Article Number: 000182859
Poisjättöjen ja sisällytysten luominen VMware Carbon Black Cloud -ympäristössä
Summary: VMware Carbon Black -poisjätöt ja sisällytykset voidaan määrittää näiden ohjeiden mukaisesti.
Article Content
Instructions
VMware Carbon Black käyttää maine- ja käyttöoikeussääntöjä seuraavan sukupolven virustorjunnan (NGAV) poisjättöjen (hyväksyttyjen luettelot) ja sisällytysten (kiellettyjen luettelot) käsittelyyn. VMware Carbon Black Standard, VMware Carbon Black Cloud Advanced ja VMware Carbon Black Cloud Enterprise käyttävät päätepisteiden tunnistusta ja reagointia (EDR). EDR:ään vaikuttavat myös maine- ja käyttöoikeussäännöt. Tässä artikkelissa järjestelmänvalvojat voivat määrittää nämä arvot ja mahdolliset olennaiset hälytykset.
Tuotteet, joita asia koskee:
VMware Carbon Black Cloud Prevention
VMware Carbon Black Cloud Standard
VMware Carbon Black Cloud Advanced
VMware Carbon Black Cloud Enterprise
Käyttöjärjestelmät, joita asia koskee:
Windows
Mac
Linux
VMware Carbon Black -asennusosa 3: Käytännöt ja ryhmät
Kesto: 3.37
Tekstitys: Saatavana useilla kielillä
VMware Carbon Black Cloud käyttää käytäntöjen ja maineen yhdistelmää määrittääkseen, mitä toimintoja suoritetaan.
Katso lisätietoja valitsemalla asianmukainen aihe.
VMware Carbon Black Cloud Prevention -käytännöt poikkeavat VMware Carbon Black Cloud Standard- , Advanced- ja Enterprise-käytännöistä. Katso lisätietoja valitsemalla asianmukainen tuote.
VMware Carbon Black Cloud Prevention tarjoaa virtaviivaisen lähestymistavan käyttöoikeussääntöihin sekä esto- ja eristyssääntöihin, koska se ei käytä EDR:ää.
Katso lisätietoja valitsemalla asianmukainen aihe.
Käyttöoikeussäännöt määrittävät, mitä toimintoja sovellukset määritetyillä poluilla voivat suorittaa.
Käyttöoikeussäännöt ovat polkupohjaisia, ja ne ovat ensisijaisia esto-, eristys- ja mainesääntöihin nähden.
Käyttöoikeussäännön luominen:
- Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
- Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
- Eurooppa = https://defense-eu.conferdeploy.net/
- Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
- Australia ja Uusi-Seelanti = https://defense-prodsyd.conferdeploy.net
- Kirjaudu VMware Carbon Black Cloudiin.
- Valitse vasemmassa valikkoruudussa Enforce.
- Valitse Policies.
- Valitse käytäntö, jota haluat muokata:
- Valitse oikeassa valikkoruudussa Prevention.
- Suurenna napsauttamalla Permissions.
- Suurenna napsauttamalla Add application path.
- Määritä suunniteltu polku ohituksen asettamiseen.
- Esimerkkikuvassa käytetään seuraavia polkuja:
*:\program files\dell\dell data protection\***:\programdata\dell\dell data protection\**
- Tässä esimerkissä käytettävät toiminnot vaikuttavat kaikkiin polkuja sisältävien asemien kaikkiin tiedostoihin
\program files\dell\dell data protection\.\programdata\dell\dell data protection\ - VMware Carbon Black's Permissions -luettelossa käytetään glob-pohjaista muotoilurakennetta.
- Tuetaan esimerkiksi
%WINDIR%ympäristömuuttujia. - Yksittäinen tähti (*) vastaa kaikkia saman hakemiston merkkejä.
- Kaksi tähtiä (**) vastaavat kaikkia merkkejä samassa hakemistossa, useissa hakemistoissa ja kaikissa määritetyn sijainnin tai tiedoston ylä- tai alapuolella olevissa hakemistoissa.
- Esimerkkejä:
- Windows:
**\powershell.exe - Mac:
/Users/*/Downloads/**
- Windows:
- Valitse käyttöön otettava Action .
