VMware Carbon Black Cloud'da Dahil Etmeler veya Hariç Tutmalar Oluşturma

VMware Carbon Black, yeni nesil antivirüs (NGAV) hariç tutmalarını (onaylı listeler) ve dahil edilenleri (yasaklı listeler) işlemek için İtibar ve İzin kurallarını kullanır. VMware Carbon Black Standard, VMware Carbon Black Cloud Advanced ve VMware Carbon Black Cloud Enterprise, Uç Nokta Algılama ve Yanıt (EDR) özelliğini kullanır. EDR, Reputation (Güvenilirlik) ve Permission (İzin) kurallarından da etkilenir. Bu makalede yöneticilere, bu değerleri nasıl ayarlayabilecekleri ve dikkat etmeleri gereken önemli noktalar gösterilmektedir.

Etkilenen Ürünler:

• VMware Carbon Black Cloud Prevention
• VMware Carbon Black Cloud Standard
• VMware Carbon Black Cloud Advanced
• VMware Carbon Black Cloud Enterprise

Etkilenen İşletim Sistemleri:

• Windows
• Mac
• Linux

VMware Carbon Black Cloud, hangi işlemlerin gerçekleştiğini belirlemek için Politikaları ve Reputation (Güvenilirlik) kurallarını birlikte kullanır.

Daha fazla bilgi için ilgili konuya tıklayın.

İlkeler

VMware Carbon Black Cloud Preventionpolitikaları, VMware Carbon Black Cloud Standard, Advanced ve Enterprise politikalarından farklıdır. Daha fazla bilgi için ilgili ürüne tıklayın.

Prevention (Önleme)

VMware Carbon Black Cloud Prevention, EDR kullanmadığı için İzin Kurallarıile Engelleme ve İzolasyon Kuralları konusunda kolaylaştırılmış bir yaklaşım sağlar.

Daha fazla bilgi için ilgili konuya tıklayın.

İzinler Kuralları

İzinler kuralları, belirtilen yollardaki uygulamaların hangi işlemleri gerçekleştirebileceklerini belirler.

İzinler kuralları yol tabanlı olup Blocking and Isolation (Engelleme ve İzolasyon) ve Reputation (Güvenilirlik) kurallarına göre önceliklidir.

1. Bir web tarayıcıda [BÖLGE].conferdeploy.net adresine gidin.
   Not: [BÖLGE] = Kiracının bölgesi

   • Güney ve Kuzey Amerika = https://defense-prod05.conferdeploy.net
   • Avrupa = https://defense-eu.conferdeploy.net/
   • Asya Pasifik = https://defense-prodnrt.conferdeploy.net/
   • Avustralya ve Yeni Zelanda: https://defense-prodsyd.conferdeploy.net
2. VMware Carbon Black Cloud'da oturum açın.
   
3. Sol menü bölmesinde Enforce (Zorla) öğesine tıklayın.
   
4. Policies (İlkeler) öğesine tıklayın.
   
5. Değiştirilecek politika setini seçin.
   
   Not: Örnek görüntülerde, değiştirmek için seçilen ilke kümesi olarak Standart kullanılır.
6. Sağ menü bölmesinde Prevention (Önleme) öğesine tıklayın.
   
7. Permissions (İzinler) öğesine tıklayarak genişletin.
   
8. Add application path (Uygulama yolu ekle) öğesine tıklayarak genişletin.
   
9. Atlamayı ayarlamak için hedeflenen yolu doldurun.
   
   Not:

   • Örnek resimde aşağıdaki yollar kullanılır:
     • *:\program files\dell\dell data protection\**
     • *:\programdata\dell\dell data protection\**
   • Bu örnekte uygulanan eylemler, yolları içeren tüm sürücülerdeki tüm dosyaları etkiler \program files\dell\dell data protection\ ve \programdata\dell\dell data protection\IP adresi için sorgular.
   • VMware Carbon Black'in İzinler listesinde glob tabanlı biçimlendirme yapısı kullanılır.
   • Ortam değişkenleri, örneğin: %WINDIR% desteklenmektedir.
   • Tek bir yıldız (*) aynı dizin içindeki tüm karakterlerle eşleşir.
   • Çift yıldız işareti (**) aynı dizin, birden fazla dizin ve belirtilen konum veya dosyanın üzerindeki veya altındaki tüm dizinlerin içindeki tüm karakterleri eşleştirir.
   • Örnekler:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
10. Zorla uygulanacak Eylemi seçin.
    
