5－Cloud One Workload Security Technical Essentials：保護伺服器免受惡意程式侵害

Anti-Malware

Anti-Malware 模組可在受 Agent 保護的電腦上執行即時、依要求及預約掃瞄，防範惡意程式、病毒、特洛伊木馬程式、勒索軟體與間諜程式等檔案型威脅。Workload Security 也提供可套用至 Windows 與 Linux 伺服器的強化惡意程式掃瞄設定，以提升惡意程式及勒索軟體的偵測與清除成效，並識別病毒碼尚未涵蓋的新興惡意程式。勒索軟體檔案備份及復原功能則僅適用於 Windows。

Anti-Malware 會將本機硬碟上的檔案與完整的威脅資料庫比對，也會檢查壓縮方式與已知弱點攻擊程式碼等檔案特徵。部分威脅資料位於趨勢科技伺服器，部分則以病毒碼形式儲存在本機。Agent 會定期取得 Anti-Malware 病毒碼與更新，以持續防範最新威脅。

Anti-Malware 可在盡量降低系統效能影響的同時，清除、刪除或隔離惡意檔案；也可終止程序，並刪除與已識別威脅相關的其他系統物件。

Anti-Malware 偵測技術

Agent 可使用下列技術偵測惡意程式。

病毒掃瞄

病毒掃瞄用於偵測檔案型病毒。病毒會將惡意程式碼插入檔案；開啟受感染的檔案時，惡意程式碼通常會自動執行、發動攻擊，並感染其他檔案。Anti-Malware 可使用不同技術識別及清除受感染檔案。傳統做法會偵測用來感染檔案的惡意程式碼，並從受感染檔案中移除該程式碼；其他方法包括管控可受感染檔案的變更，或在偵測到可疑修改時備份這類檔案。

Workload Security 可使用儲存在 Agent 電腦本機的病毒碼進行傳統掃瞄，也可使用 Smart Scan，透過 Smart Protection Network 上的威脅資料進行查詢。C1WS 可直接連線至 Global Smart Protection Service；若需要本機 Smart Protection 服務，則應使用 TrendAI Vision One Service Gateway 上的 Smart Protection Services。詳細說明請參閱 Integrate the Service Gateway Smart Protection service。

間諜程式與可能的資安威脅程式掃瞄

間諜程式與可能的資安威脅程式包括會收集資訊並傳送至其他系統，或供其他應用程式收集資訊的應用程式與元件。其中部分應用程式可能用於合法目的，例如商用遠端控制與監控工具；但若遭到不當使用，仍可能帶來資安風險。

Anti-Malware 可偵測這類程式，同時提供核准已偵測應用程式並允許其繼續執行的選項。間諜程式與可能的資安威脅程式掃瞄會偵測並隔離可疑的檔案型元件。若確認遭偵測的檔案並無危害，也可從 Anti-Malware 事件建立對應的例外。

Process Memory Scan

惡意程式作者經常使用自訂封裝工具欺騙檔案型 Anti-Malware 引擎並規避偵測。病毒碼通常根據二進位機器碼建立，而惡意程式作者可使用不同工具重新封裝這些機器碼。由於許多傳統 Anti-Malware 偵測以病毒碼為基礎，重新封裝後的病毒機器碼可能避開傳統偵測。

Process Memory Scan 會即時監控程序記憶體。程序被判定為可疑時，Agent 會透過 Smart Protection Network 進一步檢查；確認程序為惡意後，Agent 會終止該程序。

Behavior Monitoring

Behavior Monitoring 可套用至受 Agent 保護的 Windows 與 Linux 電腦，協助提升惡意程式與勒索軟體的偵測及清除成效，並辨識可能含有新興惡意程式、但尚未被病毒碼涵蓋的可疑檔案。macOS Agent 不支援 Behavior Monitoring。相關防護包括：

