連線產⽣⼀個事件。
如何在管理主控台 (MMC) 中設定掃描具有不受信任憑證的加密連線

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 網路設定”。
5. 在”加密連線掃描”塊中，點擊”進階設定”按鈕。
6. 在開啟的視窗中，選擇在存取具有不受信任憑證的網域時的應⽤程式操作模式：允許 或者 封鎖連線。
7. 儲存變更。
如何在網⾴主控台 (MMC) 和雲端主控台中設定掃描具有不受信任憑證的加密連線

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”網路設定”。
5. 在加密連線掃描塊中，選擇存取具有不受信任憑證的網域時的應⽤程式操作模式：允許 或者 封鎖連線。
6. 儲存變更。
如何在應⽤程式介⾯中設定掃描具有不受信任憑證的加密連線

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在加密連線掃描區塊中，選擇在存取具有不受信任憑證的網域時的應⽤程式操作模式：允許或封鎖連線。
4. 儲存變更。

344

警告存取具有不受信任憑證的網域

掃描 Firefox 和 Thunderbird 中的加密連線
安裝後，Kaspersky Endpoint Security 會將 Kaspersky 憑證新增到受信任憑證的系統儲存（Windows 憑證儲存）。預設情況下，Firefox 和 Thunderbird 使⽤它們⾃⼰的專有 Mozilla 憑證儲存⽽不是 Windows 憑證儲存。如果在您的組織中部署了卡巴斯基安全管理中⼼，並且正在將政策套⽤於電腦，則 Kaspersky Endpoint Security 會
⾃動啟⽤在 Firefox 和 Thunderbird 中使⽤ Windows 憑證儲存，以掃描這些應⽤程式的流量。如果未將政策套⽤
到電腦，則可以選擇 Mozilla 應⽤程式將使⽤的憑證儲存。如果選擇了 Mozilla 憑證儲存，請⼿動向其新增卡巴斯
基憑證。這將有助於在使⽤ HTTPS 流量時避免錯誤。
若要掃描 Mozilla Firefox 瀏覽器和 Thunderbird 郵件⽤⼾端中的流量，您必須啟⽤加密連線掃描。如果停⽤加
密連線掃描，則應⽤程式不會掃描 Mozilla Firefox 瀏覽器和 Thunderbird 郵件⽤⼾端中的流量。
在將憑證新增到 Mozilla 儲存之前，請從 Windows 主控台（瀏覽器屬性）匯出卡巴斯基憑證。有關匯出Kaspersky 憑證的詳細資訊，請參閱技術⽀援知識庫 。有關將憑證新增到儲存的詳細資訊，請造訪Mozilla 技術
⽀援網站 。
您只能在應⽤程式的本機介⾯中選擇憑證儲存。

要選擇憑證儲存來掃描 Firefox 和 Thunderbird中 的加密連線，請：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在“Mozilla Firefox 和 Thunderbird“塊中，選中“使⽤所選憑證儲存來掃描 Mozilla 應⽤程式中的加密連線”核取⽅塊。
345

4. 選擇⼀個憑證儲存：
使⽤ Windows 憑證儲存(建議)在安裝 Kaspersky Endpoint Security 期間，會將 Kaspersky 根憑證新增到此
儲存中。
使⽤ Mozilla 憑證儲存Mozilla Firefox 和 Thunderbird 使⽤它們⾃⼰的憑證儲存。如果選擇了 Mozilla 憑證儲
存，則需要通過瀏覽器屬性⼿動將 Kaspersky 根憑證新增到該儲存中。
5. 儲存變更。

從掃描中排除加密連線
⼤多數網路資源使⽤加密連線。卡巴斯基專家建議您啟⽤“加密連線掃描”。如果加密連線掃描會⼲擾與⼯作相關
的活動，您可以將網站新增到被稱為“受信任位址”的排除項⽬中。在此情況下，當 Web 威脅防護、郵件威脅防
護、Web 控制元件執⾏⼯作時，Kaspersky Endpoint Security 不掃描受信任網址的 HTTPS 流量。
如果受信任應⽤程式使⽤加密連線，您可以對此應⽤程式停⽤加密連線掃描。例如，您可以對使⽤⾃⼰的憑證執⾏雙因素⾝分驗證的雲端儲存應⽤程式停⽤加密連線掃描。
如何從管理主控台 (MMC) 中的加密連線掃描中排除網址

346

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 網路設定”。
5. 在”加密連線掃描”塊中，點擊”受信任網域”按鈕。
6. 單擊“新增”。
7. 如果您不希望 Kaspersky Endpoint Security 掃描在存取該網域時建立的加密連線，請輸入該網域名稱或 IP
位址。
Kaspersky Endpoint Security ⽀援*字元⽤於在網域名稱中輸入遮罩。
Kaspersky Endpoint Security 不⽀援 IP 位址的 * 符號。您可以使⽤⼦網路遮罩（例如，198.51.100.0/24）選擇⼀個 IP 位址範圍。
例如：domain.com – 該記錄包括以下位址：https://domain.com，https://www.domain.com，
https://domain.com/page123。該記錄排除⼦網域（例如，subdomain.domain.com）。
subdomain.domain.com – 該記錄包括以下位址：https://subdomain.domain.com，
https://subdomain.domain.com/page123。該記錄排除 domain.com ⼦網域。
*.domain.com – 該記錄包括以下位址：https://movies.domain.com，
https://images.domain.com/page123。該記錄排除 domain.com ⼦網域。
8. 儲存變更。
如何從網⾴主控台和 Cloud Console 中的加密連線掃描中排除網址

347

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”網路設定”。
5. 在”加密連線掃描”塊中，點擊”受信任位址”按鈕。
6. 單擊“新增”。
7. 如果您不希望 Kaspersky Endpoint Security 掃描在存取該網域時建立的加密連線，請輸入該網域名稱或 IP
位址。
Kaspersky Endpoint Security ⽀援*字元⽤於在網域名稱中輸入遮罩。
Kaspersky Endpoint Security 不⽀援 IP 位址的 * 符號。您可以使⽤⼦網路遮罩（例如，198.51.100.0/24）選擇⼀個 IP 位址範圍。
例如：domain.com – 該記錄包括以下位址：https://domain.com，https://www.domain.com，
https://domain.com/page123。該記錄排除⼦網域（例如，subdomain.domain.com）。
subdomain.domain.com – 該記錄包括以下位址：https://subdomain.domain.com，
https://subdomain.domain.com/page123。該記錄排除 domain.com ⼦網域。
*.domain.com – 該記錄包括以下位址：https://movies.domain.com，
https://images.domain.com/page123。該記錄排除 domain.com ⼦網域。
8. 儲存變更。
如何從應⽤程式介⾯中的加密連線掃描中排除網址

348

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。

應⽤程式網路設定

3. 在”加密連線掃描”塊中，點擊”受信任位址”按鈕。
4. 單擊“新增”。
5. 如果您不希望 Kaspersky Endpoint Security 掃描在存取該網域時建立的加密連線，請輸入該網域名稱或 IP
位址。
Kaspersky Endpoint Security ⽀援*字元⽤於在網域名稱中輸入遮罩。
Kaspersky Endpoint Security 不⽀援 IP 位址的 * 符號。您可以使⽤⼦網路遮罩（例如，198.51.100.0/24）選擇⼀個 IP 位址範圍。
例如：domain.com – 該記錄包括以下位址：https://domain.com，https://www.domain.com，
https://domain.com/page123。該記錄排除⼦網域（例如，subdomain.domain.com）。
subdomain.domain.com – 該記錄包括以下位址：https://subdomain.domain.com，
https://subdomain.domain.com/page123。該記錄排除 domain.com ⼦網域。
*.domain.com – 該記錄包括以下位址：https://movies.domain.com，
https://images.domain.com/page123。該記錄排除 domain.com ⼦網域。
349

6. 儲存變更。
預設情況下，當發⽣錯誤時，Kaspersky Endpoint Security 將不掃描加密連線，並將該網站新增到專⾨設定的“有掃描錯誤的網域”清單中。Kaspersky Endpoint Security 會為每個使⽤者編制單獨的清單，並且不會將資料傳送到卡巴斯基安全管理中⼼。您可以啟⽤當發⽣掃描錯誤時封鎖連線。您只能在應⽤程式的本機介⾯中檢視具有加密連線掃描錯誤的網域清單。

要檢視有掃描錯誤的網域清單：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在”加密連線掃描”塊中，點擊”有掃描錯誤的網域”按鈕。
將開啟有掃描錯誤的網域清單。要重設該清單，請在政策中啟⽤當發⽣掃描錯誤時封鎖連線、套⽤政策，然後將參數重設為其初始值，並再次套⽤政策。
卡巴斯基專家會列出⼀系列全域例外情況，無論應⽤程式設定如何，Kaspersky Endpoint Security 都不會檢查這
些受信任網站。

要檢視加密流量掃描的全域排除項⽬：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在“加密連線掃描”塊中，點擊受信任網站連結清單。
這將開啟由卡巴斯基專家編譯的網站清單。Kaspersky Endpoint Security 不會掃描清單中網站的受防護連線。
當更新 Kaspersky Endpoint Security 資料庫和模組時，該清單可能也更新。

抹除資料
Kaspersky Endpoint Security 允許您使⽤⼯作來遠端刪除使⽤者電腦中的資料。
Kaspersky Endpoint Security 刪除資料的⽅式如下：在靜默模式下；在硬碟和卸除式磁碟機上；對於電腦上的所有使⽤者帳⼾。
即使產品授權到期後，Kaspersky Endpoint Security 也會執⾏“抹除資料”⼯作，無論使⽤哪種產品授權類型。

“資料抹除”模式
透過該⼯作可在以下模式中刪除資料：
立即刪除資料。
350

例如，您可以在此模式下刪除過期資料以釋放磁碟空間。
延遲刪除資料。
例如，此模式可⽤於防護筆記型電腦上的資料，以防其遺失或被竊。您可以配置成當筆記型電腦超出公司網路邊界並且⻑時間未與卡巴斯基安全管理中⼼同步時⾃動刪除資料。
無法在⼯作內容中設定刪除資料的排程。您只能在⼿動啟動⼯作後立即刪除資料，或者配置延遲的資料刪除
（如果未與卡巴斯基安全管理中⼼連線）。

限制
資料抹除具有以下限制：
只有卡巴斯基安全管理中⼼管理員可以管理“抹除資料”⼯作。您無法在 Kaspersky Endpoint Security 的本機介
⾯中配置或啟動⼯作。
對於 NTFS 檔案系統，Kaspersky Endpoint Security 僅刪除主資料流的名稱。交換資料流名稱不能刪除。
刪除符號連結檔案時，Kaspersky Endpoint Security 還會刪除在符號連結中指定了路徑的檔案。

建立抹除資料⼯作

要刪除使⽤者電腦上的資料：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“抹除資料”。
c. 在“⼯作名稱”欄位中，輸入簡要說明，例如“抹除資料（竊盜防護）”。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。前往下⼀步。
如果將新電腦新增到⼯作範圍內的管理群組，則只有在新增新電腦後的 5 分鐘內完成⼯作，才會在新電
腦上執⾏立即刪除資料⼯作。
5. 結束精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
6. 點擊 Kaspersky Endpoint Security 的“抹除資料”⼯作。
351

⼯作內容視窗將開啟。
7. 選取“應⽤程式設定”標籤。
8. 選擇資料刪除⽅法：：
透過作業系統刪除Kaspersky Endpoint Security 使⽤作業系統資源刪除檔案，⽽不將檔案傳送到回收筒。
完全刪除，無法還原Kaspersky Endpoint Security 使⽤隨機資料覆寫檔案。刪除資料後，幾乎不可能還原資料。
9. 如果要延遲刪除資料，請選中“與卡巴斯基安全管理中⼼無連線超過以下時間時⾃動抹除資料 N 天”核取⽅塊。
定義天數。
每次在定義的時間段內與卡巴斯基安全管理中⼼無連線時，將執⾏延遲刪除資料⼯作。
配置延遲刪除資料時，請注意員⼯在休假前可能會關閉電腦。在這種情況下，可能會超過無連線期限，並將刪除資料。還要考慮離線使⽤者的⼯作排程。有關使⽤離線電腦以及與漫遊使⽤者⼀起⼯作的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
如果清除該核取⽅塊，則在與卡巴斯基安全管理中⼼同步後將立即執⾏該⼯作。
10. 建立要刪除的物件清單：
資料夾Kaspersky Endpoint Security 會刪除資料夾及其⼦資料夾中的所有檔案。Kaspersky Endpoint
Security 不⽀援⽤來輸入資料夾路徑的遮罩和環境變數。
根據副檔名選取檔案Kaspersky Endpoint Security 將搜尋所有電腦磁碟機（包括卸除式磁碟機）中具有指
定副檔名的檔案。使⽤“;”或“,”字元可指定多個副檔名。
預定義範圍Kaspersky Endpoint Security 將從以下區域刪除檔案：
文件作業系統的“文件”資料夾及其⼦資料夾中的文件。
Cookies瀏覽器在其中儲存使⽤者存取過的網站的資料（如使⽤者授權資料）的檔案。
桌⾯作業系統的“ 桌⾯ ”資料夾及其⼦資料夾中的檔案。
暫時 Internet Explorer 檔案與 Internet Explorer 操作有關的暫存檔案，如網⾴副本、影像和媒體檔案。
暫存檔與電腦上安裝的應⽤程式的操作有關的暫存檔案。例如，Microsoft O ice 應⽤程式會建立包含
文件備份副本的暫存檔案。
Outlook 檔案與 Outlook 郵件⽤⼾端操作有關的檔案：資料檔案 (PST)、離線資料檔案 (OST)、離線通訊錄檔案 (OAB) 和個⼈通訊錄檔案 (PAB)。
使⽤者設定檔儲存本機使⽤者帳⼾的作業系統設定的檔案和資料夾集。
您可以在每個標籤上建立要刪除的物件清單。Kaspersky Endpoint Security 將建立⼀個綜合清單，並在⼯作完成後刪除此清單中的檔案。
您無法刪除 Kaspersky Endpoint Security 執⾏所需的檔案。
11. 儲存變更。
352

12. 選中該⼯作旁邊的核取⽅塊。
13. 點擊“執⾏”按鈕。
結果，將根據所選模式刪除使⽤者電腦上的資料：立即刪除或無連線時刪除。如果 Kaspersky Endpoint
Security 無法刪除檔案，例如使⽤者當前正在使⽤檔案時，應⽤程式不會嘗試再次刪除該檔案。要完成資料刪
除，請再次執⾏該⼯作。

353

電腦控制

Web 控制“Web 控制”管理使⽤者對 Web 資源的存取。這有助於減少流量和⼯作時間的不當使⽤。當使⽤者嘗試開啟受“Web 控制”限制的網站時，Kaspersky Endpoint Security 將封鎖存取或顯⽰警告（請參⾒下圖）。
Kaspersky Endpoint Security 僅監控 HTTP 和 HTTPS 流量。
對於 HTTPS 流量監控，需要啟⽤加密連線掃描。

管理對網站的存取的⽅法“Web 控制”允許您使⽤以下⽅法配置對網站的存取：網站類別。網站按照卡巴斯基安全網路雲端服務、啟發式分析和已知網站資料庫（包含在應⽤程式資料庫
中）進⾏分類。例如，您可以限制使⽤者存取“社群網路”類別或“其它類別 ”。
資料類型。例如，您可以限制使⽤者存取網站上的資料，並隱藏圖形影像。Kaspersky Endpoint Security 根據
檔案格式確定資料類型，⽽不是基於其副檔名。
Kaspersky Endpoint Security 不掃描壓縮檔案內的檔案。例如，如果影像檔案放在壓縮檔案中，
Kaspersky Endpoint Security 會辨識“存檔 ”資料類型⽽不是“圖形”。
單個位址。您可以輸入網址或使⽤遮罩。
可以同時使⽤多種⽅法來管理對網站的存取。例如，可以僅針對“網⾴式電⼦郵件”網站類別限制對“O ice 檔案”資料類型的存取。

網站存取規則“Web 控制”透過使⽤存取規則管理使⽤者對網站的存取。您可以為網站存取規則配置以下進階設定：
規則適⽤的使⽤者。
例如，您可以限制公司內除 IT 部⾨以外的所有使⽤者透過瀏覽器存取網際網路。
規則排程。
例如，您可以限制只能在⼯作時間透過瀏覽器存取網際網路。

存取規則優先順序每條規則都有優先順序。規則在清單中的位置越⾼，優先順序越⾼。如果某個網站已新增到多條規則，“Web 控制”會基於優先順序最⾼的規則來管理對該網站的存取。例如，Kaspersky Endpoint Security 可能將公司入⼝辨識
為社群網路。要限制對社群網路的存取並提供對公司 Web 入⼝的存取權限，請建立兩條規則：⼀條針對“社群網路”網站類別的封鎖規則和⼀條針對公司 Web 入⼝網站的允許規則。公司 Web 入⼝存取規則的優先順序必須⾼於社群網路存取規則的優先順序。
354

“Web 控制”訊息355

啟⽤或停⽤ Web 控制
預設情況下將啟⽤ Web 控制。

要啟⽤或停⽤ Web 控制：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 使⽤“Web 控制“切換開關可啟⽤或停⽤元件。
4. 儲存變更。

網路資源存取規則操作
不建議建立超過 1000 條的 Web 資源存取規則，因為這可能導致系統變得不穩定。
網路資源存取規則是使⽤者在規則排程中指明的時間範圍內存取規則中描述的網⾴資源時，Kaspersky Endpoint
Security 執⾏的⼀組篩選和操作。透過篩選，您可以精確指定由 Web 控制元件控制其存取權限的網⾴資源集區。
系統提供以下篩選功能選項：
按內容篩選。Web 控制將按照內容和資料類型分類網⾴資源 。對於內容和資料屬於按這些類別定義的類型
的網⾴資源，您可以控制使⽤者對它們的存取權限。使⽤者存取屬於選取內容類別和/或資料類型類別的網⾴
資源時，Kaspersky Endpoint Security 會執⾏規則中指定的操作。
按網⾴資源位址篩選。您可以控制使⽤者對所有網⾴資源位址或單個網⾴資源位址和/或網⾴資源位址群組的存取權限。
如果指定按內容篩選和按網⾴資源位址篩選，⽽指定的網⾴資源位址和/或網⾴資源位址群組屬於選取的內容
類別或資料類型類別，Kaspersky Endpoint Security 不會控制對選取內容類別和/或資料類型類別中所有網⾴
資源的存取權限。相反，應⽤程式僅控制對指定網⾴資源位址和/或網⾴資源位址群組的存取權限。
按名稱篩選。您可以指定可存取根據規則控制的網⾴資源使⽤者和/或使⽤者群組的名稱。
規則排程。您可以指定下列規則排程。規則排程為 Kaspersky Endpoint Security 監控對該規則涵蓋網路資源的存取時間範圍。
安裝 Kaspersky Endpoint Security 後，Web 控制元件的規則清單將不為空⽩。預設規則 已預設。此規則套⽤於
未被其他規則覆寫的任何 Web 資源，並允許或封锁所有使⽤者存取這些 Web 資源。

新增網路資源存取規則
若要新增或編輯網路資源存取規則，請執⾏下列操作
1. 在“應⽤程式主視窗”中，點擊

按鈕。
356

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在”設定”塊中，點擊”網路資源存取規則”按鈕。
4. 在開啟的視窗中，點擊“新增”按鈕。
開啟“網路資源存取規則”視窗。
5. 在“規則名稱”欄位中輸入規則的名稱。
6. 選擇網路資源存取規則的“開“狀態。
您可以隨時使⽤開關停⽤網路資源存取規則。
7. 在“操作”塊，選取相關選項：允許允許 如果選中此值，則 Kaspersky Endpoint Security 將允許存取比對規則參數的網路資源。
封鎖封鎖 如果選中此值，則 Kaspersky Endpoint Security 將封鎖存取比對規則參數的網路資源。
警告如果選定此值，Kaspersky Endpoint Security 將在使⽤者嘗試存取比對此規則的網路資源時顯⽰此網⾴內容令⼈不快的警告。透過警告訊息連結，使⽤者可獲取對所請求的網路資源的存取權限。
8. 在“篩選內容“塊中，選擇相關的內容篩選器：
根據內容類別您可以按“類別 ”（例如，“社群網路”類別）控制使⽤者對網路資源的存取。
根據資料類型您可以根據發布的資料的特定資料類型（例如，圖形）來控制使⽤者對網路資源的存取。
要配置內容篩選器，請：a. 點擊”設定”連接。
b. 選取所需內容類別和/或資料類型名稱旁邊的核取⽅塊。
選取某個內容類別和/或資料類型類別旁的核取⽅塊則表⽰ Kaspersky Endpoint Security 將套⽤規則以控制
對屬於選取的內容類別和/或資料類型類別的網路資源存取。
c. 返回⽤於配置網路資源存取規則的視窗。
9. 在“位址“塊中，選擇相關的網路資源位址過濾器：
套⽤於所有位址Web 控制不會按位址篩選網路資源。
套⽤於單個位址Web 控制將僅篩選清單中的網路資源位址。若要建立網路資源位址的清單：
a. 點擊“新增位址”或“新增位址群組”按鈕。
b. 在開啟的視窗中，建立網路資源位址清單。您可以輸入網址或使⽤遮罩。您還可以從 TXT 檔案匯出網
路資源位址清單。
c. 返回⽤於配置網路資源存取規則的視窗。
如果停⽤加密連線掃描，則對於 HTTPS 協定只能按伺服器名稱篩選。
10. 在“使⽤者“塊中，為使⽤者選擇相關的過濾器：
357

所有使⽤者Web 控制不會為特定使⽤者篩選網路資源。
個⼈使⽤者和/或使⽤者群組Web 控制將僅針對特定使⽤者篩選網路資源。要建立要對其套⽤規則的使⽤者清單：
a. 單擊“新增”。
b. 在開啟的視窗中，選擇要對其套⽤網路資源存取規則的使⽤者或使⽤者群組。
c. 返回⽤於配置網路資源存取規則的視窗。
11. 在“規則排程”下拉清單中，選取所需排程的名稱，或根據選取的規則排程產⽣新排程。為此，請執⾏以下操作：
a. 單擊“編輯或新增”。
b. 在開啟的視窗中，點擊“新增”按鈕。
c. 在開啟的視窗中，輸入規則排程名稱。
d. 配置使⽤者的網路資源存取排程。
e. 返回⽤於配置網路資源存取規則的視窗。
12. 儲存變更。

為網⾴存取規則分配優先順序
每條規則都有優先順序。規則在清單中的位置越⾼，優先順序越⾼。如果某個網站已新增到多條規則，“Web 控制”會基於優先順序最⾼的規則來管理對該網站的存取。例如，Kaspersky Endpoint Security 可能將公司入⼝辨識
為社群網路。要限制對社群網路的存取並提供對公司 Web 入⼝的存取權限，請建立兩條規則：⼀條針對“社群網路”網站類別的封鎖規則和⼀條針對公司 Web 入⼝網站的允許規則。公司 Web 入⼝存取規則的優先順序必須⾼於社群網路存取規則的優先順序。
您可以為規則清單中的每個規則分配優先順序，⽅法是按照某種順序排列這些規則。

要為網路資源存取規則分配優先順序，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在”設定”塊中，點擊”網路資源存取規則”按鈕。
4. 在開啟的視窗中選取您希望變更其優先順序的規則。
5. 使⽤“上移”和“下移”按鈕將該規則移⾄網路資源存取清單中的有關位置。
6. 儲存變更。

啟動和停⽤網⾴存取規則358

若要啟⽤或停⽤網路資源存取規則，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在”設定”塊中，點擊”網路資源存取規則”按鈕。
4. 在開啟的視窗中，選取要啟⽤或停⽤的規則。
5. 在 狀態 列中，執⾏以下操作：
如果要啟⽤規則，請選取“開”值。
如果要停⽤規則，請選取“關”值。
6. 儲存變更。

匯出和匯入 Web 控制規則
您可以將網⾴控制規則清單匯出到 XML 檔案。然後，您可以修改檔案，例如，新增⼤量相同類型的位址。您可
以使⽤匯出/匯入功能來備份網⾴控制規則清單，或將清單遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入網⾴控制規則清單359

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → Web 控制”。
5. 要匯出網⾴控制規則清單：
a. 選取您想要匯出的規則。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何規則，則 Kaspersky Endpoint Security 將匯出所有規則。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將規則清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到 XML 檔案。
6. 要匯入網⾴控制規則清單，請：a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中匯出和匯入網⾴控制規則清單360

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”Web 控制”。
5. 要匯出”規則清單，請在“規則清單“塊中：a. 選取您想要匯出的規則。
b. 單擊“匯出”。
c. 確認您只想匯出選定的規則，還是匯出整個清單。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到預設下載資料夾中的 XML 檔案。
6. 要匯入規則清單，請在“規則清單“塊中：a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
7. 儲存變更。

測試網⾴存取規則
要檢查 Web 控制規則的⼀致性，您可以測試它們。為此，Web 控制元件包括了規則診斷功能。

要測試網路資源存取規則，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在”設定”塊中，點擊”規則診斷”連接。
開啟“規則診斷”視窗。
4. 如果您想要測試 Kaspersky Endpoint Security ⽤於控制特定網⾴資源存取權限的規則，請選取“指定的網址”核取⽅塊。然後在下⾯的欄位中輸入網⾴資源的位址。
5. 如果您想要測試 Kaspersky Endpoint Security ⽤於為指定使⽤者和/或使⽤者群組控制網⾴資源存取權限的規則，請指定使⽤者和/或使⽤者群組清單。
361

6. 如果您想要測試 Kaspersky Endpoint Security ⽤於控制某些內容類別和/或資料類型類別的網⾴資源存取權限
的規則，請選擇“篩選內容”核取⽅塊，然後從下拉式清單中選取有關選項（“根據內容類別”，“根據資料類型”，
或“根據內容類別和資料類型”）。
7. 如果您要在測試規則時考慮嘗試存取規則診斷條件中指定的網⾴資源的時間和星期幾，請選取“存取嘗試的包
含時間”核取⽅塊。然後，請指定星期幾和時間。
8. 單擊“掃描”。
測試完成後將顯⽰⼀條訊息，其中包含關於 Kaspersky Endpoint Security 採取的操作（允許、封鎖或警告）的資訊，該操作是程式根據存取指定網路資源的嘗試所觸發的第⼀個規則⽽採取的。要觸發的第⼀個規則是在Web 控制規則清單中具有比其他滿⾜診斷條件的規則更⾼排名的規則。該訊息顯⽰在“掃描”按鈕的右側。下表
包含 Kaspersky Endpoint Security 根據其優先順序低於所觸發的第⼀個規則的規則⽽採取的操作的相關資訊。
規則點擊降優先順序列出。

匯出和匯入網⾴資源位址清單
如果您在網路資源存取規則中建立了網路資源位址清單，則可將其匯出到 .txt 檔案。隨後，您可以從該檔案匯入
清單，從⽽不必在設定存取規則時建立新的網⾴位址清單。例如，在建立具有相似參數的存取規則時，⽤於匯出
和匯入網⾴位址清單的選項會非常有⽤。

若要將網⾴資源位址清單匯入或匯出到檔案，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在”設定”塊中，點擊”網路資源存取規則”按鈕。
4. 選取您要將其網⾴位址清單匯出或匯入到檔案的規則。
5. 要匯出受信任網址清單，請在“位址“塊中執⾏以下操作：
a. 選擇您要匯出的位址。
如果您沒有選擇任何位址，Kaspersky Endpoint Security 將匯出所有位址。
b. 單擊“匯出”。
c. 在開啟的視窗中，輸入您要將網⾴資源位址清單匯出到的 TXT 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將網⾴資源位址清單匯出到 TXT 檔案。
6. 要匯入網⾴資源清單，請在“位址“塊中執⾏以下操作：a. 單擊“匯入”。
在開啟的視窗中，選取要從中匯入網⾴資源清單的 TXT 檔案。
b. 開啟檔案。
如果電腦已經具有位址清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 TXT 檔案向其中
新增新項⽬。
7. 儲存變更。
362

監控使⽤者網際網路活動
Kaspersky Endpoint Security 允許您記錄使⽤者對所有網站（包括允許的網站）的存取資料。這使您可以獲取完
整的瀏覽器歷史記錄視圖。Kaspersky Endpoint Security 將使⽤者活動事件傳送到卡巴斯基安全管理中⼼、
Kaspersky Endpoint Security 本機記錄和 Windows 事件記錄。要在卡巴斯基安全管理中⼼中接收事件，您需要在管理主控台或網⾴主控台中配置政策中的事件設定。您還可以配置透過電⼦郵件傳輸 Web 控制事件以及在使⽤者電腦上顯⽰螢幕通知。
⽀援監控功能的瀏覽器：Microsoft Edge，Microsoft Internet Explorer，Google Chrome，Yandex Browser，Mozilla Firefox。使⽤者活動監控在其他瀏覽器中不⼯作。
Kaspersky Endpoint Security 會建立以下使⽤者網際網路活動事件：
封鎖網站（緊急事件狀態

）。

存取非建議網站（警告狀態）。

存取允許的網站（資訊訊息狀態

）。

在啟⽤使⽤者網際網路活動監控之前，您必須執⾏以下操作：
將網⾴交互指令碼注入 Web 流量中（請參閱以下說明）。指令碼將啟⽤ Web 控制事件的註冊。
對於 HTTPS 流量監控，需要啟⽤加密連線掃描。

要將網⾴交互指令碼注入到 Web 流量中，請：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。

363

應⽤程式網路設定

3. 在“流量處理“塊中，選中“注入指令碼到網⾴流量從⽽與網⾴互動”核取⽅塊。
4. 儲存變更。
結果，Kaspersky Endpoint Security 會將網⾴交互指令碼注入到 Web 流量中。此指令碼可啟⽤為應⽤程式事件
⽇誌、OS 事件⽇誌和報告註冊 Web 控制事件。

要設定使⽤者電腦上的 Web 控制事件的記錄：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
3. 在”通知”塊中，點擊”通知設定”按鈕。
4. 在開啟的視窗中，選擇“Web 控制”區域。
這將開啟 Web 控制事件和通知⽅法的表。
5. 為每個事件設定通知⽅法：“儲存於本機報告中”或“儲存於 Windows 事件記錄中”。
要記錄允許的網站存取事件，您還需要設定 Web 控制（請參⾒下⾯的說明）。
在事件表中，您還可以啟⽤螢幕通知和電⼦郵件通知。要透過電⼦郵件傳送通知，您需要設定 SMTP 伺服器設定。有關透過電⼦郵件傳送通知的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
6. 儲存變更。
結果，Kaspersky Endpoint Security 開始記錄使⽤者網際網路活動事件。
364

“Web 控制”將使⽤者活動事件傳送到卡巴斯基安全管理中⼼，如下所⽰：
如果您使⽤卡巴斯基安全管理中⼼，“Web 控制”會針對構成網⾴的所有物件傳送事件。因此，當⼀個網⾴被封鎖時，可能會建立多個事件。例如，在封鎖網⾴ http://www.example.com 時，Kaspersky Endpoint Security 可
能會傳送以下物件的事件：http://www.example.com、http://www.example.com/icon.ico、
http://www.example.com/ le.js 等。
如果您使⽤卡巴斯基安全管理中⼼雲端主控台，“Web 控制”會對事件進⾏分組並僅傳送網站的協定和網域。例如，如果使⽤者存取非推薦網⾴ http://www.example.com/main、http://www.example.com/contact 和
http://www.example.com/gallery，Kaspersky Endpoint Security 將只傳送⼀個針對 http://www.example.com 物件的事件。

要啟⽤存取允許網站時記錄事件：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在”附加”塊中，點擊”進階設定”按鈕。
4. 在開啟的視窗中，選中“記錄允許⾴⾯的開啟”核取⽅塊。
5. 儲存變更。
結果，您將能夠檢視完整的瀏覽器歷史記錄。

編輯 Web 控制訊息範本根據在 Web 控制規則內容中指定的操作的類型，當使⽤者嘗試存取網際網路資源時，Kaspersky Endpoint
Security 顯⽰下列類型之⼀的訊息（應⽤程式⽤ HTTP 伺服器回應訊息替換 HTML ⾴⾯）：
警告訊息。該訊息將警告存取該網⾴資源的使⽤者該網⾴資源不受歡迎並且/或者違反公司安全政策。如果從
描述該網⾴資源的規則設定中選擇了“警告“選項，Kaspersky Endpoint Security 會顯⽰⼀條警告訊息。
如果使⽤者認為該警告是錯誤的，使⽤者可以點擊警告訊息中的連結，開啟預先產⽣的回報訊息並將其傳送給公司區域網路管理員。
通知封鎖網⾴資源的訊息。如果從描述該網⾴資源的規則設定中選擇了“封鎖“選項，Kaspersky Endpoint
Security 會顯⽰⼀條訊息，通知網⾴資源被封鎖。
如果使⽤者相信該網⾴被封鎖是錯誤的，可以點選網⾴資源封鎖通知中的連結，開啟預先產⽣的訊息並將其
傳送給公司區域網路管理員。
我們為警告訊息、通知網⾴資源被封鎖的訊息以及要傳送給管理員的訊息提供了專⽤範本。您可以修改其中內容。

要變更網⾴控制訊息範本，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“Web 控制”。
3. 在“範本“塊中，設定 Web 控制訊息範本：
警告該項⽬欄位包含⼀個訊息範本，嘗試存取不需要的網⾴資源觸發警告訊息規則時就會顯⽰警告訊息。

365有關封鎖的訊息該項⽬欄位包含某個封鎖存取網⾴資源的規則被觸發時要顯⽰的訊息的範本。
傳送郵件給管理員如果使⽤者認為封鎖是錯誤時要傳送給區域網路管理員的訊息範本。在使⽤者請求提供
存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中⼼傳送⼀個事件：傳送給管理員的網
⾴存取封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視這些事件。如果您的組織沒有部署卡巴斯基安全
管理中⼼或者沒有連線到管理伺服器，應⽤程式將向管理員傳送⼀條訊息到指定的電⼦郵件信箱。
4. 儲存變更。

編輯網⾴資源位址的遮罩如果您在建立網路資源存取規則時需要輸入多個相似的網⾴位址，則使⽤網路資源位址遮罩（也稱為”位址遮罩”）會較為便利。如果建立得當，⼀個位址遮罩可以替換多項的網⾴位址。
建立位址遮罩時遵循以下規則：
1. * 字元將替換包含零或任意個字元的任何序列。
例如，如果輸入 *abc* 位址遮罩，則存取規則將套⽤於包含序列 abc 的所有網路資源。範例：
http://www.example.com/page_0-9abcdef.html。
2. ⼀個序列的*.字符（稱為網域遮罩）可讓您選擇位址的所有網域。*.網域遮罩可表⽰任何網域名稱、⼦網域
名稱或空⽩⾏。
⽰例： * .example.com遮罩表⽰以下位址：
http://pictures.example.com。域遮罩*.代表圖片。
http://user.pictures.example.com。網域遮罩*.代表圖片.和使⽤者.
http://example.com。網域遮罩*.被解釋為空⽩⾏。
3. 位於位址遮罩開頭的www. 字元序列被解釋為 *. 序列。
範例：位址遮罩 www.example.com 將被解釋為 *.example.com。此遮罩涵蓋位址www2.example.com和www.pictures.example.com。
4. 如果位址遮罩不以 * 字元開頭，則位址遮罩的內容等同於以*. 為⾸碼的內容。
5. 如果位址遮罩以 / 或 *，之外的字元結尾，則位址遮罩的內容等同於以/* 為尾碼的內容。
範例：位址遮罩 http://www.example.com 涵蓋像 http://www.example.com/abc 這樣的位址，其中 a、
b 和 c 為任意字元。
6. 如果位址遮罩以 / 字元結尾，則位址遮罩的內容等同於以 /*. 為尾碼的內容。
7. 字元序列 /* 將被解釋為/* 或空字串。
8. 網⾴資源位址根據位址遮罩進⾏驗證，同時會考慮使⽤的協定（http 或 https）：
如果位址遮罩不含網路通訊協定，該位址遮罩將涵蓋使⽤任意網路通訊協定的位址。
範例：位址遮罩 example.com 涵蓋位址 http://example.com 和 https://example.com。
如果位址遮罩包含網路通訊協定，該位址僅涵蓋使⽤位址遮罩中網路通訊協定的位址。
366

範例：位址遮罩 http://*.example.com 涵蓋位址 http://www.example.com，但不涵蓋
https://www.example.com。
9. ⽤雙引號引起來的位址遮罩表⽰除 * 字元（如果初始包含在位址遮罩中）外，不考慮其他任何替代項⽬。規則 5 和 7 不會應⽤⾄雙引號中的位址遮罩（請參閱下表中的範例 14-18）。
10. 在比較網⾴資源的位址遮罩時，不會考慮使⽤者名稱和密碼、連接埠以及字元⼤⼩寫。
關於如何使⽤規則建立位址遮罩的⽰範

編號

位址遮罩

要驗證的網⾴資源位址

是位址遮罩
涵蓋的位址

註解

1

*.example.com

http://www.123example.com

否參⾒規則 1。

2*.example.com

http://www.123.example.com

是參⾒規則 2。

3*example.com

http://www.123example.com

是參⾒規則 1。

4*example.com

http://www.123.example.com

是參⾒規則 1。

5

http://www.*.example.com

http://www.123example.com

否參⾒規則 1。

6

www.example.com

http://www.example.com

是參⾒規則 3、2、1。

7

www.example.com

https://www.example.com

是參⾒規則 3、2、1。

8

http://www.*.example.com

http://123.example.com

是參⾒規則 3、4、1。

9www.example.com

http://www.example.com/abc 是參⾒規則 3、5、1。

10

example.com

http://www.example.com

是參⾒規則 3、1。

11

http://example.com/

http://example.com/abc

是參⾒規則 6。

12

http://example.com/*

http://example.com

是參⾒規則 7。

13

http://example.com

https://example.com

否參⾒規則 8。

14"example.com"

http://www.example.com

否參⾒規則 9。

15"http://www.example.com"

http://www.example.com/abc 否參⾒規則 9。

16"*.example.com"

http://www.example.com

是參⾒規則 1、9。

17"http://www.example.com/*"

http://www.example.com/abc 是參⾒規則 1、9。

18"www.example.com"

http://www.example.com;
https://www.example.com

是參⾒規則 9、8。

19

www.example.com/abc/123

http://www.example.com/abc 否位址遮罩包含的資訊
量多於網⾴位址。

裝置控制“裝置控制”管理使⽤者對安裝在電腦上或連線到電腦的裝置（例如，硬碟磁碟機、相機或 Wi-Fi 模組）的存取。
這樣可以在連線此類裝置時防護電腦免受感染，並防⽌遺失或洩漏資料。

裝置存取等級367

“裝置控制”控制以下等級的存取權限：裝置類型。例如，印表機、卸除式磁碟機和 CD/DVD 磁碟機。
您可以按如下⽅式配置裝置存取權限：
允許 – 。
封鎖 – 。
按規則（僅限印表機和攜帶式裝置） – 。
取決於連線匯流排（Wi-Fi 除外） – 。
封鎖但帶有例外（僅限 Wi-Fi） – 。
連線匯流排。連線匯流排是⽤於將裝置連線⾄電腦的介⾯（範例 USB 或 FireWire）。因此，您可以限制所有
裝置的連線（例如，透過 USB）。
您可以按如下⽅式配置裝置存取權限：
允許 – 。
封鎖 – 。
受信任裝置。信任的裝置是指在信任裝置設定中指定的使⽤者可隨時進⾏完全存取的裝置。
您可以根據以下資料新增受信任裝置：
透過裝置 ID每個裝置都有⼀個唯⼀識別碼（硬體 ID 或 HWID）。您可以使⽤作業系統⼯具在裝置內容中檢視 ID。裝置 ID 範例：SCSI\CDROM&VEN_NECVMWAR&PROD_VMWARE_SATA_CD00\5&354AE4D7&0&000000。
如果要新增多個特定裝置，則按 ID 新增裝置很⽅便。
透過裝置型號每個裝置都有⼀個供應商 ID (VID) 和⼀個產品 ID (PID)。您可以使⽤作業系統⼯具在裝置內容中檢視 ID。⽤於輸入 VID 和 PID 的範本：VID_1234&PID_5678。如果在組織中使⽤特定型號的裝置，則按型號新增裝置很⽅便。這樣，您可以新增該型號的所有裝置。
透過裝置 ID 遮罩如果您使⽤具有相似 ID 的多個裝置，則可以使⽤遮罩將裝置新增到受信任清單。* 字元
可替換任意⼀組字元。輸入遮罩時，Kaspersky Endpoint Security 不⽀援 ? 字元。例如，WDC_C*。
依型號遮罩列出的裝置如果您使⽤具有相似 VID 或 PID 的多個裝置（例如，同⼀製造商的裝置），則可以
使⽤遮罩將裝置新增到受信任清單。* 字元可替換任意⼀組字元。輸入遮罩時，Kaspersky Endpoint
Security 不⽀援 ? 字元。例如，VID_05AC & PID_ *。
“裝置控制”透過使⽤存取規則來管理使⽤者對裝置的存取。“裝置控制”還允許您儲存裝置連線/斷開連線事件。要儲存事件，您需要在政策中配置事件註冊。
如果對裝置的存取權限取決於連線介⾯（ 狀態），Kaspersky Endpoint Security 不會儲存裝置連線/斷開連
線事件。要使 Kaspersky Endpoint Security 儲存裝置連線/斷開連線事件，請允許存取相應的裝置類型（ 狀態）或將裝置新增到信任清單。
當被“裝置控制”封鎖的裝置連線到電腦時，Kaspersky Endpoint Security 將封鎖存取並顯⽰通知（請參⾒下圖）。

368

“裝置控制”通知

裝置控制執⾏演算法
Kaspersky Endpoint Security 在使⽤者將裝置連接到電腦之後做出是否允許存取該裝置的決定（請參⾒下圖）。

裝置控制執⾏演算法

369

如果已連線裝置並允許存取，您可以編輯存取規則並封鎖存取。在這種情況下，下次有⼈嘗試存取該裝置（例如檢視資料夾樹或執⾏讀取或寫入操作）時，Kaspersky Endpoint Security 會封鎖存取。沒有檔案系統的裝置僅在該裝置下⼀次連接時被封鎖。
如果已安裝有 Kaspersky Endpoint Security 的電腦上的使⽤者需要請求被錯誤封鎖的裝置的存取權限，則向該使
⽤者傳送請求存取說明。

啟⽤和停⽤裝置控制
預設情況下將啟⽤裝置控制。

要啟⽤或停⽤裝置控制：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 使⽤“裝置控制“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
因此，如果啟⽤了裝置控制，則應⽤程式會將有關已連線裝置的資訊轉送到卡巴斯基安全管理中⼼。您可以在卡巴斯基安全管理中⼼的“進階 → 儲存 → 硬體”資料夾中檢視已連線裝置的清單。

關於存取規則存取規則包含⼀組設定，⽤於確定哪些使⽤者可以存取安裝到或連線到電腦的裝置。您不能新增在裝置控制分類
之外的裝置。此類裝置允許所有使⽤者存取。

裝置存取規則存取規則的設定群組根據裝置類型的不同⽽不同（請參⾒下表）。
存取規則設定

裝置

存取控
制

裝置存取排
程

使⽤者和/或使⽤者群組的
分配

優先順
序

讀/寫權
限

硬碟磁碟機
卸除式磁碟機 （包括 USB 快閃磁碟機）軟碟
CD/DVD 磁碟機
可攜式裝置(MTP)
本機印表機

–

–

網路印表機

–

–

數據機

–

–

–

–

磁帶裝置

–

–

–

–

370

多功能裝置––––智慧卡讀卡機––––Windows CE USB ActiveSync 裝置

–

–

–

–

外接式網路卡

–

–

–

–

藍芽

–

–

–

–

攝影鏡頭和掃描器

–

–

–

–

Wi-Fi 網路的存取規則
Wi-Fi 網路存取規則確定允許（ 狀態）還是禁⽌（ 狀態）使⽤ Wi-Fi 網路。您可以將受信任的 Wi-Fi 網路（狀態）新增到規則中。允許無限制使⽤受信任的 Wi-Fi 網路。預設情況下，Wi-Fi 網路存取規則允許存取任何 WiFi 網路。

連線匯流排存取規則
連線匯流排存取規則確定允許（ 狀態）還是禁⽌（ 狀態）連線裝置。預設情況下，程式將為裝置控制元件分
類中存在的所有連線匯流排建立允許存取的規則。
鍵盤和滑鼠無法使⽤“裝置控制”鎖定。如果禁⽌存取 USB 連線匯流排，使⽤者將繼續使⽤透過 USB 連線的鍵
盤和滑鼠進⾏⼯作。BadUSB 攻擊防護元件旨在防⽌模擬鍵盤的、受感染的 USB 裝置連線⾄電腦。

編輯裝置存取規則
裝置存取規則是⼀組設定，⽤於確定使⽤者如何可以存取安裝到或連線到電腦的裝置。這些設定包括對特定裝置的存取、存取排程以及讀取或寫入權限。

若要編輯裝置存取規則，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”裝置和 Wi-Fi 網路”按鈕。
開啟的視窗顯⽰了裝置控制元件類別中包括的所有裝置的存取規則。

371

裝置控制元件中的裝置類型

4. 在“存取儲存裝置”塊中，選擇要編輯的存取規則。該塊包含具有檔案系統的裝置，您可以為其設定其他存取設定。預設情況下，裝置存取規則授權所有使⽤者隨時存取指定類型裝置的最⼤權限。
a. 在“存取“列中，選擇適當的裝置存取選項：
允許封鎖
取決於連線匯流排
要封鎖或允許存取裝置，請設定對連線匯流排的存取。
按規則
此選項允許您設定使⽤者權限，權限和裝置存取排程。
b. 在”使⽤者權限”塊中，點擊”新增”按鈕。
這將開啟⼀個⽤於新增新裝置存取規則的視窗。

372裝置控制規則設定

a. 將優先順序分配到規則。規則包括以下屬性：使⽤者帳⼾，排程，權限（讀取/寫入）和優先順序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據具有
最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優先順序。
值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組分配
優先順序 1，為 Everyone 群組分配優先順序 0。
封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
b. 將裝置存取規則設定為“已啟⽤“狀態。
c. 設定使⽤者的裝置存取權限：讀取和/或寫入。
d. 選擇要對其套⽤裝置存取規則的使⽤者或使⽤者群組。
e. 設定使⽤者的裝置存取排程。
f. 單擊“新增”。
5. 在“存取外部裝置“塊中，選擇規則並設定存取權限：“允許“、”封鎖“或“取決於連線匯流排”。如有必要， 設定對連線匯流排的存取權限。
6. 在“對 Wi-Fi 網路的存取權限“塊中，點擊“Wi-Fi”連線並設定存取權限：允許，封鎖或封鎖但帶有例外。如有必要，將 Wi-Fi 網路新增⾄受信任清單。

373

Wi-Fi 存取設定

7. 儲存變更。

編輯連接介⾯存取規則
若要編輯連線匯流排存取規則，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”連接介⾯”按鈕。
開啟的視窗顯⽰了裝置控制元件類別中包括的所有連線匯流排的存取規則。
4. 選取您想要編輯的存取規則。
5. 在“存取“列中，選擇是否允許存取連線匯流排：允許或封鎖。
如果變更了連線匯流排的存取權限串列埠(COM) (COM) 或者 並列埠(LPT) (LPT)，必須重新啟動電腦以啟
動存取規則。
6. 儲存變更。

管理存取⾏動裝置的權限
374

Kaspersky Endpoint Security 允許您控制對執⾏ Android 和 iOS 的⾏動裝置上的資料的存取。⾏動裝置屬於攜帶式裝置 (MTP) 類別。因此，若要配置對⾏動裝置上的資料的存取，您需要編輯攜帶式裝置 (MTP) 的存取設定。
當某個⾏動裝置連線到電腦時，作業系統會確定裝置類型。如果電腦上安裝了 Android 診斷橋 (ADB)、iTunes 或其等效應⽤程式，作業系統會將⾏動裝置辨識為 ADB 或 iTunes 裝置。在所有其他情況下，作業系統可能將⾏動
裝置類型辨識為⽤於檔案傳輸的可攜式裝置 (MTP)、⽤於影像傳輸的 PTP 裝置（相機）或其他裝置。裝置類型取決於⾏動裝置的型號和所選的 USB 連線模式。Kaspersky Endpoint Security 可讓您在 ADB 應⽤程式、iTunes 或檔案管理器中為⾏動裝置上的資料配置單獨的存取權限。在所有其他情況下，裝置控制允許根據攜帶式裝置(MTP) 存取規則存取⾏動裝置。

存取⾏動裝置的權限⾏動裝置屬於攜帶式裝置 (MTP) 類別，因此它們的設定相同。您可以選擇以下⾏動裝置存取模式之⼀：
允許 。Kaspersky Endpoint Security 允許完整存取⾏動裝置。您可以使⽤檔案管理器或 ADB 和 iTunes 應⽤
程式在⾏動裝置上開啟、建立、修改、複製或刪除檔案。您還可以通過將⾏動裝置連線到電腦的 USB 連接埠
來為裝置的電池充電。
封鎖 。Kaspersky Endpoint Security 限制檔案管理器以及 ADB 和 iTunes 應⽤程式中對⾏動裝置的存取。該應⽤程式只允許存取“受信任⾏動裝置”。您還可以通過將⾏動裝置連線到電腦的 USB 連接埠來為裝置的電池
充電。
取決於連線匯流排 。Kaspersky Endpoint Security 允許根據 USB 連線狀態（允許 或 封鎖 ）連線到⾏動裝
置。
按規則 。Kaspersky Endpoint Security 根據規則限制對⾏動裝置的存取。在規則中，您可以配置存取權限（讀/寫），選擇可以存取⾏動裝置 的使⽤者或使⽤者群組，並配置⾏動裝置的存取排程。您還可以透過
ADB 和 iTunes 應⽤程式限制對⾏動裝置上的資料的存取。

配置⾏動裝置存取規則
攜帶式裝置 (MTP)、ADB 裝置和 iTunes 裝置的存取規則配置不同。對於攜帶式裝置 (MTP) 和 ADB 裝置，您可以為單個使⽤者或使⽤者群組配置規則，並為何時套⽤規則建立排程。對於 iTunes 裝置，您不能這樣做。您只能允
許或拒絕所有使⽤者透過 iTunes 應⽤程式存取資料。
如何在管理主控台 (MMC) 中配置⾏動裝置存取規則

375

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 裝置控制”。
5. 在裝置控制設定下，選擇裝置類型標籤。
表格列出了“裝置控制”元件分類中存在的所有裝置的存取規則。
6. 在“可攜式裝置(MTP)”裝置類型的內容功能表中，配置⾏動裝置存取模式：允許 ，封鎖 ，或者取決於連線匯流排 。
7. 若要配置⾏動裝置存取規則，請點擊兩下開啟規則清單。
8. 配置⾏動裝置存取規則：
a. 在”存取規則”塊中，點擊”新增”按鈕。
這將開啟⼀個⽤於新增新⾏動裝置存取規則的視窗。
b. 在優先欄位中，設定規則寫入優先順序。規則包括以下屬性：使⽤者帳⼾，排程，權限（讀取/寫入/ADB 存取）和優先順序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據
具有最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優
先順序。值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組
分配優先順序 1，為 Everyone 群組分配優先順序 0。
封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
c. 在“使⽤者和/或使⽤者群組規則”，選擇使⽤者或使⽤者群組。
d. 單擊“確定”。
9. 在“所選存取規則的排程”下⽅，設定使⽤者的⾏動裝置存取排程。
無法為 ADB 裝置配置單獨的存取排程。您可以為 ADB 裝置和攜帶式裝置 (MTP) 配置通⽤存取排程。
10. 在檔案管理器中配置使⽤者對⾏動裝置的存取權限（讀取 / 寫入）。
11. 使⽤透過 ADB 存取核取⽅塊配置透過 ADB 應⽤程式對⾏動裝置上資料進⾏存取 。
如果清除該核取⽅塊，當連線⾏動裝置時，ADB 應⽤程式將被阻⽌偵測該裝置。
12. 在透過 iTunes 存取下，配置透過 iTunes 應⽤程式對⾏動裝置上的資料進⾏存取。
Kaspersky Endpoint Security 透過 iTunes 應⽤程式為所有使⽤者套⽤⾏動裝置存取設定。無法為iTunes 裝置配置單獨的存取排程。

376

13. 儲存變更。
如何在網⾴主控台和雲端主控台中配置⾏動裝置存取規則377

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”裝置控制”。
5. 在”裝置控制設定”塊中，點擊”裝置和 wi- 網路的存取規則”連接。
表格列出了“裝置控制”元件分類中存在的所有裝置的存取規則。
6. 選取“可攜式裝置(MTP)”裝置類型。
這將開啟攜帶式裝置 (MTP) 存取權限。
7. 在“配置裝置存取規則”下⽅，配置⾏動裝置存取模式：允許，封鎖，取決於連線匯流排，或者按規則。
8. 如果選擇“按規則”模式，必須為裝置新增存取規則。為此，在“使⽤者”下⽅，點擊“新增”按鈕並配置⾏動裝
置存取規則：
a. 在裝置存取規則欄位中，設定規則寫入優先順序。規則包括以下屬性：使⽤者帳⼾，排程，權限（讀取/寫入/ADB 存取）和優先順序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據
具有最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優
先順序。值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組
分配優先順序 1，為 Everyone 群組分配優先順序 0。
封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
b. 在“使⽤者”下⽅，選擇存取⾏動裝置的使⽤者或者使⽤者群組。
c. 在“裝置存取排程”下⽅，設定使⽤者的⾏動裝置存取排程。
無法為 ADB 裝置配置單獨的存取排程。您可以為 ADB 裝置和攜帶式裝置 (MTP) 配置通⽤存取排程。
d. 在檔案管理器中配置使⽤者對⾏動裝置的存取權限（讀取 / 寫入）。
e. 使⽤透過 ADB 存取核取⽅塊配置透過 ADB 應⽤程式對⾏動裝置上資料進⾏存取 。
如果清除該核取⽅塊，當連線⾏動裝置時，ADB 應⽤程式將被阻⽌偵測該裝置。
f. 在透過 iTunes 存取下，配置透過 iTunes 應⽤程式對⾏動裝置上的資料進⾏存取。
Kaspersky Endpoint Security 透過 iTunes 應⽤程式為所有使⽤者套⽤⾏動裝置存取設定。無法為iTunes 裝置配置單獨的存取排程。
9. 儲存變更。
378

如何在應⽤程式介⾯中配置⾏動裝置存取規則379

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”裝置和 Wi-Fi 網路”按鈕。
開啟的視窗顯⽰了裝置控制元件類別中包括的所有裝置的存取規則。

裝置控制元件中的裝置類型

4. 在”存取儲存裝置”塊中，點擊”可攜式裝置(MTP)”連接。
這將開啟⼀個包含攜帶式裝置 (MTP) 存取規則的視窗。
5. 在“存取”下⽅，配置⾏動裝置存取模式：允許，封鎖，取決於連線匯流排，或者按規則。
6. 如果選擇“按規則”模式，必須為裝置新增存取規則。
a. 在”使⽤者權限”塊中，點擊”新增”按鈕。
這將開啟⼀個⽤於新增新⾏動裝置存取規則的視窗。
b. 在優先欄位中，設定規則寫入優先順序。規則包括以下屬性：使⽤者帳⼾，排程，權限（讀取/寫入/ADB 存取）和優先順序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據
具有最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優
先順序。值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組
分配優先順序 1，為 Everyone 群組分配優先順序 0。

380

封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
c. 在“狀態”下⽅，開啟⾏動裝置存取規則。
d. 在“存取規則”下⽅，為使⽤者配置⾏動裝置存取權限。
在檔案管理器中配置使⽤者對⾏動裝置的存取權限（讀取 / 寫入）。
使⽤透過 ADB 存取核取⽅塊配置透過 ADB 應⽤程式對⾏動裝置上資料進⾏存取 。
如果清除該核取⽅塊，當連線⾏動裝置時，ADB 應⽤程式將被阻⽌偵測該裝置。
e. 在“使⽤者”下⽅，選擇存取⾏動裝置的使⽤者或者使⽤者群組。
f. 在“裝置存取排程”下⽅，設定使⽤者的裝置存取排程。
無法為 ADB 裝置配置單獨的存取排程。您可以為 ADB 裝置和攜帶式裝置 (MTP) 配置通⽤存取排程。
g. 在透過 iTunes 存取下，配置透過 iTunes 應⽤程式對⾏動裝置上的資料進⾏存取。
Kaspersky Endpoint Security 透過 iTunes 應⽤程式為所有使⽤者套⽤⾏動裝置存取設定。無法為iTunes 裝置配置單獨的存取排程。
7. 儲存變更。
結果，使⽤者對⾏動裝置的存取會根據規則受到限制。如果您在 ADB 和 iTunes 應⽤程式中禁⽌存取⾏動裝置，當您連線⾏動裝置時，ADB 和 iTunes 應⽤程式將被禁⽌偵測該⾏動裝置。

受信任⾏動裝置

信任的裝置是指在信任裝置設定中指定的使⽤者可隨時進⾏完全存取的裝置。
新增受信任⾏動裝置的過程和新增其它類型受信任裝置的過程⼀模⼀樣。您可以依據 ID 或者裝置型號新增⾏動裝置。
若要依據 ID 新增受信任⾏動裝置，您將需要⼀個唯⼀ ID（硬體 ID – HWID）。您可以使⽤作業系統⼯具在裝置內
容中找到 ID（請⾒下圖）。裝置管理器⼯具可讓您做到這點。攜帶式裝置（MTP）和 ADB、iTunes 裝置的 ID 即
使對於同⼀個⾏動裝置也不同。攜帶式裝置 (MTP) 的 ID 可能如下所⽰：15131JECB07440。ADB 裝置的 ID 可能
如下所⽰：6&370DEC2A&0&0001。如果要新增多個特定裝置，則按 ID 新增裝置很⽅便。您也可以使⽤遮罩。
如果在將裝置連線到電腦後安裝了 ADB 或 iTunes 應⽤程式，則該裝置的唯⼀ ID 可能會重設。這意味著
Kaspersky Endpoint Security 會將此裝置識別為新裝置。如果該裝置受信任，請再次將其新增⾄受信任清單。
若要按裝置型號新增受信任⾏動裝置，您將需要其供應商 ID (VID) 和產品 ID (PID)。您可以使⽤作業系統⼯具在裝置內容中找到 ID（請⾒下圖）。⽤於輸入 VID 和 PID 的範本：VID_18D1&PID_4EE5。如果在組織中使⽤特定型
號的裝置，則按型號新增裝置很⽅便。這樣，您可以新增該型號的所有裝置。
381

裝置管理器中的裝置 ID

列印控制
您可以使⽤列印控制來設定使⽤者對本機和網路印表機的存取。

本機印表機控制
Kaspersky Endpoint Security 允許在兩個級別設定對本機印表機的存取：連線和列印。
Kaspersky Endpoint Security 透過以下匯流排控制本機印表機連線：USB，序列連接埠 (COM)，平⾏連接埠(LPT)。
Kaspersky Endpoint Security 僅在匯流排級別控製本機印表機與 COM 和 LPT 連接埠的連線。即，要防⽌印
表機連線到 COM 和 LPT 連接埠，必須禁⽌所有裝置類型連線到 COM 和 LPT 匯流排。對於連線到 USB 的印
表機，應⽤程式會在兩個級別上進⾏控制：裝置類型（本機印表機）和連線匯流排（USB）。因此，您可以
允許除本機印表機之外的所有裝置類型連線到 USB。
您可以選擇以下⽅式之⼀透過 USB 存取本機印表機：允許 。Kaspersky Endpoint Security 向所有使⽤者授予對本機印表機的完整存取權限。使⽤者可以使⽤作業
系統提供的⽅式連線印表機和列印文件。
封鎖 。Kaspersky Endpoint Security 封鎖連線本機印表機。應⽤程式僅允許連線受信任印表機。
取決於連線匯流排 。Kaspersky Endpoint Security 允許根據 USB 連線狀態（允許 或 封鎖 ）連線到本機印
表機。
按規則 。若要控制列印，您必須新增列印規則。在規則中，您可以選擇要允許或封鎖其存取在本機印表機
上列印文件的使⽤者或使⽤者群組。

網路印表機控制
382

Kaspersky Endpoint Security 允許設定在網路印表機上列印的存取權限。您可以選擇以下⼀種網路印表機存取模式：允許且不記錄。Kaspersky Endpoint Security 不控制網路印表機上的列印。該應⽤程式允許所有使⽤者存取網
路印表機上的列印，並且不會在事件記錄中儲存列印資訊。
允許 。Kaspersky Endpoint Security 向所有使⽤者授予在網路印表機上列印的存取權限。
封鎖 。Kaspersky Endpoint Security 向所有使⽤者限制對網路印表機的存取權限。應⽤程式僅允許存取受信
任印表機。
按規則 。Kaspersky Endpoint Security 根據列印規則授予列印存取權限。在規則中，您可以選擇被允許或者
防⽌在網路印表機上列印文件的使⽤者或者使⽤者群組。

為印表機新增列印規則
如何在管理主控台 (MMC) 中新增列印規則383

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 裝置控制”。
5. 在裝置控制設定下，選擇裝置類型標籤。
表格列出了“裝置控制”元件分類中存在的所有裝置的存取規則。
6. 在“本機印表機”和“網路印表機”裝置類型的內容功能表中，為相關印表機設定存取模式：允許 ，封鎖，，允許且不記錄（僅適⽤於網路印表機）或 取決於連線匯流排 （僅適⽤於本機印表機）。
7. 若要設定本機和網路印表機上的列印規則，點擊兩下規則清單開啟它們。
8. 選擇“按規則”作為印表機存取模式。
9. 選擇要對其套⽤列印規則的使⽤者或使⽤者群組。
a. 單擊“新增”。
這將開啟⼀個⽤於新增新列印規則的視窗。
b. 將優先順序分配到規則項⽬。⼀個規則項⽬包括以下屬性：使⽤者帳⼾，動作（允許/封鎖）和優先順
序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據
具有最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優
先順序。值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組
分配優先順序 1，為 Everyone 群組分配優先順序 0。
封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
c. 在“動作”下⽅，設定使⽤者在印表機上列印的存取權限。
d. 點擊“使⽤者和群組”然後選擇存取列印的使⽤者或者使⽤者群組。
e. 單擊“確定”。
10. 儲存變更。
如何在網⾴主控台和雲端主控台中新增列印規則384

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”裝置控制”。
5. 在”裝置控制設定”塊中，點擊”裝置和 wi- 網路的存取規則”連接。
表格列出了“裝置控制”元件分類中存在的所有裝置的存取規則。
6. 選擇“本機印表機”或者“網路印表機”裝置類型。
這將開啟印表機存取規則。
7. 配置相關印表機的存取模式：允許，封鎖，允許且不記錄 （僅適⽤於網路印表機），取決於連線匯流排
（僅適⽤於本機印表機）或 按規則。
8. 如果選擇“按規則”模式，您必須為本機或者網路印表機新增列印規則。為此，請點擊列印規則表中的“新增”按鈕。
這將開啟新列印規則的設定。
9. 將優先順序分配到規則項⽬。⼀個規則項⽬包括以下屬性：使⽤者帳⼾，動作（允許/封鎖）和優先順
序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據具有
最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優先順
序。值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組分
配優先順序 1，為 Everyone 群組分配優先順序 0。
封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
10. 在“操作”下⽅，設定使⽤者在印表機上列印的存取權限。
11. 在“使⽤者和群組”下⽅，選擇存取列印的使⽤者或者使⽤者群組。
12. 儲存變更。
如何在應⽤程式介⾯中新增列印規則385

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”裝置和 Wi-Fi 網路”按鈕。
開啟的視窗顯⽰了裝置控制元件類別中包括的所有裝置的存取規則。

裝置控制元件中的裝置類型

4. 在“存取外部裝置”下⽅，點擊本機印表機或者網路印表機。
這將開啟⼀個視窗，其中包含印表機存取規則。
5. 在本機印表機存取 或 網路印表機存取下⾯配置相關印表機的存取模式：允許，封鎖，允許且不記錄 （僅適⽤於網路印表機），取決於連線匯流排 （僅適⽤於本機印表機）或 按規則。
6. 如果選擇“按規則”模式，必須為印表機新增列印規則。選擇要對其套⽤列印規則的使⽤者或使⽤者群組。
a. 單擊“新增”。
這將開啟⼀個⽤於新增新列印規則的視窗。
b. 將優先順序分配到規則項⽬。規則包括以下屬性：使⽤者帳⼾，權限（允許/封鎖）和優先順序。
規則具有特定的優先順序。如果已將使⽤者新增到多個群組，則 Kaspersky Endpoint Security 會根據
具有最⾼優先順序的規則來管理裝置存取。Kaspersky Endpoint Security 允許分配從 0 到 10,000 的優
先順序。值越⾼，優先順序越⾼。換⾔之，值為 0 的項⽬具有最低的優先順序。
例如，您可以向 Everyone 群組授予只讀權限，向管理員群組授予讀/寫權限。為此，請為管理員群組
分配優先順序 1，為 Everyone 群組分配優先順序 0。

386

封鎖規則的優先等級⾼於允許規則的優先等級。換句話說，如果已將使⽤者新增到多個群組，並且所有規則的優先順序都相同，則 Kaspersky Endpoint Security 會根據任何現有的封鎖規則來管理裝置存取。
c. 在“操作”下⽅，設定存取列印的使⽤者權限。
d. 在“使⽤者和群組”下⽅，選擇存取列印的使⽤者或者使⽤者群組。
7. 儲存變更。

受信任印表機

信任的裝置是指在信任裝置設定中指定的使⽤者可隨時進⾏完全存取的裝置。
新增受信任印表機的過程和新增其它類型受信任裝置的過程⼀模⼀樣。您可以依據 ID 或者裝置型號新增本機印
表機。您只能依據裝置 ID 新增網路印表機。
若要依據 ID 新增受信任本機印表機，您將需要⼀個唯⼀ ID（硬體 ID – HWID）。您可以使⽤作業系統⼯具在裝置內容中找到 ID（請⾒下圖）。裝置管理器⼯具可讓您做到這點。本機印表機的 ID 看起來可能是這樣：
6&2D09F5AF&1&C000。如果要新增多個特定裝置，則按 ID 新增裝置很⽅便。您也可以使⽤遮罩。
若要按裝置型號新增受信任本機印表機，您將需要其供應商 ID (VID) 和產品 ID (PID)。您可以使⽤作業系統⼯具在裝置內容中找到 ID（請⾒下圖）。⽤於輸入 VID 和 PID 的範本：VID_04A9&PID_27FD。如果在組織中使⽤特定型號的裝置，則按型號新增裝置很⽅便。這樣，您可以新增該型號的所有裝置。

裝置管理器中的裝置 ID

若要新增受信任網路印表機，您將需要其裝置 ID。對於網路印表機，裝置 ID 可以是印表機的網路名稱（共⽤印
表機的名稱），印表機的 IP 位址，或者印表機的 URL。
387

Wi-Fi 連線控制
裝置控制可讓您管理電腦（膝上型電腦）的 Wi-Fi 連線。公共 Wi-Fi 網路可能不安全，使⽤此類網路可能導致資料損失。裝置控制可讓您封鎖使⽤者連線到 Wi-Fi 或者只允許連線到受信任網路。例如，您可以允許只連線到⾜夠安全的公司 Wi-Fi 網路。裝置控制將封鎖存取除受信任清單中指定的 Wi-Fi 網路之外的所有網路。
如何在管理主控台 (MMC) 中限制 Wi-Fi 連線

388

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 裝置控制”。
5. 在裝置控制設定下，選擇裝置類型標籤。
表格列出了“裝置控制”元件分類中存在的所有裝置的存取規則。
6. 在 Wi-Fi 裝置類型的內容功能表中，選擇連線到 Wi-Fi 時採取的裝置控制動作：允許 ( )，封鎖 ( )，或者
封鎖但帶有例外 ( )。
7. 如果選擇了“封鎖但帶有例外”選項，請建立⼀個受信任 Wi-Fi 網路的清單：
a. 點擊兩下開啟受信任 Wi-Fi 網路列表。
b. 在”受信任的 Wi-Fi 網路”塊中，點擊”新增”按鈕。
c. 這會開啟⼀個視窗；在此視窗中設定受信任的 Wi-Fi 網路（請⾒下圖）：
網路名稱Wi-Fi 的名稱或者 SSID（服務組識別碼）。
⾝分驗證類型連線到 Wi-Fi 網路時使⽤的⾝分驗證類型。
從 Kaspersky Endpoint Security for Windows 版本 12.0 開始，WPA3 協定⽀援已新增到應⽤程
式中。如果在電腦上套⽤ Kaspersky Endpoint Security 12.2 政策，則在電腦上對於 Kaspersky
Endpoint Security 11.11.0 及更早版本選擇 WPA2 協定；對於 12.0 到 12.1 版本選擇 WPA2 /WPA3；對於 12.2 及更⾼版本選擇 WPA3。
加密類型⽤於防護 Wi-Fi 流量的加密類型。
註解有關新增 Wi-Fi 網路的更多資訊。
您可以在路由器設定中檢視受信任 Wi-Fi 網路的設定。
如果某個 Wi-Fi 網路的設定比對規則中指定的所有設定則其被認定為受信任。
8. 儲存變更。

受信任 Wi-Fi 網路設定389

如何在網⾴主控台和雲端主控台中限制 Wi-Fi 連線

390

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”裝置控制”。
5. 在”裝置控制設定”塊中，點擊”裝置和 wi- 網路的存取規則”連接。
表格列出了“裝置控制”元件分類中存在的所有裝置的存取規則。
6. 在”對 Wi-Fi 網路的存取權限”塊中，點擊”Wi-Fi”連接。
7. 在“對 Wi-Fi 網路的存取權限”下⾯，選擇連線到 Wi-Fi 時採取的裝置控制動作：允許，封鎖，或者 封鎖但帶有例外。
8. 如果選擇了“封鎖但帶有例外”選項，請建立⼀個受信任 Wi-Fi 網路的清單：
a. 點擊兩下開啟受信任 Wi-Fi 網路列表。
b. 在”受信任的 Wi-Fi 網路”塊中，點擊”新增”按鈕。
c. 這會開啟⼀個視窗；在此視窗中設定受信任的 Wi-Fi 網路（請⾒下圖）：
網路名稱Wi-Fi 的名稱或者 SSID（服務組識別碼）。
⾝分驗證類型連線到 Wi-Fi 網路時使⽤的⾝分驗證類型。
從 Kaspersky Endpoint Security for Windows 版本 12.0 開始，WPA3 協定⽀援已新增到應⽤程
式中。如果在電腦上套⽤ Kaspersky Endpoint Security 12.2 政策，則在電腦上對於 Kaspersky
Endpoint Security 11.11.0 及更早版本選擇 WPA2 協定；對於 12.0 到 12.1 版本選擇 WPA2 /WPA3；對於 12.2 及更⾼版本選擇 WPA3。
加密類型⽤於防護 Wi-Fi 流量的加密類型。
註釋有關新增 Wi-Fi 網路的更多資訊。
您可以在路由器設定中檢視受信任 Wi-Fi 網路的設定。
如果某個 Wi-Fi 網路的設定比對規則中指定的所有設定則其被認定為受信任。
9. 儲存變更。

391

受信任 Wi-Fi 網路設定

如何在應⽤程式介⾯中限制 Wi-Fi 連線

392

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”裝置和 Wi-Fi 網路”按鈕。
開啟的視窗顯⽰了裝置控制元件類別中包括的所有裝置的存取規則。
4. 在”對 Wi-Fi 網路的存取權限”塊中，點擊”Wi-Fi”連接。
開啟的視窗將顯⽰ Wi-Fi 網路存取規則。

Wi-Fi 存取設定

5. 在“存取”下⾯，選擇連線到 Wi-Fi 時採取的裝置控制動作：允許，封鎖，或者 封鎖但帶有例外。
6. 如果選擇了“封鎖但帶有例外”選項，請建立⼀個受信任 Wi-Fi 網路的清單：
a. 在”受信任的 Wi-Fi 網路”塊中，點擊”新增”按鈕。
b. 這會開啟⼀個視窗；在此視窗中設定受信任的 Wi-Fi 網路（請⾒下圖）：
網路名稱Wi-Fi 的名稱或者 SSID（服務組識別碼）。
⾝分驗證類型連線到 Wi-Fi 網路時使⽤的⾝分驗證類型。
從 Kaspersky Endpoint Security for Windows 版本 12.0 開始，WPA3 協定⽀援已新增到應⽤程
式中。如果在電腦上套⽤ Kaspersky Endpoint Security 12.2 政策，則在電腦上對於 Kaspersky
Endpoint Security 11.11.0 及更早版本選擇 WPA2 協定；對於 12.0 到 12.1 版本選擇 WPA2 /WPA3；對於 12.2 及更⾼版本選擇 WPA3。
加密類型⽤於防護 Wi-Fi 流量的加密類型。
393註解有關新增 Wi-Fi 網路的更多資訊。
您可以在路由器設定中檢視受信任 Wi-Fi 網路的設定。
如果某個 Wi-Fi 網路的設定比對規則中指定的所有設定則其被認定為受信任。
7. 儲存變更。

受信任 Wi-Fi 網路設定

結果，當使⽤者嘗試連線到未被列為受信任的 Wi-Fi 網路時，應⽤程式將封鎖連線並顯⽰通知（請⾒下圖）。

“裝置控制”通知

監視卸除式磁碟機的使⽤
監視卸除式磁碟機的使⽤包括：394

檢視卸除式磁碟機上的檔案的操作。
檢視受信任卸除式磁碟機的連線和斷開連線。
Kaspersky Endpoint Security 允許檢視所有受信任裝置、⽽不只是卸除式磁碟機的連線和斷開連線您可以為“裝置控制”元件在“通知設定”中開啟事件記錄。事件有“資訊”嚴重性等級。

要啟⽤對卸除式磁碟機使⽤的監視，請：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”裝置和 Wi-Fi 網路”按鈕。
開啟的視窗顯⽰了裝置控制元件類別中包括的所有裝置的存取規則。

裝置控制元件中的裝置類型

4. 在“存取儲存裝置”塊中，選取“卸除式磁碟機”。
5. 在開啟的視窗中選擇“記錄”標籤。

395

卸除式磁碟機使⽤監控的設定

6. 開啟“記錄“開關。
7. 在“檔案操作“塊中，選擇要監視的操作：寫入， 刪除。
8. 在“依檔案格式篩選“塊中，選擇其相關操作應由裝置控制進⾏記錄的檔案格式。
9. 選擇要監視其卸除式磁碟機使⽤情況的使⽤者或使⽤者群組。
10. 儲存變更。
因此，當使⽤者在卸除式磁碟機上寫入檔案或刪除檔案時，Kaspersky Endpoint Security 會將此類操作的資訊
寫入事件記錄並將事件傳送⾄卡巴斯基安全管理中⼼。您可以在“事件“索引標籤上“管理伺服器”節點的⼯作區中的 卡巴斯基安全管理中⼼管理主控台中檢視與卸除式磁碟機上的檔案關聯的事件。要使事件顯⽰在本機
Kaspersky Endpoint Security 事件⽇誌中，您必須在“裝置控制”元件的通知設定中選擇“已執⾏檔案操作“核取⽅塊。

變更快取持續時間
396

裝置控制元件登錄與受監視裝置有關的事件，例如裝置的連線和斷開連線，從裝置讀取檔案，將檔案寫入裝置以及其他事件。然後，裝置控制將根據 Kaspersky Endpoint Security 設定允許或封鎖操作。
裝置控制在特定期間（稱為快取期間）內儲存有關事件的資訊。如果有關事件的資訊被快取並且該事件重複發
⽣，則無需將其通知給 Kaspersky Endpoint Security 或顯⽰另⼀個提⽰以授予對相應操作的存取權限，例如連線
裝置。這使得使⽤裝置更加⽅便。
如果以下所有事件設定與快取中的記錄匹配，則該事件被視為重複事件：
裝置 ID
嘗試存取的使⽤者帳⼾的 SID裝置類別裝置採取的操作
此操作的應⽤程式權限：允許或拒絕採取操作的處理程序路徑
正在被存取的檔案
在變更快取期間之前，請停⽤ Kaspersky Endpoint Security ⾃我防護。變更快取期間後，啟⽤⾃我防護。

要變更快取期間，請：1. 在電腦上開啟登錄檔編輯器。
2. 在登錄檔編輯器中，轉到以下部分：
對於 64 位元作業系統：[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\KasperskyLab\protected\KES\environment]對於 32 位元作業系統：[HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\protected\KES\environment]
3. 開啟 DeviceControlEventsCachePeriod 進⾏編輯。
4. 定義裝置控制在刪除此資訊之前必須儲存有關事件的資訊的分鐘數。

對信任裝置的操作
信任的裝置是指在信任裝置設定中指定的使⽤者可隨時進⾏完全存取的裝置。
要使⽤受信任裝置，您可以為單⼀使⽤者、⼀組使⽤者或組織的所有使⽤者授予存取權限。
例如，如果您的組織不允許使⽤卸除式磁碟機，但是管理員在⼯作中使⽤卸除式磁碟機，您可以僅允許⼀組管理
員使⽤卸除式磁碟機。為此，請將卸除式磁碟機新增到受信任清單中，並配置使⽤者存取權限。

397

不建議新增超過 1000 個受信任裝置，因為這可能造成系統不穩定。
Kaspersky Endpoint Security 允許您透過以下⽅式將裝置新增到受信任清單中：
如果您的組織中未佈署卡巴斯基安全管理中⼼，您可以將裝置連線到電腦，然後在應⽤程式設定中將其新增
到受信任清單中。要將受信任裝置的清單分發到組織內的所有電腦，您可以在政策中啟⽤合併受信任裝置清單，也可以使⽤匯出/匯入程序。
如果您的組織中佈署了卡巴斯基安全管理中⼼，您可以遠端偵測所有已連線的裝置，並在政策中建立受信任裝置的清單。受信任裝置清單將在套⽤該政策的所有電腦上可⽤。
Kaspersky Endpoint Security 允許控制對受信任裝置的使⽤（連線和斷開連線）。您可以為“裝置控制”元件在“通知設定”中開啟事件記錄。事件有“資訊”嚴重性等級。

在應⽤程式介⾯中向信任清單新增裝置
預設情況下，在將裝置新增到信任裝置清單中後，所有⽤⼾端（“Everyone”使⽤者群組）都被授權存取該裝置的權限。

若要在應⽤程式介⾯中向信任清單新增裝置，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”受信任裝置”按鈕。
這將開啟受信任裝置的清單。
4. 單擊“選擇”。
這將開啟連線裝置的清單。裝置清單項⽬取決於在“顯⽰已連接的裝置”下拉清單中選取的值。
5. 在裝置清單中，選擇要新增到受信任清單的裝置。
6. 在“註解”欄位中，您可以提供有關受信任裝置的任何相關資訊。
7. 選擇要允許其存取受信任裝置的使⽤者或使⽤者群組。
8. 儲存變更。

在卡巴斯基安全管理中⼼中向受信任清單新增裝置
如果電腦上已安裝 Kaspersky Endpoint Security 並且已啟⽤“裝置控制”，則卡巴斯基安全管理中⼼會收到有關裝
置的資訊。無法將裝置新增到受信任清單，除非卡巴斯基安全管理中⼼有該裝置的資訊。
您可以根據以下資料將裝置新增到受信任清單中：
透過裝置 ID每個裝置都有⼀個唯⼀識別碼（硬體 ID 或 HWID）。您可以使⽤作業系統⼯具在裝置內容中檢視ID。裝置 ID 範例：SCSI\CDROM&VEN_NECVMWAR&PROD_VMWARE_SATA_CD00\5&354AE4D7&0&000000。如果
要新增多個特定裝置，則按 ID 新增裝置很⽅便。
398

透過裝置型號每個裝置都有⼀個供應商 ID (VID) 和⼀個產品 ID (PID)。您可以使⽤作業系統⼯具在裝置內容中
檢視 ID。⽤於輸入 VID 和 PID 的範本：VID_1234&PID_5678。如果在組織中使⽤特定型號的裝置，則按型號新增裝置很⽅便。這樣，您可以新增該型號的所有裝置。
透過裝置 ID 遮罩如果您使⽤具有相似 ID 的多個裝置，則可以使⽤遮罩將裝置新增到受信任清單。* 字元可替
換任意⼀組字元。輸入遮罩時，Kaspersky Endpoint Security 不⽀援 ? 字元。例如，WDC_C*。
依型號遮罩列出的裝置如果您使⽤具有相似 VID 或 PID 的多個裝置（例如，同⼀製造商的裝置），則可以使⽤遮罩將裝置新增到受信任清單。* 字元可替換任意⼀組字元。輸入遮罩時，Kaspersky Endpoint Security 不
⽀援 ? 字元。例如，VID_05AC & PID_ *。

要將裝置新增到受信任裝置清單：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 裝置控制”。
5. 在視窗右側，選取“受信任裝置”標籤。
6. 如果要為公司內的所有電腦建立受信任裝置的綜合清單，請選取“繼承時合併值”核取⽅塊。
將合併⽗政策和⼦政策中的受信任裝置清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的受信任裝
置以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的受信任裝置。
7. 點擊“新增”按鈕，然後選取將裝置新增到受信任清單的⽅法。
8. 要篩選裝置，請從“裝置類型”下拉清單中選取⼀種裝置類型（例如，“卸除式磁碟機”）。
9. 在“名稱/型號”欄位中，輸入裝置 ID（VID 和 PID）或遮罩，具體取決於所選的新增⽅法。
按型號遮罩（VID 和PID）新增裝置的操作⽅式如下：如果輸入的型號遮罩與任何型號都不相符，則Kaspersky Endpoint Security 會檢查裝置 ID (HWID) 是否與該遮罩相符。Kaspersky Endpoint Security 只檢查裝置 ID 中決定了裝置的製造商和類型的部分(SCSI\ CDROM&VEN_NECVMWAR&PROD_VMWARE_SATA_CD00 \5&354AE4D7&0&000000)。如果型號遮罩與裝
置 ID 的此部分相符，則與該遮罩相符的裝置將被新增到電腦上的受信任裝置清單中。同時，當點擊“ 重新整理 ”按鈕時，卡巴斯基安全管理中⼼中的裝置清單將保持空⽩。要正確顯⽰裝置清單，可以按裝置 ID 遮罩新增裝置。
10. 要篩選裝置，請在“電腦名稱”欄位中輸入裝置所連線之電腦的名稱或名稱遮罩。
* 字元可替換任意⼀組字元。? 字元可替換任意單⼀字元。
11. 點擊 重新整理按鈕。
該表顯⽰滿⾜定義的篩選條件的裝置清單。
12. 選中您想要新增到受信任裝置清單中的裝置名稱旁邊的核取⽅塊。
13. 在“註解”欄位中，輸入將裝置新增到受信任清單的原因說明。
14. 點擊“允許使⽤者和/或使⽤者群組“欄位右側的“選取”按鈕。
15. 選取 Active Directory 中的使⽤者或群組，然後確認選取。
399

預設情況下，允許 Everyone 群組存取受信任裝置。
16. 儲存變更。
連接裝置後，Kaspersky Endpoint Security 會檢查授權使⽤者的受信任裝置清單。如果裝置受信任，即使對裝
置類型或連接介⾯的存取被拒，Kaspersky Endpoint Security 也會允許以所有權限存取該裝置。如果裝置不受
信任並且存取被拒，您可以請求存取鎖定的裝置。

匯出和匯入受信任裝置的清單
要將受信任裝置的清單分發到組織中所有的電腦，可以使⽤匯出/匯入程序。
例如，如果您需要分發受信任的卸除式磁碟機的清單，需要執⾏以下操作：
1. 按順序將卸除式磁碟機連線到電腦。
2. 在 Kaspersky Endpoint Security 設定中，將卸除式磁碟機新增到受信任清單中。如有需要，設定使⽤者存取權限。例如，僅允許管理員存取卸除式磁碟機。
3. 在 Kaspersky Endpoint Security 設定中，匯出受信任裝置的清單（請參⾒以下說明）。
4. 將受信任裝置清單檔案分發到組織中的其他電腦。例如，將檔案放置在共⽤資料夾中。
5. 在組織的其他電腦上的 Kaspersky Endpoint Security 設定中匯入受信任裝置的清單（請參⾒以下說明）。

要匯入或匯出受信任裝置的清單：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”受信任裝置”按鈕。
這將開啟受信任裝置的清單。
4. 要匯出信任裝置的清單：a. 選擇您要匯出的受信任裝置。
b. 單擊“匯出”。
c. 在開啟的視窗中，指定您要將受信任裝置清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個受信任裝置清單匯出到 XML 檔案。
5. 要匯入信任裝置的清單：a. 在“匯入”下拉清單中，選取相關操作：匯入並新增⾄現有的或匯入並取代現有的。
b. 在開啟的視窗中，選取要從中匯入受信任裝置清單的 XML 檔案。
c. 開啟檔案。
400

如果電腦已經具有受信任裝置的清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
6. 儲存變更。
連接裝置後，Kaspersky Endpoint Security 會檢查授權使⽤者的受信任裝置清單。如果裝置受信任，即使對裝
置類型或連接介⾯的存取被拒，Kaspersky Endpoint Security 也會允許以所有權限存取該裝置。

獲得存取被封鎖裝置的權限
配置“裝置控制”時，可能會意外封鎖對⼯作所需裝置的存取。
如果未在組織中佈署卡巴斯基安全管理中⼼，可以在 Kaspersky Endpoint Security 的設定中提供對裝置的存取權限。例如，可以將裝置新增到受信任清單或暫時停⽤“裝置控制”。
如果組織中已佈署卡巴斯基安全管理中⼼並且已將某個政策套⽤於電腦，則可以在管理主控台中提供對裝置的存取權限。

授予存取權限的線上模式
只有在組織中佈署了卡巴斯基安全管理中⼼且已將某個政策套⽤於電腦時，才能以線上模式授予對封鎖的裝
置的存取權限。電腦必須能夠與管理伺服器建立連線。
線上模式下授予存取權限包括以下步驟：
1. 使⽤者向管理員傳送包含存取請求的訊息。
2. 管理員在卡巴斯基安全管理中⼼主控台中收到⼀條請求訊息。
卡巴斯基安全管理中⼼主控台有預設的事件選擇使⽤者請求以便於跟踪來⾃使⽤者的訊息。
3. 管理員將裝置新增到受信任清單。
您可以在管理群組的政策中或單個電腦的本機應⽤程式設定中新增受信任裝置。
4. 管理員在使⽤者的電腦上更新 Kaspersky Endpoint Security 的設定。

線上模式下授予裝置存取權限的⽰意圖

授予存取權限的離線模式

401

只有在組織中佈署了卡巴斯基安全管理中⼼且已將某個政策套⽤於電腦時，才能以離線模式授予對封鎖的裝
置的存取權限。在政策設定的“裝置控制”部分中，必須選中“允許臨時存取請求”核取⽅塊。
如果需要授予對封鎖的裝置的暫時存取權限，但無法將裝置新增到受信任清單，則可以在離線模式下授予對裝置的存取權限。這樣，即使電腦沒有網路存取權限，或者電腦位於公司網路外部，您也可以授予對封鎖的裝置的存取權限。
離線模式下授予存取權限包括以下步驟：
1. 使⽤者建立請求存取檔案並將其傳送給管理員。
2. 管理員根據請求存取檔案建立存取⾦鑰並將其傳送給使⽤者。
3. 使⽤者啟動存取⾦鑰。

離線模式下授予裝置存取權限的⽰意圖

授予存取權限的線上模式
只有在組織中佈署了卡巴斯基安全管理中⼼且已將某個政策套⽤於電腦時，才能以線上模式授予對封鎖的裝
置的存取權限。電腦必須能夠與管理伺服器建立連線。

某使⽤者請求存取封鎖的裝置，如下所⽰：
1. 將裝置連線到電腦。
Kaspersky Endpoint Security 將顯⽰⼀條通知，指⽰對裝置的存取被封鎖（請參⾒下圖）。
2. 點擊”請求存取”連接。
這將開啟⼀個視窗，其中包含給管理員的訊息。此訊息包含有關封鎖的裝置的資訊。
3. 單擊“傳送”。
管理員將收到⼀條訊息，其中包含提供存取權限的請求，例如，透過電⼦郵件。有關使⽤者請求處理的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。將裝置新增到信任清單並更新電腦上的 Kaspersky Endpoint
Security 設定後，使⽤者將獲得對裝置的存取權限。

402

“裝置控制”通知

授予存取權限的離線模式
只有在組織中佈署了卡巴斯基安全管理中⼼且已將某個政策套⽤於電腦時，才能以離線模式授予對封鎖的裝
置的存取權限。在政策設定的“裝置控制”部分中，必須選中“允許臨時存取請求”核取⽅塊。

某使⽤者請求存取封鎖的裝置，如下所⽰：
1. 將裝置連線到電腦。
Kaspersky Endpoint Security 將顯⽰⼀條通知，指⽰對裝置的存取被封鎖（請參⾒下圖）。
2. 點擊”請求臨時存取”連接。
這將開啟包含已連線裝置清單的視窗。
3. 在已連線裝置清單中，選取您想要取得其存取權限的裝置。
4. 點擊“產⽣請求存取檔案”。
5. 在“存取持續時間”欄位中，指定您想要存取裝置的時⻑。
6. 將檔案儲存到電腦記憶體中。
結果，帶 *.akey 副檔名的請求存取檔案將下載到電腦記憶體中。使⽤任何可⽤⽅法將裝置請求存取檔案傳送給公司 LAN 管理員。

“裝置控制”通知

管理員如何在管理主控台 (MMC) 中為被封鎖的裝置建立存取⾦鑰

403

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，開啟相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選取“裝置”標籤。
4. 在⽤⼾端電腦清單中，選取其使⽤者需要取得被封鎖裝置臨時存取權限的電腦。
5. 在⽤⼾端電腦的內容功能表中選取在“授予離線模式下的存取權限”項⽬。
6. 在開啟的視窗中選擇“裝置控制”標籤。
7. 點擊“瀏覽”按鈕並下載從使⽤者處收到的請求存取檔案。
您將看到有關使⽤者請求存取的封鎖的裝置的資訊。
8. 如果必要，變更“存取持續時間”設定的值。
預設情況下，“存取持續時間”設定採⽤使⽤者在建立存取請求檔案時指⽰的值。
9. 指定“啟⽤截⽌⽇期”設定的值。
定義使⽤者可透過使⽤提供的存取⾦鑰啟動被封鎖裝置存取權限的時間範圍。
10. 將存取⾦鑰檔案儲存到電腦記憶體中。
管理員如何在 Web 主控台和 Cloud Console 中為被封鎖的裝置建立存取⾦鑰

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 在⽤⼾端電腦清單中，選取其使⽤者需要取得被封鎖裝置臨時存取權限的電腦。
3. 點擊位於電腦清單上⽅的省略號按鈕 (），然後點擊在離線模式下授予對裝置的存取權限按鈕。

4. 在開啟的視窗中，選擇“裝置控制”區域。
5. 點擊“瀏覽”按鈕並下載從使⽤者處收到的請求存取檔案。
您將看到有關使⽤者請求存取的封鎖的裝置的資訊。
6. 如果必要，變更“存取持續時間 (⼩時)”設定的值。
預設情況下，“存取持續時間 (⼩時)”設定採⽤使⽤者在建立存取請求檔案時指⽰的值。
7. 指定可以在裝置上啟動存取⾦鑰的時間段。
定義使⽤者可透過使⽤提供的存取⾦鑰啟動被封鎖裝置存取權限的時間範圍。
8. 將存取⾦鑰檔案儲存到電腦記憶體中。
結果，封鎖的裝置的存取⾦鑰將下載到電腦記憶體中。存取⾦鑰檔案的副檔名為 *.acode。使⽤任何可⽤⽅法將
封鎖的裝置的存取⾦鑰傳送給使⽤者。

使⽤者啟動存取⾦鑰，如下所⽰：404

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取請求”塊中，點擊”請求存取裝置”按鈕。
4. 在開啟的視窗中，點擊“啟動存取⾦鑰”按鈕。
5. 在開啟的視窗中，選擇包含從公司 LAN 管理員處收到的裝置存取⾦鑰的檔案。
這將開啟⼀個視窗，其中包含有關存取條款的資訊。
6. 點擊“確定”。
結果，使⽤者在管理員設定的時間段內獲得對裝置的存取權限。使⽤者獲得存取裝置的全套權限（讀取和寫入）。⾦鑰到期後，對裝置的存取將被封鎖。如果使⽤者需要永久存取裝置，請將裝置新增到受信任清單中。

編輯裝置控制訊息範本當使⽤者嘗試存取被封鎖的裝置時，Kaspersky Endpoint Security 會顯⽰⼀條訊息，說明對該裝置的存取被封
鎖，或封鎖對該裝置內容的操作。如果使⽤者相信對裝置的存取被錯誤地封鎖了，或者對裝置內容的操作被錯誤
封鎖了，使⽤者可以透過點擊被封鎖操作顯⽰訊息中的連結向公司區域網路管理員傳送訊息。
使⽤者可以使⽤範本來撰寫關於封鎖存取裝置或封鎖對裝置內容執⾏操作的訊息以及傳送給管理員的回報訊息。
您可以修改訊息範本。

若要編輯裝置控制訊息範本，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在“訊息範本”塊中，設定“裝置控制”訊息的範本：
有關封鎖的訊息當使⽤者嘗試存取封鎖的裝置時所顯⽰的訊息的範本。當使⽤者嘗試對被封鎖使⽤的裝置
內容執⾏操作時，也會顯⽰此訊息。
傳送郵件給管理員當使⽤者確信裝置的存取權限或裝置內容操作被錯誤地禁⽌時，傳送給 LAN 管理員的訊
息的範本。在使⽤者請求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中⼼傳送
⼀個事件：傳送給管理員的裝置存取封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視這些事件。如果您
的組織沒有部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤程式將向管理員傳送⼀條訊息到
指定的電⼦郵件信箱。
4. 儲存變更。

橋接防護
橋接防護透過封鎖為⼀台電腦同時建立多個網路連線來禁⽌建立橋接器。這樣可以防護公司網路避免未受防護和
未經授權的網路上的攻擊。
橋接防護透過使⽤連線規則管理網路連線的建立。
405

已針對以下預定義的裝置類型建立連線規則：
網路介⾯卡；
Wi-Fi 介⾯卡；數據機。
如果啟⽤連線規則，Kaspersky Endpoint Security 將：
在建立新連線時封鎖活動連線（如果規則中指定的裝置類型同時⽤於這兩個連線）；
封鎖透過使⽤了較低優先順序規則的裝置類型建立的連線。

啟⽤橋接防護
預設情況下停⽤橋接防護。

要啟⽤橋接防護，請：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”橋接防護”按鈕。
4. 使⽤“啟⽤橋接防護”開關來啟⽤或停⽤此功能。
5. 儲存變更。
啟⽤橋接防護後，Kaspersky Endpoint Security 會按照連線規則封鎖已建立的連線。

變更連線規則的狀態
要變更連線規則的狀態：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”橋接防護”按鈕。
4. 在“裝置的規則”塊中，選擇要變更其狀態的規則。
5. 使⽤“控制“列中的開關來啟⽤或停⽤規則。
6. 儲存變更。

變更連線規則的優先順序406

要變更連線規則的優先順序：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“裝置控制”。
3. 在”存取設定”塊中，點擊”橋接防護”按鈕。
4. 在“裝置的規則”塊中，選擇要變更其優先順序的規則。
5. 使⽤“上移” / “下移”按鈕設定連線規則的優先順序。
規則在規則表中所處位置越⾼，其優先順序就越⾼。除了透過使⽤最⾼級規則的裝置類型所建立的連線外，
橋接防護將封鎖所有連線。
6. 儲存變更。

適應性異常控制
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。
⾃適應異常控制元件會監視並封鎖不是公司網路內電腦典型操作的相關操作。⾃適應異常控制使⽤⼀組規則來偵
錯非典型⾏為（例如，從 O ice 應⽤程式啟動 Microsoft PowerShell 規則）。規則由 Kaspersky 專家根據惡意活
動的典型情景建立。您可以配置“⾃適應異常控制”處理每條規則的⽅式，例如，允許執⾏使某些⼯作流⼯作⾃動化的 PowerShell 指令碼。Kaspersky Endpoint Security 會同時更新規則集和應⽤程式資料庫。規則集的更新必須
⼿動確認。

“⾃適應異常控制”設定
配置“⾃適應異常控制”包括以下步驟：1. 訓練“⾃適應異常控制”。
啟⽤“⾃適應異常控制”後，其規則在訓練模式下⼯作。在訓練期間，“⾃適應異常控制”監控規則觸發並將觸發事件傳送到卡巴斯基安全管理中⼼。每條規則都有⾃⼰的訓練模式持續時間。訓練模式持續時間由 Kaspersky專家設定。通常，訓練模式保持活動兩周。
如果在訓練期間某條規則完全未觸發，“⾃適應異常控制”會將與此規則關聯的操作視為非典型操作。
Kaspersky Endpoint Security 將封鎖與該規則相關的所有操作。
如果在訓練期間觸發了某條規則，Kaspersky Endpoint Security 會將事件記錄在規則觸發報告和“智慧培訓狀
態中的規則觸發”儲存區中。
2. 分析規則觸發報告。
管理員分析規則觸發報告或者“智慧培訓狀態中的規則觸發”儲存區的內容。然後管理員可以選取在觸發規則時“⾃適應異常控制”的⾏為：封鎖或允許。管理員還可以繼續監控規則的⼯作⽅式並延⻑訓練模式的持續時間。
如果管理員未採取任何操作，應⽤程式也將繼續在訓練模式下⼯作。訓練模式期限重新開始。
“⾃適應異常控制”為即時配置。“⾃適應異常控制”透過以下通道配置：“⾃適應異常控制”⾃動開始封鎖與從未在訓練模式中觸發的規則相關聯的操作。
Kaspersky Endpoint Security 新增新規則或刪除過時規則。
407

管理員在檢視規則觸發報告和“智慧培訓狀態中的規則觸發”儲存區的內容後配置“⾃適應異常控制”的操作。建議檢查規則觸發報告和“智慧培訓狀態中的規則觸發”儲存區的內容。
當惡意應⽤程式嘗試執⾏操作時，Kaspersky Endpoint Security 將封鎖該操作並顯⽰通知（請參⾒下圖）。

“⾃適應異常控制”通知“⾃適應異常控制”操作演算法
Kaspersky Endpoint Security 根據以下演算法決定是允許還是封鎖與某條規則關聯的操作（請參⾒下圖）。

“⾃適應異常控制”操作演算法

408

啟⽤和停⽤⾃適應異常控制
預設啟⽤適應性異常控制。

要啟⽤或停⽤適應性異常控制：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。
3. 使⽤“⾃適應異常控制“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
因此，適應性異常控制將切換到訓練模式。在訓練期間，適應性異常控制會監控規則觸發。訓練完成後，適應性異常控制開始封鎖公司網路中電腦的非典型⾏為。

如果您的組織已經開始使⽤⼀些新⼯具，並且適應性異常控制封鎖了這些⼯具的動作，您可以重設培訓模式的結果並重複訓練。為此，您需要變更觸發規則時採取的動作（例如，將其設定為 通知）。然後您需要重新啟⽤訓練模式（設定 智慧 值）。

啟⽤和停⽤適應性異常控制規則
要停⽤或啟⽤適應性異常控制規則：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。
3. 在”規則”塊中，點擊”編輯規則”按鈕。
“適應性異常控制規則”清單將開啟。
4. 在表中，選擇⼀組規則（例如O ice 應⽤程式的活動）並展開。
5. 選擇⼀個規則（例如 從 O ice 應⽤程式啟動 Microsoft PowerShell）。
6. 使⽤“狀態“列中的切換開關來啟⽤或停⽤⾃適應異常控制規則。
7. 儲存變更。

在適應性異常控制規則觸發時變更執⾏的操作
要編輯觸發適應性異常控制規則時執⾏的操作：
1. 在“應⽤程式主視窗”中，點擊

按鈕。
409

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。
3. 在”規則”塊中，點擊”編輯規則”按鈕。
“適應性異常控制規則”清單將開啟。
4. 在表中選擇⼀個規則。
5. 單擊“編輯”。
“適應性異常控制規則屬性”視窗將開啟。
6. 在“操作”區域，選取以下選項之⼀：
智慧如果選取此選項，⾃適應異常控制規則在 Kaspersky 專家定義的時間段內以智慧訓練狀態⼯作。在此模式下，當觸發⾃適應異常控制規則時，Kaspersky Endpoint Security 允許規則涵蓋的活動，並在卡巴斯基安全管理中⼼管理伺服器的“智慧培訓狀態中的規則觸發”儲存中記錄項⽬。當為智慧訓練狀態下的⼯作
設定的時間段結束後，Kaspersky Endpoint Security 將封鎖⾃適應異常控制規則覆蓋的活動，並記錄包含
活動相關資訊的項⽬。
封鎖如果選取此操作，當觸發適應性異常控制規則時，Kaspersky Endpoint Security 將封鎖規則覆蓋的活動，並記錄包含活動資訊的項⽬。
通知如果選取此操作，當觸發適應性異常控制規則時，Kaspersky Endpoint Security 將允許規則覆蓋的活動，並記錄包含活動資訊的項⽬。
7. 儲存變更。

建立適應性異常控制規則的排除項⽬
您無法為適應性異常控制規則建立超過 1000 個排除項⽬。不建議建立超過 200 個排除項⽬。要減少使⽤的排除項⽬數量，建議在排除項⽬設定中使⽤遮罩。
適應性異常控制規則的排除項⽬包括來源物件和⽬的物件的說明。來源物件是執⾏操作的物件。⽬的物件是被執⾏操作的物件。例如，您開啟了⼀個名為 file.xlsx 的檔案。結果，⼀個帶 DLL 副檔名的庫檔案載入到電腦記憶體中。該庫被瀏覽器（名為 browser.exe 的可執⾏檔）使⽤。在此⽰例中，file.xlsx 是來源物件，Excel
是來源處理程序，browser.exe 是⽬的物件，Browser 是⽬的處理程序。

要為適應性異常控制規則建立排除項⽬：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。
3. 在”規則”塊中，點擊”編輯規則”按鈕。
“適應性異常控制規則”清單將開啟。
4. 在表中選擇⼀個規則。
5. 單擊“編輯”。
“適應性異常控制規則屬性”視窗將開啟。
6. 在”排除項⽬”塊中，點擊”新增”按鈕。
410

排除項⽬屬性視窗將開啟。
7. 選取要為其配置排除項⽬的使⽤者。
“⾃適應異常控制”不⽀援使⽤者群組的排除項⽬。如果選擇了使⽤者群組，Kaspersky Endpoint Security
不會套⽤排除項⽬。
8. 在”描述”欄位中輸入排除項⽬的描述。
9. 定義來源物件的設定或該物件啟動的來源處理程序的設定：
來源處理程序檔案或包含檔案的資料夾的路徑或遮罩（例如，С:\Dir\File.exe 或 Dir\*.exe）。
來源處理程序雜湊檔案雜湊碼。
來源物件。檔案或包含檔案的資料夾的路徑或遮罩（例如，С:\Dir\File.exe 或 Dir\*.exe）。例如，檔案路徑 document.docm，它使⽤指令碼或巨集來啟動⽬的處理程序。
您還可以指定要排除的其他物件，如 Web 位址、巨集、命令列中的指令、登錄檔路徑等等。按照以下範
本指定物件：object://<object>，其中 <object> 指物件的名稱，例如object://web.site.example.com、object://VBA、object://ipconfig、
object://HKEY_USERS。您也可以使⽤遮罩，例如，object://*C:\Windows\temp\*。
來源物件雜湊檔案雜湊碼。
適應性異常控制規則不適⽤於該物件執⾏的操作或該物件啟動的處理程序。
10. 指定⽬的物件的設定或對該物件啟動的⽬的處理程序的設定。
⽬標處理程序檔案或包含檔案的資料夾的路徑或遮罩（例如，С:\Dir\File.exe 或 Dir\*.exe）。
⽬標處理程序雜湊檔案雜湊碼。
⽬標物件⽤於啟動⽬的處理程序的指令。使⽤模式 object://<command> 指定指令，例如，
object://cmdline:powershell -Command "$result ='C:\Windows\temp\result_local_users_pwdage txt'"。您也可以使⽤遮罩，例如，
object://*C:\Windows\temp\*。
⽬標物件雜湊檔案雜湊碼。
適應性異常控制規則不適⽤於對該物件執⾏的操作或對該物件啟動的處理程序。
11. 儲存變更。

匯出和匯入適應性異常控制規則排除項⽬要匯出或匯入所選規則的排除項⽬清單：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。

411

3. 在”規則”塊中，點擊”編輯規則”按鈕。
“適應性異常控制規則”清單將開啟。
4. 要匯出規則清單：
a. 選取您想要匯出其例外的規則。
b. 單擊“匯出”。
c. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
e. 儲存檔案。
5. 要匯入規則清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
6. 儲存變更。

更新適應性異常控制規則
可以將新的適應性異常控制規則新增到規則表中，並且可以在更新病毒資料庫時從規則表中刪除現有適應性異常控制規則。如果尚未應⽤這些規則的更新，Kaspersky Endpoint Security 會區分要刪除或新增到表中的適應性異
常控制規則。
在應⽤更新之前，Kaspersky Endpoint Security 會顯⽰要由規則表中的更新刪除的適應性異常控制規則集，並為其分配“已停⽤”狀態。不能變更這些規則的設定。

要更新適應性異常控制規則：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。
3. 在”規則”塊中，點擊”編輯規則”按鈕。
“適應性異常控制規則”清單將開啟。
4. 在開啟的視窗中，點擊“批准更新”按鈕。
如果適應性異常控制規則的更新可⽤，則“批准更新”按鈕可⽤。
5. 儲存變更。

412

編輯適應性異常控制訊息範本當使⽤者嘗試執⾏被適應性異常控制規則封鎖的操作時，Kaspersky Endpoint Security 會顯⽰⼀條訊息，提⽰封
鎖了可能有害的操作。如果使⽤者認為該應⽤程式被錯誤地封鎖，使⽤者可使⽤訊息文字中的連結向公司區域網
路管理員傳送訊息。
系統為關於封鎖可能有害的操作的訊息和要傳送給管理員的訊息提供了特殊範本。您可以修改訊息範本。

若要編輯訊息範本，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“⾃適應異常控制”。
3. 在“範本“塊中，設定⾃適應異常控制訊息範本：
有關封鎖的訊息當封鎖非典型操作的⾃適應異常控制規則觸發時，顯⽰給使⽤者的訊息的範本。
傳送郵件給管理員當使⽤者認為封鎖是錯誤的時可以傳送給本機公司網路系統管理員的訊息的範本。在使
⽤者請求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中⼼傳送⼀個事件：傳送給管理員的應⽤程式活動封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可以
使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視這些事件。如果您的組織沒有
部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤程式將向管理員傳送⼀條訊息到指定的電⼦
郵件信箱。
4. 儲存變更。

檢視適應性異常控制報告
要檢視適應性異常控制報告：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → ⾃適應異常控制”。
“適應性異常控制”元件的設定顯⽰在視窗右側。
5. 請執⾏以下操作之⼀：
如果要檢視有關適應性異常控制規則設定的報告，請點擊“⾃適應異常控制規則狀態報告”按鈕。
如果要檢視有關適應性異常控制規則觸發的報告，請點擊“已觸發的⾃適應異常控制規則報告”。
6. 報告建立過程將開始。
此報告將顯⽰在新視窗中。

413

應⽤程式控制“應⽤程式控制”管理使⽤者電腦上的應⽤程式啟動。這允許您在使⽤應⽤程式時實⾏公司安全政策。“應⽤程式控制”還透過限制對應⽤程式的存取來降低電腦感染的風險。
設定“應⽤程式控制”包括以下步驟：
1. 建立應⽤程式類別。
管理員建立管理員想要管理的應⽤程式類別。應⽤程式類別適⽤於公司網路中的所有電腦，與管理群組無關。要建立類別，可以使⽤以下條件：KL 類別（例如，瀏覽器）、檔案雜湊、應⽤程式供應商和其他條件。
2. 建立應⽤程式控制規則。
管理員在管理群組的政策中建立應⽤程式控制規則。該規則包括應⽤程式類別和這些類別中的應⽤程式啟動
狀態：已封鎖或已允許。
3. 選取應⽤程式控制模式。
管理員選取對未包含在以下任何規則中之應⽤程式的處理模式（應⽤程式拒絕清單和允許清單）。
當使⽤者嘗試啟動已禁⽌的應⽤程式時，Kaspersky Endpoint Security 將封鎖該應⽤程式啟動並顯⽰通知（請參⾒下圖）。
系統提供了⼀種測試模式來檢查“應⽤程式控制”的設定。在此模式下，Kaspersky Endpoint Security 會執⾏以下操作：
允許啟動應⽤程式，包括已禁⽌的應⽤程式。
顯⽰有關已禁⽌之應⽤程式啟動的通知，並將資訊新增到使⽤者電腦上的報告中。
將有關已禁⽌之應⽤程式啟動的資料傳送到卡巴斯基安全管理中⼼。

“應⽤程式控制”通知“應⽤程式控制”執⾏模式“應⽤程式控制”元件可在兩種模式下執⾏：拒絕清單在此模式下，“應⽤程式控制”允許使⽤者啟動除了應⽤程式控制規則中禁⽌的應⽤程式以外的所有應⽤程式。
預設情況下，會啟⽤“應⽤程式控制”此⼀模式。
414

允許清單在此模式下，“應⽤程式控制”會封鎖使⽤者啟動除了應⽤程式控制規則中允許和未禁⽌的應⽤程式以外的所有應⽤程式。
如果完整設定了“應⽤程式控制”的允許規則，則該元件將封鎖啟動所有未經區域網路管理員驗證的新應⽤程式，同時允許執⾏使⽤者在⼯作中依賴的作業系統和受信任應⽤程式。
您可以閱讀有關在允許清單模式下設定應⽤程式控制規則的建議。
可以使⽤ Kaspersky Endpoint Security 本機介⾯和卡巴斯基安全管理中⼼將“應⽤程式控制”設定為在這些模式下執⾏。
但是，卡巴斯基安全管理中⼼提供了在 Kaspersky Endpoint Security 本機介⾯中不可使⽤的⼯具，例如以下⼯作
所需的⼯具：
建立應⽤程式類別。
在卡巴斯基安全管理中⼼管理主控台中建的應⽤程式控制規則，以您的⾃訂的應⽤程式類別為主，⽽不是以
像 Kaspersky Endpoint Security 本機介⾯中的包含和排除條件為主。
接收有關安裝在公司區域網路電腦上的應⽤程式資訊。
因此，建議使⽤卡巴斯基安全管理中⼼設定“應⽤程式控制”元件的執⾏。

“應⽤程式控制”執⾏演算法
Kaspersky Endpoint Security 使⽤算法來決定是否啟動應⽤程式（請參⾒下圖）。

415

“應⽤程式控制”執⾏演算法

應⽤程式控制功能限制在以下情況中“應⽤程式控制”元件的執⾏受到限制：
應⽤程式版本升級時，不⽀援匯入“應⽤程式控制”元件設定。
如果沒有與 KSN 伺服器連線，則 Kaspersky Endpoint Security 將僅從本機資料庫中接收關於應⽤程式及其模組信譽的資訊。
Kaspersky Endpoint Security 指定為 KL 類別“其他程式/根據 KSN 信譽受信任的其他應⽤程式可能因是否
連線到 KSN 伺服器⽽不同。
在卡巴斯基安全管理中⼼資料庫中可以儲存 150,000 份已處理檔案的資訊。⼀旦達到這⼀數量的記錄，新的檔
案將不會被處理。要還原清單操作，您必須從安裝了 Kaspersky Endpoint Security 的電腦上刪除之前存在卡巴
斯基安全管理中⼼資料庫中的檔案。
此元件不會控制指令碼的啟動，除非透過命令列將指令碼傳送給解譯器。
如果應⽤程式控制規則允許解譯器的啟動，則此元件將不會封鎖從此解譯器啟動指令碼。

如果應⽤程式控制規則從⼀開始就封鎖解譯器命令列中指定的⾄少⼀個指令碼，該元件將封鎖解譯器命
令列中指定的所有指令碼。
此元件不會封鎖從不受 Kaspersky Endpoint Security ⽀援的解譯器啟動指令碼。
Kaspersky Endpoint Security ⽀援以下解譯器：
JavaPowerShell
⽀援以下類型的解譯器：%ComSpec%;%SystemRoot%\\system32\\regedit.exe;%SystemRoot%\\regedit.exe;%SystemRoot%\\system32\\regedt32.exe;%SystemRoot%\\system32\\cscript.exe;%SystemRoot%\\system32\\wscript.exe;%SystemRoot%\\system32\\msiexec.exe;%SystemRoot%\\system32\\mshta.exe;
416

%SystemRoot%\\system32\\rundll32.exe;%SystemRoot%\\system32\\wwahost.exe;%SystemRoot%\\syswow64\\cmd.exe;%SystemRoot%\\syswow64\\regedit.exe;%SystemRoot%\\syswow64\\regedt32.exe;%SystemRoot%\\syswow64\\cscript.exe;%SystemRoot%\\syswow64\\wscript.exe;%SystemRoot%\\syswow64\\msiexec.exe;%SystemRoot%\\syswow64\\mshta.exe;%SystemRoot%\\syswow64\\rundll32.exe;%SystemRoot%\\syswow64\\wwahost.exe.

接收有關安裝在使⽤者電腦上的應⽤程式的資訊
要建立優化的應⽤程式控制規則，建議⾸先思考⼀下公司 LAN 中電腦上使⽤的應⽤程式。若要執⾏操作，您可
以獲得以下資訊：
格式區域網路電腦上使⽤的應⽤程式供應商、版本和中文化語⾔。
程式更新頻率。
公司中所使⽤的應⽤程式使⽤政策（這可能是安全性政策或管理政策）。
應⽤程式分發套件的儲存位置。
有關在公司區域網路電腦上使⽤的應⽤程式的資訊可在“應⽤程式登錄資料”資料夾和“可執⾏檔”資料夾中找到。
“應⽤程式登錄資料”資料夾和“可執⾏檔”資料夾位於卡巴斯基安全管理中⼼主控台樹狀⽬錄中的“應⽤程式管理”資料夾中。
“應⽤程式登錄資料”資料夾包含在⽤⼾端電腦上安裝的網路代理 所偵測到的應⽤程式清單。
“可執⾏檔”資料夾包含曾經在⽤⼾端電腦上啟動的或者在 Kaspersky Endpoint Security 清單⼯作中偵測到的可執⾏檔的清單。
要檢視該應⽤程式及其可執⾏檔的⼀般資訊以及安裝了該應⽤程式的電腦的清單，請開啟在“應⽤程式登錄資料”
資料夾或“可執⾏檔”資料夾中選取的應⽤程式的內容視窗。

要在“應⽤程式登錄資料”資料夾中開啟應⽤程式內容視窗：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄中，選取“附加 → 應⽤程式管理 → 應⽤程式登錄資料”。

417

3. 選取應⽤程式。
4. 在應⽤程式的內容功能表中，選取“內容”。

要開啟“可執⾏檔”資料夾中的可執⾏檔的內容視窗：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄中，選取“附加 → 應⽤程式管理 → 可執⾏檔”資料夾。
3. 選取可執⾏檔。
4. 在可執⾏檔的內容功能表中，選擇“內容”。

啟⽤和停⽤應⽤程式控制
預設情況下，已停⽤應⽤程式控制。

要啟⽤或停⽤“應⽤程式控制”：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 使⽤“應⽤程式控制“切換開關可啟⽤或停⽤元件。
4. 儲存變更。
因此，如果啟⽤了“應⽤程式控制”，則應⽤程式會將有關正在執⾏的可執⾏檔的資訊轉發到卡巴斯基安全管理
中⼼。您可以在卡巴斯基安全管理中⼼的“可執⾏檔”資料夾中檢視正在執⾏的可執⾏檔的清單。要接收有關所有可執⾏檔⽽不是僅執⾏的可執⾏檔的資訊，請執⾏清查⼯作 。

選取應⽤程式控制模式
要選取應⽤程式控制模式：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 在“應⽤程式啟動控制模式”區域，選取以下選項之⼀：
已封鎖的應⽤程式如果選擇此選項，應⽤程式控制將允許所有使⽤者啟動所有應⽤程式，符合應⽤程式控制封鎖規則的應⽤程式除外。
允許的應⽤程式如果選擇此選項，應⽤程式控制將封鎖所有使⽤者啟動任何應⽤程式，符合應⽤程式控制
允許規則的應⽤程式除外。

418

最初為“允許清單”模式定義了“黃⾦映像“規則和”信任的更新程式“規則。這些應⽤程式控制規則對應於KL 類別。“黃⾦映像”KL 類別包含確保作業系統正常執⾏的程式。”信任的更新程式”KL類別包含最具信譽的軟體廠商的更新程式。您無法刪除這些規則。這些規則的設定無法編輯。預設情況下，啟⽤“黃⾦映像”規則，停⽤“信任的更新程式”規則。所有使⽤者允許啟動比對這些規則的觸發條件的應⽤程式。
選定模式期間建立的所有規則將在模式變更後儲存，以便可以再次使⽤這些規則。要還原回使⽤這些規則，
您要做的就是選擇必要的模式。
4. 在“啟動被規則封鎖的應⽤程式時的動作”塊中，選取使⽤者嘗試啟動應⽤程式控制規則封鎖的應⽤程式時元件
要執⾏的操作。
5. 如果您希望 Kaspersky Endpoint Security 在使⽤者啟動應⽤程式時監控載入 DDL 模組，則選取“控制 DLL 模組負載”核取⽅塊。
有關模組和載入模組的應⽤程式的資訊將儲存⾄報告。
Kaspersky Endpoint Security 僅監控⾃選中核取⽅塊後載入的 DLL 模組和驅動程式。如果您希望 Kaspersky
Endpoint Security 監控所有 DLL 模組和驅動程式（包括在 Kaspersky Endpoint Security 啟動之前載入的 DLL
模組和驅動程式），請在選中核取⽅塊後重新啟動電腦。
當啟⽤對載入 DLL 模組和驅動程式的控制時，請確保在“應⽤程式控制”設定中已啟⽤以下規則之⼀：預設
黃⾦映像規則或其他包含受信任憑證 KL 類別的規則，並確保在啟動 Kaspersky Endpoint Security 之前載
入受信任的 DLL 模組和驅動程式。如果在停⽤“黃⾦映像”規則時啟⽤對載入 DLL 模組和驅動程式的控制，可能導致作業系統不穩定。

建議在配置應⽤程式設定時開啟密碼防護，這樣可以從⼀開始就關閉會封鎖關鍵 DLL 模組和驅動程式的規則，⽽無需修改卡巴斯基安全管理中⼼政策設定。
6. 儲存變更。

管理應⽤程式控制規則
Kaspersky Endpoint Security 根據規則按照使⽤者控制應⽤程式的啟動。應⽤程式控制規則指定觸發條件以及條件被觸發時“應⽤程式控制”元件指定的操作（使⽤者允許或封鎖應⽤程式啟動）。

規則觸發條件觸發規則的條件具有以下相關性：“條件類型 - 條件標準 - 條件值”。根據規則觸發條件，Kaspersky Endpoint
Security 將對應⽤程式應⽤（或不應⽤）規則。
規則中使⽤以下類型的條件：

包含條件。如果應⽤程式比對⾄少⼀個包括條件，Kaspersky Endpoint Security 會將規則應⽤⾄此應⽤程式。
排除條件。如果應⽤程式比對⾄少⼀個排除條件並且不比對任何包括條件，Kaspersky Endpoint Security 不會將規則套⽤⾄此應⽤程式。

規則觸發條件使⽤標準進⾏建立。Kaspersky Endpoint Security 中使⽤以下標準建立規則：
應⽤程式可執⾏檔所在資料夾的路徑。
419檔案內容（應⽤程式可執⾏檔名稱、磁碟上應⽤程式的可執⾏檔名稱、應⽤程式可執⾏檔的版本、應⽤程式
名稱以及應⽤程式供應商）。
應⽤程式可執⾏檔的雜湊值 。
憑證：發佈者、主題、指紋。
應⽤程式是否屬於某 KL 類別。
卸除式磁碟機上應⽤程式可執⾏檔的位置。
必須為條件中使⽤的每個標準制定標準值。如果要啟動的應⽤程式參數符合包括條件中指定的標準值，則觸發規則。在這種情況下，“應⽤程式控制”將執⾏規則中指定的操作。如果應⽤程式參數比對排除條件中指定的值，“應⽤程式控制”不會控制應⽤程式的啟動。
如果您選擇了⼀個憑證作為規則觸發條件，則需要確保該憑證已被新增⾄電腦上的受信任系統儲存，並檢查
應⽤程式中的受信任系統儲存使⽤設定。

觸發規則後由“應⽤程式控制”元件作出決定。
觸發操作後，“應⽤程式控制”將允許使⽤者（或使⽤者群組）啟動應⽤程式或封鎖啟動。您可以選取允許或不允
許比對規則的應⽤程式啟動的使⽤者或使⽤者群組。
如果⼀個規則未指定那些被允許啟動符合此規則的應⽤程式使⽤者，則此規則稱為“封鎖”規則。
如果⼀個規則未指定任何不允許啟動符合此規則的應⽤程式使⽤者，則此規則稱為“允許”規則。
封鎖規則的優先等級⾼於允許規則的優先等級。例如，如果已經為⼀個使⽤者群組指定應⽤程式控制允許規則，
但也為此使⽤者群組中的使⽤者指定⼀個應⽤程式控制封鎖規則，則此使⽤者將被封鎖啟動應⽤程式。

規則的執⾏狀態
應⽤程式控制規則可為以下兩個狀態值之⼀：已啟⽤此狀態表⽰在“應⽤程式控制”元件執⾏時使⽤該規則。
已停⽤此狀態表⽰在“應⽤程式控制”元件執⾏時略過該規則。
測試模式此狀態表⽰ Kaspersky Endpoint Security 允許啟動套⽤了規則的應⽤程式，但會在報告中記錄與啟動
此類別應⽤程式有關的資訊。

為應⽤程式控制規則新增觸發條件
您可以建立應⽤程式類別，以便建立應⽤程式控制規則。
建議您建立涵蓋公司內所使⽤的標準應⽤程式集的“⼯作應⽤程式”類別。如果⼯作中不同的使⽤者群組使⽤不同
的應⽤程式集，則可以為每個使⽤者群組建立單獨的應⽤程式類別。

要在管理主控台中建立應⽤程式類別：420

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在樹狀⽬錄狀管理主控台中，選取“附加 → 應⽤程式管理 → 應⽤程式類別”資料夾。
3. 在⼯作區中點擊“新類別”按鈕。
使⽤者類別建立精靈將啟動。
4. 請按照使⽤者類別建立精靈的指⽰操作。

步驟 1. 選擇類別類型
在此步驟中，選擇以下應⽤程式類別之⼀：
包含⼿動新增內容的類別。如果選擇此類型的類別，您可以在“配置將應⽤程式包括在類別中的條件”步驟和
“配置將應⽤程式從類別中排除的條件”步驟中定義將可執⾏檔包括到類別中所依據的標準。
包含選定裝置的可執⾏檔的類別。如果選擇此類型的類別，您可以在“設定”步驟中指定將⾃動包括在此類別中
的可執⾏檔所屬的電腦。
包括特定資料夾中的可執⾏檔的類別。如果選擇此類型的類別，您可以在“儲存區資料夾”步驟中指定將⾃動包
括在類別中的可執⾏檔所來⾃的資料夾。
建立包含⾃動新增內容的類別時，卡巴斯基安全管理中⼼對以下格式的檔案執⾏清查：EXE, COM, DLL, SYS,
BAT, PS1, CMD, JS, VBS, REG, MSI, MSC, CPL, HTML, HTM, DRV, OCX 和 SCR。

步驟 2. 輸入使⽤者類別名稱
在此步驟中，為應⽤程式類別指定⼀個名稱。

步驟 3. 配置將應⽤程式包括在類別中的條件
如果您選擇“包含⼿動新增內容的類別”類別類型，此步驟可⽤。
在此步驟中，在“新增”下拉清單中選取⽤於將應⽤程式包括到類別中的條件：
從可執⾏檔清單。將⽤⼾端裝置上的可執⾏檔清單中的應⽤程式新增到⾃訂類別。
透過檔案內容。指定可執⾏檔的詳細資料，作為將應⽤程式新增到⾃訂類別的條件。
資料夾內檔案的中繼資料。選擇⽤⼾端裝置上包含可執⾏檔的資料夾。卡巴斯基安全管理中⼼會將這些可執⾏檔的中繼資料作為將應⽤程式新增到⾃訂類別的條件。
資料夾中檔案的總和檢查碼。選擇⽤⼾端裝置上包含可執⾏檔的資料夾。卡巴斯基安全管理中⼼會將這些可
執⾏檔的雜湊值作為將應⽤程式新增到⾃訂類別的條件。
文件夾檔案的憑證。選擇⽤⼾端裝置上包含帶憑證簽章的可執⾏檔的資料夾。卡巴斯基安全管理中⼼會將這些可執⾏檔的憑證作為將應⽤程式新增到⾃訂類別的條件。

421

不建議使⽤其內容中未指定憑證指紋參數的條件。
MSI 安裝檔案的檔案內容。選取 MSI 套件。卡巴斯基安全管理中⼼會將 MSI 套件內封裝的可執⾏檔的中繼資
料作為將應⽤程式新增到⾃訂類別的條件。
應⽤程式的 MSI 安裝程式的檔案核對總和。選取 MSI 套件。卡巴斯基安全管理中⼼會將此 MSI 套件內封裝的可執⾏檔的雜湊值作為將應⽤程式新增到⾃訂類別的條件。
從 KL 類別。指定 KL 類別作為將應⽤程式新增到⾃訂類別的條件。KL 類別是具有相同主旨內容的應⽤程式清單。該清單由 Kaspersky 專家維護。例如，”O ice 應⽤程式”KL 類別就包含了 Microsoft O ice 套裝的所有應
⽤程式、Adobe Acrobat 和其他應⽤程式。
您可以選擇所有 KL 類別來⽣成受信任應⽤程式的延伸清單。
指定應⽤程式路徑。選擇⽤⼾端裝置上的資料夾。卡巴斯基安全管理中⼼會將此資料夾下的可執⾏檔新增到
⾃訂類別。
從儲存區選擇憑證。選取⽤來對可執⾏檔簽章的憑證作為將應⽤程式新增到⾃訂類別的條件。
不建議使⽤其內容中未指定憑證指紋參數的條件。
磁碟機類型。指定儲存裝置類型（所有硬碟磁碟機和卸除式磁碟機，或者僅限卸除式磁碟機）作為將應⽤程式新增到⾃訂類別的條件。

步驟 4. 配置將應⽤程式從類別中排除的條件
如果您選擇“包含⼿動新增內容的類別”類別類型，此步驟可⽤。

在此步驟指定的應⽤程式將從類別中排除，即使在“配置將應⽤程式包括在類別中的條件”步驟指定了這些應
⽤程式。
在此步驟中，在“新增”下拉清單中選取⽤於將應⽤程式從類別中排除的條件：
從可執⾏檔清單。將⽤⼾端裝置上的可執⾏檔清單中的應⽤程式新增到⾃訂類別。
透過檔案內容。指定可執⾏檔的詳細資料，作為將應⽤程式新增到⾃訂類別的條件。
資料夾內檔案的中繼資料。選擇⽤⼾端裝置上包含可執⾏檔的資料夾。卡巴斯基安全管理中⼼會將這些可執⾏檔的中繼資料作為將應⽤程式新增到⾃訂類別的條件。
資料夾中檔案的總和檢查碼。選擇⽤⼾端裝置上包含可執⾏檔的資料夾。卡巴斯基安全管理中⼼會將這些可
執⾏檔的雜湊值作為將應⽤程式新增到⾃訂類別的條件。
文件夾檔案的憑證。選擇⽤⼾端裝置上包含帶憑證簽章的可執⾏檔的資料夾。卡巴斯基安全管理中⼼會將這些可執⾏檔的憑證作為將應⽤程式新增到⾃訂類別的條件。
MSI 安裝檔案的檔案內容。選取 MSI 套件。卡巴斯基安全管理中⼼會將 MSI 套件內封裝的可執⾏檔的中繼資
料作為將應⽤程式新增到⾃訂類別的條件。

422

應⽤程式的 MSI 安裝程式的檔案核對總和。選取 MSI 套件。卡巴斯基安全管理中⼼會將此 MSI 套件內封裝的可執⾏檔的雜湊值作為將應⽤程式新增到⾃訂類別的條件。
從 KL 類別。指定 KL 類別作為將應⽤程式新增到⾃訂類別的條件。KL 類別是具有相同主旨內容的應⽤程式清單。該清單由 Kaspersky 專家維護。例如，”O ice 應⽤程式”KL 類別就包含了 Microsoft O ice 套裝的所有應
⽤程式、Adobe Acrobat 和其他應⽤程式。
您可以選擇所有 KL 類別來⽣成受信任應⽤程式的延伸清單。
指定應⽤程式路徑。選擇⽤⼾端裝置上的資料夾。卡巴斯基安全管理中⼼會將此資料夾下的可執⾏檔新增到
⾃訂類別。
從儲存區選擇憑證。選取⽤來對可執⾏檔簽章的憑證作為將應⽤程式新增到⾃訂類別的條件。
磁碟機類型。指定儲存裝置類型（所有硬碟磁碟機和卸除式磁碟機，或者僅限卸除式磁碟機）作為將應⽤程式新增到⾃訂類別的條件。

步驟 5. 設定
如果您選取“包含選定裝置的可執⾏檔的類別”類別類型，此步驟可⽤。
在此步驟中，點擊“新增”按鈕，指定將由卡巴斯基安全管理中⼼新增到該應⽤程式類別的可執⾏檔所屬的電腦。
“可執⾏檔”資料夾中指定電腦的所有可執⾏檔都將由卡巴斯基安全管理中⼼新增到此應⽤程式類別。
在此步驟還可以配置以下設定：
雜湊函數計算的演算法。要選擇演算法，您必須選中以下⾄少⼀個核取⽅塊：“為該類別中的檔案計算 SHA-256（在 Kaspersky Endpoint Security 10 Service Pack 2 for Windows 或更
新版本中⽀援）”。
“為該類別中的檔案計算 MD5（在早於 Kaspersky Endpoint Security 10 Service Pack 2 for Windows 的版
本中⽀援）”。
“與管理伺服器儲存區同步資料”核取⽅塊。如果您希望卡巴斯基安全管理中⼼定期清除應⽤程式類別並將“可執⾏檔”資料夾中指定電腦的所有可執⾏檔新增到該類別，請選取該核取⽅塊。
如果清除“與管理伺服器儲存區同步資料”核取⽅塊，卡巴斯基安全管理中⼼在應⽤程式類別建立後不會對其進
⾏任何修改。
“掃描週期（⼩時）”欄位。在這⼀欄位中，您可以指定卡巴斯基安全管理中⼼定期清除應⽤程式類別並將“可執⾏檔”資料夾中指定電腦的所有可執⾏檔新增到該類別的時間間隔（⼩時）。
如果選取“與管理伺服器儲存區同步資料”核取⽅塊，此欄位可⽤。

步驟 6. 儲存庫資料夾
如果您選取“包括來⾃指定資料夾的可執⾏檔的類別”類別類型，此步驟可⽤。
在此步驟中，指定卡巴斯基安全管理中⼼將在其中搜尋可執⾏檔的資料夾，以便⾃動將應⽤程式新增到該應⽤程式類別。
在此步驟還可以配置以下設定：
423

“包含動態連結程式庫 (DLL) 到該類別”核取⽅塊。如果您希望將動態連結程式庫（DLL 檔案）包含在應⽤程式
類別中，請選中此核取⽅塊。
在應⽤程式類別中包含 DLL 檔案可能降低卡巴斯基安全管理中⼼的效能。
“包含指令碼到該類別”核取⽅塊。如果您希望將指令碼包含在應⽤程式類別中，請選中此核取⽅塊。
在應⽤程式類別中包含指令碼可能降低卡巴斯基安全管理中⼼的效能。
雜湊函數計算的演算法。要選擇演算法，您必須選中以下⾄少⼀個核取⽅塊：“為該類別中的檔案計算 SHA-256（在 Kaspersky Endpoint Security 10 Service Pack 2 for Windows 或更
新版本中⽀援）”。
“為該類別中的檔案計算 MD5（在早於 Kaspersky Endpoint Security 10 Service Pack 2 for Windows 的版
本中⽀援）”。
“強制掃描資料夾以尋找變更”核取⽅塊。如果您希望卡巴斯基安全管理中⼼在⽤於⾃動新增到應⽤程式類別的資料夾中定期搜尋可執⾏檔，請選擇此核取⽅塊。
如果清除“強制掃描資料夾以尋找變更”核取⽅塊，卡巴斯基安全管理中⼼僅在⽤於⾃動新增到應⽤程式類別的資料夾有變更、該資料夾內新增或刪除了檔案時才在該資料夾中搜尋可執⾏檔。
“掃描週期（⼩時）”欄位。在此欄位中，您可以指定卡巴斯基安全管理中⼼在⽤於⾃動新增到應⽤程式類別的資料夾中搜尋可執⾏檔的時間間隔（以⼩時為單位）。
如果選取了“強制掃描資料夾以尋找變更”核取⽅塊，該欄位可⽤。

步驟 7. 建立⾃訂類別結束精靈。

要在應⽤程式介⾯中為應⽤程式控制規則新增觸發條件：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 點擊“已封鎖的應⽤程式”或“允許的應⽤程式”按鈕。
這將開啟應⽤程式控制規則清單。
4. 選取要為其配置觸發條件的規則。
應⽤程式控制規則屬性將開啟。
5. 選擇”條件： N“標籤或”排除項⽬： N“標籤，然後點擊”新增“按鈕。
6. 選擇應⽤程式控制規則的觸發條件：
根據已執⾏過的應⽤程式內容建立條件在正執⾏應⽤程式的清單中，您可以選擇將套⽤應⽤程式控制規則
的應⽤程式。Kaspersky Endpoint Security 還列出了之前在電腦上執⾏的應⽤程式。您需要選擇要⽤於建立⼀個或多個規則觸發條件的條件：檔案雜湊，憑證，KL 類別，檔案內容或檔案或資料夾路徑。

424

條件”KL 類別“。KL 類別是具有相同主旨內容的應⽤程式清單。該清單由 Kaspersky 專家維護。例如，”O ice 應⽤程式”KL 類別就包含了 Microsoft O ice 套裝的所有應⽤程式、Adobe ®Acrobat® 和其他應⽤程式。
⾃訂條件您可以選擇應⽤程式檔案並選擇規則觸發條件之⼀：檔案雜湊，憑證，檔案內容或檔案或資料夾
路徑。
按照檔案磁碟機的條件（卸除式磁碟機）應⽤程式控制規則僅適⽤於在卸除式磁碟機上執⾏的檔案。
來⾃指定資料夾中檔案內容的條件應⽤程式控制規則僅適⽤於指定資料夾中的檔案。您還可以在⼦資料夾
中包含或排除檔案。您需要選擇要⽤於建立⼀個或多個規則觸發條件的條件：檔案雜湊，憑證，KL 類別，
檔案內容或檔案或資料夾路徑。
7. 儲存變更。
新增條件時，請考慮應⽤程式控制的以下特殊注意事項：
Kaspersky Endpoint Security 不⽀援擁有雜湊代碼的 MD5 檔案並且不會基於 MD5 雜湊控制應⽤程式的啟動。
規則觸發條件使⽤了 SHA256 雜湊代碼。
不建議僅將發佈者和主旨標準設定為規則觸發條件。使⽤這些標準不可靠。
如果您在”檔案或資料夾路徑”欄位中使⽤符號連結，建議您解析符號連結以正確操作應⽤程式控制規則。要執⾏此操作，請點擊”解析符號連結”按鈕。

將“可執⾏檔”資料夾中的可執⾏檔新增到應⽤程式類別
在“可執⾏檔”資料夾中，將顯⽰在電腦上的偵測到的可執⾏檔清單。Kaspersky Endpoint Security 在執⾏清查⼯作
後⽣成可執⾏檔清單。

要將“可執⾏檔”資料夾中的可執⾏檔新增到應⽤程式類別：1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄中，選取“附加 → 應⽤程式管理 → 可執⾏檔”資料夾。
3. 在⼯作區中，選擇要新增到應⽤程式類別的可執⾏檔。
4. 右鍵點擊以開啟選定可執⾏檔的內容功能表，然後選取“新增到類別”。
5. 在開啟的視窗中，執⾏以下操作：
在視窗上部，選擇下列選項之⼀：
新增到新的應⽤程式類別。如果您要建立新的應⽤程式類別並向其中新增可執⾏檔，則選擇此選項。
新增到現有應⽤程式類別。如果您要選取現有應⽤程式類別並向其中新增可執⾏檔，則選擇此選項。
在“規則類型”塊中，選取以下選項之⼀：
新增到包含的規則。如果您要建立將可執⾏檔新增到應⽤程式類別的條件，則選擇此選項。
新增到排除的規則。如果您要建立將可執⾏檔從應⽤程式類別排除的條件，則選擇此選項。
425

在“⽤作條件的參數”塊，選取以下選項之⼀：
憑證詳情（或沒有憑證的檔案的 SHA-256 雜湊）。
憑證詳情（沒有憑證的檔案將被略過）。
僅 SHA-256（沒有雜湊的檔案將被略過）。
僅 MD5（停產模式，僅適⽤ Kaspersky Endpoint Security 10 Service Pack 1 版本）。
6. 儲存變更。

將事件相關的可執⾏檔新增到應⽤程式類別
要將與應⽤程式控制事件相關聯的可執⾏檔新增到應⽤程式類別中：1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“管理伺服器”中選取“事件”標籤。
3. 在“事件分類“下拉式清單中，選擇與應⽤程式控制元件的操作相關的事件（檢視“應⽤程式控制”元件的執⾏所產⽣的事件，檢視“應⽤程式控制”元件的測試執⾏所產⽣的事件）。
4. 點擊“執⾏分類”按鈕。
5. 選擇您要將其相關可執⾏檔新增到應⽤程式類別的事件。
6. 右鍵點擊以開啟選定事件的內容功能表，然後選取“新增到類別”。
7. 在開啟的視窗中，配置應⽤程式類別的設定：
在視窗上部，選擇下列選項之⼀：
新增到新的應⽤程式類別。如果您要建立新的應⽤程式類別並向其中新增可執⾏檔，則選擇此選項。
新增到現有應⽤程式類別。如果您要選取現有應⽤程式類別並向其中新增可執⾏檔，則選擇此選項。
在“規則類型”塊中，選取以下選項之⼀：
新增到包含的規則。如果您要建立將可執⾏檔新增到應⽤程式類別的條件，則選擇此選項。
新增到排除的規則。如果您要建立將可執⾏檔從應⽤程式類別排除的條件，則選擇此選項。
在“⽤作條件的參數”塊，選取以下選項之⼀：
憑證詳情（或沒有憑證的檔案的 SHA-256 雜湊）。
憑證詳情（沒有憑證的檔案將被略過）。
僅 SHA-256（沒有雜湊的檔案將被略過）。
僅 MD5（停產模式，僅適⽤ Kaspersky Endpoint Security 10 Service Pack 1 版本）。

