恶意软件保护功能的介绍
恶意软件保护功能的介绍
FortiClient EMS 的 Malware Protection（恶意软件保护）配置文件把多个终端防护能力集中在同一策略中。管理员先定义每项功能的行为，再通过 Endpoint Policy 将配置文件分配给终端组或用户。
功能组成
| 功能 | 主要作用 | 典型处置 |
|---|---|---|
| Antivirus Protection | 检测文件型恶意软件、Rootkit、风险软件及相关威胁 | 隔离、拒绝访问、告警或记录 |
| Anti-Ransomware | 监控受保护目录中的异常批量修改或加密行为 | 终止进程、隔离文件、尝试恢复 |
| Anti-Exploit | 监控合法应用中的可疑载荷和漏洞利用行为 | 终止受影响进程并上报 |
| Cloud-Based Malware Detection | 查询 FortiGuard 的高风险文件信誉 | 隔离或告警通知 |
| Removable Media Access | 控制 U 盘、移动硬盘等外接设备访问 | 允许、阻止或监控 |
| Exclusions | 排除特定文件、目录或扩展名 | 跳过指定反病毒扫描 |
| Other | Rootkit、广告软件、风险软件、邮件和插入媒体扫描等 | 按相应检测动作处置 |
统一部署流程
- 核对许可证、平台支持和 FortiClient 安装组件。
- 进入 Endpoint Profiles > Malware Protection，新建或复制配置文件。
- 切换到 Advanced，配置所需功能并保存。
- 进入 Endpoint Policy & Components > Manage Policies，让测试组策略引用该配置文件。
- 等待 Telemetry 通信，在终端详情中确认实际命中策略。
- 验证功能状态、检测处置、日志上报和隔离记录。
- 完成兼容性和误报观察后，再按终端组分批扩大范围。
有关完整策略下发方法，请参阅客户端配置的推送。
各部分模块介绍
防病毒保护（Antivirus Protection）
FortiClient Antivirus 用于扫描系统文件、可执行文件、DLL、驱动程序、可移动媒体和压缩文件。管理员可以集中配置实时防护、按需扫描、计划扫描、机器学习分析、排除项及检测动作。
- 实时防护在文件被读取、写入、下载或执行时即时检查。
- 按需扫描由用户右键菜单、FortiClient 界面或 EMS 管理员触发。
- 计划扫描按每日、每周或每月的时间表检查终端存量文件。
- 机器学习分析用于辅助识别未命中特征签名的未知威胁。
详细部署和全部选项说明请参阅反病毒功能的部署。
反勒索软件（Anti-Ransomware）
Anti-Ransomware 监控指定文件夹和文件类型，识别疑似批量加密或破坏行为。检测后可以仅记录、暂停进程等待用户判断，或自动终止进程并隔离其修改的文件。启用本地备份后，FortiClient 可以在具备有效备份的情况下尝试恢复文件。
重要
该功能不支持 FortiClient macOS。本地反勒索备份不能替代企业离线或不可变备份。
详细说明请参阅反勒索软件功能的部署。
反漏洞利用（Anti-Exploit）
Anti-Exploit 监控浏览器、Office、PDF 阅读器等合法应用中的可疑载荷，防御内存攻击、路过式下载、恶意文档和漏洞利用工具包。检测到利用行为时，FortiClient 可终止受影响的进程并上报 EMS。
重要
Anti-Exploit 面向受支持的 Windows 终端，并且必须同时启用 Antivirus Real-Time Protection。
详细说明请参阅反漏洞利用功能的部署。
基于云的恶意软件检测（Cloud-Based Malware Detection）
Cloud-Based Malware Detection 用于检查来自互联网、邮件、网络驱动器或可移动媒体的高风险文件。FortiClient 计算文件 SHA-1 摘要并向 FortiGuard 查询；若云端库判定摘要为恶意，FortiClient 按策略隔离或告警。
该功能主要提交 .exe、.doc、.pdf、.dll 等高风险类型的摘要或相应检查请求。实际文件类型与提交行为以对应版本和配置为准。
可移动媒体访问控制（Removable Media Access）
Removable Media Access 用于允许、阻止或仅记录 U 盘、移动硬盘等设备的连接。Windows 可以根据设备类别、制造商、Vendor ID、Product ID 和 Revision 创建精细规则；macOS 和 Linux 只支持默认访问动作，不支持 EMS 下发的其他精细规则。
注
Removable Media Access 控制“设备能否使用”；Antivirus 中的 Scan Removable Media on Insertion 控制“设备插入后是否扫描”。两者作用不同，建议配合部署。
排除项与其他设置
Malware Protection 的 Exclusions 和 Other 主要服务于 Antivirus。排除项应保持最短并定期复审；Rootkit、广告软件、风险软件、启发式检测、邮件扫描、插入媒体扫描和签名过期通知等选项的完整中文说明，请参阅反病毒功能的部署。
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.2 | Modify the format | ysheng | tanga | 2026.09.13 |
| 1.1 | Add details explanation | ysheng | tanga | 2026.08.24 |
| 1.0 | First Complete | ysheng | tanga | 2026.08.04 |