Exclusions

Exclusions AV

Dans l'onglet Exclusions AV, vous pouvez voir la liste de toutes les exclusions créées pour les détections antivirus et les règles IDS de pare-feu. Cette nouvelle section contient toutes les exclusions, augmente leur visibilité et simplifie leur gestion.

Cliquez sur une exclusion ou sélectionnez d'autres exclusions et cliquez sur le bouton Détection pour gérer les exclusions :

• Changer l'affectation : permet de modifier les ordinateurs cibles sur lesquels l'exclusion s'appliquera.

• Afficher les ordinateurs affectées : permet d'afficher les ordinateurs sur lesquels l'exclusion s'applique.

• Journal de vérification : affiche le journal d'audit pour l'objet sélectionné.

• Supprimer : supprimer l'exclusion.

• Groupe d'accès > Déplacer :Déplacer l'objet vers un autre groupe statique où il sera accessible aux utilisateurs disposant de droits suffisants sur le groupe cible. La modification du groupe d'accès est utile pour résoudre les problèmes d'accès avec d'autres utilisateurs. Groupe d'accès définit le groupe statique de l'objet et l'accès à l'objet en fonction des droits d'accès de l'utilisateur.

Si la détection exclue ou l'action de pare-feu apparaît à nouveau sur les ordinateurs gérés, la colonne Nombre d'occurrence affiche le nombre de fois que l'exclusion a été appliquée.

Migrer les exclusions d'une politique

Dans ESET PROTECT, vous ne pouvez pas créer d'exclusions de détection antivirus en utilisant une politique. Si vos politiques contenaient auparavant des exclusions, suivez les étapes ci-dessous pour migrer les exclusions de politiques vers la liste Exclusions dans ESET PROTECT :

1.Accédez à Configuration > Configurations avancées, puis cliquez sur la politique qui contient les exclusions et sélectionnez Afficher les détails.

2.Cliquez sur Paramètres > Moteur de détection.

3.Cliquez sur Affichage situé en regard de Exclusions de détection.

4.Cliquez sur le bouton Exporter, puis cliquez sur le bouton à côté de Télécharger les données exportées et enregistrez le fichier export.txt. Cliquez sur OK.

5.Dans la console Web de ESET PROTECT accédez à Plus > Exclusions > Exclusions AV.

6.Cliquez sur le bouton Importer pour importer les exclusions de détection à partir d'un fichier. Cliquez sur Sélectionner le fichier à téléverser, puis accédez au fichier export.txt ou faites glisser-déposer le fichier.

7.Cliquez sur le bouton Importer pour importer les exclusions de détection. Les exclusions de détection importées s'afficheront dans la liste des exclusions.

Filtres et personnalisation de la mise en page

Vous pouvez personnaliser l'affichage de l'écran actuel de la console Web :

•Gérer le panneau latéral et le tableau principal.

•Ajouter des filtres et des préréglages de filtres. Vous pouvez utiliser les balises pour filtrer les éléments affichés.

Exclusions EDR

Dans l'onglet Exclusions EDR, vous pouvez consulter la liste de toutes les exclusions relatives aux indicateurs créés par le déclenchement de règles EDR.

Sélectionnez une exclusion et cliquez sur le bouton Actions, ou cliquez sur une exclusion pour :

• Afficher les détails – Affichez la Vue d'ensemble, la Définition, l'affectation aux Règles et aux Cibles où l'exclusion EDR est appliquée.

• Ouvrir les règles – Afficher l'affectation d'exclusion aux Règles. Cliquez sur le bouton Gérer les règles pour ajouter ou supprimer des règles.

• Activer : activer l'exclusion.

• Désactiver : permet de désactiver l'exclusion.

• Modifier — Modifiez le nom, la description, les balises, la définition, les règles ou les cibles de l'exclusion.

• Gérer les cibles : ajoutez ou supprimez des cibles pour l'exclusion.

• Gérer les règles – Ajouter ou supprimer des règles pour l'exclusion.

• Balises : attribuez des balises à partir de la liste existante ou créez des balises personnalisées.

• Groupe d'accès > Déplacer :Déplacer l'objet vers un autre groupe statique où il sera accessible aux utilisateurs disposant de droits suffisants sur le groupe cible. La modification du groupe d'accès est utile pour résoudre les problèmes d'accès avec d'autres utilisateurs. Groupe d'accès définit le groupe statique de l'objet et l'accès à l'objet en fonction des droits d'accès de l'utilisateur.

• Dupliquer : permet de créer une copie de l'exclusion sélectionnée.

• Exporter > Exporter la sélection ou Exporter tout — Lance le processus d'exportation de l'exclusion vers un fichier XML.

• Importer – Ouvre la fenêtre d'importation du fichier de règles XML.

• Supprimer : supprimer l'exclusion.

Créer une nouvelle exclusion

1.Accédez à Exclusions > Exclusions EDR > cliquez sur le bouton Nouvelle exclusion.

2.Dans la section Informations de base, saisissez Nom, Description, sélectionnez éventuellement des balises et activez l'exclusion dès sa création.

3.Dans la section Définition, définissez les critères qui déterminent les processus à exclure de la création d'indicateurs. Les critères sont regroupés dans les domaines suivants :

•Processus actuel – Critères correspondant au processus qui a déclenché l'indicateur que vous souhaitez exclure.

•Processus parent – Critères correspondant au processus qui a lancé le processus actuel impliqué dans l'indicateur.

•Tout processus ancêtre – Critères correspondant à tout processus situé plus haut dans l'arborescence des processus ayant mené au processus actuel.

Sélectionnez Vue avancée pour écrire ou modifier des critères selon la syntaxe de la règle, ou renseignez les champs Processus actuel, Processus parent et Tout processus ancêtre.

•Le nom du processus est l'un des suivants—Les noms des processus que vous souhaitez exclure de l'indicateur.

•Le chemin d'accès au processus commence par – chemin d'accès au processus que vous souhaitez exclure de l'indicateur (C:\Windows ou %SYSTEM% peuvent être utilisés).

•La ligne de commande contient – Paramètres de ligne de commande utilisés par le processus que vous souhaitez exclure de l'indicateur.

•Signataire est l'un des – Noms des signataires associés au processus que vous souhaitez exclure de l'indicateur.

•Type de signature est – Type de signature numérique utilisé par le processus que vous souhaitez exclure de l'indicateur. Sélectionnez des opérateurs de comparaison (par exemple, est, n'est pas, supérieur ou égal à, inférieur ou égal à) et sélectionnez un type de signature : Approuvé, Valide, Auto-signé, Aucun, Non valide ou Présent. Ce champ est obligatoire lorsqu'un signataire est spécifié.

•SHA-1 est l'un des – Valeurs de hachage SHA-1 des processus que vous souhaitez exclure de l'indicateur.

•SHA-256 est l'un des – Les valeurs de hachage SHA-256 des processus que vous souhaitez exclure de l'indicateur.

•L'utilisateur est l'un des suivants—Les noms d'utilisateur sous lesquels s'exécute le processus que vous souhaitez exclure de l'indicateur.

4.Dans la section Règles, sélectionnez les règles auxquelles vous souhaitez appliquer l'exclusion. Cliquez sur le bouton Ajouter des règles pour gérer les règles.

5.Dans la section Cibles, sélectionnez les ordinateurs et les groupes auxquels vous souhaitez appliquer l'exclusion. Cliquez sur le bouton Gérer les cibles pour gérer les ordinateurs et les groupes.

6.Dans la section Résumé, passez en revue les détails de l'exclusion et cliquez sur Terminer.

˄˅