Política de protección contra amenazas para servidores

La protección contra amenazas le mantiene a salvo de programas maliciosos, tipos de archivo y sitios web peligrosos y tráfico de red malicioso.

Vaya a Mi productos > Server > Políticas para configurar la protección contra amenazas.

Para configurar una política, haga lo siguiente:

• Crear una política Protección contra amenazas. Consulte Crear o editar una política.
• Abra la ficha Configuración de la política y establezca las opciones como se describe abajo. Asegúrese de que la política está activa.

Puede usar la configuración predeterminada o cambiarla.

Si cambia alguna de las opciones de esta política y quiere saber cuál es el valor predeterminado, cree una nueva política. No es necesario guardarla, pero muestra los valores predeterminados.

Opciones recomendadas

De forma predeterminada, la política utiliza nuestra configuración recomendada.

Esta proporciona la mejor protección posible sin que sea necesario realizar una configuración compleja. Se incluye lo siguiente:

• Detección de programas maliciosos conocidos.
• Controles en la nube para permitir la detección del malware más reciente conocido por Sophos.
• Detección proactiva de programas maliciosos que no se conocían.
• Limpieza automática de programas maliciosos.
• Exclusión automática del escaneado de la actividad de aplicaciones conocidas.

Si utiliza opciones de configuración no recomendadas, aparecerán advertencias en la página de configuración de la política.

Live Protection

Live Protection compara los archivos sospechosos con la base de datos de amenazas de SophosLabs. Esto ayuda a detectar las amenazas más recientes y evitar falsos positivos. Puede utilizar la función de la siguiente manera:

• Use Live Protection para comprobar la información sobre amenazas más reciente de SophosLabs online. Esta opción comprueba los archivos durante el escaneado en tiempo real.

• Usar Live Protection durante los escaneados programados.

  Nota

  En Linux, los escaneados programados siempre utilizan Live Protection, independientemente de esta opción.

Para ver nuestra base de datos de amenazas, vaya al Centro de amenazas de Sophos.

Deep Learning

El Deep Learning puede detectar automáticamente las amenazas, en particular las nuevas y desconocidas que no se han visto antes. Utiliza Machine Learning y no depende de las firmas.

Escaneado en tiempo real - Archivos locales y recursos de red

El escaneado en tiempo real comprueba los archivos en busca de malware conocido cuando se accede a ellos y se actualizan. Evita que se ejecuten programas maliciosos conocidos y que las aplicaciones legítimas abran archivos infectados.

Escaneado proporciona un escaneado en tiempo real de los archivos locales y remotos (archivos a los que se accede desde la red) por defecto. Seleccione Local si solo desea escanear archivos en el dispositivo.

• al leer: Esto escanea los archivos cuando los abre.
• al escribir: Esto escanea los archivos cuando los guarda.

Activar escaneado para Server Protection para el agente Linux proporciona análisis en tiempo real en dispositivos Linux. Esto solo se aplica a Sophos Protection para Linux, y no al producto Sophos Anti-Virus anterior. Consulte Remediación.

Escaneado en tiempo real - Internet

El escaneado en tiempo real escanea los recursos de Internet cuando el usuario intenta acceder a los mismos.

Escanear descargas en progreso

Esta opción de configuración controla si escaneamos las descargas y los elementos de la página antes de que lleguen al navegador.

• Conexiones HTTP: Escaneamos todos los elementos y descargas.
• Conexiones HTTPS: No escaneamos ningún elemento, a menos que active Descifrar sitios web mediante SSL/TLS.

Bloquear el acceso a sitios web maliciosos

Esta opción deniega el acceso a sitios web que albergan malware.

Hacemos una comprobación de reputación para ver si el sitio es conocido por albergar contenido malicioso (búsqueda SXL4). Si desactiva Live Protection, también desactivará esta comprobación.

• Conexiones HTTP: Se comprueban todas las URL, incluidas las solicitudes HTTP GET completas.
• Conexiones HTTPS: Se comprueban las URL base (SNI). Si activa Descifrar sitios web mediante SSL/TLS, se comprueban todas las URL, incluidas las solicitudes HTTP GET completas.

