反漏洞利用功能的部署
反漏洞利用功能的部署
Anti-Exploit（反漏洞利用）用于监控浏览器、Microsoft Office等常用合法应用中的可疑载荷和利用行为。它重点防御内存攻击、路过式下载、恶意文档以及已知或未知的漏洞利用；检测到利用行为时，FortiClient 可以终止受影响的应用进程并向 EMS 上报事件。
下面列出了支持的应用
| 应用名称 | 应用实际文件名 | 应用类型和用途说明 |
|---|---|---|
| Mozilla Firefox | firefox.exe | 网页浏览器：用于访问互联网、浏览网页、下载文件及运行 Web 应用程序。 |
| Google Chrome | chrome.exe | 网页浏览器：Google 开发的浏览器，用于网页访问、在线办公、文件下载及 Web 应用运行。 |
| Internet Explorer | iexplore.exe | 网页浏览器（旧版）：微软早期推出的浏览器，主要用于访问传统网站及兼容旧版 Web 系统，目前已停止支持。 |
| Microsoft Edge | msedge.exe | 网页浏览器：微软开发的浏览器，用于网页浏览、在线办公、PDF 阅读及 Web 应用访问。 |
| Microsoft PowerPoint | POWERPNT.EXE | 演示文稿软件：用于创建、编辑、展示 PowerPoint 演示文稿（PPT/PPTX），支持文字、图片、动画及多媒体内容。 |
| Microsoft Word | WINWORD.EXE | 文字处理软件：用于创建、编辑和排版文档，包括报告、合同、信函及其他文字材料。 |
| Microsoft Excel | EXCEL.EXE | 电子表格软件：用于数据录入、统计分析、公式计算、图表制作及数据管理。 |
| Microsoft Equation Editor | EQNEDT32.EXE | 数学公式编辑工具（旧版）：用于在 Office 文档中插入和编辑数学公式、符号及方程式，旧版组件已被微软弃用。 |
| Microsoft Outlook | OUTLOOK.EXE | 电子邮件及个人信息管理软件：用于收发电子邮件、管理联系人、日历、会议邀请及任务安排。 |
反漏洞利用属于行为和内存层面的补充防护。它不能替代操作系统及应用补丁、反病毒、Web Filter、应用防火墙或最小权限控制。
重要
- 必须同时启用 AntiVirus Protection > Real-Time Protection，否则 Anti-Exploit 无法工作。
- EMS 7.4 的反漏洞利用功能面向 Windows 终端，其他操作系统平台不支持该功能。
工作原理
合法应用打开网页、文档或其他内容
↓
Anti-Exploit 监控进程内存和可疑载荷
↓
识别异常利用行为或危险执行链
↓
终止受影响进程并记录事件
↓
FortiClient 通过 Telemetry 向 EMS 上报先决条件
- EMS 正常运行，并具有支持 Malware Protection 的有效许可证和可用席位。
- 目标 Windows 终端已连接 EMS，安装包包含 Malware Protection 组件。
- 目标配置文件中已打开 AntiVirus Protection 和 Real-Time Protection。
- 已建立测试终端组，并准备浏览器、Office、PDF 阅读器和关键业务客户端的兼容性测试清单。
- 管理员已了解关键应用的正常子进程、插件、宏和脚本行为，便于判断误报。
部署步骤
1. 创建或编辑 Malware Protection 配置文件
- 登录 EMS管理控制台。
- 进入 Endpoint Profiles > Malware Protection。
- 新建或复制测试配置文件，并切换到 Advanced 视图。
- 在 AntiVirus Protection 中开启 Real-Time Protection。
- 打开 Anti-Exploit 总开关。
- 确认是否存在需要排除的应用，仅对已确认误报且无法通过升级解决的应用配置排除。
- 单击 Save。
2. 通过终端策略下发
- 进入 Endpoint Policy & Components > Manage Policies。
- 编辑测试组使用的策略，在 Profile 区域选择刚创建的 Malware Protection 配置文件。
- 启用策略、检查优先级并保存。
- 等待测试终端完成下一次 Telemetry 通信。
- 在终端详情的 Summary > Configuration 中确认实际命中策略。
有关配置文件与策略的关系，请参阅客户端配置的推送。
所有选项的中文说明
EMS 7.4 Malware Protection 图形界面中的 Anti-Exploit 主要提供启用开关。通知和应用排除可通过相应版本支持的 XML 参数配置；使用 XML 前应导出现有配置并在测试组验证。
| 图形界面选项 | 中文名称 | 说明 |
|---|---|---|
| Anti-Exploit | 反漏洞利用 | 启用反漏洞利用引擎，监控常用合法应用中是否出现可疑进程载荷或漏洞利用行为。必须与 Real-Time Protection 同时启用。 |
| Eye icon | 可见性图标 | 控制终端用户是否能在 FortiClient 界面看到该功能，不代表启用或关闭检测引擎。 |
XML 高级选项
| XML 参数 | 中文名称 | 说明 |
|---|---|---|
<enabled> | 启用反漏洞利用 | 1 为启用，0 为禁用。功能依然依赖实时防护。 |
