Erstellen von Ausschlüssen oder Einschlüssen für VMware Carbon Black Cloud

VMware Carbon Black verwendet Reputations- und Berechtigungsregeln, um Ausschlüsse (genehmigte Listen) und Einschlüsse (verbotene Listen) von Virenschutz der nächsten Generation (NGAV) zu verarbeiten. VMware Carbon Black Standard, VMware Carbon Black Cloud Advanced und VMware Carbon Black Cloud Enterprise nutzen EDR (Endpoint Detection and Response). EDR ist auch von Reputations- und Berechtigungsregeln betroffen. Dieser Artikel führt Administratoren durch die Einstellung dieser Werte und gibt Hinweise zu allen relevanten Aspekten.

Betroffene Produkte:

• VMware Carbon Black Cloud Prevention
• VMware Carbon Black Cloud Standard
• VMware Carbon Black Cloud Advanced
• VMware Carbon Black Cloud Enterprise

Betroffene Betriebssysteme:

• Windows
• Mac
• Linux

VMware Carbon Black Cloud verwendet eine Kombination aus Policys und Reputation, um festzustellen, welche Vorgänge ablaufen.

Klicken Sie auf das entsprechende Thema, um weitere Informationen zu erhalten.

Richtlinien

VMware Carbon Black Cloud Prevention-Policiesunterscheiden sich von den Policies von VMware Carbon Black Cloud Standard, Advanced und Enterprise. Klicken Sie auf das entsprechende Produkt, um weitere Informationen zu erhalten.

Verhindern

VMware Carbon Black Cloud Prevention bietet einen optimierten Ansatz für Berechtigungsregeln sowie Blockierungs- und Isolationsregeln , da EDR nicht verwendet wird.

Klicken Sie auf das entsprechende Thema, um weitere Informationen zu erhalten.

Berechtigungsregeln

Berechtigungsregeln legen fest, welche Operationen Anwendungen unter bestimmten Pfaden durchführen können.

Berechtigungsregeln sind pfadbasiert und haben Vorrang vor Blockier- und Isolationsregeln sowie vor Reputation.

1. Navigieren Sie in einem Webbrowser zu [REGION].conferdeploy.net.
   Hinweis: [REGION] = Region des Mandanten

   • Nord- und Lateinamerika= https://defense-prod05.conferdeploy.net
   • Europa = https://defense-eu.conferdeploy.net/
   • Asien und Pazifik = https://defense-prodnrt.conferdeploy.net/
   • Australien und Neuseeland: https://defense-prodsyd.conferdeploy.net
2. Melden Sie sich bei der VMware Carbon Black Cloud an.
   
3. Klicken Sie im linken Menübereich auf Erzwingen.
   
4. Klicken Sie auf Policys.
   
5. Wählen Sie den zu ändernden Policy-Satz aus.
   
   Hinweis: In den Beispielbildern wird "Standard " als der Policy-Satz verwendet, der geändert werden soll.
6. Klicken Sie im rechten Menübereich auf Verhindern.
   
7. Klicken Sie zum Erweitern auf Berechtigungen.
   
8. Klicken Sie zum Erweitern auf Anwendungspfad hinzufügen.
   
9. Geben Sie den gewünschten Pfad ein, um einen Bypass festzulegen.
   
   Hinweis:

   • Im Beispielbild werden die folgenden Pfade verwendet:
     • *:\program files\dell\dell data protection\**
     • *:\programdata\dell\dell data protection\**
   • In diesem Beispiel wirken sich die angewendeten Aktionen auf alle Dateien auf allen Laufwerken aus, die die Pfade enthalten \program files\dell\dell data protection\ und \programdata\dell\dell data protection\.
   • Die Berechtigungsliste von VMware Carbon Black nutzt eine global basierte Formatierungsstruktur.
   • Umgebungsvariablen wie %WINDIR% unterstützt werden.
   • Ein einzelnes Sternchen (*) entspricht allen Zeichen innerhalb desselben Verzeichnisses.
   • Doppelte Sternchen (**) entsprechen allen Zeichen innerhalb desselben Verzeichnisses, mehrerer Verzeichnisse und aller Verzeichnisse oberhalb oder unterhalb des angegebenen Speicherorts oder der angegebenen Datei.
   • Beispiele:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
10. Wählen Sie die Aktion aus, die durchgesetzt werden soll.
    