Detectar descargas de baja reputación

Esta opción de configuración comprueba la reputación de las descargas en función del origen del archivo, la frecuencia con la que se descarga, etc. Utilice las siguientes opciones para decidir cómo se gestionan las descargas.

Defina la Acción que realizar en Preguntar al usuario: El usuario final ve una advertencia cuando se descarga un archivo de baja reputación. Pueden optar por permitir el archivo o eliminarlo. Esta es la opción predeterminada.

Establezca el Nivel de reputación en una de las siguientes opciones:

• Recomendado: Los archivos de baja reputación se bloquean automáticamente. Esta es la opción predeterminada.
• Estricto: Las descargas de media y baja reputación se bloquean automáticamente y se notifican a Sophos Central.

Para obtener más información, vaya a la página Reputación de descargas.

Escaneado en tiempo real - Opciones

Excluir automáticamente actividad de aplicaciones conocidas. Esta opción excluye las aplicaciones más utilizadas, según lo recomendado por sus proveedores.

Para más información, consulte Sophos Central Server: Productos de terceros excluidos automáticamente

Remediación

Las opciones de remediación son las siguientes:

Limpiar malware automáticamente: Sophos Central limpia automáticamente el malware detectado y registra la limpieza. Puede verlo en la lista Eventos.

Cuando Sophos Central limpia un archivo, lo elimina de su ubicación actual y lo pone en cuarentena en SafeStore. Los archivos permanecen en SafeStore hasta que se permiten o se eliminan con el objetivo de dejar espacio para nuevas detecciones. Puede restaurar los archivos en cuarentena en SafeStore añadiéndolos a Aplicaciones permitidas. Consulte Aplicaciones permitidas.

SafeStore tiene los siguientes límites predeterminados:

• El límite de un único archivo es de 100 GB.
• El límite de tamaño total de la cuarentena es de 200 GB.
• El número máximo de archivos almacenados es 2000.

Activar creación de gráfico de amenazas. Esto le ayuda a investigar la cadena de eventos en un ataque de malware. Le sugerimos que la active para que pueda analizar los ataques que hemos detectado y detenido.

Protección en tiempo de ejecución

La protección en tiempo de ejecución protege contra amenazas detectando tráfico o comportamientos sospechosos o maliciosos.

Proteger archivos de documentos de ransomware (CryptoGuard). Esta opción protege contra malware que restringe el acceso a sus archivos y exige un pago para recuperarlos. La función está activada por defecto. Le recomendamos encarecidamente que la deje activada.

También puede utilizar estas opciones:

• Proteger de ransomware ejecutado de forma remota. Esto garantiza la protección en toda la red. Recomendamos que deje activada esta opción.
• Protegerse de ataques de cifrado del sistema de archivos. Esta opción protege los dispositivos de 64 bits del ransomware que cifra el sistema de archivos. Elija qué acción desea realizar si se detecta el ransomware. Puede finalizar los procesos de ransomware o aislarlos para impedir que escriban en el sistema de archivos.
• Proteger contra el ransomware de registro de arranque maestro. Esta opción protege el dispositivo contra el ransomware que cifra el registro de arranque maestro (y así impide el inicio) y los ataques que borran el disco duro.

Proteger funciones críticas en navegadores web (Navegación segura). Esta opción de configuración protege los navegadores web de los ataques de malware que actúan explotando el navegador web.

Mitigar vulnerabilidades en aplicaciones vulnerables. Esta opción protege las aplicaciones más susceptibles de ser atacadas por malware. Puede seleccionar los tipos de aplicaciones que desea proteger.

Proteger procesos. Esta opción ayuda a impedir el secuestro de aplicaciones legítimas por parte de programas maliciosos. Puede elegir entre las siguientes opciones:

• Impedir ataques de vaciado de procesos. También conocido como "sustitución de procesos" o inyección de DLL. Los atacantes suelen utilizar esta técnica para cargar código malicioso en una aplicación legítima con el fin de intentar eludir el software de seguridad.

  Si desactiva esta opción, los ciberdelincuentes podrán burlar su software de seguridad con mayor facilidad.

• Impedir que se carguen archivos DLL de carpetas de no confianza. Esta opción protege contra la carga de archivos DLL desde carpetas que no son de confianza.

