[KB8318] Creați excluderi în ESET Inspect și ESET Inspect On-Prem

Problema

• Adăugarea de excluderi la ESET Inspect sau ESET Inspect On-Prem
• Adăugați eveniment declanșator
• Injecție în procesul de încredere/procesul sistemului
• Procesul de încredere a încărcat o DLL suspectă
• Adăugați un proces părinte

Detalii

Soluție

Adăugați eveniment declanșator

1. Conectați-vă la ESET Inspect. Utilizatorii ESET Inspect On-Prem, deschideți Consola Web ESET Inspect în browserul dvs. web și conectați-vă.
   
   
2. Faceți clic pe Detecții, faceți clic pe meniul derulant de lângă Detecții și selectați Reguli. Faceți clic pe pictograma rotiță de sub butonul Protect (Protejare ).
   
   

   

3. Selectați Selectați coloanele.
   
   

   

4. Introduceți Trigger în câmpul Enter quick search pattern. și bifați caseta de selectare de lângă Trigger Event.
   
   

   

Injectarea în procesul de încredere/procesul sistemului

1. Conectați-vă la ESET Inspect. Utilizatorii ESET Inspect On-Prem, deschideți Consola web ESET Inspect în browserul dvs. web și autentificați-vă.
   
   
2. Faceți clic pe Detecții, faceți clic pe meniul derulant de lângă Detecții și selectați Reguli. Amplasați regula pentru a vizualiza toate detecțiile asociate cu regula.
   
   

   

3. În tipul de filtru Executabil , tastați numele executabilului și apăsați Enter. Derulați spre dreapta pentru a vizualiza numele complet al evenimentului declanșator.

4. Selectați caseta de selectare de lângă detecție.
   
   

   

5. Faceți clic pe Create Exclusion (Creare excludere).
   
   
6. Introduceți un nume pentru excludere și faceți clic pe Criteria (Criterii).
   
   

   

7. Verificați dacă câmpurile Exclude Processes that match these criteria sunt selectate și faceți clic pe Advanced Editor
   • Procesul curent este selectat
   • Process Name (Numele procesului) este unul dintre are tipul executabil corect
   • Signer Name este unul dintre are semnatarul corect selectat
   • Tipul de semnatar este selectat Trusted sau Valid

8. Adăugați codul operațiunilor la expresia de excludere. Faceți clic pe Create Exclusion (Creare excludere)
   • Noua etichetă <operations> trebuie plasată între etichetele de închidere existente </process> și </definition>.
   • Condiția și valoarea din operațiune vor varia în funcție de numele Trigger Event. De exemplu, dacă numele Trigger Event este același pentru fiecare detecție, condiția va fi egală cu is, iar valoarea poate fi egală cu numele Trigger Event. Dacă numele evenimentului de declanșare are informații unice, condiția poate fi setată la starts și o linie separată poate fi setată la ends. În figura 2-6, exemplul arată condițiile setate la începuturi și sfârșituri.

<operations> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

9. Pentru mai multe informații despre sintaxa și regulile XML, consultați Ghidul regulilor ESET Inspect. ESET oferă servicii de securitate pentru ESET Inspect. Contactați reprezentantul dvs. local de vânzări pentru asistență suplimentară.

Procesul de încredere a încărcat o DLL suspectă

3. Adăugați codul operațiunilor la expresia Exclusion (Excludere). Faceți clic pe Create Exclusion (Creare excludere).

• • Noua etichetă <operations> trebuie plasată între etichetele de închidere existente </process> și </definition>.
  • Condiția și valoarea din operațiune vor varia în funcție de numele Trigger Event (Eveniment de declanșare). De exemplu, dacă numele Trigger Event este același pentru fiecare detecție, condiția va fi egală cu is, iar valoarea poate fi egală cu numele Trigger Event. Dacă numele evenimentului de declanșare are informații unice, condiția poate fi setată la începe și o linie separată poate fi setată la sfârșit. În figura 3-2, exemplul arată condițiile setate la începuturi și sfârșituri.

Adăugarea unui proces părinte

Pentru a crea o excludere mai strictă, adăugați un proces părinte în plus față de expresia de excludere prezentată mai jos.

<operations> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operations>

4. Pentru mai multe informații despre sintaxa și regulile XML, consultați Ghidul regulilor ESET Inspect. ESET oferă servicii de securitate pentru ESET Inspect. Contactați reprezentantul dvs. local de vânzări pentru asistență suplimentară.

---

Adăugarea unui proces părinte

Adăugarea unui proces părinte la expresia de excludere creează o excludere mai strictă.

1. Creați excluderea inițială.
   
   
2. Deschideți o nouă instanță de ESET Inspect sau ESET Inspect On-Prem. Utilizatorii ESET Inspect, conectați-vă la contul ESET PROTECT Hub sau ESET Business și faceți clic pe Open Inspect. Utilizatorii ESET Inspect On-Prem, deschideți Consola Web ESET Inspect în browserul dvs. web și conectați-vă.
   
   
3. În fereastra Criterii, selectați Procesul părinte. Selectați opțiunea corectă pentru Process Name is one of, Process path starts with, Signer Name is one of și Signature type is. Faceți clic pe Advanced Editor (Editor avansat).
   
   

4. Copiați întreaga expresie care începe cu <parentprocess> și se termină cu </parentprocess>.
   
   

5. Întoarceți-vă la excluderea inițială și lipiți procesul părinte în expresia de excludere de deasupra <proces> curent .
   
   

6. În noua instanță a ESET Inspect/ESET Inspect On-Prem, faceți clic pe Cancel pentru a anula excluderea procesului părinte.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.