[KB8318] Skapa undantag i ESET Inspect och ESET Inspect On-Prem

Problem

• Lägg till undantag i ESET Inspect eller ESET Inspect On-Prem
• Lägg till utlösande händelse
• Injektion i betrodd process/ systemprocess
• Betrodd process laddade misstänkt DLL
• Lägg till en överordnad process

Mer information

Lösning

Lägg till utlösande händelse

1. Logga in på ESET Inspect. ESET Inspect On-Prem-användare, öppna ESET Inspect Web Console i din webbläsare och logga in.
   
   
2. Klicka på Detections, klicka på rullgardinsmenyn bredvid Detections och välj Rules. Klicka på kugghjulsikonen under knappen Protect.
   
   

   

3. Välj Välj kolumner.
   
   

   

4. Skriv Trigger i fältet Enter quick search pattern. och markera kryssrutan bredvid Trigger Event.
   
   

   

Injektion i betrodd process/system process

1. Logga in på ESET Inspect. ESET Inspect On-Prem-användare, öppna ESET Inspect Web Console i din webbläsare och logga in.
   
   
2. Klicka på Detections (Detekteringar), klicka på rullgardinsmenyn bredvid Detections (Detekteringar) och välj Rules (Regler). Expandera regeln för att visa alla upptäckter som är associerade med regeln.
   
   

   

3. I filtertypen Executable skriver du namnet på den körbara filen och trycker på Enter. Bläddra till höger för att visa hela namnet på den utlösande händelsen.

4. Markera kryssrutan bredvid detekteringen.
   
   

   

5. Klicka på Create Exclusion (Skapa uteslutning).
   
   
6. Ange ett namn för uteslutningen och klicka på Criteria.
   
   

   

7. Kontrollera att fälten Exkludera processer som matchar dessa kriterier är markerade och klicka på Avancerad redigerare
   • Aktuell process är markerad
   • Processnamn är ett av har rätt typ av körbar fil
   • Signer Name är ett av har rätt signerare vald
   • Signeringstyp är har Betrodd eller Giltig valts

8. Lägg till verksamhetskoden i uteslutningsuttrycket. Klicka på Skapa uteslutning
   • Den nya taggen <operations> måste placeras mellan de befintliga avslutande taggarna </process> och </definition>.
   • Villkoret och värdet i åtgärden varierar beroende på namnet på Triggerhändelsen. Om till exempel namnet på den utlösande händelsen är detsamma för varje detektion kommer villkoret att vara lika med is och värdet kan vara lika med namnet på den utlösande händelsen. Om Triggerhändelsens namn har unik information kan villkoret ställas in på starts och en separat rad kan ställas in på ends. I Figur 2-6 visas ett exempel där villkoren är inställda på start och slut.

<operationer> <operation type="Codeinjection"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operationer>

9. Mer information om XML-syntax och -regler finns i ESET Inspect Rules Guide. ESET erbjuder säkerhetstjänster för ESET Inspect. Kontakta din lokala försäljningsrepresentant för ytterligare hjälp.

Betrodd process laddade misstänkt DLL

3. Lägg till verksamhetskoden i uteslutningsuttrycket. Klicka på Skapa uteslutning.

• • Den nya taggen <operations> måste placeras mellan de befintliga avslutande taggarna </process> och </definition>.
  • Villkoret och värdet i åtgärden varierar beroende på namnet på Triggerhändelsen. Om till exempel namnet på den utlösande händelsen är detsamma för varje detektion kommer villkoret att vara lika med is och värdet kan vara lika med namnet på den utlösande händelsen. Om Triggerhändelsens namn har unik information kan villkoret ställas in på starts och en separat rad kan ställas in på ends. I exemplet i Figur 3-2 visas villkoren inställda på start och slut.

Lägg till en överordnad process

För att skapa en striktare uteslutning lägger du till en överordnad process utöver uteslutningsuttrycket som visas nedan.

<operationer> <operation type="LoadDLL"> <operator type="and"> <condition component="FileItem" property="FullPath" condition="is" value=""/> </operator> </operation> </operationer>

4. Mer information om XML-syntax och regler finns i ESET Inspect Rules Guide. ESET erbjuder säkerhetstjänster för ESET Inspect. Kontakta din lokala försäljningsrepresentant för ytterligare hjälp.

---

Lägga till en överordnad process

Om du lägger till en överordnad process i uteslutningsuttrycket skapas en strängare uteslutning.

1. Skapa den första uteslutningen.
   
   
2. Öppna en ny instans av ESET Inspect eller ESET Inspect On-Prem. ESET Inspect-användare loggar in på ditt ESET PROTECT Hub- eller ESET Business-konto och klickar på Open Inspect. ESET Inspect On-Prem-användare öppnar ESET Inspect Web Console i din webbläsare och loggar in.
   
   
3. I fönstret Criteria väljer du Parent process. Välj rätt alternativ för Processnamn är ett av, Processökväg börjar med, Signeringsnamn är ett av och Signaturtyp är. Klicka på Advanced Editor.
   
   

4. Kopiera hela det uttryck som börjar med <parentprocess> och slutar med </parentprocess>.
   
   

5. Gå tillbaka till den ursprungliga exkluderingen och klistra in Parent-processen i exkluderingsuttrycket ovanför den aktuella <process>.
   
   

6. I den nya instansen av ESET Inspect/ESET Inspect On-Prem klickar du på Cancel för att avbryta uteslutningen av Parent-processen.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.