• Impedir el robo de credenciales. Esta opción evita el robo de contraseñas e información de hash de la memoria, el registro o el disco duro.
• Impedir el uso de cuevas de código. Esta opción detecta código malicioso que se ha insertado en otra aplicación legítima.
• Impedir la infracción de APC. Esta opción impide que los ataques utilicen llamadas a procedimientos de aplicaciones (APC) para ejecutar su código.
• Impedir el aumento de privilegios. Esta opción evita que un proceso con privilegios limitados obtenga privilegios más altos para acceder al sistema.

Activar seguimiento de bifurcaciones de CPU. La detección de código malicioso en la CPU es una función de los procesadores Intel que permite rastrear la actividad del procesador para su detección. La función es compatible en procesadores Intel con las siguientes arquitecturas: Nehalem, Westmere, Sandy Bridge, Ivy Bridge, Haswell, Broadwell, Goldmont, SkyLake y Kaby Lake. No es compatible si hay un hipervisor legítimo en el equipo.

Protección shellcode dinámica. Esta opción de configuración detecta el comportamiento de agentes de comando y control remotos ocultos y evita que los atacantes se hagan con el control de sus redes.

Validar invocador del protocolo CTF. Esta opción de configuración bloquea las aplicaciones que intentan explotar una vulnerabilidad en CTF, un componente de todas las versiones de Windows. La vulnerabilidad permite a un atacante no administrador secuestrar cualquier proceso de Windows, incluidas las aplicaciones que se ejecutan en un entorno seguro. Le recomendamos que active Validar invocador del protocolo CTF.

Impedir la carga lateral de módulos no seguros. Esta opción evita que una aplicación cargue lateralmente un archivo DLL malicioso que se presente como un archivo ApiSet Stub DLL. Los archivos ApiSet Stub DLL sirven como proxy para mantener la compatibilidad entre aplicaciones anteriores y versiones más nuevas del sistema operativo. Los atacantes pueden utilizar archivos ApiSet Stub DLL maliciosos para omitir la protección contra manipulaciones y detener la protección antimalware.

Proteger las cookies del navegador utilizadas para el inicio de sesión con MFA. Esta opción evita que las aplicaciones no autorizadas descifren la clave AES utilizada para cifrar las cookies de autenticación multifactor (MFA).

Proteger el tráfico de red

• Detectar conexiones maliciosas con servidores de comando y control. Esto detecta tráfico entre un ordenador y un servidor que indica un posible intento de toma de control del ordenador.
• Impedir el tráfico de red malicioso con la inspección de paquetes (IPS). Esta opción escanea el tráfico al nivel más bajo y bloquea amenazas antes de que puedan perjudicar el sistema operativo o las aplicaciones.

Detecciones en tiempo de ejecución de Linux. Esta configuración le proporciona visibilidad y detección de amenazas en tiempo de ejecución para contenedores y cargas de trabajo en servidores Linux. Puede gestionar estas alertas en el Centro de análisis de amenazas. Consulte Detecciones.

Impedir que cargas maliciosas se conecten a servidores de comando y control. Esta configuración identifica y bloquea las cargas que intentan eludir la detección permaneciendo cifradas.

Detectar comportamientos maliciosos. Esta opción protege contra amenazas que no se conocen todavía. Lo hace mediante la detección y el bloqueo de comportamiento que se sabe que es malicioso o es sospechoso.

Protección AMSI. Esta opción protege frente al código malicioso (por ejemplo, scripts de PowerShell) usando la Interfaz de análisis antimalware (AMSI) de Microsoft.

El código enviado por AMSI se escanea antes de que se ejecute y la estación de trabajo notifica las amenazas a las aplicaciones utilizadas para ejecutar el código. Si se detecta una amenaza, se registra un evento.

Impedir eliminación del registro de AMSI. Esta opción de configuración garantiza que AMSI no se pueda eliminar de sus equipos.

Activar Sophos Security Heartbeat: Esta opción envía informes de "estado" del servidor a cada firewall Sophos Firewall registrado con su cuenta de Sophos Central. Si hay más de un firewall registrado, los informes se envían al firewall más cercano. Si un informe muestra que un servidor puede estar en peligro, el firewall puede restringir su acceso.

