[KB8318] Opret udelukkelser i ESET Inspect og ESET Inspect On-Prem

Problem

• Tilføj udelukkelser til ESET Inspect eller ESET Inspect On-Prem
• Tilføj udløserhændelse
• Indsprøjtning i betroet proces/ systemproces
• Betroet proces indlæste mistænkelig DLL
• Tilføj en overordnet proces

Detaljer om processen

Løsning

Tilføj udløserhændelse

1. Log ind på ESET Inspect. ESET Inspect On-Prem-brugere skal åbne ESET Inspect Web Console i deres webbrowser og logge ind.
   
   
2. Klik på Detections, klik på rullemenuen ved siden af Detections , og vælg Rules. Klik på tandhjulsikonet under knappen Protect.
   
   

   

3. Vælg Vælg kolonner.
   
   

   

4. Skriv Trigger i feltet Enter quick search pattern. og marker afkrydsningsfeltet ved siden af Trigger Event.
   
   

   

Indsprøjtning i betroet proces/ systemproces

1. Log ind på ESET Inspect. ESET Inspect On-Prem-brugere skal åbne ESET Inspect Web Console i deres webbrowser og logge ind.
   
   
2. Klik på Detections, klik på rullemenuen ved siden af Detections, og vælg Rules. Udvid reglen for at se alle registreringer, der er knyttet til reglen.
   
   

   

3. Skriv navnet på den eksekverbare fil i filtertypen Executable , og tryk på Enter. Rul til højre for at se det fulde navn på udløserhændelsen.

4. Marker afkrydsningsfeltet ved siden af registreringen.
   
   

   

5. Klik på Opret udelukkelse.
   
   
6. Skriv et navn til udelukkelsen, og klik på Kriterier.
   
   

   

7. Kontrollér, at felterne Exclude Processes that match these criteria er markeret, og klik på Advanced Editor
   • Denaktuelle proces er valgt
   • Procesnavn er en af har den korrekte eksekverbare type
   • Signer Name er en af har den korrekte underskriver valgt
   • Signatortype er har valgt Betroet eller Gyldig

8. Tilføj operationskoden til udelukkelsesudtrykket. Klik på Opret udelukkelse
   • Det nye <operations>-tag skal placeres mellem de eksisterende </process>- og </definition>-lukningstag.
   • Betingelsen og værdien i operationen vil variere baseret på navnet på udløserhændelsen. Hvis f.eks. navnet på den udløsende hændelse er det samme for hver detektion, vil betingelsen være lig med er, og værdien kan være lig med navnet på den udløsende hændelse. Hvis navnet på udløserhændelsen har unikke oplysninger, kan betingelsen indstilles til starter , og en separat linje kan indstilles til slutter. I Figur 2-6 viser eksemplet betingelserne indstillet til start og slut.

<operationer> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operationer>

9. Du kan få flere oplysninger om XML-syntaks og regler i ESET Inspect Rules Guide. ESET tilbyder sikkerhedstjenester til ESET Inspect. Kontakt din lokale salgsrepræsentant for at få yderligere hjælp.

Betroet proces indlæste mistænkelig DLL

3. Føj operationskoden til udelukkelsesudtrykket. Klik på Opret udelukkelse.

• • Det nye <operations>-tag skal placeres mellem de eksisterende </process>- og </definition>-lukningstag.
  • Betingelsen og værdien i operationen vil variere afhængigt af navnet på udløserhændelsen. Hvis f.eks. navnet på den udløsende hændelse er det samme for hver registrering, vil betingelsen være lig med er, og værdien kan være lig med navnet på den udløsende hændelse. Hvis navnet på udløserhændelsen har unikke oplysninger, kan betingelsen indstilles til starter , og en separat linje kan indstilles til slutter. I Figur 3-2 viser eksemplet betingelserne indstillet til start og slut.

Tilføj en overordnet proces

For at skabe en strengere udelukkelse tilføjes en overordnet proces ud over udelukkelsesudtrykket vist nedenfor.

<operationer> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operationer>

4. Du kan få flere oplysninger om XML-syntaks og regler i ESET Inspect Rules Guide. ESET tilbyder sikkerhedstjenester til ESET Inspect. Kontakt din lokale salgsrepræsentant for at få yderligere hjælp.

---

Tilføjelse af en overordnet proces

Tilføjelse af en overordnet proces til udelukkelsesudtrykket skaber en strengere udelukkelse.

1. Opret den første udelukkelse.
   
   
2. Åbn en ny forekomst af ESET Inspect eller ESET Inspect On-Prem. ESET Inspect-brugere skal logge ind på deres ESET PROTECT Hub eller ESET Business-konto og klikke på Open Inspect. ESET Inspect On-Prem-brugere skal åbne ESET Inspect Web Console i deres webbrowser og logge ind.
   
   
3. Vælg Parent process i vinduet Criteria. Vælg den korrekte indstilling for Process Name is one of, Process path starts with, Signer Name is one of og Signature type is. Klik på Advanced Editor.
   
   

4. Kopier hele det udtryk, der starter med <parentprocess> og slutter med </parentprocess>.
   
   

5. Gå tilbage til den oprindelige eksklusion, og indsæt Parent-processen i eksklusionsudtrykket over den aktuelle <process>.
   
   

6. I den nye instans af ESET Inspect/ESET Inspect On-Prem skal du klikke på Cancel for at annullere udelukkelsen af Parent-processen.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these products. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.