G DATA XDR

Uitzonderingen

Uitzonderingen beheren G DATA XDR

In het menuonderdeel Uitzonderingen kunt u

  1. nieuwe uitzonderingen aanmaken.

  2. de detailpagina van een uitzondering bekijken.

  3. uitzonderingen bewerken.

  4. uitzonderingen verwijderen.

De lijstweergave toont u alle aangemaakte uitzonderingen, zodat u deze altijd in het oog houdt.

De werkbalk

Via de werkbalk kunt u uitzonderingen zoeken, filteren of aanmaken. Ook de mogelijkheid om kolommen te verbergen of weer te geven vindt u in deze regel.

Werkbalk Uitzonderingen beheren G DATA XDR
Uitzonderingen filteren Filter
Klanten filteren G DATA XDR

Als u niet alle uitzonderingen in de lijst wilt laten weergeven, kunt u de uitzonderingen via het filtersymbool op verschillende criteria filteren:

Kolom Filter

Type =
Filtert alle uitzonderingen op het gezochte type.

Mogelijke filters:

  • is exact gelijk aan de ingevoerde waarde (=).

  • is ongelijk aan de ingevoerde waarde (!=).

  • bevat de tekenreeks die in de waarde is ingevoerd.

Uitzondering =
Filtert alleen de in de waarde opgegeven uitzonderingen (bijvoorbeeld alle uitzonderingen die betrekking hebben op hetzelfde proces).

Mogelijke filters:

  • is exact gelijk aan de ingevoerde waarde (=).

  • is ongelijk aan de ingevoerde waarde (!=).

  • bevat de tekenreeks die in de waarde is ingevoerd.

Toepassingsgebied =
Filtert alle uitzonderingen op het in de waarde opgegeven toepassingsgebied.

Mogelijke filters:

  • bevat de tekenreeks die in de waarde is ingevoerd.

Modus =
Filtert alle uitzonderingen met de in de waarde opgegeven modus (bijvoorbeeld alle bestanden die niet gecontroleerd moeten worden).

Mogelijke filters:

  • is exact gelijk aan de ingevoerde waarde (=).

  • is ongelijk aan de ingevoerde waarde (!=).

  • bevat de tekenreeks die in de waarde is ingevoerd.

Beperking =
Filtert alle uitzonderingen met de in de waarde opgegeven beperkingen.

Mogelijke filters:

  • bevat de tekenreeks die in de waarde is ingevoerd.

Het filtervenster sluit door op de Esc-toets te drukken of door buiten het venster te klikken.

De ingestelde filters worden naast het filtersymbool weergegeven en kunnen met een klik op de x worden gereset.

Uitzondering aanmaken Button
Ausnahme erstellen G DATA XDR
Ausnahme erstellen G DATA XDR

Klik in de kopregel van het gedeelte Ausnahmen op de knop Button. Het eerste venster van het invoerformulier wordt geopend.

Hier bepaalt u eerst voor welk toepassingsgebied u een uitzondering wilt aanmaken.

Voer een zoekterm in het formulierveld in. U krijgt vervolgens suggesties voor mogelijke toepassingsgebieden. Bijvoorbeeld de organisatie-eenheden die de zoekterm bevatten. U kunt ook rechtstreeks een endpointnaam invoeren. Selecteer het gewenste toepassingsgebied uit de suggesties.
Als u de volledige organisatiestructuur kent, kunt u het toepassingsgebied ook volledig in het zoekveld invoeren.

U kunt uitsluitingen aanmaken voor afzonderlijke eindpunten of voor alle eindpunten in een organisatie-eenheid (OU).

Houd er rekening mee dat uitsluitingen die u voor een organisatie-eenheid (OU) aanmaakt, overerven naar de onderliggende organisatie-eenheden.

Uw organisatie-eenheden zijn bijvoorbeeld als volgt opgebouwd:

MijnBedrijf
└ Default
  └ IT
  └ Boekhouding
  └ Server

Als u nu een uitsluiting voor IT wilt instellen en u voert deze in plaats daarvan op Default-niveau in, dan geldt de uitsluiting voor alle 3 organisatie-eenheden: IT, Boekhouding en Server.

Klik vervolgens op Toepassingsgebied toevoegen. Het toepassingsgebied wordt in het onderste gedeelte van het venster weergegeven.
Als er onderliggende organisatie-eenheden zijn voor het gekozen toepassingsgebied, kunt u op dit punt de overervingsstructuur openklappen en nogmaals controleren of het toepassingsgebied zo bedoeld is.