- Esimerkissä toimintoyritykset voidaan suorittaa eri toiminnoilla valitsemalla Allow (Salli ) tai Bypass (Ohita).
- Kun toiminto yrittää suorittaa minkä tahansa toiminnon , se ohittaa kaikki muut yritykset ja poistaa käytöstä muiden vaihtoehtojen valinnan.
- Toimintojen määritelmät:
- Allow sallii määritetyn polun toiminnan siten, että VMware Carbon Black Cloud kirjaa tiedot toiminnosta.
- Bypass – kaikki toiminta on sallittu määritetyllä polulla. Tietoja ei kerätä.
- Valitse Save sivun oikeasta yläkulmasta tai alareunasta.
Esto- ja eristyssäännöt ovat polkupohjaisia, ja ne ovat ensisijaisia mainesääntöihin nähden. Esto- ja eristyssäännöillä voi määrittää Estä- tai Lopeta prosessi -toiminnon, kun tiettyä toimintoa yritetään.
Esto- ja eristyssäännön luominen:
- Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
- Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
- Eurooppa = https://defense-eu.conferdeploy.net/
- Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
- Australia ja Uusi-Seelanti = https://defense-prodsyd.conferdeploy.net
- Kirjaudu VMware Carbon Black Cloudiin.
- Valitse vasemmassa valikkoruudussa Enforce.
- Valitse Policies.
- Valitse käytäntö, jota haluat muokata:
- Valitse oikeassa valikkoruudussa Prevention.
- Suurenna napsauttamalla Blocking and Isolation.
- Aseta esto- ja eristyssääntö määrittämällä sovelluspolku.
- Esimerkkikuvassa käytetään nimeä excel.exe.
- Määritetyt toiminnot koskevat missä tahansa hakemistossa suoritettua sovellusta, jonka nimi on excel.exe.
- VMware Carbon Black's Permissions -luettelossa käytetään glob-pohjaista muotoilurakennetta.
- Tuetaan esimerkiksi
%WINDIR%ympäristömuuttujia. - Yksittäinen tähti (*) vastaa kaikkia saman hakemiston merkkejä.
- Kaksi tähtiä (**) vastaavat kaikkia merkkejä samassa hakemistossa, useissa hakemistoissa ja kaikissa määritetyn sijainnin tai tiedoston ylä- tai alapuolella olevissa hakemistoissa.
- Esimerkkejä:
- Windows:
**\powershell.exe - Mac:
/Users/*/Downloads/**
- Windows:
- Valitse oikeasta yläkulmasta Save.
VMware Carbon Black Cloud Standard, VMware Carbon Black Cloud Advanced ja VMware Carbon Black Cloud Enterprise tarjoavat vaihtoehdot käyttöoikeussäännöillä sekä esto- ja eristyssäännöillä EDR:n sisällyttämisen vuoksi.
Katso lisätietoja valitsemalla asianmukainen aihe.
Käyttöoikeussäännöt määrittävät, mitä toimintoja sovellukset määritetyillä poluilla voivat suorittaa.
Käyttöoikeussäännöt ovat polkupohjaisia, ja ne ovat ensisijaisia esto-, eristys- ja mainesääntöihin nähden.
Käyttöoikeussäännön luominen:
- Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
- Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
- Eurooppa = https://defense-eu.conferdeploy.net/
- Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
- Australia ja Uusi-Seelanti = https://defense-prodsyd.conferdeploy.net
- Kirjaudu VMware Carbon Black Cloudiin.
- Valitse vasemmassa valikkoruudussa Enforce.
- Valitse Policies.
- Valitse käytäntö, jota haluat muokata:
- Valitse oikeassa valikkoruudussa Prevention.
- Suurenna napsauttamalla Permissions.
- Suurenna napsauttamalla Add application path.
- Määritä suunniteltu polku ohituksen asettamiseen.
- Esimerkkikuvassa käytetään seuraavia polkuja:
*:\program files\dell\dell data protection\***:\programdata\dell\dell data protection\**
- Tässä esimerkissä tehdyt toiminnot vaikuttavat kaikkiin tiedostoihin asemilla, jotka sisältävät polut \program files\dell\dell data protection\ ja \programdata\dell\dell data protection\.