426

8. 儲存變更。

新增應⽤程式控制規則
要使⽤卡巴斯基安全管理中⼼新增應⽤程式控制規則：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 應⽤程式控制”。
在視窗右側，顯⽰了“應⽤程式控制”元件的設定。
5. 單擊“新增”。
開啟“應⽤程式控制規則”視窗。
6. 請執⾏以下操作之⼀：
如果要建立新類別：
a. 單擊“建立類別”。
使⽤者類別建立精靈將啟動。
b. 請按照使⽤者類別建立精靈的指⽰操作。
c. 在“類別”下拉清單中，選取所建立的應⽤程式類別。
如果要編輯現有類別：
a. 在“類別”下拉清單中，選取要編輯的已建立的應⽤程式類別。
b. 單擊“內容”。
c. 修改所選應⽤程式類別的設定。
d. 儲存變更。
e. 在“類別”下拉清單中，選取您要依據其建立規則的應⽤程式類別。
7. 在“使⽤者及其權限”表中，點擊“新增”按鈕。
8. 在開啟的視窗中指定您要配置其權限啟動選定類別中應⽤程式的使⽤者和使⽤者群組清單。
9. 在“使⽤者及其權限”表中，執⾏以下操作：
如果您希望允許使⽤者和/或使⽤者群組啟動屬於選定類別的應⽤程式，則選取相關⾏中的“允許”核取⽅塊。
如果您希望封鎖使⽤者和/或使⽤者群組啟動屬於選定類別的應⽤程式，則選取相關⾏中的“拒絕”核取⽅塊。
427

10. 如果您想要沒有出現在“主旨”列中且不屬於“主旨”列指定的使⽤者群組的使⽤者被封鎖啟動屬於所選類別的應
⽤程式，請選擇“拒絕其他使⽤者”核取⽅塊。
11. 如果您希望 Kaspersky Endpoint Security 將選定應⽤程式類別中包括的應⽤程式視為信任更新程式，並且希望
允許它們建立將被允許隨後執⾏的其它可執⾏檔，請選取”信任的更新程式“核取⽅塊。
在轉移 Kaspersky Endpoint Security 設定時，也會轉移信任更新程式建立的可執⾏檔清單。
12. 儲存變更。

要新增應⽤程式控制規則：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 點擊“已封鎖的應⽤程式”或“允許的應⽤程式”按鈕。
這將開啟應⽤程式控制規則清單。
4. 單擊“新增”。
這會開啟“應⽤程式控制規則”設定視窗。
5. 在“⼀般設定”標籤上，定義規則的主要設定：
a. 在“規則名稱”欄位中輸入規則的名稱。
b. 在”描述”欄位中輸入規則的描述。
c. 編譯或編輯允許或不允許其啟動符合規則觸發條件的應⽤程式的使⽤者和/或使⽤者群組的清單。為此，請在“使⽤者及其權限“表中點擊“新增”按鈕。
該規則預設適⽤於所有使⽤者。
如果該表中沒有指定使⽤者，則無法儲存該規則。
d. 在“使⽤者及其權限“表中，使⽤開關定義使⽤者啟動應⽤程式的權限。
e. 如果您想要應⽤程式防⽌滿⾜規則觸發條件的應⽤程式為未列在“使⽤者及其權限”表中和未列在“使⽤者及其權限”表中的使⽤者群組成員的使⽤者執⾏，請選擇“拒絕其他使⽤者”核取⽅塊。
如果清空了“拒絕其他使⽤者”核取⽅塊，則 Kaspersky Endpoint Security 不會控制“使⽤者及其權限”表中未指定的使⽤者以及不屬於“使⽤者及其權限”表中指定使⽤者群組的使⽤者啟動應⽤程式。
f. 如果您想要 Kaspersky Endpoint Security 將符合規則觸發條件的應⽤程式視為信任的更新程式，請選擇”信任的更新程式”核取⽅塊。信任的更新程式是被允許建立其它可執⾏檔的應⽤程式，這些可執⾏檔將被允許
隨後執⾏。
如果⼀個應⽤程式觸發了多個規則，Kaspersky Endpoint Security 將在滿⾜以下條件的情況下設定“信任的更新程式”旗標：
所有規則允許應⽤程式執⾏。
⾄少⼀個規則選擇了”信任的更新程式“核取⽅塊。
428

6. 在”條件： N“標籤上，建立或編輯⽤於觸發規則的包含條件清單。
7. 在”排除項⽬： N “標籤上，建立或編輯⽤於觸發規則的排除條件清單。
在轉移 Kaspersky Endpoint Security 設定時，也會轉移信任更新程式建立的可執⾏檔清單。
8. 儲存變更。

透過卡巴斯基安全管理中⼼變更應⽤程式控制規則的狀態
要在管理主控台中變更應⽤程式控制規則的狀態：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 應⽤程式控制”。
在視窗右側，顯⽰了“應⽤程式控制”元件的設定。
5. 在“狀態”列中，點擊左鍵顯⽰內容功能表，並選擇以下選項之⼀：
啟⽤此狀態表⽰在“應⽤程式控制”元件執⾏時使⽤該規則。
關閉此狀態表⽰在“應⽤程式控制”元件執⾏時略過該規則。
測試此狀態表⽰ Kaspersky Endpoint Security 總是允許啟動套⽤了規則的應⽤程式，但會在報告中記錄與啟動此類別應⽤程式有關的資訊。
6. 儲存變更。

要在應⽤程式介⾯中變更應⽤程式控制規則的狀態：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 點擊“已封鎖的應⽤程式”或“允許的應⽤程式”按鈕。
這將開啟應⽤程式控制規則清單。
4. 在“狀態”列中，開啟內容功能表，並選取以下選項之⼀：
已啟⽤此狀態表⽰在“應⽤程式控制”元件執⾏時使⽤該規則。
已停⽤此狀態表⽰在“應⽤程式控制”元件執⾏時略過該規則。
測試模式此狀態表⽰ Kaspersky Endpoint Security 總是允許啟動套⽤了該規則的應⽤程式，但會在報告中記錄與啟動此類別應⽤程式有關的資訊。
5. 儲存變更。

429匯出和匯入應⽤程式控制規則
您可以將應⽤程式控制規則清單匯出到 XML 檔案。您可以使⽤匯出/匯入功能來備份應⽤程式控制規則清單，或將清單遷移到其他伺服器。
匯出和匯入應⽤程式控制規則時，請記住以下特殊注意事項：
Kaspersky Endpoint Security 僅匯出活動應⽤程式控制模式的規則清單。換句話說，如果應⽤程式控制在拒絕清單模式下運⾏，則 Kaspersky Endpoint Security 將只會匯出此模式的規則。要匯出允許清單模式的規則清單，您需要切換模式並再次執⾏匯出操作。
Kaspersky Endpoint Security 使⽤應⽤程式類別來使應⽤程式控制規則起作⽤。將應⽤程式控制規則清單轉換
到其他伺服器時，還需要轉換應⽤程式類別清單。有關匯出或匯入應⽤程式類別的更多詳細資訊，請參閱卡
巴斯基安全管理中⼼說明 。
如何在管理主控台 (MMC) 中匯出和匯入應⽤程式控制規則清單

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 應⽤程式控制”。
5. 要匯出應⽤程式控制規則清單：
a. 選取您想要匯出的規則。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何規則，則 Kaspersky Endpoint Security 將匯出所有規則。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將規則清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到 XML 檔案。
6. 要匯入應⽤程式控制規則清單：
a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中匯出和匯入應⽤程式控制規則清單430

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”應⽤程式控制”。
5. 點擊”設定規則”連接。
6. 選擇規則清單：應⽤程式拒絕清單或允許清單。
7. 要匯出應⽤程式控制規則清單：
a. 選取您想要匯出的規則。
b. 單擊“匯出”。
c. 確認您只想匯出選定的規則，還是匯出整個清單。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到預設下載資料夾中的 XML 檔案。
8. 要匯入應⽤程式控制規則清單：
a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
9. 儲存變更。

檢視“應⽤程式控制”元件的執⾏所產⽣的事件
要檢視卡巴斯基安全管理中⼼收到的由“應⽤程式控制”元件的執⾏所產⽣的事件：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“管理伺服器”中選取“事件”標籤。
3. 點擊“建立新分類”按鈕。
4. 在開啟的視窗中，轉到“事件”區域。
5. 點擊“全部清除”按鈕。
6. 在“事件”表中選擇“已禁⽌應⽤程式啟動”核取⽅塊。
431

7. 儲存變更。
8. 在“事件分類”下拉清單中選擇建立的集合。
9. 點擊“執⾏分類”按鈕。

檢視有關封鎖的應⽤程式的報告
要檢視有關封鎖的應⽤程式的報告：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“管理伺服器”節點中選取“報告”標籤。
3. 點擊“新增報告範本”按鈕。
“新報告範本精靈”將啟動。
4. 按照“報告範本精靈”的說明進⾏操作。在“選取報告範本類型”步驟中，選取“其他”→“禁⽌的應⽤程式報告”。
完成新報告範本精靈之後，新報告範本將出現在“報告”標籤上。
5. 點擊報告將其開啟。
報告建立過程將開始。此報告將顯⽰在新視窗中。

測試應⽤程式控制規則
要確保應⽤程式控制規則不會封鎖⼯作所需的應⽤程式，建議啟⽤應⽤程式控制規則的測試並在建立新規則後分
析其執⾏。啟⽤應⽤程式控制規則的測試後，Kaspersky Endpoint Security 不會封鎖被“應⽤程式控制”封鎖啟動的
應⽤程式，但是會將有關它們啟動的通知傳送給管理伺服器。
分析應⽤程式控制規則的執⾏需要檢視報告給卡巴斯基安全管理中⼼的已發⽣的應⽤程式控制事件。如果對於電
腦使⽤者⼯作所需的所有應⽤程式，測試模式都不會產⽣封鎖啟動事件，則說明建立了正確的規則。否則，建議您更新已建立的規則的設定，建立附加規則或刪除現有規則。
預設情況下，Kaspersky Endpoint Security 允許啟動所有應⽤程式，但規則禁⽌的應⽤程式除外。

啟⽤和停⽤應⽤程式控制規則測試
要在卡巴斯基安全管理中⼼中啟⽤或停⽤應⽤程式控制規則的測試：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 應⽤程式控制”。
在視窗右側，顯⽰了“應⽤程式控制”元件的設定。

432

5. 在“控制模式”下拉清單中選取以下項之⼀：
拒絕清單如果選擇此選項，應⽤程式控制將允許所有使⽤者啟動所有應⽤程式，符合應⽤程式控制封鎖規則的應⽤程式除外。
允許清單如果選擇此選項，應⽤程式控制將封鎖所有使⽤者啟動任何應⽤程式，符合應⽤程式控制允許規
則的應⽤程式除外。
6. 請執⾏以下操作之⼀：
如果要啟⽤應⽤程式控制規則的測試，請在“動作”下拉式清單中選擇“測試規則“選項。
如果您想要啟⽤應⽤程式控制以管理使⽤者電腦上的應⽤程式的啟動，請在下拉式清單中選擇“套⽤規則”。
7. 儲存變更。

要啟⽤應⽤程式控制規則的測試或為“應⽤程式控制”選擇封鎖操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 點擊“已封鎖的應⽤程式”或“允許的應⽤程式”按鈕。
這將開啟應⽤程式控制規則清單。
4. 在“狀態”列中，選取“測試模式”。
此狀態表⽰ Kaspersky Endpoint Security 總是允許啟動套⽤了該規則的應⽤程式，但會在報告中記錄與啟動此
類別應⽤程式有關的資訊。
5. 儲存變更。
Kaspersky Endpoint Security 不會封鎖被“應⽤程式控制”規則封鎖啟動的應⽤程式，但是會將它們的啟動報告給
管理伺服器。您也可以就在使⽤者的電腦上進⾏規則測試設定通知顯⽰（請⾒下圖）。

測試模式中的“應⽤程式控制”通知檢視有關測試模式下封鎖的應⽤程式的報告
要檢視有關測試模式下封鎖的應⽤程式的報告：433

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“管理伺服器”節點中選取“報告”標籤。
3. 點擊“新增報告範本”按鈕。
“新報告範本精靈”將啟動。
4. 按照“報告範本精靈”的說明進⾏操作。在“選取報告範本類型”步驟中，選取“其他”→“測試模式中禁⽌的應⽤程式報告”。
完成新報告範本精靈之後，新報告範本將出現在“報告”標籤上。
5. 點擊報告將其開啟。
報告建立過程將開始。此報告將顯⽰在新視窗中。

檢視“應⽤程式控制”元件的測試執⾏所產⽣的事件
要檢視卡巴斯基安全管理中⼼收到的應⽤程式控制測試事件：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“管理伺服器”中選取“事件”標籤。
3. 點擊“建立新分類”按鈕。
4. 在開啟的視窗中，轉到“事件”區域。
5. 點擊“全部清除”按鈕。
6. 在“事件”表中選擇“禁⽌應⽤程式在測試模式下啟動”以及“允許應⽤程式在測試模式下啟動”核取⽅塊。
7. 儲存變更。
8. 在“事件分類”下拉清單中選擇建立的集合。
9. 點擊“執⾏分類”按鈕。

應⽤程式活動監控
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。

應⽤程式活動監控是⼀個⽤於即時檢視使⽤者電腦上的應⽤程式活動資訊的⼯具。
使⽤應⽤程式活動監控需要安裝應⽤程式控制和主機入侵防禦元件。如果未安裝這些元件，則應⽤程式活動
監控區域會在應⽤程式主視窗中被隱藏。

要啟動應⽤程式活動監控：434

在應⽤程式主視窗的“正在監控”區域中，點擊“應⽤程式活動監控”圖標。
在此視窗中，有關使⽤者的電腦上的應⽤程式活動的資訊將呈現在三個標籤上：“所有應⽤程式”標籤顯⽰有關電腦上安裝的所有應⽤程式的資訊。
“正在執⾏“標籤即時顯⽰有關每個應⽤程式消耗的電腦資源的資訊。在此標籤中，您還可以繼續配置單個應⽤
程式的權限。
“系統啟動時執⾏”標籤顯⽰作業系統啟動時啟動的應⽤程式的清單。
如果您想要隱藏使⽤者電腦上的應⽤程式活動資訊，您可以限制使⽤者對“應⽤程式活動監控”⼯具的存取權限。
如何使⽤管理主控台 (MMC) 在應⽤程式介⾯中隱藏應⽤程式活動監控

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 介⾯”。
5. 使⽤“隱藏應⽤程式活動監控區域”核取⽅塊授予或者撤銷對⼯具的存取。
6. 儲存變更。
如何使⽤網⾴主控台和雲端主控台在應⽤程式介⾯中隱藏應⽤程式活動監控

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”介⾯”。
5. 使⽤“隱藏應⽤程式活動監控區域”核取⽅塊授予或者撤銷對⼯具的存取。
6. 儲存變更。

為檔案或資料夾建立名稱遮罩的規則檔案或資料夾名稱的遮罩是使⽤通⽤字元對資料夾名稱或檔案名稱和副檔名的表⽰。
您可以使⽤以下⼀般字元建立檔案或資料夾名稱遮罩：435

*（星號）字元，可替換任何字元集合（包括空集合）。例如，C:\*.txt遮罩將包括位於 (C:) 磁碟機上資料
夾和⼦資料夾中所有帶 txt 副檔名的檔案的路徑。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和資料夾
名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶 TXT 副檔名且名
稱由三個字元構成的檔案的路徑。

編輯應⽤程式控制訊息範本
使⽤者嘗試啟動被應⽤程式控制規則封鎖的應⽤程式時，Kaspersky Endpoint Security 會顯⽰訊息，指明該應⽤
程式被封鎖啟動。如果您認為該應⽤程式被錯誤地封鎖啟動，可使⽤訊息內容中的連結向公司區域網路管理員傳送訊息。
針對應⽤程式被封鎖啟動時顯⽰的訊息和傳送給管理員的訊息可使⽤特殊的範本。您可以修改訊息範本。

若要編輯訊息範本，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“應⽤程式控制”。
3. 在“有關應⽤程式封鎖的訊息範本”塊中，設定“應⽤程式控制”訊息的範本：
有關封鎖的訊息當觸發了某個封鎖應⽤程式啟動的應⽤程式控制規則時所顯⽰的訊息範本。已封鎖的應⽤
程式通知顯⽰在下圖中。
您無法在“測試模式”中設定應⽤程式控制的訊息範本。測試模式中的應⽤程式控制會顯⽰預設通知。
傳送郵件給管理員當使⽤者相信某個應⽤程式被錯誤地封鎖時，可以傳送給公司區域網路管理員的訊息模組。在使⽤者請求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中⼼傳送⼀個事
件：傳送給管理員的應⽤程式啟動封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視這些事件。如果您
的組織沒有部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤程式將向管理員傳送⼀條訊息到
指定的電⼦郵件信箱。
4. 儲存變更。

“應⽤程式控制”通知436

實施允許的應⽤程式清單的最佳實踐計畫實施允許的應⽤程式清單時，建議執⾏以下操作：
1. 形成以下類型的群組：
使⽤者群組。需要設定為允許使⽤各種應⽤程式集的使⽤者群組。
管理群組。卡巴斯基安全管理中⼼將允許的應⽤程式清單套⽤於的⼀個或多個電腦群組。如果為這些群組
使⽤不同的允許清單設定，則有必要建立多個電腦群組。
2. 建立必須允許啟動的應⽤程式清單。
在建立清單前，建議執⾏以下操作：
a. 執⾏清查⼯作。
清查⼯作的建立、重新配置和啟動的相關資訊可在“⼯作管理”區域檢視。
b. 檢視可執⾏檔清單。

配置應⽤程式的允許清單模式
設定允許清單模式時，建議執⾏以下操作：
1. 建立包含必須允許啟動的應⽤程式的應⽤程式類別。
您可以選擇以下⽤於建立應⽤程式類別的⽅法之⼀：
包含⼿動新增內容的類別。您可以透過使⽤以下條件⼿動新增到此類別：檔案中繼資料。卡巴斯基安全管理中⼼會將所有附帶指定檔案內容的可執⾏檔新增到此應⽤程式類別。
檔案雜湊碼。卡巴斯基安全管理中⼼會將所有具有指定雜湊值的可執⾏檔新增到此應⽤程式類別。
使⽤此條件將排除⾃動安裝更新的功能，因為不同版本的檔案雜湊值也不同。
檔案憑證。卡巴斯基安全管理中⼼會將所有具有指定憑證簽章的可執⾏檔新增到此應⽤程式類別。
KL 類別。卡巴斯基安全管理中⼼會將所有屬於指定 KL 類別的應⽤程式新增到此應⽤程式類別。
應⽤程式資料夾。卡巴斯基安全管理中⼼會將此資料夾中的所有可執⾏檔新增到該應⽤程式類別。
使⽤“應⽤程式資料夾”條件可能不安全，因為指定資料夾中的任何應⽤程式都將被允許啟動。建議只將使⽤具有“應⽤程式資料夾”條件的應⽤程式類別的規則套⽤於那些必須允許為其⾃動安裝更新的使⽤者。
包括特定資料夾中的可執⾏檔的類別。您可以指定將⾃動分配到已建立的應⽤程式類別的可執⾏檔所來⾃
的資料夾。
437

包含選定裝置的可執⾏檔的類別。您可以指定其所有可執⾏檔都將⾃動分配到已建立的應⽤程式類別的電腦。
使⽤這種⽅法建立應⽤程式類別時，卡巴斯基安全管理中⼼從可執⾏檔案資料夾接收電腦上的應⽤程
式的相關資訊。
2. 為“應⽤程式控制”元件選擇允許清單模式。
3. 使⽤已建立的應⽤程式類別建立應⽤程式控制規則。
最初為“允許清單”模式定義了“黃⾦映像“規則和”信任的更新程式“規則。這些應⽤程式控制規則對應於 KL
類別。“黃⾦映像”KL 類別包含確保作業系統正常執⾏的程式。“信任的更新程式”KL類別包含最具信譽的軟
體廠商的更新程式。您無法刪除這些規則。這些規則的設定無法編輯。預設情況下，啟⽤“黃⾦映像”規
則，停⽤“信任的更新程式”規則。所有使⽤者允許啟動比對這些規則的觸發條件的應⽤程式。
4. 確定必須允許為其⾃動安裝更新的應⽤程式。
您可以透過以下任意⼀種⽅式允許⾃動安裝更新：
透過允許屬於任何 KL 類別的所有應⽤程式啟動來指定允許的應⽤程式的延伸清單。
透過允許有憑證簽章的所有應⽤程式啟動來指定允許的應⽤程式的延伸清單。
要允許有憑證簽章的所有應⽤程式啟動，您可以建立⼀個包含基於憑證的條件的類別，此條件只使⽤值為
“*”的“主旨”參數。
對於應⽤程式控制規則，選擇“信任的更新程式”參數。如果選中此核取⽅塊，Kaspersky Endpoint Security
會將規則中包含的應⽤程式視為信任更新程式。Kaspersky Endpoint Security 允許啟動已由規則中包含的應⽤程式安裝或更新的應⽤程式，條件是不會對這些應⽤程式套⽤封鎖規則。
在轉移 Kaspersky Endpoint Security 設定時，也會轉移信任更新程式建立的可執⾏檔清單。
建立⼀個資料夾，並在其中放置想要允許⾃動安裝更新的應⽤程式的可執⾏檔。然後使⽤“應⽤程式資料
夾”條件建立應⽤程式類別，並指定該資料夾的路徑。隨後建立⼀個允許規則並選取此類型。
使⽤“應⽤程式資料夾”條件可能不安全，因為指定資料夾中的任何應⽤程式都將被允許啟動。建議只將使⽤具有“應⽤程式資料夾”條件的應⽤程式類別的規則套⽤於那些必須允許為其⾃動安裝更新的使⽤者。

測試允許清單模式
要確保應⽤程式控制規則不會封鎖⼯作所需的應⽤程式，建議啟⽤應⽤程式控制規則的測試並在建立新規則後分
析其執⾏。啟⽤測試模式後，Kaspersky Endpoint Security 不會封鎖被應⽤程式控制規則封鎖啟動的應⽤程式，但是會將有關它們啟動的通知傳送給管理伺服器。
測試允許清單模式時，建議執⾏以下操作：
1. 確定測試週期（從幾天到兩個⽉）。

438

2. 啟⽤應⽤程式控制規則的測試。
3. 檢查“應⽤程式控制”的執⾏測試所產⽣的事件和有關測試模式下封鎖的應⽤程式的報告來分析測試結果。
4. 根據分析結果，變更允許清單模式設定。
特別是，根據測試結果，您可以將與事件相關的可執⾏檔新增到應⽤程式類別。

⽀援允許清單模式
為“應⽤程式控制”選擇封鎖操作後，建議執⾏以下操作以繼續⽀援允許清單模式：
檢查“應⽤程式控制”的執⾏所產⽣的事件和被封鎖執⾏的報告來分析“應⽤程式控制”的效果。
分析使⽤者的應⽤程式存取請求。
透過檢查其在卡巴斯基安全網路中的的信譽來分析不熟悉的可執⾏檔。
在安裝作業系統或軟體的更新前，請在電腦測試群組中安裝這些更新，以檢查應⽤程式控制規則將如何處理它們。
將必要的應⽤程式新增到應⽤程式控制規則中使⽤的類別。

網路連接埠監控
在 Kaspersky Endpoint Security 執⾏期間，“Web 控制”、“郵件威脅防護”和“Web 威脅防護”元件將監控透過特定協定傳輸並經過使⽤者電腦上開放的特定 TCP 和 UDP 連接埠的資料流程。例如，“郵件威脅防護”元件分析透過
SMTP 傳輸的資訊，⽽“Web 威脅防護”元件分析透過 HTTP 和 FTP 傳輸的資訊。
Kaspersky Endpoint Security 將使⽤者電腦的 TCP 和 UDP 通訊埠根據其組成⽅式分成多個群組。某些網路連接
埠保留⽤於易受攻擊的服務。建議您更全⾯地監控這些連接埠，因為它們更有可能成為網路攻擊的⽬的。如果使
⽤非標準網路連接埠的非標準服務，這些網路連接埠也可能成為攻擊電腦的⽬標。您可以指定網路連接埠清單和
請求網路存取的應⽤程式清單。這樣在網路流量監控期間，這些連接埠和應⽤程式會受到“郵件威脅防護”和“Web威脅防護”元件的特別關注。

啟動對所有網路連接埠的監控若要啟⽤對所有網路連接埠的監控，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。

439

網路連接埠監控設定

3. 在“監控的連接埠”塊中，選取“監控所有網路連接埠”。
4. 儲存變更。

建立受監控網路連接埠的清單
建立受監控的網路連接埠清單
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在“監控的連接埠”塊中，選取“僅監控選中網路連接埠”。
4. 單擊“選擇”。
這將顯⽰⼀個常⽤於傳送電⼦郵件和網路流量的網路連接埠清單。該網路連接埠清單包含在 Kaspersky
Endpoint Security 安裝套件中。
5. 使⽤“狀態“列中的開關來啟⽤或停⽤網路連接埠監控。
6. 如果某網路連接埠未在網路連接埠清單中，請按照以下步驟新增：a. 單擊“新增”。
b. 在開啟的視窗中，輸入網路連接埠編號和簡要說明。
440

c. 設定網路連接埠監控的“啟動“或“未啟動”狀態。
7. 儲存變更。
若是 FTP 協定執⾏被動模式，透過隨機建立的網路連接埠，不會被新增到監控連接埠清單中。為了防護此類連線，請“啟⽤對所有網路連接埠的監控”或“為建立 FTP 連線的應⽤程式配置網路連接埠控制”。

建立所有網路連接埠受監控的應⽤程式清單
您可以使⽤ Kaspersky Endpoint Security 建立監控全部的連接埠的應⽤程式清單。
建議您在 Kaspersky Endpoint Security 建立監控全部的連接埠的應⽤程式清單中包含 FTP 協定接收或傳送資
料的應⽤程式。

若要建立所有網路連接埠受監控的應⽤程式清單，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“網路設定”。
3. 在“監控的連接埠”塊中，選取“僅監控選中網路連接埠”。
4. 選擇“監控卡巴斯基建議的清單中的應⽤程式的所有連接埠”核取⽅塊。
若選中此核取⽅塊，則 Kaspersky Endpoint Security 將監控以下應⽤程式的所有連接埠：
Adobe Acrobat Reader。
Apple Application Support。
Google Chrome。
Microsoft Edge。
Mozilla Firefox。
Internet Explorer。
Java。
mIRC。
Opera。
Pidgin。
Safari。
Mail.ru Agent。
Yandex Browser。
441

5. 選擇“監控指定應⽤程式的所有連接埠”核取⽅塊。
6. 單擊“選擇”。
這將開啟⼀個 Kaspersky Endpoint Security 監控其網路連接埠的應⽤程式清單。
7. 使⽤“狀態“列中的開關來啟⽤或停⽤網路連接埠監控。
8. 如果清單中未包含某應⽤程式，請按照以下步驟新增：a. 單擊“新增”。
b. 在開啟的視窗中，輸入應⽤程式的可執⾏檔的路徑和簡要說明。
c. 設定網路連接埠監控的“啟動“或“未啟動”狀態。
9. 儲存變更。

匯出和匯入受監控的連接埠的清單
Kaspersky Endpoint Security 使⽤以下清單來監控網路連接埠：網路連接埠清單和由 Kaspersky Endpoint
Security 監控其連接埠的應⽤程式清單。您可以將受監控連接埠的清單匯出到 XML 檔案。然後，您可以修改檔
案，例如，新增⼤量具有相同描述的連接埠。您還可以使⽤匯出/匯入功能來備份受監控連接埠的清單，或將清單遷移到其他伺服器。
如何在管理主控台（MMC）中匯出和匯入受監控連接埠的清單

442

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 網路設定”。
5. 在“要監控的連接埠”塊中，選取“僅監控選中網路連接埠”。
6. 單擊“設定”。
開啟“網路連接埠”視窗。網路連接埠 視窗中將顯⽰⼀個常⽤於傳送電⼦郵件和網路流量的網路連接埠清單。該網路連接埠清單包含在 Kaspersky Endpoint Security 安裝套件中。
7. 要匯出網路連接埠清單：a. 在⽹路連接埠清單中，選擇要匯出的連接埠。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果未選擇任何連接埠，則 Kaspersky Endpoint Security 將匯出所有連接埠。
b. 單擊“匯出”。
c. 在開啟的視窗中，輸入您要將網路連接埠清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個網路連接埠清單匯出到 XML 檔案。
8. 要匯出其連接埠受 Kaspersky Endpoint Security 監控的應⽤程式清單，請執⾏以下操作：
a. 選擇“監控指定應⽤程式的所有連接埠”核取⽅塊。
b. 在應⽤程式清單中，選擇要匯出的應⽤程式。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您沒有選擇任何應⽤程式，Kaspersky Endpoint Security 將匯出所有應⽤程式。
c. 單擊“匯出”。
d. 在開啟的視窗中，指定您要將應⽤程式清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
e. 儲存檔案。
Kaspersky Endpoint Security 會將整個應⽤程式清單匯出到 XML 檔案。
9. 要匯入網路連接埠清單：a. 在網路連接埠清單中，點擊“匯入”按鈕。
在開啟的視窗中，選取要從中匯入網路連接埠清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有網路連接埠清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML
檔案向其中新增新項⽬。
10. 要匯入其連接埠受 Kaspersky Endpoint Security 監控的應⽤程式清單，請執⾏以下操作：
443

a. 在應⽤程式清單中，點擊“匯入”按鈕。
在開啟的視窗中，選取要從中匯入應⽤程式清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有應⽤程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
11. 儲存變更。
如何在網⾴主控台和 Cloud Console 中匯出/匯入被監控連接埠的清單4441. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”網路設定”。
5. 要匯出網路連接埠清單：a. 在“要監控的連接埠”塊中，選取“僅監控選定網路連接埠”。
b. 點擊“選定 N 連接埠”連接。
開啟“網路連接埠”視窗。網路連接埠 視窗中將顯⽰⼀個常⽤於傳送電⼦郵件和網路流量的網路連接埠
清單。該網路連接埠清單包含在 Kaspersky Endpoint Security 安裝套件中。
c. 在⽹路連接埠清單中，選擇要匯出的連接埠。
d. 單擊“匯出”。
e. 在開啟的視窗中，輸入您要將網路連接埠清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
f. 儲存檔案。
Kaspersky Endpoint Security 會將整個網路連接埠清單匯出到 XML 檔案。
6. 要匯出其連接埠受 Kaspersky Endpoint Security 監控的應⽤程式清單，請執⾏以下操作：
a. 在“要監控的連接埠“塊中，選中“監控指定應⽤程式的所有連接埠”核取⽅塊。
b. 點擊“選定 N 應⽤程式”連接。
c. 在應⽤程式清單中，選擇要匯出的應⽤程式。
d. 單擊“匯出”。
e. 在開啟的視窗中，指定您要將應⽤程式清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
f. 儲存檔案。
Kaspersky Endpoint Security 會將整個應⽤程式清單匯出到 XML 檔案。
7. 要匯入網路連接埠清單：a. 在網路連接埠清單中，點擊“匯入”按鈕。
在開啟的視窗中，選取要從中匯入網路連接埠清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有網路連接埠清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML
檔案向其中新增新項⽬。
8. 要匯入其連接埠受 Kaspersky Endpoint Security 監控的應⽤程式清單，請執⾏以下操作：
445

a. 在應⽤程式清單中，點擊“匯入”按鈕。
在開啟的視窗中，選取要從中匯入應⽤程式清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有應⽤程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
9. 儲存變更。

記錄檢查
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件不可⽤。
從 11.11.0 版本開始，Kaspersky Endpoint Security for Windows 包括記錄檢查元件。記錄檢查會基於 Windows 事件
記錄分析監控受防護環境的完整性。如果應⽤程式在系統中偵測到有非典型⾏為的跡象，它會通知管理員，因為
該⾏為可能表明有⼈嘗試網路攻擊。
Kaspersky Endpoint Security 根據規則分析 Windows 事件記錄和偵測違規。元件包括預定義規則。預定義規則由啟發式分析提供⽀援。您也可以新增您⾃⼰的規則（⾃訂規則）。當規則觸發時，應⽤程式會建立⼀個狀態為“緊急”的事件（請⾒下圖）。
如果您想要使⽤記錄檢查，請確保安全稽核政策已配置且系統正在記錄相關事件（詳情請⾒ Microsoft 技術
⽀援網站 ）。

記錄檢查通知配置預定義規則
預定義規則包括受防護電腦上異常活動的範本。異常活動可能表明有⼈嘗試攻擊。預定義規則由啟發式分析提供
⽀援。記錄檢查有七項預定義規則可⽤。您可以啟⽤或停⽤任何這些規則。預定義規則無法被刪除。
您可以為以下操作配置監控事件的規則觸發條件：
密碼暴⼒破解偵測
網路登入偵測446

如何在管理主控台 (MMC) 中配置預定義規則447

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 記錄審查”。
5. 請確保選中記錄審查核取⽅塊。
6. 在”預定義資料夾”塊中，點擊”設定”按鈕。
7. 選擇或清除核取⽅塊以配置預定義規則：
系統中有可能發⽣暴⼒密碼破解攻擊的模式
網路登入⼯作階段中偵測到⼀個非典型活動
有可能發⽣ Windows 事件記錄濫⽤的模式
代替安裝的新裝置偵測到了非典型操作
偵測到使⽤明顯憑據的非典型登入名稱
系統中有可能發⽣ Kerberos 偽造 PAC (MS14-068) 攻擊的模式
在有權限的內建管理群組中偵測到可疑變更
8. 必要的話配置系統中有可能發⽣暴⼒密碼破解攻擊的模式規則：
a. 點擊規則下的“設定”按鈕。
b. 在開啟的視窗中，指定嘗試次數和在此期間必須執⾏密碼輸入嘗試以觸發規則的時間段。
c. 點擊“確定”。
9. 如果選定網路登入⼯作階段中偵測到⼀個非典型活動規則，您需要配置其設定：
a. 點擊規則下的“設定”按鈕。
b. 在網路登入偵測塊中，指定時間間隔的開始和結束時間。
Kaspersky Endpoint Security 將在定義的間隔期間執⾏的登入嘗試視為異常活動。
預設情況下不設定間隔期間，應⽤程式不監控登入嘗試。若要應⽤程式持續監控登入嘗試，請將間隔
期間設為 12:00 AM - 11:59 PM。間隔期間的開始和結束不得重合。如果它們⼀樣，應⽤程式將不監控登入嘗試。
c. 建立⼀個受信任使⽤者和受信任 IP 位址（IPv4 和 IPv6）清單。
Kaspersky Endpoint Security 不監控這些使⽤者和電腦的登入嘗試。
d. 點擊“確定”。
10. 儲存變更。

448

如何在網⾴主控台和雲端主控台中配置預定義規則449

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”記錄審查”。
5. 請確保記錄審查開關已開啟。
6. 在預定義規則塊中，使⽤開關啟⽤或停⽤預定義規則：
系統中有可能發⽣暴⼒密碼破解攻擊的模式
網路登入⼯作階段中偵測到⼀個非典型活動
有可能發⽣ Windows 事件記錄濫⽤的模式
代替安裝的新裝置偵測到了非典型操作
偵測到使⽤明顯憑據的非典型登入名稱
系統中有可能發⽣ Kerberos 偽造 PAC (MS14-068) 攻擊的模式
a. 在有權限的內建管理員群組中偵測到可疑變更
7. 必要的話配置系統中有可能發⽣暴⼒密碼破解攻擊的模式規則：
a. 點擊規則下的設定。
b. 在開啟的視窗中，指定嘗試次數和在此期間必須執⾏密碼輸入嘗試以觸發規則的時間段。
c. 點擊“確定”。
8. 如果選定網路登入⼯作階段中偵測到⼀個非典型活動規則，您需要配置其設定：
a. 點擊規則下的設定。
b. 在網路登入偵測塊中，指定時間間隔的開始和結束時間。
Kaspersky Endpoint Security 將在定義的間隔期間執⾏的登入嘗試視為異常活動。
預設情況下不設定間隔期間，應⽤程式不監控登入嘗試。若要應⽤程式持續監控登入嘗試，請將間隔
期間設為 12:00 AM - 11:59 PM。間隔期間的開始和結束不得重合。如果它們⼀樣，應⽤程式將不監控登入嘗試。
c. 在排除項⽬塊中，新增受信任使⽤者和受信任 IP 位址（IPv4 和 IPv6）。
Kaspersky Endpoint Security 不監控這些使⽤者和電腦的登入嘗試。
d. 點擊“確定”。
9. 儲存變更。

450

如何在應⽤程式介⾯中配置預定義規則。

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“記錄審查”。
3. 請確保記錄審查開關已開啟。
4. 在”預定義規則”塊中，點擊”配置”按鈕。
5. 選擇或清除核取⽅塊以配置預定義規則：
系統中有可能發⽣暴⼒密碼破解攻擊的模式
網路登入⼯作階段中偵測到⼀個非典型活動
有可能發⽣ Windows 事件記錄濫⽤的模式
代替安裝的新裝置偵測到了非典型操作
偵測到使⽤明顯憑據的非典型登入名稱
系統中有可能發⽣ Kerberos 偽造 PAC (MS14-068) 攻擊的模式
a. 在有權限的內建管理群組中偵測到可疑變更
6. 必要的話配置系統中有可能發⽣暴⼒密碼破解攻擊的模式規則：
a. 點擊規則下的設定。
b. 在開啟的視窗中，指定嘗試次數和在此期間必須執⾏密碼輸入嘗試以觸發規則的時間段。
7. 如果選定網路登入⼯作階段中偵測到⼀個非典型活動規則，您需要配置其設定：
a. 點擊規則下的設定。
b. 在網路登入偵測塊中，指定時間間隔的開始和結束時間。
Kaspersky Endpoint Security 將在定義的間隔期間執⾏的登入嘗試視為異常活動。
預設情況下不設定間隔期間，應⽤程式不監控登入嘗試。若要應⽤程式持續監控登入嘗試，請將間隔
期間設為 12:00 AM - 11:59 PM。間隔期間的開始和結束不得重合。如果它們⼀樣，應⽤程式將不監控登入嘗試。
c. 在排除項⽬塊中，新增受信任使⽤者和受信任 IP 位址（IPv4 和 IPv6）。
Kaspersky Endpoint Security 不監控這些使⽤者和電腦的登入嘗試。
8. 儲存變更。
結果，當規則觸發時，Kaspersky Endpoint Security 將建立“緊急”事件。

新增⾃訂規則451

您可以設定⾃⼰的記錄檢查規則觸發條件。為此，您必須輸入⼀個事件 ID 並選擇⼀個事件來源。您可以在Microsoft 技術⽀援網站 上查找事件 ID。您可以從標準記錄中選擇⼀個事件來源：Application，Security或System。您也可以指定協⼒廠商應⽤程式的記錄。您可以使⽤“事件檢視程式”⼯具查找協⼒廠商應⽤程式記錄的
名稱。協⼒廠商應⽤程式記錄保留在“應⽤程式和服務記錄”資料夾（例如，Windows PowerShell 記錄）中。
應⽤程式不檢查指定記錄是否真的存在於 Windows 事件記錄中。如果記錄名稱中有錯誤，則應⽤程式不監
控該記錄的事件。
⾃訂規則清單已包括卡巴斯基專家建立的三個規則。
如何在管理主控台 (MMC) 中新增⾃訂規則

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 記錄審查”。
5. 請確保選中記錄審查核取⽅塊。
6. 在”⾃訂規則”塊中，點擊”設定”按鈕。
7. 在開啟的視窗中，選中您想要啟⽤的⾃訂規則旁邊的核取⽅塊。
8. 必要的話點擊新增建立您⾃⼰的⾃訂規則。
9. 這會開啟⼀個視窗；在該視窗中，配置⾃訂規則：
規則名稱
記錄名稱Windows 事件記錄。以下記錄可以使⽤： Application，Security，System。
來源協⼒廠商應⽤程式記錄。您可以使⽤“事件檢視程式”⼯具查找協⼒廠商應⽤程式記錄的名稱。協⼒廠商應⽤程式記錄保留在“應⽤程式和服務記錄”資料夾（例如，Windows PowerShell 記錄）中。
事件識別符Windows 事件記錄中的事件 ID。您可以在 Microsoft 技術文件 中查找事件 ID。
10. 儲存變更。
如何在網⾴主控台和雲端主控台中新增⾃訂規則452

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”記錄審查”。
5. 請確保記錄審查開關已開啟。
6. 在“⾃訂規則“塊中，選擇要啟⽤的⾃訂規則。
7. 必要的話點擊新增建立您⾃⼰的⾃訂規則。
8. 這會開啟⼀個視窗；在該視窗中，配置⾃訂規則：
規則名稱
Windows 事件記錄名稱Windows 事件記錄。以下記錄可以使⽤： Application，Security，System。
來源協⼒廠商應⽤程式記錄。您可以使⽤“事件檢視程式”⼯具查找協⼒廠商應⽤程式記錄的名稱。協⼒廠商應⽤程式記錄保留在“應⽤程式和服務記錄”資料夾（例如，Windows PowerShell 記錄）中。
Windows 事件記錄識別符Windows 事件記錄中的事件 ID。您可以在 Microsoft 技術文件 中查找事件ID。
9. 儲存變更。
如何在應⽤程式介⾯中新增⾃訂規則453

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“記錄審查”。
3. 請確保記錄審查開關已開啟。
4. 在”⾃訂規則”塊中，點擊”配置”按鈕。
5. 在開啟的視窗中，選中您想要啟⽤的⾃訂規則旁邊的核取⽅塊。
6. 必要的話點擊新增建立您⾃⼰的⾃訂規則。
7. 這會開啟⼀個視窗；在該視窗中，配置⾃訂規則：
規則名稱
記錄名稱Windows 事件記錄。以下記錄可以使⽤： Application，Security，System。
來源協⼒廠商應⽤程式記錄。您可以使⽤“事件檢視程式”⼯具查找協⼒廠商應⽤程式記錄的名稱。協⼒廠商應⽤程式記錄保留在“應⽤程式和服務記錄”資料夾（例如，Windows PowerShell 記錄）中。
事件識別符Windows 事件記錄中的事件 ID。您可以在 Microsoft 技術文件 中查找事件 ID。
8. 儲存變更。
結果，當規則觸發時，Kaspersky Endpoint Security 將建立“緊急”事件。

檔案完整性監控
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件不可⽤。

檔案完整性監控僅在具有 NTFS 或 ReFS 檔案系統的伺服器上⼯作。
從 11.11.0 版本開始，Kaspersky Endpoint Security for Windows 包括檔案完整性監控元件。檔案完整性監控會偵測
給定監控區域中的物件（檔案和資料夾）變更。這些變更可能表明有電腦安全入侵。當偵測到物件變更時，應⽤程式會通知管理員。
若要使⽤檔案完整性監控，您需要配置元件的範圍，即選擇物件，它的狀態應該受到元件的監控。
您可以在卡巴斯基安全管理中⼼和 Kaspersky Endpoint Security for Windows 介⾯中檢視有關檔案完整性監控操
作結果的資訊。

編輯監控範圍

454

沒有指定監控範圍，則檔案完整性監控無法⼯作。這意味著您必須指定檔案完整性監控將控制其變更的檔案和資料夾的路徑。我們建議新增很少修改的物件或者只有管理員有權存取的物件。這將減少檔案完整性監控事件數
量。
為了減少事件數量，您也可以新增排除項⽬到監控規則。排除項⽬比監控範圍項⽬具有更⾼的優先順序。例如，
組織使⽤您想要監控其檔案的完整性的應⽤程式。為此，您需要⽤應⽤程式新增資料夾路徑（例如，C:\Users\Testadmin\Desktop\Utilities）。您可以將記錄檔案從監控規則中排除，因為此類檔案不影響系
統安全。此外，應⽤程式會不斷修改記錄檔案，因此產⽣⼤量類似事件。為了避免這種情況，請將記錄檔案新增
到例外（例如，C:\Users\Testadmin\Desktop\Utilities\*.log）。
如何在管理主控台 (MMC) 中編輯監控範圍

455

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“安全控制 → 檔案完整性監控”。
5. 請確保選中檔案完整性監控核取⽅塊。
6. 在”監控規則”塊中，點擊”新增”按鈕。
7. 這會開啟⼀個視窗；在該視窗中，配置監控規則：
規則名稱輸入規則名稱，例如監控應⽤程式 A。
事件嚴重性級別選擇檔案完整性監控將記錄的事件嚴重程度級別：資訊

，警告

，緊急

。

監控範圍輸入資料夾或者檔案路徑。
當配置監控範圍時，請確保資料夾或者檔案路徑以磁碟機字⺟或者系統環境變數開始。應⽤程式
不⽀援使⽤者環境變數。如果資料夾或者檔案路徑未正確指定，Kaspersky Endpoint Security 將
不新增指定的監控範圍。
使⽤遮罩：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾
中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT
副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所
有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
排除項⽬輸入資料夾或者檔案路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?
字元。排除項⽬比監控範圍項⽬具有更⾼的優先順序。
8. 點擊“確定”。
⼀個新規則被新增到監控規則清單。您可以停⽤監控規則⽽無需從規則清單中刪除它。為此，請清除物件旁邊的核取⽅塊。
9. 儲存變更。
如何在網⾴主控台中編輯監控範圍

456

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”安全控制”→”檔案完整性監控”。
5. 請確保檔案完整性監控開關已開啟。
6. 在”監控規則”塊中，點擊”新增”按鈕。
7. 這會開啟⼀個視窗；在該視窗中，配置監控規則：
規則名稱輸入規則名稱，例如監控應⽤程式 A。
事件嚴重性級別選擇檔案完整性監控將記錄的事件嚴重程度級別：資訊

，警告

，緊急

。

監控範圍輸入資料夾或者檔案路徑。
當配置監控範圍時，請確保資料夾或者檔案路徑以磁碟機字⺟或者系統環境變數開始。應⽤程式
不⽀援使⽤者環境變數。如果資料夾或者檔案路徑未正確指定，Kaspersky Endpoint Security 將
不新增指定的監控範圍。
使⽤遮罩：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾
中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT
副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所
有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
排除項⽬輸入資料夾或者檔案路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?
字元。排除項⽬比監控範圍項⽬具有更⾼的優先順序。
8. 點擊“確定”。
⼀個新規則被新增到監控規則清單。您可以停⽤監控規則⽽無需從規則清單中刪除它。為此，將它旁邊的切換開關設為關閉位置。
9. 儲存變更。
如何在應⽤程式介⾯中編輯監控範圍

457

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”安全控制“→“檔案完整性監控”。
3. 請確保檔案完整性監控開關已開啟。
4. 在“監控規則”塊中， 點擊“設定規則”。
5. 在”監控規則”塊中，點擊”新增”按鈕。
6. 這會開啟⼀個視窗；在該視窗中，配置監控規則：
規則名稱輸入規則名稱，例如監控應⽤程式 A。
事件嚴重性級別選擇檔案完整性監控將記錄的事件嚴重程度級別：資訊

，警告

，緊急

。

監控範圍輸入資料夾或者檔案路徑。
當配置監控範圍時，請確保資料夾或者檔案路徑以磁碟機字⺟或者系統環境變數開始。應⽤程式
不⽀援使⽤者環境變數。如果資料夾或者檔案路徑未正確指定，Kaspersky Endpoint Security 將
不新增指定的監控範圍。
使⽤遮罩：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾
中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT
副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所
有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
排除項⽬輸入資料夾或者檔案路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?
字元。排除項⽬比監控範圍項⽬具有更⾼的優先順序。
7. 單擊“確定”。
⼀個新規則被新增到監控規則清單。您可以停⽤監控規則⽽無需從規則清單中刪除它。為此，將它旁邊的切換開關設為關閉位置。
8. 儲存變更。

檢視系統完整性資訊
檔案完整性監控操作結果資訊顯⽰為以下⽅式：
458

卡巴斯基安全管理中⼼主控台和 Kaspersky Endpoint Security 介⾯中的事件
如果偵測到檔案變更，Kaspersky Endpoint Security 會傳送事件到卡巴斯基安全管理中⼼。您可以配置事件選擇以檢視檔案完整性監控元件的事件。有關事件選取設定的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
Kaspersky Endpoint Security 介⾯提供單獨的檔案完整性監控元件報告。
Kaspersky Endpoint Security 有事件彙總⼯具以減少檔案完整性監控事件的數量。Kaspersky Endpoint Security
在以下情況下啟⽤事件彙總：對單個物件變更太頻繁（超過每分鐘五次）
觸發單個監控規則太頻繁（超過每分鐘 10 次）
結果，Kaspersky Endpoint Security 會建立單個物件修改事件，直到彙總⼯具被觸發。此時，Kaspersky Endpoint
Security 會啟⽤事件彙總並建立相應事件。Kaspersky Endpoint Security 執⾏事件彙總為時 24 ⼩時（彙總期間）
或直到 Kaspersky Endpoint Security 被停⽌。重新啟動 Kaspersky Endpoint Security 後或者彙總期間結束後，應⽤程式會產⽣特別事件：彙總期間的非典型事件報告 和彙總期間的物件變更報告。這些報告包含有關彙總期間開始和結束以及彙總事件數量的資訊。

卡巴斯基安全管理中⼼主控台中電腦的狀態
當從檔案完整性監控元件收到嚴重程度級別為緊急
緊急 或警告 。

或警告的事件時，檔案完整性監控會將電腦狀態變更為從受管理應⽤程式接收電腦狀態（應⽤程式定義的裝置狀態條件）應該在卡巴斯基安全管理中⼼的條件清單中啟⽤，這些條件必須滿⾜才能分配緊急 或警告 狀態給裝置。裝置狀態分配條件在管理群組的內容視窗中進⾏配置。
電腦狀態和狀態變更的所有原因都顯⽰在管理群組的裝置清單中。有關電腦狀態的詳細資訊，請參閱卡巴斯基安
全管理中⼼說明 。

卡巴斯基安全管理中⼼主控台中的報告卡巴斯基安全管理中⼼提供兩種類型的報告：
檔案完整性監控 / 系統完整性監控規則最常觸發的⼗⼤裝置。
在裝置上觸發頻率最⾼的檔案完整性監控器 / 系統完整性監控的⼗⼤規則。

459

密碼防護
多個不同電腦知識⽔準的使⽤者可以共⽤⼀台電腦。如果使⽤者可以無限制存取 Kaspersky Endpoint Security 及其設定，則電腦防護的層級可能會下降。密碼防護允許您根據使⽤者被授予的權限（例如，結束應⽤程式的權限）來限制使⽤者對 Kaspersky Endpoint Security 的存取。
如果啟動 Windows 連線的使⽤者（連線使⽤者）擁有執⾏操作的權限，則 Kaspersky Endpoint Security 不會請求
使⽤者名稱和密碼或臨時密碼。使⽤者將按照授予的權限獲得 Kaspersky Endpoint Security 的存取權限。
如果連線使⽤者沒有執⾏操作的權限，該使⽤者可以透過以下⽅式獲得應⽤程式的存取權限：
輸入使⽤者名稱和密碼。
此⽅法適合⽇常操作。要執⾏受密碼防護的操作，必須輸入具有所需權限的使⽤者的網域帳⼾憑證。在這種
情況下，電腦必須位於該網域中。如果電腦不在網域中，您可以使⽤ KLAdmin 帳⼾。
輸入暫時密碼。
此⽅法適合為公司網路外部的使⽤者授予執⾏被封鎖操作（例如，結束應⽤程式）的暫時權限。當暫時密碼
到期或連線結束後，Kaspersky Endpoint Security 會將其設定還原為先前狀態。
當使⽤者嘗試執⾏受密碼防護的操作時，Kaspersky Endpoint Security 會提⽰使⽤者輸入使⽤者名稱和密碼或者
暫時密碼（請參⾒下圖）。
在密碼輸入視窗中，您只可以透過按 ALT+SHIFT來切換語⾔。使⽤其他捷徑（即使他們在作業系統中進⾏了配置）對切換語⾔無效。

Kaspersky Endpoint Security 存取密碼提⽰

使⽤者名稱和密碼
要存取 Kaspersky Endpoint Security，您必須輸入網域帳⼾憑證。密碼防護⽀援以下帳⼾：
KLAdmin。具有 Kaspersky Endpoint Security 無限制存取權限的管理員帳⼾。KLAdmin 帳⼾有權執⾏任何受
密碼防護的操作。KLAdmin 帳⼾的權限無法撤銷。當啟⽤密碼防護時，Kaspersky Endpoint Security 會提⽰您設定 KLAdmin 帳⼾的密碼。
Everyone 群組。Windows 內建的群組，包括公司網路內的所有使⽤者。Everyone 群組中的使⽤者可以根據
其被分配的權限存取應⽤程式。
460

單個使⽤者或群組。可以為其配置單個權限的使⽤者帳⼾。例如，如果針對 Everyone 群組封鎖某個操作，您
可以允許單個使⽤者或群組執⾏該操作。
連線使⽤者。啟動了 Windows 連線的使⽤者帳⼾。當系統提⽰輸入密碼時，您可以轉換到其他連線使⽤者（“儲存⽬前連線的密碼”核取⽅塊）。此時，Kaspersky Endpoint Security 會將輸入了帳⼾憑證的使⽤者（⽽不是啟動了 Windows 連線的使⽤者）視為連線使⽤者。

暫時密碼
暫時密碼可⽤於授權公司網路外部的單台電腦暫時存取 Kaspersky Endpoint Security。管理員在卡巴斯基安全管
理中⼼的電腦內容中為單台電腦⽣成暫時密碼。管理員選取將以暫時密碼防護的操作，並指定暫時密碼的有效期。

密碼防護操作演算法
Kaspersky Endpoint Security 根據以下演算法決定是允許還是封鎖受密碼防護的操作（請參⾒下圖）。

密碼防護操作演算法

啟⽤密碼防護密碼防護允許您根據使⽤者被授予的權限（例如，結束應⽤程式的權限）來限制使⽤者對 Kaspersky Endpoint
Security 的存取。
461

如何在管理主控台 (MMC) 中啟⽤密碼防護

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 介⾯”。
5. 在”密碼防護”塊中，點擊”設定”按鈕。
這將開啟⼀個帶有密碼防護設定的視窗。
6. 使⽤“啟⽤密碼防護“核取⽅塊來啟⽤或停⽤元件。
7. 在 權限下⾯，選擇 KLAdmin 帳⼾。
8. 這會開啟⼀個視窗；在該視窗中，點擊 密碼 並為 KLAdmin 帳⼾設定密碼。
KLAdmin 帳⼾有權執⾏任何受密碼防護的操作。
如果忘記了 KLAdmin 帳⼾密碼，您可以在政策內容中重設密碼。
9. 返回帳⼾清單。
10. 設定公司網路內所有使⽤者的權限：
a. 在權限下⾯，選擇“所有⼈”群組。

Everyone 群組是 Windows 內建的群組，包括公司網路內的所有使⽤者。
b. 在開啟的視窗中，選中使⽤者不必輸入密碼即可執⾏的操作旁邊的核取⽅塊。
如果清除某個核取⽅塊，使⽤者將被封鎖執⾏相應操作。例如，如果清除“結束應⽤程式 ”權限旁邊的
核取⽅塊，則只有您以 KLAdmin ⾝分登入或者以擁有所需權限的單個使⽤者⾝分登入或者輸入暫時密碼才能結束應⽤程式。
密碼防護權限有幾個需要考慮的重要⽅⾯。確保已滿⾜存取 Kaspersky Endpoint Security 的所有
條件。
11. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤密碼防護462

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”介⾯”。
5. 在密碼防護下⾯，使⽤“密碼防護“切換開關可啟⽤或停⽤元件。
6. 指定 KLAdmin 帳⼾的密碼並確認。
KLAdmin 帳⼾有權執⾏任何受密碼防護的操作。
如果忘記了 KLAdmin 帳⼾密碼，您可以在政策內容中重設密碼。
7. 返回帳⼾清單。
8. 設定公司網路內所有使⽤者的權限：
a. 在帳⼾表中，選擇“所有⼈”群組。

Everyone 群組是 Windows 內建的群組，包括公司網路內的所有使⽤者。
b. 在開啟的視窗中，選中使⽤者不必輸入密碼即可執⾏的操作旁邊的核取⽅塊。
如果清除某個核取⽅塊，使⽤者將被封鎖執⾏相應操作。例如，如果清除“結束應⽤程式 ”權限旁邊的
核取⽅塊，則只有您以 KLAdmin ⾝分登入或者以擁有所需權限的單個使⽤者⾝分登入或者輸入暫時密碼才能結束應⽤程式。
密碼防護權限有幾個需要考慮的重要⽅⾯。確保已滿⾜存取 Kaspersky Endpoint Security 的所有
條件。
9. 儲存變更。
如何在應⽤程式介⾯中啟⽤密碼防護463

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
3. 使⽤“密碼防護“切換開關可啟⽤或停⽤元件。
4. 指定 KLAdmin 帳⼾的密碼並確認。
KLAdmin 帳⼾有權執⾏任何受密碼防護的操作。
如果電腦在某個政策下執⾏，管理員可以在政策內容中重設 KLAdmin 帳⼾的密碼。如果電腦未連線
到卡巴斯基安全管理中⼼並且您忘記了 KLAdmin 帳⼾的密碼，則無法還原密碼。
5. 設定公司網路內所有使⽤者的權限：
a. 在帳⼾表中，點擊“編輯”以開啟 Everyone 群組的權限清單。

Everyone 群組是 Windows 內建的群組，包括公司網路內的所有使⽤者。
b. 選中使⽤者不必輸入密碼即可執⾏的操作旁邊的核取⽅塊。
如果清除某個核取⽅塊，使⽤者將被封鎖執⾏相應操作。例如，如果清除“結束應⽤程式 ”權限旁邊的
核取⽅塊，則只有您以 KLAdmin ⾝分登入或者以擁有所需權限的單個使⽤者⾝分登入或者輸入暫時密碼才能結束應⽤程式。
密碼防護權限有幾個需要考慮的重要⽅⾯。確保已滿⾜存取 Kaspersky Endpoint Security 的所有
條件。
6. 儲存變更。
啟⽤密碼防護後，應⽤程式將根據 Everyone 群組被授予的權限來限制使⽤者對 Kaspersky Endpoint Security 的存取。只有您使⽤ KLAdmin 帳⼾，使⽤被授予所需權限的其他帳⼾或者輸入暫時密碼時，才能執⾏ Everyone 群
組被封鎖的操作。
僅當您以 KLAdmin ⾝分登入時，才能停⽤密碼防護。如果您使⽤任何其他使⽤者帳⼾或臨時密碼，則無法停⽤密碼防護。
在密碼檢查期間，可以選中“儲存⽬前連線的密碼”核取⽅塊。在這種情況下，當使⽤者嘗試在連線期間執⾏其他受密碼防護的操作時，Kaspersky Endpoint Security 不會提⽰輸入密碼。

為單個使⽤者或群組授予權限您可以將 Kaspersky Endpoint Security 存取權限授予給單個使⽤者或群組。例如，如果 Everyone 群組被封鎖結束應⽤程式，您可以將“結束應⽤程式”權限授予給單個使⽤者。這樣，只有以該使⽤者或以 KLAdmin ⾝分登入時
才能結束應⽤程式。
僅當電腦位於網域中時，才能使⽤帳⼾憑證存取應⽤程式。如果電腦不在網域中，您可以使⽤ KLAdmin 帳⼾
或臨時密碼。

464

如何在管理主控台 (MMC) 中為單個使⽤者或群組授予權限

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 介⾯”。
5. 在”密碼防護”塊中，點擊”設定”按鈕。
這將開啟⼀個帶有密碼防護設定的視窗。
6. 在帳⼾表中，點擊新增。
7. 在開啟的視窗中，點擊“選取”按鈕。
將開啟標準的“選取使⽤者或群組”對話⽅塊。
8. 選取 Active Directory 中的使⽤者或群組，然後確認選取。
9. 在“權限”清單中，選中選定使⽤者或群組在不被提⽰輸入密碼的情況下即可執⾏的操作旁邊的核取⽅塊。
如果清除某個核取⽅塊，使⽤者將被封鎖執⾏相應操作。例如，如果清除“結束應⽤程式 ”權限旁邊的核取⽅塊，則只有您以 KLAdmin ⾝分登入或者以擁有所需權限的單個使⽤者⾝分登入或者輸入暫時密碼才能
結束應⽤程式。
密碼防護權限有幾個需要考慮的重要⽅⾯。確保已滿⾜存取 Kaspersky Endpoint Security 的所有條件。
10. 儲存變更。
如何在網⾴主控台和雲端主控台中向單個使⽤者或群組授予權限465

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”介⾯”。
5. 在密碼防護下⾯的帳⼾表中，點擊新增。
6. 在開啟的視窗中，點擊“選擇使⽤者和/或使⽤者群組”按鈕。
將開啟標準的“選取使⽤者或群組”對話⽅塊。
7. 選取 Active Directory 中的使⽤者或群組，然後確認選取。
8. 在“權限”清單中，選中選定使⽤者或群組在不被提⽰輸入密碼的情況下即可執⾏的操作旁邊的核取⽅塊。
如果清除某個核取⽅塊，使⽤者將被封鎖執⾏相應操作。例如，如果清除“結束應⽤程式 ”權限旁邊的核取⽅塊，則只有您以 KLAdmin ⾝分登入或者以擁有所需權限的單個使⽤者⾝分登入或者輸入暫時密碼才能
結束應⽤程式。
密碼防護權限有幾個需要考慮的重要⽅⾯。確保已滿⾜存取 Kaspersky Endpoint Security 的所有條件。
9. 儲存變更。
如何在應⽤程式的使⽤者介⾯中為單個使⽤者或群組授予權限466

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
3. 在帳⼾表中，點擊新增。
4. 在開啟的視窗中，點擊“選擇使⽤者或群組”按鈕。
將開啟標準的“選取使⽤者或群組”對話⽅塊。
5. 選取 Active Directory 中的使⽤者或群組，然後確認選取。
6. 在“權限”清單中，選中選定使⽤者或群組在不被提⽰輸入密碼的情況下即可執⾏的操作旁邊的核取⽅塊。
如果清除某個核取⽅塊，使⽤者將被封鎖執⾏相應操作。例如，如果清除“結束應⽤程式 ”權限旁邊的核取⽅塊，則只有您以 KLAdmin ⾝分登入或者以擁有所需權限的單個使⽤者⾝分登入或者輸入暫時密碼才能
結束應⽤程式。
密碼防護權限有幾個需要考慮的重要⽅⾯。確保已滿⾜存取 Kaspersky Endpoint Security 的所有條件。
7. 儲存變更。
結果，如果限制了 Everyone 群組存取應⽤程式，將根據使⽤者的單個權限授予使⽤者存取 Kaspersky Endpoint
Security 的權限。

使⽤暫時密碼授予權限
暫時密碼可⽤於授權公司網路外部的單台電腦暫時存取 Kaspersky Endpoint Security。要允許使⽤者在不獲取
KLAdmin 帳⼾憑證的情況下執⾏被封鎖的操作，這是必需的。要使⽤暫時密碼，必需將電腦新增到卡巴斯基安全
管理中⼼中。
如何允許使⽤者透過管理主控台 (MMC) ⽤暫時密碼執⾏被封鎖的操作

467

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，開啟相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選取“裝置”標籤。
4. 點擊以開啟電腦內容視窗。
5. 在電腦內容視窗中，選取“應⽤程式”區域。
6. 在電腦上安裝的 Kaspersky 應⽤程式清單中，選取 Kaspersky Endpoint Security for Windows 並點擊以開啟應⽤程式內容。
7. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
8. 在”密碼防護”塊中，點擊”設定”按鈕。
9. 在“暫時密碼”塊中點擊“設定”按鈕。
10. 開啟“建立暫時密碼”視窗。
11. 在“到期⽇期”欄位中，指定暫時密碼的到期⽇期。
12. 在“暫時密碼範圍”表中，選中使⽤者在輸入暫時密碼後可以執⾏的操作旁邊的核取⽅塊。
13. 單擊“建立”。
將開啟⼀個包含暫時密碼的視窗（請參⾒下圖）。
14. 複製密碼並將其提供給使⽤者。
如何允許使⽤者透過 Web 主控台和雲端主控台⽤暫時密碼執⾏被封鎖的操作

468

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 點擊您想要允許使⽤者在上⾯執⾏被封鎖操作的電腦的名稱。
3. 選取“應⽤程式”標籤。
4. 點擊“Kaspersky Endpoint Security for Windows”。
這將開啟本機應⽤程式設定。
5. 選取“應⽤程式設定”標籤。
6. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
7. 在”密碼防護”塊中，點擊”暫時密碼”按鈕。
8. 在“到期⽇期”欄位中，指定暫時密碼的到期⽇期。
9. 在“暫時密碼範圍”表中，選中使⽤者在輸入暫時密碼後可以執⾏的操作旁邊的核取⽅塊。
10. 單擊“建立”。
包含暫時密碼的視窗將開啟。
11. 複製密碼並將其提供給使⽤者。

暫時密碼密碼防護權限的特殊⽅⾯
密碼防護權限有幾個需要考慮的重要⽅⾯和限制。

配置應⽤程式設定
如果使⽤者的電腦在某個政策下執⾏，請確保政策中的所有必需設定均可編輯（

結束應⽤程式沒有特殊注意事項或限制。
469

內容是開啟的）。

停⽤防護元件
無法為 Everyone 群組授予停⽤防護元件的權限。要允許除 KLAdmin 之外的使⽤者停⽤控制元件，請在“密碼防護”設定中新增具有“停⽤防護元件”權限的使⽤者或群組。
如果使⽤者的電腦在某個政策下執⾏，請確保政策中的所有必需設定均可編輯（內容是開啟的）。

要在應⽤程式設定中停⽤防護元件，使⽤者必須具有“配置應⽤程式設定”權限。
若要從內容功能表中停⽤防護元件（透過使⽤“暫停防護“功能表項⽬），除了“停⽤防護元件”權限外，使⽤者
還必須具有“停⽤控制元件”權限。

停⽤控制元件無法為 Everyone 群組授予停⽤控制元件的權限。要允許除 KLAdmin 之外的使⽤者停⽤控制元件，請在“密碼防護”設定中新增具有“停⽤控制元件”權限的使⽤者或群組。
如果使⽤者的電腦在某個政策下執⾏，請確保政策中的所有必需設定均可編輯（內容是開啟的）。

要在應⽤程式設定中停⽤控制元件，使⽤者必須具有“配置應⽤程式設定”權限。
若要從內容功能表中停⽤控制元件（透過使⽤“暫停防護“功能表項⽬），除了“停⽤防護元件”權限外，使⽤者
還必須具有“停⽤控制元件”權限。

停⽤卡巴斯基安全管理中⼼政策
您不能為“Everyone”群組授予停⽤卡巴斯基安全管理中⼼政策的權限。要允許除 KLAdmin 之外的使⽤者停⽤政策，請在“密碼防護”設定中新增具有“停⽤卡巴斯基安全管理中⼼政策”權限的使⽤者或群組。

刪除⾦鑰
沒有特殊注意事項或限制。

移除/修改/還原程式
如果您允許移除、修改和還原”全部”群組的應⽤程式， 則當使⽤者嘗試執⾏這些操作時 Kaspersky Endpoint
Security 不要求密碼。因此，任何使⽤者（包括來⾃網域之外的使⽤者）可以安裝、修改或者還原應⽤程式。

還原加密磁碟資料的存取權限
只有以 KLAdmin ⾝分登入時，才能還原對加密磁碟機資料的存取。執⾏此操作的權限不能授予給任何其他使⽤者。

檢視報告沒有特殊注意事項或限制。

470從備份區還原沒有特殊注意事項或限制。

重設 KLAdmin 密碼
如果忘記了 KLAdmin 帳⼾密碼，您可以在政策內容中重設密碼。您不能在應⽤程式介⾯中重設密碼。
您可以使⽤暫時密碼執⾏密碼防護的動作。在此情況下，您無需輸入 KLAdmin 憑據。
如果電腦未連線到卡巴斯基安全管理中⼼並且您忘記了 KLAdmin 帳⼾的密碼，則無法還原密碼。
如何使⽤管理主控台 (MMC) 重設 KLAdmin 帳⼾密碼1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 介⾯”。
5. 在”密碼防護”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中，清除“啟⽤密碼防護”核取⽅塊。
7. 儲存變更。
8. 再次選擇“啟⽤密碼防護”核取⽅塊。
9. 點擊“確定”。
這將開啟“管理員密碼”視窗。
10. 指定 KLAdmin 帳⼾的新密碼並確認。
11. 儲存變更。
如何在網⾴主控台和雲端主控台中重設 KLAdmin 帳⼾密碼471

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選取要為其配置本機應⽤程式設定的電腦。
這將開啟電腦內容。
3. 選取“應⽤程式”標籤。
4. 點擊“Kaspersky Endpoint Security for Windows”。
這將開啟本機應⽤程式設定。
5. 選取“應⽤程式設定”標籤。
6. 轉到”⼀般設定”→”介⾯”。
7. 在“密碼防護”下⽅，關閉“密碼防護”開關。
8. 儲存變更。
9. 再次開啟“密碼防護”開關。
10. 指定 KLAdmin 帳⼾的新密碼並確認。
11. 儲存變更。
因此，您的 KLAdmin 帳⼾的密碼會在套⽤政策後得到更新。

472

應⽤程式掃描排除項⽬
信任區域是在其有效時，管理員建立的 Kaspersky Endpoint Security 不進⾏監控的物件和應⽤程式的清單。
考慮到所處理物件的特點和安裝在電腦上的應⽤程式，管理員可以⾃主建立信任區域。當 Kaspersky Endpoint
Security 封鎖存取特定物件或應⽤程式時，如果您確定此物件或應⽤程式是無害的，則有必要將其包含在信任區
域中。管理員還可以允許使⽤者為特定電腦建立⾃⼰的本機受信任區域。這樣，除了政策中的⼀般受信任區域之
外，使⽤者還可以建立⾃⼰的”排除項⽬”和”受信任應⽤程式”的本機清單。

建立掃描排除項⽬“掃描排除項⽬”是⼀組條件，必須滿⾜這些條件，Kaspersky Endpoint Security 才不會掃描特定物件是否存在病毒
和其他威脅。
掃描排除項⽬可確保使⽤者安全地使⽤入侵者⽤於損害電腦或使⽤者資料的合法軟體。儘管這類應⽤程式並不具
備任何惡意功能，它們可能被入侵者利⽤。有關可被犯罪分⼦⽤來破壞電腦或使⽤者個⼈資料的合法軟體的詳細
資訊，請造訪 Kaspersky IT 百科全書網站 。
這類應⽤程式可以被 Kaspersky Endpoint Security 封鎖。若要防⽌它們被封鎖，您可以為正在使⽤的應⽤程式排除掃描排除項⽬。為此，請將 Kaspersky IT 百科全書中列出的名稱或名稱遮罩新增到受信任區域。例如，您經常
使⽤ Radmin 應⽤程式來遠端管理電腦。Kaspersky Endpoint Security 會將這些活動看做潛在危險並進⾏封鎖。若要防⽌應⽤程式被封鎖，請使⽤ Kaspersky IT 百科全書中列出的名稱或名稱遮罩建立掃描排除項⽬。
如果您電腦上安裝的某個應⽤程式收集資訊並將其傳送以供處理，則 Kaspersky Endpoint Security 可能會將其歸類為惡意軟體。若要避免此資訊，您可以按照文件所述透過配置 Kaspersky Endpoint Security 從掃描中排除此應
⽤程式。
掃描排除項⽬可⽤於下列特定應⽤程式元件和系統管理員配置的⼯作：
⾏為偵測弱點利⽤防禦
主機入侵防禦
檔案威脅防護Web 威脅防護
郵件威脅防護惡意軟體掃描⼯作。
如果包含某個物件的磁碟或資料夾在掃描⼯作啟動時包括在掃描範圍中，則 Kaspersky Endpoint Security 將
不對此物件進⾏掃描。但是，當啟動了針對該特殊物件的⾃訂掃描⼯作時，掃描排除項⽬將不應⽤。
如何在管理主控台 (MMC) 中建立掃描排除項⽬

473

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 排除項⽬”。
5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選擇“掃描排除項⽬”標籤。
這將開啟包含排除項⽬清單的視窗。
7. 如果要為公司內的所有電腦建立排除項⽬的綜合清單，請選取“繼承時合併值”核取⽅塊。將合併⽗政策和⼦政策中的排除項⽬清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的排除項⽬以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的排除項⽬。
8. 如果想要使⽤者能夠建立本機排除項⽬清單，請選中“允許使⽤本機排除項⽬“核取⽅塊。這樣，除了在政
策中產⽣的排除項⽬的⼀般清單外，使⽤者还可以建立⾃⼰的排除項⽬本機清單。管理員可以使⽤卡巴
斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的排除項⽬的⼀般清單。
9. 單擊“新增”。
10. 要從掃描中排除某個檔案或資料夾，請執⾏以下操作：

排除項⽬設定a. 在“內容“塊中，選中“檔案或資料夾”核取⽅塊。
b. 點擊“掃描排除項⽬說明(點擊下劃線項⽬進⾏編輯)”塊中的“選擇檔案或資料夾”連接以開啟“檔案或資料
夾名稱“視窗。

474選擇檔案或資料夾

a. 輸入檔案或資料夾名稱，或者檔案或資料夾名稱遮罩，或者點擊“瀏覽”選取資料夾樹狀⽬錄中的檔案
或資料夾。
使⽤遮罩：
*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾
中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT
副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔
案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所
有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在路徑的開始、中間或者結尾使⽤遮罩。例如，如果您想要將⼀個針對所有使⽤者的資料夾新
增到排除項⽬，請輸入 C:\Users\*\Folder\ 遮罩。
Kaspersky Endpoint Security ⽀援環境變數當使⽤卡巴斯基安全管理中⼼主控台產⽣排除項⽬清單時，Kaspersky Endpoint Security 不⽀援“%userprofile%”環境變量。若要將項⽬套⽤到所有使⽤者帳⼾，您可以使⽤ * 字元（例如，C:\Users\*\Documents\File.exe）。無論何時新增新的環境變數，您都需要重啟應⽤程式。
b. 儲存變更。
11. 要從掃描中排除帶有指定名稱的物件，請執⾏以下操作：
a. 在“內容“塊中，選中“物件名稱”核取⽅塊。
b. 點擊“掃描排除項⽬說明(點擊下劃線項⽬進⾏編輯)“塊中的”輸入物件名稱“連接，開啟“物件名稱“視
窗。

選擇項⽬

a. 根據 Kaspersky 百科全書 的分類輸入物件的名稱（例如，Email-Worm、Rootkit 或RemoteAdmin）。
您可以⽤?字元（替換任何單個字元）和*字元（替換任意數量的字元）來使⽤遮罩。例如，如果指定了Client*遮罩，則 Kaspersky Endpoint Security 將從掃描中排除Client-IRC、Client-P2P和Client-SMTP物件。
b. 儲存變更。
12. 如果要從掃描中排除單個檔案，請：475

a. 在“內容“塊中，選中“物件雜湊”核取⽅塊。
b. 點擊“輸入物件路徑”連接以開啟“物件雜湊“視窗。

選擇檔案a. 輸入檔案雜湊或點擊“瀏覽”按鈕選擇檔案。
如果檔案被修改，檔案雜湊也將被修改。如果發⽣這種情況，修改後的檔案將不會新增到排除項⽬中。
b. 儲存變更。
13. 如有必要，在“註解”欄位，輸入您建立的掃描排除項⽬的簡要說明。
14. 指定應該使⽤掃描排除項⽬的 Kaspersky Endpoint Security 元件：
a. 點選“掃描排除項⽬說明(點擊下劃線項⽬進⾏編輯)”塊中的“任何”連結可開啟“選擇元件”連結。
b. 點擊“選擇元件”連結以開啟“防護元件”視窗。

選擇防護元件a. 選取必須應⽤掃描排除項⽬的元件旁的核取⽅塊。
b. 儲存變更。
如果在掃描排除項⽬設定中指定了元件，則只有在 Kaspersky Endpoint Security 的這些元件掃描期間才會
應⽤該排除項⽬。
如果在掃描排除項⽬的設定中沒有指定元件，則在 Kaspersky Endpoint Security 的所有元件掃描期間都會
套⽤該排除規則。
15. 您可以使⽤核取⽅塊隨時停⽌排除項⽬。
16. 儲存變更。
如何在網⾴主控台和 Cloud Console 中掃描排除項⽬

476

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”排除項⽬和偵測到的物件類型”。

排除項⽬設定5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”掃描排除項⽬”連接。
6. 如果要為公司內的所有電腦建立排除項⽬的綜合清單，請選取“繼承時合併值”核取⽅塊。將合併⽗政策和⼦政策中的排除項⽬清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的排除項⽬以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的排除項⽬。
7. 如果想要使⽤者能夠建立本機排除項⽬清單，請選中“允許使⽤本機排除項⽬“核取⽅塊。這樣，除了在政
策中產⽣的排除項⽬的⼀般清單外，使⽤者还可以建立⾃⼰的排除項⽬本機清單。管理員可以使⽤卡巴
斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的排除項⽬的⼀般清單。
8. 點擊“新增”按鈕。

477

排除項⽬設定

9. 選擇要如何新增排除項⽬：檔案或資料夾，物件名稱或物件雜湊。
10. 要從掃描中排除某個檔案或資料夾，請⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境
變量以及*和?字元：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\**\*.txt
將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶
TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在路徑的開始、中間或者結尾使⽤遮罩。例如，如果您想要將⼀個針對所有使⽤者的資料夾新
增到排除項⽬，請輸入 C:\Users\*\Folder\ 遮罩。
11. 如果要從掃描中排除特定類型的物件，請在“物件名稱“欄位中根據 Kaspersky 百科全書 的分類輸入物件
的名稱（例如，Email-Worm、Rootkit 或 RemoteAdmin）。

478

您可以⽤?字元（替換任何單個字元）和*字元（替換任意數量的字元）來使⽤遮罩。例如，如果指定了
Client*遮罩，則 Kaspersky Endpoint Security 將從掃描中排除Client-IRC、Client-P2P和ClientSMTP物件。
12. 如果要從掃描中排除單個檔案，請在“物件雜湊“欄位中輸入檔案雜湊。
如果檔案被修改，檔案雜湊也將被修改。如果發⽣這種情況，修改後的檔案將不會新增到排除項⽬中。
13. 在“防護元件“塊中，選擇要掃描排除項⽬套⽤的元件。
14. 如有必要，在“註釋”欄位，輸入您建立的掃描排除項⽬的簡要說明。
15. 您可以隨時使⽤開關停⽌排除。
16. 儲存變更。
如何在應⽤程式介⾯中建立掃描排除項⽬

479

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。
3. 在”排除項⽬”塊中，點擊”管理排除項⽬”連接。

排除項⽬設定4. 單擊“新增”。
5. 如果要從掃描中排除某個檔案或資料夾，請點擊“瀏覽“按鈕選擇檔案或資料夾。
您也可以⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\**\*.txt
將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和
資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶
TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在路徑的開始、中間或者結尾使⽤遮罩。例如，如果您想要將⼀個針對所有使⽤者的資料夾新
增到排除項⽬，請輸入 C:\Users\*\Folder\ 遮罩。

480

6. 如果要從掃描中排除特定類型的物件，請在“物件“欄位中根據 Kaspersky 百科全書 的分類輸入物件的名
稱（例如，Email-Worm、Rootkit 或 RemoteAdmin）。
您可以⽤?字元（替換任何單個字元）和*字元（替換任意數量的字元）來使⽤遮罩。例如，如果指定了
Client*遮罩，則 Kaspersky Endpoint Security 將從掃描中排除Client-IRC、Client-P2P和ClientSMTP物件。
7. 如果要從掃描中排除單個檔案，請在“檔案雜湊“欄位中輸入檔案雜湊。
如果檔案被修改，檔案雜湊也將被修改。如果發⽣這種情況，修改後的檔案將不會新增到排除項⽬中。
8. 在“防護元件“塊中，選擇要掃描排除項⽬套⽤的元件。
9. 如有必要，在“註解”欄位，輸入您建立的掃描排除項⽬的簡要說明。
10. 選擇排除項⽬的“啟動”狀態。
您可以使⽤開關隨時停⽌排除項⽬。
11. 儲存變更。

排除項⽬清單

路徑遮罩⽰例：
位於任意資料夾的檔案的路徑：遮罩 *.exe 將包括具有 exe 副檔名的檔案的所有路徑。
遮罩 example* 將包括名為 EXAMPLE 的檔案的所有路徑。
位於指定資料夾的檔案的路徑：481

遮罩 C:\dir\*.* 將包括位於 C:\dir\ 資料夾中的所有檔案的路徑，但不包括 C:\dir\ 的⼦資料夾中的檔案的路徑。
遮罩 C:\dir\* 將包括位於 C:\dir\ 資料夾中的所有檔案的路徑，包括 C:\dir\ 的⼦資料夾中的檔案的路
徑。
遮罩 C:\dir\ 將包括位於 C:\dir\ 資料夾中的所有檔案的路徑，包括 C:\dir\ 的⼦資料夾中的檔案的路
徑。
遮罩 C:\dir\*.exe 將包括位於 C:\dir\ 資料夾中具有 EXE 副檔名的所有檔案的路徑，但不包括 C:\dir\的⼦資料夾中的此類檔案的路徑。
遮罩 C:\dir\test 將包括位於 C:\dir\ 資料夾中名為“test”的所有檔案的路徑，但不包括 C:\dir\ 的⼦資料
夾中的此類檔案的路徑。
遮罩 C:\dir\*\test 將包括位於 C:\dir\ 資料夾及 C:\dir\ 的⼦資料夾中名為“test”的所有檔案的路徑。
遮罩 C:\dir1\*\dir3\ 將把 dir3 ⼦資料夾⼀個級別中的所有檔案路徑包括在 C:\dir1\ 資料夾中。
遮罩 C:\dir1\**\dirN\ 將包括 C:\dir1\ 資料夾中任何級別的 dirN ⼦資料夾中的所有檔案路徑。
位於所有資料夾中具有指定名稱的檔案的路徑：遮罩 dir\*.* 將包括名為“dir”的資料夾中的所有檔案的路徑，但不包括這些資料夾的⼦資料夾中的檔案的路徑。
遮罩 dir\* 將包括名為“dir”的資料夾中的所有檔案的路徑，但不包括這些資料夾的⼦資料夾中的檔案的路徑。
遮罩 dir\ 將包括名為“dir”的資料夾中的所有檔案的路徑，但不包括這些資料夾的⼦資料夾中的檔案的路徑。
遮罩 dir\*.exe 將包括名為“dir”的資料夾中具有 EXE 副檔名的所有檔案的路徑，但不包括這些資料夾的⼦資料夾中的此類檔案的路徑。
遮罩 dir\test 將包括名為“dir”的資料夾中名為“test”的所有檔案的路徑，但不包括這些資料夾的⼦資料
夾中的此類檔案的路徑。

選擇可偵測的威脅類型
若要選取可偵測的威脅類型，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。
3. 在“偵測到的物件類型“塊中，請選取您想要 Kaspersky Endpoint Security 偵測威脅類型旁邊的核取⽅塊：
病毒和蠕蟲 ；

482

⼦分類：病毒和蠕蟲 (Viruses_and_Worms)
威脅等級：⾼
典型的病毒和蠕蟲會執⾏未經使⽤者授權的操作。它們會建立可⾃我複製的副本。
典型病毒
典型病毒侵入電腦後，會感染檔案，啟動並執⾏惡意操作，以及將⾃⾝的副本新增到其他檔案中。
典型病毒僅在電腦本機資源上複製副本，不會⾃⾏侵入其他電腦。僅當此病毒將其副本新增⾄儲存在
共⽤資料夾或放入電腦中的 CD 中的檔案時，或者在使⽤者傳送附有受感染檔案的電⼦郵件訊息時，
此病毒才會傳染給其他電腦。
典型病毒代碼可以入侵電腦、作業系統和應⽤程式的各種區域。根據具體的環境，病毒可分為檔案病
毒、引導磁區病毒、指令碼病毒和巨集病毒。
病毒可以使⽤多種不同的技術來感染檔案。覆蓋病毒會使⽤其代碼覆蓋受感染檔案的代碼，從⽽抹除檔案的內容。感染的檔案會停⽌發揮作⽤，且無法還原。寄⽣病毒會修改檔案，從⽽使⾃⾝發揮全部
或部分功能。伴隨病毒不會修改檔案，⽽是建立副本。當您開啟受感染的檔案時會啟動此檔案的副本（實際上是病毒）。您也會遇到以下類型的病毒：連結病毒、OBJ 病毒、LIB 病毒、原始程式碼病毒
和許多其他病毒。
蠕蟲與典型病毒⼀樣，蠕蟲在侵入電腦後，其代碼將啟動並執⾏惡意操作。之所以稱為蠕蟲，是因為它們
能夠從⼀台電腦“爬”到另⼀台電腦，並不需使⽤者權限即可透過許多資料通道來傳播副本。
可⽤於區分各種類型蠕蟲的主要特徵是蠕蟲的傳播⽅式。下表提供了各種類型蠕蟲的概覽，這些蠕蟲
按其傳播⽅式進⾏了分類。
蠕蟲傳播⽅式

類型

名稱

電⼦
郵件
蠕蟲

電⼦
郵件
蠕蟲

這些蠕蟲透過電⼦郵件傳播。

IM 蠕
蟲

即時
通訊
⽤⼾
端蠕
蟲

它們透過 IM 傳播。

IRC
蠕蟲

網際
網路
聊天
蠕蟲

這些蠕蟲會透過網際網路中繼聊天（允許透過網際網路與其他⼈即時通信的服務系統）傳播。

網路蠕蟲這些蠕蟲透過電腦網路傳播。

網路
蠕蟲

描述

受感染的電⼦郵件訊息包含帶有蠕蟲副本的附件，或指向上傳到可能已被攻擊或者專⾨建立⽤於傳播蠕蟲的網站上某檔案的連結。開啟此附件時，蠕蟲將被啟動。在您點擊此連結，進⾏下載，然後開啟檔案時，蠕蟲還會開始執⾏其惡
意操作。之後，蠕蟲會繼續傳播其副本，搜尋其他電⼦郵件信箱，並向它們傳
送受感染的郵件。
通常，此類蠕蟲會利⽤使⽤者的連絡⼈清單傳送訊息，其中包含指向某網站上帶有蠕蟲副本的檔案的連結。使⽤者下載並開啟檔案時，蠕蟲將被啟動。

這些蠕蟲會在網際網路聊天中發佈包含⾃⾝副本的檔案或指向此檔案的連結。
使⽤者下載並開啟檔案時，蠕蟲將被啟動。

483

與其他類型的蠕蟲不同，典型的網路蠕蟲不需使⽤者參與即可傳播。它會掃描區域網路來尋找安裝了有弱點的程式的電腦。為此，它會傳送特殊格式的網路
封包（弱點），其中包含蠕蟲代碼或部分蠕蟲代碼。如果網路上存在“有弱點”的電腦，此電腦會接收到此種網路封包。蠕蟲完全入侵電腦後，將被啟動。
P2P
蠕蟲

檔案
共⽤
網路
蠕蟲

它們透過點對點檔案共⽤網路傳播。
為了滲透到 P2P 網路，蠕蟲會將⾃⾝複製到通常位於使⽤者電腦上的檔案共⽤
資料夾中。P2P 網路會顯⽰有關此檔案的資訊，以便使⽤者可以在網路中像任何其他檔案⼀樣“找到”受感染的檔案，然後下載並開啟此檔案。
更加狡猾的蠕蟲會模仿特定 P2P 網路的網路協定：它們會返回對搜尋程式的積
極回應，並提供⾃⾝的副本供下載。

蠕蟲

其他
類型
的蠕
蟲

其他類型的蠕蟲包括：透過網路資源傳播⾃⾝副本的蠕蟲。透過使⽤作業系統的功能，它們掃描可
⽤的網路資料夾，連線到網際網路上的電腦，並嘗試獲取對磁碟機的完全存取。與之前描述的蠕蟲類型不同，其他類型的蠕蟲不會⾃⾏啟動，⽽是在使
⽤者開啟包含蠕蟲副本的檔案時啟動。
不使⽤上表中所述的任何⽅式進⾏傳播的蠕蟲（例如，透過⼿機傳播的蠕蟲）。

⽊⾺ (包含勒索軟體) ；484

⼦類別：⽊⾺程式
威脅等級：⾼與蠕蟲和病毒不同，⽊⾺不能進⾏⾃我複製。例如，使⽤者存取受感染的網⾴時，它們會透過電⼦郵件或瀏覽器侵入電腦。⽊⾺透過使⽤者參與⽽啟動。⽊⾺啟動後即會開始執⾏惡意操作。
在受感染的電腦上，不同的⽊⾺會表現出不同的⾏為。⽊⾺的主要功能包括封鎖、修改或破壞資訊，
以及停⽤電腦或網路。⽊⾺還可以接收或傳送檔案，在螢幕上顯⽰訊息，請求網⾴，下載和安裝程
式，以及重新啟動電腦。
駭客通常使⽤各種不同⽊⾺的“集合”。
下表中介紹了⽊⾺⾏為的類型。
受感染電腦上⽊⾺⾏為的類型

類型

名稱

⽊⾺炸
彈

⽊⾺ –“壓
縮檔案炸
彈”

解壓縮時，這些壓縮檔案的⼤⼩會急劇增加，從⽽影響電腦的操作。

後⾨

⽤於遠端
管理的⽊
⾺

此種⽊⾺被視為最危險的⽊⾺類型。在功能⽅⾯，這些⽊⾺與安裝在電腦
上的遠端管理應⽤程式相似。

⽊⾺

⽊⾺包括以下惡意應⽤程式：

⽊⾺描述

使⽤者嘗試解壓縮這種壓縮檔案時，電腦可能會執⾏緩慢或停⽌執⾏；硬碟可能會充滿“空⽩”資料。“壓縮檔案炸彈”對於檔案和郵件伺服器尤為危險。如果伺服器使⽤⾃動系統處理接收資訊，則“壓縮檔案炸彈”可能會中斷伺服器執⾏。

這些程式會在不被使⽤者發覺的情況下將⾃⾝安裝到電腦上，以便入侵者
遠端管理電腦。

典型⽊⾺。這些程式僅執⾏⽊⾺的主要功能：封鎖、修改或破壞資訊，以及停⽤電腦或網路。它們沒有任何進階功能，與表中描述的其他類型的⽊⾺不同。
萬能⽊⾺。這些程式具有多種典型⽊⾺類型的進階功能。
勒索⽊
⾺

勒索⽊⾺

這些⽊⾺將使⽤者資訊作為“⼈質”，修改或封鎖資訊，或者影響電腦的操
作，以使使⽤者無法使⽤資訊。入侵者向使⽤者進⾏勒索，許諾傳送應⽤
程式來還原電腦的效能以及電腦上儲存的資料。

⽊⾺點
擊器

⽊⾺點擊
器

這些⽊⾺透過⾃⾏向瀏覽器傳送指令或變更在作業系統檔案中指定的網址
的⽅式，從使⽤者的電腦存取網⾴。
透過使⽤這些程式，入侵者進⾏網路攻擊並提⾼網站存取量，從⽽增加條
幅廣告的顯⽰次數。

⽊⾺下
載器

⽊⾺下載
器

這些⽊⾺會存取入侵者的網⾴，從中下載其他惡意應⽤程式，並將它們安
裝到使⽤者的電腦。這些⽊⾺包含要下載的惡意應⽤程式的檔案名稱，或從存取的網⾴中接收此檔案名稱。

⽊⾺釋
放器

⽊⾺釋放
器

這些⽊⾺包含安裝在硬碟磁碟機上並隨後進⾏安裝的其他⽊⾺。
入侵者可能會使⽤⽊⾺釋放器類型的程式來達到以下⽬的：
未通知使⽤者就安裝惡意應⽤程式：⽊⾺釋放器類型的程式不會顯⽰
訊息，或者會顯⽰虛假訊息，例如通知壓縮檔案中存在錯誤或作業系
統的版本不相容。

485

防護另⼀個已知惡意應⽤程式不被偵測：並非所有病毒防護軟體都可偵測到⽊⾺釋放器類型應⽤程式中的惡意應⽤程式。
通知型
⽊⾺

通知型⽊
⾺

這些⽊⾺會通知入侵者受感染的電腦可供存取，並向入侵者傳送有關電腦的資訊：IP 位址、已開放埠號或電⼦郵件信箱。它們透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式與入侵者聯絡。
通知型⽊⾺類型的程式通常⽤於包含多種⽊⾺的集合中。這些⽊⾺會通知
入侵者其他⽊⾺已成功安裝到使⽤者的電腦。

代理型
⽊⾺

代理型⽊
⾺

這些⽊⾺允許入侵者使⽤使⽤者的電腦匿名存取網⾴，它們通常⽤於傳送
垃圾郵件。

盜號⽊
⾺

密碼竊盜
軟體

密碼竊盜軟體是竊盜使⽤者帳⼾（如軟體註冊資料）的⼀種⽊⾺。這些密碼會尋找系統檔案和登錄檔中包含的機密資料，並透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式將機密資料傳送給“攻擊者”。
部分這些⽊⾺分類為此表中敘述的單獨類型。這些⽊⾺會盜竊銀⾏帳⼾（網銀竊賊⽊⾺），竊取 IM ⽤⼾端使⽤者的資料（IM ⽊⾺），以及盜竊
線上遊戲使⽤者的資訊（遊戲竊賊⽊⾺）。

間諜⽊
⾺

間諜⽊⾺

這些⽊⾺暗中監視使⽤者，收集有關使⽤者使⽤電腦時所做的操作的資訊。它們可能會攔截使⽤者透過鍵盤輸入的資料，截取螢幕，或收集活動
應⽤程式的清單。收到資訊後，這些⽊⾺會透過電⼦郵件、FTP、存取入
侵者的網⾴或以其他⽅式將資訊傳輸給入侵者。

分散式
拒絕服
務攻擊
⽊⾺

⽊⾺網路
攻擊者

這些⽊⾺會從使⽤者電腦將⼤量請求傳送⾄遠端伺服器。伺服器缺少資源來處理所有請求，因此會停⽌執⾏（拒絕服務，或簡稱為 DoS）。駭客
通常會使⽤這些程式感染許多電腦，以使⽤這些電腦來同時攻擊⼀個伺服器。
DoS 程式在使⽤者知悉的情況下從⼀台電腦發起攻擊。DDoS（分散式DoS）程式在不被受感染電腦使⽤者發覺的情況下從多台電腦發起分散式
攻擊。

⽊⾺ IM

從 IM ⽤
⼾端使⽤
者那裡竊
取資訊的
⽊⾺

它們會竊取 IM ⽤⼾端使⽤者的帳⼾和密碼。這些⽊⾺會透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式將資料傳輸給入侵者。

Rootkit

Rootkits

這些⽊⾺會掩蓋其他惡意應⽤程式及其活動，從⽽延⻑這些應⽤程式在作
業系統中持續存在的時間。它們還會隱藏檔案、受感染電腦記憶體中的處
理程序或執⾏惡意應⽤程式的登錄機碼。Rootkit 會掩蓋使⽤者電腦上的
應⽤程式與網路上其他電腦之間進⾏的資料交換。

⽊⾺
SMS

SMS 格
式的⽊⾺

這些⽊⾺會感染⼿機，向額外收費的⼿機號碼傳送 SMS。

遊戲竊
賊⽊⾺

從線上遊
戲使⽤者
那裡竊取
資訊的⽊
⾺

這些⽊⾺會竊取線上遊戲使⽤者的帳⼾憑證，然後將這些憑證透過電⼦郵
件、FTP、存取駭客的網⾴或以其他⽅式傳送給駭客。

網銀竊
賊⽊⾺

竊取銀⾏
帳⼾的⽊
⾺

這些⽊⾺會竊取銀⾏帳⼾資料或電⼦貨幣系統資料，然後將這些資料透過
電⼦郵件、FTP、存取駭客的網⾴或以其他⽅式傳送給駭客。

郵件偵
測⽊⾺

收集電⼦
郵件信箱
的⽊⾺

這些⽊⾺會收集儲存在電腦上的電⼦郵件信箱，然後透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式將它們傳送給入侵者。入侵者可能會向收集到的位址傳送垃圾郵件。

惡意⼯具 ；
486

⼦類別：惡意⼯具
危險等級：中與其他類型的惡意軟體不同，惡意⼯具在啟動過後不會執⾏其操作。惡意⼯具可以在使⽤者的電腦上
安全地儲存和啟動。入侵者通常使⽤這些程式的功能來建立病毒、蠕蟲和⽊⾺，對遠端伺服器進⾏網路入侵，攻擊電腦或執⾏其他惡意操作。
惡意⼯具的各種功能按下表中所述的類型進⾏分組。
惡意⼯具的功能

類型

名稱

描述

構建
器

構建器

透過它們可以建立新的病毒、蠕蟲和⽊⾺。⼀些構建器揚⾔構建了基於視窗
的標準介⾯，使⽤者可在此介⾯中選擇要建立的惡意應⽤程式的類型，對付
偵錯⼯具的⽅式，以及其他功能。

拒絕
服務
攻擊

網路攻
擊

這些⽊⾺會從使⽤者電腦將⼤量請求傳送⾄遠端伺服器。伺服器缺少資源來
處理所有請求，因此會停⽌執⾏（拒絕服務，或簡稱為 DoS）。

弱點弱點

弱點是⼀組資料或程式碼，利⽤處理它們的應⽤程式的缺陷對電腦執⾏惡意操作。例如，弱點可以寫入或讀取檔案，或請求“受感染”的網⾴。

不同的弱點會利⽤不同應⽤程式或網路服務的缺陷。弱點會偽裝成網路封包
透過網路傳輸到許多電腦，然後搜尋網路服務存在缺陷的電腦。DOC 檔案中
的弱點會利⽤文字編輯器的缺陷。在使⽤者開啟受感染的檔案時，它可能會
開始執⾏駭客程式設計的操作。嵌入在電⼦郵件訊息中的弱點會搜尋電⼦郵件⽤⼾端的缺陷。使⽤者在電⼦郵件⽤⼾端中開啟受感染的郵件時，弱點會
立即開始執⾏惡意操作。
網路蠕蟲會使⽤弱點透過網路進⾏傳播。Nuker 弱點是可停⽤電腦的網路封
包。
檔案
加密
器

加密器

加密器會加密其他惡意應⽤程式，以隱藏它們不被防毒應⽤程式發現。

洪⽔
攻擊
器

⽤於“污
染”網路
的程式

這些程式會透過網路通道傳送⼤量郵件。例如，此類型的⼯具包括污染網際
網路中繼聊天的程式。

駭客
⼯具

駭客⼯
具

這些⼯具可以破壞其所在的電腦，或攻擊其他電腦（例如，未經使⽤者許可新增新系統帳⼾，或清除系統⽇誌以隱藏在作業系統中的存在路徑）。這種
類型的⼯具包括⼀些具有惡意功能的嗅探器，例如密碼截取。嗅探器是允許
檢視網路流量的程式。

惡作
劇程
式

惡作劇
程式

這些程式會警告使⽤者類似病毒的訊息：它們可能會在未受感染的檔案中“偵測到病毒”，或通知使⽤者磁碟已被格式化，儘管這些情況實際並未發⽣。

位址
欺騙
程式

位址欺
騙⼯具

這些⼯具使⽤偽造的寄件者位址傳送郵件和網路請求。例如，入侵者會使⽤位址欺騙程式類型的⼯具來掩蓋他們作為郵件實際寄件者的事實。

病毒
修改
⼯具

修改惡
意應⽤
程式的
⼯具

透過這些⼯具可以修改其他惡意軟體，隱藏它們不被防毒程式發現。

洪⽔攻擊器⼯具不包括“污染”電⼦郵件、IM ⽤⼾端以及⾏動通信系統所使⽤通道的程式。這些程式可分為表中介紹的各種類型（電⼦郵件洪⽔攻擊器、IM
洪⽔攻擊器和 SMS 洪⽔攻擊器）。

487

電⼦
郵件
洪⽔
攻擊
器

“污染”
電⼦郵
件信箱
的程式

這些程式會向各種電⼦郵件信箱傳送⼤量郵件，從⽽“污染”這些位址。⼤量的
接收郵件會妨礙使⽤者檢視收件箱中的有⽤郵件。

IM 洪
⽔攻
擊器

“污染”
IM 流量
的程式

它們向 IM 的使⽤者傳送⼤量訊息。⼤量的資訊會妨礙使⽤者檢視有⽤的接收
資訊。

SMS
洪⽔
攻擊
器

使⽤
SMS“污
染”流量
的程式

這些程式向⼿機傳送⼤量 SMS。

廣告軟體 ；

⼦類別：廣告軟體；威脅等級：中廣告軟體向使⽤者顯⽰廣告資訊。廣告軟體程式會在其他程式的介⾯中顯⽰條幅廣告，並將搜尋查詢重新導向⾄廣告網⾴。某些廣告軟體程式會收集有關使⽤者的⾏銷資訊，並將其傳送給開發者：此資訊可能包括使⽤者存取的網站的名稱，或使⽤者搜尋查詢的內容。與間諜⽊⾺類型的程式不同，廣告軟體程式會在使⽤者許可的情況下將此資訊傳送給開發者。
⾃動撥號程式 ；488

⼦類別：可能會被犯罪分⼦⽤來破壞電腦或個⼈資料的合法軟體。
危險等級：中⼤多數這些應⽤程式都很有⽤，因此有許多使⽤者使⽤它們。這些應⽤程式包括 IRC ⽤⼾端、⾃動撥號器、檔案下載程式、電腦系統活動監控器、密碼實⽤程式以及⽤於 FTP、HTTP 和 Telnet 的網際網
路伺服器。
但是，如果入侵者獲得了這些程式的存取權限，或如果他們在使⽤者的電腦上安置這些程式，應⽤程
式的某些功能可能會被⽤來危害安全。
這些應⽤程式具有不同的功能，下表介紹了它們的類型。

類型

名稱

描述

⽤⼾
端
IRC

網際網
路聊天
⽤⼾端

使⽤者安裝這些程式與他⼈進⾏網際網路中繼聊天。入侵者使⽤這些程式來
傳播惡意軟體。

撥號
器

⾃動撥
號程式

它們可以在隱藏模式下透過數據機建立電話連線。

下載
器

⽤於下
載的程
式

這些程式可以在隱藏模式下從網⾴下載檔案。

監控
器

⽤於監
控的程
式

這些程式可監控其安裝到的電腦上的活動（檢視哪些應⽤程式正在活動，以及它們如何與安裝在其他電腦上的應⽤程式交換資料）。

密碼
⼯具

密碼還
原器

透過它們可以檢視和還原已忘記的密碼。入侵者出於相同的⽬的，秘密地將
它們安置在使⽤者的電腦上。

遠端
管理
程式

遠端管
理程式

系統管理員廣泛使⽤的⼀些程式。透過這些程式可以獲取對遠端電腦介⾯的存取權限，以監控和管理此電腦。入侵者出於同樣的⽬的，秘密地將它們安
置在使⽤者的電腦上：⽤於監控和管理遠端電腦。
合法的遠端管理程式與實現遠端管理的後⾨類型的⽊⾺不同。⽊⾺能夠獨⾃
入侵作業系統並⾃⾏安裝；合法的程式則無法做到這些。

FTP
服務
程式

FTP 伺
服器

這些程式可起到 FTP 伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以開啟透過 FTP 對此電腦的遠端存取。

代理
服務
程式

代理伺
服器

這些程式可起到代理伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以使⽤者名義傳送垃圾郵件。

Telnet服務
程式

Telnet伺服器

這些程式可起到 Telnet 伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以開啟透過 Telnet 對此電腦的遠端存取。

Web
服務
程式

Web 伺
服器

這些程式可起到 Web 伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以開啟透過 HTTP 對此電腦的遠端存取。

風險
⼯具

在本機
電腦上
⼯作的
⼯具

在使⽤者⾃⼰的電腦上⼯作時，這些⼯具會為使⽤者提供其他選項。透過這些⼯具，使⽤者可以隱藏檔案或活動應⽤程式的視窗，並終⽌活動的處理程
序。

網路

網路⼯

與網路上的其他電腦配合⼯作時，這些⼯具會為使⽤者提供其他選項。透過
489

⼯具

具

這些⼯具可以進⾏重新啟動，偵測開放的連接埠，以及啟動安裝在電腦上的
應⽤程式。

P2P
⽤⼾
端

P2P 網
路⽤⼾
端

透過它們可以在對等網路中⼯作。入侵者可能會利⽤它們傳播惡意軟體。

⽤⼾
端
SMTP

SMTP
⽤⼾端

它們未經使⽤者的同意便傳送電⼦郵件。入侵者將它們安置在使⽤者電腦
上，以使⽤者名義傳送垃圾郵件。

Web
⼯具
列

Web ⼯
具列

它們會向其他應⽤程式的介⾯中新增⼯具列，以使⽤搜尋引擎。

欺騙
⼯具

欺騙程
式

這些程式將⾃⼰偽裝為其他程式。例如，⼀些欺騙防毒程式會顯⽰有關惡意軟體偵測的資訊。但實際上，它們並未找到任何內容或進⾏解毒。

偵測可被入侵者利⽤以破壞您的電腦或個⼈資料的其他軟體 ；490

⼦類別：可能會被犯罪分⼦⽤來破壞電腦或個⼈資料的合法軟體。
危險等級：中⼤多數這些應⽤程式都很有⽤，因此有許多使⽤者使⽤它們。這些應⽤程式包括 IRC ⽤⼾端、⾃動撥號器、檔案下載程式、電腦系統活動監控器、密碼實⽤程式以及⽤於 FTP、HTTP 和 Telnet 的網際網
路伺服器。
但是，如果入侵者獲得了這些程式的存取權限，或如果他們在使⽤者的電腦上安置這些程式，應⽤程
式的某些功能可能會被⽤來危害安全。
這些應⽤程式具有不同的功能，下表介紹了它們的類型。

類型

名稱

描述

⽤⼾
端
IRC

網際網
路聊天
⽤⼾端

使⽤者安裝這些程式與他⼈進⾏網際網路中繼聊天。入侵者使⽤這些程式來
傳播惡意軟體。

撥號
器

⾃動撥
號程式

它們可以在隱藏模式下透過數據機建立電話連線。

下載
器

⽤於下
載的程
式

這些程式可以在隱藏模式下從網⾴下載檔案。

監控
器

⽤於監
控的程
式

這些程式可監控其安裝到的電腦上的活動（檢視哪些應⽤程式正在活動，以及它們如何與安裝在其他電腦上的應⽤程式交換資料）。

密碼
⼯具

密碼還
原器

透過它們可以檢視和還原已忘記的密碼。入侵者出於相同的⽬的，秘密地將
它們安置在使⽤者的電腦上。

遠端
管理
程式

遠端管
理程式

系統管理員廣泛使⽤的⼀些程式。透過這些程式可以獲取對遠端電腦介⾯的存取權限，以監控和管理此電腦。入侵者出於同樣的⽬的，秘密地將它們安
置在使⽤者的電腦上：⽤於監控和管理遠端電腦。
合法的遠端管理程式與實現遠端管理的後⾨類型的⽊⾺不同。⽊⾺能夠獨⾃
入侵作業系統並⾃⾏安裝；合法的程式則無法做到這些。

FTP
服務
程式

FTP 伺
服器

這些程式可起到 FTP 伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以開啟透過 FTP 對此電腦的遠端存取。

代理
服務
程式

代理伺
服器

這些程式可起到代理伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以使⽤者名義傳送垃圾郵件。

Telnet服務
程式

Telnet伺服器

這些程式可起到 Telnet 伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以開啟透過 Telnet 對此電腦的遠端存取。

Web
服務
程式

Web 伺
服器

這些程式可起到 Web 伺服器的作⽤。入侵者將它們安置在使⽤者電腦上，以開啟透過 HTTP 對此電腦的遠端存取。

風險
⼯具

在本機
電腦上
⼯作的
⼯具

在使⽤者⾃⼰的電腦上⼯作時，這些⼯具會為使⽤者提供其他選項。透過這些⼯具，使⽤者可以隱藏檔案或活動應⽤程式的視窗，並終⽌活動的處理程
序。

網路

網路⼯

與網路上的其他電腦配合⼯作時，這些⼯具會為使⽤者提供其他選項。透過
491

⼯具

具

這些⼯具可以進⾏重新啟動，偵測開放的連接埠，以及啟動安裝在電腦上的
應⽤程式。

P2P
⽤⼾
端

P2P 網
路⽤⼾
端

透過它們可以在對等網路中⼯作。入侵者可能會利⽤它們傳播惡意軟體。

⽤⼾
端
SMTP

SMTP
⽤⼾端

它們未經使⽤者的同意便傳送電⼦郵件。入侵者將它們安置在使⽤者電腦
上，以使⽤者名義傳送垃圾郵件。

Web
⼯具
列

Web ⼯
具列

它們會向其他應⽤程式的介⾯中新增⼯具列，以使⽤搜尋引擎。

欺騙
⼯具

欺騙程
式

這些程式將⾃⼰偽裝為其他程式。例如，⼀些欺騙防毒程式會顯⽰有關惡意軟體偵測的資訊。但實際上，它們並未找到任何內容或進⾏解毒。

可能被⽤來防護惡意程式碼的封裝物件 ；Kaspersky Endpoint Security 會掃描 SFX（⾃解壓）存檔中的壓縮物件和解壓縮⼯具模組。
為了隱藏危險程式不被防毒應⽤程式發現，入侵者會使⽤特殊解壓縮⼯具存檔這些程式，或建立多重壓縮檔案。
Kaspersky 病毒分析⼈員已識別出駭客最常使⽤的解壓縮⼯具。
如果 Kaspersky Endpoint Security 在檔案中偵測到此種封裝⼯具，則該檔案很可能包含惡意應⽤程式
或可被犯罪分⼦⽤來破壞電腦或個⼈資料的應⽤程式。
Kaspersky Endpoint Security 挑選出了以下類型的程式：

可能帶來危害的壓縮檔案 – ⽤於壓縮惡意軟體，例如病毒、蠕蟲和⽊⾺。
多重壓縮檔案（中等威脅等級）– 透過⼀個或多個封裝⼯具對物件進⾏了三次壓縮。
多重封裝物件 。

Kaspersky Endpoint Security 會掃描 SFX（⾃解壓）存檔中的壓縮物件和解壓縮⼯具模組。
為了隱藏危險程式不被防毒應⽤程式發現，入侵者會使⽤特殊解壓縮⼯具存檔這些程式，或建立多重壓縮檔案。
Kaspersky 病毒分析⼈員已識別出駭客最常使⽤的解壓縮⼯具。
如果 Kaspersky Endpoint Security 在檔案中偵測到此種封裝⼯具，則該檔案很可能包含惡意應⽤程式
或可被犯罪分⼦⽤來破壞電腦或個⼈資料的應⽤程式。
Kaspersky Endpoint Security 挑選出了以下類型的程式：

可能帶來危害的壓縮檔案 – ⽤於壓縮惡意軟體，例如病毒、蠕蟲和⽊⾺。
多重壓縮檔案（中等威脅等級）– 透過⼀個或多個封裝⼯具對物件進⾏了三次壓縮。
4. 儲存變更。
492

可偵測物件的類型

編輯信任應⽤程式清單
受信任應⽤程式清單包含應⽤程式的檔案和網路活動（包括可疑活動）以及對系統登錄檔的存取不受 Kaspersky

Endpoint Security 的監控。預設情況下，Kaspersky Endpoint Security 將監控任何應⽤程式處理程序開啟、執⾏
或儲存的物件，並控制所有應⽤程式的活動及其產⽣的網路流量。應⽤程式被新增到受信任應⽤程式清單後，Kaspersky Endpoint Security 將停⽌監控該應⽤程式的活動。
掃描排除項⽬和受信任的應⽤程式之間的區別在於，對於排除項⽬，Kaspersky Endpoint Security 不掃描檔案，
⽽對於受信任的應⽤程式，它不控制啟動的處理程序。如果受信任的應⽤程式在未包含在掃描排除項⽬中的資料
夾中建立惡意檔案，Kaspersky Endpoint Security 將偵測該檔案並消除威脅。如果資料夾被新增到排除項⽬，
Kaspersky Endpoint Security 將略過該檔案。
例如，如果您認為由標準 Microsoft Windows 記事本應⽤程式使⽤的物件是安全的，也即您信任此應⽤程式，則您可將 Microsoft Windows 記事本新增到受信任應⽤程式清單中，這樣該應⽤程式使⽤的物件就不會被監控。這會提⾼電腦效能，在使⽤伺服器應⽤程式時尤為重要。
此外，Kaspersky Endpoint Security 分類為危險的特定操作，在很多應⽤程式的功能環境中可能是安全的。例如，攔截鍵盤輸入的內容，是⾃動鍵盤設定切換器中的⼀種例⾏程式（例如 Punto Switcher）。考慮到此類程式的特點並將其⾏為從監控中排除，我們建議您可將此類程式新增到信任應⽤程式清單中。
受信任的應⽤程式有助於避免 Kaspersky Endpoint Security 與其他應⽤程式之間的相容性問題（例如，Kaspersky Endpoint Security 和另⼀個病毒防護應⽤程式對第三⽅電腦的網路流量進⾏雙重掃描的問題）。
同時，信任應⽤程式的可執⾏檔和處理程序仍然會掃描病毒和其他惡意軟體。您可以透過掃描排除項⽬將應⽤程式從 Kaspersky Endpoint Security 掃描中完全排除。
493

如何在管理主控台（MMC）中將應⽤程式新增到受信任清單中494

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 排除項⽬”。
5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選擇“受信任應⽤程式”標籤。
這將開啟包含受信任應⽤程式清單的視窗。
7. 如果要為公司內的所有電腦建立受信任应⽤程式的綜合清單，請選取“繼承時合併值”核取⽅塊。將合併⽗
政策和⼦政策中的受信任應⽤程式清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的受信任應
⽤程式以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的受信任應⽤程式。
8. 如果想要使⽤者能夠建立本機受信任應⽤程式清單，請選中“允許使⽤受信任應⽤程式“核取⽅塊。這樣，除了在政策中產⽣的受信任應⽤程式的⼀般清單外，使⽤者还可以建立⾃⼰的受信任應⽤程式的本機清單。管理員可以使⽤卡巴斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的受信任應⽤程式的⼀般清單。
9. 單擊“新增”。
10. 在開啟的視窗中，輸入受信任應⽤程式的可執⾏檔的路徑（請⾒下圖）。
Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元。
當在卡巴斯基安全管理中⼼主控台上產⽣受信任應⽤程式清單時，Kaspersky Endpoint Security 不⽀
援“%userprofile%”環境變量。若要將項⽬套⽤到所有使⽤者帳⼾，您可以使⽤ * 字元（例如，C:\Users\*\Documents\File.exe）。無論何時新增新的環境變數，您都需要重啟應⽤程式。

受信任應⽤程式設定

11. 為受信任應⽤程式配置進階設定（請參閱下表）。
495

12. 您可以隨時使⽤該核取⽅塊將應⽤程式從受信任區域中排除（請⾒下圖）。
13. 儲存變更。

受信任應⽤程式清單

如何在管理主控台（MMC）和雲端主控台中將應⽤程式新增到受信任清單中496

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”排除項⽬和偵測到的物件類型”。

排除項⽬設定5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”受信任應⽤程式”連接。
這將開啟包含受信任應⽤程式清單的視窗。
6. 如果要為公司內的所有電腦建立受信任应⽤程式的綜合清單，請選取“繼承時合併值”核取⽅塊。將合併⽗
政策和⼦政策中的受信任應⽤程式清單。如果啟⽤繼承時合併值，則將合併清單。⽗政策中的受信任應
⽤程式以唯讀視圖的形式顯⽰在⼦政策中。無法變更或刪除⽗政策的受信任應⽤程式。
7. 如果想要使⽤者能夠建立本機受信任應⽤程式清單，請選中“允許使⽤本機受信任應⽤程式“核取⽅塊。這樣，除了在政策中產⽣的受信任應⽤程式的⼀般清單外，使⽤者还可以建立⾃⼰的受信任應⽤程式的本機清單。管理員可以使⽤卡巴斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的受信任應⽤程式的⼀般清單。
8. 點擊“新增”按鈕。
497

9. 在開啟的視窗中，輸入受信任應⽤程式的可執⾏檔的路徑（請⾒下圖）。
Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元。
當在卡巴斯基安全管理中⼼主控台上產⽣受信任應⽤程式清單時，Kaspersky Endpoint Security 不⽀
援“%userprofile%”環境變量。若要將項⽬套⽤到所有使⽤者帳⼾，您可以使⽤ * 字元（例如，C:\Users\*\Documents\File.exe）。無論何時新增新的環境變數，您都需要重啟應⽤程式。

受信任應⽤程式設定

10. 為受信任應⽤程式配置進階設定（請參閱下表）。
11. 您可以隨時使⽤該核取⽅塊將應⽤程式從受信任區域中排除（請⾒下圖）。
12. 儲存變更。
如何在應⽤程式介⾯中將應⽤程式新增到受信任清單中498

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。
3. 在”排除項⽬”塊中，點擊”指定受信任應⽤程式”連接。

排除項⽬設定4. 在開啟的視窗中，點擊“新增”按鈕。
5. 選擇受信任應⽤程式的可執⾏檔。
您也可以⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元。
Kaspersky Endpoint Security 可⽀援環境變數並轉換應⽤程式本機介⾯中的路徑。換⾔之，如果您輸入檔案路徑 %userprofile%\Documents\File.exe，將為使⽤者 Fred123 在應⽤程式的本機介⾯中
新增 C:\Users\Fred123\Documents\File.exe 記錄。因此，Kaspersky Endpoint Security 會忽略
針對其他使⽤者的 File.exe 受信任程式。若要將項⽬套⽤到所有使⽤者帳⼾，您可以使⽤ * 字元
（例如，C:\Users\*\Documents\File.exe）。

無論何時新增新的環境變數，您都需要重啟應⽤程式。
6. 在“受信任應⽤程式屬性”視窗中，配置進階設定（請參閱下表）。
7. 您可以隨時使⽤該開關將應⽤程式從受信任區域中排除（請⾒下圖）。
8. 儲存變更。
499

受信任應⽤程式清單

受信任應⽤程式設定

參數

描述

開啟前不掃
描檔案

Kaspersky Endpoint Security 的掃描將排除應⽤程式開啟的所有檔案。例如，如果您正在
使⽤應⽤程式備份檔案，則此功能有助於減少 Kaspersky Endpoint Security 的資源消耗。

不監控應⽤
程式活動

Kaspersky Endpoint Security 將不會監控作業系統中應⽤程式的檔案和網路活動。應⽤程式活動由以下元件監控：⾏為偵測，弱點利⽤防禦，主機入侵防禦，修復引擎和防火牆。

不繼承⽗處
理程序(應⽤程式)的限制

Kaspersky Endpoint Security 不會將為⽗程序配置的限制套⽤於⼦程序。⽗程序由配置了
應⽤程式權限 （主機入侵防禦）和應⽤程式網路規則（防火牆）的應⽤程式啟動。

不監控⼦應
⽤程式活動

Kaspersky Endpoint Security 將不會監控該應⽤程式啟動的應⽤程式的檔案活動或網路活
動。

允許與應⽤
程式介⾯互
動

Kaspersky Endpoint Security ⾃我防護可封鎖從遠端電腦管理應⽤程式服務的所有嘗試。
如果選擇該核取⽅塊，則允許遠端存取應⽤程式透過 Kaspersky Endpoint Security 介⾯管理 Kaspersky Endpoint Security 設定。

不封鎖與
AMSI 防護元
件的互動

Kaspersky Endpoint Security 將不會監控受信任應⽤程式對AMSI 防護元件要掃描的物件的
請求。

不收集遙測
資料⽤於主
控台互動輸
入

Kaspersky Endpoint Security 不會傳送有關在主控台上管理應⽤程式的遙測資料。遙測資
料由 Kaspersky Anti Targeted Attack Platform (EDR) 使⽤。

網路流量

Kaspersky Endpoint Security 將從掃描中排除由應⽤程式啟動的網路流量。您可以從掃描
中排除所有流量或僅排除加密流量。您也可以從掃描中排除單個 IP 位址和連接埠號。

註解

如有必要，您可以為受信任應⽤程式提供簡短註解。註解有助於簡化對受信任應⽤程式的500

搜尋和排序。
狀態

受信任應⽤程式的狀態：啟動 狀態表⽰應⽤程式在受信任區域中。
未啟動 狀態表⽰應⽤程式被從受信任區域中排除。

匯出和匯入受信任區域
信任區域是在其有效時，管理員建立的 Kaspersky Endpoint Security 不進⾏監控的物件和應⽤程式的清單。信任區域由以下清單組成：掃描排除項⽬和受信任應⽤程式。您可以將這些清單匯出到 XML 檔案和其它格式。然後，您可以修改檔案，例如，新增⼤量相同類型的排除項⽬。您還可以使⽤匯出/匯入功能來備份排除項⽬清單
和受信任應⽤程式清單，或將清單遷移到其他伺服器。
應⽤程式使⽤以下格式匯出和匯入排除項⽬清單：
XML 在管理主控台 (MMC)、網⾴主控台和雲端主控台中可⽤。
DAT 僅在在管理主控台 (MMC) 中可⽤。此格式的⽬的是維護與舊版應⽤程式的相容性。您可以在管理主控台(MMC) 中將 DAT 檔案轉換為 XML 以將排除項⽬清單遷移到網⾴主控台。
CSV 僅可在應⽤程式的本機介⾯中使⽤。
Kaspersky Endpoint Security 使⽤ XML 格式匯出和匯入受信任應⽤程式清單。
如何在管理主控台 (MMC) 中匯出和匯入信任區域501

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 排除項⽬”。
5. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”設定”按鈕。
6. 要匯出規則清單：
a. 選擇“掃描排除項⽬”標籤。
這將開啟包含排除項⽬清單的視窗。
b. 選取您想要匯出的排除項⽬。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何排除項⽬，則 Kaspersky Endpoint Security 將匯出所有排除項⽬。
c. 點擊”匯出”連接。
d. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
e. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。Kaspersky Endpoint Security
也⽀援將排除項⽬清單匯出到 DAT 檔案。
7. 要匯出受信任應⽤程式的清單：
a. 選擇“受信任應⽤程式”標籤。
這將開啟包含受信任應⽤程式清單的視窗。
b. 選擇您要匯出的受信任應⽤程式。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您沒有選擇任何應⽤程式，Kaspersky Endpoint Security 將匯出所有受信任應⽤程式。
c. 點擊”匯出”連接。
d. 這將開啟⼀個視窗；在此視窗中，輸入您要將受信任應⽤程式清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
e. 儲存檔案。
Kaspersky Endpoint Security 會將受信任應⽤程式清單匯出到 XML 檔案。

502

受信任應⽤程式清單

8. 若要匯入排除項⽬清單：
a. 選擇“掃描排除項⽬”標籤。
這將開啟包含排除項⽬清單的視窗。
b. 單擊“匯入”。
c. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
d. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。Kaspersky Endpoint Security 也⽀援從 DAT 檔案匯入排除項⽬清單。
9. 要匯入受信任應⽤程式的清單：
a. 選擇“受信任應⽤程式”標籤。
這將開啟包含受信任應⽤程式清單的視窗。
b. 單擊“匯入”。
c. 這將開啟⼀個視窗；在此視窗中，選取要從中匯入受信任應⽤程式清單的 XML 檔案。
d. 開啟檔案。
如果電腦已經具有受信任應⽤程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從XML 檔案向其中新增新項⽬。
10. 儲存變更。

503

如何在網⾴主控台和雲端中控台中匯出和匯入信任區域清單

504

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”排除項⽬和偵測到的物件類型”。

排除項⽬設定5. 要匯出規則清單：a. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”掃描排除項⽬”連接。
b. 選取您想要匯出的排除項⽬。
c. 單擊“匯出”。
d. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
e. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
f. 儲存檔案。
505

g. Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
6. 要匯出受信任應⽤程式的清單：a. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”受信任應⽤程式”連接。
b. 選取您想要匯出的排除項⽬。
c. 單擊“匯出”。
d. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
e. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
f. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
7. 若要匯入排除項⽬清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
8. 要匯入受信任應⽤程式的清單：a. 在”掃描排除項⽬和受信任應⽤程式”塊中，點擊”受信任應⽤程式”連接。
b. 單擊“匯入”。
c. 這將開啟⼀個視窗；在此視窗中，選取要從中匯入受信任應⽤程式清單的 XML 檔案。
d. 開啟檔案。
如果電腦已經具有受信任應⽤程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從XML 檔案向其中新增新項⽬。
9. 儲存變更。
如何在應⽤程式介⾯中匯出或匯入信任區域506

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。

排除項⽬設定3. 要匯出規則清單：a. 在”排除項⽬”塊中，點擊”管理排除項⽬”連接。
b. 選取您想要匯出的排除項⽬。
c. 單擊“匯出”。
d. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
e. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 CSV 檔案的名稱，然後選取要儲存此檔案的資料
夾。
f. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 CSV 檔案。

507

排除項⽬清單

4. 要匯出受信任應⽤程式的清單：a. 在”排除項⽬”塊中，點擊”指定受信任應⽤程式”連接。
b. 選擇您要匯出的受信任應⽤程式。
c. 單擊“匯出”。
d. 確認您只想匯出選定的受信任應⽤程式，還是匯出整個清單。
e. 這將開啟⼀個視窗；在此視窗中，輸入您要將受信任應⽤程式清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
f. 儲存檔案。
Kaspersky Endpoint Security 會將整個受信任應⽤程式清單匯出到 XML 檔案。

508

受信任應⽤程式清單

5. 若要匯入排除項⽬清單：a. 在”排除項⽬”塊中，點擊”管理排除項⽬”連接。
b. 單擊“匯入”。
c. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 CSV 檔案。
d. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 CSV 檔
案向其中新增新項⽬。
6. 要匯入受信任應⽤程式的清單：a. 在”排除項⽬”塊中，點擊”指定受信任應⽤程式”連接。
b. 單擊“匯入”。
c. 這將開啟⼀個視窗；在此視窗中，選取要從中匯入受信任應⽤程式清單的 XML 檔案。
d. 開啟檔案。
如果電腦已經具有受信任應⽤程式清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從XML 檔案向其中新增新項⽬。
7. 儲存變更。

509

使⽤受信任的系統憑證儲存
使⽤系統憑證儲存允許您從病毒掃描中排除由受信任數位簽章簽發的應⽤程式。Kaspersky Endpoint Security 會
⾃動將此類應⽤程式分配給受信任群組。

若要使⽤受信任的系統憑證儲存：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。
3. 在“受信任的系統憑證儲存”下拉清單中，選取必須被 Kaspersky Endpoint Security 視為受信任的系統儲存。
4. 儲存變更。

510

管理備份
備份區儲存保留在解毒過程中刪除或修改的檔案的備份副本。備份副本是指對檔案進⾏病毒清除或移除前建立的檔案副本。檔案的備份副本以特定格式儲存並且不會帶來威脅。

檔案的備份副本儲存在 C:\ProgramData\Kaspersky Lab\KES.21.14\QB 資料夾中。
管理員群組中的使⽤者被授予存取該資料夾的完整權限。其帳⼾⽤於安裝 Kaspersky Endpoint Security 的使⽤者
被授予該資料夾的有限存取權限。
Kaspersky Endpoint Security 不提供⽤於設定檔備份副本的使⽤者存取權限的功能。
有時，在清除過程中無法維護檔案的完整性。如果您在解毒後失去對受感染檔案重要資訊的部分或全部存取權
限，可以嘗試將檔案從其備份副本還原到其原始資料夾中。
如果 Kaspersky Endpoint Security 在卡巴斯基安全管理中⼼管理下執⾏，則檔案的備份副本可能會傳送⾄卡巴斯基安全管理中⼼管理伺服器。有關在卡巴斯基安全管理中⼼管理檔案的備份副本的更多詳細資訊，請參閱《卡巴
斯基安全管理中⼼說明》系統。

配置備份區中的檔案的最⻑儲存期
備份區中的檔案副本的預設最⻑儲存期限是 30 天。最⻑儲存期限超出後，Kaspersky Endpoint Security 將刪除備份區中最舊的檔案。

要配置備份區中的檔案的最⻑儲存期：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“報告和儲存。”。

511

備份設定

3. 如果要限制“備份”中檔案副本的儲存期限，請選中“備份“塊中的“ 儲存物件的時間不超過 N 天”核取⽅塊。輸入
備份區中的檔案副本的最⻑儲存期。
4. 儲存變更。

設定備份區的最⼤容量
您可以指定備份的最⼤⼤⼩。預設情況下，備份區容量無限制。當達到最⼤容量後，Kaspersky Endpoint
Security 將⾃動刪除備份區中最舊的檔案。

要設定備份區的最⼤容量：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“報告和儲存。”。

512

備份設定

3. 在「備份」區塊中，選擇「備份⼤⼩限制為 N MB」核取⽅塊。如果選中該核取⽅塊，則最⼤儲存⼤⼩限制為定義值。預設情況下，最⼤⼤⼩為 1024 MB。為避免超過最⼤儲存⼤⼩，當達到最⼤儲存⼤⼩時，Kaspersky
Endpoint Security 將⾃動刪除儲存中的最早檔案。
4. 儲存變更。

從備份區中還原檔案
如果在檔案中偵測到惡意程式碼，Kaspersky Endpoint Security 將封鎖此檔案、為其指定“已感染”狀態，並將其副
本放到”備份區”中並嘗試對其解毒。檔案成功解毒後，備份副本的狀態將變為已解毒。檔案在原始資料夾中將不可⽤。如果檔案無法被解毒，Kaspersky Endpoint Security 將把它從原始資料夾中刪除。您可以將此檔案從它的備份副本還原到它的原資料夾。
具有將在電腦重新啟動時被刪除狀態的檔案無法被還原。重新啟動電腦，檔案狀態將變更為“已解毒”或“已刪除”。
您還可以將此檔案從它的備份副本還原到它的原資料夾。
在屬於 Windows Store 應⽤程式的檔案中偵測到惡意程式碼以後，Kaspersky Endpoint Security 將立即刪除檔案，⽽不會將其備份副本移⾄備份區。您可以使⽤ Windows 8 作業系統的適當⼯具還原 Windows Store 應
⽤程式的完整性（有關還原 Windows Store 應⽤程式的詳細資訊，請參閱 Windows 8 說明檔案）。
檔案備份副本集合以表格顯⽰。對於檔案的備份副本，顯⽰檔案的原始資料夾位置。檔案原始資料夾位置中可能
包含個⼈資料。

513如果將位於同⼀資料夾中具有相同名稱但內容不同的多個檔案移⾄備份區，則只能復原最後放入備份區的檔案。

要從備份區中還原檔案，請執⾏以下操作：
1. 在應⽤程式主視窗的“正在監控”區域中，點擊“備份”圖標。
2. 這將開啟備份中的檔案清單；在此清單中，選擇您想要還原的檔案然後點擊“還原”。
Kaspersky Endpoint Security 會將把所選檔案的備份副本還原⾄它們原來所在的資料夾。

從備份區中刪除檔案備份副本
當應⽤程式設定中設定的儲存條件後，Kaspersky Endpoint Security 將⾃動刪除備份區中的所有檔案備份副本，不管它們的狀態是什麼。您也可以⼿動從備份區中刪除檔案的副本。

要從備份區中刪除檔案備份副本：
1. 在應⽤程式主視窗的“正在監控”區域中，點擊“備份”圖標。
2. 這將開啟備份中的檔案清單；在此清單中，選擇您想要從備份中刪除的檔案然後點擊“刪除”。
Kaspersky Endpoint Security 從本分區中刪除所選檔案備份副本。

514

通知服務
Kaspersky Endpoint Security 執⾏操作時發⽣的所有類型的事件。這些事件通知可以是純粹的資訊或包含重要資訊。例如，通知可以告知成功更新了資料庫和應⽤程式模組或記錄需要糾正的元件錯誤。
Kaspersky Endpoint Security ⽀援記錄 Microsoft Windows 應⽤程式⽇誌和 / 或 Kaspersky Endpoint Security 事件
⽇誌操作中的事件資訊。
Kaspersky Endpoint Security 透過下列⽅式傳送通知：
使⽤ Microsoft Windows ⼯作列通知區域中的彈窗通知；
透過電⼦郵件。
您可以設定事件通知的傳送⽅式。您可以為每⼀類事件設定通知傳送⽅式。
使⽤事件表設定通知服務時，您可以執⾏以下操作：
按列值或者⾃訂篩選條件篩選通知服務事件。
使⽤搜尋功能搜尋通知服務事件。
對通知服務事件進⾏排序。
變更通知服務事件清單中的顯⽰順序和列設定。

設定事件⽇誌設定
要配置事件⽇誌設定，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
3. 在”通知”塊中，點擊”通知設定”按鈕。
Kaspersky Endpoint Security 元件和⼯作顯⽰在該視窗的左側。該視窗的右側列出了為選取元件或⼯作產⽣的事件。
事件可能包含以下使⽤者資料：
Kaspersky Endpoint Security 掃描的檔案的路徑。
在 Kaspersky Endpoint Security 執⾏期間修改的登錄機碼路徑。
Microsoft Windows 使⽤者名稱。
使⽤者開啟的網⾴的位址。
4. 在視窗左側，選取您要為其設定事件⽇誌設定的元件或⼯作。
5. 選中“儲存於本機報告中”和“儲存於 Windows 事件記錄中”欄中相關事件旁的核取⽅塊。
在“儲存於本機報告中”列中選中了其核取⽅塊的事件將顯⽰在“應⽤程式⽇誌“中。在“儲存於 Windows 事件記
錄中”列中選中了其核取⽅塊的事件將顯⽰在“Application”渠道的“Windows ⽇誌“中。
515

6. 儲存變更。

設定通知的顯⽰和傳送
若要設定通知的顯⽰和傳送：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
3. 在”通知”塊中，點擊”通知設定”按鈕。
Kaspersky Endpoint Security 元件和⼯作顯⽰在該視窗的左側。該視窗的右側列出了為選取元件或選定⼯作產⽣的事件。
事件可能包含以下使⽤者資料：
Kaspersky Endpoint Security 掃描的檔案的路徑。
在 Kaspersky Endpoint Security 執⾏期間修改的登錄機碼路徑。
Microsoft Windows 使⽤者名稱。
使⽤者開啟的網⾴的位址。
4. 在視窗的左側，選取要為其設定螢幕通知傳送的元件或⼯作。
5. 在“在螢幕上通知”列中，選取相關事件旁的核取⽅塊。
關於選取事件的資訊會以 Microsoft Windows ⼯作列通知區域中彈出訊息的形式顯⽰在螢幕上。
6. 在“透過電⼦郵件通知”列中，選取相關事件旁的核取⽅塊。
如果配置了郵件通知傳遞設定，則透過電⼦郵件傳送選定事件的資訊。
7. 單擊“確定”。
8. 如果啟⽤了電⼦郵件通知，請設定電⼦郵件傳送設定：
a. 單擊“電⼦郵件通知設定”。
b. 選取“通知事件”核取⽅塊以啟⽤傳送有關在“透過電⼦郵件通知”列中選定的 Kaspersky Endpoint Security 事
件資訊的功能。
c. 指定電⼦郵件事件通知傳送設定。
d. 單擊“確定”。
9. 儲存變更。

設定應⽤程式狀態警告在通知區域的顯⽰
若要設定通知區域中應⽤程式狀態警告的顯⽰：516

1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“介⾯”。
3. 在“在通知區域顯⽰應⽤程式的狀態”塊中，選取您要在 Microsoft Windows 通知區域中看到通知的事件類型旁
的核取⽅塊。
4. 儲存變更。
發⽣與選定類別關聯的事件時，通知區域的應⽤程式圖⽰將根據警告的嚴重性變更為或 。

使⽤者和管理員之間的訊息傳遞
“應⽤程式控制”、“裝置控制”、“Web 控制”和“適應性異常控制”元件允許其電腦已安裝 Kaspersky Endpoint
Security 的 LAN 使⽤者向管理員傳送訊息。
在以下情況下，使⽤者可能需要向本機公司網路系統管理員傳送郵件：
裝置控制封鎖對此裝置的存取。
請求被封鎖裝置存取權限的郵件範本在“裝置控制”區域中 Kaspersky Endpoint Security 介⾯內。
“應⽤程式控制”封鎖了某個應⽤程式的啟動。
請求允許啟動被封鎖的應⽤程式的郵件範本在 Kaspersky Endpoint Security 介⾯的“應⽤程式控制”區域中提供。
Web 控制封鎖對網⾴資源的存取。
請求被封鎖網⾴資源存取權限的郵件範本在“Web 控制”區域中 Kaspersky Endpoint Security 介⾯內。
⽤於傳送訊息的⽅式和所使⽤的範本取決於安裝 Kaspersky Endpoint Security 的電腦上執⾏卡巴斯基安全管理中
⼼政策，是否連線了卡巴斯基安全管理中⼼管理伺服器。有以下情景：
如果安裝了 Kaspersky Endpoint Security 的電腦上沒有執⾏卡巴斯基安全管理中⼼政策，使⽤者的訊息將透過
電⼦郵件傳送給本機區域網路管理員。
訊息欄位的內容將來⾃ Kaspersky Endpoint Security 本機介⾯中定義的範本。
如果安裝了 Kaspersky Endpoint Security 的電腦上執⾏著卡巴斯基安全管理中⼼政策，標準訊息將傳送⾄卡巴斯基安全管理中⼼管理伺服器。
在這種情況下，可以在卡巴斯基安全管理中⼼事件儲存中檢視使⽤者訊息（參⾒下⽅說明）。訊息欄位的內容將來⾃卡巴斯基安全管理中⼼政策中定義的範本。
卡巴斯基安全管理中⼼漫遊政策執⾏在安裝了 Kaspersky Endpoint Security 的電腦上，⽤於傳送郵件的⽅法將
取決於是否連線了卡巴斯基安全管理中⼼。
如果建立了與卡巴斯基安全管理中⼼的連線，Kaspersky Endpoint Security 會將標準郵件傳送⾄卡巴斯基
安全管理中⼼管理伺服器。
如果沒有卡巴斯基安全管理中⼼連線，則使⽤者的訊息透過電⼦郵件傳送給本機區域網路管理員。
在這兩種情況中，訊息欄位的內容將來⾃卡巴斯基安全管理中⼼政策中定義的範本。