    Not:

    • Örnek resimde, işlem girişimlerine Allow (İzin Ver) veya Bypass (Atla) seçilerek farklı eylemler atanır.
    • İşlem girişimi olarak Performs any operation (Her türlü işlemi gerçekleştirir) seçildiğinde diğer herhangi bir işlem girişimi geçersiz kılınır ve başka bir seçeneğin belirlenmesi devre dışı bırakılır.
    • Eylem tanımları:
      • Allow (İzin Ver): Davranışa belirtilen yolda izin verir ve eylemle ilgili bilgiler, VMware Carbon Black Cloud'da günlüğe kaydedilir.
      • Bypass (Atla): Belirtilen yolda tüm davranışlara izin verilir. Hiçbir bilgi toplanmaz.
11. Sağ üst köşedeki veya sayfanın altındaki Save (Kaydet) öğesine tıklayın.
    

Blocking (Engelleme) ve Isolation (İzolasyon) Kuralları

Blocking (Engelleme) ve Isolation (İzolasyon) kuralları yol tabanlıdır ve Reputation (Güvenilirlik) kurallarına göre önceliklidir. Blocking and Isolation (Engelleme ve İzolasyon) kuralları, belirli bir işleme girişildiğinde bir "Deny operation" (İşlemi reddet) veya "Terminate process" (Süreci sonlandır) eylemini ayarlamaya olanak tanır.

1. Bir web tarayıcıda [BÖLGE].conferdeploy.net adresine gidin.
   Not: [BÖLGE] = Kiracının bölgesi

   • Güney ve Kuzey Amerika = https://defense-prod05.conferdeploy.net
   • Avrupa = https://defense-eu.conferdeploy.net/
   • Asya Pasifik = https://defense-prodnrt.conferdeploy.net/
   • Avustralya ve Yeni Zelanda: https://defense-prodsyd.conferdeploy.net
2. VMware Carbon Black Cloud'da oturum açın.
   
3. Sol menü bölmesinde Enforce (Zorla) öğesine tıklayın.
   
4. Policies (İlkeler) öğesine tıklayın.
   
5. Değiştirilecek politika setini seçin.
   
   Not: Örnek görüntülerde, değiştirmek için seçilen ilke kümesi olarak Standart kullanılır.
6. Sağ menü bölmesinde Prevention (Önleme) öğesine tıklayın.
   
7. Blocking and Isolation (Engelleme ve İzolasyon) öğesine tıklayarak genişletin.
   
8. Blocking (Engelleme) ve Isolation (İzolasyon) kuralının ayarlanacağı uygulama yolunu doldurun.
   
   Not:

   • Örnek görüntüde şunlar kullanılır: excel.exeIP adresi için sorgular.
   • Ayarlanan eylemler, adı olan uygulamaya uygulanır excel.exe herhangi bir dizinden koştu.
   • VMware Carbon Black'in İzinler listesinde glob tabanlı biçimlendirme yapısı kullanılır.
   • Ortam değişkenleri, örneğin: %WINDIR% desteklenmektedir.
   • Tek bir yıldız (*) aynı dizin içindeki tüm karakterlerle eşleşir.
   • Çift yıldız işareti (**) aynı dizin, birden fazla dizin ve belirtilen konum veya dosyanın üzerindeki veya altındaki tüm dizinlerin içindeki tüm karakterleri eşleştirir.
   • Örnekler:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
9. Sağ üst köşedeki Save (Kaydet) öğesine tıklayın.
   
   Not: Terminate process (Süreci sonlandır) eylemi, belirtilen işlemin çalıştırma girişiminde bulunması halinde süreci sonlandırır.

Standard, Advanced, Enterprise (Standart, Gelişmiş ve Kurumsal)

VMware Carbon Black Cloud Standard, VMware Carbon Black Cloud Advanced ve VMware Carbon Black Cloud Enterprise, EDR'nin dahil edilmesi nedeniyle İzin Kurallarının yanı sıra Engelleme ve İzolasyon Kuralları seçenekleri de sunar.

Daha fazla bilgi için ilgili konuya tıklayın.

İzinler Kuralları

İzinler kuralları, belirtilen yollardaki uygulamaların hangi işlemleri gerçekleştirebileceklerini belirler.

İzinler kuralları yol tabanlı olup Blocking and Isolation (Engelleme ve İzolasyon) ve Reputation (Güvenilirlik) kurallarına göre önceliklidir.

