G DATA XDR

Uitzonderingen aanmaken

U hebt de mogelijkheid om uitsluitingen op 3 manieren aan te maken:

via het invoermasker in het onderdeel Uitsluitingen.
via quarantaine-items.
via Meldingen.

Uitzonderingen aanmaken via het invoerformulier in het gedeelte Ausnahmen

Klik in de kopregel van het gedeelte Ausnahmen op de knop Button . Het eerste venster van het invoerformulier wordt geopend.

Hier bepaalt u eerst voor welk toepassingsgebied u een uitzondering wilt aanmaken.

Voer een zoekterm in het formulierveld in. U krijgt vervolgens suggesties voor mogelijke toepassingsgebieden. Bijvoorbeeld de organisatie-eenheden die de zoekterm bevatten. U kunt ook rechtstreeks een endpointnaam invoeren. Selecteer het gewenste toepassingsgebied uit de suggesties.
Als u de volledige organisatiestructuur kent, kunt u het toepassingsgebied ook volledig in het zoekveld invoeren.

U kunt uitsluitingen aanmaken voor afzonderlijke eindpunten of voor alle eindpunten in een organisatie-eenheid (OU).

Houd er rekening mee dat uitsluitingen die u voor een organisatie-eenheid (OU) aanmaakt, overerven naar de onderliggende organisatie-eenheden.

Uw organisatie-eenheden zijn bijvoorbeeld als volgt opgebouwd:

MijnBedrijf
└ Default
└ IT
└ Boekhouding
└ Server

Als u nu een uitsluiting voor IT wilt instellen en u voert deze in plaats daarvan op Default-niveau in, dan geldt de uitsluiting voor alle 3 organisatie-eenheden: IT, Boekhouding en Server.

Klik vervolgens op Toepassingsgebied toevoegen. Het toepassingsgebied wordt in het onderste gedeelte van het venster weergegeven.
Als er onderliggende organisatie-eenheden zijn voor het gekozen toepassingsgebied, kunt u op dit punt de overervingsstructuur openklappen en nogmaals controleren of het toepassingsgebied zo bedoeld is.

Als alles correct is, klikt u op weiter .

Het tweede venster wordt geopend: het invoerformulier voor de uitzondering.
Voer hier uw uitzondering in, bestaande uit de volgende parameters:

Typ

Voor alle typen geldt:

Jokertekens zijn mogelijk, maar moeten indien mogelijk worden vermeden. Anders zou bijvoorbeeld iemand een virus met dezelfde bestandsnaam in een andere map kunnen plaatsen en starten. Dit zou niet worden gecontroleerd.
Maak uitsluitingen pas aan wanneer een melding is aangemaakt of een bestand vanwege een foutieve detectie naar quarantaine is verplaatst. Zo voorkomt u het intypen van paden. In beide gevallen vindt u op de betreffende portaalpagina uitsluitingsfuncties. Daarmee zet u de detectie met enkele klikken als uitsluiting.
Alle uitsluitingen moeten met het volledige pad worden aangemaakt.

Er zijn 3 typen uitsluitingen:

Bestand
Bestanden met exact deze bestandsnaam worden volgens de ingestelde modus behandeld.
Proces
Het uitvoerbare bestand wordt bij het starten gecontroleerd; alle activiteiten en bewerkingen die door het proces worden uitgevoerd, worden vervolgens volgens de ingestelde modus behandeld.
Als u dit type selecteert, hebt u de mogelijkheid om beperkingen vast te leggen. Een optioneel veld voor de invoer van een opdrachtregel wordt in het invoermasker beschikbaar gesteld. Om de procesuitsluiting tot een specifieke opdracht te beperken, voegt u de opdracht eenvoudig in dit veld in.
Register
Een gebruikte registersleutel wordt volgens de ingestelde modus behandeld.

Ausnahme

Voer hier het volledige pad in

Wanneer u een pad of een registersleutel als uitzondering invoert, wordt de invoer op plausibiliteit gecontroleerd en krijgt u bij onplausibele gegevens een overeenkomstige waarschuwing te zien. Als u de waarschuwing negeert en op Ausnahme erstellen klikt, wordt de uitzondering aangemaakt zoals u het pad of de registersleutel hebt ingevoerd. Er vindt geen correctie plaats; het aanmaken wordt ook niet geblokkeerd.

Weeg het risico van uw uitzondering af

Het aanmaken van een uitsluiting gaat altijd gepaard met een risico. Elke uitsluiting moet zorgvuldig worden afgewogen (risico-batenafweging). Houd er rekening mee dat uitgesloten bestanden, mappen en processen, afhankelijk van het type uitsluiting, niet worden gecontroleerd of in het geval van een detectie niet worden gestopt. Dit kan leiden tot economische en/of privacygerelateerde schade.

