[KB8318] Створення винятків в ESET Inspect та ESET Inspect On-Prem

Випуск

• Додавання винятків до ESET Inspect або ESET Inspect On-Prem
• Додавання тригерної події
• Впровадження в довірений процес/системний процес
• Довірений процес завантажив підозрілу DLL
• Додавання батьківського процесу

Деталі

Рішення

Додати тригерну подію

1. Увійдіть до ESET Inspect. Користувачі ESET Inspect On-Prem, відкрийте веб-консоль ESET Inspect у веб-браузері та увійдіть в систему.
   
   
2. Клацніть Виявлення, розкрийте спадне меню поруч із пунктом Виявлення та виберіть Правила. Клацніть значок шестерні під кнопкою Захистити.
   
   

   

3. Виберіть Вибрати стовпці.
   
   

   

4. Введіть Тригер у полі Введіть шаблон швидкого пошуку і встановіть прапорець біля пункту Тригерна подія.
   
   

   

Впровадження в довірений процес/системний процес

1. Увійдіть в ESET Inspect. Користувачі ESET Inspect On-Prem, відкрийте веб-консоль ESET Inspect у веб-браузері та увійдіть в систему.
   
   
2. Клацніть Виявлення, розкрийте спадне меню поруч із пунктом Виявлення та виберіть Правила. Розгорніть правило, щоб переглянути всі виявлення, пов'язані з ним.
   
   

   

3. У полі Тип фільтра виконуваного файлу введіть назву виконуваного файлу і натисніть клавішу Enter. Прокрутіть праворуч, щоб побачити повну назву тригерної події.

4. Встановіть прапорець поруч з виявленням.
   
   

   

5. Натисніть Створити виключення.
   
   
6. Введіть назву виключення і натисніть Критерії.
   
   

   

7. Переконайтеся, що поля Виключити процеси, які відповідають цим критеріям, вибрано, і натисніть Розширений редактор
   • Поточний процес вибрано
   • Ім'я процесу має правильний тип виконуваного файлу
   • Ім'я підписувача - вибрано правильного підписувача
   • Тип підписувача вибрано Довірений або Дійсний

8. Додайте код операції до виразу виключення. Натисніть кнопку Створити виключення
   • Новий тег <операції> потрібно розмістити між існуючими закриваючими тегами </процес> і </визначення>.
   • Умова і значення в операції залежатимуть від назви події-тригера. Наприклад, якщо ім'я тригерної події однакове для кожного виявлення, умова буде дорівнювати is , а значення може дорівнювати імені тригерної події. Якщо ім'я тригерної події містить унікальну інформацію, умову можна встановити в початок , а значення - в кінець окремого рядка. На Рисунку 2-6 показано приклад з умовами, встановленими на початку та в кінці.

<операції> <операція type="Codeinjection"> <оператор type="and"> <умова component="FileItem" property="FullPath" condition="is" value=""/> </оператор> </операція> </операція> </операції> </операції> </операції>

9. Докладні відомості про синтаксис і правила XML див. в Посібнику з правил перевірки ESET. ESET пропонує послуги безпеки для ESET Inspect. Зверніться до місцевого торгового представника для отримання додаткової допомоги.

Довірений процес завантажив підозрілу DLL

3. Додайте код операції до виразу виключення. Натисніть кнопку Створити виключення.

• • Новий тег <операції> має бути розміщений між існуючими закриваючими тегами </процес> і </визначення>.
  • Умова і значення в операції залежатимуть від назви події-тригера. Наприклад, якщо ім'я тригерної події однакове для кожного виявлення, умова буде дорівнювати is , а значення може дорівнювати імені тригерної події. Якщо ім'я тригерної події містить унікальну інформацію, умову можна встановити в початок , а значення - в кінець окремого рядка. На Рисунку 3-2 у прикладі показано умови, встановлені для starts і ends.

Додавання батьківського процесу

Щоб створити більш суворе виключення, додайте батьківський процес на додаток до виразу виключення, показаного нижче.

<операції> <операція тип="LoadDLL"> <оператор тип="and"> <умова компонент="FileItem" властивість="FullPath" умова="is" значення=""/> </оператор> </операція> </операція> </операції> </операції> </операції>

4. Докладні відомості про синтаксис і правила XML див. в Посібнику з правил перевірки ESET. ESET пропонує послуги безпеки для ESET Inspect. Зверніться до місцевого торгового представника для отримання додаткової допомоги.

---

Додавання батьківського процесу

Додавання батьківського процесу до виразу виключення створює суворіше виключення.

1. Створіть початкове виключення.
   
   
2. Відкрийте новий екземпляр ESET Inspect або ESET Inspect On-Prem. Користувачі ESET Inspect, увійдіть до свого ESET PROTECT Hub або бізнес-акаунта ESET і натисніть Відкрити інспекцію. Користувачі ESET Inspect On-Prem: відкрийте веб-консоль ESET Inspect у веб-браузері та увійдіть у систему.
   
   
3. У вікні Критерії виберіть Батьківський процес. Виберіть правильне значення для параметрів Ім'я процесу - одне з, Шлях до процесу починається з, Ім'я підписувача- одне з і Тип підпису - одне з. Натисніть кнопку Додатковий редактор.
   
   

4. Скопіюйте весь вираз, який починається з <батьківський процес> і закінчується </батьківський процес>.
   
   

5. Поверніться до початкового виключення і вставте батьківський процес у вираз виключення над поточним <процесом>.
   
   

6. У новому екземплярі ESET Inspect/ESET Inspect On-Prem натисніть кнопку Скасувати , щоб скасувати виключення батьківського процесу.

ESET Security Services for ESET Inspect On-Prem and ESET Inspect

ESET offers various security service packages and additional support for these applications. Support for ESET Inspect On-Prem and ESET Inspect is limited and managing rules or exclusions are not included without an ESET Security Service package. Contact a sales representative for further assistance.