設定惡意程式掃描

建立或編輯惡意程式掃瞄設定

• 在您建立惡意程式掃瞄設定後，您可以將其與政策或電腦中的掃瞄關聯（請參閱 選擇要執行的掃瞄類型）
• 當您編輯政策或電腦防護正在使用的惡意程式掃瞄配置時，變更將影響與該配置相關的掃瞄。

秘訣 要建立類似現有的惡意程式掃瞄設定，請複製現有設定並進行編輯。

• Real-time scan configuration: 控制即時掃瞄。某些操作如 Deny Access 僅適用於即時掃瞄配置。
• Manual/scheduled scan configuration: 控制手動或預約掃瞄。一些選項如 CPU 使用率 僅適用於手動/預約掃瞄配置。

1. 前往Policies → Common Objects → Other → Malware Scan Configurations。
2. 要建立掃瞄設定，請點選New，然後點選New Real-Time Scan Configuration或New Manual/Scheduled Scan Configuration。
   1. 請輸入名稱以識別掃瞄配置。當在政策中配置惡意程式掃瞄時，您會在列表中看到該名稱。
   2. （可選）輸入說明以解釋此配置的使用情境。
3. 要查看和編輯現有的掃瞄配置，請選擇它並點選Properties。
4. 要複製掃瞄配置，請選擇它並點選Duplicate。

秘訣 要查看使用惡意程式掃瞄配置的政策和電腦，請參閱屬性的 AssignedTo 標籤。

測試惡意程式掃描

1. 請確保即時掃瞄已啟動並選擇了一個配置。
2. 前往 EICAR 網站並下載他們的惡意程式防護測試檔案。這個標準化檔案將測試即時掃瞄的防毒能力。該檔案應被隔離。
3. 在 伺服器與工作負載保護 主控台中，前往 Events & Reports → Anti-Malware Events 以驗證 EICAR 檔案偵測的記錄。如果有偵測記錄，則表示惡意程式防護即時掃描運作正常。

注意 在開始之前，請確保在測試手動/預約掃瞄之前已禁用即時掃瞄。

1. 前往Administration。
2. 點選 Scheduled tasks → New。
3. 從下拉選單中選擇Scan Computers for Malware並選擇頻率。根據您所需的規格完成掃瞄配置。
4. 前往 EICAR 網站並下載他們的惡意程式防護測試檔案。這個標準化檔案將測試手動/預約掃瞄的防毒能力。
5. 選擇預約掃瞄並點選Run Task Now。測試檔案應該被隔離。
6. 在 伺服器與工作負載保護 主控台中，前往 Events & Reports → Anti-Malware Events 以驗證 EICAR 檔案偵測的記錄。如果偵測有被記錄，則惡意程式防護手動/預約掃瞄運作正常。

配置惡意程式掃描功能和特性

• 配置惡意程式防護監控級別
• 啟用 AMSI 保護（僅限即時掃描）
• 掃瞄間諜程式和可能的資安威脅程式
• 掃瞄壓縮的可執行檔案（僅限即時掃瞄）
• 掃瞄處理記憶體（僅限即時掃瞄）
• 掃瞄壓縮檔案
• 掃瞄內嵌的 Microsoft Office 物件

• 使用 Machine Learning 偵測新興威脅
• 增強的惡意程式防護和勒索軟體掃描，配合行為監控

配置惡意程式防護監控級別

重要 監控級別僅支援代理版本 20.0.1.25770 及更高版本。不支援的版本使用預設級別 2 - Moderate，且無法更改。 對於 Linux 代理的支援僅限於 64 位元 (x86-64) 和 32 位元 (x86) 系統。部署到其他 Linux 架構的代理使用預設的 2 - Moderate 等級，無法更改。

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤下，於Anti-Malware Monitoring Level中，配置Detection level和Prevention level的設定。

   重要 Prevention level 必須與 Detection level 相同或更低。

3. 按一下「確定」。

秘訣 如果您希望惡意程式防護掃瞄和行為監控排除某些檢測規則，您可以通過前往電腦或政策編輯器的 Anti-Malware → Advanced 標籤，將規則 ID 添加到規則例外列表中。您可以通過查看事件與報告中的事件來找到規則 ID。詳細資訊請參見 建立惡意程式防護例外。

啟用 Windows AMSI 保護（僅限即時掃描）

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤中，選擇Enable AMSI protection。
3. 配置Detection level和Prevention level的設定。

