Правила EDR

Правила — это описания на основе поведения и репутации, которые ESET PROTECT может выявить из полученных событий и метаданных.

Правило определяется с помощью языка на основе XML. Сопоставление правил выполняется на сервере асинхронно, поэтому существует определенный промежуток времени, в течение которого последние события передаются с клиента на сервер и затем обрабатываются правилами. Сработавшее правило может уведомить инженеров по безопасности только путем формирования индикатора. Инженер по безопасности может вручную выполнить действие по исправлению на основании результатов расследования.

Настройка фильтров и расположения элементов

Вы можете настроить представление окна веб-консоли.

•Управление боковой панелью и главной таблицей.

•Добавление фильтра и его предварительные настройки. Теги можно использовать для фильтрации отображаемых элементов.

Окно состоит из следующих частей:

•Name — имя правила.

•Severity — уровень серьезности правила: Высокий, Средний, Низкий.

•State — состояние правила: Включено или отключено.

•Автор — имя пользователя, который был авторизован в системе на момент создания правила.

•Целевые объекты — компьютер или группа компьютеров, к которым применяется правило.

•Время создания — время создания правила.

•Последнее изменение — дата изменения правила.

•Кем изменено в последний раз — автор, последним изменивший правило.

•Группа доступа — группа, имеющая доступ к правилу.

•Действие по реагированию — автоматическое действие, выполняемое при срабатывании правила.

Выберите правило и нажмите кнопку Действия или щелкните правило, чтобы:

• Просмотр сведений :

• Открыть — открытие индикаторов в разделе "Расширенный поиск" или "Исключения"

• Включить — включение правила.

• Disable — отключение правила.

•Действия по реагированию — выберите действия по реагированию для правила и процесс (Текущий процесс/Родительский процесс), к которому они будут применяться:

• Изменить—Изменение имени, описания или определения правила.

• Управление целевыми объектами — добавление или удаление целевых объектов для правила.

• Создать исключение—создание нового исключения для выбранного правила.

• Применить предустановку правил — восстановление правил ESET до предустановки на основе видимости и объема оповещений: Максимальная видимость, Сбалансированное покрытие, Минимальный шум. Нажмите Просмотр > Применить.

• Группа доступа > ПереместитьПеремещение объекта в другую статическую группу, где он доступен пользователям с достаточными правами для целевой группы. Изменение группы доступа может быть полезным при решении проблем доступа с другими пользователями. С помощью группы доступа задается статическая группа объекта и доступ к объекту согласно правам доступа пользователя.

• Дублировать — создание копии выбранного правила.

• Экспорт > Выбранные правила или Все правила — запуск процесса экспорта правил в XML-файл.

• Импорт — открывает окно для импорта XML-файла правила.

• Удалить — удаление правила.

Создать правило.

1.Нажмите кнопку Новое правило.

2.В разделе Определение введите или измените критерии в соответствии с синтаксисом правил.

3.В разделе Целевые объекты выберите компьютеры и группы, к которым требуется применить правило.

4.Нажмите кнопку Завершить.

˄˅