[KB8318] Δημιουργία αποκλεισμών στο ESET Inspect και το ESET Inspect On-Prem

Τεύχος

• Προσθήκη εξαιρέσεων στο ESET Inspect ή στο ESET Inspect On-Prem
• Προσθήκη συμβάντος ενεργοποίησης
• Εισβολή σε αξιόπιστη διαδικασία/διαδικασία συστήματος
• Η αξιόπιστη διεργασία φόρτωσε ύποπτο DLL
• Προσθήκη γονικής διεργασίας

Λεπτομέρειες

Λύση

Προσθήκη συμβάντος ενεργοποίησης

1. Συνδεθείτε στο ESET Inspect. Χρήστες του ESET Inspect On-Prem, ανοίξτε την Κονσόλα Web του ESET Inspect στο πρόγραμμα περιήγησης στο web και συνδεθείτε.
   
   
2. Κάντε κλικ στην επιλογή Detections, κάντε κλικ στο αναπτυσσόμενο μενού δίπλα στην επιλογή Detections και επιλέξτε Rules (Κανόνες). Κάντε κλικ στο εικονίδιο με το γρανάζι κάτω από το κουμπί Protect (Προστασία ).
   
   

   

3. Επιλέξτε Επιλογή στηλών.
   
   

   

4. Πληκτρολογήστε Trigger στο πεδίο Enter quick search pattern. και επιλέξτε το πλαίσιο ελέγχου δίπλα στο Trigger Event.
   
   

   

Έγχυση σε αξιόπιστη διαδικασία/διαδικασία συστήματος

1. Συνδεθείτε στο ESET Inspect. Χρήστες του ESET Inspect On-Prem, ανοίξτε την Κονσόλα Web του ESET Inspect στο πρόγραμμα περιήγησης ιστού και συνδεθείτε.
   
   
2. Κάντε κλικ στην επιλογή Detections (Ανιχνεύσεις), κάντε κλικ στο αναπτυσσόμενο μενού δίπλα στην επιλογή Detections (Ανιχνεύσεις) και επιλέξτε Rules (Κανόνες). Αναπτύξτε τον κανόνα για να προβάλετε όλες τις ανιχνεύσεις που σχετίζονται με τον κανόνα.
   
   

   

3. Στον τύπο φίλτρου Εκτελέσιμο , πληκτρολογήστε το όνομα του εκτελέσιμου αρχείου και πατήστε Enter. Κάντε κύλιση προς τα δεξιά για να προβάλετε το πλήρες όνομα του συμβάντος ενεργοποίησης.

4. Επιλέξτε το πλαίσιο ελέγχου δίπλα στην ανίχνευση.
   
   

   

5. Κάντε κλικ στο κουμπί Create Exclusion (Δημιουργία αποκλεισμού).
   
   
6. Πληκτρολογήστε ένα όνομα για τον αποκλεισμό και κάντε κλικ στην επιλογή Κριτήρια.
   
   

   

7. Βεβαιωθείτε ότι τα πεδία Exclude Processes that match these criteria (Εξαίρεση διεργασιών που ταιριάζουν με αυτά τα κριτήρια ) είναι επιλεγμένα και κάντε κλικ στο Advanced Editor (Σύνθετη επεξεργασία)
   • Ητρέχουσα διαδικασία είναι επιλεγμένη
   • Το όνομα της διεργασίας είναι ένα από τα έχει τον σωστό τύπο εκτελέσιμου αρχείου
   • Το όνομα υπογράφοντος είναι ένα από τα έχει επιλεγεί ο σωστός υπογράφων
   • Ο τύπος του υπογράφοντος είναι έχει επιλεγεί Trusted ή Valid

8. Προσθέστε τον κωδικό λειτουργιών στην έκφραση Εξαίρεση. Κάντε κλικ στο κουμπί Δημιουργία αποκλεισμού
   • Η νέα ετικέτα <operations> πρέπει να τοποθετηθεί μεταξύ των υφιστάμενων ετικετών κλεισίματος </process> και </definition>.
   • Η συνθήκη και η τιμή στη λειτουργία θα διαφέρουν ανάλογα με το όνομα του συμβάντος ενεργοποίησης. Για παράδειγμα, εάν το όνομα του συμβάντος ενεργοποίησης είναι το ίδιο για κάθε ανίχνευση, η συνθήκη θα ισούται με is και η τιμή μπορεί να ισούται με το όνομα του συμβάντος ενεργοποίησης. Εάν το όνομα Trigger Event έχει μοναδικές πληροφορίες, η συνθήκη μπορεί να οριστεί ως starts και μια ξεχωριστή γραμμή μπορεί να οριστεί ως ends. Στην εικόνα 2-6 το παράδειγμα δείχνει τις συνθήκες που έχουν οριστεί σε starts και ends.