Als alles correct is, klikt u op weiter.

Het tweede venster wordt geopend: het invoerformulier voor de uitzondering.
Voer hier uw uitzondering in, bestaande uit de volgende parameters:

Typ

Voor alle typen geldt:

  • Jokertekens zijn mogelijk, maar moeten indien mogelijk worden vermeden. Anders zou bijvoorbeeld iemand een virus met dezelfde bestandsnaam in een andere map kunnen plaatsen en starten. Dit zou niet worden gecontroleerd.
    Maak uitsluitingen pas aan wanneer een melding is aangemaakt of een bestand vanwege een foutieve detectie naar quarantaine is verplaatst. Zo voorkomt u het intypen van paden. In beide gevallen vindt u op de betreffende portaalpagina uitsluitingsfuncties. Daarmee zet u de detectie met enkele klikken als uitsluiting.

  • Alle uitsluitingen moeten met het volledige pad worden aangemaakt.

Er zijn 3 typen uitsluitingen:

  • Bestand
    Bestanden met exact deze bestandsnaam worden volgens de ingestelde modus behandeld.

  • Proces
    Het uitvoerbare bestand wordt bij het starten gecontroleerd; alle activiteiten en bewerkingen die door het proces worden uitgevoerd, worden vervolgens volgens de ingestelde modus behandeld.
    Als u dit type selecteert, hebt u de mogelijkheid om beperkingen vast te leggen. Een optioneel veld voor de invoer van een opdrachtregel wordt in het invoermasker beschikbaar gesteld. Om de procesuitsluiting tot een specifieke opdracht te beperken, voegt u de opdracht eenvoudig in dit veld in.

  • Register
    Een gebruikte registersleutel wordt volgens de ingestelde modus behandeld.

Ausnahme
Voer hier het volledige pad in

Wanneer u een pad of een registersleutel als uitzondering invoert, wordt de invoer op plausibiliteit gecontroleerd en krijgt u bij onplausibele gegevens een overeenkomstige waarschuwing te zien. Als u de waarschuwing negeert en op Ausnahme erstellen klikt, wordt de uitzondering aangemaakt zoals u het pad of de registersleutel hebt ingevoerd. Er vindt geen correctie plaats; het aanmaken wordt ook niet geblokkeerd.

Warnung bei Eingabe eines Pfades
Weeg het risico van uw uitzondering af

Het aanmaken van een uitsluiting gaat altijd gepaard met een risico. Elke uitsluiting moet zorgvuldig worden afgewogen (risico-batenafweging). Houd er rekening mee dat uitgesloten bestanden, mappen en processen, afhankelijk van het type uitsluiting, niet worden gecontroleerd of in het geval van een detectie niet worden gestopt. Dit kan leiden tot economische en/of privacygerelateerde schade.

In het geval van schade waarvan het voorkomen door de uitgeschakelde bescherming niet kon worden gewaarborgd, ligt de verantwoordelijkheid hiervoor bij u.

De risico’s van een uitsluiting, als deze toch noodzakelijk is, moeten zo klein mogelijk worden gehouden.

Voorbeelden:

  • Sluit liever bestanden uit dan mappen.

  • Als u een procesuitsluiting maakt, houd er dan rekening mee dat u een uitvoerbaar bestand een "vrijbrief" verleent. Maak voor het uitvoerbare bestand dan niet daarnaast ook nog een bestandsuitsluiting, zodat het bestand in ieder geval vóór het starten is gecontroleerd.

  • Gebruik indien mogelijk geen Wildcards. Deze zijn weliswaar in het algemeen mogelijk, maar verhogen het risico.

  • Beperk het toepassingsgebied van een uitsluiting zo veel mogelijk, zodat er op de systemen niet onnodig uitsluitingen aanwezig zijn.

  • Beperk uitsluitingen zo vaak mogelijk met opdrachtregels. In dat geval geldt een uitsluiting alleen wanneer u deze exact met die opdracht aanroept. Het maakt dus verschil of een bestand door explorer.exe wordt aangeroepen of door een onbekend proces.