1. Bir web tarayıcıda [BÖLGE].conferdeploy.net adresine gidin.
   Not: [BÖLGE] = Kiracının bölgesi

   • Güney ve Kuzey Amerika = https://defense-prod05.conferdeploy.net
   • Avrupa = https://defense-eu.conferdeploy.net/
   • Asya Pasifik = https://defense-prodnrt.conferdeploy.net/
   • Avustralya ve Yeni Zelanda: https://defense-prodsyd.conferdeploy.net
2. VMware Carbon Black Cloud'da oturum açın.
   
3. Sol menü bölmesinde Enforce (Zorla) öğesine tıklayın.
   
4. Policies (İlkeler) öğesine tıklayın.
   
5. Değiştirilecek politika setini seçin.
   
   Not: Örnek görüntülerde, değiştirmek için seçilen ilke kümesi olarak Standart kullanılır.
6. Sağ menü bölmesinde Prevention (Önleme) öğesine tıklayın.
   
7. Permissions (İzinler) öğesine tıklayarak genişletin.
   
8. Add application path (Uygulama yolu ekle) öğesine tıklayarak genişletin.
   
9. Atlamayı ayarlamak için hedeflenen yolu doldurun.
   
   Not:

   • Örnek resimde aşağıdaki yollar kullanılır:
     • *:\program files\dell\dell data protection\**
     • *:\programdata\dell\dell data protection\**
   • Bu örnekte uygulanan eylemler, yolları içeren tüm sürücülerdeki tüm dosyaları etkiler \program files\dell\dell data protection\ ve \programdata\dell\dell data protection\IP adresi için sorgular.
   • VMware Carbon Black'in İzinler listesinde glob tabanlı biçimlendirme yapısı kullanılır.
   • Ortam değişkenleri, örneğin: %WINDIR% desteklenmektedir.
   • Tek bir yıldız (*) aynı dizin içindeki tüm karakterlerle eşleşir.
   • Çift yıldız işareti (**) aynı dizin, birden fazla dizin ve belirtilen konum veya dosyanın üzerindeki veya altındaki tüm dizinlerin içindeki tüm karakterleri eşleştirir.
   • Örnekler:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
10. Zorla uygulanacak Eylemi seçin.
    
    Not:

    • Örnek resimde, işlem girişimlerine Allow (İzin Ver) veya Allow & Log (İzin Ver ve Günlüğe Kaydet) veya Bypass (Atla) seçilerek farklı eylemler atanır.
    • İşlem girişimi olarak Performs any operation (Her türlü işlemi gerçekleştirir) seçildiğinde diğer herhangi bir işlem girişimi geçersiz kılınır ve başka bir seçeneğin belirlenmesi devre dışı bırakılır.
    • Birden fazla işlem girişimine, Performs any operation (Her türlü işlemi gerçekleştirir) hariç olmak üzere her eylem uygulanabilir.
    • Eylem tanımları:
      • Allow (İzin Ver): Davranışa belirtilen yolda izin verir; yoldaki belirtilen hiçbir davranış günlüğe kaydedilmez. VMware Carbon Black Cloud'a veri gönderilmez.
      • Allow & Log (İzin Ver ve Günlüğe Kaydet): Davranışa belirtilen yolda izin verir; tüm etkinlikler günlüğe kaydedilir. Tüm veriler VMware Carbon Black Cloud'a bildirilir.
      • Bypass (Atla): Belirtilen yolda tüm davranışlara izin verilir; günlüğe hiçbir şey kaydedilmez. VMware Carbon Black Cloud'a veri gönderilmez.
11. Politika değişikliğini ayarlamak için Permissions (İzinler) kısmının en altındaki Confrm (Onayla) öğesine tıklayın.
    
12. Sağ üst köşedeki Save (Kaydet) öğesine tıklayın.
    

Blocking (Engelleme) ve Isolation (İzolasyon) Kuralları

Blocking (Engelleme) ve Isolation (İzolasyon) kuralları yol tabanlıdır ve Reputation (Güvenilirlik) kurallarına göre önceliklidir. Blocking and Isolation (Engelleme ve İzolasyon) kuralları, belirli bir işleme girişildiğinde bir "Deny operation" (İşlemi reddet) veya "Terminate process" (Süreci sonlandır) eylemini ayarlamaya olanak tanır.

1. Bir web tarayıcıda [BÖLGE].conferdeploy.net adresine gidin.
   Not: [BÖLGE] = Kiracının bölgesi

   • Güney ve Kuzey Amerika = https://defense-prod05.conferdeploy.net
   • Avrupa = https://defense-eu.conferdeploy.net/
   • Asya Pasifik = https://defense-prodnrt.conferdeploy.net/
   • Avustralya ve Yeni Zelanda: https://defense-prodsyd.conferdeploy.net
2. VMware Carbon Black Cloud'da oturum açın.
   