若要在卡巴斯基安全管理中⼼事件儲存中檢視使⽤者訊息，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
517

2. 在管理主控台樹狀⽬錄的“管理伺服器”中選取“事件”標籤。
卡巴斯基安全管理中⼼⼯作區將顯⽰ Kaspersky Endpoint Security 執⾏期間發⽣的所有事件，包括接收⾃區域
網路使⽤者傳送給管理員的郵件。
3. 若要設定事件篩選，則在“事件分類”下拉清單中選取“使⽤者請求”。
4. 在事件清單中選取傳送給管理員的訊息。
5. 點擊管理主控台⼯作區右側的“開啟事件內容視窗”按鈕。

518

管理報告
有關每個 Kaspersky Endpoint Security 元件的操作、資料加密事件、每個掃描⼯作的效能、更新⼯作和完整性檢
查⼯作以及應⽤程式的整體操作的資訊都記錄在報告中。
報告儲存在 C:\ProgramData\Kaspersky Lab\KES.21.14\Report 資料夾中。
報告可能包含以下使⽤者資料：
Kaspersky Endpoint Security 掃描的檔案的路徑。
在 Kaspersky Endpoint Security 執⾏期間修改的登錄機碼路徑。
Microsoft Windows 使⽤者名稱。
使⽤者開啟的網⾴的位址。
報告中的資料以表格形式顯⽰。每個表格⾏都含有⼀個單獨事件的相關資訊。事件內容位元於表格列中。部分列
為複合列，包含有帶附加內容的嵌套列。要檢視附加內容，您點擊列名稱旁邊的 按鈕。在各種不同元件或各種⼯作執⾏過程中記錄下來的事件擁有不同的內容整合。
以下報告可⽤：系統稽核報告。包含在應⽤程式操作和與使⽤者互動時記錄的事件的相關資訊。
有關 Kaspersky Endpoint Security 元件操作的報告。
Kaspersky Endpoint Security ⼯作執⾏報告。
資料加密報告。包含資料加密和解密期間所發⽣事件的資訊。
報告使⽤以下事件重要性等級：
資訊訊息。通常不包含重要資訊的參考事件。
警告。顯⽰了 Kaspersky Endpoint Security 操作上的重要情況⽽需要注意的事件。
緊急事件。⼗分重要的事件以及 Kaspersky Endpoint Security 執⾏問題或在防護使⽤者電腦時的弱點。
為便於處理報告，您可以透過以下幾種⽅法修改資料的顯⽰⽅式：
透過各種不同的規則篩選事件清單。
使⽤搜尋功能尋找特定的事件。
在單獨的區域中檢視所選事件。
按照每個表格列的值排列事件清單。
使⽤按鈕顯⽰和隱藏按照事件篩選分組的事件。

變更報告中表格列的順序和排列。

519

如有需要，您可以將產⽣的報告儲存為文字檔案。您還可以刪除合併成組的 Kaspersky Endpoint Security 元件和⼯作的報告資訊。
如果 Kaspersky Endpoint Security 在卡巴斯基安全管理中⼼的管理下執⾏，則有關事件的資訊可能會傳送⾄卡巴斯基安全管理中⼼管理伺服器（有關更多詳細資訊，請參閱卡巴斯基安全管理中⼼說明 ）。

檢視報告
如果使⽤者能檢視報告，該使⽤者也能檢視報告中反映的所有事件。

若要檢視報告：1. 在應⽤程式主視窗的“正在監控”區域中，點擊“報告”圖標。

報告

2. 在元件和⼯作清單中，選擇元件或⼯作。
視窗右側部分顯⽰的報告中包含 Kaspersky Endpoint Security 的選定元件或選定⼯作執⾏所⽣成的事件清單。
您可以根據其中⼀列的單元格中的值對報告中的事件進⾏排序。
3. 要檢視事件的相關詳細資訊，請在報告中選擇事件。
帶有事件概覽的塊將顯⽰在視窗的底部。

設定最⼤報告儲存時間
Kaspersky Endpoint Security 記錄的事件報告的最⻑儲存時間預設為 30 天。在此時間之後，Kaspersky Endpoint
Security 將⾃動移除報告檔案中的最早項⽬。

要修改報告的最⼤儲存期限，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊

按鈕。
520

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“報告和儲存。”。

報告設定

3. 如果要限制報告儲存期限，請選中“報告“塊中的“儲存報告時間不超過 N 天”核取⽅塊。定義最⼤報告儲存期限。
4. 儲存變更。

設定報告檔案的最⼤容量
您可以指定包含報告的檔案的最⼤容量。預設情況下，最⼤報告檔案容量為 1024 MB。要避免超過最⼤報告檔案
容量，當達到最⼤報告檔案容量時，Kaspersky Endpoint Security 將⾃動刪除報告檔案中的最早項⽬。

要設定報告檔案的最⼤容量，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“報告和儲存。”。

521

報告設定

3. 如果要限制報告檔案的⼤⼩，請在“報告“塊中選中“報告檔案⼤⼩限制為 N MB”核取⽅塊。定義報告檔案的最⼤容量。
4. 儲存變更。

將報告儲存到檔案
使⽤者個⼈負責確保儲存為檔案的報告的資訊安全，尤其是控制和限制存取該資訊。
您可以將所產⽣的報告儲存到內容格式 (TXT) 檔案或 CSV 檔案中。
Kaspersky Endpoint Security 在報告中記錄事件的⽅式與其在螢幕上的顯⽰⽅式相同，換⾔之，兩者使⽤相
同的事件內容和序列。

要將報告儲存到檔案中，請執⾏下列操作：
1. 在應⽤程式主視窗的“正在監控”區域中，點擊“報告”圖標。

522

報告

2. 這將開啟⼀個視窗；在此視窗中，選擇元件或者⼯作。
報告顯⽰在視窗的右側，其中包含所選 Kaspersky Endpoint Security 元件或⼯作操作中事件的清單。
3. 如有必要，您可以透過下列⽅法修改報告中的資料呈現⽅式：
篩選事件
執⾏事件搜尋
欄位重新排列事件排序4. 點選視窗右上部的“儲存報告”按鈕。
5. 在開啟的視窗中，指定報告檔案的⽬的資料夾。
6. 輸入報告檔案名稱。
7. 選擇所需報告檔案格式：TXT 或 CSV。
8. 儲存變更。

清理報告
要刪除報告中的資訊，請執⾏下列操作:
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“報告和儲存。”。

523

報告設定

3. 在”報告”塊中，點擊”清除”按鈕。
4. 如果啟⽤了密碼防護 ，Kaspersky Endpoint Security 可能會提⽰您輸入使⽤者帳⼾憑據。如果使⽤者沒有所需
的權限，則應⽤程式將提⽰使⽤者提供帳⼾憑據。
Kaspersky Endpoint Security 將刪除所有應⽤程式元件和⼯作的所有報告。

524

Kaspersky Endpoint Security ⾃我防護
⾃我防護可防⽌其他應⽤程式執⾏可能⼲預 Kaspersky Endpoint Security 的操作和，例如，從電腦移除Kaspersky Endpoint Security 的操作。對 Kaspersky Endpoint Security 可以使⽤的⾃我防護技術集合取決於作業
系統是 32 位元還是 64 位元（請參⾒下表）。
Kaspersky Endpoint Security ⾃我防護技術

技術

⾃我防護機制描述

x86電腦

x64 電腦

該技術可封鎖對以下應⽤程式元件的存取：Kaspersky Endpoint Security 安裝資料夾中的檔案和應⽤
程式的其他檔案；記錄屬於應⽤程式的登錄機碼；
應⽤程式執⾏的處理程序。

AM-PPL（惡意軟體
防護受防護輕型處理
程序）

該技術可防護 Kaspersky Endpoint Security 處理程序抵禦惡意操作。有關 AM-PPL 技術的詳細資訊，請存取 Microsoft 網
站 。

–

AM-PPL 技術適⽤於 Windows 10 版本 1703 (RS2) 或更⾼
版本以及 Windows Server 2019 作業系統。

外部管理防護機制

該技術可防⽌遠端管理應⽤程式（例如，TeamViewer 或者
RemotelyAnywhere）獲取對 Kaspersky Endpoint Security 的存取權限。

啟⽤和停⽤⾃我防護
預設情況下已啟⽤ Kaspersky Endpoint Security 的⾃我防護機制。

若要啟⽤或停⽤⾃我防護，請執⾏下列操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

525–（Windows
7 除外）

Kaspersky Endpoint Security for Windows 設定

3. 使⽤“啟⽤⾃我防護“核取⽅塊可以啟⽤或停⽤⾃我防護機制。
4. 儲存變更。

啟⽤和停⽤ AM-PPL ⽀援
Kaspersky Endpoint Security ⽀援 Microsoft 的惡意軟體防護受防護輕型處理程序技術（以下簡稱“AM-PPL”）。
AM-PPL 防護 Kaspersky Endpoint Security 處理程序免受惡意操作（例如，終⽌應⽤程式）。AM-PPL 僅允許執⾏受信任的處理程序。Kaspersky Endpoint Security 處理程序根據 Windows 安全需求進⾏簽章，因此它們是受信任的。有關 AM-PPL 技術的詳細資訊，請存取 Microsoft 網站 。預設情況下啟⽤ AM-PPL 技術。
Kaspersky Endpoint Security 還具有⽤於防護應⽤程式處理程序的內建機制。AM-PPL ⽀援允許您將處理程序安
全功能委派給作業系統。從⽽可以提⾼應⽤程式的速度並減少電腦資源的消耗。
AM-PPL 技術適⽤於 Windows 10 版本 1703 (RS2) 或更⾼版本以及 Windows Server 2019 作業系統。

AM-PPL 技術只對執⾏ 32 位元作業系統的電腦可以使⽤。該技術對執⾏ 64 位元作業系統的電腦不可以使⽤。

要啟⽤或停⽤ AM-PPL 技術：
1. 關閉應⽤程式的⾃我防護機制。
526

⾃我防護機制會封鎖修改和刪除電腦記憶體中的應⽤程式處理程序，包括變更 AM-PPL 狀態。
2. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
3. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
您可以在應⽤程式安裝期間將可執⾏檔的路徑新增到 %PATH% 系統變數。
4. 在命令列中輸入以下指令：
klpsm.exe enable – 啟⽤對 AM-PPL 技術的⽀援（請參⾒下圖）。
klpsm.exe disable – 停⽤對 AM-PPL 技術的⽀援。
5. 重新啟動 Kaspersky Endpoint Security。
6. 還原應⽤程式的⾃我防護機制。

啟⽤對 AM-PPL 技術的⽀援

防護應⽤程式服務抵禦外部管理
防護應⽤程式服務抵禦外部管理可封鎖使⽤者和其它應⽤程式嘗試停⽌ Kaspersky Endpoint Security 服務。防護可確保以下服務的作業：
Kaspersky Endpoint Security 服務 (avp)卡巴斯基無縫更新服務 (avpsus)
要從命令列退出結束應⽤程式，請停⽤針對外部管理的 Kaspersky Endpoint Security 服務防護。

要啟⽤或停⽤防護應⽤程式服務抵禦外部管理：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

527

Kaspersky Endpoint Security for Windows 設定

3. 使⽤“啟⽤系統服務的外部管理“核取⽅塊來啟⽤或停⽤針對外部管理的 Kaspersky Endpoint Security 服務防護。
4. 儲存變更。
結果，當使⽤者嘗試停⽌應⽤程式服務時，會出現⼀個帶有錯誤訊息的系統視窗。使⽤者只能從 Kaspersky
Endpoint Security 介⾯管理應⽤程式服務。

⽀援遠端管理應⽤程式
在啟⽤外部管理防護後，您可能偶爾會需要使⽤遠端管理應⽤程式。

若要啟⽤遠端系統管理應⽤程式的操作，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“排除項⽬和偵測到的物件類型”。
3. 在”排除項⽬”塊中，點擊”指定受信任應⽤程式”連接。
4. 在開啟的視窗中，點擊“新增”按鈕。
5. 選擇遠端管理應⽤程式的可執⾏檔。
您也可以⼿動輸入路徑。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元。
6. 選擇“允許與 Kaspersky Endpoint Security 的應⽤程式介⾯進⾏互動”核取⽅塊。
528

7. 儲存變更。

529

Kaspersky Endpoint Security 的效能以及與其他應⽤程式的相容性
Kaspersky Endpoint Security 效能指可偵測的威脅類型、電量消耗以及電腦資源使⽤。

選擇可偵測的威脅類型
Kaspersky Endpoint Security 將讓您精調電腦防護並選取執⾏期間應⽤程式偵測的物件類型。Kaspersky Endpoint
Security 將持續掃描作業系統中的病毒、蠕蟲和⽊⾺。您不能停⽤對這些威脅類型的掃描。此類惡意程式可能會
給電腦帶來巨⼤的損害。為了更好地防護您的電腦，您可以透過啟動對合法應⽤程式的監控來擴⼤可偵測的威脅
類型範圍，因為入侵者可能侵入這些應⽤程式損害電腦或使⽤者資料。

使⽤省電模式
對於⾏動式電腦來說，應⽤程式的電量消耗是⼀個關鍵的考慮因素。Kaspersky Endpoint Security 的排程⼯作通常會消耗可觀的資源。當電腦使⽤電池執⾏時，您可以使⽤省電模式，更加節省電量。
在省電模式下，以下排程⼯作將⾃動延遲：
更新⼯作；
完整掃描⼯作；關鍵區域掃描⼯作；
⾃訂掃描⼯作；
完整性檢查⼯作。
無論是否啟⽤省電模式，Kaspersky Endpoint Security 將在筆記型電腦切換到電池電源時暫停加密⼯作。及當筆
記型電腦從電池電源切換到主電源還原應⽤程式的加密⼯作。

允許其他應⽤程式使⽤電腦資源
Kaspersky Endpoint Security 掃描電腦時消耗的電腦資源可能會增加 CPU 和硬碟磁碟機⼦系統的負載，並影響其他應⽤程式的效能。為了解決在 CPU 和硬碟磁碟機⼦系統上的負載新增的條件下發⽣的同步執⾏的問題，
Kaspersky Endpoint Security 可以將資源讓給其他應⽤程式。

使⽤進階解毒技術
如今的惡意應⽤程式能夠入侵作業系統的最底層，繼⽽無法順利清除。在作業系統中偵測到惡意活動之後，Kaspersky Endpoint Security 將使⽤特殊的進階解毒技術執⾏廣泛的清除步驟。進階解毒技術致⼒於清除 RAM
中已啟動處理程序，以及封鎖 Kaspersky Endpoint Security 使⽤其他⽅式移除它們的惡意應⽤程式。這些威脅將從電腦中清除。執⾏進階解毒過程時，我們建議您不要開啟新的程式或者編輯作業系統登錄檔。進階解毒技術
會佔⽤相當多的作業系統資源，這可能會降低其他應⽤程式的執⾏速度。
在執⾏ Microsoft Windows for workstations 的電腦上執⾏完進階解毒過程後，Kaspersky Endpoint Security 將請
求使⽤者授權，重新啟動電腦。系統重新啟動後 Kaspersky Endpoint Security 將刪除惡意軟體檔案並啟動“快速”
電腦完整掃描。

530

由於 Kaspersky Endpoint Security 的特性，在執⾏ Microsoft Windows for servers 的電腦上將不會提⽰重新啟動。排程外檔案伺務器的重新啟動，可能會導致檔案伺務器未儲存的資料遺失或暫時不可使⽤的情況。我們建議您在電腦重新啟動後開始⼀次尋找病毒和其他威脅的完整掃描⼯作。這就是為什麼預設情況下檔案伺服器關進階
解毒技術的原因。
如果偵測到檔案伺服器上有病毒感染，事件通知將傳遞到卡巴斯基安全管理中⼼，採取主動消毒。要清除伺服器
的活動感染，請對伺服器啟⽤活動解毒技術，並在伺服器使⽤者合適的時間啟動“惡意軟體掃描”群組⼯作。

啟⽤或停⽤省電模式
若要啟⽤或停⽤省電模式，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

Kaspersky Endpoint Security for Windows 設定

3. 在“效能“塊中，使⽤“使⽤電池供電時延遲排程⼯作”核取⽅塊來啟⽤或停⽤省電模式。
啟⽤節能模式且電腦使⽤電池執⾏時，即使排程了以下⼯作，以下⼯作也不會執⾏：

更新
完整掃描
關鍵區域掃描
⾃訂掃描531

完整性檢查
IOC 掃描4. 儲存變更。

啟⽤或停⽤允許其他應⽤程式使⽤資源
Kaspersky Endpoint Security 掃描電腦時消耗的電腦資源可能會增加 CPU 和硬碟磁碟機⼦系統的負載。這可能減
緩其他應⽤程式的速度。為了最佳化效能，Kaspersky Endpoint Security 提供了⼀種將資源傳輸到其他應⽤程式的模式。在此模式中，當 CPU 負載過⾼時，作業係統可降低 Kaspersky Endpoint Security 掃描⼯作執⾏緒的優先
順序。這可允許重新分配作業係統資源到其他應⽤程式。因此，掃描⼯作將收到更少的 CPU 時間。結果，Kaspersky Endpoint Security 將花更多時間來掃描電腦。預設情況下，應⽤程式已設定為允許其他應⽤程式使⽤資源。

若要啟⽤或停⽤允許其他應⽤程式使⽤資源，請執⾏以下操作：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。

Kaspersky Endpoint Security for Windows 設定

3. 在“效能“塊中，使⽤“將”將資源讓給其他應⽤程式“核取⽅塊來啟⽤或停⽤允許其他應⽤程式使⽤資源。
4. 儲存變更。

532

最佳化 Kaspersky Endpoint Security 效能的最佳實踐
在部署 Kaspersky Endpoint Security for Windows 時，您可以使⽤以下建議來配置電腦防護和最佳化效能。

⼀般根據以下建議配置應⽤程式的⼀般設定：
1. 將 Kaspersky Endpoint Security 升級到最新版本。
較新版本的應⽤程式修復了錯誤，提⾼了穩定性並最佳化了效能。
2. 使⽤預設設定啟⽤防護元件。
預設設定被認為最佳。此設定由 Kaspersky 專家建議。預設設定提供建議的防護等級和最佳資源使⽤。如有需
要，您可以還原應⽤程式預設設定。
3. 啟⽤應⽤程式效能最佳化功能。
應⽤程式具有效能最佳化功能：節能模式和將資源讓給其他應⽤程式。確保啟⽤這些選項。

⼯作站上的惡意軟體掃描對⼯作站上的惡意軟體掃描建議啟⽤背景掃描。背景掃描是 Kaspersky Endpoint Security 的⼀種掃描模式，不會
向使⽤者顯⽰通知。背景掃描比其他類型的掃描（如完整掃描）需要更少的電腦資來源。在此模式下，Kaspersky Endpoint Security 掃描啟動物件、開啟磁區、系統記憶體和系統磁碟分割。背景掃描設定被認為最佳。此設定由 Kaspersky 專家建議。因此，要對電腦執⾏惡意軟體掃描，您可以僅使⽤背景掃描模式，⽽無需使
⽤其他掃描⼯作。
如果背景掃描不適合您的需要，請根據以下建議配置惡意軟體掃描⼯作：
1. 配置最佳電腦掃描排程。
您可以配置當電腦在最⼩負載下運⾏時要執⾏的⼯作。例如，您可以將⼯作配置為在晚上或週末執⾏。
如果使⽤者在⼀天結束時關閉電腦，您可以按如下⽅式配置掃描⼯作：
啟⽤網路喚醒。“網路喚醒”功能允許透過區域網路遠端傳送特殊信號來開機電腦。要使⽤此功能，您必須
在 BIOS 設定中啟⽤“網路喚醒”。您還可以在掃描完成後⾃動關閉電腦。
停⽤“執⾏錯過的⼯作”功能。Kaspersky Endpoint Security 將在使⽤者開啟電腦時略過錯過的⼯作。在電腦
開啟後執⾏⼯作會給使⽤者帶來不便，因為掃描需要⼤量資源。
如果您無法配置最佳掃描排程，請將⼯作設定為僅在電腦空閒時執⾏。如果電腦已鎖定或熒幕保護程式已開
啟，Kaspersky Endpoint Security 會啟動掃描⼯作。如果您中斷了執⾏⼯作（例如，透過解鎖電腦），
Kaspersky Endpoint Security 會⾃動執⾏⼯作，從被中斷的地⽅繼續。
2. 定義掃描範圍。
選擇以下物件進⾏掃描：內核記憶體；
正在執⾏的處理程序和啟動物件；533

開機磁區；
系統磁碟機 (%systemdrive%)。
3. 開啟 iSwift 和 iChecker 技術。
iSwift 技術。
該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範
圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系統的 iChecker 技術的增強版。
iChecker 技術.
該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範
圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。
您只能在管理主控台 (MMC) 和 Kaspersky Endpoint Security 介⾯中開啟 iSwift 和 iChecker 技術。您無法
在卡巴斯基安全管理中⼼網⾴主控台中啟⽤這些技術。
4. 停⽤掃描受密碼防護的壓縮檔案。
如果啟⽤了對受密碼防護的壓縮檔案的掃描，則會在掃描壓縮檔案之前顯⽰密碼提⽰。由於⼯作被建議安排
在非辦公時間，使⽤者無法輸入密碼。您可以 ⼿動掃描受密碼防護的壓縮檔案.

伺服器上的惡意軟體掃描
根據以下建議配置惡意軟體掃描⼯作：
1. 配置最佳電腦掃描排程。
您可以配置當電腦在最⼩負載下運⾏時要執⾏的⼯作。例如，您可以將⼯作配置為在晚上或週末執⾏。
2. 開啟 iSwift 和 iChecker 技術。
iSwift 技術。
該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範
圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系統的 iChecker 技術的增強版。
iChecker 技術.
該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範
圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。
您只能在管理主控台 (MMC) 和 Kaspersky Endpoint Security 介⾯中開啟 iSwift 和 iChecker 技術。您無法
在卡巴斯基安全管理中⼼網⾴主控台中啟⽤這些技術。
3. 停⽤掃描受密碼防護的壓縮檔案。
如果啟⽤了對受密碼防護的壓縮檔案的掃描，則會在掃描壓縮檔案之前顯⽰密碼提⽰。由於⼯作被建議安排
在非辦公時間，使⽤者無法輸入密碼。您可以 ⼿動掃描受密碼防護的壓縮檔案.
534

卡巴斯基安全網路
為了更有效地防護您的電腦，Kaspersky Endpoint Security 使⽤從全球使⽤者處接收的資料。卡巴斯基安全網路
旨在獲取此資料。

卡巴斯基安全網路（KSN）是雲端服務的基礎結構，可提供對線上卡巴斯基知識庫的存取，該知識庫包含有關檔

案、網⾴資源和軟體信譽的資訊。使⽤卡巴斯基安全網路的資料可確保 Kaspersky Endpoint Security 能夠更快地
對新型威脅作出回應，提⾼⼀些防護元件的效能，並減少誤報風險。如果您正在參與卡巴斯基安全網路，KSN 服
務將為 Kaspersky Endpoint Security 提供有關所掃描檔案的類別和信譽的資訊，以及有關所掃描網址的信譽的資訊。
根據以下建議編輯卡巴斯基安全網路設定：
1. 停⽤延伸 KSN 模式。

延伸 KSN 模式是 Kaspersky Endpoint Security 向 Kaspersky 傳送附加資料的⼀種模式。
2. 配置卡巴斯基私有安全網路。

卡巴斯基安全網路 (KSN) 是讓承載 Kaspersky Endpoint Security 或其他 Kaspersky 應⽤程式的電腦的使⽤者獲得卡巴斯基信譽資料庫以及其他統計資料的存取權限的解決⽅案，無需從他們⾃⼰的電腦向卡巴斯基傳送資料。
3. 啟⽤雲端模式。

雲端模式 是指 Kaspersky Endpoint Security 使⽤輕量級版本的病毒資料庫的應⽤程式執⾏模式。當使⽤輕量級病毒資料庫時，卡巴斯基安全網路⽀援應⽤程式執⾏。與通常的資料庫相比，輕量級版本的病毒資料庫僅
需要⼤約⼀半的電腦 RAM。如果您未參與卡巴斯基安全網路或已停⽤雲端模式，Kaspersky Endpoint Security
會從 Kaspersky 伺服器下載完整版本的病毒資料庫。

535

資料加密
Kaspersky Endpoint Security 允許您加密儲存在本機和卸除式磁碟機上的檔案和資料夾，或者整個卸除式磁碟機
和硬碟。筆記型電腦、卸除式磁碟機或硬碟遺失或被竊取時，⼜或者在未經許可的使⽤者或應⽤程式存取資料時，資料加密功能能夠將資訊洩露的危險降⾄最低。Kaspersky Endpoint Security 使⽤進階加密標準 (AES) 加密演算法。
如果產品授權已到期，本程式不會加密新資料，舊的已加密資料仍保持加密狀態並且可⽤。在此情況下，加密新資料將要求⽤允許使⽤加密的新產品授權來啟動應⽤程式。
如果產品授權已到期，或違反了最終使⽤者產品授權協議，亦或已刪除產品授權⾦鑰、Kaspersky Endpoint
Security 或加密元件，則先前加密檔案的加密狀態將得不到保證。這是因為某些應⽤程式，例如 Microsoft
O ice Word，會在編輯期間建立暫存檔案副本。儲存原始檔案時，臨時副本將替換原始檔案。因此，在沒
有加密功能或無法存取加密功能的電腦上，檔案保持未加密狀態。
Kaspersky Endpoint Security 提供了以下幾個⽅⾯的資料防護：
本機電腦磁碟機上檔案級加密。您可以根據副檔名或副檔名群組編制檔案清單，和儲存在本機電腦磁碟上的資料夾清單，並且為特定應⽤程式建立的檔案建立加密規則。套⽤政策後，卡巴斯基安全管理中⼼將加密和解密以下檔案：單獨新增到加密和解密清單中的檔案。
儲存在新增到加密和解密清單中的資料夾內的檔案。
單獨應⽤程式建立的檔案。
卸除式磁碟機加密。您可以指定預設加密規則，應⽤程式將根據此規則對所有卸除式磁碟機套⽤相同操作，
您也可以為個別卸除式磁碟機指定加密規則。
預設加密規則的優先順序低於為個別卸除式磁碟機建立的加密規則。為擁有特定裝置型號的卸除式磁碟機建
立的加密規則，其優先順序低於為擁有特定裝置 ID 的卸除式磁碟機建立的檔案加密規則。
若要為卸除式磁碟機中的檔案選取加密規則，Kaspersky Endpoint Security 將會檢查裝置的型號和 ID 是否已
知。然後此程式將執⾏以下操作之⼀：
如果只有裝置型號已知，程式將使⽤為特定裝置型號的卸除式磁碟機建立的加密規則（如果已建立）。
如果只有裝置 ID 已知，程式將使⽤為特定裝置 ID 的卸除式磁碟機建立的加密規則（如果已建立）。
如果裝置型號和 ID 已知，程式將使⽤為特定裝置 ID 的卸除式磁碟機建立的加密規則（如果已建立）。如
果不存在此類規則，但是存在為特定裝置型號的卸除式磁碟機建立的加密規則，則應⽤程式將套⽤此規則。如果沒有為特定的裝置 ID 或特定的裝置型號指定加密規則，應⽤程式將應⽤預設的加密規則。
如果裝置型號和裝置 ID 都未知，程式將使⽤預設的加密規則。
程式可以讓您準備卸除式磁碟機以攜帶模式使⽤磁碟機上儲存的加密資料。啟⽤攜帶模式後，您可以存取連線到沒有加密功能之電腦上的卸除式磁碟機中的加密檔案。
管理應⽤程式存取加密檔案的規則。對於任何應⽤程式，您可以建立加密檔案存取規則，封鎖對加密檔案的存取或者允許僅使⽤加密文字（應⽤加密時獲得的字串）存取加密檔案。
建立加密資料。您可以建立加密存檔，並使⽤密碼防護對此類存檔的存取。只有輸入您防護此檔案的密碼才
能存取加密檔案中的內容。此類檔案可以安全的透過網路或透過卸除式磁碟機傳輸。
完整磁碟加密。您可以選取加密技術：卡巴斯基磁碟加密或 BitLocker 磁碟機加密（以下簡稱“BitLocker”）。
536

BitLocker 技術是 Windows 作業系統的⼀部分。如果電腦配備了受信任平台模組 (TPM)，BitLocker 將⽤其儲存提供加密硬碟存取的還原⾦鑰。電腦啟動時，BitLocker 將從受信任平台模組請求硬碟還原⾦鑰並解鎖磁碟
機。您可以設定存取還原⾦鑰使⽤密碼和/或 PIN 碼。
您可以指定預設的完整磁碟加密規則，並建立要從加密中排除的硬碟的清單。套⽤卡巴斯基安全管理中⼼政
策後，Kaspersky Endpoint Security 將按照磁區執⾏完整磁碟加密。應⽤程式加密將同時套⽤⾄硬碟的所有邏
輯分區上。
加密系統硬碟後，在下次電腦啟動時，使⽤者要能夠存取硬碟並且作業系統載入前，使⽤者必須透過⾝分驗
證代理 的驗證。這需要輸入權杖或連線到電腦的智能卡的密碼，或者輸入由局域網管理員使⽤“管理⾝分驗
證代理帳⼾”⼯作建立的⾝分驗證代理帳⼾的使⽤者名稱和密碼。這些帳⼾以使⽤者登入作業系統的 Microsoft
Windows 帳⼾為基礎。您還可以使⽤單點登入 (SSO) 技術，此技術允許您使⽤⾝分驗證代理帳⼾的使⽤者名稱和密碼⾃動登入⾄作業系統。
如果您備份電腦，然後對電腦資料進⾏加密，之後還原電腦備份副本並再次加密電腦資料，Kaspersky
Endpoint Security 將會建立相同的⾝分驗證代理帳⼾。要刪除重複帳⼾，請使⽤帶有 dupfix ⾦鑰的
klmover 實⽤程式。Klmover 實⽤程式含在卡巴斯基安全管理中⼼分發套件中。您可以在《卡巴斯基安全管理中⼼說明》中瞭解有關其操作的更多資訊。
只能在安裝了帶有完整磁碟加密功能的 Kaspersky Endpoint Security 的電腦上存取已加密的硬碟。當出現公司
區域網路之外的連接嘗試存取加密檔案時，此功能會⼤⼤降低加密硬碟中的檔案洩露的風險。
若要加密硬碟和卸除式磁碟機，您可以使⽤“僅加密使⽤的磁碟空間”功能。建議您僅為先前未使⽤的新裝置使⽤此功能。如果您在已使⽤的裝置上套⽤加密，建議您加密整個裝置。這將確保所有資料受到防護 – 即使刪除了可能仍包含擷取資訊的資料。
開始加密之前，Kaspersky Endpoint Security 將獲得檔案系統磁區圖。第⼀波加密包括開始加密時檔案佔⽤的磁區。第⼆波加密包括加密開始後寫入的磁區。加密完成後，所有包含資料的磁區都將被加密。
加密完成並且使⽤者刪除檔案後，儲存刪除檔案的磁區可以在檔案系統等級儲存新的資訊但是仍保持為加密狀態。因此，在啟⽤“僅加密使⽤的磁碟空間”功能的情況下，隨著檔案寫入新裝置和定期加密該裝置，在⼀段時間
後所有磁區都將加密。
解密檔案所需的檔案由加密時控制電腦的卡巴斯基安全管理中⼼管理伺服器提供。如果含有加密物件的電腦因某
種原因由其他管理伺服器管理，則可以透過下列⽅式之⼀獲得對加密資料的存取權限：
同⼀層次結構中的管理伺服器：
您無需執⾏其他任何操作。使⽤者將保留對加密物件的存取權限。加密⾦鑰將分發到所有管理伺服器。
單獨的管理伺服器：
向區域網路管理員請求加密物件的存取權限。
使⽤“還原實⽤⼯具”還原加密裝置上的資料。
從備份副本還原在加密時控制電腦的卡巴斯基安全管理中⼼管理伺服器的配置，並且在現在控制包含加密物件的電腦的管理伺服器上使⽤此配置。
如果沒有加密資料的存取權限，請遵循有關處理加密資料的特殊說明（還原對加密檔案的存取權限、無法存取加
密裝置時的裝置使⽤）。

加密功能限制537

資料加密具有以下限制：
程式將在加密期間建立服務檔案。需要硬碟上⼤約 0.5% 的非碎片的磁碟空間來儲存這些檔案。如果硬碟磁碟
機上的可⽤磁碟空間不⾜，加密操作不會運⾏，直⾄您清理出⾜夠的空間。
您可以在卡巴斯基安全管理中⼼管理主控台和卡巴斯基安全管理中⼼網⾴主控台中管理所有資料加密元件。
在卡巴斯基安全管理中⼼雲端主控台中，您只能管理 Bitlocker。
僅當將 Kaspersky Endpoint Security 與卡巴斯基安全管理中⼼管理系統或卡巴斯基安全管理中⼼雲端主控台（僅限 BitLocker）⼀起使⽤時，資料加密才可⽤。在離線模式下使⽤ Kaspersky Endpoint Security 時，無法
使⽤資料加密，因為 Kaspersky Endpoint Security 將加密⾦鑰儲存在卡巴斯基安全管理中⼼中。
如果將 Kaspersky Endpoint Security 安裝在執⾏ Microsoft Windows for Servers 的電腦上，則只有使⽤
BitLocker 磁碟機加密技術的完整磁碟加密可⽤。如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for
Workstations 的電腦上，則資料加密功能完全可⽤。
對於不滿⾜軟硬體需求的硬碟磁碟機，無法使⽤卡巴斯基磁碟加密技術進⾏完整磁碟加密。
Kaspersky Endpoint Security 的完整磁碟加密功能與 Kaspersky Anti-Virus for UEFI 之間不相容。Kaspersky AntiVirus for UEFI 在作業系統載入前啟動。使⽤完整磁碟加密時，應⽤程式將偵測電腦上是否缺少已安裝的作業系統。因此，Kaspersky Anti-Virus for UEFI 的執⾏將以錯誤結束。檔案級加密 (FLE) 不會影響 Kaspersky Anti-Virusfor UEFI 的操作。
Kaspersky Endpoint Security ⽀援以下設定：
HDD，SSD 和 USB 磁碟機。
卡巴斯基磁碟加密（FDE）技術⽀援使⽤ SSD，同時保留 SSD 磁碟機的效能和使⽤壽命。
透過匯流排連線的磁碟機：SCSI，ATA，IEEE1934，USB，RAID，SAS，SATA，NVME。
透過 SD 或 MMC 匯流排連線的非卸除式磁碟機。
具有 512 位元組磁區的磁碟機。
具有 4096 位元組磁區（模擬 512 位元組）的磁碟機。
具有以下類型磁碟分割的磁碟機：GPT，MBR 和 VBR（卸除式磁碟機）。
UEFI 64 和 Legacy BIOS 標準的內嵌軟體。
UEFI 標準的內嵌軟體，具有安全開機⽀援。

安全開機是⼀項旨在驗證 UEFI 加載程式應⽤程式和驅動程式的數位簽章的技術。安全開機會封鎖未簽名或由未知發⾏者簽名的 UEFI 應⽤程式和驅動程式啟動。卡巴斯基磁碟加密（FDE）完全⽀援安全開機。⾝分驗證
代理由 Microsoft Windows UEFI Driver Publisher 憑證簽署。

在某些裝置（例如，Microsoft Surface Pro 和 Microsoft Surface Pro 2）上，預設情況下可能會安裝數位簽章驗證憑證的過期清單。在加密磁碟機之前，您需要更新憑證清單。
UEFI 標準的內嵌軟體，具有快速開機⽀援。

快速開機是⼀項有助於電腦更快啟動的技術。啟⽤快速開機技術後，通常電腦僅加載啟動作業系統所需的最

少 UEFI 驅動程式集合。啟⽤快速開機技術後，當⾝分驗證代理執⾏時，USB 鍵盤、鍵鼠、USB 權杖、觸控板和觸控熒幕可能無法⼯作。

538

要使⽤卡巴斯基磁碟加密（FDE）的話，建議停⽤快速開機技術。您可以使⽤FDE 測試實⽤程式 來測試卡巴斯基磁碟加密（FDE）的運⾏。
Kaspersky Endpoint Security 不⽀援以下配置：
引導載入程式位於某個磁碟上⽽作業系統位於其他磁碟上。
系統包含 UEFI 32 標準的嵌入式軟體。
系統有 Intel® 快速開機技術和即使 Intel® 快速開機技術被停⽤時也擁有休眠磁碟分割的磁碟機。
MBR 格式的磁碟擁有超過 10 個延伸磁碟分割。
系統有⼀個交換檔案位於非系統磁碟機上。
同時安裝有多個作業系統的多啟動系統。
動態磁碟分割（僅⽀援主要磁碟分割）。
未經過磁碟整理可⽤空間少於 0.5% 的磁碟。
磁區⼤⼩不是 512 位元組或類比 512 位元組的 4096 位元組的磁碟。
混合磁碟。
系統有協⼒廠商載入程式。
具有壓縮的 NTFS ⽬錄的磁碟機。
卡巴斯基磁碟加密（FDE）技術與其他完整磁碟加密（例如 BitLocker、McAfee Drive Encryption 和 WinMagic
SecureDoc）不相容。
卡巴斯基磁碟加密（FDE）技術與 ExpressCache 技術不相容。
不⽀援在加密磁碟機上建立、刪除和修改磁碟分割。您可能會丟失資料。
不⽀援檔案系統格式化。您可能會丟失資料。
如果需要格式化使⽤卡巴斯基磁碟加密（FDE）技術加密的磁碟機，請在不具有 Kaspersky Endpoint Security
for Windows 的電腦上格式化該磁碟機，並僅使⽤完整磁碟加密。
下次將⽤快速磁碟機選項格式化的加密磁碟機連線到安裝了 Kaspersky Endpoint Security for Windows 的電腦時，可能會錯誤地將其標識為已加密。使⽤者資料將不可⽤。
⾝分驗證代理最多⽀援 100 個帳⼾。
單⼀登入技術與協⼒廠商開發⼈員的其他技術不相容。
以下型號的裝置不⽀援卡巴斯基磁碟加密（FDE）技術：
Dell Latitude E6410（UEFI 模式）
HP Compaq nc8430（Legacy BIOS 模式）
Lenovo ThinkCentre 8811（Legacy BIOS 模式）。
539

啟⽤ Legacy USB Support 時，⾝分驗證代理不⽀援使⽤ USB 權杖。在電腦上只能進⾏基於密碼的⾝分驗證。
在 Legacy BIOS 模式下加密磁碟機時，建議在以下型號的裝置上啟⽤ Legacy USB Support：
Acer Aspire 5560G
Acer Aspire 6930
Acer TravelMate 8572TDell Inspiron 1420
Dell Inspiron 1545
Dell Inspiron 1750
Dell Inspiron N4110
Dell Latitude E4300
Dell Studio 1537
Dell Studio 1569
Dell Vostro 1310
Dell Vostro 1320
Dell Vostro 1510
Dell Vostro 1720
Dell Vostro V13
Dell XPS L502x
Fujitsu Celsius W370
Fujitsu LifeBook A555
HP Compaq dx2450 Microtower PC
Lenovo G550
Lenovo ThinkPad L530
Lenovo ThinkPad T510
Lenovo ThinkPad W540
Lenovo ThinkPad X121e
Lenovo ThinkPad X200s (74665YG)
Samsung R530
540

Toshiba Satellite A350
Toshiba Satellite U400 10O
MSI 760GM-E51（主機板）變更加密⾦鑰的⻑度 (AES56 / AES256)
Kaspersky Endpoint Security 使⽤進階加密標準 (AES) 加密演算法。Kaspersky Endpoint Security ⽀援有效⾦鑰⻑
度為 256 或 56 位元的 AES 加密演算法。資料加密演算法取決於分發套件中包含的 AES 加密庫：強加密(AES256) 或簡單加密 (AES56)。AES 加密庫與應⽤程式⼀起安裝。
只有 Kaspersky Endpoint Security 11.2.0 或更⾼版本可以變更加密⾦鑰的⻑度。
變更加密⾦鑰⻑度包括以下步驟：
1. 開始變更加密⾦鑰⻑度之前，解密 Kaspersky Endpoint Security 加密的物件：
a. 解密硬碟磁碟機。
b. 解密本機磁碟機上的檔案。
c. 解密卸除式磁碟機。
改變加密⾦鑰⻑度後，先前加密的物件變為不可使⽤。
2. 移除 Kaspersky Endpoint Security。
3. 從包含其他加密庫的 Kaspersky Endpoint Security 分發套件安裝 Kaspersky Endpoint Security。
您也可以透過升級應⽤程式來變更加密⾦鑰⻑度。只有滿⾜以下條件，才可以透過應⽤程式升級來變更⾦鑰⻑度：
電腦上已安裝 Kaspersky Endpoint Security 版本 10 Service Pack 2 或更⾼版本。
電腦上未安裝資料加密元件（檔案級加密、完整磁碟加密）。
預設情況下，Kaspersky Endpoint Security 不包含資料加密元件。BitLocker 管理元件不會影響加密⾦鑰⻑度的變更。
要變更加密⾦鑰⻑度，請執⾏包含必要加密庫的分發套件中的 kes_win.msi 或 setup_kes.exe 檔案。您還可以使⽤安裝套件遠端升級應⽤程式。
無法使⽤與電腦上安裝的應⽤程式版本相同的分發套件變更加密⾦鑰的⻑度，除非先移除應⽤程式。

卡巴斯基磁碟加密
541

卡巴斯基磁碟加密僅適⽤於執⾏⾯向⼯作站的 Windows 作業系統的電腦。對於執⾏⾯向伺服器的 Windows
作業系統的電腦，請使⽤ BitLocker 磁碟機加密技術。

Kaspersky Endpoint Security ⽀援 FAT32、NTFS 和 exFat 檔案系統的完整磁碟加密。
啟動完整磁碟加密之前， 應⽤程式會執⾏⼀些檢查，以確定裝置是否可以被加密，其中包括檢查系統硬碟磁碟機與驗證代理或 BitLocker 加密元件的相容性。若要檢查相容性，電腦必須重新啟動。重新啟動電腦後，應⽤程式
會⾃動執⾏所有必需的檢查。如果相容性檢查成功，則在載入作業系統和啟動應⽤程式後開始完整磁碟加密。如果系統硬碟磁碟機不相容驗證代理或 BitLocker 加密元件不相容，必須按下硬體重置按鈕，重新啟動電腦。
Kaspersky Endpoint Security 將會記錄有關不相容的資訊記錄。根據此資訊，應⽤程式在作業系統啟動時不會啟
動完整磁碟加密。有關此資訊的事件將會記錄在卡巴斯基安全管理中⼼的報告中。
如果電腦硬體設定已經變更，先前不相容的檢查記錄資訊將會予以刪除，以重新檢查系統硬碟磁碟機與⾝分驗證
代理和 BitLocker 加密元件的相容性。要執⾏此操作，請在完整磁碟加密前，在命令列執⾏加密類型的 avp
pbatestreset 指令。如果作業系統未能在檢查系統硬碟磁碟機是否與⾝分驗證代理相容之後載入，您必須在⾝
分驗證代理測試執⾏之後使⽤還原實⽤⼯具刪除剩餘物件和資料，然後啟動 Kaspersky Endpoint Security 並再次
執⾏ avp pbatestreset 指令。
啟動完整磁碟加密後，Kaspersky Endpoint Security 將加密硬碟上的所有資料。
如果使⽤者在完整磁碟加密期間關閉或重新啟動電腦，下次啟動作業系統之前系統將載入⾝分驗證代理。成功透
過⾝分驗證並在作業系統啟動後，Kaspersky Endpoint Security 將還原完整磁碟加密。
如果作業系統在完整磁碟加密期間切換⾄休眠模式，作業系統結束休眠模式時將載入⾝分驗證代理。成功透過⾝分驗證並在作業系統啟動後，Kaspersky Endpoint Security 將還原完整磁碟加密。
如果作業系統在完整磁碟加密期間進入休眠模式，則當作業系統結束休眠模式時，Kaspersky Endpoint Security
將還原完整磁碟加密，且不會載入⾝分驗證代理。
可以透過兩種⽅式在⾝分驗證代理中執⾏使⽤者⾝分驗證：
輸入區域網路管理員使⽤卡巴斯基安全管理中⼼⼯具建立的⾝分驗證代理帳⼾的使⽤者名称和密碼。
輸入連線⾄電腦的令牌的密碼或智慧卡的密碼。
如果電腦硬碟磁碟機使⽤ AES256 加密演算法進⾏加密，則可以使⽤令牌或智慧卡。如果使⽤ AES256 演
算法加密了電腦硬碟磁碟機，新增電⼦憑證檔案到指令將被拒絕。
⾝分驗證代理⽀援以下語⾔的鍵盤配置：
英語（英國）
英語（美國）
阿拉伯語（阿爾及利亞、摩洛哥、突尼斯、AZERTY 佈局）
⻄班牙語（拉丁美洲）
意⼤利語
德語（德國和奧地利）542德語（瑞⼠）葡萄牙語（巴⻄、ABNT2 佈局）俄語（針對帶有 QWERTY 佈局的 105 鍵 IBM / Windows 鍵盤）
⼟⽿其語（QWERTY 佈局）
法語（法國）
法語（瑞⼠）
法語（比利時 AZERTY 佈局）
⽇語（針對帶有 QWERTY 佈局的 106 鍵鍵盤）
如果作業系統的語⾔和區域標準設定中新增了此佈局，則在⾝分驗證代理中可以使⽤此鍵盤佈局。
如果⾝分驗證代理帳⼾名稱包含⾝分驗證代理中無法使⽤鍵盤配置輸入的符號，則只能使⽤還原實⽤⼯具還原後
或還原⾝分驗證代理帳⼾名稱和密碼還原後存取加密的硬碟磁碟機。

SSD 磁碟機加密的特殊功能
該應⽤程式⽀援對 SSD 磁碟機，混合式 SSHD 磁碟機以及具有 Intel Smart Response 功能的磁碟機進⾏加密。該應⽤程式不⽀援對對具有 Intel Rapid Start 功能的磁碟機進⾏加密。在加密此類磁碟機之前，請停⽤ Intel Rapid
Start 功能。
SSD 磁碟機加密具有以下特殊功能：
如果 SSD 磁碟機是新的並且不包含機密資料，請僅對占⽤的空間進⾏加密。這樣就可以覆蓋相關的磁碟機磁區。
如果 SSD 磁碟機正在使⽤中並且具有機密資料，請選擇以下選項之⼀：
完整擦除 SSD 磁碟機（安全擦除），安裝作業系統並執⾏ SSD 磁碟機加密，可以選擇僅加密啟⽤的佔⽤空間。
執⾏ SSD 磁碟機加密，可選擇僅加密停⽤的佔⽤空間。
SSD 磁碟機的加密需要 5-10 GB 的可⽤空間。下表提供了⽤於儲存加密管理資料的可⽤空間要求。
儲存加密管理資料的可⽤空間要求

SSD 磁碟機⼤⼩（GB）

SSD 磁碟機主要磁碟分割上的可⽤空間（MB）

SSD 磁碟機次要磁碟分割上的可⽤空間
（MB）

128

250

64

256

250

640

512

300

128

543

啟動卡巴斯基磁碟加密在開始完整磁碟加密之前，建議您確保電腦未受到感染。若要執⾏操作，應啟動完整掃描或關鍵區域掃描⼯作。在已被 rootkit 感染的電腦上執⾏完整磁碟加密可能導致電腦無法執⾏。
在啟動磁碟加密之前，您必須檢查⾝分驗證代理帳⼾的設定。使⽤採⽤卡巴斯基磁碟加密 (FDE) 技術保護的磁碟
機時，需要⾝分驗證代理。載入作業系統之前，使⽤者需要使⽤代理完成⾝分驗證。Kaspersky Endpoint
Security 允許您在加密磁碟機之前⾃動建立⾝分驗證代理帳⼾。您可以在“完整磁碟加密”政策設定中啟⽤⾃動建
立⾝分驗證代理帳⼾（請⾒下⽅的操作指⽰）。您還可以使⽤單點登入 (SSO) 技術。
Kaspersky Endpoint Security 允許您為以下使⽤者群組⾃動建立⾝分驗證代理：
電腦上的所有帳⼾任何時間啟動過的電腦上的所有帳⼾。
電腦上所有網域帳⼾屬於某些網域且在任何時間啟動過的電腦上的所有帳⼾。
電腦上所有本機帳⼾任何時間啟動過的電腦上的所有本機帳⼾。
具有⼀次性密碼的服務賬⼾獲取電腦的存取權限時（例如，當使⽤者忘記密碼時）需要該服務帳⼾。您也可
以將服務帳⼾作為備⽤帳⼾。您可以輸入帳⼾名稱（預設為 ServiceAccount）。Kaspersky Endpoint
Security 會⾃動建立密碼。您只能在卡巴斯基安全管理中⼼主控台中查找密碼。
本機管理員Kaspersky Endpoint Security 會為電腦的本機管理員建立⼀個⾝分驗證代理使⽤者帳⼾。
電腦管理者Kaspersky Endpoint Security 會為電腦管理者的帳⼾建立⼀個⾝分驗證代理使⽤者帳⼾。您可以在Active Directory 的電腦內容中查看哪個帳⼾有電腦管理者⾓⾊。預設未定義電腦管理者⾓⾊，即它不相應任何帳⼾。
⽬前帳⼾Kaspersky Endpoint Security 會為磁碟加密時啟動的帳⼾⾃動建立⼀個⾝分驗證代理帳⼾。
“管理⾝分驗證代理帳⼾”⼯作設計⽤於設定使⽤者⾝分驗證設定。您可以使⽤該⼯作新增帳⼾、修改⽬前帳⼾的
設定、或者必要時刪除帳⼾。對於單⼀電腦可以使⽤本機⼯作，對於單獨管理群組中的電腦或⼀組選定電腦，可以使⽤群組⼯作。
如何透過管理主控台 (MMC) 執⾏卡巴斯基磁碟加密544

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 完整磁碟加密”。
5. 在“加密技術”下拉式清單中，選取“卡巴斯基磁碟加密”。
如果電腦的硬碟磁碟機先前使⽤ BitLocker 加密，則無法使⽤卡巴斯基磁碟加密。
6. 在“加密模式”下拉式清單中，選取“加密所有硬碟磁碟機”。
如果電腦安裝了多個作業系統，則在加密所有硬碟後，您將只能載入安裝了此應⽤程式的作業系
統。

如果您需要從加密中排除某些硬碟磁碟機，則建立此類硬碟磁碟機的清單。
7. 設定進階卡巴斯基磁碟加密選項（參⾒下表）。
8. 儲存變更。
如何透過網⾴主控台和雲端主控台執⾏卡巴斯基磁碟加密545

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”完整磁碟加密”。
5. 在“管理加密”塊中，選取“卡巴斯基磁碟加密”。
6. 點擊”卡巴斯基磁碟加密”連接。
這將開啟“卡巴斯基磁碟加密設定”視窗。
如果電腦的硬碟磁碟機先前使⽤ BitLocker 加密，則無法使⽤卡巴斯基磁碟加密。
7. 在“加密模式”下拉式清單中，選取“加密所有硬碟磁碟機”。
如果電腦安裝了多個作業系統，在加密後，您將能夠只載入執⾏了加密的作業系統。

如果您需要從加密中排除某些硬碟磁碟機，則建立此類硬碟磁碟機的清單。
8. 設定進階卡巴斯基磁碟加密選項（參⾒下表）。
9. 儲存變更。
您可以使⽤加密監控⼯具來控制使⽤者電腦上的磁盤加密或解密過程。您可以從“主應⽤程式視窗”執⾏加密監控
⼯具。

546

加密監控器如果系統硬碟磁碟機被加密，則⾝分驗證代理在作業系統啟動之前載入。使⽤⾝分驗證代理完成⾝分驗證以便存
取加密的系統硬碟磁碟機並載入作業系統。在成功完成⾝分驗證過程後，作業系統將載入。⾝分驗證過程將在每
次作業系統重新啟動時重新開始。
卡巴斯基磁碟加密元件設定

參數

描述

對以下使⽤
者⾃動建立
⾝分驗證代
理帳⼾ 使
⽤者 加密
期間

如果選中此核取⽅塊，則應⽤程式將基於電腦上的 Windows 使⽤者帳⼾清單建立⾝分驗證代理帳⼾。預設情況下，Kaspersky Endpoint Security 使⽤在過去30 天內登入到作業系統的
使⽤者所使⽤的所有本機帳⼾和網域帳⼾。

⾸次登入時
為此電腦的
所有使⽤者
⾃動建立⾝
分驗證代理
帳⼾

如果選中此核取⽅塊，則應⽤程式將在啟動⾝分驗證代理之前檢查電腦上 Windows 使⽤者
帳⼾的資訊。如果 Kaspersky Endpoint Security 偵測到沒有⾝分驗證代理帳⼾的 Windows 使
⽤者帳⼾，則應⽤程式將建立⼀個新帳⼾來存取加密的磁碟機。新的⾝分驗證代理帳⼾將具
有以下預設設定：僅受密碼防護的登錄，以及⾸次⾝分驗證時變更密碼。因此，對於具有已加密磁碟機的電腦，不需要使⽤“管理⾝分驗證代理帳⼾”任務⼿動新增⾝分驗證代理帳⼾。

儲存在⾝分
驗證代理中
輸入的使⽤
者名稱

如果選中該核取⽅塊，應⽤程式將儲存⾝分驗證代理帳⼾的名稱。下次使⽤同⼀帳⼾在⾝分
驗證代理中嘗試完成憑證時不會被提⽰輸入帳⼾名稱。

僅加密使⽤
的磁碟空間
(減少加密
時間)

該核取⽅塊可啟⽤/停⽤將加密區域僅限為已⽤硬碟磁區的選項。該限制可減少加密時間。
在啟動加密後啟⽤或者停⽤“僅加密使⽤的磁碟空間(減少加密時間)”功能不會修改此設定，直到硬碟磁碟機被解密為⽌。開始加密之前您必須選擇或清除該核取⽅塊。
547

如果選定該核取⽅塊，則僅加密使⽤的硬碟部分。Kaspersky Endpoint Security 將⾃動加密
新增的新資料。
如果清空該核取⽅塊，整個硬碟將被加密，包括先前刪除和修改檔案殘留的碎片。
建議對尚未修改或刪除資料的新硬碟使⽤該選項。如果對已在使⽤中的硬碟應⽤加密，
則建議加密整個硬碟。這樣可確保防護所有資料，甚⾄已刪除的資料也能夠部分還原。
預設情況下已清空此核取⽅塊。
啟⽤LegacyUSB
Support(不建議)

此核取⽅塊可啟⽤/停⽤ Legacy USB Support 功能。Legacy USB Support 是⼀種 BIOS/UEFI
功能，允許您在啟動作業系統（BIOS 模式）之前，在電腦的引導階段使⽤ USB 裝置（例如
安全性權杖）。Legacy USB Support 不會影響作業系統啟動後對 USB 裝置的⽀援。
如果選中該核取⽅塊，在電腦初始啟動期間對 USB 裝置的⽀援將啟⽤。
啟⽤ Legacy USB Support 功能時，BIOS 模式下的⾝分驗證代理不⽀援透過 USB 使⽤權杖。建議僅當存在硬體相容性問題時並僅對發⽣問題的電腦使⽤此選項。

建立硬碟磁碟機加密排除清單您可以僅為卡巴斯基磁碟加密技術建立加密排除項⽬清單。

若要建立從加密範圍中排除的硬碟磁碟機清單，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 完整磁碟加密”。
5. 在“加密技術”下拉式清單中，選取“卡巴斯基磁碟加密”。
從加密項⽬中排除的硬碟磁碟機所對應的項⽬將顯⽰在“請勿加密以下硬碟磁碟機”清單中。如果您先前並未建
立硬碟磁碟機加密排除清單，此清單將是空⽩。
6. 若要向從加密範圍中排除的硬碟磁碟機清單中新增硬碟磁碟機，請執⾏以下操作：a. 單擊“新增”。
b. 在開啟的視窗中，指定 裝置名稱, 電腦名稱, 磁碟類型, 卡巴斯基磁碟加密 的值。
c. 單擊“重新整理”。
d. 在“名稱”列中，在表⾏中選擇與您要新增到硬碟磁碟機加密排除清單中的硬碟磁碟機對應的核取⽅塊。
e. 單擊“確定”。
548對應於選定硬碟磁碟機的項⽬將顯⽰在“請勿加密以下硬碟磁碟機”清單中。
7. 儲存變更。

匯出和匯入從加密範圍中排除的硬碟磁碟機清單
您可以將硬碟磁碟機加密排除項⽬清單匯出到 XML 檔案。然後，您可以修改檔案，例如，新增⼤量相同類型的排除項⽬。您還可以使⽤匯出/匯入功能來備份排除項⽬清單，或將排除項⽬遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入硬碟磁碟機加密排除項⽬清單

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 完整磁碟加密”。
5. 在“加密技術”下拉式清單中，選取“卡巴斯基磁碟加密”。
從加密項⽬中排除的硬碟磁碟機所對應的項⽬將顯⽰在“請勿加密以下硬碟磁碟機”清單中。
6. 若要匯出排除項⽬清單：
a. 選取您想要匯出的排除項⽬。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何排除項⽬，則 Kaspersky Endpoint Security 將匯出所有排除項⽬。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
7. 要匯入規則清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
8. 儲存變更。
如何在網⾴主控台中匯出和匯入硬碟磁碟機加密排除項⽬清單549

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”完整磁碟加密”。
5. 選擇“卡巴斯基磁碟加密”技術，然後按照連結配置設定。
將開啟加密設定。
6. 點擊”排除項⽬”連接。
7. 要匯出規則清單：
a. 選取您想要匯出的排除項⽬。
b. 單擊“匯出”。
c. 確認您只想匯出選定的排除項⽬，或匯出整個排除項⽬清單。
d. 在開啟的視窗中，指定您要將排除項⽬清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料
夾。
e. 儲存檔案。
Kaspersky Endpoint Security 會將整個排除項⽬清單匯出到 XML 檔案。
8. 要匯入規則清單：
a. 單擊“匯入”。
b. 在開啟的視窗中，選取要從中匯入排除項⽬清單的 XML 檔案。
c. 開啟檔案。
如果電腦已經具有排除項⽬清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔
案向其中新增新項⽬。
9. 儲存變更。

啟⽤單點登入 (SSO) 技術
單點登入 (SSO) 技術允許您使⽤⾝分驗證代理的憑證⾃動登入作業系統。這意味著使⽤者在登入 Windows（⾝分驗證代理帳⼾密碼）時只需要輸入密碼⼀次。單點登入技術還可以讓您在 Windows 帳⼾密碼變更時⾃動更新⾝分驗證代理帳⼾密碼。
使⽤單點登入技術時，⾝分驗證代理將忽略卡巴斯基安全管理中⼼中指定的密碼強度要求。您可以在作業系統設
定中設定密碼強度要求。

550

啟⽤單點登入技術
如何在管理主控台 (MMC) 中啟⽤單點登入技術

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → ⼀般加密設定”。
5. 在”密碼設定”塊中，點擊”設定”按鈕。
6. 在開啟之視窗的“⾝分驗證代理”標籤上，選中“使⽤⼀次性登入技術”核取⽅塊。
7. 如果您正在使⽤協⼒廠商憑據提供者，請選擇包裝第三⽅憑據提供商核取⽅塊。
8. 儲存變更。
結果，使⽤者只需與代理完成⼀次⾝分驗證過程。載入作業系統不需要⾝分驗證過程。作業系統會⾃動載入。
如何在網⾴主控台中啟⽤單點登入

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”完整磁碟加密”。
5. 選擇“卡巴斯基磁碟加密”技術，然後按照連結配置設定。
將開啟加密設定。
6. 在“密碼設定“塊中，選中“使⽤單點登入 (SSO) 技術”核取⽅塊。
7. 如果您正在使⽤協⼒廠商憑據提供者，請選擇包裝第三⽅憑據提供商核取⽅塊。
8. 儲存變更。
結果，使⽤者只需與代理完成⼀次⾝分驗證過程。載入作業系統不需要⾝分驗證過程。作業系統會⾃動載入。
為使單點登入發揮作⽤，Windows 帳⼾密碼和⾝分驗證代理帳⼾的密碼必須相符。如果密碼不相符，使⽤者需要
執⾏兩次⾝分驗證過程：在⾝分驗證代理的介⾯中以及在載入作業系統之前。這些操作只需要執⾏⼀次以同步密碼。之後，Kaspersky Endpoint Security 會⽤ Windows 帳⼾的密碼替換⾝分驗證代理帳⼾的密碼。當 Windows帳⼾密碼變更時，應⽤程式將⾃動更新⾝分驗證代理帳⼾的密碼。
551

協⼒廠商憑據提供者
Kaspersky Endpoint Security 11.10.0 新增了對協⼒廠商憑據提供者的⽀援。
Kaspersky Endpoint Security ⽀援協⼒廠商憑據提供者 ADSelfService Plus。
當使⽤協⼒廠商憑據提供者時，⾝分驗證代理會在作業系統載入前攔截密碼。這意味著使⽤者在登入 Windows
時只需要輸入密碼⼀次。登入 Windows 後，使⽤者可以在公司服務（例如）中利⽤協⼒廠商憑據提供者的功能
進⾏⾝分驗證。協⼒廠商憑據提供者還可讓使⽤者獨立重設⾃⼰的密碼。在此情況下，Kaspersky Endpoint
Security 將⾃動更新⾝分驗證代理的密碼。
如果您正在使⽤不受應⽤程式⽀援的協⼒廠商憑據提供者，您可能會在單點登入技術操作中遇到某些限制。當登
入到 Windows 時，有兩個設定檔對使⽤者可⽤：系統內憑據提供者和協⼒廠商憑據提供者。這些設定檔的圖⽰
⼀樣（請參⾒下圖）。使⽤者有以下選項可繼續：
如果使⽤者選擇協⼒廠商憑據提供者，⾝分驗證代理將無法⽤ Windows 帳⼾同步密碼。因此，如果使⽤者變
更了 Windows 帳⼾密碼，Kaspersky Endpoint Security 將無法更新⾝分驗證代理帳⼾的密碼。結果，使⽤者
需要執⾏兩次⾝分驗證過程：在⾝分驗證代理的介⾯中以及在載入作業系統之前。在此情況下，使⽤者可以在公司服務（例如）中利⽤協⼒廠商憑據提供者的功能進⾏⾝分驗證。
如果使⽤者選擇系統內憑據提供者，⾝分驗證代理將⽤ Windows 帳⼾同步密碼。在此情況下，使⽤者將無法
在公司服務（例如）中利⽤協⼒廠商憑據提供者的功能進⾏⾝分驗證。

⽤於 Windows 登入的系統⾝分驗證設定檔和協⼒廠商⾝分驗證設定檔

管理⾝分驗證代理帳⼾
使⽤採⽤卡巴斯基磁碟加密 (FDE) 技術保護的磁碟機時，需要⾝分驗證代理。載入作業系統之前，使⽤者需要使
⽤代理完成⾝分驗證。“管理⾝分驗證代理帳⼾”⼯作設計⽤於設定使⽤者⾝分驗證設定。對於單⼀電腦可以使⽤
本機⼯作，對於單獨管理群組中的電腦或⼀組選定電腦，可以使⽤群組⼯作。
您無法設定⽤於啟動“管理⾝分驗證代理帳⼾”⼯作的規劃。也不能強制停⽌⼯作。
如何在管理主控台 (MMC) 中建立“管理⾝分驗證代理帳⼾”⼯作552

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“管理⾝分驗證代理帳⼾”。

步驟 2. 選取⾝分驗證代理帳⼾管理指令
產⽣⾝分驗證代理帳⼾管理指令清單。管理指令允許您新增、修改和刪除⾝分驗證代理帳⼾（請參閱以下說明）。只有擁有⾝分驗證代理帳⼾的使⽤者可以完成⾝分驗證過程、載入作業系統和獲得對加密磁碟機的存取權限。

步驟 3. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 4. 定義⼯作名稱
輸入⼯作的名稱，例如“管理員帳⼾”。

步驟 5. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。
結果，在下次電腦啟動時，當⼯作完成後，新使⽤者可以完成⾝分驗證過程、載入作業系統和獲得對加密磁
碟機的存取權限。
如何在網⾴主控台中建立“管理⾝分驗證代理帳⼾”⼯作553

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 配置⼀般⼯作設定
配置⼀般⼯作設定：
1. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
2. 在“⼯作類型”下拉式清單中，選取“管理⾝分驗證代理帳⼾”。
3. 在“⼯作名稱”欄位中，輸入簡要說明，例如“管理員帳⼾”。
4. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。

步驟 2. 管理⾝分驗證代理帳⼾產⽣⾝分驗證代理帳⼾管理指令清單。管理指令允許您新增、修改和刪除⾝分驗證代理帳⼾（請參閱以下說明）。只有擁有⾝分驗證代理帳⼾的使⽤者可以完成⾝分驗證過程、載入作業系統和獲得對加密磁碟機的存取權限。

步驟 3. 完成⼯作建立
結束精靈。在⼯作清單中將顯⽰⼀個新⼯作。
要執⾏⼯作，請選中與⼯作對應的核取⽅塊，然後點擊“開始”按鈕。
結果，在下次電腦啟動時，當⼯作完成後，新使⽤者可以完成⾝分驗證過程、載入作業系統和獲得對加密磁
碟機的存取權限。
要新增⾝分驗證代理帳⼾，您需要向“管理⾝分驗證代理帳⼾”⼯作新增特殊指令。使⽤群組⼯作很⽅便，例如，
將管理員帳⼾新增⾄所有電腦。
Kaspersky Endpoint Security 允許您在加密磁碟機之前⾃動建立⾝分驗證代理帳⼾。您可以在“完整磁碟加密”政策
設定中啟⽤⾃動建立⾝分驗證代理帳⼾。您還可以使⽤單點登入 (SSO) 技術。
如何透過管理主控台 (MMC) 新增⾝分驗證代理帳⼾

554

1. 開啟“管理⾝分驗證代理帳⼾”⼯作的內容。
2. 在⼯作內容中，選取“設定”區域。
3. 點擊“新增”→“新增帳⼾指令”。
4. 在開啟之視窗的“Windows 帳⼾”欄位中，指定將⽤於建立⾝分驗證代理帳⼾的 Microsoft Windows 帳⼾名
稱。
5. 如果您⼿動輸入了 Windows 帳⼾名稱，請點擊“允許”按鈕以定義帳⼾安全識別碼 (SID)。
如果您點擊“允許”按鈕時選取不決定安全標識符 (SID)，SID 將在⼯作在電腦上執⾏時確定。
若要驗證 Windows 帳⼾名稱是否正確輸入，必須定義 Windows 帳⼾安全識別碼。如果電腦或受信任
網域中不存在 Windows 帳⼾，則“管理⾝分驗證代理帳⼾”⼯作將以發⽣錯誤結束。
6. 如果您希望將先前為⾝分驗證代理建立的現有帳⼾取代為正在建立的帳⼾，請選擇“更換現有帳⼾”核取⽅塊。
當您在管理⾝分驗證代理帳⼾的群組⼯作中新增⾝分驗證代理建立命令時，此步驟將可⽤。當您在
管理⾝分驗證代理帳⼾本機⼯作的內容中新增⾝分驗證代理建立命令時，此步驟將不可⽤。
7. 在“使⽤者名稱”欄位中，輸入在⾝分驗證過程中必須輸入的⾝分驗證代理帳⼾名，以便存取加密的硬碟磁碟機。
8. 如果您希望在⾝分驗證期間應⽤程式提⽰使⽤者輸入⾝分驗證代理帳⼾以便存取加密硬碟，請選取“允許基於密碼的驗證”。設定⾝分驗證代理帳⼾的密碼。如有必要，您可以在⾸次⾝分驗證後向使⽤者請求新密碼。
9. 如果您希望在存取加密硬碟磁碟機⾝分驗證期間應⽤程式提⽰使⽤者輸入連線⾄電腦的令牌或智慧卡，
請選取“允許基於憑證的驗證”。選取⼀個憑證檔案以使⽤智慧卡或權杖進⾏⾝分驗證。
10. 如有必要，在“指令敘述”欄位中輸入您需要管理指令的⾝分驗證代理帳⼾的詳細資料。
11. 在“在⾝分驗證代理進⾏驗證的權限”塊中，為使⽤指令中指定的帳⼾的使⽤者設定在⾝分驗證代理中存取
⾝分驗證。
12. 儲存變更。
如何透過網⾴主控台新增⾝分驗證代理帳⼾

555

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“管理⾝分驗證代理帳⼾”⼯作。
⼯作內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 在⾝分驗證代理帳⼾清單中，點擊“新增”按鈕。
這將啟動“⾝分驗證代理帳⼾管理精靈”。
5. 選取“新增”指令類型。
6. 選取使⽤者帳⼾。您可以從網域帳⼾清單中選取帳⼾，也可以⼿動輸入帳⼾名稱。前往下⼀步。
Kaspersky Endpoint Security 會確定帳⼾安全識別碼 (SID)。這是驗證帳⼾所必需的。如果輸入的使⽤者
名稱不正確，Kaspersky Endpoint Security 將以發⽣錯誤結束⼯作。
7. 設定⾝分驗證代理帳⼾設定。
建立新的⾝分驗證代理帳⼾來取代現有帳⼾Kaspersky Endpoint Security 將掃描電腦上的現有帳⼾。
如果電腦上和⼯作中的使⽤者安全 ID 相符，則 Kaspersky Endpoint Security 將根據⼯作變更使⽤者帳
⼾設定。
使⽤者名稱⾝分驗證代理帳⼾的預設使⽤者名稱與使⽤者的網域名稱相對應。
允許基於密碼的⾝分驗證設定⾝分驗證代理帳⼾的密碼。如有必要，您可以在⾸次⾝分驗證後向使⽤者請求新密碼。如此⼀來，每個使⽤者將擁有⾃⼰的唯⼀密碼。您還可以在政策中為⾝分驗證代理帳⼾設定密碼強度要求。
允許基於憑證的⾝分驗證選取⼀個憑證檔案以使⽤智慧卡或權杖進⾏⾝分驗證。如此⼀來，使⽤者將
需要輸入智慧卡或權杖的密碼。
帳⼾對加密資料的存取權限設定使⽤者對加密磁碟機的存取權限。例如，您可以暫時停⽤使⽤者⾝分驗證，⽽不是刪除⾝分驗證代理帳⼾。
註釋如有必要，輸入帳⼾說明。
8. 儲存變更。
9. 選中⼯作旁邊的核取⽅塊，然後點擊“開始”按鈕。
結果，在下次電腦啟動時，當⼯作完成後，新使⽤者可以完成⾝分驗證過程、載入作業系統和獲得對加密
磁碟機的存取權限。
要變更⾝分驗證代理帳⼾的密碼和其他设定，您需要向“管理⾝分驗證代理帳⼾”⼯作新增特殊指令。使⽤群組⼯作很⽅便，例如，替換所有電腦上的管理員權杖憑證。
如何透過管理主控台 (MMC) 變更⾝分驗證代理帳⼾

556

1. 開啟“管理⾝分驗證代理帳⼾”⼯作的內容。
2. 在⼯作內容中，選取“設定”區域。
3. 點擊“新增”→“編輯帳⼾指令”。
4. 在開啟之視窗的“Windows 帳⼾”欄位中，指定要變更的 Microsoft Windows 使⽤者帳⼾的名稱。
5. 如果您⼿動輸入了 Windows 帳⼾名稱，請點擊“允許”按鈕以定義帳⼾安全識別碼 (SID)。
如果您點擊“允許”按鈕時選取不決定安全標識符 (SID)，SID 將在⼯作在電腦上執⾏時確定。
若要驗證 Windows 帳⼾名稱是否正確輸入，必須定義 Windows 帳⼾安全識別碼。如果電腦或受信任
網域中不存在 Windows 帳⼾，則“管理⾝分驗證代理帳⼾”⼯作將以發⽣錯誤結束。
6. 如果您想讓 Kaspersky Endpoint Security 將使⽤ Microsoft Windows 帳⼾⽤“Windows 帳⼾”栏位中指明的
名称建立的所有⾝分驗證代理帳⼾的使⽤者名稱变更为在下⾯栏位中輸入的名稱，請選中“變更使⽤者名
稱“核取⽅块並输入⾝分驗證代理帳⼾的新名稱。
7. 選取“修改基於密碼的驗證設定”核取⽅塊使基於密碼的⾝分驗證設定變為可⽤。
8. 如果您希望在⾝分驗證期間應⽤程式提⽰使⽤者輸入⾝分驗證代理帳⼾以便存取加密硬碟，請選取“允許基於密碼的驗證”。設定⾝分驗證代理帳⼾的密碼。
9. 如果您想讓 Kaspersky Endpoint Security 变更使⽤ Microsoft Windows 帳⼾⽤“Windows 帳⼾”栏位中指定
的名称建立的所有⾝分驗證代理帳⼾的密碼的值变更到下⾯指定的设定值，請選中“編輯在⾝分驗證代理
進⾏驗證時密碼變更的規則“核取⽅块。
10. 在⾝分驗證中驗證⾝分時指定密碼變更設定的值。
11. 選取“修改基於憑證的驗證設定”核取⽅塊以便編輯基於 eToken 或智慧卡電⼦憑證的驗證設定。
12. 如果您希望在⾝分驗證期間應⽤程式提⽰使⽤者輸入連線⾄電腦的 eToken 或智能卡以便存取加密硬碟，請選取“允許基於憑證的驗證”。選取⼀個憑證檔案以使⽤智慧卡或權杖進⾏⾝分驗證。
13. 如果您想讓 Kaspersky Endpoint Security 变更使⽤ Microsoft Windows 帳⼾⽤”Windows 帳⼾“栏位中指定的名稱建立的所有⾝分驗證代理帳⼾的指令敘述，請選中“編輯指令敘述“核取⽅块並編輯指令敘述。
14. 如果您想讓 Kaspersky Endpoint Security 变更⾝分驗證代理中使⽤者存取⾝分驗證對話的規則到以下使⽤
Microsoft Windows 帳⼾⽤“Windows 帳⼾”栏位中指明的名称指定的设定值，請選中“編輯⾝分驗證代理中的⾝分驗證存取規則“核取⽅块。
15. 在⾝分驗證代理中指定存取⾝分驗證對話⽅塊的規則。
16. 儲存變更。
如何透過網⾴主控台變更⾝分驗證代理帳⼾

557

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“管理⾝分驗證代理帳⼾”⼯作。
⼯作內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 在⾝分驗證代理帳⼾清單中，點擊“新增”按鈕。
這將啟動“⾝分驗證代理帳⼾管理精靈”。
5. 選取“變更”指令類型。
6. 選取使⽤者帳⼾。您可以從網域帳⼾清單中選取帳⼾，也可以⼿動輸入帳⼾名稱。前往下⼀步。
Kaspersky Endpoint Security 會確定帳⼾安全識別碼 (SID)。這是驗證帳⼾所必需的。如果輸入的使⽤者
名稱不正確，Kaspersky Endpoint Security 將以發⽣錯誤結束⼯作。
7. 選中要編輯的設定旁邊的核取⽅塊。
8. 設定⾝分驗證代理帳⼾設定。
建立新的⾝分驗證代理帳⼾來取代現有帳⼾Kaspersky Endpoint Security 將掃描電腦上的現有帳⼾。
如果電腦上和⼯作中的使⽤者安全 ID 相符，則 Kaspersky Endpoint Security 將根據⼯作變更使⽤者帳
⼾設定。
使⽤者名稱⾝分驗證代理帳⼾的預設使⽤者名稱與使⽤者的網域名稱相對應。
允許基於密碼的⾝分驗證設定⾝分驗證代理帳⼾的密碼。如有必要，您可以在⾸次⾝分驗證後向使⽤者請求新密碼。如此⼀來，每個使⽤者將擁有⾃⼰的唯⼀密碼。您還可以在政策中為⾝分驗證代理帳⼾設定密碼強度要求。
允許基於憑證的⾝分驗證選取⼀個憑證檔案以使⽤智慧卡或權杖進⾏⾝分驗證。如此⼀來，使⽤者將
需要輸入智慧卡或權杖的密碼。
帳⼾對加密資料的存取權限設定使⽤者對加密磁碟機的存取權限。例如，您可以暫時停⽤使⽤者⾝分驗證，⽽不是刪除⾝分驗證代理帳⼾。
註釋如有必要，輸入帳⼾說明。
9. 儲存變更。
10. 選中⼯作旁邊的核取⽅塊，然後點擊“開始”按鈕。
要刪除⾝分驗證代理帳⼾，您需要向“管理⾝分驗證代理帳⼾”⼯作新增特殊指令。使⽤群組⼯作很⽅便，例如，
刪除已解雇員⼯的帳⼾。
如何透過管理主控台 (MMC) 刪除⾝分驗證代理帳⼾

558

1. 開啟“管理⾝分驗證代理帳⼾”⼯作的內容。
2. 在⼯作內容中，選取“設定”區域。
3. 點擊“新增”→“刪除帳⼾指令”。
4. 在開啟之視窗的“Windows 帳⼾”欄位中，指定⽤於建立您要刪除的⾝分驗證代理帳⼾的 Windows 使⽤者帳⼾名稱。
5. 如果您⼿動輸入了 Windows 帳⼾名稱，請點擊“允許”按鈕以定義帳⼾安全識別碼 (SID)。
如果您點擊“允許”按鈕時選取不決定安全標識符 SID，SID 將在⼯作在電腦上執⾏時確定。
若要驗證 Windows 帳⼾名稱是否正確輸入，必須定義 Windows 帳⼾安全識別碼。如果電腦或受信任
網域中不存在 Windows 帳⼾，則“管理⾝分驗證代理帳⼾”⼯作將以發⽣錯誤結束。
6. 儲存變更。
如何透過網⾴主控台刪除⾝分驗證代理帳⼾

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“管理⾝分驗證代理帳⼾”⼯作。
⼯作內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 在⾝分驗證代理帳⼾清單中，點擊“新增”按鈕。
這將啟動“⾝分驗證代理帳⼾管理精靈”。
5. 選取“刪除”指令類型。
6. 選取使⽤者帳⼾。您可以從網域帳⼾清單中選取帳⼾，也可以⼿動輸入帳⼾名稱。
7. 儲存變更。
8. 選中⼯作旁邊的核取⽅塊，然後點擊“開始”按鈕。
結果，在下次電腦啟動時，當⼯作完成後，使⽤者將無法完成⾝分驗證過程和載入作業系統。Kaspersky
Endpoint Security 將拒絕對加密資料的存取。
要查看可以透過代理完成⾝分驗證並載入作業系統的使⽤者清單，您需要前往受管理電腦的內容。
如何透過管理主控台 (MMC) 查看⾝分驗證代理帳⼾清單

559

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 點擊以開啟電腦內容視窗。
4. 在電腦內容視窗中，選取“⼯作”區域。
5. 在⼯作清單中，選擇“管理⾝分驗證代理帳⼾”，然後點擊兩下開啟⼯作內容。
6. 在⼯作內容中，選取“設定”區域。
結果，您將能夠存取此電腦上的⾝分驗證代理帳⼾清單。只有清單中的使⽤者可以透過代理完成⾝分驗證並載入作業系統。
如何透過網⾴主控台查看⾝分驗證代理帳⼾清單

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 點擊要查看其中⾝分驗證代理帳⼾清單的電腦名稱。
3. 在電腦內容中選取“⼯作”標籤。
4. 在⼯作清單中，選取“管理⾝分驗證代理帳⼾”。
5. 在⼯作內容中，選取“應⽤程式設定”標籤。
結果，您將能夠存取此電腦上的⾝分驗證代理帳⼾清單。只有清單中的使⽤者可以透過代理完成⾝分驗證並載入作業系統。

配合⾝分驗證代理使⽤令牌和智慧卡
存取加密硬碟時可將令牌或智慧卡⽤於⾝分驗證。為此，必須將權杖或智慧卡的電⼦憑證檔案新增到“管理⾝分驗證代理帳⼾”⼯作中。
如果電腦硬碟磁碟機使⽤ AES256 加密演算法進⾏加密，則可以使⽤令牌或智慧卡。如果使⽤ AES256 演算
法加密了電腦硬碟磁碟機，新增電⼦憑證檔案到指令將被拒絕。
Kaspersky Endpoint Security ⽀援以下權杖、智慧卡讀卡器和智慧卡：
SafeNet eToken PRO 64K (4.2b)；
SafeNet eToken PRO 72K Java；
SafeNet eToken 4100-72K Java；
SafeNet eToken 5100；
560

SafeNet eToken 5105；
SafeNet eToken 7300；
EMC RSA SID 800；
Gemalto IDPrime.NET 510；
Gemalto IDPrime.NET 511；
Rutoken ECP；
Rutoken ECP Flash；
Athena IDProtect Laser；
SafeNet eToken PRO 72K Java；
Aladdin-RD JaCarta PKI。
要把令牌檔案或智慧卡電⼦憑證檔案新增到⽤於建立⾝分驗證代理帳⼾的指令中，請⾸先使⽤⽤於管理憑證的協⼒廠商軟體儲存檔案。
權杖或智慧卡憑證必須具有下列內容：憑證必須相容 X.509 標準，並且憑證必須具有 DER 編碼。
此憑證包含⾄少 1024 位⻑度的 RSA ⾦鑰。
如果權杖或智慧卡的電⼦憑證不符合此要求，則無法將憑證檔案載入⾄⽤於建立⾝分驗證代理帳⼾的指令中。
憑證“KeyUsage”參數的值必須為 keyEncipherment 或 dataEncipherment。KeyUsage 參數可確認憑證的⽤途。如果參數的值不同，卡巴斯基安全管理中⼼將下載憑證檔案，但會顯⽰警告。
如果使⽤者遺失了令牌或智慧卡，則管理員必須將令牌或智慧卡電⼦憑證檔案新增到指令，以建立⾝分驗證代理帳⼾。然後使⽤者必須完成在加密裝置上接受加密裝置存取或還原資料的過程。

硬碟磁碟機解密即使沒有允許資料加密的⽬前產品授權，您也可以解密硬碟磁碟機。

若要解密硬碟磁碟機，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 完整磁碟加密”。
5. 在“加密技術”下拉清單中選取加密硬碟磁碟機的技術。
561

6. 請執⾏以下操作之⼀：在“加密模式”下拉清單中，選取“解密所有硬碟磁碟機”選取⽅塊，如果您希望解密所有加密的硬碟磁碟機。
將您希望解密的加密硬碟磁碟機新增⾄“請勿加密以下硬碟磁碟機”表。
該選項僅對卡巴斯基磁碟加密技術有效。
7. 儲存變更。
您可以使⽤加密監控⼯具來控制使⽤者電腦上的磁盤加密或解密過程。您可以從“主應⽤程式視窗”執⾏加密監控
⼯具。

加密監控器

如果使⽤者在解密使⽤卡巴斯基磁碟加密技術進⾏了加密的硬碟磁碟機期間關閉了或重新啟動了電腦，下次啟
動作業系統之前系統將載入⾝分驗證代理。成功透過⾝分驗證並在作業系統啟動後，Kaspersky Endpoint
Security 將還原硬碟磁碟機解密。
如果作業系統在在解密使⽤卡巴斯基磁碟加密技術進⾏了加密的硬碟磁碟機期間切換⾄休眠模式，作業系統退出休眠模式時將載入⾝分驗證代理。成功透過⾝分驗證並在作業系統啟動後，Kaspersky Endpoint Security 將
還原硬碟磁碟機解密。進⾏硬碟磁碟機解密後，在第⼀次重新開機作業系統之前，休眠模式將不可⽤。
如果作業系統在硬碟磁碟機解密期間進入休眠模式，則當作業系統結束休眠模式時，Kaspersky Endpoint
Security 將還原硬碟磁碟機加密，且無需載入⾝分驗證。

還原對受卡巴斯基磁碟加密技術防護的磁碟機的存取權限562

如果使⽤者忘記受卡巴斯基磁碟加密技術防護之硬碟的存取密碼，則需要啟動還原程序（請求-回應）。如果在
磁碟加密設定中啟⽤了該功能，則您也可以使⽤“服務帳⼾”獲取對硬碟的存取權限。

還原對系統硬碟的存取權限
還原對受卡巴斯基磁碟加密技術防護的系統硬碟的存取權限包括以下步驟：
1. 使⽤者將請求模組報告給管理員（請參⾒下圖）。
2. 管理員將請求模組輸入卡巴斯基安全管理中⼼，接收回應模組並將回應模組報告給使⽤者。
3. 使⽤者在“⾝分驗證代理”介⾯中輸入回應模組，並獲得對硬碟的存取權限。

還原對受卡巴斯基磁碟加密技術防護的系統硬碟的存取權限

要啟動還原程序，使⽤者需要在“⾝分驗證代理”介⾯中點擊“Forgot your password”按鈕。
如何在管理主控台 (MMC) 中獲取受卡巴斯基磁碟加密技術防護的系統硬碟的回應模組

563

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 在“裝置”標籤上，選取使⽤者正在請求加密資料存取權限的電腦，然後點擊滑鼠右鍵開啟內容功能表。
4. 在內容功能表中，選取“授予離線模式下的存取權限”。
5. 在開啟的視窗中選擇“⾝分驗證代理”標籤。
6. 在“正在使⽤的加密演算法”塊中，選取加密演算法：AES56 或 AES256。
資料加密演算法取決於分發套件中包含的 AES 加密庫：強加密 (AES256) 或簡單加密 (AES56)。AES 加密
庫與應⽤程式⼀起安裝。
7. 在“帳⼾”下拉清單中，選取請求還原磁碟機存取權限的使⽤者⾝分驗證代理帳⼾名稱。
8. 在硬碟磁碟機下拉清單中，選取您要還原存取的加密硬碟磁碟機。
9. 在“使⽤者請求”塊中輸入使⽤者填寫的請求塊。
結果，對使⽤者的還原⾝分驗證代理帳⼾的使⽤者名稱和密碼的請求回應模組內容將顯⽰在“存取⾦鑰”欄位中。將回應模組的內容傳達給使⽤者。

授予在離線模式下存取

如何在網⾴主控台中獲取受卡巴斯基磁碟加密技術防護的系統硬碟的回應模組

564

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選中要還原其磁碟機存取權限的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
4. 在開啟的視窗中，選擇“⾝分驗證代理”區域。
5. 在“帳⼾”下拉清單中，選取為請求還原⾝分驗證代理帳⼾名稱和密碼的使⽤者建立的⾝分驗證代理帳⼾的
名稱。
6. 輸入使⽤者傳達的請求模組。
對使⽤者的還原⾝分驗證代理帳⼾的使⽤者名稱和密碼的請求回應模組內容將顯⽰在視窗底部。將回應模組的內容傳達給使⽤者。
完成還原程序後，⾝分驗證代理將提⽰使⽤者更改密碼。

還原對非系統硬碟的存取權限
還原對受卡巴斯基磁碟加密技術防護的非系統硬碟的存取權限包括以下步驟：
1. 使⽤者將請求存取檔案傳送給管理員。
2. 管理員將根據請求存取檔案新增到卡巴斯基安全管理中⼼中，建立存取⾦鑰檔案並將該檔案傳送給使⽤者。
3. 使⽤者將存取⾦鑰檔案新增到 Kaspersky Endpoint Security 並獲得對硬碟的存取權限。
要啟動還原程序，使⽤者需要嘗試存取硬碟。結果，Kaspersky Endpoint Security 將建立⼀個請求存取檔案（副檔名為 KESDC 的檔案），使⽤者需要將該檔案傳送給管理員，例如透過電⼦郵件傳送。
如何在管理主控台 (MMC) 中獲取加密的非系統硬碟的存取⾦鑰檔案

565

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 在“裝置”標籤上，選取使⽤者正在請求加密資料存取權限的電腦，然後點擊滑鼠右鍵開啟內容功能表。
4. 在內容功能表中，選取“授予離線模式下的存取權限”。
5. 在開啟的視窗中選擇“資料加密”標籤。
6. 在“資料加密”標籤上點擊“瀏覽”按鈕 。
7. 在⽤來選取請求存取檔案的視窗中，指定從使⽤者那裡接收的檔案路徑。
您將看到有關使⽤者請求的資訊。卡巴斯基安全管理中⼼會產⽣⼀個⾦鑰檔案。透過電⼦郵件將產⽣的加
密資料存取⾦鑰檔案傳送給使⽤者。或儲存該存取檔案並使⽤任何可⽤⽅法來傳輸該檔案。

授予在離線模式下存取

如何在中網⾴主控台獲取非系統硬碟存取⾦鑰檔案566

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選中要還原其資料存取權限的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
4. 選擇“資料加密”。
5. 點擊“選取檔案”按鈕，然後選取從使⽤者處收到的請求存取檔案（副檔名為 KESDC 的檔案）。
網⾴主控台將顯⽰有關請求的資訊。這將包括使⽤者請求存取的檔案所在的電腦名稱。
6. 點擊“儲存⾦鑰”按鈕，然後選取⼀個資料夾來儲存加密資料存取⾦鑰檔案（副檔名為 KESDR 的檔案）。
結果，您將能夠獲取加密資料存取⾦鑰，您需要將該⾦鑰傳輸給使⽤者。

使⽤⾝分驗證代理服務帳⼾登入
Kaspersky Endpoint Security 允許您在加密磁碟機之前新增⾝分驗證代理服務帳⼾。獲取電腦的存取權限時（例如，當使⽤者忘記密碼時）需要該服務帳⼾。您也可以將服務帳⼾作為備⽤帳⼾。若要新增帳⼾，在“磁碟加密設定”中選擇⼀個服務帳⼾，然後輸入使⽤者帳⼾名稱（預設為 ServiceAccount）。若要使⽤代理進⾏⾝分驗
證，您需要⼀個⼀次性密碼。
如何在管理主控台 (MMC) 中查找⼀次性密碼

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 點擊以開啟電腦內容視窗。
4. 在電腦內容視窗中，選取“⼯作”區域。
5. 在⼯作清單中，選擇“管理⾝分驗證代理帳⼾”，然後點擊兩下開啟⼯作內容。
6. 在⼯作內容視窗中，選取“設定”區域。
7. 在帳⼾清單中，選擇⾝分驗證代理服務帳⼾（比如，WIN10-USER\ServiceAccount）。
8. 在“動作”下拉式清單中，選取“檢視帳⼾”。
9. 在帳⼾內容中，選擇“顯⽰原始密碼”核取⽅塊。
10. 複製⽤來⽤服務帳⼾登入的⼀次性密碼。
如何在網⾴主控台中查找⼀次性密碼

567

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 點擊要查看其中⾝分驗證代理帳⼾清單的電腦名稱。
這將開啟電腦內容。
3. 在電腦內容中選取“⼯作”標籤。
4. 在⼯作清單中，選取“管理⾝分驗證代理帳⼾”。
5. 在⼯作內容中，選取“應⽤程式設定”標籤。
6. 在帳⼾清單中，選擇⾝分驗證代理服務帳⼾（比如，WIN10-USER\ServiceAccount）。
7. 在帳⼾內容中，選擇“顯⽰密碼”核取⽅塊。
8. 複製⽤來⽤服務帳⼾登入的⼀次性密碼。
每次使⽤者⽤服務帳⼾進⾏⾝分驗證時，Kaspersky Endpoint Security 都會⾃動更新密碼。使⽤代理進⾏⾝分驗
證後，您必須輸入 Windows 帳⼾密碼。當使⽤服務帳⼾登入時，您無法使⽤ SSO 技術。

更新作業系統更新受完整磁碟加密 (FDE) 防護的電腦的作業系統有許多特殊注意事項。按如下⽅式更新作業系統：先更新⼀台
電腦上的作業系統，然後更新⼀⼩部分電腦上的作業系統，再更新網路中所有電腦上的作業系統。
如果正在使⽤ Kaspersky 磁碟加密技術，則在啟動作業系統之前會載入⾝分驗證代理。使⽤⾝分驗證代理，使⽤者可以登入系統並獲得對加密磁碟機的存取權限。然後，作業系統開始載入。
如果在使⽤ Kaspersky 磁碟加密技術防護的電腦上啟動作業系統更新，則作業系統更新精靈將刪除⾝分驗證代理。結果，電腦可被鎖定，因為作業系統載入程式將無法存取加密磁碟機。
有關安全更新作業系統的詳細資訊，請參閱技術⽀援知識庫 。
在以下情況下，可以⾃動更新作業系統：
1. 透過 WSUS (Windows Server Update Services) 更新作業系統。
2. 電腦上安裝了 Windows 10 版本 1607 (RS1) 或更⾼版本。
3. 電腦上已安裝 Kaspersky Endpoint Security 版本 11.2.0 或更⾼版本。
如果符合所有條件，則可以按⼀般⽅式更新作業系統。
如果您使⽤的是 Kaspersky Disk Encryption（FDE）技術，並且電腦上已安裝 Kaspersky Endpoint Security for
Windows 11.1.0 或 11.1.1 版本，則無需解密硬碟磁碟機即可更新 Windows 10。
要更新作業系統，您需要執⾏以下操作：
1. 在更新系統之前，將名為 cm_km.inf，cm_km.sys，klfde.cat，klfde.inf，klfde.sys，klfdefsf.cat，klfdefsf.inf
和 klfdefsf.sys 的驅動複製到本機資料夾。例如，C:\fde_drivers。
2. 使⽤/ReflectDrivers開關執⾏系統更新安裝，並指定包含已儲存驅動的資料夾：568

setup.exe /ReflectDrivers C:\fde_drivers
如果正在使⽤ BitLocker 磁碟機加密技術，則無需解密硬碟磁碟機即可更新 Windows 10。有關 BitLocker 的詳細
資訊，請存取 Microsoft 網站 。

消除加密功能更新的錯誤
在以前版本的應⽤程式升級到 Kaspersky Endpoint Security for Windows 12.2 時，將更新“完整磁碟加密”。
開始更新“完整磁碟加密”功能時，可能出現以下錯誤：
無法初始化更新。
裝置與⾝分驗證代理不相容。

要消除在開始新應⽤程式版本中的“完整磁碟加密”功能的更新流程時出現的錯誤：
1. 解密硬碟磁碟機。
2. 再次加密硬碟磁碟機。
在更新“完整磁碟加密”功能的過程中，可能出現以下錯誤：
無法完成更新。
“完整磁碟加密”升級回溯完成但出錯。

要消除在“完整磁碟加密”功能更新流程中出現的錯誤，
請使⽤還原實⽤程式還原對加密裝置的存取權限。

選取⾝分驗證代理偵錯等級
偵錯檔案中關於⾝分驗證代理的應⽤程式記錄服務資訊和關於⾝分驗證代理使⽤者操作的資訊。

選取⾝分驗證代理偵錯等級：
1. 當帶有加密硬碟磁碟機的電腦啟動後，請按 F3 按鈕，調出⽤於設定⾝分驗證代理設定的視窗。
2. 在⾝分驗證代理設定視窗中，選取偵錯等級：
Disable debug logging (default)如果選定此選項，應⽤程式不會在偵錯檔案中記錄有關⾝分驗證代理事件
的資訊。
Enable debug logging如果選取此選項，應⽤程式在偵錯檔案中記錄⾝分驗證代理的操作和⾝分驗證代理
的使⽤者執⾏操作。
Enable verbose logging如果選取此選項，應⽤程式將把⾝分驗證代理的操作輸入和⾝分驗證代理的使⽤者
執⾏操作納入偵錯等級。

569

與“Enable debug logging”選項的等級相比，在此選項下，輸入項的詳細資訊程度要更⾼。輸入項的詳
細資訊程度更⾼將會減慢⾝分驗證代理和作業系統的啟動。
Enable debug logging and select serial port如果選取此選項，應⽤程式將在偵錯檔案中記錄⾝分驗證代理的操作輸入和⾝分驗證代理的使⽤者執⾏操作，並透過 COM 連接埠傳輸此檔案。
如果帶有已加密硬碟磁碟機的電腦透過 COM 連接埠連線⾄另⼀台電腦時，可以從另⼀台電腦檢查⾝分驗證代理事件。
Enable verbose debug logging and select serial port如果選取此選項，應⽤程式將在偵錯檔案中詳細記錄
⾝分驗證代理的操作輸入和⾝分驗證代理的使⽤者操作，並透過 COM 連接埠傳輸此檔案。
與“Enable debug logging and select serial port”選項的等級相比，在此選項下，輸入項的詳細資訊程
度要更⾼。輸入項的詳細資訊程度更⾼將會減慢⾝分驗證代理和作業系統的啟動。
如果電腦上有已加密的硬碟磁碟機或者在完整磁碟加密期間，資料將記錄在⾝分驗證代理偵錯檔案中。
與其他程式偵錯檔案不⼀樣，⾝分驗證代理偵錯檔案不會傳送⾄ Kaspersky。如有必要，您可以⼿動將⾝分驗證代理偵錯檔案傳送⾄ Kaspersky 以供分析。

編輯⾝分驗證代理說明文字
在編輯⾝分驗證代理的說明訊息之前，請檢視預啟動環境中⽀援的字元清單（請參⾒下文）。

若要編輯⾝分驗證說明郵件，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → ⼀般加密設定”。
5. 在”範本”塊中，點擊”說明”按鈕。
6. 在開啟的視窗中，執⾏以下操作：
輸入帳⼾憑證時選取“⾝分驗證”標籤編輯⾝分驗證代理視窗中顯⽰的說明。
選取“變更密碼”標籤可編輯在變更⾝分驗證代理帳⼾密碼時顯⽰在⾝分驗證視窗中的說明。
選取“還原密碼”標籤可編輯在還原⾝分驗證代理帳⼾密碼時顯⽰在⾝分驗證視窗中的說明。
7. 編輯說明訊息。
如果您希望還原原始文字，則點擊“根據預設”按鈕。
您可以輸入包含 16 或更少⾏的說明文字。每⾏的最⼤⻑度為 64 個字元。

570

8. 儲存變更。

⾝分驗證代理說明郵件中字串的有限⽀援
在預啟動環境下，⽀援以下 Unicode 字元：
基本拉丁字⺟ (0000 - 007F)
附加 Latin-1 字元 (0080 - 00FF)
延伸 Latin-A (0100 - 017F)
延伸 Latin-B (0180 - 024F)
未組合的延伸 ID 字元 (02B0 - 02FF)
組合變⾳標記 (0300 - 036F)
希臘和科普特字⺟ (0370 - 03FF)
⻄瑞爾字⺟ (0400 - 04FF)
希伯來語 (0590 - 05FF)
阿拉伯語 (0600 - 06FF)
附加延伸拉丁語 (1E00 - 1EFF)標點符號 (2000 - 206F)
貨幣符號 (20A0 - 20CF)
類似字⺟的符號 (2100 - 214F)
幾何符號 (25A0 - 25FF)
阿拉伯語 Script-B (FE70 - FEFF)
該清單中未指定的字元在預啟動環境中不受⽀援。不建議在⾝分驗證代理說明訊息中使⽤此類字元。

測試執⾏⾝分驗證代理後，刪除剩餘物件與資料
應⽤程式移除期間，如果 Kaspersky Endpoint Security 在⾝分驗證代理測試執⾏後偵測到系統硬碟上遺留物件和
資料，則應⽤程式移除將被中斷且在刪除此類物件和資料之前無法繼續。
僅在例外情況下，當⾝分驗證代理測試執⾏後，遺留的物件和資料才能留在系統硬碟上。舉例來說，這可能發⽣在已套⽤卡巴斯基安全管理中⼼加密政策時，如果沒有重新啟動電腦，或者如果⾝分驗證代理測試執⾏後應⽤程
式啟動失敗。
您可以使⽤以下⽅式刪除⾝分驗證代理在測試執⾏之後遺留在系統硬碟磁碟機中的物件和資料：
使⽤卡巴斯基安全管理中⼼政策。

571

使⽤還原實⽤程式。

若要使⽤卡巴斯基安全管理中⼼政策，刪除測試⾝分驗證代理後剩餘資料與物件：
1. 將帶有配置為解密所有電腦硬碟設定的卡巴斯基安全管理中⼼政策套⽤⾄電腦。
2. 啟動 Kaspersky Endpoint Security。

若要刪除與驗證代理不相容的應⽤程式資訊，請執⾏以下操作：
請在命令列中輸入 avp pbatestreset。

BitLocker 管理
BitLocker 是 Windows 作業系統內建的加密技術。Kaspersky Endpoint Security 允許您使⽤卡巴斯基安全管理中
⼼控制和管理 Bitlocker。BitLocker 可對邏輯磁區進⾏加密。BitLocker 不能⽤於卸除式磁碟機的加密。有關BitLocker 的詳細資訊，請參閱 Microsoft 文件 。
BitLocker 使⽤受信任平台模組提供對存取⾦鑰的安全儲存。受信任平台模組 (TPM) 是⼀個與安全相關並提供基
本功能的微晶片（例如⽤於儲存加密⾦鑰）。受信任平台模組通常安裝在電腦主機板上並且透過硬體匯流排與其他所有系統元件進⾏互動。使⽤ TPM 是儲存 BitLocker 存取⾦鑰最安全的⽅式，因為 TPM 提供了啟動前系統完整性驗證。您仍然可以在沒有 TPM 的電腦上對磁碟機進⾏加密。在這種情況下，將使⽤密碼對存取⾦鑰進⾏加密。BitLocker 使⽤以下⾝分驗證⽅式：
TPM。
TPM 和 PIN。
密碼。
在對磁碟機進⾏加密後，BitLocker 會建立⼀個主密碼。Kaspersky Endpoint Security 會將主密碼傳送到卡巴斯基
安全管理中⼼，以便您可以還原對磁碟的存取，例如，如果使⽤者忘記了密碼。
如果使⽤者使⽤ BitLocker 對磁碟進⾏加密，Kaspersky Endpoint Security 會將有關磁碟加密的資訊傳送到卡巴斯基安全管理中⼼。但是，Kaspersky Endpoint Security 不會將主密碼傳送到卡巴斯基安全管理中⼼，因此將無法使⽤卡巴斯基安全管理中⼼還原對磁碟的存取。為使 BitLocker 與卡巴斯基安全管理中⼼正常協同⼯作，請解密
磁碟機，然後使⽤政策重新對該磁碟機進⾏加密。您可以在本機解密磁碟機，也可以使⽤政策來解密磁碟機。
對系統硬碟磁碟機進⾏加密後，使⽤者需要透過 BitLocker ⾝分驗證才能啟動作業系統。⾝分驗證過程後，
BitLocker 將允許使⽤者登入。BitLocker 不⽀援單點登錄技術 (SSO)。
如果正在使⽤ Windows 群組政策，請在政策設定中關閉 BitLocker 管理。Windows 政策設定可能與
Kaspersky Endpoint Security 政策設定衝突。在對磁碟機進⾏加密時，可能會發⽣錯誤。

啟動 BitLocker 磁碟機加密
在開始完整磁碟加密之前，建議您確保電腦未受到感染。若要執⾏操作，應啟動完整掃描或關鍵區域掃描⼯作。在已被 rootkit 感染的電腦上執⾏完整磁碟加密可能導致電腦無法執⾏。

572

若要在執⾏適⽤於伺服器的 Windows 作業系統的電腦上使⽤ BitLocker 磁碟機加密，可能需要安裝“BitLocker 磁碟機加密”元件。可使⽤作業系統⼯具（新增⾓⾊和元件精靈）安裝該元件。有關安裝“BitLocker 磁碟機加密”的更多資訊，請參閱 Microsoft 文件 。
如何透過管理主控台 (MMC) 執⾏ BitLocker 磁碟機加密

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 完整磁碟加密”。
5. 在“加密技術”下拉式清單中，選取“BitLocker 磁碟機加密”。
6. 在“加密模式”下拉式清單中，選取“加密所有硬碟磁碟機”。
如果電腦安裝了多個作業系統，在加密後，您將能夠只載入執⾏了加密的作業系統。
7. 設定進階 BitLocker 磁碟機加密選項（參⾒下表）。
8. 儲存變更。
如何透過網⾴主控台和雲端主控台執⾏ BitLocker 磁碟機加密573

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”完整磁碟加密”。
5. 在“管理加密”塊中，選取“BitLocker 磁碟機加密”。
6. 點擊”BitLocker 磁碟機加密”連接。
這將開啟“BitLocker 磁碟機加密設定”視窗。
7. 在“加密模式”下拉式清單中，選取“加密所有硬碟磁碟機”。
如果電腦安裝了多個作業系統，在加密後，您將能夠只載入執⾏了加密的作業系統。
8. 設定進階 BitLocker 磁碟機加密選項（參⾒下表）。
9. 儲存變更。
您可以使⽤加密監控⼯具來控制使⽤者電腦上的磁盤加密或解密過程。您可以從“主應⽤程式視窗”執⾏加密監控
⼯具。

加密監控器

574

套⽤政策後，應⽤程式將顯⽰以下查詢（取決於⾝分驗證設定）：僅 TPM。無需使⽤者輸入。磁碟將在電腦重新啟動時被加密。
TPM + PIN / 密碼。如果 TPM 模組可⽤，將顯⽰ PIN 碼提⽰視窗。如果 TPM 模組不可⽤，您將看到⼀個⽤於預啟動⾝分驗證的密碼提⽰視窗。
僅密碼。您將看到⼀個⽤於預啟動⾝分驗證的密碼提⽰視窗。
如果為電腦作業系統啟⽤聯邦資訊處理標準相容模式，則在 Windows 8 及更早版本的作業系統中，將顯⽰儲
存裝置連線請求以儲存還原⾦鑰檔案。您可以將多個還原⾦鑰檔案儲存在單⼀儲存裝置上。
設定密碼或 PIN 後，BitLocker 將要求您重新啟動電腦以完成加密。接下來，使⽤者需要完成 BitLocker ⾝分驗證過程。完成⾝分驗證過程後，使⽤者必須登入到系統。載入作業系統後，BitLocker 將完成加密。
如果無法存取加密⾦鑰，使⽤者可以請求區域網路管理員提供還原⾦鑰（如果還原⾦鑰在較早前未儲存在儲存裝
置上或已遺失）。
BitLocker 磁碟機加密元件設定

參數描述

啟⽤需要在平板電腦
上預啟動鍵盤輸入的
BitLocker ⾝分驗證

此核取⽅塊啟⽤/停⽤在預啟動環境中使⽤需要資料輸入的⾝分驗證，即使此平台沒有能⼒進⾏預啟動輸入（例如使⽤平板電腦上的觸控式螢幕鍵盤）。
平板電腦的觸控式螢幕在預啟動環境中不可⽤。例如，要在平板電腦上完成
BitLocker ⾝分驗證，使⽤者必須連線 USB 鍵盤。
如果選定此核取⽅塊，則允許使⽤需要預啟動輸入的⾝分驗證。建議在預啟動環
境中僅對擁有備⽤資料輸入的裝置（例如除了觸控式螢幕鍵盤之外的 USB 鍵盤）
使⽤此設定。
如果清除此核取⽅塊，則無法在平板電腦上使⽤ BitLocker 磁碟機加密。

使⽤硬體加密(Windows 8 和後續版本)
僅加密使⽤的磁碟空間(減少加密時間)

如果選定此核取⽅塊，則應⽤程式將應⽤硬體加密。這可以提⾼加密速度並使⽤
較少的電腦資源。
該核取⽅塊可啟⽤/停⽤將加密區域僅限為已⽤硬碟磁區的選項。該限制可減少加密時間。
在啟動加密後啟⽤或者停⽤“僅加密使⽤的磁碟空間(減少加密時間)”功能不會
修改此設定，直到硬碟磁碟機被解密為⽌。開始加密之前您必須選擇或清除該核取⽅塊。
如果選定該核取⽅塊，則僅加密使⽤的硬碟部分。Kaspersky Endpoint Security 將
⾃動加密新增的新資料。
如果清空該核取⽅塊，整個硬碟將被加密，包括先前刪除和修改檔案殘留的碎片。
建議對尚未修改或刪除資料的新硬碟使⽤該選項。如果對已在使⽤中的硬碟
應⽤加密，則建議加密整個硬碟。這樣可確保防護所有資料，甚⾄已刪除的資料也能夠部分還原。
575

預設情況下已清空此核取⽅塊。
⾝分驗證⽅法僅限密碼(Windows 8 和後續版本)
如果選定此選項，Kaspersky Endpoint Security 將在使⽤者嘗試存取加密磁碟時提⽰使⽤者輸入密碼。
沒有使⽤受信任平台模組 (TPM) 時可以選擇此選項。
受信任平台模組 (TPM)
如果選定此核取⽅塊，則 BitLocker 使⽤受信任平台模組 (TPM)。

受信任平台模組 (TPM) 是⼀個與安全相關並提供基本功能的微晶片（例如⽤於儲存加密⾦鑰）。受信任平台模組通常安裝在電腦主機板上並且透過硬體匯流排與
其他所有系統元件進⾏互動。
對於執⾏ Windows 7 或 Windows Server 2008 R2 的電腦，只能使⽤ TPM 模組
進⾏加密。如果未安裝 TPM 模組，則無法進⾏ BitLocker 加密。不⽀援在這
些電腦上使⽤密碼。
配有受信任平台模組的裝置可以建立只能使⽤此裝置解密的加密⾦鑰。受信任平
台模組將使⽤其⾃有的根儲存⾦鑰加密加密⾦鑰。根儲存⾦鑰儲存在受信任平台模組中。這提供了防禦駭客攻擊加密⾦鑰的附加防護。
預設情況下已選擇此操作。
您可以為存取加密⾦鑰設定⼀層額外防護，⽤密碼或者 PIN 加密⾦鑰：为 TPM 使⽤ PIN如果選中此核取⽅塊，使⽤者可以使⽤ PIN 碼存取儲存在受信
任平台模組 (TPM) 中的加密⾦鑰。
如果清除此核取⽅塊，則會禁⽌使⽤者使⽤ PIN 碼。要存取加密⾦鑰，使⽤者
必須輸入密碼。
您可以允許使⽤者使⽤增強型 PIN。增強 PIN 允許使⽤除了數字字元的其它字
元：⼤寫和⼩寫拉丁字⺟，特殊字元，和空格。
受信任平台模組 (TPM)，或密碼（如果 TMP 不可使⽤）如果選定此核取⽅
塊，當受信任平台模組 (TPM) 不可⽤時，使⽤者可使⽤密碼存取加密⾦鑰。
如果清除該核取⽅塊且 TPM 不可⽤，則將不會啟動完整磁碟加密。

解密受 BitLocker 防護的硬碟磁碟機
使⽤者可以使⽤作業系統解密磁碟（“關閉 BitLocker”功能）。之後，Kaspersky Endpoint Security 將提⽰使⽤者
重新對磁碟進⾏加密。除非在政策中啟⽤磁碟解密，否則 Kaspersky Endpoint Security 將提⽰您加密磁碟。
如何透過管理主控台 (MMC) 解密受 BitLocker 防護的硬碟磁碟機576

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 完整磁碟加密”。
5. 在“加密技術”下拉式清單中，選取“BitLocker 磁碟機加密”。
6. 在“加密模式”下拉式清單中，選取“解密所有硬碟磁碟機”。
7. 儲存變更。
如何透過網⾴主控台和雲端主控台解密 BitLocker 加密的硬碟磁碟機

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”完整磁碟加密”。
5. 選擇“BitLocker 磁碟機加密”技術，然後按照連結配置設定。
將開啟加密設定。
6. 在“加密模式”下拉式清單中，選取“解密所有硬碟磁碟機”。
7. 儲存變更。
您可以使⽤加密監控⼯具來控制使⽤者電腦上的磁盤加密或解密過程。您可以從“主應⽤程式視窗”執⾏加密監控
⼯具。

577

加密監控器還原對 BitLocker 防護的磁碟機的存取權限
如果使⽤者忘記了由 BitLocker 加密的硬碟存取密碼，則需要啟動還原程序（請求-回應）。
如果電腦的作業系統啟⽤了聯邦資訊處理標準 (FIPS) 相容模式，則在 Windows 8 和更早版本中，還原⾦鑰檔案將在加密之前儲存到卸除式磁碟機中。要恢復對磁碟機的存取權限，請插入卸除式磁碟機，然後按照螢幕
上的說明進⾏操作。
還原對 BitLocker 加密的硬碟存取權限包括以下步驟：
1. 使⽤者告知管理員還原⾦鑰 ID（請參⾒下圖）。
2. 管理員在卡巴斯基安全管理中⼼中驗證電腦內容中的還原⾦鑰 ID。使⽤者提供的 ID 必須與電腦內容中顯⽰的
ID 相符。
3. 如果還原⾦鑰 ID 相符，管理員將為使⽤者提供還原⾦鑰或傳送還原⾦鑰檔案。
還原⾦鑰檔案⽤於執⾏以下作業系統的電腦：Windows 7；
Windows 8；
Windows Server 2008；
Windows Server 2011；
578

Windows Server 2012。
對於所有其他作業系統，請使⽤還原⾦鑰。
4. 使⽤者輸入還原⾦鑰，然後獲得對硬碟的存取權限。

還原對 BitLocker 加密磁碟機的存取權限

還原對系統磁碟機的存取權限
要啟動還原程序，使⽤者需要在預先引導⾝分驗證階段按 Esc 鍵。
如何在管理主控台 (MMC) 中檢視由 BitLocker 加密的系統磁碟機的還原⾦鑰

579

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 在“裝置”標籤上，選取使⽤者正在請求加密資料存取權限的電腦，然後點擊滑鼠右鍵開啟內容功能表。
4. 在內容功能表中，選取“授予離線模式下的存取權限”。
5. 在開啟的視窗中選擇“存取受 BitLocker 防護的系統磁碟機”標籤。
6. 提⽰使⽤者在 BitLocker 密碼輸入視窗中輸入還原⾦鑰 ID，然後在“還原⾦鑰 ID”欄位中對比該 ID。
如果 ID 不比對，該⾦鑰無法⽤於還原指定系統磁碟的存取。請確保選定電腦的名稱與使⽤者電腦的
名稱相符合。
結果，您將有權存取還原⾦鑰或還原⾦鑰檔案，該⾦鑰或⾦鑰檔案將需要傳輸給使⽤者。

還原對⽤ BitLocker 加密的磁碟機的存取權限

如何在網⾴主控台和雲端主控台中檢視由 BitLocker 加密的系統磁碟機的還原⾦鑰

580

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選中要還原其磁碟機存取權限的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
4. 在開啟的視窗中，選擇“BitLocker”區域。
5. 驗證還原⾦鑰 ID使⽤者提供的 ID 必須與電腦設定中顯⽰的 ID 相符。
如果 ID 不比對，該⾦鑰無法⽤於還原指定系統磁碟的存取。請確保選定電腦的名稱與使⽤者電腦的
名稱相符合。
6. 單擊“接收⾦鑰”。
結果，您將有權存取還原⾦鑰或還原⾦鑰檔案，該⾦鑰或⾦鑰檔案將需要傳輸給使⽤者。
載入作業系統後，Kaspersky Endpoint Security 會提⽰使⽤者變更密碼或 PIN 代碼。設定新密碼或 PIN 代碼後，
BitLocker 將建立⼀個新的主密碼，並將該⾦鑰傳送給卡巴斯基安全管理中⼼。結果，還原⾦鑰和還原⾦鑰檔案
將被更新。如果使⽤者未變更密碼，您可以在下次作業系統載入時使⽤舊的還原⾦鑰。
Windows 7 电脑不允許變更密碼或 PIN 代碼。輸入還原⾦鑰並載入作業系統後，Kaspersky Endpoint Security
將不再提⽰使⽤者變更密碼或 PIN 代碼。因此，不可能設定新的密碼或 PIN 代碼。此問題源於作業系統的特殊性。要繼續，您需要重新加密硬碟磁碟機。

還原對非系統磁碟機的存取權限
要啟動還原程序，使⽤者需要在提供磁碟機存取的視窗中點擊“Forgot your password”連結。獲得對加密磁碟機的存取權限後，使⽤者可以在 BitLocker 設定中啟⽤在 Windows ⾝分驗證期間⾃動解鎖磁碟機。
如何在管理主控台 (MMC) 中檢視由 BitLocker 加密的非系統磁碟機的還原⾦鑰

581

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄中，選取“附加 → 資料加密與防護 → 加密磁碟機”資料夾。
3. 在⼯作區中選取您想要為其建立存取⾦鑰檔案的加密裝置，然後在裝置的內容功能表中，點擊“在Kaspersky Endpoint Security for Windows 中獲取裝置的存取權限”。
4. 提⽰使⽤者在 BitLocker 密碼輸入視窗中輸入還原⾦鑰 ID，然後在“還原⾦鑰 ID”欄位中對比該 ID。
如果 ID 不比對，該⾦鑰無法⽤於還原指定磁碟的存取。請確保選定電腦的名稱與使⽤者電腦的名稱
相符合。
5. 向使⽤者傳送“還原⾦鑰”欄位中指定的⾦鑰。

還原對⽤ BitLocker 加密的磁碟機的存取權限

如何在網⾴主控台和雲端 中檢視由 BitLocker 加密的非系統磁碟機的還原⾦鑰

1. 在網⾴主控台的主視窗中，選取“操作 → 資料加密與防護 → 加密磁碟機”。
2. 選中要還原其磁碟機存取權限的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
這將啟動⽤於授予裝置存取權限的精靈。
4. 按照精靈的說明授予對裝置的存取權限：
a. 選擇 Kaspersky Endpoint Security for Windows 外掛程式。
b. 驗證還原⾦鑰 ID使⽤者提供的 ID 必須與電腦設定中顯⽰的 ID 相符。
如果 ID 不比對，該⾦鑰無法⽤於還原指定系統磁碟的存取。請確保選定電腦的名稱與使⽤者電腦
的名稱相符合。
c. 單擊“接收⾦鑰”。
結果，您將有權存取還原⾦鑰或還原⾦鑰檔案，該⾦鑰或⾦鑰檔案將需要傳輸給使⽤者。

暫停 BitLocker 防護以更新軟體
582

更新作業系統、安裝作業系統的更新套件、或者更新開啟了 BitLocker 防護的其它軟體有眾多特殊考量。安裝更
新可能需要多次重啟電腦。每次重啟後，使⽤者必須完成 BitLocker ⾝分驗證。為了確保更新正確安裝，您可以
暫時關閉 BitLocker ⾝分驗證。在此情況下，磁碟機保持加密，使⽤者可以在登入系統後存取資料。若要管理
BitLocker ⾝分驗證，您可以使⽤“BitLocker 防護管理”⼯作。您可以使⽤此⼯作指定不需要 BitLocker ⾝分驗證的
電腦重啟次數。按這種⽅式，在更新安裝和 BitLocker 防護管理⼯作完成後，BitLocker ⾝分驗證將⾃動啟⽤。您
可以隨時啟⽤ BitLocker ⾝分驗證。
如何使⽤管理主控台 (MMC) 暫停 BitLocker 防護

1. 在管理主控台中，轉到資料夾“管理伺服器 → ⼯作”。
⼯作清單開啟。
2. 點擊“新⼯作”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 選取⼯作類型
選取“Kaspersky Endpoint Security for Windows (12.2)”→“BitLocker 防護管理”。

步驟 2. BitLocker 防護管理
配置 BitLocker ⾝份驗證.若要暫停 BitLocker 防護，請選擇暫時允許略過 BitLocker 授權並輸入無需
BitLocker ⾝分驗證進⾏重啟的次數（1 到 15 次）。如有必要，輸入⼯作的到期⽇期和時間。⼯作會在指定時間關閉，當電腦重啟時使⽤者必須完成 BitLocker ⾝分驗證。

步驟 3. 選取將要對其分配⼯作的裝置
選取將要執⾏⼯作的電腦。下列選項可⽤：
將⼯作分配給管理群組。在這種情況下，⼯作分配給先前建立的管理群組中包括的電腦。
選取管理伺服器在網路中偵測到的電腦：未分配裝置。特定裝置可包括管理群組中的裝置以及未配置裝置。
⼿動指定裝置位址或從清單中匯入位址。您可以指定您要將⼯作分配給的裝置的 NetBIOS 名稱、IP 位址
和 IP ⼦網路。

步驟 4. 定義⼯作名稱
輸入⼯作名稱，例如 更新到 Windows 10。

步驟 5. 完成⼯作建立
結束精靈。如有必要，選中“精靈完成時執⾏⼯作”核取⽅塊。您可以在⼯作內容中監控⼯作進度。
如何使⽤網⾴主控台暫停 BitLocker 防護583

1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。按照精靈的說明進⾏操作。

步驟 1. 配置⼀般⼯作設定
配置⼀般⼯作設定：
1. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
2. 在“⼯作類型”下拉式清單中，選取“BitLocker 防護管理”。
3. 在“⼯作名稱”欄位中，輸入簡要說明，例如，“更新到 Windows 10”。
4. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。

步驟 2. BitLocker 防護管理
配置 BitLocker ⾝份驗證.若要暫停 BitLocker 防護，請選擇暫時允許略過 BitLocker ⾝分驗證並輸入無需
BitLocker ⾝分驗證進⾏重啟的次數（1 到 15 次）。如有必要，輸入⼯作的到期⽇期和時間。⼯作會在指定時間關閉，當電腦重啟時使⽤者必須完成 BitLocker ⾝分驗證。

步驟 3. 完成⼯作建立
結束精靈。在⼯作清單中將顯⽰⼀個新⼯作。
要執⾏⼯作，請選中與⼯作對應的核取⽅塊，然後點擊“開始”按鈕。
因此，當⼯作執⾏時，下次電腦重啟後，BitLocker 不會提⽰使⽤者進⾏⾝分驗證。每次電腦未經 BitLocker ⾝分驗證重啟後，Kaspersky Endpoint Security 都會產⽣相應事件並記錄剩餘的重啟次數。Kaspersky Endpoint
Security 然後會傳送事件到卡巴斯基安全管理中⼼供管理員監控。您還可以在裝置狀態描述中卡巴斯基安全管理
中⼼主控台的受管理裝置資料夾中檢視剩餘的重新啟動次數。

受管理裝置清單584

當達到指定的重啟次數或者⼯作的到期時間時，BitLocker ⾝分驗證會⾃動開啟。要獲得對資料的存取權限，使⽤者必須完成 BitLocker ⾝分驗證。
在執⾏ Windows 7 的電腦上，BitLocker 不能計數電腦重啟。計數 Windows 7 電腦上的重啟由 Kaspersky
Endpoint Security 處理。因此，若要在每次重啟後⾃動開啟 BitLocker ⾝分驗證，必須啟動 Kaspersky
Endpoint Security。
若要提前開啟 BitLocker ⾝分驗證，請開啟 BitLocker 防護管理⼯作內容並選擇“每次重啟請求⾝分驗證”。

本機電腦磁碟機上檔案級加密如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。
檔案加密具有以下特殊功能：
Kaspersky Endpoint Security 僅為作業系統本機使⽤者設定資料加密/解密標準資料夾內的檔案。Kaspersky
Endpoint Security 不會加密/解密標準資料夾內的⾏動使⽤者設定檔、強制使⽤者設定檔、臨時使⽤者設定檔
或重新定位的資料夾。
Kaspersky Endpoint Security 不會加密其修改可能損害作業系統和安裝的應⽤程式的檔案。例如，加密排除項
清單中包含以下檔案和包含所有內嵌物件內的檔案：%WINDIR%；%PROGRAMFILES% 和 %PROGRAMFILES(X86)%；
Windows 登錄檔。
您無法檢視或編輯這個加密排除清單。儘管加密排除項⽬清單中的檔案和資料夾可以新增⾄加密清單，但在檔案加密期間，它們不會被加密。

加密本機電腦磁碟中的檔案
Kaspersky Endpoint Security 不加密位於 OneDrive 雲端儲存或者其他資料夾中以 OneDrive 作為名稱的檔案。Kaspersky Endpoint Security 還會封鎖將加密檔案複製到 OneDrive 資料夾（如果這些檔案未被新增⾄解密規則）。

若要在本機磁碟機上加密檔案，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 檔案級加密”。
585

5. 在“加密模式”下拉式清單中，選取“根據規則”。
6. 在“加密”標籤下，點擊“新增”按鈕，在下拉清單中選取以下項⽬之⼀：
a. 選取“預定義資料夾”項⽬將 Kaspersky 專家建議的本機使⽤者設定檔資料夾的檔案新增⾄加密規則。
文件作業系統的“文件”資料夾及其⼦資料夾中的文件。
我的最愛作業系統標準的“我的最愛”資料夾及其⼦資料夾中的檔案。
桌⾯作業系統的“ 桌⾯ ”資料夾及其⼦資料夾中的檔案。
暫存檔與電腦上安裝的應⽤程式的操作有關的暫存檔案。例如，Microsoft O ice 應⽤程式會建立包含
文件備份副本的暫存檔案。
不建議加密暫存檔案，因為這可能造成資料損失。例如，Microsoft Word 會在處理文件時建立暫存
檔案。如果加密了暫存檔卻沒有加密原始檔案，使⽤者在嘗試儲存文件時可能會收到“存取被拒絕”
錯誤。此外，Microsoft Word 可以儲存檔案，但是下次卻無法開啟文件，即資料將丟失。
Outlook 檔案與 Outlook 郵件⽤⼾端操作有關的檔案：資料檔案 (PST)、離線資料檔案 (OST)、離線通訊錄檔案 (OAB) 和個⼈通訊錄檔案 (PAB)。
b. 選取“⾃訂資料夾”項⽬⼿動將資料夾路徑輸入⾄加密規則。
新增資料夾路徑時，請遵循以下規則：
使⽤環境變數（例如，%FOLDER%\UserFolder\）。您只能在路徑的開頭使⽤⼀次環境變數。
不要使⽤相對路徑。
不要使⽤ * 和 ? 字元。
不要使⽤ UNC 路徑。
使⽤ ; 或 , 作為分隔符號。
c. 選取“根據副檔名選取檔案”項⽬將單個檔案副檔名新增⾄加密規則。Kaspersky Endpoint Security 將加密電腦本機磁碟機中所有指定副檔名的檔案。
d. 選取“根據副檔名群組選擇檔案”項將成組的檔案副檔名新增⾄加密規則（例如，Microsoft O ice 文件）。
Kaspersky Endpoint Security 會加密電腦上所有本機磁碟機上副檔名群組中列出副檔名的檔案。
7. 儲存變更。
⼀旦套⽤該政策，Kaspersky Endpoint Security 將加密所有加密規則中包括的和解密規則中不包括的檔案。
檔案加密具有以下特殊功能：
如果將同⼀檔案新增到加密規則和解密規則中，則 Kaspersky Endpoint Security 將執⾏以下操作：
如果檔案未加密，則 Kaspersky Endpoint Security 不會對此檔案進⾏加密。
如果檔案已加密，則 Kaspersky Endpoint Security 會解密此檔案。

586

如果新檔案符合加密規則的條件，則 Kaspersky Endpoint Security 會繼續對這些檔案進⾏加密。例如，當您變更未加密檔案的內容（路徑或副檔名）時，該檔案將符合加密規則的條件。Kaspersky Endpoint Security 將對該檔案進⾏加密。
當使⽤者建立其內容複合加密規則條件的新檔案時，Kaspersky Endpoint Security 將在檔案開啟時加密檔案。
Kaspersky Endpoint Security 將會延遲加密已開啟的檔案，直⾄其關閉。
如果您在本機磁碟機上將加密檔案移動⾄另⼀個資料夾，該檔案仍保持為加密狀態，⽽與該資料夾是否包含
在加密規則中無關。
如果您解密檔案並將其複製到解密規則中未包含的另⼀個本機資料夾中，則可能會對該檔案的副本進⾏加密。要防⽌對複製的檔案進⾏加密，請為⽬標資料夾建立解密規則。

為應⽤程式建立加密檔案存取規則
要為應⽤程式建立加密檔案存取規則：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 檔案級加密”。
5. 在“加密模式”下拉式清單中，選取“根據規則”。
存取規則僅在“根據規則”模式下可以套⽤。在“根據規則”模式下套⽤存取規則後，如果您切換到“保留不變”
模式，則 Kaspersky Endpoint Security 將忽略所有存取規則。所有應⽤程式將能夠存取所有加密檔案。
6. 在視窗右側，選取“應⽤程式規則”標籤。
7. 如果您只希望從卡巴斯基安全管理中⼼清單中選取應⽤程式，則點擊“新增”按鈕並在下拉清單中選取“卡巴斯
基安全管理中⼼應⽤程式清單”項⽬。
a. 指定篩選條件以縮⼩表中的應⽤程式清單。若要執⾏操作，指定“應⽤程式”、“供應商”和“新增的時間段”參
數的值和“群組”塊中所有核取⽅塊。
b. 單擊“重新整理”。
c. 清單將列出比對所套⽤篩選條件的應⽤程式。
d. 在“應⽤程式”列中，選取您要為其建立加密檔案存取規則的應⽤程式旁邊的核取⽅塊。
e. 在“應⽤程式規則”下拉清單中，選取確定應⽤程式對加密檔案存取權限的規則。
f. 在“之前為應⽤程式選擇的動作”下拉清單中，選取根據先前為應⽤程式所建立加密檔案存取規則 Kaspersky
Endpoint Security 所執⾏的操作。
應⽤程式加密檔案存取規則的詳情將顯⽰在“應⽤程式規則”標籤中。

587

8. 如果您希望⼿動選取應⽤程式，則點擊“新增”按鈕並在下拉清單中選取“⾃訂應⽤程式”項⽬。
a. 在輸入欄位中，輸入應⽤程式可執⾏檔的名稱或名稱清單，包括其副檔名。
您也可以從卡巴斯基安全管理中⼼清單中新增應⽤程式可執⾏檔的名稱，請點擊“從卡巴斯基安全管理中⼼清單中新增”按鈕。
b. 如有必要，在“敘述”欄位中輸入應⽤程式清單的說明。
c. 在“應⽤程式規則”下拉清單中，選取確定應⽤程式對加密檔案存取權限的規則。
應⽤程式加密檔案存取規則的詳情將顯⽰在“應⽤程式規則”標籤中。
9. 儲存變更。

加密特定應⽤程式建立或修改的檔案您可以建立規則，Kaspersky Endpoint Security 將加密此規則內指定的應⽤程式建立或修改的檔案。
加密規則應⽤前指定應⽤程式建立或修改的檔案將不會被加密。

若要加密特定應⽤程式建立或修改的檔案：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 檔案級加密”。
5. 在“加密模式”下拉式清單中，選取“根據規則”。
加密規則僅在“根據規則”模式下可以套⽤。在“根據規則”模式下套⽤加密規則後，如果您切換到“保留不變”
模式，則 Kaspersky Endpoint Security 將忽略所有加密規則。先前加密的檔案將保持為加密。
6. 在視窗右側，選取“應⽤程式規則”標籤。
7. 如果您只希望從卡巴斯基安全管理中⼼清單中選取應⽤程式，則點擊“新增”按鈕並在下拉清單中選取“卡巴斯
基安全管理中⼼應⽤程式清單”項⽬。
a. 指定篩選條件以縮⼩表中的應⽤程式清單。若要執⾏操作，指定“應⽤程式”、“供應商”和“新增的時間段”參
數的值和“群組”塊中所有核取⽅塊。
b. 單擊“重新整理”。
清單將列出比對所套⽤篩選條件的應⽤程式。
c. 在“應⽤程式”欄中選中您要加密其建立之檔案的應⽤程式旁的核取⽅塊。
d. 在“應⽤程式規則”下拉式清單中，選取“加密所有已建立檔案”。
588

e. 在“之前為應⽤程式選擇的動作”下拉清單中，選取根據先前為應⽤程式所建立加密檔案存取規則 Kaspersky
Endpoint Security 所執⾏的操作。
選定應⽤程式建立或修改檔案的加密規則的資訊將顯⽰在“應⽤程式規則”標籤上的表中。
8. 如果您希望⼿動選取應⽤程式，則點擊“新增”按鈕並在下拉清單中選取“⾃訂應⽤程式”項⽬。
a. 在輸入欄位中，輸入應⽤程式可執⾏檔的名稱或名稱清單，包括其副檔名。
您也可以從卡巴斯基安全管理中⼼清單中新增應⽤程式可執⾏檔的名稱，請點擊“從卡巴斯基安全管理中⼼清單中新增”按鈕。
b. 如有必要，在“敘述”欄位中輸入應⽤程式清單的說明。
c. 在“應⽤程式規則”下拉式清單中，選取“加密所有已建立檔案”。
選定應⽤程式建立或修改檔案的加密規則的資訊將顯⽰在“應⽤程式規則”標籤上的表中。
9. 儲存變更。

⽣成解密規則若要⽣成解密規則：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 檔案級加密”。
5. 在“加密模式”下拉式清單中，選取“根據規則”。
6. 在“解密”標籤下，點擊“新增”按鈕，在下拉清單中選取以下項⽬之⼀：
a. 選取“預定義資料夾”項⽬將 Kaspersky 專家建議的本機使⽤者設定檔資料夾的檔案新增⾄解密規則。
b. 選取“⾃訂資料夾”項⽬⼿動將資料夾路徑輸入⾄解密規則。
c. 選取“根據副檔名選取檔案”項⽬將單個檔案副檔名新增⾄解密規則。Kaspersky Endpoint Security 不會加密
電腦本機磁碟機中所有指定副檔名的檔案。
d. 選取“根據副檔名群組選擇檔案”項將成組的檔案副檔名新增⾄解密規則（例如，Microsoft O ice 文件）。
Kaspersky Endpoint Security 不會加密電腦所有本機磁碟機上副檔名群組中列出副檔名的檔案。
7. 儲存變更。
如果同⼀個的檔案被新增⾄加密規則和解密規則中，Kaspersky Endpoint Security 不會加密已加密的檔案，
但是會解密已經加密的檔案。

589

在本機電腦磁碟機上解密檔案
若要在本機磁碟機上解密檔案，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 檔案級加密”。
5. 在視窗右側，選取“加密”標籤。
6. 從加密清單中移除您要解密的檔案和資料夾。為此，請選擇檔案，然後在“刪除“按鈕的內容功能表中選擇“ 刪
除規則並解密檔案”項⽬。
從加密清單中刪除的檔案和資料夾將⾃動新增⾄解密清單中。
7. 建立檔案解密清單。
8. 儲存變更。
套⽤政策後，Kaspersky Endpoint Security 將會解密被新增⾄解密清單的已加密檔案。
如果未加密檔案的參數（檔案路徑/檔案名稱/檔案副檔名）已變更為比對已新增⾄解密清單的物件的參數時，
Kaspersky Endpoint Security 將會解密這些加密檔案。
Kaspersky Endpoint Security 將會延遲解密已開啟的檔案，直⾄其關閉。

建立加密資料
在將檔案傳送給公司網路外部的使⽤者時，為了防護您的資料，可以使⽤加密封包。由於電⼦郵件使⽤者端具有
檔案⼤⼩限制，因此使⽤加密檔案可以⽅便地透過卸除式磁碟機傳輸⼤檔案。
在建立加密封包之前，Kaspersky Endpoint Security 將提⽰使⽤者輸入密碼。為了可靠地防護資料，您可以啟⽤密碼強度檢查並指定密碼強度要求。這將防⽌使⽤者使⽤短密碼和簡單密碼，例如 1234。
在管理主控台 (MMC) 中建立新的加密存檔時如何啟⽤密碼強度檢查590

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → ⼀般加密設定”。
5. 在”密碼設定”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中選擇“加密檔案”標籤。
7. 在建立加密封包時進⾏密碼複雜度設定。
在網⾴主控台中建立新的加密存檔時如何啟⽤密碼強度檢查

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”檔案級加密”。
5. 在加密套件密碼設定塊中，配置建立加密資料時所需的密碼強度條件。
您可以在安裝了Kaspersky Endpoint Security 且具有檔案級加密功能的電腦上建立加密封包。
向其內容位於 OneDrive 雲端儲存中的加密檔案中新增檔案時，Kaspersky Endpoint Security 會下載檔案內容並執⾏加密。

若要建立加密檔案，請執⾏以下操作：
1. 在任意檔案管理員中，選取要新增到加密封包的檔案或資料夾。右鍵點擊以開啟其內容功能表。
2. 在內容功能表中，選取“新增加密檔案”。

建立加密封包3. 在開啟的視窗中，指定密碼並確認。
591密碼必須符合政策中指定的複雜度標準。
4. 單擊“建立”。
加密檔案建立過程將啟動。Kaspersky Endpoint Security 建立加密檔案時不會執⾏檔案壓縮。該程序完成後，
將在選定的⽬標資料夾中建立⼀個受密碼防護的⾃⾏解壓縮加密封包（副檔名為 .exe 的可執⾏檔–）。
要存取加密封包中的檔案，請按兩下以啟動解壓縮精靈，然後輸入密碼。如果忘記或遺失密碼，將無法還原密碼
和存取加密封包中的檔案。您可以重新建立加密封包。

還原對加密檔案的存取權限
加密檔案時，Kaspersky Endpoint Security 會收到⽤於直接存取加密檔案的加密⾦鑰。如果使⽤者在資料加密過程中處於活動狀態的任何 Windows 帳⼾下⼯作，則可以使⽤此加密⾦鑰直接存取加密檔案。如果使⽤者在資料
加密過程中處於非活動狀態的 Windows 帳⼾下⼯作，則必須連線⾄卡巴斯基安全管理中⼼才能存取加密檔案。
在以下情況下可能無法存取加密檔案：
使⽤者電腦上儲存了加密⾦鑰，但是未連線卡巴斯基安全管理中⼼以管理這些加密⾦鑰。在這種情況下，要存取加密檔案，使⽤者必須從區域網路管理員處請求加密檔案存取權限。
如果不存在對卡巴斯基安全管理中⼼的存取權限，您必須：請求存取⾦鑰以存取電腦硬碟磁碟機上的加密檔案；
若要存取卸除式磁碟機上所儲存的加密檔案，請為每個卸除式磁碟機上加密的檔案請求單獨的存取⾦鑰。
加密元件被從使⽤者電腦上移除。在此情況下，使⽤者可以開啟本機和移動磁碟上的加密檔案，但是檔案內容將顯⽰為加密。
在以下情況下，使⽤者可以使⽤加密檔案：檔案放置在建立於安裝了 Kaspersky Endpoint Security 的電腦上的加密檔案⾥。
檔案儲存在允許攜帶式模式的卸除式磁碟機上。
要獲得對加密檔案的存取權限，使⽤者需要啟動還原程序（請求-回應）。
還原對加密檔案的存取權限包括以下步驟：
1. 使⽤者請求存取檔案並將其傳送給管理員（請參⾒下圖）。
2. 管理員將根據請求存取檔案新增到卡巴斯基安全管理中⼼中，建立存取⾦鑰檔案並將該檔案傳送給使⽤者。
3. 使⽤者將存取⾦鑰檔案新增到 Kaspersky Endpoint Security 並獲得對檔案的存取權限。

