问题
- 在 ESET Inspect On-Prem 中创建排除项和存储事件过滤器
- 创建排除项
- 为指定脚本创建排除项
- 创建事件存储过滤器
详细信息
点击展开
排除规则是一组指令，用于指示产品根据定义的条件忽略特定的行为或检测结果。排除规则有助于减少误报，或忽略那些原本会被检测规则标记但已知是安全的行为。排除规则与检测规则使用相同的基于 XML 的规则语言创建，从而能够精确控制需要排除的内容。
有关更多信息，请参阅“排除规则”。
解决方案
创建排除项
-
打开“排除项”视图：在导航面板中，单击“更多”→“排除项”。
-
单击“新建排除项”。
-
输入“名称”。单击“条件”。条件用于确定应从检测中排除哪些进程。这些条件分为以下范围：
- 当前进程——与您要排除的、触发检测的该进程相匹配的条件。
- 父进程——与触发检测的当前进程的启动进程相匹配的条件。
- 任何祖先进程——与导致当前进程的进程树中任何上级进程相匹配的条件。
-
使用以下属性定义与您要从检测中排除的进程相匹配的条件。如需修改条件，可点击“高级编辑器”以更改规则语法。
- 进程名称为以下之一——您希望从检测中排除的进程名称。
- 进程路径以…开头——要从检测中排除的进程的路径（可以使用
C:\Windows或%SYSTEM%）。 - 命令行包含—要排除在检测范围之外的进程所使用的命令行参数。
- 签名者为以下之一——与要排除检测的进程关联的签名者名称。
- “签名类型”为——要从检测中排除的进程所使用的数字签名类型。 选择比较运算符（例如，等于、不等于、大于或等于、小于或等于），并选择签名者类型：受信任、有效、自签名、无、无效或存在。指定签名者时，此字段为必填项。
- SHA-1 为以下选项之一——您要排除检测的进程的 SHA-1 哈希值。
- SHA-256 包括以下选项之一：要排除检测的进程的 SHA-256 哈希值。
- 用户（其中之一）— 您要排除检测的进程所运行的用户名。
-
单击“规则”。选择要应用排除条件的规则。若要缩小规则列表范围，请单击“添加筛选器”，选择“规则名称”筛选器，然后输入要搜索的字符串。
-
在“规则”下的“自动解决”部分，决定是否要自动解决所有符合已定义排除条件的历史检测记录。若要解决这些检测记录，请保持“解决匹配的检测记录”旁边的复选框选中；否则，请取消选中。
-
单击“目标”→“分配”。选择要应用此排除规则的计算机或组，然后单击“确定”。
-
单击“摘要”，查看排除规则的详细信息，然后单击“创建排除规则”。
- 创建排除规则后，系统将自动返回“排除规则”视图。
为指定脚本创建排除项
-
打开“脚本”视图：单击页面左下角的展开图标（
）以展开导航面板。单击“脚本”。 -
选择要为其创建排除规则的脚本，然后点击“创建排除规则”。
-
输入“名称”。点击“条件”。条件决定了哪些进程应被排除在检测之外。由于您正在为特定脚本创建例外，因此条件将是预定义的。
-
查看通过以下参数预定义的条件，并在需要时进行修改。您也可以点击“高级编辑器”，通过更改规则语法来修改条件。
- 进程名称为以下之一——您要从检测中排除的进程名称。
- 命令行包含——您希望排除检测的进程所使用的命令行参数。
- 用户为以下之一——您希望将其排除在检测范围之外的进程所运行的用户名。
-
单击“目标”→“分配”。选择要应用此排除规则的计算机或组，然后单击“确定”。
-
单击“摘要”，查看排除规则的详细信息，然后单击“创建排除规则”。
- 创建排除规则后，系统将自动返回“脚本”视图 。
创建事件存储过滤器
-
打开“可执行文件”视图：单击页面左下角的展开图标（
）以展开导航面板。单击“可执行文件”。 -
选择您要为其创建事件存储过滤器的可执行文件，然后点击“过滤事件”。
-
查看预定义的“名称”，并在需要时进行修改。点击“条件”。条件决定了应从存储中排除哪些事件。由于您正在为特定的可执行文件创建事件存储过滤器，因此条件将是预定义的。
-
查看通过以下参数预定义的条件，并根据需要进行修改。如需进一步调整，可点击“高级编辑器”通过修改规则语法来调整条件。
- 进程名称为以下之一——您希望将其事件排除在存储之外的进程名称。
- 进程路径以…开头——您希望将其事件排除在存储之外的进程的路径（可使用
C:\Windows或%SYSTEM%）。 - 命令行包含—您希望将其事件排除在存储之外的进程所使用的命令行参数。
- 签名者为以下之一——与您希望将其事件排除在存储之外的进程相关的签名者名称。
- 签名类型是——要从存储中排除其事件的进程所使用的数字签名类型。 选择比较运算符（例如，等于、不等于、大于或等于、小于或等于），并选择签名者类型：“受信任”、“有效”、“自签名”、“无”、“无效”或“存在”。指定签名者时，此字段为必填项。
- SHA-1 是以下选项之一——您希望将其事件排除在存储之外的流程的 SHA-1 哈希值。
- SHA-256 包括以下选项之一：您希望将其事件排除在存储之外的进程的 SHA-256 哈希值。
- 用户为以下选项之一——您希望将其事件排除在存储之外的进程所运行的用户名。
-
单击“事件类型”，然后选择要从存储中排除的事件类型。您可以选择以下事件类型：
- 文件系统事件
- TCP 事件
- 注册表事件
- HTTP 事件
- DNS 事件
-
单击“目标”→ “分配”。选择要对其应用事件存储过滤器的计算机或组，然后单击“确定”。
-
单击“摘要”，查看事件存储过滤器的详细信息，然后单击“创建过滤器”。
-
创建事件存储过滤器后，系统将自动跳转回“可执行文件”视图。
