Scenario 2 – Verwenden der Richtlinie für die Vorgänge mit geringem Risiko zum Implementieren eines Ausschlusses. Agent.exe dient als Beispielvorgang, der auf Client-Computern in dem häufig verwendeten Ordner C:\Temp eine große Anzahl an Datei-E/A-Schreibvorgängen durchführt.

Nur mit verwendeter Richtlinie für Standardvorgänge :

1. Agent.exe speichert eine Datei im Ordner C:\Temp.
2. VirusScan scannt die Datei.
3. Agent.exe schreibt weitere Daten in dieselbe Datei unter C:\Temp.
4. VirusScan scannt die Datei erneut.
5. VirusScan scannt eine Datei bei jedem Schreibvorgang, da die Datei neu ist oder geändert wurde. Dies ist bei jeder Änderung an der Originaldatei sowie bei allen neu erstellten Dateien der Fall.
6. Die von diesem Vorgang erzeugte Aktivität kann dazu führen, dass der Scanner aufgrund der Anzahl der Scan-Vorgänge, die für jede Datei erforderlich sind, große Mengen an Systemressourcen verbraucht.
    

Wenn Agent.exe zur Richtlinie für die Vorgänge mit geringem Risiko hinzugefügt wird:

Agent.exe kann zu den Vorgängen mit geringem Risiko hinzugefügt werden, um das Leistungsproblem zu verringern. Es gibt mehrere mögliche Methoden:

1. Schließen Sie C:\Temp von Schreibvorgängen aus.
2. Schließen Sie C:\Temp\**.TMP von Schreibvorgängen aus.
3. Schließen Sie .TMP-Dateien aus.

Die Lösung mit dem geringsten Risiko ist b. Schließen Sie .TMP-Dateien aus dem Ordner C:\Temp nur dann vom Scannen aus, wenn sie von Agent.exe auf die Festplatte geschrieben werden.
 

Welche Risiken birgt dieses Szenario?

Es ist möglich, dass eine unbekannte Bedrohung mit einem Prozess namens Agent.exe .TMP-Dateien in den Ordner C:\Temp schreibt bzw. dort ändert und verhindert, dass sie gescannt werden.
 

Risiko 1: Angenommen, es gibt zudem einen Virus/Trojaner mit einer ausführbaren Datei namens Agent.exe.

1. Zuerst müsste der Virus/Trojaner auf die Festplatte geschrieben werden.
   • VirusScan erkennt dies, wenn die DAT-Dateien eine passende Signatur für die Bedrohung enthalten.
   • VirusScan verhindert das Erstellen der Datei, wenn die zum Erstellen dieser Datei verwendete Methode gegen eine Zugriffsschutzregel verstößt.
      
2. Die Datei müsste ausgeführt (oder gelesen) werden, damit sich der Virus verbreiten und seinen Inhalt weitergeben kann.
   • VirusScan würde dies erkennen, wenn die DAT-Dateien eine passende Signatur für die Bedrohung enthalten.
   • VirusScan würde das Ausführen der Datei verhindern, wenn die zum Starten dieser Datei verwendete Methode gegen eine Zugriffsschutzregel verstößt.
     
     HINWEIS: Auch bei der Verwendung von Richtlinien für Vorgänge mit niedrigem Risiko gibt es mehrere Schutzebenen gegen möglicherweise infizierte Dateien.
     
      
3. Der Virus/Trojaner Agent.exe wird jetzt ausgeführt. Er versucht, JPG- und DOC-Dateien im Ordner C:\Temp zu speichern.
   • VirusScan würde dies erkennen, wenn die DAT-Dateien eine passende Signatur für die Bedrohung enthalten, da der Ausschluss nur .TMP-Dateien betrifft, die in den Ordner geschrieben werden.
   • VirusScan würde das Schreiben der Datei verweigern, falls es eine Zugriffsschutzregel gäbe, die dieses Verhalten verhindern würde.
     
     HINWEIS: Obwohl das Virus bzw. der Trojaner gestartet wurde und möglicherweise im Speicher ausgeführt wird, können seine Aktivitäten immer noch durch Aktualisierung der DAT-Dateien oder durch Implementierung einer neuen Zugriffsschutzregel unterbrochen werden. Wenn die DATs aktualisiert wurden und das Virus bzw. der Trojaner gefunden wird, wird es bzw. er sbei der Bereinigung aus dem Speicher entfernt.
     

Risiko 2: Es wird ein Lesevorgang zum Ausführen der infizierten Datei durchgeführt.

• VirusScan erkennt dies, wenn die DAT-Dateien eine passende Signatur für die Bedrohung enthalten. Lesevorgänge werden nicht ausgeschlossen.
• VirusScan würde das Lesen der Datei verweigern, falls es eine Zugriffsschutzregel gäbe, die dieses Verhalten verhindern würde.

WICHTIG: Das Verwenden der Richtlinien für Vorgänge mit hohem/geringem Risiko birgt einige Risiken. Im Allgemeinen ist das Risiko minimal, und Sie sollten es von Fall zu Fall bewerten. Seien Sie bei der Bestimmung des Risikos vorsichtig, damit die gewünschte Produktleistung erbracht werden kann.