<show_bubble_notifications> | 显示气泡通知 | 1 表示 Anti-Exploit 检测到利用行为时显示系统托盘通知；0 表示不显示。关闭通知不等于关闭检测或日志。 |
<exclusion_applications> | 排除应用程序 | 从 Anti-Exploit 检测中排除指定进程，例如 acrobat.exe。多个程序应按相应版本的 XML 格式分隔。排除后该应用不再获得反漏洞利用监控。 |
示例仅用于说明节点位置，不应未经验证直接复制到生产环境：
<forticlient_configuration>
<antiexploit>
<enabled>1</enabled>
<show_bubble_notifications>1</show_bubble_notifications>
<exclusion_applications></exclusion_applications>
</antiexploit>
</forticlient_configuration>注意
<exclusion_applications> 会为指定应用移除一层利用防护。只应在确认误报、完成文件签名与来源核验、无法通过升级应用或 FortiClient 解决问题后使用；不要排除浏览器、Office 套件或脚本解释器的整个家族。
推荐部署基线
| 项目 | 建议起点 |
|---|---|
| AntiVirus Protection | 开启 |
| Real-Time Protection | 开启 |
| Anti-Exploit | Windows 办公终端开启 |
| Bubble notifications | 交互式终端可开启；无人值守终端以 EMS 告警为主 |
| Application exclusions | 默认留空，仅对已确认误报的精确可执行文件例外 |
| 发布方式 | 先覆盖浏览器、Office 和关键业务应用齐全的测试组，再分批扩大 |
验证部署结果
配置验证
- 确认终端收到预期 Endpoint Policy。
- 确认 FortiClient 的 AntiVirus/Real-Time Protection 已启用。
- 在 Windows 任务管理器或诊断信息中确认 Anti-Exploit 引擎进程
fortiae.exe正常运行。进程名称可能随版本变化，应以对应版本文档为准。 - 检查 EMS 和终端日志中是否有 Anti-Exploit 初始化或策略更新记录。
兼容性验证
- 启动组织常用浏览器，验证浏览、下载、身份认证、扩展和打印功能。
- 使用可信测试文档验证 Office 宏、加载项、受保护视图和外部链接行为。
- 验证 PDF 阅读器、会议软件、ERP 客户端和其他会嵌入脚本或插件的应用。
- 观察进程终止、崩溃、CPU/内存异常和托盘告警，并将结果与 EMS 事件关联。
警告
不要在生产终端运行公开漏洞利用代码来验证 Anti-Exploit。功能验收应以策略生效、引擎运行、业务兼容性和经组织批准的安全测试为主；需要攻击模拟时，应在隔离实验环境由授权安全人员执行。
误报处理流程
- 记录检测时间、终端、用户名、应用完整路径、版本、发布者和数字签名。
- 收集父进程、子进程、命令行、打开的文档或 URL 以及 Anti-Exploit 日志。
- 确认应用和内容来自可信来源，并检查是否存在可用的 FortiClient、操作系统或应用升级。
- 在测试配置文件中复现。若升级后仍稳定误报，再评估精确添加
<exclusion_applications>。 - 设置例外负责人、原因和复审日期，并验证排除范围没有扩展到同名恶意文件或非预期路径。
变更与回退
- 修改生产策略前复制现有 Malware Protection 配置文件。
- 出现广泛兼容性故障时，先把受影响测试组重新指向原配置文件；不要直接删除仍被策略引用的配置。
- 如果仅一个应用误报，优先升级应用和 FortiClient，再考虑精确排除；不要全局关闭 Anti-Exploit。
- 回退或增加排除后，继续监控终端进程异常和 EMS 安全事件，确认没有留下无意的防护缺口。
常见问题
| 现象 | 排查顺序 |
|---|---|
| 已启用 Anti-Exploit，但没有生效 | 首先检查同一 Malware Protection 配置文件中的 Real-Time Protection 是否开启，再核对许可证、安装组件、操作系统支持、终端实际命中策略和 fortiae.exe 状态。 |
| Anti-Exploit 选项不可见 | 切换到 Advanced 视图，并确认目标平台、FortiClient 版本和许可证支持。macOS 或 Linux 终端不会因为收到 Windows 配置就自动获得该能力。 |
| 正常应用被终止 | 按误报处理流程收集进程、签名和内容信息，先升级应用和 FortiClient。只有确认是稳定误报时，才在测试配置中对精确可执行文件设置排除。 |
| 用户没有看到检测通知 | 通知显示由 <show_bubble_notifications>、Windows 通知权限和当前登录会话共同决定。没有弹窗不代表没有执行检测；应同时检查 EMS 事件和 FortiClient 日志。 |
| 排除应用后仍被反病毒隔离 | Anti-Exploit 应用排除仅影响漏洞利用检测，不会自动排除 Antivirus、Sandbox、Cloud-Based Malware Detection 或 Application Firewall。应根据实际检测来源处理，避免把不同安全模块的排除项混为一谈。 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.10.17 |
| 0.1 | Draft Version | - | - | 2026.08.04 |