   重要 調整檢測和防護級別僅支援代理版本 20.0.1.25770 及更高版本。不支援的版本使用預設級別 2 - Moderate，且無法更改。 較高的級別提供更高的靈敏度，但可能會產生大量不必要的日誌並影響端點性能。趨勢科技建議選擇2 - Moderate以獲得更相關的資料，並對您的端點影響最小。 Prevention level 必須與 Detection level 相同或更低。 Action to take 的選擇可能會影響所選防護級別所採取的防護措施。

4. 對於 Action to take，請選擇您希望 伺服器與工作負載保護 在檢測到惡意程式時採取的修復行動：
   • Terminate (recommended): 停止執行或運行已檢測到的進程。
   • 暫不處理: 伺服器與工作負載保護 記錄了一個惡意程式防護事件，但未對該過程採取行動。
5. 點選 確定。

掃瞄間諜程式和可能的資安威脅程式

1. 打開惡意程式掃瞄配置的屬性。
2. 在General tab上，選擇Enable spyware/grayware protection。
3. 點選 確定。

掃瞄壓縮的可執行檔案（僅限即時掃瞄）

注意 由於 IntelliTrap 將此類檔案識別為安全風險，並且可能錯誤地封鎖安全檔案，當您啟用 IntelliTrap 時，請考慮將檔案隔離（而不是刪除或清理）。(請參閱 配置如何處理惡意程式。) 如果使用者經常交換即時壓縮的可執行檔案，請關閉 IntelliTrap。IntelliTrap 使用病毒掃瞄引擎、IntelliTrap 病毒碼和 IntelliTrap 例外病毒碼。

注意 對於 macOS 代理程式，不支援 IntelliTrap。

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤上，選擇Enable IntelliTrap。
3. 點選 確定。

掃瞄處理記憶體（僅限即時掃瞄）

重要 掃瞄過程記憶體不支援 Linux 和 macOS 代理。

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤中，選擇Scan process memory for malware。
3. 配置Detection level和Prevention level的設定。

   重要 調整檢測和防護級別僅支援代理版本 20.0.1.25770 及更高版本。不支援的版本使用預設級別 2 - Moderate，且無法更改。 較高的級別提供更高的靈敏度，但可能會產生大量不必要的日誌並影響端點性能。趨勢科技建議選擇2 - Moderate以獲得更相關的資料，並對您的端點影響最小。 Prevention level 必須與 Detection level 相同或更低。 Action to take 的選擇可能會影響所選防護級別所採取的防護措施。

4. 按一下「確定」。

掃瞄壓縮檔案

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced標籤上，選擇Scan compressed files。
3. 指定要提取的內容檔案的最大大小（以MB為單位）、要掃瞄的壓縮層級以及要提取的檔案最大數量。
4. 點選 確定。

掃瞄嵌入的 Microsoft Office 物件

注意 對於 macOS 代理程式，不支援掃描嵌入的 Microsoft Office 物件。

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced tab上，選擇Scan Embedded Microsoft Office Objects。
3. 指定要掃瞄的 OLE 層數。
4. 點選 確定。

啟用通知應用程式的手動掃瞄

• 從電腦防護編輯器或政策編輯器中，點選惡意程式防護標籤。
• 點選General水平標籤。
• 在手動掃瞄部分，點選以選取Allow agent to trigger or cancel a manual scan from Trend Micro's notifier application的核取方塊。

指定要掃瞄的檔案

• 包含項目
• 排除項目
• 掃瞄網路目錄（僅限即時掃瞄）

包含項

1. 打開惡意程式掃瞄配置的屬性。
2. 前往Inclusions標籤。
3. 指定哪個 directories to scan。
   • All directories 包含端點上的所有檔案目錄。
   • Directory List 只掃瞄選定列表中包含的目錄。目錄列表使用特定語法的模式來識別要掃瞄的目錄。(請參見 目錄列表的語法。)
     選擇一個列表使用，或選擇New...來創建一個新列表。點擊編輯以查看或編輯所選列表。
4. 指定哪個 files to scan.
   • All files。包含惡意程式掃瞄中的所有檔案。
   • File types scanned by IntelliScan。IntelliScan 只掃瞄易受感染的檔案類型，例如 .zip 或 .exe。IntelliScan 不依賴副檔名來判斷檔案類型，而是讀取檔案的標頭和內容來決定是否掃瞄該檔案。與掃瞄所有檔案相比，IntelliScan 減少了掃瞄的檔案數量並提高了效能。
   • File Extension List。掃瞄檔案名稱擴展名包含在指定清單中的檔案。檔案擴展名清單使用具有特定語法的模式。（請參見 檔案擴展名清單的語法。）
     選擇一個列表使用，或選擇New...來創建一個新列表。點擊編輯以查看或編輯所選列表。
5. 按一下「確定」。

