[KB8318] Poissulkemisten luominen ESET Inspectissä ja ESET Inspect On-Premissä

Kysymys

• Poissulkemisten lisääminen ESET Inspect- tai ESET Inspect On-Prem -palveluun
• Lisää käynnistystapahtuma
• Tunkeutuminen luotettuun prosessiin/järjestelmäprosessiin
• Luotettu prosessi latasi epäilyttävän DLL:n
• Lisää vanhemman prosessin

Yksityiskohdat

Ratkaisu

Lisää käynnistystapahtuma

1. Kirjaudu sisään ESET Inspectiin. ESET Inspect On-Prem -käyttäjät, avaa ESET Inspect Web Console selaimessa ja kirjaudu sisään.
   
   
2. Napsauta Detections (Havaintoja), napsauta Detections (Havaintoja ) -kohdan vieressä olevaa pudotusvalikkoa ja valitse Rules (Säännöt). Napsauta Suojaa-painikkeen alla olevaa hammasratas-kuvaketta.
   
   

   

3. Valitse Valitse Valitse sarakkeet.
   
   

   

4. Kirjoita Trigger (Laukaisin ) Enter quick search pattern. (Kirjoita pikahakukuvio ) -kenttään ja valitse Trigger Event (Laukaisutapahtuma) -valintaruutu. vieressä.
   
   

   

Syöttö luotettuun prosessiin/järjestelmäprosessiin

1. Kirjaudu sisään ESET Inspect-ohjelmaan. ESET Inspect On-Prem -käyttäjät, avaa ESET Inspect Web Console verkkoselaimessa ja kirjaudu sisään.
   
   
2. Napsauta Detections (Havaintoja), napsauta Detections (Havaintoja) -kohdan vieressä olevaa pudotusvalikkoa ja valitse Rules (Säännöt). Laajenna sääntö nähdäksesi kaikki sääntöön liittyvät havainnot.
   
   

   

3. Kirjoita Suoritettavan suodattimen tyyppi -kohtaan suoritettavan tiedoston nimi ja paina Enter-näppäintä. Selaa oikealle nähdäksesi koko käynnistystapahtuman nimen.

4. Valitse ilmaisimen vieressä oleva valintaruutu.
   
   

   

5. Napsauta Create Exclusion (Luo poissulkeminen).
   
   
6. Kirjoita poissulkemiselle nimi ja valitse Perusteet.
   
   

   

7. Varmista, että Exclude Processes that match these criteria -kentät on valittu ja napsauta Advanced Editor (Lisäeditori)
   • Nykyinen prosessi on valittu
   • Prosessin nimi on jokin seuraavista: on oikea suoritettavan tiedoston tyyppi
   • Allekirjoittajan nimi on yksi seuraavista: on valittu oikea allekirjoittaja
   • Allekirjoittajan tyyppi on Luottamuksellinen tai Validi on valittuna

8. Lisää toimintojen koodi Exclusion-lausekkeeseen. Napsauta Create Exclusion (Luo poissulkeminen)
   • Uusi <operations>-tagi on sijoitettava olemassa olevien </process>- ja </definition>-sulkutagien väliin.
   • Operaation ehto ja arvo vaihtelevat Trigger Event -tapahtuman nimen mukaan. Jos esimerkiksi Trigger Event -tapahtuman nimi on sama jokaisessa havaitsemisessa, ehto on yhtä suuri kuin on ja arvo voi olla yhtä suuri kuin Trigger Event -tapahtuman nimi. Jos Trigger Event -tapahtuman nimessä on yksilöllisiä tietoja, ehdoksi voidaan asettaa starts ja erilliseksi riviksi ends. Kuvassa 2-6 olevassa esimerkissä ehdot on asetettu arvoihin starts ja ends.

<operations> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations> </operations> </operations>

9. Lisätietoja XML-syntaksista ja säännöistä on ESET Inspect Rules Guide -oppaassa. ESET tarjoaa tietoturvapalveluja ESET Inspectille. Ota yhteyttä paikalliseen myyntiedustajaan saadaksesi lisätietoja.

Luotettu prosessi latasi epäilyttävän DLL:n

3. Lisää toimintojen koodi Exclusion-lausekkeeseen. Napsauta Create Exclusion (Luo poissulkeminen).

• • Uusi <operations>-tagi on sijoitettava olemassa olevien </process>- ja </definition>-sulkutagien väliin.
  • Operaation ehto ja arvo vaihtelevat Trigger Event -tapahtuman nimen mukaan. Jos esimerkiksi Trigger Event -tapahtuman nimi on sama jokaisessa havaitsemisessa, ehto on yhtä suuri kuin on ja arvo voi olla yhtä suuri kuin Trigger Event -tapahtuman nimi. Jos Trigger Event -tapahtuman nimessä on yksilöllisiä tietoja, ehdoksi voidaan asettaa starts ja erilliseksi riviksi ends. Kuvassa 3-2 olevassa esimerkissä ehdot on asetettu arvoihin starts ja ends.

Vanhemman prosessin lisääminen

Jos haluat luoda tiukemman poissulkemisen, lisää alla esitetyn Exclusion-lausekkeen lisäksi Parent-prosessi.

<operations> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations> </operations> </operations>

4. Lisätietoja XML-syntaksista ja säännöistä on ESET Inspect Rules Guide -oppaassa. ESET tarjoaa tietoturvapalveluja ESET Inspectille. Ota yhteyttä paikalliseen myyntiedustajaan saadaksesi lisätietoja.

---

Vanhemman prosessin lisääminen

Parent-prosessin lisääminen Exclusion-lausekkeeseen luo tiukemman poissulkemisen.

1. Luo alkuperäinen poissulkeminen.
   
   
2. Avaa uusi ESET Inspect- tai ESET Inspect On-Prem -instanssi. ESET Inspect -käyttäjät, kirjaudu sisään ESET PROTECT Hub- tai ESET Business -tilillesi ja valitse Avaa Inspect. ESET Inspect On-Prem -käyttäjät, avaa ESET Inspect Web Console selaimessa ja kirjaudu sisään.
   
   
3. Valitse Criteria-ikkunassa Parent process. Valitse oikea vaihtoehto kohdissa Process Name is one of, Process path starts with, Signer Name is one of ja Signature type is. Napsauta Advanced Editor (Lisäeditori) -painiketta.
   
   

4. Kopioi koko lauseke, joka alkaa <parentprocess> ja päättyy </parentprocess>.
   
   

5. Palaa alkuperäiseen poissulkemiseen ja liitä Parent process nykyisen <prosessi>:n yläpuolella olevaan Exclusion-lausekkeeseen.
   
   

6. Napsauta uudessa ESET Inspect/ESET Inspect On-Prem -esimerkissä Cancel (Peruuta ) peruuttaaksesi Parent process exclusion -lausekkeen.

#@##placeholder id='1586' language='1'#@#