Aplikacja zabezpieczająca (AV/EDR) blokuje dostęp

Blokowanie dostępu przez oprogramowanie zabezpieczające klasy AV/EDR (Endpoint Detection and Response) to zwykle efekt reguł polityki bezpieczeństwa narzuconych centralnie w firmie — wymaga zgłoszenia do administratora zarządzającego tym oprogramowaniem.

Aplikacja zabezpieczająca AV/EDR blokuje dostęp — co oznacza ten komunikat

Komunikat o zablokowaniu dostępu przez aplikację antywirusową lub system EDR oznacza, że mechanizm ochronny zatrzymał uruchomienie programu, otwarcie pliku, połączenie z adresem internetowym albo dostęp do określonego zasobu. Taka reakcja może wynikać z rozpoznania rzeczywistego zagrożenia, ale również z ostrożnej oceny nieznanego zachowania. Ochrona punktu końcowego obserwuje między innymi procesy, pliki, skrypty, połączenia sieciowe, zmiany w systemie oraz sposób uruchamiania aplikacji. Jeżeli wykryte działanie pasuje do wzorca uznanego za ryzykowny, dostęp może zostać zablokowany przed wykonaniem operacji.

Nie zawsze oznacza to, że komputer został zainfekowany. Blokada może pojawić się przy instalowaniu nowego programu, otwieraniu załącznika, korzystaniu z narzędzia administracyjnego, uruchamianiu makra lub próbie połączenia z adresem, który dopiero niedawno został sklasyfikowany przez dostawcę zabezpieczeń. Znaczenie ma także źródło pliku, jego podpis cyfrowy, historia wykryć oraz zgodność działania z regułami skonfigurowanymi na danym urządzeniu.

W środowisku, w którym ustawienia ochrony są zarządzane centralnie, użytkownik może nie mieć uprawnień do samodzielnego zatwierdzenia wyjątku. W takiej sytuacji blokada jest elementem obowiązującej polityki bezpieczeństwa, a jej obejście bez sprawdzenia przyczyny może zwiększyć ryzyko utraty danych lub uruchomienia szkodliwego kodu.

Jak AV i EDR różnią się od zwykłego programu antywirusowego

Klasyczna ochrona antywirusowa koncentruje się przede wszystkim na rozpoznawaniu złośliwych plików, podejrzanych zachowań i znanych wzorców zagrożeń. System EDR działa szerzej: rejestruje zdarzenia zachodzące na urządzeniu i analizuje zależności pomiędzy procesami, plikami, kontami użytkowników oraz połączeniami sieciowymi. Dzięki temu może zareagować również na zachowanie, które nie odpowiada jeszcze znanej sygnaturze, ale przypomina próbę przejęcia kontroli nad systemem.

Z tego powodu identyczny plik może zostać potraktowany odmiennie na dwóch komputerach. Różnicę mogą powodować wersja bazy zagrożeń, ustawienia czułości, aktualne reguły ochrony, reputacja pliku, uprawnienia użytkownika albo obecność dodatkowych modułów monitorujących. Znaczenie może mieć także to, czy blokada dotyczy całego programu, pojedynczego dokumentu, określonej funkcji, domeny internetowej lub konkretnego procesu uruchamianego w tle.

Bezpieczna weryfikacja powinna obejmować odczyt pełnej treści alertu, sprawdzenie nazwy wykrycia, lokalizacji zablokowanego elementu oraz czasu wystąpienia zdarzenia. Warto rozróżnić blokadę prewencyjną od przeniesienia pliku do kwarantanny. Pierwsza uniemożliwia wykonanie wskazanej czynności, druga odseparowuje podejrzany element od reszty systemu. Przydatne jest także ustalenie, czy problem występuje tylko przy jednym pliku, czy przy wielu niezależnych operacjach.

Typowe przyczyny blokowania plików, programów i stron

Jedną z częstych przyczyn jest niepewne pochodzenie aplikacji. Program pobrany z przypadkowej strony, niepodpisany cyfrowo instalator lub zmodyfikowany pakiet może zostać zatrzymany nawet wtedy, gdy użytkownik nie zauważa żadnych objawów infekcji. Podobna sytuacja może wystąpić w przypadku świeżo wydanego narzędzia, którego reputacja nie została jeszcze zbudowana albo którego sposób działania przypomina programy wykorzystywane do ataków.

Blokadę mogą powodować również:

• zainfekowany lub zmodyfikowany plik wykonywalny, dokument albo skrypt,
• próba uruchomienia makra lub polecenia zmieniającego ustawienia systemowe,
• program wymagający uprawnień wyższych niż standardowe konto użytkownika,
• połączenie z domeną lub adresem sklasyfikowanym jako podejrzany,
• nieaktualna aplikacja wykorzystująca znaną lukę bezpieczeństwa,
• konflikt kilku mechanizmów ochronnych zainstalowanych na tym samym urządzeniu,
• błędna klasyfikacja legalnego pliku, określana jako fałszywe wykrycie,
• reguła zablokowana przez administratora, której nie można zmienić lokalnie.

Nie powinno się wyłączać całej ochrony tylko po to, aby otworzyć jeden plik lub uruchomić pojedynczy program. Jeżeli element jest potrzebny, należy najpierw potwierdzić jego źródło, przeskanować go aktualnym narzędziem, sprawdzić podpis i porównać sumę kontrolną z informacją podaną przez producenta. W przypadku dokumentów i danych roboczych ważne jest również wykonanie kopii zapasowej przed podejmowaniem dalszych działań. Samo dodanie wyjątku nie usuwa przyczyny blokady i może ukryć aktywność szkodliwego procesu.

Kiedy trzeba skorzystać z pomocy serwisu - Aplikacja zabezpieczająca (AV/EDR) blokuje dostęp

Zgłoszenie do serwisu jest uzasadnione, gdy blokady pojawiają się bez wyraźnego powodu, powtarzają się przy wielu plikach albo towarzyszą im spowolnienia, nieznane procesy, przekierowania przeglądarki, znikające dokumenty lub problemy z uruchamianiem systemu. Pomoc może być potrzebna także wtedy, gdy nie da się ustalić, czy źródłem problemu jest fałszywe wykrycie, uszkodzenie systemu, konflikt programów zabezpieczających czy faktyczne złośliwe działanie.

Podczas diagnostyki można przeanalizować komunikat ochrony, dzienniki zdarzeń, ostatnio instalowane programy, stan aktualizacji, zachowanie procesów oraz połączenia sieciowe. Następnie można oddzielić elementy bezpieczne od podejrzanych, usunąć pozostałości niepożądanego oprogramowania i przywrócić prawidłowe działanie ochrony. Jeżeli blokada wynika z ustawień zarządzanych poza komputerem, należy wskazać zakres możliwych działań lokalnych oraz sytuacje wymagające kontaktu z osobą odpowiedzialną za konfigurację zabezpieczeń.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, przedstawiając treść alertu, nazwę programu, lokalizację pliku i moment pojawienia się problemu. Przy przyjmowaniu laptopa możliwe jest rozpoczęcie od sprawdzenia bez pobierania opłaty, ponieważ oferowana jest darmowa diagnoza LAPTOPA. Do czasu ustalenia przyczyny nie powinno się zatwierdzać nieznanych wyjątków, wielokrotnie uruchamiać zablokowanego pliku ani usuwać dzienników, które mogą pomóc w odtworzeniu przebiegu zdarzenia.