[KB8318] Създаване на изключвания в ESET Inspect и ESET Inspect On-Prem

Издание

• Добавяне на изключвания към ESET Inspect или ESET Inspect On-Prem
• Добавяне на тригерно събитие
• Впръскване в доверен процес/системен процес
• Довереният процес е заредил подозрителен DLL
• Добавяне на родителски процес

Подробности

Решение

Добавяне на тригерно събитие

1. Влезте в ESET Inspect. Потребителите на ESET Inspect On-Prem, отворете уеб конзолата на ESET Inspect в уеб браузъра си и влезте в нея.
   
   
2. Щракнете върху Детекции, щракнете върху падащото меню до Детекции и изберете Правила. Кликнете върху иконата на зъбно колело под бутона Защита.
   
   

   

3. Изберете Изберете колони.
   
   

   

4. Въведете Trigger (Задействане) в полето Enter quick search pattern. (Въведете модел за бързо търсене) и поставете отметка в квадратчето до Trigger Event (Задействане на събитие).
   
   

   

Впръскване в доверен процес/системен процес

1. Влезте в системата ESET Inspect. Потребителите на ESET Inspect On-Prem, отворете уеб конзолата на ESET Inspect в уеб браузъра си и влезте в нея.
   
   
2. Щракнете върху Детекции, щракнете върху падащото меню до Детекции и изберете Правила. Разширете правилото, за да видите всички открития, свързани с правилото.
   
   

   

3. В полето Тип на филтъра Изпълним файл въведете името на изпълним файл и натиснете Enter. Превъртете надясно, за да видите пълното име на тригерното събитие.

4. Изберете квадратчето за отметка до откритието.
   
   

   

5. Щракнете върху Създаване на изключване.
   
   
6. Въведете име за изключването и щракнете върху Критерии.
   
   

   

7. Уверете се, че са избрани полетата Exclude Processes that match these criteria (Изключване на процеси, които отговарят на тези критерии), и щракнете върху Advanced Editor (Разширен редактор)
   • Текущият процес е избран
   • Името на процеса е едно от има правилния тип изпълним файл
   • Signer Name (Име на подписвача) е едно от следните: има избран правилен подписвач
   • Типът на подписвача е избран Trusted или Valid

8. Добавете кода на операциите към израза Изключване. Щракнете върху Създаване на изключване
   • Новият таг <operations> трябва да бъде поставен между съществуващите затварящи тагове </process> и </definition>.
   • Условието и стойността в операцията ще се различават в зависимост от името на тригерното събитие. Например, ако името на тригерното събитие е едно и също за всяко откриване, условието ще бъде равно на е, а стойността може да бъде равна на името на тригерното събитие. Ако името на Trigger Event (Събитие на тригера) има уникална информация, условието може да бъде зададено на starts (започва) , а отделен ред може да бъде зададен на ends (завършва). На фигура 2-6 в примера са показани условията, зададени като начало и край.

<операции> <операция type="Codeinjection"> <операция type="and"> <условие component="FileItem" property="FullPath" condition="is" value=""/> </операция> </операция> </операции>

9. За повече информация относно XML синтаксиса и правилата, вижте Ръководството за правила на ESET Inspect. ESET предлага услуги за сигурност за ESET Inspect. Свържете се с вашия местен търговски представител за допълнителна помощ.

Доверен процес е заредил подозрителен DLL

3. Добавете кода на операциите към израза Изключване. Щракнете върху Създаване на изключване.

• • Новият таг <operations> трябва да бъде поставен между съществуващите затварящи тагове </process> и </definition>.
  • Условието и стойността в операцията ще се различават в зависимост от името на тригерното събитие. Например, ако името на тригерното събитие е едно и също за всяко откриване, условието ще бъде равно на е, а стойността може да бъде равна на името на тригерното събитие. Ако името на Trigger Event (Събитие на тригера) има уникална информация, условието може да бъде зададено на starts (започва) , а отделен ред може да бъде зададен на ends (завършва). На фигура 3-2 в примера са показани условията, зададени като начало и край.

Добавяне на родителски процес

За да създадете по-строго изключване, добавете Родителски процес в допълнение към израза за изключване, показан по-долу.

<операции> <операция type="LoadDLL"> <операция type="and"> <условие component="FileItem" property="FullPath" condition="is" value=""/> </операция> </операция> </операции>

4. За повече информация относно XML синтаксиса и правилата, вижте Ръководството за правила на ESET Inspect. ESET предлага услуги за сигурност за ESET Inspect. Свържете се с вашия местен търговски представител за допълнителна помощ.

---

Добавяне на родителски процес

Добавянето на Родителски процес към израза за изключване създава по-строго изключване.

1. Създайте първоначалното изключване.
   
   
2. Отворете нова инстанция на ESET Inspect или ESET Inspect On-Prem. Потребителите на ESET Inspect, влезте в своя ESET PROTECT Hub или ESET Business Account и щракнете върху Open Inspect. Потребителите на ESET Inspect On-Prem, отворете уеб конзолата на ESET Inspect в уеб браузъра си и влезте в нея.
   
   
3. В прозореца Критерии изберете Родителски процес. Изберете правилната опция за Името на процеса е едно от, Пътят на процеса започва с, Името на подписвача е едно от и Типът на подписа е. Щракнете върху Разширен редактор.
   
   

4. Копирайте целия израз, който започва с <parentprocess> и завършва с </parentprocess>.
   
   

5. Върнете се към оригиналното изключване и поставете родителския процес в израза за изключване над текущия <process>.
   
   

6. В новата инстанция на ESET Inspect/ESET Inspect On-Prem щракнете върху Cancel (Отказ), за да отмените изключването на Parent process (Родителски процес).

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.