    Hinweis:

    • Im Beispielbild werden Versuche zur Ausführung eines Vorgangs mit unterschiedlichen Aktionen versehen, indem entweder Zulassen oder Umgehen ausgewählt wird.
    • Wenn der Vorgangs Jede Vorgang ausführen ausgewählt wird, hat dies Vorrang vor allen anderen Vorgängen und macht die Auswahl aller anderen Optionen unmöglich.
    • Aktionsdefinitionen:
      • Zulassen: Erlaubt das Verhalten im angegebenen Pfad, wobei Informationen zu der Aktion von VMware Carbon Black Cloud protokolliert werden.
      • Umgehen: Alle Verhaltensweisen im angegebenen Pfad werden erlaubt. Es werden keine Informationen erfasst.
11. Klicken Sie oben rechts oder unten auf der Seite auf Speichern.
    

Blockier- und Isolationsregeln

Blockier- und Isolationsregeln sind pfadbasiert und haben Vorrang vor Reputation. Mit Hilfe von Blockier- und Isolationsregeln können Sie die Aktion „Vorgang verweigern“ oder „Prozess beenden“ festlegen, wenn die Ausführung eines bestimmten Vorgangs versucht wird.

1. Navigieren Sie in einem Webbrowser zu [REGION].conferdeploy.net.
   Hinweis: [REGION] = Region des Mandanten

   • Nord- und Lateinamerika= https://defense-prod05.conferdeploy.net
   • Europa = https://defense-eu.conferdeploy.net/
   • Asien und Pazifik = https://defense-prodnrt.conferdeploy.net/
   • Australien und Neuseeland: https://defense-prodsyd.conferdeploy.net
2. Melden Sie sich bei der VMware Carbon Black Cloud an.
   
3. Klicken Sie im linken Menübereich auf Erzwingen.
   
4. Klicken Sie auf Policys.
   
5. Wählen Sie den zu ändernden Policy-Satz aus.
   
   Hinweis: In den Beispielbildern wird "Standard " als der Policy-Satz verwendet, der geändert werden soll.
6. Klicken Sie im rechten Menübereich auf Verhindern.
   
7. Klicken zum Erweitern auf Blockieren und Isolation.
   
8. Geben Sie den Anwendungspfad ein, um eine Blockier- und Isolationsregel festzulegen.
   
   Hinweis:

   • In der Beispielabbildung wird Folgendes verwendet: excel.exe.
   • Die festgelegten Aktionen gelten für die Anwendung mit dem Namen excel.exe Von einem beliebigen Verzeichnis aus ausgeführt.
   • Die Berechtigungsliste von VMware Carbon Black nutzt eine global basierte Formatierungsstruktur.
   • Umgebungsvariablen wie %WINDIR% unterstützt werden.
   • Ein einzelnes Sternchen (*) entspricht allen Zeichen innerhalb desselben Verzeichnisses.
   • Doppelte Sternchen (**) entsprechen allen Zeichen innerhalb desselben Verzeichnisses, mehrerer Verzeichnisse und aller Verzeichnisse oberhalb oder unterhalb des angegebenen Speicherorts oder der angegebenen Datei.
   • Beispiele:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
9. Klicken Sie oben rechts auf Speichern.
   
   Hinweis: Prozess beenden beendet den Prozess, sobald der angegebene Vorgang die Ausführung versucht.

Standard, Advanced und Enterprise

VMware Carbon Black Cloud Standard, VMware Carbon Black Cloud Advanced und VMware Carbon Black Cloud Enterprise bieten Optionen mit Berechtigungsregeln sowie Blockierungs- und Isolierungsregeln aufgrund der Einbeziehung von EDR.

Klicken Sie auf das entsprechende Thema, um weitere Informationen zu erhalten.

Berechtigungsregeln

Berechtigungsregeln legen fest, welche Operationen Anwendungen unter bestimmten Pfaden durchführen können.

Berechtigungsregeln sind pfadbasiert und haben Vorrang vor Blockier- und Isolationsregeln sowie vor Reputation.

1. Navigieren Sie in einem Webbrowser zu [REGION].conferdeploy.net.
   Hinweis: [REGION] = Region des Mandanten

   • Nord- und Lateinamerika= https://defense-prod05.conferdeploy.net
   • Europa = https://defense-eu.conferdeploy.net/
   • Asien und Pazifik = https://defense-prodnrt.conferdeploy.net/
   • Australien und Neuseeland: https://defense-prodsyd.conferdeploy.net
2. Melden Sie sich bei der VMware Carbon Black Cloud an.
   
