Exclusions

Exclusions AV

Dans l'onglet Exclusions AV, vous pouvez voir la liste de toutes les exclusions créées pour les détections antivirus et les règles IDS de pare-feu. Cette nouvelle section contient toutes les exclusions, augmente leur visibilité et simplifie leur gestion.

Cliquez sur une exclusion ou sélectionnez d'autres exclusions et cliquez sur le bouton Détection pour gérer les exclusions :

• Changer l'affectation : permet de modifier les ordinateurs cibles sur lesquels l'exclusion s'appliquera.

• Afficher les ordinateurs affectées : permet d'afficher les ordinateurs sur lesquels l'exclusion s'applique.

• Journal de vérification : affiche le journal d'audit pour l'objet sélectionné.

• Supprimer : supprimer l'exclusion.

• Groupe d'accès > Déplacer :Déplacer l'objet vers un autre groupe statique où il sera accessible aux utilisateurs disposant de droits suffisants sur le groupe cible. La modification du groupe d'accès est utile pour résoudre les problèmes d'accès avec d'autres utilisateurs. Groupe d'accès définit le groupe statique de l'objet et l'accès à l'objet en fonction des droits d'accès de l'utilisateur.

Si la détection exclue ou l'action de pare-feu apparaît à nouveau sur les ordinateurs gérés, la colonne Nombre d'occurrence affiche le nombre de fois que l'exclusion a été appliquée.

Migrer les exclusions d'une politique

Dans ESET PROTECT, vous ne pouvez pas créer d'exclusions de détection antivirus en utilisant une politique. Si vos politiques contenaient auparavant des exclusions, suivez les étapes ci-dessous pour migrer les exclusions de politiques vers la liste Exclusions dans ESET PROTECT :

1.Accédez à Configuration > Configuration avancée, puis cliquez sur la politique qui contient les exclusions et sélectionnez Afficher les détails.

2.Cliquez sur Paramètres > Moteur de détection.

3.Cliquez sur Affichage situé en regard de Exclusions de détection.

4.Cliquez sur le bouton Exporter, puis cliquez sur le bouton à côté de Télécharger les données exportées et enregistrez le fichier export.txt. Cliquez sur OK.

5.Dans la console Web de ESET PROTECT, accédez à Plus > Exclusions > Exclusions AV.

6.Cliquez sur le bouton Importer pour importer les exclusions de détection à partir d'un fichier. Cliquez sur Sélectionner le fichier à téléverser, puis accédez au fichier export.txt ou faites glisser-déposer le fichier.

7.Cliquez sur le bouton Importer pour importer les exclusions de détection. Les exclusions de détection importées s'afficheront dans la liste des exclusions.

Filtres et personnalisation de la mise en page

Vous pouvez personnaliser l'affichage de l'écran actuel de la console Web :

•Gérer le panneau latéral et le tableau principal.

•Ajouter des filtres et des préréglages de filtres. Vous pouvez utiliser les balises pour filtrer les éléments affichés.

Exclusions EDR

Dans l'onglet Exclusions EDR, vous pouvez voir la liste de toutes les exclusions pour les indicateurs créés par le déclenchement des règles EDR.

Sélectionnez une exclusion et cliquez sur le bouton Actions, ou cliquez sur une exclusion pour :

• Afficher les détails—Afficher la Vue d'ensemble, la Définition, l'attribution aux Règles et aux Cibles où l'exclusion EDR est appliquée.

• Ouvrir les règles—Affichez l'attribution de l'exclusion aux règles. Cliquez sur le bouton Gérer les règles pour ajouter ou supprimer des règles.

• Activer—Activer l'exclusion.

• Désactiver—Désactive l'exclusion.

• Modifier—Modifier le nom de l'exclusion, la description, les balises, la définition, les règles ou les cibles.

• Gérer les cibles – Ajoutez ou supprimez des cibles pour l'exclusion.

• Gérer les règles – Ajouter ou supprimer des règles pour l'exclusion.

• Balises – Attribuez des balises à partir de la liste existante ou créez des balises personnalisées.

• Groupe d'accès > Déplacer :Déplacer l'objet vers un autre groupe statique où il sera accessible aux utilisateurs disposant de droits suffisants sur le groupe cible. La modification du groupe d'accès est utile pour résoudre les problèmes d'accès avec d'autres utilisateurs. Groupe d'accès définit le groupe statique de l'objet et l'accès à l'objet en fonction des droits d'accès de l'utilisateur.

• Dupliquer—Créez une copie de l'exclusion sélectionnée.

• Exporter > Exporter la sélection ou Exporter tout – Lancez le processus d'exportation de l'exclusion vers un fichier XML.

• Importer—Ouvre la fenêtre permettant d'importer le fichier de règles XML.

• Supprimer : supprimer l'exclusion.

Créer une nouvelle exclusion

1.Allez à Exclusions > Exclusions EDR > cliquez sur le bouton Nouvelle exclusion.

2.Dans la section Bases, saisissez le Nom, la Description, sélectionnez facultativement des étiquettes et activez l'exclusion juste après sa création.

3.Dans la section Définition, définissez les critères qui déterminent quels processus doivent être exclus de la création d'indicateurs. Les critères sont regroupés dans les portées suivantes :

•Processus actuel – Critères correspondant au processus qui a déclenché l'indicateur que vous voulez exclure.

•Processus parent—Critères correspondant au processus qui a lancé le processus actuel visé par l'indicateur.

•Tout processus ancêtre – Critères correspondant à tout processus situé plus haut dans l'arborescence des processus qui a mené au processus actuel.

Sélectionnez Vue avancée pour écrire ou modifier des critères selon la syntaxe des règles, ou remplir les champs Processus actuel, Processus parent et Tout processus ancêtre.

•Le nom du processus est l'un des suivants—Les noms des processus que vous voulez exclure de l'indicateur.

•Le chemin du processus commence par—Le chemin d'accès au processus que vous souhaitez exclure de l'indicateur (C:\Windows ou %SYSTEM% peut être utilisé).

•La ligne de commande contient—Les paramètres de ligne de commande utilisés par le processus que vous souhaitez exclure de l'indicateur.

•Le signataire est l'un des suivants – Noms des signataires associés au processus que vous voulez exclure de l'indicateur.

•Le type de signature est – Type de signature numérique utilisé par le processus que vous voulez exclure de l'indicateur. Sélectionnez des opérateurs de comparaison (par exemple, est, n'est pas, supérieur ou égal, inférieur ou égal) et sélectionnez un type de signature : De confiance, Valide, Auto-signé, Aucun, Non valide ou Présent. Ce champ est requis lorsqu'un signataire est spécifié.

•SHA-1 est l'une des—Les valeurs de hachage SHA-1 des processus que vous voulez exclure de l'indicateur.

•SHA-256 est l'une des – Les valeurs de hachage SHA-256 des processus que vous voulez exclure de l'indicateur.

•L'utilisateur est l'un des – Les noms d'utilisateur sous lesquels s'exécute le processus que vous souhaitez exclure de l'indicateur.

4.Dans la section Règles, sélectionnez les règles auxquelles vous souhaitez appliquer l'exclusion. Cliquez sur le bouton Ajouter des règles pour gérer les règles.

5.Dans la section Cibles, sélectionnez les ordinateurs et les groupes auxquels vous souhaitez appliquer l'exclusion. Cliquez sur le bouton Manage Targets pour gérer les ordinateurs et les groupes.

6.Dans la section Résumé, passez en revue les détails de l'exclusion et cliquez sur Terminer.

˄˅