Bij het aanmaken van uitsluitingen is het aan te bevelen om rekening te houden met de daarmee samenhangende systeemrechten van gebruikersgroepen.
De syntaxis van wildcards

Bestand en proces

Voorbeelden:

Teken Voorbeeld Resultaat

Ster

*

Alles wordt uitgesloten

C:\*\ausnahme.exe

  • C:\xxx\ausnahme.exe

  • C:\yyy\ausnahme.exe

  • C:\xxx\yyy\ausnahme.exe

*.exe

  • C:\xxx\yyy\ausnahme.exe

  • C:\xxx\yyy\.exe

  • \\xxx\ausnahme.exe

C:\abc*

  • C:\abcdef

  • C:\abcuvwxy

*\abc*a.exe

  • temp\abc1a.exe

  • home\abc1a.exe

  • test\abc2a.exe

Vraagteken

?

één teken

?:\xxx\ausnahme.exe

  • C:\XXX\ausnahme.exe

  • Z:\xxx\ausnahme.exe

?:\xxx\*.exe

  • C:\xxx\.exe

  • Z:\xxx\yyy\ausnahme.exe

/root/xxx/ausnahme?.txt

  • /root/xxx/ausnahme1.txt

  • /root/xxx/ausnahme2.txt

Jokertekens als onderdeel van de naam

Alle letterlijke tekens (* of ?) worden als jokerteken geïnterpreteerd. Als deze in een pad of in een opdrachtregel voorkomen, geeft u altijd het teken ? als jokerteken op.

/root/xxx/ausnahme?.txt

/root/xxx/ausnahme?.txt

/root/xxx/ausnahme?.txt

/root/xxx/ausnahme*.txt

Register

  • Geef het absolute pad op.

  • Hoofdletters/kleine letters worden niet in aanmerking genomen.

  • De items moeten de volledige hive-namen gebruiken (bijv. HKEY_LOCAL_MACHINE, niet de korte vormen HKLM)).

  • Uitsluitingen in HKEY_CURRENT_USER moeten eenduidig aan een specifieke gebruiker of aan alle gebruikers worden gekoppeld:

    • specifieke gebruikers-SID:
      \registry\user\s-1-5-21-0123456789-0123456789-0123456789-0123\

    • alle gebruikers:
      \registry\user\*\
Teken Voorbeeld Resultaat

Ster

*

Alles wordt uitgesloten

*\xxx\*\ausnahme

  • \registry\machine\xxx\abc\ausnahme

  • \registry\user\xxx\yyy\zzz\ausnahme

Vraagteken

?

één teken

*\xxx?\ausnahme

  • \registry\machine\xxx1\ausnahme

  • \registry\machine\xxx2\ausnahme

  • \anotherregistry\machine2\xxx1\ausnahme
Modus

Aan elke uitsluiting moet een modus worden toegewezen.

Bij het invoeren van de uitsluiting geeft het keuzemenu u, afhankelijk van het geselecteerde type, de aangepaste moduskeuze.

De modi:

Proces niet stoppen / Bestand niet naar quarantaine verplaatsen / registersleutel niet verwijderen

Deze modus is een modus voor alleen loggen. Uitgesloten bestanden/mappen/processen/registersleutels worden wel gecontroleerd en bij detectie wordt ook een melding aangemaakt, maar

  • een gemeld proces wordt niet gestopt.

  • een bestand of een map wordt niet naar quarantaine verplaatst.

  • een registersleutel wordt niet verwijderd.

Deze modus moet voorkomen dat kritieke processen of belangrijke bestanden bij een fout-positieve detectie worden gestopt of verplaatst, waardoor er grote problemen op de systemen kunnen ontstaan. Houd er echter rekening mee dat dit ook ertoe leidt dat bij een virusinfectie kostbare tijd verloren gaat. Gebeurtenissen worden wel gemeld, maar het proces blijft doorlopen en kan al schade veroorzaken voordat u op de melding hebt kunnen reageren. Gebruik deze modus daarom alleen bij werkelijk bekende, betrouwbare processen die u uit een betrouwbare bron hebt verkregen en waarvan het uitvallen echt kritieke problemen op uw systemen kan veroorzaken, uw werkprocessen duurzaam kan verstoren, of waarbij het terugzetten uit quarantaine een onevenredig grote tijdsinvestering zou zijn (zoals bijvoorbeeld bij een OnPremise Exchange).

Niet controleren

Uitsluitingen in deze modus zorgen ervoor dat een bestand of een proces helemaal niet wordt gecontroleerd en daardoor ook geen melding kan worden aangemaakt.
Deze modus moet indien mogelijk helemaal niet of alleen in bijzondere uitzonderingsgevallen worden gekozen, omdat deze veruit het hoogste risico met zich meebrengt. De toepassing ervan zou alleen bij aanzienlijke performanceproblemen moeten plaatsvinden.
Juist op zeer snelle hardware kan het soms gebeuren dat software gevoelig reageert op de kleinste vertragingen van een activiteit. Bijvoorbeeld bij back-upprogramma’s: door de hoge, zeer snel achter elkaar uitgevoerde bestandsbewerkingen kan al een fractie van een seconde vertraging het back-upprogramma laten struikelen en uiteindelijk tot het afbreken van de back-up leiden. Hier kan de modus Niet controleren eventueel verdedigbaar zijn.