排除項目

• 如果您正在為 Microsoft Exchange 伺服器建立惡意程式掃瞄設定，請排除 SMEX 隔離資料夾，以避免重新掃瞄已確認為惡意程式的檔案。
• 如果您有大型 VMware 映像檔，若遇到效能問題，請排除包含這些映像檔的目錄。

秘訣 您也可以將由受信任的數位憑證簽署的檔案排除在惡意程式防護掃描之外。此類排除項目在政策或電腦防護設定中定義。（請參閱 排除由受信任憑證簽署的檔案。）

1. 打開惡意程式掃瞄配置的屬性。
2. 前往Exclusions標籤。
3. 選擇一種類型的排除清單以啟用排除。
   • Directory List：選擇以啟用，然後選擇一個列表以排除指定的目錄進行惡意程式掃瞄。詳細資訊請參見 目錄列表語法。
   • File List：選擇以啟用，然後選擇一個列表以排除指定的檔案從惡意程式掃瞄。詳細資訊請參見 檔案列表的語法。
   • File Extension List：選擇以啟用，然後選擇一個列表以排除指定的檔案類型從惡意程式掃瞄。詳細資訊請參見 檔案擴展名列表的語法。
   • Process Image File List：選擇以啟用，然後選擇一個列表以排除指定的處理影像檔案以進行惡意程式掃瞄。處理影像檔案列表的語法（僅限即時掃描）。
4. 要創建新列表，請選擇 New... 作為列表類型。
5. 要檢視或編輯所選列表，請點擊 編輯。
6. 按一下「確定」。

測試檔案排除

注意 在開始之前，請確保即時掃瞄已啟動並選擇了一個配置。

1. 前往Policies → Common Objects → Other → Malware Scan Configurations。
2. 點選 New → New Real-time Scan Configuration。
3. 前往Exclusions標籤，並從目錄列表中選擇New。
4. 命名目錄清單。
5. 在目錄下指定您想要排除在掃瞄之外的目錄路徑。例如，c:\Test Folder\。點選OK。
6. 前往General tab，命名手動掃瞄，然後點選確定。
7. 前往 EICAR 網站 並下載他們的惡意程式防護測試檔案。將檔案儲存在前一步驟中指定的資料夾中。該檔案應被儲存且不被惡意程式防護模組檢測到。

目錄列表的語法

注意 目錄列表項目接受正斜杠 "/" 或反斜杠 "\" 以支援 Windows 和 Linux 規範。

c:\abc #Exclude the abc directory

檔案清單的語法

        Matches:
         ac.ap  a123c.ap  ac.a456p  a123c.a456p Does not match: ad.aa</td>
</tr>
<tr>
    <td>Environment variable</td>
    <td>${ENV VAR}</td>
    <td>Excludes files specified by an environment variable with the format ${ENV VAR}. These can be defined or overridden using <term>Policy or Computer Editor &gt; Settings &gt; General &gt; Environment Variable Overrides.</term></td>
    <td>
        <term>
            ${myDBFile}
        </term>
         Excludes the file "myDBFile".</td>
</tr>
<tr>
    <td>Comments</td>
    <td>FILEPATH #Comment</td>
    <td>Adds a comment to your exclusion definitions.</td>
    <td>
        <codeblock>C:\Documents\abc.doc #This is a comment
    </codeblock>
    </td>
</tr>

檔案副檔名列表的語法

doc #This a comment

處理影像檔案列表的語法（僅限即時掃描）

掃瞄網路目錄（僅限即時掃瞄）

注意 透過 GVFS（適用於 GNOME 桌面的虛擬檔案系統）在 "~/.gvfs" 中存取的資源將被視為本地資源，而非網路磁碟機。

注意 如果在掃描 Windows 的網路資料夾時檢測到病毒，代理程式可能會顯示一些「清除失敗」（刪除失敗）事件。

指定即時掃描發生的時間

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced標籤上，選擇即時掃瞄屬性的一個選項。
3. 點選 確定。

配置如何處理惡意程式

• 自訂惡意程式修復動作
• 生成惡意程式檢測警報

自訂惡意程式修復動作

• Pass: 允許完全存取中毒檔案而不對檔案進行任何操作。（仍會記錄惡意程式防護事件。）

  注意 暫不處理 的補救措施絕不應用於可能的病毒。

• Clean: 在允許完全存取之前清除中毒檔案。如果無法清除該檔案，則將其隔離。
• Delete:在 Linux 上，中毒檔案會被刪除且不會備份。
  在 Windows 上，中毒檔案會先備份然後刪除。Windows 備份檔案可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。
• Deny Access:此中毒處理行動只能在即時掃描期間執行。當伺服器與工作負載保護偵測到嘗試開啟或執行中毒檔案時，會立即阻止該操作。中毒檔案將保持不變。當觸發拒絕存取行動時，中毒檔案會保留在其原始位置資訊。