- VMware Carbon Black's Permissions -luettelossa käytetään glob-pohjaista muotoilurakennetta.
- Laite tukee ympäristömuuttujia, kuten %WINDIR%.
- Yksittäinen tähti (*) vastaa kaikkia saman hakemiston merkkejä.
- Kaksi tähtiä (**) vastaavat kaikkia merkkejä samassa hakemistossa, useissa hakemistoissa ja kaikissa määritetyn sijainnin tai tiedoston ylä- tai alapuolella olevissa hakemistoissa.
- Esimerkkejä:
- Windows:
**\powershell.exe - Mac:
/Users/*/Downloads/**
- Windows:
- Valitse käyttöön otettava Action .
- Esimerkkikuvassa eri toimintoja voidaan käyttää valitsemalla Allow, Allow & Log tai Bypass.
- Kun Performs any operation on valittuna, tämä ohittaa minkä tahansa muun yritettävän toiminnon ja poistaa muiden vaihtoehtojen valinnan käytöstä.
- Kaikki toiminnot lukuun ottamatta toimintoa Performs any operation -toimintoa, voidaan ottaa käyttöön useilla eri käyttöyrityskerroilla.
- Toimintojen määritelmät:
- Allow sallii toiminnan määritetyllä polulla. Mitään polun määritetyistä toimista ei kirjata. VMware Carbon Black Cloudiin ei lähetetä tietoja.
- Allow & Log mahdollistaa määritetyn polun käytön. Kaikki toiminnot kirjataan. Kaikki tiedot raportoidaan VMware Carbon Black Cloudiin.
- Bypass sallii kaikki toiminnot määritetyssä polussa. Mitään ei kirjata. VMware Carbon Black Cloudiin ei lähetetä tietoja.
- Vahvista käytännön muutos valitsemalla Confirm kohdastaPermissions.
- Valitse oikeasta yläkulmasta Save.
Esto- ja eristyssäännöt ovat polkupohjaisia, ja ne ovat ensisijaisia mainesääntöihin nähden. Esto- ja eristyssäännöillä voi määrittää Estä- tai Lopeta prosessi -toiminnon, kun tiettyä toimintoa yritetään.
Esto- ja eristyssäännön luominen:
- Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
- Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
- Eurooppa = https://defense-eu.conferdeploy.net/
- Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
- Australia ja Uusi-Seelanti = https://defense-prodsyd.conferdeploy.net
- Kirjaudu VMware Carbon Black Cloudiin.
- Valitse vasemmassa valikkoruudussa Enforce.
- Valitse Policies.
- Valitse käytäntö, jota haluat muokata:
- Valitse oikeassa valikkoruudussa Prevention.
- Suurenna napsauttamalla Blocking and Isolation.
- Suurenna napsauttamalla Add application path.
- Aseta esto- ja eristyssääntö määrittämällä sovelluspolku.
- Esimerkkikuvassa käytetään nimeä excel.exe.
- Määritetyt toiminnot koskevat missä tahansa hakemistossa suoritettua sovellusta, jonka nimi on excel.exe.
- VMware Carbon Black's Permissions -luettelossa käytetään glob-pohjaista muotoilurakennetta.
- Tuetaan esimerkiksi
%WINDIR%ympäristömuuttujia. - Yksittäinen tähti (*) vastaa kaikkia saman hakemiston merkkejä.
- Kaksi tähtiä (**) vastaavat kaikkia merkkejä samassa hakemistossa, useissa hakemistoissa ja kaikissa määritetyn sijainnin tai tiedoston ylä- tai alapuolella olevissa hakemistoissa.
- Esimerkkejä:
- Windows:
**\powershell.exe - Mac:
/Users/*/Downloads/**
- Windows:
- Valitse suoritettava Action, kun toimenpidettä yritetään, ja valitse sitten Confirm.
- Valitse oikeasta yläkulmasta Save.
- Deny operation estää luettelon sovellusta suorittamasta määritettyä toimintoa, jota se yritti suorittaa.
