[KB8538] Vytváření vyloučení a filtrů událostí úložiště v ESET Inspect On-Prem

Obsah

• Vytváření vyloučení a filtrů událostí úložiště v ESET Inspect a ESET Inspect On-Prem
• Vytvoření vyloučení
• Vytvoření vyloučení pro zadaný skript
• Vytvoření filtru pro ukládání událostí

Podrobnosti

Řešení

Vytvoření vyloučení

1. Otevřete webovou konzoli ESET Inspect.

2. Otevřete zobrazení Vyloučení: Kliknutím na ikonu rozbalení () v levém dolním rohu stránky rozbalíte navigační panel. Klikněte na Více. Klikněte na možnost Vyloučení.

3. Klikněte na možnost Nové vyloučení.

4. Zadejte jméno. Klikněte na kritéria. Kritéria určují, které procesy by měly být z detekce vyloučeny. Kritéria jsou rozdělena do následujících oblastí:

   • Aktuální proces—Kritéria odpovídající procesu, který spustil detekci, kterou chcete vyloučit.
   • Nadřazený proces—Kritéria odpovídající procesu, který spustil aktuální proces zapojený do detekce.
   • Jakýkoli proces předka—Kritéria odpovídající jakémukoli procesu výše ve stromu procesů, který vedl k aktuálnímu procesu.
     
     

5. Definujte kritéria odpovídající procesu, který chcete vyloučit z detekce, pomocí níže uvedených vlastností. Volitelně můžete kliknout na tlačítko Upřesnit editor a upravit kritéria změnou syntaxe pravidla.

   • Název procesu je jeden z—Názvy procesů, které chcete vyloučit z detekce.
   • Cesta k procesu začíná—Cesta k procesu, který chcete vyloučit z detekce (C:\Windows nebo %SYSTEM% lze použít).
   • Cmd. line contains—Parametry příkazového řádku používané procesem, který chcete vyloučit z detekce.
   • Signer je jeden z—Jména signatářů přidružených k procesu, který chcete vyloučit z detekce.
   • Typ podpisu je—Typ digitálního podpisu používaného procesem, který chcete vyloučit z detekce. Zvolte operátory porovnání (např. je, není, větší než nebo rovno, menší než nebo rovno) a vyberte typ podepisující osoby: Důvěryhodný, Platný, Vlastní podpis, Žádný, Neplatný nebo Přítomný. Toto pole je povinné, pokud je zadán podepisující subjekt.
   • SHA-1 je jedním z—Hodnoty hash SHA-1 procesů, které chcete vyloučit z detekce.
   • SHA-256 je jedním z—Hodnoty hash SHA-256 procesů, které chcete vyloučit z detekce.
   • User je jeden z—Uživatelská jména, pod kterými běží proces, který chcete vyloučit z detekce.
     
     

6. Klikněte na tlačítko Pravidla. Vyberte pravidla, na která chcete vyloučení použít. Chcete-li zúžit seznam pravidel, klikněte na tlačítko Přidat filtr, vyberte filtr Název pravidla a zadejte řetězec, který chcete vyhledat.

7. V části Automatické řešení v části Pravidla rozhodněte, zda chcete automaticky vyřešit všechna předchozí zjištění, která odpovídají definovaným kritériím vyloučení. Pokud chcete detekce vyřešit, ponechte zaškrtnuté políčko vedle možnosti Vyřešit shodné detekce. V opačném případě jeho výběr zrušte.

8. Klikněte na položku Targets → Assign. Vyberte počítače nebo skupiny, na které chcete vyloučení použít, a klikněte na tlačítko OK.

9. Klikněte na tlačítko Souhrn, zkontrolujte podrobnosti vyloučení a klikněte na tlačítko Vytvořit vyloučení.

10. Po vytvoření vyloučení budete přesměrováni zpět do zobrazení Vyloučení.

Vytvoření vyloučení pro zadaný skript

1. Otevřete webovou konzoli ESET Inspect.

2. Otevřete zobrazení Skripty: Kliknutím na ikonu rozbalení () v levém dolním rohu stránky rozbalíte navigační panel. Klikněte na skripty.