Protección adaptativa contra ataques

Active automáticamente protecciones adicionales cuando un dispositivo sufra un ataque. Este parámetro habilita un conjunto más agresivo de protecciones cuando se detecta un ataque. Estas protecciones adicionales están diseñadas para interrumpir las acciones de un atacante.

Descifrado SSL/TLS de sitios web HTTPS

Si selecciona Descifrar sitios web HTTPS usando SSL/TLS, desciframos y comprobamos el contenido de los sitios web HTTPS en busca de amenazas.

Si desciframos un sitio web que es de riesgo, lo bloqueamos. Mostramos al usuario un mensaje y le damos la opción de enviar el sitio a SophosLabs para que lo vuelvan a evaluar.

De forma predeterminada, el descifrado está desactivado.

Escaneado en tiempo real para Linux

Si selecciona Activar escaneado para Server Protection para el agente Linux, analizamos los archivos a medida que los usuarios intentan acceder a ellos. Permitimos el acceso si el archivo está limpio.

De forma predeterminada, el escaneado en tiempo real para Linux está desactivado.

Escaneado programado

El escaneado programado realiza un escaneado en el momento o los momentos que especifique.

Puede seleccionar estas opciones:

• Activar escaneado programado. Esto le permite definir la hora y uno o más días en los que debe realizarse el escaneado.

  La hora del escaneado programado es la hora de las estaciones (no una hora UTC).

• Activar escaneado profundo. Si selecciona esta opción, los archivos se escanean durante los escaneados programados. Esto puede aumentar la carga del sistema y ralentizar el escaneado de forma significativa.

Exclusiones de escaneado

Algunas aplicaciones tienen su actividad automáticamente excluida del análisis en tiempo real. Consulte Exclusiones automáticas.

También puede excluir del escaneado otros elementos o la actividad de otras aplicaciones. Esto podría hacerse porque una aplicación de base de datos accede a muchos archivos, lo que desencadena muchos escaneados y afecta al rendimiento de un servidor.

Para configurar exclusiones para una aplicación, puede utilizar la opción de excluir los procesos que se ejecutan desde esa aplicación. Esto es más seguro que la exclusión de archivos o carpetas.

Los elementos excluidos se seguirán verificando en busca de exploits. Sin embargo, puede dejarse de buscar un exploit que ya se haya detectado (use una exclusión Exploits detectados).

Las exclusiones definidas en una política solo se utilizan para los servidores a los que se aplica la política.

Para aplicar exclusiones a todos sus usuarios y servidores, defina exclusiones globales en la página Mi productos > Configuración general > Exclusiones globales.

Para obtener ayuda con las exclusiones, consulte Utilizar las exclusiones de forma segura.

Para crear una política de exclusión de escaneado:

1. Haga clic en Añadir exclusión (parte derecha de la página).

   Se abrirá el cuadro de diálogo Añadir exclusión.

2. En la lista desplegable Tipo de exclusión, seleccione un tipo de elemento para excluir (archivo o carpeta, proceso, sitio web o aplicación no deseada).

3. Especifique el elemento o elementos que desea excluir. Se aplican las siguientes reglas:

   • Archivo o carpeta (Windows). En Windows, puede excluir una unidad, carpeta o archivo por su ruta de acceso completa. Puede utilizar caracteres comodín y variables. Ejemplos:

     • Carpeta: C:\programdata\adobe\photoshop\ (añada una barra para una carpeta)
     • Toda la unidad: D:
     • Archivo: C:\program files\program\*.vmg

   • Archivo o carpeta (Linux). En Linux, puede excluir una carpeta o archivo. Se permite el uso de los caracteres comodín ? y *. Ejemplo: /mnt/hgfs/excluded.

   • Proceso (Windows). Puede excluir cualquier proceso ejecutado desde una aplicación. Esto excluye también los archivos que utiliza el proceso (pero sólo cuando el proceso accede a ellos). Si es posible, introduzca la ruta completa de la aplicación, no sólo el nombre del proceso que se muestra en el Administrador de tareas. Ejemplo: %PROGRAMFILES%\Microsoft Office\Office 14\Outlook.exe

     Nota

     Para ver todos los procesos u otros objetos que necesite excluir para una aplicación, consulte la documentación del proveedor de la aplicación.

     Nota

     Puede utilizar caracteres comodín y variables.