- Terminate process lopettaa prosessin, kun määritetty toiminto on suoritettu.
VMware Carbon Black määrittää maineen jokaiselle tiedostolle, joka toimii laitteella, johon on asennettu anturi. Olemassa olevien tiedostojen maine on LOCAL_WHITE, kunnes ne saavat paremman maineen suorittamisen tai taustatarkistuksen jälkeen.
Voit joko lisätä sovelluksen maineluetteloon tai käyttää maineen kuvauksia. Katso lisätietoja valitsemalla asianmukainen aihe.
Sovellus voidaan lisätä maineluetteloon joko kohdassa Reputations page tai Alerts Page. Katso lisätietoja valitsemalla asianmukainen vaihtoehto.
Lisää sovellus maineluetteloon:
- Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
- Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
- Eurooppa = https://defense-eu.conferdeploy.net/
- Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
- Australia ja Uusi-Seelanti = https://defense-prodsyd.conferdeploy.net
- Kirjaudu VMware Carbon Black Cloudiin.
- Valitse vasemmassa valikkoruudussa Enforce.
- Valitse Reputation.
Järjestelmänvalvoja voi lisätä sovelluksen maineluetteloon KÄYTTÄMÄLLÄ SHA256-hajautusarvoa, IT-työkalua tai allekirjoitusvarmentetta. Katso lisätietoja valitsemalla asianmukainen vaihtoehto.
SHA256-hajautusarvon lisääminen manuaalisesti:
- Valitse Add.
- Add Reputation -kohdasta:
- Valitse Hash.
- Valitse joko Approved List tai Banned List.
- Määritä SHA-256-palvelin.
- Määritä Name.
- Lisää halutessasi Comments.
- Valitse Save.
- Hyväksytty luettelo määrittää automaattisesti kaikki kyseiset ja tunnetut tiedostot, joilla on yrityksen maine.
- Kiellettyjen luettelot määrittävät automaattisesti kaikki kyseiset ja tunnetut tiedostot, joiden maine yrityksen kohdalla on kielletty.
IT-työkalun lisääminen manuaalisesti:
- Valitse Add.
- Add Reputation -kohdasta:
- Valitse IT-työkalut.
- Lisää suhteellinen Path of trusted IT tool.
- Voit myös valita Include all child processes.
- Lisää halutessasi Comments.
- Valitse Save.
- IT-työkalut voidaan lisätä vain kohtaan Approved List. Hyväksytty luettelo määrittää automaattisesti kaikki tiedostot, joita ongelma koskee, ja tunnetut tiedostot, joilla on paikallisen valkoisen maine.
- Kun vaihtoehto Include all child processes on valittuna, kaikki äskettäin määritellyn luotetun IT-työkalun aliprosessien tallentamat tiedostot saavat myös alkuperäisen luottamuksen.
- IT-työkalujen suhteelliset polut osoittavat, että määritetty polku voidaan toteuttaa määritetyllä polulla.
Esimerkki:
Seuraavissa esimerkeissä luotetun IT-työkalun polku on:
\sharefolder\folder2\application.exe
Jos järjestelmänvalvoja yrittää suorittaa tiedoston näissä sijainneissa, poikkeus onnistuu:
\\server\tools\sharefolder\folder2\application.exeD:\ITTools\sharefolder\folder2\application.exe
Jos järjestelmänvalvoja yrittää suorittaa tiedoston näissä sijainneissa, poikkeus epäonnistuu:
E:\folder2\application.exeH:\sharefolder\application.exe
Epäonnistuneissa esimerkeissä polkua ei voida toteuttaa kokonaan.
Allekirjoitusvarmenteen lisääminen manuaalisesti:
- Valitse Add.
- Add Reputation -kohdasta:
- Valitse Certs.
- Määritä kohta Signed by.
- Lisää halutessasi Certificate Authority.
- Voit myös kirjoittaa Comments.
- Valitse Save.
- Allekirjoitusvarmenne voidaan lisätä vain kohtaan Approved List. Hyväksytty luettelo määrittää automaattisesti kaikki tiedostot, joita ongelma koskee, ja tunnetut tiedostot, joilla on paikallisen valkoisen maine.