3. Klicken Sie im linken Menübereich auf Erzwingen.
   
4. Klicken Sie auf Policys.
   
5. Wählen Sie den zu ändernden Policy-Satz aus.
   
   Hinweis: In den Beispielbildern wird "Standard " als der Policy-Satz verwendet, der geändert werden soll.
6. Klicken Sie im rechten Menübereich auf Verhindern.
   
7. Klicken Sie zum Erweitern auf Berechtigungen.
   
8. Klicken Sie zum Erweitern auf Anwendungspfad hinzufügen.
   
9. Geben Sie den gewünschten Pfad ein, um einen Bypass festzulegen.
   
   Hinweis:

   • Im Beispielbild werden die folgenden Pfade verwendet:
     • *:\program files\dell\dell data protection\**
     • *:\programdata\dell\dell data protection\**
   • In diesem Beispiel wirken sich die angewendeten Aktionen auf alle Dateien auf allen Laufwerken aus, die die Pfade enthalten \program files\dell\dell data protection\ und \programdata\dell\dell data protection\.
   • Die Berechtigungsliste von VMware Carbon Black nutzt eine global basierte Formatierungsstruktur.
   • Umgebungsvariablen wie %WINDIR% unterstützt werden.
   • Ein einzelnes Sternchen (*) entspricht allen Zeichen innerhalb desselben Verzeichnisses.
   • Doppelte Sternchen (**) entsprechen allen Zeichen innerhalb desselben Verzeichnisses, mehrerer Verzeichnisse und aller Verzeichnisse oberhalb oder unterhalb des angegebenen Speicherorts oder der angegebenen Datei.
   • Beispiele:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
10. Wählen Sie die Aktion aus, die durchgesetzt werden soll.
    
    Hinweis:

    • Im Beispielbild werden Versuche zur Ausführung eines Vorgangs mit unterschiedlichen Aktionen versehen, indem entweder Zulassen, Zulassen und protokollieren oder Umgehen ausgewählt wird.
    • Wenn der Versuch eines Vorgangs Ausführung jedes Vorgangs ausgewählt wird, hat dies Vorrang vor allen anderen Versuchen von Vorgängen und macht die Auswahl aller anderen Optionen unmöglich.
    • Jede Aktion, außer wenn Ausführung jedes Vorgangs auf mehrere Ausführungsversuche eines Vorgangs angewendet werden kann.
    • Aktionsdefinitionen:
      • Zulassen: Erlaubt das Verhalten im angegebenen Pfad. keine der festgelegten Verhaltensweisen im Pfad wird protokolliert. Es werden keine Daten an die VMware Carbon Black Cloud gesendet.
      • Zulassen und protokollieren: Erlaubt das Verhalten im angegebenen Pfad. Alle Aktivitäten werden protokolliert. Alle Daten werden an die VMware Carbon Black Cloud gemeldet.
      • Umgehen: Alle Verhaltensweisen im angegebenen Pfad werden erlaubt; nichts wird protokolliert. Es werden keine Daten an die VMware Carbon Black Cloud gesendet.
11. Klicken Sie in den Berechtigungen unten auf Bestätigen, um die Policy-Änderung festzulegen.
    
12. Klicken Sie oben rechts auf Speichern.
    

Blockier- und Isolationsregeln

Blockier- und Isolationsregeln sind pfadbasiert und haben Vorrang vor Reputation. Mit Hilfe von Blockier- und Isolationsregeln können Sie die Aktion „Vorgang verweigern“ oder „Prozess beenden“ festlegen, wenn die Ausführung eines bestimmten Vorgangs versucht wird.

1. Navigieren Sie in einem Webbrowser zu [REGION].conferdeploy.net.
   Hinweis: [REGION] = Region des Mandanten

   • Nord- und Lateinamerika= https://defense-prod05.conferdeploy.net
   • Europa = https://defense-eu.conferdeploy.net/
   • Asien und Pazifik = https://defense-prodnrt.conferdeploy.net/
   • Australien und Neuseeland: https://defense-prodsyd.conferdeploy.net
2. Melden Sie sich bei der VMware Carbon Black Cloud an.
   