3. Sol menü bölmesinde Enforce (Zorla) öğesine tıklayın.
   
4. Policies (İlkeler) öğesine tıklayın.
   
5. Değiştirilecek politika setini seçin.
   
   Not: Örnek resimlerde, değişiklik yapılmak istenen politika kümesi olarak Standard (Standart) kullanılmaktadır.
6. Sağ menü bölmesinde Prevention (Önleme) öğesine tıklayın.
   
7. Blocking and Isolation (Engelleme ve İzolasyon) öğesine tıklayarak genişletin.
   
8. Add application path (Uygulama yolu ekle) öğesine tıklayarak genişletin.
   
9. Blocking (Engelleme) ve Isolation (İzolasyon) kuralının ayarlanacağı uygulama yolunu doldurun.
   
   Not:

   • Örnek resimde excel.exe kullanılır.
   • Ayarlanan eylemler, adı olan uygulamaya uygulanır excel.exe herhangi bir dizinden koştu.
   • VMware Carbon Black'in İzinler listesinde glob tabanlı biçimlendirme yapısı kullanılır.
   • Ortam değişkenleri, örneğin: %WINDIR% desteklenmektedir.
   • Tek yıldız (*) işareti, aynı dizin içindeki tüm karakterlerle eşleşir.
   • Çift yıldız (**) işareti; aynı dizin, birden fazla dizin ve belirtilen konum veya dosyanın üzerindeki veya altındaki tüm dizinlerin içindeki tüm karakterlerle eşleşir.
   • Örnekler:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
10. İşlem girişimi karşılandığında gerçekleştirilecek Eylemi seçin ve Confirm (Onayla) öğesine tıklayın.
    
11. Sağ üst köşedeki Save (Kaydet) öğesine tıklayın.
    
    Not:

    • Deny operation (İşlemi reddet), listelenen uygulamanın belirtilen işlemi (uygulamanın gerçekleştirmeye çalıştığı) gerçekleştirmesini önler.
    • Terminate process (Süreci sonlandır) eylemi, belirtilen işlemin çalıştırma girişiminde bulunması halinde süreci sonlandırır.

Reputation (Güvenilirlik)

VMware Carbon Black, sensörün yüklü olduğu aygıtta çalıştırılan her dosyaya bir Reputation (Güvenilirlik) değeri atar. Önceden var olan dosyalar, LOCAL_WHITE çalıştırılana kadar veya arka plan taraması bunları işleyene ve daha kesin bir itibar verene kadar.

Bir Uygulamayı Güvenilirlik Listesine Ekleyin veya Güvenilirlik Açıklamalarına bakın. Daha fazla bilgi için ilgili konuya tıklayın.

Bir Uygulamayı Güvenilirlik Listesine Ekleme

Uygulamalar, Reputations (Güvenilirlik) sayfası veya Alerts (Uyarılar) sayfasından güvenilirlik listesine eklenebilir. Daha fazla bilgi için ilgili seçeneğe tıklayın.

Reputations (Güvenilirlik) Sayfası

1. Bir web tarayıcıda [BÖLGE].conferdeploy.net adresine gidin.
   Not: [BÖLGE] = Kiracının bölgesi

   • Güney ve Kuzey Amerika = https://defense-prod05.conferdeploy.net
   • Avrupa = https://defense-eu.conferdeploy.net/
   • Asya Pasifik = https://defense-prodnrt.conferdeploy.net/
   • Avustralya ve Yeni Zelanda: https://defense-prodsyd.conferdeploy.net
2. VMware Carbon Black Cloud'da oturum açın.
   
3. Sol menü bölmesinde Enforce (Zorla) öğesine tıklayın.
   
4. Reputation (Güvenilirlik) öğesine tıklayın.
   

Yöneticiler bir SHA256 karması, BT aracı veya İmzalama Sertifikası kullanarak uygulamaları Reputation (Güvenilirlik) listesine ekleyebilir. Daha fazla bilgi için ilgili seçeneğe tıklayın.

SHA256 karması

5. Ekle öğesine tıklayın.
   
6. İtibar Ekle'den:
   1. Type için Hash öğesini seçin.
   2. Liste için Onaylananlar Listesi veya Yasaklılar Listesi'ni seçin.
   3. SHA-256 hash (SHA-256 karması) alanını doldurun.
   4. Name (Ad) alanına giriş için bir ad ekleyin.
   5. İsteğe bağlı olarak Comments (Yorumlar) alanını doldurun.
   6. Save (Kaydet) öğesine tıklayın.
   
