[KB8318] ESET InspectとESET Inspect On-Premで除外項目を作成する

問題

• ESET InspectまたはESET Inspect On-Premに除外を追加する
• トリガーイベントの追加
• 信頼済みプロセス/システムプロセスへのインジェクション
• 信頼済みプロセスが疑わしい DLL をロード
• 親プロセスの追加

詳細

ソリューション

トリガーイベントの追加

1. ESET Inspect にログインします。ESET Inspect On-Prem ユーザーは、Web ブラウザで ESET Inspect Web Console を開き、ログインします。
   
   
2. 検出] をクリックし、[検出] の 横にあるドロップダウンメニューをクリックして、[ルール] を選択します。保護]ボタンの下にある歯車アイコンをクリックします。
   
   

   

3. Select 列を選択します。
   
   

   

4. Enter quick search pattern.]フィールドに[Trigger] と入力し、[Trigger Event]の横のチェックボックスを選択します。
   
   

   

信頼済みプロセス/システムプロセスへのインジェクション

1. ESET Inspect にログインします。ESET Inspect On-Prem ユーザーは、Web ブラウザで ESET Inspect Web Console を開き、ログインします。
   
   
2. 検出] をクリックし、[検出] の横にあるドロップダウンメニューをクリックして、[ルール] を選択します。ルールを展開して、ルールに関連するすべての検出を表示します。
   
   

   

3. 実行可能ファイル] フィルタ タイプに実行可能ファイル名を入力し、[Enter] キーを押します。右にスクロールして、完全なトリガーイベント名を表示します。

4. 検出の横にあるチェックボックスを選択します。
   
   

   

5. Create Exclusion をクリックします。
   
   
6. 除外の名前を 入力し、Criteria をクリックします。
   
   

   

7. Exclude Processes that match these criteria」フィールドが選択されていることを確認し、「Advanced Editor」をクリックする。
   • 現在のプロセスが選択されている。
   • Process Name（プロセス名）のいずれかが正しい実行可能タイプである。
   • 署名者名」のいずれかが正しい署名者を選択している
   • 署名者のタイプが 「Trusted」または「Valid」の いずれかが選択されている

8. 操作コードを除外式に追加する。Create Exclusionをクリックする。
   • 新しい <operations> タグは、既存の </process> と </definition> の閉じタグの間に配置する必要があります。
   • 操作の条件と値はトリガーイベント名によって異なります。例えば、トリガーイベント名が各検出で同じ場合、条件はisに 等しく、値はトリガーイベント名に等しくなります。トリガーイベント名に固有の情報がある場合、コンディションをstart に設定し、別の行をends に設定することができます。図 2-6 では、開始と 終了に設定された条件を示しています。

<operations> <operationタイプ="Codeinjection"> <operatorタイプ="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

9. XML 構文とルールの詳細については、『ESET Inspect Rules Guide』を参照してください。ESET では、ESET Inspect 用のセキュリティサービスを提供しています。詳しくは、最寄りの販売代理店にお問い合わせください。

信頼済みプロセスが疑わしい DLL をロード

3. 操作コードを除外式に追加します。Create Exclusion」をクリックする。

• • 新しい <operations> タグは、既存の </process> と </definition> の閉じタグの間に配置する必要があります。
  • 操作の条件と値はトリガーイベント名によって異なります。例えば、トリガーイベント名が各検出で同じ場合、条件はisに 等しく、値はトリガーイベント名に等しくなります。トリガーイベント名に固有の情報がある場合、コンディションをstart に設定し、別の行をends に設定することができます。図 3-2 の例では、条件をstarts とends に設定しています。

親プロセスの追加

より厳格な除外を作成するには、以下に示す除外式に加えて親プロセスを追加する。

<operations> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

4. XML 構文とルールの詳細については、『ESET Inspect Rules Guide』を参照してください。ESET では、ESET Inspect 用のセキュリティサービスを提供しています。詳しくは、最寄りの販売代理店にお問い合わせください。

---

親プロセスの追加

除外式に親プロセスを追加すると、より厳格な除外が作成されます。

1. 最初の除外を作成します。
   
   
2. ESET Inspect または ESET Inspect On-Prem の新しいインスタンスを開きます。 ESET Inspect ユーザーは、ESET PROTECT HubまたはESET Business アカウントにログインし、[Open Inspect] をクリックします。ESET Inspect On-Prem ユーザーは、Web ブラウザで ESET Inspect Web Console を開き、ログインします。
   
   
3. 基準] ウィンドウで [親プロセス] を選択します。Process Name is one of,Process path starts with,Signer Name is one of,Signature type is の正しいオプションを選択します。Advanced Editor」をクリックする。
   
   

4. <parentprocess>で始まり</parentprocess>で終わる式全体をコピーする。
   
   

5. 元の除外に戻り、親プロセスを現在の<process>の上の除外式に貼り付ける。
   
   

6. ESET Inspect/ESET Inspect On-Prem の新しいインスタンスで、Cancel をクリックして親プロセスの除外をキャンセルします。

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these products. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.

.