Mitä ovat VMware Carbon Black Cloud Endpoint Canary -tiedostot

Tuotteet, joita asia koskee:

• VMware Carbon Black Cloud Endpoint

Ympäristöt, joita tämä koskee:

• Windows

Sisällysluettelo

• Mitä ovat Canary-tiedostot?
• Miten Canary-tiedostoja käytetään?
• Missä Canary-tiedostot sijaitsevat?
• Miksi Canary-tiedostoja ei piiloteta?
• Miten voin selvittää, ovatko Canary-tiedostot vaarantuneet?

Mitä ovat Canary-tiedostot?

Canary-tiedostot ovat neljän tiedoston joukkoja. Niiden tiedostotunniste on .pptx, .doc, .jpg ja .xls. Ne asetetaan tietokoneen aseman eri sijainteihin, kun VMware Carbon Black Cloud Endpoint on asennettu. Ne ovat lisäsuojakeino kiristysohjelmahyökkäyksiä vastaan.

Canary-tiedostot luodaan, kun On Access File Scan Mode on otettu käyttöön asettamalla tilaksi Normal tai Aggressive tai kun Run Background Scan on otettu käyttöön ja suoritustyypiksi on asetettu Standard tai Expedited.

Alkuun

Miten Canary-tiedostoja käytetään?

VMware Carbon Black Cloud Endpoint seuraa Canary-tiedostoja tarkasti. Niissä on tunnettuja hajautusarvoja, joten muutokset on helppo havaita varhaisina varoitusmerkkeinä mahdollisesta kiristysohjelman käytöstä.

Alkuun

Missä Canary-tiedostot sijaitsevat?

Canary-tiedostot tallennetaan useisiin käyttöjärjestelmän sijainteihin.

Kukin sijainti sisältää kahdeksan tiedostoa, joista yksi on kullakin:

• Satunnaisesti nimetty .PNG tiedosto
• Satunnaisesti nimetty .XLS tiedosto
• Satunnaisesti nimetty .DOC tiedosto
• Satunnaisesti nimetty .PPTX tiedosto

Kunkin sijainnin tiedostokoon summa on 269 kt kutakin tiedostojoukkoa kohti.

Alla on esimerkki VMware Carbon Black Cloud Endpointin luomista Canary-tiedostoista:

Alkuun

Miksi Canary-tiedostoja ei piiloteta?

Näiden tiedostojen piilottaminen heikentää niiden tehokkuutta, koska jotkin ransomware-kannat ohittavat tarkoituksella piilotetut tiedostot. Tiedostojen pitäminen näkyvissä parantaa kiristysohjelmien tunnistuksen tehokkuutta.

Alkuun

Miten voin selvittää, ovatko Canary-tiedostot vaarantuneet?

1. Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
   Huomautus: [ALUE] = vuokralaisen alue:

   • Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
   • Eurooppa = https://defense-eu.conferdeploy.net/
   • Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
2. Kirjaudu VMware Carbon Black Cloudiin.
   
3. Valitse vasemmanpuoleisessa valikkoruudussa Tutki ja kirjoita event_description:attempted to modify a User Document hakuterminä.
   
4. Valitse aikaväli ja napsauta hakupainiketta.
   
5. Valitse haluamallesi tulokselle Process Analysis.
   
6. Suodata tulokset käyttämällä filemod avainsana.
   
7. Selaa tapahtumia ja etsi Canary-tiedostoihin tehtyjä muutoksia.
   

Alkuun

Jos haluat ottaa yhteyttä tukeen, katso luettelo Dell Data Securityn kansainvälisen tuen puhelinnumeroista.
TechDirectissä voit luoda teknisen tukipyynnön verkossa.
Lisätietoja ja resursseja on Dell Security Community Forum -keskustelufoorumilla.