<operations> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations> </operations> </operations>

9. Για περισσότερες πληροφορίες σχετικά με τη σύνταξη και τους κανόνες XML, ανατρέξτε στον Οδηγό κανόνων του ESET Inspect. Η ESET προσφέρει υπηρεσίες ασφαλείας για το ESET Inspect. Επικοινωνήστε με τον τοπικό αντιπρόσωπο πωλήσεων για περαιτέρω βοήθεια.

Η αξιόπιστη διεργασία φόρτωσε ύποπτο DLL

3. Προσθέστε τον κωδικό λειτουργιών στην έκφραση Εξαίρεση. Κάντε κλικ στο κουμπί Δημιουργία αποκλεισμού.

• • Η νέα ετικέτα <operations> πρέπει να τοποθετηθεί μεταξύ των υφιστάμενων ετικετών κλεισίματος </process> και </definition>.
  • Η συνθήκη και η τιμή στη λειτουργία θα διαφέρουν ανάλογα με το όνομα του συμβάντος ενεργοποίησης. Για παράδειγμα, εάν το όνομα του συμβάντος ενεργοποίησης είναι το ίδιο για κάθε ανίχνευση, η συνθήκη θα ισούται με is και η τιμή μπορεί να ισούται με το όνομα του συμβάντος ενεργοποίησης. Εάν το όνομα Trigger Event έχει μοναδικές πληροφορίες, η συνθήκη μπορεί να οριστεί ως starts και μια ξεχωριστή γραμμή μπορεί να οριστεί ως ends. Στην εικόνα 3-2 το παράδειγμα δείχνει τις συνθήκες που έχουν οριστεί σε starts και ends.

Προσθήκη μιας γονικής διεργασίας

Για να δημιουργήσετε έναν αυστηρότερο αποκλεισμό προσθέστε μια Parent διεργασία εκτός από την έκφραση Exclusion που παρουσιάζεται παρακάτω.

<operations> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations> </operations> </operations>

4. Για περισσότερες πληροφορίες σχετικά με τη σύνταξη και τους κανόνες XML, ανατρέξτε στον Οδηγό κανόνων του ESET Inspect. Η ESET προσφέρει υπηρεσίες ασφαλείας για το ESET Inspect. Επικοινωνήστε με τον τοπικό αντιπρόσωπο πωλήσεων για περαιτέρω βοήθεια.

---

Προσθήκη μιας γονικής διεργασίας

Η προσθήκη μιας γονικής διεργασίας στην έκφραση αποκλεισμού δημιουργεί έναν αυστηρότερο αποκλεισμό.

1. Δημιουργήστε τον αρχικό αποκλεισμό.
   
   
2. Ανοίξτε μια νέα παρουσία του ESET Inspect ή του ESET Inspect On-Prem. Χρήστες του ESET Inspect, συνδεθείτε στο ESET PROTECT Hub ή στο λογαριασμό σας ESET Business και κάντε κλικ στην επιλογή Άνοιγμα Inspect. Χρήστες του ESET Inspect On-Prem, ανοίξτε την Κονσόλα Web του ESET Inspect στο πρόγραμμα περιήγησης στο web και συνδεθείτε.
   
   
3. Στο παράθυρο Criteria (Κριτήρια) επιλέξτε Parent process (Γονική διεργασία). Επιλέξτε τη σωστή επιλογή για το Process Name is one of, Process path starts with, Signer Name is one of και Signature type is. Κάντε κλικ στην επιλογή Advanced Editor (Επεξεργαστής για προχωρημένους).
   
   

4. Αντιγράψτε ολόκληρη την έκφραση που αρχίζει με <parentprocess> και τελειώνει με </parentprocess>.
   
   

5. Επιστρέψτε στον αρχικό αποκλεισμό και επικολλήστε τη γονική διεργασία στην έκφραση Αποκλεισμός πάνω από την τρέχουσα <διεργασία>.
   
   

6. Στη νέα εμφάνιση του ESET Inspect/ESET Inspect On-Prem, κάντε κλικ στο κουμπί Cancel (Ακύρωση ) για να ακυρώσετε τον αποκλεισμό της γονικής διεργασίας.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.