592

還原對加密檔案的存取權限

要啟動還原程序，使⽤者需要嘗試存取檔案。結果，Kaspersky Endpoint Security 將建立⼀個請求存取檔案（副檔名為 KESDC 的檔案），使⽤者需要將該檔案傳送給管理員，例如透過電⼦郵件傳送。
Kaspersky Endpoint Security 會產⽣請求存取檔案，該檔案可⽤來存取儲存在電腦磁碟機（本機磁碟機或卸除式磁碟機）上的所有加密檔案。
如何在管理主控台 (MMC) 中獲取加密資料存取⾦鑰檔案

593

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 在“裝置”標籤上，選取使⽤者正在請求加密資料存取權限的電腦，然後點擊滑鼠右鍵開啟內容功能表。
4. 在內容功能表中，選取“授予離線模式下的存取權限”。
5. 在開啟的視窗中選擇“資料加密”標籤。
6. 在“資料加密”標籤上點擊“瀏覽”按鈕 。
7. 在⽤來選取請求存取檔案的視窗中，指定從使⽤者那裡接收的檔案路徑。
您將看到有關使⽤者請求的資訊。卡巴斯基安全管理中⼼會產⽣⼀個⾦鑰檔案。透過電⼦郵件將產⽣的加
密資料存取⾦鑰檔案傳送給使⽤者。或儲存該存取檔案並使⽤任何可⽤⽅法來傳輸該檔案。

授予在離線模式下存取

如何在網⾴主控台中獲取加密資料存取⾦鑰檔案594

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選中要還原其資料存取權限的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
4. 選擇“資料加密”。
5. 點擊“選取檔案”按鈕，然後選取從使⽤者處收到的請求存取檔案（副檔名為 KESDC 的檔案）。
網⾴主控台將顯⽰有關請求的資訊。這將包括使⽤者請求存取的檔案所在的電腦名稱。
6. 點擊“儲存⾦鑰”按鈕，然後選取⼀個資料夾來儲存加密資料存取⾦鑰檔案（副檔名為 KESDR 的檔案）。
結果，您將能夠獲取加密資料存取⾦鑰，您需要將該⾦鑰傳輸給使⽤者。
收到加密資料存取⾦鑰檔案後，使⽤者需要點擊來執⾏該檔案。結果，Kaspersky Endpoint Security 將授予對磁碟機上儲存的所有加密檔案的存取權限。要存取其他卸除式磁碟機上儲存的加密檔案，您必須為每個卸除式磁碟
機獲取單獨的存取⾦鑰檔案。

作業系統故障後還原對加密檔案的存取
只有使⽤了檔案級加密 (FLE) 時，才能在作業系統故障後還原對資料的存取。如果使⽤了完整磁碟加密(FDE)，則無法還原對資料的存取。

要在作業系統故障後還原對加密資料的存取：
1. 不格式化硬碟的情況下重新安裝作業系統。
2. 安裝 Kaspersky Endpoint Security。
3. 在電腦與資料被加密時控制電腦的卡巴斯基安全管理中⼼管理伺服器之間建立連線。
授予加密資料存取權限的條件與作業系統發⽣故障之前適⽤的條件相同。

編輯加密檔案存取訊息範本若要編輯加密檔案存取訊息範本，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → ⼀般加密設定”。
5. 在”範本”塊中，點擊”範本”按鈕。
6. 在開啟的視窗中，執⾏以下操作：595

如果您希望編輯使⽤者郵件範本，則選取“使⽤者訊息”標籤。使⽤者電腦上沒有可⽤⾦鑰⽤於存取加密檔案⽽存取加密檔案時，以下視窗將開啟（請⾒下圖）。點擊透過電⼦郵件傳送按鈕將⾃動建立⼀條使⽤者訊息。該郵件會將請求存取加密檔案存取權限的檔案⼀起傳送給公司區域網路管理員。
如果您希望編輯管理員郵件範本，則選取“管理員訊息”標籤。授予對加密檔案的存取權限後，使⽤者會收
到此訊息。
7. 編輯資訊範本。
8. 儲存變更。

還原對加密檔案的存取權限

卸除式磁碟機加密如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。

Kaspersky Endpoint Security ⽀援加密 FAT32 和 NTFS 檔案系統中的檔案。如果將具有不⽀援的檔案系統的卸除式磁碟機連線到電腦，對該卸除式磁碟機的加密⼯作將以出錯結束，Kaspersky Endpoint Security 會為
該卸除式磁碟機分配唯讀狀態。
要防護卸除式磁碟機上的資料，可以使⽤以下類型的加密：完整磁碟加密 (FDE)。
加密整個卸除式磁碟機，包括檔案系統。
無法在公司網路外部存取加密資料。如果電腦未連線到卡巴斯基安全管理中⼼（例如“訪客”電腦），也無
法存取公司網路內部的加密資料。
檔案級加密 (FLE)。
僅加密卸除式磁碟機上的檔案。檔案系統保持不變。
596

是卸除式磁碟機上的檔案加密使⽤⼀種稱為攜帶模式的特殊模式，提供存取公司網路外部資料的功能。
在加密期間，Kaspersky Endpoint Security 會建立⼀個主要⾦鑰。Kaspersky Endpoint Security 將主要⾦鑰儲存在以下儲存區中：卡巴斯基安全管理中⼼。
使⽤者的電腦。
主要⾦鑰使⽤使⽤者的⾦鑰加密。
卸除式磁碟機。
主要⾦鑰使⽤卡巴斯基安全管理中⼼的公開⾦鑰加密。
加密完成後，可在公司網路內存取卸除式磁碟機上的資料，就像資料在未加密的⼀般卸除式磁碟機⼀樣。

存取加密資料連線帶有加密資料的卸除式磁碟機後，Kaspersky Endpoint Security 會執⾏以下操作：
1. 檢查使⽤者電腦本機儲存的主要⾦鑰。
如果找到主要⾦鑰，使⽤者將獲得卸除式磁碟機上的資料存取權限。
如果找不到之要⾦鑰，Kaspersky Endpoint Security 會執⾏以下操作：
a. 向卡巴斯基安全管理中⼼傳送請求。
收到請求後，卡巴斯基安全管理中⼼將傳送⼀個包含主要⾦鑰的回應。
b. Kaspersky Endpoint Security 將主要⾦鑰儲存在使⽤者電腦的本機中，以供以後對加密的卸除式磁碟機進
⾏操作。
2. 解密資料。

卸除式磁碟機加密的特殊功能
卸除式磁碟機加密具有以下特殊功能：已經為指定的受管理電腦群組形成針對卸除式磁碟機加密且帶有預設設定的政策。因此，套⽤為加密/解密卸
除式磁碟機配置的卡巴斯基安全管理中⼼政策的結果取決於抽取式磁碟機連線到的電腦。
Kaspersky Endpoint Security 不會加密/解密卸除式磁碟機上儲存的唯讀檔案。
⽀援以下裝置類型的卸除式磁碟機：透過 USB 介⾯連接的資料媒體
透過 USB 和 FireWire 介⾯連接的固定磁碟機透過 USB 和 FireWire 介⾯連接的 SSD 磁碟機

597啟動卸除式磁碟機加密您可以使⽤政策來解密卸除式磁碟機。將為特定管理群組產⽣具有已定義的卸除式磁碟機加密設定的策略。因
此，卸除式磁碟機上的資料解密結果取決於其連接的電腦。
Kaspersky Endpoint Security ⽀援加密 FAT32 和 NTFS 檔案系統中的檔案。如果將具有不⽀援的檔案系統的卸除式磁碟機連線到電腦，對該卸除式磁碟機的加密⼯作將以出錯結束，Kaspersky Endpoint Security 會為
該卸除式磁碟機分配唯讀狀態。

在加密卸除式磁碟機上的檔案之前，請確保它已格式化並且沒有隱藏的瓷碟分割（例如 EFI 系統分割）。如果磁碟機包含未格式化或隱藏的分割，檔案加密可能會失敗並出現錯誤。

若要加密卸除式磁碟機，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 卸除式磁碟機加密”。
5. 在“加密模式”下拉清單中，選取您希望 Kaspersky Endpoint Security 對卸除式磁碟機執⾏的預設操作：
加密整個卸除式磁碟機 (FDE)。Kaspersky Endpoint Security 逐個磁區加密卸除式磁碟機的內容。因此，應⽤程式不僅會加密卸除式磁碟機中儲存的檔案，還會加密其檔案系統，包括卸除式磁碟機上的檔案名稱和
資料夾結構。
加密所有檔案 (FLE)。Kaspersky Endpoint Security 會加密卸除式磁碟機中儲存的所有檔案。應⽤程式不會
加密卸除式磁碟機的檔案系統，包括檔案名稱和資料夾結構。
僅加密新檔案 (FLE)。Kaspersky Endpoint Security 只加密已新增到卸除式磁碟機的檔案或者儲存在卸除式
磁碟機中並且在上次套⽤卡巴斯基安全管理中⼼政策後已修改的檔案。
Kaspersky Endpoint Security 不會對已經加密的卸除式磁碟機進⾏加密。
6. 如果要使⽤攜帶模式對卸除式磁碟機進⾏加密，請選中“攜帶模式”核取⽅塊。

攜帶模式是卸除式磁碟機上的檔案加密 (FLE) 模式，它提供了存取公司網路外部資料的功能。攜帶模式還允許您在未安裝 Kaspersky Endpoint Security 的電腦上使⽤加密資料。

7. 如果要加密新的卸除式磁碟機，建議選中“僅加密使⽤的磁碟空間”核取⽅塊。如果清除該核取⽅塊，Kaspersky Endpoint Security 將加密所有檔案，包括已刪除或已修改檔案的殘留片段。
8. 如果要配置對單個卸除式磁碟機的加密，請定義加密規則。
9. 如果要在離線模式下使⽤卸除式磁碟機的完整磁碟加密，請選擇“允許在離線模式下加密卸除式磁碟機”核取⽅塊。

598

離線加密模式是指未連線卡巴斯基安全管理中⼼時加密卸除式磁碟機 (FDE)。在加密過程中，Kaspersky

Endpoint Security 只將主⾦鑰儲存在使⽤者的電腦上。Kaspersky Endpoint Security 將在下次同步期間將主⾦
鑰傳送到卡巴斯基安全管理中⼼。
如果儲存主⾦鑰的電腦損壞，並且資料未傳送到卡巴斯基安全管理中⼼，則無法存取卸除式磁碟機。
如果清除“允許在離線模式下加密卸除式磁碟機”核取⽅塊，並且未連線到卡巴斯基安全管理中⼼，則無法進⾏
卸除式磁碟機加密。
10. 儲存變更。
套⽤政策後，當使⽤者連線卸除式磁碟機或卸除式磁碟機已連線時，Kaspersky Endpoint Security 會提⽰使⽤者確認執⾏加密操作（請參⾒下圖）。
應⽤程式允許您執⾏以下操作：
如果使⽤者確認加密請求，Kaspersky Endpoint Security 將加密資料。
如果使⽤者拒絕加密請求，Kaspersky Endpoint Security 將保留資料不變，並為該卸除式磁碟機分配唯讀存取權限。
如果使⽤者未回應加密請求，Kaspersky Endpoint Security 將保留資料不變，並為該卸除式磁碟機分配唯讀存取權限。隨後套⽤政策或下次連線該卸除式磁碟機時，應⽤程式將再次提⽰確認。
如果在資料加密期間，使⽤者安全刪除卸除式磁碟機，Kaspersky Endpoint Security 將會在加密過程完成前中斷
資料加密過程，允許刪除卸除式磁碟機。下次將卸除式磁碟機連線到此電腦時，將繼續資料加密。
如果對卸除式磁碟機的加密失敗，請在 Kaspersky Endpoint Security 介⾯中檢視“資料加密”報告。對檔案的存取可能被其他應⽤程式拒絕。在這種情況下，請嘗試從電腦上拔下卸除式磁碟機，然後重新連接。

卸除式磁碟機加密請求

新增卸除式磁碟機加密規則
若要為卸除式磁碟機新增加密規則，請執⾏以下操作：
599

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 卸除式磁碟機加密”。
5. 點擊“新增”按鈕並在下拉清單中選取以下項⽬之⼀：
如果您希望為裝置控制元件的受信任裝置清單中的卸除式磁碟新增加密規則，則選取“從此政策的受信任裝
置清單”。
如果您希望為卡巴斯基安全管理中⼼清單中卸除式磁碟新增加密規則，則選取“從卡巴斯基安全管理中⼼的裝置清單”。
6. 在“選定裝置的加密模式”下拉清單中，選取 Kaspersky Endpoint Security 對選定卸除式磁碟機上檔案執⾏的操作。
7. 如果您希望 Kaspersky Endpoint Security 在加密前準備卸除式磁碟機，請選取“攜帶模式”核取⽅塊，這將能夠
在攜帶模式中使⽤上⾯儲存的加密檔案。
攜帶模式可以在存有加密檔案的卸除式磁碟機連線⾄沒有加密功能的電腦時能夠存取卸除式磁碟機中的加密檔案。
8. 如果您希望 Kaspersky Endpoint Security 只加密包含有檔案的磁碟磁區，則選取“僅加密使⽤的磁碟空間”核取⽅塊。
如果您在已使⽤的磁碟上應⽤加密，建議加密整個磁碟。這將確保所有資料受到防護 - 即使刪除了仍包含可檢索資訊的資料。建議為先前未使⽤的新磁碟使⽤“僅加密使⽤的磁碟空間”功能。
如果先前使⽤“僅加密使⽤的磁碟空間”功能加密了裝置，則在“加密整個卸除式磁碟機”模式中套⽤政策，
未包含檔案的磁區將不會被加密。
9. 在“之前為裝置選擇的動作”下拉清單中，選取根據先前為卸除式磁碟機所建立加密檔案存取規則 Kaspersky
Endpoint Security 所執⾏的操作：
如果您希望先前為卸除式磁碟建立的加密規則不變，則選取“略過”。
如果您希望先前為卸除式磁碟機建立的加密規則由新規則代替，則選取“重新整理”。
10. 儲存變更。
新增的卸除式磁碟機加密規則將套⽤於連線到組織中任何電腦的卸除式磁碟機。

匯出和匯入卸除式磁碟機的加密規則清單您可以將卸除式磁碟機加密規則清單匯出到 XML 檔案。然後，您可以修改檔案，例如，為相同類型的卸除式磁碟機新增⼤量規則。您還可以使⽤匯出/匯入功能來備份規則清單，或將規則則遷移到其他伺服器。
如何在管理主控台 (MMC) 中匯出和匯入卸除式磁碟機加密規則清單600

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 卸除式磁碟機加密”。
5. 要匯出卸除式磁碟機的加密規則清單：
a. 選取您想要匯出的規則。要選擇多個連接埠，請使⽤CTRL或SHIFT鍵。
如果您未選擇任何規則，則 Kaspersky Endpoint Security 將匯出所有規則。
b. 點擊”匯出”連接。
c. 在開啟的視窗中，指定您要將規則清單匯出到的 XML 檔案的名稱，然後選取要儲存此檔案的資料夾。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到 XML 檔案。
6. 要匯入卸除式磁碟機的加密規則清單：
a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
7. 儲存變更。
如何在網⾴主控台中匯出和匯入卸除式磁碟機加密規則清單601

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”卸除式磁碟機加密”。
5. 在”選定裝置的加密規則”塊中，點擊”加密規則”連接。
這將開啟卸除式磁碟機的加密規則清單。
6. 要匯出卸除式磁碟機的加密規則清單：
a. 選取您想要匯出的規則。
b. 單擊“匯出”。
c. 確認您只想匯出選定的規則，還是匯出整個清單。
d. 儲存檔案。
Kaspersky Endpoint Security 會將規則清單匯出到預設下載資料夾中的 XML 檔案。
7. 要匯入規則清單：
a. 點擊”匯入”連接。
在開啟的視窗中，選取要從中匯入規則清單的 XML 檔案。
b. 開啟檔案。
如果電腦已經具有規則清單，則 Kaspersky Endpoint Security 將提⽰您刪除現有清單或從 XML 檔案向
其中新增新項⽬。
8. 儲存變更。

⽤於存取卸除式磁碟機上加密檔案的攜帶模式
攜帶模式是卸除式磁碟機上的檔案加密 (FLE) 模式，它提供了存取公司網路外部資料的功能。攜帶模式還允許您
在未安裝 Kaspersky Endpoint Security 的電腦上使⽤加密資料。
攜帶模式在以下情況下便於使⽤：
電腦和卡巴斯基安全管理中⼼管理伺服器之間沒有連線。
基礎結構已隨著卡巴斯基安全管理中⼼管理伺服器的變更⽽發⽣變化。
電腦上未安裝 Kaspersky Endpoint Security。

攜帶式檔案管理器602

為了在攜帶模式下⼯作，Kaspersky Endpoint Security 會在卸除式磁碟機上安裝⼀個名為“攜帶式檔案管理員”的特
殊加密模組。如果電腦上未安裝 Kaspersky Endpoint Security，攜帶式檔案管理員提供了⼀個處理加密資料的介⾯（請參⾒下圖）。如果電腦上安裝了 Kaspersky Endpoint Security，則可以使⽤⼀般的檔案管理員（例如資源
管理器）使⽤加密的卸除式磁碟機。
攜帶式檔案管理員會儲存⽤於加密卸除式磁碟機上的檔案⾦鑰。該⾦鑰使⽤使⽤者密碼加密。使⽤者可在加密卸
除式磁碟機的檔案之前先設定密碼。
當卸除式磁碟機連線到未安裝 Kaspersky Endpoint Security 的電腦時，會⾃動啟動攜帶式檔案管理員。如果電腦上已停⽤⾃動啟動應⽤程式，請⼿動啟動攜帶式檔案管理員。要執⾏此操作，請執⾏卸除式磁碟機上儲
存名為 pmv.exe 的檔案。

攜帶式檔案管理器

⽀援攜帶模式以處理加密檔案
如何在管理主控台 (MMC) 中啟⽤攜帶模式⽀援，以處理卸除式磁碟機上的加密檔案

603

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 卸除式磁碟機加密”。
5. 在“選定裝置的加密模式”下拉式清單中，選擇“加密所有檔案”或者“僅加密新檔案”。
攜帶模式僅適⽤於檔案級加密 (FLE)。無法為完整磁碟加密 (FDE) 啟⽤攜帶模式⽀援。
6. 選擇“攜帶模式”核取⽅塊。
7. 如有必要，可為單⼀卸除式磁碟機新增加密規則。
8. 儲存變更。
9. 應⽤政策後，將卸除式磁碟機連接到電腦。
10. 確認卸除式磁碟機加密操作。
這會開啟⼀個視窗，您可以在其中為攜帶式檔案管理員建立密碼。

攜帶模式密碼請求

11. 指定滿⾜強度要求的密碼並確認。
12. 儲存變更。
如何在網⾴主控台中啟⽤攜帶模式⽀援，以處理卸除式磁碟機上的加密檔案604

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”資料加密”→”卸除式磁碟機加密”。
5. 在管理加密塊中，選擇加密所有檔案 or 僅加密新檔案。
攜帶模式僅適⽤於檔案級加密 (FLE)。無法為完整磁碟加密 (FDE) 啟⽤攜帶模式⽀援。
6. 選擇“攜帶模式”核取⽅塊。
7. 如有必要，可為單⼀卸除式磁碟機新增加密規則。
8. 儲存變更。
9. 應⽤政策後，將卸除式磁碟機連接到電腦。
10. 確認卸除式磁碟機加密操作。
這會開啟⼀個視窗，您可以在其中為攜帶式檔案管理員建立密碼。

攜帶模式密碼請求

11. 指定滿⾜強度要求的密碼並確認。
12. 儲存變更。
Kaspersky Endpoint Security 會加密卸除式磁碟機上的檔案。⽤來操作加密檔案的攜帶式檔案管理員也將被新增
⾄卸除式磁碟機。如果卸除式磁碟機上已經有加密檔案，Kaspersky Endpoint Security 將使⽤⾃⼰的⾦鑰再次對
其進⾏加密。這允許使⽤者在攜帶模式下存取卸除式磁碟機上的所有檔案。

存取卸除式磁碟機上的加密檔案605

在攜帶模式⽀援下，加密卸除式磁碟機上的檔案後，可以使⽤以下檔案存取⽅法：
如果電腦上未安裝 Kaspersky Endpoint Security，則攜帶式檔案管理員將提⽰您輸入密碼。每次重新啟動電腦
或重新連線卸除式磁碟機時，都需要輸入密碼。
如果電腦位於公司網路外部，並且電腦上已安裝 Kaspersky Endpoint Security，則應⽤程式將提⽰您輸入密碼
或向管理員傳送存取檔案的請求。獲得對卸除式磁碟機上檔案的存取權限後，Kaspersky Endpoint Security 會
將⾦鑰儲存在電腦的⾦鑰儲存區中。如此⼀來，將來便無需輸入密碼或詢問管理員即可存取檔案（請⾒下圖）。
如果電腦位於公司網路內部，並且電腦上已安裝 Kaspersky Endpoint Security，則無需輸入密碼即可存取裝
置。Kaspersky Endpoint Security 將從與電腦連線的卡巴斯基安全管理中⼼管理伺服器接收⾦鑰。

存取卸除式磁碟機上的加密檔案

還原在攜帶模式下⼯作的密碼
如果您忘記了在攜帶模式下⼯作的密碼，則需要將卸除式磁碟機與公司網路內安裝了 Kaspersky Endpoint
Security 的電腦連線。您將獲得檔案存取權限，因為⾦鑰儲存在電腦的⾦鑰儲存區或管理伺服器中。使⽤新密碼解密和重新加密檔案。

將卸除式磁碟機連線到其他網路中的電腦時，攜帶模式的功能
如果電腦位於公司網路外部，並且電腦上已安裝 Kaspersky Endpoint Security，您可以透過以下⽅式存取檔案：
依據密碼進⾏存取
輸入密碼後，您將能夠檢視、修改並將檔案儲存在卸除式磁碟機上（透明存取）。如果在卸除式磁碟機的加密政策設定中配置了以下參數，Kaspersky Endpoint Security 可以為卸除式磁碟機設定為唯讀存取權限：攜帶模式⽀援已停⽤。
選取了 “加密所有檔案” 或 “僅加密新檔案” 模式。
在所有其他情況下，您將獲得對卸除式磁碟機的完全存取權限（讀/寫權限）。您將能夠新增和刪除檔案。
即使卸除式磁碟機連線到電腦時，您也可以變更卸除式磁碟機的存取權限。如果變更卸除式磁碟機存取權限，Kaspersky Endpoint Security 將封鎖對檔案的存取，並再次提⽰您輸入密碼。
輸入密碼後，您無法對卸除式磁碟機套⽤加密政策設定。在這種情況下，無法對卸除式磁碟機上的檔案進⾏
解密或重新加密。
請管理員提供檔案存取權限606如果您忘了在攜帶模式下⼯作的密碼，則請管理員提供檔案存取權限。要存取檔案，使⽤者需要向管理員傳送請求存取檔案（副檔名為 KESDC 的檔案）。例如，使⽤者可以透過電⼦郵件傳送請求存取檔案。管理員將
傳送加密資料存取檔案（副檔名為 KESDR 的檔案）。
完成請求-回應密碼還原程序之後，您將獲得對卸除式磁碟機上檔案的透明存取權限，以及對卸除式磁碟機的完全存取權限（讀/寫權限）。
例如，您可以套⽤卸除式磁碟機加密政策並解密檔案。在還原密碼後或在更新政策後，Kaspersky Endpoint
Security 將提⽰您確認變更。
如何在管理主控台 (MMC) 中取得加密資料存取檔案

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“裝置”。
3. 在“裝置”標籤上，選取使⽤者正在請求加密資料存取權限的電腦，然後點擊滑鼠右鍵開啟內容功能表。
4. 在內容功能表中，選取“授予離線模式下的存取權限”。
5. 在開啟的視窗中選擇“資料加密”標籤。
6. 在“資料加密”標籤上點擊“瀏覽”按鈕 。
7. 在⽤來選取請求存取檔案的視窗中，指定從使⽤者那裡接收的檔案路徑。
您將看到有關使⽤者請求的資訊。卡巴斯基安全管理中⼼會產⽣⼀個⾦鑰檔案。透過電⼦郵件將產⽣的加密資料存取⾦鑰檔案傳送給使⽤者。或儲存該存取檔案並使⽤任何可⽤⽅法來傳輸該檔案。

授予在離線模式下存取

如何在網⾴主控台中獲取加密資料存取檔案607

1. 在網⾴主控台的主視窗中，選取“裝置”→“受管理裝置”。
2. 選中要還原其資料存取權限的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
4. 選擇“資料加密”。
5. 點擊“選取檔案”按鈕，然後選取從使⽤者處收到的請求存取檔案（副檔名為 KESDC 的檔案）。
網⾴主控台將顯⽰有關請求的資訊。這將包括使⽤者請求存取的檔案所在的電腦名稱。
6. 點擊“儲存⾦鑰”按鈕，然後選取⼀個資料夾來儲存加密資料存取⾦鑰檔案（副檔名為 KESDR 的檔案）。
結果，您將能夠獲取加密資料存取⾦鑰，您需要將該⾦鑰傳輸給使⽤者。

卸除式磁碟機解密
您可以使⽤政策來解密卸除式磁碟機。將為特定管理群組產⽣具有已定義的卸除式磁碟機加密設定的策略。因
此，卸除式磁碟機上的資料解密結果取決於其連接的電腦。

若要解密卸除式磁碟機，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“資料加密 → 卸除式磁碟機加密”。
5. 如果您希望解密所有儲存在卸除式磁碟機上的加密檔案，請在“加密模式”下拉清單中選取“解密整個卸除式磁碟機”。
6. 若要解密儲存在個⼈卸除式磁碟機上的資料，請為您要解密其資料的卸除式磁碟機編輯加密規則。為此，請執⾏以下操作：a. 已配置加密規則的卸除式磁碟機清單中，選擇對應您所需卸除式磁碟機的項⽬。
b. 點擊“設定規則”按鈕為卸除式磁碟機編輯加密規則。
c. 在“設定規則”按鈕的內容功能表中，點擊“解密整個卸除式磁碟機”。
7. 儲存變更。
結果是，如果使⽤者連線卸除式磁碟機或該磁碟機已經連線，Kaspersky Endpoint Security 將解密該卸除式磁碟機。程式將警告使⽤者解密過程可能會花費些時間。如果在資料解密期間，使⽤者安全刪除卸除式磁碟機，Kaspersky Endpoint Security 將會在解密過程完成前中斷資料解密過程，並且允許刪除卸除式磁碟機。下次將
卸除式磁碟機連線到此電腦時，將繼續資料解密。

608

如果對卸除式磁碟機的解密失敗，請在 Kaspersky Endpoint Security 介⾯中檢視“資料加密”報告。對檔案的存取可能被其他應⽤程式拒絕。在這種情況下，請嘗試從電腦上拔下卸除式磁碟機，然後重新連接。

檢視資料加密詳細資訊
當正在執⾏加密或解密⼯作時，卡巴斯基安全管理中⼼會將應⽤於使⽤者端電腦的加密參數狀態的相關資訊轉發
給卡巴斯基安全管理中⼼。

檢視加密狀態您可以查看狀態以監控資料加密。Kaspersky Endpoint Security 可分配以下加密狀態：
不符合政策；被使⽤者取消。使⽤者已取消資料加密。
由於錯誤⽽無法套⽤政策。資料加密錯誤，例如缺少產品授權。
正在套⽤政策。需要重新啟動。正在這台電腦上進⾏資料加密。重新啟動應⽤程式以完成資料加密。
未指定加密政策。資料加密已在政策設定中關閉。
不⽀援。電腦上未安裝資料加密元件。
正在套⽤政策。正在這台電腦上進⾏資料加密和/或解密。

若要檢視電腦資料的加密狀態，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“受管理裝置”。
3. 在⼯作區的“裝置”標籤中，將捲軸滑向右側。如果“加密狀態”列未顯⽰，請在卡巴斯基安全管理中⼼主控台設
定中新增此列。
“加密狀態”列將顯⽰選定管理群組中電腦上資料的加密狀態。該狀態是基於電腦本機磁碟機上的檔案加密資訊
和完整磁碟加密的資訊形成的。
4. 如果電腦的資料加密狀態為“正在套⽤政策”，您可以監控加密進度⾯板：
a. 點擊兩下，開啟包含“正在套⽤政策”狀態的電腦內容。
b. 在電腦內容視窗中，選取“應⽤程式”區域。
c. 在電腦上安裝的卡巴斯基應⽤程式清單中，選擇“Kaspersky Endpoint Security for Windows”。
d. 點擊“統計”。
e. 在“裝置加密”下⽅，您可以以百分比形式查看資料加密的⽬前進度。

609

在卡巴斯基安全管理中⼼的資訊顯⽰器上檢視加密統計資訊
要在卡巴斯基安全管理中⼼的資訊顯⽰器上檢視加密狀態：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選取“管理伺服器”節點。
3. 在管理主控台樹狀⽬錄的右側⼯作區中選取“統計”標籤。
4. 使⽤包含資料加密統計資訊的詳細視窗建立新⾴⾯。為此，請執⾏以下操作：
a. 在“統計”標籤上點擊“⾃訂檢視”按鈕 。
b. 在開啟的視窗中，點擊“新增”按鈕。
c. 這將開啟⼀個視窗；在該視窗的“⼀般”區域中輸入⾴⾯名稱。
d. 在“資訊視窗”區域中點擊“新增”按鈕。
e. 在開啟視窗的“防護狀態“群組中，選擇“裝置加密”項⽬。
f. 點擊“確定”。
g. 必要時編輯詳細資訊窗格的設定。為此，請使⽤“檢視”和“裝置”區域。
h. 點擊“確定”。
i. 重複說明中的步驟 d – h，在“防護狀態”區域中選擇“卸除式磁碟機加密“項⽬。
新增的詳細資訊窗格將出現在“資訊視窗”清單中。
j. 點擊“確定”。
在前⾯的步驟中建立的帶有詳細資訊窗格的⾴⾯名稱將顯⽰在“⾴⾯”清單中。
k. 點擊“關閉”按鈕。
5. 在“統計”標籤上，開啟在該說明的先前步驟中建立的⾴⾯。
詳情⾴⾯將出現，其中顯⽰了電腦和卸除式磁碟機的加密狀態。

檢視本機電腦磁碟機上檔案加密錯誤
若要檢視本機電腦磁碟上檔案加密錯誤：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇“受管理裝置”。
3. 在“裝置”⾴簽上，選取清單中電腦的名稱，點擊右鍵開啟內容功能表。
4. 在電腦的內容功能表中選取“內容”項。在開啟的視窗中，選擇“防護”區域。
610

5. 點擊”檢視資料加密錯誤“連接開啟“資料加密錯誤”視窗。
該視窗將顯⽰本機電腦磁碟機上資料加密錯誤的詳情。錯誤被修正後，卡巴斯基安全管理中⼼會將該錯誤詳情
從“資料加密錯誤”視窗中刪除。

檢視資料加密報告卡巴斯基安全管理中⼼可讓您建立資料加密報告：
受管理裝置加密狀態報告。該報告包括有關電腦的加密狀態是否符合加密政策的資訊。
⼤容量儲存裝置加密狀態報告。該報告包括有關外部裝置和儲存裝置加密狀態的資訊。
加密磁碟機存取權限報告。該報告包括有關有權存取加密磁碟機的帳⼾狀態的資訊。
檔案加密錯誤報告。該報告包含有關在電腦上執⾏資料加密或解密⼯作期間發⽣的錯誤的資訊。
封鎖存取加密檔案的報告。該報告包括有關被封鎖存取加密檔案的應⽤程式的資訊。

若要檢視資料加密報告，請執⾏以下操作：
1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“管理伺服器”節點中選取“報告”標籤。
3. 點擊“新增報告範本”按鈕。
“新報告範本精靈”將啟動。
4. 按照“報告範本精靈”的說明進⾏操作。在“選取報告範本類型”視窗的“其他“區域中，選擇⼀個資料加密報告。
完成新報告範本精靈之後，新報告範本將出現在“報告”標籤上。
5. 選取在說明的上個步驟中建立的報告範本。
6. 在範本的內容功能表中選取“顯⽰報告”。
報告建立過程將開始。此報告將顯⽰在新視窗中。

無法存取加密裝置時的裝置使⽤
獲取存取加密裝置的權限
在以下情況下使⽤者可能被要求請求存取加密裝置：
硬碟磁碟機在其他電腦上進⾏的加密。
裝置的加密⾦鑰不在電腦上（例如，⾸次嘗試存取電腦上的加密卸除式磁碟機時），電腦未連線到卡巴斯基
安全管理中⼼。
使⽤者套⽤存取⾦鑰到加密裝置後，Kaspersky Endpoint Security 將把加密⾦鑰儲存在使⽤者的電腦上，允許
在隨後的存取嘗試時存取此裝置（即使未連線到卡巴斯基安全管理中⼼）。
可⽤以下⽅式獲得加密裝置的存取權限：611

1. 使⽤者使⽤ Kaspersky Endpoint Security 應⽤程式介⾯建立帶有 kesdc 副檔名的請求存取檔案並將其傳送給公司區域網路管理員。
2. 管理員使⽤卡巴斯基安全管理中⼼管理主控台建立帶有 kesdc 副檔名的存取⾦鑰檔案並將其傳送給使⽤者。
3. 使⽤者套⽤存取⾦鑰。

還原加密裝置上的資料
使⽤者可⽤使⽤加密裝置還原實⽤程式（以下簡稱“還原實⽤程式”）使⽤加密裝置。在下列情況中可能要求這樣
做：
使⽤存取⾦鑰獲取存取權限的過程不成功。
帶有加密裝置的電腦上尚未安裝加密元件。
需要使⽤“還原實⽤⼯具”還原對加密裝置存取的資料有⼀段時間以未加密形式在使⽤者電腦的記憶體裡。要降低有⼈未經授權存取此類別資料的風險，建議您在受信任的電腦上還原存取加密裝置。
可⽤以下⽅式還原加密裝置上的資料：
1. 使⽤者使⽤“還原實⽤⼯具”建立帶有 fdertc 副檔名的請求存取檔案並將其傳送給公司區域網路管理員。
2. 管理員使⽤卡巴斯基安全管理中⼼管理主控台建立帶有 fdertr 副檔名的存取⾦鑰檔案並將其傳送給使⽤者。
3. 使⽤者套⽤存取⾦鑰。
若要還原加密系統硬碟磁碟機上的資料，使⽤者也可以在“還原實⽤⼯具”中指定⾝分驗證代理帳⼾憑證。如果⾝分驗證代理帳⼾的元資料已損壞，使⽤者必須使⽤請求存取檔案完成還原程序。
在還原加密裝置上的資料前，建議在將執⾏過程的電腦上取消卡巴斯基安全管理中⼼政策或停⽤卡巴斯基安全管
理中⼼政策設定中的加密。這可以防⽌重新加密裝置。

使⽤ FDERT 還原實⽤程式還原資料
如果硬碟發⽣故障，檔案系統可能已損壞。如果是這種情況，由卡巴斯基磁碟加密技術防護的資料將不可使⽤。
您可以解密資料並將資料複製到新的磁碟機。
對由卡巴斯基磁碟加密技術防護的磁碟機的資料還原包括以下步驟：
1. 建立⼀個獨立還原實⽤程式（請參⾒下圖）。
2. 將磁碟機連線到未安裝 Kaspersky Endpoint Security 加密元件的電腦。
3. 執⾏還原實⽤程式並診斷硬碟。
4. 存取磁碟機上的資料。為此，輸入⾝分驗證代理的憑證或啟動還原程序（請求-回應）。

612

FDERT 還原實⽤程式建立獨立還原實⽤程式

若要建立還原⼯具的可執⾏檔，請執⾏以下操作：
1. 開啟應⽤程式主視窗並點擊按鈕。

2. 在開啟的視窗中，點擊“還原已加密裝置”按鈕。
加密裝置還原實⽤程式啟動。
3. 在還原實⽤程式視窗中，點擊“建立獨立還原實⽤程式”按鈕。
4. 將獨立還原實⽤程式儲存到電腦記憶體中。
結果，該還原實⽤程式的可執⾏檔 (fdert.exe) 將儲存在指定的資料夾中。將該還原實⽤程式複製到未安裝
Kaspersky Endpoint Security 加密元件的電腦。這可以防⽌重新加密磁碟。

需要使⽤“還原實⽤⼯具”還原對加密裝置存取的資料有⼀段時間以未加密形式在使⽤者電腦的記憶體裡。要降低有⼈未經授權存取此類別資料的風險，建議您在受信任的電腦上還原存取加密裝置。

還原硬碟上的資料

若要使⽤還原⼯具還原對加密裝置的存取權限。
1. 執⾏名為 fdert.exe 的檔案，該檔案是還原實⽤程式的可執⾏檔。此檔案由 Kaspersky Endpoint Security 建立。
2. 在“還原公⽤程式”視窗中，選擇您想要還原其存取權限的已加密裝置。
3. 點擊“掃描”按鈕允許此實⽤⼯具定義應在裝置上執⾏何種操作：是否應解鎖或者解密。

613

如果電腦可以存取 Kaspersky Endpoint Security 加密功能，“還原實⽤⼯具”將提⽰您解鎖裝置。解鎖裝置並不進⾏解密，解鎖的裝置將可以直接存取。如果電腦不可以存取 Kaspersky Endpoint Security 加密功能，“還原實⽤⼯具”將提⽰您解密裝置。
4. 如果要匯入診斷資訊，請點擊“儲存診斷資料”按鈕。
該實⽤程式將儲存⼀個壓縮檔案，其中的檔案包含診斷資訊。
5. 如果加密系統硬碟磁碟機的診斷提⽰裝置主引導記錄 (MBR) 出現問題，請點擊“修復 MBR”按鈕。
修復裝置的主引導記錄可以使獲取解鎖或解密裝置時所需資訊的過程加快。
6. 根據診斷結果點擊解鎖或解密按鈕。
7. 如果您想要使⽤⾝分驗證代理⼾還原資料，請選取“使⽤⾝分驗證代理帳⼾設定”選項，然後輸入⾝分驗證代理的憑證。
這種⽅法僅當還原系統硬碟磁碟機上的資料時可⽤。如果系統硬碟磁碟機損壞且⾝分驗證代理帳⼾資料已遺失，您必須從公司區域網路管理員獲得存取⾦鑰才能還原加密裝置上的資料。
8. 如果要啟動還原程序，請執⾏以下操作：
a. 請選擇⼿動指定裝置存取⾦鑰選項。
b. 點擊“接收存取⾦鑰”按鈕，然後將請求存取檔案（副檔名為 FDERTC 的檔案）儲存到電腦記憶體中。
c. 將此請求存取檔案傳送給公司區域網路管理員。
在接收到存取⾦鑰前不要關閉接收裝置存取⾦鑰視窗。當此視窗再次開啟時，您將無法套⽤之前由管理員建立的存取⾦鑰。
d. 接收並儲存由公司區域網路管理員建立並傳送給您的存取檔案（副檔名為 FDERTR 的檔案）（請參⾒以下
說明）。
e. 在“接收裝置存取⾦鑰”視窗中下載存取檔案。
9. 如果要解密裝置，則必須設定其他解密設定：
指定解密區域：
如果您想要解密整個裝置，請選擇解密整個裝置選項。
如果您想要解密裝置上的部分資料，請選取解密裝置中單⼀區域選項，然後指定解密區域邊界。
選擇寫入解密資料的位置：
如果您想要⽤解密資料複寫原始裝置上的資料，請清除“解密⾄磁碟映像檔案”核取⽅塊。
如果您想要將解密資料與原始加密資料分開儲存，請選中“解密⾄磁碟映像檔案”核取⽅塊，然後使⽤“瀏覽”按鈕指定儲存 VHD 檔案的路徑。
10. 單擊“確定”。
裝置解鎖/解密過程將啟動。
如何在管理主控台 (MMC) 中建立加密資料存取檔案614

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄中，選取“附加 → 資料加密與防護 → 加密磁碟機”資料夾。
3. 在⼯作區中選取您想要為其建立存取⾦鑰檔案的加密裝置，然後在裝置的內容功能表中，點擊“在Kaspersky Endpoint Security for Windows 中獲取裝置的存取權限”。
如果您不確定存取請求檔案是為哪台電腦產⽣的，請在管理主控台樹狀⽬錄中選取“附加 → 資料加密與防護”資料夾，然後在⼯作區中點擊“在 Kaspersky Endpoint Security for Windows 中獲取裝置加密⾦鑰”。
4. 在開啟的視窗中，選取要使⽤的加密 演算法：AES256 或 AES56。
資料加密演算法取決於分發套件中包含的 AES 加密庫：強加密 (AES256) 或簡單加密 (AES56)。AES 加密
庫與應⽤程式⼀起安裝。
5. 點擊“瀏覽”開啟視窗；在此視窗中，指定具有從使⽤者收到的 fdertc 副檔名的請求檔案路徑。
6. 點擊“開啟”按鈕。
您將看到有關使⽤者請求的資訊。卡巴斯基安全管理中⼼會產⽣⼀個⾦鑰檔案。透過電⼦郵件將產⽣的加
密資料存取⾦鑰檔案傳送給使⽤者。或儲存該存取檔案並使⽤任何可⽤⽅法來傳輸該檔案。
如何在網⾴主控台中建立加密資料存取檔案

1. 在網⾴主控台的主視窗中，選取“操作 → 資料加密與防護 → 加密磁碟機”。
2. 選中要還原其資料的電腦名稱旁邊的核取⽅塊。
3. 點擊“同意存取離線模式下的裝置”按鈕。
這將啟動⽤於授予裝置存取權限的精靈。
4. 按照精靈的說明授予對裝置的存取權限：
a. 選擇 Kaspersky Endpoint Security for Windows 外掛程式。
b. 選取使⽤中的加密演算法：AES256 或 AES56。
資料加密演算法取決於分發套件中包含的 AES 加密庫：強加密 (AES256) 或簡單加密 (AES56)。AES
加密庫與應⽤程式⼀起安裝。
c. 點擊“選擇檔案”按鈕，然後選取從使⽤者處收到的請求存取檔案（副檔名為 FDERTC 的檔案）。
d. 點擊“儲存⾦鑰”按鈕，然後選取⼀個資料夾來儲存⽤於加密資料的⾦鑰檔案（副檔名為 FDERTR 的檔案）。
結果，您將能夠獲取加密資料存取⾦鑰，您需要將該⾦鑰傳輸給使⽤者。

615

建立作業系統緊急修復光碟當加密硬碟由於某種原因⽽無法存取，因⽽作業系統無法載入時，作業系統救援光碟可能就會很有⽤。
您可以使⽤救援光碟載入 Windows 作業系統的映像，並且使⽤作業系統映像中包括的還原⼯具還原對加密硬碟的存取。

若要建立作業系統救援光碟：
1. 建立加密裝置還原實⽤程式的可執⾏檔。
2. 建立 Windows 預啟動環境的⾃訂映像。在建立 Windows 預啟動環境的⾃訂映像的同時，將還原實⽤⼯具的可執⾏檔新增⾄映像。
3. 將 Windows 預安裝環境的⾃訂映像儲存⾄開機磁碟機，如 CD 或卸除式磁碟機。
有關建立 Windows 預啟動環境的⾃訂映像的說明，請參閱 Microsoft 說明檔案（例如，Microsoft TechNet 資
源 ）。

616

Detection and Response 解決⽅案
Kaspersky Detection and Response 解決⽅案是⽤於偵測進階威脅的安全系統，可指明對不同級別的組織基礎設
施進⾏的攻擊。Detection and Response 解決⽅案提供有關偵測到的威脅的資訊，允許管理 Threat Response 操
作。
因此，Detection and Response 解決⽅案執⾏以下操作：
接收有關電腦、伺服器或其他裝置（遙測）操作的資訊。
⾃動分析資訊以偵測威脅。
產⽣警報詳細資訊作為威脅發展鏈的列，以供分析和選擇 Threat Response 動作。
執⾏ Threat Response 動作（例如，電腦的網路隔離）。
Kaspersky Endpoint Security 使⽤內建代理⽀援 Detection and Response 解決⽅案。內建代理將遙測資料傳送到
解決⽅案的伺服器並執⾏ Threat Response 動作。內建代理⽀援：
Kaspersky Managed Detection and Response (MDR)；
Kaspersky Endpoint Detection and Response Optimum 2.0 (EDR Optimum)；Kaspersky Endpoint Detection and Response Expert (EDR Expert)；
Kaspersky Anti Targeted Attack Platform（Endpoint Detection and Response 元件）；
Kaspersky Sandbox 2.0。
您可以和不同設定的 Detection and Response 解決⽅案使⽤ Kaspersky Endpoint Security，例如 [MDR+EDR
Optimum 2.0+Kaspersky Sandbox 2.0]。

Kaspersky Endpoint Agent
Kaspersky Endpoint Agent ⽀援在應⽤程式與其他卡巴斯基解決⽅案（例如，Kaspersky Sandbox）之間進⾏互動
以偵測進階威脅。卡巴斯基解決⽅案與特定版本的 Kaspersky Endpoint Agent 相容。
若要將 Kaspersky Endpoint Agent 作為 Kaspersky 解決⽅案的⼀部分使⽤，您必須⽤相應的產品授權⾦鑰啟動那些解決⽅案。
有關您所使⽤的軟體解決⽅案中包含的 Kaspersky Endpoint Agent 的完整資訊，以及有關獨立解決⽅案的完整資
訊，請參閱相關產品的說明指南：
Kaspersky Anti Targeted Attack Platform 說明
Kaspersky Sandbox 說明
Kaspersky Endpoint Detection and Response Optimum 說明
Kaspersky Managed Detection and Response 說明

617

Kaspersky Endpoint Security 版本 11.2.0 – 11.8.0 的分發套件包括 Kaspersky Endpoint Agent。您可以在安裝Kaspersky Endpoint Security for Windows 時選擇分發套件 Kaspersky Endpoint Agent。因此，您的電腦上將安裝
兩個應⽤程式：KEA 和 KES。在 Kaspersky Endpoint Security 11.9.0 中，Kaspersky Endpoint Agent 分發套件不再是 Kaspersky Endpoint Security 分發套件的⼀部分。
KEA 版本（作為 KES 的⼀部分）與 KES 版本的對應關係

Kaspersky Endpoint Security for Windows

Kaspersky Endpoint Agent

11.8.03.11.0.216.mr1

11.7.03.11

11.6.03.10

11.5.03.9

11.4.03.9

11.3.03.9

11.2.03.9

卡巴斯基正在將所有 Detection and Response 切換為使⽤ Kaspersky Endpoint Security 內建代理，⽽不是Kaspersky Endpoint Agent。卡巴斯基正在逐步增加對這些解決⽅案的⽀援並逐步淘汰 Kaspersky Endpoint
Agent（⾒下表）。從版本 12.1 開始，該應⽤程式⽀援所有 Detection and Response 解決⽅案。此外，從 12.1 版本
開始，該應⽤程式不再與 Kaspersky Endpoint Agent 相容，並且不再可能在同⼀台電腦上同時安裝這兩個應⽤程式。
佈署內建代理來管理 Detection and Response 解決⽅案

Kaspersky
Endpoint
Security
的版本

Kaspersky
ManagedDetection andResponse

Kaspersky
SandboxKaspersky
Endpoint
Detection andResponse
Optimum

Kaspersky
Endpoint
Detection andResponse
ExpertKaspersky Anti Targeted
AttackPlatform（Endpoint
Detection and Response
元件）

11.5.0Kaspersky
Endpoint
Agent

Kaspersky
Endpoint
Agent

Kaspersky
Endpoint Agent

Kaspersky
Endpoint Agent

Kaspersky Endpoint
Agent

11.6.0內建代理

Kaspersky
Endpoint
Agent

Kaspersky
Endpoint Agent

Kaspersky
Endpoint Agent

Kaspersky Endpoint
Agent

11.7.0

內建代理

內建代理

內建代理

Kaspersky
Endpoint Agent

Kaspersky Endpoint
Agent

11.8.0

內建代理

內建代理

內建代理

內建代理

Kaspersky Endpoint
Agent

11.9.0

內建代理

內建代理

內建代理

內建代理

Kaspersky Endpoint
Agent

11.10.0

內建代理

內建代理

內建代理

內建代理

Kaspersky Endpoint
Agent

11.11.0

內建代理

內建代理

內建代理

內建代理

Kaspersky Endpoint
Agent

12

內建代理

內建代理

內建代理

內建代理

Kaspersky Endpoint
Agent

12.1 及更⾼
版本

內建代理

內建代理

內建代理

內建代理

內建代理

618

將 [KES+KEA] 配置遷移到 [KES+內建代理] 配置
Kaspersky Endpoint Security 包括可處理 Detection and Response 解決⽅案的內建代理。您再也無需分開
Kaspersky Endpoint Agent 應⽤程式來使⽤這些解決⽅案。當您在安裝了 Kaspersky Endpoint Agent 的電腦上部
署 Kaspersky Endpoint Security 時，Detection and Response 解決⽅案將繼續與 Kaspersky Endpoint Security ⼀起⼯作。此外，Kaspersky Endpoint Agent 將被從電腦移除。
Kaspersky Endpoint Security 版本 11.2.0 – 11.8.0 的分發套件包括 Kaspersky Endpoint Agent。您可以在安裝Kaspersky Endpoint Security for Windows 時選擇分發套件 Kaspersky Endpoint Agent。因此，您的電腦上將安裝兩個應⽤程式：KEA 和 KES。在 Kaspersky Endpoint Security 11.9.0 中，Kaspersky Endpoint Agent 分發
套件不再是 Kaspersky Endpoint Security 分發套件的⼀部分。
將 [KES+KEA] 配置遷移到 [KES+內建代理] 包含以下步驟：1

升級卡巴斯基安全管理中⼼將所有卡巴斯基安全管理中⼼元件升級到版本 13.2 或更⾼版本，包括使⽤者電腦和網⾴主控台上的網路代理。

2升級 Kaspersky Endpoint Security 網⾴外掛程式
在卡巴斯基安全管理中⼼網⾴主控台中，升級 Kaspersky Endpoint Security 網⾴外掛程式到版本 11.7.0 或更⾼版本。若要管理 EDR Optimum and Kaspersky Sandbox 元件，您必須使⽤網⾴主控台。
要使⽤ Kaspersky Anti Targeted Attack Platform (EDR)，您需要⼀個適⽤於 Kaspersky Endpoint Security 12.1 或更⾼版本的 Web 外掛程式。

3

遷移政策和⼯作使⽤ Kaspersky Endpoint Agent 政策和⼯作遷移精靈將 Kaspersky Endpoint Agent 設定遷移到 Kaspersky
Endpoint Security for Windows。
這將建立⼀個新的 Kaspersky Endpoint Security 政策。新政策的狀態為“非作⽤中”。若要套⽤政策，請開啟政
策內容，接受卡巴斯基安全網路聲明，然後將狀態設定為“作⽤中”。

4產品授權功能如果您使⽤ Kaspersky Endpoint Detection and Response Optimum 或 Kaspersky Optimum Security 產品授權來啟動 Kaspersky Endpoint Security for Windows 和 Kaspersky Endpoint Agent，EDR Optimum 功能將在升級應⽤程式到版本 11.7.0 後⾃動啟動。您不需要做任何其它事情。
如果使⽤獨立 Kaspersky Endpoint Detection and Response Optimum 附加元件產品授權啟動 EDR Optimum 功
能，您必須確保 EDR Optimum ⾦鑰已新增到卡巴斯基安全管理中⼼存放庫且產品授權⾦鑰⾃動分發功能已啟⽤。升級應⽤程式到版本 11.7.0 後，EDR Optimum 功能將被⾃動啟動。
如果使⽤ Kaspersky Endpoint Detection and Response Optimum 或 Kaspersky Optimum Security 產品授權啟動
Kaspersky Endpoint Agent，使⽤其他產品授權啟動 Kaspersky Endpoint Security for Windows，您必須將
Kaspersky Endpoint Security for Windows ⾦鑰替換為普通的 Kaspersky Endpoint Detection and Response
Optimum ⾦鑰或 Kaspersky Optimum Security ⾦鑰。您可以使⽤“新增⾦鑰”⼯作取代⾦鑰。
您不需要啟動 Kaspersky Sandbox 功能。升級和啟動 Kaspersky Endpoint Security for Windows 後，Kaspersky
Sandbox 功能將立即可⽤。
只有 Kaspersky Anti Targeted Attack Platform 產品授權可⽤於啟動作為 Kaspersky Anti Targeted Attack
Platform 解決⽅案⼀部分的 Kaspersky Endpoint Security 。升級應⽤程式到版本 12.1 後，EDR (KATA) 功能將被
⾃動啟動。您不需要做任何其它事情。

5

升級 Kaspersky Endpoint Security 應⽤程式619

升級和遷移 EDR Optimum 和 Kaspersky Sandbox 功能建議使⽤遠端安裝⼯作。
若要使⽤遠端安裝⼯作升級應⽤程式，您必須編輯以下設定：
在安裝套件的設定中選擇適⽤於 Detection and Response 解決⽅案的元件。
在安裝套件的設定中排除 Kaspersky Endpoint Agent 元件（適⽤於 Kaspersky Endpoint Security for
Windows 版本 11.2.0 – 11.8.0）。
您還可以使⽤以下⽅法升級應⽤程式：
使⽤ Kaspersky 更新服務（無縫更新 - SMU）。
本機使⽤安裝精靈。
當在安裝了 Kaspersky Endpoint Agent 的電腦上升級應⽤程式時，Kaspersky Endpoint Security ⽀援⾃動選擇元件。⾃動選擇元件取決於升級應⽤程式的使⽤者帳⼾的權限。
如果在系統帳⼾ (SYSTEM) 下使⽤ EXE 或 MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint
Security 將獲得對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。因此，如果電腦安裝了 Kaspersky
Endpoint Agent 且啟動了 EDR Optimum 解決⽅案，Kaspersky Endpoint Security 安裝程式將⾃動配置元件集合並選擇 EDR Optimum 元件。這將使得 Kaspersky Endpoint Security 切換到使⽤內建代理並刪除 Kaspersky
Endpoint Agent。在系統帳⼾ (SYSTEM) 下執⾏ MSI 安裝程式通常在透過 Kaspersky 更新服務 (SMU) 升級或透過卡巴斯基安全管理中⼼部署安裝套件時進⾏。
如果在沒有權限的帳⼾下使⽤ MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint Security 將缺少對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。在此情況下，Kaspersky Endpoint Security 將基於
Kaspersky Endpoint Agent 配置⾃動選擇元件。此後，Kaspersky Endpoint Security 將切換到使⽤內建代理並刪
除 Kaspersky Endpoint Agent。
6電腦重新啟動重新啟動電腦以完成⽤內建代理升級應⽤程式。升級應⽤程式時，安裝程式會在重新啟動電腦前移除Kaspersky Endpoint Agent。重新啟動電腦後，安裝程式會新增內建代理。這意味著只有在重新啟動電腦後
Kaspersky Endpoint Security 才會執⾏ EDR and Kaspersky Sandbox 的功能。

7

檢查 Kaspersky Endpoint Detection and Response Optimum 和 Kaspersky Sandbox 的健康
如果升級後電腦在卡巴斯基安全管理中⼼中具有“緊急”狀態：請確保電腦安裝了網路代理 13.2或更⾼版本。
透過檢視”應⽤程式元件狀態報告”來檢查內建代理的運⾏狀態。如果元件的狀態為”未安裝”，請使⽤變更程式元件⼯作來安裝元件。
請確保在 Kaspersky Endpoint Security for Windows 的新政策中接受卡巴斯基安全網路聲明。
請確保 EDR Optimum 功能已使⽤應⽤程式元件狀態報告啟動。如果元件的狀態為“產品授權不⽀援”，請確
保EDR Optimum 的產品授權⾦鑰⾃動分發功能已開啟。

Kaspersky Endpoint Agent 的政策和⼯作遷移從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包含從 Kaspersky Endpoint Agent 遷移到 Kaspersky
Endpoint Security 的精靈。您可以遷移以下解決⽅案的政策和⼯作設定：
Kaspersky Sandbox
620

Kaspersky Endpoint Detection and Response Optimum (EDR Optimum)
Kaspersky Anti Targeted Attack Platform (EDR)
從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security 的精靈僅適⽤於網⾴主控台和 Cloud
Console。在管理主控台 (MMC) 中，您只能使⽤標準卡巴斯基安全管理中⼼政策和⼯作移轉精靈遷移 Kaspersky
Anti Targeted Attack Platform (EDR) 解決⽅案的設定。
建議先在單個電腦上將 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security，然後在⼀組電腦上執⾏，然後在組織的所有電腦上完成遷移。

要將政策和⼯作設定從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security，
在網⾴主控台的主視窗中，選擇“操作 → 從 Kaspersky Endpoint Agent 遷移”。
這會執⾏政策和⼯作設定遷移精靈。按照精靈的說明進⾏操作。

步驟 1. 政策遷移遷移精靈會建立⼀個新政策，將 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 政策的設定合併。在政策清單中，選擇您想將其設定與 Kaspersky Endpoint Security 政策合併的 Kaspersky Endpoint Agent 政策。點
擊 Kaspersky Endpoint Agent 政策選擇您想與其合併設定的 Kaspersky Endpoint Security。確保選擇了正確的政策然後前往下⼀步。

步驟 2. ⼯作遷移遷移精靈將為 Kaspersky Endpoint Security 建立新⼯作。在⼯作清單中，選擇您想為其設定 Kaspersky Endpoint
Security 政策的 Kaspersky Endpoint Agent ⼯作。精靈⽀援 Kaspersky Endpoint Detection and Response 和
Kaspersky Sandbox 的⼯作。前往下⼀步。

步驟 3. 精靈完成結束精靈。結果，精靈將執⾏以下操作：
建立⼀個新的 Kaspersky Endpoint Security 政策。
政策將合併 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 的設定。政策稱為 <Kaspersky
Endpoint Security 政策名稱> & <Kaspersky Endpoint Agent 政策名稱>。新政策的狀態為“非作⽤中”。若要繼續，將 Kaspersky Endpoint Agent 和 Kaspersky Endpoint Security 政策的狀態變更為“非作⽤中”然後啟動新合併的政策。
從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security for Windows 後，請確保新政策已設定將資料傳輸到管理伺服器的功能（隔離檔案資料和威脅發展鏈資料）。資料傳輸參數值不會從 Kaspersky
Endpoint Agent 政策遷移。
從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security 以⽤於 Kaspersky Anti Targeted Attack
Platform (EDR) 解決⽅案時，您在將電腦連線到中央節點伺服器時可能會遇到錯誤。原因是 Web 主控台中的遷移精靈略過了以下政策設定並且不遷移它們：
設定修改禁⽌ KATA 伺服器連線設定 （“鎖”）。
621

預設情況下，設定可以被修改（“鎖”是開啟的）。因此，設定不會套⽤到電腦上。您必須禁⽌修改設定並關閉“鎖”。
加密容器。
如果您使⽤雙向⾝分驗證連線到中央節點伺服器，則必須重新新增加密容器。遷移精靈正確遷移了伺服器
的 TLS 憑證。
管理主控台 (MMC) 中的政策和⼯作遷移精靈可遷移 Kaspersky Anti Targeted Attack Platform (EDR) 解決⽅案
的所有設定。
建立新的 Kaspersky Endpoint Security ⼯作。
新⼯作是 Kaspersky Endpoint Detection and Response 和 Kaspersky Sandbox 的 Kaspersky Endpoint Agent ⼯
作的副本。同時，精靈不會變更 Kaspersky Endpoint Agent ⼯作。

1. 在管理主控台中，選擇管理伺服器並按滑鼠右鍵開啟上下文功能表。
2. 選擇所有⼯作 → 政策和⼯作批量轉換精靈。
政策和⼯作批量轉換精靈將啟動。按照精靈的說明進⾏操作。

步驟 1. 選擇需要為其轉換政策和⼯作的應⽤程式
在此步驟，您需要選擇 Kaspersky Endpoint Security for Windows。前往下⼀步。

步驟 2. 轉換政策
移轉精靈會建立新的 Kaspersky Endpoint Security 政策，Kaspersky Endpoint Agent 政策設定將遷移到該政策中。在政策清單中，選擇您想將其設定轉移⾄ Kaspersky Endpoint Security 政策的 Kaspersky Endpoint
Agent 政策。前往下⼀步。
遷移精靈將開始轉換政策。在政策轉換期間，移轉精靈會提⽰您接受卡巴斯基安全網路聲明。新政策將被命
名為 <政策名稱>（已轉換）。

步驟 3. 轉換⼯作略過此步驟。精靈僅⽀援 Kaspersky Endpoint Detection and Response Optimum 和 Kaspersky Sandbox 的⼯
作。這些元件的管理僅在網⾴主控台中可⽤。前往下⼀步。

步驟 4. 精靈完成結束精靈。作為精靈的結果，將建立新的 Kaspersky Endpoint Security 政策。

Managed Detection and Response622從版本 11.6.0 開始，Kaspersky Endpoint Security for Windows 包括⽤於 Managed Detection andResponse 應解決⽅案的內置代理。Kaspersky Managed Detection and Response (MDR) 解決⽅案可
⾃動偵測和分析您的基礎架構中的安全事件。為此，MDR 會使⽤從端點和機學習收到的遙測資料。MDR 會將事件資料傳送給卡巴斯基專家。專家然後可以處理事件，並且，例如，新增新項⽬
⾄病毒資料庫。或者，專家可以簽發事件處理建議，並且，例如，建議從網路中隔離電腦。如欲瞭
解該解決⽅案如何⼯作的詳細資訊，請參閱 Kaspersky Managed Detection and Response 說明 。

對以前版本的 Kaspersky Endpoint Security 的⽀援
Kaspersky Endpoint Security 版本11和更⾼版本⽀援 MDR 解決⽅案。Kaspersky Endpoint Security 版本 11 – 11.5.0
僅傳送遙測資料到 Kaspersky Managed Detection and Response 以啟⽤威脅偵測。Kaspersky Endpoint Security
版本 11.6.0 有內建代理 (Kaspersky Endpoint Agent) 的所有功能。
如果您使⽤的是 Kaspersky Endpoint Security 11 – 11.5.0，則必須將資料庫更新到最新版本才能使⽤ MDR 解決⽅案。您還必須安裝 Kaspersky Endpoint Agent。
如果您正在使⽤ Kaspersky Endpoint Security 11.6.0 或者更⾼版本，則不需要安裝 Kaspersky Endpoint Agent 以使⽤ MDR 解決⽅案。
如果 Kaspersky Endpoint Security 政策也套⽤到沒有安裝 Kaspersky Endpoint Security 11 – 11.5.0 的電腦，則您必須為這些電腦單獨建立 Kaspersky Endpoint Agent 政策。在新政策中，設定與 Kaspersky Managed
Detection and Response 的整合。

與 MDR 整合
要設定與 Kaspersky Managed Detection and Response 的整合，您必須啟⽤ Managed Detection and Response 元
件並配置 Kaspersky Endpoint Security。
您必須啟⽤延伸以下元件才能使 Managed Detection and Response 正常⼯作：卡巴斯基安全網路（延伸模式）。
⾏為偵測。
必須啟⽤這些元件。否則，因為沒有收到所需的遙測資料，Kaspersky Managed Detection and Response 將無法
⼯作。
此外，Kaspersky Managed Detection and Response 使⽤從其他應⽤程式元件收到的資料。可選擇啟⽤這些元件。提供其他資料的元件包括：Web 威脅防護。
郵件威脅防護。
防火牆。
若要透過卡巴斯基安全管理中⼼網⾴主控台讓 Kaspersky Managed Detection and Response 和管理伺服器⼀起⼯
作，您必須也建立⼀個新的安全連線，⼀個背景連線。Kaspersky Managed Detection and Response 提⽰您在部
署解決⽅案時建立⼀個背景連線。確保背景連線已建立。
在網⾴主控台中建立⼀個背景連線
623

1. 在網⾴主控台的主視窗中，選取“主控台設定”→“整合”。
2. 轉到“整合”區域。
3. 開啟“為整合建立背景連線”切換開關。
4. 儲存變更。
與 Kaspersky Managed Detection and Response 整合包括以下步驟：1

配置卡巴斯基私有安全網路
如果您使⽤的是卡巴斯基安全管理中⼼雲端主控台，略過這⼀步。卡巴斯基安全管理中⼼雲端主控台會在安裝 MDR 外挂程式時⾃動配置卡巴斯基私有安全網路。

卡巴斯基安全網路 (KSN) 是讓承載 Kaspersky Endpoint Security 或其他 Kaspersky 應⽤程式的電腦的使⽤者獲得卡巴斯基信譽資料庫以及其他統計資料的存取權限的解決⽅案，無需從他們⾃⼰的電腦向卡巴斯基傳送資料。

在管理伺服器屬性中上傳卡巴斯基安全網路設定檔。卡巴斯基安全網路設定檔位於 MDR 設定檔的 ZIP 存檔中。
您可以在 Kaspersky Managed Detection and Response 主控台中獲取 ZIP 存檔。有關配置卡巴斯基私有安全網
路的詳細資訊，請參閱 卡巴斯基安全管理中⼼說明 。您也可以從命令⾏將卡巴斯基安全網路設定檔上傳到電腦（請參閱以下說明）。
如何從命令⾏配置卡巴斯基私有安全網路

1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
3. 執⾏以下指令：
avp.com KSN /私有 <檔案名稱>
其中<檔案名稱>是包含私有卡巴斯基私有安全網路設定（PKCS7 或 PEM 檔案格式）的設定檔的名稱。
範例:
avp.com KSN /private C:\kpsn_config.pkcs7

結果，Kaspersky Endpoint Security 將使⽤私有卡巴斯基私有安全網路來確定檔案、應⽤程式和網站的信譽。
政策設定的卡巴斯基安全網路部分將顯⽰以下運⾏狀態：基礎結構: 卡巴斯基私有安全網路。
您必須啟⽤延伸 KSN 模式才能使 Managed Detection and Response 正常⼯作。

2

啟⽤ Managed Detection and Response 元件
在 Kaspersky Endpoint Security 政策中加載 BLOB 設定檔（請參閱以下說明）。BLOB 檔案包含⽤⼾端 ID 以及有關卡巴斯基 Managed Detection and Response 產品許可的資訊。BLOB 檔案位於 MDR 設定檔的 ZIP 存檔中。
您可以在 Kaspersky Managed Detection and Response 主控台中獲取 ZIP 存檔。有關 BLOB 檔案的詳細資訊，
請參閱 Kaspersky Managed Detection and Response 說明 。
如何在管理主控台 (MMC) 中啟⽤ Managed Detection and Response 元件
624

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“Detection and Response → Managed Detection and Response”。
5. 選擇“Managed Detection and Response”核取⽅塊。
6. 在“設定“塊中，點擊“上傳”，然後選擇在 Kaspersky Managed Detection and Response Console 中接收到的 BLOB 檔案。該檔案具有 P7 副檔名。
7. 儲存變更。
如何在網⾴主控台和雲端主控台中啟⽤ Managed Detection and Response 元件

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Managed Detection and Response”。
5. 開啟“Managed Detection and Response“開關。
6. 點擊“上傳”，然後選擇在 Kaspersky Managed Detection and Response 主控台中獲取的 BLOB 檔
案。該檔案具有 P7 副檔名。
7. 儲存變更。
如何從命令⾏啟⽤ Managed Detection and Response 元件

1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
3. 執⾏以下指令：
avp.com MDRLICENSE /ADD <檔案名稱> /login=<使⽤者名稱> /password=<密碼>
要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“配置應⽤程式設定”權限。

結果，Kaspersky Endpoint Security 將驗證 BLOB 檔案。BLOB 檔案驗證包括檢查數位簽章和產品授權期限。
如果 BLOB 檔案驗證成功，在與卡巴斯基安全管理中⼼進⾏下⼀次同步時，Kaspersky Endpoint Security 將上傳該檔案並將其傳送到電腦。透過檢視”應⽤程式元件狀態報告”來檢查元件的運⾏狀態。您還可以在 Kaspersky
Endpoint Security 的本地介⾯中的報告中檢視元件的運⾏狀態。“Managed Detection and Response”元件將新增到 Kaspersky Endpoint Security 元件清單中。
625

MDR 的 KEA 到 KES 遷移指南從版本 11.6.0 開始，Kaspersky Endpoint Security for Windows 包括⽤於 Kaspersky Managed Detection andResponse 應解決⽅案的內置代理。您再也無需分開 Kaspersky Endpoint Agent 應⽤程式來使⽤ MDR。Kaspersky
Endpoint Agent 的所有功能將由 Kaspersky Endpoint Security 執⾏。
當您在安裝了 Kaspersky Endpoint Agent 的電腦上部署 Kaspersky Endpoint Security 時，Kaspersky Managed
Detection and Response 解決⽅案將繼續與 Kaspersky Endpoint Security ⼀起⼯作。此外，Kaspersky Endpoint
Agent 將被從電腦移除。當您將 Kaspersky Endpoint Security 更新到版本 11.6.0 或更⾼版本時，系統中會發⽣相同的⾏為。
Kaspersky Endpoint Security 與 Kaspersky Endpoint Agent 不相容。您不能在同⼀台電腦上同時安裝這些應
⽤程式。
Kaspersky Endpoint Security 必須滿⾜以下條件才能作為 Kaspersky Managed Detection and Response 的⼀部分
⼯作：卡巴斯基安全管理中⼼版本 13.2 或更⾼版本（包括網路代理）。在早期版本的卡巴斯基安全管理中⼼中，無法啟動 Managed Detection and Response 功能。
已建立在卡巴斯基安全管理中⼼網⾴主控台和管理伺服器之間的背景連線。若要透過卡巴斯基安全管理中⼼網⾴主控台讓 MDR 和管理伺服器⼀起⼯作，您必須建立⼀個新的安全連線，⼀個背景連線。

將 [KES+KEA] 配置遷移到 [KES+built-in agent] for MDR 的步驟
1

升級 Kaspersky Endpoint Security 管理外掛程式
MDR 元件可以使⽤ Kaspersky Endpoint Security 管理外掛程式版本 11.6 或更⾼版本進⾏管理。根據您使⽤的卡
巴斯基安全管理中⼼主控台類型，更新管理主控台 (MMC) 中的管理外掛程式或網⾴主控台中的 Web 外掛程式。

2

遷移政策和⼯作將 Kaspersky Endpoint Agent 設定傳輸到 Kaspersky Endpoint Security for Windows。下列選項可⽤：
⽤於從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security 的精靈。從 Kaspersky Endpoint
Agent 遷移到 Kaspersky Endpoint Security 的精靈僅適⽤於網⾴主控台
如何將政策和⼯作設定從 Kaspersky Endpoint Agent 遷移到網⾴主控台中的 Kaspersky Endpoint Security626

在網⾴主控台的主視窗中，選擇“操作 → 從 Kaspersky Endpoint Agent 遷移”。
這會執⾏政策和⼯作遷移精靈。按照精靈的說明進⾏操作。

步驟 1. 政策遷移遷移精靈會建立⼀個新政策，將 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 政策的設定合併。在政策清單中，選擇您想將其設定與 Kaspersky Endpoint Security 政策合併的
Kaspersky Endpoint Agent 政策。點擊 Kaspersky Endpoint Agent 政策以選擇您想與其合併設定的
Kaspersky Endpoint Security 政策。確保選擇了正確的政策然後前往下⼀步。

步驟 2. ⼯作遷移遷移精靈不⽀援 MDR ⼯作。略過此步驟。

步驟 3. 精靈完成結束精靈。作為精靈的結果，將建立新的 Kaspersky Endpoint Security 政策。政策將合併
Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 的設定。政策稱為 <Kaspersky Endpoint
Security 政策名稱> & <Kaspersky Endpoint Agent 政策名稱>。新政策的狀態為“非作⽤中”。若要繼續，將 Kaspersky Endpoint Agent 和 Kaspersky Endpoint Security 政策的狀態變更為“非作⽤中”然後啟動新合併的政策。
標準政策和⼯作批量轉換精靈。政策和⼯作批量轉換精靈僅在管理主控台 (MMC) 中可⽤。有關政策和⼯作批量轉換精靈的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
3授權 MDR 功能
要將 Kaspersky Endpoint Security 作為 Kaspersky Managed Detection and Response 解決⽅案的⼀部分啟動，您需要單獨的 Kaspersky Managed Detection and Response 附加產品授權。您可以使⽤“新增⾦鑰”⼯作新增⾦鑰。結果，兩個⾦鑰將被新增到應⽤程式：Kaspersky Endpoint Security 和 Kaspersky Managed Detection andResponse。

4

安裝/升級 Kaspersky Endpoint Security 應⽤程式
要在應⽤程式安裝或升級期間遷移 MDR 功能，建議使⽤遠端安裝⼯作。建立遠端安裝⼯作時，您需要在安裝套件設定中選擇 MDR 元件。
您還可以使⽤以下⽅法升級應⽤程式：
使⽤ Kaspersky 更新服務。
本機使⽤安裝精靈。
當在安裝了 Kaspersky Endpoint Agent 的電腦上升級應⽤程式時，Kaspersky Endpoint Security ⽀援⾃動選擇元件。⾃動選擇元件取決於升級應⽤程式的使⽤者帳⼾的權限。
如果在系統帳⼾ (SYSTEM) 下使⽤ EXE 或 MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint
Security 將獲得對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。因此，如果電腦安裝了 Kaspersky
Endpoint Agent 且啟動了 MDR 解決⽅案，Kaspersky Endpoint Security 安裝程式將⾃動配置元件集合並選擇
MDR 元件。這將使得 Kaspersky Endpoint Security 切換到使⽤內建代理並刪除 Kaspersky Endpoint Agent。在系統帳⼾ (SYSTEM) 下執⾏ MSI 安裝程式通常在透過 Kaspersky 更新服務升級或透過卡巴斯基安全管理中⼼部
署安裝套件時進⾏。

627

如果在沒有權限的帳⼾下使⽤ MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint Security 將缺少對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。在這種情況下，Kaspersky Endpoint Security 會根據
Kaspersky Endpoint Agent 的⼀組元件⾃動選擇元件。此後，Kaspersky Endpoint Security 將切換到使⽤內建代
理並刪除 Kaspersky Endpoint Agent。
Kaspersky Endpoint Security ⽀援在不重啟電腦的情況下升級。您可以選擇政策屬性中的應⽤程式升級模式。

5檢查應⽤程式運⾏情況
如果安裝或升級後應⽤程式後電腦在卡巴斯基安全管理中⼼主控台中具有“緊急”狀態：請確保電腦安裝了網路代理 13.2或更⾼版本。
透過檢視”應⽤程式元件狀態報告”來檢查內建代理的運⾏狀態。如果元件的狀態為”未安裝”，請使⽤變更程式元件⼯作來安裝元件。如果⼀個元件的狀態為 產品授權不⽀援，確保您已啟動內建代理功能。
請確保在 Kaspersky Endpoint Security for Windows 的新政策中接受卡巴斯基安全網路聲明。

Endpoint Detection and Response從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包括 Kaspersky Endpoint Detection
and Response Optimum 解決⽅案（以下也稱為 “EDR Optimum”）的內建代理。從版本 11.8.0 開始，Kaspersky Endpoint Security for Windows 包括 Kaspersky Endpoint Detection and Response 解決
⽅案（以下也稱為 “EDR Expert”）的內建代理。Kaspersky Endpoint Detection and Response 是⽤
於防護組織的 IT 基礎架構抵禦進階網路威脅的⼀系列解決⽅案。解決⽅案的功能結合了⾃動偵測威脅和回應這些威脅的能⼒，以抵消包括新漏洞、勒索軟體、無檔案攻擊以及使⽤合法系統⼯具的⽅法。EDR Expert 比 EDR Optimum 提供更多的威脅監控和回應功能。有關解決⽅案的詳細資訊，
請參閱 Kaspersky Endpoint Detection and Response Optimum 說明 與 Kaspersky Endpoint
Detection and Response Expert 說明 。

威脅情報⼯具Kaspersky Endpoint Detection and Response 使⽤以下威脅情報⼯具：
卡巴斯基安全網路（以下也稱為 "KSN"）雲端服務基礎架構，提供對即時檔案、網站、和來⾃卡巴斯基知識庫的軟體信譽資訊的存取。使⽤卡巴斯基安全網路的資料可確保 Kaspersky Endpoint Security 能夠更快地對威脅
作出回應，提⾼⼀些防護元件的效能，並減少誤報風險。EDR Expert 使⽤卡巴斯基私有安全網路 (KPSN) 解決
⽅案，它會在不將裝置的資料傳送給 KSN 的情況下將資料傳送給區域伺服器。
與 Kaspersky Threat Intelligence Portal

資訊系統的整合，包含和顯⽰有關檔案和網址信譽的資訊。

Kaspersky 威脅 資料庫。
Cloud Sandbox 技術，可讓您在隔離環境中執⾏偵測的檔案並檢查其聲譽。

解決⽅案的⼯作原理

628

Kaspersky Endpoint Detection and Response 會審查和分析威脅發展並向安全⼈員或者管理員提供有關需要作出
及時回應的潛在攻擊的資訊。Kaspersky Endpoint Detection and Response 會在單獨視窗中顯⽰偵測詳情。偵測詳情是⼀款⽤來檢視有關被偵測的威脅的整個收集資訊的⼯具。偵測詳情包括，例如，出現在電腦上的檔案的歷史。有關偵測詳情的詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明 與
Kaspersky Endpoint Detection and Response Expert 說明 。

對以前版本的 Kaspersky Endpoint Security 的⽀援
如果您使⽤ Kaspersky Endpoint Security 11.2.0–11.6.0 與 Kaspersky Endpoint Detection and Response Optimum 進
⾏交互操作，應⽤程式將包括 Kaspersky Endpoint Agent。您可以在安裝 Kaspersky Endpoint Security 的過程中安裝 Kaspersky Endpoint Agent。在 Kaspersky Endpoint Security 11.9.0 中，Kaspersky Endpoint Agent 分發套件不再是 Kaspersky Endpoint Security 分發套件的⼀部分。
Kaspersky Endpoint Detection and Response Expert 解決⽅案不⽀援與 Kaspersky Endpoint Agent 的交互操
作性。Kaspersky Endpoint Detection and Response Expert 解決⽅案⽤內建代理（版本 11.8.0 和以後的版本）
使⽤ Kaspersky Endpoint Security。

與 Kaspersky Endpoint Detection and Response 整合
若要與 Kaspersky Endpoint Detection and Response 進⾏整合，您必須新增 Endpoint Detection and Response
Optimum (EDR Optimum) 元件或者 Endpoint Detection and Response Expert (EDR Expert) 元件，並設定
Kaspersky Endpoint Security。
EDR Optimum、EDR Expert 和 EDR (KATA) 元件彼此不相容。
Endpoint Detection and Response 要⼯作必須滿⾜以下條件：
卡巴斯基安全管理中⼼版本 13.2 或更⾼版本。在早期版本的卡巴斯基安全管理中⼼中，無法啟動 Endpoint
Detection and Response 功能。
EDR Optimum 元件作為 Kaspersky Endpoint Security 的⼀部分⽀援與 Kaspersky Endpoint Detection andResponse Optimum 2.0 解決⽅案的交互。不⽀援與 Kaspersky Endpoint Detection and Response Optimum
version 1.0 的交互。
EDR Optimum 可在卡巴斯基安全管理中⼼網⾴主控台或卡巴斯基安全管理中⼼雲端主控台中進⾏管理。
EDR Expert 功能只可以使⽤卡巴斯基安全管理中⼼雲端主控台進⾏管理。您不能使⽤管理主控台 (MMC) 管理
此功能。
應⽤程式被啟動，功能受產品授權覆蓋。
Endpoint Detection and Response 元件已開啟。
Endpoint Detection and Response 依靠的應⽤程式元件已啟⽤且可操作。Endpoint Detection and Response
依靠以下元件：
檔案威脅防護。
Web 威脅防護。
郵件威脅防護。
629

弱點利⽤防禦。
⾏為偵測。
主機入侵防禦。
修復引擎。
適應性異常控制。
與 Kaspersky Endpoint Detection and Response 涉及以下步驟：1

安裝 Endpoint Detection and Response 元件
您可以在安裝或者更新期間以及使⽤變更程式元件⼯作時選擇 EDR Optimum 或 EDR Expert 元件。
您必須重新啟動電腦以完成升級含新元件的應⽤程式。

2

啟動 Kaspersky Endpoint Detection and Response
您可以⽤以下⽅式之⼀獲取使⽤ Kaspersky Endpoint Detection and Response 的產品授權：Endpoint Detection and Response 功能包括在 Kaspersky Endpoint Security for Windows 產品授權中。
該功能將在啟動 Kaspersky Endpoint Security for Windows 後立即可⽤。
單獨購買 EDR Optimum 或 EDR Expert（Kaspersky Endpoint Detection and Response 附加元件）的產品授權。
該功能將在您為 Kaspersky Endpoint Detection and Response 單獨新增⾦鑰後可⽤。因此，電腦上將安裝有兩個⾦鑰：⼀個⾦鑰⽤於 Kaspersky Endpoint Security，⼀個⾦鑰⽤於 Kaspersky Endpoint Detection andResponse。
獨立 Endpoint Detection and Response 功能的授權和 Kaspersky Endpoint Security 的授權⼀樣。
確保 EDR Optimum 或 EDR Expert 功能包括在產品授權中且在應⽤程式的本機介⾯中執⾏。

3

啟⽤ Endpoint Detection and Response 元件
您可以在 Kaspersky Endpoint Security for Windows 政策設定中啟⽤或者停⽤該元件。
如何在網⾴主控台和雲端主控台中啟⽤或停⽤ Endpoint Detection and Response 元件

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response”。
5. 開啟“Endpoint Detection and Response“開關。
6. 儲存變更。

630

Kaspersky Endpoint Detection and Response 元件已啟⽤。透過檢視”應⽤程式元件狀態報告”來檢查元件的運⾏
狀態。您還可以在 Kaspersky Endpoint Security 的本地介⾯中的報告中檢視元件的運⾏狀態。“Endpoint
Detection and Response Optimum”或”Endpoint Detection and Response Expert”元件已新增到 Kaspersky
Endpoint Security 元件清單中。
4

啟⽤到管理伺服器的資料傳輸
若要啟⽤所有 Endpoint Detection and Response 功能，必須為以下類型的資料啟⽤傳輸：隔離檔案資料。
透過網⾴主控台和雲端主控台獲取電腦上的隔離檔案資訊需要該資料。例如，您可以從隔離區下載檔案⽤
於在網⾴主控台和雲端主控台中分析。
威脅發展鏈資料。
在網⾴主控台和雲端主控台中獲取電腦上偵測到的威脅資訊需要該資料。您可以在網⾴主控台和雲端主控台中檢視偵測詳細資訊並採取回應動作。
如何在網⾴主控台和雲端主控台中啟⽤資料傳輸到管理伺服器

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”報告和儲存”。
5. 請勾選”到管理伺服器的資料傳輸”塊中的以下⽅塊：關於隔離檔案關於威脅發展鏈條
6. 儲存變更。

掃描洩露指⽰器（標準⼯作）洩露指⽰器 (IOC)是⼀個物件或者活動的資料集合，表明對電腦的未經授權存取（資料洩露）。例如，許多登入
系統的不成功嘗試可以構成⼀個洩露指⽰器。“IOC 掃描”⼯作可發現電腦上的洩露指⽰器並採取威脅回應措施。
Kaspersky Endpoint Security 可使⽤ IOC 檔案搜尋洩露指⽰器。IOC 檔案是包含應⽤程式試圖匹配以計數偵測的
指⽰器集合的檔案。IOC 檔案必須符合 OpenIOC 標準。

IOC 掃描⼯作執⾏模式
Kaspersky Endpoint Detection and Response 可讓您建立標準 IOC 掃描⼯作以偵測洩露的資料。“標準 IOC 掃描⼯作”是⼀個在網⾴主控台中⼿動建立和配置的群組或本機⼯作。⼯作使⽤使⽤者準備的 IOC 檔案執⾏。如果您想要⼿動新增洩露指⽰器，請閱讀IOC 檔案要求。
您可以點擊下⾯的連接下載該檔案，它包含⼀個表格，其中有 OpenIOC 標準的 IOC 字詞完整清單。
631

下載 IOC_TERMS.XLSX 檔案當應⽤程式被⽤作 Kaspersky Sandbox 解決⽅案的⼀部分時，Kaspersky Endpoint Security 也⽀援獨立的 IOC 掃描⼯作。

建立 IOC 掃描⼯作
您可以⼿動建立 IOC 掃描 ⼯作：
在偵測詳情中（僅適⽤於 EDR Optimum）。

偵測詳情是⼀款⽤來檢視有關被偵測的威脅的整個收集資訊的⼯具。偵測詳情包括，例如，出現在電腦上的檔案的歷史。有關偵測詳情的詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明與 Kaspersky Endpoint Detection and Response Expert 說明 。
使⽤⼯作精靈。
您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 的⼯作。適⽤於 EDR Expert 的⼯作設定僅在雲端主控台中可以使⽤。

建立⼀個 IOC 掃描⼯作：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“IOC 掃描”。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。前往下⼀步。
5. 輸入您希望⽤其權限執⾏⼯作的使⽤者的帳⼾認證。前往下⼀步。
預設情況下，Kaspersky Endpoint Security 作為系統使⽤者帳⼾ (SYSTEM) 啟動⼯作。
系統帳⼾ (SYSTEM) 沒有權限在網路磁碟機上執⾏“IOC 掃描”⼯作。如果您想要為網路磁碟機執⾏⼯作，請選擇有此磁碟機存取權限的使⽤者的帳⼾。
對於網路磁碟機上的獨立 IOC 掃描⼯作，您需要在⼯作內容中⼿動選擇則可以存取該磁碟機的使⽤者帳⼾。

632

6. 結束精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
7. 點擊新⼯作。
⼯作內容視窗將開啟。
8. 選取“應⽤程式設定”標籤。
9. 轉到“IOC 掃描設定”區域。
10. 加載 IOC 檔案以搜尋洩露指⽰器。
加載 IOC 檔案後，您可以從 IOC 檔案檢視指⽰器清單。
不建議在執⾏⼯作後新增或刪除 IOC 檔案。這可能會導致 IOC 掃描結果對於先前執⾏的⼯作顯⽰不正確。要根據新的 IOC 檔案搜尋洩露指⽰器，建議新增⼯作。
11. 配置偵測到 IOC 後的動作：
從網路中隔離電腦如果選擇該選項，Kaspersky Endpoint Security 會從網路隔離電腦以防⽌威脅傳播。您
可以在“Endpoint Detection and Response Optimum 元件設定”中配置隔離時⻑。
將副本移動到隔離區，刪除物件如果選擇該選項，Kaspersky Endpoint Security 會刪除在電腦上發現的惡
意物件。在刪除物件之前，Kaspersky Endpoint Security 會建立備份副本以防物件以後需要還原。
Kaspersky Endpoint Security 會將備份副本移動到隔離。
對關鍵區域執⾏掃描如果選擇該選項，Kaspersky Endpoint Security 將執⾏“關鍵區域掃描⼯作”。預設情況
下，Kaspersky Endpoint Security 會掃描內核記憶體、執⾏處理序和磁碟的開啟磁區。
12. 轉到“進階”區域。
13. 選擇必須作為⼯作的⼀部分進⾏分析的資料類型（IOC 文件）。
Kaspersky Endpoint Security 根據載入的 IOC 檔案的內容⾃動選擇 IOC 掃描 ⼯作的資料類型（IOC 文件）。不建議取消選擇資料類型。
您還可以為以下資料類型配置掃描範圍：檔案 - FileItem在使⽤預設範圍的電腦上設定 IOC 掃描範圍。
預設情況下，Kaspersky Endpoint Security 僅掃描電腦中重要區域的 IOC，例如“下載”資料夾、桌⾯、具有
臨時作業系統檔案的資料夾等等。您也可以⼿動新增掃描範圍。
Windows 事件記錄 - EventLogItem輸入記錄事件的時間段。您也可以選擇必須使⽤哪些 Windows 事件記
錄進⾏ IOC 掃描。預設選擇以下事件記錄：應⽤程式事件記錄，系統事件記錄，和安全事件記錄。
對於“Windows 登錄檔 - RegistryItem”資料類型，Kaspersky Endpoint Security 會掃描⼀個登錄機碼集合。
14. 在⼯作內容視窗中，選取“排程”標籤。
15. 設定⼯作排程。
網路喚醒對於該⼯作不可⽤。確保電腦已開啟以執⾏⼯作。
633

16. 儲存變更。
17. 選中該⼯作旁邊的核取⽅塊。
18. 點擊“執⾏”按鈕。
因此，Kaspersky Endpoint Security 將執⾏搜尋電腦上的洩露指⽰器。您可以在⼯作內容的“結果”區域中檢視⼯
作結果。您可以在⼯作內容中檢視偵測到的洩露指⽰器的有關資訊：應⽤程式設定 → IOC 掃描結果。

IOC 掃描結果保留 30 天。在此期間之後，Kaspersky Endpoint Security 將⾃動移除最舊條⽬。

移動檔案到隔離當回應威脅時，Kaspersky Endpoint Detection and Response 可以建立“移動檔案到隔離區”⼯作。這對於最⼩化威
脅的後果是必需的。隔離區是電腦上的⼀個特別本機儲存區域。使⽤者可以隔離使⽤者認為對電腦有危險的檔案。隔離檔案以加密狀態儲存，不會威脅裝置安全。Kaspersky Endpoint Security 僅在使⽤以下 Detection andResponse 解決⽅案時使⽤隔離：EDR Optimum、EDR Expert、KATA (EDR)、Kaspersky Sandbox。在其他情況
下，Kaspersky Endpoint Security 將相關檔案放置在備份中。若要瞭解將隔離作為解決⽅案的⼀部分進⾏管理的
詳情，請參⾒Kaspersky Sandbox 說明 、Kaspersky Endpoint Detection and Response Optimum 說明 、
Kaspersky Endpoint Detection and Response Expert 說明 、Kaspersky Anti Targeted Attack Platform 說明 。
您可以⽤以下⽅式建立“移動檔案到隔離區”⼯作：在偵測詳情中（僅適⽤於 EDR Optimum）。

偵測詳情是⼀款⽤來檢視有關被偵測的威脅的整個收集資訊的⼯具。偵測詳情包括，例如，出現在電腦上的檔案的歷史。有關偵測詳情的詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明與 Kaspersky Endpoint Detection and Response Expert 說明 。
使⽤⼯作精靈。
您必須輸入檔案路徑或者雜湊（SHA256 或者 MD5），或者檔案路徑和檔案雜湊⼆者。
“移動檔案到隔離區”⼯作有以下限制：
1. 檔案⼤⼩不得超過 100 MB。
2. 系統關鍵物件 (SCO) 無法被隔離。SCO 是作業系統和 Kaspersky Endpoint Security for Windows 應⽤程式要求能夠執⾏的檔案。
3. 您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 的⼯作。適⽤於 EDR Expert 的⼯作設定僅在雲端主控台中可以使⽤。

建立⼀個 移動檔案到隔離區⼯作：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：634

a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“移動檔案到隔離區”。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。點擊“下⼀步”按鈕。
5. 輸入您希望⽤其權限執⾏⼯作的使⽤者的帳⼾認證。點擊“下⼀步”按鈕。
預設情況下，Kaspersky Endpoint Security 作為系統使⽤者帳⼾ (SYSTEM) 啟動⼯作。
6. 點擊“完成”按鈕完成精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
7. 點擊新⼯作。
⼯作內容視窗將開啟。
8. 選取“應⽤程式設定”標籤。
9. 在檔案清單中，點擊“新增”。
檔案新增精靈啟動。
10. 若要新增檔案，您必須輸入檔案的的完整路徑、或雜湊和路徑⼆者。
如果檔案位於網路磁碟機上，則輸入以\\⽽不是磁碟機字⺟開始的檔案路徑。例如，\\server\shared_folder\file.exe。如果檔案路徑包含網路磁碟機字⺟，您可能獲得“找不到檔案”錯誤。
11. 在⼯作內容視窗中，選取“排程”標籤。
12. 設定⼯作排程。
網路喚醒對於該⼯作不可⽤。確保電腦已開啟以執⾏⼯作。
13. 點擊“儲存”按鈕。
14. 選中該⼯作旁邊的核取⽅塊。
15. 點擊“執⾏”按鈕。
結果，Kaspersky Endpoint Security 會將檔案移動到隔離區。如果檔案被其它處理程序鎖定，⼯作將顯⽰為“已完成”，但是檔案本⾝只有在電腦重啟後才會被隔離。重啟電腦後，請確認檔案已刪除。
如果您試圖隔離⼀個⽬前在執⾏的可執⾏檔，“移動檔案到隔離區”⼯作可能完成但有“存取被拒絕”錯誤。為檔案建立終⽌處理程序然後重試。

635

如果您試圖隔離⼀個太⼤的檔案，“移動檔案到隔離區”⼯作可能完成但有“隔離區儲存空間不⾜”錯誤。清空隔離區
或者擴⼤隔離區。然後再試。
您可以從隔離區還原檔案或者使⽤網⾴主控台清空隔離區。您可以使⽤命令列在電腦上本機還原物件。.

獲取檔案您可以從使⽤者的電腦獲取檔案。例如，您可以配置獲取由協⼒廠商應⽤程式建立的事件記錄檔案。若要獲取檔
案，您必須建立專⽤⼯作。因為執⾏⼯作，檔案被儲存在隔離區中。您可以使⽤網⾴主控台從隔離區下載此檔案到電腦。在使⽤者的電腦上，檔案將保留在原始資料夾中。
檔案⼤⼩不得超過 100 MB。

您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 的⼯作。適⽤於 EDR Expert 的⼯作設定僅在雲端主控台中可以使⽤。

建立⼀個 獲取檔案⼯作：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“獲取檔案”。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。點擊“下⼀步”按鈕。
5. 輸入您希望⽤其權限執⾏⼯作的使⽤者的帳⼾認證。點擊“下⼀步”按鈕。
預設情況下，Kaspersky Endpoint Security 作為系統使⽤者帳⼾ (SYSTEM) 啟動⼯作。
6. 點擊“完成”按鈕完成精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
7. 點擊新⼯作。
⼯作內容視窗將開啟。
8. 選取“應⽤程式設定”標籤。
9. 在檔案清單中，點擊“新增”。
636

檔案新增精靈啟動。
10. 若要新增檔案，您必須輸入檔案的的完整路徑、或雜湊和路徑⼆者。
如果檔案位於網路磁碟機上，則輸入以\\⽽不是磁碟機字⺟開始的檔案路徑。例如，\\server\shared_folder\file.exe。如果檔案路徑包含網路磁碟機字⺟，您可能獲得“找不到檔案”錯誤。
11. 在⼯作內容視窗中，選取“排程”標籤。
12. 設定⼯作排程。
網路喚醒對於該⼯作不可⽤。確保電腦已開啟以執⾏⼯作。
13. 點擊“儲存”按鈕。
14. 選中該⼯作旁邊的核取⽅塊。
15. 點擊“執⾏”按鈕。
結果，Kaspersky Endpoint Security 將建立⼀個檔案副本並將此副本移動到隔離區。您可以在網⾴主控台中從
隔離區下載檔案。

刪除檔案
您可以使⽤“刪除檔案”⼯作遠端刪除檔案。例如，您可以在回應威脅時遠端刪除檔案。
“刪除檔案”⼯作有以下限制：
系統關鍵物件 (SCO) 無法被刪除。SCO 是作業系統和 Kaspersky Endpoint Security for Windows 應⽤程式要求能夠執⾏的檔案。
您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 的⼯作。適⽤於 EDR Expert 的⼯作設定僅在雲端主控台中可以使⽤。

建立⼀個 刪除檔案⼯作：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“刪除檔案”。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
637

d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。點擊“下⼀步”按鈕。
5. 輸入您希望⽤其權限執⾏⼯作的使⽤者的帳⼾認證。點擊“下⼀步”按鈕。
預設情況下，Kaspersky Endpoint Security 作為系統使⽤者帳⼾ (SYSTEM) 啟動⼯作。
6. 點擊“完成”按鈕完成精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
7. 點擊新⼯作。
⼯作內容視窗將開啟。
8. 選取“應⽤程式設定”標籤。
9. 在檔案清單中，點擊“新增”。
檔案新增精靈啟動。
10. 若要新增檔案，您必須輸入檔案的的完整路徑、或雜湊和路徑⼆者。
如果檔案位於網路磁碟機上，則輸入以\\⽽不是磁碟機字⺟開始的檔案路徑。例如，\\server\shared_folder\file.exe。如果檔案路徑包含網路磁碟機字⺟，您可能獲得“找不到檔案”錯誤。
11. 在⼯作內容視窗中，選取“排程”標籤。
12. 設定⼯作排程。
網路喚醒對於該⼯作不可⽤。確保電腦已開啟以執⾏⼯作。
13. 點擊“儲存”按鈕。
14. 選中該⼯作旁邊的核取⽅塊。
15. 點擊“執⾏”按鈕。
結果，Kaspersky Endpoint Security 會從電腦刪除檔案。如果檔案被其它處理程序鎖定，⼯作將顯⽰為“已完成”，但是檔案本⾝只有在電腦重啟後才會被刪除。重啟電腦後，請確認檔案已刪除。
如果您試圖刪除⼀個⽬前在執⾏的可執⾏檔，“刪除檔案”⼯作可能完成但有“存取被拒絕”錯誤。為檔案建立終⽌處
理程序然後重試。

處理程序啟動您可以使⽤“啟動處理程序”⼯作遠端執⾏檔案。例如，您可以遠端執⾏建立電腦設定檔的公⽤程式。接下來您可
以使⽤“獲取檔案”⼯作接收在卡巴斯基安全管理中⼼網⾴主控台中建立的檔案。

638您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 的⼯作。適⽤於 EDR Expert 的⼯作設定僅在雲端主控台中可以使⽤。

建立⼀個 啟動處理程序⼯作：
1. 在網⾴主控台的主視窗中，選擇裝置 → ⼯作。
⼯作清單開啟。
2. 單擊“新增”。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.6)”。
b. 在“⼯作類型”下拉式清單中，選取“啟動處理程序”。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。單擊“下⼀步”。
5. 輸入您希望⽤其權限執⾏⼯作的使⽤者的帳⼾認證。單擊“下⼀步”。
預設情況下，Kaspersky Endpoint Security 作為系統使⽤者帳⼾ (SYSTEM) 啟動⼯作。
6. 點擊“完成”按鈕結束精靈。
在⼯作清單中將顯⽰⼀個新⼯作。
7. 點擊新⼯作。
8. ⼯作內容視窗將開啟。
9. 選擇“應⽤程式設定”標籤。
10. 輸入處理程序啟動指令。
假設您想要執⾏⼀個將電腦配置資訊儲存到⽬前資料夾（預設）中⼀個名為 conf.txt 的檔案的公⽤程式(utility.exe)。該實⽤程式位於 C:\Users\admin\Diagnostic\ 資料夾中。您必須將設定檔儲存在
C:\Users\admin\Documents\Configuration 資料夾中。輸入以下值：可執⾏指令 – C:\Users\admin\Diagnostic\utility.exe
指令⾏參數(可選) – /R conf.txt
⼯作資料夾路徑(可選) – C:\Users\admin\Documents\Configuration
11. 在⼯作內容視窗中，選取“排程”標籤。
12. 設定⼯作排程。

639

網路喚醒對於該⼯作不可⽤。確保電腦已開啟以執⾏⼯作。
13. 點擊“儲存”按鈕。
14. 選中該⼯作旁邊的核取⽅塊。
15. 單擊“開始”。
結果，Kaspersky Endpoint Security 將在靜默模式下執⾏指令和啟動處理程序。您可以在⼯作內容的“執⾏結果”
區域中檢視⼯作結果。

終⽌處理程序您可以使⽤“停⽌處理程序”⼯作遠端終⽌處理程序。例如，您可以遠端終⽌⼀個使⽤“執⾏處理程序”⼯作啟動的網
際網路速度測試公⽤程式。
如果想要禁⽌執⾏檔案，您可以配置“執⾏防護元件。您可以禁⽌執⾏可執⾏檔、指令碼、O ice 格式的檔案。
“停⽌處理程序”⼯作有以下限制：
系統關鍵物件 (SCO) 的處理程序無法被終⽌。SCO 是作業系統和 Kaspersky Endpoint Security for Windows
應⽤程式要求能夠執⾏的檔案。
您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 的⼯作。適⽤於 EDR Expert 的⼯作設定僅在雲端主控台中可以使⽤。

建立⼀個 停⽌處理程序⼯作：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
⼯作清單開啟。
2. 點擊“新增”按鈕。
啟動“⼯作精靈”。
3. 配置⼯作設定：a. 在“應⽤程式”下拉清單中，選取“Kaspersky Endpoint Security for Windows (12.2)”。
b. 在“⼯作類型”下拉式清單中，選取“終⽌處理程序”。
c. 在“⼯作名稱”欄位中，輸入簡要說明。
d. 在“選取要對其分配⼯作的裝置”塊中，選取⼯作範圍。
4. 按照所選⼯作範圍選項選取裝置。點擊“下⼀步”按鈕。
5. 輸入您希望⽤其權限執⾏⼯作的使⽤者的帳⼾認證。點擊“下⼀步”按鈕。
預設情況下，Kaspersky Endpoint Security 作為系統使⽤者帳⼾ (SYSTEM) 啟動⼯作。
6. 點擊“完成”按鈕完成精靈。
640

在⼯作清單中將顯⽰⼀個新⼯作。
7. 點擊新⼯作。
⼯作內容視窗將開啟。
8. 選取“應⽤程式設定”標籤。
9. 若要完成處理程序，您必須選擇想要終⽌的檔案。您可以採⽤以下⽅式之⼀選擇檔案：
輸入檔案的完整名稱。
輸入檔案的雜湊和檔案的路徑。
輸入處理程序的 PID（僅限於本機⼯作）。
如果檔案位於網路磁碟機上，則輸入以\\⽽不是磁碟機字⺟開始的檔案路徑。例如，\\server\shared_folder\file.exe。如果檔案路徑包含網路磁碟機字⺟，您可能獲得“未找到檔案”錯誤。
10. 在⼯作內容視窗中，選取“排程”標籤。
11. 設定⼯作排程。
網路喚醒對於該⼯作不可⽤。確保電腦已開啟以執⾏⼯作。
12. 點擊“儲存”按鈕。
13. 選中該⼯作旁邊的核取⽅塊。
14. 點擊“執⾏”按鈕。
結果，Kaspersky Endpoint Security 會終⽌電腦上的處理程序。例如，如果 GAME 應⽤程式正在執⾏，⽽您終
⽌了 game.exe 處理程序，應⽤程式將不儲存資料即關閉。您可以在⼯作內容的“結果”區域中檢視⼯作結果。

執⾏防護
執⾏防護可讓⼈管理可執⾏檔和指令碼的執⾏，以及開啟 O ice 格式的檔案。這樣的話，您可以（例如）防⽌執⾏您認為不安全的應⽤程式。因此，威脅擴散可以被停⽌。執⾏防護⽀援O ice 檔案延伸程式集合和指令碼解譯器集合。

執⾏防護規則執⾏防護使⽤執⾏防護規則管理使⽤者對檔案的存取。執⾏防護規則是應⽤程式對物件執⾏進⾏回應（例如，封鎖物件執⾏時）時考慮的⼀組條件。應⽤程式根據檔案路徑或者使⽤ MD5 和 SHA256 雜湊演算法計算的總和檢查碼來識別檔案。
您可以建立執⾏防護規則：
在偵測詳情中（僅適⽤於 EDR Optimum）。
641

偵測詳情是⼀款⽤來檢視有關被偵測的威脅的整個收集資訊的⼯具。偵測詳情包括，例如，出現在電腦上的檔案的歷史。有關偵測詳情的詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明與 Kaspersky Endpoint Detection and Response Expert 說明 。
使⽤群組政策或者本機應⽤程式設定。
您必須輸入檔案路徑或者雜湊（SHA256 或者 MD5），或者檔案路徑和檔案雜湊⼆者。
您也可以使⽤命令列本機管理執⾏防護。
執⾏防⽌有以下限制：
1. 防護規則不覆蓋 CD 上或者 ISO 映像中的檔案。應⽤程式不會封鎖執⾏或者開啟這些規則。
2. 無法封鎖系統關鍵物件 (SCO) 的啟動。SCO 是作業系統和 Kaspersky Endpoint Security for Windows 應⽤程式要求能夠執⾏的檔案。
3. 不建議建立超過 5000 個執⾏防護規則，因為這可能造成系統不穩定。

執⾏防護規則模式
執⾏防護元件可以在兩種模式下⼯作：僅統計
在此模式中，Kaspersky Endpoint Security 會將嘗試執⾏可執⾏物件或者開啟匹配防護規則條件的文件的事件
發佈到 Windows 事件記錄和卡巴斯基安全管理中⼼，但是不會封鎖執⾏或者開啟物件或者文件的嘗試。預設
情況下已選擇此模式。
啟動在此模式中，應⽤程式會封鎖執⾏物件或者開啟匹配防護規則條件的文件。應⽤程式也會將嘗試執⾏物件或者開啟文件的事件發佈到 Windows 事件記錄和卡巴斯基安全管理中⼼事件記錄。

管理執⾏防護您只可以在網⾴主控台中配置元件設定。

要防護執⾏：
1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response”。
5. 開啟“執⾏防⽌已啟⽤“開關。
6. 在“執⾏或開啟被禁⽌的物件時的動作”塊中，選擇元件操作模式：

642

封鎖和寫入報告在此模式中，應⽤程式會封鎖執⾏物件或者開啟匹配防護規則條件的文件。應⽤程式也會
將嘗試執⾏物件或者開啟文件的事件發佈到 Windows 事件記錄和卡巴斯基安全管理中⼼事件記錄。
僅記錄事件在此模式中，Kaspersky Endpoint Security 會將嘗試執⾏可執⾏物件或者開啟匹配防護規則條
件的文件的事件發佈到 Windows 事件記錄和卡巴斯基安全管理中⼼，但是不會封鎖執⾏或者開啟物件或者
文件的嘗試。預設情況下已選擇此模式。
7. 建立執⾏防護規則清單：
a. 單擊“新增”。
b. 這會開啟⼀個視窗；在此視窗中，輸入執⾏防護規則名稱（例如Application A）。
c. 在“類型”下拉清單中，選擇您想要封鎖的物件：可執⾏檔，指令碼，Microsoft O ice 文件。
如果您選擇了錯誤的物件類型，則 Kaspersky Endpoint Security 不封鎖檔案或者指令碼。
d. 若要新增檔案，您必須輸入檔案的雜湊（SHA256 或者 MD5）、檔案的完整路徑、或雜湊和路徑⼆者。
如果檔案位於網路磁碟機上，則輸入以\\⽽不是磁碟機字⺟開始的檔案路徑。例如，\\server\shared_folder\file.exe。如果檔案路徑包含網路磁碟機字⺟，則 Kaspersky Endpoint
Security 不封鎖檔案或者指令碼。
執⾏防護⽀援O ice 檔案延伸程式集合和指令碼解譯器集合。
e. 點擊“確定”。
8. 儲存變更。
結果，Kaspersky Endpoint Security 會封鎖執⾏物件：執⾏可執⾏檔和指令碼，開啟 O ice 格式檔案。不過，您可以（例如）在文本編輯器中開啟指令碼檔案（即使執⾏指令碼被禁⽌）。當封鎖執⾏物件時，如果在應⽤
程式設定中啟⽤了通知，則 Kaspersky Endpoint Security 會顯⽰⼀個標準通知（請⾒下圖）。

執⾏防護通知電腦網路隔離電腦網路隔離可⾃動從網路中隔離電腦以回應偵測到洩露指⽰器 (IOC)，這就是⾃動模式。您可以在研究偵測到的威脅時⼿動開啟網路隔離，這就是⼿動模式。
當開啟網路隔離時，應⽤程式會斷開電腦上的所有活動連線並封鎖所有新的 TCP/IP 連線，以下連線除外：
網路隔離排除項⽬中列出的連線。
643

Kaspersky Endpoint Security 服務安裝的連線。
卡巴斯基安全管理中⼼網路代理啟動的連線。
您只可以在網⾴主控台中配置元件設定。

⾃動網路隔離模式
您可以配置網路隔離⾃動開啟以回應 IOC 偵測。您可以使⽤群組政策配置⾃動網路隔離模式。
如何配置網路隔離⾃動開啟以回應 IOC 偵測

1. 在網⾴主控台的主視窗中，選擇裝置 → ⼯作。
⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“IOC 掃描”⼯作。
⼯作內容視窗將開啟。
需要的話建立 IOC 掃描 ⼯作。
3. 選擇“應⽤程式設定”標籤。
4. 在“偵測到 IOC 後的動作”塊中，選擇“發現 IOC 後採取回應動作”和“從網路中隔離電腦”核取⽅塊。
5. 儲存變更。
結果，當偵測到 IOC 時，應⽤程式會從網路中隔離電腦以防⽌威脅散佈。
您可以配置在指定時間經過後⾃動關閉網路隔離。預設情況下，應⽤程式在開啟網路隔離 8 ⼩時後將其關閉。您
也可以⼿動關閉網路隔離（請參閱下⾯的指⽰）。關閉網路隔離後，電腦可以不受限制地使⽤網路。
如何配置在⾃動模式中延遲關閉電腦的網路隔離

1. 在網⾴主控台的主視窗中，選擇裝置 → 政策和設定檔。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選擇“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response”。
5. 在“網路隔離”塊中， 點擊“配置電腦解鎖設定”。
6. 這會開啟⼀個視窗；在該視窗中，選擇“N ⼩時後距離⾃動解鎖隔離電腦還有”核取⽅塊，然後輸入⾃動關
閉網路隔離的延時。
7. 儲存變更。
644

⼿動網路隔離模式您也可以⼿動開啟和關閉網路隔離。您可以使⽤卡巴斯基安全管理中⼼主控台中的電腦屬性配置⼿動網路隔離模式。
您可以開啟網路隔離：
在偵測詳情中（僅適⽤於 EDR Optimum）。

偵測詳情是⼀款⽤來檢視有關被偵測的威脅的整個收集資訊的⼯具。偵測詳情包括，例如，出現在電腦上的檔案的歷史。有關偵測詳情的詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明與 Kaspersky Endpoint Detection and Response Expert 說明 。
使⽤本機應⽤程式設定。
如何⼿動開啟電腦的網路隔離

1. 在網⾴主控台的主視窗中，選擇裝置 → 受管理裝置。
2. 選取要為其配置本機應⽤程式設定的電腦。
這將開啟電腦內容。
3. 選取“應⽤程式”標籤。
4. 點擊“Kaspersky Endpoint Security for Windows”。
這將開啟本機應⽤程式設定。
5. 選取“應⽤程式設定”標籤。
6. 轉到”Detection and Response”→”Endpoint Detection and Response”。
7. 在“網路隔離”塊中， 點擊“從網路中隔離電腦”。
您可以配置在指定時間經過後⾃動關閉網路隔離。預設情況下，應⽤程式在開啟網路隔離 8 ⼩時後將其關閉。關
閉網路隔離後，電腦可以不受限制地使⽤網路。
如何配置延遲⼿動關閉電腦的網路隔離645

1. 在網⾴主控台的主視窗中，選擇裝置 → 受管理裝置。
2. 選取要為其配置本機應⽤程式設定的電腦。
這將開啟電腦內容。
3. 選取“⼯作”標籤。
這將顯⽰電腦上可⽤的⼯作清單。
4. 選擇 網路隔離 ⼯作。
5. 選取“應⽤程式設定”標籤。
6. 這會開啟⼀個視窗；在此視窗中，選擇延遲關閉網路隔離。
7. 儲存變更。
如何⼿動關閉電腦的網路隔離

1. 在網⾴主控台的主視窗中，選擇裝置 → 受管理裝置。
2. 選取要為其配置本機應⽤程式設定的電腦。
這將開啟電腦內容。
3. 選取“應⽤程式”標籤。
4. 點擊“Kaspersky Endpoint Security for Windows”。
這將開啟本機應⽤程式設定。
5. 選取“應⽤程式設定”標籤。
6. 轉到”Detection and Response”→”Endpoint Detection and Response”。
7. 在“網路隔離”塊中， 點擊“解除封鎖從網路中隔離的電腦”。
您也可以使⽤命令列本機停⽤網路隔離。

網路隔離排除項⽬
您可以配置網路隔離排除項⽬。當開啟網路隔離時，電腦上匹配規則的網路連線不會被封鎖。
要配置網路隔離排除項⽬，您可以使⽤“標準網路設定檔”清單。預設情況下，排除項⽬包括包含確保裝置（具有DNS/DHCP 伺服器和 DNS/DHCP ⽤⼾端⾓⾊）不中斷操作的規則的網路設定檔。您也可以修改標準網路設定檔
的設定或者⼿動定義排除項⽬（請⾒以下指⽰）。
只有當網路隔離回應偵測到的威脅⾃動開啟時，政策內容中指定的排除項⽬才會套⽤。只有當網路隔離在卡巴斯基安全管理中⼼主控台的電腦內容或者警⽰詳情中⼿動開啟時，電腦內容中指定的排除項⽬才會套⽤。

646

活動政策不會阻⽌套⽤在電腦內容中配置的網路隔離的排除項⽬，因為這些參數有不同的使⽤案例。
如何⾃動新增網路隔離排除項⽬

1. 在網⾴主控台的主視窗中，選擇裝置 → 政策和設定檔。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選擇“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response”。
5. 在“網路隔離排除項⽬”塊中， 點擊“排除項⽬”。
6. 這會開啟⼀個視窗；在此視窗中，點擊“從設定檔新增”然後選擇⽤於配置排除項⽬的標準網路設定檔。
來⾃設定檔的網路隔離排除項⽬被新增⾄網路隔離排除項⽬清單。您可以檢視網路連線的內容。如有必要，您可以修改網路連線設定。
7. 如有必要，⼿動新增網路隔離排除項⽬。為此，在排除項⽬清單視窗中點擊“新增”並⼿動編輯網路連線設
定。
8. 儲存變更。
如何⼿動新增網路隔離排除項⽬

1. 在網⾴主控台的主視窗中，選擇裝置 → 受管理裝置。
2. 選取要為其配置本機應⽤程式設定的電腦。
這將開啟電腦內容。
3. 選取“⼯作”標籤。
這將顯⽰電腦上可⽤的⼯作清單。
4. 選擇 網路隔離 ⼯作。
5. 選取“應⽤程式設定”標籤。
6. 這將開啟⼀個視窗；在此視窗中，點擊排除項⽬。
7. 這會開啟⼀個視窗；在此視窗中，點擊“從設定檔新增”然後選擇⽤於配置排除項⽬的標準網路設定檔。
來⾃設定檔的網路隔離排除項⽬被新增⾄網路隔離排除項⽬清單。您可以檢視網路連線的內容。如有必要，您可以修改網路連線設定。
8. 如有必要，⼿動新增網路隔離排除項⽬。為此，在排除項⽬清單視窗中點擊“新增”並⼿動編輯網路連線設
定。
9. 儲存變更。
647您也可以使⽤命令列本機檢視網路隔離排除項⽬清單。在這種情況下，電腦必須被隔離。

Cloud Sandbox
Cloud Sandbox 技術可讓您偵測電腦上的進階威脅。Kaspersky Endpoint Security ⾃動將被偵測檔案轉寄到
Cloud Sandbox 進⾏分析。Cloud Sandbox 在隔離環境中執⾏這些檔案以識別惡意活動和決定其信譽。有關這些檔案的資料然後被傳送到卡巴斯基安全網路。因此，如果 Cloud Sandbox 偵測到⼀個惡意檔案，Kaspersky
Endpoint Security 將執⾏適當操作在偵測到該檔案的所有電腦上消除該威脅。
若要 Cloud Sandbox 作業，您必須啟⽤使⽤卡巴斯基安全網路。

如果您正在使⽤卡巴斯基私有安全網路 ，則 Cloud Sandbox 技術不可使⽤。
Cloud Sandbox 技術永久啟⽤，對所有卡巴斯基安全網路使⽤者可⽤，與他們使⽤的產品授權類型無關。如果您
已經部署 Endpoint Detection and Response 解決⽅案 (EDR Optimum 或者 EDR Expert)，則可以為 Cloud Sandbox
偵測到的威脅啟⽤單獨的計數器。您可以使⽤此計數器在分析偵測到的威脅時產⽣統計資料。

若要啟⽤ Cloud Sandbox 計數器：
1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response”。
5. 開啟“Cloud Sandbox“開關。
6. 儲存變更。
每當有威脅，Kaspersky Endpoint Security 就會在威脅偵測技術下的應⽤程式主視窗中為使⽤ Cloud Sandbox
偵測到的威脅啟動計數器。Kaspersky Endpoint Security 也會在卡巴斯基安全管理中⼼主控台的威脅報告中指明 Cloud Sandbox 威偵測技術。

EDR Optimum 的 KEA 到 KES 遷移指南從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包括⽤於 Kaspersky Managed Detection andResponse Optimum 應解決⽅案的內置代理。您再也無需分開 Kaspersky Endpoint Agent 應⽤程式來使⽤ EDR
Optimum。Kaspersky Endpoint Agent 的所有功能將由 Kaspersky Endpoint Security 執⾏。
當您在安裝了 Kaspersky Endpoint Agent 的電腦上部署 Kaspersky Endpoint Security 時，Kaspersky Endpoint
Detection and Response Optimum 解決⽅案將繼續與 Kaspersky Endpoint Security ⼀起⼯作。此外，Kaspersky
Endpoint Agent 將被從電腦移除。當您將 Kaspersky Endpoint Security 更新到版本 11.7.0 或更⾼版本時，系統中會
發⽣相同的⾏為。
Kaspersky Endpoint Security 與 Kaspersky Endpoint Agent 不相容。您不能在同⼀台電腦上同時安裝這些應
⽤程式。
648

Kaspersky Endpoint Security 必須滿⾜以下條件才能作為 Kaspersky Managed Detection and Response Optimum
的⼀部分⼯作：
Kaspersky Endpoint Detection and Response Optimum 2.0 或更⾼版本
卡巴斯基安全管理中⼼版本 13.2 或更⾼版本（包括網路代理）。在早期版本的卡巴斯基安全管理中⼼中，無法啟動 EDR Optimum 功能。
EDR Optimum 功能只可以使⽤卡巴斯基安全管理中⼼網⾴主控台進⾏管理。
已啟⽤到管理伺服器的資料傳輸。透過網⾴主控台獲取電腦上的隔離檔案需要該資料。
已建立在卡巴斯基安全管理中⼼網⾴主控台和管理伺服器之間的背景連線。若要透過卡巴斯基安全管理中⼼網⾴主控台讓 EDR Optimum 和管理伺服器⼀起⼯作，您必須建立⼀個新的安全連線，⼀個背景連線。

將 [KES+KEA] 配置遷移到 [KES+built-in agent] for EDR Optimum 的步驟
1

升級 Kaspersky Endpoint Security 網⾴外掛程式
EDR Optimum 元件可以使⽤ Kaspersky Endpoint Security 網⾴外掛程式版本 11.7.0 或更⾼版本進⾏管理。

2

遷移政策和⼯作將 Kaspersky Endpoint Agent 設定傳輸到 Kaspersky Endpoint Security for Windows。為此，請使⽤ Web 主控
台中的 Kaspersky Endpoint Agent 遷移精靈。
如何將政策和⼯作設定從 Kaspersky Endpoint Agent 遷移到網⾴主控台中的 Kaspersky Endpoint Security649

在網⾴主控台的主視窗中，選擇“操作 → 從 Kaspersky Endpoint Agent 遷移”。
這會執⾏政策和⼯作遷移精靈。按照精靈的說明進⾏操作。

步驟 1. 政策遷移遷移精靈會建立⼀個新政策，將 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 政策的設
定合併。在政策清單中，選擇您想將其設定與 Kaspersky Endpoint Security 政策合併的 Kaspersky
Endpoint Agent 政策。點擊 Kaspersky Endpoint Agent 政策以選擇您想與其合併設定的 Kaspersky
Endpoint Security 政策。確保選擇了正確的政策然後前往下⼀步。

步驟 2. ⼯作遷移遷移精靈將為 Kaspersky Endpoint Security 建立新⼯作。在⼯作清單中，選擇您想為其設定
Kaspersky Endpoint Security 政策的 Kaspersky Endpoint Agent ⼯作。前往下⼀步。

步驟 3. 精靈完成結束精靈。結果，精靈將執⾏以下操作：
建立⼀個新的 Kaspersky Endpoint Security 政策。
政策將合併 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 的設定。政策稱為<Kaspersky Endpoint Security 政策名稱> & <Kaspersky Endpoint Agent 政策名稱>。新政策的狀態
為“非作⽤中”。若要繼續，將 Kaspersky Endpoint Agent 和 Kaspersky Endpoint Security 政策的狀態變更為“非作⽤中”然後啟動新合併的政策。
從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security for Windows 後，請確保新政策已設定將資料傳輸到管理伺服器的功能（隔離檔案資料和威脅發展鏈資料）。資料傳輸參數值不會從 Kaspersky Endpoint Agent 政策遷移。
建立新的 Kaspersky Endpoint Security ⼯作。
新⼯作是 Kaspersky Endpoint Agent ⼯作的副本。同時，精靈不會變更 Kaspersky Endpoint Agent
⼯作。

3授權 EDR Optimum 功能
如果您使⽤ Kaspersky Endpoint Detection and Response Optimum 或 Kaspersky Optimum Security 產品授權來啟動 Kaspersky Endpoint Security for Windows 和 Kaspersky Endpoint Agent，EDR Optimum 功能將在升級應⽤程式到版本 11.7.0 或更⾼版本後⾃動啟動。您不需要做任何其它事情。
如果使⽤獨立 Kaspersky Endpoint Detection and Response Optimum 附加元件產品授權啟動 EDR Optimum 功
能，您必須確保 EDR Optimum ⾦鑰已新增到卡巴斯基安全管理中⼼存放庫且產品授權⾦鑰⾃動分發功能已啟⽤。升級應⽤程式到版本 11.7.0 或更⾼版本後，EDR Optimum 功能將被⾃動啟動。
如果使⽤ Kaspersky Endpoint Detection and Response Optimum 或 Kaspersky Optimum Security 產品授權啟動
Kaspersky Endpoint Agent，使⽤其他產品授權啟動 Kaspersky Endpoint Security for Windows，您必須將
Kaspersky Endpoint Security for Windows ⾦鑰替換為普通的 Kaspersky Endpoint Detection and Response
Optimum ⾦鑰或 Kaspersky Optimum Security ⾦鑰。您可以使⽤“新增⾦鑰”⼯作取代⾦鑰。

4

安裝/升級 Kaspersky Endpoint Security 應⽤程式

650

要在應⽤程式安裝或升級期間遷移 EDR Optimum 功能，建議使⽤遠端安裝⼯作。建立遠端安裝⼯作時，您需
要在安裝套件設定中選擇 EDR Optimum 元件。
您還可以使⽤以下⽅法升級應⽤程式：
使⽤ Kaspersky 更新服務。
本機使⽤安裝精靈。
當在安裝了 Kaspersky Endpoint Agent 的電腦上升級應⽤程式時，Kaspersky Endpoint Security ⽀援⾃動選擇元件。⾃動選擇元件取決於升級應⽤程式的使⽤者帳⼾的權限。
如果在系統帳⼾ (SYSTEM) 下使⽤ EXE 或 MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint
Security 將獲得對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。因此，如果電腦安裝了 Kaspersky
Endpoint Agent 且啟動了 EDR Optimum 解決⽅案，Kaspersky Endpoint Security 安裝程式將⾃動配置元件集合並選擇 EDR Optimum 元件。這將使得 Kaspersky Endpoint Security 切換到使⽤內建代理並刪除 Kaspersky
Endpoint Agent。在系統帳⼾ (SYSTEM) 下執⾏ MSI 安裝程式通常在透過 Kaspersky 更新服務升級或透過卡巴
斯基安全管理中⼼部署安裝套件時進⾏。
如果在沒有權限的帳⼾下使⽤ MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint Security 將缺少對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。在此情況下，Kaspersky Endpoint Security 將基於
Kaspersky Endpoint Agent 配置⾃動選擇元件。此後，Kaspersky Endpoint Security 將切換到使⽤內建代理並刪
除 Kaspersky Endpoint Agent。
Kaspersky Endpoint Security ⽀援在不重啟電腦的情況下升級。您可以選擇政策屬性中的應⽤程式升級模式。

5檢查應⽤程式運⾏情況
如果安裝或升級後應⽤程式後電腦在卡巴斯基安全管理中⼼主控台中具有“緊急”狀態：請確保電腦安裝了網路代理 13.2或更⾼版本。
透過檢視”應⽤程式元件狀態報告”來檢查內建代理的運⾏狀態。如果元件的狀態為”未安裝”，請使⽤變更程式元件⼯作來安裝元件。如果⼀個元件的狀態為 產品授權不⽀援，確保您已啟動內建代理功能。
請確保在 Kaspersky Endpoint Security for Windows 的新政策中接受卡巴斯基安全網路聲明。

Kaspersky Sandbox
從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包含⼀個⽤於與 Kaspersky Sandbox
解決⽅案整合的內建代理。Kaspersky Sandbox 解決⽅案可偵測和⾃動封鎖電腦上的進階威脅。
Kaspersky Sandbox 會分析物件⾏為以偵測惡意⾏動和組織的 IT 基礎架構上的針對性攻擊所特有的活動。Kaspersky Sandbox 會分析和掃描部署了 Microsoft Windows 作業系統的虛擬影像的特殊伺
服器（Kaspersky Sandbox 伺服器）上的物件。有關解決⽅案的詳情，請參閱 Kaspersky Sandbox
說明 。
Kaspersky Sandbox 解決⽅案可使⽤以下設定：

Kaspersky Sandbox 2.0
Kaspersky Sandbox 2.0 ⽀援 [KES+內建代理] 設定。
最低要求：
651

Kaspersky Endpoint Security 11.7.0 for Windows 或更新版本。
不需要 Kaspersky Endpoint Agent。
卡巴斯基安全管理中⼼ 13.2

Kaspersky Sandbox 1.0
Kaspersky Sandbox 1.0 ⽀援 [KES+KEA] 設定。
最低要求：
Kaspersky Endpoint Security 11.2.0 – 11.6.0 for Windows。
Kaspersky Endpoint Agent 3.8。
您可以從 Kaspersky Endpoint Security for Windows 分發套件安裝Kaspersky Endpoint Agent。
Kaspersky Endpoint Security 版本 11.2.0 – 11.8.0 的分發套件包括 Kaspersky Endpoint Agent。您可以在安裝Kaspersky Endpoint Security for Windows 時選擇分發套件 Kaspersky Endpoint Agent。因此，您的電腦上將安裝兩個應⽤程式：KEA 和 KES。在 Kaspersky Endpoint Security 11.9.0 中，Kaspersky Endpoint
Agent 分發套件不再是 Kaspersky Endpoint Security 分發套件的⼀部分。
卡巴斯基安全管理中⼼ 11

Kaspersky Sandbox 整合
與 Kaspersky Sandbox 元件整合需要新增 Kaspersky Sandbox 元件。您可以在安裝或者更新期間以及使⽤“變更程
式元件”⼯作選擇 Kaspersky Sandbox 元件。
要使⽤該元件必須滿⾜以下條件：
卡巴斯基安全管理中⼼ 13.2卡巴斯基安全管理中⼼的較早版本不允許為威脅回應建立獨立 IOC 掃描⼯作。
該元件只可以使⽤網⾴主控台進⾏管理。您不能使⽤管理主控台 (MMC) 管理此元件。
應⽤程式被啟動，功能受產品授權覆蓋。
已啟⽤到管理伺服器的資料傳輸。
若要使⽤ Kaspersky Sandbox 的所有功能，請確保已啟⽤隔離檔案資料傳輸。透過網⾴主控台獲取電腦上的隔
離檔案需要該資料。例如，您可以從隔離區下載檔案⽤於在網⾴主控台中分析。
如何在網⾴主控台中啟⽤資料傳輸到管理伺服器

652

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”報告和儲存”。
5. 在“到管理伺服器的資料傳輸“塊中，選中“關於隔離檔案”核取⽅塊。
6. 儲存變更。
已建立在卡巴斯基安全管理中⼼網⾴主控台和管理伺服器之間的背景連線
若要透過卡巴斯基安全管理中⼼網⾴主控台讓 Kaspersky Sandbox 和管理伺服器⼀起⼯作，您必須建立⼀個新的安全連線，⼀個背景連線。有關卡巴斯基安全管理中⼼與其他卡巴斯基解決⽅案集成的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
在網⾴主控台中建立⼀個背景連線

1. 在網⾴主控台的主視窗中，選取“主控台設定”→“整合”。
2. 轉到“整合”區域。
3. 開啟“為整合建立背景連線”切換開關。
4. 儲存變更。
如果未在卡巴斯基安全管理中⼼網⾴主控台和管理伺服器之間建立背景連線，則無法作為威脅回應的⼀部分
建立獨立的 IOC 掃描⼯作。
Kaspersky Sandbox 元件被啟⽤。
您可以在 Web 主控台中或本機使⽤命令⾏啟⽤或停⽤與 Kaspersky Sandbox 的整合。

要啟⽤或停⽤與 Kaspersky Sandbox 的整合：1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Kaspersky Sandbox”。
5. 使⽤“Kaspersky Sandbox 整合已啟⽤“切換開關可啟⽤或停⽤元件。
6. 儲存變更。
因此，Kaspersky Sandbox 元件被啟⽤。透過檢視”應⽤程式元件狀態報告”來檢查元件的運⾏狀態。您還可以在
Kaspersky Endpoint Security 的本地介⾯中的報告中檢視元件的運⾏狀態。“Kaspersky Sandbox”元件將新增到
Kaspersky Endpoint Security 元件清單中。
653

Kaspersky Endpoint Security 會將 Kaspersky Sandbox 元件⼯作的相關資訊儲存到⼀個報告中。報告也包含
錯誤資訊。如果您得到⼀個錯誤，描述符合 錯誤代碼：XXX 格式（例如 0xa67b01f4），請聯絡技術⽀援。

新增 TLS 憑證
若要配置與 Kaspersky Sandbox 伺服器的受信任連線，您必須 TLS 憑證。接下來您必須將憑證新增⾄ Kaspersky
Sandbox 伺服器和 Kaspersky Endpoint Security 政策。有關準備憑證和將憑證新增⾄伺服器的詳情，請參⾒Kaspersky Sandbox 說明 。
您也可以在網⾴主控台中或者本機使⽤命令列新增 TLS 憑證。.

