[KB8318] Creare esclusioni in ESET Inspect e ESET Inspect On-Prem

Problema

• Aggiungere esclusioni a ESET Inspect o ESET Inspect On-Prem
• Aggiungi evento trigger
• Iniezione in un processo affidabile/processo di sistema
• Il processo affidabile ha caricato una DLL sospetta
• Aggiungere un processo padre

Dettagli

Soluzione

Aggiungi evento trigger

1. Accedere a ESET Inspect. Per gli utenti di ESET Inspect On-Prem, aprire la Console Web di ESET Inspect nel browser Web e accedere.
   
   
2. Fare clic su Rilevamenti, fare clic sul menu a discesa accanto a Rilevamenti e selezionare Regole. Fare clic sull'icona a forma di ingranaggio sotto il pulsante Proteggi.
   
   

   

3. Selezionare Seleziona le colonne.
   
   

   

4. Digitare Trigger nel campo Enter quick search pattern. e selezionare la casella di controllo accanto a Trigger Event.
   
   

   

Iniezione in un processo affidabile/sistema

1. Accedere a ESET Inspect. Per gli utenti di ESET Inspect On-Prem, aprire la Console Web di ESET Inspect nel browser Web e accedere.
   
   
2. Fare clic su Rilevamenti, fare clic sul menu a discesa accanto a Rilevamenti e selezionare Regole. Espandere la regola per visualizzare tutti i rilevamenti associati alla regola.
   
   

   

3. Nel tipo di filtro Eseguibile , digitare il nome dell'eseguibile e premere Invio. Scorrere a destra per visualizzare il nome completo dell'evento trigger.

4. Selezionare la casella di controllo accanto al rilevamento.
   
   

   

5. Fare clic su Crea esclusione.
   
   
6. Digitare un nome per l'esclusione e fare clic su Criteri.
   
   

   

7. Verificare che i campi Escludi processi che corrispondono a questi criteri siano selezionati e fare clic su Editor avanzato
   • Ilprocesso corrente è selezionato
   • Il nome del processo è uno dei tipi di eseguibile corretti
   • Nome del firmatario è uno dei seguenti ha il firmatario corretto selezionato
   • Il tipo di firmatario è selezionato come attendibile o valido

8. Aggiungere il codice delle operazioni all'espressione di esclusione. Fare clic su Crea esclusione
   • Il nuovo tag <operations> deve essere inserito tra i tag di chiusura </process> e </definition> esistenti.
   • La condizione e il valore dell'operazione variano in base al nome dell'evento trigger. Ad esempio, se il nome dell'evento trigger è lo stesso per ogni rilevamento, la condizione sarà uguale a è e il valore potrà essere uguale al nome dell'evento trigger. Se il nome dell'evento trigger ha informazioni uniche, la condizione può essere impostata su inizio e una riga separata può essere impostata su fine. Nella Figura 2-6 l'esempio mostra le condizioni impostate su inizio e fine.

<operations> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

9. Per ulteriori informazioni sulla sintassi e sulle regole XML, consultare la Guida alle regole di ESET Inspect. ESET offre servizi di sicurezza per ESET Inspect. Per ulteriore assistenza, contattare il rappresentante di zona.

Il processo attendibile ha caricato una DLL sospetta

3. Aggiungete il codice delle operazioni all'espressione di esclusione. Fare clic su Crea esclusione.

• • Il nuovo tag <operations> deve essere inserito tra i tag di chiusura </process> e </definition> esistenti.
  • La condizione e il valore dell'operazione variano in base al nome dell'evento trigger. Ad esempio, se il nome dell'evento trigger è lo stesso per ogni rilevamento, la condizione sarà uguale a è e il valore potrà essere uguale al nome dell'evento trigger. Se il nome dell'evento trigger ha informazioni uniche, la condizione può essere impostata su inizio e una riga separata può essere impostata su fine. Nella Figura 3-2 l'esempio mostra le condizioni impostate su inizio e fine.

Aggiungere un processo padre

Per creare un'esclusione più rigida , aggiungete un processo padre all'espressione di esclusione mostrata di seguito.

<operazioni> <operazione tipo="LoadDLL"> <operatore tipo="and"> <condizione componente="FileItem" proprietà="FullPath" condizione="is" valore=""/> </operatore> </operazione> </operazioni>

4. Per ulteriori informazioni sulla sintassi e sulle regole XML, consultare la Guida alle regole di ESET Inspect. ESET offre servizi di sicurezza per ESET Inspect. Per ulteriore assistenza, contattare il rappresentante locale.

---

Aggiungere un processo padre

L'aggiunta di un processo padre all'espressione di esclusione crea un'esclusione più rigida.

1. Creare l'esclusione iniziale.
   
   
2. Aprire una nuova istanza di ESET Inspect o ESET Inspect On-Prem. Utenti ESET Inspect, accedere all'account ESET PROTECT Hub o ESET Business e fare clic su Apri Inspect. Per gli utenti di ESET Inspect On-Prem, aprire la Console Web di ESET Inspect nel browser Web e accedere.
   
   
3. Nella finestra Criteri selezionare Processo principale. Selezionare l'opzione corretta per Nome processo è uno di, Percorso processo inizia con, Nome firmatario è uno di e Tipo di firma è. Fare clic su Editor avanzato.
   
   

4. Copiare l'intera espressione che inizia con <parentprocess> e termina con </parentprocess>.
   
   

5. Tornate all'esclusione originale e incollate il processo padre nell'espressione di esclusione sopra il <processo> corrente .
   
   

6. Nella nuova istanza di ESET Inspect/ESET Inspect On-Prem, fate clic su Annulla per annullare l'esclusione del processo padre.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.