• Threat Detection：某些惡意程式會修改系統檔案或已安裝軟體的相關檔案，並以取代正常檔案的方式躲避偵測。Threat Detection 會監控這些檔案是否發生未經授權的變更，以偵測並防止此類行為。
• Anti-exploit：監控程序是否執行不符合常態的動作，並透過 Data Execution Prevention（DEP）、Structured Exception Handling Overwrite Protection（SEHOP）及 heap spray prevention 等機制，判斷程序是否遭到入侵；若確認遭到入侵，可終止該程序，以防止進一步感染。
• Extended Ransomware Protection：保護文件免於未經授權的加密或修改。Windows 電腦可選擇備份正遭加密的檔案，讓使用者更有機會復原遭勒索軟體加密的檔案。

如需完整設定與平台限制，請參閱 Enhanced Anti-Malware and ransomware scanning with behavior monitoring。

IntelliTrap

IntelliTrap 可用於 Real-Time Scan。惡意程式作者經常利用即時壓縮演算法規避病毒過濾；IntelliTrap 會結合其他惡意程式特徵進行判斷，封鎖採用即時壓縮演算法的可執行檔，以降低這類病毒進入網路的風險。

IntelliTrap 可能將安全檔案誤判為安全性風險。啟用 IntelliTrap 時，建議將檔案隔離，不要刪除或清除；若使用者經常交換採用即時壓縮演算法的可執行檔，請停用 IntelliTrap。

Predictive Machine Learning

Predictive Machine Learning 是 Real-Time Scan 的功能，可透過進階檔案特徵分析，偵測未知或出現頻率低的惡意程式。Agent 會使用 Advanced Threat Scan Engine（ATSE）擷取檔案特徵，再將分析報告傳送至 Smart Protection Network 上的 Predictive Machine Learning engine。Predictive Machine Learning 會使用惡意程式模型評估樣本、計算機率分數，並判斷檔案可能包含的惡意程式類型。

Predictive Machine Learning 要完整運作，Agent 必須能連線至 Global Census Service、Good File Reputation Service 及 Predictive Machine Learning Service。若 Agent 無法直接存取這些服務，請為 Agent 設定可供連線的 Proxy。詳細說明請參閱 Detect emerging threats with Predictive Machine Learning。

Anti-Malware 掃瞄類型

Workload Security 提供下列三種 Anti-Malware 掃瞄類型。不同掃瞄可依需求設定各自的納入及排除項目；Quick Scan 例外，不使用 Malware Scan Configuration：

• Real-Time Scan
• Manual Scan
• Scheduled Scan

Real-Time Scan

Real-Time Scan 會持續監控檔案感染及建立惡意程式的嘗試。每當電腦收到檔案，或有人開啟、下載、複製或修改檔案時，Agent 都會掃瞄檔案是否有安全性風險。若未偵測到風險，檔案會保留在原位置，使用者可繼續存取；若偵測到風險，Workload Security 會執行已設定的動作，例如 Clean、Delete、Quarantine、Pass 或 Deny Access，並顯示包含受感染檔案名稱及具體安全性風險的通知訊息。

除非在 Schedule 清單中選擇其他時段，Real-Time Scan 會持續執行。您可避開檔案伺服器備份等高負載期間，以降低掃瞄對效能的影響。

Manual Scan 與 Quick Scan

Manual Scan 由管理員觸發，會檢查電腦上的程序及檔案。完成所需時間取決於檔案數量與電腦的可用資源。畫面提供兩種依要求執行的掃瞄動作：

• Full Scan for Malware：逐一檢查磁碟上的檔案。Real-Time Scan 只處理觸發事件的個別物件，Full Scan 則會檢查整個系統範圍。
• Quick Scan for Malware：只掃瞄重要系統區域，以尋找目前正在執行的惡意程式；不會深入掃瞄未執行或僅儲存在磁碟中的受感染檔案。Quick Scan 僅支援 Windows、不能自訂，也不使用 Malware Scan Configuration。