- Lisätietoja allekirjoitusvarmenteiden lisäämisestä maineeseen on artikkelissa How to Add a Signing Certificate into the VMware Carbon Black Cloud Reputation List.
Sovelluksen lisääminen maineluetteloon Alerts-sivulla:
- Siirry selaimessa osoitteeseen [REGION].conferdeploy.net.
- Pohjois- ja Etelä-Amerikka = https://defense-prod05.conferdeploy.net/
- Eurooppa = https://defense-eu.conferdeploy.net/
- Aasia ja Tyynenmeren alue = https://defense-prodnrt.conferdeploy.net/
- Australia ja Uusi-Seelanti = https://defense-prodsyd.conferdeploy.net
- Kirjaudu VMware Carbon Black Cloudiin.
- Valitse Alerts.
- Valitse nuolikuva sen hälytyksen vierestä, jonka haluat hyväksyä.
- Valitse Show all Remediation-alakohdasta.
- Valitse Add ja lisää tiedosto joko estettyjen tai hyväksyttyjen luetteloon sen mukaan, onko hajautusarvo epäluotettava vai luotettu.
| Prioriteetti | Maine | Mainehaun arvo | Kuvaus |
|---|---|---|---|
| 1 | Ohitus | OHITA | Tarkista, että Carbon Black Cloud määrittää sen tuotetiedostoille, ja anna heille täydet käyttöoikeudet suorittamiseen.
|
| 2 | Yrityksen hyväksytty luettelo | COMPANY_WHITE_LIST | Hajautusarvot lisätään manuaalisesti yrityksen hyväksyttyjen luetteloon valitsemalla Enforce > Reputations |
| 3 | Yrityksen kiellettyjen luettelo | COMPANY_BLACK_LIST | Hajautusarvot lisätään manuaalisesti yrityksen estettyjen listalle valitsemalla Enforce > Reputations |
| 4 | Luotettujen hyväksyttyjen luettelo | TRUSTED_WHITE_LIST | Carbon Blackin hyväksi tunnistama joko pilvipalvelusta, paikallisesta skannerista tai molemmista |
| 5 | Tunnettu haittaohjelma | KNOWN_MALWARE | Carbon Blackin huonoksi tunnistama joko pilvipalvelusta, paikallisesta skannerista tai molemmista |
| 6 | Epäilyttävät/heuristiset haittaohjelmat | SUSPECT_MALWARE HEURISTINEN | Carbon Blackin havaitsemat epäilyttävät haittaohjelmat, jotka eivät välttämättä ole haitallisilta. |
| 7 | Mainos-/PUP-haittaohjelma | ADWARE PUP | Carbon Blackin havaitsemat mainoshaittaohjelmat ja mahdollisesti ei-toivotut ohjelmat |
| 8 | Local White | LOCAL_WHITE | Tiedosto on täyttänyt jonkin seuraavista ehdoista:
|
| 9 | Yleinen hyväksytty luettelo | COMMON_WHITE_LIST | Tiedosto on täyttänyt jonkin seuraavista ehdoista:
|
| 10 | Ei luettelossa /mukautuva hyväksytty luettelo | NOT_LISTEDADAPTIVE_WHITE_LIST | Not Listed -maine osoittaa, että kun anturi tarkistaa sovelluksen hajautusarvon paikallisella skannerilla tai pilvellä, siitä ei löydy tietuetta – se ei näy mainetietokannassa.
|
| 11 | Tuntematon | RATKAISTA | Tuntematon maine tarkoittaa, että anturin käyttämät mainelähteet eivät reagoi.
|
Jos haluat ottaa yhteyttä tukeen, katso luettelo Dell Data Securityn kansainvälisen tuen puhelinnumeroista.
TechDirectissä voit luoda teknisen tukipyynnön verkossa.
Lisätietoja ja resursseja on Dell Security Community Forum -keskustelufoorumilla.
Additional Information
Videos
Article Properties
Affected Product
VMware Carbon Black
Last Published Date
04 Jan 2023
Version
32
Article Type
How To