[KB8318] Создание исключений в ESET Inspect и ESET Inspect On-Prem

Выпуск

• Добавление исключений в ESET Inspect или ESET Inspect On-Prem
• Добавить триггерное событие
• Инъекция в доверенный процесс/системный процесс
• Доверенный процесс загрузил подозрительную DLL
• Добавить родительский процесс

Подробности

Решение

Добавить событие триггера

1. Войдите в ESET Inspect. Пользователи ESET Inspect On-Prem откройте веб-консоль ESET Inspect в веб-браузере и войдите в систему.
   
   
2. Нажмите Обнаружения, щелкните раскрывающееся меню рядом с Обнаружениями и выберите Правила. Нажмите значок шестеренки под кнопкой Protect (Защита).
   
   

   

3. Выберите столбцы.
   
   

   

4. Введите Trigger в поле Enter quick search pattern. и установите флажок рядом с Trigger Event.
   
   

   

Инъекция в доверенный процесс/системный процесс

1. Войдите в систему ESET Inspect. Пользователи ESET Inspect On-Prem откройте веб-консоль ESET Inspect в веб-браузере и войдите в систему.
   
   
2. Нажмите Обнаружения, щелкните раскрывающееся меню рядом с Обнаружения и выберите Правила. Разверните правило, чтобы просмотреть все обнаружения, связанные с этим правилом.
   
   

   

3. В поле Тип фильтра Исполняемый введите имя исполняемого файла и нажмите Enter. Прокрутите страницу вправо, чтобы просмотреть полное имя триггерного события.

4. Установите флажок рядом с обнаружением.
   
   

   

5. Нажмите кнопку Создать исключение.
   
   
6. Введите имя для исключения и нажмите Критерии.
   
   

   

7. Убедитесь, что поля Исключить процессы, соответствующие этим критериям, выбраны, и нажмите Расширенный редактор
   • Выбрантекущий процесс
   • Имя процесса имеет правильный тип исполняемого файла
   • Имя подписывающего лица - одно из выбранных правильных подписывающих лиц
   • Тип подписывающего устройства выбран Доверенный или Действительный

8. Добавьте код операции в выражение исключения. Нажмите кнопку Создать исключение
   • Новый тег <operations> должен быть помещен между существующими закрывающими тегами </process> и </definition>.
   • Условие и значение в операции будут зависеть от имени события триггера. Например, если имя триггерного события одинаково для каждого обнаружения, условие будет равно is , а значение может быть равно имени триггерного события. Если имя триггерного события содержит уникальную информацию, условие может быть установлено на начало , а отдельная строка - на конец. На рисунке 2-6 в примере показаны условия, установленные на начало и конец.

<операции> <операция type="Codeinjection"> <оператор type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </оператор> </операция> </операции> </операции

9. Дополнительные сведения о синтаксисе XML и правилах см. в руководстве по правилам ESET Inspect. Компания ESET предлагает услуги по обеспечению безопасности для ESET Inspect. За дополнительной помощью обращайтесь к местному торговому представителю.

Доверенный процесс загрузил подозрительную библиотеку DLL

3. Добавьте код операции в выражение Исключение. Нажмите кнопку Создать исключение.

• • Новый тег <operations> должен быть помещен между существующими закрывающими тегами </process> и </definition>.
  • Условие и значение в операции будут зависеть от имени события триггера. Например, если имя триггерного события одинаково для каждого обнаружения, условие будет равно is , а значение может быть равно имени триггерного события. Если имя триггерного события содержит уникальную информацию, условие может быть установлено на начало , а отдельная строка - на конец. На рисунке 3-2 в примере показаны условия, установленные на начало и конец.

Добавление родительского процесса

Чтобы создать более строгое исключение, добавьте родительский процесс в дополнение к выражению исключения, показанному ниже.

<операции> <операция type="LoadDLL"> <оператор type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </оператор> </операция> </операции> </операции

4. Дополнительные сведения о синтаксисе XML и правилах см. в руководстве по правилам ESET Inspect. Компания ESET предлагает услуги по обеспечению безопасности для ESET Inspect. За дополнительной помощью обращайтесь к местному торговому представителю.

---

Добавление родительского процесса

Добавление родительского процесса в выражение исключения создает более строгое исключение.

1. Создайте начальное исключение.
   
   
2. Откройте новый экземпляр ESET Inspect или ESET Inspect On-Prem. Пользователи ESET Inspect, войдите в учетную запись ESET PROTECT Hub или ESET Business Account и нажмите Open Inspect. Пользователи ESET Inspect On-Prem откройте веб-консоль ESET Inspect в веб-браузере и войдите в систему.
   
   
3. В окне Критерии выберите Родительский процесс. Выберите правильный вариант для параметров Имя процесса является одним из, Путь процесса начинается с, Имя подписывающего лица является одним из и Тип подписи является. Нажмите кнопку Расширенный редактор.
   
   

4. Скопируйте все выражение, которое начинается с <parentprocess> и заканчивается </parentprocess>.
   
   

5. Вернитесь к исходному исключению и вставьте родительский процесс в выражение исключения над текущим <process>.
   
   

6. В новом экземпляре ESET Inspect/ESET Inspect On-Prem нажмите кнопку Отмена , чтобы отменить исключение родительского процесса.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.