   Not:

   • Onaylı Liste , etkilenen ve bilinen tüm dosyaları otomatik olarak Şirket Onaylı olarak tanınır hale getirir.
   • Yasaklı Liste, etkilenen ve bilinen herhangi bir dosyayı otomatik olarak Şirket Yasaklı itibarına sahip olacak şekilde ayarlar.

IT Tool (BT Aracı)

5. Ekle öğesine tıklayın.
   
6. İtibar Ekle'den:
   1. Tür için BT Araçları'nı seçin.
   2. Güvenilir BT aracının göreli yolunu Path of trusted IT tool alanına girin.
   3. İsteğe bağlı olarak Include all child processes (Tüm alt işlemleri dahil et) seçeneğini belirleyin.
   4. İsteğe bağlı olarak Comments (Yorumlar) alanını doldurun.
   5. Save (Kaydet) öğesine tıklayın.
   
   Not:

   • BT araçları yalnızca Approved List (Onaylanmış Listesi) içine eklenebilir. Onaylı Liste , etkilenen ve bilinen tüm dosyaları otomatik olarak Yerel Beyaz olarak tanınır olacak şekilde ayarlar.
   • Include all child processes (Tüm alt işlemleri dahil et) seçeneği belirlendiğinde, yeni tanımlanan güvenilir BT aracının alt işlemleri tarafından bırakılan tüm dosyalar da ilk güveni elde eder.
   • BT araçlarının göreli yolları, tanımlanan yolun tanımlanan yol oluşturma işlemi tarafından karşılanabileceğini gösterir.

Örneğin:

Aşağıdaki örneklerde Path of trusted IT tool (Güvenilir BT aracının yolu) değeri şöyle ayarlanmıştır:

• \sharefolder\folder2\application.exe

Bir yönetici dosyayı bu konumlarda çalıştırmayı denerse hariç tutma işlemi başarılı olur:

• \\server\tools\sharefolder\folder2\application.exe
• D:\ITTools\sharefolder\folder2\application.exe

Bir yönetici dosyayı bu konumlarda çalıştırmayı denerse hariç tutma işlemi başarısız olur:

• E:\folder2\application.exe
• H:\sharefolder\application.exe

Başarısız işlemi gösteren örneklerde, yol tamamen karşılanamaz.

İmzalama Sertifikası

5. Ekle öğesine tıklayın.
   
6. İtibar Ekle'den:
   1. Type için Certs öğesini seçin.
   2. Signed by (İmzalayan) alanını doldurun.
   3. İsteğe bağlı olarak Certificate Authority (Sertifika Yetkilisi) alanını doldurun.
   4. İsteğe bağlı olarak Comments (Yorumlar) alanını doldurun.
   5. Save (Kaydet) öğesine tıklayın.

Alerts (Uyarılar) Sayfası

1. Bir web tarayıcıda [BÖLGE].conferdeploy.net adresine gidin.
   Not: [BÖLGE] = Kiracının bölgesi

   • Güney ve Kuzey Amerika = https://defense-prod05.conferdeploy.net
   • Avrupa = https://defense-eu.conferdeploy.net/
   • Asya Pasifik = https://defense-prodnrt.conferdeploy.net/
   • Avustralya ve Yeni Zelanda: https://defense-prodsyd.conferdeploy.net
2. VMware Carbon Black Cloud'da oturum açın.
   
3. Alerts (Uyarılar) öğesine tıklayın.
   
4. Uygulamayı onaylamak için uyarının yanındaki köşeli çift ayracı seçin.
   
5. Remediation alt bölümünün altında Show allögesine tıklayın.
   
6. Karma değerinin güvenilir olup olmamasına bağlı olarak, dosyayı yasaklanmış listesine ya da onaylanmış listesine eklemek için Add (Ekle) öğesine tıklayın.
   
   Not: İmzalama sertifikası, bu sertifikayı paylaşan diğer uygulamaların otomatik olarak yerel onaylı listeye eklenmesi için eklenebilir.

Güvenilirlik Açıklamaları

Destek ile iletişime geçmek için Dell Data Security Uluslararası Destek Telefon Numaraları başlıklı makaleye başvurun.
Çevrimiçi olarak teknik destek talebi oluşturmak için TechDirect adresine gidin.
Daha fazla faydalı bilgi ve kaynak için Dell Security Topluluk Forumu'na katılın.