Advanced Threat Protection 会记录哈希数据无效的 SONAR 检测（ Endpoint Protection Client 未检测到该项）

TECH250289
Last Updated July 01, 2019
复制文章标题/URL
下载附件
文章反馈
订阅此文章

在 Advanced Threat Protection (ATP) 中查看 SONAR 检测（事件 4100），您会发现部分 SONAR 检测的哈希值不正确。 （md5、sha1 或 sha2） 这些检测看似针对非有害文件。 

ATP 3.0 或更高版本

SONAR 通过启发性特征 SONAR.SuspPE!gen35 检测到恶意文件 explorer.exe

SONAR 通过启发性特征 SONAR.Powershell!gen6 检测到恶意文件 powershell.exe

单击“提交至 VirusTotal”时出现错误：

您无权查看此页面。

HTTP 错误 403

Endpoint Protection (SEP) 客户端偶尔会基于静默检测提交文件。SEP 客户端不会将这些检测记录为风险，因为它们只用于统计分析。 当前，ATP 无法识别这些是静默提交，将其误报为威胁。有关赛门铁克如何使用遥测数据的更多信息，请参阅 Symantec Endpoint Protection 遥测数据提交。

此外，SEP 客户端会在静默提交上使用“虚拟”哈希值。 ATP 尝试更正哈希数据，但仍提供无效的哈希值。 

该问题在 ATP 3.2 中得到解决。请升级至最新版 ATP / SEDR 软件。

Source: ETrack
ID: 4165590
Source: ETrack
ID: 4173689
Source: ETrack
ID: 4175820
Source: ETrack
ID: 4175966

非常感谢您的反馈。如果您还有其他意见，请在下方告诉我们。（需要登录）

    © 1995-2019 Symantec Corporation