   • Sitio web (Windows). Puede especificar sitios web como una dirección IP, un intervalo de direcciones IP (en notación CIDR) o un dominio. Ejemplos:

     • Dirección IP: 192.168.0.1
     • Intervalo de direcciones IP: 192.168.0.0/24 El apéndice /24 simboliza el número de bits en el prefijo común a todas las direcciones IP de este intervalo. Así /24 es igual a la máscara de red 11111111.11111111.11111111.00000000. En nuestro ejemplo, el intervalo incluye todas las direcciones IP que empiezan con 192.168.0.
     • Dominio: google.com

     Si excluye un sitio web, no comprobamos la categoría del sitio web y se excluye de la protección de control web. Consulte Política de control web para servidores.

   • Aplicación no deseada (Windows/Mac/Linux). Puede excluir aplicaciones que suelen detectarse como spyware. Especifique la exclusión utilizando el mismo nombre con el que el sistema la detectó, por ejemplo, "PsExec" o "Cain n Abel". Puede encontrar más información acerca de las aplicaciones no deseadas en el Centro de amenazas de Sophos.

     Considere la opción detenidamente antes de añadir exclusiones de PUA, ya que puede reducir la protección.

   • Exploits detectados (Windows/Mac). Se puede excluir un exploit que ya se haya detectado. Ya no se detectará para la aplicación afectada y esta no se bloqueará.

     También puede excluir exploits detectados mediante un ID de detección. Puede utilizar esta opción si está trabajando con el soporte de Sophos para resolver una detección de falsos positivos. El soporte de Sophos puede proporcionarle un ID de detección y, a continuación, podrá excluir la detección de falsos positivos. Para ello, haga clic en ¿El exploit no está en la lista? e introduzca el ID.

     Nota

     Esta opción desactiva la protección contra ransomware de CryptoGuard para ese exploit para la aplicación afectada en los servidores Windows.

   • Protección AMSI (Windows). En Windows, puede excluir una unidad, carpeta o archivo por su ruta de acceso completa. No escaneamos código en esta ubicación. Puede utilizar el carácter comodín * para el nombre de archivo o la extensión. Consulte Interfaz de análisis antimalware (AMSI).

   • Aislamiento de servidor (Windows). El aislamiento de dispositivos (por parte de un administrador) está disponible para servidores si se ha registrado en el Programa de acceso temprano de Intercept X Advanced for Server with XDR.

     Puede permitir que los dispositivos aislados tengan comunicaciones limitadas con otros dispositivos.

     Elija si los dispositivos aislados utilizarán comunicaciones salientes o entrantes, o ambas.

     Restrinja las comunicaciones con una o más de estas opciones:

     • Puerto local: Cualquier dispositivo puede utilizar este puerto en dispositivos aislados.
     • Puerto remoto: Los dispositivos aislados pueden utilizar este puerto en cualquier dispositivo.
     • Dirección remota: Los dispositivos aislados solo pueden comunicarse con el dispositivo con esta IP.

     Ejemplo 1: Desea acceso de escritorio remoto a un dispositivo aislado para poder solucionar problemas.

     • Seleccione Conexión entrante.
     • En Puerto local, especifique el número de puerto.

     Ejemplo 2: Desea ir a un dispositivo aislado y descargar herramientas de limpieza de un servidor.

     • Seleccione Conexión saliente.
     • En Dirección remota, introduzca la dirección del servidor.

4. Para las exclusiones de Archivos o carpetas solamente, en la lista desplegable Activo para especifique si la exclusión debe ser válida para el escaneado en tiempo real, para el escaneado programado o para ambos.

5. Haga clic en Añadir o Añadir otro. La exclusión se añade a la lista de exclusiones de escaneado.

Para editar una exclusión posteriormente, haga clic en el nombre en la lista de exclusiones, introduzca una configuración nueva y haga clic en Actualizar.

Para obtener más información sobre las exclusiones que puede utilizar, consulte:

• Exclusiones de escaneado de Windows.
• Exclusiones de sitios web
• Exclusiones de proceso (Windows)

Exclusiones de mitigación de exploits

Puede excluir aplicaciones de la protección contra exploits de seguridad. Por ejemplo, puede que quiera excluir una aplicación que se detecta erróneamente como amenaza hasta que se solucione el problema.