在網⾴主控台中新增 TLS 憑證：
1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Kaspersky Sandbox”。
5. 點擊”伺服器連線設定”連接。
這會開啟 Kaspersky Sandbox 伺服器連線設定視窗。
6. 在“伺服器 TLS 憑證”塊中，點擊“新增”然後選擇 TLS 憑證檔案。
對於⼀個 Kaspersky Sandbox 伺服器 Kaspersky Endpoint Security 只能有⼀個 TLS 憑證。如果您之前新增過TLS 憑證，那個憑證將被撤銷。只有最近新增的憑證會得到使⽤。
7. 為 Kaspersky Sandbox 伺服器配置進階連線設定：
逾時Kaspersky Sandbox 伺服器連線逾時。配置的逾時經過後，Kaspersky Endpoint Security 會傳送請求給
下⼀個伺服器。如果您的連線速度慢或者連線不穩定，您可以增加 Kaspersky Sandbox 的連線逾時。建議的請求逾時為 0.5 秒鐘或更短。
Kaspersky Sandbox 請求佇列請求佇列資料夾⼤⼩當在電腦上存取物件時（啟動可執⾏檔或者開啟文件，
例如以 DOCX 或者 PDF 格式），Kaspersky Endpoint Security 也可以傳送物件供 Kaspersky Sandbox 掃描。如果有多個請求，Kaspersky Endpoint Security 會建立⼀個請求佇列。預設情況下，請求佇列資料夾
⼤⼩限制為 100 MB。在達到最⼤的⼤⼩後，Kaspersky Sandbox 會停⽌向佇列新增請求並將相應事件傳送到卡巴斯基安全管理中⼼。您可以根據伺服器配置來設定請求佇列資料夾⼤⼩。
8. 儲存變更。
結果，Kaspersky Endpoint Security 會驗證 TLS 憑證。如果憑證驗證成功，在與卡巴斯基安全管理中⼼進⾏下
⼀次同步時，Kaspersky Endpoint Security 將上傳該憑證檔案到電腦。如果您新增了兩個 TLS 憑證，Kaspersky
Sandbox 將使⽤最新的憑證來建立受信任連線。

新增 Kaspersky Sandbox 伺服器
654

要將電腦連線到具有作業系統的虛擬影像的 Kaspersky Sandbox 伺服器，您必須輸入伺服器位址和連接埠。有關部署虛擬影像和配置 Kaspersky Sandbox 伺服器的詳情，請參⾒ Kaspersky Sandbox 說明 。

要將 Kaspersky Sandbox 伺服器新增⾄網⾴主控台：
1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Kaspersky Sandbox”。
5. 在“Kaspersky Sandbox 伺服器”塊中，點擊“新增”。
6. 這會開啟⼀個視窗，在視窗中，輸入 Kaspersky Sandbox 伺服器位址 (IPv4, IPv6, DNS) 和連接埠。
7. 儲存變更。

掃描洩露指⽰器（獨立⼯作）
洩露指⽰器 (IOC)是⼀個物件或者活動的資料集合，表明對電腦的未經授權存取（資料洩露）。例如，許多登入
系統的不成功嘗試可以構成⼀個洩露指⽰器。“IOC 掃描”⼯作可發現電腦上的洩露指⽰器並採取威脅回應措施。
Kaspersky Endpoint Security 可使⽤ IOC 檔案搜尋洩露指⽰器。IOC 檔案是包含應⽤程式試圖匹配以計數偵測的
指⽰器集合的檔案。IOC 檔案必須符合 OpenIOC 標準。Kaspersky Endpoint Security ⾃動為 Kaspersky Sandbox
產⽣ IOC 檔案。

IOC 掃描⼯作執⾏模式
應⽤程式為 Kaspersky Sandbox 建立獨立的 IOC 掃描⼯作。”獨立 IOC 掃描⼯作“是⼀個當回應 Kaspersky
Sandbox偵測到的威脅時⾃動建立的群組⼯作。Kaspersky Endpoint Security 會⾃動產⽣ IOC 檔案。⾃訂 IOC 檔
案不受⽀援。⼯作會在建立時間 30 天后被⾃動刪除。有關獨立 IOC 掃描⼯作的更多詳情，請參⾒ Kaspersky
Sandbox 說明 。

IOC 掃描⼯作設定
Kaspersky Sandbox 可以在回應威脅時⾃動建立並執⾏“IOC 掃描”⼯作。
您只可以在網⾴主控台中配置設定。

您需要卡巴斯基安全管理中⼼ 13.2 以便 Kaspersky Sandbox 的獨立 IOC 掃描⼯作有效。

要變更IOC 掃描⼯作的設定：
1. 在網⾴主控台的主視窗中，選取“裝置”→“⼯作”。
655

⼯作清單開啟。
2. 點擊 Kaspersky Endpoint Security 的“IOC 掃描”⼯作。
⼯作內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到“IOC 掃描設定”區域。
5. 配置偵測到 IOC 後的動作：
將副本移動到隔離區，刪除物件如果選擇該選項，Kaspersky Endpoint Security 會刪除在電腦上發現的惡
意物件。在刪除物件之前，Kaspersky Endpoint Security 會建立備份副本以防物件以後需要還原。
Kaspersky Endpoint Security 會將備份副本移動到隔離。
對關鍵區域執⾏掃描如果選擇該選項，Kaspersky Endpoint Security 將執⾏“關鍵區域掃描⼯作”。預設情況
下，Kaspersky Endpoint Security 會掃描內核記憶體、執⾏處理序和磁碟的開啟磁區。
6. 使⽤“僅在電腦空閒時執⾏”核取⽅塊配置 IOC 掃描⼯作執⾏模式。此核取⽅塊可啟⽤/停⽤當電腦資源有限時
暫停“IOC 掃描”⼯作的功能。當螢幕防護裝置關閉且電腦解除鎖定時，Kaspersky Endpoint Security 將暫停“IOC 掃描”⼯作。
此排程選項可讓您在使⽤電腦時節省電腦資源。
7. 儲存變更。
您可以在⼯作內容的“結果”區域中檢視⼯作結果。您可以在⼯作內容中檢視偵測到的洩露指⽰器的有關資訊：
應⽤程式設定 → IOC 掃描結果。

IOC 掃描結果保留 30 天。在此期間之後，Kaspersky Endpoint Security 將⾃動移除最舊條⽬。

Kaspersky Sandbox 的 KEA 到 KES 遷移指南從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包含⼀個⽤於 Kaspersky Sandbox 解決⽅案的內建代理。您再也無需分開 Kaspersky Endpoint Agent 應⽤程式來使⽤ Kaspersky Sandbox。Kaspersky Endpoint
Agent 的所有功能將由 Kaspersky Endpoint Security 執⾏。
當您在安裝了 Kaspersky Endpoint Agent 的電腦上部署 Kaspersky Endpoint Security 時，Kaspersky Sandbox 解
決⽅案將繼續與 Kaspersky Endpoint Security ⼀起⼯作。此外，Kaspersky Endpoint Agent 將被從電腦移除。當
您將 Kaspersky Endpoint Security 更新到版本 11.7.0 或更⾼版本時，系統中會發⽣相同的⾏為。
Kaspersky Endpoint Security 與 Kaspersky Endpoint Agent 不相容。您不能在同⼀台電腦上同時安裝這些應
⽤程式。
Kaspersky Endpoint Security 必須滿⾜以下條件才能作為 Kaspersky Sandbox 的⼀部分⼯作：
Kaspersky Sandbox 版本 2.0 或更⾼版本。
卡巴斯基安全管理中⼼版本 13.2 或更⾼版本（包括網路代理）。在早期版本的卡巴斯基安全管理中⼼中，無法啟動 Kaspersky Sandbox 功能。
656

Kaspersky Sandbox 只可以使⽤卡巴斯基安全管理中⼼網⾴主控台進⾏管理。
已啟⽤到管理伺服器的資料傳輸。透過網⾴主控台獲取電腦上的隔離檔案需要該資料。
已建立在卡巴斯基安全管理中⼼網⾴主控台和管理伺服器之間的背景連線。若要透過卡巴斯基安全管理中⼼網⾴主控台讓 Kaspersky Sandbox 和管理伺服器⼀起⼯作，您必須建立⼀個新的安全連線，⼀個背景連線。

將 [KES+KEA] 配置遷移到 [KES+built-in agent] for Kaspersky Sandbox 的步驟
1

升級 Kaspersky Endpoint Security 網⾴外掛程式
Kaspersky Sandbox 元件可以使⽤ Kaspersky Endpoint Security 網⾴外掛程式版本 11.7.0 或更⾼版本進⾏管理。

2

遷移政策和⼯作將 Kaspersky Endpoint Agent 設定傳輸到 Kaspersky Endpoint Security for Windows。為此，請使⽤ Web 主控
台中的 Kaspersky Endpoint Agent 遷移精靈。
如何將政策和⼯作設定從 Kaspersky Endpoint Agent 遷移到網⾴主控台中的 Kaspersky Endpoint Security657

在網⾴主控台的主視窗中，選擇“操作 → 從 Kaspersky Endpoint Agent 遷移”。
這會執⾏政策和⼯作遷移精靈。按照精靈的說明進⾏操作。

步驟 1. 政策遷移遷移精靈會建立⼀個新政策，將 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 政策的設
定合併。在政策清單中，選擇您想將其設定與 Kaspersky Endpoint Security 政策合併的 Kaspersky
Endpoint Agent 政策。點擊 Kaspersky Endpoint Agent 政策以選擇您想與其合併設定的 Kaspersky
Endpoint Security 政策。確保選擇了正確的政策然後前往下⼀步。

步驟 2. ⼯作遷移遷移精靈將為 Kaspersky Endpoint Security 建立新⼯作。在⼯作清單中，選擇您想為其設定
Kaspersky Endpoint Security 政策的 Kaspersky Endpoint Agent ⼯作。前往下⼀步。

步驟 3. 精靈完成結束精靈。結果，精靈將執⾏以下操作：
建立⼀個新的 Kaspersky Endpoint Security 政策。
政策將合併 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 的設定。政策稱為<Kaspersky Endpoint Security 政策名稱> & <Kaspersky Endpoint Agent 政策名稱>。新政策的狀態
為“非作⽤中”。若要繼續，將 Kaspersky Endpoint Agent 和 Kaspersky Endpoint Security 政策的狀態變更為“非作⽤中”然後啟動新合併的政策。
從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security for Windows 後，請確保新政策已設定將資料傳輸到管理伺服器的功能（隔離檔案資料和威脅發展鏈資料）。資料傳輸參數值不會從 Kaspersky Endpoint Agent 政策遷移。
建立新的 Kaspersky Endpoint Security ⼯作。
新⼯作是 Kaspersky Endpoint Agent ⼯作的副本。同時，精靈不會變更 Kaspersky Endpoint Agent
⼯作。

3

許可 Kaspersky Sandbox 功能
要將 Kaspersky Endpoint Security 作為 Kaspersky Sandbox 解決⽅案的⼀部分啟動，您需要單獨的 Kaspersky
Sandbox 附加產品授權。您可以使⽤“新增⾦鑰”⼯作新增⾦鑰。結果，兩個⾦鑰將被新增到應⽤程式：
Kaspersky Endpoint Security 和 Kaspersky Sandbox。

4

安裝/升級 Kaspersky Endpoint Security 應⽤程式
要在應⽤程式安裝或升級期間遷移 Kaspersky Sandbox 功能，建議使⽤遠端安裝⼯作。建立遠端安裝⼯作時，
您需要在安裝套件設定中選擇 Kaspersky Sandbox 元件。
您還可以使⽤以下⽅法升級應⽤程式：
使⽤ Kaspersky 更新服務。
本機使⽤安裝精靈。

658

當在安裝了 Kaspersky Endpoint Agent 的電腦上升級應⽤程式時，Kaspersky Endpoint Security ⽀援⾃動選擇元件。⾃動選擇元件取決於升級應⽤程式的使⽤者帳⼾的權限。
如果在系統帳⼾ (SYSTEM) 下使⽤ EXE 或 MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint
Security 將獲得對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。因此，如果電腦安裝了 Kaspersky
Endpoint Agent 且啟動了 Kaspersky Sandbox 解決⽅案，Kaspersky Endpoint Security 安裝程式將⾃動配置元
件集合並選擇 Kaspersky Sandbox 元件。這將使得 Kaspersky Endpoint Security 切換到使⽤內建代理並刪除
Kaspersky Endpoint Agent。在系統帳⼾ (SYSTEM) 下執⾏ MSI 安裝程式通常在透過 Kaspersky 更新服務升級或透過卡巴斯基安全管理中⼼部署安裝套件時進⾏。
如果在沒有權限的帳⼾下使⽤ MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint Security 將缺少對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。在此情況下，Kaspersky Endpoint Security 將基於
Kaspersky Endpoint Agent 配置⾃動選擇元件。此後，Kaspersky Endpoint Security 將切換到使⽤內建代理並刪
除 Kaspersky Endpoint Agent。
Kaspersky Endpoint Security ⽀援在不重啟電腦的情況下升級。您可以選擇政策屬性中的應⽤程式升級模式。

5檢查應⽤程式運⾏情況
如果安裝或升級後應⽤程式後電腦在卡巴斯基安全管理中⼼主控台中具有“緊急”狀態：請確保電腦安裝了網路代理 13.2或更⾼版本。
透過檢視”應⽤程式元件狀態報告”來檢查內建代理的運⾏狀態。如果元件的狀態為”未安裝”，請使⽤變更程式元件⼯作來安裝元件。如果⼀個元件的狀態為 產品授權不⽀援，確保您已啟動內建代理功能。
請確保在 Kaspersky Endpoint Security for Windows 的新政策中接受卡巴斯基安全網路聲明。

Kaspersky Anti Targeted Attack Platform (EDR)
從版本 12.1 開始，Kaspersky Endpoint Security for Windows 包含⼀個內建代理，⽤於管理
Kaspersky Endpoint Detection and Response 元件，作為 Kaspersky Anti Targeted Attack Platform
解決⽅案 (EDR (KATA)) 的⼀部分。Kaspersky Anti Targeted Attack Platform 是旨在及時偵測複雜威脅（如針對性攻擊、進階持久性威脅 (APT)、零⽇攻擊等）的解決⽅案。Kaspersky Anti Targeted
Attack Platform 包括兩個功能組：Kaspersky Anti Targeted Attack（以下也稱為”KATA”）和
Kaspersky Endpoint Detection and Response（以下也稱為”EDR (KATA)”）。您可以單獨購買 EDR(KATA)。有關解決⽅案的詳細資訊，請參閱 Kaspersky Anti Targeted Attack Platform 說明 。

威脅情報⼯具Kaspersky Endpoint Detection and Response 使⽤以下威脅情報⼯具：
卡巴斯基安全網路（以下也稱為 "KSN"）雲端服務基礎架構，提供對即時檔案、網站、和來⾃卡巴斯基知識庫的軟體信譽資訊的存取。使⽤卡巴斯基安全網路的資料可確保 Kaspersky Endpoint Security 能夠更快地對威脅
作出回應，提⾼⼀些防護元件的效能，並減少誤報風險。
與 Kaspersky Threat Intelligence Portal

資訊系統的整合，包含和顯⽰有關檔案和網址信譽的資訊。

Kaspersky 威脅 資料庫。

解決⽅案的⼯作原理
659

Kaspersky Endpoint Security 應⽤程式安裝在公司 IT 基礎結構上的單個電腦上，持續監控處理程序、開啟的網路
連線和被修改的檔案。有關電腦上的事件的資訊（遙測資料）被傳送到 Kaspersky Anti Targeted Attack 平台伺服器。在此情況下，Kaspersky Endpoint Security 應⽤程式也會將應⽤程式發現的威脅相關資訊以及這些威脅的處
理結果相關資訊傳送到 Kaspersky Anti Targeted Attack 平台伺服器。
EDR (KATA) 整合在卡巴斯基安全管理中⼼主控台上配置。內建代理然後被使⽤ Kaspersky Anti Targeted Attack
Platform 主控台進⾏管理，包括執⾏⼯作、管理隔離物件、檢視報告和其他操作。

對以前版本的 Kaspersky Endpoint Security 的⽀援
如果您使⽤ Kaspersky Endpoint Security 11.2.0–11.8.0 與 Kaspersky Anti Targeted Attack Platform (EDR) 進⾏交互操作，應⽤程式將包括 Kaspersky Endpoint Agent。您可以在安裝 Kaspersky Endpoint Security 的過程中安裝
Kaspersky Endpoint Agent。
如果您使⽤的是 Kaspersky Endpoint Security 11.9.0 – 12.0，您需要單獨安裝 Kaspersky Endpoint Agent，因為從
Kaspersky Endpoint Security 11.9.0 開始，Kaspersky Endpoint Agent 分發套件不再是 Kaspersky Endpoint Security
分發套件的⼀部分。

與 EDR (KATA) 進⾏整合
要與 EDR (KATA) 整合，您必須新增 Endpoint Detection and Response (KATA) 元件。您可以在安裝或者更新期間
以及使⽤變更程式元件⼯作時選擇 EDR (KATA) 元件。
EDR Optimum、EDR Expert 和 EDR (KATA) 元件彼此不相容。
Endpoint Detection and Response (KATA) 要⼯作必須滿⾜以下條件：
Kaspersky Anti Targeted Attack Platform 版本 4.1 或更⾼版本。
卡巴斯基安全管理中⼼版本 13.2 或更⾼版本。在早期版本的卡巴斯基安全管理中⼼中，無法啟動 Endpoint
Detection and Response (KATA) 功能。
應⽤程式被啟動，功能受產品授權覆蓋。
Endpoint Detection and Response (KATA) 元件已開啟。
Endpoint Detection and Response (KATA) 依靠的應⽤程式元件已啟⽤且可操作。以下元件可確保 EDR (KATA)
的操作：
檔案威脅防護。
Web 威脅防護。
郵件威脅防護。
弱點利⽤防禦。
⾏為偵測。
主機入侵防禦。
660

修復引擎。
適應性異常控制。
與 Kaspersky Endpoint Detection and Response 涉及以下步驟：1

安裝 Endpoint Detection and Response (KATA) 元件
您可以在安裝或者更新期間以及使⽤變更程式元件⼯作時選擇 EDR (KATA) 元件。
您必須重新啟動電腦以完成升級含新元件的應⽤程式。

2

啟⽤ Endpoint Detection and Response (KATA)
您需要單獨購買 EDR (KATA)（Kaspersky Endpoint Detection and Response (KATA) 附加元件）的產品授權。
該功能將在您為 Kaspersky Endpoint Detection and Response (KATA) 單獨新增⾦鑰後可⽤。因此，電腦上將安
裝有兩個⾦鑰：⼀個⾦鑰⽤於 Kaspersky Endpoint Security，⼀個⾦鑰⽤於 Kaspersky Endpoint Detection andResponse (KATA)。
獨立 Endpoint Detection and Response (KATA) 功能的授權和 Kaspersky Endpoint Security 的授權⼀樣。
確保 EDR (KATA) 功能包括在產品授權中且在應⽤程式的本機介⾯中執⾏。

3

連線到中央節點
Kaspersky Anti Targeted Attack Platform 要求在 Kaspersky Endpoint Security 和中央節點元件之間建立可信連線。要配置可信連線，您必須使⽤ TLS 憑證。您可以在 Kaspersky Anti Targeted Attack Platform 主控台中獲取
TLS 憑證（請參閱 Kaspersky Anti Targeted Attack Platform 說明 ）。然後您必須將 TLS 憑證新增到
Kaspersky Endpoint Security（參⾒下⾯的說明）。

將 TLS 憑證新增到 Kaspersky Endpoint Security

預設情況下，Kaspersky Endpoint Security 僅檢查中央節點的 TLS 憑證。為了使連線更安全，您可以額外啟⽤
在中央節點上進⾏電腦驗證（雙向⾝分驗證）。要啟⽤此驗證，您必須在中央節點和 Kaspersky Endpoint
Security 設定中開啟雙向⾝分驗證。要使⽤雙向⾝分驗證，您還需要⼀個加密容器。加密容器是⼀個帶有憑證
和私鑰的 PFX 存檔。您可以在 Kaspersky Anti Targeted Attack Platform 主控台中獲得⼀個加密容器（請參閱Kaspersky Anti Targeted Attack Platform 說明 ）。
如何使⽤管理主控台 (MMC) 將 Kaspersky Endpoint Security 電腦連線到中央節點

661

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“Detection and Response → Endpoint Detection and Response (KATA)”。
5. 選擇“Endpoint Detection and Response (KATA)”核取⽅塊。
6. 點擊“KATA 伺服器連線設定”。
7. 配置伺服器連線：
逾時中央節點伺服器響應最⼤超時。當超時⽤完時，Kaspersky Endpoint Security 會嘗試連線到不同的中央節點伺服器。
伺服器 TLS 憑證⽤於與中央節點伺服器建立可信連線的 TLS 憑證。您可以在 Kaspersky Anti
Targeted Attack Platform 主控台中獲取 TLS 憑證（請參閱 Kaspersky Anti Targeted Attack
Platform 說明 ）。
使⽤雙向⾝分驗證在 Kaspersky Endpoint Security 和中央節點之間建立安全連線時進⾏雙向⾝分驗證。要使⽤雙向⾝分驗證，您需要在中央節點設定中啟⽤雙向⾝分驗證，然後獲取加密容器並設定密碼以防護加密容器。加密容器是⼀個帶有憑證和私鑰的 PFX 存檔。您可以在Kaspersky Anti Targeted Attack Platform 主控台中獲得⼀個加密容器（請參閱 Kaspersky Anti
Targeted Attack Platform 說明 ）。配置中央節點設定後，您還需要在 Kaspersky Endpoint
Security 設定中啟⽤雙向⾝分驗證並加載受密碼防護的加密容器。
加密容器必須受密碼防護。無法新增密碼為空的加密容器。
8. 點擊“確定”。
9. 新增中央節點伺服器。為此，請指定伺服器位址（IPv4、IPv6）和連線到伺服器的連接埠。
10. 儲存變更。
如何使⽤ Web 主控台將 Kaspersky Endpoint Security 電腦連線到中央節點

662

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response (KATA)”。
5. 開啟“Endpoint Detection and Response (KATA) 已啟⽤“開關。
6. 單擊“KATA 伺服器連線設定”。
7. 配置伺服器連線：
逾時中央節點伺服器響應最⼤超時。當超時⽤完時，Kaspersky Endpoint Security 會嘗試連線到不同的中央節點伺服器。
伺服器 TLS 憑證⽤於與中央節點伺服器建立可信連線的 TLS 憑證。您可以在 Kaspersky Anti
Targeted Attack Platform 主控台中獲取 TLS 憑證（請參閱 Kaspersky Anti Targeted Attack
Platform 說明 ）。
使⽤雙向⾝分驗證 在 Kaspersky Endpoint Security 和中央節點之間建立安全連線時進⾏雙向⾝分驗證。要使⽤雙向⾝分驗證，您需要在中央節點設定中啟⽤雙向⾝分驗證，然後獲取加密容器並設定密碼以防護加密容器。加密容器是⼀個帶有憑證和私鑰的 PFX 存檔。您可以在Kaspersky Anti Targeted Attack Platform 主控台中獲得⼀個加密容器（請參閱 Kaspersky Anti
Targeted Attack Platform 說明 ）。配置中央節點設定後，您還需要在 Kaspersky Endpoint
Security 設定中啟⽤雙向⾝分驗證並加載受密碼防護的加密容器。
加密容器必須受密碼防護。無法新增密碼為空的加密容器。
8. 點擊“確定”。
9. 新增中央節點伺服器。為此，請指定伺服器位址（IPv4、IPv6）和連線到伺服器的連接埠。
10. 儲存變更。
結果，電腦會被新增到 Kaspersky Anti Targeted Attack Platform 主控台上。透過檢視”應⽤程式元件狀態報告”來檢查元件的運⾏狀態。您還可以在 Kaspersky Endpoint Security 的本地介⾯中的報告中檢視元件的運⾏狀
態。“Endpoint Detection and Response (KATA)”元件將新增到 Kaspersky Endpoint Security 元件清單中。

配置遙測
遙測 是受防護電腦上發⽣的事件的清單。Kaspersky Endpoint Security 會分析遙測資料並在同步期間將其傳送到
Kaspersky Anti Targeted Attack Platform。遙測事件幾乎連續不斷地到達伺服器。當滿⾜以下任⼀條件時，Kaspersky Endpoint Security 啟動與伺服器的同步：
同步間隔已⽤完。
緩衝區中的事件數超過上限。
663

因此，預設情況下，應⽤程式每 30 秒或每當緩衝區包含 1024 個事件時同步⼀次。您可以在 Kaspersky Endpoint
Security 政策中配置同步⾏為並選擇最佳值以匹配您的網路負載（請參閱下⾯的說明）。
如果 Kaspersky Endpoint Security 與伺服器之間沒有連線，應⽤程式將對新事件進⾏佇列。當連線還原時，
Kaspersky Endpoint Security 將以正確順序將佇列事件傳送到伺服器。為避免伺服器過載，Kaspersky Endpoint
Security 可能會略過⼀些事件。要啟⽤此功能，您可以最佳化事件傳輸設定，例如，設定每⼩時最⼤事件數值
（請參閱下⾯的說明）。
如果您將 Kaspersky Anti Targeted Attack Platform 與另⼀個也使⽤遙測的解決⽅案⼀起使⽤，您可以關閉 KATA
(EDR) 的遙測（請參閱以上說明）。這可讓您最佳化這些解決⽅案的伺服器負載。例如，如果您部署了 Managed
Detection and Response 解決⽅案和 KATA (EDR)，則可以使⽤ MDR 遙測並在 KATA (EDR) 中建立威脅回應⼯作。
如何在管理主控台 (MMC) 上設定 EDR 遙測

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“Detection and Response → Endpoint Detection and Response (KATA)”。
5. 配置 傳送同步請求到 KATA 伺服器間隔（分） 設定。傳送到中央節點伺服器的同步請求的頻率。在同步期間，Kaspersky Endpoint Security 傳送有關被修改應⽤程式設定和⼯作的資訊。
6. 確保選取將遙測傳送⾄ KATA 核取⽅塊。
7. 如有必要，在資料傳輸設定塊中配置最⼤事件傳輸延遲時間（秒）設定。應⽤程式在同步間隔到期後與
伺服器同步以傳送事件。預設設定是 30 秒。
8. 如有必要，在請求節流塊中選擇啟⽤請求節流核取⽅塊。
該功能有助於最佳化伺服器負載。如果選中該核取⽅塊，應⽤程式將限制傳輸的事件。如果事件數量超
過配置的限制，Kaspersky Endpoint Security 將停⽌傳送事件。
9. 配置⽤於將事件傳送到伺服器的最佳化設定：
每個⼩時的最⼤事件數量如果事件流超過配置的每⼩時事件數限制，應⽤程式會分析遙測數據流並限制事件的傳送。Kaspersky Endpoint Security 在⼀⼩時後還原傳送事件。預設設定是每⼩時 3000 個事件。
事件限制超過百分比該應⽤程式按類型對事件進⾏排序（例如，“登錄檔中的變更”事件），如果相同類型的事件佔事件總數的比率超過配置的百分比限制，則限制事件的傳輸。當其他事件與事件總數的比率再次變得⾜夠⼤時，Kaspersky Endpoint Security 會還原傳送事件。預設設定為 15%。
10. 儲存變更。
如何在 Web 主控台上配置 EDR 遙測664

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”Detection and Response”→”Endpoint Detection and Response (KATA)”。
5. 配置 傳送同步請求到 KATA 伺服器間隔（分） 設定。傳送到中央節點伺服器的同步請求的頻率。在同步期間，Kaspersky Endpoint Security 傳送有關被修改應⽤程式設定和⼯作的資訊。
6. 確保選取將遙測傳送⾄ KATA 核取⽅塊。
7. 如有必要，在資料傳輸設定塊中配置最⼤事件傳輸延遲時間（秒）設定。應⽤程式在同步間隔到期後與
伺服器同步以傳送事件。預設設定是 30 秒。
8. 如有必要，在請求節流塊中選擇啟⽤請求節流核取⽅塊。
該功能有助於最佳化伺服器負載。如果選中該核取⽅塊，應⽤程式將限制傳輸的事件。如果事件數量超
過配置的限制，Kaspersky Endpoint Security 將停⽌傳送事件。
9. 配置⽤於將事件傳送到伺服器的最佳化設定：
每個⼩時的最⼤事件數量如果事件流超過配置的每⼩時事件數限制，應⽤程式會分析遙測數據流並限制事件的傳送。Kaspersky Endpoint Security 在⼀⼩時後還原傳送事件。預設設定是每⼩時 3000 個事件。
事件限制超過百分比該應⽤程式按類型對事件進⾏排序（例如，“登錄檔中的變更”事件），如果相同類型的事件佔事件總數的比率超過配置的百分比限制，則限制事件的傳輸。當其他事件與事件總數的比率再次變得⾜夠⼤時，Kaspersky Endpoint Security 會還原傳送事件。預設設定為 15%。
10. 儲存變更。

665

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 前往 KATA 整合 → 遙測排除項⽬ 部分。
5. 在資料傳輸設定下，選擇使⽤排除項⽬核取⽅塊。
6. 點擊新增並配置排除項⽬：
標準與邏輯 AND 相結合。
Path.文件的完整路徑，包括其名稱和副檔名。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量
以及*和?字元。要使排除項⽬⽣效，必須指定檔案路徑。
命令⾏。⽤於執⾏物件的命令。
描述。來⾃ RT_VERSION (VersionInfo) 資源的 FileDescription 參數的值。
有關 VersionInfo 資源的詳細資訊，請造訪 Microsoft 網站。
原始檔案名稱。來⾃ RT_VERSION (VersionInfo) 資源的 OriginalFilename 參數的值。
版本。來⾃ RT_VERSION (VersionInfo) 資源的 FileVersion 參數的值。
MD5。檔案的 MD5 雜湊。
SHA256。檔案的 SHA256 雜湊。
事件類型。要使排除項⽬⽣效，您必須⾄少選擇⼀種事件類型。
7. 儲存變更。

666

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇KATA 整合 → 遙測排除項⽬。
5. 在資料傳輸設定下，選擇使⽤排除項⽬核取⽅塊。
6. 點擊新增並配置排除項⽬：
標準與邏輯 AND 相結合。
Path.文件的完整路徑，包括其名稱和副檔名。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量
以及*和?字元。要使排除項⽬⽣效，必須指定檔案路徑。
命令⾏。⽤於執⾏物件的命令。
描述。來⾃ RT_VERSION (VersionInfo) 資源的 FileDescription 參數的值。
有關 VersionInfo 資源的詳細資訊，請造訪 Microsoft 網站。
原始檔案名稱。來⾃ RT_VERSION (VersionInfo) 資源的 OriginalFilename 參數的值。
版本。來⾃ RT_VERSION (VersionInfo) 資源的 FileVersion 參數的值。
MD5。檔案的 MD5 雜湊。
SHA256。檔案的 SHA256 雜湊。
事件類型。要使排除項⽬⽣效，您必須⾄少選擇⼀種事件類型。
7. 儲存變更。

EDR (KATA) 的 KEA 到 KES 遷移指南從版本 12.1 開始，Kaspersky Endpoint Security for Windows 包含⼀個內建代理，⽤於管理 Kaspersky Endpoint
Detection and Response 元件，作為 Kaspersky Anti Targeted Attack Platform 解決⽅案的⼀部分。您再也無需分
開 Kaspersky Endpoint Agent 應⽤程式來使⽤ EDR (KATA)。Kaspersky Endpoint Agent 的所有功能將由
Kaspersky Endpoint Security 執⾏。Kaspersky Anti Targeted Attack Platform 伺服器上的負載將保持不變。
當您在安裝了 Kaspersky Endpoint Agent 的電腦上部署 Kaspersky Endpoint Security 時，Kaspersky Anti
Targeted Attack Platform (EDR) 解決⽅案將繼續與 Kaspersky Endpoint Security ⼀起⼯作。此外，Kaspersky
Endpoint Agent 將被從電腦移除。當您將 Kaspersky Endpoint Security 更新到版本 12.1 或者更⾼版本時，系統中
會發⽣相同的⾏為。
Kaspersky Endpoint Security 與 Kaspersky Endpoint Agent 不相容。您不能在同⼀台電腦上同時安裝這些應
⽤程式。
667

Kaspersky Endpoint Security 必須滿⾜以下條件才能作為 Endpoint Detection and Response (KATA) 的⼀部分⼯作：
Kaspersky Anti Targeted Attack Platform 版本 4.1 或更⾼版本。
卡巴斯基安全管理中⼼版本 13.2 或更⾼版本（包括網路代理）。在早期版本的卡巴斯基安全管理中⼼中，無法啟動 Endpoint Detection and Response (KATA) 功能。

將 [KES+KEA] 配置遷移到 [KES+built-in agent] for EDR (KATA) 的步驟
1

升級 Kaspersky Endpoint Security 管理外掛程式
EDR (KATA) 元件可以使⽤ Kaspersky Endpoint Security 管理外掛程式版本 12.1 或更⾼版本進⾏管理。根據您使⽤的卡巴斯基安全管理中⼼主控台類型，更新管理主控台 (MMC) 中的管理外掛程式或網⾴主控台中的 Web 外
掛程式。

2

遷移政策和⼯作將 Kaspersky Endpoint Agent 設定傳輸到 Kaspersky Endpoint Security for Windows。下列選項可⽤：
⽤於從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security 的精靈。從 Kaspersky Endpoint
Agent 遷移到 Kaspersky Endpoint Security 的精靈僅適⽤於網⾴主控台
如何將政策和⼯作設定從 Kaspersky Endpoint Agent 遷移到網⾴主控台中的 Kaspersky Endpoint Security668

在網⾴主控台的主視窗中，選擇“操作 → 從 Kaspersky Endpoint Agent 遷移”。
這會執⾏政策和⼯作遷移精靈。按照精靈的說明進⾏操作。

步驟 1. 政策遷移遷移精靈會建立⼀個新政策，將 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 政策的設定合併。在政策清單中，選擇您想將其設定與 Kaspersky Endpoint Security 政策合併的
Kaspersky Endpoint Agent 政策。點擊 Kaspersky Endpoint Agent 政策以選擇您想與其合併設定的
Kaspersky Endpoint Security 政策。確保選擇了正確的政策然後前往下⼀步。

步驟 2. ⼯作遷移遷移精靈不⽀援 EDR (KATA) ⼯作。略過此步驟。

步驟 3. 精靈完成結束精靈。作為精靈的結果，將建立新的 Kaspersky Endpoint Security 政策。政策將合併
Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 的設定。政策稱為 <Kaspersky Endpoint
Security 政策名稱> & <Kaspersky Endpoint Agent 政策名稱>。新政策的狀態為“非作⽤中”。若要繼續，將 Kaspersky Endpoint Agent 和 Kaspersky Endpoint Security 政策的狀態變更為“非作⽤中”然後啟動新合併的政策。
網⾴主控台中的遷移精靈略過了以下政策設定並且不遷移它們：
設定修改禁⽌ KATA 伺服器連線設定 （“鎖”）。
預設情況下，設定可以被修改（“鎖”是開啟的）。因此，設定不會套⽤到電腦上。您必須禁⽌修
改設定並關閉“鎖”。
加密容器。
如果您使⽤雙向⾝分驗證連線到中央節點伺服器，則必須重新新增加密容器。
由於遷移精靈不遷移這些設定，您在將電腦連線到 Central Node 伺服器時可能會遇到錯誤。若要
修復錯誤，您需要轉到政策內容並配置連線設定。
標準政策和⼯作批量轉換精靈。政策和⼯作批量轉換精靈僅在管理主控台 (MMC) 中可⽤。有關政策和⼯作批量轉換精靈的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
為確保 Kaspersky Endpoint Security 在伺服器上正常⼯作，建議將對伺服器功能重要的檔案新增到受信任區域。對於 SQL 伺服器，您必須新增 MDF 和 LDF 資料庫檔案。對於 Microsoft Exchange 伺服器，您必須
新增 CHK、EDB、JRS、LOG 和 JSL 檔案。您可以使⽤遮罩，例如，C:\Program Files(x86)\Microsoft SQL Server\*.mdf。

EDR 遙測排除項⽬不會從 Kaspersky Endpoint Agent 政策遷移到 Kaspersky Endpoint Security 政策。
Kaspersky Endpoint Security 有⾃⼰的排除⼯具：可信應⽤程式。Kaspersky Endpoint Security 的操作經過
最佳化，與 Kaspersky Endpoint Agent 相比，缺少單個 EDR 遙測排除項⽬不會對您的電腦造成任何額外負載。Kaspersky Endpoint Security 不僅將遙測⽤於 EDR (KATA)，還⽤於應⽤程式防護元件的運⾏。因此，無需傳輸單個 EDR 遙測排除項⽬。如果您經歷電腦效能下降，請檢查應⽤程式的運⾏情況（請參閱步驟 7檢查效能）。
669

3

授權 EDR (KATA) 功能
要將 Kaspersky Endpoint Security 作為 Kaspersky Anti Targeted Attack Platform 解決⽅案的⼀部分啟動，您需要單獨的 Kaspersky Endpoint and Detection and Response (KATA) 附加產品授權。您可以使⽤“新增⾦鑰”⼯作新增⾦鑰。結果，兩個⾦鑰將被新增到應⽤程式：Kaspersky Endpoint Security 和 Kaspersky Endpoint and
Detection and Response (KATA)。
在具有先前啟動的 EDR Optimum 或 EDR Expert 功能的電腦上啟動 Kaspersky Endpoint Detection andResponse (KATA) 附加產品授權涉及以下特殊注意事項：
如果您使⽤的是 ⾦鑰檔案授權具有 EDR Optimum 或 EDR Expert 功能的 Kaspersky Endpoint Security，您無法啟動獨立的 Kaspersky Endpoint Detection and Response (KATA) 附加產品授權。您可以切換到使⽤啟動
碼進⾏許可，或者聯絡您的服務提供商以獲取新的⾦鑰檔案來啟動 Kaspersky Endpoint Security 和 EDR 功能。服務提供商將提供⼀個或多個⽤於許可的⾦鑰檔案。
如果您使⽤⾦鑰檔案授權沒有 EDR Optimum 或 EDR Expert 功能的 Kaspersky Endpoint Security，您可以啟動獨立的 Kaspersky Endpoint Detection and Response (KATA) 附加產品授權，⽽無需重新發布⾦鑰檔案。
如果您使⽤啟動碼授權，則卡巴斯基啟動伺服器將⾃動重新發布⾦鑰，EDR (KATA) 功能將⾃動可⽤。在這
種情況下，EDR Optimum 和 EDR Expert 將被停⽤。
Kaspersky Endpoint Security 允許您新增最多兩個啟動⾦鑰：Kaspersky Endpoint Security ⾦鑰和附加類型
⾦鑰。您還可以新增最多兩個備⽤⾦鑰。⼀個 Kaspersky Endpoint Security 備⽤⾦鑰和⼀個附加類型備⽤⾦
鑰。

4安裝/升級 Kaspersky Endpoint Security 應⽤程式
要在應⽤程式安裝或升級期間遷移 EDR (KATA) 功能，建議使⽤遠端安裝⼯作。建立遠端安裝⼯作時，您需要在安裝套件設定中選擇 EDR（KATA）元件。
您還可以使⽤以下⽅法升級應⽤程式：
使⽤ Kaspersky 更新服務。
本機使⽤安裝精靈。
當在安裝了 Kaspersky Endpoint Agent 的電腦上升級應⽤程式時，Kaspersky Endpoint Security ⽀援⾃動選擇元件。⾃動選擇元件取決於升級應⽤程式的使⽤者帳⼾的權限。
如果在系統帳⼾ (SYSTEM) 下使⽤ EXE 或 MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint
Security 將獲得對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。因此，如果電腦安裝了 Kaspersky
Endpoint Agent 且啟動了 EDR (KATA) 解決⽅案，Kaspersky Endpoint Security 安裝程式將⾃動配置元件集合並選擇 EDR (KATA) 元件。這將使得 Kaspersky Endpoint Security 切換到使⽤內建代理並刪除 Kaspersky Endpoint
Agent。在系統帳⼾ (SYSTEM) 下執⾏ MSI 安裝程式通常在透過 Kaspersky 更新服務升級或透過卡巴斯基安全管
理中⼼部署安裝套件時進⾏。
如果在沒有權限的帳⼾下使⽤ MSI 檔案升級 Kaspersky Endpoint Security，Kaspersky Endpoint Security 將缺少對 Kaspersky 解決⽅案的⽬前產品授權的存取權限。在這種情況下，Kaspersky Endpoint Security 會根據
Kaspersky Endpoint Agent 的⼀組元件⾃動選擇元件。此後，Kaspersky Endpoint Security 將切換到使⽤內建代
理並刪除 Kaspersky Endpoint Agent。
Kaspersky Endpoint Security ⽀援在不重啟電腦的情況下升級。您可以選擇政策屬性中的應⽤程式升級模式。

5檢查應⽤程式運⾏情況
如果安裝或升級後應⽤程式後電腦在卡巴斯基安全管理中⼼主控台中具有“緊急”狀態：請確保電腦安裝了網路代理 13.2或更⾼版本。

670

透過檢視”應⽤程式元件狀態報告”來檢查內建代理的運⾏狀態。如果元件的狀態為”未安裝”，請使⽤變更程式元件⼯作來安裝元件。如果⼀個元件的狀態為 產品授權不⽀援，確保您已啟動內建代理功能。
請確保在 Kaspersky Endpoint Security for Windows 的新政策中接受卡巴斯基安全網路聲明。
6

檢查與 Kaspersky Anti Targeted Attack Platform 伺服器的連線
檢查與 Kaspersky Anti Targeted Attack Platform 伺服器的連線。為此，請執⾏以下操作：
1. 檢查您是否擁有有效的憑證。
2. 檢查伺服器連線設定。
3. 檢查事件記錄。
如果建立了與伺服器的連線，應⽤程式將傳送事件 成功連線到 Kaspersky Anti Targeted Attack Platform 伺
服器。如果沒有成功連線事件並且沒有連線錯誤事件，檢查事件記錄設定並為 Endpoint Detection andResponse (KATA) 啟⽤事件傳送。
伺服器連線狀態不會影響 Kaspersky Security Center 主控台中的電腦狀態。因此，如果沒有連線到伺服器，電腦仍然可以擁有 OK 狀態。檢查事件⽇誌以驗證與伺服器的連線。

7

檢查效能如果您的電腦在安裝或更新應⽤程式後效能下降，您可以最佳化資料傳輸。為此，請執⾏以下操作：
1. 停⽤ EDR (KATA) 元件 並檢查效能下降是由於 EDR (KATA)。
2. 針對受信任的應⽤程式，關閉主控台輸入操作的遙測收集（預設啟⽤）。
3. 將降低電腦效能的應⽤程式新增到受信任的應⽤程式清單。
4. 聯絡卡巴斯基技術⽀援。⽀援專家將幫助您在 Kaspersky Anti Targeted Attack Platform 中配置遙測過濾。
這將減少流量。如果您的電腦效能受到某個應⽤程式的影響，請在請求中附上該應⽤程式的分發套件。

管理隔離
隔離區是電腦上的⼀個特別本機儲存區域。使⽤者可以隔離使⽤者認為對電腦有危險的檔案。隔離檔案以加密狀
態儲存，不會威脅裝置安全。Kaspersky Endpoint Security 僅在使⽤以下 Detection and Response 解決⽅案時使
⽤隔離：EDR Optimum、EDR Expert、KATA (EDR)、Kaspersky Sandbox。在其他情況下，Kaspersky Endpoint
Security 將相關檔案放置在備份中。若要瞭解將隔離作為解決⽅案的⼀部分進⾏管理的詳情，請參⾒Kaspersky
Sandbox 說明 、Kaspersky Endpoint Detection and Response Optimum 說明 、Kaspersky Endpoint Detection
and Response Expert 說明 、Kaspersky Anti Targeted Attack Platform 說明 。
Kaspersky Endpoint Security 使⽤系統帳⼾ (SYSTEM) 隔離檔案。
您只可以在卡巴斯基安全管理中⼼主控台中配置隔離設定。您也可以使⽤卡巴斯基安全管理中⼼主控台來管理隔
離的物件（還原，刪除，新增，等等）。在本機電腦上，您只能使⽤命令列還原物件。

配置最⼤隔離⼤⼩671

預設情況下，隔離⼤⼩限制為 200 MB。當達到最⼤容量後，Kaspersky Endpoint Security 將⾃動刪除隔離區中最舊的檔案。
如果您的組織中部署了 Kaspersky Anti Targeted Attack Platform (EDR) 解決⽅案，我們建議增加隔離⼤⼩。
當進⾏ YARA 掃描時，應⽤程式可能遇到⼤型記憶體傾印。如果記憶體傾印的⼤⼩超過隔離⼤⼩，則 YARA
掃描將以錯誤結束，記憶體傾印不會被隔離。我們建議將隔離⼤⼩設定為等於電腦上的 RAM 的總⼤⼩（例如 8 GB）。

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 報告和儲存”。
5. 在“隔離區”塊中配置隔離⼤⼩：
隔離區⼤⼩限制為 N MB。最⼤隔離⼤⼩ (MB)例如，您可以設定最⼤隔離⼤⼩為 200 MB。當隔離達
到最⼤⼤⼩時，Kaspersky Endpoint Security 會發送相應事件到卡巴斯基安全管理中⼼並在Windows
事件記錄中發佈事件。同時，應⽤程式會停⽌隔離新物件。您必須⼿動清空隔離區。
通知隔離區儲存達到 N 百分比。隔離的閾值。例如，您可以設定隔離閾值為 50%。當隔離達到閾值
時，Kaspersky Endpoint Security 會發送相應事件到卡巴斯基安全管理中⼼並在Windows 事件記錄中
發佈事件。同時，應⽤程式會繼續隔離新物件。
6. 儲存變更。
如何在網⾴主控台和雲端主控台中配置最⼤隔離⼤⼩

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”報告和儲存”。
5. 在“隔離區”塊中配置隔離⼤⼩：
隔離區⼤⼩限制為 N MB。最⼤隔離⼤⼩ (MB)例如，您可以設定最⼤隔離⼤⼩為 200 MB。當隔離達
到最⼤⼤⼩時，Kaspersky Endpoint Security 會發送相應事件到卡巴斯基安全管理中⼼並在Windows
事件記錄中發佈事件。同時，應⽤程式會停⽌隔離新物件。您必須⼿動清空隔離區。
通知隔離區儲存達到 N 百分比。隔離的閾值。例如，您可以設定隔離閾值為 50%。當隔離達到閾值
時，Kaspersky Endpoint Security 會發送相應事件到卡巴斯基安全管理中⼼並在Windows 事件記錄中
發佈事件。同時，應⽤程式會繼續隔離新物件。
6. 儲存變更。
672將有關隔離檔案的資料傳送到卡巴斯基安全管理中⼼
要在 Web 主控台中對隔離物件執⾏操作，您必須啟⽤將隔離檔案資料傳送到管理伺服器。例如，您可以從隔離區下載檔案⽤於在網⾴主控台中分析。必須啟⽤傳送隔離檔案資料，Kaspersky Sandbox 和 Kaspersky Endpoint
Detection and Response的所有功能才能⼯作。

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在主控台樹狀⽬錄中，選擇 “政策”。
3. 選擇必要的政策並點擊以開啟政策內容。
4. 在政策視窗中，選擇“⼀般設定 → 報告和儲存”。
5. 在”到管理伺服器的資料傳輸”塊中，點擊”設定”按鈕。
6. 在開啟的視窗中，選中“關於隔離檔案”核取⽅塊。
7. 儲存變更。
如何啟⽤將隔離檔案資料傳輸到網⾴主控台

1. 在網⾴主控台的主視窗中，選取“裝置”→“政策和設定檔”。
2. 點擊 Kaspersky Endpoint Security 政策的名稱。
政策內容視窗將開啟。
3. 選取“應⽤程式設定”標籤。
4. 轉到”⼀般設定”→”報告和儲存”。
5. 在“到管理伺服器的資料傳輸“塊中，選中“關於隔離檔案”核取⽅塊。
6. 儲存變更。
結果，您可以在卡巴斯基安全管理中⼼主控台中檢視已在您的電腦上隔離的檔案清單。您也可以使⽤網⾴主控台
來管理隔離的物件（還原，刪除，新增，等等）。有關使⽤隔離的詳細資訊，請參閱卡巴斯基安全管理中⼼說
明 。

從隔離區中還原檔案
預設情況下，Kaspersky Endpoint Security 將檔案還原到其原始資料夾。如果⽬的地資料夾已被刪除或者使⽤者
沒有此資料夾的存取權限，應⽤程式將把檔案放置於“%DataRoot%\QB\Restored”資料夾中。然後您必須⼿動將檔案移動到⽬的地資料夾。

要從隔離區中還原檔案：673

1. 在 Web 主控台的主視窗中，選擇操作 → 儲存區 → 隔離。
2. 這將開啟隔離區中的檔案清單；在此清單中，選擇您想要還原的檔案然後點擊“還原”。
Kaspersky Endpoint Security 將還原該檔案。如果⽬的地資料夾已經有同名檔案，則應⽤程式會取消檔案還原。對於 EDR Optimum 和 EDR Expert 解決⽅案，應⽤程式會在還原後刪除檔案。對於其它解決⽅案，應⽤程
式將在隔離區中保留檔案備份。

674

KSWS 到 KES 遷移指南從版本 11.8.0 開始，Kaspersky Endpoint Security for Windows ⽀援 Kaspersky Security for Windows
Server (KSWS) 解決⽅案的基本功能。Kaspersky Security for Windows Server 防護執⾏ Microsoft
Windows 作業系統和網路附加儲存的伺服器免受病毒和其他電腦安全威脅，伺服器和網路附加儲
存在交換檔案時會受到這些威脅。如欲瞭解該解決⽅案如何⼯作的詳細資訊，請參閱 Kaspersky
Security for Windows Server 說明 。從 Kaspersky Endpoint Security 11.8.0 開始，您可以從
Kaspersky Security for Windows Server 遷移到 Kaspersky Endpoint Security for Windows，並使⽤同⼀個解決⽅案來防護⼯作站和伺服器。

軟體要求在開始從 KSWS 遷移到 KES 之前，請確保您的伺服器滿⾜ Kaspersky Endpoint Security for Windows 的硬件
和軟體要求。KES 和 KSWS ⽀援的作業系統版本清單不同。例如，KES 不⽀援執⾏ Windows Server 2003 的
伺服器。
從 KSWS 遷移到 KES 的最低軟體要求：
Kaspersky Endpoint Security for Windows 12.0。
Kaspersky Security 11.0.1 for Windows Server。
如果您安裝了早期版本的 Kaspersky Security for Windows Server，我們建議將應⽤程式升級到最新版本。政策和⼯作轉換精靈不⽀援早期版本的 Kaspersky Security for Windows Server。
卡巴斯基安全管理中⼼ 14.2
如果您安裝了早期版本的卡巴斯基安全管理中⼼，請將其更新到 14.2 或更⾼版本。在此版本的卡巴斯基安全
管理中⼼中，政策和⼯作批量轉換精靈允許您將政策遷移到設定檔⽽不是政策。在此版本的卡巴斯基安全管
理中⼼中，政策和⼯作批量轉換精靈還允許您遷移範圍更廣的政策設定。
Kaspersky Endpoint Agent 3.10。
如果您安裝了早期版本的 Kaspersky Endpoint Agent，我們建議將應⽤程式升級到最新版本。從 Kaspersky
Endpoint Agent 3.10 開始，Kaspersky Endpoint Security ⽀援將 [KSWS+KEA] 配置遷移到 [KES+內建代理]。

遷移建議
從 KSWS 遷移到 KES 時，請遵循以下建議：
提前規劃好 KSWS 到 KES 的遷移時間。選擇伺服器在最輕負載下執⾏的時間，例如周末。
遷移後，逐步開啟應⽤程式元件。即，例如，⾸先單獨啟⽤檔案威脅防護元件，然後啟⽤其他防護元件，再啟⽤控制元件，依此類推。在每⼀步，您都必須確保應⽤程式正常⼯作，並監控伺服器的效能。KES 的架構
與 KSWS 不同，因此作業系統的⾏為也可能不同。
逐步進⾏遷移。⾸先遷移單台伺服器，然後遷移多台伺服器，然後在組織的所有伺服器上進⾏遷移。
分別遷移不同類型的伺服器。也就是說，例如，⾸先遷移資料庫伺服器，然後遷移郵件伺服器，等等。
在⾼負載伺服器上遷移涉及⼀些特殊注意事項。

遷移步驟
675

從 KSWS 到 KES 的遷移是半⾃動執⾏的。這是必要的，因為應⽤程式的架構不同。要遷移政策設定，您必須執⾏政策和⼯作批量轉換精靈（遷移精靈）。遷移政策設定後，您必須⼿動配置遷移精靈無法⾃動遷移的設定（例如，密碼防護設定）。遷移後，還建議檢查遷移精靈是否正確遷移了所有設定。
按以下順序從 KSWS 遷移到 KES：
1

遷移 KSWS ⼯作和政策
遷移政策和⼯作後，您必須執⾏額外的配置步驟。我們還建議確保 Kaspersky Endpoint Security 在從 KSWS 遷
移後提供必要的安全級別。
Kaspersky Security for Windows Server 的政策和⼯作批量轉換精靈僅在管理主控台 (MMC) 中可⽤。政策
和⼯作設定無法在網⾴主控台和卡巴斯基安全管理中⼼雲端主控台中進⾏遷移。

2

安裝 Kaspersky Endpoint Security
您可以通過以下⽅式安裝 Kaspersky Endpoint Security：
刪除 KSWS 後安裝 KES（建議）。
在 KSWS 之上安裝 KES。

3

使⽤ KSWS ⾦鑰啟動 KES

4

確認應⽤程式在遷移後處於⼯作狀態
從 KSWS 遷移到 KES 後，確保應⽤程式運⾏正常。在主控台查看伺服器狀態（應該是確定）。確保應⽤程式沒
有報告任何錯誤，還要檢查最後⼀次連線到管理伺服器的時間、最後⼀次更新資料庫的時間和伺服器防護狀
態。
特別注意排除項⽬清單、受信任應⽤程式、受信任網址、應⽤程式控制規則的遷移。

KSWS 和 KES 元件的對應關係
從 KSWS 遷移到 KES 時，僅當應⽤程式在本機安裝時才遷移元件集。
Kaspersky Security for Windows Server 和 Kaspersky Endpoint Security for Windows 元件的對應關係

Kaspersky Endpoint Security for Windows 元件

Kaspersky
Security for
Windows Server
元件

基本功能

應⽤程式內核，包括掃描⼯作

記錄檢查

記錄審查

裝置控制

裝置控制

防火牆管理

（不受⽀援）KSWS 防火墻功能由系統級別的防火墻執⾏。在 KES 中，⼀個單獨的元件負責防火牆
功能。您可以在遷移後配置 Kaspersky Endpoint Security 防火墻。

檔案完整性監控

檔案完整性監控

弱點利⽤防禦

弱點利⽤防禦
676

系統托盤圖⽰

（不受⽀援）
您可以在 應⽤程式介⾯設定中配置使⽤者互動。

與卡巴斯基安全
管理中⼼的整合

網路代理連線器端點代理（不受⽀援）
在 Kaspersky Endpoint Security 11.9.0 中，Kaspersky Endpoint Agent 分發套件不再是
Kaspersky Endpoint Security 分發套件的⼀部分。您必須單獨下載 Kaspersky Endpoint
Agent 分發套件。

網路威脅防護網路威脅防護

Anti-Cryptor

⾏為偵測Anti-Cryptor for
NetApp（不受⽀援）

流量安全

Web 威脅防護
郵件威脅防護Web 控制

按需掃描

應⽤程式內核，包括掃描⼯作

ICAP 網路儲存防
護（不受⽀援）

RPC 網路儲存防
護（不受⽀援）

即時檔案防護檔案威脅防護指令碼監控

（不受⽀援）

Kaspersky Endpoint Security 不⽀援網路附加儲存防護元件。如果您需要這些元件，您可以繼續使⽤ Kaspersky Security for Windows Server。
Kaspersky Endpoint Security 不⽀援網路附加儲存防護元件。如果您需要這些元件，您可以繼續使⽤ Kaspersky Security for Windows Server。

指令碼監控由其他元件處理，例如，AMSI 防護。
KSN 使⽤卡巴斯基安全網路

應⽤程式啟動控制

應⽤程式控制效能計數器

（不受⽀援）KSWS 和 KES 設定的對應關係
遷移政策和⼯作時，會根據 KSWS 設定配置 KES。KSWS 沒有的應⽤程式元件被設定為預設值。

應⽤程式設定可擴展性、介⾯和掃描設定677

Kaspersky Endpoint Security for Windows 不⽀援應⽤程式設定。
應⽤程式設定Kaspersky Endpoint Security for Windows 設定

Kaspersky
Securityfor
Windows
Server 設
定

延伸性設
定

（不遷移）

顯⽰系統
托盤圖⽰

（不遷移）

掃描後還
原檔案內
容

（不遷移）

限制執⾏
緒掃描的
CPU 使⽤
率

（不遷移）

⽤於儲存
在掃描期
間建立的
暫存檔案
的資料夾

（不遷移）

HSM 系統設定（不遷移）

Kaspersky Endpoint Security 管理所有⼯作流程。
在⽤⼾端電腦上，Kaspersky Endpoint Security 的主視窗和 Windows 通知區域中的圖⽰
均預設可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint Security
執⾏操作。Kaspersky Endpoint Security 還會在應⽤程式圖⽰上⽅顯⽰通知。您可以在應⽤程式介⾯設定中配置使⽤者互動。
Kaspersky Endpoint Security 會在掃描檔案後⾃動還原檔案屬性。

Kaspersky Endpoint Security 在掃描時不限制 CPU 使⽤。您可以 配置當電腦在最⼩負載
下運⾏時要執⾏的⼯作。

Kaspersky Endpoint Security 將暫存檔放在 C:\Windows\Temp 資料夾中。

Kaspersky Endpoint Security 不⽀援 HSM 系統。

安全性和可靠性

678

KSWS 安全設定被遷移到⼀般設定區段的應⽤程式設定和介⾯⼦區段。
應⽤程式安全設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Server 設定

防護應⽤程式處理程序免
受外部威脅

啟⽤⾃我防護（應⽤程式設定⼦區段）套⽤密碼防護（不遷移）
Kaspersky Endpoint Security 具有內建密碼防護功能（請參⾒“介⾯”⼦區段）。

重新啟動⼯作（不遷移）

Kaspersky Endpoint Security 僅⾃動還原惡意軟體掃描⼯作。Kaspersky
Endpoint Security 按排程執⾏其他⼯作。
不啟動已排程掃描⼯作

使⽤電池供電時延遲排程⼯作（應⽤程式設定⼦區段）停⽌⽬前掃描⼯作（不遷移）
當電腦由 UPS 供電時，Kaspersky Endpoint Security 不會停⽌已在執⾏
的掃描⼯作。

連線設定

管理伺服器互動設定被遷移到⼀般設定區段的網路設定和應⽤程式設定⼦區段。
管理伺服器互動設定

Kaspersky Security for
Windows Server 設定

Kaspersky Endpoint Security for Windows 設定

代理伺服器設定

代理伺服器設定（網路設定⼦區段）對於本機位址不使⽤代
理伺服器

本機位址不使⽤代理伺服器（網路設定⼦區段）代理伺服器⾝分驗證設
定使⽤代理伺服器⾝分驗證（網路設定⼦區段）Kaspersky Endpoint Security 不⽀援 NTLM ⾝分驗證。如果在 KSWS
設定中啟⽤了 NTLM ⾝分驗證，則遷移後必須配置代理伺服器⾝分驗證並配置使⽤者名稱和密碼。

代理伺服器⾝分驗證密碼未遷移。政策遷移後，必須⼿動輸入密碼。
啟動應⽤程式時使⽤卡
巴斯基安全管理中⼼作
為代理伺服器使⽤卡巴斯基安全管理中⼼作為啟動代理伺服器（應⽤程式設定⼦區段）執⾏本機系統⼯作679

Kaspersky Endpoint Security 會忽略⽤於執⾏ Kaspersky Security for Windows Server 的本機系統⼯作的設定。您可以在 本機⼯作, ⼯作管理 下⾯配置如何使⽤本機 KES ⼯作。您也可以在這些⼯作的內容中配置⽤於執⾏惡意軟體掃描 and 更新⼯作的排程。

補充
應⽤程式掃描排除項⽬

KSWS 受信任區段設定被遷移到 ⼀般設定 區段的排除項⽬⼦區段。
受信任區域設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky
Security for
Windows
Server 設定

要掃描的物
件（排除項
⽬）

掃描排除項⽬ (掃描排除項⽬)

同時套⽤於
⼦資料夾
（排除項
⽬）

包含⼦資料夾 (掃描排除項⽬)

偵測物件
（排除項
⽬）

物件名稱 (掃描排除項⽬)

排除使⽤範
圍（排除項
⽬）

防護元件 (掃描排除項⽬)

註解（排除
項⽬）

註解 (掃描排除項⽬)

受信任處理
程序（受信
任處理程
序）

受信任應⽤程式

不檢查檔案
備份操作
（受信任處
理程序）

活動 (受信任應⽤程式)

KSWS 和 KES ⽤於選擇物件的⽅法不同。遷移時，KES ⽀援定義為單個檔案或檔案/資料夾路徑的排除項⽬。如果 KSWS 將排除項⽬配置為預定義區域或指令碼
URL，則不會遷移此類排除項⽬。遷移後，您必須⼿動新增此類排除項⽬。

如果在 KSWS 中選擇了⾄少⼀個元件，則 KES 會將排除項⽬套⽤到所有應⽤程式
元件。

KSWS 和 KES 中的受信任處理程序/應⽤程式選擇⽅法不同。遷移時，KES ⽀援配
置為可執⾏檔或遮罩路徑的受信任應⽤程式。如果 KSWS 具有配置為檔案的受信
任處理程序，則不會遷移此類受信任處理程序。遷移後，您必須⼿動新增此類受信
任處理程序。

卸除式磁碟機掃描680

卸除式磁碟機掃描設定被遷移到 本機⼯作 區段的卸除式磁碟機掃描⼦區段。
“卸除式磁碟機掃描”設定

Kaspersky Security for Windows Server 設定

Kaspersky Endpoint Security for Windows 設
定

掃描透過 USB 連接的卸除式磁碟機

連接到卸除式磁碟機的操作

掃描卸除式磁碟機，如果其儲存的資料量未超過(MB)

卸除式磁碟機最⼤容量

掃描時使⽤的安全等級：

連接到卸除式磁碟機的操作：

最佳防護

詳細掃描

建議

快速掃描。

最佳效能

KSWS 安全等級對應於 KES 掃描模式如下：最佳防護 – 詳細掃描。
建議 – 快速掃描。
最佳效能 – 快速掃描。

應⽤程式管理使⽤者權限Kaspersky Endpoint Security 不⽀援為應⽤程式管理和應⽤程式服務管理分配使⽤者存取權限。您可以為使
⽤者和使⽤者群組配置⽤來管理卡巴斯基安全管理中⼼中的應⽤程式的存取設定。
卡巴斯基安全服務管理的使⽤者存取權限

Kaspersky Endpoint Security 不⽀援為應⽤程式管理和應⽤程式服務管理分配使⽤者存取權限。您可以為使
⽤者和使⽤者群組配置⽤來管理卡巴斯基安全管理中⼼中的應⽤程式的存取設定。
儲存681

KSWS 儲存設定被遷移到⼀般設定區段的 報告和儲存⼦區段，和關鍵威脅防護區段的網路威脅防護⼦區段。
儲存設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Security 設定

備份資料夾

（不遷移）
Kaspersky Endpoint Security 將檔案的備份副本儲存在
C:\ProgramData\Kaspersky Lab\KES.21.14\QB 資料夾中。

最⼤備份空間 (MB)備份⼤⼩限制為 N MB（⼀般設定 → 報告和儲存區段）

可⽤空間上限值(MB)（不遷移）
當達到 50% 的閾值時，Kaspersky Endpoint Security 會記錄隔離區儲存幾
乎⽤盡空間事件。

還原物件的指定資料夾

（不遷移）Kaspersky Endpoint Security 將檔案還原到其原始資料夾。

隔離資料夾

（不遷移）
Kaspersky Endpoint Security 將檔案的備份副本儲存在
C:\ProgramData\Kaspersky Lab\KES.21.14\QB 資料夾中。

最⼤隔離區空間 (MB)（不遷移）
Kaspersky Endpoint Security 使⽤備份來儲存可能受感染的物件。在遷移過程中，Kaspersky Endpoint Security 會忽略隔離設定。

可⽤空間上限值(MB)（不遷移）
Kaspersky Endpoint Security 使⽤備份來儲存可能受感染的物件。在遷移過程中，Kaspersky Endpoint Security 會忽略隔離設定。

還原物件的指定資料夾

（不遷移）Kaspersky Endpoint Security 將檔案還原到其原始資料夾。

在該時間後⾃動解除封
鎖： N

封鎖攻擊裝置 N 分 (關鍵威脅防護 → 網路威脅防護區段）

即時伺服器防護即時檔案防護682

KSWS 即時檔案防護設定被遷移到關鍵威脅防護區段的檔案威脅防護⼦區段。
即時檔案防護設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Server 設定

物件防護模式：

掃描模式：

智慧模式

智慧模式

執⾏時

在執⾏時

存取時

在存取時

存取及修改時在存取及修改時。

對啟動處理程序的更深度分析（不遷移）
Kaspersky Endpoint Security 僅⽀援⼀種分析模式，即最佳模式。

啟發式分析器：啟發式分析：

輕度

輕度掃描

中度

中度掃描

深度

深度掃描。

套⽤信任區域（不遷移）
Kaspersky Endpoint Security 將受信任區域套⽤到所有元件。您可
以在 受信任區域設定中配置排除項⽬。

使⽤ KSN 防護（不遷移）
Kaspersky Endpoint Security 將 KSN ⽤於所有應⽤程式元件。

封鎖對顯⽰惡意活動的主機的
網路共⽤資源的存取（不遷移）

偵測到感染活動時啟動關鍵區
域掃描

（不遷移）

使⽤ Kaspersky Sandbox 防護（不遷移）

預設情況下，Kaspersky Endpoint Security 會對於顯⽰惡意活動的
主機封鎖存取網路共⽤資源。
偵測到活動感染時，Kaspersky Endpoint Security 不會啟動關鍵區
域掃描⼯作。
預設情況下，Kaspersky Endpoint Security 將要掃描的物件傳送到
Kaspersky Sandbox。

防護範圍

防護範圍

排程設定

（不遷移）
Kaspersky Endpoint Security 使⽤⾃⼰的排程來暫停檔案威脅防護。

KSN 使⽤683

卡巴斯基安全網路的 KSWS 設定被遷移到進階威脅防護區段的卡巴斯基安全網路⼦區段。
卡巴斯基安全網路設定

Kaspersky Security for Windows
Server 設定

Kaspersky Endpoint Security for Windows 設定

我確認已完全閱讀、瞭解並接受參加卡巴斯基安全網路聲明的條款

卡巴斯基安全網路聲明傳送關於已掃描檔案的資料（不遷移）

在安裝應⽤程式、建立新政策或啟⽤卡巴斯基安全網路使⽤時，Kaspersky Endpoint Security 會請求同意卡巴斯基安全網路
聲明。
如果啟⽤ KSN，Kaspersky Endpoint Security 會⾃動傳送有關掃描檔案的資料。

傳送關於請求的 URL 的資料（不遷移）如果啟⽤ KSN，Kaspersky Endpoint Security 會⾃動傳送有關請
求的 URL 的資料。

傳送卡巴斯基安全網路統計資訊

啟⽤延伸 KSN 模式

接受卡巴斯基管理防護聲明的條款（不遷移）Kaspersky Endpoint Security 不包括 KMP 服務。

對 KSN 不信任的物件執⾏的操作（不遷移）
您可以在防護元件設定和掃描⼯作設定中配置偵測到威脅後的動作。

如果檔案⼤⼩超過以下⼤⼩，則在
傳送到 KSN 之前不計算核對總和：
N MB

（不遷移）

使⽤卡巴斯基安全管理中⼼作為
KSN 代理使⽤管理伺服器為 KSN 代理伺服器

排程設定

（不遷移）

您可以在防護元件設定和掃描⼯作設定中配置⼤檔案掃描限制。

無法為元件配置單獨排程。該元件在 Kaspersky Endpoint
Security 運⾏時始終處於開啟狀態。

流量安全

684

KSWS 流量安全設定被遷移到關鍵威脅防護區段的Web 威脅防護和 郵件威脅防護⼦區段，安全控制區段的
Web 控制⼦區段，⼀般設定區段的網路設定⼦區段。
流量安全設定Kaspersky Endpoint Security for Windows 設定

Kaspersky Security
for Windows Server 設
定套⽤基於 URL 的規則

Web 控制（Web 控制⼦區段）基於 URL 的規則被遷移到 Kaspersky Endpoint Security 中的單獨規則。

套⽤基於憑證的規則（不遷移）
Kaspersky Endpoint Security 不⽀援基於憑證的規則。

套⽤ Web 流量類別控
制規則

Web 控制（Web 控制⼦區段）⽤於 Web 流量類別控制的封鎖規則被遷移到 Kaspersky Endpoint Security 中的單個封鎖規則。Kaspersky Endpoint Security 會忽略類別控制的允許規則。
下⾯列出了 KSWS 和 KES 類別的對應關係。

如果無法分類網⾴，
則允許存取

（不遷移）

允許存取可⽤於損壞
受防護裝置的合法
Web 資源（不遷移）

允許存取合法廣告（不遷移）

如果網⾴無法分類，則 Kaspersky Endpoint Security 允許存取。
Kaspersky Endpoint Security 允許存取可⽤於損壞受防護裝置的合法 Web 資源。
您可以使⽤ Web 控制設定中的廣告 Web 資源類別管理對合法廣告的存取。

執⾏模式：
驅動程式攔截器

（不遷移）
Kaspersky Endpoint Security 僅⽀援“驅動程式攔截器”模式。

重定向器
外部代理
ICAP 服務連線設定（不遷移）
Kaspersky Endpoint Security 不⽀援 ICAP 網路儲存防護。

檢查透過 HTTPS 協定
建立的安全連線

掃描加密連線 / 始終掃描加密連線 模式 （網路設定 ⼦區域）

使⽤ TLS 合約版本

（不遷移）Kaspersky Endpoint Security 掃描透過以下協定傳輸的加密網路流量：
SSL 3.0。
TLS 1.0、TLS 1.1、TLS 1.2、TLS 1.3。
您還可以在加密連線掃描設定中封鎖 SSL 2.0 連線

不信任具有無效憑證的 Web 伺服器

在存取具有無效憑證的網域時（網路設定⼦區段）攔截連接埠（攔截區域）

要監控的連接埠（網路設定⼦區段）

排除連接埠（攔截區（不遷移）

遷移期間，KES 會清除核取⽅塊監控卡巴斯基建議的清單中的應⽤程式的所
有連接埠和監控指定應⽤程式的所有連接埠。
685

域）
排除 IP 位址（攔截區域）

受信任網域（網路設定⼦區段）排除處理程序（攔截區域）

受信任應⽤程式（網路設定⼦區段）
遷移過程中，KES 會配置受信任應⽤程式的以下設定：“網路流量”核取⽅塊會被選中。KES 不掃描網路流量查找任何 IP 位址和任
何連接埠。
受信任應⽤程式設定中的其它核取⽅塊會被清除。

安全連接埠

（不遷移）

使⽤惡意 URL 資料庫
掃描 Web 連結檢查網址是否在惡意網址資料庫中（Web 威脅防護⼦區段）

使⽤釣⿂防護資料庫
掃描網⾴

檢查網址是否在釣⿂網址資料庫中（Web 威脅防護⼦區段）

使⽤ KSN 防護（不遷移）
Kaspersky Endpoint Security 將 KSN ⽤於所有應⽤程式元件。

使⽤信任區域（不遷移）
Kaspersky Endpoint Security 將受信任區域套⽤到所有元件。您可以在 受信
任區域設定中配置排除項⽬。

使⽤啟發式分析器

使⽤啟發式分析 (Web 威脅防護 and 郵件威脅防護⼦區段）

安全等級

（不遷移）
Kaspersky Endpoint Security 對於 Web 威脅防護和郵件威脅防護元件有⾃⼰的安全等級。預設情況下，Kaspersky Endpoint Security 會設定建議的安全等級。

啟⽤郵件威脅防護

郵件威脅防護（郵件威脅防護⼦區段）
連接 Microsoft Outlook 延伸程式
僅接收的郵件 (防護範圍)
接收時掃描 (電⼦郵件防護)

排程設定

（不遷移）
無法為元件配置單獨排程。該元件在 Kaspersky Endpoint Security 運⾏時始終處於開啟狀態。

弱點利⽤防禦

686

KSWS 弱點利⽤防禦設定被遷移到進階威脅防護區段的弱點利⽤防禦⼦區段。
弱點利⽤防禦設定

Kaspersky Security for Windows Server 設定

防⽌易受感染的處理程序被弱點利⽤：

Kaspersky Endpoint Security for Windows 設定

偵測到弱點時：發現弱點利⽤時終⽌

封鎖操作

僅通知

通知。

透過“終端服務”通知被利⽤的處理程序（不遷移）
Kaspersky Endpoint Security 不⽀援終端機服務。

即使 Kaspersky Security 服务已停⽤，也
会防⽌易受感染的进程被漏洞利⽤（不遷移）

受防護處理程序啟⽤系統處理程序記憶體防護

Kaspersky Endpoint Security 不斷防⽌易受攻擊的處理程序利⽤。
Kaspersky Endpoint Security 不⽀援選擇受防護的處理程
序。您只能啟⽤系統處理程序記憶體防護。

（不遷移）

弱點利⽤防禦技術：套⽤所有可⽤的弱點利⽤防禦技術

Kaspersky Endpoint Security 套⽤所有可⽤的弱點利⽤防禦技術。

套⽤所選的弱點利⽤防禦技術

網路威脅防護KSWS 網路威脅防護設定被遷移到關鍵威脅防護區段的網路威脅防護⼦區段。
網路威脅防護設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky Security
for Windows Server
設定

執⾏模式：

網路威脅防護直通

如果選擇“直通”模式，網路威脅防護將被停⽤。

僅通知網路攻擊

如果選擇“僅通知網路攻擊”模式或“偵測到攻擊時封鎖連線”模式，網路威脅防護
將被啟⽤。Kaspersky Endpoint Security 始終適⽤於偵測到攻擊時封鎖連線模式。

偵測到攻擊時封
鎖連線
⼯作未執⾏時不停
⽌流量分析

（不遷移）

不控制排除的 IP 位
址

排除項⽬

排程設定

（不遷移）

如果啟⽤該元件，Kaspersky Endpoint Security 會持續分析流量。

無法為元件配置單獨排程。該元件在 Kaspersky Endpoint Security 運⾏時始終處於開啟狀態。

687

指令碼監控Kaspersky Endpoint Security 不⽀援指令碼監控元件。指令碼監控由其他元件處理，例如，AMSI 防護。
網站類別

688

Kaspersky Endpoint Security 不⽀援所有類別的 Kaspersky Security for Windows Server。不會遷移
Kaspersky Endpoint Security 中不存在的類別。因此，具有不受⽀援的類別 Web 資源分類規則不會被遷移。
網站類別

Kaspersky Security for Windows Server 類別

Kaspersky Endpoint Security for Windows 類別

戰爭遊戲

電腦遊戲

墮胎

（不遷移）

彩票（延伸）

賭博、彩票、抽獎

酒精

酒精、煙草、毒品

匿名代理伺服器

匿名網站

厭食症
房地產租⾦

（不遷移）
（不遷移）

⾳訊、視訊和軟體軟體、⾳訊、影片

銀⾏

銀⾏

部落格

網誌

軍隊

武器、爆裂物、軍事

針對孩⼦

（不遷移）

歧視

暴⼒，不寬容

家庭和家⼈

（不遷移）

託管和網域服務

網際網路通訊

寵物和動物

（不遷移）

法律與政治

被地區法律禁⽌受 Roskomnadzor (RF) 限制

被俄羅斯聯邦法律禁⽌受聯邦法律 436 限制 (RF)被俄羅斯聯邦法律禁⽌受 RF 立法限制

被俄羅斯聯邦法律禁⽌受全球立法限制

被地區法律禁⽌

成⼈約會

成⼈内容

網際網路服務

（不遷移）

性⽤品商店

成⼈内容

資訊技術

（不遷移）

賭場、紙牌遊戲

賭博、彩票、抽獎

書籍和寫作

（不遷移）

電腦遊戲

電腦遊戲

健康和美容
文化與社會

（不遷移）
（不遷移）

LGBT

成⼈内容

彩票

賭博、彩票、抽獎
689

⾳樂

（不遷移）
（不遷移）
（不遷移）

毒品

酒精、煙草、毒品

暴⼒

暴⼒，不寬容

不滿

（不遷移）

非法毒品

酒精、煙草、毒品

仇恨和歧視

暴⼒，不寬容淫穢詞彙

不雅文字

女⽤貼⾝內衣褲

成⼈内容

新聞

新聞媒體

裸體主意

成⼈内容

教育

（不遷移）

線上購物

線上商店

所有通訊媒體

網際網路通訊

信⽤卡⽀付

⽀付系統

線上購物（擁有⽀付系統）

線上商店

線上百科全書

（不遷移）

線上銀⾏

銀⾏

武器

武器、爆裂物、軍事

釣⿂和打獵

（不遷移）

⽀付系統

⽀付系統

求職

求職網站

搜尋引擎

（不遷移）

政策決定 (JP)被⽇本警⽅禁⽌受 KPSN 信任
不受 KPSN 信任

（不遷移）
（不遷移）

煽情

成⼈内容

媒體託管和流新聞媒體

Web 郵件網⾴式電⼦郵件

旅⾏

（不遷移）

電視和廣播

新聞媒體

預告片和廣告服務

廣告

宗教

宗教活動

餐館、咖啡館和食物

（不遷移）

交友網站

約會網站

藥物
時尚

690

性教育

成⼈内容

社群網路

社群網路

運動

（不遷移）

賭博

賭博、彩票、抽獎

⾃殺

暴⼒，不寬容煙草

酒精、煙草、毒品

下載種⼦

檔案下載種⼦聯邦極端分⼦名單中提及(RF)被俄羅斯聯邦法律禁⽌

檔案共⽤

檔案共⽤

藥房
愛好和娛樂

（不遷移）
（不遷移）

聊天和論壇

聊天、論壇、即時通訊

學校和⼤學⾴⾯
占星術和神秘學

（不遷移）
（不遷移）

極端主義和種族主義

暴⼒，不寬容

電⼦商務

線上商店

情⾊

成⼈内容

幽默

（不遷移）

本機活動控制應⽤程式啟動控制

691

KSWS 應⽤程式控制設定被遷移到安全控制區段的應⽤程式控制⼦區段。
應⽤程式控制設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky
Securityfor
Windows
Server 設
定

執⾏模
式：
僅統計
啟動

動作（應⽤程式控制）：
測試規則
套⽤規則。

在此檔案
的所有後
續啟動中
重複針對
⾸次檔案
啟動執⾏
的操作

（不遷移）

在沒有可
執⾏的指
令時拒絕
指令解譯
器啟動

（不遷移）

規則

應⽤程式控制規則 （⽀援但有限制）

Kaspersky Endpoint Security 在應⽤程式每次嘗試執⾏時對其掃描。

如果命令解釋器未被應⽤程式控制禁⽌，則 Kaspersky Endpoint Security 允許執⾏它們。

Kaspersky Endpoint Security 11.11.0 引入了對遷移應⽤程式啟動控制規則的⽀援。
應⽤程式啟動控制規則遷移功能有⼀些限制。預設情況下，KSWS 應⽤程式啟動控制包括兩條規則：
作業系統可信任憑證允許執⾏指令碼和 MSI
作業系統可信任憑證允許執⾏可執⾏檔
如果⾄少⼀個來源 KSWS 規則擁有允許類型，則在遷移過程中 KES 將建立⼀個新的允許規則，擁有信任根憑證的應⽤程式。換⽽⾔之，KES 應⽤程式控制規則將使⽤⼀個單個
規則來允許執⾏的受信任指令碼、MSI 套件和可執⾏檔。如果兩個來源 KSWS 規則都擁有拒絕類型，則 KES 不新增⽤於管理擁有信任根憑證的應⽤程式的規則。
將規則套
⽤於可執
⾏檔

（不遷移）

監控 DLL
模組的載
入

控制 DLL 模組負載 (顯著增加系統負載)

將規則套
⽤於指令
碼和 MSI資料套件

（不遷移）規則套⽤範圍不可在 KES 應⽤程式控制設定中進⾏配置。KES 應⽤程式控制可將規則套
⽤到所有類型的檔案：可執⾏檔，指令碼和 MSI 套件。如果所有檔案類型包括在 KSWS
中的規則套⽤範圍中，在遷移過程中 KES 將移轉 KSWS 規則。如果某些檔案類型被從
KSWS 中的規則套⽤範圍中排除，則在遷移過程中 KES 也會移轉 KSWS 規則，但是測試
規則會被選為應⽤程式控制動作。

692

規則套⽤範圍不可在 KES 應⽤程式控制設定中進⾏配置。KES 應⽤程式控制可將規則套
⽤到所有類型的檔案：可執⾏檔，指令碼和 MSI 套件。如果所有檔案類型包括在 KSWS
中的規則套⽤範圍中，在遷移過程中 KES 將移轉 KSWS 規則。如果某些檔案類型被從
KSWS 中的規則套⽤範圍中排除，則在遷移過程中 KES 會移轉 KSWS 規則，但是測試規
則會被選為應⽤程式控制動作。
拒絕 KSN
不信任的
應⽤程式

（不遷移）

允許 KSN
信任的應
⽤程式

遷移過程中，KES 會新增⼀個允許規則。其它軟體 → 根據信譽在 KSN 中受信任的應⽤
程式 KL 類別被指定為規則觸發條件。

允許執⾏
KSN 信任
的應⽤程
式的使⽤
者和/或使
⽤者群組

“應⽤程式控制”中的使⽤者及其權限允許包括 KL 類別的規則其他程式 → 應⽤程式，根據 KSN 中的信譽受信任

⾃動允許
透過列出
的應⽤程
式和套件
分發軟體

KSWS 和 KES 中的軟體分發控制⼯作⽅式不同。在遷移過程中，KES 會為允許⾃動軟體分發的應⽤程式新增允許規則。檔案雜湊被指定為規則觸發條件。

始終允許
透過
Windows
Installer 進⾏軟體分發

使⽤受信任的系統憑證儲存（排除項⽬⼦區段）

始終允許
使⽤背景
智慧傳輸
服務透過
SCCM 進
⾏軟體分
發

（不遷移）

允許的軟
體分發應
⽤程式和
資料套件

KSWS 和 KES 中的軟體分發控制⼯作⽅式不同。在遷移過程中，KES 會為允許⾃動軟體分發的應⽤程式新增允許規則。檔案雜湊被指定為規則觸發條件。

排程設定

（不遷移）

Kaspersky Endpoint Security 不考慮應⽤程式的聲譽，並根據規則允許或拒絕執⾏應⽤
程式。

受信任的系統憑證儲存設定擁有信任根憑證頒發機構值。

如果在 KSWS 設定中為元件配置了排程，則在遷移時將啟⽤應⽤程式控制元件。如果在 KSWS 設定中沒有為元件配置排程，則在遷移時將停⽤應⽤程式控制。
無法為元件配置單獨排程。該元件在 Kaspersky Endpoint Security 運⾏時始終處於開啟
狀態。

裝置控制

693

KSWS 裝置控制設定被遷移到安全控制區段的裝置控制⼦區段。
裝置控制設定Kaspersky Security for Windows
Server 設定

執⾏模式：
啟動

Kaspersky Endpoint Security for Windows 設定（不遷移）

應⽤程式控制在“啟動”模式下運⾏。Audit 持續提供裝置連線統計。

僅統計
未執⾏裝置控制⼯作時，允許使⽤
所有外部裝置（不遷移）裝置控制規則受信任裝置

在 Kaspersky Endpoint Security 執⾏時，裝置控制始終處於開啟狀態。
在遷移過程中，Kaspersky Endpoint Security 會忽略已停⽤的
KSWS 規則。

排程設定

（不遷移）
Kaspersky Endpoint Security 使⽤⾃⼰的排程來獲取對某些裝
置類型的存取權限。

網路附加儲存防護
RPC 網路儲存防護Kaspersky Endpoint Security 不⽀援網路附加儲存防護元件。如果您需要這些元件，您可以繼續使⽤
Kaspersky Security for Windows Server。
ICAP 網路儲存防護Kaspersky Endpoint Security 不⽀援網路附加儲存防護元件。如果您需要這些元件，您可以繼續使⽤
Kaspersky Security for Windows Server。
Anti-Cryptor for NetApp

Kaspersky Endpoint Security 不⽀援 Anti-Cryptor for NetApp。Anti-Cryptor 功能由其他應⽤程式元件提供，例如⾏為偵測。

網路活動控制防火牆管理

Kaspersky Endpoint Security 不⽀援 KSWS 防火墻管理。KSWS 防火墻功能由系統級別的防火墻執⾏。您可
以在遷移後配置 Kaspersky Endpoint Security 防火墻。
Anti-Cryptor694

網路 Anti-Cryptor 設定被遷移到進階威脅防護區段的⾏為偵測⼦區段。
Anti-Cryptor 設定

KSWS 設定

執⾏模式：

KES 設定偵測到共⽤資料夾的外部加密時：

僅統計

通知

啟動

封鎖連線。

啟發式分析器（不遷移）
Kaspersky Endpoint Security 不使⽤啟發式分析進⾏⾏為偵測。

防護範圍的配置：
受保護裝置上的所有共
⽤網路資料夾

（不遷移）
Kaspersky Endpoint Security 禁⽌加密受防護電腦的所有共⽤網路資料
夾。

僅指定的共⽤資料夾
排除（不遷移）Kaspersky Endpoint Security 對於⾏為偵測元件有⾃⼰的排除項⽬。您可
以在遷移後⼿動新增排除項⽬。

排程設定

（不遷移）
無法為元件配置單獨排程。該元件在 Kaspersky Endpoint Security 運⾏
時始終處於開啟狀態。

系統檢查
檔案完整性監控695

來⾃ KSWS 的檔案完整性監控設定被遷移到安全控制區域的檔案完整性監控⼦區域。
檔案完整性監控設定

KSWS 設定

KES 設定記錄監控中斷期間發⽣的
檔案操作資訊（不遷移）

封鎖對 USN 記錄的入侵
嘗試

（不遷移）

監控範圍

監控範圍 （⽀援但有限制）

Kaspersky Endpoint Security 不記錄監控中斷期間執⾏的檔案操作事件。
Kaspersky Endpoint Security 不封鎖 USN 記錄入侵嘗試。
被停⽤的監控範圍紀錄不會被遷移到 KES。Kaspersky Endpoint Security
僅將啟⽤的紀錄遷移到監控範圍。

受信任使⽤者（不遷移）
Kaspersky Endpoint Security 將監控範圍中的所有使⽤者動作視為安全入侵。

檔案操作標記（不遷移）
Kaspersky Endpoint Security 會考慮所有可⽤的檔案操作標記。

如果可能，計算檔案的總
和檢查碼

（不遷移）

排除

排除項⽬

Kaspersky Endpoint Security 不計算被修改檔案的總和檢查碼。

記錄檢查

696

KSWS 記錄檢查設定被遷移到安全控制區段的記錄審查⼦區段。
記錄檢查設定Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Server 設定套⽤記錄審查的⾃訂規則（不遷移）Kaspersky Endpoint Security 套⽤所有啟⽤的⾃訂規則。

⾃訂規則

⾃訂規則
系統中已安裝服務（⽤於 Server 2003 OS）預定義規則不會被遷移到 KES。

針對記錄審查套⽤預定義規則（不遷移）Kaspersky Endpoint Security 套⽤所有啟⽤的預定義規則。

預定義規則

預定義資料夾

密碼暴⼒破解偵測暴⼒密碼破解攻擊偵測

網路登入偵測網路登入偵測排除（IP 位址）

排除項⽬ (IP 位址)排除（使⽤者）

排除項⽬ (使⽤者)

排程設定

（不遷移）
無法為元件配置單獨排程。該元件在 Kaspersky Endpoint Security
運⾏時始終處於開啟狀態。

記錄和通知
⼯作記錄

KSWS 記錄設定被遷移到⼀般設定區段的介⾯和報告和儲存。⼦區段。
記錄設定Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Server 設定

事件記錄

通知（介⾯⼦區段）

記錄資料夾

（不遷移）
Kaspersky Endpoint Security 將報告儲存在
C:\ProgramData\Kaspersky Lab\KES.21.14\Report 資料夾中。

刪除 N 天前的⼯作記錄

（不遷移）
您可以在⼀般設定、報告和儲存。下⾯配置 KES 報告的儲存期。

從稽核記錄事件中刪除 N
天

（不遷移）

與 SIEM 整合（不遷移）

Kaspersky Endpoint Security 將報告儲存限制套⽤於所有報告，包括系
統稽核報告。
您可以在卡巴斯基安全管理中⼼中配置與 SIEM 整合。

697

事件通知

KSWS 通知設定被遷移到⼀般設定區段的 介⾯⼦區段。
通知設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Server 設定

通知

通知

通知使⽤者：（不遷移）

使⽤終端服務Kaspersky Endpoint Security 不⽀援修改通知文字。Kaspersky Endpoint
Security 顯⽰標准通知。

使⽤ Windows
Messenger 服務指令
通知管理員：
使⽤ Windows
Messenger 服務指令

僅電⼦郵件通知設定被遷移到 Kaspersky Endpoint Security – 電⼦郵件通知設定 (通知 塊）。不⽀援其他通知管理員的⽅法。

透過執⾏可執⾏檔
透過傳送電⼦郵件
應⽤程式資料庫已過期

如果資料庫未更新時間如下，則傳送"資料庫過期"通知

應⽤程式資料庫已嚴重過期

如果資料庫未更新時間如下，則傳送"資料庫嚴重過期"通知⻑時間未執⾏關鍵區域掃描（不遷移）
Kaspersky Endpoint Security 在三天后產⽣⼀個錯過的關鍵區域掃描事件。

與管理伺服器互動

KSWS 管理伺服器互動設定被遷移到⼀般設定區段的報告和儲存。⼦區段。
管理伺服器互動設定

Kaspersky Security for Windows Server
設定

Kaspersky Endpoint Security for Windows 設定

已隔離的檔案關於隔離檔案已備份的檔案關於備份區的檔案

已封鎖的主機（不遷移）
Kaspersky Endpoint Security 會⾃動傳送有關被封鎖主機的資料。

⼯作啟動應⽤程式698

Kaspersky Endpoint Security 不⽀援應⽤程式啟動⼯作（KSWS）。您可以建立新增⾦鑰⼯作（KES），將產
品授權⾦鑰新增到安裝套件, 或啟⽤產品授權⾦鑰⾃動分發。
複製更新

複製更新⼯作設定 (KSWS) 被遷移到更新⼯作 (KES)。
複製更新⼯作設定

Kaspersky Endpoint Security for Windows 設定

Kaspersky Security
for Windows Server 設定更新來源：卡巴斯基安全管理
中⼼管理伺服器卡巴斯基更新伺服器更新來源：
卡巴斯基安全管理中⼼卡巴斯基更新伺服器
由使⽤者指定。

⾃訂 HTTP 或 FTP
伺服器，或網路資料夾
如果指定的伺服器無法使⽤，則使⽤卡巴
斯基更新伺服器（不遷移）

使⽤代理伺服器設定
連線到卡巴斯基更新
伺服器

（不遷移）

使⽤代理伺服器設定
連線⾄其他伺服器（不遷移）

複製更新設定：（不遷移）

複製資料庫更新

Kaspersky Endpoint Security 允許選擇多個更新來源，包括卡巴斯基更新伺服器。如果第⼀個更新來源不可⽤，Kaspersky Endpoint Security 允許您從清單中的另⼀個來源獲取更新。
Kaspersky Endpoint Security 為所有元件使⽤代理伺服器。你可以在應⽤程式的網路選項中配置代理伺服器連線。
Kaspersky Endpoint Security 為所有元件使⽤代理伺服器。你可以在應⽤程式的網路選項中配置代理伺服器連線。
Kaspersky Endpoint Security 複製資料庫更新和應⽤程式模組的關鍵更新為當個套件。

複製重要軟體模組
更新
複製資料庫更新和
重要應⽤程式模組
的更新
⽤於本機儲存已複製
更新的資料夾

將更新複製到資料夾

基線檔案完整性監控

Kaspersky Endpoint Security 不⽀援基線檔案完整性監控⼯作。
資料庫更新
699

資料庫更新⼯作設定 (KSWS) 被遷移到更新⼯作 (KES)。
“資料庫更新”⼯作設定Kaspersky Endpoint Security for Windows 設定

Kaspersky Security
for Windows Server 設定更新來源：卡巴斯基安全管理
中⼼管理伺服器卡巴斯基更新伺服器更新來源：
卡巴斯基安全管理中⼼卡巴斯基更新伺服器
由使⽤者指定。

⾃訂 HTTP 或 FTP
伺服器，或網路資料夾
如果指定的伺服器無法使⽤，則使⽤卡巴
斯基更新伺服器（不遷移）

使⽤代理伺服器設定
連線到卡巴斯基更新
伺服器

（不遷移）

使⽤代理伺服器設定
連線⾄其他伺服器（不遷移）

降低磁碟 I/O 上的負
載

（不遷移）

Kaspersky Endpoint Security 允許選擇多個更新來源，包括卡巴斯基更新伺服器。如果第⼀個更新來源不可⽤，Kaspersky Endpoint Security 允許您從清單中的另⼀個來源獲取更新。
Kaspersky Endpoint Security 為所有元件使⽤代理伺服器。你可以在應⽤程式的網路選項中配置代理伺服器連線。
Kaspersky Endpoint Security 為所有元件使⽤代理伺服器。你可以在應⽤程式的網路選項中配置代理伺服器連線。

軟體模組更新700

軟體模組更新⼯作設定 (KSWS) 被遷移到更新⼯作 (KES)。
“軟體模組更新”⼯作設定Kaspersky Endpoint Security for Windows 設定

Kaspersky Security
for Windows Server 設定更新來源：卡巴斯基安全管理
中⼼管理伺服器卡巴斯基更新伺服器更新來源：
卡巴斯基安全管理中⼼卡巴斯基更新伺服器
由使⽤者指定。

⾃訂 HTTP 或 FTP
伺服器，或網路資料夾
如果指定的伺服器無法使⽤，則使⽤卡巴
斯基更新伺服器（不遷移）

使⽤代理伺服器設定
連線到卡巴斯基更新
伺服器

（不遷移）

使⽤代理伺服器設定
連線⾄其他伺服器（不遷移）

複製並安裝重要軟體模組更新

安裝重⼤和批准的更新

僅檢查關鍵軟體更新
是否可⽤

（不遷移）

允許作業系統重新啟
動（不遷移）

接收有關可⽤的排程
軟體模組更新的資訊（不遷移）

Kaspersky Endpoint Security 允許選擇多個更新來源，包括卡巴斯基更新伺服器。如果第⼀個更新來源不可⽤，Kaspersky Endpoint Security 允許您從清單中的另⼀個來源獲取更新。
Kaspersky Endpoint Security 為所有元件使⽤代理伺服器。你可以在應⽤程式的網路選項中配置代理伺服器連線。
Kaspersky Endpoint Security 為所有元件使⽤代理伺服器。你可以在應⽤程式的網路選項中配置代理伺服器連線。

Kaspersky Endpoint Security 不斷檢查應⽤程式模組重⼤更新的可⽤性。
Kaspersky Endpoint Security 會提⽰使⽤者出⽰權限以重新啟動電腦。
Kaspersky Endpoint Security 顯⽰有關軟體模組更新的通知。

應⽤程式資料庫更新回溯

應⽤程式資料庫更新回溯⼯作設定 (KSWS) 被遷移到更新回溯⼯作 (KES)。新的更新回溯⼯作 (KES) 的⼯作啟動排程為⼿動。
按需掃描

701

按需掃描⼯作設定 (KSWS) 被遷移到惡意軟體掃描⼯作 (KES)。
“病毒掃描”⼯作設定Kaspersky Endpoint Security for Windows 設定

Kaspersky Security for
Windows Server 設定

掃描範圍

掃描範圍

防護等級：

安全防護等級：

最佳防護

⾼防護

建議

建議防護

最佳效能

低防護。
KSWS 和 KES 中的安全等級設定不同。

掃描物件：

檔案類型：

所有物件

所有檔案

按格式掃描物件

按格式掃描檔案

按病毒資料庫中指定的副檔名清單掃描物件

按副檔名掃描檔案。

按指定的副檔名清單掃
描物件

Kaspersky Endpoint Security 不允許建立⾃訂副檔名清單。Kaspersky
Endpoint Security ⽤按副檔名掃描檔案值替換了按指定的副檔名清單掃
描物件值。

⼦資料夾

包含⼦資料夾

⼦檔案

掃描 NTFS 交換資料串流

（不遷移）
（不遷移）
（不遷移）

僅掃描新增與變更過的檔案

只掃描新增及修改的檔案

掃描複合檔案：

掃描複合檔案：全部 壓縮檔案

掃描壓縮檔案所有 SFX 壓縮檔案

掃描受密碼防護的壓縮檔案

全部 電⼦郵件資料庫

掃描分發套件全部 封包物件

掃描電⼦郵件格式

全部 普通電⼦郵件

掃描 Microsoft O ice 格式的檔案。

掃描開機磁區和 MBR

全部 內嵌 OLE 物件
對受感染物件和其他物件執⾏的操作：
解毒
解毒。無法解毒時刪除
刪除

偵測到威脅後的動作：
解毒；若解毒失敗則刪除
解毒；若解毒失敗則通知
通知。

702

執⾏建議的操作
僅通知
對可疑物件執⾏的操作：
隔離

（不遷移）
如果偵測到任何威脅，則 Kaspersky Endpoint Security 套⽤該動作。

刪除
執⾏建議的操作僅通知
根據偵測到的物件的類型執
⾏操作

（不遷移）

如果偵測到嵌入物件，完全刪除應⽤程式無法修改的複
合檔案

（不遷移）

排除檔案

（不遷移）
Kaspersky Endpoint Security 將受信任區域套⽤到所有元件。您可以在受信任區域設定中配置排除項⽬。

不偵測

（不遷移）

如果時間超過 N 秒，則停⽌
掃描

略過掃描時間超過以下值的檔案 N 秒

不掃描⼤⼩⼤於 N MB 的復合物件

複合檔案⼤於指定值時不解壓縮

使⽤ iSwift 技術

iSwift 技術

使⽤ iChecker 技術

iChecker 技術

掃描離線檔案：

（不遷移）

不掃描

Kaspersky Endpoint Security 完整掃描線下檔案。

僅掃描檔案常駐部分
掃描完整檔案
僅當指定週期內存取了檔案（天）如果可以，不複製檔案
到本機硬碟磁碟機

應⽤程式完整性控制

應⽤程式完整性控制⼯作設定 (KSWS) 被遷移到完整性檢查⼯作 (KES)。
應⽤程式啟動控制規則產⽣器

Kaspersky Endpoint Security 不⽀援應⽤程式啟動控制產⽣器⼯作。您可以在應⽤程式控制設定中產⽣規則。
703

裝置控制規則產⽣器

Kaspersky Endpoint Security 不⽀援裝置控制規則產⽣器⼯作。您可以在裝置控制設定中產⽣存取規則。

遷移 KSWS 元件
在本機安裝前，Kaspersky Endpoint Security 會檢查電腦中是否存在卡巴斯基應⽤程式。如果電腦上安裝了
Kaspersky Security for Windows Server，KES 會偵測已安裝的 KSWS 元件集合並選擇相同的元件進⾏安裝。
KSWS 沒有的 KES 元件安裝如下：AMSI 防護、主機入侵防禦、修復引擎均使⽤預設設定安裝。
BadUSB 攻擊防護、適應性異常控制、資料加密、Detection and Response 元件被忽略。
遠端安裝時，KES 應⽤程式會忽略已安裝的 KSWS 元件集合。安裝程式會安裝您在安裝套件的屬性中選擇的元
件。安裝 Kaspersky Endpoint Security 和遷移政策和⼯作後，KES 設定會根據 KSWS 設定進⾏配置。

遷移 KSWS ⼯作和政策
您可以⽤下⽅式遷移 KSWS 政策和⼯作設定：使⽤政策和⼯作批量轉換精靈（以下也稱為“遷移精靈”）。
KSWS 的遷移精靈僅在管理主控台 (MMC) 中可⽤。政策和⼯作設定無法在網⾴主控台和雲端主控台中進⾏遷移。
對於不同版本的卡巴斯基安全管理中⼼，批量轉換精靈有不同的運作⽅式。我們建議將解決⽅案升級到版本
14.2 或更⾼版本。在此版本的卡巴斯基安全管理中⼼中，政策和⼯作批量轉換精靈允許您將政策遷移到設定檔
⽽不是政策。在此版本的卡巴斯基安全管理中⼼中，政策和⼯作批量轉換精靈還允許您遷移範圍更廣的政策設定。
使⽤ Kaspersky Endpoint Security for Windows 的新政策精靈。
新政策精靈允許您基於 KSWS 政策建立 KES 政策。
使⽤遷移精靈和新政策精靈時，KSWS 政策遷移過程不同。

政策和⼯作批量轉換精靈
遷移精靈將 KSWS 政策設定⽽不是 KES 政策設定轉移到政策設定檔中。政策設定檔是⼀組政策設定，如果電腦滿⾜配置的啟動規則，它們就會在電腦上啟動。UpgradedFromKSWS 裝置標籤被選擇作為政策設定檔的觸發標
準。卡巴斯基安全管理中⼼⾃動新增 UpgradedFromKSWS 標籤到您使⽤遠端安裝⼯作在 KSWS 之上安裝 KES 的
所有電腦。如果您選擇了不同的安裝⽅法，您可以⼿動將標籤分配給裝置。
向裝置新增標籤：
1. 為伺服器建立⼀個新標籤 — UpgradedFromKSWS。
有關為裝置建立標籤的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
704

2. 在卡巴斯基安全管理中⼼主控台中建立⼀個新的管理群組，新增您要為其分配標籤的伺服器。
您可以使⽤選擇⼯具對伺服器進⾏分組。有關使⽤選擇的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
3. 在卡巴斯基安全管理中⼼主控台中選擇管理組的所有伺服器，開啟所選伺服器的屬性並分配標籤。
如果您要遷移多個 KSWS 政策，則每個政策都將被轉換為⼀個總體政策中的設定檔。如果 KSWS 政策已包含設
定檔，這些設定檔也將作為設定檔遷移。因此，您將獲得⼀個單⼀的政策，其中包括與所有 KSWS 政策相對應的設定檔。
如何使⽤政策和⼯作批量轉換精靈遷移 KSWS 政策設定705

1. 在管理主控台中，選擇管理伺服器並按滑鼠右鍵開啟上下文功能表。
2. 選擇所有⼯作 → 政策和⼯作批量轉換精靈。
政策和⼯作批量轉換精靈將啟動。按照精靈的說明進⾏操作。

步驟 1. 選擇需要為其轉換政策和⼯作的應⽤程式
在此步驟，您需要選擇 Kaspersky Endpoint Security for Windows。前往下⼀步。

步驟 2. 轉換政策
遷移精靈在 KES 政策內建立 KSWS 政策設定檔。選擇要轉換為政策設定檔的 Kaspersky Security for
Windows Server 政策。前往下⼀步。
遷移精靈將開始轉換政策。新政策設定檔的名稱將與原始 KSWS 政策相對應。

步驟 3. 政策遷移報告
遷移精靈將建立⼀個政策遷移報告。政策遷移報告包含政策轉換的⽇期和時間、原始 KSWS 政策的名稱、⽬標 KES 政策的名稱以及新政策設定檔的名稱。

步驟 4. 轉換⼯作
遷移精靈將為 Kaspersky Endpoint Security for Windows 建立新⼯作。在⼯作清單中，選擇您想為 Kaspersky
Endpoint Security 建立的 KSWS ⼯作。新⼯作將被命名為 <KSWS ⼯作名稱>（已轉換）。前往下⼀步。

步驟 5. 精靈完成結束精靈。結果，精靈將執⾏以下操作：
新政策設定檔被新增到 Kaspersky Endpoint Security 政策中。
該政策包括具有 Kaspersky Security for Windows Server 的設定的設定檔。新政策的狀態為“作⽤中”。精靈保持 KSWS 政策不變。
建立新的 Kaspersky Endpoint Security ⼯作。
新⼯作是 KSWS ⼯作的副本。精靈保持 KSWS ⼯作不變。
具有 KSWS 設定的新政策設定檔將被命名為 UpgradedFromKSWS <Kaspersky Security for Windows Server 政策
名稱>。在設定檔屬性中，遷移精靈會⾃動選擇 UpgradedFromKSWS 裝置標籤作為觸發標準。因此，政策設定檔
的設定會被⾃動套⽤到伺服器。

基於 KSWS 政策建立政策的精靈

706當基於 KSWS 政策建立 KES 政策時，精靈會相應地將設定傳輸到新政策。即⼀個 KES 政策對應⼀個 KSWS 政策。該精靈不會將政策轉換為設定檔。
如何使⽤新政策精靈遷移 KSWS 政策設定

1. 開啟卡巴斯基安全管理中⼼管理主控台。
2. 在管理主控台樹狀⽬錄的“受管理裝置”資料夾中，選取相關⽤⼾端電腦所屬的管理群組名稱的資料夾。
3. 在⼯作區選擇“政策”標籤。
4. 點擊“新政策”按鈕。
啟動“政策精靈”。
5. 按照“政策精靈”的說明進⾏操作。
6. 若要建立政策，請選擇 Kaspersky Endpoint Security。前往下⼀步。
7. 在為群組政策輸入新名稱的步驟，選擇“使⽤較早版本的應⽤程式的政策設定”核取⽅塊。
8. 點擊“瀏覽”並選擇 KSWS 政策。前往下⼀步。
9. 按照“新政策精靈”的說明進⾏操作直到完成。
結束後，精靈將建立⼀個新的 Kaspersky Endpoint Security for Windows 政策，其中包含來⾃ KSWS 政策的設定。

遷移後政策和⼯作的額外配置
KSWS 和 KES 具有不同的元件集合和政策設定，因此遷移後您必須驗證政策設定是否滿⾜您的公司安全要求。
檢查以下基本政策設定：
密碼防護。KSWS 密碼防護設定未遷移。Kaspersky Endpoint Security 具有內建密碼防護功能。如有需要，開啟密碼防護並設定密碼。
受信任區域。KSWS 和 KES ⽤於選擇物件的⽅法不同。遷移時，KES ⽀援定義為單個檔案或檔案/資料夾路徑
的排除項⽬。如果 KSWS 將排除項⽬配置為預定義區域或指令碼 URL，則不會遷移此類排除項⽬。遷移後，
您必須⼿動新增此類排除項⽬。
為確保 Kaspersky Endpoint Security 在伺服器上正常⼯作，建議將對伺服器功能重要的檔案新增到受信任區域。對於 SQL 伺服器，您必須新增 MDF 和 LDF 資料庫檔案。對於 Microsoft Exchange 伺服器，您必須新增 CHK、EDB、JRS、LOG 和 JSL 檔案。您可以使⽤遮罩，例如，C:\Program Files(x86)\Microsoft SQL Server\*.mdf。
防火牆。KSWS 防火墻功能由系統級別的防火墻執⾏。在 KES 中，⼀個單獨的元件負責防火牆功能。您可以
在遷移後配置 Kaspersky Endpoint Security 防火墻。
卡巴斯基安全網路。Kaspersky Endpoint Security 不⽀援為單個元件配置 KSN。Kaspersky Endpoint Security
將 KSN ⽤於所有應⽤程式元件。要使⽤ KSN，您必須接受卡巴斯基安全網路聲明的新條款和條件。
707

Web 控制。⽤於 Web 流量類別控制的封鎖規則被遷移到 Kaspersky Endpoint Security 中的單個封鎖規則。
Kaspersky Endpoint Security 會忽略類別控制的允許規則。Kaspersky Endpoint Security 不⽀援所有類別的
Kaspersky Security for Windows Server。不會遷移 Kaspersky Endpoint Security 中不存在的類別。因此，具有不受⽀援的類別 Web 資源分類規則不會被遷移。如有需要，新增 Web 控制規則。
代理伺服器。代理伺服器連線密碼未遷移。⼿動輸入⽤於連線代理伺服器的密碼。
單個元件的排程。Kaspersky Endpoint Security 不⽀援為單個元件配置排程。元件在 Kaspersky Endpoint
Security 運⾏時始終處於開啟狀態。
元件集合。可⽤的 Kaspersky Endpoint Security 功能集取決於作業系統的類型：⼯作站或伺服器。例如，在加
密⼯具之外，伺服器上只有 BitLocker 磁碟機加密可⽤。
屬性。 屬性的狀態未遷移。 屬性將具有預設值。預設情況下，新政策中的幾乎所有設定都禁⽌修改⼦政策和本機應⽤程式介⾯中的設定。對於Managed Detection and Response區段中的政策設定和使⽤者⽀援設
定群組（介⾯區段），該屬性具有 值 。必要的話，配置從⽗政策繼承設定。
處理活動威脅。進階解毒的⼯作⽅式對⼯作站和伺服器不同。您可以在惡意軟體掃描⼯作設定和應⽤程式設
定中配置進階解毒。
升級應⽤程式。要在不重新啟動的情況下安裝主要更新和修補程式，您必須變更應⽤程式升級模式。預設情況下，安裝應⽤程式更新⽽不重新啟動功能被停⽤。
Kaspersky Endpoint Agent。Kaspersky Endpoint Security 具有可處理 Detection and Response 解決⽅案的內建代理。如有需要，將 Kaspersky Endpoint Agent 政策設定傳輸到 Kaspersky Endpoint Security 政策。

更新⼯作。確保更新⼯作的設定已正確遷移。KES 使⽤單個 KES ⼯作⽽不是 KSWS 的三個⼯作。您可以最佳化更新⼯作並刪除多餘的⼯作。
其他⼯作。應⽤程式控制、裝置控制和檔案完整性監視元件在 KSWS 和 KES 中的⼯作⽅式不同。KES 不使⽤
基線檔案完整性監控、應⽤程式啟動控制產⽣器、裝置控制規則產⽣器⼯作。因此，這些⼯作不會被遷移。
遷移後，您可以配置檔案完整性監控、應⽤程式控制、裝置控制元件。

安裝 KES ⽽不是 KSWS
您可以通過以下⽅式安裝 Kaspersky Endpoint Security：
刪除 KSWS 後安裝 KES（建議）。
在 KSWS 之上安裝 KES。

刪除 Kaspersky Security for Windows Server
您可以使⽤遠端解除安裝應⽤程式 ⼯作遠端刪除應⽤程式或在伺服器上本機 刪除應⽤程式 。刪除 KSWS 後，
您可能需要重新啟動伺服器。如果您想在不重啟的情況下安裝 Kaspersky Endpoint Security，請確保 Kaspersky
Security for Windows Server 已被完全刪除。如果應⽤程式未被完全刪除，安裝 Kaspersky Endpoint Security 可
能會導致伺服器運⾏錯誤。如果您使⽤了 kavremover 實⽤程式，還建議確保應⽤程式已被完全刪除。
kavremover 實⽤程式 不⽀援管理 KSWS。
刪除 KSWS 後，使⽤任何可⽤的⽅法安裝 Kaspersky Endpoint Security for Windows。

安裝 Kaspersky Endpoint Security
708

管理員通常啟⽤密碼防護以限制對 KSWS 的存取。這意味著您需要輸入密碼才能刪除 KSWS。在 KSWS 上安裝 KES 時，Kaspersky Endpoint Security 不⽀援密碼傳輸以刪除 Kaspersky Security for Windows Server。只有在命令⾏上安裝 KES 時才能傳輸密碼。因此，在刪除 KSWS 之前，您必須在應⽤程式設定中關閉密碼防護，在完成從 KSWS 到 KES 的遷移後在應⽤程式設定中重新開啟密碼防護。
當您遠端安裝 KES 時，您在安裝套件屬性中選擇的元件會被安裝在伺服器上。我們建議在安裝套件屬性中選擇預設元件。在 KSWS 上安裝 KES 時不需要重新啟動。
在本機安裝前，Kaspersky Endpoint Security 會檢查電腦中是否存在卡巴斯基應⽤程式。如果電腦上安裝了
Kaspersky Security for Windows Server，KES 會偵測已安裝的 KSWS 元件集合並選擇相同的元件進⾏安裝。在KSWS 上安裝 KES 時不需要重新啟動。
如果在 KSWS 之上安裝 KES 失敗，您可以還原安裝。還原安裝後，建議重啟伺服器再試。
安裝 Kaspersky Endpoint Security for Windows 時，KSWS 設定和⼯作不會被遷移。若要遷移設定和⼯作，請執
⾏政策和⼯作批次轉換精靈。
您可以使⽤狀態指令或者在電腦內容的卡巴斯基安全管理中⼼主控台中，在應⽤程式介⾯的“安全”區域中檢查已安裝元件清單。您可以在安裝後使⽤變更程式元件變更元件集合。

將 [KSWS+KEA] 配置遷移到 [KES+內建代理] 配置
為了⽀援使⽤ Kaspersky Endpoint Security for Windows 作為 EDR (KATA)、EDR Optimum、EDR Expert、
Kaspersky Sandbox 和 MDR 的⼀部分，內建代理已被新增到應⽤程式中。您再也無需分開 Kaspersky
Endpoint Agent 應⽤程式來使⽤這些解決⽅案。
從 KSWS 遷移到 KES 時，EDR (KATA)、EDR Optimum、EDR Expert、Kaspersky Sandbox 和 MDR 解決⽅案繼續與 Kaspersky Endpoint Security 協同⼯作。此外，Kaspersky Endpoint Agent 將被從電腦移除。
將 [KSWS+KEA] 配置遷移到 [KES+內建代理] 包含以下步驟：1

從 KSWS 遷移到 KES
從 KSWS 遷移到 KES 涉及安裝 Kaspersky Endpoint Security ⽽不是 Kaspersky Security for Windows Server。
要執⾏遷移，您必須選擇⽀援 Detection and Response 解決⽅案所需的元件作為 Kaspersky Endpoint
Security 的⼀部分。安裝應⽤程式後，Kaspersky Endpoint Security 將切換到使⽤內建代理並刪除
Kaspersky Endpoint Agent。

2

遷移政策和⼯作將 [KSWS+KEA] 政策和⼯作遷移到 [KES+內建代理] 包含以下步驟：
1. 使⽤政策和⼯作批量轉換精靈將政策和⼯作從 KSWS 遷移到 KES（僅在管理主控台 (MMC) 上可⽤）。
結果，名為UpgradedFromKSWS<Kaspersky Security for Windows Server 政策名稱>的政策設定檔被新增到KES 政策中。名為<KSWS ⼯作名稱>（已轉換）的新 KES ⼯作也得到建立。
2. 使⽤⽤於從 Kaspersky Endpoint Agent 遷移的精靈將政策和⼯作從 KEA 遷移到 KES（僅在 Web 主控台和雲端主控台中可⽤）。

709

結果會建立⼀個名為<Kaspersky Endpoint Security 政策名稱>&<Kaspersky Endpoint Agent 政策名稱>的新政策。新⼯作和 KES ⼯作也會建立。
3產品授權功能如果您使⽤ Kaspersky Endpoint Detection and Response Optimum 或 Kaspersky Optimum Security 產品授權來啟動 Kaspersky Endpoint Security for Windows 和 Kaspersky Endpoint Agent，EDR Optimum 功能將在升級應⽤程式到版本 11.7.0 後⾃動啟動。您不需要做任何其它事情。
如果使⽤獨立 Kaspersky Endpoint Detection and Response Optimum 附加元件產品授權啟動 EDR Optimum 功
能，您必須確保 EDR Optimum ⾦鑰已新增到卡巴斯基安全管理中⼼存放庫且產品授權⾦鑰⾃動分發功能已啟⽤。升級應⽤程式到版本 11.7.0 後，EDR Optimum 功能將被⾃動啟動。
如果使⽤ Kaspersky Endpoint Detection and Response Optimum 或 Kaspersky Optimum Security 產品授權啟動
Kaspersky Endpoint Agent，使⽤其他產品授權啟動 Kaspersky Endpoint Security for Windows，您必須將
Kaspersky Endpoint Security for Windows ⾦鑰替換為普通的 Kaspersky Endpoint Detection and Response
Optimum ⾦鑰或 Kaspersky Optimum Security ⾦鑰。您可以使⽤“新增⾦鑰”⼯作取代⾦鑰。
您不需要啟動 Kaspersky Sandbox 功能。升級和啟動 Kaspersky Endpoint Security for Windows 後，Kaspersky
Sandbox 功能將立即可⽤。
只有 Kaspersky Anti Targeted Attack Platform 產品授權可⽤於啟動作為 Kaspersky Anti Targeted Attack
Platform 解決⽅案⼀部分的 Kaspersky Endpoint Security 。升級應⽤程式到版本 12.1 後，EDR (KATA) 功能將被
⾃動啟動。您不需要做任何其它事情。

4

檢查 Kaspersky Endpoint Detection and Response Optimum 和 Kaspersky Sandbox 的健康
如果升級後電腦在卡巴斯基安全管理中⼼中具有“緊急”狀態：請確保電腦安裝了網路代理 13.2或更⾼版本。
透過檢視”應⽤程式元件狀態報告”來檢查內建代理的運⾏狀態。如果元件的狀態為”未安裝”，請使⽤變更程式元件⼯作來安裝元件。
請確保在 Kaspersky Endpoint Security for Windows 的新政策中接受卡巴斯基安全網路聲明。
請確保 EDR Optimum 功能已使⽤應⽤程式元件狀態報告啟動。如果元件的狀態為“產品授權不⽀援”，請確保EDR Optimum 的產品授權⾦鑰⾃動分發功能已開啟。

確保已成功刪除 Kaspersky Security for Windows Server
確保 Kaspersky Security for Windows Server 被完全刪除：%ProgramFiles%\Kaspersky Lab\Kaspersky Security for Windows Server\ 資料夾不存在。
以下服務不存在：
Kaspersky Security Service (KAVFS)
Kaspersky Security Management (KAVFSGT)
卡巴斯基安全弱點利⽤防禦 (KAVFSSLP)
Kaspersky Security Script Checker (KAVFSSCS)
您可以在⼯作管理器中或透過發出 sc query 命令檢查正在執⾏的服務（⾒下圖）。
以下驅動程式不存在：710

klam.sys
kl t.sys
klramdisk.sys
klelaml.sys
kl tdev.sys
klips.sys
klids.sys
klwtpee您可以在 C:\Windows\System32\drivers 資料夾中或透過發出 sc query 命令檢查已安裝的驅動程式。如果缺少服務或驅動程式，您將收到以下響應：確保已成功刪除 Kaspersky Security for Windows Server 服務和驅動程式

如果應⽤程式或驅動程式檔案仍然在伺服器上，請⼿動刪除相關檔案。如果 Kaspersky Security for Windows
Server 服務仍在伺服器上執⾏，請⼿動停⽌（sc stop) 和刪除 (sc delete) 服務。要停⽌ klam.sys 驅動程式，
請使⽤ fltmc unload klam 命令。

使⽤ KSWS ⾦鑰啟動 KES
安裝應⽤程式後，您可以使⽤ Kaspersky Security for Windows Server (KSWS) 產品授權⾦鑰啟動 Kaspersky
Endpoint Security for Windows (KES)。遷移後的啟動過程取決於 KSWS 啟動⽅法（⾒下表）。
Kaspersky Endpoint Security 不⽀援 Kaspersky Security for Storage 產品授權。要使⽤此產品授權，您需要
使⽤ Kaspersky Security for Windows Server。

要使⽤ KSWS ⾦鑰啟動 KES，您只能使⽤啟動碼。如果使⽤⾦鑰檔案啟動應⽤程式，您需要聯絡技術⽀援服
務獲取 Kaspersky Endpoint Security ⾦鑰檔案。
使⽤ Kaspersky Security for Windows Server ⾦鑰啟動 Kaspersky Endpoint Security for Windows

Kaspersky Security for
Windows Server 啟動⽅法

將⾦鑰遷移到 Kaspersky Endpoint Security for Windows。

將 KSWS 產品授權⾦鑰⾃動

如果在 KSWS 產品授權⾦鑰內容中啟⽤了⾃動⾦鑰分發，則會使⽤ KSWS
711

分發到電腦。

⾦鑰⾃動啟動 KES。

KSWS ⾦鑰由⼯作新增。

如果您的 KSWS 是使⽤⼯作啟動的，則 KSWS 產品授權⾦鑰會在從 KSWS
遷移期間被刪除。您必須再次啟動應⽤程式。例如，您可以向 Kaspersky
Endpoint Security for Windows 安裝套件新增產品授權⾦鑰。

KSWS ⾦鑰在應⽤程式介⾯
本機新增。

如果您的 KSWS 是使⽤應⽤程式啟動精靈在本機啟動的，則 KSWS 產品授
權⾦鑰會在從 KSWS 遷移期間被刪除。您必須再次啟動應⽤程式。例如，您可以向 Kaspersky Endpoint Security for Windows 安裝套件新增產品授權⾦鑰。

KSWS ⾦鑰被新增⾄安裝套件。

如果您的 KSWS 是使⽤安裝套件的⾦鑰啟動的，則 KSWS 產品授權⾦鑰會在從 KSWS 遷移期間被刪除 。您必須再次啟動應⽤程式。例如，您可以向Kaspersky Endpoint Security for Windows 安裝套件新增產品授權⾦鑰。

Amazon Web Services (AWS)
中的付費虛擬機映像(Amazon Machine Image –AMI)。

如果您購買了卡巴斯基安全管理中⼼作為 Amazon Web Services (AWS) 中
的付費虛擬機映像（Amazon Machine Image – AMI），則不需要啟動
KES。在這種情況下，卡巴斯基安全管理中⼼使⽤已新增到應⽤程式的AWS 訂購。

帶有您⾃⼰的產品授權的現成免費卡巴斯基安全管理中
⼼映像（⾃帶產品授權 BYOL 模型）。

如果您在雲環境中使⽤帶有您⾃⼰的產品授權的開箱即⽤的免費卡巴斯基
安全管理中⼼映像（⾃帶產品授權 – BYOL 模型），您必須使⽤任何可⽤
⽅法啟動該應⽤程式。您將需要 Kaspersky Hybrid Cloud Security 產品授權。

遷移⾼負載伺服器的特殊注意事項
在⾼負載伺服器上，監控效能和避免錯誤很重要。遷移到 Kaspersky Endpoint Security for Windows 後，我們建議暫時停⽤相對於其他元件使⽤⼤量伺服器資源的應⽤程式元件。確保伺服器正常執⾏後，您可以重新開啟應⽤
程式元件。
我們建議按如下⽅式遷移⾼負載伺服器：
1. 使⽤預設設定建立 Kaspersky Endpoint Security 政策。
預設設定被認為最佳。此設定由 Kaspersky 專家建議。預設設定提供建議的防護等級和最佳資源使⽤。
2. 在政策設定中，關閉以下元件：網路威脅防護，⾏為偵測，弱點利⽤防禦，修復引擎，應⽤程式控制。
如果您的組織部署了 Kaspersky Managed Detection and Response (MDR) 解決⽅案， 將 BLOB 組態檔上傳到
Kaspersky Endpoint Security 政策。
3. 從伺服器中刪除 Kaspersky Security for Windows Server。
4. 使⽤預設元件集合安裝 Kaspersky Endpoint Security for Windows。
如果您的組織部署了 Detection and Response 解決⽅案，請在安裝套件的屬性中選擇相關元件。
5. 檢查應⽤程式的設定：
該應⽤程式使⽤ KSWS 產品授權⾦鑰啟動。
新政策已套⽤。先前選擇的元件被停⽤。
6. 確保伺服器正常⼯作。確保 Kaspersky Endpoint Security for Windows 使⽤的伺服器資源不超過 1%。
7. 如有需要，建立掃描排除項⽬，新增受信任應⽤程式，建立受信任網址清單。

712

8. 開啟⾏為偵測、弱點利⽤防禦、修復引擎元件。確保 Kaspersky Endpoint Security for Windows 使⽤的伺服器
資源不超過 1%。
9. 開啟網路威脅防護元件。確保 Kaspersky Endpoint Security for Windows 使⽤的伺服器資源不超過 2%。
10. 在規則測試模式中開啟應⽤程式控制元件。
11. 確保應⽤程式控制正常⼯作。如有需要，新增新的應⽤程式控制規則，在確認應⽤程式控制正常⼯作後關閉
規則測試模式。
從 KSWS 遷移到 KES 後，確保應⽤程式運⾏正常。在主控台查看伺服器狀態（應該是確定）。確保應⽤程式沒
有報告任何錯誤，還要檢查最後⼀次連線到管理伺服器的時間、最後⼀次更新資料庫的時間和伺服器防護狀態。

從 [KSWS+KEA] 遷移到 KES 的⽰例
從 Kaspersky Security for Windows Server (KSWS) 遷移到 Kaspersky Endpoint Security (KES) 時，您可以使⽤以下建議來配置伺服器防護和最佳化效能。在這裡，我們將查看⼀個單個組織的遷移範例。

組織的基礎結構公司安裝了以下設備：
卡巴斯基安全管理中⼼ 14.2
管理員使⽤管理主控台 (MMC) 管理卡巴斯基解決⽅案。Kaspersky Endpoint Detection and Response
Optimum (EDR Optimum) 也得到部署
在卡巴斯基安全管理中⼼中，建立了三個管理群組，包含組織的伺服器：兩個⽤於 SQL 伺服器的管理群組和
⼀個⽤於 Microsoft Exchange 伺服器的管理群組。每個管理群組都由⾃⼰的政策管理。資料庫更新和隨需掃
描⼯作為組織中的所有伺服器建立。
KSWS 啟動⾦鑰已新增到卡巴斯基安全管理中⼼。⾃動⾦鑰分發被啟⽤。
安裝了 Kaspersky Security for Windows Server 11.0.1 和 Kaspersky Endpoint Agent 3.11 的 SQL 伺服器。SQL 伺
服器被合併成兩個叢集。
KSWS 由 SQL_Policy(1) 和 SQL_Policy(2) 政策管理。資料庫更新和按需掃描⼯作也被建立。
安裝了 Kaspersky Security for Windows Server 11.0.1 和 Kaspersky Endpoint Agent 3.11 的 Microsoft Exchange 伺
服器。
KSWS 由 Exchange_Policy 政策管理。資料庫更新和按需掃描⼯作也被建立。

規劃遷移遷移涉及以下步驟：
1. 使⽤政策和⼯作批量轉換精靈遷移 KSWS ⼯作和政策。
2. 使⽤政策和⼯作批量轉換精靈遷移 Kaspersky Endpoint Agent 政策。
3. 使⽤標籤啟動新政策屬性中的政策設定檔。
4. 安裝 KES ⽽不是 KSWS。
5. 啟動 EDR Optimum。
713

6. 確認 KES 正在執⾏。
遷移⽅案最初在 SQL 伺服器叢集之⼀上執⾏。然後遷移⽅案在 SQL 伺服器的另⼀個叢集上執⾏。然後遷移⽅案
在 Microsoft Exchange 上執⾏。

使⽤政策和⼯作批量轉換精靈遷移 KSWS ⼯作和政策。
要遷移 KSWS ⼯作，您可以使⽤政策和⼯作批量轉換精靈 （遷移精靈）。結果，您將獲得⼀個政策，其中包含分別⽤於 SQL 和 Microsoft Exchange 伺服器的三個設定檔，⽽不是 SQL_Policy(1)、SQL_Policy(2) 和Exchange_Policy 政策。具有 KSWS 設定的新政策設定檔將被命名為 UpgradedFromKSWS <Kaspersky Security
for Windows Server 政策名稱>。在設定檔屬性中，遷移精靈會⾃動選擇 UpgradedFromKSWS 裝置標籤作為觸發
標準。因此，政策設定檔的設定會被⾃動套⽤到伺服器。

使⽤政策和⼯作批量轉換精靈遷移 Kaspersky Endpoint Agent 政策
要遷移 Kaspersky Endpoint Agent 政策，您可以使⽤政策和⼯作批量轉換精靈。Kaspersky Endpoint Agent 的政
策和⼯作遷移精靈僅在 Web 主控台中可⽤。

使⽤標籤啟動新政策屬性中的政策設定檔選擇您之前分配的裝置標籤作為設定檔啟動條件。開啟政策屬性並選擇政策設定檔啟動⼀般規則作為設定檔啟動
條件。

安裝 KES ⽽不是 KSWS
在安裝 KES 之前，您必須在 KSWS 政策屬性中停⽤密碼防護。
安裝 KES 涉及以下步驟：
1. 準備安裝套件。在安裝套件屬性中，選擇 Kaspersky Endpoint Security for Windows 12.0 分發套件並選擇預設元件集合。
2. 為其中⼀個 SQL 伺服器管理群組建立⼀個遠端安裝應⽤程式⼯作。
3. 在⼯作屬性中，選擇安裝套件和產品授權⾦鑰檔案。
4. 等待⼯作成功完成。
5. 為剩餘的管理群組重複 KES 安裝。
KES 安裝完成後，卡巴斯基安全管理中⼼⾃動新增UpgradedFromKSWS標記到主控台上的電腦名稱。
要檢查 KES 安裝，您可以使⽤防護佈署報告。您還可以檢查裝置狀態。要確認應⽤程式啟動，您可以使⽤產品授
權⾦鑰使⽤報告。

啟動 EDR Optimum
您可以使⽤獨立的 Kaspersky Endpoint Detection and Response Optimum 附加產品授權啟動 EDR Optimum 功
能。您必須確認 EDR Optimum ⾦鑰已新增到卡巴斯基安全管理中⼼儲存庫並且啟⽤了產品授權⾦鑰⾃動分發功能。
714

要檢查 EDR Optimum 啟動，您可以使⽤應⽤程式元件狀態報告。

確認 KES 正在⼯作
要確認 KES 是否在⼯作，您可以查看沒有報錯。裝置狀態必須是確定。更新和惡意軟體掃描⼯作成功完成。

管理“核⼼模式”伺服器上的應⽤程式“核⼼模式”的伺服器沒有 GUI。因此，您只能遠端使⽤卡巴斯基安全管理中⼼主控台或者本機使⽤命令列來管理應⽤程式。

使⽤卡巴斯基安全管理中⼼主控台管理應⽤程式
使⽤卡巴斯基安全管理中⼼主控台安裝應⽤程式與⽤正常⽅式安裝它沒有區別。建立安裝套件時，您可以新增產品授權⾦鑰以啟動應⽤程式。您可以使⽤ Kaspersky Endpoint Security for Windows ⾦鑰或者 Kaspersky Security
for Windows Server ⾦鑰
在核⼼模式伺服器上，以下應⽤程式元件不可使⽤：Web 威脅防護、郵件威脅防護、Web 控制、BadUSB 攻擊防護、檔案級加密 (FLE)、卡巴斯基磁碟加密 (FDE)。
安裝 Kaspersky Endpoint Security 時，不需要重新啟動。僅當在安裝前必須移除不相容的應⽤程式時，才需要重新啟動。更新應⽤程式版本時也可能需要重新啟動。應⽤程式無法顯⽰視窗提⽰使⽤者重新啟動伺服器。您可以
從卡巴斯基安全管理中⼼主控台中的報告瞭解是否需要重新啟動伺服器。
管理核⼼模式伺服器上的應⽤程式與管理電腦沒有差別。您可以使⽤政策和⼯作來設定應⽤程式。
管理核⼼模式伺服器上的應⽤程式涉及以下特別考慮：
核⼼模式伺服器沒有 GUI，因此 Kaspersky Endpoint Security 不顯⽰警告告訴使⽤者需要進階解毒。若要解毒
威脅，您需要在應⽤程式設定中啟⽤進階解毒技術，在“惡意軟體掃描 ”⼯作設定中啟⽤立即執⾏進階解毒。然後您需要啟動“惡意軟體掃描”⼯作。
BitLocker 磁碟機加密僅適⽤於受信任平台模組 (TPM)。PIN/密碼不能⽤於加密，因為應⽤程式無法顯⽰預開
機⾝分驗證的密碼提⽰視窗。如果作業系統啟⽤了聯邦資訊處理標準 (FIPS) 相容模式，請在開始加密磁碟機之前連線⽤來儲存加密⾦鑰的卸除式磁碟機。

從命令列管理應⽤程式
如果不能使⽤ GUI，您可以從命令列管理 Kaspersky Endpoint Security。
若要將應⽤程式安裝到核⼼模式伺服器，請執⾏以下指令：
setup_kes.exe /pEULA=1 /pPRIVACYPOLICY=1 /s
若要啟動應⽤程式，執⾏以下指令：
avp.com license /add <啟動碼或⾦鑰檔案>
若要檢查應⽤程式設定檔狀態，執⾏以下指令：
715

avp.com status若要檢視應⽤程式管理指令清單，執⾏以下指令：
avp.com help716從命令列管理應⽤程式
您可以從命令列管理 Kaspersky Endpoint Security。可以執⾏ HELP 指令來檢視⽤於管理應⽤程式的指令清單。
要閱讀特定指令的語法，請輸入 HELP <指令>。
指令中的特殊字元必須逸出。要逸出字元 &, |、 (, )、 <、 >、^，請使⽤ ^ 字元（例如，若要使⽤ & 字
元，請輸入 ^&）。若要逸出 % 字元，輸入 %%。

安裝應⽤程式
可以在以下模式之⼀下從命令列安裝 Kaspersky Endpoint Security：
使⽤應⽤程式安裝精靈互動模式。
在靜默模式下。以靜默模式啟動安裝後，安裝過程不再需要您的參與。要在靜默模式下安裝應⽤程式，請使⽤ /s 和 /qn 鍵。
在靜默模式下安裝應⽤程式之前，請開啟並閱讀最終使⽤者產品授權協議和隱私政策文字。最終使⽤者
產品授權協議和隱私政策文字包含在 Kaspersky Endpoint Security 分發套件中。只有在您已經完全閱讀、
理解和接受最終使⽤者產品授權協議的規定和條款，理解並同意您的資料將按照隱私政策進⾏處理和傳
輸（包括傳輸到協⼒廠商國家/地區），並且您已經完全閱讀和理解隱私政策的情況下，您才可以繼續安裝應⽤程式。如果您不接受最終使⽤者產品授權協議的規定和條款以及隱私政策，請不要安裝或使⽤Kaspersky Endpoint Security。
可以執⾏/h指令來檢視⽤於安裝應⽤程式的指令清單。要獲取安裝指令語法說明，請輸入 setup_kes.exe/h。結果，安裝程式會顯⽰⼀個具有指令選項說明的視窗（請⾒下圖）。

安裝指令選項說明717

要安裝應⽤程式或升級以前版本的應⽤程式：
1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 分發套件所在資料夾。
3. 執⾏以下指令：
setup_kes.exe /pEULA=1 /pPRIVACYPOLICY=1 [/pKSN=1|0] [/pALLOWREBOOT=1][/pSKIPPRODUCTCHECK=1] [/pSKIPPRODUCTUNINSTALL=1] [/pKLLOGIN=<使⽤者名稱> /pKLPASSWD=<密碼> /pKLPASSWDAREA=<密碼範圍>] [/pENABLETRACES=1|0 /pTRACESLEVEL=<偵錯等級>] [/s]或
msiexec /i <分發套件名稱> EULA=1 PRIVACYPOLICY=1 [KSN=1|0][ALLOWREBOOT=1] [SKIPPRODUCTCHECK=1] [KLLOGIN=<使⽤者名稱> KLPASSWD=<密碼> KLPASSWDAREA=<密碼範圍>] [ENABLETRACES=1|0 TRACESLEVEL=<偵錯等級>] [/qn]
結果，應⽤程式被安裝在電腦上。您可以透過“status”命令確認應⽤程式是否已安裝並檢查應⽤程式設定。
應⽤程式安裝設定

EULA=1

接受最終使⽤者產品授權協議的條款。授權協議的內容包括在 Kaspersky
Endpoint Security 分發套件中。
必須接受最終使⽤者產品授權協議才能安裝應⽤程式或升級應⽤程式版
本。

PRIVACYPOLICY=1

接受隱私政策。隱私政策的文字包含在 Kaspersky Endpoint Security 分發套
件中。
要安裝應⽤程式或升級應⽤程式版本，您必須接受隱私政策。

KSN

接受或拒絕參與卡巴斯基安全網路 (KSN)。如果沒有為此參數設定任何值，
在⾸次啟動 Kaspersky Endpoint Security 時，Kaspersky Endpoint Security將提⽰您確認同意或拒絕加入 KSN。可⽤值：
1 – 同意加入 KSN。
0 – 拒絕加入 KSN（預設值）。
Kaspersky Endpoint Security 分發套件已針對與卡巴斯基安全網路配合使⽤
進⾏最佳化。如果您選擇不加入卡巴斯基安全網路，則應該在安裝完成後立
即更新 Kaspersky Endpoint Security。

ALLOWREBOOT=1

⾃動重新啟動電腦（如果安裝或升級應⽤程式後需要重新啟動）。如果未為此參數設定任何值，則阻⽌電腦⾃動重新啟動。
安裝 Kaspersky Endpoint Security 時，不需要重新啟動。僅當在安裝前必須
移除不相容的應⽤程式時，才需要重新啟動。更新應⽤程式版本時也可能需要重新啟動。

SKIPPRODUCTCHECK=1

停⽤不相容軟體檢查。分發套件中包含的 incompatible.txt 檔案提供了不相容軟體清單。如果沒有為此參數設定任何值，並且偵測到不相容軟體，則將
終⽌ Kaspersky Endpoint Security 的安裝。
718

SKIPPRODUCTUNINSTALL=1

停⽤⾃動移除偵測到的不相容軟體。如果沒有為此參數設定任何值，則Kaspersky Endpoint Security 將嘗試刪除不相容軟體。
當使⽤ msiexec 安裝程式安裝 Kaspersky Endpoint Security 時，不可啟
⽤⾃動移除不相容軟體。使⽤ setup_kes.exe 啟⽤⾃動移除不相容軟
體。

CLEANERSIGNCHECK=0|1

驗證偵測到的不相容軟體文件的數位簽章。為了移除不相容軟體，
Kaspersky Endpoint Security 會執⾏軟體的安裝程式文件。如果安裝程式沒有數位簽章，Kaspersky Endpoint Security 會將文件視為不受信任並停⽌移除不相容軟體，以免執⾏潛在惡意代碼。如果應⽤程式無法驗證被偵測到的不相容軟體的數位簽章，Kaspersky Endpoint Security 安裝將以錯誤停⽌。
預設值依據軟體安裝⽅法⽽異：0 意味著數位簽章驗證被停⽤（如果透過卡巴斯基安全管理中⼼佈署，
則是預設值）。
1 意味著數位簽章驗證被啟⽤（如果應⽤程式本機安裝，則是預設
值）。

KLLOGIN

設定⽤於存取 Kaspersky Endpoint Security 功能和設定的使⽤者名稱（“密碼防護”元件）。該使⽤者名稱與“KLPASSWD”和“KLPASSWDAREA”設定⼀起進⾏設定。預設使⽤使⽤者名稱 KLAdmin。

KLPASSWD

指定⽤於存取 Kaspersky Endpoint Security 功能和設定的密碼（該密碼與“KLLOGIN”和“KLPASSWDAREA”參數⼀起指定）。
如果您指定了⼝令，但沒有指定帶有 KLLOGIN 參數的使⽤者名稱，將預設
使⽤ KLAdmin 使⽤者名稱。

KLPASSWDAREA

指定⽤於存取 Kaspersky Endpoint Security 的密碼範圍。當使⽤者嘗試執⾏
包含在此範圍中的操作時，Kaspersky Endpoint Security 將提⽰使⽤者輸入帳⼾憑證（“KLLOGIN”和“KLPASSWD”參數）。使⽤“;”字元以指定多個值。
可⽤值：
SET – 修改應⽤程式設定。
EXIT – 結束應⽤程式。
DISPROTECT – 停⽤防護元件並停⽌掃描⼯作。
DISPOLICY – 停⽤卡巴斯基安全管理中⼼政策。
UNINST – 從電腦中移除應⽤程式。
DISCTRL – 停⽤控制元件。
REMOVELIC – 刪除⾦鑰。
REPORTS – 檢視報告。
例如，
KLPASSWDAREA=SET;KLPASSWDAREA=UNINST;KLPASSWDAREA=EXIT。

ENABLETRACES

啟⽤或停⽤應⽤程式跟蹤。Kaspersky Endpoint Security 在啟動後將偵錯檔
案儲存在資料夾 %ProgramData%\Kaspersky Lab\KES.21.14\Traces719

中。可⽤值：1 – 跟蹤已啟⽤。
0 – 跟蹤已停⽤（預設值）。
TRACESLEVEL

偵錯詳細等級。可⽤值：100（關鍵）。僅包含有關致命錯誤的訊息。
200（⾼）。有關所有錯誤的訊息，包括致命錯誤。
300（診斷）。有關所有錯誤的訊息以及警告。
400（重要）。所有錯誤訊息、警告和其他資訊。
500（⼀般）。有關所有錯誤的訊息和警告，以及有關正常模式下應⽤
程式操作的詳細資訊（預設）。
600（低）。所有訊息。

ENABLEAZURESUPPORT啟⽤或停⽤ Azure WVD 相容模式。可⽤值：
1 – Azure WVD 相容模式被啟⽤。
0 – Azure WVD 相容模式被停⽤（預設值）。
此功能允許在 Kaspersky Anti Targeted Attack Platform 主控台中正確顯⽰
Azure 虛擬機的狀態。為了監控電腦的效能，Kaspersky Endpoint Security
將遙測資料傳送到 KATA 伺服器。遙測包括電腦的 ID（感應器 ID）。Azure
WVD 相容模式允許為這些虛擬機分配永久唯⼀的感應器 ID。如果關閉相容
模式，由於 Azure 虛擬機的⼯作⽅式，感應器 ID 可能會在電腦重新啟動後發⽣變化。這可能會導致主控台上出現重複的虛擬機。

AMPPL

啟⽤或停⽤ Kaspersky Endpoint Security 處理程序使⽤ AM-PPL 技術（惡意軟體防護受防護輕型處理程序）提供的防護。有關 AM-PPL 技術的詳細資訊，請存取 Microsoft 網站 。
AM-PPL 技術適⽤於 Windows 10 版本 1703 (RS2) 或更⾼版本以及 Windows
Server 2019 作業系統。
可⽤值：
1 – 啟⽤ Kaspersky Endpoint Security 處理程序使⽤ AM-PPL 技術提供
的防護。
0 – 停⽤ Kaspersky Endpoint Security 處理程序使⽤ AM-PPL 技術提供
的防護。

UPGRADEMODE

應⽤程式升級模式：
Seamless意味著⽤電腦重新啟動升級應⽤程式（預設值）。
Force意味著升級應⽤程式⽽無需重新啟動。
從版本 11.10.0 開始您可以升級應⽤程式⽽無需重新啟動。若要升級更早版本
的應⽤程式，您必須重新啟動電腦。從版本 11.11.0 開始您可以安裝修補程式
⽽無需重新啟動。

720

安裝 Kaspersky Endpoint Security 時，不需要重新啟動。因此，應⽤程式的
升級模式將在應⽤程式設定中指定。您可以在應⽤程式設定中或政策中變更該參數。
當升級已安裝的應⽤程式時，命令⾏參數的優先順序比在應⽤程式設定或setup.ini 檔案中指定的參數的優先順序低。例如，如果在命令⾏中指定“強制”升級模式，在應⽤程式設定中指定“無縫”模式，升級將透過電腦重新啟動安裝（無縫）。
RESTAPI

透過 REST API 管理應⽤程式。要透過 REST API 管理應⽤程式，必須指定使
⽤者名稱（RESTAPI_User 參數）。
可⽤值：
1 –允許透過 REST API 進⾏管理。
0 –封鎖透過 REST API 進⾏管理（預設值）。
要透過 REST API 管理應⽤程式，必須允許使⽤管理系統進⾏管理。要執⾏
此操作，請設定 AdminKitConnector=1 參數。如果透過 REST API 管理應
⽤程式，則無法使⽤ Kaspersky 的管理系統來管理應⽤程式。

RESTAPI_User

⽤於透過 REST API 管理應⽤程式的 Windows 網域帳⼾的使⽤者名稱。只有此使⽤者可以透過 REST API 管理應⽤程式。輸入格式為 <DOMAIN>\<UserName> 的使⽤者名稱（例如，RESTAPI_User=COMPANY\Administrator）。您只能選擇⼀個使⽤者來使⽤ REST API。
新增使⽤者名稱是透過 REST API 管理應⽤程式的先決條件。

RESTAPI_Port

⽤於透過 REST API 管理應⽤程式的連接埠。預設情況下使⽤ 6782 連接埠。
確保連接埠空閒。

RESTAPI_Certificate

⽤於識別請求的憑證（例如，RESTAPI_Certificate=C:\cert.pem）。
Kaspersky Endpoint Security 與 REST ⽤⼾端進⾏安全交互需要設定請求識別。為此，您必須安裝憑證並隨後簽署每個請求的承載。

ADMINKITCONNECTOR

使⽤管理系統管理應⽤程式。例如，管理系統包括卡巴斯基安全管理中⼼。
除了 Kaspersky 管理系統，您還可以使⽤協⼒廠商解決⽅案。Kaspersky
Endpoint Security 為此提供了⼀個 API。
可⽤值：1 - 允許在管理系統的幫助下管理應⽤程式（預設值）。
0 - 僅允許透過本機介⾯管理應⽤程式。

範例:
setup_kes.exe /pEULA=1 /pPRIVACYPOLICY=1 /pKSN=1/pALLOWREBOOT=1
msiexec /i kes_win.msi EULA=1 PRIVACYPOLICY=1
KSN=1 KLLOGIN=Admin KLPASSWD=Password
KLPASSWDAREA=EXIT;DISPOLICY;UNINST /qn
setup_kes.exe /pEULA=1 /pPRIVACYPOLICY=1 /pKSN=1/pENABLETRACES=1 /pTRACESLEVEL=600 /s

安裝 Kaspersky Endpoint Security 後，將啟動試⽤版產品授權，除非您在 setup.ini 檔案中提供了啟動碼。試⽤版產品授權通常擁有較短的有效期。當試⽤版授權到期，所有 Kaspersky Endpoint Security 功能將轉為停⽤。要繼續使⽤應⽤程式，您需要使⽤應⽤程式啟動精靈或特殊指令以正式產品授權啟動應⽤程式。