  注意 當 即時掃瞄 設定為 During Write 時，請勿使用補救措施 Deny Access。當選擇 During Write 時，檔案在寫入時會被掃描，並且動作 Deny Access 無效。

• Quarantine:將中毒檔案移至電腦防護或虛擬裝置上的隔離目錄。隔離的檔案可以在Events & Reports → Events → Anti-Malware Events → Identified Files中查看和還原。

  注意 在 Linux 上標記為 Quarantined 的惡意程式在 Windows 上可能會標記為 Deleted，儘管這兩個作業系統上的惡意程式是相同的。在任何情況下，該檔案都可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。

  注意 在 Windows 上，中毒的非壓縮檔案（例如 .txt 檔案）會被隔離，而中毒的壓縮檔案（例如 .zip 檔案）會被刪除。在 Windows 上，無論是被隔離或刪除的檔案都有備份，可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。在 Linux 上，所有中毒的檔案（無論是壓縮或非壓縮）都會被隔離，並且可以在 Events & Reports → Events → Anti-Malware Events → Identified Files 中 查看和還原。

注意 對於 macOS 代理程式，支援的自訂動作包括病毒、木馬和間諜程式。

1. 打開惡意程式掃瞄配置的屬性。
2. 在Advanced標籤上，為Remediation Actions選擇Custom。
3. 指定要採取的動作：
   • 若要讓 ActiveAction 決定要採取的動作，請選擇 Use action recommended by ActiveAction。
   • 要為每種類型的弱點指定操作，請選擇Use custom actions，然後選擇要使用的操作。
4. 指定對可能的惡意程式採取的動作。
5. 點選 確定。

ActiveAction 動作

注意 當代理程式從主動式更新伺服器或中繼站下載病毒碼更新時，可能會更改其 ActiveAction 掃瞄動作。

生成惡意程式檢測警報

1. 打開惡意程式掃瞄配置的屬性。
2. 在General標籤上，為警訊選擇Alert when this Malware Scan Configuration logs an event。
3. 點選 確定。

通過檔案雜湊摘要識別惡意程式檔案

1. 打開您要配置的策略或電腦防護編輯器。
2. 點選 Anti-Malware → Advanced。
3. 在File Hash Calculation下，清除Default或Inherited複選框。（Default顯示於根策略，Inherited顯示於子策略）。

   注意 當選取Inherited時，檔案雜湊設定會從目前策略的父策略繼承。

   注意 當選擇Default時，伺服器與工作負載保護不會計算任何雜湊值。

4. 選擇Calculate hash values of all anti-malware events。
5. 預設情況下，伺服器與工作負載保護 將生成 SHA-1 雜湊值。如果您想生成其他雜湊值，您可以選擇 MD5 和/或 SHA256。
6. 您也可以更改將計算雜湊值的惡意程式檔案的最大大小。預設情況下，會跳過大於 128MB 的檔案，但您可以將該值更改為 64 到 512 MB 之間的任何值。

在電腦防護上配置通知

1. 前往電腦防護或政策編輯器。
2. 點選左側的設定。
3. 將 Suppress all pop-up notifications on host 設定為 是。這些訊息仍會在 伺服器與工作負載保護 中顯示為警報或事件。欲了解有關通知器的詳細資訊，請參閱 通知器。

當 伺服器與工作負載保護 無法存取時執行預約掃瞄

注意 此功能在 Windows 上的 20.0.3445+ 版本代理中受支持。

1. 前往電腦防護或政策編輯器。
2. 在左側點選惡意程式防護。
3. 在 General 標籤上，選擇預約掃瞄 Enable agent to trigger scheduled scan for malware。

注意 當勾選此核取方塊時： Run Task Now 按鈕在 Scheduled Tasks 頁面上將對此代理停用。 伺服器與工作負載保護 管理員在代理程式離線時不會主動排隊任何預約掃瞄任務。

疑難排解

1. 如果電腦關機，當電腦重新啟動時，預約掃瞄可能因超時而無法觸發。
2. 如果在預約掃瞄期間電腦關機，當電腦重新啟動時，中斷的預約掃瞄將不會繼續。