3. Vyberte skript, pro který chcete vytvořit vyloučení, a klikněte na tlačítko Vytvořit vyloučení.

4. Zadejte jméno. Klikněte na kritéria. Kritéria určují, které procesy by měly být z detekce vyloučeny. Vzhledem k tomu, že vytváříte výjimku pro konkrétní skript, budou kritéria předem definována.

5. Zkontrolujte kritéria předdefinovaná prostřednictvím níže uvedených parametrů a v případě potřeby je upravte. Volitelně můžete kliknout na tlačítko Pokročilý editor a upravit kritéria změnou syntaxe pravidla.

   • Název procesu je jeden z—Názvy procesů, které chcete vyloučit z detekce.
   • Cmd. line contains—Parametry příkazového řádku používané procesem, který chcete vyloučit z detekce.
   • User je jeden z—Uživatelská jména, pod kterými běží proces, který chcete vyloučit z detekce.
     
     

6. Klikněte na položku Targets → Assign. Vyberte počítače nebo skupiny, na které chcete vyloučení použít, a klikněte na tlačítko OK.

7. Klikněte na tlačítko Souhrn, zkontrolujte podrobnosti vyloučení a klikněte na tlačítko Vytvořit vyloučení.

8. Po vytvoření vyloučení budete přesměrováni zpět do zobrazení Skripty .

Vytvoření filtru pro ukládání událostí

1. Otevřete webovou konzoli ESET Inspect.

2. Otevřete zobrazení Spustitelné soubory: Kliknutím na ikonu rozbalení () v levém dolním rohu stránky rozbalíte navigační panel. Klikněte na položku Spustitelné soubory.

3. Vyberte spustitelný soubor, pro který chcete vytvořit filtr pro ukládání událostí, a klikněte na tlačítko Filtrovat události.

4. Zkontrolujte předdefinovaný název a v případě potřeby jej upravte. Klikněte na kritéria. Kritéria určují, které události by měly být z ukládání vyloučeny. Vzhledem k tomu, že vytváříte filtr pro ukládání událostí pro konkrétní spustitelný soubor, budou kritéria předem definována. 

5. Zkontrolujte kritéria předdefinovaná pomocí níže uvedených parametrů a v případě potřeby je upravte. Volitelně můžete kliknout na tlačítko Pokročilý editor a upravit kritéria změnou syntaxe pravidla.

   • Název procesu je jeden z—Názvy procesů, jejichž události chcete vyloučit z ukládání.
   • Cesta k procesu začíná—Cesta k procesu, jehož události chcete vyloučit z ukládání (C:\Windows nebo %SYSTEM% lze použít).
   • Cmd. line obsahuje—Parametry příkazového řádku používané procesem, jehož události chcete vyloučit z ukládání.
   • Signer je jeden z—Jména signatářů přidružených k procesu, jehož události chcete vyloučit z ukládání.
   • Typ podpisu je—Typ digitálního podpisu používaného procesem, jehož události chcete vyloučit z ukládání. Zvolte operátory porovnání (např. je, není, větší než nebo rovno, menší než nebo rovno) a vyberte typ podepisující osoby: Důvěryhodný, Platný, Vlastní podpis, Žádný, Neplatný nebo Přítomný. Toto pole je povinné, pokud je zadán podepisující subjekt.
   • SHA-1 je jedním z—Hodnoty hash SHA-1 procesů, jejichž události chcete vyloučit z ukládání.
   • SHA-256 je jedním z—Hodnoty hash SHA-256 procesů, jejichž události chcete vyloučit z ukládání.
   • User je jedno z—Uživatelská jména, pod kterými běží proces, jehož události chcete vyloučit z ukládání.
     
     

6. Klikněte na položku Typy událostí a vyberte typy událostí, které chcete vyloučit z ukládání. Můžete vybrat následující typy událostí:

   • Události souborového systému
   • Události TCP
   • Události v registru
   • Události HTTP
   • Události DNS
     
     

7. Klikněte na položku Targets → Assign. Vyberte počítače nebo skupiny, na které chcete použít filtr pro ukládání událostí, a klikněte na tlačítko OK.

8. Klikněte na tlačítko Souhrn, zkontrolujte podrobnosti filtru úložiště událostí a klikněte na tlačítko Vytvořit filtr.

9. Po vytvoření filtru pro ukládání událostí budete přesměrováni zpět do zobrazení Spustitelné soubory.