721

以靜默模式安裝應⽤程式或升級應⽤程式版本時，⽀援以下檔案的使⽤：
setup.ini – 應⽤程式安裝的⼀般設定
install.cfg – Kaspersky Endpoint Security 的執⾏設定
setup.reg – 登錄機碼
僅當在setup.ini 檔案中為SetupReg參數設定了setup.reg值時，setup.reg 檔案中的登錄機碼才會被寫入登錄。setup.reg 檔案由 Kaspersky 專家⽣成。不建議修改該檔案的內容。
要應⽤ setup.ini、install.cfg 和 setup.reg 檔案中的設定，請將這些檔案放入包含 Kaspersky Endpoint Security
分發套件的資料夾。您也可以將 setup.reg 檔案放在其他資料夾中。如果這樣做，則需要在以下應⽤程式安裝指令中指定檔案的路徑：SETUPREG=<path to the setup.reg file>。

啟動應⽤程式
要透過命令列啟動應⽤程式，請在命令列中輸入以下字串：
avp.com license /add <啟動碼或⾦鑰檔案> [/login=<使⽤者名稱> /password=<密碼>]
如果密碼防護已啟⽤， 則您需要輸入使⽤者帳⼾憑證（/login=<使⽤者名稱> /password=<密碼>。

移除應⽤程式可以透過以下⽅式之⼀從命令列移除 Kaspersky Endpoint Security：
使⽤應⽤程式安裝精靈互動模式。
在靜默模式下。以靜默模式啟動移除後，移除過程不再需要您的參與。要在靜默模式下移除應⽤程式，請使⽤ /s 和 /qn 開關。

要在靜默模式下移除應⽤程式：
1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 分發套件所在資料夾。
3. 執⾏以下指令：
如果移除過程沒有密碼防護：setup_kes.exe /s /x或msiexec.exe /x <GUID> /qn<GUID> 是應⽤程式的唯⼀ ID。您可以使⽤以下命令找到應⽤程式的 GUID：

722

wmic product where "Name like '%Kaspersky Endpoint Security%'" get Name,
IdentifyingNumber
如果移除過程有密碼防護：setup_kes.exe /pKLLOGIN=<使⽤者名稱> /pKLPASSWD=<密碼> /s /x或msiexec.exe /x <GUID> KLLOGIN=<使⽤者名稱> KLPASSWD=<密碼> /qn
範例:
msiexec.exe /x {9A017278-F7F4-4DF9-A482-0B97B70DD7ED} KLLOGIN=KLAdmin
KLPASSWD=!Password1 /qn

AVP 命令要從命令列管理 Kaspersky Endpoint Security：
1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
您可以在應⽤程式安裝期間將可執⾏檔的路徑新增到 %PATH% 系統變數。
3. 要執⾏指令，請輸入：

avp.com <指令> [選項]
結果，Kaspersky Endpoint Security 將執⾏該指令（參⾒下圖）。

從命令列管理應⽤程式

SCAN。惡意軟體掃描
執⾏“惡意軟體掃描”⼯作。
指令語法
Avp.com SCAN [<掃描範圍>] [<偵測到威脅後的操作>] [<檔案類型>] [<掃描排除項⽬>] [/R[A]:<報告檔案>] [<掃描技術>] [/C:<包含掃描設定的檔案>]

723

掃描範圍
<要掃描的檔
案>

以空格分隔的檔案和資料夾清單。⻑路徑必須⽤引號括起來。短路徑（MS-DOS 格式）
不需要⽤引號括起來。範例："C:\Program Files (x86)\Example Folder" – ⻑路徑。
C:\PROGRA~2\EXAMPL~1 – 短路徑。
執⾏“惡意軟體掃描”⼯作。Kaspersky Endpoint Security 掃描以下物件：/ALL內核記憶體；
作業系統啟動時載入的物件
開機磁區；
作業系統備份儲存區所有硬碟磁碟機和卸除式磁碟機
/MEMORY

掃描內核記憶體

/STARTUP

掃描在作業系統啟動時載入的物件/MAIL

掃描 Outlook 郵箱/REMDRIVES

掃描卸除式磁碟機。

/FIXDRIVES

掃描硬碟磁碟機。

/NETDRIVES

掃描網路磁碟機。

/QUARANTINE

掃描 Kaspersky Endpoint Security 備份區中的檔案。

/@:<file
list.lst>

掃描清單中的檔案和資料夾。清單中的每個檔案都必須另起⼀⾏。⻑路徑必須⽤引號括起來。短路徑（MS-DOS 格式）不需要⽤引號括起來。範例："C:\Program Files (x86)\Example Folder" – ⻑路徑。
C:\PROGRA~2\EXAMPL~1 – 短路徑。

偵測
到威
脅後
的動
作
/i0

通知如果選擇此選項，Kaspersky Endpoint Security 會在偵測到受感染檔案時將這些檔案的相關資訊新增到活動威脅清單。

/i1

解毒；若解毒失敗則封鎖如果選擇該選項，Kaspersky Endpoint Security 將⾃動對已經偵測到的所
有受感染的檔案執⾏解毒操作。如果無法進⾏解毒，Kaspersky Endpoint Security 會將偵測到的受感染檔案的相關資訊新增到活動威脅清單。

/i2

解毒；若解毒失敗則刪除如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執
⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
預設情況下已選擇此操作。

/i3

解毒偵測到的已感染檔案。如果解毒失敗，則刪除已感染檔案。如果無法解毒或刪除已感染檔724

案，還會刪除複合檔案（例如，存檔）。
/i4

刪除已感染檔案。如果無法刪除已感染檔案，還會刪除複合檔案（例如，存檔）。

檔案
類型
/fe

按副檔名掃描檔案如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。此時，系統將根據檔案的
副檔名確定檔案格式。

/fi

按格式掃描檔案如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。在掃描檔案以尋找惡意程式
碼之前，系統將分析檔案的內部頭以確定檔案的格式（例如，.txt、.doc 或 .exe）。掃描還會查找
具有特定副檔名的檔案。

/fa所有檔案如果啟⽤該設定，應⽤程式將毫無例外地掃描所有檔案（所有格式和副檔名）。
這是預設設定。

掃描排除項⽬-e:a

RAR、ARJ、ZIP、CAB、LHA、JAR 和 ICE 壓縮檔案將從掃描範圍中排除。

-e:b

郵件資料庫、傳入和傳出電⼦郵件將從掃描範圍中排除。

-e:<檔案遮罩>與檔案遮罩比對的檔案將從掃描範圍中排除。範例：
遮罩 *.exe 將包括具有 exe 副檔名的檔案的所有路徑。
遮罩 example* 將包括名為 EXAMPLE 的檔案的所有路徑。

-e:<秒>

掃描時間⻑於指定時間限制（以秒為單位）的檔案將從掃描範圍中排除。

-es:<百萬位元組>

⼤於指定⼤⼩限制（以百萬位元組為單位）的檔案將從掃描範圍中排除。

將事件儲存⾄報告檔案模式（僅適⽤於掃描、更新程式和回溯設定
檔）/R:<報告檔案>僅將關鍵事件儲存到報告檔案
中。

/RA:<報告檔案>將所有事件儲存到報告檔案中。

掃描技術/iChecker=on|off

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料
庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受
到幾個限制：它無法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。

/iSwift=on|off

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料
庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對
⽤於 NTFS 檔案系統的 iChecker 技術的增強版。

進階設定
/C:<包
含掃描設

包含“惡意軟體掃描”⼯作設定的檔案。必須⼿動建立該檔案並以 TXT 格式儲存。該檔案可以具
有以下內容：[<掃描範圍>] [<偵測到威脅後的操作>] [<檔案類型>] [<掃描排除項⽬>][/R[A]:<報告檔案>] [<掃描技術>]。
725

定的檔案
>
範例:
avp.com SCAN /R:log.txt /MEMORY /STARTUP /MAIL "C:\Documents and Settings\All
Users\My Documents" "C:\Program Files"

UPDATE。更新資料庫和程式模組
執⾏“更新”⼯作。
指令語法
avp.com UPDATE [本機]["<更新來源>"] [/R[A]:<報告檔案>] [/C:<包含更新設定的檔案>]

更新
⼯作
設定
本機

開始安裝應⽤程式後⾃動建立的“更新”⼯作。您可以在本機應⽤程式介⾯或卡巴斯基安全管理中⼼的主控台中變更“更新”⼯作的設定。如果未配置此設定，則 Kaspersky Endpoint Security 會使⽤預
設設定或命令中指定的設定來開始“更新”⼯作。您可以按以下⽅式配置“更新”⼯作設定：

UPDATE使⽤預設設定啟動“更新”⼯作：更新來源是卡巴斯基更新伺服器，帳⼾是 System，以及其他預設設定。
UPDATE 本機啟動安裝後⾃動建立的“更新”⼯作（預定義⼯作）。
UPDATE <更新設定>使⽤⼿動定義的設定啟動“更新”⼯作（請參⾒下文）。

更新
來源
“<更
新來
源>”

HTTP 或 FTP 伺服器的位址，或具有更新套件的共⽤資料夾的位址。只能指定⼀個更新來源。如果
未指定更新來源，則 Kaspersky Endpoint Security 將使⽤預設來源：卡巴斯基更新伺服器。

將事件儲存⾄報告檔案模式（僅適⽤於掃描、更新程式和回溯設定
檔）/R:<報告檔案>僅將關鍵事件儲存到報告檔案
中。

/RA:<報告檔案>將所有事件儲存到報告檔案中。

進階設定/C:<包含更新
設定的檔案>

包含“更新”⼯作設定的檔案。必須⼿動建立該檔案並以 TXT 格式儲存。該檔案可以具有
以下內容：["<更新來源>"] [/R[A]:報告檔案>]。

範例:
726

Avp.com UPDATE 本機
avp.com UPDATE "ftp://my_server/kav updates" /RA:avbases_upd.txt

ROLLBACK。最近更新還原回溯上次病毒資料庫更新。這允許您在必要時將資料庫和應⽤程式模組回溯到以前的版本，例如，當新資料庫版
本包含無效簽章⽽導致 Kaspersky Endpoint Security 封鎖了安全的應⽤程式時。
指令語法
avp.com ROLLBACK [/R[A]:<報告檔案>]將事件儲存⾄報告檔案模式（僅適⽤於掃描、更新程式和回溯設定
檔）/R:<報告檔案>僅將關鍵事件儲存到報告檔案
中。

/RA:<報告檔案>將所有事件儲存到報告檔案中。

範例:
avp.com ROLLBACK /RA:rollback.txt

TRACES。偵錯
啟⽤/停⽤偵錯。只要應⽤程式在使⽤中，就會在電腦中儲存偵錯檔案，當應⽤程式被移除後，偵錯檔案將被永久移除。偵錯檔案（⾝分驗證代理的偵錯檔案除外）儲存在%ProgramData%\Kaspersky
Lab\KES.21.14\Traces資料夾中。預設情況下，停⽤偵錯。
指令語法
avp.com TRACES on|off [<偵錯等級>] [<進階設定>]

偵錯等級
<偵錯等
級>

偵錯詳細等級。可⽤值：100（關鍵）。僅包含有關致命錯誤的訊息。
200（⾼）。有關所有錯誤的訊息，包括致命錯誤。
300（診斷）。有關所有錯誤的訊息以及警告。
400（重要）。所有錯誤訊息、警告和其他資訊。
500（⼀般）。有關所有錯誤的訊息和警告，以及有關正常模式下應⽤程式操作的詳細資訊（預設）。
600（低）。所有訊息。
727

進階
設定
all

使⽤ dbg、file 和 mem 參數執⾏指令。

dbg

使⽤ OutputDebugString 函數並儲存偵錯檔案。OutputDebugString 函數將字串傳送到應⽤程式調試器以在螢幕上顯⽰。有關詳細資訊，請存取 MSDN 網站 。

file

儲存⼀個偵錯檔案（無⼤⼩限制）。

rot將偵錯儲存到有限數量的⼤⼩有限的檔案中，並在達到最⼤⼤⼩時覆蓋舊檔案。

mem

將偵錯儲存到 dump 檔案。

例如：
avp.com TRACES on 500
avp.com TRACES on 500 dbg
avp.com TRACES off
avp.com TRACES on 500 dbg mem
avp.com TRACES off file

START。啟動設定檔啟動設定檔（例如，更新資料庫或啟⽤防護元件）。
指令語法
avp.com START <設定檔> [/R[A]:<報告檔案>]

管理
檔案
<設定
檔>

設定檔名稱。設定檔是 Kaspersky Endpoint Security 元件、⼯作或功能。您可以執⾏ HELPSTART 指令來檢視可⽤設定檔清單。

將事件儲存⾄報告檔案模式（僅適⽤於掃描、更新程式和回溯設定
檔）/R:<報告檔案>僅將關鍵事件儲存到報告檔案
中。

/RA:<報告檔案>將所有事件儲存到報告檔案中。

範例:
avp.com START Scan_Objects

STOP。停⽌設定檔
停⽌執⾏設定檔（例如，停⽌掃描、停⽌卸除式磁碟機掃描或停⽤防護元件）。
728

要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“停⽤防護元件”和“停⽤控制元件”權限。
指令語法
avp.com STOP <設定檔> /login=<使⽤者名稱> /password=<密碼>

管理
檔案
<設定
檔>

設定檔名稱。設定檔是 Kaspersky Endpoint Security 元件、⼯作或功能。您可以執⾏ HELP STOP
指令來檢視可⽤設定檔清單。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

STATUS。設定檔狀態
顯⽰應⽤程式設定檔的狀態資訊（例如，正在執⾏或已完成）。您可以執⾏ HELP STATUS 指令來檢視可⽤設定
檔清單。
Kaspersky Endpoint Security 還會顯⽰有關服務設定檔狀態的資訊。聯絡卡巴斯基技術⽀援時，可能需要有
關服務設定檔狀態的資訊。
指令語法
avp.com STATUS [<profile>]如果您輸入沒有設定檔的指令，Kaspersky Endpoint Security 將顯⽰應⽤程式所有設定檔的狀態。

STATISTICS。設定檔操作統計檢視有關應⽤程式設定檔的統計資訊（例如，掃描持續時間或偵測到的威脅數）。您可以執⾏ HELPSTATISTICS 指令來檢視可⽤設定檔清單。
指令語法
avp.com STATISTICS <profile>

RESTORE。從備份區中還原檔案您可以將檔案從備份區還原到原始資料夾。如果指定路徑中已存在具有相同名稱的檔案，則應⽤程式將要求確認
以替換檔案。要還原的檔案將保留其原始名稱進⾏複製。
729

要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“從備份區還原”權限。

備份區儲存保留在解毒過程中刪除或修改的檔案的備份副本。備份副本是指對檔案進⾏病毒清除或移除前建立的檔案副本。檔案的備份副本以特定格式儲存並且不會帶來威脅。

檔案的備份副本儲存在 C:\ProgramData\Kaspersky Lab\KES.21.14\QB 資料夾中。
管理員群組中的使⽤者被授予存取該資料夾的完整權限。其帳⼾⽤於安裝 Kaspersky Endpoint Security 的使⽤者
被授予該資料夾的有限存取權限。
Kaspersky Endpoint Security 不提供⽤於設定檔備份副本的使⽤者存取權限的功能。
指令語法
avp.com RESTORE [/REPLACE] <檔案名稱> /login=<使⽤者名稱> /password=<密碼>

進階設定/REPLACE

覆蓋現有檔案。

<檔案名稱>

要還原的檔案的名稱。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

範例:
avp.com RESTORE /REPLACE true_file.txt /login=KLAdmin /password=!Password1

EXPORT。匯出應⽤程式設定
將 Kaspersky Endpoint Security 設定匯出到檔案。該檔案將位於C:\Windows\SysWOW64資料夾。
指令語法
avp.com EXPORT <設定檔> <檔案名稱>

管理
檔案
<設定
檔>

設定檔名稱。設定檔是 Kaspersky Endpoint Security 元件、⼯作或功能。您可以執⾏ HELPEXPORT 指令來檢視可⽤設定檔清單。

要匯出
的檔案
<檔案名
稱>

應⽤程式設定將匯出到的檔案的名稱。您可以將 Kaspersky Endpoint Security 設定匯出為 DAT
或 CFG 設定檔、TXT 文字檔案或 XML 檔。
730

例如：
avp.com EXPORT ids ids_config.dat
avp.com EXPORT fm fm_config.txt

IMPORT。匯入應⽤程式設定
從使⽤ EXPORT 指令建立的檔案中匯入 Kaspersky Endpoint Security 的設定。
要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“配置應⽤程式設定”權限。
指令語法
avp.com IMPORT <檔案名稱> /login=<使⽤者名稱> /password=<密碼>

要匯入
的檔案
<檔案名
稱>

將從中匯入應⽤程式設定的檔案的名稱。您可以從 DAT 或 CFG 設定檔、TXT 文字檔案或 XML
檔匯入 Kaspersky Endpoint Security 設定。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

範例:
avp.com IMPORT config.dat /login=KLAdmin /password=!Password1

ADDKEY。套⽤⾦鑰檔案套⽤⾦鑰檔案以啟動 Kaspersky Endpoint Security。如果應⽤程式已啟動，則該⾦鑰將作為備⽤⾦鑰新增。
指令語法
avp.com ADDKEY <檔案名稱> [/login=<使⽤者名稱> /password=<密碼>]

⾦鑰檔案<檔案名稱>

⾦鑰檔案名稱。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

使⽤者帳⼾憑證。只有啟⽤了密碼防護時，才需要輸入這些憑證。

範例:
avp.com ADDKEY file.key
731

LICENSE。產品授權
使⽤ Kaspersky Endpoint Security 的產品授權⾦鑰或使⽤ EDR Optimum 或 EDR Expert (Kaspersky Endpoint
Detection and Response Add-on) 的⾦鑰執⾏操作。
要執⾏此指令並刪除產品授權⾦鑰，必須啟⽤密碼防護。使⽤者必須具有“刪除⾦鑰”權限。
指令語法
avp.com LICENSE <操作> [/login=<使⽤者名稱> /password=<密碼>]

操作/ADD <檔案名稱>套⽤⾦鑰檔案以啟動 Kaspersky Endpoint Security。如果應⽤程式已啟動，則該⾦鑰將作為備⽤⾦鑰新增。

/ADD <啟動碼>

使⽤啟動碼啟動 Kaspersky Endpoint Security。如果應⽤程式已啟動，則該⾦鑰將作為備⽤⾦鑰新增。

/REFRESH

更新 Kaspersky Endpoint Security 產品授權的狀態。結果，應⽤程式將從卡
巴斯基啟動伺服器收到最新的產品授權狀態資訊。

/REFRESH EDR

更新 Kaspersky Endpoint Detection and Response Add-on 產品授權的狀態。
結果，應⽤程式將從卡巴斯基啟動伺服器收到最新的產品授權狀態資訊。

/DEL /login=<使⽤者名
稱> /password=<密碼>刪除應⽤程式的產品授權⾦鑰。備⽤⾦鑰也將被刪除。

/DEL EDR /login=<使⽤者名稱> /password=<密碼>刪除 Kaspersky Endpoint Detection and Response Add-on 的產品授權⾦鑰。
備⽤⾦鑰也將被刪除。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

範例:
avp.com LICENSE /ADD file.key
avp.com LICENSE /ADD AAAAA-BBBBB-CCCCC-DDDDD
avp.com LICENSE /DEL EDR /login=KLAdmin /password=!Password1

RENEW。購買產品授權開啟卡巴斯基網站以購買或續約產品授權。

PBATESTRESET。在加密磁碟之前重設磁碟檢查結果732

重設完整磁碟加密 (FDE) 的相容性檢查結果，包括卡巴斯基磁碟加密和 BitLocker 磁碟機加密技術。
在執⾏完整磁碟加密之前，應⽤程式會執⾏⼤量檢查以驗證是否可以對電腦進⾏加密。如果電腦不⽀援完整磁碟
加密，Kaspersky Endpoint Security 會記錄有關不相容性的資訊。下次嘗試加密時，應⽤程式不會執⾏此檢查，並警告您無法進⾏加密。如果電腦的硬體設定已變更，則必須重設應⽤程式先前記錄的相容性檢查結果，以重新檢查系統硬碟磁碟機與卡巴斯基磁碟加密或 BitLocker 磁碟機加密技術的相容性。

EXIT。結束應⽤程式
結束 Kaspersky Endpoint Security。應⽤程式將從電腦的 RAM 中移除。
要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“結束應⽤程式”權限。
指令語法
avp.com EXIT /login=<使⽤者名稱> /password=<密碼>

EXITPOLICY。停⽤政策
在電腦上停⽤卡巴斯基安全管理中⼼政策。所有 Kaspersky Endpoint Security 設定均可進⾏配置，包括政策中已
上鎖的設定 ( )。
要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“停⽤卡巴斯基安全管理中⼼政策”權限。
指令語法
avp.com EXITPOLICY /login=<使⽤者名稱> /password=<密碼>

STARTPOLICY。啟⽤政策
在電腦上啟⽤卡巴斯基安全管理中⼼政策。將根據政策配置應⽤程式設定。

DISABLE。停⽤防護
停⽤具有過期 Kaspersky Endpoint Security 產品授權的電腦上的檔案威脅防護。無法在未啟動應⽤程式或具有有效產品授權的電腦上執⾏此指令。

SPYWARE。間諜軟體偵測
啟⽤/停⽤間諜軟體偵測。預設情況下已啟⽤間諜軟體偵測。
733

指令語法
avp.com SPYWARE on|off

KSN。在 KSN / KPSN 之間切換
選擇卡巴斯基解決⽅案以確定檔案或網站的信譽。Kaspersky Endpoint Security ⽀援以下⽤於使⽤ Kaspersky 信譽資料庫的基礎結構解決⽅案：

卡巴斯基安全網路 (KSN) 是⼤多數 Kaspersky 應⽤程式使⽤的解決⽅案。KSN 參與者從卡巴斯基接收資訊，並向 Kaspersky 傳送使⽤者電腦上偵測到的物件的資訊，以便 Kaspersky 分析⼈員進⾏額外分析，並包括在信譽
和統計資料庫中。

卡巴斯基私⼈安全網路 (KPSN) 是讓承載 Kaspersky Endpoint Security 或其他 Kaspersky 應⽤程式的電腦的使
⽤者獲得卡巴斯基信譽資料庫以及其他統計資料的存取權限的解決⽅案，無需從他們⾃⼰的電腦向卡巴斯基
傳送資料。KPSN 專為因以下任⼀原因無法參與卡巴斯基安全網路的公司客⼾所設計：本機⼯作站未連線網際網路。
法律禁⽌或公司安全政策限制將任何資料傳輸到國家/地區外部或公司 LAN 外部。
指令語法
avp.com KSN / 全域 | /私⼈<檔案名稱>卡巴斯基安全網路設定
檔<檔案名稱>

包含卡巴斯基私有安全網路設定的設定檔的名稱。此檔案具有 PKCS7 或 PEM 副
檔名。

範例:
avp.com KSN / 全域
avp.com KSN /private C:\ksn_config.pkcs7

KESCLI 命令
KESCLI 命令可讓您接收⽤ OPSWAT 元件進⾏電腦防護的狀態的相關資訊，讓您執⾏ “惡意軟體掃描”和“更新”等
標準⼯作。
您可以透過使⽤ --help 命令或者縮寫命令 -h 來檢視 KESCLI 命令清單。

要從命令列管理 Kaspersky Endpoint Security：
1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
734

2. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
您可以在應⽤程式安裝期間將可執⾏檔的路徑新增到 %PATH% 系統變數。
3. 要執⾏指令，請輸入：
kescli <指令> [選項]
結果，Kaspersky Endpoint Security 將執⾏該指令（參⾒下圖）。

從命令列管理應⽤程式

掃描。惡意軟體掃描
執⾏“惡意軟體掃描 (完整掃描) ”⼯作。
若要執⾏⼯作，管理員必須在政策中允許使⽤本機⼯作。
指令語法
kescli --opswat Scan “<掃描範圍>” <偵測到威脅後的動作>
您可以使⽤ GetScanState 指令檢查”惡意軟體掃描“⼯作完成的狀態，使⽤GetLastScanTime 指令檢視掃描上
次完成的⽇期和時間。.
掃描範圍
<要掃描的檔
案>;-以空格分隔的檔案和資料夾清單。例如，“CC:\Program Files (x86)\Example
Folder”。

偵測到威
脅後的動
作
0

通知如果選擇此選項，Kaspersky Endpoint Security 會在偵測到受感染檔案時將這些檔案的相關資訊新增到活動威脅清單。

1

解毒；若解毒失敗則刪除如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔
案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
預設情況下已選擇此操作。

範例:
735

kescli --opswat Scan "C:\Documents and Settings\All Users\My Documents;C:\Program
Files" 1

GetScanState。掃描完成狀態
接收有關“惡意軟體掃描 (完整掃描) ”⼯作完成狀態的資訊：
1 – 掃描進⾏中。
0 – 掃描未執⾏。
指令語法
kescli --opswat GetScanState

GetLastScanTime。確定掃描完成時間
接收上次“惡意軟體掃描 (完整掃描)”⼯作完成的⽇期和時間的相關資訊。
指令語法
kescli --opswat GetLastScanTime

GetThreats。獲取偵測到的威脅的資料
接收偵測到的威脅清單（威脅報告）。該報告包含建立報告前最後 30 天內的威脅和病毒活動的相關資訊。
指令語法
kescli --opswat GetThreats當執⾏該指令時，Kaspersky Endpoint Security 將傳送以下格式的回應：<偵測到的物件名稱> <物件類型> <偵測⽇期和時間> <檔案路徑> <偵測到威脅後的動作> <威脅危險級別>從命令列管理應⽤程式

物件類型
736

0

不知道 (Unknown)。

1

病毒 (Virware)。

2

⽊⾺程式 (Trojware)。

3

惡意程式 (Malware)。

4

廣告程式 (Adware)。

5

⾃動撥號程式 (Pornware)。

6

可能被網路犯罪分⼦⽤來傷害使⽤者的電腦或資料的應⽤程式 (Riskware)。

7

可能被⽤來防護惡意程式碼的封裝物件 (Packed)。

20

未知物件 (Xfiles)。

21

已知應⽤程式 (Software)。

22隱藏的檔案 (Hidden)。

23

需要注意的應⽤程式 (Pupware)。

24

異常成為 (Anomaly)。

30

未確定 (Undetect)。

40

廣告橫幅 (Banner)。

50

網路攻擊 (Attack)。

51

登錄檔存取 (Registry)。

52

可疑活動 (Suspicion)。

60

弱點 (Vulnerability)。

70

Phishing。

80

垃圾電⼦郵件附件 (Attachment)。

90

卡巴斯基安全網路偵測到的惡意軟體 (Urgent)。

100

未知連接 (Suspic URL)。

110

其它惡意軟體 (Behavioral)。

偵測到威脅後的動作
0

不知道 (unknown)。

1

威脅得到補救 (ok)。

2

物件被感染，尚未得到清除 (infected)。

5

物件在壓縮文檔中，尚未得到清除 (archive)。

9

物件已被清除 (disinfected)。

10

物件尚未得到清除 (not disinfected)。

11

物件被刪除 (deleted)。

13

已建立物件的備份副本 (backupped)。

15

物件已被移動到備份 (quarantined)。

23

物件在電腦重啟時被刪除 (delete on reboot)。
737

25

物件在電腦重啟時被清除 (disinfect on reboot)。

29

物件被使⽤者移動到了備份(added by user)。

30

物件被新增⾄排除項⽬ (added to exclude)。

31

物件在電腦重啟時被移動到了備份 (quarantine on reboot)。

36

誤報 (false alarm)。

38

處理程序被終⽌ (terminated)。

40

未偵測到物件 (not found)。

41

無法解析威脅 (untreatable)。

42

物件被還原 (rolled back)。

43

物件因為威脅活動⽽建立 (produced by threat)。

44

物件在電腦重啟時被還原 (roll back on reboot)。

0xffffffff

物件未處理 (discarded)。

威脅危險級別
0

未知

1

⾼

2

中度掃描

4

低

8

資訊（⼩於低）UpdateDe nitions。更新資料庫和程式模組
執⾏“更新”⼯作。Kaspersky Endpoint Security 使⽤預設來源：卡巴斯基更新伺服器。
若要執⾏⼯作，管理員必須在政策中允許使⽤本機⼯作。
指令語法
kescli --opswat UpdateDefinitions
您可以使⽤ GetDefinitionsetState 指令檢視⽬前病毒防護資料庫的發佈⽇期和時間。

GetDe nitionState。確定更新完成時間
接收有關使⽤中的病毒防護資料庫的發佈⽇期和時間的資訊。
指令語法
kescli --opswat GetDefinitionState
738

EnableRTP。啟⽤防護
在電腦上啟⽤ Kaspersky Endpoint Security 防護元件：檔案威脅防護，網⾴威脅防護，郵件威脅防護，網路威脅
防護，主機侵入防護。
若要啟⽤防護元件，管理員必須確保相關政策設定可以修改（屬性開啟）。

指令語法
kescli --opswat EnableRTP
因此，即使您使⽤密碼防護禁⽌修改應⽤程式設定，防護元件也會被啟⽤。
您可以使⽤ GetRealTimeProtectionState 指令檢查檔案威脅防護的操作狀態。

GetRealTimeProtectionState。“檔案威脅防護”狀態
接收有關“檔案威脅防護”元件的操作狀態的資訊。
1 – 元件已啟⽤。
0 – 元件已停⽤。
指令語法
kescli --opswat GetRealTimeProtectionState版本。識別應⽤程式版本
識別 Kaspersky Endpoint Security for Windows 的版本。
指令語法
kescli --Version
您也可以使⽤縮寫指令 -v。

Detection and Response 管理指令
您可以使⽤命令列管理 Detection and Response 解決⽅案的內建功能（例如，Kaspersky Sandbox 或者
Kaspersky Endpoint Detection and Response Optimum）。如果無法使⽤卡巴斯基安全管理中⼼主控台進⾏管理，您可以管理 Detection and Response 解決⽅案。可以執⾏ HELP 指令來檢視⽤於管理應⽤程式的指令清單。
要閱讀特定指令的語法，請輸入 HELP <指令>。
739

使⽤命令列管理 Detection and Response 解決⽅案的內建功能：1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到 Kaspersky Endpoint Security 可執⾏檔所在資料夾。
3. 要執⾏指令，請輸入：
avp.com <指令> [選項]
結果，Kaspersky Endpoint Security 將執⾏該指令。

SANDBOX。管理 Kaspersky Sandbox
⽤來管理 Kaspersky Sandbox 元件的指令：
啟⽤或者停⽤ Kaspersky Sandbox 元件。
Kaspersky Sandbox 元件可讓與 Kaspersky Sandbox 解決⽅案進⾏互通性。
配置 Kaspersky Sandbox 元件：
將電腦連線到 Kaspersky Sandbox 伺服器。
伺服器使⽤部署的 Microsoft Windows 作業系統的虛擬影像來執⾏需要掃描的物件。您可以輸入⼀個 IP 位
址（IPv4 或者 IPv6）或者完全限定網域名稱。有關部署虛擬影像和配置 Kaspersky Sandbox 伺服器的詳
情，請參⾒ Kaspersky Sandbox 說明 。
配置 Kaspersky Sandbox 伺服器的連線逾時。
從 Kaspersky Sandbox 伺服器接收物件掃描請求回應逾時、逾時經過後，Kaspersky Sandbox 會將請求重
新導向下⼀個伺服器。逾時值取決於連線的速度和穩定性。預設值是 5 秒。
在電腦和 Kaspersky Sandbox 伺服器之間配置受信任連線。
若要配置與 Kaspersky Sandbox 伺服器的受信任連線，您必須 TLS 憑證。接下來您必須將憑證新增⾄
Kaspersky Sandbox 伺服器和 Kaspersky Endpoint Security 政策。有關準備憑證和將憑證新增⾄伺服器的詳情，請參⾒ Kaspersky Sandbox 說明 。
顯⽰元件的⽬前設定。
指令語法
avp.com stop sandbox [/login=<使⽤者名稱> /password=<密碼>
avp.com start sandbox
Avp.com sandbox /set [--tls=yes|no] [--servers=<伺服器位址>:<連接埠>] [--timeout=<Kaspersky Sandbox 伺服器連線逾時 (ms)>] [--pinned-certificate=<TLS 憑證路徑>][/login=<
使⽤者名稱> /password=<密碼>]
avp.com sandbox /show

操作
停⽌

停⽤ Kaspersky Sandbox 元件。
740

開始

啟⽤ Kaspersky Sandbox 元件。

設定

配置 Kaspersky Sandbox 元件。您可以修改以下設定：
使⽤受信任連線 (--tls）；
新增 TLS 憑證(--pinned-certificate）；
設定 Kaspersky Sandbox 伺服器連線逾時 (--timeout）；
新增 Kaspersky Sandbox 伺服器 (--servers)。

顯⽰

顯⽰元件的⽬前設定。您會獲得以下回應：
sandbox.timeout=<Kaspersky Sandbox 伺服器連線逾時 (ms)>sandbox.tls=<受信任連線狀態>sandbox.servers=<Kaspersky Sandbox 伺服器清單>⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

範例:
avp.com start sandbox
avp.com sandbox /set --tls=yes --pinned-certificate="С:\Users\Admin\certificate.pem"
avp.com sandbox /set --servers=10.10.111.0:147

PREVENTION。管理執⾏防護
停⽤執⾏防護或者顯⽰⽬前元件設定，包括執⾏防護規則清單。
指令語法
avp.com prevention disable
avp.com prevention /show
執⾏“prevention /show”指令時，您將得到以下回應：
prevention.enable=true|false
prevention.mode=audit|prevent
prevention.rules
id: <規則 ID>
target: script|process|document
md5: <檔案的 MD5 雜湊>
sha256: <檔案的 SHA256 雜湊>pattern: <物件路徑>分⼤⼩寫: true|false741

指令返回值：-1 意味著指令不受安裝在電腦上的應⽤程式版本⽀援。
0 意味著指令已成功執⾏。
1 意味著強制引數沒有傳遞給指令。
2 意味著發⽣了⼀般錯誤。
4 意味著有語法錯誤。
9 – 錯誤操作（例如，嘗試停⽤元件⽽元件已停⽤）。

ISOLATION。管理網路隔離關閉電腦的網路隔離或者顯⽰元件的⽬前設定。元件設定也包含⼀個新增到排除項⽬的網路連線清單。
指令語法：
avp.com isolation /OFF /login=使⽤者名稱> /password=<密碼>
avp.com isolation /STAT
由於執⾏stat指令，您將受到以下回應：網路隔離開|關。

RESTORE。從隔離區中還原檔案您可以將檔案從隔離區還原到原始資料夾。隔離區是電腦上的⼀個特別本機儲存區域。使⽤者可以隔離使⽤者認
為對電腦有危險的檔案。隔離檔案以加密狀態儲存，不會威脅裝置安全。Kaspersky Endpoint Security 僅在使⽤
以下 Detection and Response 解決⽅案時使⽤隔離：EDR Optimum、EDR Expert、KATA (EDR)、Kaspersky
Sandbox。在其他情況下，Kaspersky Endpoint Security 將相關檔案放置在備份中。若要瞭解將隔離作為解決⽅
案的⼀部分進⾏管理的詳情，請參⾒Kaspersky Sandbox 說明 、Kaspersky Endpoint Detection and Response
Optimum 說明 、Kaspersky Endpoint Detection and Response Expert 說明 、Kaspersky Anti Targeted Attack
Platform 說明 。
要執⾏此指令，必須啟⽤密碼防護。使⽤者必須具有“從備份區還原”權限。

物件在系統帳⼾ (SYSTEM) 下隔離。
從隔離區中還原檔案包含以下特別考量：
如果⽬的地資料夾已被刪除或者使⽤者沒有此資料夾的存取權限，應⽤程式將把檔案放置於“%DataRoot%\QB\Restored”資料夾中。然後您必須⼿動將檔案移動到⽬的地資料夾。
應⽤程式對被還原檔案名稱的⼤⼩寫敏感。如果您在輸入檔案名稱時沒有執⾏⼤⼩寫規則，則應⽤程式不會
還原檔案。
如果⽬的地資料夾已經有同名檔案，則應⽤程式會取消檔案還原。
742如果您使⽤的是 KATA (EDR) 解決⽅案，應⽤程式會在還原檔案後將檔案副本儲存在隔離區中。您可以⼿動清空隔離區。對於 EDR Optimum 和 EDR Expert 解決⽅案，應⽤程式會在還原後刪除檔案。
指令語法
avp.com RESTORE [/REPLACE] <檔案名稱> /login=<使⽤者名稱> /password=<密碼>

進階設定/REPLACE

覆蓋現有檔案。

<檔案名稱>

要還原的檔案的名稱。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

範例:
avp.com RESTORE /REPLACE true_file.txt /login=KLAdmin /password=!Password1
指令返回值：-1 意味著指令不受安裝在電腦上的應⽤程式版本⽀援。
0 意味著指令已成功執⾏。
1 意味著強制引數沒有傳遞給指令。
2 意味著發⽣了⼀般錯誤。
4 意味著有語法錯誤。

IOCSCAN。掃描查找洩露指⽰器 (IOC)執⾏掃描查找洩露指⽰器 (IOC) ⼯作。洩露指⽰器 (IOC)是⼀個物件或者活動的資料集合，表明對電腦的未經授
權存取（資料洩露）。例如，許多登入系統的不成功嘗試可以構成⼀個洩露指⽰器。“IOC 掃描”⼯作可發現電腦
上的洩露指⽰器並採取威脅回應措施。
指令語法
avp.com IOCSCAN <IOC 檔案的完整路徑>|/path=<IOC 檔案資料夾的路徑> [/process=on|off][/hint=<處理程序的可執⾏檔的完整路徑|完整檔案路徑>] [/registry=on|off] [/dnsentry=on|off][/arpentry=on|off] [/ports=on|off] [/services=on|off] [/system=on|off] [/users=on|off][/volumes=on|off] [/eventlog=on|off] [/datetime=<事件發佈⽇期>] [/channels=<list ofchannels>] [/files=on|off] [/drives=<all|system|critical|custom>] [/excludes=<排除項⽬清單>][/scope=<要掃描的資料夾清單>>]IOC 檔案<IOC 檔案路徑>您想要⽤於掃描的 IOC 檔案的完整路徑。您可以指定多個 IOC 檔案，之間由空格分開。輸入 IOC 檔案的完整路徑時不得有 /path 引數。
例如，C:\Users\Admin\Desktop\IOC\file1.ioc
743

/path=<包含 IOC
檔案的資料夾路徑>您想要⽤於掃描的包含 IOC 檔案的資料夾路徑。IOC 檔案是包含應⽤程式試圖匹配以計數偵測的指⽰器集合的檔案。IOC 檔案必須符合 OpenIOC 標準。
例如，C:\Users\Admin\Desktop\IOC

⽤於 IOC 掃描的資料類型/process=on|off

執⾏ IOC 掃描時分析處理程序資料（ProcessItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 執⾏掃描時不分析在電腦上執⾏的處理程序。如果 IOC 檔案包含 ProcessItem IOC
文件的 IOC 字詞，他們會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 ProcessItem IOC 文件在供掃描的 IOC 檔
案中得到說明時，Kaspersky Endpoint Security 才分析處理程序資料。

/hint=<處理程序的可執⾏檔完整路徑|檔案完整路徑>執⾏ IOC 掃描時分析檔案資料（ProcessItem 和 FileItem 字詞）。
您可以採⽤以下⽅式之⼀選擇檔案：<處理程序的可執⾏檔完整路徑> – ProcessItem 字詞；<檔案完整路徑> – FileItem 字詞。

/registry=on|off

執⾏ IOC 掃描時分析 Windows 登錄檔資料（RegistryItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不掃描
Windows 登錄檔。如果 IOC 檔案包含 RegistryItem IOC 文件字詞，
字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 RegistryItem IOC 文件在供掃描的 IOC 檔
案中得到說明時，Kaspersky Endpoint Security 才分析 Windows 登
錄檔資料。
對於 RegistryItem 資料類型，Kaspersky Endpoint Security 會掃描⼀
個登錄機碼集合。

/dnsentry=on|off

執⾏ IOC 掃描時分析本機 DNS 快取中的記錄相關資料（DnsEntryItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不掃描本機
DNS 快取。如果 IOC 檔案包含 DnsEntryItem IOC 文件字詞，字詞會
被忽略（偵測為不匹配）。
如果未指定引數，則僅當 DnsEntryItem IOC 文件在供掃描的 IOC 檔
案中得到說明時，Kaspersky Endpoint Security 才分析本機 DNS 快取。

/arpentry=on|off

執⾏ IOC 掃描時分析本機 ARP 表格中的記錄相關資料（ArpEntryItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不掃描 ARP 表格。如果 IOC 檔案包含 ArpEntryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 ArpEntryItem IOC 文件在供掃描的 IOC 檔
案中得到說明時，Kaspersky Endpoint Security 才分析 ARP 表格。

/ports=on|off

執⾏ IOC 掃描時分析開啟⽤來監聽的連接埠相關資料（PortItem 字詞）。
744

如果引數值為 off，則 Kaspersky Endpoint Security 不掃描裝置上
的活動連線表格。如果 IOC 檔案包含 PortItem IOC 文件字詞，字詞
會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 PortItem IOC 文件在供掃描的 IOC 檔案中
得到說明時，Kaspersky Endpoint Security 才分析活動連線表格。
/services=on|off

執⾏ IOC 掃描時分析安裝在裝置上的服務相關資料（ServiceItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不掃描安裝在裝置上的服務相關資料。如果 IOC 檔案包含 ServiceItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 ServiceItem IOC 文件在供掃描的 IOC 檔案
中得到說明時，Kaspersky Endpoint Security 才分析服務資料。

/system=on|off

執⾏ IOC 掃描時分析環境資料（SystemInfoItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不分析環境資料。如果 IOC 檔案包含 SystemInfoItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 SystemInfoItem IOC 文件在供掃描的 IOC
檔案中得到說明時，Kaspersky Endpoint Security 才分析環境資料。

/users=on|off

執⾏ IOC 掃描時分析使⽤者相關資料（UserItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不分析在系統
中建立的使⽤者相關資料。如果 IOC 檔案包含 UserItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 UserItem IOC 文件在供掃描的 IOC 檔案中
得到說明時，Kaspersky Endpoint Security 才分析在系統中建立的使
⽤者相關資料。

/volumes=on|off

執⾏ IOC 掃描時分析磁碟區相關資料（VolumeItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不掃描裝置上
的磁碟區相關資料。如果 IOC 檔案包含 VolumeItem IOC 文件字詞，
字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 VolumeItem IOC 文件在供掃描的 IOC 檔案
中得到說明時，Kaspersky Endpoint Security 才分析磁碟區資料。

/eventlog=on|off

執⾏ IOC 掃描時分析 Windows 事件⽇誌中的記錄相關資料（EventLogItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不掃描
Windows 事件⽇誌中的記錄。如果 IOC 檔案包含 EventLogItem IOC
文件字詞，字詞會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 EventLogItem IOC 文件在供掃描的 IOC 檔
案中得到說明時，Kaspersky Endpoint Security 才分析 Windows 事件⽇誌。

/datetime=<事件發佈⽇期>

當確定相應 IOC 文件的 IOC 掃描範圍時，請考慮事件在 Windows 事件⽇誌中發佈的⽇期。
當執⾏ IOC 掃描時，Kaspersky Endpoint Security 會掃描從指定時間
和⽇期到執⾏⼯作時這段期間內發佈的 Windows 事件⽇誌。

745

Kaspersky Endpoint Security 允許將事件發佈⽇期指定為引數值。僅
對指定⽇期後和執⾏掃描前在 Windows 事件⽇誌中發佈的事件進⾏掃描。
如果未指定引數，Kaspersky Endpoint Security 會掃描具有任何發佈
⽇期的事件。TaskSettings::BaseSettings::EventLogItem::datetime 設
定不可編輯。
設定只有當 EventLogItem IOC 文件在供掃描的 IOC 檔案中得到說明
時才使⽤。
/channel=<通道清單>

您想要為其進⾏ IOC 掃描的通道清單 (log) 名稱。
如果指定了引數，Kaspersky Endpoint Security 會掃描發佈在指定⽇誌中的記錄。IOC 文件必須說明 EventLogItem 字詞。
⽇誌名稱被根據⽇誌內容（完整名稱參數）或者事件內容（事件的xml 架構中的 <Channel></Channel> 參數）中指定的⽇誌名稱（通道）指定為字串。您可以指定多個通道，之間由空格分開。
如果未指定引數，則 Kaspersky Endpoint Security 會掃描通道
Application、System、Security 的記錄。

/files=on|off

執⾏ IOC 掃描時分析檔案資料（FileItem 字詞）。
如果引數值為 off，則 Kaspersky Endpoint Security 不分析檔案資料。如果 IOC 檔案包含 FileItem IOC 文件字詞，則他們會被忽略（偵測為不匹配）。
如果未指定引數，則僅當 FileItem IOC 文件在供掃描的 IOC 檔案中
得到說明時，Kaspersky Endpoint Security 才分析檔案資料。

/drives=<all|system|critical|custom>

設定分析 FileItem IOC 文件的資料時的 IOC 掃描範圍。
您可以為掃描範圍設定以下值：<all>，對於所有可⽤的檔案範圍。
<system>，對於安裝了作業系統的資料夾中的檔案。
<critical>，對於使⽤者和系統資料夾中的臨時檔案。
<custom>，對於使⽤者定義的範圍中的檔案（/scope=<要掃描的資料夾清單>）。
如果未指定引數，則為關鍵領域進⾏掃描。

/excludes=<排除項⽬清單>

設定分析 FileItem IOC 文件的資料時的排除範圍。您可以指定多個路
徑，之間由空格分開。

/scope=<要掃描的資料夾清單>

分析 FileItem IOC 文件的資料時的使⽤者定義 IOC 掃描範圍(/drives=custom)。您可以指定多個路徑，之間由空格分開。

指令返回值：-1 意味著指令不受安裝在電腦上的應⽤程式版本⽀援。
0 意味著指令已成功執⾏。
1 意味著強制引數沒有傳遞給指令。
2 意味著發⽣了⼀般錯誤。
4 意味著有語法錯誤。
746

如果指令得到成功執⾏（返回值0）且順便偵測到了洩露指⽰器，Kaspersky Endpoint Security 會將以下⼯作結果資訊輸出到指令⾏：
Uuid來⾃ IOC 檔案結構標頭的 IOC 檔案 ID（<ioc id="">標籤）名稱來⾃ IOC 檔案結構標頭的 IOC 檔案說明（<description></description>標籤）

匹配的指⽰器字詞

所有匹配指⽰器的 ID 清單。

匹配的物件對其具有匹配的每個 IOC 文件的資料。

MDRLICENSE.MDR 啟動
使⽤ BLOB 設定檔執⾏操作以啟動 Managed Detection and Response。BLOB 檔案包含⽤⼾端 ID 以及有關卡巴斯
基 Managed Detection and Response 產品許可的資訊。BLOB 檔案位於 MDR 設定檔的 ZIP 存檔中。您可以在Kaspersky Managed Detection and Response 主控台中獲取 ZIP 存檔。有關 BLOB 檔案的詳細資訊，請參閱Kaspersky Managed Detection and Response 說明 。
使⽤ BLOB 檔案執⾏操作需要管理員權限。政策中的 Managed Detection and Response 設定也必須可⽤於編
輯（ ）。
指令語法
avp.com MDRLICENSE <操作> [/login=<使⽤者名稱> /password=<密碼>]

操作/ADD <
檔案名稱>套⽤ BLOB 設定檔與 Kaspersky Managed Detection and Response（P7 檔案格式）整合。您只
能套⽤⼀個 BLOB 檔案。如果已將 BLOB 檔案新增到電腦，則該檔案將被替換。

/DEL

刪除 BLOB 設定檔。

⾝分驗證/login=<使⽤者名稱> /password=<密碼>

具有所需“密碼防護”權限的使⽤者帳⼾憑據。

範例:
avp.com MDRLICENSE /ADD file.key
avp.com MDRLICENSE /DEL /login=KLAdmin /password=!Password1

EDRKATA。與 EDR (KATA) 進⾏整合
⽤於管理 Detection and Response 元件 (KATA) 的命令：
啟⽤或停⽤ EDR (KATA) 元件。
EDR 元件 (KATA) 提供與 Kaspersky Anti Targeted Attack Platform 解決⽅案的互操作性。
配置與 Kaspersky Anti Targeted Attack Platform 伺服器的連線。
747

顯⽰元件的⽬前設定。
指令語法
avp.com START EDRKATA
avp.com STOP EDRKATA
avp.com edrkata /set /servers=<伺服器位址>:<連接埠> /server-certificate=<TLS 憑證路徑>[/timeout=<中央節點伺服器連線超時（秒）>] [/sync-period= <中央節點伺服器同步期間（分鐘）>]
avp.com edrkata /show

操作
停⽌

停⽤ EDR (KATA) 元件。

開始啟⽤ EDR (KATA) 元件。

設定

配置 EDR (KATA) 元件。您可以修改以下設定：
新增中央節點伺服器（servers=<server address>:<port>）。
新增 TLS 憑證（server-certificate=<TLS 憑證路徑>）。
設定中央節點伺服器連接超時（/timeout=<Central Node server connection timeout(seconds)>）。
設定與中央節點伺服器同步的周期（/sync-period=<Central Node server
synchronization period (minutes)>）。

顯⽰顯⽰元件的⽬前設定。

錯誤代碼
透過指令⾏使⽤應⽤程式時，可能會發⽣錯誤。發⽣錯誤時，Kaspersky Endpoint Security 會顯⽰錯誤訊息，例如，“錯誤：無法啟動⼯作 ‘EntAppControl’”。Kaspersky Endpoint Security 還可以顯⽰代碼形式的其他資訊，
例如，error=8947906D（請參⾒下表）。
錯誤代碼

錯誤代碼

描述

09479001

此⾦鑰已經在使⽤中。

0947901D

產品授權已到期，資料庫更新無法使⽤。

89479002

找不到⾦鑰。

89479003

數位簽章遺失或已損壞。

89479004

資料已損壞。

89479005

⾦鑰檔案已損壞。

89479006

產品授權已到期。

89479007

未指定⾦鑰檔案。

89479008

⾦鑰檔案無效。

89479009

儲存資料失敗。
748

8947900A

讀取資料失敗。

8947900B

I/O 錯誤。

8947900C

找不到資料庫。

8947900E

產品授權庫尚未被載入。

8947900F

資料庫已損壞或已經⼿動更新。

89479010

資料庫損壞。

89479011

無法將無效的⾦鑰檔案當作備⽤⾦鑰。

89479012

系統錯誤。

89479013

⾦鑰拒絕清單已損壞。

89479014

檔案數位簽章與卡巴斯基的數位簽章不相同。

89479015

無法使⽤試⽤版產品授權⾦鑰做為商業產品授權⾦鑰。

89479016

使⽤ Beta 版應⽤程式需要⽤於 Beta 測試的產品授權。

89479017

⾦鑰檔案與此應⽤程式不相容，無法使⽤其他應⽤程式的⾦鑰檔案啟動 Kaspersky Endpoint
Security for Windows，請檢查已安裝的應⽤程式。

89479018

產品授權⾦鑰被卡巴斯基封鎖。

89479019

該應⽤程式已經使⽤了試⽤版產品授權。無法再次使⽤試⽤版產品授權新增⾦鑰。

8947901A

⾦鑰檔案已損壞。

8947901B

數位簽章已遺失、已損壞或者與卡巴斯基數位簽章不相符。

8947901C

如果相應的非正式產品授權已到期，則無法新增⾦鑰。

8947901E

⾦鑰檔案的建立或使⽤⽇期無效。請檢查系統⽇期。

8947901F

無法新增試⽤版產品授權⾦鑰:已在在使⽤其他試⽤版產品授權⾦鑰。

89479020

⾦鑰拒絕清單已損壞或遺失。

89479021

更新敘述遺失或損壞。

89479022

內部資料與此程式不相容。

89479023

無法將無效的⾦鑰檔案當作備⽤⾦鑰。

89479025

傳送啟動伺服器請求時出現錯誤。可能原因:網際網路連線問題或啟動伺服器臨時故障。請稍
候(1-2 ⼩時後)再次嘗試使⽤啟動碼啟動。如果問題仍然存在，請聯絡您的網路供應商。

89479026

請求含有錯誤的啟動碼。

89479027

無法取得回應狀態。

89479028

儲存暫存檔案時出錯。

89479029

輸入的啟動碼不正確，或電腦上設定的系統⽇期不正確，請檢查電腦上的系統⽇期。

8947902A

⾦鑰與此程式不相容，或產品授權已到期

8947902B

無法接收⾦鑰檔案，輸入的啟動碼無效。

8947902C

啟動伺服器傳回錯誤 400。

8947902D

啟動伺服器傳回錯誤 401。

8947902E

啟動伺服器傳回錯誤 403。
749

8947902F

啟動伺服器上的資源不可⽤。 啟動伺服器回應錯誤代碼 404。 請檢查網際網路連線設定。

89479030

啟動伺服器傳回錯誤 405。

89479031

啟動伺服器傳回錯誤 406。

89479032

需要代理伺服器⾝分驗證，請檢查您的網路設定。

89479033

請求逾時。

89479034

啟動伺服器傳回錯誤 409。

89479035

啟動伺服器上的必需資源不可⽤。 啟動伺服器回應錯誤代碼 410。 請檢查網際網路連線設
定。

89479036

啟動伺服器傳回錯誤 411。

89479037

啟動伺服器傳回錯誤 412。

89479038

啟動伺服器傳回錯誤 413。

89479039

啟動伺服器傳回錯誤 414。

8947903A

啟動伺服器傳回錯誤 415。

8947903C

伺服器內部錯誤。

8947903D

不⽀援此功能。

8947903E

閘道無回應，請檢查您的網路設定

8947903F

資源暫時無法使⽤。

89479040

閘道回應逾時，請檢查您的網路設定。

89479041

伺服器不⽀援該協定。

89479043

未知的 HTTP 錯誤。

89479044

無法的資源 ID。

89479046

無效的網址。

89479047

⽬標資料夾無效。

89479048

記憶體分配錯誤。

89479049

將參數轉換為 ANSI 字元(網址、資料夾、代理)時出錯。

8947904A

建立⼯作執⾏緒時出錯。

8947904B

⼯作執⾏緒已經執⾏。

8947904C

⼯作執⾏緒尚未執⾏。

8947904D

啟動伺服器上未找到⾦鑰檔案。

8947904E

⾦鑰已被封鎖。

8947904F

啟動伺服器內部錯誤。

89479050

在啟動請求中沒有⾜夠的資料。

89479053

屬於新增的⾦鑰已經到期。

89479054

電腦上的系統⽇期設定不正確，請檢查系統⽇期。

89479055

試⽤版產品授權已到期。

89479056

程式啟動時間已到期。
750

89479057

指定啟動碼已超過程式啟動的最⼤數量。

89479058

啟動過程返回系統錯誤

89479059

無法使⽤試⽤版產品授權⾦鑰做為商業產品授權⾦鑰。

8947905C

需要啟動碼。

89479062

無法連線到啟動伺服器。

89479064

啟動伺服器不可⽤。請檢查您的網際網路連線設定並再次嘗試啟動。

89479065

產品授權已經到期

89479066

不能使⽤到期⾦鑰取代啟動⾦鑰。

89479067

如果對應的產品授權在啟動的產品授權之前到期，則無法新增備⽤⾦鑰。

89479068

更新的訂購⾦鑰遺失。

8947906A

啟動碼不正確。

8947906B

⾦鑰已經啟動。

8947906C

與啟動⾦鑰和備⽤⾦鑰對應的產品授權類型不相同。

8947906D

產品授權不⽀援元件

8947906E

無法新增訂購⾦鑰作為備⽤⾦鑰。

89479213

傳輸層⼀般錯誤

89479214無法連線啟動伺服器

89479215

無效的網址格式

89479216

無法轉換代理伺服器位址89479217

未能轉換伺服器位址，請檢查網際網路連線設定

89479218

伺服器嘗試連線失敗

89479219

遠端存取被拒絕

8947921A

操作逾時

8947921B

傳送 HTTP 請求時出現錯誤

8947921C

SSL 連線錯誤

8947921D

操作被回呼中斷

8947921E

重新導向過多8947921F

收件者檢查失敗

89479220

來⾃伺服器的空回應

89479221

傳送資料時出現錯誤

89479222

接收資料時出現錯誤

89479223

SSL 憑證相關問題

89479224

SSL 加密相關問題

89479225

SSL 憑證中⼼相關問題

89479226

無效的網路封包內容

89479227

帳⼾存取被拒絕
751

89479228

無效的 SSL 憑證檔案

89479229

無法結束 SSL 連線

8947922A

循環錯誤

8947922B

含有註銷且無效憑證的檔案

8947922C

SSL 憑證請求錯誤

89479401

未知的伺服器錯誤

89479402

伺服器內部錯誤

89479403

所輸入的啟動碼沒有可⽤的⾦鑰89479404

啟動⾦鑰已被封鎖89479405

請求啟動所需的參數遺失89479406

無效的⽤⼾端號碼或密碼

89479407

啟動碼不正確。

89479408啟動碼與此應⽤程式不相容，無法使⽤其他應⽤程式的啟動碼啟動 Kaspersky Endpoint
Security for Windows，請檢查已安裝的應⽤程式。

89479409

需要啟動碼

8947940B

啟動⽇期已到期

8947940C

該啟動碼的啟動次數已超過限制

8947940D

請求 ID 的格式無效

8947940E

啟動碼已在使⽤中8947940F

無法續約啟動碼

89479410

啟動碼對該國家無效。

89479411

該啟動碼不適⽤於該此程式版本。

89479412

此啟動碼設計⽤於⽬前程式的新版本，請取得其他啟動碼以啟動⽬前安裝版本程式。

89479413

啟動伺服器回傳錯誤代碼 643

89479414

啟動伺服器回傳錯誤代碼 644

89479415

啟動伺服器回傳錯誤代碼 645

89479416

啟動伺服器回傳錯誤代碼 646

89479417

需要啟動伺服器版本 1.089479418

錯誤的啟動碼格式

89479419

電腦時間沒有與啟動伺服器時間同步

8947941A

錯誤的程式版本

8947941B

訂購服務已到期

8947941C

超出啟動數量8947941D

無效的 ticket 簽章

8947941E

需要額外的資料8947941F

資料驗證失敗752

89479420

訂購未啟動89479421

啟動伺服器正在維護中89479501

意外錯誤

89479502

傳輸的參數無效，範例啟動伺服器位址清單是空的89479503

無效的啟動碼 (雜湊值無效)

89479504

使⽤者 ID 無效

89479505

使⽤者密碼無效89479506

來⾃啟動伺服器的無效回應

89479507啟動請求已中斷

89479509

啟動伺服器傳回了空的轉發清單附錄。應⽤程式設定檔
設定檔是 Kaspersky Endpoint Security 元件、⼯作或功能。設定檔⽤於從命令列管理應⽤程式。您可以使⽤設定
檔執⾏ START、STOP、STATUS、STATISTICS和EXPORT指令。使⽤設定檔，您可以配置應⽤程式設定（例如，STOP DeviceControl）或執⾏⼯作（例如，START Scan_My_Computer）。
以下設定檔可⽤：
AdaptiveAnomaliesControl – 適應性異常控制。
AMSI – AMSI 防護。
BehaviorDetection – ⾏為偵測。
DeviceControl – 裝置控制。
EntAppControl - 應⽤程式控制。
File_Monitoring 或 FM – 檔案威脅防護。
Firewall 或 FW – 防火牆。
HIPS – 主機入侵防禦。
IDS – 關於網路威脅防護。
IntegrityCheck – 完整性檢查。
LogInspector – 記錄檢查。
Mail_Monitoring 或 EM – 郵件威脅防護。
Rollback – 更新回溯。
Scan_ContextScan – 從內容功能表掃描。

753

Scan_IdleScan – 背景掃描。
Scan_Memory - 內核記憶體掃描。
Scan_My_Computer – 完整掃描。
Scan_Objects – ⾃訂掃描。
Scan_Qscan - 掃描在作業系統啟動時載入的物件。
Scan_Removable_Drive – 卸除式磁碟機掃描。
Scan_Startup 或 STARTUP – 關鍵區域掃描。
Updater – 更新。
Web_Monitoring 或 WM – Web 威脅防護。
WebControl – Web 控制。
Kaspersky Endpoint Security 還⽀援服務設定檔。聯絡卡巴斯基技術⽀援時，可能需要服務設定檔。

754

透過 REST API 管理應⽤程式
Kaspersky Endpoint Security 允許您使⽤協⼒廠商解決⽅案配置應⽤程式設定，執⾏掃描，更新病毒資料庫以及執⾏其他⼯作。Kaspersky Endpoint Security 為此提供了⼀個 API。Kaspersky Endpoint Security REST API 透過
HTTP 執⾏，並且由⼀組請求/回應⽅法組成。換句話說，您可以透過協⼒廠商解決⽅案⽽不是本機應⽤程式介⾯
或卡巴斯基安全管理中⼼管理主控台來管理 Kaspersky Endpoint Security。
要開始使⽤ REST API，您需要安裝帶 REST API ⽀援的 Kaspersky Endpoint Security。REST ⽤⼾端和 Kaspersky
Endpoint Security 必須安裝在同⼀台電腦上。
為確保 Kaspersky Endpoint Security 與 REST ⽤⼾端之間的安全交互，請執⾏以下操作：
根據 REST ⽤⼾端開發⼈員的建議配置 REST ⽤⼾端的防護以防⽌未經授權的存取。配置 REST ⽤⼾端資料夾
防護，以防⽌在判別存取控制清單（DACL）的幫助下進⾏寫入。
要執⾏ REST ⽤⼾端，請使⽤具有管理員權限的單獨帳⼾。拒絕此帳⼾交互式登入到系統。
透過位於 http://127.0.0.1 或 http://localhost 的 REST API 管理應⽤程式。無法透過 REST API 遠端系統管理
Kaspersky Endpoint Security。
開啟 REST API 文件

使⽤ REST API 安裝應⽤程式
要透過 REST API 管理應⽤程式，您需要安裝帶 REST API ⽀援的 Kaspersky Endpoint Security。如果透過 REST
API 管理 Kaspersky Endpoint Security，則無法使⽤卡巴斯基安全管理中⼼管理該應⽤程式。

準備安裝帶 REST API ⽀援的應⽤程式
Kaspersky Endpoint Security 與 REST ⽤⼾端進⾏安全交互需要設定請求識別。為此，您必須安裝憑證並隨後簽署每個請求的承載。
若要建立憑證，您可以使⽤，例如，OpenSSL。
範例:$ openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 1825 -nodes
使⽤⾦鑰⻑度為 2048 位元或者更多的 RSA 加密演算法。
因此，您將獲得⼀個 cert.pem 憑證和⼀個 key.pem 私密⾦鑰。

安裝帶 REST API ⽀援的應⽤程式

要安裝帶 REST API ⽀援的 Kaspersky Endpoint Security：
1. 以管理員⾝分執⾏命令列解譯器 (cmd.exe)。
2. 轉到包含 Kaspersky Endpoint Security 版本 11.2.0 或更⾼版本分發套件的資料夾。
3. 使⽤以下設定安裝 Kaspersky Endpoint Security：
755

RESTAPI=1
RESTAPI_User=<使⽤者名稱>⽤於透過 REST API 管理應⽤程式的使⽤者名稱。輸入格式為 <DOMAIN>\<UserName> 的使⽤者名稱（例如，RESTAPI_User=COMPANY\Administrator）。您只能在此帳⼾下透過 REST API 管理應⽤程式。您只
能選擇⼀個使⽤者來使⽤ REST API。
RESTAPI_Port=<連接埠>
⽤於透過 REST API 管理應⽤程式的連接埠。預設情況下使⽤ 6782 連接埠。確保連接埠空閒。可選參數。
RESTAPI_Certificate=<憑證路徑>
⽤於識別請求的憑證（例如，RESTAPI_Certificate=C:\cert.pem）。
您可以在安裝應⽤程式後安裝憑證或者在憑證到期後更新憑證。
如何安裝憑證⽤於 REST API 請求識別

1. 停⽤ Kaspersky Endpoint Security ⾃我防護
⾃我防護機制可防⽌變更或刪除硬碟上的應⽤程式檔案、記憶體中的處理程序和系統登錄檔中的項⽬。
2. 前往包含 REST API 設定的登錄機碼：
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\KasperskyLab\protected\KES\settings\Rest
3. 輸入憑證路徑，例如，Certificate = C:\Folder\cert.pem。
4. 啟⽤ Kaspersky Endpoint Security ⾃我防護。
5. 重啟應⽤程式。
AdminKitConnector=1
使⽤管理系統管理應⽤程式。預設情況下允許管理。
您還可以使⽤ setup.ini 檔案來定義 REST API 的使⽤設定。
範例:
setup_kes.exe /pEULA=1 /pPRIVACYPOLICY=1 /pKSN=1 /pALLOWREBOOT=1/pAdminKitConnector=1 /pRESTAPI=1 /pRESTAPI_User=COMPANY\Administrator/pRESTAPI_Certificate=C:\cert.pem /s
結果，您將能夠透過 REST API 管理應⽤程式。要驗證其操作，請使⽤ GET 請求開啟 REST API 文件。
範例:
GET http://localhost:6782/kes/v1/api-docs如果您已安裝帶 REST API ⽀援的應⽤程式，Kaspersky Endpoint Security 將⾃動在⽤於存取 Web 資源的Web 控制設定中建立⼀個允許規則（REST API 的服務規則）。所有時候都需要該規則來允許 REST ⽤⼾端
存取 Kaspersky Endpoint Security。例如，如果您有受限制的 Web 資源使⽤者存取權限，這不會影響透過
REST API 管理應⽤程式。我們建議您不要刪除規則或者變更“REST API 的服務規則”設定。如果您刪除規則，
Kaspersky Endpoint Security 將在重啟應⽤程式後還原它。

756

使⽤ API無法使⽤密碼防護透過 REST API 限制對應⽤程式的存取。例如，無法封鎖使⽤者透過 REST API 停⽤防護。
您可以透過 REST API 配置密碼防護，並透過本機介⾯限制使⽤者對應⽤程式的存取。
要透過 REST API 管理應⽤程式，需要在安裝帶 REST API ⽀援的應⽤程式時指定的帳⼾下執⾏ REST ⽤⼾端。您
只能選擇⼀個使⽤者來使⽤ REST API。
開啟 REST API 文件
透過 REST API 管理應⽤程式包括以下步驟：
1. 獲取應⽤程式設定的當前值。為此，請傳送⼀個 GET 請求。
範例:
GET http://localhost:6782/kes/v1/settings/ExploitPrevention
2. 應⽤程式將傳送包含設定的結構和值的回應。Kaspersky Endpoint Security ⽀援 XML 和 JSON 格式。
範例:{"action": 0,"enableSystemProcessesMemoryProtection": true。
"enabled": true}
3. 編輯應⽤程式設定。使⽤在對 GET 請求的回應中收到的設定結構。
範例:{"action": 0,"enableSystemProcessesMemoryProtection": false。
"enabled": true}
4. 在 JSON 中儲存應⽤程式核定（承載）(payload.json)。
5. ⽤ PKCS7 格式簽署 JSON。
範例:$ openssl smime -sign -in payload.json -signer cert.pem -inkey key.pem -nodetach binary -outform pem -out signed_payload.pem
因此，您會得到⼀個具有請求的承載的署名檔案 (signed_payload.pem)。
6. 編輯應⽤程式設定。為此，請傳送⼀個 POST 請求並附上有請求承載的署名檔案 (signed_payload.pem)。
應⽤程式會套⽤新設定並傳送包含應⽤程式配置結果的回應（回應可以為空）。您可以使⽤ GET 請求驗證設
定已更新。

757

關於應⽤程式的資訊源
卡巴斯基網站上的 Kaspersky Endpoint Security ⾴⾯
在Kaspersky Endpoint Security ⾴⾯ ，您可以檢視有關應⽤程式及其功能和特性的⼀般資訊。
Kaspersky Endpoint Security ⾴⾯包含線上商店的連接。您可以在那裡購買或更新應⽤程式。

知識庫中的 Kaspersky Endpoint Security ⾴⾯

知識庫 是技術⽀援網站上的⼀個部分。
在 知識庫中的 Kaspersky Endpoint Security ⾴⾯ ，您可以閱讀提供有關如何購買、安裝和使⽤應⽤程式的有⽤
資訊、建議和常⾒問題解答的文章。
知識庫文章不僅可以回答與 Kaspersky Endpoint Security 相關的問題，還可以回答與其他卡巴斯基應⽤程式相關的問題。知識庫中的文章還可能包含來⾃技術⽀援的新聞。

論壇中關於卡巴斯基應⽤程式的討論
如果您的問題不需要緊急回答，您可以在我們的論壇 上與卡巴斯基專家和其他使⽤者討論。
在論壇中，您可以檢視現有主題、發表⾃⼰的評論以及建立新的討論主題。

758

聯絡技術⽀援服務
如果您無法在檔案中或Kaspersky Endpoint Security 相關資訊源中找到您問題的解決⽅案，建議您聯絡技術⽀
援。技術⽀援會為您解答關於安裝和使⽤ Kaspersky Endpoint Security 的問題。
Kaspersky 在應⽤程式的⽣命週期內為 Kaspersky Endpoint Security 提供⽀援（請參閱應⽤程式⽣命週期⾴
⾯ ）。與技術⽀援部⾨聯絡之前，請閱讀⽀援規則 。
您可以透過以下⽅式取得技術⽀援：
透過造訪技術⽀援網站
透過 Kaspersky CompanyAccount 網站 向 Kaspersky 技術⽀援傳送請求
將您的問題通知 Kaspersky 技術⽀援專家後，他們可能會請您建立⼀個偵錯檔案。偵錯檔案可以跟逐步蹤執⾏應
⽤程式指令的過程，可確定應⽤程式操作中發⽣錯誤的階段。
技術⽀援專家可能還需要更多相關資訊，關於作業系統、電腦中執⾏的處理程序、應⽤程式元件操作的詳細報告。
執⾏診斷時，技術⽀援專家將要求您透過以下⽅式變更應⽤程式設定：
啟動⽤於接收延伸診斷資訊的功能。
透過變更從標準使⽤者介⾯無法存取的特別設定來設定應⽤程式單獨模組。
變更診斷資訊儲存的設定。
設定網路流量擷取和記錄。
技術⽀援專家會提供執⾏這些操作所需的所有資訊（步驟順序說明、要修改的設定、設定檔、指令碼、附加的命
令列功能、調試模組、特定⽤途的實⽤程式等），並會告知您調試時所使⽤的資料的範圍。延伸診斷資訊儲存在使⽤者的電腦中。資料不會⾃動傳輸到 Kaspersky。
以上列出的操作請在技術⽀援專家的引導下，按照指⽰操作。擅⾃以未在“線上說明”或“技術⽀援”建議中予以
描述的⽅式變更應⽤程式設定可能引起作業系統速度減緩和崩潰，降低您的電腦的防護等級，以及損害正在被處理的資訊的可⽤性和完整性。

偵錯檔案的內容和儲存
您親⾃負責電腦上儲存的資料的安全性，尤其是在資料提交到 Kaspersky 前監控和限制對資料的存取。
只要應⽤程式在使⽤中，就會在電腦中儲存偵錯檔案，當應⽤程式被移除後，偵錯檔案將被永久移除。
偵錯檔案（⾝分驗證代理的偵錯檔案除外）儲存在%ProgramData%\Kaspersky Lab\KES.21.14\Traces資料
夾中。
偵錯檔案按如下⽅式命名：KES<21.14_dateXX.XX_timeXX.XX_pidXXX.><偵錯檔案類型>.log。
759

您可以檢視偵錯檔案中儲存的資料。
所有偵錯檔案都包含下列⼀般資料：事件時間。
執⾏線程編號。
⾝分驗證代理偵錯檔案不包含該資訊。
引起該事件的應⽤程式元件。
事件嚴重程度（通知性事件、警告、緊急事件、錯誤）。
關於應⽤程式元件命令執⾏和命令執⾏結果的事件說明。
Kaspersky Endpoint Security 僅以加密形式將使⽤者密碼儲存到偵錯檔案中。

SRV.log、GUI.log 和 ALL.log 偵錯檔案的內容SRV.log、GUI.log 和 ALL.log 偵錯檔案可儲存⼀般資料之外的下列資訊：
個⼈資料，包括姓⽒、名字和中間名，如果此資料封包含在本機電腦檔案的路徑中。
電腦上安裝的硬體資料（如 BIOS/UEFI 韌體資料）。當執⾏卡巴斯基磁碟加密時，此資料將寫入偵錯檔案。
使⽤者名稱和密碼，如果它們公開傳送。在網際網路流量掃描期間，此資料可被記錄偵錯檔案中。
使⽤者名稱和密碼，如果它們包含在 HTTP 標題中。
Microsoft Windows 帳⼾名稱，如果該帳⼾名稱包含在檔案名中。
包含您的帳⼾名和密碼的電⼦郵件位址或網⾴位址，如果它們包含在被偵測的物件名中。
您存取的網站和從這些網站被重定向的網站。當應⽤程式掃描網路時，將會把此資料寫入偵錯檔案。
登入代理伺服器的代理伺服器位址、電腦名稱、連接埠、IP 位址和使⽤者名稱。當應⽤程式使⽤代理伺服器
時，將會把此資料寫入偵錯檔案。
您的電腦要與其建立連線的遠端 IP 位址。
郵件主旨、ID、社群網路寄件者網⾴的寄件者名稱和位址。當啟⽤ Web 控制元件時，將會把此資料寫入偵錯
檔案。
網路流量資料。如果啟⽤流量監控元件（如 Web 控制），則此資料將寫入偵錯檔案。
從 Kaspersky 伺服器接收的資料（如病毒資料庫的版本）。
Kaspersky Endpoint Security 元件的狀態及其操作資料。
應⽤程式中的使⽤者活動資料。
760

作業系統事件。

HST.log、BL.log、Dumpwriter.log、WD.log 和 AVPCon.dll.log 偵錯檔案的內容
除了⼀般資料之外，HST.log 偵錯檔案包含關於資料庫執⾏和程式模組更新⼯作的資訊。
除了⼀般資料之外，BL.log 偵錯檔案包含應⽤程式執⾏期間發⽣的事件資訊，以及對應⽤程式錯誤進⾏故障排除所需的資料。如果使⽤ avp.exe –bl 參數啟動應⽤程式，將建立此檔案。
除了⼀般資料之外，當進⾏應⽤程式記憶體傾印時，Dumpwriter.log 偵錯檔案包含對錯誤進⾏故障排除時必要服務資訊。
除了⼀般資料之外，WD.log 偵錯檔案包含 avpsus 服務執⾏期間所發⽣的事件資訊，包括應⽤程式模組更新事件。
除了⼀般資料之外，AVPCon.dll.log 偵錯檔案包含卡巴斯基安全管理中⼼連線模組執⾏期間所發⽣的事件資訊。

效能跟蹤檔案的內容效能跟蹤檔案按如下⽅式命名：KES<21.14_dateXX.XX_timeXX.XX_pidXXX.>PERF.HAND.etl。
除了⼀般資料，效能跟蹤檔案還包含有關處理器負載的資訊、有關作業系統和應⽤程式的載入時間的資訊以及有關正在執⾏的處理程序資訊。

AMSI 防護元件偵錯檔案的內容
除了⼀般資料，AMSI.log 偵錯檔案還包含有關對協⼒廠商應⽤程式的請求執⾏掃描的結果的資訊。

“郵件威脅防護”元件的偵錯檔案的內容
除⼀般資料外，偵錯檔案 mcou.OUTLOOK.EXE.log 可能還包含電⼦郵件的⼀部分，包括電⼦郵件信箱。

“從內容功能表掃描”元件的偵錯檔案的內容
除⼀般資訊外，shellex.dll.log 偵錯檔案還包含有關掃描⼯作完成情況的資訊以及調試應⽤程式所需的資料。

應⽤程式 Web 外掛程式偵錯檔案的內容
應⽤程式 Web 外掛程式的偵錯檔案儲存在部署了卡巴斯基安全管理中⼼網⾴主控台的電腦上，位於資料夾
Program Files\Kaspersky Lab\Kaspersky Security Center Web Console\logs中。
應⽤程式 Web 外掛程式的偵錯檔案按如下⽅式命名：logs-kes_windows-<type of trace file>.DESKTOP<date of file update>.log。網⾴主控台在安裝後開始寫入資料，在刪除網⾴主控台後會刪除偵錯檔案。
除了⼀般資料之外，應⽤程式 Web 外掛程式偵錯檔案包含以下資訊：

761

⽤於解鎖 Kaspersky Endpoint Security 介⾯的 KLAdmin 使⽤者密碼（密碼防護）。
⽤於解鎖 Kaspersky Endpoint Security 介⾯的暫時密碼（密碼防護）。
SMTP 郵件伺服器的使⽤者名稱和密碼（電⼦郵件通知）。
網際網路代理伺服器的使⽤者名稱和密碼（代理伺服器）。

變更程式元件 ⼯作的使⽤者名稱和密碼。
在 Kaspersky Endpoint Security ⼯作和政策內容中指定的帳⼾憑證和路徑。

⾝分驗證代理偵錯檔案的內容
⾝分驗證代理偵錯檔案儲存在 System Volume Information 資料夾中，並按如下⽅式命名：KLFDE.{EB2A5993DFC8-41a1-B050-F0824113A33A}.PBELOG.bin。
除了⼀般資料之外，⾝分驗證代理偵錯檔案包含⾝分驗證代理執⾏資訊和使⽤者使⽤⾝分驗證代理所執⾏操作的資訊。

應⽤程式操作追蹤
應⽤程式追蹤是應⽤程式執⾏的操作以及有關應⽤程式執⾏期間發⽣的事件的訊息的詳細記錄。
應⽤程式追蹤應在 Kaspersky 技術⽀援的監督下執⾏。

要建立應⽤程式偵錯檔案：
1. 開啟應⽤程式主視窗並點擊按鈕。

2. 在開啟的視窗中，點擊“⽀援⼯具”按鈕。
3. 使⽤“啟⽤應⽤程式追蹤“開關可以啟⽤或停⽤對應⽤程式操作的追蹤。
4. 在“追蹤“下拉式清單中，選擇⼀個應⽤程式偵錯模式：
使⽤循環將偵錯儲存到有限數量的⼤⼩有限的檔案中，並在達到最⼤⼤⼩時覆蓋舊檔案。如果選擇此模式，則可以定義要⽤於循環的檔案的最⼤數量和每個檔案的最⼤⼤⼩。
寫入當個檔案儲存⼀個偵錯檔案（無⼤⼩限制）。
5. 在“等級”下拉清單中，選取偵錯等級。
我們建議您透過技術⽀援專家瞭解所需偵錯等級。如果技術⽀援專家未提供指導，請將偵錯等級設定為“正常(500)”。
6. 重新啟動 Kaspersky Endpoint Security。
7. 要停⽌偵錯過程，請返回“⽀援⼯具“視窗並停⽤偵錯。
您也可以在從命令列安裝應⽤程式時（包括使⽤ setup.ini 檔案）建立偵錯檔案。
762

結果，將在 %ProgramData%\Kaspersky Lab\KES.21.14\Traces資料夾中建立應⽤程式操作追蹤檔案。建立
偵錯檔案後，將檔案傳送給 Kaspersky 技術⽀援。
Kaspersky Endpoint Security 可在應⽤程式被移除時⾃動刪除偵錯檔案。您也可以⼿動刪除檔案。為此，您必須停⽤偵錯並停⽌應⽤程式。

應⽤程式效能追蹤
Kaspersky Endpoint Security 允許您在使⽤應⽤程式時接收有關電腦操作問題的資訊。例如，您可以在安裝應⽤
程式後收到有關作業系統載入延遲的資訊。為此，Kaspersky Endpoint Security 會建立效能偵錯檔案。效能追蹤是指為了診斷 Kaspersky Endpoint Security 的效能問題⽽對應⽤程式執⾏的操作進⾏記錄。為接收資訊，
Kaspersky Endpoint Security 使⽤ Windows 事件跟蹤服務 (ETW)。Kaspersky 技術⽀援負責診斷 Kaspersky
Endpoint Security 的問題並確定這些問題的原因。
應⽤程式追蹤應在 Kaspersky 技術⽀援的監督下執⾏。

要建立效能偵錯檔案：
1. 開啟應⽤程式主視窗並點擊按鈕。

2. 在開啟的視窗中，點擊“⽀援⼯具”按鈕。
3. 使⽤“啟⽤效能追蹤“開關可以啟⽤或停⽤對應⽤程式效能的追蹤。
4. 在“追蹤“下拉式清單中，選擇⼀個應⽤程式偵錯模式：
使⽤循環將偵錯儲存到有限數量的⼤⼩有限的檔案中，並在達到最⼤⼤⼩時覆蓋舊檔案。如果選擇此模
式，您可以定義每個檔案的最⼤⼤⼩。
寫入當個檔案儲存⼀個偵錯檔案（無⼤⼩限制）。
5. 在“等級”下拉清單中，選取偵錯等級：
輕Kaspersky Endpoint Security 會分析與效能相關的最重要作業系統處理程序。
詳情Kaspersky Endpoint Security 會分析與效能相關的所有作業系統處理程序。
6. 在“追蹤類型”下拉清單中，選取偵錯類型：
基本資訊Kaspersky Endpoint Security 在作業系統執⾏時分析處理程序。如果在載入作業系統後問題仍然
存在（例如在瀏覽器中存取網際網路時出現問題），請使⽤此偵錯類型。
重新啟動中Kaspersky Endpoint Security 僅在作業系統載入時分析處理程序。作業系統載入後，Kaspersky
Endpoint Security 將停⽌偵錯。如果問題與作業系統的延遲載入有關，請使⽤此偵錯類型。
7. 重新啟動電腦並嘗試重現該問題。
8. 要停⽌偵錯過程，請返回“⽀援⼯具“視窗並停⽤偵錯。
結果，將在 %ProgramData%\Kaspersky Lab\KES.21.14\Traces資料夾中建立效能追蹤檔案。建立偵錯檔
案後，將檔案傳送給 Kaspersky 技術⽀援。

763

傾印寫入
傾印檔案包含此檔案建立時 Kaspersky Endpoint Security 處理程序的⼯作記憶體的所有相關資訊。
已儲存的轉儲檔案可能包含機密資料。要控制資料的存取，必須單獨確保傾印檔案的安全性。
只要應⽤程式在使⽤中，就會在電腦中儲存傾印檔案，當應⽤程式被移除後，傾印檔案將被永久移除。傾印檔案
儲存在 %ProgramData%\Kaspersky Lab\KES.21.14\Traces 資料夾中。

要啟⽤和停⽤傾印寫入：1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。
3. 在“偵錯資訊“塊中，使⽤“啟⽤傾印寫入”核取⽅塊來啟⽤或停⽤應⽤程式傾印寫入。
4. 儲存變更。

防護傾印檔案和偵錯檔案
傾印檔案和偵錯檔案包含作業系統的資訊，可能還包含使⽤者資料。為了防⽌未經授權地存取此類資料，您可以啟⽤防護傾印檔案和偵錯檔案。
如果啟⽤了傾印檔案和偵錯檔案防護，則以下使⽤者可以存取這些檔案：
系統管理員和本機管理員以及啟⽤寫入傾印檔案和偵錯檔案的使⽤者可以存取傾印檔案。
只有系統管理員和本機管理員可以存取偵錯檔案。

若要啟⽤和停⽤防護傾印檔案和偵錯檔案：
1. 在“應⽤程式主視窗”中，點擊按鈕。

2. 在應⽤程式設定視窗中，選取”⼀般設定“→“應⽤程式設定”。
3. 在“偵錯資訊“塊中，使⽤“啟⽤傾印和偵錯檔案防護”核取⽅塊來啟⽤或停⽤檔案防護。
4. 儲存變更。
防護有效期間寫入的傾印檔案和偵錯檔案即使該功能被停⽤也會保持為防護狀態。

764

限制和警告Kaspersky Endpoint Security 設計了眾多不會影響應⽤程式執⾏的限制。
安裝應⽤程式765

有關對 Microsoft Windows 10、Microsoft Windows Server 2016 和 Microsoft Windows Server 2019 作業系
統的⽀援的詳細資訊，請參閱技術⽀援知識庫 。
有關對 Microsoft Windows Server 11 和 Microsoft Windows Server 2022 作業系統的⽀援的詳細資訊，請參閱技術⽀援知識庫 。
在安裝到受感染的電腦之後，該應⽤程式不會通知使⽤者需要執⾏電腦掃描的資訊。您可能在啟動應⽤
程式時遇到問題。要解決這些問題，請開始“關鍵區域掃描” 。
如果在 setup.ini和setup.reg 檔案中使⽤了非 ASCII 字元（例如，俄語字⺟），建議您使⽤ notepad.exe 編
輯檔案並以 UTF-16LE 編碼儲存檔案。不⽀援其他編碼。
在安裝套件設定中指定應⽤程式安裝路徑時，該應⽤程式不⽀援使⽤非ASCII字元。
從 CFG 檔案匯入應⽤程式設定時 ，將不會套⽤定義參與卡巴斯基安全網路的設定的值。匯入設定後，請閱讀卡巴斯基安全網路聲明的文本，並確認您同意加入卡巴斯基安全網路。您可以在應⽤程式介⾯或包
含應⽤程式分發套件的資料夾中的ksn_*.txt檔案中閱讀聲明的文本。
如果要刪除然後重新安裝加密（FLE或FDE）或裝置控制元件，您必須在重新安裝之前重新啟動系統。
使⽤Microsoft Windows 10作業系統時，必須在刪除檔案級別加密（FLE）元件後重新啟動系統。
當移除單個應⽤程式元件（例如，使⽤變更程式元件⼯作）時，可能需要電腦重新啟動。
應⽤程式的安裝可能會以錯誤結尾，指出您的電腦上安裝了名稱丟失或無法讀取的應⽤程式 。這意味著
不相容的應⽤程式或其片段保留在您的電腦上。要刪除不相容應⽤程式的⼯件，請透過 Kaspersky
CompanyAccount 向 Kaspersky 技術⽀援傳送請求，其中包含情況的詳細說明。
如果您取消了應⽤程式的刪除，請在電腦重新啟動後開始其還原。
應⽤程式需要 Microsoft .NET Framework 4.0 或後續版本。Microsoft .NET Framework 4.6.1 有弱點。如果
您正在使⽤ Microsoft .NET Framework 4.6.1，必須安裝安全更新。有關 Microsoft .NET Framework 安全更
新的詳情，請參閱Microsoft Technical Support 網站 。
如果在伺服器作業系統中選擇的 Kaspersky Endpoint Agent 元件未成功安裝該應⽤程式，並且出現
Windows Installer Coordinator Error視窗，請參閱 Microsoft ⽀援網站上的說明。
如果應⽤程式以非交互⽅式在本機安裝，請使⽤提供的setup.ini 檔案替換已安裝的元件。
在 Windows 7 的某些配置中安裝 Kaspersky Endpoint Security for Windows 之後，Windows Defender 會
繼續運⾏。建議您⼿動停⽤ Windows Defender，以防⽌系統效能下降。
當在安裝了 Kaspersky Security for Windows Server (KSWS) 和 Windows Defender 應⽤程式的伺服器上安裝 Kaspersky Endpoint Security for Windows 時，您必須重新啟動系統。即使您啟⽤了應⽤程式安裝無需系統重新啟動，也必需重新啟動系統。Windows Defender for Windows Server 包括在與 Kaspersky
Endpoint Security for Windows 不相容的軟體清單中。在安裝應⽤程式前，安裝程式將移除 Windows
Defender for Windows Server。移除不相容的軟體必需重新啟動系統。
在安裝了 Kaspersky Security for Windows Server (KSWS) 的伺服器上安裝 Kaspersky Endpoint Security
for Windows (KES) 之前，您必須關閉 KSWS 密碼防護。從 KSWS 遷移到 KES 後，請在應⽤程式設定中啟
⽤密碼防護。
若要在執⾏部署了 Veeam Backup & Replication 軟體的 Windows 7 或 Windows Server 2008 R2 的電腦上
安裝應⽤程式，您可能需要重新啟動電腦並再次執⾏安裝。

766

升級應⽤程式

從 11.0.0 應⽤程式版本開始，您可以在之前的外掛程式版本上安裝 Kaspersky Endpoint Security for
Windows MMC 外掛程式。若要返回之前的外掛程式版本，請刪除⽬前的外掛程式然後安裝之前版本的外掛程式。
升級 Windows 版的 Kaspersky Endpoint Security 11.0.0 或 11.0.1 時，不會儲存更新、關鍵區域掃描、 ⾃訂掃描和完整性檢查⼯作的本機⼯作排程設定。
在執⾏ Windows 10 版本 1903 和 1909 的電腦上，從安裝了檔案級加密（FLE）元件的 Kaspersky Endpoint
Security 10 for Windows Service Pack 2 Maintenance Release 3 (build 10.3.3.275)、Service Pack 2
Maintenance Release 4 (build 10.3.3.304)、11.0.0 和 11.0.1 升級可能會以錯誤結尾。這是因為在 Windows 10
版本 1903 和 1909 中這些版本的 Kaspersky Endpoint Security for Windows 不⽀援檔案加密。在安裝此升
級之前，建議您刪除檔案加密元件。
應⽤程式需要 Microsoft .NET Framework 4.0 或後續版本。Microsoft .NET Framework 4.6.1 有弱點。如果
您正在使⽤ Microsoft .NET Framework 4.6.1，必須安裝安全更新。有關 Microsoft .NET Framework 安全更
新的詳情，請參閱Microsoft Technical Support 網站 。
升級 Kaspersky Endpoint Security 時，應⽤程式會停⽤ KSN 的使⽤直到卡巴斯基安全網路聲明被接受。
此外，卡巴斯基安全管理中⼼中的電腦狀態可以被變更為“緊急”；會收到事件“KSN 伺服器不可⽤”。如果
使⽤ Kaspersky Managed Detection and Response，您將收到有關解決⽅案操作中違規的事件。
Kaspersky Managed Detection and Response 的操作需要使⽤ KSN。Kaspersky Endpoint Security 將在套
⽤管理員在其中接受 KSN 使⽤條款的政策後啟⽤使⽤ KSN。⼀旦卡巴斯基安全網路聲明得到接受，Kaspersky Endpoint Security 就還原操作。
在將 Kaspersky Endpoint Security 升級到版本 11.10.0 或更⾼版本⽽沒有重新啟動後，電腦上將安裝兩個
Kaspersky Endpoint Security 應⽤程式。不要⼿動移除先前版本的應⽤程式。電腦重新啟動時，先前版本
將被⾃動移除。
從 Kaspersky Endpoint Security 11 for Windows 之前的版本升級應⽤程式後，必須重新啟動電腦。
伺服器平台⽀援767

ReFS 檔案系統被有限制⽀援：
Kaspersky Endpoint Security 可能不正確處理威脅解毒事件。例如，如果應⽤程式刪除了⼀個惡意檔
案，報告可能會有⼀個物件未處理項⽬。同時，Kaspersky Endpoint Security 會根據應⽤程式設定解
毒威脅。Kaspersky Endpoint Security 也可以為同⼀個物件建立⼀個“物件將在重新啟動後解毒”事件的副本。
檔案威脅防護可以略過⼀些威脅。同時，惡意軟體掃描可正常⼯作。

惡意軟體掃描⼯作啟動後，⽤ iChecker 新增的排除項⽬將在伺服器重啟時重設。
不⽀援 iSwift 技術。Kaspersky Endpoint Security 不考慮使⽤ iSwift 技術新增的掃描排除項⽬。
如果在安裝 Kaspersky Endpoint Security 之前電腦上存在 meicar.exe 檔案，則 Kaspersky Endpoint
Security 不會偵測 eicar.com 和 susp-eicar.com 檔案。
Kaspersky Endpoint Security 可能不正確顯⽰威脅解毒通知。例如，應⽤程式可能顯⽰之間解毒的威脅的威脅通知。
伺服器平台不⽀援檔案級加密 (FLE) 和卡巴斯基磁碟加密技術 (FDE)。同時，Kaspersky Endpoint Security
可能不正確地處理資料加密事件。
在伺服器作業系統中，不會顯⽰需要進⾏進階解毒的警告。
Microsoft Windows Server 2008 已從⽀援範圍中排除。- 不⽀援在執⾏ Microsoft Windows Server 2008
作業系統的電腦上安裝該應⽤程式。
如果 Kaspersky Endpoint Security 安裝在部署了 Microsoft Data Protection Manager (DPM) 的伺服器上，可能造成 DPM ⼯作不正常。這與 DPM 操作中的限制有關。若要消除故障，您應該將本機伺服器磁碟機新增到檔案威脅防護元件和惡意軟體掃描⼯作的排除項⽬。
⽀援核⼼模式有以下限制：
本機圖形使⽤者介⾯不可⽤，包括通知、彈出通知和其他介⾯控件。應⽤程式無法顯⽰提⽰視窗，包括以下視窗：
應⽤程式版本和模組升級確認提⽰；
電腦重新啟動提⽰；
提⽰輸入代理伺服器⾝分驗證憑據；
提⽰獲取裝置存取（裝置控制）。
以下元件不可以使⽤：Web 威脅防護，郵件威脅防護，BadUSB 攻擊防護。
橋接防護不可使⽤。
您只能在卡巴斯基安全管理中⼼主控台的應⽤程式政策中接受卡巴斯基安全網路聲明。
BitLocker 磁碟機加密僅適⽤於受信任平台模組 (TPM)。PIN/密碼不能⽤於加密，因為應⽤程式無法顯
⽰預開機⾝分驗證的密碼提⽰視窗。如果作業系統啟⽤了聯邦資訊處理標準 (FIPS) 相容模式，請在開
始加密磁碟機之前連線⽤來儲存加密⾦鑰的卸除式磁碟機。

768虛擬平台⽀援：

不⽀援Hyper-V虛擬機上的完整磁碟加密（FDE）。
不⽀Citrix虛擬平台上的完整磁碟加密（FDE）。
Windows 10 Enterprise 多⼯作階段受⽀援，但有限制：
Kaspersky Endpoint Security 可在不通知使⽤者的情況下解毒啟動威脅，就像解毒伺服器上的啟動威
脅時⼀樣。因為作業系統繼續以多⼯作階段模式執⾏，則如果威脅沒有得到立即解決，其它活動使⽤
者可能會失去資料。
完整磁碟加密(FDE)不受⽀援。
管理 BitLocker 不受⽀援。
⽤卸除式磁碟機使⽤ Kaspersky Endpoint Security 不受⽀援。Microsoft Azure 基礎結構將卸除式磁碟
機定義為網路磁碟機。
不⽀援在Citrix虛擬平台上安裝和使⽤檔案級加密（FLE）。
要⽀援Windows Kaspersky Endpoint Security for Windows與Citrix PVS的相容性，請在啟⽤確保與 Citrix
PVS 相容 的選項下執⾏安裝。可以在安裝精靈中啟⽤此選項，也可以使⽤命令列參數
/pCITRIXCOMPATIBILITY=1啟⽤此選項。如果是遠端安裝，則必須透過向其新增以下參數來編輯KUD 檔
案：/pCITRIXCOMPATIBILITY=1。
Citrix XenDesktop。在開始複製之前，必須停⽤⾃我防護以複製使⽤ vDisk 的虛擬機。
在為帶有 預裝 Kaspersky Endpoint Security for Windows 和 Windows 和卡巴斯基安全管理中⼼網路代理
的的 Citrix XenDesktop 主映像準備範本電腦時，請將以下類型的排除項⽬新增到設定檔中：[Rule-Begin]
Type=File-Catalog-Construction
Action=Catalog-Location-Guest-Modifiable
name="%ALLUSERSPROFILE%\Kaspersky Lab\**\*"
name="%ALLUSERSPROFILE%\KasperskyLab\**\*"[Rule-End]有關 Citrix XenDesktop 的詳細資訊，請造訪Citrix ⽀援網站 。
在某些情況下，嘗試安全斷開卸除式磁碟機的連線可能會在部署在 VMware ESXi hypervisor 上的虛擬機
上失敗。嘗試再次安全斷開裝置連線。
與卡巴斯基安全管理中⼼的相容性769

您只能在卡巴斯基安全管理中⼼ 11 或更⾼的版本中管理“⾃適應異常控制”元件。
卡巴斯基安全管理中⼼ 11 威脅報告可能不會顯⽰有關對 AMSI 防護偵測到的威脅採取的措施的資訊。
在卡巴斯基安全管理中⼼網⾴主控台 14.1 和更早的版本上，記錄檢查和檔案完整性監控元件的功能區域名稱在管理伺服器內容的使⽤者存取權限設定區域中顯⽰不正確。
Kaspersky Security Center Linux 提供對 Kaspersky Endpoint Security 的有限⽀援。有關⽀援限制的更多
詳細資訊，請參閱Kaspersky Security Center Linux 14.2 說明 或者Kaspersky Security Center Linux 15 說
明 。
產品授權

如果顯⽰“接收資料錯誤“系統訊息，請驗證您要執⾏啟動的電腦是否具有網路存取權限，或透過卡巴斯基
安全管理中⼼啟動代理配置啟動設定。
如果產品授權已過期或試⽤版產品授權在電腦上處於活動狀態，則無法透過卡巴斯基安全管理中⼼⽤訂
購啟動應⽤程式。要將試⽤版產品授權或即將到期的產品授權替換為訂購產品授權，請使⽤產品授權分發⼯作。
在應⽤程式介⾯中，產品授權的到期⽇期顯⽰為電腦的本機時間。
在具有不穩定網際網路存取的電腦上安裝具有內嵌⾦鑰檔案的應⽤程式可能會導致臨時顯⽰事件，表明
該應⽤程式未啟動或產品授權不允許元件操作。這是因為該應⽤程式⾸先安裝並嘗試啟動內嵌試⽤版產
品授權，這需要在安裝程序中進⾏網際網路存取才能啟動。
在試⽤期內，如果在網際網路存取不穩定的電腦上安裝任何應⽤程式升級或修補程式，可能會導致臨時顯⽰事件，表明該應⽤程式未啟動。這是因為該應⽤程式再次安裝並嘗試啟動內嵌試⽤版產品授權，這需要網際網路存取才能啟動以安裝升級。
如果在安裝應⽤程式期間⾃動啟動了試⽤版產品授權，然後在不儲存產品授權資訊的情況下刪除了該應
⽤程式，則重新安裝後該應⽤程式不會使⽤試⽤版產品授權⾃動啟動。在這種情況下，請⼿動啟動應⽤
程式。
如果您使⽤的是卡巴斯基安全管理中⼼ 11 和 Kaspersky Endpoint Security 12.2，則元件效能報告可能無法正常⼯作。如果安裝了產品授權中未包含的 Kaspersky Endpoint Security 元件，則網路代理可能會將元件
狀態錯誤傳送到 Windows 事件⽇誌。為避免錯誤，請刪除產品授權中未包含的元件。
郵件威脅防護當使⽤Microsoft Outlook的郵件威脅防護延伸程式掃描郵件時，建議您使⽤快取Exchange模式（“使⽤快取Exchange模式”選項）。
Kaspersky Endpoint Security 不⽀援 64 位元版本的 MS Outlook 電⼦郵件⽤⼾端。這意味著如果電腦上安裝了 64 位元版本的 MS Outlook，則即使郵件包含在掃描範圍內，Kaspersky Endpoint Security 也不掃描
MS Outlook 檔案（PST 和 OST 檔案）。
修復引擎

770

應⽤程式只能還原檔案系統為 NTFS 或 FAT32 的裝置上的檔案。
應⽤程式可還原具有以下副檔名的檔案：odt, ods, odp, odm, odc, odb, doc, docx, docm, wps, xls, xlsx, xlsm,
xlsb, xlk, ppt, pptx, pptm, mdb, accdb, pst, dwg, dxf, dxg, wpd, rtf, wb2, pdf, mdf, dbf, psd, pdd, eps, ai, indd,
cdr, jpg, jpe, dng, 3fr, arw, srf, sr2, bay, crw, cr2, dcr, kdc, erf, mef, mrw, nef, nrw, orf, raf, raw, rwl, rw2, r3d, ptx,
pef, srw, x3f, der, cer, crt, pem, pfx, p12, p7b, p7c, 1cd。
無法還原位於網路磁碟機或可重寫 CD/DVD 上的檔案。
無法還原使⽤加密檔案系統 (EFS) 加密的檔案。有關 EFS 操作的詳細資訊，請造訪 Microsoft 網站 。
應⽤程式不會監控由作業系統內核等級的處理程序對檔案執⾏的修改。
應⽤程式不會監控透過網路介⾯對檔案執⾏的修改（例如，如果某個檔案儲存在共⽤資料夾中，並且處
理程序從其他電腦上遠端啟動）。
防火牆

771

在以下情況下，⽀援按本機位址、物理接⼝和封包⽣存時間（TTL）過濾封包或連線：
按 TCP 和 UDP 的應⽤程式規則和封包規則中的輸出封包或連線的本機位址。
按封鎖應⽤程式規則和封包規則中輸入封包或連線的本機位址（UDP 除外）。
按輸入或輸出封包的封鎖封包規則中的封包⽣存時間（TTL）。
按封包規則中輸入和輸出封包或連線的網路介⾯。
在應⽤程式版本 11.0.0 和 11.0.1 中，錯誤地套⽤了定義的 MAC 位址。版本 11.0.0、11.0.1 和 11.1.0 或更⾼版本的MAC 位址設定不相容。將應⽤程式或外掛程式從這些版本升級到 11.1.0 或更⾼版本後，必須驗證並重新配
置防火牆規則中定義的 MAC 位址。
將應⽤程式從版本 11.1.1 和 11.2.0 升級到版本 12.2 時，以下防火牆規則的權限狀態不會遷移：
透過 TCP 存取 DNS 伺服器。
透過 UDP 存取 DNS 伺服器。
任何網路活動。
ICMP ⽬的地無法接通接收封包。
接收的 ICMP 串流資料。
如果為允許的封包規則配置了網路介⾯卡或封包的⽣存時間（TTL），則此規則的優先級低於封鎖的應⽤程式規則。換句話說，如果某個應⽤程式的網路活動被封鎖（例如，該應⽤程式位於“⾼限制“信任群組中），則無法透過使⽤具有這些設定的封包規則來允許該應⽤程式的網路活動。在所有其他情況下，封包規則的優先級⾼於應⽤程式網路規則。
當匯入防火墻封包規則時，Kaspersky Endpoint Security 可以修改規則名稱。該應⽤程式可確定有同樣⼀般參數集合的規則：通訊協定，⽅向，遠端和本機連接埠，封包⽣存時間 (TTL)。如果該⼀般參數集合對
於多個規則都⼀樣，則應⽤程式將把同樣的名稱分配給這些規則或者將參數標籤附加⾄名稱。按這種⽅式，Kaspersky Endpoint Security 將匯入所有封包規則，但是具有相同⼀般設定的規則的名稱可以被變更。
如果您已在網路規則中啟⽤了應⽤程式事件報告，當把應⽤程式移動到不同的信任群組後，則不會套⽤
對該信任群組的限制。因此，如果應⽤程式在受信任應⽤程式群組中，它將沒有網路限制。然後您為此
應⽤程式啟⽤事件報告，將其移動到不受信任的信任群組。防火墻不會為此應⽤程式強制實施網路限制。我們建議您先將應⽤程式移動到適當的信任群組，然後再啟⽤事件報告。如果該⽅法不合適，您可
以在網路規則設定中⼿動配置該應⽤程式的限制。限制僅套⽤到應⽤程式的本機介⾯。在政策中的信任
群組之間移動應⽤程式⼯作正確。
防火墻和侵入防護元件有通⽤設定：應⽤程式權限和受防護的資源。如果變更防火墻的這些設定，Kaspersky Endpoint Security 將⾃動把新設定套⽤到侵入防護。例如，如果您允許對防火墻政策的⼀般設
定進⾏變更（掛鎖開啟），侵入防護設定也將變得可以編輯。
當網路封包規則在 Kaspersky Endpoint Security 11.6.0 或更早版本中被觸發時，防火墻報告中的“應⽤程式名稱”欄將總是顯⽰“Kaspersky Endpoint Security”值。此外，防火墻將對所有應⽤程式封鎖封包級別的連線。該⾏為已為 Kaspersky Endpoint Security 11.7.0 或更新版本做了修改。“規則類型”欄已新增到防火墻報
告。當網路封包規則被觸發時，“應⽤程式名稱”欄中的值仍然為空。
BadUSB 攻擊防護772

當電腦鎖定時 Kaspersky Endpoint Security 會重設 USB 裝置的逾時（例如，屏幕鎖定逾時已經過）。這意味著如果您多次輸入錯誤的 USB 裝置授權代碼，應⽤程式鎖定了 USB 裝置，Kaspersky Endpoint
Security 將允許您在解鎖電腦後重複授權嘗試。在此情況下，Kaspersky Endpoint Security 將在 “BadUSB
攻擊防護元件設定”中指定的時間內不鎖定 USB 裝置。
Kaspersky Endpoint Security 會在電腦防護被暫停時重設 USB 裝置鎖定逾時。這意味著如果您多次輸入
錯誤的 USB 裝置授權代碼，應⽤程式鎖定了 USB 裝置，Kaspersky Endpoint Security 將允許您在恢復電
腦防護後重複授權嘗試。在此情況下，Kaspersky Endpoint Security 將在 “BadUSB 攻擊防護元件設定”中
指定的時間內不鎖定 USB 裝置。
應⽤程式控制當在卡巴斯基安全管理中⼼網⾴主控台中管理應⽤程式控制規則時，僅 104 MB 以下的 ZIP 存檔受⽀援。
其他格式的存檔（例如 RAR 或 7z）不受⽀援。如果您在管理主控台 (MMC) 中使⽤應⽤程式控制規則，則沒有此限制。
在應⽤程式拒絕清單模式下的 Microsoft Windows 10 中⼯作時，封鎖規則可能被不正確套⽤，這可能導致封鎖未在規則中指定的應⽤程式。
當漸進式網⾴應⽤程式（PWA）被應⽤程式控制元件封鎖時，appManifest.xml 在報告中指⽰為被封鎖的應⽤程式。
當把標準 Notepad 應⽤程式新增⾄ Windows 11 的應⽤程式控制規則時，不建議指定應⽤程式路徑。在執⾏ Windows 11 的電腦上，作業系統使⽤位於資料夾 C:\Program
Files\WindowsApps\Microsoft.WindowsNotepad*\Notepad\Notepad.exe 中的 Metro Notepad。在之前版
本的作業系統中，Notepad 位於以下資料夾中：C:\Windows\notepad.exe
C:\Windows\System32\notepad.exe
C:\Windows\SysWOW64\notepad.exe
當把 Notepad 新增⾄應⽤程式控制規則時，您可以從執⾏應⽤程式的內容（例如）指定應⽤程式名稱和
檔案雜湊。

裝置控制

773

存取新增到受信任清單的印表機裝置被裝置和匯流排封鎖規則封鎖。
對於 MTP 裝置，如果您使⽤作業系統的內建 Microsoft 驅動，則⽀援對讀，寫和連線操作的控制。如果
使⽤者安裝了⽤於與裝置⼀起使⽤的⾃訂驅動（例如，作為iTunes或Android Debug Bridge的⼀部分），
則對讀和寫操作的控制可能不起作⽤。
使⽤ MTP 裝置時，重新連線裝置後會變更存取規則。
裝置控制元件登錄與受監視裝置有關的事件，例如裝置的連線和斷開連線，從裝置讀取檔案，將檔案寫
入裝置以及其他事件。Kaspersky Endpoint Security 僅註冊以下裝置類型的斷開連線事件： 可攜式裝置(MTP), 卸除式磁碟機, 軟碟, CD/DVD 磁碟機。對於其他裝置類型，應⽤程式不會註冊斷開連線事件。該應⽤程式為所有裝置類型註冊將裝置連線到電腦的操作。
如果要基於型號遮罩將裝置新增到受信任清單，並使⽤ ID 中包含但型號名稱中沒有包含的字元，則不會新增這些裝置。在⼯作站上，這些裝置將基於 ID 遮罩被新增到受信任清單。
在安裝了 Kaspersky Endpoint Security 12.0 版的電腦上，如果在電腦上套⽤了 Kaspersky Endpoint
Security 12.1 版政策，則網路印表機裝置類型的允許且不記錄印表機存取模式被稱為取決於連線匯流排。
在這些模式下，應⽤程式執⾏相同的操作。在 Kaspersky Endpoint Security 12.1 版中，網路印表機的存取
模式被正確命名為允許且不記錄。
從 Kaspersky Endpoint Security 12.0 for Windows 開始，應⽤程式允許配置印表機的列印規則（列印控制）。安裝帶列印控制的應⽤程式或將應⽤程式升級到帶列印控制的版本後，必須重新啟動電腦。在電腦重新啟動之前，Kaspersky Endpoint Security 不會套⽤列印規則並且只能控制對印表機的存取。如果重
新啟動電腦對您組織中的⼯作流程產⽣不利影響，您可以只重新啟動 spoolsv 服務（Print Spooler）。
從 Kaspersky Endpoint Security for Windows 版本 12.0 開始，應⽤程式⽀援 WPA3 協定⽤於 Wi-Fi 類型的裝置。如果在電腦上套⽤ Kaspersky Endpoint Security 12.2 政策，則在電腦上對於 Kaspersky Endpoint
Security 11.11.0 及更早版本選擇 WPA2 協定；對於 12.0 到 12.1 版本選擇 WPA2 / WPA3；對於 12.2 及更⾼版
本選擇 WPA3。
Apple 裝置被歸類為攜帶式裝置 (MTP) 和 iTunes 裝置。作業係統可能會錯誤辨識 Apple 裝置的連線，無法確定 Apple 裝置為攜帶式裝置 (MTP)。因此，Apple 裝置將在檔案管理程式中不可使⽤，但是可以在iTunes 應⽤程式中存取。結果，Kaspersky Endpoint Security 將僅在 iTunes 應⽤程式中控制 Apple 裝置的
存取。若要將 Apple 裝置作為攜帶式裝置 (MTP) 存取，您需要前往 Device Manager 將 Apple Mobile
Device USB Driver 從 USB Controllers 清單中刪除。電腦重新啟動後，作業係統將辨識 Apple 裝置為攜帶式裝置 (MTP) 和 iTunes 裝置。Kaspersky Endpoint Security 將在 iTunes 應⽤程式和檔案管理程式中都控制對裝置的存取。
Web 控制不⽀援 OGV 和 WEBM 格式。
不⽀援 RTMP 協定。
適應性異常控制774

建議根據事件⾃動建立排除。⼿動新增排除項⽬時，在指定⽬標物件時，請在路徑的開頭新增*字元。
如果樣本包含即使⼀個名稱超過 260 個字元的事件，則無法產⽣⾃適應異常控制規則報告。
如果物件或處理程序的內容的值包含超過256個字元（例如，⽬標物件的路徑），則不⽀援從適應性異常控制規則觸發存儲庫中新增排除項⽬。您可以在“政策”設定中⼿動新增排除項⽬。您還可以在已觸發的適應性異常控制規則的報告中新增排除項⽬。
磁碟機加密（FDE）

775

安裝應⽤程式後，必須重新啟動作業系統，硬碟磁碟機加密才能正常⼯作。
⾝分驗證代理不⽀援象形文字或特殊字元|和\。
為了使加密後電腦達到最優效能，要求處理器⽀援 AES-NI 指令集（英特爾⾼級加密標準新指令）。如果
處理器不⽀援 AES-NI，則電腦效能可能會降低。
當某些程序嘗試在應⽤程式授予對此類裝置存取權限之前嘗試存取加密的裝置時，該應⽤程式將顯⽰警
告，指出必須終⽌此類程序。如果無法終⽌程序，請重新連線已加密裝置。
硬碟磁碟機的唯⼀ ID 以反向格式顯⽰在裝置加密統計資訊中。
不建議在加密裝置時格式化裝置。
當多個卸除式磁碟機同時連線到⼀台電腦時，加密政策只能套⽤於⼀個卸除式磁碟機。重新連線卸除式
裝置後，將正確套⽤加密政策。
加密可能無法在分散嚴重的硬碟磁碟機上啟動。對硬碟磁碟機進⾏磁碟重組。
加密硬碟磁碟機後，從加密⼯作開始直到第⼀次重新啟動執⾏ Microsoft Windows 7/8/8.1/10 的電腦，以及安裝硬碟磁碟機加密之後直到⾸次重新啟動 Microsoft Windows 8/8.1/10 作業系統為⽌，休眠將被封
鎖。解密硬碟磁碟機後，從完全解密開機磁碟機直到⾸次重新啟動作業系統之時，休眠將被封鎖。在Microsoft Windows 8/8.1/10 中啟⽤“快速啟動“選項時，封鎖休眠將防⽌您關閉作業系統。
使⽤ BitLocker 技術加密磁碟後，Windows 7 电脑不允許在還原過程中變更密碼。輸入還原⾦鑰並載入作
業系統後，Kaspersky Endpoint Security 將不再提⽰使⽤者變更密碼或 PIN 代碼。因此，不可能設定新的密碼或 PIN 代碼。此問題源於作業系統的特殊性。要繼續，您需要重新加密硬碟磁碟機。
不建議在啟⽤了其他提供者的情況下使⽤ xbootmgr.exe ⼯具。例如，發送器、網路或驅動。
安裝了 Kaspersky Endpoint Security for Windows 的電腦不⽀援格式化加密的卸除式磁碟機。
不⽀援使⽤ FAT32 檔案系統格式化加密的卸除式磁碟機（該磁碟機顯⽰為已加密）。要格式化磁碟機，請將其重新格式化為 NTFS 檔案系統。
有關將作業系統從備份副本還原到加密的 GPT 裝置的詳細資訊，請造訪技術⽀援知識庫 。
⼀台加密電腦上不能同時存在多個下載代理。
同時滿⾜以下所有條件時，將無法存取以前在其他電腦上加密的卸除式磁碟機：沒有與卡巴斯基安全管理中⼼伺服器連線。
使⽤者正在嘗試使⽤新的權杖或密碼進⾏授權。
如果發⽣類似情況，請重新啟動電腦。重新啟動電腦後，將授予對加密的卸除式磁碟機的存取權限。
在 BIOS 設定中啟⽤ USB 的 xHCI 模式時，可能不⽀援透過⾝分驗證代理髮現 USB 裝置。
SSHD 裝置不⽀援⽤於快取最常⽤資料的裝置的 SSD 部分的卡巴斯基磁碟加密（FDE）。
不⽀援以 UEFI 模式執⾏的 32 位元 Microsoft Windows 8/8.1/10 作業系統中對硬碟磁碟機進⾏加密。
加密解密的硬碟磁碟機之前，請重新啟動電腦。
776硬碟磁碟機加密與 Kaspersky Anti-Virus for UEFI 不相容。不建議在已安裝 Kaspersky Anti-Virus for UEFI的電腦上使⽤硬碟磁碟機加密。
⽀援基於 Microsoft 帳⼾建立⾝分驗證代理帳⼾，但存在以下限制：
不⽀援單點登入技術。
如果選擇了為最近 N 天內登入系統的使⽤者建立帳⼾的選項，則不⽀援⾃動建立⾝分驗證代理帳⼾。
如果⾝分驗證代理帳⼾的名稱具有以下格式：<網域>/<Windows 賬⼾名稱>，在變更電腦名稱後，您還
需要變更為此電腦的本機使⽤者建立的帳⼾名稱。例如，假設在Ivanov電腦上有⼀個本機使⽤者
Ivanov ，並且為此使⽤者建立了⼀個名為Ivanov / Ivanov的⾝分驗證代理帳⼾。如果電腦名稱Ivanov已變更為Ivanov-PC ，則需要將使⽤者Ivanov的⾝分驗證代理帳⼾的名稱從Ivanov / Ivanov
變更為Ivanov-PC / Ivanov 。您可以使⽤⾝分驗證代理的本機帳⼾管理⼯作來變更帳⼾名稱。在變更帳⼾名稱之前，可以使⽤舊名稱（例如Ivanov / Ivanov ）在預開啟環境中進⾏⾝分驗證。
如果只允許使⽤者使⽤權杖存取使⽤卡巴斯基磁碟加密技術加密的電腦，並且該使⽤者需要完成存取還原程序，請確保加密電腦的存取權限還原後，該使⽤者被授予對該電腦基於密碼的存取權限。使⽤者還原存取時設定的密碼可能不會被儲存。在這種情況下，使⽤者將必須在下次重新啟動電腦時再次完成還原對加密電腦的存取的程序。
使⽤FDE 還原⼯具解密硬碟磁碟機時，如果源裝置上的資料被解密後的資料覆蓋，則解密程序可能會以
錯誤結束。硬碟磁碟機上的部分資料將保持加密狀態。建議使⽤FDE還原⼯具時在裝置解密設定中選擇將
解密的資料儲存到檔案的選項。
如果⾝分驗證代理密碼已變更，則有包含文本“您的密碼已成功變更“的訊息。“點擊確定”出現，使⽤者重新啟動電腦，新密碼未儲存。在開機前環境中，必須使⽤舊密碼進⾏後續⾝分驗證。
磁碟加密與Intel Rapid Start技術不相容。
磁碟加密與ExpressCache技術不相容。
在某些情況下，當嘗試使⽤FDE 還原⼯具解密加密磁碟機時，該⼯具在完成“請求-回應”程序後會錯誤地將裝置狀態偵測為“未加密”。⼯具的⽇誌會顯⽰⼀個事件，指出裝置已成功解密。在這種情況下，必須重新啟動資料還原程序以解密裝置。
在網⾴主控台中更新 Kaspersky Endpoint Security for Windows 外掛程式之後，在重新啟動網⾴主控台服務之前，⽤⼾端電腦屬性不會顯⽰ BitLocker 還原⾦鑰。
要查看完整磁碟加密⽀援的其他限制以及受限制⽀援硬碟磁碟機加密的裝置清單，請參閱技術⽀援知識庫 。
檔案級加密 (FLE)777

Microsoft Windows Embedded 系列的作業系統不⽀援檔案和資料夾加密。
⼀旦安裝該應⽤程式後，必須重新啟動作業系統，檔案和資料夾加密才能正常⼯作。
如果加密檔案儲存在具有可⽤加密功能的電腦上，⽽您從沒有加密功能的電腦上存取該檔案，則將提供對該檔案的直接存取。儲存在具有可⽤加密功能的電腦上的網路資料夾中的加密檔案將以解密形式複製
到不具有可⽤加密功能的電腦上。
建議您在使⽤ Kaspersky Endpoint Security for Windows 加密檔案之前，先解密使⽤“加密檔案系統”加密的檔案。
檔案加密後⼤⼩會增加 4 kB。
加密檔案後，在檔案屬性中設定“封存“屬性。
如果加密存檔的解壓縮檔案與電腦上現有的檔案名稱相同，則後者將被從加密存檔中解壓縮的新檔案所覆寫。使⽤者不會被通知有關被覆蓋操作的資訊。
在解壓縮加密存檔之前，確保您有⾜夠的可⽤磁碟空間來容納解壓縮的檔案。如果您沒有⾜夠的磁碟空間，存檔解壓縮可能完成了，但檔案可能已損壞。在這種情況下，Kaspersky Endpoint Security 可能不會
顯⽰任何錯誤訊息。
“攜帶式檔案管理器”介⾯不顯⽰有關其操作程序中發⽣的錯誤的訊息。
Kaspersky Endpoint Security for Windows 不會在安裝了檔案級加密元件的電腦上啟動攜帶式檔案管理器。
如果以下條件同時為真，則您不能使⽤攜帶式檔案管理器來存取卸除式磁碟機：沒有與卡巴斯基安全管理中⼼連線；
電腦上已安裝 Kaspersky Endpoint Security for Windows；
沒有在電腦上執⾏資料加密 (FDE 或 FLE)。
即使您知道攜帶式檔案管理器的密碼，也無法存取。
使⽤檔案加密時，應⽤程式與 Sylpheed 郵件⽤⼾端不相容。
Kaspersky Endpoint Security for Windows 不⽀援⼀些應⽤程式的存取加密檔案限制規則。這是由於某些
檔案操作由協⼒廠商應⽤程式執⾏。例如，檔案複製由檔案管理程式執⾏，⽽不是應⽤程式本⾝執⾏。
因此，如果 Outlook 郵件⽤⼾端被拒絕存取加密檔案，Kaspersky Endpoint Security 將允許郵件⽤⼾端存取加密檔案（如果使⽤者透過剪貼簿或者使⽤拖放功能將檔案複製到了電⼦郵件訊息）。複製操作由檔
案管理程式執⾏，對於該程式未指定加密檔案存取限制規則，即存取被允許。
如果使⽤攜帶模式⽀援對卸除式磁碟機進⾏加密，則無法停⽤密碼期限控制。
不⽀援變更⾴⾯檔案設定。作業系統使⽤預設值⽽不是指定的參數值。
使⽤加密卸除式磁碟機時，請使⽤安全移除。如果未安全移除卸除式磁碟機，我們將不能保證資料完整性。
檔案加密後，將安全刪除其未加密的原始檔案。

778

不⽀援使⽤⽤⼾端快取（CSC）同步離線檔案。建議禁⽌在群組政策級別對共⽤資源進⾏離線管理。處
於離線模式的檔案可以進⾏編輯。同步後，對離線檔案所做的變更可能會丟失。有關使⽤加密時對⽤⼾
端快取（CSC）的⽀援的詳細資訊，請參閱技術⽀援知識庫 。
不⽀援在系統硬碟磁碟機的根⽬錄中建立加密封存 。
透過網路存取加密檔案時，您可能會遇到問題。建議您將檔案移⾄其他來源，或確保⽤作檔案伺服器的電腦由同⼀台卡巴斯基安全管理中⼼管理伺服器進⾏管理。
變更鍵盤佈局可能會導致加密的⾃動解壓縮封存的密碼輸入視窗掛起。要解決此問題，請關閉密碼輸入視窗，切換到作業系統中的鍵盤佈局，然後重新輸入加密封存的密碼。
當在⼀個磁碟上具有多個磁碟分割的系統上使⽤檔案加密時，建議您使⽤可⾃動確定 page le.sys 檔案⼤
⼩的選項。電腦重新啟動後，page le.sys 檔案可能會在磁碟分割之間移動。
在套⽤檔案加密規則（包括“我的文件”資料夾中的檔案）之後，請確保已對其套⽤加密的使⽤者可以成功
存取加密的檔案。為此，請在與卡巴斯基安全管理中⼼建立連線時讓每個使⽤者登入系統。如果使⽤者
嘗試存取加密檔案⽽未連線到卡巴斯基安全管理中⼼，係統可能會掛起。
如果系統檔案某種程度上包含在檔案級加密的範圍內，則與加密這些檔案有關的錯誤事件可能會出現在報告中。這些事件中指定的檔案實際上並未加密。
不⽀援 Pico 程序。
不⽀援區分⼤⼩寫的路徑。套⽤加密規則或解密規則時，產品事件中的路徑以⼩寫形式顯⽰。
不建議對啟動時系統使⽤的檔案進⾏加密。如果加密這些檔案，則在未連線卡巴斯基安全管理中⼼的情
況下嘗試存取加密檔案可能會導致系統掛起或提⽰存取未加密檔案。
如果使⽤者透過使⽤檔案到記憶體對應⽅法的應⽤程式（例如 WordPad 或 FAR）和旨在處理⼤檔案的應
⽤程式（例如 Notepad ++）共同透過網路根據 FLE 規則處理檔案，則未加密形式的檔案可能會被無限期
封鎖，⽽無法從其所在的電腦存取它。
Kaspersky Endpoint Security 不加密位於 OneDrive 雲端儲存或者其他資料夾中以 OneDrive 作為名稱的檔案。Kaspersky Endpoint Security 還會封鎖將加密檔案複製到 OneDrive 資料夾（如果這些檔案未被新增
⾄解密規則）。
安裝檔案級加密元件後，使⽤者和組的管理在WSL模式（Windows Subsystem for Linux）下不起作⽤。
安裝檔案級加密元件時，⽤於重命名和刪除檔案的 POSIX（可攜式作業系統介⾯）不受⽀援。
不建議加密暫存檔案，因為這可能造成資料損失。例如，Microsoft Word 會在處理文件時建立暫存檔
案。如果加密了暫存檔卻沒有加密原始檔案，使⽤者在嘗試儲存文件時可能會收到“存取被拒絕”錯誤。此外，Microsoft Word 可以儲存檔案，但是下次卻無法開啟文件，即資料將丟失。為了防⽌資料丟失，您
需要將暫存檔資料夾從加密規則中排除。
在更新 Kaspersky Endpoint Security for Windows 11.0.1 或更早的版本後，為了在重新啟動電腦後存取加密檔案，請確保網路代理在執⾏。網路代理會延遲啟動，所以您無法在作業系統載入後立刻存取加密檔案。下次電腦啟動後無需等待網路代理啟動。
Detection and Response (EDR, MDR, Kaspersky Sandbox)779您不能掃描因為移動檔案到隔離區⼯作被隔離的物件。
無法隔離⼤於 4 MB 的替代資料流 (ADS)。Kaspersky Endpoint Security 會略過任何這麼⼤的 ADS ⽽不通
知使⽤者。
如果⼯作內容中的資料夾路徑⽤磁碟機字⺟開始，則 Kaspersky Endpoint Security 不執⾏網路磁碟機上的“IOC 掃描”⼯作。Kaspersky Endpoint Security 僅⽀援網路磁碟機上“IOC 掃描”⼯作的 UNC 路徑格式。例
如，\\server\shared_folder。
如果在設定檔中啟⽤了“與 Kaspersky Sandbox 整合”設定，則“匯入應⽤程式設定檔”會以錯誤結束。在匯出應⽤程式設定前，請啟⽤ Kaspersky Sandbox。然後執⾏匯出/匯入程序。匯入設定檔後，請啟⽤Kaspersky Sandbox。
如果在執⾏ IOC 掃描⼯作時偵測到侵入指⽰，應⽤程式將僅隔離 FileItem 字詞的檔案。不⽀援隔離其它
字詞的檔案。
管理警⽰詳情需要 Kaspersky Endpoint Security for Windows Web 外掛程式 11.7.0 或更新版本。使⽤
Endpoint Detection and Response 解決⽅案（EDR Optimum 和 EDR Expert）時需要警⽰詳情。偵測詳情僅在卡巴斯基安全管理中⼼網⾴主控台或卡巴斯基安全管理中⼼雲端主控台中可⽤。
將 [KES+KEA] 設定遷移到 [KES+built-in agent] 設定可能會以 Kaspersky Endpoint Agent 應⽤程式移除錯
誤完成。該應⽤程式移除錯誤在最新版本的 Kaspersky Endpoint Agent 中得到了修正。若要移除Kaspersky Endpoint Agent，請重新啟動電腦並建立⼀個應⽤程式移除⼯作。
不⽀援 [KES+KEA+內建代理] 配置。此類配置會破壞應⽤程式與組織中部署的 Detection and Response 解
決⽅案之間的交互。此外，在同⼀台電腦上使⽤ Kaspersky Endpoint Agent 和內建代理會導致重複遙測並增加電腦和網路的負載。遷移到 [KES + 內建代理] 配置後，請確保 Kaspersky Endpoint Agent 已從電腦中刪除。如果 Kaspersky Endpoint Agent 在遷移後繼續⼯作，請⼿動解除安裝應⽤程式（例如，使⽤遠端解
除安装應⽤程式⼯作）。
安裝程式允許您在安裝了 Kaspersky Endpoint Security 和內建代理的電腦上部署 Kaspersky Endpoint
Agent。Kaspersky Endpoint Agent 和內建代理也可以因為 變更程式元件 ⼯作安裝在⼀台電腦上。該⾏為取決於 Kaspersky Endpoint Security 和 Kaspersky Endpoint Agent 的版本。
管理 EDR Optimum 和 Kaspersky Sandbox 元件需要 Kaspersky Endpoint Security for Windows Web 外掛
程式 11.7.0 或更新版本。管理 EDR Expert 元件需要 Kaspersky Endpoint Security for Windows Web 外掛程式 11.8.0 或更新版本。如果您使⽤ Web 外掛程式建立了變更程式元件⼯作，⽽外掛程式不⽀援與這些元
件合作，安裝程式將在安裝了 EDR Optimum、EDR Expert 或 Kaspersky Sandbox 的電腦上刪除這些元件。
內建代理 EDR (KATA) 會在電腦重新啟動後還原電腦的網路隔離，即使隔離期已過。為防⽌電腦重複隔離，您需要在 Kaspersky Anti Targeted Attack Platform 主控台中關閉網路隔離。
我們建議在網路隔離完成後升級應⽤程式。升級 Kaspersky Endpoint Security 後，可以停⽌網路隔離。
EDR (KATA)、EDR Optimum 和 EDR 專家的內建代理彼此不相容。因此，如果您啟⽤了具有不同 EDR 功能
的 Kaspersky Endpoint Security，則可以略過使⽤獨立 Kaspersky Endpoint Detection and Response 附加
元件產品授權啟⽤ EDR 內建代理。例如，如果您已使⽤ [KES EDR Optimum] 產品授權啟⽤ Kaspersky
Endpoint Security，則將略過使⽤獨立產品授權啟⽤ EDR (KATA) 內建代理。
在 Kaspersky Endpoint Security 12.1 中，內建 EDR (KATA) 代理不⽀援 Get NTFS meta les ⼯作的以下中繼
檔： $Secure:$SDH:$INDEX_ROOT；$Secure:$SDH:$INDEX_ALLOCATION；$Secure:$SDH:$BITMAP；$Secure:$SII:$INDEX_ROOT； $Secure:$SII:$INDEX_ALLOCATION；$Secure:$SII:$BITMAP；$Extend\$UsnJrnl:$J:$DATA；$Extend\$UsnJrnl:$Max:$DATA.對這些中繼檔的⽀援已新增到 Kaspersky
Endpoint Security 12.2。

780

從 Kaspersky Endpoint Agent 遷移到 Kaspersky Endpoint Security 以⽤於 Kaspersky Anti Targeted Attack
Platform (EDR) 解決⽅案時，您在將電腦連線到中央節點伺服器時可能會遇到錯誤。原因是 Web 主控台
中的遷移精靈略過了以下政策設定並且不遷移它們：
設定修改禁⽌ KATA 伺服器連線設定 （“鎖”）。
預設情況下，設定可以被修改（“鎖”是開啟的）。因此，設定不會套⽤到電腦上。您必須禁⽌修改設
定並關閉“鎖”。
加密容器。
如果您使⽤雙向⾝分驗證連線到中央節點伺服器，則必須重新新增加密容器。遷移精靈正確遷移了伺
服器的 TLS 憑證。
管理主控台 (MMC) 中的政策和⼯作遷移精靈可遷移 Kaspersky Anti Targeted Attack Platform (EDR) 解決
⽅案的所有設定。

其他限制

781

如果該應⽤程式返回錯誤，或者在執⾏期間掛起，它可能會⾃動重新啟動。如果程式遇到反覆導致程式
異常關閉的錯誤，它將執⾏以下操作：
1. 停⽤控制和防護功能（加密功能仍啟⽤）。
2. 通知使⽤者某些功能已被停⽤。
3. 更新病毒資料庫或應⽤程式模組更新之後嘗試還原程式的功能。
新增到受信任清單的 網址可能未正確處理。
在卡巴斯基安全管理中⼼主控台中，您無法將檔案從以下位置儲存到瓷碟： 進階 → Repositories →Active threats 資料夾。要儲存檔案，您必須解毒受感染的檔案。解毒時，應⽤程式會在備份中儲存檔案的副本。現在您可以將檔案從進階 → Repositories → Backup 資料夾儲存到磁碟。
繼承資料傳輸到管理伺服器的設定（⼀般設定 → 報告和儲存 → 到管理伺服器的資料傳輸）與其他設定的繼承不同。如果您允許變更政策中的資料傳輸設定（“鎖”開啟），則這些設定將在主控台的本機電腦屬性
中重置為預設值（如果之前未定義）。如果之前定義了這些設定，則它们的值將被還原。刪除政策時，
將以相同的⽅式繼承設定。在這些情況下，本機電腦屬性中的其他設定將從政策繼承。
Kaspersky Endpoint Security 監視符合 RFC 2616、RFC 7540、RFC 7541、RFC 7301 標準的 HTTP 通信。
如果 Kaspersky Endpoint Security 在 HTTP 流量中偵測到另⼀種資料交換格式，則該應⽤程式將封鎖此連線，以防⽌從網際網路下載惡意檔案。
Kaspersky Endpoint Security 阻⽌透過 QUIC 通訊協定進⾏通訊。無論在瀏覽器中是否啟⽤了 QUIC ⽀援，瀏覽器都使⽤標準傳輸通訊協定 (TLS or SSL)。
當協⼒廠商軟體使⽤ Libcurl 庫時，可能會出現 TLS 連線錯誤。這可能與 Kaspersky Endpoint Security ⽤
於掃描加密連線使⽤的卡巴斯基憑證有關。要繼續⼯作，您可以停⽤協⼒廠商軟體的憑證驗證（不建議）或將卡巴斯基憑證本文新增到 cURL 憑證儲存。有關詳細資訊，請參閱卡巴斯基知識庫。
系統監控器。不顯⽰有關程序的完整資訊。
⾸次啟動 Kaspersky Endpoint Security for Windows 時，經過數位簽章的應⽤程式可能會暫時放置在錯誤的組中。經過數位簽章的應⽤程式將在以後放入正確的組中。
在卡巴斯基安全管理中⼼中，當從使⽤全局卡巴斯基安全網路切換到使⽤私有卡巴斯基安全網路或相反時，在指定產品的政策中將停⽤參與卡巴斯基安全網路的選項。切換後，請仔細閱讀卡巴斯基安全網路
聲明的文本，並確認您同意參加 KSN。您可以在應⽤程式介⾯中或在編輯產品政策時閱讀聲明的文本。
在重新掃描被協⼒廠商軟體封鎖的惡意物件的過程中，再次偵測到威脅時不會通知使⽤者。威脅重新偵
錯事件將顯⽰在應⽤程式報告和卡巴斯基安全管理中⼼報告中。
無法在Microsoft Windows Server 2008中安裝Endpoint Sensor元件。
關於裝置加密的卡巴斯基安全管理中⼼報告將不包含有關使⽤ Microsoft BitLocker 在未安裝裝置控制元
件的伺服器平台或⼯作站上加密的裝置的資訊。
無法在卡巴斯基安全管理中⼼雲端主控台中啟⽤顯⽰所有報告條⽬。在 Web 主控台中，您只可以變更顯
⽰在報告中的條⽬的數⽬。預設情況下，卡巴斯基安全管理中⼼網⾴主控台顯⽰ 1000 條報告條⽬。您可
以在管理主控台 (MMC) 中啟⽤顯⽰所有報告條⽬。
無法在卡巴斯基安全管理中⼼雲端主控台中設定顯⽰超過 1000 條報告條⽬。如果設定⾼於 1000 的值，卡巴斯基安全管理中⼼將只顯⽰ 1000 條報告條⽬。

782

使⽤政策階層時，如果⽗政策禁⽌修改這些設定，則⼦政策中“卸除式磁碟機加密”部分的設定可以進⾏編
輯。
您必須在作業系統設定中啟⽤“審核登入”，以確保防⽌共⽤資料夾被外部加密的排除項⽬正常運⾏。
如果啟⽤了共⽤資料夾防護，則 Kaspersky Endpoint Security for Windows 將監控在啟動 Kaspersky
Endpoint Security for Windows 之前啟動的每個遠端存取⼯作階段加密共⽤資料夾（包括從其啟動了遠端
存取⼯作階段的電腦是否已被新增到了排除項⽬中）的嘗試。如果您不希望 Kaspersky Endpoint Security
for Windows 監控加密從被新增到排除項⽬的電腦上啟動、並且是從啟動 Windows Kaspersky Endpoint
Security 之前啟動的遠端存取⼯作階段的共⽤資料夾的嘗試，請終⽌並重新啟動遠端存取⼯作階段或重新啟動安裝了 Windows Kaspersky Endpoint Security 的電腦。
如果更新⼯作是使⽤特定使⽤者帳⼾的權限執⾏的，從需要授權的來源進⾏更新時，將不會下載產品修
補程式。
由於系統效能不⾜，應⽤程式可能無法啟動。要解決此問題，請使⽤ Ready Boot 選項或增加啟動服務的
作業系統超時。
該應⽤程式無法在安全模式下運⾏。
為了確保 Kaspersky Endpoint Security for Windows 11.5.0 和 11.6.0 可以與 Cisco AnyConnect 軟體正確⼯
作，您必須安裝 Compliance Module 4.3.183.2048 或更新版本。有關與 Cisco Identity Services Engine 相
容性的更多資訊，請參閱 Cisco 文檔 。
在安裝應⽤程式後第⼀次重新啟動前，我們無法保證⾳訊控制能正常⼯作。
在管理主控台 (MMC) 中，在⽤來配置應⽤程式權限的侵入防護設定中，“刪除”按鈕不可使⽤。您可以透
過應⽤程式的內容功能表從信任群組中刪除應⽤程式。
在應⽤程式的本機介⾯中，在侵入防護設定中，如果電腦由政策管理，則應⽤程式權限和受防護的資源不可使⽤。滾動、搜尋、篩選和其它視窗控制不可使⽤。您可以在卡巴斯基安全管理中⼼主控台的政策
內容中檢視應⽤程式權限。
啟⽤旋轉的偵錯檔案時，不會為 AMSI 元件和 Outlook 外掛程式建立任何追蹤。
無法在 Windows Server 2008 中⼿動收集效能追蹤。
不⽀援“重新啟動”追蹤類型的效能追蹤。
對於 pico 處理程序，轉儲記錄不受⽀援。
關閉“停⽤系統服務的外部管理”選項將不允許您停⽌使⽤AMPPL= 1參數安裝的應⽤程式的服務（預設情況下，該參數值從 Windows 10RS2 作業系統版本開始設定為1）。值為1的AMPPL參數可將防護程序技術
⽤於產品服務。
要執⾏資料夾的⾃訂掃描，啟動⾃訂掃描的使⽤者必須具有讀取此資料夾的屬性的權限。否則，⾃訂資料夾掃描將無法進⾏，並以錯誤結束。
如果政策中定義的掃描規則在末尾包含不帶\字元的路徑，例如С:\folder1\folder2，則將對路徑
С:\folder1\ 執⾏掃描。
將應⽤程式從 11.1.0 版本升級到 12.2 時，AMSI 防護設定將重置為預設值。
如果使⽤软体限制政策（SRP），則电脑可能無法加載（⿊屏）。為了防⽌故障，您需要在 SRP 內容中
允許使⽤應⽤程式庫。在 SRP 內容中，新增 khkum.dll 檔案的安全等級為“不受限制”的規則（新雜湊規則“功能表項）。檔案位於 C:\Program Files (x86)\Common Files\Kaspersky Lab\KES.
<version>\klhk\klhk_x64\ 資料夾中。如果選擇了此⽅法，您還需要在 Kaspersky Endpoint Security783