In het geval van schade waarvan het voorkomen door de uitgeschakelde bescherming niet kon worden gewaarborgd, ligt de verantwoordelijkheid hiervoor bij u.

De risico’s van een uitsluiting, als deze toch noodzakelijk is, moeten zo klein mogelijk worden gehouden.

Voorbeelden:

Sluit liever bestanden uit dan mappen.
Als u een procesuitsluiting maakt, houd er dan rekening mee dat u een uitvoerbaar bestand een "vrijbrief" verleent. Maak voor het uitvoerbare bestand dan niet daarnaast ook nog een bestandsuitsluiting, zodat het bestand in ieder geval vóór het starten is gecontroleerd.
Gebruik indien mogelijk geen Wildcards. Deze zijn weliswaar in het algemeen mogelijk, maar verhogen het risico.
Beperk het toepassingsgebied van een uitsluiting zo veel mogelijk, zodat er op de systemen niet onnodig uitsluitingen aanwezig zijn.
Beperk uitsluitingen zo vaak mogelijk met opdrachtregels. In dat geval geldt een uitsluiting alleen wanneer u deze exact met die opdracht aanroept. Het maakt dus verschil of een bestand door explorer.exe wordt aangeroepen of door een onbekend proces.

Bij het aanmaken van uitsluitingen is het aan te bevelen om rekening te houden met de daarmee samenhangende systeemrechten van gebruikersgroepen.

De syntaxis van wildcards

Bestand en proces

Voorbeelden:

Teken	Voorbeeld	Resultaat
Ster	*	Alles wordt uitgesloten
C:\*\ausnahme.exe	C:\xxx\ausnahme.exe C:\yyy\ausnahme.exe C:\xxx\yyy\ausnahme.exe
*.exe	C:\xxx\yyy\ausnahme.exe C:\xxx\yyy\.exe \\xxx\ausnahme.exe
C:\abc*	C:\abcdef C:\abcuvwxy
\abca.exe	temp\abc1a.exe home\abc1a.exe test\abc2a.exe
Vraagteken	?	één teken
?:\xxx\ausnahme.exe	C:\XXX\ausnahme.exe Z:\xxx\ausnahme.exe
?:\xxx\*.exe	C:\xxx\.exe Z:\xxx\yyy\ausnahme.exe
/root/xxx/ausnahme?.txt	/root/xxx/ausnahme1.txt /root/xxx/ausnahme2.txt
Jokertekens als onderdeel van de naam Alle letterlijke tekens (* of ?) worden als jokerteken geïnterpreteerd. Als deze in een pad of in een opdrachtregel voorkomen, geeft u altijd het teken ? als jokerteken op.	/root/xxx/ausnahme?.txt	/root/xxx/ausnahme?.txt
/root/xxx/ausnahme?.txt	/root/xxx/ausnahme*.txt

Teken

Voorbeeld

Resultaat

Ster

Alles wordt uitgesloten

C:\*\ausnahme.exe

C:\xxx\ausnahme.exe
C:\yyy\ausnahme.exe
C:\xxx\yyy\ausnahme.exe

*.exe

C:\xxx\yyy\ausnahme.exe
C:\xxx\yyy\.exe
\\xxx\ausnahme.exe

C:\abc*

C:\abcdef
C:\abcuvwxy

*\abc*a.exe

temp\abc1a.exe
home\abc1a.exe
test\abc2a.exe

Vraagteken

één teken

?:\xxx\ausnahme.exe

C:\XXX\ausnahme.exe
Z:\xxx\ausnahme.exe

?:\xxx\*.exe

C:\xxx\.exe
Z:\xxx\yyy\ausnahme.exe

/root/xxx/ausnahme?.txt

/root/xxx/ausnahme1.txt
/root/xxx/ausnahme2.txt

Jokertekens als onderdeel van de naam

Alle letterlijke tekens (* of ?) worden als jokerteken geïnterpreteerd. Als deze in een pad of in een opdrachtregel voorkomen, geeft u altijd het teken ? als jokerteken op.

/root/xxx/ausnahme?.txt

/root/xxx/ausnahme*.txt

Geef het absolute pad op.
Hoofdletters/kleine letters worden niet in aanmerking genomen.
De items moeten de volledige hive-namen gebruiken (bijv. HKEY_LOCAL_MACHINE, niet de korte vormen HKLM)).
Uitsluitingen in HKEY_CURRENT_USER moeten eenduidig aan een specifieke gebruiker of aan alle gebruikers worden gekoppeld:
- specifieke gebruikers-SID:
  \registry\user\s-1-5-21-0123456789-0123456789-0123456789-0123\
- alle gebruikers:
  \registry\user\*\