Geen melding maken

In deze modus wordt de controle van het/de in de uitsluiting opgegeven bestand/proces/registersleutel voortgezet. Er volgt echter na de controle geen actie. In tegenstelling tot modus Proces niet stoppen (naar quarantaine verplaatsen) wordt hier niet alleen het proces niet gestopt of het bestand niet naar quarantaine verplaatst—er wordt ook geen melding aangemaakt.
Deze modus voorkomt dat bij fout-positieve detecties meldingen en quarantaine-acties tot aan het oplossen van de detectie voortdurend worden herhaald. Deze modus kan het beste in combinatie met een beperking worden aangemaakt.
Het eenvoudigst werkt dit via de uitsluitingsfuncties in de onderdelen Meldingen en Quarantaine.

Bij type Proces: optioneel opdrachtregelveld

  • Proces
    Het uitvoerbare bestand wordt bij het starten gecontroleerd; alle activiteiten en bewerkingen die door het proces worden uitgevoerd, worden vervolgens volgens de ingestelde modus behandeld.
    Als u dit type selecteert, hebt u de mogelijkheid om beperkingen vast te leggen. Een optioneel veld voor de invoer van een opdrachtregel wordt in het invoermasker beschikbaar gesteld. Om de procesuitsluiting tot een specifieke opdracht te beperken, voegt u de opdracht eenvoudig in dit veld in.

Rond de invoer af met Ausnahme erstellen G DATA XDR

Kolommen selecteren tableColumnDisplayButton

Via het kolomsymbool kunt u de beschikbare kolommen weergeven of verbergen.

Kolommen verbergen
Uitzonderingen zoeken searchButton

Via het vergrootglas kunt u snel en eenvoudig naar uitzonderingen zoeken. Voer vrije tekst in het zoekveld in. Er wordt naar overeenkomsten gezocht en het resultaat wordt weergegeven.

Het overzicht van uitzonderingen

In het beheer van uitzonderingen worden aangemaakte uitzonderingen als lijst weergegeven. Hier ziet u in één oogopslag de belangrijkste informatie:

Overzichtsregel van de Uitzonderingen G DATA XDR

In de overzichtsregel van een uitzondering ziet u

  • de tag.

  • het ingevoerde uitzonderingspad respectievelijk de bestands- en procesnaam.

  • het toepassingsgebied.

  • de modus.

  • eventueel aanwezige beperkingen.

  • een actiebalk voor de uitzonderingen (detailpagina, uitzonderingen bewerken, uitzonderingen verwijderen).

Informatie over de tags

Voor alle typen geldt:

  • Jokertekens zijn mogelijk, maar moeten indien mogelijk worden vermeden. Anders zou bijvoorbeeld iemand een virus met dezelfde bestandsnaam in een andere map kunnen plaatsen en starten. Dit zou niet worden gecontroleerd.
    Maak uitsluitingen pas aan wanneer een melding is aangemaakt of een bestand vanwege een foutieve detectie naar quarantaine is verplaatst. Zo voorkomt u het intypen van paden. In beide gevallen vindt u op de betreffende portaalpagina uitsluitingsfuncties. Daarmee zet u de detectie met enkele klikken als uitsluiting.

  • Alle uitsluitingen moeten met het volledige pad worden aangemaakt.

Er zijn 3 typen uitsluitingen:

  • Bestand
    Bestanden met exact deze bestandsnaam worden volgens de ingestelde modus behandeld.

  • Proces
    Het uitvoerbare bestand wordt bij het starten gecontroleerd; alle activiteiten en bewerkingen die door het proces worden uitgevoerd, worden vervolgens volgens de ingestelde modus behandeld.
    Als u dit type selecteert, hebt u de mogelijkheid om beperkingen vast te leggen. Een optioneel veld voor de invoer van een opdrachtregel wordt in het invoermasker beschikbaar gesteld. Om de procesuitsluiting tot een specifieke opdracht te beperken, voegt u de opdracht eenvoudig in dit veld in.