的更新⼯作設定中清除下載應⽤程式模組更新核取⽅塊。有關使⽤ SRP 的詳細資訊，請參閱 Microsoft
文件 。
您也可以停⽤ SRP，使⽤ Kaspersky Endpoint Security 的應⽤程式控制元件來控制應⽤程式使⽤。
如果電腦屬於 Windows 群組政策物件 (GPO) 下的網域，且 DriverLoadPolicy 參數被設定為 8（僅限良好），則重新啟動安裝了 Kaspersky Endpoint Security 的電腦會導致 BSOD。為了防⽌失敗，群組政策中的提前啟動惡意軟體防護 (ELAM) 參數必須設定為 1（良好和未知）。ELAM 設定位於下列政策中：電腦
設定 → 管理模板 → 系統 → 提前啟動惡意軟體防護。
不⽀援透過 Rest API 管理 Outlook 外掛程式設定。
特定使⽤者的⼯作執⾏設定無法透過設定檔在裝置之間傳輸。從設定檔套⽤設定後，⼿動指定使⽤者名稱和密碼。
安裝更新後，完整性檢查⼯作將在重新啟動系統以套⽤更新之前不起作⽤。
透過遠端診斷實⽤程式變更旋轉的這種等級時，Kaspersky Endpoint Security for Windows 將錯誤顯⽰偵
錯等級的空⽩值。但是，偵錯檔案是根據正確的偵錯等級編寫的。透過應⽤程式的本機介⾯變更旋轉的
追蹤等級時，將正確修改追蹤等級，但是遠端診斷實⽤程式將錯誤顯⽰實⽤程式最後定義的追蹤等級。
這可能會導致管理員沒有當前追蹤等級的最新資訊，並且如果使⽤者在應⽤程式的本機介⾯中⼿動變更追蹤等級，則追蹤中可能會缺少相關資訊。
在本機介⾯中，密碼防護設定不允許變更管理員帳⼾的名稱（預設為 KLAdmin）。要變更管理員帳⼾的
名稱，需要停⽤密碼防護，然後啟⽤密碼防護並指定管理員帳⼾的新名稱。
如果 Kaspersky Endpoint Security 應⽤程式安裝在 Windows Server 2019 伺服器上，其與 Docker 不相容。在安裝了 Kaspersky Endpoint Security 的電腦上部署 Docker 會引起崩潰 (BSOD)。
與 Kaspersky Endpoint Security 和 Secret Net Studio 軟體的相容受限制：
Kaspersky Endpoint Security 應⽤程式與 Secret Net Studio 軟體的病毒防護元件不相容。
應⽤程式無法安裝在使⽤病毒防護元件部署了 Secret Net Studio 的電腦上。若要允許交互操作，您必
須從 Secret Net Studio 中刪除病毒防護元件。
Kaspersky Endpoint Security 應⽤程式與 Secret Net Studio 軟體的完整磁碟加密元件不相容。
應⽤程式無法安裝在使⽤完整磁碟加密元件部署了 Secret Net Studio 的電腦上。若要允許交互操作，
您必須從 Secret Net Studio 中刪除完整磁碟加密元件。
Secret Net Studio 與 Kaspersky Endpoint Security 的檔案級加密 (FLE) 元件不相容。
當您使⽤檔案級加密 (FLE) 元件安裝 Kaspersky Endpoint Security 時，Secret Net Studio 可能在操作
時出錯。為了保證交互操作，您必須從 Kaspersky Endpoint Security 中刪除檔案級加密 (FLE) 元件。

784

詞彙表

IOC
元件指⽰器。⼀個有關惡意物件或者活動的資料集合。

IOC 檔案
⼀個包含應⽤程式試圖匹配以計數偵測的洩露指⽰器 (IOC) 集合的檔案。如果經過掃描為物件找到了與多個 IOC
檔案的精確匹配，則偵測可能性更⾼。

OLE 物件
附加的檔案或嵌入到其他檔案中的檔案。Kaspersky 應⽤程式允許掃描 OLE 物件以尋找病毒。例如，如果您在Microsoft O ice Word ⼿冊中插入⼀個 Microsoft O ice Excel® 表格，此表格將作為 OLE 物件被掃描。

OpenIOC基於 XML 的洩露指⽰器 (IOC) 開放標準說明，包括超過 500 個不同的洩露指⽰器。

受信任平台模組
⼀個與安全相關的提供基本功能的微晶片（例如⽤於儲存加密⾦鑰）。受信任平台模組通常安裝在電腦主機板上並且透過硬體匯流排與其他所有系統元件進⾏互動。

受感染的檔案
包含惡意程式碼（在掃描檔案時偵測到已知惡意軟體的代碼）的檔案。Kaspersky 建議您不要使⽤此類別檔案，
原因是它們可能會感染您的電腦。

可疑網⾴位址資料庫
其內容被視為存在危險的網址清單。這是⼀個由 Kaspersky 專家建立的清單。它會定期更新，並且會包含在
Kaspersky 應⽤程式分發套件中。

存檔
封裝到單⼀壓縮檔案的⼀個或幾個檔案。需要⼀個名叫 archiver 的應⽤程式以開啟和解包資料。

785

⼯作
卡巴斯基應⽤程式作為⼯作要執⾏的功能，例如：即時檔案防護、完整裝置掃描、資料庫更新。

已感染檔案
根據檔案的結構或格式，某些檔案可能會作為儲存和傳播惡意程式碼的”容器”⽽成為入侵者的⼯具。⼀般來說，
此類別檔案是可執⾏檔，例如副檔名為 .com、.exe 和 .dll 的檔案。有相當⾼的風險此類檔案中有惡意代碼侵入。

憑證發佈者發佈憑證的認證中⼼。

掃描範圍
Kaspersky Endpoint Security 在執⾏掃描⼯作時掃描的物件。

授權憑證
與⾦鑰檔案或啟動碼⼀起由 Kaspersky 傳輸給使⽤者的檔案。此檔案包含授予使⽤者的產品授權資訊。

攜帶式檔案管理器
這是⼀個應⽤程式，⽤於在電腦上沒有加密功能時透過提供的介⾯處理卸除式磁碟機上的加密檔案。

啟動⾦鑰
程式⽬前正在使⽤的⾦鑰。

病毒資料庫
資料庫包含截⾄病毒資料庫發佈之⽇ Kaspersky 已知的電腦安全威脅的資訊。病毒資料庫簽章有助於偵測掃描物
件中的惡意代碼。病毒資料庫由 Kaspersky 建立並且每⼩時都會更新。

管理群組

786

⼀組共⽤⼀般功能的裝置和⼀組在這些裝置上安裝的 Kaspersky 應⽤程式。將裝置歸類在群組是為了讓您輕易的把電腦群當作⼀台電腦進⾏管理。⼀個群組可能包含其他的群組。您可以為群組中每個安裝的應⽤程式建立群組
政策和群組⼯作。

網路代理
⼀個卡巴斯基安全管理中⼼模組，它實現了管理伺服器和特定網路節點（⼯作站或伺服器）上安裝的 Kaspersky
應⽤程式之間的互動。此元件對在 Windows 下執⾏的所有 Kaspersky 應⽤程式通⽤。網路代理的獨立版本是為在
其他作業系統下執⾏的應⽤程式⽽設計。

網⾴資源位址的正規表⽰式
網⾴資源的正規表⽰式位址是透過正規化獲得的網⾴資源位址的文字表達。正規化是⼀個網⾴資源位址文字表達根據特定規則⽽改變的過程，例如從網⾴資源位址的文字表⽰中排除使⽤者登入、密碼和連線連接埠；此外網⾴
資源位址的字元將從⼤寫變更為⼩寫。
在防護元件的執⾏中，正規化網⾴資源位址的⽬的是為了防⽌再次掃描實際上等效但是語法不同的網站位址。
範例:
非正規表⽰式的位址: www.Example.com\。
正規表⽰式的位址: www.example.com。

解毒能夠完全或部分還原物件資料的⼀種處理已感染物件的處理⽅式。並非所有受感染的物件都能被解毒。

誤報當 Kaspersky 應⽤程式由於未受感染檔案的簽章與病毒的簽章類似⽽將其報告為受感染的檔案時，稱為誤報。

⾝分驗證代理可啟動硬碟磁碟機加密後，讓您完成⾝分驗證以存取加密的硬碟磁碟機並載入作業系統啟動的介⾯。

遮罩
使⽤萬⽤字元表⽰檔案名稱和副檔名。
檔案遮罩可包含檔案名稱中允許使⽤的任何字元，包括萬⽤字元：787

*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和資料夾
名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字元（這兩個字元是檔
案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\**\*.txt 將包括位於巢嵌在
Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。**遮罩僅可⽤於建立掃描排除項⽬。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑中的檔案和資料夾
名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於 Folder 資料夾中所有帶 TXT 副檔名且名
稱由三個字元構成的檔案的路徑。

釣⿂網⾴位址資料庫
Kaspersky 專家確定與網路釣⿂相關的網址清單。此資料庫會定期更新，並且會包含在 Kaspersky 應⽤程式分發
套件中。

防護範圍
在執⾏時被關鍵威脅防護元件持續掃描的物件。不同元件的防護範圍有不同的參數。

附加密鑰
允許使⽤者使⽤該程式但⽬前未使⽤的⾦鑰。

788

附錄
本節包含的資訊是對文件本文的補充。

附錄 1。應⽤程式設定
您可以使⽤政策、⼯作或應⽤程式介⾯來配置 Kaspersky Endpoint Security。有關應⽤程式元件的詳細資訊，請參⾒相應章節。

檔案威脅防護“檔案威脅防護”元件允許您防⽌電腦的檔案系統受到感染。預設情況下，“檔案威脅防護”元件會永久常駐在電腦的
RAM 中。該元件將掃描電腦所有磁碟機以及連接之磁碟機上的檔案。該元件借助防毒資料庫、卡巴斯基安全網路
雲端服務和啟發式分析來提供電腦防護。
該元件將掃描使⽤者或應⽤程式存取的檔案。如果偵測到惡意檔案，Kaspersky Endpoint Security 將封鎖檔案操
作。應⽤程式隨後將根據“檔案威脅防護”元件的設定來清除或刪除惡意檔案。
當嘗試存取其內容儲存在 OneDrive 雲端中的檔案時，Kaspersky Endpoint Security 會下載並掃描檔案內容。
檔案威脅防護元件設定

參數

安全等級

（僅在管理主控台（MMC）和Kaspersky
Endpoint
Security 介⾯

中可⽤）

描述

對於檔案威脅防護，Kaspersky Endpoint Security 可以套⽤不同的設定群組。這些儲存在
應⽤程式中的設定群組稱為“安全防護等級”：
⾼選擇此檔案安全等級後，“檔案威脅防護”元件將對開啟、儲存和執⾏的所有檔案實施
最嚴格的控制。“檔案威脅防護”元件會掃描電腦的所有硬碟磁碟機、卸除式磁碟機和網路磁碟機上的所有檔案類型。它還掃描存檔、安裝套件和嵌入式 OLE 物件。
建議Kaspersky Lab 專家建議此檔案安全等級。“檔案威脅防護”元件僅掃描電腦的所有硬碟磁碟機、卸除式磁碟機和網路磁碟機上的指定檔案格式，以及嵌入式 OLE 物件。
“檔案威脅防護”元件不掃描壓縮套件或安裝套件。
低此檔案安全等級的設定可確保最⼤掃描速度。“檔案威脅防護”元件僅掃描電腦的所有硬碟磁碟機、卸除式磁碟機以及網路磁碟機上擁有指定副檔名的檔案。“檔案威脅防護”
元件不掃描複合檔案。

檔案類型（僅在管理主控台（MMC）和Kaspersky
Endpoint
Security 介⾯

中可⽤）
掃描範圍

所有檔案如果啟⽤該設定，Kaspersky Endpoint Security 將毫無例外地掃描所有檔案（所有格式和副檔名）。
按格式掃描檔案如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。在掃描檔案以尋找
惡意程式碼之前，系統將分析檔案的內部頭以確定檔案的格式（例如，.txt、.doc 或.exe）。掃描還會查找具有特定副檔名的檔案。
按副檔名掃描檔案如果啟⽤該設定，則應⽤程式僅掃描被感染的檔案 。此時，系統將根
據檔案的副檔名確定檔案格式。
包含“檔案威脅防護”元件掃描的物件。掃描物件可能是硬碟、卸除式磁碟機、網路磁碟
機、資料夾、檔案或由遮罩定義的多個檔案。
789

預設情況下，“檔案威脅防護”元件將掃描任何硬碟、網路磁碟機或卸除式磁碟機中啟動的檔案。無法變更或刪除這些物件的防護範圍。您還可以從掃描中排除項（例如卸除式磁碟機）。
機器學習和簽
章分析

機器學習和簽章分析使⽤ Kaspersky Endpoint Security 資料庫，其中包含已知威脅的敘述以及消除它們的⽅法。使⽤此⽅法的防護提供了可接受的最低安全等級。

（僅在管理主控台（MMC）和根據 Kaspersky 專家的建議，機器學習和簽章分析始終啟⽤。

Kaspersky
Endpoint
Security 介⾯

中可⽤）

啟發式分析

（僅在管理主控台（MMC）和Kaspersky
Endpoint
Security 介⾯

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可以偵測
受未知病毒或已知病毒新變種感染的可疑檔案。
掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟發式分析器執⾏
的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業系統資源和啟發式分析持續時間之間進⾏平衡。

中可⽤）

偵測到威脅後的動作

解毒；若解毒失敗則刪除如果選擇該選項，應⽤程式將⾃動對已經偵測到的所有受感染的檔案執⾏解毒操作。如果解毒失敗，應⽤程式將刪除檔案。
解毒；若解毒失敗則封鎖如果選擇該選項，Kaspersky Endpoint Security 將⾃動對已經偵
測到的所有受感染的檔案執⾏解毒操作。如果無法進⾏解毒，Kaspersky Endpoint
Security 會將偵測到的受感染檔案的相關資訊新增到活動威脅清單。
封鎖如果選擇該選項，“檔案威脅防護”元件將⾃動封鎖所有受感染的檔案，⽽不對其進⾏解毒處理。
在嘗試解毒或刪除受感染的檔案之前，應⽤程式會建立該檔案的備份副本，以防您需
要還原該檔案或將來可以對其進⾏解毒。

只掃描新增及修改的檔案

僅掃描新檔案和⾃上次掃描以來已被修改的檔案。這有助於縮短掃描的持續時間。此模式
適⽤於簡單檔案和複合檔案。

掃描存檔

掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。應⽤程
式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏巡迴解壓縮。
這可讓⼈偵測多層封存（封存內的封存）內的威脅。

掃描分發套件

該核取⽅塊⽤於啟⽤/停⽤對協⼒廠商分發套件的掃描。

掃描
Microsoft
O ice 格式的檔案

掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。
O ice 格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1 MB 的 o ice
格式檔案，無論該核取⽅塊是否被選中。

複合檔案⼤於指定值時不解壓縮

如果選中該核取⽅塊，應⽤程式不會掃描其⼤⼩超過指定值的複合檔案。
如果清除該核取⽅塊，應⽤程式將掃描所有⼤⼩的複合檔案。
應⽤程式會掃描從存檔中提取的⼤檔案，⽽不管是否選中該核取⽅塊。

在背景解壓縮複合檔案

如果選中該核取⽅塊，應⽤程式會提供對⼤於指定值的複合檔案的存取權限，然後再掃描
這些檔案。在這種情況下，Kaspersky Endpoint Security 在背景解壓並掃描複合檔案。
790

對於⼩於該值的複合檔案，只有在解壓和掃描這些檔案後，應⽤程式才會提供對這些檔案的存取權限。
如果未選中該核取⽅塊，則只有在解壓和掃描任何⼤⼩的複合檔案後，應⽤程式才會提供對這些檔案的存取權限。
掃描模式（僅在管理主控台（MMC）和Kaspersky
Endpoint
Security 介⾯

中可⽤）

Kaspersky Endpoint Security 掃描由使⽤者、作業系統或以使⽤者帳⼾執⾏的應⽤程
式存取的檔案。
智慧模式在此模式中，檔案威脅防護將基於對物件所做操作進⾏分析以掃描物件。例如，當操作某個 Microsoft O ice ⼿冊時，Kaspersky Endpoint Security 將在其⾸次開啟和最
後⼀次關閉時掃描該檔案。覆蓋檔案的操作過程不會掃描檔案。
在存取及修改時在該模式中，檔案威脅防護將在出現開啟/修改檔案的嘗試時掃描物件。
存取時在此模式中，檔案威脅防護將在出現開啟/修改檔案的嘗試時掃描物件。
執⾏時在該模式中，檔案威脅防護僅在出現執⾏檔案的嘗試時掃描物件。

使⽤ iSwift 技術（僅在管理主控台（MMC）和

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔
案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iSwift 技術是對⽤於 NTFS 檔案系
統的 iChecker 技術的增強版。

Kaspersky
Endpoint
Security 介⾯

中可⽤）

使⽤
iChecker 技術（僅在管理主控台（MMC）和

該技術允許透過排除特定檔案不掃描的⽅式提⾼掃描速度。該技術將使⽤特殊演算法將檔
案排除在掃描範圍之外，該演算法會考慮 Kaspersky Endpoint Security 資料庫的發佈⽇期、檔案的上次掃描⽇期以及對掃描設定的任何修改。iChecker 技術受到幾個限制：它無
法操作⼤檔案，並且僅能套⽤⾄擁有程式可辨識結構的檔案 (例如：.exe、.dll、.lnk、.ttf、.inf、.sys、.com、.chm、.zip 和 .rar)。

Kaspersky
Endpoint
Security 介⾯

中可⽤）暫停檔案威脅防護

在指定的時間或使⽤指定的應⽤程式時，這會臨時⾃動暫停檔案威脅防護的操作。

（僅在管理主控台（MMC）和Kaspersky
Endpoint
Security 介⾯

中可⽤）

Web 威脅防護“Web 威脅防護”元件可防⽌從網際網路下載惡意檔案，同時封鎖惡意網站和釣⿂網站。該元件借助防毒資料庫、
卡巴斯基安全網路雲端服務和啟發式分析來提供電腦防護。

791

Kaspersky Endpoint Security 掃描 HTTP、HTTPS 和 FTP 流量。Kaspersky Endpoint Security 掃描 URL 和 IP 位
址。您可以指定 Kaspersky Endpoint Security 將監控的連接埠，或選擇所有連接埠。
對於 HTTPS 流量監控，需要啟⽤加密連線掃描。
當使⽤者嘗試開啟惡意網站或釣⿂網站時，Kaspersky Endpoint Security 將封鎖其存取並顯⽰警告（請參⾒下圖）。

網站存取被拒絕的訊息
Web 威脅防護元件設定

參數

安全等級

（僅在管理主控台（MMC）和Kaspersky Endpoint
Security 介⾯中可⽤）

描述

對於 Web 威脅防護，應⽤程式可以套⽤不同的設定群組。這些儲存在應⽤程式中的設定群組稱為“安全防護等級”：
⾼在此安全等級下，“Web 威脅防護”元件對電腦透過 HTTP 和 FTP 協定收到的
Web 流量執⾏最⼤限度的掃描。“Web 威脅防護”使⽤整個程式應⽤資料庫詳細
掃描所有 Web 流量物件，並盡可能執⾏最深度的啟發式分析 。
建議該安全等級在 Kaspersky Endpoint Security 的效能和 Web 流量的安全之間
提供最佳平衡。“Web 威脅防護”元件執⾏中度掃描等級的啟發式分析。
Kaspersky 專家建議使⽤此 Web 流量安全等級。
低此 Web 流量安全等級的設定可確保最快的 Web 流量掃描速度。“Web 威脅防護”元件執⾏輕度掃描等級的啟發式分析。

偵測到威脅後的動作

封鎖如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件
將封鎖存取物件並在瀏覽器中顯⽰⼀條訊息。
792

通知如果選擇此選項並且在 Web 流量中偵測到受感染物件，“Web 威脅防護”元件
將允許此物件下載到電腦，但會將受感染物件的相關資訊新增到活動威脅清單中。
檢查網址是否在惡意
網址資料庫中（僅在管理主控台（MMC）和掃描連接以確定它們是否包含在惡意網址資料庫中，可以讓您追蹤被新增到拒絕清單的網站。惡意網址資料庫由 Kaspersky 維護，包含在程式安裝套件中，並透過
Kaspersky Endpoint Security 資料庫更新進⾏補充。

Kaspersky Endpoint
Security 介⾯中可⽤）

使⽤啟發式分析（僅在管理主控台（MMC）和Kaspersky Endpoint
Security 介⾯中可⽤）檢查網址是否在釣⿂網址資料庫中（僅在管理主控台（MMC）和開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可
以偵測受未知病毒或已知病毒新變種感染的可疑檔案。
當掃描網路流量中的病毒和其他構成威脅的應⽤程式時，啟發式分析將在可執⾏檔
案中執⾏指令。啟發式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟
發式分析等級可在全⾯搜尋新威脅、載入作業系統資源和啟發式分析持續時間之間
進⾏平衡。
釣⿂網址資料庫包含⽬前⽤於啟動釣⿂攻擊的已知網站的位址。卡巴斯基使⽤從名為“釣⿂防護⼯作組”的國際組織獲得的位址來補充網路釣⿂連線資料庫。釣⿂位址
資料庫包含在程式安裝套件中，並透過 Kaspersky Endpoint Security 資料庫更新進
⾏補充。

Kaspersky Endpoint
Security 介⾯中可⽤）

不掃描受信任網址的
Web 流量如果選中此⽅塊，“Web 威脅防護”元件將不再掃描其網址包含在受信任網址清單中
的網⾴或網站的內容。您可以將網⾴/網站的特定位址和位址遮罩新增⾄受信任網
址清單。
您也可以建立⼀個通⽤加密連線排除項⽬清單。在此情況下，當 Web 威脅防護、郵件威脅防護、Web 控制元件執⾏⼯作時，Kaspersky Endpoint Security 不掃描受
信任網址的 HTTPS 流量。

郵件威脅防護“郵件威脅防護”元件掃描傳送和接收電⼦郵件的附件是否有病毒和其他威脅。該元件借助防毒資料庫、卡巴斯基
安全網路雲端服務和啟發式分析來提供電腦防護。
郵件威脅防護可以掃描傳入和傳出的郵件。該應⽤程式在以下郵件⽤⼾端中⽀援 POP3、SMTP、IMAP 和
NNTP：
Microsoft O ice Outlook
Mozilla Thunderbird
Windows Mail
郵件威脅防護不⽀援其他協定和郵件⽤⼾端。
郵件威脅防護並不總是能夠獲得協定級別的郵件存取權限（例如，當使⽤ Microsoft Exchange 解決⽅案時）。為
此，郵件威脅防護包括 Microsoft O ice Outlook 延伸程式。該延伸程式允許在郵件⽤⼾端級別掃描郵件。郵件
威脅防護延伸⽀援 Outlook 2010、2013、2016 和 2019 的操作。

793

如果在瀏覽器中開啟郵件⽤⼾端，“郵件威脅防護”元件不會掃描郵件。
如果在附件中偵測到惡意檔案，Kaspersky Endpoint Security 會將有關已執⾏操作的資訊新增到郵件主旨，例如，[郵件已處理] <郵件主旨>。
郵件威脅防護元件設定

參數

描述

安全等級

對於郵件威脅防護，Kaspersky Endpoint Security 可套⽤不同的設定群組。這些儲存在應⽤
程式中的設定群組稱為“安全防護等級”：

（僅在管
理主控台
（MMC）
和

Kaspersky
Endpoint
Security 介

⾯中可⽤）⾼。選擇此電⼦郵件安全等級時，“郵件威脅防護”元件會最徹底地掃描電⼦郵件。“郵件威脅防護”元件將掃描傳送和接收的電⼦郵件訊息，並執⾏深度啟發式分析。對於⾼風險環
境，建議使⽤“⾼“郵件安全防護等級。這種情況的⼀個例⼦就是，未獲得集中式電⼦郵件
防護的家⽤網路連線免費的電⼦郵件服務。
建議。此電⼦郵件安全等級在 Kaspersky Endpoint Security 的效能和電⼦郵件安全性之間
提供最佳平衡。“郵件威脅防護”元件將掃描傳送和接收的電⼦郵件，並執⾏中度啟發式分
析。Kaspersky 專家建議採⽤這⼀郵件流量安全等級。
低。選擇此電⼦郵件安全等級時，“郵件威脅防護”元件只掃描接收的電⼦郵件訊息，執⾏輕度啟發式分析，不掃描電⼦郵件的壓縮套件附件。在這⼀郵件安全等級中，“郵件威脅防護”元件將使⽤最少的作業系統資源，以最⼤速度掃描電⼦郵件。在防護良好的環境中
⼯作時，建議使⽤“低”郵件安全等級。這類環境的⼀個例⼦是具有集中式電⼦郵件防護的企業區域網路。

偵測到威
脅後的動
作

解毒；若解毒失敗則刪除。在入站或出站郵件中偵測到受感染的物件時，Kaspersky
Endpoint Security 會嘗試對偵測到的物件進⾏解毒。使⽤者將能夠存取帶安全附件的郵件。
如果無法解毒物件，Kaspersky Endpoint Security 將刪除受感染的物件。Kaspersky Endpoint
Security 會將有關已執⾏操作的資訊新增到郵件主旨，例如，[郵件已處理] <郵件主旨>。
解毒；若解毒失敗則封鎖。在入站郵件中偵測到受感染的物件時，Kaspersky Endpoint
Security 會嘗試對偵測到的物件進⾏解毒。使⽤者將能夠存取帶安全附件的郵件。如果無法
解毒物件，Kaspersky Endpoint Security 會將警告新增到郵件主旨。使⽤者將能夠存取帶原
始附件的郵件。在出站郵件中偵測到受感染的物件時，Kaspersky Endpoint Security 會嘗試
對偵測到的物件進⾏解毒。如果無法解毒物件，Kaspersky Endpoint Security 會封鎖郵件的
傳輸，郵件⽤⼾端會顯⽰錯誤。
封鎖。如果在入站郵件中偵測到受感染的物件，Kaspersky Endpoint Security 會將警告新增
到郵件主旨。使⽤者將能夠存取帶原始附件的郵件。如果在出站郵件中偵測到受感染的物
件，Kaspersky Endpoint Security 會封鎖郵件的傳輸，郵件⽤⼾端會顯⽰錯誤。

防護範圍

（僅在管
理主控台
（MMC）
和

防護範圍包括元件執⾏時檢查的物件： 接收和傳送的郵件或僅接收的訊息 。
為了防護您的電腦，您只需要掃描傳入的郵件。您可以開啟對傳出郵件的掃描功能，以防⽌
受感染的檔案在存檔中傳送。如果要防⽌傳送特定格式的檔案（例如⾳訊和視訊檔案），您
也可以開啟傳出郵件的掃描功能。

Kaspersky
Endpoint
Security 介

⾯中可
⽤）

掃描
POP3、
SMTP、
NNTP 和IMAP 流量

此⽅塊可啟⽤/停⽤“郵件威脅防護”元件在透過 POP3、SMTP、NNTP 和 IMAP 協定傳送的流
量進⾏掃描。

794

連線
Microsoft
Outlook 延
伸程式

如果選中該核取⽅塊，則在 Microsoft Outlook 中集成的延伸程式⼀側啟⽤對透過 POP3、
SMTP、NNTP、IMAP 協定傳輸的電⼦郵件的掃描。

啟發式分析

開發該技術的⽬的是偵測使⽤ Kaspersky 應⽤程式資料庫無法偵測到的威脅。它可以偵測受
未知病毒或已知病毒新變種感染的可疑檔案。

（僅在管
理主控台
（MMC）
和

掃描檔案中的惡意代碼時，啟發式分析器將執⾏可執⾏檔案中的指令。啟發式分析器執⾏的指令數取決於為啟發式分析器指定的級別。啟發式分析等級可在全⾯搜尋新威脅、載入作業
系統資源和啟發式分析持續時間之間進⾏平衡。

如果使⽤ Microsoft Outlook 的延伸程式掃描郵件，建議使⽤緩衝區的交換模式。有關Cached Exchange 模式的詳細資訊和對其⽤途的建議，請參閱 Microsoft 知識庫。

Kaspersky
Endpoint
Security 介

⾯中可
⽤）

掃描附件
中的壓縮
檔案

掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。應⽤程式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏巡迴解壓縮。這可讓
⼈偵測多層封存（封存內的封存）內的威脅。
如果在掃描期間 Kaspersky Endpoint Security 在郵件的文字中偵測到存檔的密碼，該密碼將被⽤來掃描惡意應⽤程式的存檔的內容。在此情況下不儲存密碼。存檔在掃描期間
被解壓縮。如果在解壓縮過程中發⽣應⽤程式錯誤，您可以⼿動刪除儲存到以下路徑的解壓縮檔案： %systemroot%\temp。這些檔案有 PR 前綴。

掃描
Microsoft
O ice 格式的附加檔案

掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。O ice
格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1 MB 的 o ice 格式檔案，
無論該核取⽅塊是否被選中。

不掃描⼤
於該值的
存檔 N MB的存檔

如果選擇此⽅塊，“郵件威脅防護”元件將在掃描中排除⼤⼩超過指定值的電⼦郵件附件。如果清空此⽅塊，則“郵件威脅防護”元件可以掃描任意尺⼨的電⼦郵件附件。

限制壓縮
檔案的檢
查時間為
N秒

如果選擇此⽅塊，則分配的⽤於掃描電⼦郵件壓縮檔案附件的時間將被限制為指定的⻑度。

附件篩選附件篩選器不適⽤於發出的電⼦郵件。
停⽤篩選功能。如果選擇此選項，“郵件威脅防護”元件將不篩選屬於電⼦郵件附件的檔案。
重新命名選取類型的附件。如果選擇此選項，郵件威脅防護元件將⽤下劃線字符（例如，attachment.doc__）替換在指定類型的附件檔案中找到的最後⼀個延伸字符。因此，為了開
啟檔案，使⽤者必須重命名檔案。
刪除選取類型的附件。如果選擇此選項，“郵件威脅防護”元件將從電⼦郵件中刪除指定的附件類型。
在檔案遮罩清單中，可以指定要重命名或從電⼦郵件中刪除的附加檔案的類型。

795

網路威脅防護網路威脅防護元件（也稱為入侵偵測系統）可監控入站網路流量以了解網路攻擊的活動特徵。當 Kaspersky
Endpoint Security 偵測到在使⽤者電腦上有網路攻擊企圖時，它將封鎖與攻擊電腦的連線。Kaspersky Endpoint
Security 資料庫提供⽬前已知類型的網路攻擊以及應對⽅法。“網路威脅防護”元件偵測到的網路攻擊清單在資料
庫和應⽤程式模組更新期間更新。
網路威脅防護元件設定

參數

描述

將連接
埠掃描
和網路
洪⽔當
做攻擊
處理

網路泛洪是對組織的網路資源（例如 Web 伺服器）的攻擊。這種攻擊包括傳送⼤量請求以超載
網路資源的帶寬。發⽣這種情況時，使⽤者將無法存取組織的網路資源。

連接埠掃描攻擊包括掃描電腦上的 UDP 連接埠、TCP 連接埠和網路服務。此攻擊使攻擊者可以在進⾏更危險類型的網路攻擊之前確定電腦的漏洞程度。連接埠掃描還使攻擊者能夠識別電腦
上的作業系統，並為該作業系統選擇適當的網路攻擊。
若選中此核取⽅塊，則 Kaspersky Endpoint Security 將監控網路流量以偵測這些攻擊。如果偵
測到攻擊，應⽤程式會通知使⽤者並將相應事件傳送到卡巴斯基安全管理中⼼。該應⽤程式提供有關攻擊電腦的資訊，這對於及時採取威脅響應操作很有必要。
如果某些允許的應⽤程式執⾏這些類型攻擊的典型操作，您可以停⽤對這些類型攻擊的偵測。
這將有助於避免誤報。

封鎖攻
擊裝置
N 分鐘

如果啟⽤此選項，“網路威脅防護”元件將把發動攻擊的電腦新增⾄封鎖清單。這意味著，“網路威脅防護”元件將會在該攻擊電腦的⾸次網路攻擊嘗試後的指定時間段內，封鎖與該電腦的網路
連線。此封鎖操作將會⾃動防護電腦避免以後來⾃同⼀位址的攻擊。攻擊電腦必須待在封鎖清單中的最短時間為⼀分鐘。最⻑時間為 999 分鐘。
您可以在“網路監控⼯具“視窗中檢視封鎖清單。
重新啟動應⽤程式以及變更網路威脅防護設定時，Kaspersky Endpoint Security 會清除封鎖
清單。

排除項
⽬

此清單包含某些 IP 位址，“網路威脅防護”不會封鎖這些 IP 位址發起的網路攻擊。
您可以新增具有指定連接埠和協定的 IP 位址。
應⽤程式不會記錄有關來⾃排除清單中的 IP 位址的網路攻擊的資訊。

MAC 欺
騙防護

MAC 欺騙攻擊包括變更網路裝置（網卡）的 MAC 位址。結果，攻擊者可以將傳送到某台裝置
的資料重新導向到另⼀台裝置，並獲得對該資料的存取權限。Kaspersky Endpoint Security 允許您封鎖 MAC 欺騙攻擊並接收關於攻擊的通知。

防火牆
在網際網路或區域網路上⼯作時，防火牆會封鎖未經授權的電腦連線。防火牆還控制電腦上應⽤程式的網路活動。這允許您防護公司區域網路免受⾝分竊盜和其他攻擊。該元件借助防毒資料庫、卡巴斯基安全網路雲端服務
和預先定義的網路規則來提供電腦防護。
網路代理⽤於與卡巴斯基安全中⼼進⾏交互。防火牆會⾃動建立應⽤程式和網路代理正常⼯作所需的網路規則。結果，防火牆在电脑上開啟了多個連接埠。哪個連接埠開啟取決於电脑的⾓⾊（例如，分發點）。要了解將在电脑上開啟的連接埠的更多資訊，請參閱 卡巴斯基安全管理中⼼說明 。
796

網路規則
您可以在以下等級配置網路規則：

網路封包規則。網路封包規則將對網路封包進⾏限制，與應⽤程式無關。此類規則將限制透過特定連接埠的

選定資料協定傳送和接收的網路流量。Kaspersky Endpoint Security 具有預先定義的網路封包規則，其中的權
限由 Kaspersky 專家推薦。

應⽤程式網路規則。應⽤程式網路規則將對特定應⽤程式的網路活動進⾏限制。它們不僅將網路封包的特徵
列入重要參考因素，還把接收或傳送此網路封包的應⽤程式列入重要參考因素中。

應⽤程式對作業系統資源、處理程序和個⼈資料的控制存取由“主機入侵防禦”元件透過應⽤程式權限提供。
在應⽤程式⾸次啟動期間，“防火牆”會執⾏以下操作：
1. 使⽤下載的防毒資料庫檢查應⽤程式的安全性。
2. 在卡巴斯基安全網路中檢查應⽤程式安全性。
建議您加入卡巴斯基安全網路以幫助“防火牆”元件更有效地⼯作。
3. 將應⽤程式放置在其中⼀個信任群組中：受信任，低限制，⾼限制， 不信任。
信任群組定義了在控制應⽤程式活動時 Kaspersky Endpoint Security 所引⽤的權限。Kaspersky Endpoint
Security 會將應⽤程式放置在某個信任群組中，實際取決於該應⽤程式可能對電腦造成的危險等級⽽定。
Kaspersky Endpoint Security 將應⽤程式放置在“防火牆”和“主機入侵防禦”元件的信任群組中。您不能僅變更“防火牆”或“主機入侵防禦”的信任群組。

如果您拒絕加入 KSN 或沒有網路，Kaspersky Endpoint Security 會根據“主機入侵防禦”元件的設定將應⽤
程式放置在某個信任群組中。從 KSN 收到應⽤程式的信譽後，可以⾃動變更信任群組。
4. 它是根據信任群組封鎖應⽤程式的網路活動。例如，不允許“⾼限制”信任群組中的應⽤程式使⽤任何網路連線。
下次啟動應⽤程式時，Kaspersky Endpoint Security 會檢查該應⽤程式的完整性。如果應⽤程式未變更，則該元件將對其套⽤⽬前的網路權限。如果應⽤程式已經過修改，Kaspersky Endpoint Security 會分析應⽤程式，就像
它初次開機時⼀樣。

網路規則優先順序每條規則都有優先順序。規則在清單中的位置越⾼，優先順序越⾼。如果將網路活動新增到多條規則中，“防火牆”會根據優先等級最⾼的規則來管理網路活動。
網路封包規則的優先順序比應⽤程式網路規則⾼。如果網路封包規則和應⽤程式網路規則指定了同⼀類別的網路活動，則該網路活動將根據網路封包規則進⾏處理。
應⽤程式的網路規則以特定⽅式⼯作。應⽤程式的網路規則包括基於網路狀態的存取規則：公⽤網路，本機網路,
受信任網路。例如，預設情況下，“⾼限制 ”信任群組中的應⽤程式在所有狀態的網路中均不允許進⾏任何網路活動。如果為單個應⽤程式（⽗應⽤程式）指定了網路規則，則其他應⽤程式的⼦處理程序將依據⽗應⽤程式的網
路規則執⾏。如果應⽤程式沒有網路規則，則⼦程序將根據應⽤程式信任組的網路存取規則執⾏。
797

例如，對於瀏覽器 X 以外的所有應⽤程式，您已禁⽌所有狀態的網路中的任何網路活動。如果從瀏覽器 X（⽗應⽤程式）開始安裝瀏覽器 Y（⼦處理程序），則瀏覽器 Y 安裝程式將存取網路並下載必要的檔案。安裝後，根據
防火牆設定，瀏覽器 Y 將被拒絕執⾏任何網路連線。要禁⽌作為⼦處理程序的瀏覽器 Y 安裝程式的網路活動，必須為瀏覽器 Y 的安裝程式新增網路規則。

網路連線狀態“防火牆”允許您根據網路連線的狀態來控制網路活動。Kaspersky Endpoint Security 從電腦的作業系統接收網路連線狀態。作業系統中的網路連線狀態由使⽤者在設定連線時設定。您可以在 Kaspersky Endpoint Security 設定中
變更網路連線的狀態。“防火牆”將根據 Kaspersky Endpoint Security 設定⽽不是作業系統中的網路狀態來監控網路活動。
網路連線可具有下列狀態類型：
公⽤網路網路不受防毒應⽤程式、防火牆或篩檢程式防護（例如咖啡館中的 Wi-Fi）。當使⽤者操作連接到此
類網路的電腦時，防火牆可封鎖對此電腦的檔案和印表機的存取。外部使⽤者也無法透過共⽤資料夾存取資料，以及遠端存取該電腦的桌⾯。防火牆根據為每⼀個應⽤程式設定的網路規則，篩選應⽤程式的網路活動。
防火牆預設為網際網路分配公⽤網路狀態。您無法變更網際網路的狀態。
本機網路使⽤者對此電腦上的檔案和印表機的存取受限網路（例如，公司區域網路或家⽤網路）。
受信任網路其中的電腦不會曝露於被攻擊或未經授權的資料存取嘗試的安全網路。防火牆允許在具有此狀態
的網路中進⾏任何網路活動。
防火牆元件設定

參數

描述

封包
規則

包含網路封包規則清單的表。網路封包規則將對網路封包進⾏限制，與應⽤程式無關。此類規則將限制透過特定連接埠的選定資料協定傳送和接收的網路流量。
此表格列出了由 Kaspersky 建議的預配置網路封包規則，它們能最好地為 Microsoft Windows
作業系統的電腦提供網路流量防護。
防火牆將為每條網路封包規則設定執⾏優先順序。防火牆將按照封包規則清單上的順序從上到下處理網路封包規則。防火牆將找到最適合網路連線的網路封包規則，並套⽤該規則來允許或封鎖網路活動。然後，防火牆會對特定網路連線略過所有後續網路封包規則。
網路封包規則的優先順序比應⽤程式網路規則⾼。

可⽤
網路

此表格包含防火牆在電腦上偵測到的網路連線的資訊。
預設情況下已將“公⽤網路”狀態分配給網際網路。您無法變更網際網路的狀態。

應⽤
程式
規則

應⽤程式
“防火牆”元件控制的應⽤程式清單。應⽤程式分配到信任群組中。信任群組會定義 Kaspersky
Endpoint Security 控制應⽤程式的網路活動時使⽤的權限。
您可以從受政策影響的電腦上安裝的所有應⽤程式的單⼀清單中選取應⽤程式，並將該應⽤程式新增到信任群組。
網路規則
屬於信任群組的應⽤程式網路規則清單。防火牆按照這些規則管理應⽤程式的網路活動。
798該表顯⽰ Kaspersky 專家推薦的⾃訂網路規則。這些網路規則已新增，以最佳⽅式防護執⾏
Windows 作業系統的電腦網路流量。無法刪除⾃訂網路規則。

BadUSB 攻擊防護某些病毒會修改 USB 裝置的固件以欺騙作業系統，將 USB 偽裝為鍵盤。結果，該病毒可能在您的使⽤者帳⼾下
執⾏命令以下載惡意軟體（例如）。
BadUSB 攻擊防護元件可以防⽌受感染的模擬鍵盤的 USB 裝置連線⾄電腦。
當 USB 裝置連線⾄電腦並被作業系統識別為鍵盤時，應⽤程式將提⽰使⽤者使⽤此鍵盤或螢幕鍵盤（如果可⽤）輸入應⽤程式產⽣的數位代碼。這個步驟稱為鍵盤授權。
如果正確輸入代碼，程式將在授權鍵盤清單中儲存識別參數 - 鍵盤的 VID/PID 和其所連接的連接埠號。重新啟動
作業系統後重新連線鍵盤時無需重複鍵盤授權。
經授權的鍵盤連接⾄該電腦不同 USB 連接埠時，程式將再次提⽰為該鍵盤授權。
如果錯誤輸入數位代碼，則程式將⽣成新的代碼。您可以設定輸入數位代碼的嘗試次數。如果數位代碼多次輸入
不正確，或者鍵盤授權視窗被關閉（請⾒下圖），則應⽤程式封鎖來⾃此鍵盤的輸入。當 USB 裝置封鎖時間經
過或者作業系統重新啟動後，程式將再次提⽰使⽤者重新執⾏鍵盤授權。
程式將允許使⽤經過授權的鍵盤並封鎖未經授權的鍵盤。
預設情況下，未安裝“BadUSB 攻擊防護”元件。如果需要“BadUSB 攻擊防護”元件，可以在安裝應⽤程式前在
安裝套件的內容中新增該元件，或者在安裝應⽤程式後變更可⽤的應⽤程式元件。

鍵盤授權
BadUSB 攻擊防護元件設定

參數

禁⽌使
⽤螢幕
鍵盤授

描述

如果選定此核取⽅塊，應⽤程式將封鎖使⽤螢幕鍵盤認證無法輸入認證碼的 USB 裝置。

799權 USB
裝置
USB 裝
置授權
嘗試最
⼤數量

在授權碼不正確輸入達到指定次數時⾃動封鎖 USB 裝置。有效值為 1 到 10。例如，如果您允許
嘗試輸入授權碼 5 次，則 USB 裝置會在第五次嘗試失敗後被封鎖。Kaspersky Endpoint
Security 會顯⽰ USB 裝置的封鎖時⻑。該時間經過後，您可以有 5 次嘗試輸入授權碼。

達到嘗
試的最
⼤數量
時逾時

授權碼輸入指定嘗試失敗數⽬後封鎖 USB 裝置的時⻑。有效值為 1 到 180（分鐘）。

AMSI 防護AMSI 防護元件旨在⽀援 Microsoft 的惡意軟體防護掃描介⾯。惡意軟體防護掃描介⾯ (AMSI) 允許具有 AMSI ⽀
援的協⼒廠商應⽤程式將物件（例如，PowerShell 指令碼）傳送到 Kaspersky Endpoint Security 進⾏附加掃描，
然後接收這些物件的掃描結果。例如，協⼒廠商應⽤程式可能包括 Microsoft O ice 應⽤程式（請參⾒下圖）。
有關 AMSI 的詳細資訊，請參閱 Microsoft 文件 。
AMSI 防護元件只能偵測威脅並將偵測到的威脅通知給協⼒廠商應⽤程式。在收到威脅通知後，協⼒廠商應⽤程式不允許執⾏惡意操作（例如，終⽌）。

AMSI 操作⽰範AMSI 防護元件可能會拒絕協⼒廠商應⽤程式的請求，例如，如果該應⽤程式超出了指定間隔內的最⼤請求
數。Kaspersky Endpoint Security 將有關來⾃協⼒廠商應⽤程式的被拒絕請求的資訊傳送⾄管理伺服器。
AMSI 防護元件不會拒絕來⾃對其啟⽤了與 AMSI 防護元件的持續整合的協⼒廠商應⽤程式的請求。
AMSI 防護元件可⽤於以下適⽤於⼯作站和伺服器的作業系統：
Windows 10 Home / Pro / Pro for Workstations / Education / Enterprise / Enterprise 多⼯作階段；
Windows 11 Home / Pro / Pro for Workstations / Education / Enterprise；
Windows Server 2016 Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2019 Essentials / Standard / Datacenter（包括核⼼模式）；
Windows Server 2022 Standard / Datacenter / Datacenter: Azure Edition（包括核⼼模式）。
“AMSI 防護”設定

參數

描述
800

掃描存檔

掃描 ZIP、GZIP、BZIP、RAR、TAR、ARJ、CAB、LHA、JAR、ICE 和其它存檔。應⽤程
式不僅依照副檔名⽽且依照格式掃描存檔。當檢查封存時，應⽤程式會執⾏巡迴解壓縮。
這可讓⼈偵測多層封存（封存內的封存）內的威脅。

掃描分發
套件

該核取⽅塊⽤於啟⽤/停⽤對協⼒廠商分發套件的掃描。

掃描
Microsoft
O ice 格式的檔案

掃描 Microsoft O ice 檔案（DOC，DOCX，XLS，PPT 和其他 Microsoft 副檔名）。
O ice 格式檔案也包含 OLE 物件。Kaspersky Endpoint Security 掃描⼩於 1 MB 的 o ice
格式檔案，無論該核取⽅塊是否被選中。

不解壓縮
⼤型複合
檔案

如果選中該核取⽅塊，應⽤程式不會掃描其⼤⼩超過指定值的複合檔案。
如果清除該核取⽅塊，應⽤程式將掃描所有⼤⼩的複合檔案。
應⽤程式會掃描從存檔中提取的⼤檔案，⽽不管是否選中該核取⽅塊。

弱點利⽤防禦
“弱點利⽤防禦”元件可偵測利⽤電腦弱點來利⽤管理員權限或執⾏惡意活動的程式程式碼。例如，弱點利⽤程式
可以利⽤緩衝區溢位攻擊。為此，弱點利⽤程式會向易受攻擊的應⽤程式傳送⼤量資料。處理此資料時，易受攻
擊的應⽤程式會執⾏惡意程式碼。此攻擊的結果是，弱點利⽤程式可啟動未經授權的惡意軟體安裝。當存在從易
於感染的應⽤程式執⾏可執⾏檔的嘗試，並且該嘗試並非由使⽤者執⾏時，Kaspersky Endpoint Security 將封鎖
該檔案執⾏或通知使⽤者。
弱點利⽤防禦元件設定

參數

描述

偵測到弱點時封鎖操作如果選擇此項，在偵測到弱點時，Kaspersky Endpoint Security 會封鎖此弱點的操作，並⽣成⼀條包含此弱點相關資訊的⽇誌項⽬。
通知如果選擇此項⽬，Kaspersky Endpoint Security 將在偵測到弱點時記錄包含弱點相關資訊的項⽬，並將此弱點的相關資訊新增⾄活動威脅清單。

啟⽤系統處理程序記憶體防護如果開啟此切換按鈕，Kaspersky Endpoint Security 將封鎖嘗試存取系統處理程序記憶
體的外部處理程序。

⾏為偵測“⾏為偵測”元件接收您電腦上的應⽤程式操作的資訊，並將此資訊提供給其他防護元件以提⾼效能。“⾏為偵測”元件將⾏為流簽章 (BSS) ⽤於應⽤程式。如果應⽤程式操作比對危險活動⾏為流簽章，Kaspersky Endpoint
Security 將執⾏選定的回應操作。根據危險活動⾏為流簽章的 Kaspersky Endpoint Security 功能為電腦提供主動
防禦。
⾏為偵測元件設定

參數

描述

偵測到惡意
軟體活動時
的動作

刪除檔案如果選取此選項，在偵測到惡意活動時，Kaspersky Endpoint Security 會刪除惡意
應⽤程式的可執⾏檔，同時在備份區建立該檔案的備份副本。
封鎖如果選取此選項，在偵測到惡意活動時，Kaspersky Endpoint Security 會終⽌該應⽤程式。
通知如果選取此選項並且偵測到應⽤程式的惡意活動，Kaspersky Endpoint Security 不會終
⽌該應⽤程式，但會將應⽤程式的惡意活動的相關資訊新增⾄活動威脅清單。
801啟⽤共⽤資料夾對外部
加密的防護

如果開啟該切換按鈕，Kaspersky Endpoint Security 將分析共⽤資料夾中的活動。如果該活動與外部加密的典型⾏為流簽章比對，Kaspersky Endpoint Security 將執⾏選定操作。
Kaspersky Endpoint Security 可防⽌只在具有 NTFS 檔案系統的媒體上且未被 EFS 系統
加密的檔案被外部加密。
通知如果選取此選項，在偵測到修改共⽤資料夾中的檔案的嘗試時，Kaspersky
Endpoint Security 會將修改共⽤資料夾中的檔案的嘗試的相關資訊新增到活動威脅清單中。
封鎖連線時間 N 分鐘。如果選擇了該選項，則當 Kaspersky Endpoint Security 偵測到嘗
試修改共⽤資料夾中的檔案時，它會封鎖啟動了惡意活動的⼯作階段的檔案修改存取權
限，並建立修改檔案的備份副本。
如果啟⽤了“修復引擎”元件，並且選擇“封鎖連線時間 N 分鐘”選項，被修改的檔案會被從備份副本還原。

排除項⽬

嘗試加密共⽤資料夾的電腦的清單不會受到監控。
要套⽤防⽌共⽤資料夾被外部加密的電腦排除清單，必須在 Windows 安全審核政策中
啟⽤審核登入。預設情況下，審核登入處於停⽤狀態。有關 Windows 安全審核政策的詳細資訊，請造訪 Microsoft 網站 。

主機入侵防禦
“主機入侵防禦”元件可避免應⽤程式執⾏可能給作業系統帶來危險的操作，並確保控制對作業系統資源和個⼈資料的存取。該元件借助防毒資料庫和卡巴斯基安全網路雲端服務來提供電腦防護。
該元件透過應⽤程式權限來控制應⽤程式的操作。應⽤程式權限包括以下存取參數：
對作業系統資源（例如，⾃動啟動選項、登錄機碼）的存取權限
對個⼈資料（例如檔案和應⽤程式）的存取權限
應⽤程式的網路活動由防火牆使⽤網路規則控制。
在應⽤程式⾸次啟動期間，“主機入侵防禦”元件會執⾏以下操作：
1. 使⽤下載的防毒資料庫檢查應⽤程式的安全性。
2. 在卡巴斯基安全網路中檢查應⽤程式安全性。
建議您加入卡巴斯基安全網路以幫助“主機入侵防禦”元件更有效地⼯作。

802

3. 將應⽤程式放置在其中⼀個信任群組中：受信任，低限制，⾼限制， 不信任。
信任群組定義了在控制應⽤程式活動時 Kaspersky Endpoint Security 所引⽤的權限。Kaspersky Endpoint
Security 會將應⽤程式放置在某個信任群組中，實際取決於該應⽤程式可能對電腦造成的危險等級⽽定。
Kaspersky Endpoint Security 將應⽤程式放置在“防火牆”和“主機入侵防禦”元件的信任群組中。您不能僅變更“防火牆”或“主機入侵防禦”的信任群組。

如果您拒絕加入 KSN 或沒有網路，Kaspersky Endpoint Security 會根據“主機入侵防禦”元件的設定將應⽤
程式放置在某個信任群組中。從 KSN 收到應⽤程式的信譽後，可以⾃動變更信任群組。
4. 根據信任群組封鎖應⽤程式操作。例如，“⾼限制”信任群組中的應⽤程式會被拒絕存取作業系統模組。
下次啟動應⽤程式時，Kaspersky Endpoint Security 會檢查該應⽤程式的完整性。如果應⽤程式未變更，則該元
件對其應⽤⽬前應⽤程式權限。如果應⽤程式已經過修改，Kaspersky Endpoint Security 會分析應⽤程式，就像
它初次開機時⼀樣。
主機入侵防禦元件設定

參數

應⽤程式權限描述“主機入侵防禦”元件監控的應⽤程式清單。應⽤程式分配到信任群組中。信任群
組定義了在控制應⽤程式活動時 Kaspersky Endpoint Security 所引⽤的權限。
您可以從受政策影響的電腦上安裝的所有應⽤程式的單⼀清單中選取應⽤程式，並將該應⽤程式新增到信任群組。
下表顯⽰應⽤程式的存取權限：
檔案和系統登錄檔該表包含信任群組中的應⽤程式對系統資源和個⼈資料的存取權限。
權限該表包含信任群組中的應⽤程式對作業系統處理程序和資源的存取權限。
網路規則屬於信任群組的應⽤程式網路規則清單。防火牆按照這些規則管理應
⽤程式的網路活動。該表顯⽰ Kaspersky 專家推薦的⾃訂網路規則。這些網路
規則已新增，以最佳⽅式防護執⾏ Windows 作業系統的電腦網路流量。無法刪除⾃訂網路規則。

受防護資源

該表包含分類的電腦資源。“主機入侵防禦”元件監控其他應⽤程式存取該表資源的嘗試。
資源可以是登錄類別、檔案或資料夾或登錄機碼。

Kaspersky Endpoint
Security for Windows
開始⼯作前啟動的應
⽤程式信任組

Kaspersky Endpoint Security 將在其中放置應⽤程式的信任群組，這些應⽤程式
在 Kaspersky Endpoint Security 啟動之前啟動。

從卡巴斯基安全網路
為之前未知應⽤程式
更新規則

如果選中該核取⽅塊，“主機入侵防禦”元件將透過使⽤卡巴斯基安全網路資料庫
來更新以前未知的應⽤程式的權限。

信任具有數位簽章的
應⽤程式

如果選中此核取⽅塊，“主機入侵防禦”元件會將帶有受信任供應商的數位簽章的
應⽤程式放置在“受信任”群組中。

受信任供應商是卡巴斯基信任的软体供應商。您還可以⼿動將供應商憑證新增到
受信任憑證儲存中。

803

如果清空此核取⽅塊，“主機入侵防禦”元件將不信任此類應⽤程式，並使⽤其他參數以確定它們的信任群組。
刪除超過以下時間未啟動的應⽤程式的規
則 N 天 (從1到90)

如果選中該核取⽅塊，則在滿⾜以下條件的情況下，Kaspersky Endpoint Security
會⾃動刪除有關該應⽤程式的訊息（信任群組和存取權限）：您⼿動將應⽤程式放入信任群組或配置其存取權限。
該應⽤程式在定義的時間段內未啟動。
如果應⽤程式的信任組和權限已⾃動確認，Kaspersky Endpoint Security 將在 30
天後刪除有關此應⽤程式的訊息。不能變更應⽤程式訊息的儲存期限或關閉⾃動刪除。
下次啟動該應⽤程式時，Kaspersky Endpoint Security 會像⾸次啟動該應⽤程式
⼀樣對其進⾏分析。

無法新增⾄現有群組
的應⽤程式信任群組

此下拉清單中的項⽬決定了 Kaspersky Endpoint Security 將未知應⽤程式分配到哪個信任群組。
您可以選擇以下項⽬之⼀：
低限制
⾼限制
不信任

修復引擎
修復引擎允許 Kaspersky Endpoint Security 復原惡意軟體在作業系統中執⾏的操作。
回溯作業系統中的惡意軟體活動時，Kaspersky Endpoint Security 將處理以下類型的惡意軟體活動：
檔案活動
Kaspersky Endpoint Security 執⾏以下操作：
移除惡意軟體（在除網路磁碟外的所有介質上）建立的可執⾏檔。
移除已被惡意軟體入侵的程式所建立的可執⾏檔。
還原被惡意軟體修改或刪除的檔案。
檔案還原功能有⼀些限制。
登錄檔活動Kaspersky Endpoint Security 執⾏以下操作：刪除由惡意軟體建立的登錄機碼。
不會還原被惡意軟體修改或刪除的登錄機碼。
系統活動
804

Kaspersky Endpoint Security 執⾏以下操作：
終⽌由惡意軟體啟動的處理程序。
終⽌被惡意應⽤程式滲透的處理程序。
不會還原被惡意程式掛起的處理程序。
網路活動
Kaspersky Endpoint Security 執⾏以下操作：
封鎖惡意軟體的網路活動。
封鎖被惡意軟體入侵的處理程序的網路活動。
“檔案威脅防護”或“⾏為偵測”元件或在惡意軟體掃描過程中可以啟動惡意軟體操作回溯。
回溯惡意程式操作的過程將會影響⼀組嚴格限定的資料。回溯對於作業系統或您的電腦中資料的完整性不會產⽣
負⾯影響。

卡巴斯基安全網路
為了更有效地防護您的電腦，Kaspersky Endpoint Security 使⽤從全球使⽤者處接收的資料。卡巴斯基安全網路
旨在獲取此資料。

卡巴斯基安全網路（KSN）是雲端服務的基礎結構，可提供對線上卡巴斯基知識庫的存取，該知識庫包含有關檔

案、網⾴資源和軟體信譽的資訊。使⽤卡巴斯基安全網路的資料可確保 Kaspersky Endpoint Security 能夠更快地
對新型威脅作出回應，提⾼⼀些防護元件的效能，並減少誤報風險。如果您正在參與卡巴斯基安全網路，KSN 服
務將為 Kaspersky Endpoint Security 提供有關所掃描檔案的類別和信譽的資訊，以及有關所掃描網址的信譽的資
訊。
卡巴斯基安全網路的使⽤是⾃願的。應⽤程式將在初始化設定期間提⽰您使⽤ KSN。使⽤者可以隨時開始或停⽌加入 KSN。
有關在參與 KSN 期間⽣成的 Kaspersky 統計資訊的傳送詳情，以及有關此類資訊的儲存和銷毀，請參閱卡巴斯基
安全網路聲明和 Kaspersky 網站 。含有卡巴斯基安全網路聲明文字的 ksn_<語⾔ ID>.txt 檔案包括在應⽤程式分
發套件中。

卡巴斯基信譽資料庫的基礎結構
Kaspersky Endpoint Security ⽀援以下⽤於使⽤ Kaspersky 信譽資料庫的基礎結構解決⽅案：

卡巴斯基安全網路 (KSN) 是⼤多數 Kaspersky 應⽤程式使⽤的解決⽅案。KSN 參與者從卡巴斯基接收資訊，並向 Kaspersky 傳送使⽤者電腦上偵測到的物件的資訊，以便 Kaspersky 分析⼈員進⾏額外分析，並包括在信譽
和統計資料庫中。

卡巴斯基私⼈安全網路 (KPSN) 是讓承載 Kaspersky Endpoint Security 或其他 Kaspersky 應⽤程式的電腦的使
⽤者獲得卡巴斯基信譽資料庫以及其他統計資料的存取權限的解決⽅案，無需從他們⾃⼰的電腦向卡巴斯基
傳送資料。KPSN 專為因以下任⼀原因無法參與卡巴斯基安全網路的公司客⼾所設計：本機⼯作站未連線網際網路。
805

法律禁⽌或公司安全政策限制將任何資料傳輸到國家/地區外部或公司 LAN 外部。
預設情況下，卡巴斯基安全管理中⼼使⽤ KSN。您可以在管理主控台 (MMC)、卡巴斯基安全管理中⼼網⾴主控台和 命令列中設定 KPSN 的使⽤。無法在卡巴斯基安全管理中⼼雲端主控台中設定 KPSN 的使⽤。
有關 KPSN 的詳細資訊，請參閱卡巴斯基私有安全網路的文件。
卡巴斯基安全網路設定

參數

描述

啟⽤延伸
KSN 模式

延伸 KSN 模式是 Kaspersky Endpoint Security 向 Kaspersky 傳送附加資料的⼀種模式。無論

啟⽤雲端
模式

雲端模式 是指 Kaspersky Endpoint Security 使⽤輕量級版本的病毒資料庫的應⽤程式執⾏模

切換位置如何，Kaspersky Endpoint Security 皆使⽤ KSN 偵測威脅。

式。當使⽤輕量級病毒資料庫時，卡巴斯基安全網路⽀援應⽤程式執⾏。與通常的資料庫相比，輕量級版本的病毒資料庫僅需要⼤約⼀半的電腦 RAM。如果您未參與卡巴斯基安全網路
或已停⽤雲端模式，Kaspersky Endpoint Security 會從 Kaspersky 伺服器下載完整版本的病
毒資料庫。
如果開啟該切換按鈕，Kaspersky Endpoint Security 將使⽤病毒資料庫的輕量級版本，這可以減少作業系統資源上的負載。
選中該核取⽅塊後，Kaspersky Endpoint Security 在下次更新期間下載病毒資料庫的輕
量級版本。
如果關閉該切換按鈕，Kaspersky Endpoint Security 將使⽤病毒資料庫的完全版本。
清除該核取⽅塊後，Kaspersky Endpoint Security 在下次更新期間下載病毒資料庫的完
全版本。

KSN 伺服器不可⽤時電腦狀
態

此下拉清單中的項可確定當 KSN 伺服器不可⽤時，電腦在卡巴斯基安全管理中⼼中的狀態。

（僅在卡
巴斯基安
全管理中
⼼主控台
中可⽤）
使⽤管理
伺服器為
KSN 代理伺服器

如果選中該核取⽅塊，Kaspersky Endpoint Security 將使⽤ KSN 代理服務。您可以在管理伺服器內容中配置 KSN 代理服務設定。

（僅在卡
巴斯基安
全管理中
⼼主控台
中可⽤）
當 KSN 代
理伺服器
不可⽤時
使⽤卡巴

如果選中該核取⽅塊，當 KSN 代理服務不可⽤時，Kaspersky Endpoint Security 將使⽤ KSN
伺服器。KSN 伺服器可以位於 Kaspersky 側，也可以位於協⼒廠商⼀側的伺服器（使⽤卡巴
斯基私有安全網路時）。
806

斯基安全
網路伺服
器

（僅在卡
巴斯基安
全管理中
⼼主控台
中可⽤）

記錄檢查
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件不可⽤。
從 11.11.0 版本開始，Kaspersky Endpoint Security for Windows 包括記錄檢查元件。記錄檢查會基於 Windows 事件
記錄分析監控受防護環境的完整性。如果應⽤程式在系統中偵測到有非典型⾏為的跡象，它會通知管理員，因為
該⾏為可能表明有⼈嘗試網路攻擊。
Kaspersky Endpoint Security 根據規則分析 Windows 事件記錄和偵測違規。元件包括預定義規則。預定義規則由啟發式分析提供⽀援。您也可以新增您⾃⼰的規則（⾃訂規則）。當規則觸發時，應⽤程式會建立⼀個狀態為“緊急”的事件（請⾒下圖）。
如果您想要使⽤記錄檢查，請確保安全稽核政策已配置且系統正在記錄相關事件（詳情請⾒ Microsoft 技術
⽀援網站 ）。

記錄檢查通知記錄檢查設定

參數

描述

預定義
規則

記錄檢查規則清單。預定義規則包括受防護電腦上異常活動的範本。異常活動可能表明有⼈嘗試
攻擊。

⾃訂規
則

使⽤者新增的記錄檢查規則清單。您可以設定⾃⼰的記錄檢查規則觸發條件。為此，您必須輸入
⼀個事件 ID 並選擇⼀個事件來源。
您可以從標準記錄中選擇⼀個事件來源：Application，Security或System。您也可以指定協⼒廠
商應⽤程式的記錄。

Web 控制807

“Web 控制”管理使⽤者對 Web 資源的存取。這有助於減少流量和⼯作時間的不當使⽤。當使⽤者嘗試開啟受“Web 控制”限制的網站時，Kaspersky Endpoint Security 將封鎖存取或顯⽰警告（請參⾒下圖）。
Kaspersky Endpoint Security 僅監控 HTTP 和 HTTPS 流量。
對於 HTTPS 流量監控，需要啟⽤加密連線掃描。

管理對網站的存取的⽅法“Web 控制”允許您使⽤以下⽅法配置對網站的存取：網站類別。網站按照卡巴斯基安全網路雲端服務、啟發式分析和已知網站資料庫（包含在應⽤程式資料庫
中）進⾏分類。例如，您可以限制使⽤者存取“社群網路”類別或“其它類別 ”。
資料類型。例如，您可以限制使⽤者存取網站上的資料，並隱藏圖形影像。Kaspersky Endpoint Security 根據
檔案格式確定資料類型，⽽不是基於其副檔名。
Kaspersky Endpoint Security 不掃描壓縮檔案內的檔案。例如，如果影像檔案放在壓縮檔案中，
Kaspersky Endpoint Security 會辨識“存檔 ”資料類型⽽不是“圖形”。
單個位址。您可以輸入網址或使⽤遮罩。
可以同時使⽤多種⽅法來管理對網站的存取。例如，可以僅針對“網⾴式電⼦郵件”網站類別限制對“O ice 檔案”資料類型的存取。

網站存取規則“Web 控制”透過使⽤存取規則管理使⽤者對網站的存取。您可以為網站存取規則配置以下進階設定：
規則適⽤的使⽤者。
例如，您可以限制公司內除 IT 部⾨以外的所有使⽤者透過瀏覽器存取網際網路。
規則排程。
例如，您可以限制只能在⼯作時間透過瀏覽器存取網際網路。

存取規則優先順序每條規則都有優先順序。規則在清單中的位置越⾼，優先順序越⾼。如果某個網站已新增到多條規則，“Web 控制”會基於優先順序最⾼的規則來管理對該網站的存取。例如，Kaspersky Endpoint Security 可能將公司入⼝辨識
為社群網路。要限制對社群網路的存取並提供對公司 Web 入⼝的存取權限，請建立兩條規則：⼀條針對“社群網路”網站類別的封鎖規則和⼀條針對公司 Web 入⼝網站的允許規則。公司 Web 入⼝存取規則的優先順序必須⾼於社群網路存取規則的優先順序。

808

“Web 控制”訊息Web 控制元件設定

參數

描述
809

網路
資源
存取
規則

包含 Web 資源存取規則的清單。每條規則都有優先順序。規則在清單中的位置越⾼，優先順序越⾼。如果某個網站已新增到多條規則，“Web 控制”會基於優先順序最⾼的規則來管理對該網站的存
取。

預設
規則

預設規則是對不被任何其他規則覆蓋的 Web 資源的存取規則。下列選項可⽤：允許除規則清單外的所有內容，也稱為禁⽌網站的拒絕清單模式。
拒絕除規則清單外的所有內容，也稱為允許網站的允許清單模式。

範本

警告該項⽬欄位包含⼀個訊息範本，嘗試存取不需要的網⾴資源觸發警告訊息規則時就會顯⽰警告訊息。
有關封鎖的訊息該項⽬欄位包含某個封鎖存取網⾴資源的規則被觸發時要顯⽰的訊息的範本。
傳送郵件給管理員如果使⽤者認為封鎖是錯誤時要傳送給區域網路管理員的訊息範本。在使⽤者請
求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中⼼傳送⼀個事件：傳送給管理員的網⾴存取封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可
以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視這些事件。如果您的組織沒有部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤程式將向管理員傳送⼀條訊
息到指定的電⼦郵件信箱。

記錄
允許
⾴⾯
的開
啟

Kaspersky Endpoint Security 會記錄對所有網站（包括允許的網站）的存取資料。Kaspersky
Endpoint Security 將事件傳送到卡巴斯基安全管理中⼼、Kaspersky Endpoint Security 本機記錄和
Windows 事件記錄。要監控使⽤者網際網路活動，您需要配置⽤於儲存事件的設定。
⽀援監控功能的瀏覽器：Microsoft Edge，Microsoft Internet Explorer，Google Chrome，
Yandex Browser，Mozilla Firefox。使⽤者活動監控在其他瀏覽器中不⼯作。

在解密 HTTPS 流量時，監控使⽤者網際網路活動可能需要更多電腦資源。

裝置控制“裝置控制”管理使⽤者對安裝在電腦上或連線到電腦的裝置（例如，硬碟磁碟機、相機或 Wi-Fi 模組）的存取。
這樣可以在連線此類裝置時防護電腦免受感染，並防⽌遺失或洩漏資料。

裝置存取等級“裝置控制”控制以下等級的存取權限：裝置類型。例如，印表機、卸除式磁碟機和 CD/DVD 磁碟機。
您可以按如下⽅式配置裝置存取權限：
允許 – 。
封鎖 – 。
按規則（僅限印表機和攜帶式裝置） – 。

810

取決於連線匯流排（Wi-Fi 除外） – 。
封鎖但帶有例外（僅限 Wi-Fi） – 。
連線匯流排。連線匯流排是⽤於將裝置連線⾄電腦的介⾯（範例 USB 或 FireWire）。因此，您可以限制所有
裝置的連線（例如，透過 USB）。
您可以按如下⽅式配置裝置存取權限：
允許 – 。
封鎖 – 。
受信任裝置。信任的裝置是指在信任裝置設定中指定的使⽤者可隨時進⾏完全存取的裝置。
您可以根據以下資料新增受信任裝置：
透過裝置 ID每個裝置都有⼀個唯⼀識別碼（硬體 ID 或 HWID）。您可以使⽤作業系統⼯具在裝置內容中檢視 ID。裝置 ID 範例：SCSI\CDROM&VEN_NECVMWAR&PROD_VMWARE_SATA_CD00\5&354AE4D7&0&000000。
如果要新增多個特定裝置，則按 ID 新增裝置很⽅便。
透過裝置型號每個裝置都有⼀個供應商 ID (VID) 和⼀個產品 ID (PID)。您可以使⽤作業系統⼯具在裝置內容中檢視 ID。⽤於輸入 VID 和 PID 的範本：VID_1234&PID_5678。如果在組織中使⽤特定型號的裝置，則按型號新增裝置很⽅便。這樣，您可以新增該型號的所有裝置。
透過裝置 ID 遮罩如果您使⽤具有相似 ID 的多個裝置，則可以使⽤遮罩將裝置新增到受信任清單。* 字元
可替換任意⼀組字元。輸入遮罩時，Kaspersky Endpoint Security 不⽀援 ? 字元。例如，WDC_C*。
依型號遮罩列出的裝置如果您使⽤具有相似 VID 或 PID 的多個裝置（例如，同⼀製造商的裝置），則可以
使⽤遮罩將裝置新增到受信任清單。* 字元可替換任意⼀組字元。輸入遮罩時，Kaspersky Endpoint
Security 不⽀援 ? 字元。例如，VID_05AC & PID_ *。
“裝置控制”透過使⽤存取規則來管理使⽤者對裝置的存取。“裝置控制”還允許您儲存裝置連線/斷開連線事件。要儲存事件，您需要在政策中配置事件註冊。
如果對裝置的存取權限取決於連線介⾯（ 狀態），Kaspersky Endpoint Security 不會儲存裝置連線/斷開連
線事件。要使 Kaspersky Endpoint Security 儲存裝置連線/斷開連線事件，請允許存取相應的裝置類型（ 狀態）或將裝置新增到信任清單。
當被“裝置控制”封鎖的裝置連線到電腦時，Kaspersky Endpoint Security 將封鎖存取並顯⽰通知（請參⾒下圖）。

“裝置控制”通知

裝置控制執⾏演算法
811

Kaspersky Endpoint Security 在使⽤者將裝置連接到電腦之後做出是否允許存取該裝置的決定（請參⾒下圖）。

裝置控制執⾏演算法

如果已連線裝置並允許存取，您可以編輯存取規則並封鎖存取。在這種情況下，下次有⼈嘗試存取該裝置（例如檢視資料夾樹或執⾏讀取或寫入操作）時，Kaspersky Endpoint Security 會封鎖存取。沒有檔案系統的裝置僅在該裝置下⼀次連接時被封鎖。
如果已安裝有 Kaspersky Endpoint Security 的電腦上的使⽤者需要請求被錯誤封鎖的裝置的存取權限，則向該使
⽤者傳送請求存取說明。
裝置控制元件設定

參數

描述

允許
臨時
存取
請求

如果選中此⽅塊，“請求存取”按鈕將在 Kaspersky Endpoint Security 的本機介⾯中可⽤。使⽤者可以使⽤該按鈕來請求臨時存取被封鎖的裝置。

812

（僅
在卡
巴斯
基安
全管
理中
⼼主
控台
中可
⽤）
裝置
和
WiFi 網路

該表包含根據裝置控制元件的分類所有可能的裝置類型，包括這些裝置類型各⾃的存取狀態。

連接
介⾯

符合“裝置控制”元件分類的所有可⽤連線匯流排的清單，包括這些連線匯流排各⾃的存取狀態。

受信
任裝
置

被授權存取這些裝置的受信任裝置和使⽤者的清單。

橋接防護

橋接防護透過封鎖為⼀台電腦同時建立多個網路連線來禁⽌建立橋接器。這樣可以防護公司網路避
免未受防護和未經授權的網路上的攻擊。
橋接防護根據裝置的優先順序封鎖建立多個連線。裝置在清單中的位置越⾼，優先順序越⾼。
如果活動連線和新連線屬於同⼀類型（例如 Wi-Fi），則 Kaspersky Endpoint Security 會封鎖活動
連線並允許建立新連線。
如果活動連線和新連線屬於不同類型（例如，網路介⾯卡和 Wi-Fi），則 Kaspersky Endpoint
Security 會封鎖具有較低優先順序的連線，允許具有較⾼優先順序的連線。
橋接防護⽀援以下類型的裝置的操作：網路介⾯卡、Wi-Fi 和數據機。

訊息
範本

有關封鎖的訊息當使⽤者嘗試存取封鎖的裝置時所顯⽰的訊息的範本。當使⽤者嘗試對被封鎖使⽤
的裝置內容執⾏操作時，也會顯⽰此訊息。
傳送郵件給管理員當使⽤者確信裝置的存取權限或裝置內容操作被錯誤地禁⽌時，傳送給 LAN 管
理員的訊息的範本。在使⽤者請求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安
全管理中⼼傳送⼀個事件：傳送給管理員的裝置存取封鎖訊息。事件描述包含⼀條給管理員的訊
息，其中包含被替換的變數。您可以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center
控制台中檢視這些事件。如果您的組織沒有部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤程式將向管理員傳送⼀條訊息到指定的電⼦郵件信箱。

應⽤程式控制“應⽤程式控制”管理使⽤者電腦上的應⽤程式啟動。這允許您在使⽤應⽤程式時實⾏公司安全政策。“應⽤程式控制”還透過限制對應⽤程式的存取來降低電腦感染的風險。
設定“應⽤程式控制”包括以下步驟：
1. 建立應⽤程式類別。
管理員建立管理員想要管理的應⽤程式類別。應⽤程式類別適⽤於公司網路中的所有電腦，與管理群組無關。要建立類別，可以使⽤以下條件：KL 類別（例如，瀏覽器）、檔案雜湊、應⽤程式供應商和其他條件。
2. 建立應⽤程式控制規則。
813

管理員在管理群組的政策中建立應⽤程式控制規則。該規則包括應⽤程式類別和這些類別中的應⽤程式啟動
狀態：已封鎖或已允許。
3. 選取應⽤程式控制模式。
管理員選取對未包含在以下任何規則中之應⽤程式的處理模式（應⽤程式拒絕清單和允許清單）。
當使⽤者嘗試啟動已禁⽌的應⽤程式時，Kaspersky Endpoint Security 將封鎖該應⽤程式啟動並顯⽰通知（請參⾒下圖）。
系統提供了⼀種測試模式來檢查“應⽤程式控制”的設定。在此模式下，Kaspersky Endpoint Security 會執⾏以下操作：
允許啟動應⽤程式，包括已禁⽌的應⽤程式。
顯⽰有關已禁⽌之應⽤程式啟動的通知，並將資訊新增到使⽤者電腦上的報告中。
將有關已禁⽌之應⽤程式啟動的資料傳送到卡巴斯基安全管理中⼼。

“應⽤程式控制”通知“應⽤程式控制”執⾏模式“應⽤程式控制”元件可在兩種模式下執⾏：拒絕清單在此模式下，“應⽤程式控制”允許使⽤者啟動除了應⽤程式控制規則中禁⽌的應⽤程式以外的所有應⽤程式。
預設情況下，會啟⽤“應⽤程式控制”此⼀模式。
允許清單在此模式下，“應⽤程式控制”會封鎖使⽤者啟動除了應⽤程式控制規則中允許和未禁⽌的應⽤程式以外的所有應⽤程式。
如果完整設定了“應⽤程式控制”的允許規則，則該元件將封鎖啟動所有未經區域網路管理員驗證的新應⽤程式，同時允許執⾏使⽤者在⼯作中依賴的作業系統和受信任應⽤程式。
您可以閱讀有關在允許清單模式下設定應⽤程式控制規則的建議。
可以使⽤ Kaspersky Endpoint Security 本機介⾯和卡巴斯基安全管理中⼼將“應⽤程式控制”設定為在這些模式下執⾏。
但是，卡巴斯基安全管理中⼼提供了在 Kaspersky Endpoint Security 本機介⾯中不可使⽤的⼯具，例如以下⼯作
所需的⼯具：
建立應⽤程式類別。
814

在卡巴斯基安全管理中⼼管理主控台中建的應⽤程式控制規則，以您的⾃訂的應⽤程式類別為主，⽽不是以
像 Kaspersky Endpoint Security 本機介⾯中的包含和排除條件為主。
接收有關安裝在公司區域網路電腦上的應⽤程式資訊。
因此，建議使⽤卡巴斯基安全管理中⼼設定“應⽤程式控制”元件的執⾏。

“應⽤程式控制”執⾏演算法
Kaspersky Endpoint Security 使⽤算法來決定是否啟動應⽤程式（請參⾒下圖）。

“應⽤程式控制”執⾏演算法
應⽤程式控制元件設定

參數

啟動
被規
則封
鎖的
應⽤
程式
時的
動作

描述

套⽤規則Kaspersky Endpoint Security 會根據選定模式管理應⽤程式的啟動。
測試規則Kaspersky Endpoint Security 允許啟動在⽬前應⽤程式控制模式中封鎖的應⽤程式，但是在報告中記錄其啟動資訊。

815

應⽤
程式
啟動
控制
模式

您可以選取以下選項之⼀：
拒絕清單如果選擇此選項，應⽤程式控制將允許所有使⽤者啟動所有應⽤程式，符合應⽤程式
控制封鎖規則的應⽤程式除外。
允許清單如果選擇此選項，應⽤程式控制將封鎖所有使⽤者啟動任何應⽤程式，符合應⽤程式
控制允許規則的應⽤程式除外。
選取允許清單模式後，會⾃動建立兩個應⽤程式控制規則：
黃⾦映像
信任的更新程式您不能編輯⾃動建立的規則的設定，也不能刪除這些規則。您可以啟⽤或停⽤這些規則。

控制
DLL
模組
負載

如果選定此核取⽅塊，Kaspersky Endpoint Security 將在使⽤者啟動應⽤程式時控制 DLL 模組的載入。有關 DLL 模組和載入此 DLL 模組的應⽤程式的資訊將記錄在此報告中。
當啟⽤對載入 DLL 模組和驅動程式的控制時，請確保在“應⽤程式控制”設定中已啟⽤以下規則
之⼀：預設黃⾦映像規則或其他包含受信任憑證 KL 類別的規則，並確保在啟動 Kaspersky
Endpoint Security 之前載入受信任的 DLL 模組和驅動程式。如果在停⽤“黃⾦映像”規則時啟⽤
對載入 DLL 模組和驅動程式的控制，可能導致作業系統不穩定。
Kaspersky Endpoint Security 僅監控⾃選中核取⽅塊後載入的 DLL 模組和驅動程式。選中核取⽅塊後，建議重新啟動電腦以確保應⽤程式監控所有 DLL 模組和驅動，包括在啟動 Kaspersky Endpoint
Security 之前加載的模組和驅動。

有關
應⽤
程式
封鎖
的訊
息範
本

有關封鎖的訊息當觸發了某個封鎖應⽤程式啟動的應⽤程式控制規則時所顯⽰的訊息範本。
傳送郵件給管理員當使⽤者相信某個應⽤程式被錯誤地封鎖時，可以傳送給公司區域網路管理員的訊息模組。在使⽤者請求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中
⼼傳送⼀個事件：傳送給管理員的應⽤程式啟動封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視這些事件。如果您的組織沒有部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤
程式將向管理員傳送⼀條訊息到指定的電⼦郵件信箱。

適應性異常控制
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。
⾃適應異常控制元件會監視並封鎖不是公司網路內電腦典型操作的相關操作。⾃適應異常控制使⽤⼀組規則來偵
錯非典型⾏為（例如，從 O ice 應⽤程式啟動 Microsoft PowerShell 規則）。規則由 Kaspersky 專家根據惡意活
動的典型情景建立。您可以配置“⾃適應異常控制”處理每條規則的⽅式，例如，允許執⾏使某些⼯作流⼯作⾃動化的 PowerShell 指令碼。Kaspersky Endpoint Security 會同時更新規則集和應⽤程式資料庫。規則集的更新必須
⼿動確認。

“⾃適應異常控制”設定
816

配置“⾃適應異常控制”包括以下步驟：1. 訓練“⾃適應異常控制”。
啟⽤“⾃適應異常控制”後，其規則在訓練模式下⼯作。在訓練期間，“⾃適應異常控制”監控規則觸發並將觸發事件傳送到卡巴斯基安全管理中⼼。每條規則都有⾃⼰的訓練模式持續時間。訓練模式持續時間由 Kaspersky專家設定。通常，訓練模式保持活動兩周。
如果在訓練期間某條規則完全未觸發，“⾃適應異常控制”會將與此規則關聯的操作視為非典型操作。
Kaspersky Endpoint Security 將封鎖與該規則相關的所有操作。
如果在訓練期間觸發了某條規則，Kaspersky Endpoint Security 會將事件記錄在規則觸發報告和“智慧培訓狀
態中的規則觸發”儲存區中。
2. 分析規則觸發報告。
管理員分析規則觸發報告或者“智慧培訓狀態中的規則觸發”儲存區的內容。然後管理員可以選取在觸發規則時“⾃適應異常控制”的⾏為：封鎖或允許。管理員還可以繼續監控規則的⼯作⽅式並延⻑訓練模式的持續時間。
如果管理員未採取任何操作，應⽤程式也將繼續在訓練模式下⼯作。訓練模式期限重新開始。
“⾃適應異常控制”為即時配置。“⾃適應異常控制”透過以下通道配置：“⾃適應異常控制”⾃動開始封鎖與從未在訓練模式中觸發的規則相關聯的操作。
Kaspersky Endpoint Security 新增新規則或刪除過時規則。
管理員在檢視規則觸發報告和“智慧培訓狀態中的規則觸發”儲存區的內容後配置“⾃適應異常控制”的操作。建議檢查規則觸發報告和“智慧培訓狀態中的規則觸發”儲存區的內容。
當惡意應⽤程式嘗試執⾏操作時，Kaspersky Endpoint Security 將封鎖該操作並顯⽰通知（請參⾒下圖）。

“⾃適應異常控制”通知“⾃適應異常控制”操作演算法
Kaspersky Endpoint Security 根據以下演算法決定是允許還是封鎖與某條規則關聯的操作（請參⾒下圖）。

817

“⾃適應異常控制”操作演算法
⾃適應異常控制元件設定

參數

描述

⾃適
應異
常控
制規
則狀
態報
告

該報告包含有關⾃適應異常控制偵測規則狀態的資訊（例如，已停⽤或封鎖）。該報告針對所有管理群組⽣成。

（僅
在卡
巴斯
基安
全管
理中
⼼主
控台
中可
⽤）
⾃適
應異
常控
制規
則觸

該報告包含使⽤“⾃適應異常控制”偵測到的非典型操作的相關資訊。該報告針對所有管理群組⽣
成。

818

發報
告

（僅
在卡
巴斯
基安
全管
理中
⼼主
控台
中可
⽤）
規則

⾃適應異常控制規則表。規則由 Kaspersky 專家根據疑似惡意活動的典型情景建立。

範本

有關封鎖的訊息當封鎖非典型操作的⾃適應異常控制規則觸發時，顯⽰給使⽤者的訊息的範本。
傳送郵件給管理員當使⽤者認為封鎖是錯誤的時可以傳送給本機公司網路系統管理員的訊息的範本。在使⽤者請求提供存取權限後，Kaspersky Endpoint Security 會向卡巴斯基安全管理中⼼傳送
⼀個事件：傳送給管理員的應⽤程式活動封鎖訊息。事件描述包含⼀條給管理員的訊息，其中包含被替換的變數。您可以使⽤預定義事件選擇使⽤者請求在 Kaspersky Security Center 控制台中檢視
這些事件。如果您的組織沒有部署卡巴斯基安全管理中⼼或者沒有連線到管理伺服器，應⽤程式將
向管理員傳送⼀條訊息到指定的電⼦郵件信箱。

檔案完整性監控
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件不可⽤。

檔案完整性監控僅在具有 NTFS 或 ReFS 檔案系統的伺服器上⼯作。
從 11.11.0 版本開始，Kaspersky Endpoint Security for Windows 包括檔案完整性監控元件。檔案完整性監控會偵測
給定監控區域中的物件（檔案和資料夾）變更。這些變更可能表明有電腦安全入侵。當偵測到物件變更時，應⽤程式會通知管理員。
若要使⽤檔案完整性監控，您需要配置元件的範圍，即選擇物件，它的狀態應該受到元件的監控。
您可以在卡巴斯基安全管理中⼼和 Kaspersky Endpoint Security for Windows 介⾯中檢視有關檔案完整性監控操
作結果的資訊。
檔案完整性監控元件設定

參數

描述

事件
嚴重
性級
別

只要監控範圍中的檔案被修改，Kaspersky Endpoint Security 就會記錄檔案修改事件。以下事件嚴
重程度級別可⽤：資訊，警告，緊急。

監控範圍

檔案完整性監控監控的檔案和資料夾清單。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量
以及*和?字元。例如，C:\Folder\Application\。

排除
項⽬來⾃監控範圍的排除項⽬清單。Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?
字元。例如，C:\Folder\Application\*.log。排除項⽬比監控範圍項⽬具有更⾼的優先順
序。
819

端點感應器
Kaspersky Endpoint Security 11.4.0 不包含端點感應器。

您可以在卡巴斯基安全管理中⼼網⾴主控台和卡巴斯基安全管理中⼼管理主控台中管理端點感應器。無法在卡巴斯基安全管理中⼼雲端主控台中管理端點感應器。

端點感應器設計⽤於與 Kaspersky Anti Targeted Attack Platform 進⾏互動。Kaspersky Anti Targeted Attack

Platform 是旨在及時偵測複雜威脅（如針對性攻擊、進階持久性威脅 (APT)、零⽇攻擊等）的解決⽅案。
Kaspersky Anti Targeted Attack Platform 包括兩個功能組：Kaspersky Anti Targeted Attack（以下也稱為”
KATA”）和 Kaspersky Endpoint Detection and Response（以下也稱為”EDR (KATA)”）。您可以單獨購買 EDR(KATA)。有關解決⽅案的詳細資訊，請參閱 Kaspersky Anti Targeted Attack Platform 說明 。
管理端點感應器具有以下限制：
如果電腦上已安裝 Kaspersky Endpoint Security 版本11.0.0 ⾄11.3.0，則可以使⽤政策設定端點感應器設定。有關使⽤政策設定端點感應器設定的更多資訊，請參閱適⽤於 Kaspersky Endpoint Security 早期版本的說明文章 。
如果電腦上已安裝 Kaspersky Endpoint Security 版本11.4.0 及更⾼版本，則無法在政策中設定端點感應器設定。
“端點感應器”安裝在⽤⼾端電腦上。在這些電腦上，該元件將持續監控處理程序、活動網路連線和被修改的檔案。端點感應器將資訊中繼給 KATA 伺服器。
此元件的功能在以下作業系統下可⽤：
Windows 7 Service Pack 1 Home / Professional / Enterprise；
Windows 8.1.1 Professional / Enterprise；
Windows 10 RS3 Home / Professional / Education / Enterprise;
Windows 10 RS4 Home / Professional / Education / Enterprise;
Windows 10 RS5 Home / Professional / Education / Enterprise;
Windows 10 RS6 Home / Professional / Education / Enterprise;
Windows Server 2008 R2 Foundation / Standard / Enterprise（64 位元）；
Windows Server 2012 Foundation / Standard / Enterprise（64 位元）；
Windows Server 2012 R2 Foundation / Standard / Enterprise（64 位元）；
Windows Server 2016 Essentials / Standard（64 位元）。
有關 KATA 操作的詳細資訊，請參閱 Kaspersky Anti Targeted Attack Platform 說明 。

820

Kaspersky Sandbox
從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包含⼀個⽤於與 Kaspersky Sandbox 解決⽅案整合的內建代理。Kaspersky Sandbox 解決⽅案可偵測和⾃動封鎖電腦上的進階威脅。Kaspersky Sandbox 會分析物件⾏為以偵測惡意⾏動和組織的 IT 基礎架構上的針對性攻擊所特有的活動。Kaspersky Sandbox 會分析和掃描部
署了 Microsoft Windows 作業系統的虛擬影像的特殊伺服器（Kaspersky Sandbox 伺服器）上的物件。有關解決⽅案的詳情，請參閱 Kaspersky Sandbox 說明 。
該元件只可以使⽤卡巴斯基安全管理中⼼網⾴主控台進⾏管理。您不能使⽤管理主控台 (MMC) 管理此元件。
Kaspersky Sandbox 元件設定

參數

描述

伺服器
TLS 憑證

若要配置與 Kaspersky Sandbox 伺服器的受信任連線，您必須 TLS 憑證。接下來您必須將憑證新增⾄ Kaspersky Sandbox 伺服器和 Kaspersky Endpoint Security 政策。有關準備憑證和
將憑證新增⾄伺服器的詳情，請參⾒ Kaspersky Sandbox 說明 。

逾時Kaspersky Sandbox 伺服器連線逾時。配置的逾時經過後，Kaspersky Endpoint Security 會傳
送請求給下⼀個伺服器。如果您的連線速度慢或者連線不穩定，您可以增加 Kaspersky
Sandbox 的連線逾時。建議的請求逾時為 0.5 秒鐘或更短。

Kaspersky
Sandbox
請求佇列

請求佇列資料夾⼤⼩當在電腦上存取物件時（啟動可執⾏檔或者開啟文件，例如以 DOCX 或者 PDF 格式），Kaspersky Endpoint Security 也可以傳送物件供 Kaspersky Sandbox 掃描。
如果有多個請求，Kaspersky Endpoint Security 會建立⼀個請求佇列。預設情況下，請求佇列資料夾⼤⼩限制為 100 MB。在達到最⼤的⼤⼩後，Kaspersky Sandbox 會停⽌向佇列新增請
求並將相應事件傳送到卡巴斯基安全管理中⼼。您可以根據伺服器配置來設定請求佇列資料
夾⼤⼩。

Kaspersky
Sandbox
伺服器

Kaspersky Sandbox 伺服器連線設定。伺服器使⽤部署的 Microsoft Windows 作業系統的虛擬
影像來執⾏需要掃描的物件。您可以輸入⼀個 IP 位址（IPv4 或者 IPv6）或者完全限定網域名
稱。

偵測到威
脅後的動
作

將副本移動到隔離區，刪除物件如果選擇該選項，Kaspersky Endpoint Security 會刪除在電腦
上發現的惡意物件。在刪除物件之前，Kaspersky Endpoint Security 會建立備份副本以防物件
以後需要還原。Kaspersky Endpoint Security 會將備份副本移動到隔離。
對關鍵區域執⾏掃描如果選擇該選項，Kaspersky Endpoint Security 將執⾏“關鍵區域掃描⼯作”。預設情況下，Kaspersky Endpoint Security 會掃描內核記憶體、執⾏處理序和磁碟的開啟磁區。
建立 IOC 掃描⼯作如果選擇該選項，Kaspersky Endpoint Security 會⾃動建立 IOC 掃描⼯作
（IOC ⾃動掃描⼯作）。對於此⼯作，您可以配置執⾏模式、掃描範圍和偵測到 IOC 後的動
作：刪除物件，執⾏關鍵區域掃描⼯作。若要修改 “IOC 掃描”⼯作的其它設定，請前往⼯作設定。

IOC 掃描範圍

關鍵檔案區域如果選擇該選項，則 Kaspersky Endpoint Security 僅在電腦的關鍵檔案區域執⾏ IOC 掃描：內核記憶體和開機磁區。
電腦的系統磁碟機上的檔案區域如果選擇該選項，則 Kaspersky Endpoint Security 會在電腦的系統磁碟機上執⾏ IOC 掃描。

執⾏ IOC
掃描⼯作

⼿動執⾏模式，您可以在其中在選擇的時間⼿動啟動“IOC 掃描”⼯作。

偵測到威脅後執⾏模式，只要偵測到威脅 Kaspersky Endpoint Security 就執⾏ IOC 掃描⼯
作。
僅在電腦空閒時執⾏執⾏模式，如果熒幕保護程式啟動或者熒幕被鎖定則 Kaspersky
Endpoint Security 執⾏ IOC 掃描⼯作。如果使⽤者解鎖了電腦，Kaspersky Endpoint Security
會暫停⼯作。這意味著⼯作可能會費時數天完成。
821

Endpoint Detection and Response從版本 11.7.0 開始，Kaspersky Endpoint Security for Windows 包括 Kaspersky Endpoint Detection and Response
Optimum 解決⽅案（以下也稱為 “EDR Optimum”）的內建代理。從版本 11.8.0 開始，Kaspersky Endpoint Security
for Windows 包括 Kaspersky Endpoint Detection and Response 解決⽅案（以下也稱為 “EDR Expert”）的內建代
理。Kaspersky Endpoint Detection and Response 是⽤於防護組織的 IT 基礎架構抵禦進階網路威脅的⼀系列解決
⽅案。解決⽅案的功能結合了⾃動偵測威脅和回應這些威脅的能⼒，以抵消包括新漏洞、勒索軟體、無檔案攻擊
以及使⽤合法系統⼯具的⽅法。EDR Expert 比 EDR Optimum 提供更多的威脅監控和回應功能。有關解決⽅案的
詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明 與 Kaspersky Endpoint
Detection and Response Expert 說明 。
Kaspersky Endpoint Detection and Response 會審查和分析威脅發展並向安全⼈員或者管理員提供有關需要作出
及時回應的潛在攻擊的資訊。Kaspersky Endpoint Detection and Response 會在單獨視窗中顯⽰偵測詳情。偵測詳情是⼀款⽤來檢視有關被偵測的威脅的整個收集資訊的⼯具。偵測詳情包括，例如，出現在電腦上的檔案的歷史。有關偵測詳情的詳細資訊，請參閱 Kaspersky Endpoint Detection and Response Optimum 說明 與
Kaspersky Endpoint Detection and Response Expert 說明 。
您可以在網⾴主控台和雲端主控台中配置 EDR Optimum 元件。適⽤於 EDR Expert 的元件設定僅在雲端主控
台中可以使⽤。
Endpoint Detection and Response 設定

參數

網路隔
離

描述

回應偵測到的威脅⾃動將電腦從網路中隔離。
當開啟網路隔離時，應⽤程式會斷開電腦上的所有活動連線並封鎖所有新的 TCP/IP 連線。應⽤程式只會讓以下連線處於活動狀態：
網路隔離排除項⽬中列出的連線。
Kaspersky Endpoint Security 服務安裝的連線。
卡巴斯基安全管理中⼼網路代理啟動的連線。

距離⾃
動解鎖
隔離電
腦還有 N
⼩時後

指定時間後可以⾃動或者⼿動關閉網路隔離。預設情況下，Kaspersky Endpoint Security 會在隔離啟動 5 ⼩時後關閉網路隔離。

網路隔
離排除
項⽬

從網路隔離中排除的規則清單當開啟網路隔離時，電腦上匹配規則的網路連線不會被封鎖。
要配置網路隔離排除項⽬，您可以使⽤“標準網路設定檔”清單。預設情況下，排除項⽬包括包
含確保裝置（具有 DNS/DHCP 伺服器和 DNS/DHCP ⽤⼾端⾓⾊）不中斷操作的規則的網路設
定檔。您也可以修改標準網路設定檔的設定或者⼿動定義排除項⽬。
只有當網路隔離回應偵測到的威脅⾃動開啟時，政策內容中指定的排除項⽬才會套⽤。只有當網路隔離在卡巴斯基安全管理中⼼主控台的電腦內容或者警⽰詳情中⼿動開啟時，電腦內容中指定的排除項⽬才會套⽤。

執⾏防
⽌

控制可執⾏檔和指令碼的執⾏以及 O ice 格式檔案的開啟。例如，您可以防⽌執⾏在選取電腦
上被認為不安全的應⽤程式。執⾏防護⽀援O ice 檔案延伸程式集合和指令碼解譯器集合。

822

所要使⽤執⾏防護元件，您需要新增執⾏防護規則。執⾏防護規則是應⽤程式對物件執⾏進⾏
回應（例如，封鎖物件執⾏時）時考慮的⼀組條件。應⽤程式根據檔案路徑或者使⽤ MD5 和SHA256 雜湊演算法計算的總和檢查碼來識別檔案。
執⾏或
開啟被
禁⽌的
物件時
的動作

封鎖和寫入報告在此模式中，應⽤程式會封鎖執⾏物件或者開啟匹配防護規則條件的文件。應⽤程式也會將嘗試執⾏物件或者開啟文件的事件發佈到 Windows 事件記錄和卡巴斯基安全管理
中⼼事件記錄。

Cloud
Sandbox

Cloud Sandbox 技術可讓您偵測電腦上的進階威脅。Kaspersky Endpoint Security ⾃動將被偵
測檔案轉寄到 Cloud Sandbox 進⾏分析。Cloud Sandbox 在隔離環境中執⾏這些檔案以識別惡
意活動和決定其信譽。有關這些檔案的資料然後被傳送到卡巴斯基安全網路。因此，如果
Cloud Sandbox 偵測到⼀個惡意檔案，Kaspersky Endpoint Security 將執⾏適當操作在偵測到
該檔案的所有電腦上消除該威脅。

僅記錄事件在此模式中，Kaspersky Endpoint Security 會將嘗試執⾏可執⾏物件或者開啟匹配
防護規則條件的文件的事件發佈到 Windows 事件記錄和卡巴斯基安全管理中⼼，但是不會封鎖
執⾏或者開啟物件或者文件的嘗試。預設情況下已選擇此模式。

Cloud Sandbox 技術永久啟⽤，對所有卡巴斯基安全網路使⽤者可⽤，與他們使⽤的產品
授權類型無關。
如果選擇該核取⽅塊，Kaspersky Endpoint Security 將在 威脅偵測技術 下的應⽤程式主視窗中啟⽤使⽤ Cloud Sandbox 偵測到的威脅的計數器。Kaspersky Endpoint Security 也會在應⽤程式事件中和在卡巴斯基安全管理中⼼主控台的威脅報告中指明 Cloud Sandbox 威偵測技術。

Endpoint Detection and Response (KATA)
Kaspersky Endpoint Security 12.1 版現在包含⼀個內建代理，⽤於管理 Kaspersky Endpoint Detection andResponse 元件，作為 Kaspersky Anti Targeted Attack Platform 解決⽅案的⼀部分。Kaspersky Anti Targeted
Attack Platform 是旨在及時偵測複雜威脅（如針對性攻擊、進階持久性威脅 (APT)、零⽇攻擊等）的解決⽅案。
Kaspersky Anti Targeted Attack Platform 包括兩個功能組：Kaspersky Anti Targeted Attack（以下也稱為”
KATA”）和 Kaspersky Endpoint Detection and Response（以下也稱為”EDR (KATA)”）。您可以單獨購買 EDR(KATA)。有關解決⽅案的詳細資訊，請參閱 Kaspersky Anti Targeted Attack Platform 說明 。
Kaspersky Endpoint Security 應⽤程式安裝在公司 IT 基礎結構上的單個電腦上，持續監控處理程序、開啟的網路
連線和被修改的檔案。有關電腦上的事件的資訊（遙測資料）被傳送到 Kaspersky Anti Targeted Attack 平台伺服器。在此情況下，Kaspersky Endpoint Security 應⽤程式也會將應⽤程式發現的威脅相關資訊以及這些威脅的處
理結果相關資訊傳送到 Kaspersky Anti Targeted Attack 平台伺服器。
EDR (KATA) 整合在卡巴斯基安全管理中⼼主控台上配置。內建代理然後被使⽤ Kaspersky Anti Targeted Attack
Platform 主控台進⾏管理，包括執⾏⼯作、管理隔離物件、檢視報告和其他操作。
Endpoint Detection and Response (KATA) 設定

參數

描述

KATA
伺服器
連線設
定

逾時中央節點伺服器響應最⼤超時。當超時⽤完時，Kaspersky Endpoint Security 會嘗試連線到不同的中央節點伺服器。
伺服器 TLS 憑證⽤於與中央節點伺服器建立可信連線的 TLS 憑證。您可以在 Kaspersky Anti
Targeted Attack Platform 主控台中獲取 TLS 憑證（請參閱 Kaspersky Anti Targeted Attack
Platform 說明 ）。

823

使⽤雙向⾝分驗證在 Kaspersky Endpoint Security 和中央節點之間建立安全連線時進⾏雙向⾝分
驗證。要使⽤雙向⾝分驗證，您需要在中央節點設定中啟⽤雙向⾝分驗證，然後獲取加密容器並
設定密碼以防護加密容器。加密容器是⼀個帶有憑證和私鑰的 PFX 存檔。您可以在 Kaspersky
Anti Targeted Attack Platform 主控台中獲得⼀個加密容器（請參閱 Kaspersky Anti Targeted
Attack Platform 說明 ）。配置中央節點設定後，您還需要在 Kaspersky Endpoint Security 設定
中啟⽤雙向⾝分驗證並加載受密碼防護的加密容器。
加密容器必須受密碼防護。無法新增密碼為空的加密容器。

KATA
伺服器

中⼼節點伺服器連線設定。您可以輸入 IP 位址（IPv4 或 IPv6）。

傳送同
步請求
到
KATA
伺服器
間隔
（分）

傳送到中央節點伺服器的同步請求的頻率。在同步期間，Kaspersky Endpoint Security 傳送有關
被修改應⽤程式設定和⼯作的資訊。

將遙測
傳送⾄
KATA

此功能可讓您完全關閉向伺服器傳送遙測。如果您將 Kaspersky Anti Targeted Attack Platform 與另⼀個也使⽤遙測的解決⽅案⼀起使⽤，您可以關閉 KATA (EDR) 的遙測。這可讓您最佳化這些解
決⽅案的伺服器負載。例如，如果您部署了 Managed Detection and Response 解決⽅案和 KATA
(EDR)，則可以使⽤ MDR 遙測並在 KATA (EDR) 中建立威脅回應⼯作。

最⼤事
件傳輸
延遲時
間
（秒）

應⽤程式在同步間隔到期後與伺服器同步以傳送事件。預設設定是 30 秒。

啟⽤請
求節流

該功能有助於最佳化伺服器負載。如果選中該核取⽅塊，應⽤程式將限制傳輸的事件。如果事件
數量超過配置的限制，Kaspersky Endpoint Security 將停⽌傳送事件。

每個⼩
時的最
⼤事件
數量

如果事件流超過配置的每⼩時事件數限制，應⽤程式會分析遙測數據流並限制事件的傳送。
Kaspersky Endpoint Security 在⼀⼩時後還原傳送事件。預設設定是每⼩時 3000 個事件。

事件限
制超過
百分比

該應⽤程式按類型對事件進⾏排序（例如，“登錄檔中的變更”事件），如果相同類型的事件佔事
件總數的比率超過配置的百分比限制，則限制事件的傳輸。當其他事件與事件總數的比率再次變得⾜夠⼤時，Kaspersky Endpoint Security 會還原傳送事件。預設設定為 15%。

完整磁碟加密您可以選取加密技術：卡巴斯基磁碟加密或 BitLocker 磁碟機加密（以下簡稱“BitLocker”）。

卡巴斯基磁碟加密
加密系統硬碟後，在下次電腦啟動時，使⽤者要能夠存取硬碟並且作業系統載入前，使⽤者必須透過⾝分驗證代
理 的驗證。這需要輸入權杖或連線到電腦的智能卡的密碼，或者輸入由局域網管理員使⽤“管理⾝分驗證代理帳⼾”⼯作建立的⾝分驗證代理帳⼾的使⽤者名稱和密碼。這些帳⼾以使⽤者登入作業系統的 Microsoft Windows 帳
⼾為基礎。您還可以使⽤單點登入 (SSO) 技術，此技術允許您使⽤⾝分驗證代理帳⼾的使⽤者名稱和密碼⾃動登入⾄作業系統。
824

可以透過兩種⽅式在⾝分驗證代理中執⾏使⽤者⾝分驗證：
輸入區域網路管理員使⽤卡巴斯基安全管理中⼼⼯具建立的⾝分驗證代理帳⼾的使⽤者名称和密碼。
輸入連線⾄電腦的令牌的密碼或智慧卡的密碼。
如果電腦硬碟磁碟機使⽤ AES256 加密演算法進⾏加密，則可以使⽤令牌或智慧卡。如果使⽤ AES256 演
算法加密了電腦硬碟磁碟機，新增電⼦憑證檔案到指令將被拒絕。

BitLocker 磁碟機加密
BitLocker 是 Windows 作業系統內建的加密技術。Kaspersky Endpoint Security 允許您使⽤卡巴斯基安全管理中
⼼控制和管理 Bitlocker。BitLocker 可對邏輯磁區進⾏加密。BitLocker 不能⽤於卸除式磁碟機的加密。有關BitLocker 的詳細資訊，請參閱 Microsoft 文件 。
BitLocker 使⽤受信任平台模組提供對存取⾦鑰的安全儲存。受信任平台模組 (TPM) 是⼀個與安全相關並提供基
本功能的微晶片（例如⽤於儲存加密⾦鑰）。受信任平台模組通常安裝在電腦主機板上並且透過硬體匯流排與其他所有系統元件進⾏互動。使⽤ TPM 是儲存 BitLocker 存取⾦鑰最安全的⽅式，因為 TPM 提供了啟動前系統完整性驗證。您仍然可以在沒有 TPM 的電腦上對磁碟機進⾏加密。在這種情況下，將使⽤密碼對存取⾦鑰進⾏加密。BitLocker 使⽤以下⾝分驗證⽅式：
TPM。
TPM 和 PIN。
密碼。
在對磁碟機進⾏加密後，BitLocker 會建立⼀個主密碼。Kaspersky Endpoint Security 會將主密碼傳送到卡巴斯基
安全管理中⼼，以便您可以還原對磁碟的存取，例如，如果使⽤者忘記了密碼。
如果使⽤者使⽤ BitLocker 對磁碟進⾏加密，Kaspersky Endpoint Security 會將有關磁碟加密的資訊傳送到卡巴斯基安全管理中⼼。但是，Kaspersky Endpoint Security 不會將主密碼傳送到卡巴斯基安全管理中⼼，因此將無法使⽤卡巴斯基安全管理中⼼還原對磁碟的存取。為使 BitLocker 與卡巴斯基安全管理中⼼正常協同⼯作，請解密
磁碟機，然後使⽤政策重新對該磁碟機進⾏加密。您可以在本機解密磁碟機，也可以使⽤政策來解密磁碟機。
對系統硬碟磁碟機進⾏加密後，使⽤者需要透過 BitLocker ⾝分驗證才能啟動作業系統。⾝分驗證過程後，
BitLocker 將允許使⽤者登入。BitLocker 不⽀援單點登錄技術 (SSO)。
如果正在使⽤ Windows 群組政策，請在政策設定中關閉 BitLocker 管理。Windows 政策設定可能與
Kaspersky Endpoint Security 政策設定衝突。在對磁碟機進⾏加密時，可能會發⽣錯誤。
卡巴斯基磁碟加密元件設定

參數

加密模式

描述

加密所有硬碟磁碟機如果選擇該選項，套⽤政策後，應⽤程式將加密所有硬碟。
如果電腦安裝了多個作業系統，在加密後，您將能夠只載入安裝了應⽤程式的作業系
統。
解密所有硬碟磁碟機如果選擇該選項，套⽤政策後，應⽤程式將解密先前已加密的所有硬碟。
825保留不變如果選定了該選項，套⽤政策後，應⽤程式將保留硬碟不動。如果磁碟機已加密，則其仍加密。如果磁碟機已解密，則其仍解密。預設情況下已勾選此項⽬。
加密時對
Windows
使⽤者⾃動
建立⾝分驗
證代理帳⼾

如果選中此核取⽅塊，則應⽤程式將基於電腦上的 Windows 使⽤者帳⼾清單建立⾝分驗證代理帳⼾。預設情況下，Kaspersky Endpoint Security 使⽤在過去30 天內登入到作業系統的
使⽤者所使⽤的所有本機帳⼾和網域帳⼾。

⾝分驗證代
理帳⼾建立
設定

電腦上的所有帳⼾任何時間啟動過的電腦上的所有帳⼾。
電腦上所有網域帳⼾屬於某些網域且在任何時間啟動過的電腦上的所有帳⼾。
電腦上所有本機帳⼾任何時間啟動過的電腦上的所有本機帳⼾。
具有⼀次性密碼的服務賬⼾獲取電腦的存取權限時（例如，當使⽤者忘記密碼時）需要該服
務帳⼾。您也可以將服務帳⼾作為備⽤帳⼾。您可以輸入帳⼾名稱（預設為ServiceAccount）。Kaspersky Endpoint Security 會⾃動建立密碼。您只能在卡巴斯基安
全管理中⼼主控台中查找密碼。
本機管理員Kaspersky Endpoint Security 會為電腦的本機管理員建立⼀個⾝分驗證代理使⽤者帳⼾。
電腦管理者Kaspersky Endpoint Security 會為電腦管理者的帳⼾建立⼀個⾝分驗證代理使⽤者帳⼾。您可以在 Active Directory 的電腦內容中查看哪個帳⼾有電腦管理者⾓⾊。預設未
定義電腦管理者⾓⾊，即它不相應任何帳⼾。
⽬前帳⼾Kaspersky Endpoint Security 會為磁碟加密時啟動的帳⼾⾃動建立⼀個⾝分驗證代
理帳⼾。

⾸次登入時
為此電腦的
所有使⽤者
⾃動建立⾝
分驗證代理
帳⼾

如果選中此核取⽅塊，則應⽤程式將在啟動⾝分驗證代理之前檢查電腦上 Windows 使⽤者
帳⼾的資訊。如果 Kaspersky Endpoint Security 偵測到沒有⾝分驗證代理帳⼾的 Windows 使
⽤者帳⼾，則應⽤程式將建立⼀個新帳⼾來存取加密的磁碟機。新的⾝分驗證代理帳⼾將具
有以下預設設定：僅受密碼防護的登錄，以及⾸次⾝分驗證時變更密碼。因此，對於具有已加密磁碟機的電腦，不需要使⽤“管理⾝分驗證代理帳⼾”任務⼿動新增⾝分驗證代理帳⼾。

儲存在⾝分
驗證代理中
輸入的使⽤
者名稱

如果選中該核取⽅塊，應⽤程式將儲存⾝分驗證代理帳⼾的名稱。下次使⽤同⼀帳⼾在⾝分
驗證代理中嘗試完成憑證時不會被提⽰輸入帳⼾名稱。

僅加密使⽤
的磁碟空間
(減少加密
時間)

該核取⽅塊可啟⽤/停⽤將加密區域僅限為已⽤硬碟磁區的選項。該限制可減少加密時間。
在啟動加密後啟⽤或者停⽤“僅加密使⽤的磁碟空間(減少加密時間)”功能不會修改此設定，直到硬碟磁碟機被解密為⽌。開始加密之前您必須選擇或清除該核取⽅塊。
如果選定該核取⽅塊，則僅加密使⽤的硬碟部分。Kaspersky Endpoint Security 將⾃動加密
新增的新資料。
如果清空該核取⽅塊，整個硬碟將被加密，包括先前刪除和修改檔案殘留的碎片。
建議對尚未修改或刪除資料的新硬碟使⽤該選項。如果對已在使⽤中的硬碟應⽤加密，
則建議加密整個硬碟。這樣可確保防護所有資料，甚⾄已刪除的資料也能夠部分還原。
預設情況下已清空此核取⽅塊。

啟⽤LegacyUSB
Support(不建議)

此核取⽅塊可啟⽤/停⽤ Legacy USB Support 功能。Legacy USB Support 是⼀種 BIOS/UEFI
功能，允許您在啟動作業系統（BIOS 模式）之前，在電腦的引導階段使⽤ USB 裝置（例如
安全性權杖）。Legacy USB Support 不會影響作業系統啟動後對 USB 裝置的⽀援。
如果選中該核取⽅塊，在電腦初始啟動期間對 USB 裝置的⽀援將啟⽤。
826

啟⽤ Legacy USB Support 功能時，BIOS 模式下的⾝分驗證代理不⽀援透過 USB 使⽤權杖。建議僅當存在硬體相容性問題時並僅對發⽣問題的電腦使⽤此選項。

密碼設定
使⽤⼀次性
登入技術

⾝分驗證代理帳⼾密碼強度設定。使⽤單點登入技術時，⾝分驗證代理將忽略卡巴斯基安全
管理中⼼中指定的密碼強度要求。您可以在作業系統設定中設定密碼強度要求。
SSO 技術允許使⽤同⼀個帳⼾憑證存取加密磁碟機並登入作業系統。
如果選中此核取⽅塊，您必須輸入⽤於存取加密硬碟磁碟機以及隨後⾃動登入作業系統的帳
⼾憑證。
如果清除該核取⽅塊，要存取加密硬碟磁碟機並隨後登入作業系統，您必須分別輸入⽤於存
取加密硬碟磁碟機的憑證和作業系統使⽤者帳⼾憑證。

包裝第三⽅
憑據提供商

Kaspersky Endpoint Security ⽀援協⼒廠商憑據提供者 ADSelfService Plus。
當使⽤協⼒廠商憑據提供者時，⾝分驗證代理會在作業系統載入前攔截密碼。這意味著使⽤者在登入 Windows 時只需要輸入密碼⼀次。登入 Windows 後，使⽤者可以在公司服務（例如）中利⽤協⼒廠商憑據提供者的功能進⾏⾝分驗證。協⼒廠商憑據提供者還可讓使⽤者獨
立重設⾃⼰的密碼。在此情況下，Kaspersky Endpoint Security 將⾃動更新⾝分驗證代理的密碼。
如果您正在使⽤不受應⽤程式⽀援的協⼒廠商憑據提供者，您可能會在單點登入技術操作中
遇到某些限制。

說明

⾝分驗證輸入帳⼾憑證時，“⾝分驗證代理”視窗中顯⽰的說明文字。
變更密碼變更⾝分驗證代理帳⼾的密碼時，“⾝分驗證代理”視窗中顯⽰的說明文字。
還原密碼還原⾝分驗證代理帳⼾的密碼時，“⾝分驗證代理”視窗中顯⽰的說明文字。

BitLocker 磁碟機加密元件設定

參數

加密模式

描述

加密所有硬碟磁碟機如果選擇該選項，套⽤政策後，應⽤程式將加密所有硬碟。
如果電腦安裝了多個作業系統，在加密後，您將能夠只載入安裝了應⽤程式
的作業系統。
解密所有硬碟磁碟機如果選擇該選項，套⽤政策後，應⽤程式將解密先前已加密的所有硬碟。
保留不變如果選定了該選項，套⽤政策後，應⽤程式將保留硬碟不動。如果磁碟
機已加密，則其仍加密。如果磁碟機已解密，則其仍解密。預設情況下已勾選此項⽬。

啟⽤需要在平板電腦
上預啟動鍵盤輸入的
BitLocker ⾝分驗證

此核取⽅塊啟⽤/停⽤在預啟動環境中使⽤需要資料輸入的⾝分驗證，即使此平台沒有能⼒進⾏預啟動輸入（例如使⽤平板電腦上的觸控式螢幕鍵盤）。
平板電腦的觸控式螢幕在預啟動環境中不可⽤。例如，要在平板電腦上完成
BitLocker ⾝分驗證，使⽤者必須連線 USB 鍵盤。
如果選定此核取⽅塊，則允許使⽤需要預啟動輸入的⾝分驗證。建議在預啟動環
境中僅對擁有備⽤資料輸入的裝置（例如除了觸控式螢幕鍵盤之外的 USB 鍵盤）
使⽤此設定。
如果清除此核取⽅塊，則無法在平板電腦上使⽤ BitLocker 磁碟機加密。
827

使⽤硬體加密(Windows 8 和後續版本)

如果選定此核取⽅塊，則應⽤程式將應⽤硬體加密。這可以提⾼加密速度並使⽤
較少的電腦資源。

僅加密使⽤的磁碟空間(Windows 8 和後續
版本)

該核取⽅塊可啟⽤/停⽤將加密區域僅限為已⽤硬碟磁區的選項。該限制可減少加密時間。
在啟動加密後啟⽤或者停⽤“僅加密使⽤的磁碟空間(減少加密時間)”功能不會
修改此設定，直到硬碟磁碟機被解密為⽌。開始加密之前您必須選擇或清除該核取⽅塊。
如果選定該核取⽅塊，則僅加密使⽤的硬碟部分。Kaspersky Endpoint Security 將
⾃動加密新增的新資料。
如果清空該核取⽅塊，整個硬碟將被加密，包括先前刪除和修改檔案殘留的碎片。
建議對尚未修改或刪除資料的新硬碟使⽤該選項。如果對已在使⽤中的硬碟
應⽤加密，則建議加密整個硬碟。這樣可確保防護所有資料，甚⾄已刪除的資料也能夠部分還原。
預設情況下已清空此核取⽅塊。

⾝分驗證⽅法僅限密碼(Windows 8 和後續版本)
如果選定此選項，Kaspersky Endpoint Security 將在使⽤者嘗試存取加密磁碟時提⽰使⽤者輸入密碼。
沒有使⽤受信任平台模組 (TPM) 時可以選擇此選項。
受信任平台模組 (TPM)
如果選定此核取⽅塊，則 BitLocker 使⽤受信任平台模組 (TPM)。

受信任平台模組 (TPM) 是⼀個與安全相關並提供基本功能的微晶片（例如⽤於儲存加密⾦鑰）。受信任平台模組通常安裝在電腦主機板上並且透過硬體匯流排與
其他所有系統元件進⾏互動。
對於執⾏ Windows 7 或 Windows Server 2008 R2 的電腦，只能使⽤ TPM 模組
進⾏加密。如果未安裝 TPM 模組，則無法進⾏ BitLocker 加密。不⽀援在這
些電腦上使⽤密碼。
配有受信任平台模組的裝置可以建立只能使⽤此裝置解密的加密⾦鑰。受信任平
台模組將使⽤其⾃有的根儲存⾦鑰加密加密⾦鑰。根儲存⾦鑰儲存在受信任平台模組中。這提供了防禦駭客攻擊加密⾦鑰的附加防護。
預設情況下已選擇此操作。
您可以為存取加密⾦鑰設定⼀層額外防護，⽤密碼或者 PIN 加密⾦鑰：为 TPM 使⽤ PIN如果選中此核取⽅塊，使⽤者可以使⽤ PIN 碼存取儲存在受信
任平台模組 (TPM) 中的加密⾦鑰。
如果清除此核取⽅塊，則會禁⽌使⽤者使⽤ PIN 碼。要存取加密⾦鑰，使⽤者
必須輸入密碼。
您可以允許使⽤者使⽤增強型 PIN。增強 PIN 允許使⽤除了數字字元的其它字
元：⼤寫和⼩寫拉丁字⺟，特殊字元，和空格。
受信任平台模組 (TPM)，或密碼（如果 TMP 不可使⽤）如果選定此核取⽅
塊，當受信任平台模組 (TPM) 不可⽤時，使⽤者可使⽤密碼存取加密⾦鑰。
如果清除該核取⽅塊且 TPM 不可⽤，則將不會啟動完整磁碟加密。
828檔案級加密您可以根據副檔名或副檔名群組編制檔案清單，和儲存在本機電腦磁碟上的資料夾清單，並且為特定應⽤程式建立的檔案建立加密規則。套⽤政策後，卡巴斯基安全管理中⼼將加密和解密以下檔案：單獨新增到加密和解密清單中的檔案。
儲存在新增到加密和解密清單中的資料夾內的檔案。
單獨應⽤程式建立的檔案。
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。
檔案加密具有以下特殊功能：
Kaspersky Endpoint Security 僅為作業系統本機使⽤者設定資料加密/解密標準資料夾內的檔案。Kaspersky
Endpoint Security 不會加密/解密標準資料夾內的⾏動使⽤者設定檔、強制使⽤者設定檔、臨時使⽤者設定檔
或重新定位的資料夾。
Kaspersky Endpoint Security 不會加密其修改可能損害作業系統和安裝的應⽤程式的檔案。例如，加密排除項
清單中包含以下檔案和包含所有內嵌物件內的檔案：%WINDIR%；%PROGRAMFILES% 和 %PROGRAMFILES(X86)%；
Windows 登錄檔。
您無法檢視或編輯這個加密排除清單。儘管加密排除項⽬清單中的檔案和資料夾可以新增⾄加密清單，但在檔案加密期間，它們不會被加密。
檔案級加密元件設定

參數

描述

加密
模式

保留不變。如果選定該項，Kaspersky Endpoint Security 將不變更檔案和資料夾，不進⾏加密
或解密。
根據規則如果選擇此項⽬，則 Kaspersky Endpoint Security 會根據加密規則對檔案和資料夾進
⾏加密，根據解密規則對檔案和資料夾進⾏解密，並根據應⽤程式規則來控制應⽤程式對加密
檔案的存取。
全部解密如果選定該選項，Kaspersky Endpoint Security 將解密所有加密的檔案和資料夾。

加密該標籤將顯⽰本機磁碟機上儲存的檔案的加密規則。您可以新增檔案，如下所⽰：
預定義資料夾Kaspersky Endpoint Security 允許您新增以下區域：文件作業系統的“文件”資料夾及其⼦資料夾中的文件。
我的最愛作業系統標準的“我的最愛”資料夾及其⼦資料夾中的檔案。
桌⾯作業系統的“ 桌⾯ ”資料夾及其⼦資料夾中的檔案。
暫存檔與電腦上安裝的應⽤程式的操作有關的暫存檔案。例如，Microsoft O ice 應⽤程式
會建立包含文件備份副本的暫存檔案。

829

Outlook 檔案與 Outlook 郵件⽤⼾端操作有關的檔案：資料檔案 (PST)、離線資料檔案
(OST)、離線通訊錄檔案 (OAB) 和個⼈通訊錄檔案 (PAB)。
⾃訂資料夾您還可以輸入資料夾的路徑。新增資料夾路徑時，請遵循以下規則：
使⽤環境變數（例如，%FOLDER%\UserFolder\）。您只能在路徑的開頭使⽤⼀次環境變
數。
不要使⽤相對路徑。
不要使⽤ * 和 ? 字元。
不要使⽤ UNC 路徑。
使⽤ ; 或 , 作為分隔符號。
根據副檔名選取檔案您可以從清單中選擇副檔名群組，例如“ 壓縮檔案”副檔名群組。您也可
以⼿動新增檔案副檔名。
解密該標籤將顯⽰本機磁碟機上儲存的檔案的解密規則。

應⽤
程式
規則

該標籤將顯⽰包含應⽤程式加密檔案存取規則的表以及由單個應⽤程式建立或修改的檔案的加
密規則。

加密
檔案

建立加密封包時要滿⾜的密碼強度要求。

卸除式磁碟機加密如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Workstations 的電腦上，則該元件可⽤。如果Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則該元件不可⽤。

Kaspersky Endpoint Security ⽀援加密 FAT32 和 NTFS 檔案系統中的檔案。如果將具有不⽀援的檔案系統的卸除式磁碟機連線到電腦，對該卸除式磁碟機的加密⼯作將以出錯結束，Kaspersky Endpoint Security 會為
該卸除式磁碟機分配唯讀狀態。
要防護卸除式磁碟機上的資料，可以使⽤以下類型的加密：完整磁碟加密 (FDE)。
加密整個卸除式磁碟機，包括檔案系統。
無法在公司網路外部存取加密資料。如果電腦未連線到卡巴斯基安全管理中⼼（例如“訪客”電腦），也無
法存取公司網路內部的加密資料。
檔案級加密 (FLE)。
僅加密卸除式磁碟機上的檔案。檔案系統保持不變。
是卸除式磁碟機上的檔案加密使⽤⼀種稱為攜帶模式的特殊模式，提供存取公司網路外部資料的功能。
在加密期間，Kaspersky Endpoint Security 會建立⼀個主要⾦鑰。Kaspersky Endpoint Security 將主要⾦鑰儲存在以下儲存區中：830

卡巴斯基安全管理中⼼。
使⽤者的電腦。
主要⾦鑰使⽤使⽤者的⾦鑰加密。
卸除式磁碟機。
主要⾦鑰使⽤卡巴斯基安全管理中⼼的公開⾦鑰加密。
加密完成後，可在公司網路內存取卸除式磁碟機上的資料，就像資料在未加密的⼀般卸除式磁碟機⼀樣。

存取加密資料連線帶有加密資料的卸除式磁碟機後，Kaspersky Endpoint Security 會執⾏以下操作：
1. 檢查使⽤者電腦本機儲存的主要⾦鑰。
如果找到主要⾦鑰，使⽤者將獲得卸除式磁碟機上的資料存取權限。
如果找不到之要⾦鑰，Kaspersky Endpoint Security 會執⾏以下操作：
a. 向卡巴斯基安全管理中⼼傳送請求。
收到請求後，卡巴斯基安全管理中⼼將傳送⼀個包含主要⾦鑰的回應。
b. Kaspersky Endpoint Security 將主要⾦鑰儲存在使⽤者電腦的本機中，以供以後對加密的卸除式磁碟機進
⾏操作。
2. 解密資料。

卸除式磁碟機加密的特殊功能
卸除式磁碟機加密具有以下特殊功能：已經為指定的受管理電腦群組形成針對卸除式磁碟機加密且帶有預設設定的政策。因此，套⽤為加密/解密卸
除式磁碟機配置的卡巴斯基安全管理中⼼政策的結果取決於抽取式磁碟機連線到的電腦。
Kaspersky Endpoint Security 不會加密/解密卸除式磁碟機上儲存的唯讀檔案。
⽀援以下裝置類型的卸除式磁碟機：透過 USB 介⾯連接的資料媒體
透過 USB 和 FireWire 介⾯連接的固定磁碟機透過 USB 和 FireWire 介⾯連接的 SSD 磁碟機
卸除式磁碟機元件設定加密

參數

加密
模式

描述

加密整個卸除式磁碟機如果選定了該項，為卸除式磁碟機套⽤帶有指定加密設定的政策時，
Kaspersky Endpoint Security 將會逐個磁區加密卸除式磁碟機，包括其檔案系統。
加密所有檔案如果選定了該選項，為卸除式磁碟機套⽤帶有指定加密設定的政策時，Kaspersky
Endpoint Security 將會加密卸除式磁碟機上儲存的所有檔案。Kaspersky Endpoint Security 不會再次加密已經加密的檔案。卸除式磁碟機的檔案系統內容，包括加密檔案的資料夾結構和名稱在內都不會被加密，仍可以被存取。
831

僅加密新檔案如果選定了該選項，為卸除式磁碟機套⽤帶有指定加密設定的政策時，Kaspersky
Endpoint Security 將只會加密在上次應⽤卡巴斯基安全管理中⼼政策之後在卸除式磁碟機上新
增或修改的檔案。當某個卸除式磁碟機由兩個⼈使⽤或在⼯作中使⽤時，該加密模式很有⽤。
該加密模式可以使您保留所有舊的未變更過的檔案，加密那些使⽤者在已安裝 Kaspersky
Endpoint Security 並啟⽤加密功能的⼯作電腦建立的檔案。結果是個⼈檔案是否可以被存取，
與啟⽤了加密功能的電腦上是否安裝了 Kaspersky Endpoint Security 無關。
解密整個卸除式磁碟機如果選定了該選項，為卸除式磁碟機套⽤帶有指定加密設定的政策時，
Kaspersky Endpoint Security 將會解密卸除式磁碟機上儲存的先前加密的所有檔案和檔案系統。
保留不變如果選定了該選項，套⽤政策後，應⽤程式將保留硬碟不動。如果磁碟機已加密，則其仍加密。如果磁碟機已解密，則其仍解密。預設情況下已勾選此項⽬。
攜帶
模式

該核取⽅塊可啟⽤/停⽤準備卸除式磁碟機，以便能夠在公司網路外部的電腦上存取卸除式磁碟
機中儲存的檔案。
如果選定該核取⽅塊，Kaspersky Endpoint Security 將提⽰使⽤者在根據政策加密卸除式磁碟
機之前指定⼀個密碼。在公司網路外部的電腦上存取卸除式磁碟機中的加密檔案時需要該密碼。您可以設定密碼強度。
攜帶模式可⽤於“加密所有檔案”或“僅加密新檔案”模式。

僅加
密使
⽤的
磁碟
空間

該核取⽅塊將啟⽤/停⽤加密模式，其中僅加密已使⽤磁碟磁區。建議為尚未修改或刪除資料的
新裝置使⽤該模式。
如果選定該核取⽅塊，則僅加密使⽤的磁碟部分。Kaspersky Endpoint Security 將⾃動加密新增的新資料。
如果清空該核取⽅塊，整個磁碟機將被加密，包括先前刪除和修改檔案殘留的碎片。
僅加密已占⽤空間的功能僅在“加密整個卸除式磁碟機”模式下可⽤。
開始加密後，啟⽤/停⽤“僅加密使⽤的磁碟空間”功能不會變更該設定。開始加密之前您必須選擇或清除該核取⽅塊。

⾃訂規則

該表包含了已其定義⾃訂加密規則的裝置。您可以透過以下⽅式為單⼀卸除式磁碟機建立加密規則：
從“裝置控制”的受信任裝置清單中新增卸除式磁碟機。
⼿動新增卸除式磁碟機：按裝置 ID（硬體 ID 或 HWID）
按裝置型號：供應商 ID (VID) 和產品 ID (PID)

允許
在離
線模
式下
加密
卸除
式磁
碟機
加密
密碼
設定/

如果選中該核取⽅塊，則即使沒有連線⾄卡巴斯基安全管理中⼼，Kaspersky Endpoint Security
也會加密卸除式磁碟機。在這種情況下，解密卸除式磁碟機所需的資料儲存在與卸除式磁碟機
連線的電腦的硬碟上，不會傳輸到卡巴斯基安全管理中⼼。
如果清除該核取⽅塊，則 Kaspersky Endpoint Security 無法在未連線⾄卡巴斯基安全管理中⼼的情況下加密卸除式磁碟機。

攜帶式檔案管理器的密碼強度設定。

832

攜帶
式檔
案管
理器

模組（資料加密）進⾏資料加密後，Kaspersky Endpoint Security 可能會限制對資料的存取，例如，由於組織基礎結構發⽣變化和
卡巴斯基安全管理中⼼管理伺服器發⽣變化。如果使⽤者無權存取加密資料，使⽤者可以請管理員提供資料存取
權限。換句話說，使⽤者需要將請求存取檔案傳送給管理員。然後，使⽤者需要將從管理員處收到的回應檔案上傳到 Kaspersky Endpoint Security。Kaspersky Endpoint Security 允許您透過電⼦郵件向管理員請求資料存取權
限（請參⾒下圖）。

請求加密資料的存取權限

系統提供了⼀個模組，⽤於報告缺少對加密資料的存取權限。為⽅便使⽤者，您可以填寫以下欄位：
收件者輸入擁有資料加密功能權限的管理員群組的電⼦郵件地址。
主旨輸入包含加密檔案存取請求的電⼦郵件主旨。例如，您可以新增標籤以篩選郵件。
使⽤者訊息如有必要，可變更郵件的內容。您可以使⽤變數來獲取必要資料（例如，%USER_NAME% 變數）。

排除
信任區域是在其有效時，管理員建立的 Kaspersky Endpoint Security 不進⾏監控的物件和應⽤程式的清單。
考慮到所處理物件的特點和安裝在電腦上的應⽤程式，管理員可以⾃主建立信任區域。當 Kaspersky Endpoint
Security 封鎖存取特定物件或應⽤程式時，如果您確定此物件或應⽤程式是無害的，則有必要將其包含在信任區
域中。管理員還可以允許使⽤者為特定電腦建立⾃⼰的本機受信任區域。這樣，除了政策中的⼀般受信任區域之
外，使⽤者還可以建立⾃⼰的”排除項⽬”和”受信任應⽤程式”的本機清單。

掃描排除項⽬833

“掃描排除項⽬”是⼀組條件，必須滿⾜這些條件，Kaspersky Endpoint Security 才不會掃描特定物件是否存在病毒
和其他威脅。
掃描排除項⽬可確保使⽤者安全地使⽤入侵者⽤於損害電腦或使⽤者資料的合法軟體。儘管這類應⽤程式並不具
備任何惡意功能，它們可能被入侵者利⽤。有關可被犯罪分⼦⽤來破壞電腦或使⽤者個⼈資料的合法軟體的詳細
資訊，請造訪 Kaspersky IT 百科全書網站 。
這類應⽤程式可以被 Kaspersky Endpoint Security 封鎖。若要防⽌它們被封鎖，您可以為正在使⽤的應⽤程式排除掃描排除項⽬。為此，請將 Kaspersky IT 百科全書中列出的名稱或名稱遮罩新增到受信任區域。例如，您經常
使⽤ Radmin 應⽤程式來遠端管理電腦。Kaspersky Endpoint Security 會將這些活動看做潛在危險並進⾏封鎖。若要防⽌應⽤程式被封鎖，請使⽤ Kaspersky IT 百科全書中列出的名稱或名稱遮罩建立掃描排除項⽬。
如果您電腦上安裝的某個應⽤程式收集資訊並將其傳送以供處理，則 Kaspersky Endpoint Security 可能會將其歸類為惡意軟體。若要避免此資訊，您可以按照文件所述透過配置 Kaspersky Endpoint Security 從掃描中排除此應
⽤程式。
掃描排除項⽬可⽤於下列特定應⽤程式元件和系統管理員配置的⼯作：
⾏為偵測弱點利⽤防禦
主機入侵防禦
檔案威脅防護Web 威脅防護
郵件威脅防護惡意軟體掃描⼯作。
受信任應⽤程式清單

受信任應⽤程式清單包含應⽤程式的檔案和網路活動（包括可疑活動）以及對系統登錄檔的存取不受 Kaspersky

Endpoint Security 的監控。預設情況下，Kaspersky Endpoint Security 將監控任何應⽤程式處理程序開啟、執⾏
或儲存的物件，並控制所有應⽤程式的活動及其產⽣的網路流量。應⽤程式被新增到受信任應⽤程式清單後，Kaspersky Endpoint Security 將停⽌監控該應⽤程式的活動。
掃描排除項⽬和受信任的應⽤程式之間的區別在於，對於排除項⽬，Kaspersky Endpoint Security 不掃描檔案，
⽽對於受信任的應⽤程式，它不控制啟動的處理程序。如果受信任的應⽤程式在未包含在掃描排除項⽬中的資料
夾中建立惡意檔案，Kaspersky Endpoint Security 將偵測該檔案並消除威脅。如果資料夾被新增到排除項⽬，
Kaspersky Endpoint Security 將略過該檔案。
例如，如果您認為由標準 Microsoft Windows 記事本應⽤程式使⽤的物件是安全的，也即您信任此應⽤程式，則您可將 Microsoft Windows 記事本新增到受信任應⽤程式清單中，這樣該應⽤程式使⽤的物件就不會被監控。這會提⾼電腦效能，在使⽤伺服器應⽤程式時尤為重要。
此外，Kaspersky Endpoint Security 分類為危險的特定操作，在很多應⽤程式的功能環境中可能是安全的。例如，攔截鍵盤輸入的內容，是⾃動鍵盤設定切換器中的⼀種例⾏程式（例如 Punto Switcher）。考慮到此類程式的特點並將其⾏為從監控中排除，我們建議您可將此類程式新增到信任應⽤程式清單中。
受信任的應⽤程式有助於避免 Kaspersky Endpoint Security 與其他應⽤程式之間的相容性問題（例如，Kaspersky Endpoint Security 和另⼀個病毒防護應⽤程式對第三⽅電腦的網路流量進⾏雙重掃描的問題）。

834

同時，信任應⽤程式的可執⾏檔和處理程序仍然會掃描病毒和其他惡意軟體。您可以透過掃描排除項⽬將應⽤程式從 Kaspersky Endpoint Security 掃描中完全排除。
排除項⽬設定

參數

描述

偵測到
的物件
類型

不管應⽤程式設定的配置如何，Kaspersky Endpoint Security 始終會偵測並封鎖病毒、蠕蟲和⽊⾺。它們可能會給電腦帶來巨⼤的損害。
病毒和蠕蟲

835

⼦分類：病毒和蠕蟲 (Viruses_and_Worms)
威脅等級：⾼
典型的病毒和蠕蟲會執⾏未經使⽤者授權的操作。它們會建立可⾃我複製的副本。
典型病毒
典型病毒侵入電腦後，會感染檔案，啟動並執⾏惡意操作，以及將⾃⾝的副本新增到其他檔案中。
典型病毒僅在電腦本機資源上複製副本，不會⾃⾏侵入其他電腦。僅當此病毒將其副本新增⾄儲存在共⽤資料夾或放入電腦中的 CD 中的檔案時，或者在使⽤者傳送附有受感染
檔案的電⼦郵件訊息時，此病毒才會傳染給其他電腦。
典型病毒代碼可以入侵電腦、作業系統和應⽤程式的各種區域。根據具體的環境，病毒可分為檔案病毒、引導磁區病毒、指令碼病毒和巨集病毒。
病毒可以使⽤多種不同的技術來感染檔案。覆蓋病毒會使⽤其代碼覆蓋受感染檔案的代
碼，從⽽抹除檔案的內容。感染的檔案會停⽌發揮作⽤，且無法還原。寄⽣病毒會修改檔案，從⽽使⾃⾝發揮全部或部分功能。伴隨病毒不會修改檔案，⽽是建立副本。當您
開啟受感染的檔案時會啟動此檔案的副本（實際上是病毒）。您也會遇到以下類型的病
毒：連結病毒、OBJ 病毒、LIB 病毒、原始程式碼病毒和許多其他病毒。
蠕蟲
與典型病毒⼀樣，蠕蟲在侵入電腦後，其代碼將啟動並執⾏惡意操作。之所以稱為蠕
蟲，是因為它們能夠從⼀台電腦“爬”到另⼀台電腦，並不需使⽤者權限即可透過許多資料
通道來傳播副本。
可⽤於區分各種類型蠕蟲的主要特徵是蠕蟲的傳播⽅式。下表提供了各種類型蠕蟲的概覽，這些蠕蟲按其傳播⽅式進⾏了分類。
蠕蟲傳播⽅式

