Score du script

L'agent Aurora Protect Desktop (version 3.2 et ultérieures) prend en charge le contrôle de script amélioré à l'aide de l'évaluation des scripts pour les scripts actifs et PowerShell. Les scripts dont l'indice de script est dangereux ou anormal peuvent être bloqués et signalés sur la console de gestion conformément à la stratégie de terminal.

Ce tableau décrit le statut du score de script qui apparaît dans la pageProtection > Contrôle de script.

État

Description

Non noté

Ce statut s'affiche si les services Endpoint Defense Cloud n'ont pas pu évaluer un script pour l'une des raisons suivantes :

  • Le terminal n'est pas connecté à Internet.
  • Le terminal n'est pas autorisé à se connecter aux services cloud Endpoint Defense.
  • L'événement de script n'a pas de fichier associé pouvant être noté.
  • Le script est nouveau (par exemple, il s'agit d'un développement sur mesure, récent ou récemment modifié) et n'a pas encore été classé par des sources de renseignement externes ou par une classification manuelle.

Non détecté

Ce statut s'affiche lorsqueEndpoint Defense Cloud a analysé le script et a déterminé qu'il n'est ni suspect ni malveillant. Un script doit avoir été entièrement évalué par le service d'évaluation dans le cloud pour que ce statut s'affiche. Les scripts qui n'ont pas encore été évalués, ou pour lesquels l'évaluation n'a pas pu être menée à bien, s'affichent à la place comme Non noté.

Anormal

Ce statut s'affiche si Endpoint Defense Cloud classe le script comme quelque peu suspect et potentiellement malveillant.

Dangereux

Ce statut s'affiche si Endpoint Defense Cloud classe le script comme véritablement suspect ou absolument malveillant.

Fonctionnement de l'évaluation des scripts

L'évaluation des scripts détermine si une classification existante est disponible pour le script. Les classifications sont accessibles grâce aux mécanismes suivants :

  • Sources de renseignements provenant de tiers
  • Classification manuelle effectuée par un analyste en sécurité

Étant donné que le nombre de scripts possibles est pratiquement illimité, les scripts nouveaux (c'est-à-dire ceux qui sont inédits, développés sur mesure ou récemment modifiés) peuvent ne pas correspondre à une classification existante et sont donc classés comme Non noté.

À quoi s'attendre

Un pourcentage élevé de scripts Non noté est normal dans la plupart des environnements et n'indique pas, en soi, un problème lié au produit. Interprétez Non noté comme signifiant qu'aucune classification n'est disponible, et non comme un verdict de sécurité ou de non-sécurité.

Comportement en mode d'application

Dans les modes d'application Bloquer les scripts dangereux et Bloquer les scripts anormaux et dangereux, les scripts Non noté sont signalés à la console de gestion, mais sont autorisés à s'exécuter. Seuls les scripts ayant reçu une classification correspondant au seuil d'application configuré sont bloqués.

Posture recommandée

L'évaluation des scripts doit être considérée comme un contrôle de sécurité supplémentaire, et non comme un mécanisme de prévention principal. Pour une posture de contrôle des scripts optimale :

  1. Commencez en mode Alerte pour observer l'activité du script.
  2. Identifiez les scripts professionnels fiables et définissez des exclusions très ciblées.
  3. Passez en mode Bloquer avec des exclusions pour les scripts autorisés.

Les modes d'application basés sur l'évaluation (Bloquer les scripts dangereux et Bloquer les scripts anormaux et dangereux) restent utiles lorsque le mode Bloquer s'avère trop restrictif en termes d'utilisation. Cependant, ils doivent être considérés comme un compromis entre sécurité et facilité d'utilisation, plutôt que comme une protection complète contre les nouveaux scripts.

Ces recommandations reflètent les capacités actuelles en matière d'évaluation.