  • Register
    Een gebruikte registersleutel wordt volgens de ingestelde modus behandeld.

de verschillende modi

Aan elke uitsluiting moet een modus worden toegewezen.

Bij het invoeren van de uitsluiting geeft het keuzemenu u, afhankelijk van het geselecteerde type, de aangepaste moduskeuze.

De modi:

Proces niet stoppen / Bestand niet naar quarantaine verplaatsen / registersleutel niet verwijderen

Deze modus is een modus voor alleen loggen. Uitgesloten bestanden/mappen/processen/registersleutels worden wel gecontroleerd en bij detectie wordt ook een melding aangemaakt, maar

  • een gemeld proces wordt niet gestopt.

  • een bestand of een map wordt niet naar quarantaine verplaatst.

  • een registersleutel wordt niet verwijderd.

Deze modus moet voorkomen dat kritieke processen of belangrijke bestanden bij een fout-positieve detectie worden gestopt of verplaatst, waardoor er grote problemen op de systemen kunnen ontstaan. Houd er echter rekening mee dat dit ook ertoe leidt dat bij een virusinfectie kostbare tijd verloren gaat. Gebeurtenissen worden wel gemeld, maar het proces blijft doorlopen en kan al schade veroorzaken voordat u op de melding hebt kunnen reageren. Gebruik deze modus daarom alleen bij werkelijk bekende, betrouwbare processen die u uit een betrouwbare bron hebt verkregen en waarvan het uitvallen echt kritieke problemen op uw systemen kan veroorzaken, uw werkprocessen duurzaam kan verstoren, of waarbij het terugzetten uit quarantaine een onevenredig grote tijdsinvestering zou zijn (zoals bijvoorbeeld bij een OnPremise Exchange).

Niet controleren

Uitsluitingen in deze modus zorgen ervoor dat een bestand of een proces helemaal niet wordt gecontroleerd en daardoor ook geen melding kan worden aangemaakt.
Deze modus moet indien mogelijk helemaal niet of alleen in bijzondere uitzonderingsgevallen worden gekozen, omdat deze veruit het hoogste risico met zich meebrengt. De toepassing ervan zou alleen bij aanzienlijke performanceproblemen moeten plaatsvinden.
Juist op zeer snelle hardware kan het soms gebeuren dat software gevoelig reageert op de kleinste vertragingen van een activiteit. Bijvoorbeeld bij back-upprogramma’s: door de hoge, zeer snel achter elkaar uitgevoerde bestandsbewerkingen kan al een fractie van een seconde vertraging het back-upprogramma laten struikelen en uiteindelijk tot het afbreken van de back-up leiden. Hier kan de modus Niet controleren eventueel verdedigbaar zijn.

Geen melding maken

In deze modus wordt de controle van het/de in de uitsluiting opgegeven bestand/proces/registersleutel voortgezet. Er volgt echter na de controle geen actie. In tegenstelling tot modus Proces niet stoppen (naar quarantaine verplaatsen) wordt hier niet alleen het proces niet gestopt of het bestand niet naar quarantaine verplaatst—er wordt ook geen melding aangemaakt.
Deze modus voorkomt dat bij fout-positieve detecties meldingen en quarantaine-acties tot aan het oplossen van de detectie voortdurend worden herhaald. Deze modus kan het beste in combinatie met een beperking worden aangemaakt.
Het eenvoudigst werkt dit via de uitsluitingsfuncties in de onderdelen Meldingen en Quarantaine.

De acties in het overzicht van uitzonderingen

Lupe = Detailpagina van de uitzondering openen

Een klik op het vergrootglassymbool in de overzichtsregel van de uitzondering opent de detailpagina van de uitzondering.

Detailpagina van de uitzondering

Hier ziet u de informatie over uw uitzondering nogmaals in één oogopslag. U kunt indien nodig de link naar de detailpagina uit de browser kopiëren en naar een bevoegde persoon sturen.

Op deze pagina is ook het bewerken en verwijderen van de uitzondering mogelijk.

BearbeitenStift = Uitzonderingen bewerken

Als u de uitzondering wilt wijzigen, klikt u op het potloodsymbool (of klikt u als alternatief op de betreffende knop op de detailpagina). Er wordt een dialoogvenster geopend, zoals dat ook bij de Nieuw aanmaken van een uitzondering wordt gebruikt.

Alle hier vastgelegde informatie kan worden gewijzigd.

LoeschenMuelleimer = Uitzondering verwijderen

Door op het verwijderpictogram te klikken of via de betreffende knop op de detailpagina kunt u de uitzondering verwijderen.