Añadir exclusiones reduce la protección.

Al añadir exclusiones mediante la opción de configuración global, Configuración general > Exclusiones globales, se crean exclusiones que se aplican a todos los usuarios y dispositivos.

Se recomienda utilizar esta opción y asignar la política que contiene la exclusión solo a los servidores en los que la exclusión sea necesaria.

Para crear una política con exclusión de mitigación de vulnerabilidades, haga lo siguiente:

1. Haga clic en Añadir exclusión (parte derecha de la página).

   Se abrirá el cuadro de diálogo Añadir exclusión.

2. En Tipo de exclusión, seleccione Mitigación de exploits (Windows).

   Se muestra una lista de las aplicaciones protegidas de la red.

3. Seleccione la aplicación que desee excluir.

4. Si no ve la aplicación que desea, haga clic en ¿La aplicación no está en la lista?. Para excluir la aplicación de la protección, introduzca su ruta de archivo. Opcionalmente, utilice cualquiera de las variables.

5. En Mitigaciones, elija entre las siguientes opciones:

   • Desactivar la opción Proteger aplicación. La aplicación seleccionada no se analizará en busca de vulnerabilidades de seguridad.
   • Mantenga activada la opción Proteger aplicación y seleccione los tipos de vulnerabilidades que desea o no desea comprobar.

6. Haga clic en Añadir o Añadir otro. La exclusión solo se aplica a los servidores a los que se asigna esta política.

   Reputación de descargas

Para editar una exclusión posteriormente, haga clic en el nombre en la lista de exclusiones, introduzca una configuración nueva y haga clic en Actualizar.

Para obtener más ayuda con las exclusiones de mitigación de exploits, consulte lo siguiente:

• Exclusiones de mitigación de exploits
• Comodines y variables para las exclusiones de mitigación de exploits o protección contra ransomware

Exclusiones de la protección contra el ransomware

Puede excluir las aplicaciones o carpetas utilizadas por las aplicaciones de la protección contra el ransomware.

Es posible que desee excluir una aplicación que hemos detectado incorrectamente como una amenaza o una aplicación que es incompatible con la protección contra el ransomware. Por ejemplo, si tiene una aplicación que cifra datos, puede que desee excluirla. Esto evitará que identifiquemos la aplicación como ransomware.

O puede que desee excluir las carpetas utilizadas por aplicaciones específicas que muestran problemas de rendimiento al supervisarse mediante la protección de contra el ransomware. Por ejemplo, es posible que desee excluir las carpetas utilizadas por las aplicaciones de copia de seguridad.

Añadir exclusiones reduce la protección.

Al añadir exclusiones mediante la opción de configuración global, Configuración general > Exclusiones globales, se crean exclusiones que se aplican a todos los servidores.

Le recomendamos que añada exclusiones a una política y que la asigne solo a los usuarios y dispositivos en que las exclusiones sean necesarias.

Para crear una exclusión de la protección contra el ransomware de la política, haga lo siguiente:

1. Haga clic en Añadir exclusión (parte derecha de la página).

   Se abrirá el cuadro de diálogo Añadir exclusión.

2. En Tipo de exclusión, seleccione Protección contra ransomware (Windows).

3. Elija si desea excluir un proceso o una carpeta.

   Seleccione Proceso para excluir una solicitud.

4. En VALOR, escriba la ruta de acceso del proceso o la carpeta que desea excluir.

   Solo puede excluir una carpeta por su ruta local. No puede excluirla por su ruta remota en formato UNC, por ejemplo \\servername\shared-folder.

   Puede utilizar variables al excluir procesos o carpetas. Consulte Comodines y variables para las exclusiones de mitigación de exploits o protección contra ransomware.

5. Haga clic en Añadir o Añadir otro. La exclusión solo se aplica a los servidores a los que se asigna esta política.

Para editar una exclusión posteriormente, haga clic en el nombre en la lista de exclusiones, introduzca una configuración nueva y haga clic en Actualizar.

Mensaje de escritorio

Mensaje de escritorio le envía notificaciones sobre eventos de protección contra amenazas. Está activado por defecto.

Puede introducir su propio mensaje para añadirlo al final de las notificaciones estándar.