3. Klicken Sie im linken Menübereich auf Erzwingen.
   
4. Klicken Sie auf Policys.
   
5. Wählen Sie den zu ändernden Policy-Satz aus.
   
   Hinweis: In den Beispielbildern wird als zu ändernder Policy-Satz „Standard“ gewählt.
6. Klicken Sie im rechten Menübereich auf Verhindern.
   
7. Klicken zum Erweitern auf Blockieren und Isolation.
   
8. Klicken Sie zum Erweitern auf Anwendungspfad hinzufügen.
   
9. Geben Sie den Anwendungspfad ein, um eine Blockier- und Isolationsregel festzulegen.
   
   Hinweis:

   • Im Beispielbild wird excel.exe verwendet.
   • Die festgelegten Aktionen gelten für die Anwendung mit dem Namen excel.exe Von einem beliebigen Verzeichnis aus ausgeführt.
   • Die Berechtigungsliste von VMware Carbon Black nutzt eine global basierte Formatierungsstruktur.
   • Umgebungsvariablen wie %WINDIR% unterstützt werden.
   • Ein Sternchen (*) entspricht allen Zeichen im gleichen Verzeichnis.
   • Doppelte Sternchen (**) entsprechen allen Zeichen im selben Verzeichnis, mehreren Verzeichnissen und allen Verzeichnissen über oder unter dem angegebenen Speicherort oder der angegebenen Datei.
   • Beispiele:
     • Windows: **\powershell.exe
     • Mac: /Users/*/Downloads/**
10. Wählen Sie die Aktion aus, die durchgeführt werden soll, wenn der Vorgang versucht wird, und klicken Sie dann auf Bestätigen.
    
11. Klicken Sie oben rechts auf Speichern.
    
    Hinweis:

    • Vorgang verweigern verhindert, dass die aufgeführte Anwendung den angegebenen Vorgang ausführt, den sie versuchte durchzuführen.
    • Prozess beenden beendet den Prozess, sobald der angegebene Vorgang die Ausführung versucht.

Reputation

VMware Carbon Black weist jeder Datei, die auf einem Gerät mit installiertem Sensor ausgeführt wird, einen Ruf zu. Bereits vorhandene Dateien beginnen mit einer effektiven Reputation von LOCAL_WHITE bis sie ausgeführt werden oder bis der Hintergrundscan sie verarbeitet hat und eine definitivere Reputation ergibt.

Fügen Sie entweder eine Anwendung zur Reputationsliste hinzu oder lesen Sie die Reputationsbeschreibungen. Klicken Sie auf das entsprechende Thema, um weitere Informationen zu erhalten.

Eine Anwendung zur Reputationsliste hinzufügen

Eine Anwendung kann entweder über die Seite „Reputationen“ oder der Seite „Warnmeldungen“ zur Reputationsliste hinzugefügt werden. Klicken Sie auf die entsprechende Option, um weitere Informationen zu erhalten.

Seite „Reputationen“

1. Navigieren Sie in einem Webbrowser zu [REGION].conferdeploy.net.
   Hinweis: [REGION] = Region des Mandanten

   • Nord- und Lateinamerika= https://defense-prod05.conferdeploy.net
   • Europa = https://defense-eu.conferdeploy.net/
   • Asien und Pazifik = https://defense-prodnrt.conferdeploy.net/
   • Australien und Neuseeland: https://defense-prodsyd.conferdeploy.net
2. Melden Sie sich bei der VMware Carbon Black Cloud an.
   
3. Klicken Sie im linken Menübereich auf Erzwingen.
   
4. Klicken Sie auf Reputation.
   

Ein Administrator kann eine Anwendung mithilfe eines SHA256-Hashs, eines IT-Tools oder eines Signaturzertifikats zur Reputationsliste hinzufügen. Klicken Sie auf die entsprechende Option, um weitere Informationen zu erhalten.

SHA256-Hash

5. Klicken Sie auf Hinzufügen.
   
6. Von "Reputation hinzufügen":
   1. Wählen Sie Hash als Typ aus.
   2. Wählen Sie entweder Genehmigte Liste oder Verbotene Liste für die Liste aus.
   3. Füllen Sie den SHA-256-Hash aus.
   4. Geben Sie einen Namen für den Eintrag ein.
   5. Optional können Sie Kommentare hinzufügen.
   6. Klicken Sie auf Save.
   
