[KB8318] Tworzenie wykluczeń w ESET Inspect i ESET Inspect On-Prem

Problem

• Dodawanie wykluczeń do ESET Inspect lub ESET Inspect On-Prem
• Dodaj zdarzenie wyzwalające
• Wstrzyknięcie do zaufanego procesu/procesu systemowego
• Zaufany proces załadował podejrzaną bibliotekę DLL
• Dodaj proces nadrzędny

Szczegóły

Rozwiązanie

Dodaj zdarzenie wyzwalające

1. Zaloguj się do ESET Inspect. Użytkownicy ESET Inspect On-Prem, otwórz konsolę internetową ESET Inspect w przeglądarce internetowej i zaloguj się.
   
   
2. Kliknij Wykrycia, kliknij menu rozwijane obok Wykrycia i wybierz Reguły. Kliknij ikonę koła zębatego pod przyciskiem Chroń.
   
   

   

3. Wybierz opcję Wybierz kolumny.
   
   

   

4. Wpisz Trigger w polu Enter quick search pattern. i zaznacz pole wyboru obok Trigger Event.
   
   

   

Wstrzyknięcie do zaufanego procesu/procesu systemowego

1. Zaloguj się do programu ESET Inspect. Użytkownicy programu ESET Inspect On-Prem, otwórz konsolę internetową ESET Inspect w przeglądarce internetowej i zaloguj się.
   
   
2. Kliknij Wykrycia, kliknij menu rozwijane obok Wykrycia i wybierz Reguły. Rozwiń regułę, aby wyświetlić wszystkie powiązane z nią wykrycia.
   
   

   

3. W polu Typ filtru pliku wykonywalnego wpisz nazwę pliku wykonywalnego i naciśnij klawisz Enter. Przewiń w prawo, aby wyświetlić pełną nazwę zdarzenia wyzwalającego.

4. Zaznacz pole wyboru obok wykrycia.
   
   

   

5. Kliknij przycisk Utwórz wykluczenie.
   
   
6. Wpisz nazwę wykluczenia i kliknij Kryteria.
   
   

   

7. Sprawdź, czy pola Wyklucz procesy spełniające te kryteria są zaznaczone i kliknij przycisk Zaawansowany edytor
   • Bieżący proces jest zaznaczony
   • Nazwa procesu jest jednym z ma prawidłowy typ pliku wykonywalnego
   • Nazwa sygn atariusza jestjedną z opcji ma wybrany prawidłowy sygnatariusz
   • Wybranotyp sygnatariusza Trusted lub Valid

8. Dodaj kod operacji do wyrażenia wykluczenia. Kliknij przycisk Utwórz wykluczenie
   • Nowy znacznik <operations> musi być umieszczony pomiędzy istniejącymi znacznikami zamykającymi </process> i </definition>.
   • Warunek i wartość w operacji będą się różnić w zależności od nazwy zdarzenia wyzwalającego. Na przykład, jeśli nazwa zdarzenia wyzwalającego jest taka sama dla każdego wykrycia, warunek będzie równy is , a wartość może być równa nazwie zdarzenia wyzwalającego. Jeśli nazwa zdarzenia wyzwalającego zawiera unikalne informacje, warunek może być ustawiony na początek , a oddzielna linia na koniec. Przykład na rysunku 2-6 pokazuje warunki ustawione na początek i koniec.

<operacje> <operacja type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operacje> </operacje>.

9. Więcej informacji na temat składni XML i reguł można znaleźć w Przewodniku po regułach ESET Inspect. Firma ESET oferuje usługi bezpieczeństwa dla programu ESET Inspect. Skontaktuj się z lokalnym przedstawicielem handlowym, aby uzyskać dalszą pomoc.

Zaufany proces załadował podejrzaną bibliotekę DLL

3. Dodaj kod operacji do wyrażenia wykluczenia. Kliknij przycisk Utwórz wykluczenie.

• • Nowy znacznik <operations> musi być umieszczony pomiędzy istniejącymi znacznikami zamykającymi </process> i </definition>.
  • Warunek i wartość w operacji będą się różnić w zależności od nazwy zdarzenia wyzwalającego. Na przykład, jeśli nazwa zdarzenia wyzwalającego jest taka sama dla każdego wykrycia, warunek będzie równy is , a wartość może być równa nazwie zdarzenia wyzwalającego. Jeśli nazwa zdarzenia wyzwalającego zawiera unikalne informacje, warunek może być ustawiony na początek , a oddzielna linia na koniec. Przykład na Rysunku 3-2 pokazuje warunki ustawione na początek i koniec.

Dodawanie procesu nadrzędnego

Aby utworzyć bardziej rygorystyczne wykluczenie, dodaj proces nadrzędny oprócz wyrażenia wykluczenia pokazanego poniżej.

<operacje> <operacja type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operacje> </operacje>.

4. Więcej informacji na temat składni XML i reguł można znaleźć w Przewodniku po regułach ESET Inspect. Firma ESET oferuje usługi bezpieczeństwa dla programu ESET Inspect. Skontaktuj się z lokalnym przedstawicielem handlowym, aby uzyskać dalszą pomoc.

---

Dodawanie procesu nadrzędnego

Dodanie procesu nadrzędnego do wyrażenia wykluczenia powoduje utworzenie bardziej rygorystycznego wykluczenia.

1. Utwórz początkowe wykluczenie.
   
   
2. Otwórz nowe wystąpienie programu ESET Inspect lub ESET Inspect On-Prem. Użytkownicy programu ESET Inspect logują się do konta ESET PROTECT Hub lub ESET Business i klikają przycisk Otwórz program Inspect. Użytkownicy ESET Inspect On-Prem, otwórz konsolę internetową ESET Inspect w przeglądarce internetowej i zaloguj się.
   
   
3. W oknie Kryteria wybierz opcję Proces nadrzędny. Wybierz prawidłową opcję dla Nazwa procesu to jeden z, Ścieżka procesu zaczyna się od, Nazwa sygnatariusza to jeden z i Typ podpisu to. Kliknij przycisk Advanced Editor.
   
   

4. Skopiuj całe wyrażenie, które zaczyna się od <parentprocess> i kończy </parentprocess>.
   
   

5. Wróć do oryginalnego wykluczenia i wklej proces nadrzędny do wyrażenia wykluczenia powyżej bieżącego <process>.
   
   

6. W nowej instancji ESET Inspect/ESET Inspect On-Prem kliknij Anuluj , aby anulować wykluczenie procesu nadrzędnego.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.