[KB8318] Erstellen von Ausnahmen in ESET Inspect und ESET Inspect On-Prem

Problem

• Hinzufügen von Ausnahmen zu ESET Inspect oder ESET Inspect On-Prem
• Auslösendes Ereignis hinzufügen
• Injektion in vertrauenswürdigen Prozess/Systemprozess
• Vertrauenswürdiger Prozess hat verdächtige DLL geladen
• Einen übergeordneten Prozess hinzufügen

Einzelheiten

Lösung

Trigger-Ereignis hinzufügen

1. Melden Sie sich bei ESET Inspect an. ESET Inspect On-Prem-Benutzer öffnen die ESET Inspect Web Console in Ihrem Webbrowser und melden sich an.
   
   
2. Klicken Sie auf Erkennungen, dann auf das Dropdown-Menü neben Erkennungen und wählen Sie Regeln. Klicken Sie auf das Zahnradsymbol unter der Schaltfläche Schützen.
   
   

   

3. Wählen Sie Spalten auswählen.
   
   

   

4. Geben Sie Trigger in das Feld Enter quick search pattern. ein und aktivieren Sie das Kontrollkästchen neben Trigger Event.
   
   

   

Injektion in einen vertrauenswürdigen Prozess/Systemprozess

1. Melden Sie sich bei ESET Inspect an. ESET Inspect On-Prem-Benutzer öffnen die ESET Inspect Web Console in Ihrem Webbrowser und melden sich an.
   
   
2. Klicken Sie auf Erkennungen, dann auf das Dropdown-Menü neben Erkennungen und wählen Sie Regeln. Erweitern Sie die Regel, um alle mit der Regel verbundenen Erkennungen anzuzeigen.
   
   

   

3. Geben Sie im Filtertyp Ausführbar den Namen der ausführbaren Datei ein und drücken Sie die Eingabetaste. Scrollen Sie nach rechts, um den vollständigen Namen des Auslöseereignisses anzuzeigen.

4. Aktivieren Sie das Kontrollkästchen neben der Erkennung.
   
   

   

5. Klicken Sie auf Ausschluss erstellen.
   
   
6. Geben Sie einen Namen für den Ausschluss ein und klicken Sie auf Kriterien.
   
   

   

7. Vergewissern Sie sich, dass die Felder Prozesse ausschließen, die diesen Kriterien entsprechen ausgewählt sind, und klicken Sie auf Erweiterter Editor
   • Deraktuelle Prozess ist ausgewählt
   • Prozessname ist einer von hat den richtigen ausführbaren Typ
   • Unterzeichnername ist eines von hat den richtigen Unterzeichner ausgewählt
   • Unterzeichnertyp ist Vertrauenswürdig oder Gültig ausgewählt

8. Fügen Sie den Vorgangscode zum Ausschlussausdruck hinzu. Klicken Sie auf Ausschluss erstellen
   • Das neue <operations>-Tag muss zwischen den vorhandenen schließenden Tags </process> und </definition> platziert werden.
   • Die Bedingung und der Wert in der Operation hängen vom Namen des auslösenden Ereignisses ab. Wenn zum Beispiel der Name des auslösenden Ereignisses für jede Erkennung gleich ist, ist die Bedingung gleich und der Wert kann dem Namen des auslösenden Ereignisses entsprechen. Wenn der Name des auslösenden Ereignisses eindeutige Informationen enthält, kann die Bedingung auf Beginn und eine separate Zeile auf Ende gesetzt werden. Das Beispiel in Abbildung 2-6 zeigt, dass die Bedingung auf Beginn und Ende eingestellt ist.

<operations> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

9. Weitere Informationen zur XML-Syntax und zu Regeln finden Sie im ESET Inspect Rules Guide. ESET bietet Sicherheitsdienstleistungen für ESET Inspect an. Wenden Sie sich für weitere Unterstützung an Ihren lokalen Vertriebsmitarbeiter.

Vertrauenswürdiger Prozess hat verdächtige DLL geladen

3. Fügen Sie den Vorgangscode zum Ausschlussausdruck hinzu. Klicken Sie auf Ausschluss erstellen.

• • Das neue <operations>-Tag muss zwischen den vorhandenen schließenden Tags </process> und </definition> eingefügt werden.
  • Die Bedingung und der Wert in der Operation hängen vom Namen des auslösenden Ereignisses ab. Wenn zum Beispiel der Name des auslösenden Ereignisses für jede Erkennung gleich ist, ist die Bedingung gleich und der Wert kann dem Namen des auslösenden Ereignisses entsprechen. Wenn der Name des auslösenden Ereignisses eindeutige Informationen enthält, kann die Bedingung auf Beginn und eine separate Zeile auf Ende gesetzt werden. Das Beispiel in Abbildung 3-2 zeigt, dass die Bedingungen auf Beginn und Ende gesetzt sind.

Hinzufügen eines übergeordneten Prozesses

Um einen strengeren Ausschluss zu erstellen, fügen Sie zusätzlich zu dem unten gezeigten Ausschlussausdruck einen übergeordneten Prozess hinzu.

<operations> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

4. Weitere Informationen zur XML-Syntax und zu den Regeln finden Sie im ESET Inspect Rules Guide. ESET bietet Sicherheitsdienstleistungen für ESET Inspect an. Wenden Sie sich an Ihren lokalen Vertriebsmitarbeiter, um weitere Unterstützung zu erhalten.

---

Hinzufügen eines übergeordneten Prozesses

Durch Hinzufügen eines übergeordneten Prozesses zum Ausschlussausdruck wird ein strengerer Ausschluss erstellt.

1. Erstellen Sie den ersten Ausschluss.
   
   
2. Öffnen Sie eine neue Instanz von ESET Inspect oder ESET Inspect On-Prem. ESET Inspect-Benutzer melden sich bei Ihrem ESET PROTECT Hub oder ESET Business-Konto an und klicken auf Inspect öffnen. ESET Inspect On-Prem-Benutzer öffnen die ESET Inspect Web Console in Ihrem Webbrowser und melden sich an.
   
   
3. Wählen Sie im Fenster Kriterien die Option Übergeordneter Prozess. Wählen Sie die richtige Option für Prozessname ist einer von, Prozesspfad beginnt mit, Unterzeichnername ist einer von und Signaturtyp ist. Klicken Sie auf Erweiterter Editor.
   
   

4. Kopieren Sie den gesamten Ausdruck, der mit <parentprocess> beginnt und mit </parentprocess> endet .
   
   

5. Gehen Sie zurück zum ursprünglichen Ausschluss und fügen Sie den übergeordneten Prozess in den Ausschlussausdruck oberhalb des aktuellen <process> ein.
   
   

6. Klicken Sie in der neuen Instanz von ESET Inspect/ESET Inspect On-Prem auf Abbrechen , um den Ausschluss des übergeordneten Prozesses aufzuheben.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.