   Hinweis:

   • Mit der Genehmigungsliste wird jede betroffene und bekannte Datei automatisch mit der Reputation "Vom Unternehmen genehmigt" versehen.
   • Mit der Verbotsliste wird jede betroffene und bekannte Datei automatisch mit der Reputation "Unternehmen verboten" versehen.

IT-Tool

5. Klicken Sie auf Hinzufügen.
   
6. Von "Reputation hinzufügen":
   1. Wählen Sie IT-Tools für den Typ aus.
   2. Geben Sie den relativen Pfad des vertrauenswürdigen IT-Tools ein.
   3. Wählen Sie optional Alle untergeordneten Prozesse einschließen aus.
   4. Optional können Sie Kommentare hinzufügen.
   5. Klicken Sie auf Save.
   
   Hinweis:

   • IT-Tools können nur zur Genehmigungsliste hinzugefügt werden. Mit der Genehmigungsliste wird jede betroffene und bekannte Datei automatisch mit der Reputation "Lokal weiß" versehen.
   • Wird die Option Alle untergeordneten Prozesse einschließen ausgewählt, gibt dies an, dass alle Dateien, die von untergeordneten Prozessen des neu definierten vertrauenswürdigen IT-Tools abgelegt werden, ebenfalls die anfängliche Vertrauenswürdigkeit erhalten.
   • Relative Pfade für IT-Tools zeigen an, dass der definierte Pfad von der Pfad-Definition ausgefüllt werden kann.

Beispiel:

In den folgenden Beispielen ist der Pfad des vertrauenswürdigen IT-Tools wie folgt festgelegt:

• \sharefolder\folder2\application.exe

Wenn ein Administrator versucht, die Datei an diesen Speicherorten auszuführen, ist der Ausschluss erfolgreich:

• \\server\tools\sharefolder\folder2\application.exe
• D:\ITTools\sharefolder\folder2\application.exe

Wenn ein Administrator versucht, die Datei an diesen Speicherorten auszuführen, schlägt der Ausschluss fehl:

• E:\folder2\application.exe
• H:\sharefolder\application.exe

In den fehlgeschlagenen Beispielen kann der Pfad nicht vollständig ausgefüllt werden.

Signaturzertifikat

5. Klicken Sie auf Hinzufügen.
   
6. Von "Reputation hinzufügen":
   1. Wählen Sie Zertifikate für den Typ aus.
   2. Füllen Sie das Feld Signiert von aus.
   3. Füllen Sie optional die Zertifizierungsstelle aus.
   4. Fügen Sie optional Kommentare hinzu.
   5. Klicken Sie auf Save.

Seite „Warnmeldungen“

1. Navigieren Sie in einem Webbrowser zu [REGION].conferdeploy.net.
   Hinweis: [REGION] = Region des Mandanten

   • Nord- und Lateinamerika= https://defense-prod05.conferdeploy.net
   • Europa = https://defense-eu.conferdeploy.net/
   • Asien und Pazifik = https://defense-prodnrt.conferdeploy.net/
   • Australien und Neuseeland: https://defense-prodsyd.conferdeploy.net
2. Melden Sie sich bei der VMware Carbon Black Cloud an.
   
3. Klicken Sie auf Warnmeldungen.
   
4. Wählen Sie den Chevron neben der Warnmeldung aus, um die Anwendung zu genehmigen.
   
5. Klicken Sie im Unterabschnitt "Korrektur" auf Alle anzeigen.
   
6. Klicken Sie entsprechend, um die Datei entweder zur Verbotsliste oder zur Genehmigungsliste hinzuzufügen, je nachdem, ob der Hash nicht vertrauenswürdig oder vertrauenswürdig ist.
   
   Hinweis: Das Signaturzertifikat kann hinzugefügt werden, sodass andere Anwendungen, die dieses Zertifikat gemeinsam nutzen, automatisch der lokalen Liste genehmigter Zertifikate hinzugefügt werden.

Reputation-beschreibungen

Nutzen Sie zur Kontaktaufnahme mit dem Support die internationalen Support-Telefonnummern von Dell Data Security.
Gehen Sie zu TechDirect, um online eine Anfrage an den technischen Support zu erstellen.
Zusätzliche Einblicke und Ressourcen erhalten Sie im Dell Security Community Forum.