Teken	Voorbeeld	Resultaat
Ster	*	Alles wordt uitgesloten
\xxx\\ausnahme	\registry\machine\xxx\abc\ausnahme \registry\user\xxx\yyy\zzz\ausnahme
Vraagteken	?	één teken
*\xxx?\ausnahme	\registry\machine\xxx1\ausnahme \registry\machine\xxx2\ausnahme \anotherregistry\machine2\xxx1\ausnahme

Teken

Voorbeeld

Resultaat

Ster

Alles wordt uitgesloten

*\xxx\*\ausnahme

\registry\machine\xxx\abc\ausnahme
\registry\user\xxx\yyy\zzz\ausnahme

Vraagteken

één teken

*\xxx?\ausnahme

\registry\machine\xxx1\ausnahme
\registry\machine\xxx2\ausnahme
\anotherregistry\machine2\xxx1\ausnahme

Modus

Aan elke uitsluiting moet een modus worden toegewezen.

Bij het invoeren van de uitsluiting geeft het keuzemenu u, afhankelijk van het geselecteerde type, de aangepaste moduskeuze.

De modi:

Proces niet stoppen / Bestand niet naar quarantaine verplaatsen / registersleutel niet verwijderen

Deze modus is een modus voor alleen loggen. Uitgesloten bestanden/mappen/processen/registersleutels worden wel gecontroleerd en bij detectie wordt ook een melding aangemaakt, maar

een gemeld proces wordt niet gestopt.
een bestand of een map wordt niet naar quarantaine verplaatst.
een registersleutel wordt niet verwijderd.

Deze modus moet voorkomen dat kritieke processen of belangrijke bestanden bij een fout-positieve detectie worden gestopt of verplaatst, waardoor er grote problemen op de systemen kunnen ontstaan. Houd er echter rekening mee dat dit ook ertoe leidt dat bij een virusinfectie kostbare tijd verloren gaat. Gebeurtenissen worden wel gemeld, maar het proces blijft doorlopen en kan al schade veroorzaken voordat u op de melding hebt kunnen reageren. Gebruik deze modus daarom alleen bij werkelijk bekende, betrouwbare processen die u uit een betrouwbare bron hebt verkregen en waarvan het uitvallen echt kritieke problemen op uw systemen kan veroorzaken, uw werkprocessen duurzaam kan verstoren, of waarbij het terugzetten uit quarantaine een onevenredig grote tijdsinvestering zou zijn (zoals bijvoorbeeld bij een OnPremise Exchange).

Niet controleren

Uitsluitingen in deze modus zorgen ervoor dat een bestand of een proces helemaal niet wordt gecontroleerd en daardoor ook geen melding kan worden aangemaakt.
Deze modus moet indien mogelijk helemaal niet of alleen in bijzondere uitzonderingsgevallen worden gekozen, omdat deze veruit het hoogste risico met zich meebrengt. De toepassing ervan zou alleen bij aanzienlijke performanceproblemen moeten plaatsvinden.
Juist op zeer snelle hardware kan het soms gebeuren dat software gevoelig reageert op de kleinste vertragingen van een activiteit. Bijvoorbeeld bij back-upprogramma’s: door de hoge, zeer snel achter elkaar uitgevoerde bestandsbewerkingen kan al een fractie van een seconde vertraging het back-upprogramma laten struikelen en uiteindelijk tot het afbreken van de back-up leiden. Hier kan de modus Niet controleren eventueel verdedigbaar zijn.

Geen melding maken

In deze modus wordt de controle van het/de in de uitsluiting opgegeven bestand/proces/registersleutel voortgezet. Er volgt echter na de controle geen actie. In tegenstelling tot modus Proces niet stoppen (naar quarantaine verplaatsen) wordt hier niet alleen het proces niet gestopt of het bestand niet naar quarantaine verplaatst—er wordt ook geen melding aangemaakt.
Deze modus voorkomt dat bij fout-positieve detecties meldingen en quarantaine-acties tot aan het oplossen van de detectie voortdurend worden herhaald. Deze modus kan het beste in combinatie met een beperking worden aangemaakt.
Het eenvoudigst werkt dit via de uitsluitingsfuncties in de onderdelen Meldingen en Quarantaine.

Bij type Proces: optioneel opdrachtregelveld

Proces
Het uitvoerbare bestand wordt bij het starten gecontroleerd; alle activiteiten en bewerkingen die door het proces worden uitgevoerd, worden vervolgens volgens de ingestelde modus behandeld.
Als u dit type selecteert, hebt u de mogelijkheid om beperkingen vast te leggen. Een optioneel veld voor de invoer van een opdrachtregel wordt in het invoermasker beschikbaar gesteld. Om de procesuitsluiting tot een specifieke opdracht te beperken, voegt u de opdracht eenvoudig in dit veld in.

Rond de invoer af met Ausnahme erstellen G DATA XDR