類型

名稱

電⼦
郵件
蠕蟲

電⼦
郵件
蠕蟲

這些蠕蟲透過電⼦郵件傳播。

IM 蠕
蟲

即時
通訊
⽤⼾
端蠕
蟲

它們透過 IM 傳播。

IRC
蠕蟲

網際
網路
聊天
蠕蟲

這些蠕蟲會透過網際網路中繼聊天（允許透過網際網路與其他⼈即時通信的服務系統）傳播。

網路蠕蟲這些蠕蟲透過電腦網路傳播。

網路
蠕蟲

描述

受感染的電⼦郵件訊息包含帶有蠕蟲副本的附件，或指向上傳到可能已被攻擊或者專⾨建立⽤於傳播蠕蟲的網站上某檔案的連結。開啟此附件時，蠕蟲將被啟動。在您點擊此連結，進⾏下載，然後開啟檔案時，蠕蟲還會開始執⾏其惡意操作。之後，蠕蟲會繼續傳播
其副本，搜尋其他電⼦郵件信箱，並向它們傳送受感染的郵件。
通常，此類蠕蟲會利⽤使⽤者的連絡⼈清單傳送訊息，其中包含指向某網站上帶有蠕蟲副本的檔案的連結。使⽤者下載並開啟檔案時，蠕蟲將被啟動。

這些蠕蟲會在網際網路聊天中發佈包含⾃⾝副本的檔案或指向此檔
案的連結。使⽤者下載並開啟檔案時，蠕蟲將被啟動。

836

與其他類型的蠕蟲不同，典型的網路蠕蟲不需使⽤者參與即可傳播。它會掃描區域網路來尋找安裝了有弱點的程式的電腦。為此，它會傳送特殊格式的網路封包（弱點），其中包含蠕蟲代碼或部分蠕蟲代碼。如果網路上存在“有弱點”的電腦，此電腦會接收到此種
網路封包。蠕蟲完全入侵電腦後，將被啟動。
P2P
蠕蟲

檔案
共⽤
網路
蠕蟲

它們透過點對點檔案共⽤網路傳播。
為了滲透到 P2P 網路，蠕蟲會將⾃⾝複製到通常位於使⽤者電腦上
的檔案共⽤資料夾中。P2P 網路會顯⽰有關此檔案的資訊，以便使
⽤者可以在網路中像任何其他檔案⼀樣“找到”受感染的檔案，然後下載並開啟此檔案。
更加狡猾的蠕蟲會模仿特定 P2P 網路的網路協定：它們會返回對搜
尋程式的積極回應，並提供⾃⾝的副本供下載。

蠕蟲

其他
類型
的蠕
蟲

其他類型的蠕蟲包括：透過網路資源傳播⾃⾝副本的蠕蟲。透過使⽤作業系統的功能，它們掃描可⽤的網路資料夾，連線到網際網路上的電腦，
並嘗試獲取對磁碟機的完全存取。與之前描述的蠕蟲類型不同，其他類型的蠕蟲不會⾃⾏啟動，⽽是在使⽤者開啟包含蠕蟲副本的檔案時啟動。
不使⽤上表中所述的任何⽅式進⾏傳播的蠕蟲（例如，透過⼿機傳播的蠕蟲）。

⽊⾺ (包含勒索軟體)837

⼦類別：⽊⾺程式
威脅等級：⾼與蠕蟲和病毒不同，⽊⾺不能進⾏⾃我複製。例如，使⽤者存取受感染的網⾴時，它們
會透過電⼦郵件或瀏覽器侵入電腦。⽊⾺透過使⽤者參與⽽啟動。⽊⾺啟動後即會開始
執⾏惡意操作。
在受感染的電腦上，不同的⽊⾺會表現出不同的⾏為。⽊⾺的主要功能包括封鎖、修改或破壞資訊，以及停⽤電腦或網路。⽊⾺還可以接收或傳送檔案，在螢幕上顯⽰訊息，
請求網⾴，下載和安裝程式，以及重新啟動電腦。
駭客通常使⽤各種不同⽊⾺的“集合”。
下表中介紹了⽊⾺⾏為的類型。
受感染電腦上⽊⾺⾏為的類型

類型

名稱

描述

⽊⾺炸
彈

⽊⾺ –
“壓縮檔
案炸彈”

解壓縮時，這些壓縮檔案的⼤⼩會急劇增加，從⽽影響電腦的
操作。

⽤於遠
端管理
的⽊⾺

此種⽊⾺被視為最危險的⽊⾺類型。在功能⽅⾯，這些⽊⾺與安裝在電腦上的遠端管理應⽤程式相似。

⽊⾺

⽊⾺包括以下惡意應⽤程式：

後⾨

⽊⾺

使⽤者嘗試解壓縮這種壓縮檔案時，電腦可能會執⾏緩慢或停⽌執⾏；硬碟可能會充滿“空⽩”資料。“壓縮檔案炸彈”對於檔
案和郵件伺服器尤為危險。如果伺服器使⽤⾃動系統處理接收資訊，則“壓縮檔案炸彈”可能會中斷伺服器執⾏。

這些程式會在不被使⽤者發覺的情況下將⾃⾝安裝到電腦上，
以便入侵者遠端管理電腦。

典型⽊⾺。這些程式僅執⾏⽊⾺的主要功能：封鎖、修改或破壞資訊，以及停⽤電腦或網路。它們沒有任何進階功能，與表中描述的其他類型的⽊⾺不同。
萬能⽊⾺。這些程式具有多種典型⽊⾺類型的進階功能。
勒索⽊
⾺

勒索⽊
⾺

這些⽊⾺將使⽤者資訊作為“⼈質”，修改或封鎖資訊，或者影
響電腦的操作，以使使⽤者無法使⽤資訊。入侵者向使⽤者進⾏勒索，許諾傳送應⽤程式來還原電腦的效能以及電腦上儲存
的資料。

⽊⾺點
擊器

⽊⾺點
擊器

這些⽊⾺透過⾃⾏向瀏覽器傳送指令或變更在作業系統檔案中
指定的網址的⽅式，從使⽤者的電腦存取網⾴。
透過使⽤這些程式，入侵者進⾏網路攻擊並提⾼網站存取量，
從⽽增加條幅廣告的顯⽰次數。

⽊⾺下
載器

⽊⾺下
載器

這些⽊⾺會存取入侵者的網⾴，從中下載其他惡意應⽤程式，並將它們安裝到使⽤者的電腦。這些⽊⾺包含要下載的惡意應
⽤程式的檔案名稱，或從存取的網⾴中接收此檔案名稱。

⽊⾺釋
放器

⽊⾺釋
放器

這些⽊⾺包含安裝在硬碟磁碟機上並隨後進⾏安裝的其他⽊⾺。
入侵者可能會使⽤⽊⾺釋放器類型的程式來達到以下⽬的：838

未通知使⽤者就安裝惡意應⽤程式：⽊⾺釋放器類型的程式不會顯⽰訊息，或者會顯⽰虛假訊息，例如通知壓縮檔
案中存在錯誤或作業系統的版本不相容。
防護另⼀個已知惡意應⽤程式不被偵測：並非所有病毒防護軟體都可偵測到⽊⾺釋放器類型應⽤程式中的惡意應⽤
程式。
通知型
⽊⾺

通知型
⽊⾺

這些⽊⾺會通知入侵者受感染的電腦可供存取，並向入侵者傳
送有關電腦的資訊：IP 位址、已開放埠號或電⼦郵件信箱。它
們透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式與入侵者聯絡。
通知型⽊⾺類型的程式通常⽤於包含多種⽊⾺的集合中。這些⽊⾺會通知入侵者其他⽊⾺已成功安裝到使⽤者的電腦。

代理型
⽊⾺

代理型
⽊⾺

這些⽊⾺允許入侵者使⽤使⽤者的電腦匿名存取網⾴，它們通
常⽤於傳送垃圾郵件。

盜號⽊
⾺

密碼竊
盜軟體

密碼竊盜軟體是竊盜使⽤者帳⼾（如軟體註冊資料）的⼀種⽊⾺。這些密碼會尋找系統檔案和登錄檔中包含的機密資料，並透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式將機密
資料傳送給“攻擊者”。
部分這些⽊⾺分類為此表中敘述的單獨類型。這些⽊⾺會盜竊
銀⾏帳⼾（網銀竊賊⽊⾺），竊取 IM ⽤⼾端使⽤者的資料（IM ⽊⾺），以及盜竊線上遊戲使⽤者的資訊（遊戲竊賊⽊
⾺）。

間諜⽊
⾺

間諜⽊
⾺

這些⽊⾺暗中監視使⽤者，收集有關使⽤者使⽤電腦時所做的
操作的資訊。它們可能會攔截使⽤者透過鍵盤輸入的資料，截
取螢幕，或收集活動應⽤程式的清單。收到資訊後，這些⽊⾺
會透過電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式將資訊傳輸給入侵者。

分散式
拒絕服
務攻擊
⽊⾺

⽊⾺網
路攻擊
者

這些⽊⾺會從使⽤者電腦將⼤量請求傳送⾄遠端伺服器。伺服器缺少資源來處理所有請求，因此會停⽌執⾏（拒絕服務，或簡稱為 DoS）。駭客通常會使⽤這些程式感染許多電腦，以使⽤這些電腦來同時攻擊⼀個伺服器。
DoS 程式在使⽤者知悉的情況下從⼀台電腦發起攻擊。
DDoS（分散式 DoS）程式在不被受感染電腦使⽤者發覺的情況下從多台電腦發起分散式攻擊。

⽊⾺ IM

從 IM ⽤
⼾端使
⽤者那
裡竊取
資訊的
⽊⾺

它們會竊取 IM ⽤⼾端使⽤者的帳⼾和密碼。這些⽊⾺會透過
電⼦郵件、FTP、存取入侵者的網⾴或以其他⽅式將資料傳輸
給入侵者。

Rootkit

Rootkits

這些⽊⾺會掩蓋其他惡意應⽤程式及其活動，從⽽延⻑這些應
⽤程式在作業系統中持續存在的時間。它們還會隱藏檔案、受感染電腦記憶體中的處理程序或執⾏惡意應⽤程式的登錄機碼。Rootkit 會掩蓋使⽤者電腦上的應⽤程式與網路上其他電
腦之間進⾏的資料交換。

⽊⾺
SMS

SMS 格
式的⽊
⾺

這些⽊⾺會感染⼿機，向額外收費的⼿機號碼傳送 SMS。

遊戲竊
賊⽊⾺

從線上
遊戲使
⽤者那
裡竊取

這些⽊⾺會竊取線上遊戲使⽤者的帳⼾憑證，然後將這些憑證
透過電⼦郵件、FTP、存取駭客的網⾴或以其他⽅式傳送給駭
客。
839

資訊的
⽊⾺
網銀竊
賊⽊⾺

竊取銀
⾏帳⼾
的⽊⾺

這些⽊⾺會竊取銀⾏帳⼾資料或電⼦貨幣系統資料，然後將這些資料透過電⼦郵件、FTP、存取駭客的網⾴或以其他⽅式傳
送給駭客。

郵件偵
測⽊⾺

收集電
⼦郵件
信箱的
⽊⾺

這些⽊⾺會收集儲存在電腦上的電⼦郵件信箱，然後透過電⼦
郵件、FTP、存取入侵者的網⾴或以其他⽅式將它們傳送給入侵者。入侵者可能會向收集到的位址傳送垃圾郵件。

惡意⼯具

840

⼦類別：惡意⼯具
危險等級：中與其他類型的惡意軟體不同，惡意⼯具在啟動過後不會執⾏其操作。惡意⼯具可以在使
⽤者的電腦上安全地儲存和啟動。入侵者通常使⽤這些程式的功能來建立病毒、蠕蟲和⽊⾺，對遠端伺服器進⾏網路入侵，攻擊電腦或執⾏其他惡意操作。
惡意⼯具的各種功能按下表中所述的類型進⾏分組。
惡意⼯具的功能

類型

名稱

描述

構建
器

構建器

透過它們可以建立新的病毒、蠕蟲和⽊⾺。⼀些構建器揚⾔構建了基於視窗的標準介⾯，使⽤者可在此介⾯中選擇要建立的惡意
應⽤程式的類型，對付偵錯⼯具的⽅式，以及其他功能。

拒絕
服務
攻擊

網路攻
擊

這些⽊⾺會從使⽤者電腦將⼤量請求傳送⾄遠端伺服器。伺服器
缺少資源來處理所有請求，因此會停⽌執⾏（拒絕服務，或簡稱為 DoS）。

弱點

弱點

弱點是⼀組資料或程式碼，利⽤處理它們的應⽤程式的缺陷對電腦執⾏惡意操作。例如，弱點可以寫入或讀取檔案，或請求“受感染”的網⾴。
不同的弱點會利⽤不同應⽤程式或網路服務的缺陷。弱點會偽裝
成網路封包透過網路傳輸到許多電腦，然後搜尋網路服務存在缺陷的電腦。DOC 檔案中的弱點會利⽤文字編輯器的缺陷。在使
⽤者開啟受感染的檔案時，它可能會開始執⾏駭客程式設計的操作。嵌入在電⼦郵件訊息中的弱點會搜尋電⼦郵件⽤⼾端的缺陷。使⽤者在電⼦郵件⽤⼾端中開啟受感染的郵件時，弱點會立即開始執⾏惡意操作。
網路蠕蟲會使⽤弱點透過網路進⾏傳播。Nuker 弱點是可停⽤電
腦的網路封包。

檔案
加密
器

加密器

加密器會加密其他惡意應⽤程式，以隱藏它們不被防毒應⽤程式
發現。

洪⽔
攻擊
器

⽤於“污
染”網路
的程式

這些程式會透過網路通道傳送⼤量郵件。例如，此類型的⼯具包括污染網際網路中繼聊天的程式。

駭客
⼯具

駭客⼯
具

這些⼯具可以破壞其所在的電腦，或攻擊其他電腦（例如，未經
使⽤者許可新增新系統帳⼾，或清除系統⽇誌以隱藏在作業系統
中的存在路徑）。這種類型的⼯具包括⼀些具有惡意功能的嗅探器，例如密碼截取。嗅探器是允許檢視網路流量的程式。

惡作
劇程
式

惡作劇
程式

這些程式會警告使⽤者類似病毒的訊息：它們可能會在未受感染
的檔案中“偵測到病毒”，或通知使⽤者磁碟已被格式化，儘管這些情況實際並未發⽣。

位址
欺騙
程式

位址欺
騙⼯具

這些⼯具使⽤偽造的寄件者位址傳送郵件和網路請求。例如，入侵者會使⽤位址欺騙程式類型的⼯具來掩蓋他們作為郵件實際寄件者的事實。

病毒
修改

修改惡
意應⽤

透過這些⼯具可以修改其他惡意軟體，隱藏它們不被防毒程式發
現。

洪⽔攻擊器⼯具不包括“污染”電⼦郵件、IM ⽤⼾端以及⾏動通信
系統所使⽤通道的程式。這些程式可分為表中介紹的各種類型（電⼦郵件洪⽔攻擊器、IM 洪⽔攻擊器和 SMS 洪⽔攻擊器）。

841

⼯具

程式的
⼯具

電⼦
郵件
洪⽔
攻擊
器

“污染”
電⼦郵
件信箱
的程式

這些程式會向各種電⼦郵件信箱傳送⼤量郵件，從⽽“污染”這些
位址。⼤量的接收郵件會妨礙使⽤者檢視收件箱中的有⽤郵件。

IM 洪
⽔攻
擊器

“污染”
IM 流量
的程式

它們向 IM 的使⽤者傳送⼤量訊息。⼤量的資訊會妨礙使⽤者檢
視有⽤的接收資訊。

SMS
洪⽔
攻擊
器

使⽤
SMS“污
染”流量
的程式

這些程式向⼿機傳送⼤量 SMS。

廣告軟體⼦類別：廣告軟體；威脅等級：中廣告軟體向使⽤者顯⽰廣告資訊。廣告軟體程式會在其他程式的介⾯中顯⽰條幅廣告，並將搜尋查詢重新導向⾄廣告網⾴。某些廣告軟體程式會收集有關使⽤者的⾏銷資訊，
並將其傳送給開發者：此資訊可能包括使⽤者存取的網站的名稱，或使⽤者搜尋查詢的
內容。與間諜⽊⾺類型的程式不同，廣告軟體程式會在使⽤者許可的情況下將此資訊傳
送給開發者。
⾃動撥號程式842

⼦類別：可能會被犯罪分⼦⽤來破壞電腦或個⼈資料的合法軟體。
危險等級：中⼤多數這些應⽤程式都很有⽤，因此有許多使⽤者使⽤它們。這些應⽤程式包括 IRC ⽤⼾
端、⾃動撥號器、檔案下載程式、電腦系統活動監控器、密碼實⽤程式以及⽤於 FTP、
HTTP 和 Telnet 的網際網路伺服器。
但是，如果入侵者獲得了這些程式的存取權限，或如果他們在使⽤者的電腦上安置這些
程式，應⽤程式的某些功能可能會被⽤來危害安全。
這些應⽤程式具有不同的功能，下表介紹了它們的類型。

類型

名稱

描述

⽤⼾
端
IRC

網際網
路聊天
⽤⼾端

使⽤者安裝這些程式與他⼈進⾏網際網路中繼聊天。入侵者使⽤
這些程式來傳播惡意軟體。

撥號
器

⾃動撥
號程式

它們可以在隱藏模式下透過數據機建立電話連線。

下載
器

⽤於下
載的程
式

這些程式可以在隱藏模式下從網⾴下載檔案。

監控
器

⽤於監
控的程
式

這些程式可監控其安裝到的電腦上的活動（檢視哪些應⽤程式正在活動，以及它們如何與安裝在其他電腦上的應⽤程式交換資
料）。

密碼
⼯具

密碼還
原器

透過它們可以檢視和還原已忘記的密碼。入侵者出於相同的⽬
的，秘密地將它們安置在使⽤者的電腦上。

遠端
管理
程式

遠端管
理程式

系統管理員廣泛使⽤的⼀些程式。透過這些程式可以獲取對遠端電腦介⾯的存取權限，以監控和管理此電腦。入侵者出於同樣的⽬的，秘密地將它們安置在使⽤者的電腦上：⽤於監控和管理遠端電腦。
合法的遠端管理程式與實現遠端管理的後⾨類型的⽊⾺不同。⽊⾺能夠獨⾃入侵作業系統並⾃⾏安裝；合法的程式則無法做到這
些。

FTP
服務
程式

FTP 伺
服器

這些程式可起到 FTP 伺服器的作⽤。入侵者將它們安置在使⽤者
電腦上，以開啟透過 FTP 對此電腦的遠端存取。

代理
服務
程式

代理伺
服器

這些程式可起到代理伺服器的作⽤。入侵者將它們安置在使⽤者
電腦上，以使⽤者名義傳送垃圾郵件。

Telnet服務
程式

Telnet伺服器

這些程式可起到 Telnet 伺服器的作⽤。入侵者將它們安置在使⽤
者電腦上，以開啟透過 Telnet 對此電腦的遠端存取。

Web
服務
程式

Web
伺服器

這些程式可起到 Web 伺服器的作⽤。入侵者將它們安置在使⽤
者電腦上，以開啟透過 HTTP 對此電腦的遠端存取。

風險
⼯具

在本機
電腦上
⼯作的
⼯具

在使⽤者⾃⼰的電腦上⼯作時，這些⼯具會為使⽤者提供其他選項。透過這些⼯具，使⽤者可以隱藏檔案或活動應⽤程式的視
窗，並終⽌活動的處理程序。
843

網路
⼯具

網路⼯
具

與網路上的其他電腦配合⼯作時，這些⼯具會為使⽤者提供其他選項。透過這些⼯具可以進⾏重新啟動，偵測開放的連接埠，以及啟動安裝在電腦上的應⽤程式。

P2P
⽤⼾
端

P2P 網
路⽤⼾
端

透過它們可以在對等網路中⼯作。入侵者可能會利⽤它們傳播惡
意軟體。

⽤⼾
端
SMTP

SMTP
⽤⼾端

它們未經使⽤者的同意便傳送電⼦郵件。入侵者將它們安置在使
⽤者電腦上，以使⽤者名義傳送垃圾郵件。

Web
⼯具
列

Web
⼯具列

它們會向其他應⽤程式的介⾯中新增⼯具列，以使⽤搜尋引擎。

欺騙
⼯具

欺騙程
式

這些程式將⾃⼰偽裝為其他程式。例如，⼀些欺騙防毒程式會顯⽰有關惡意軟體偵測的資訊。但實際上，它們並未找到任何內容
或進⾏解毒。

偵測可被入侵者利⽤以破壞您的電腦或個⼈資料的其他軟體

844

⼦類別：可能會被犯罪分⼦⽤來破壞電腦或個⼈資料的合法軟體。
危險等級：中⼤多數這些應⽤程式都很有⽤，因此有許多使⽤者使⽤它們。這些應⽤程式包括 IRC ⽤⼾
端、⾃動撥號器、檔案下載程式、電腦系統活動監控器、密碼實⽤程式以及⽤於 FTP、
HTTP 和 Telnet 的網際網路伺服器。
但是，如果入侵者獲得了這些程式的存取權限，或如果他們在使⽤者的電腦上安置這些
程式，應⽤程式的某些功能可能會被⽤來危害安全。
這些應⽤程式具有不同的功能，下表介紹了它們的類型。

類型

名稱

描述

⽤⼾
端
IRC

網際網
路聊天
⽤⼾端

使⽤者安裝這些程式與他⼈進⾏網際網路中繼聊天。入侵者使⽤
這些程式來傳播惡意軟體。

撥號
器

⾃動撥
號程式

它們可以在隱藏模式下透過數據機建立電話連線。

下載
器

⽤於下
載的程
式

這些程式可以在隱藏模式下從網⾴下載檔案。

監控
器

⽤於監
控的程
式

這些程式可監控其安裝到的電腦上的活動（檢視哪些應⽤程式正在活動，以及它們如何與安裝在其他電腦上的應⽤程式交換資
料）。

密碼
⼯具

密碼還
原器

透過它們可以檢視和還原已忘記的密碼。入侵者出於相同的⽬
的，秘密地將它們安置在使⽤者的電腦上。

遠端
管理
程式

遠端管
理程式

系統管理員廣泛使⽤的⼀些程式。透過這些程式可以獲取對遠端電腦介⾯的存取權限，以監控和管理此電腦。入侵者出於同樣的⽬的，秘密地將它們安置在使⽤者的電腦上：⽤於監控和管理遠端電腦。
合法的遠端管理程式與實現遠端管理的後⾨類型的⽊⾺不同。⽊⾺能夠獨⾃入侵作業系統並⾃⾏安裝；合法的程式則無法做到這
些。

FTP
服務
程式

FTP 伺
服器

這些程式可起到 FTP 伺服器的作⽤。入侵者將它們安置在使⽤者
電腦上，以開啟透過 FTP 對此電腦的遠端存取。

代理
服務
程式

代理伺
服器

這些程式可起到代理伺服器的作⽤。入侵者將它們安置在使⽤者
電腦上，以使⽤者名義傳送垃圾郵件。

Telnet服務
程式

Telnet伺服器

這些程式可起到 Telnet 伺服器的作⽤。入侵者將它們安置在使⽤
者電腦上，以開啟透過 Telnet 對此電腦的遠端存取。

Web
服務
程式

Web
伺服器

這些程式可起到 Web 伺服器的作⽤。入侵者將它們安置在使⽤
者電腦上，以開啟透過 HTTP 對此電腦的遠端存取。

風險
⼯具

在本機
電腦上
⼯作的
⼯具

在使⽤者⾃⼰的電腦上⼯作時，這些⼯具會為使⽤者提供其他選項。透過這些⼯具，使⽤者可以隱藏檔案或活動應⽤程式的視
窗，並終⽌活動的處理程序。
845

網路
⼯具

網路⼯
具

與網路上的其他電腦配合⼯作時，這些⼯具會為使⽤者提供其他選項。透過這些⼯具可以進⾏重新啟動，偵測開放的連接埠，以及啟動安裝在電腦上的應⽤程式。

P2P
⽤⼾
端

P2P 網
路⽤⼾
端

透過它們可以在對等網路中⼯作。入侵者可能會利⽤它們傳播惡
意軟體。

⽤⼾
端
SMTP

SMTP
⽤⼾端

它們未經使⽤者的同意便傳送電⼦郵件。入侵者將它們安置在使
⽤者電腦上，以使⽤者名義傳送垃圾郵件。

Web
⼯具
列

Web
⼯具列

它們會向其他應⽤程式的介⾯中新增⼯具列，以使⽤搜尋引擎。

欺騙
⼯具

欺騙程
式

這些程式將⾃⼰偽裝為其他程式。例如，⼀些欺騙防毒程式會顯⽰有關惡意軟體偵測的資訊。但實際上，它們並未找到任何內容
或進⾏解毒。

可能被⽤來防護惡意程式碼的封裝物件Kaspersky Endpoint Security 會掃描 SFX（⾃解壓）存檔中的壓縮物件和解壓縮⼯具模組。
為了隱藏危險程式不被防毒應⽤程式發現，入侵者會使⽤特殊解壓縮⼯具存檔這些程式，或建立多重壓縮檔案。
Kaspersky 病毒分析⼈員已識別出駭客最常使⽤的解壓縮⼯具。
如果 Kaspersky Endpoint Security 在檔案中偵測到此種封裝⼯具，則該檔案很可能包含惡
意應⽤程式或可被犯罪分⼦⽤來破壞電腦或個⼈資料的應⽤程式。
Kaspersky Endpoint Security 挑選出了以下類型的程式：

可能帶來危害的壓縮檔案 – ⽤於壓縮惡意軟體，例如病毒、蠕蟲和⽊⾺。
多重壓縮檔案（中等威脅等級）– 透過⼀個或多個封裝⼯具對物件進⾏了三次壓縮。
多重封裝物件846

Kaspersky Endpoint Security 會掃描 SFX（⾃解壓）存檔中的壓縮物件和解壓縮⼯具模組。
為了隱藏危險程式不被防毒應⽤程式發現，入侵者會使⽤特殊解壓縮⼯具存檔這些程式，或建立多重壓縮檔案。
Kaspersky 病毒分析⼈員已識別出駭客最常使⽤的解壓縮⼯具。
如果 Kaspersky Endpoint Security 在檔案中偵測到此種封裝⼯具，則該檔案很可能包含惡
意應⽤程式或可被犯罪分⼦⽤來破壞電腦或個⼈資料的應⽤程式。
Kaspersky Endpoint Security 挑選出了以下類型的程式：

可能帶來危害的壓縮檔案 – ⽤於壓縮惡意軟體，例如病毒、蠕蟲和⽊⾺。
多重壓縮檔案（中等威脅等級）– 透過⼀個或多個封裝⼯具對物件進⾏了三次壓縮。
排除項⽬

此表包含掃描排除項⽬的相關資訊。
可以使⽤以下⽅法從掃描中排除物件：
指定檔案或資料夾的路徑。
輸入物件雜湊。
使⽤遮罩：*（星號）字元代表任意⼀組字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑
中的檔案和資料夾名稱的分隔符號）。例如，遮罩“C:\*\*.txt”將包括位於 C: 磁碟機但
是不在⼦資料夾中所有帶 TXT 副檔名的檔案的路徑。
兩個連續 * 字元在檔案或資料夾名稱中代表任意⼀組字元（包括空集），包括 \ 和 / 字
元（這兩個字元是檔案和資料夾路徑中的檔案和資料夾名稱的分隔符號）。例如，遮罩
C:\Folder\**\*.txt 將包括位於巢嵌在 Folder 內的資料夾（Folder⾃⾝除外）中所有帶 TXT 副檔名的檔案的路徑。遮罩必須包含⾄少⼀個嵌套等級。遮罩 C:\**\*.txt 不是有效遮罩。
?（問號）字元代表任意單個字元，但 \ 和 / 字元除外（這兩個字元是檔案和資料夾路徑
中的檔案和資料夾名稱的分隔符號）。例如，遮罩 C:\Folder\???.txt 將包括位於
Folder 資料夾中所有帶 TXT 副檔名且名稱由三個字元構成的檔案的路徑。
您可以在檔案或者資料夾路徑的任何地⽅使⽤遮罩。例如，如果您想要掃描範圍包括電腦
上的所有使⽤者帳⼾的“下載”資料夾，請輸入 C:\Users\*\Downloads\ 遮罩。
Kaspersky Endpoint Security ⽀援環境變數當使⽤卡巴斯基安全管理中⼼主控台產⽣排除項⽬清單時，Kaspersky Endpoint
Security 不⽀援“%userprofile%”環境變量。若要將項⽬套⽤到所有使⽤者帳⼾，您
可以使⽤ * 字元（例如，C:\Users\*\Documents\File.exe）。無論何時新增新的環境變數，您都需要重啟應⽤程式。
根據 Kaspersky 百科全書 的分類輸入物件的名稱（例如，Email-Worm、Rootkit 或RemoteAdmin）。您可以⽤?字元（替換任何單個字元）和*字元（替換任意數量的字元）來
使⽤遮罩。例如，如果指定了Client*遮罩，則應⽤程式將從掃描中排除Client-IRC、Client-P2P和Client-SMTP物件。
847

受信任
應⽤程
式

此表列出了受信任應⽤程式，其活動在操作過程中不受 Kaspersky Endpoint Security 監控。
Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元。
當在卡巴斯基安全管理中⼼主控台上產⽣受信任應⽤程式清單時，Kaspersky Endpoint
Security 不⽀援“%userprofile%”環境變量。若要將項⽬套⽤到所有使⽤者帳⼾，您可以使
⽤ * 字元（例如，C:\Users\*\Documents\File.exe）。無論何時新增新的環境變數，您都需要重啟應⽤程式。
“應⽤程式控制”元件控制每個應⽤程式的啟動，不管該應⽤程式是否包括在受信任應⽤程式表
中。

繼承時
合併值

這會合併卡巴斯基安全管理中⼼的⽗級和⼦級政策中的掃描排除項⽬和受信任應⽤程式的清單。
要合併清單，必須將⼦政策設定為繼承卡巴斯基安全管理中⼼⽗政策的設定。

（僅在
卡巴斯
基安全
管理中
⼼主控
台中可
⽤）

如果選中此核取⽅塊，則⼦政策中將顯⽰卡巴斯基安全管理中⼼⽗政策的清單項⽬。這樣，您可以（例如）建立整個組織的受信任應⽤程式的合併清單。

允許使
⽤本機
排除項
⽬/允
許使⽤
受信任
應⽤程
式

本機排除項⽬和本機受信任的應⽤程式 – Kaspersky Endpoint Security 中特定電腦的使⽤者定義

（僅在
卡巴斯
基安全
管理中
⼼主控
台中可
⽤）
受信任
的系統
憑證儲
存

⼦政策中繼承的清單項無法被刪除或編輯。在繼承過程中合併的掃描排除項⽬清單和受信任應⽤
程式清單中的項⽬只能在⽗政策中進⾏刪除和編輯。您可以新增、編輯或刪除較低等級之政策中的清單項⽬。
如果⼦政策和⽗政策清單上的項⽬相符，則這些項⽬將顯⽰為⽗政策的同⼀項⽬。
如果未選中該核取⽅塊，則在繼承卡巴斯基安全管理中⼼政策設定時不會合併清單項。
的物件和應⽤程式清單。Kaspersky Endpoint Security不 會監控本機受信任區域中的物件和應⽤
程式。這樣，除了政策中的⼀般受信任區域之外，使⽤者還可以建立⾃⼰的排除項⽬和受信任應
⽤程式”的本機清單。
如果選中此核取⽅塊，則使⽤者可以建立掃描排除項⽬本機清單和受信任應⽤程式本機清單。管
理員可以使⽤卡巴斯基安全管理中⼼檢視、新增、編輯或刪除電腦屬性中的清單項⽬。
如果核取⽅塊被清理，使⽤者只能存取政策中產⽣的掃描排除項⽬和受信任應⽤程式的⼀般清單。

如果選擇了⼀個受信任的系統憑證儲存，則 Kaspersky Endpoint Security 將從掃描中排除使⽤受
信任數位簽章簽名的應⽤程式。Kaspersky Endpoint Security 會⾃動將此類應⽤程式分配給受信任群組。
如果選擇了不使⽤，Kaspersky Endpoint Security 將掃描應⽤程式，無論它們是否具有數位簽章。Kaspersky Endpoint Security 會將應⽤程式放置在某個信任群組中，實際取決於該應⽤程式可能對電腦造成的危險等級⽽定。

應⽤程式設定您可以配置應⽤程式的以下⼀般設定：
操作模式
⾃我防護
848

效能
偵錯資訊
套⽤設定時的電腦狀態
應⽤程式設定

參數

在電腦啟動
時啟動
Kaspersky
Endpoint
Security（建議）使⽤進階解
毒技術 (需要
⼤量電腦資
源)

描述

選中此核取⽅塊後，將在載入作業系統過後啟動 Kaspersky Endpoint Security，從⽽在
整個連線期間防護電腦。
清除此核取⽅塊後，不會在載入作業系統後啟動 Kaspersky Endpoint Security，直到使
⽤者⼿動啟動此軟體。電腦防護已停⽤，使⽤者資料可能受到威脅。
如果選中該核取⽅塊，偵測到作業系統中的惡意活動時螢幕上將顯⽰彈出通知。在此通
知中，Kaspersky Endpoint Security 將提⽰使⽤者執⾏電腦進階解毒。使⽤者批准此過
程後，Kaspersky Endpoint Security 會解毒此威脅。完成進階解毒過程後，Kaspersky
Endpoint Security 重新啟動電腦。進階解毒技術會佔⽤相當多的電腦資源，這可能會降
低其他應⽤程式的執⾏速度。
當應⽤程式偵測活動感染時，作業系統的⼀些功能可能無法使⽤。作業系統的可⽤性將
在進階解毒完成和電腦重新啟動後還原。
如果 Kaspersky Endpoint Security 安裝在執⾏ Windows for Servers 的電腦上，則Kaspersky Endpoint Security 不顯⽰通知。因此，使⽤者無法選擇解毒活動威脅的動作。若要解毒威脅，您需要在應⽤程式設定中啟⽤進階解毒技術，在“惡意軟體掃描 ”⼯作設定中啟⽤立即執⾏進階解毒。然後您需要啟動“惡意軟體掃描”⼯作。

使⽤卡巴斯
基安全管理
中⼼作為啟
動代理伺服
器

如果選中該核取⽅塊，卡巴斯基安全管理中⼼管理伺服器將⽤做啟動應⽤程式時的代理
伺服器。

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）
啟⽤⾃我防
護

當選中此⽅塊時，Kaspersky Endpoint Security 可避免修改或刪除磁碟機中的應⽤程式
檔案、記憶體程序和系統登錄中的項⽬。

啟⽤系統服
務的外部管
理

如果選中此⽅塊，Kaspersky Endpoint Security 將允許遠端電腦管理應⽤程式服務。當
出現遠端系統管理應⽤程式服務的企圖時，⼀條通知將顯⽰在 Microsoft Windows ⼯作
列的應⽤程式圖⽰上⽅（除非使⽤者停⽤了通知服務）。

使⽤電池供
電時延遲排
程⼯作

如果選中此核取⽅塊，則啟⽤節能模式。Kaspersky Endpoint Security 延遲排程⼯作。
如果需要，您可以⼿動啟動掃描和更新⼯作。
啟⽤節能模式且電腦使⽤電池執⾏時，即使排程了以下⼯作，以下⼯作也不會執⾏：

更新
完整掃描
關鍵區域掃描
⾃訂掃描849

完整性檢查
IOC 掃描
將資源讓給
其他應⽤程
式

啟⽤傾印寫
入

Kaspersky Endpoint Security 掃描電腦時消耗的電腦資源可能會增加 CPU 和硬碟磁碟機
⼦系統的負載。這可能減緩其他應⽤程式的速度。為了最佳化效能，Kaspersky
Endpoint Security 提供了⼀種將資源傳輸到其他應⽤程式的模式。在此模式中，當
CPU 負載過⾼時，作業係統可降低 Kaspersky Endpoint Security 掃描⼯作執⾏緒的優先
順序。這可允許重新分配作業係統資源到其他應⽤程式。因此，掃描⼯作將收到更少的
CPU 時間。結果，Kaspersky Endpoint Security 將花更多時間來掃描電腦。預設情況
下，應⽤程式已設定為允許其他應⽤程式使⽤資源。
如果選擇此核取⽅塊，Kaspersky Endpoint Security 將在當機時寫入傾印檔案。
如果清除此核取⽅塊，Kaspersky Endpoint Security 將不再寫入傾印。應⽤程式也會從
電腦硬碟中刪除現有的傾印檔案。

啟⽤傾印和
偵錯檔案防
護

如果選中此核取⽅塊，本機管理員和系統管理員以及啟⽤了傾印寫入的使⽤者可以存取傾印檔案。只有系統和本機管理員可以存取偵錯檔案。

套⽤設定時
的電腦狀態

套⽤政策或執⾏⼯作出錯時，安裝了 Kaspersky Endpoint Security 的⽤⼾端電腦的狀態
在網⾴主控台中的顯⽰設定。以下狀態可以使⽤：正常，警告和緊急。

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）
安裝更新⽽
不重新啟動
電腦

如果清空此核取⽅塊，任何使⽤者可以存取傾印檔案和偵錯檔案。

升級應⽤程式⽽無需重新啟動電腦可讓您確保不中斷的伺服器作業。
從版本 11.10.0 開始您可以升級應⽤程式⽽無需重新啟動。若要升級更早版本的應⽤程式，您必須重新啟動電腦。
從版本 11.11.0 開始，您可以執⾏以下操作⽽無需重啟電腦：安裝修補程式變更應⽤程式元件集合
在 Kaspersky Security for Windows 伺服器上安裝 Kaspersky Endpoint Security
預設參數值因作業系統類型⽽異。如果應⽤程式安裝在⼯作站上，升級應⽤程式⽽無需
重新啟動選項將被停⽤。如果應⽤程式安裝在伺服器上，升級應⽤程式⽽無需重新啟動
選項將被啟⽤。

報告和儲存
報告有關每個 Kaspersky Endpoint Security 元件的操作、資料加密事件、每個掃描⼯作的效能、更新⼯作和完整性檢
查⼯作以及應⽤程式的整體操作的資訊都記錄在報告中。
報告儲存在 C:\ProgramData\Kaspersky Lab\KES.21.14\Report 資料夾中。

備份850

備份區儲存保留在解毒過程中刪除或修改的檔案的備份副本。備份副本是指對檔案進⾏病毒清除或移除前建立的檔案副本。檔案的備份副本以特定格式儲存並且不會帶來威脅。

檔案的備份副本儲存在 C:\ProgramData\Kaspersky Lab\KES.21.14\QB 資料夾中。
管理員群組中的使⽤者被授予存取該資料夾的完整權限。其帳⼾⽤於安裝 Kaspersky Endpoint Security 的使⽤者
被授予該資料夾的有限存取權限。
Kaspersky Endpoint Security 不提供⽤於設定檔備份副本的使⽤者存取權限的功能。

隔離

隔離區是電腦上的⼀個特別本機儲存區域。使⽤者可以隔離使⽤者認為對電腦有危險的檔案。隔離檔案以加密狀
態儲存，不會威脅裝置安全。Kaspersky Endpoint Security 僅在使⽤以下 Detection and Response 解決⽅案時使
⽤隔離：EDR Optimum、EDR Expert、KATA (EDR)、Kaspersky Sandbox。在其他情況下，Kaspersky Endpoint
Security 將相關檔案放置在備份中。若要瞭解將隔離作為解決⽅案的⼀部分進⾏管理的詳情，請參⾒Kaspersky
Sandbox 說明 、Kaspersky Endpoint Detection and Response Optimum 說明 、Kaspersky Endpoint Detection
and Response Expert 說明 、Kaspersky Anti Targeted Attack Platform 說明 。

隔離只能使⽤網⾴主控台進⾏配置。您也可以使⽤網⾴主控台來管理隔離的物件（還原，刪除，新增，等等）。
您可以使⽤命令列在電腦上本機還原物件。.
Kaspersky Endpoint Security 使⽤系統帳⼾ (SYSTEM) 隔離檔案。
報告和儲存的設定

參數

描述

儲存報告時
間不超過 N天

如果選中該核取⽅塊，則最⼤報告儲存期限制為定義的時間隔。預設的報告最⻑儲存期限是30 天。在此時間之後，Kaspersky Endpoint Security 將⾃動移除報告檔案中的最早項⽬。

報告檔案⼤
⼩限制為 NMB

如果選中該核取⽅塊，則最⼤報告檔案⼤⼩限制為定義值。預設情況下，最⼤檔案⼤⼩資料
為 1024 MB。要避免超過最⼤報告檔案容量，當達到最⼤報告檔案容量時，Kaspersky
Endpoint Security 將⾃動刪除報告檔案中的最早項⽬。

儲存物件的
時間不超過
N天

如果選中該核取⽅塊，則最⼤檔案儲存期限制為定義的時間間隔。預設的檔案最⻑儲存期限
是 30 天。最⻑儲存期限超出後，Kaspersky Endpoint Security 將刪除備份區中最舊的檔案。

備份⼤⼩限制為 N MB

如果選中該核取⽅塊，則最⼤儲存⼤⼩限制為定義值。預設情況下，最⼤⼤⼩為 1024 MB。
為避免超過最⼤儲存⼤⼩，當達到最⼤儲存⼤⼩時，Kaspersky Endpoint Security 將⾃動刪
除儲存中的最早檔案。

隔離區⼤⼩
限制為 N
MB

最⼤隔離⼤⼩ (MB)例如，您可以設定最⼤隔離⼤⼩為 200 MB。當隔離達到最⼤⼤⼩時，
Kaspersky Endpoint Security 會發送相應事件到卡巴斯基安全管理中⼼並在Windows 事件記錄中發佈事件。同時，應⽤程式會停⽌隔離新物件。您必須⼿動清空隔離區。

（僅在網⾴
主控台中可
⽤）
通知隔離區
儲存達到 N
百分比

隔離的閾值。例如，您可以設定隔離閾值為 50%。當隔離達到閾值時，Kaspersky Endpoint
Security 會發送相應事件到卡巴斯基安全管理中⼼並在Windows 事件記錄中發佈事件。同時，應⽤程式會繼續隔離新物件。

851

（僅在網⾴
主控台中可
⽤）
到管理伺服
器的資料傳
輸

其資訊必須傳送到管理伺服器的⽤⼾端電腦上的事件類別。

（僅在卡巴
斯基安全管
理中⼼中可
⽤）

網路設定
您可以設定⽤於連線到網際網路和更新病毒資料庫的代理伺服器，選擇網路連接埠監控模式，以及設定加密連線
掃描。
網路選項

參數

描述

連線按流
量收費時
限制流量

如果選擇該核取⽅塊，應⽤程式將在網際網路連線受限時限制其網路流量。Kaspersky Endpoint
Security 會將⾼速移動網際網路連線辨識為受限制連線，將 Wi-Fi 連線辨識為無限制連線。

注入指令
碼到網⾴
流量從⽽
與網⾴互
動

如果選定該核取⽅塊，Kaspersky Endpoint Security 會將網⾴監聽指令碼注入網⾴流量。此指令碼
可確保 Web 控制元件正常⼯作。指令碼將啟⽤ Web 控制事件的註冊。沒有此指令碼，您將無法
⽤使⽤者網際網路活動監控 。

代理伺服
器

⽤於⽤⼾端電腦使⽤者存取網際網路的代理伺服器的設定。Kaspersky Endpoint Security 使⽤這些
設定來配置某些防護元件，包括進⾏與更新資料庫和程式模組有關的配置。

網路數據流量控制可在執⾏ Windows 8 或更⾼版本的電腦上使⽤。

卡巴斯基專家建議將此網⾴交互指令碼注入流量中，以確保 Web 控制的正確運⾏。

為了⾃動配置代理伺服器，Kaspersky Endpoint Security 使⽤了 WPAD 協定（Web 代理⾃動發現定）。如果使⽤該協定無法確定代理伺服器的 IP 位址，則應⽤程式使⽤在 Microsoft Internet
Explorer 瀏覽器設定中指定的代理伺服器位址。
本機位址
不使⽤代
理伺服器

如果選擇此⽅塊，則 Kaspersky Endpoint Security 從共⽤資料夾執⾏更新時不使⽤代理伺服器。

監控的連
接埠

監控所有網路連接埠在此網路連接埠監控模式下，防護元件（檔案威脅防護、Web 威脅防護、郵威脅防護）會監控透過任何開放的電腦網路連接埠傳輸的資料流。
僅監控選中網路連接埠在此網路連接埠監視模式下，防護元件將監控電腦的選定連接埠和選定應
程式的網路活動。通常⽤於傳輸電⼦郵件和網路流量的網路連接埠的清單按照 Kaspersky 專家的
議進⾏配置。
監控卡巴斯基建議的清單中的應⽤程式的所有連接埠這將使⽤其網路連接埠受 Kaspersky Endpoin
Security 監控的應⽤程式的預定義清單。例如，此清單包括 Google Chrome、Adobe Reader、Ja
和其他應⽤程式。
監控指定應⽤程式的所有連接埠這將使⽤其網路連接埠受 Kaspersky Endpoint Security 監控的應
程式清單。

加密連線
掃描

Kaspersky Endpoint Security 掃描透過以下協定傳輸的加密網路流量：
SSL 3.0。
852

TLS 1.0、TLS 1.1、TLS 1.2、TLS 1.3。
Kaspersky Endpoint Security ⽀援以下加密連線掃描模式：
不掃描加密連線Kaspersky Endpoint Security 將無法存取其位址以https://開頭的網站的內容。
根據防護元件的請求掃描加密連線僅在 Web 威脅防護、郵件威脅防護和 Web 控制元件要求時，Kaspersky Endpoint Security 才會掃描加密流量。
始終掃描加密連線即使防護元件被停⽤，Kaspersky Endpoint Security 也會掃描加密的網路流量。
Kaspersky Endpoint Security 不會掃描由停⽤了流量掃描的受信任應⽤程式建立的加密連線。
Kaspersky Endpoint Security 不會掃描預定義的受信任網站清單中的加密連線。預定義的受信
任網站清單由卡巴斯基專家建立。此清單已使⽤應⽤程式的病毒資料庫更新。您只能在Kaspersky Endpoint Security 介⾯中檢視預定義的受信任網站清單。您只能在卡巴斯基安全管
理中⼼主控台中檢視清單。

信任根憑
證

在存取具
有不受信
任憑證的
網域時

信任根憑證清單。如果（例如）您需要部署新認證中⼼，Kaspersky Endpoint Security 可讓您在使
⽤者電腦上安裝受信任根憑證。該應⽤程式可讓您將憑證新增⾄⼀個特殊的 Kaspersky Endpoint
Security 憑證商店。在此情況下，該憑證被認為僅對 Kaspersky Endpoint Security 應⽤程式受信任。換⽽⾔之，使⽤者可以⽤瀏覽器中的新憑證存取網站。如果其它應⽤程式嘗試存取網站，你
因為憑證問題得到⼀個連線錯誤。若要新增⾄系統憑證商店，您可以使⽤ Active Directory 群組政策。
允許當存取具有不受信任憑證的網域時，Kaspersky Endpoint Security 將允許網路連線。
在瀏覽器中開啟具有未受信任憑證的網域時，Kaspersky Endpoint Security 會顯⽰⼀個 HTML⾯，其中顯⽰警告和不建議存取該網域的原因。使⽤者可以點擊 HTML 警告⾴⾯中的連結來獲
取對所請求 Web 資源的存取權限。
如果協⼒廠商應⽤程式或服務與具有不受信任憑證的網域建立連線，Kaspersky Endpoint
Security 將建立⾃⼰的憑證來掃描流量。新憑證的狀態為“不受信任”。這對於警告協⼒廠商應
程式關注不受信任的連線很有必要，因為在此情況下無法顯⽰ HTML ⾴⾯，連線可以在背景模式中建立。
封鎖連線如果選取此選項，當存取具有不受信任憑證的網域時，Kaspersky Endpoint Security
封鎖網路連線。在瀏覽器中開啟具有未受信任憑證的網域時，Kaspersky Endpoint Security 會
⽰⼀個 HTML ⾴⾯，其中顯⽰封鎖該網域的原因。

在出現安
全連線掃
描錯誤時

封鎖連線如果選取此項，在發⽣加密連線掃描錯誤時，Kaspersky Endpoint Security 會封鎖網連線。
將網域新增⾄排除項⽬如果選取此項，在發⽣加密連線掃描錯誤時，Kaspersky Endpoint
Security 將導致錯誤的網域新增到具有掃描錯誤的網域清單中，並且在存取此網域時不監控加
密網路流量。您只能在應⽤程式的本機介⾯中檢視具有加密連線掃描錯誤的網域清單。要清除清單內容，您需要選擇“封鎖連線”。Kaspersky Endpoint Security 還會為加密連線掃描錯誤產⽣
⼀個事件。

封鎖 SSL
2.0 連線(建議)

如果選中該核取⽅塊，應⽤程式將封鎖透過 SSL 2.0 協定建立的網路連線。

解密與使
⽤ EV 憑證的網站EV 憑證（延伸驗證憑證）確認網站的真實性並增強連線的安全性。瀏覽器在網址列中使⽤鎖定圖
⽰來指⽰網站具有 EV 憑證。瀏覽器也可能⽤綠⾊部分或完全渲染網址列。

如果清除該核取⽅塊，應⽤程式不會封鎖透過 SSL 2.0 協定建立的網路連線，並且不監控透過這些
連線傳輸的網路流量。

如果選中該核取⽅塊，應⽤程式將解密並監控具有 EV 憑證的網站的加密連線。
853

之間的加
密連線

如果清除該核取⽅塊，應⽤程式無權存取 HTTPS 流量的內容。為此，應⽤程式僅基於網址（例如https://bing.com）監控 HTTPS 流量。
如果您第⼀次開啟具有 EV 憑證的網站，則無論是否選中該核取⽅塊，加密連線都將被解密。

受信任位
址這將使⽤ Kaspersky Endpoint Security 不對其掃描加密網路連線的網址清單。在此情況下，當 W
威脅防護、郵件威脅防護、Web 控制元件執⾏⼯作時，Kaspersky Endpoint Security 不掃描受信網址的 HTTPS 流量。
您可以輸入網域名稱或 IP 位址。Kaspersky Endpoint Security ⽀援*字元⽤於在網域名稱中輸入遮罩。
Kaspersky Endpoint Security 不⽀援 IP 位址的 * 符號。您可以使⽤⼦網路遮罩（例如，198.51.100.0/24）選擇⼀個 IP 位址範圍。
例如：domain.com – 該記錄包括以下位址：https://domain.com，https://www.domain.com
https://domain.com/page123。該記錄排除⼦網域（例如，subdomain.domain.com）。
subdomain.domain.com – 該記錄包括以下位址：https://subdomain.domain.com，
https://subdomain.domain.com/page123。該記錄排除 domain.com ⼦網域。
*.domain.com – 該記錄包括以下位址：https://movies.domain.com，
https://images.domain.com/page123。該記錄排除 domain.com ⼦網域。

受信任應
⽤程式

其活動在操作過程中不受 Kaspersky Endpoint Security 監控的應⽤程式清單。您可以選擇
Kaspersky Endpoint Security 不會監控的應⽤程式活動的類型（例如，不掃描網路流量）。
Kaspersky Endpoint Security 輸入遮罩時⽀援環境變量以及*和?字元。

使⽤所選
憑證儲存
來掃描
Mozilla 應
⽤程式中
的加密連
線

如果選中此核取⽅塊，則應⽤程式會掃描 Mozilla Firefox 瀏覽器和 Thunderbird 郵件⽤⼾端中的加流量。透過 HTTPS 協定存取⼀些網站可能被封鎖。
若要掃描 Mozilla Firefox 瀏覽器和 Thunderbird 郵件⽤⼾端中的流量，您必須啟⽤加密連線掃描。如果停⽤加密連線掃描，則應⽤程式不會掃描 Mozilla Firefox 瀏覽器和 Thunderbird 郵件⽤
⼾端中的流量。

（僅在

Kaspersky
Endpoint
Security

介⾯中可⽤）

應⽤程式使⽤ Kaspersky 根憑證來解密和分析加密的流量。您可以選擇將包含卡巴斯基根憑證的
證儲存。
使⽤ Windows 憑證儲存(建議)在安裝 Kaspersky Endpoint Security 期間，會將 Kaspersky 根憑證新增到此儲存中。
使⽤ Mozilla 憑證儲存Mozilla Firefox 和 Thunderbird 使⽤它們⾃⼰的憑證儲存。如果選擇了
Mozilla 憑證儲存，則需要通過瀏覽器屬性⼿動將 Kaspersky 根憑證新增到該儲存中。

介⾯
您可以配置應⽤程式介⾯的設定。
介⾯設定

參數

描述
854

使⽤者互動

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）

顯⽰簡化介⾯在⽤⼾端電腦上，主應⽤程式視窗不可存取，只有 Windows 通知區域中的圖
⽰可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint Security 執⾏有限數量的操作。Kaspersky Endpoint Security 還會在應⽤程式圖⽰上⽅顯⽰通知。
顯⽰使⽤者介⾯在⽤⼾端電腦上，Kaspersky Endpoint Security 的主視窗和 Windows 通知
區域中的圖⽰均可⽤。在該圖⽰的內容功能表中，使⽤者可以使⽤ Kaspersky Endpoint
Security 執⾏操作。Kaspersky Endpoint Security 還會在應⽤程式圖⽰上⽅顯⽰通知。
隱藏應⽤程式活動監控區域在⽤⼾端電腦的 Kaspersky Endpoint Security 的主視窗中，應⽤程式活動監控按鈕不可⽤。應⽤程式活動監控是⼀個⽤於即時檢視使⽤者電腦上的應⽤
程式活動資訊的⼯具。
不顯⽰在⽤⼾端電腦上，不顯⽰ Kaspersky Endpoint Security 操作的跡象。Windows 通知
區域中的圖⽰和通知不可⽤。

通知設定

此表包含在元件、⼯作或整個應⽤程式操作過程中可能發⽣的具有不同重要等級的事件的相關通知的設定。Kaspersky Endpoint Security 將在螢幕上顯⽰這些事件的通知，透過電
⼦郵件傳送它們或者在記錄中記錄它們。

電⼦郵件通
知設定

SMTP 伺服器設定，⽤於傳送有關應⽤程式執⾏期間註冊的事件的通知。
預設情況下，Kaspersky Endpoint Security 使⽤來⾃卡巴斯基安全管理中⼼的電⼦郵件通知設定。有關電⼦郵件通知設定的詳細資訊，請參閱卡巴斯基安全管理中⼼說明 。
如果您需要配置單獨的電⼦郵件通知，您可以編輯以下設定：
寄件者郵件信箱寄件者的電⼦郵件信箱。不建議使⽤不存在的位址。
SMTP 伺服器您所在組織的電⼦郵件伺服器的⼀個或多個位址（例如，mail.company.com）。您可以輸入 IP 位址（IPv4 或 IPv6）。
要在 SMTP 伺服器上驗證使⽤者，請在相應欄位中輸入寄件者憑據。要測試電⼦郵件通知，您可以傳送測試訊息。
收件者郵件信箱應⽤程式將向其傳送通知的收件⼈的電⼦郵件信箱。
傳送⽅式電⼦郵件通知的傳送模式。Kaspersky Endpoint Security 可以在事件發⽣時立即傳送訊息；或者，它可以遵循預先配置的時間表。

在通知區域
顯⽰應⽤程
式的狀態

使 Kaspersky Endpoint Security 圖⽰在 Microsoft Windows ⼯作列通知區域中發⽣變化（或 ）並⽣成彈出通知的應⽤程式事件的類別。

本機惡意軟
體資料庫狀
態通知

應⽤程式使⽤的病毒資料庫過期的通知設定。

密碼防護

如果開啟切換按鈕，當使⽤者嘗試執⾏密碼防護範圍內的操作時，Kaspersky Endpoint
Security 將提⽰使⽤者輸入密碼。密碼防護範圍包括禁⽌的操作（如停⽤防護元件）和密碼防護範圍適⽤的使⽤者帳⼾。
啟⽤密碼防護後，Kaspersky Endpoint Security 會提⽰您設定執⾏操作的密碼。

使⽤者⽀援/
網路資源連
結

Web 資源連結清單，包含有關 Kaspersky Endpoint Security 技術⽀援的資訊。所新增的連結顯⽰在 Kaspersky Endpoint Security 本機介⾯的“⽀援”視窗中，⽽不是標準連結。

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）
使⽤者⽀援/
敘述

Kaspersky Endpoint Security 本機介⾯的“⽀援”視窗中顯⽰的訊息。
855

（僅在卡巴
斯基安全管
理中⼼主控
台中可⽤）

監控設定
您可以將當前的 Kaspersky Endpoint Security 設定儲存到檔案中，並使⽤它們在另⼀台電腦上快速配置應⽤程式。透過卡巴斯基安全管理中⼼使⽤安裝套件部署應⽤程式時，也可以使⽤設定檔。您可以隨時還原預設設定 。
應⽤程式配置管理設定僅在 Kaspersky Endpoint Security 介⾯中可⽤。
應⽤程式配置管理設定

設定

描述

匯入

以 CFG 格式獲取應⽤程式設定並應⽤它們。

匯出

以 CFG 格式將⽬前應⽤程式設定儲存⾄檔案。

還原您可以隨時還原卡巴斯基建議的應⽤程式設定 。還原設定之後，應⽤程式將為所有防護元件設定“建議”安全等級。

更新資料庫和程式模組
更新 Kaspersky Endpoint Security 的資料庫和程式模組可為您的電腦提供最新防護。新病毒和其他類型的惡意程
式每天都在全世界出現。Kaspersky Endpoint Security 資料庫包含關於威脅的資訊和解毒的⽅法。要快速侦测到威脅，建議您定期更新資料庫和應⽤程式模組。
定期更新需要⼀份程式要使⽤的活動授權檔案。如果⽬前沒有產品授權，您將只能執⾏⼀次更新。
您的電腦必須連線到網際網路才能成功下載來⾃卡巴斯基更新伺服器的更新資料。預設情況下，系統將⾃動確定
網際網路連線設定。如果您使⽤代理伺服器，則需要設定代理伺服器設定。
透過 HTTPS 協定下載更新。當無法透過 HTTPS 協定下載更新時，也可以透過 HTTP 協定下載。
當執⾏更新時，以下物件將下載並安裝到您的電腦中：
Kaspersky Endpoint Security 資料庫。由於資料庫包含了威脅簽章和關於如何刪除威脅的資訊，電腦因此⽽獲得防護。當搜尋並為受感染檔案解毒時，防護元件將使⽤此資訊。資料庫將不斷更新應對它們的⽅法和新威脅記錄。因此，我們建議您定期更新資料庫。
除了 Kaspersky Endpoint Security 資料庫之外，系統也會更新已啟⽤程式元件以攔截網路流量的網路驅動程
式。
程式模組。除了 Kaspersky Endpoint Security 資料庫，您也可以更新程式模組。更新程式模組可以修復Kaspersky Endpoint Security 中的弱點、新增新功能或強化現有功能。
更新時，您的電腦上的程式模組和資料庫將與最新版本更新來源進⾏對比。如果您⽬前資料庫和程式模組與對應的最新版本不同，缺少的更新部分將安裝在您的電腦上。
856

如果資料庫過期，更新量可能會很⼤，這可能會花費更多的網際網路流量（最多達幾⼗ MB）。
Kaspersky Endpoint Security 資料庫的⽬前狀態相關資訊顯⽰在應⽤程式主視窗中，或者通知區域中當您將游標
懸浮在應⽤程式圖⽰上看到的⼯具提⽰中。
有關更新⼯作執⾏期間更新結果和所有發⽣事件的資訊將記錄在 Kaspersky Endpoint Security 報告中。
應⽤程式模組和資料庫更新設定

參數

描述

資料庫更
新排程

⾃動在該模式下，應⽤程式將按特定頻率檢查更新來源，以確定新更新軟體套件的可⽤性。
檢查更新軟體套件的頻率在病毒爆發期間會增加，在其他時候會減⼩。在偵測到全新的更新
軟體套件之後，Kaspersky Endpoint Security 會下載並將其安裝到您的電腦上。
⼿動使⽤該更新⼯作執⾏模式可以⼿動啟動更新⼯作。
依排程。在該更新⼯作執⾏模式下，Kaspersky Endpoint Security 將按照您已經指定的排程執⾏更新⼯作。如果選擇該更新⼯作執⾏模式，您也可以⼿動啟動 Kaspersky Endpoint Security
更新⼯作。

執⾏略過
的⼯作

如果選擇此⽅塊，Kaspersky Endpoint Security 將在可能的情況下儘快啟動已略過的更新⼯
作。更新⼯作在某些情況下可能被略過，例如，電腦在更新⼯作啟動時關閉。
如果清除此⽅塊，Kaspersky Endpoint Security 不會啟動錯過的更新⼯作。它將按照⽬前排程執⾏下⼀次的更新⼯作。

更新來源

更新來源是包含 Kaspersky Endpoint Security 的資料庫和程式模組更新的資源。
更新來源包括卡巴斯基安全管理中⼼、卡巴斯基更新伺服器、以及網路或本機資料夾。
更新來源的預設清單包括了卡巴斯基安全管理中⼼和卡巴斯基更新伺服器。您可以在清單中新增其他更新來源。您可以指定 HTTP/FTP 伺服器和共⽤資料夾作為更新來源。
除非它們是卡巴斯基的更新伺服器，否則 Kaspersky Endpoint Security 不⽀援來⾃HTTPS 伺服器的更新。
如果選取了多個來源作為更新來源，Kaspersky Endpoint Security 將嘗試從清單頂端開始依次
連接，使⽤從第⼀個可⽤源檢索到的更新資料執⾏更新⼯作。
預設情況下，Kaspersky Endpoint Security 使⽤卡巴斯基安全管理中⼼伺服器作為第⼀個更新來源。這有助於在更新時節省流量。如果政策未被套⽤到電腦，卡巴斯基伺服器將被選為更
新本機⼯作設定中的第⼀個更新來源，因為應⽤程式可能無法存取卡巴斯基安全管理中⼼伺
服器。

執⾏資料
庫更新⾝
分

預設情況下，Kaspersky Endpoint Security 使⽤您⽤來登入作業系統的帳⼾執⾏更新⼯作。但是，Kaspersky Endpoint Security 可以從使⽤者沒有存取權限的更新來源（例如，含有更新資
料的共⽤資料夾）進⾏更新，或者從沒有設定過代理伺服器⾝分驗證的更新來源進⾏更新。
在應⽤程式設定中，您可以指定⼀個擁有以上權限的使⽤者，然後使⽤此使⽤者帳⼾開始Kaspersky Endpoint Security 更新⼯作。

下載應⽤
程式模組
更新

使⽤應⽤程式資料庫更新下載應⽤程式模組更新。
如果選中此⽅塊，Kaspersky Endpoint Security 將會向使⽤者傳送關於可⽤應⽤程式模組更新
的通知，並在執⾏更新⼯作時將應⽤程式模組更新包含到更新軟體套件中。應⽤程式模組更新的⽅式取決於以下設定：
安裝重⼤和指定的更新如果選擇此選項，當有應⽤程式模組更新可⽤時，僅在這些更新透
過應⽤程式介⾯或在卡巴斯基安全管理中⼼⼀側被本機批准後，Kaspersky Endpoint
Security 才會⾃動安裝關鍵更新和所有其他應⽤程式模組更新。
857

僅安裝指定的更新如果選擇此選項，當有應⽤程式模組更新可⽤時，僅在這些更新透過應
⽤程式介⾯或在卡巴斯基安全管理中⼼⼀側被本機批准後，Kaspersky Endpoint Security
才會安裝它們。預設情況下已勾選此選項。
如果不選中此⽅塊，Kaspersky Endpoint Security 將不會向使⽤者傳送關於可⽤應⽤程式
模組更新的通知，並且在執⾏更新⼯作時不將應⽤程式模組更新包含的更新軟體套件中。
如果應⽤程式模組更新需要檢視和接受最終使⽤者產品授權協議，應⽤程式將在最終使
⽤者產品授權協議被接受後，安裝更新。
預設情況下已選擇此核取⽅塊。
將更新複
製到資料
夾

如果選取該核取⽅塊，Kaspersky Endpoint Security 會將更新軟體套件複製到該核取⽅塊下指定的共⽤資料夾。然後，區域網路其他電腦可從此共⽤資料夾中接收更新資料。這可以減少
網際網路流量，因為更新軟體套件僅下載⼀次。預設情況下指定了以下資料夾：C:\ProgramData\Kaspersky Lab\KES.21.14\Update distribution\。

要更新的
代理伺服
器

⽤⼾端電腦使⽤者存取網際網路以更新應⽤程式模組和資料庫的代理伺服器設定。

（僅在

Kaspersky
Endpoint
Security

為了⾃動配置代理伺服器，Kaspersky Endpoint Security 使⽤了 WPAD 協定（Web 代理⾃動發現協定）。如果使⽤該協定無法確定代理伺服器的 IP 位址，則 Kaspersky Endpoint Security
使⽤在 Microsoft Internet Explorer 瀏覽器設定中指定的代理伺服器位址。

介⾯中可
⽤）
對本機位
址不使⽤
代理伺服
器

如果選擇此⽅塊，則 Kaspersky Endpoint Security 從共⽤資料夾執⾏更新時不使⽤代理伺服器。

（僅在

Kaspersky
Endpoint
Security

介⾯中可⽤）

附錄 2。應⽤程式信任群組
Kaspersky Endpoint Security 會將電腦上啟動的所有應⽤程式歸類到信任群組中。系統將根據應⽤程式給作業系
統造成威脅的級別將其歸類到信任群組中。
信任群組的組別類型如下：
受信任此群組中的應⽤程式，將會符合下列其中⼀個或多個條件：
擁有信任開發者數位簽章的應⽤程式。
在應⽤程式資料庫中記錄為卡巴斯基安全網路受信任應⽤程式。
使⽤者將此應⽤程式歸類在信任群組。
不封鎖這些應⽤程式執⾏任何操作。
858

低限制此群組中的應⽤程式，將會符合下列條件：
未獲得信任供應商的數位簽章。
在應⽤程式資料庫中未記錄為卡巴斯基安全網路受信任應⽤程式。
使⽤者會將此應⽤程式歸類在低限制群組。
應⽤程式將受最⼩限制進⾏作業系統資源的存取。
⾼限制此群組中的應⽤程式，將會符合下列條件：
未獲得信任供應商的數位簽章。
在應⽤程式資料庫中未記錄為卡巴斯基安全網路受信任應⽤程式。
使⽤者會將此應⽤程式歸類在⾼限制群組。
將會封鎖這些應⽤程式⼤部分的操作。
不信任此群組中的應⽤程式，將會符合下列條件：
未獲得信任供應商的數位簽章。
在應⽤程式資料庫中未記錄為卡巴斯基安全網路受信任應⽤程式。
使⽤者將此應⽤程式歸類在不信任群組。
對於此類應⽤程式，所有操作都將被禁⽌。

附錄 3。檔案延伸程式，⽤於快速掃描卸除式磁碟機
com – ⼤⼩不超過 64 KB 的應⽤程式的可執⾏檔
exe – 可執⾏檔或⾃解壓存檔sys – Microsoft Windows 系統檔案prg – dBase™ 程式文字、Clipper 或 Microsoft Visual FoxPro®，或 WAVmaker 程式
bin – ⼆進位檔案bat – 批次檔案
cmd – Microsoft Windows NT 的指令檔案（相似於 DOS 的 bat 檔案）、OS/2
dpl – 壓縮的 Borland Delphi 庫
dll – 動態連結程式庫
scr – Microsoft Windows 屏保859

cpl – Microsoft Windows 控制台模組
ocx – Microsoft OLE（物件連結和嵌入）物件
tsp – 以分時模式執⾏的程式
drv – 裝置驅動程式
vxd – Microsoft Windows 虛擬裝置驅動程式
pif – 程式資訊檔案lnk – Microsoft Windows 連結檔案reg – Microsoft Windows 系統登錄機碼檔案ini – 包含 Microsoft Windows、Windows NT 和某些應⽤程式配置資料的設定檔
cla – Java 類
vbs – Visual Basic® 指令碼
vbe – BIOS 影片延伸程式
js, jse – JavaScript source text
htm – 超文字文件
htt – Microsoft Windows 超文字標頭
hta – Microsoft Internet Explorer® 超文字程式
asp – Active Server Pages 指令碼
chm – 編譯的 HTML 檔案
pht – 帶有 PHP 指令碼的 HTML 檔案
php – 集成到 HTML 檔案的指令碼
wsh – Microsoft Windows Script Host 檔案
wsf – Microsoft Windows 指令碼
the – Microsoft Windows 95 桌⾯壁紙檔案
hlp – Win 說明檔案
msg – Microsoft Mail 郵件
plg – 郵件
mbx – 已儲存的 Microsoft O ice Outlook 郵件
860

doc* – Microsoft O ice Word 文件，例如：doc（Microsoft O ice Word 文件）、docx（帶 XML ⽀援的
Microsoft O ice Word 2007 文件）、docm（帶巨集⽀援的 Microsoft O ice Word 2007 文件）
dot* – Microsoft O ice Word 文件模組，例如 dot（Microsoft O ice Word 文件範本）、dotx（Microsoft O ice
Word 2007 文件範本）、dotm（帶巨集⽀援的 Microsoft O ice Word 2007 文件範本）
fpm – 資料庫程式、Microsoft Visual FoxPro 開機檔案
rtf – 富文字格式文件
shs – Windows Shell Scrap Object Handler 片段
dwg – AutoCAD® 圖紙資料庫
msi – Microsoft Windows Installer 安裝套件
otm – 適⽤於 Microsoft O ice Outlook 的 VBA 項⽬
pdf – Adobe Acrobat 文件
swf – Shockwave® Flash 封包文件
jpg, jpeg – 壓縮影像格式
emf – 增強元檔案格式檔案；ico – 物件圖⽰檔案
ov? – Microsoft O ice Word 可執⾏檔xl* – Microsoft O ice Excel 文件和檔案，例如：xla 對應 Microsoft O ice Excel、xlc 對應圖表、xlt 對應文件範本、xlsx 對應 Microsoft O ice Excel 2007 ⼯作簿、xltm 對應⽀援巨集的 Microsoft O ice Excel 2007 ⼯作簿、
xlsb 對應⼆進位格式（非 XML）的 Microsoft O ice Excel 2007 ⼯作簿、xltx 對應於 Microsoft O ice Excel 2007
範本、xlsm 對應於⽀援巨集的 Microsoft O ice Excel 2007 範本、xlam 對應於⽀援巨集的 Microsoft O ice Excel
2007 外掛程式
pp* – Microsoft O ice PowerPoint® 文件和檔案，例如：pps 代表 Microsoft O ice PowerPoint 幻燈片、ppt 代表
幻燈片、pptx 代表 Microsoft O ice PowerPoint 2007 幻燈片、pptm 代表⽀援巨集的 Microsoft O ice
PowerPoint 2007 幻燈片、potx 代表 Microsoft O ice PowerPoint 2007 幻燈片範本、potm 代表⽀援巨集的Microsoft O ice PowerPoint 2007 幻燈片、ppsx 代表 Microsoft O ice PowerPoint 2007 幻燈片、ppsm 代表⽀援巨集的 Microsoft O ice PowerPoint 2007 幻燈片、ppam 代表⽀援巨集的 Microsoft O ice PowerPoint 2007
外掛程式
md* – Microsoft O ice Access® 文件和檔案，例如：mda 代表 Microsoft O ice Access ⼯作群組，mdb 代表資料庫
sldx – Microsoft PowerPoint 2007 幻燈片
sldm – ⽀援巨集的 Microsoft PowerPoint 2007 幻燈片
thmx – Microsoft O ice 2007 主旨

附錄 4。郵件威脅防護附件過濾器的檔案類型
861

請注意檔案的實際格式可能不比對其檔案名副檔名。
如果您啟⽤了電⼦郵件附件篩選，則“郵件威脅防護”元件可能重新命名或刪除帶有以下副檔名的檔案：
com – ⼤⼩不超過 64 KB 的應⽤程式的可執⾏檔
exe – 可執⾏檔或⾃解壓存檔sys – Microsoft Windows 系統檔案prg – dBase™ 程式文字、Clipper 或 Microsoft Visual FoxPro®，或 WAVmaker 程式
bin – ⼆進位檔案bat – 批次檔案
cmd – Microsoft Windows NT 的指令檔案（相似於 DOS 的 bat 檔案）、OS/2
dpl – 壓縮的 Borland Delphi 庫
dll – 動態連結程式庫
scr – Microsoft Windows 屏保
cpl – Microsoft Windows 控制台模組
ocx – Microsoft OLE（物件連結和嵌入）物件
tsp – 以分時模式執⾏的程式
drv – 裝置驅動程式
vxd – Microsoft Windows 虛擬裝置驅動程式
pif – 程式資訊檔案lnk – Microsoft Windows 連結檔案reg – Microsoft Windows 系統登錄機碼檔案ini – 包含 Microsoft Windows、Windows NT 和某些應⽤程式配置資料的設定檔
cla – Java 類
vbs – Visual Basic® 指令碼
vbe – BIOS 影片延伸程式
js, jse – JavaScript source text
htm – 超文字文件

862

htt – Microsoft Windows 超文字標頭
hta – Microsoft Internet Explorer® 超文字程式
asp – Active Server Pages 指令碼
chm – 編譯的 HTML 檔案
pht – 帶有 PHP 指令碼的 HTML 檔案
php – 集成到 HTML 檔案的指令碼
wsh – Microsoft Windows Script Host 檔案
wsf – Microsoft Windows 指令碼
the – Microsoft Windows 95 桌⾯壁紙檔案
hlp – Win 說明檔案
msg – Microsoft Mail 郵件
plg – 郵件
mbx – 已儲存的 Microsoft O ice Outlook 郵件
doc* – Microsoft O ice Word 文件，例如：doc（Microsoft O ice Word 文件）、docx（帶 XML ⽀援的
Microsoft O ice Word 2007 文件）、docm（帶巨集⽀援的 Microsoft O ice Word 2007 文件）
dot* – Microsoft O ice Word 文件模組，例如 dot（Microsoft O ice Word 文件範本）、dotx（Microsoft O ice
Word 2007 文件範本）、dotm（帶巨集⽀援的 Microsoft O ice Word 2007 文件範本）
fpm – 資料庫程式、Microsoft Visual FoxPro 開機檔案
rtf – 富文字格式文件
shs – Windows Shell Scrap Object Handler 片段
dwg – AutoCAD® 圖紙資料庫
msi – Microsoft Windows Installer 安裝套件
otm – 適⽤於 Microsoft O ice Outlook 的 VBA 項⽬
pdf – Adobe Acrobat 文件
swf – Shockwave® Flash 封包文件
jpg, jpeg – 壓縮影像格式
emf – 增強元檔案格式檔案；ico – 物件圖⽰檔案863

ov? – Microsoft O ice Word 可執⾏檔xl* – Microsoft O ice Excel 文件和檔案，例如：xla 對應 Microsoft O ice Excel、xlc 對應圖表、xlt 對應文件範本、xlsx 對應 Microsoft O ice Excel 2007 ⼯作簿、xltm 對應⽀援巨集的 Microsoft O ice Excel 2007 ⼯作簿、
xlsb 對應⼆進位格式（非 XML）的 Microsoft O ice Excel 2007 ⼯作簿、xltx 對應於 Microsoft O ice Excel 2007
範本、xlsm 對應於⽀援巨集的 Microsoft O ice Excel 2007 範本、xlam 對應於⽀援巨集的 Microsoft O ice Excel
2007 外掛程式
pp* – Microsoft O ice PowerPoint® 文件和檔案，例如：pps 代表 Microsoft O ice PowerPoint 幻燈片、ppt 代表
幻燈片、pptx 代表 Microsoft O ice PowerPoint 2007 幻燈片、pptm 代表⽀援巨集的 Microsoft O ice
PowerPoint 2007 幻燈片、potx 代表 Microsoft O ice PowerPoint 2007 幻燈片範本、potm 代表⽀援巨集的Microsoft O ice PowerPoint 2007 幻燈片、ppsx 代表 Microsoft O ice PowerPoint 2007 幻燈片、ppsm 代表⽀援巨集的 Microsoft O ice PowerPoint 2007 幻燈片、ppam 代表⽀援巨集的 Microsoft O ice PowerPoint 2007
外掛程式
md* – Microsoft O ice Access® 文件和檔案，例如：mda 代表 Microsoft O ice Access ⼯作群組，mdb 代表資料庫
sldx – Microsoft PowerPoint 2007 幻燈片
sldm – ⽀援巨集的 Microsoft PowerPoint 2007 幻燈片
thmx – Microsoft O ice 2007 主旨

附錄 5。與外部服務交互的網路設定
Kaspersky Endpoint Security ⽤以下網路設定與外部服務進⾏交互。
網路設定

位址

描述

activationv2.kaspersky.com/activationservice/activationservice.svc

啟動應⽤程式。

通訊協定：HTTPS
連接埠：443
更新資料庫和應⽤程式軟體模
組。

s00.upd.kaspersky.com
s01.upd.kaspersky.com
s02.upd.kaspersky.com
s03.upd.kaspersky.com
s04.upd.kaspersky.com
s05.upd.kaspersky.com
s06.upd.kaspersky.com
s07.upd.kaspersky.com
s08.upd.kaspersky.com
s09.upd.kaspersky.com
s10.upd.kaspersky.com
s11.upd.kaspersky.com
864

s12.upd.kaspersky.com
s13.upd.kaspersky.com
s14.upd.kaspersky.com
s15.upd.kaspersky.com
s16.upd.kaspersky.com
s17.upd.kaspersky.com
s18.upd.kaspersky.com
s19.upd.kaspersky.com
cm.k.kaspersky-labs.com
通訊協定：HTTPS
連接埠：443
downloads.upd.kaspersky.com

更新資料庫和應⽤程式軟體模組。

通訊協定：HTTPS
連接埠：443驗證對卡巴斯基伺服器的存取。如果無法使⽤系統 DNS
存取伺服器，則應⽤程式將使
⽤公⽤ DNS。為了確保更新
病毒資料庫和維持電腦的安全⽔平，這很有必要。
Kaspersky Endpoint Security
按以下順序使⽤下列公⽤DNS 伺服器清單：
1. Google Public DNS(8.8.8.8)。
2. Cloud are DNS (1.1.1.1)。
3. Alibaba Cloud DNS(223.6.6.6)。
4. Quad9 DNS (9.9.9.9)。
5. CleanBrowsing(185.228.168.168)。

865

應⽤程式發出的請求可能
包含使⽤者的網域位址和
公⽤ IP 位址，因為應⽤程
式使⽤ DNS 伺服器建立
TCP/UDP 連線。該資訊需要⽤來（例如）在使⽤HTTPS 時驗證網⾴資源的憑證。如果 Kaspersky
Endpoint Security 使⽤的
是公⽤ DNS 伺服器，則資料處理將受相關服務的隱
私權政策管理。如果您想要防⽌ Kaspersky
Endpoint Security 使⽤公
⽤ DNS 伺服器，請聯絡技術⽀援服務請求私⼈修補程式。

touch.kaspersky.com

接收檢查憑證有效期的受信任時間（TLS 連缐）。

通訊協定：HTTP

當 Web 威脅防護執⾏時在瀏覽器中警告被拒絕的 Web 資
源存取。
更新資料庫和應⽤程式軟體模
組。

p00.upd.kaspersky.com
p01.upd.kaspersky.com
p02.upd.kaspersky.com
p03.upd.kaspersky.com
p04.upd.kaspersky.com
p05.upd.kaspersky.com
p06.upd.kaspersky.com
p07.upd.kaspersky.com
p08.upd.kaspersky.com
p09.upd.kaspersky.com
p10.upd.kaspersky.com
p11.upd.kaspersky.com
p12.upd.kaspersky.com
p13.upd.kaspersky.com
p14.upd.kaspersky.com
p15.upd.kaspersky.com
p16.upd.kaspersky.com
p17.upd.kaspersky.com
p18.upd.kaspersky.com
p19.upd.kaspersky.com
downloads.kaspersky-labs.com
866

cm.k.kaspersky-labs.com
通訊協定：HTTP
連接埠：80
使⽤卡巴斯基安全網路。

ds.kaspersky.com
通訊協定：HTTPS
連接埠：443

使⽤卡巴斯基安全網路。

ksn-a-stat-geo.kaspersky-labs.com
ksn-file-geo.kaspersky-labs.com
ksn-verdict-geo.kaspersky-labs.com
ksn-url-geo.kaspersky-labs.com
ksn-a-p2p-geo.kaspersky-labs.com
ksn-info-geo.kaspersky-labs.com
ksn-cinfo-geo.kaspersky-labs.com
通訊協定：Any
連接埠：443, 1443

跟隨介⾯中的連接。

click.kaspersky.com
redirect.kaspersky.com
通訊協定：HTTPS
設定，⽤於加密位址

描述

crl.kaspersky.com

公鑰基礎結構（PKI）。

ocsp.kaspersky.com
通訊協定：HTTP
連接埠：80附錄 6。應⽤程式事件
有關每個 Kaspersky Endpoint Security 元件的操作、資料加密事件、每個惡意軟體掃描⼯作的完成、更新⼯作和
完整性檢查⼯作以及應⽤程式的整體操作的資訊都記錄在卡巴斯基安全管理中⼼事件⽇誌和 Windows 事件⽇誌中。
Kaspersky Endpoint Security 可產⽣以下類型的事件：⼀般事件和具體事件。具體事件只能由 Kaspersky
Endpoint Security for Windows 建立。具體事件具有簡單 ID，諸如000000cb。具體事件包含以下所需參數：
GNRL_EA_DESCRIPTION 是事件內容。
GNRL_EA_ID 是事件的服務 ID。
GNRL_EA_SEVERITY 是事件狀態。1 – 資訊訊息

，2 – 警告EVENT_TYPE_DISPLAY_NAME 是事件標題。
TASK_DISPLAY_NAME 是發起事件的應⽤程式元件的名稱。
867，3 – 功能故障，4 – 嚴重

。

⼀般事件可以由 Kaspersky Endpoint Security for Windows 以及其它 Kaspersky 應⽤程式（例如，Kaspersky
Security for Windows Server）建立。⼀般事件具有更複雜的 ID，諸如GNRL_EV_VIRUS_FOUND。除了所需設定，⼀般事件包含進階設定。

緊急違反了最終使⽤者產品授權協議

狀態
元件

系統稽核

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

201
GNRL_EV_LICENSE_EXPIRATION

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）產品授權即將到期

狀態
元件
Windows 事件 ID

系統稽核
203

卡巴斯基安全管理中⼼事件 ID

000000cb

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

資料庫遺失或損壞狀態
元件
Windows 事件 ID

系統稽核
206

卡巴斯基安全管理中⼼事件 ID

000000ce

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–資料庫嚴重過期

868

狀態
元件
Windows 事件 ID

系統稽核
207

卡巴斯基安全管理中⼼事件 ID

000000cf

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式⾃動執⾏被停⽤狀態元件
Windows 事件 ID

系統稽核
209

卡巴斯基安全管理中⼼事件 ID

000000d1

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

啟動錯誤

狀態
元件

系統稽核

Windows 事件 ID229

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

偵測到活動威脅。應該啟動進階解毒技術

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
231
000000e7

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

KSN 伺服器不可⽤
869

狀態
元件
Windows 事件 ID

系統稽核
2023

卡巴斯基安全管理中⼼事件 ID

000007e7

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

隔離區儲存空間不⾜狀態元件Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
343
00000157

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件未被從隔離區還原狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
346
0000015a

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件未被從隔離區刪除狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
348
0000015c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式建立了與具有不受信任憑證的網站的連線
870

狀態
元件
Windows 事件 ID

系統稽核
57

卡巴斯基安全管理中⼼事件 ID

00000039

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）驗證加密連線失敗。網域被新增到排除項⽬清單狀態元件
Windows 事件 ID

系統稽核
60

卡巴斯基安全管理中⼼事件 ID

0000003c

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

偵測到惡意物件 (本機資料庫)

871

狀態
元件

檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護
主機入侵防禦
⾏為偵測
弱點利⽤防禦
惡意軟體掃描Windows 事件 ID302

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_VIRUS_FOUND
GNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
當偵測到外部加密共⽤資料夾時，應⽤程式將顯⽰⽬標檔
案的路徑。

GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。
Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）偵測到惡意物件 (KSN)

872

狀態
元件

檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護
主機入侵防禦
⾏為偵測
弱點利⽤防禦
惡意軟體掃描Windows 事件 ID302

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_VIRUS_FOUND_BY_KSN
GNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇
誌（預設）

無法解毒

873

狀態
元件

檔案威脅防護
郵件威脅防護
主機入侵防禦
惡意軟體掃描Windows 事件 ID312卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_NOTCUREDGNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇
誌（預設）

無法刪除

狀態
元件

Windows 事件 ID

檔案威脅防護
主機入侵防禦
⾏為偵測惡意軟體掃描313

卡巴斯基安全管理中⼼事件 ID

00000139

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

處理錯誤

874

狀態
元件

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

檔案威脅防護Web 威脅防護
郵件威脅防護
主機入侵防禦AMSI 防護惡意軟體掃描317
0000013d

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）處理程序已終⽌狀態元件

Windows 事件 ID

檔案威脅防護
主機入侵防禦
⾏為偵測惡意軟體掃描452

卡巴斯基安全管理中⼼事件 ID

000001c4

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

無法終⽌處理程序狀態元件

Windows 事件 ID

檔案威脅防護
主機入侵防禦
⾏為偵測惡意軟體掃描453

卡巴斯基安全管理中⼼事件 ID

000001c5

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–已封鎖危險連結

875

狀態
元件

Web 威脅防護

Windows 事件 ID362

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_VIRUS_FOUND_AND_BLOCKED
GNRL_EA_PARAM_2 是物件路徑。
GNRL_EA_PARAM_5 是根據卡巴斯基分類的物件名稱。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
私有 KSN 偵測到的威脅（denylist）：true 或者
false。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）已開啟危險連結狀態元件

Web 威脅防護

Windows 事件 ID363

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_VIRUS_FOUND_AND_REPORTEDGNRL_EA_PARAM_2 是物件路徑。
GNRL_EA_PARAM_5 是根據卡巴斯基分類的物件名稱。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
私有 KSN 偵測到的威脅（denylist）：true 或者
false。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）876偵測到之前開啟的危險連結狀態
元件

Web 威脅防護

Windows 事件 ID

1201

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_VIRUS_FOUND_AND_PASSEDGNRL_EA_PARAM_2 是物件路徑。
GNRL_EA_PARAM_5 是根據卡巴斯基分類的物件名稱。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
私有 KSN 偵測到的威脅（denylist）：true 或者
false。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）處理程序操作已封鎖

877

狀態
元件

適應性異常控制

Windows 事件 ID

2200

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_ADSEC_DETECT
GNRL_EA_PARAM_1 是適應性異常控制規則的名稱。
GNRL_EA_PARAM_2 是啟發式規則的 ID。
GNRL_EA_PARAM_3 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_4 是來源處理程序。
GNRL_EA_PARAM_5 是來源物件。
GNRL_EA_PARAM_6 是⽬標處理程序。
GNRL_EA_PARAM_7 是⽬標物件。
GNRL_EA_PARAM_8 是被偵測到物件的其它資訊：
來源處理程序 / 物件和⽬標處理程序 / 物件的雜湊。
處理程序被封鎖 (verdict_type): true 或 false。
使⽤者安全 ID (SID)。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

鍵盤未授權

狀態
元件

BadUSB 攻擊防護Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2051
00000803

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）AMSI 請求被封鎖

878

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

AMSI 防護2200
00000898

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

網路活動已封鎖

狀態
元件

防火牆

Windows 事件 ID602

卡巴斯基安全管理中⼼事件 ID

00000329

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

偵測到網路攻擊

879

狀態
元件

網路威脅防護Windows 事件 ID
卡巴斯基安全管理中
⼼事件 ID事件參數

651
GNRL_EV_ATTACK_DETECTEDGNRL_EA_PARAM_1 是攻擊名稱。
GNRL_EA_PARAM_2 是通訊協定。
GNRL_EA_PARAM_3 是作為網路攻擊來源的電腦的 IP 位址。IP 位址按照主
機的位元順序指明。例如，2886729929 對 172.16.0.201。
GNRL_EA_PARAM_4 是連接埠號。
GNRL_EA_PARAM_5 是 IPv6 位址，例如，
12B012B012B012B012B012B012B012B0。
GNRL_EA_PARAM_6 是被網路攻擊針對的電腦的 IP 位址。IP 位址按照主機
的位元順序指明。例如，2886729929 對 172.16.0.201。

Windows 事件⽇誌
（預設）
卡巴斯基安全管理中
⼼事件⽇誌（預設）已禁⽌應⽤程式啟動

880

狀態
元件

應⽤程式控制Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID
事件參數

702
GNRL_EV_APPLICATION_LAUNCH_DENIEDGNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是⼿動建立的類別識別符。
GNRL_EA_PARAM_4 是應⽤程式類別 ID。
GNRL_EA_PARAM_5 是有關應⽤程式的數位簽章的資訊。
GNRL_EA_PARAM_6 是應⽤程式的可執⾏檔（例如，chrome.exe）。
GNRL_EA_PARAM_7 是可執⾏檔路徑。
GNRL_EA_PARAM_8 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_9 是使⽤者努⼒執⾏的應⽤程式的版本。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

封鎖的處理程序在 Kaspersky Endpoint Security 啟動前啟動狀態
元件
Windows 事件 ID

應⽤程式控制710

卡巴斯基安全管理中⼼事件 ID

000002c6

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

存取被拒絕 (本機資料庫)

881

狀態
元件

Web 控制Windows 事件 ID752

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_WEB_URL_BLOCKED
GNRL_EA_PARAM_1 是網址。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是網⾴控制規則的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

存取被拒絕 (KSN)狀態元件

Web 控制Windows 事件 ID752

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_WEB_URL_BLOCKED_BY_KSN
GNRL_EA_PARAM_1 是網址。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是網⾴控制規則的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已禁⽌對該裝置進⾏操作

狀態
元件

裝置控制

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID
事件參數

802
GNRL_EV_DEVCTRL_DEV_PLUG_DENIEDGNRL_EA_PARAM_1 是硬體 ID (HWID)。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）882已封鎖網路連線

狀態元件Windows 事件 ID

裝置控制
809

卡巴斯基安全管理中⼼事件 ID

00000329

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

更新元件錯誤狀態元件
Windows 事件 ID

資料庫更新
1011

卡巴斯基安全管理中⼼事件 ID

000003f3

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）分發元件更新時出錯狀態元件
Windows 事件 ID

資料庫更新
1012

卡巴斯基安全管理中⼼事件 ID

000003f4

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

本機更新錯誤狀態元件
Windows 事件 ID

資料庫更新
1014

卡巴斯基安全管理中⼼事件 ID

000003f6

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–883

網路更新錯誤狀態元件
Windows 事件 ID

資料庫更新
1015

卡巴斯基安全管理中⼼事件 ID

000003f7

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

不能同時執⾏兩項⼯作狀態
元件
Windows 事件 ID

資料庫更新
1017

卡巴斯基安全管理中⼼事件 ID

000003f9

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）驗證應⽤程式資料庫和模組時出錯

狀態元件
Windows 事件 ID

資料庫更新
1018

卡巴斯基安全管理中⼼事件 ID

000003fa

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）與卡巴斯基安全管理中⼼互動時發⽣錯誤狀態元件
Windows 事件 ID

資料庫更新
1019

卡巴斯基安全管理中⼼事件 ID

000003fb

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）884未更新所有元件

狀態元件
Windows 事件 ID

資料庫更新
1021

卡巴斯基安全管理中⼼事件 ID

000003fd

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

成功完成更新，更新發佈失敗狀態元件
Windows 事件 ID

資料庫更新
1023

卡巴斯基安全管理中⼼事件 ID

000003ff

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–內部⼯作錯誤狀態元件
Windows 事件 ID

系統稽核
101

卡巴斯基安全管理中⼼事件 ID

00000065

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

修補程式安裝失敗

狀態
元件
Windows 事件 ID

資料庫更新
2153

卡巴斯基安全管理中⼼事件 ID

00000869

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）885

修補程式回溯失敗

狀態元件
Windows 事件 ID

資料庫更新
2156

卡巴斯基安全管理中⼼事件 ID

0000086c

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）套⽤檔案加密/解密規則時出錯狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
904
00000388

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）檔案加密/解密錯誤

狀態
元件

資料加密

Windows 事件 ID912

卡巴斯基安全管理中⼼事件 ID

GNRL_EV_ENCRYPTION_ERROR事件參數

GNRL_EA_PARAM_1 是檔案路徑。
GNRL_EA_PARAM_2 是錯誤原因。
GNRL_EA_PARAM_3 是裝置類型。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

存取檔案被封鎖

886

狀態
元件

資料加密

Windows 事件 ID940

卡巴斯基安全管理中⼼事件
ID事件參數

GNRL_EV_ENCRYPTION_DATAACCESS_VIOLATIONGNRL_EA_PARAM_1 是⽬標物件。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是正在試圖存取檔案的應⽤程式的可執⾏檔名稱（例如，chrome.exe）。

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件
⽇誌（預設）–

啟⽤攜帶模式時出錯

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
951
000003b7

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

停⽤攜帶模式時出錯

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
953
000003b9

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

建立加密檔案時出錯

887

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
931
000003a3

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）裝置加密/解密時出錯

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1305
00000519

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

無法載入加密模組

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1311
0000051f

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

⽤於管理⾝分驗證代理帳⼾的⼯作最後發⽣錯誤狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1340
0000053c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

無法套⽤政策888

狀態
元件
Windows 事件 ID

系統稽核
1312

卡巴斯基安全管理中⼼事件 ID

00000520

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

FDE 升級失敗

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1342
0000053e

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

FDE 升級回溯失敗(要瞭解更多資訊，請參閱 Kaspersky Endpoint Security for Windows 線上說明)狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1344
00000540

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

Kaspersky Anti Targeted Attack Platform 伺服器不可⽤狀態
元件
Windows 事件 ID

端點感應器
2100

卡巴斯基安全管理中⼼事件 ID

00000834

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）刪除物件失敗889

狀態
元件

Kaspersky Sandbox

Windows 事件 ID2252

卡巴斯基安全管理中⼼事件 ID

000008cc

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

物件未隔離 (Kaspersky Sandbox)狀態元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2603
00000a2b

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）發⽣內部錯誤狀態元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2607
00000a2f

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）無效的 Kaspersky Sandbox 伺服器憑證

狀態
元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2613
00000a35

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

Kaspersky Sandbox 節點無法使⽤
890

狀態
元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2614
00000a36

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）處理 Kaspersky Sandbox 中的物件時發⽣錯誤狀態
元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2617
00000a39

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）已超過 Kaspersky Sandbox 的最⼤負載

狀態
元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2618
00000a3aWindows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–發現 IOC狀態元件

Endpoint Detection and Response

Windows 事件 ID2651

卡巴斯基安全管理中⼼事件 ID

00000a5b

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

Kaspersky Sandbox 產品授權驗證失敗
891

狀態
元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2620
00000a3c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件啟動被封鎖狀態元件

Endpoint Detection and Response

Windows 事件 ID2553

卡巴斯基安全管理中⼼事件 ID

000009f9

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）處理程序啟動被封鎖狀態
元件

Endpoint Detection and Response

Windows 事件 ID2551

卡巴斯基安全管理中⼼事件 ID

000009f7

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

指令碼執⾏已被封鎖狀態元件

Endpoint Detection and Response

Windows 事件 ID2559

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件未隔離 (Endpoint Detection and Response)
892

狀態
元件

Endpoint Detection and Response

Windows 事件 ID2556

卡巴斯基安全管理中⼼事件 ID

000009fc

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）處理程序啟動未被封鎖

狀態
元件

Endpoint Detection and Response

Windows 事件 ID2561

卡巴斯基安全管理中⼼事件 ID

00000a01

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件未被封鎖狀態元件

Endpoint Detection and Response

Windows 事件 ID2562

卡巴斯基安全管理中⼼事件 ID

00000a02

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

指令碼執⾏未被封鎖狀態
元件

Endpoint Detection and Response

Windows 事件 ID2563

卡巴斯基安全管理中⼼事件 ID

00000a03

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）變更應⽤程式元件時出錯
893

狀態
元件
Windows 事件 ID

系統稽核
1401

卡巴斯基安全管理中⼼事件 ID

00000579

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

系統中有可能發⽣暴⼒密碼破解攻擊的模式狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2800
00000af0

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

有可能發⽣ Windows 事件記錄濫⽤的模式

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2801
00000af1

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

代替安裝的新裝置偵測到了非典型操作

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2802
00000af2

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

偵測到使⽤明顯憑據的非典型登入名稱
894

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2803
00000af3

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

系統中有可能發⽣ Kerberos 偽造 PAC (MS14-068) 攻擊的模式狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2804
00000af4

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

在有權限的內建管理員群組中偵測到可疑變更狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2805
00000af5

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

網路登入⼯作階段中偵測到⼀個非典型活動

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2806
00000af6

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）記錄檢查規則被觸發
895

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2807
00000af7

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

非典型事件發⽣太頻繁。事件彙總啟動狀態元件Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2808
00000af8

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）彙總期間的非典型事件報告狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

記錄檢查
2809
00000af9

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

連線到 Kaspersky Anti Targeted Attack Platform 伺服器時發⽣錯誤狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

EDR (KATA)
2850
00000b22

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）無效的 Kaspersky Anti Targeted Attack Platform 伺服器憑證
896

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

EDR (KATA)
2851
00000b23

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）無效的 Kaspersky Anti Targeted Attack Platform 伺服器上的代理的憑證

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

EDR (KATA)
2852
00000b24

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

功能失敗
無法執⾏⼯作狀態元件
Windows 事件 ID

系統稽核
212

卡巴斯基安全管理中⼼事件 ID

000000d4

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

⼯作設定無效，未套⽤設定

897

狀態
元件
Windows 事件 ID

系統稽核
707

卡巴斯基安全管理中⼼事件 ID

000002c3

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）警告
應⽤程式在先前連線中崩潰

狀態
元件

系統稽核

Windows 事件 ID237

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–產品授權即將到期

狀態
元件
Windows 事件 ID

系統稽核
204

卡巴斯基安全管理中⼼事件 ID

000000cc

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）資料庫已過期898

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
208
000000d0

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

⾃動更新已停⽤狀態元件
Windows 事件 ID

系統稽核
210

卡巴斯基安全管理中⼼事件 ID

000000d2

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

⾃我防護被停⽤狀態元件
Windows 事件 ID

系統稽核
211

卡巴斯基安全管理中⼼事件 ID

000000d3

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

防護元件被停⽤狀態元件
Windows 事件 ID

系統稽核
214

卡巴斯基安全管理中⼼事件 ID

000000d6

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

電腦正在安全模式下執⾏
899

狀態
元件
Windows 事件 ID

系統稽核
215

卡巴斯基安全管理中⼼事件 ID

000000d7

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

存在未處理的檔案狀態元件
Windows 事件 ID

系統稽核
216

卡巴斯基安全管理中⼼事件 ID

000000d8

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

群組政策已套⽤

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
219
000000db

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

⼯作已停⽌

狀態
元件
Windows 事件 ID

系統稽核
222

卡巴斯基安全管理中⼼事件 ID

000000de

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

結束並重新開啟應⽤程式以完成更新
900

狀態
元件
Windows 事件 ID

系統稽核
224

卡巴斯基安全管理中⼼事件 ID

0000057b

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）需要重新啟動電腦狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
225
000000e1

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）產品授權允許使⽤尚未安裝的元件

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
226
000000e2

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

進階解毒技術已啟動狀態元件
Windows 事件 ID

系統稽核
232

卡巴斯基安全管理中⼼事件 ID

000000e8

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

進階解毒技術已執⾏完成
901

狀態
元件
Windows 事件 ID

系統稽核
233

卡巴斯基安全管理中⼼事件 ID

000000e9

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

備⽤⾦鑰不正確狀態元件
Windows 事件 ID

系統稽核
230

卡巴斯基安全管理中⼼事件 ID

000000e6

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）訂購即將到期狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
240
000000f0

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

已封鎖

902

狀態
元件

⾏為偵測
弱點利⽤防禦
Web 威脅防護

Windows 事件 ID331

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_BLOCKED
GNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
當偵測到外部加密共⽤資料夾時，應⽤程式將顯⽰⽬標檔案
的路徑。

GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。
Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇
誌（預設）

–

無法從備份區還原物件

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
336
00000150

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

偵測到可疑的網路活動

903

狀態
元件
Windows 事件 ID

系統稽核
2001

卡巴斯基安全管理中⼼事件 ID

000007d1

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

加密連線已終⽌狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
250
000007d3

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）已停⽤參與 KSN狀態
元件
Windows 事件 ID

系統稽核
2021

卡巴斯基安全管理中⼼事件 ID

000007e5

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

已停⽤部分 OS 功能的處理。

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
245
000000f5

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

隔離區儲存幾乎⽤盡空間
904

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
344
00000158

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）已封鎖網路連線

狀態元件Windows 事件 ID

系統稽核
809

卡巴斯基安全管理中⼼事件 ID

00000abe

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

無法建立備份副本

狀態
元件

Windows 事件 ID

檔案威脅防護⾏為偵測主機入侵防禦
惡意軟體掃描310

卡巴斯基安全管理中⼼事件 ID

00000136

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

物件未處理

905

狀態
元件

檔案威脅防護
郵件威脅防護
主機入侵防禦AMSI 防護惡意軟體掃描Windows 事件 ID314

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_REPORTEDGNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇
誌（預設）

物件已加密

狀態
元件
Windows 事件 ID

主機入侵防禦
320

卡巴斯基安全管理中⼼事件 ID

00000140

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

–

物件已損壞

906

狀態
元件

檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護
主機入侵防禦
惡意軟體掃描Windows 事件 ID321

卡巴斯基安全管理中⼼事件 ID

00000141

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

偵測到可被入侵者利⽤以破壞您的電腦或個⼈資料的合法軟體（本機基底）狀態元件

檔案威脅防護Web 威脅防護
郵件威脅防護
主機入侵防禦AMSI 防護⾏為偵測惡意軟體掃描Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID
事件參數

303
GNRL_EV_SUSPICIOUS_OBJECT_FOUND
GNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

偵測到可被入侵者利⽤以破壞您的電腦或個⼈資料的合法軟體 (KSN)

907

狀態
元件

檔案威脅防護Web 威脅防護
郵件威脅防護
主機入侵防禦AMSI 防護⾏為偵測惡意軟體掃描Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID
事件參數

303
GNRL_EV_SUSPICIOUS_OBJECT_FOUND
GNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇
誌（預設）

物件已刪除

908

狀態
元件

檔案威脅防護
郵件威脅防護
主機入侵防禦
弱點利⽤防禦
⾏為偵測惡意軟體掃描Windows 事件 ID307

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_DELETEDGNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇
誌（預設）

物件已解毒

909

狀態
元件

檔案威脅防護
郵件威脅防護
主機入侵防禦
惡意軟體掃描Windows 事件 ID306

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_CUREDGNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）物件將在重新啟動後解毒

狀態
元件

主機入侵防禦
檔案威脅防護惡意軟體掃描Windows 事件 ID324

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–物件將在重新啟動後刪除

910

狀態
元件

⾏為偵測
弱點利⽤防禦
主機入侵防禦
檔案威脅防護惡意軟體掃描Windows 事件 ID323

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–根據設定刪除物件

狀態元件

郵件威脅防護Windows 事件 ID342

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

回溯已完成

狀態
元件

Windows 事件 ID

檔案威脅防護⾏為偵測弱點利⽤防禦
惡意軟體掃描455

卡巴斯基安全管理中⼼事件 ID

000001c7

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

物件下載被封鎖

911

狀態
元件

Web 威脅防護

Windows 事件 ID341

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_BLOCKED
GNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）鍵盤授權錯誤狀態元件

BadUSB 攻擊防護Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2052
00000804

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件掃描結果已傳送⾄協⼒廠商應⽤程式

912

狀態
元件

AMSI 防護Windows 事件 ID

1512

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_OBJECT_REPORTEDGNRL_EA_PARAM_1 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_5 是根據 Kaspersky 分類的威脅名稱，例如，
EICAR-Test-File。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_8 是威脅類型，例如，Trojware。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
卡巴斯基私有安全網路偵測到的威脅（denylist）：true 或者
false。
EDR 版本。
EDR 中的威脅識別符。
物件的 MD5 雜湊。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）⼯作設定已成功套⽤狀態元件
Windows 事件 ID

應⽤程式控制708

卡巴斯基安全管理中⼼事件 ID

000002c4

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）有關不良內容的警告 (本機資料庫)

913

狀態
元件

Web 控制Windows 事件 ID708

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_WEB_URL_WARNING
GNRL_EA_PARAM_1 是網址。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是網⾴控制規則的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）有關不良內容的警告 (KSN)狀態元件

Web 控制Windows 事件 ID708

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_WEB_URL_WARNING
GNRL_EA_PARAM_1 是網址。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是網⾴控制規則的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）在警告後存取了不良內容狀態
元件
Windows 事件 ID

Web 控制754

卡巴斯基安全管理中⼼事件 ID

000002f2

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–已啟動對裝置的暫時存取
914

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

裝置控制
803
000002f2

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

操作被使⽤者取消

狀態元件
Windows 事件 ID

資料庫更新
1016

卡巴斯基安全管理中⼼事件 ID

000003f8

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

使⽤者選擇了結束加密政策

狀態元件
Windows 事件 ID

資料加密
1306

卡巴斯基安全管理中⼼事件 ID

0000051a

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已中斷套⽤檔案加密/解密規則

915

狀態
元件

資料加密

Windows 事件 ID903

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–檔案加密/解密已中斷

狀態
元件

資料加密

Windows 事件 ID914

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已中斷裝置加密/解密狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1303
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

無法在 WinRE 映像中安裝或升級卡巴斯基磁碟加密驅動程式

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1345
00000541

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）916

模組簽章檢查失敗狀態元件
Windows 事件 ID

完整性檢查
2002

卡巴斯基安全管理中⼼事件 ID

000007d2

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已封鎖應⽤程式啟動狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2105
00000839

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）已封鎖開啟文件

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2106
0000083a

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）處理程序已被 Kaspersky Anti Targeted Attack Platform 伺服器管理員終⽌

917

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2112
00000840

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式已被 Kaspersky Anti Targeted Attack Platform 伺服器管理員終⽌狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2113
00000841

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）檔案或串流已被 Kaspersky Anti Targeted Attack Platform 伺服器管理員刪除

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2111
0000083f

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

檔案已被管理員從 Kaspersky Anti Targeted Attack Platform 伺服器上的隔離區還原

918

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2110
0000083e

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

檔案已被管理員在 Kaspersky Anti Targeted Attack Platform 伺服器上隔離狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2109
0000083d

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

所有協⼒廠商應⽤程式的網路活動均已封鎖狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2107
0000083b

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

所有協⼒廠商應⽤程式的網路活動均已解除封鎖

919

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

端點感應器
2108
0000083c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件將在重新啟動後刪除 (Kaspersky Sandbox)狀態元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2605
00000a2d

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

掃描⼯作總⼤⼩超過限制

狀態元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2612
00000a34

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

允許物件啟動。事件已記錄

920

狀態
元件

Endpoint Detection and Response

Windows 事件 ID2553

卡巴斯基安全管理中⼼事件 ID

000009fa

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

允許處理程序啟動，事件已記錄

狀態元件

Endpoint Detection and Response

Windows 事件 ID2554

卡巴斯基安全管理中⼼事件 ID

000009f8

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件將在重新啟動後刪除 (Endpoint Detection and Response)狀態
元件

Endpoint Detection and Response

Windows 事件 ID2558

卡巴斯基安全管理中⼼事件 ID

000009fe

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

網路隔離

921

狀態
元件

Endpoint Detection and Response

Windows 事件 ID2700

卡巴斯基安全管理中⼼事件 ID

00000a8c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

終⽌網路隔離狀態元件

Endpoint Detection and Response

Windows 事件 ID2701

卡巴斯基安全管理中⼼事件 ID

00000a8d

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）要完成此⼯作需要重新啟動狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
225
0000057b

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

傳送給管理員的應⽤程式啟動封鎖訊息

922

狀態
元件

應⽤程式控制Windows 事件 ID503

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_AC_USER_REQUESTGNRL_EA_DESCRIPTION 是傳送給使⽤者的訊息。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_6 是應⽤程式的可執⾏檔（例如，chrome.exe）。
GNRL_EA_PARAM_7 是可執⾏檔路徑。
GNRL_EA_PARAM_8 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_9 是使⽤者努⼒執⾏的應⽤程式的版本。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

傳送給管理員的裝置存取封鎖訊息

狀態
元件

裝置控制

Windows 事件 ID804

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_DC_USER_REQUEST
C_er_descr 是傳送給使⽤者的訊息。
GNRL_EA_PARAM_1 是硬體 ID (HWID)。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

傳送給管理員的網⾴存取封鎖訊息

923

狀態
元件

Web 控制Windows 事件 ID755

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_WC_USER_REQUESTGNRL_EA_DESCRIPTION 是傳送給使⽤者的訊息。
GNRL_EA_PARAM_1 是網址。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已封鎖裝置連接

狀態
元件

裝置控制

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID
事件參數

807
GNRL_EV_DEVCTRL_DEV_PLUG_DENIEDGNRL_EA_PARAM_1 是硬體 ID (HWID)。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

傳送給管理員的應⽤程式活動封鎖訊息

924

狀態
元件

適應性異常控制

Windows 事件 ID503

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_ADSEC_USER_REQUESTGNRL_EA_DESCRIPTION 是傳送給使⽤者的訊息。
GNRL_EA_PARAM_1 是適應性異常控制規則的名稱。
GNRL_EA_PARAM_2 是啟發式規則的 ID。
GNRL_EA_PARAM_3 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_4 是來源處理程序。
GNRL_EA_PARAM_5 是來源物件。
GNRL_EA_PARAM_6 是⽬標處理程序。
GNRL_EA_PARAM_7 是⽬標物件。
GNRL_EA_PARAM_8 是被偵測到物件的其它資訊：
來源處理程序 / 物件和⽬標處理程序 / 物件的雜湊。
處理程序被封鎖 (verdict_type): true 或 false。
使⽤者安全 ID (SID)。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

檔案已修改

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

檔案完整性監控
2900
00000b54

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件變更頻繁。事件彙總已啟動

925

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

檔案完整性監控
2901
00000b55

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）彙總期間的物件修改報告狀態元件Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

檔案完整性監控
2902
00000b56

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

監控範圍包括不正確的物件

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

檔案完整性監控
2903
00000b57

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

資訊訊息
應⽤程式已啟動

926

狀態
元件

系統稽核

Windows 事件 ID235

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

應⽤程式已停⽌

狀態
元件

系統稽核

Windows 事件 ID236

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

⾃我防護限制存取受防護資源

狀態元件
Windows 事件 ID

系統稽核
213

卡巴斯基安全管理中⼼事件 ID

000000d5

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

報告已清除

927

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
217
000000d9

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

群組政策已停⽤狀態元件
Windows 事件 ID

系統稽核
220

卡巴斯基安全管理中⼼事件 ID

000000dc

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式設定已變更狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
218
000000da

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

⼯作已啟動

928

狀態
元件
Windows 事件 ID

系統稽核
221

卡巴斯基安全管理中⼼事件 ID

000000dd

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

⼯作已完成

狀態
元件
Windows 事件 ID

系統稽核
223

卡巴斯基安全管理中⼼事件 ID

000000df

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）產品授權內定義所有程式功能均已安裝並且以正常模式執⾏中狀態
元件
Windows 事件 ID

系統稽核
227

卡巴斯基安全管理中⼼事件 ID

000000e3

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–訂購設定已變更

929

狀態
元件
Windows 事件 ID

系統稽核
238

卡巴斯基安全管理中⼼事件 ID

000000ee

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

訂購已續約

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
239
000000ef

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件已從備份還原

狀態
元件
Windows 事件 ID

系統稽核
335

卡巴斯基安全管理中⼼事件 ID

0000014f

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

使⽤者名稱和密碼輸入

930

狀態
元件
Windows 事件 ID

系統稽核
2000

卡巴斯基安全管理中⼼事件 ID

000007d0

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已啟⽤參與 KSN狀態
元件
Windows 事件 ID

系統稽核
2020

卡巴斯基安全管理中⼼事件 ID

000007e4

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

KSN 伺服器可⽤狀態元件
Windows 事件 ID

系統稽核
2022

卡巴斯基安全管理中⼼事件 ID

000007e6

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式根據當地法律並使⽤當地基礎架構進⾏⼯作和處理資料

931

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
2024
000007e8

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件被從隔離區還原狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
345
00000159

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件被從隔離區刪除狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
347
0000015b

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

物件的備份副本已建立

932

狀態
元件

檔案威脅防護
郵件威脅防護⾏為偵測主機入侵防禦
Kaspersky Sandbox惡意軟體掃描Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

30800000134

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）已被先前解毒的備份覆寫狀態元件

Windows 事件 ID

檔案威脅防護
主機入侵防禦
惡意軟體掃描327

卡巴斯基安全管理中⼼事件 ID

00000147

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

偵測到密碼防護的存檔

933

狀態
元件

檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護
主機入侵防禦
惡意軟體掃描Windows 事件 ID322

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_PASSWD_ARCHIVE_FOUND
GNRL_EA_PARAM_2 是物件名稱。
GNRL_EA_PARAM_3 是物件的建立⽇期（可選）。
GNRL_EA_PARAM_7 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_9 是被偵測到物件的其它資訊：
應⽤程式元件 (引擎 )。
威脅偵測技術 (⽅法 )。
私有 KSN 偵測到的威脅（denylist）：true 或者 false。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

有關所偵測物件的資訊

狀態元件

Windows 事件 ID

檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護
主機入侵防禦
惡意軟體掃描332

卡巴斯基安全管理中⼼事件 ID

0000014c

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

該物件在卡巴斯基私有安全網路允許清單中

934

狀態
元件

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護
主機入侵防禦
惡意軟體掃描340
00000154

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件已重新命名狀態元件

Windows 事件 ID

郵件威脅防護弱點利⽤防禦
⾏為偵測惡意軟體掃描329

卡巴斯基安全管理中⼼事件 ID

00000149

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

物件已處理

狀態
元件

主機入侵防禦
檔案威脅防護Web 威脅防護
郵件威脅防護惡意軟體掃描Windows 事件 ID301

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

已略過物件
935

狀態
元件

主機入侵防禦
檔案威脅防護AMSI 防護惡意軟體掃描Windows 事件 ID315

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

偵測到壓縮檔案

狀態元件

主機入侵防禦
檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護惡意軟體掃描Windows 事件 ID318

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

偵測到封裝物件

狀態元件

主機入侵防禦
檔案威脅防護Web 威脅防護
郵件威脅防護AMSI 防護惡意軟體掃描Windows 事件 ID319

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–936已處理連結狀態元件

Web 威脅防護

Windows 事件 ID361

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已允許應⽤程式啟動狀態元件

應⽤程式控制Windows 事件 ID701卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已選擇更新來源

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1001
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

代理伺服器已選中

937

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1002
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

該連結在卡巴斯基私有安全網路允許清單中狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

Web 威脅防護
37000000172

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式被放置在受信任群組

狀態元件
Windows 事件 ID

主機入侵防禦
401

卡巴斯基安全管理中⼼事件 ID

00000191

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式被放置在受限制群組

938

狀態
元件
Windows 事件 ID

主機入侵防禦
402

卡巴斯基安全管理中⼼事件 ID

00000192

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

主機入侵防禦已觸發狀態
元件
Windows 事件 ID

主機入侵防禦
403

卡巴斯基安全管理中⼼事件 ID

00000193

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

檔案已還原

狀態
元件

Windows 事件 ID⾏為偵測弱點利⽤防禦
主機入侵防禦
457

卡巴斯基安全管理中⼼事件 ID

000001c9

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）登錄檔值已還原

939

狀態
元件
Windows 事件 ID⾏為偵測弱點利⽤防禦
458

卡巴斯基安全管理中⼼事件 ID

000001ca

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–登錄檔值已刪除

狀態
元件
Windows 事件 ID⾏為偵測弱點利⽤防禦
459

卡巴斯基安全管理中⼼事件 ID

000001cb

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–處理程序操作已跳過

940

狀態
元件

適應性異常控制

Windows 事件 ID

2201

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_ADSEC_DETECT
GNRL_EA_PARAM_1 是適應性異常控制規則的名稱。
GNRL_EA_PARAM_2 是啟發式規則的 ID。
GNRL_EA_PARAM_3 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_4 是來源處理程序。
GNRL_EA_PARAM_5 是來源物件。
GNRL_EA_PARAM_6 是⽬標處理程序。
GNRL_EA_PARAM_7 是⽬標物件。
GNRL_EA_PARAM_8 是被偵測到物件的其它資訊：
來源處理程序 / 物件和⽬標處理程序 / 物件的雜湊。
處理程序被封鎖 (verdict_type): true 或 false。
使⽤者安全 ID (SID)。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

鍵盤已授權

狀態
元件

BadUSB 攻擊防護Windows 事件 ID

2050

卡巴斯基安全管理中⼼事件 ID

00000802

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

網路活動已允許

941

狀態
元件

防火牆

Windows 事件 ID

601

卡巴斯基安全管理中⼼事件 ID

00000259

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

禁⽌應⽤程式在測試模式下啟動狀態
元件

應⽤程式控制Windows 事件 ID703

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_APP_LAUNCH_TESTED_DENIEDGNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是⼿動建立的類別識別符。
GNRL_EA_PARAM_4 是帳⼾安全識別符 (SID)。
GNRL_EA_PARAM_5 是有關應⽤程式的數位簽章的資訊。
GNRL_EA_PARAM_6 是應⽤程式的可執⾏檔（例如，chrome.exe）。
GNRL_EA_PARAM_7 是可執⾏檔路徑。
GNRL_EA_PARAM_8 是物件的雜湊 (SHA256)。
GNRL_EA_PARAM_9 是使⽤者努⼒執⾏的應⽤程式的版本。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

允許應⽤程式在測試模式下啟動

942

狀態
元件

應⽤程式控制Windows 事件 ID704

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_APP_LAUNCH_TESTED_ALLOWGNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_3 是⼿動建立的類別識別符。
GNRL_EA_PARAM_4 是帳⼾安全識別符 (SID)。
GNRL_EA_PARAM_5 是有關應⽤程式的數位簽章的資訊。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–開啟了⼀個允許的⾴⾯

狀態元件
Windows 事件 ID

Web 控制751

卡巴斯基安全管理中⼼事件 ID

000002f4

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–已允許對該裝置進⾏操作

狀態
元件
Windows 事件 ID

裝置控制
801

卡巴斯基安全管理中⼼事件 ID

00000321

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–已執⾏檔案操作
943

狀態
元件

裝置控制

Windows 事件 ID808

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_USB_FILE_OPERATIONGNRL_EA_PARAM_1 是檔案操作（寫入或刪除）。
GNRL_EA_PARAM_2 是檔案路徑。
GNRL_EA_PARAM_3 是裝置名稱。
GNRL_EA_PARAM_4 是⼯作階段使⽤者的名稱。
GNRL_EA_PARAM_5 是硬體 ID (HWID)。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–資料庫已經是最新狀態
元件Windows 事件 ID

資料庫更新
1020

卡巴斯基安全管理中⼼事件 ID

000003fc

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–已成功完成更新發佈狀態
元件
Windows 事件 ID

資料庫更新
1022

卡巴斯基安全管理中⼼事件 ID

000003fe

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在下載檔案944

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1003
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

已下載檔案

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1004
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

已安裝檔案

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1005
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

已更新檔案

945

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1006
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

由於更新錯誤，檔案已回溯狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1007
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在更新檔案狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1008
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在分發更新946

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1009
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在回溯檔案狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1010
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在建立下載檔案清單狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
1013
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在下載修補程式

947

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
2150
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在安裝修補程式

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
2151
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已安裝修補程式狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
2152
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

正在回溯修補程式

948

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
2154
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已回溯修補程式狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料庫更新
2155
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已開始套⽤檔案加密/解密規則

狀態元件
Windows 事件 ID

資料加密
901

卡巴斯基安全管理中⼼事件 ID

00000385

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已完成套⽤檔案加密/解密規則

949

狀態
元件
Windows 事件 ID

資料加密
902

卡巴斯基安全管理中⼼事件 ID

00000386

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已還原套⽤檔案加密/解密規則

狀態
元件

資料加密

Windows 事件 ID905

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–檔案加密/解密已啟動

狀態
元件

資料加密

Windows 事件 ID910

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已完成檔案加密/解密

950

狀態
元件

資料加密

Windows 事件 ID

911卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–檔案未被加密，因其屬於排除項⽬的檔案

狀態
元件

資料加密

Windows 事件 ID913

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已啟⽤攜帶模式

狀態
元件

資料加密

Windows 事件 ID950

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已停⽤攜帶模式

951

狀態
元件

資料加密

Windows 事件 ID952

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已開始裝置加密/解密狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1301
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已完成裝置加密/解密狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1302
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已還原裝置加密/解密

952

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1304
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

裝置未加密

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1307
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已將裝置加密/解密過程切換⾄主動模式

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1308
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–已將裝置加密/解密過程切換⾄被動模式

953

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1309
–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–加密模組已載入狀態元件
Windows 事件 ID

資料加密
1310

卡巴斯基安全管理中⼼事件 ID

0000051e

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–已建立新的⾝分驗證代理帳⼾

狀態
元件
Windows 事件 ID

資料加密
1330

卡巴斯基安全管理中⼼事件 ID

00000532

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

已刪除⾝分驗證代理帳⼾

954

狀態
元件
Windows 事件 ID

資料加密
1331

卡巴斯基安全管理中⼼事件 ID

00000533

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

⾝分驗證代理帳⼾密碼已變更狀態元件Windows 事件 ID

資料加密
1332

卡巴斯基安全管理中⼼事件 ID

00000534

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

成功使⽤⾝分驗證代理進⾏登入狀態元件
Windows 事件 ID

資料加密
1333

卡巴斯基安全管理中⼼事件 ID

00000535

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

⾝分驗證代理登入嘗試失敗

955

狀態
元件

資料加密

Windows 事件 ID1334

卡巴斯基安全管理中⼼事件 ID

00000536

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

使⽤⽤於請求加密裝置存取權限的⽅式存取硬碟磁碟機狀態元件
Windows 事件 ID

資料加密
1335

卡巴斯基安全管理中⼼事件 ID

00000537

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

無法使⽤⽤於請求加密裝置存取權限的⽅式存取硬碟磁碟機狀態元件
Windows 事件 ID

資料加密
1336

卡巴斯基安全管理中⼼事件 ID

00000538

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

未新增帳⼾，此帳⼾已存在

956

狀態
元件
Windows 事件 ID

資料加密
1337

卡巴斯基安全管理中⼼事件 ID

00000539

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

未修改帳⼾，此帳⼾不存在狀態元件
Windows 事件 ID

資料加密
1338

卡巴斯基安全管理中⼼事件 ID

0000053a

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–未刪除帳⼾，此帳⼾不存在狀態元件
Windows 事件 ID

資料加密
1339

卡巴斯基安全管理中⼼事件 ID

0000053b

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

FDE 升級成功

957

狀態
元件

資料加密

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

1341
0000053d

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

FDE 升級回溯成功

狀態
元件

資料加密

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

1343
0000053f

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

無法從 WinRE 映像中移除卡巴斯基磁碟加密驅動程式

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1346
00000542

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

BitLocker 還原⾦鑰已變更

958

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1370
0000055a

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

BitLocker 密碼/PIN 已變更狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1371
0000055b

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

BitLocker 還原⾦鑰已儲存到卸除式磁碟機

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

資料加密
1372
0000055c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）對來⾃ Kaspersky Anti Targeted Attack Platform 伺服器的⼯作的處理處於非作⽤中狀態

959

狀態
元件
Windows 事件 ID

端點感應器
2103

卡巴斯基安全管理中⼼事件 ID

00000837

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

Endpoint Sensor 已連線到伺服器

狀態元件
Windows 事件 ID

端點感應器
2101

卡巴斯基安全管理中⼼事件 ID

00000835

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）已還原與 Kaspersky Anti Targeted Attack Platform 伺服器的連線

狀態元件
Windows 事件 ID

端點感應器
2102

卡巴斯基安全管理中⼼事件 ID

00000836

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

正在處理來⾃ Kaspersky Anti Targeted Attack Platform 伺服器的⼯作

960

狀態
元件
Windows 事件 ID

端點感應器
2104

卡巴斯基安全管理中⼼事件 ID

00000838

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

物件已刪除

狀態
元件
Windows 事件 ID

抹除資料
2251

卡巴斯基安全管理中⼼事件 ID

000008cb

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）–

抹除⼯作統計資訊

狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

EDR (KATA)
2853
00000b25

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）狀態元件
Windows 事件 ID

抹除資料
2253

卡巴斯基安全管理中⼼事件 ID

000008cd

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）961

物件已隔離 (Kaspersky Sandbox)狀態元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2602
00000a2aWindows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件已刪除 (Kaspersky Sandbox)狀態元件

Kaspersky Sandbox

Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

2604
00000a2c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–

IOC 掃描已啟動狀態
元件

Endpoint Detection and Response

Windows 事件 ID2652

卡巴斯基安全管理中⼼事件 ID

00000a5c

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

IOC 掃描已完成

962

狀態
元件

Endpoint Detection and Response

Windows 事件 ID2653

卡巴斯基安全管理中⼼事件 ID

00000a5d

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件已隔離 (Endpoint Detection and Response)狀態
元件

Endpoint Detection and Response

Windows 事件 ID2555

卡巴斯基安全管理中⼼事件 ID

000009fb

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）物件已刪除 (Endpoint Detection and Response)狀態
元件

Endpoint Detection and Response

Windows 事件 ID2557

卡巴斯基安全管理中⼼事件 ID

000009fd

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

應⽤程式元件已成功變更

963

狀態
元件
Windows 事件 ID

系統稽核
1402

卡巴斯基安全管理中⼼事件 ID

0000057a

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）狀態元件

Kaspersky Sandbox

Windows 事件 ID2606

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

狀態
元件

Kaspersky Sandbox

Windows 事件 ID2609

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

狀態
元件

Kaspersky Sandbox

Windows 事件 ID2610

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

–

964

狀態
元件

Kaspersky Sandbox

Windows 事件 ID2616

卡巴斯基安全管理中⼼事件 ID–

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）–異步 Kaspersky Sandbox 偵測狀態元件

Kaspersky Sandbox

Windows 事件 ID2619

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_APP_INCIDENT_OCCUREDGNRL_EA_PARAM_1 是 Kaspersky Sandbox 元件設定。
GNRL_EA_PARAM_2 是物件路徑。
GNRL_EA_PARAM_3 是事件 ID。
GNRL_EA_PARAM_4 是物件的雜湊 (SHA256)。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

裝置已連接

狀態
元件

裝置控制

Windows 事件 ID805

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_DEVCTRL_DEV_PLUGGED
GNRL_EA_PARAM_1 是硬體 ID (HWID)。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）965裝置已斷開

狀態
元件

裝置控制

Windows 事件 ID806

卡巴斯基安全管理中⼼事件 ID
事件參數

GNRL_EV_DEVCTRL_DEV_UNPLUGGED
GNRL_EA_PARAM_1 是硬體 ID (HWID)。
GNRL_EA_PARAM_2 是⼯作階段使⽤者的名稱。

Windows 事件⽇誌（預設）–卡巴斯基安全管理中⼼事件⽇誌（預設）

移除先前版本的應⽤程式時發⽣錯誤狀態元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

系統稽核
246
000000f6

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）

成功連線到 Kaspersky Anti Targeted Attack Platform 伺服器

狀態
元件
Windows 事件 ID
卡巴斯基安全管理中⼼事件 ID

EDR (KATA)
2853
00000b25

Windows 事件⽇誌（預設）卡巴斯基安全管理中⼼事件⽇誌（預設）附錄 7。受⽀援的執⾏防護的檔案副檔名
Kaspersky Endpoint Security ⽀援禁⽌在某些應⽤程式中開啟 O ice 格式檔案。有關受⽀援的檔案副檔名和應⽤
程式的資訊請⾒下表。

966

受⽀援的執⾏防護的檔案副檔名

應⽤程式名稱

Microsoft Word可執⾏檔winword.exe

檔案副檔名

rtf
doc
dot
docm
docx
dotx
dotm
docb

WordPadwordpad.exe

docx
rtf

Microsoft Excel

excel.exe

xls
xlt
xlm
xlsx
xlsm
xltx
xltm
xlsb
xla
xlam
xll
xlw

Microsoft PowerPoint

powerpnt.exe

ppt
pot
pps
pptx
pptm
potx
potm
ppam
ppsx
ppsm
sldx
sldm

Adobe Acrobat

acrord32.exe

Foxit PDF Reader

FoxitReader.exe

STDU Viewer

STDUViewerApp.exe

Microsoft Edge

MicrosoftEdge.exe

Google Chrome

chrome.exe

Mozilla Firefox

refox.exe

pdf

967

Yandex Browser

browser.exe

Tor Browser

tor.exe附錄 8。⽀援執⾏防⽌的指令碼解譯器
執⾏防護⽀援以下指令碼解譯器：
AutoHotkey.exe
AutoHotkeyA32.exe
AutoHotkeyA64.exe
AutoHotkeyU32.exe
AutoHotkeyU64.exe
InstallUtil.exe
RegAsm.exe
RegSvcs.exe
autoit.exe
cmd.exe
control.exe
cscript.exe
hh.exemmc.exe
msbuild.exe
mshta.exe
msiexec.exe
perl.exe
powershell.exe
python.exe
reg.exe
regedit.exe
regedt32.exe
968

regsvr32.exe
ruby.exe
rubyw.exe
rundll32.exe
runlegacycplelevated.exe
wscript.exe
wwahost.exe
執⾏防護⽀援與 Java 應⽤程式在 Java 執⾏階段環境中⼀起⼯作（java.exe 和 javaw.exe 處理程序）。

附錄 9。登錄檔中的IOC 掃描範圍 (RegistryItem)當您將 RegistryItem 資料類型新增⾄ IOC 掃描範圍時， Kaspersky Endpoint Security 將掃描以下登錄機碼：
HKEY_CLASSES_ROOT\htafile
HKEY_CLASSES_ROOT\batfile
HKEY_CLASSES_ROOT\exefile
HKEY_CLASSES_ROOT\comfile
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print\Monitors
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\NetworkProvider
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Class
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
HKEY_LOCAL_MACHINE\Software\Classes\piffile
HKEY_LOCAL_MACHINE\Software\Classes\htafile
HKEY_LOCAL_MACHINE\Software\Classes\exefile
HKEY_LOCAL_MACHINE\Software\Classes\comfile969

HKEY_LOCAL_MACHINE\Software\Classes\CLSID
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution
Options
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Aedebug
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

附錄 10。IOC 檔案要求當建立 IOC 掃描⼯作時，請考量以下 IOC 檔 案要求和限制：
應⽤程式在⽤於描述洩露指⽰器的開放標準 OpenIOC 版本 1.0 和 1.1 中⽀援具有 IOC 和 XML 延伸程式的 IOC 檔案。
如果⽤命令⾏建立 IOC 掃描 ⼯作時上傳 IOC 檔案⽽其中⼀些不受⽀援，當執⾏⼯作時，應⽤程式將僅使⽤受
⽀援的 IOC 檔案。如果⽤命令⾏建立 IOC 掃描⼯作時您上傳的所有 IOC 檔案不受⽀援，⼯作仍然可以被執⾏，但是將不會偵測任何洩露指⽰器。無法使⽤網⾴主控台或雲端主控台上傳不受⽀援的 IOC 檔案。
語義錯誤和不受⽀援的 IOC 字詞以及 IOC 檔案中的標籤不會引起⼯作執⾏失敗。在 IOC 檔案的此類區域中，應⽤程式會偵測到不符合。
在單個 IOC 掃描⼯作中使⽤的所有 IOC 檔案的識別碼 必須為唯⼀。如果有識別碼⼀樣的 IOC 檔案，它可能
會影響⼯作執⾏結果。
單個 IOC 檔案的⼤⼩不得超過 2 MB。使⽤更⼤的檔案將引起 IOC 掃描⼯作以錯誤終⽌。新增⾄ IOC 集合的所
有檔案的總⼤⼩不應該超過 10 MB。如果所有檔案的總⼤⼩超過 10 Mb，則需要拆分 IOC 集合並建立多個 IOC
掃描 ⼯作。
建議為每個威脅建立⼀個 IOC 檔案。這會讓分析 IOC 掃描⼯作的結果更容易。
您可以點擊下⾯的連接下載該檔案，它包含⼀個表格，其中有 OpenIOC 標準的 IOC 字詞完整清單。
下載 IOC_TERMS.XLSX 檔案
應⽤程式對 OpenIOC 標準⽀援的功能和限制顯⽰在下表中。
對 OpenIOC 版本 1.0 和 1.1 ⽀援的功能和限制。

受⽀援條件

OpenIOC 1.0:970

是不是 （作為集合中的例外）
包含
不包含（作為集合中的例外）
OpenIOC 1.1:
是
包含
始於
終於
符合
⼤於
⼩於
受⽀援條件屬
性

OpenIOC 1.1:
保留⼤⼩寫
否定

受⽀援運算⼦AND（“與”）OR（“或”）

受⽀援資料類型"date":⽇期（適⽤條件：是，⼤於，⼩於）“int":整數（適⽤條件：是，⼤於，⼩於）"string": 字串（適⽤條件：是，包含，符合，始於，終於）"duration":以秒為單位的持續時間（適⽤條件：是，⼤於，⼩於）

資料類型解譯
的功能“boolean 字串”、”受限字串”、 “md5”、”IP”、 “sha256” 和 “base64Binary” 資料
類型被解譯為字串。
當 int 和 date 資料類型的“內容”設定以間隔的形式設定時，應⽤程式⽀援其解譯：
OpenIOC 1.0:
使⽤“內容”欄位中的“TO”運算⼦：<Content type="int">49600 TO 50700</Content><Content type="date">2009-04-28T10:00:00Z TO 2009-0428T16:00:00Z</Content><Content type="int">[154192 TO 154192]</Content>
OpenIOC 1.1:
使⽤“⼤於”和“⼩於”條件
使⽤“內容”欄位中的“TO”運算⼦
如果指⽰器設定格式為 ISO 8601, Zulu Time Zone, UTC，則應⽤程式⽀援”date”和”
duration”資料類型的解譯。

971

有關協⼒廠商代碼的資訊
有關協⼒廠商代碼的資訊包含在本應⽤程式資料夾中的 legal_notices.txt 內。

972

商標聲明
註冊商標及服務標誌均為其各⾃所有⼈的財產。
Adobe、Acrobat、Flash、Reader 和 Shockwave 是 Adobe 在美國和/或其他國家/地區的註冊商標或商標。
Amazon、Amazon Web Services、AWS 是 Amazon.com, Inc. 或其附屬公司的商標。
Apple、FireWire、iTunes 和 Safari 是 Apple Inc 的商標。
AutoCAD 是 Autodesk, Inc. 和/或其⼦公司/附屬公司在美國和/或其他國家/地區的商標或註冊商標。
Bluetooth 文字、標誌和商標歸 Bluetooth SIG, Inc. 所有。
Borland 是 Borland Software Corporation 的商標或註冊商標。
Android、Google Public DNS，Google Chrome 和 Chrome 是 Google LLC 的商標。
Citrix 和 Citrix Provisioning Services 和 XenDesktop 是 Citrix Systems, Inc. 和/或其⼀個或多個⼦公司的商標，並且可能已在美國專利商標局和其他國家/地區註冊。
Cloud are, Cloud are Workers 和 Cloud are 標誌是 Cloud are, Inc. 在美國和其它司法區域的商標和/或註冊商標。
Dell 和其它商標是 Dell Inc. 或其⼦公司的商標。
dBase 是 dataBased Intelligence, Inc. 的商標
Docker 和 Docker 標誌是 Docker, Inc. 在美國和/或其國家的商標或註冊商標。Docker, Inc. 和其他各⽅也可能擁有此處使⽤的其他條款中的商標權。
EMC 是 EMC 公司在美國和/或其他國家/地區的商標或註冊商標。
Foxit 是 Foxit 公司的註冊商標。
Radmin 是 Famatech 的注冊商標。
IBM 是 International Business Machines Corporation 在全球多個地區註冊的商標。
Intel 是 Intel Corporation 在美國和/或其他國家/地區的商標。
Cisco, Cisco AnyConnect 是 Cisco Systems, Inc. 和/或其分⽀機構在美國和某些其他國家/地區的註冊商標或商標。
Lenovo 和 Lenovo ThinkPad 是聯想在美國和/或其他地區的商標。
Linux 是 Linus Torvalds 在美國和其他國家/地區的註冊商標。
Logitech 是 Logitech 在美國和/或其他國家/地區的注冊商標或商標。
LogMeIn Pro 和 Remotely Anywhere 是 LogMeIn，Inc. 的商標。
Mail.ru 是 Mail.Ru LLC 的註冊商標。
McAfee 是 McAfee LLC 或其⼦公司在美國和/或其它國家/地區的商標或者註冊商標。
973

Microsoft、Microsoft Edge、Access、Active Directory、ActiveSync、Bing、BitLocker、Excel、Internet
Explorer、LifeCam Cinema、MSDN、MultiPoint、Outlook、PowerPoint、PowerShell、Visual Basic、Visual
FoxPro、Windows、Windows PowerShell、Windows Server、Windows Store、MS-DOS、Skype、Surface、
Hyper-V 和 SQL Server 是 Microsoft 集團公司的商標。
Mozilla、Firefox 和 Thunderbird 是 Mozilla Foundation 在美國和其它國家/地區的商標。
NetApp 是 NetApp，Inc.在美國和/或其他國家/地區的商標或註冊商標。
Python 是 Python Software Foundation 的商標或註冊商標。
Java 和 JavaScript 是 Oracle 和/或其附屬公司的註冊商標。
VERISIGN 是 VeriSign，Inc.及其附屬公司在美國和其他地⽅的註冊商標或未註冊商標。
Vmware、VMware ESXi 和 VMware Workstation是 VMware, Inc. 在美國和/或其他地區的註冊商標或商標。
Tor 是 The Tor Project 的註冊商標，美國註冊號 3,465,432。
Thawte 是 Symantec Corporation 或其分⽀機構在美國和其他國家（地區）的的商標或註冊商標。
SAMSUNG 是 SAMSUNG 在美國和其他國家（地區）的商標。

974