Konfigurieren einer einfachen benutzerdefinierten Erkennungsliste im AMP für Endgeräte-Portal

Einführung

In diesem Dokument werden die Schritte zum Erstellen einer Liste einfacher benutzerdefinierter Erkennungsoptionen beschrieben, um bestimmte Dateien zu erkennen, zu blockieren und zu isolieren, damit die Dateien auf Geräten zugelassen werden, auf denen die AMP-Connectors (Advanced Malware Protection) für Endpoints installiert sind.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

• Zugriff auf das AMP-Portal
• Konto mit Administratorberechtigungen
• Dateigröße nicht mehr als 20 MB

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Cisco AMP für Endgeräte Konsolenversion 5.4.20190709.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Workflow

Die Option für die Liste einfacher benutzerdefinierter Erkennung verwendet diesen Workflow:

• Die Liste der einfachen benutzerdefinierten Erkennung, die über das AMP-Portal erstellt wurde.
• Eine Liste einfacher benutzerdefinierter Erkennungen, die in einer zuvor erstellten Richtlinie angewendet wurde.
• Der auf dem Gerät installierte und in der Richtlinie angewendete AMP-Anschluss.

Konfiguration

Um eine Liste einfacher benutzerdefinierter Erkennungsoptionen zu erstellen, gehen Sie wie folgt vor:

Schritt 1: Navigieren Sie im AMP-Portal zu Outbreak Control > Simple (Outbreak-Kontrolle > Einfache Option), wie im Bild gezeigt.

Schritt 2: Klicken Sie auf der Option Benutzerdefinierte Erkennungen - Einfach auf die Schaltfläche Erstellen, um eine neue Liste hinzuzufügen, wählen Sie einen Namen aus, um die Liste Einfache benutzerdefinierte Erkennung zu identifizieren und zu speichern, wie im Bild gezeigt.

Schritt 3: Wenn die Liste erstellt wurde, klicken Sie auf die Schaltfläche Bearbeiten, um die Liste der Dateien hinzuzufügen, die Sie blockieren möchten, wie im Bild gezeigt.

Schritt 4: Fügen Sie auf der Option SHA-256 hinzufügen den zuvor aus der zu blockierenden Datei gesammelten SHA-256-Code ein, wie im Bild gezeigt.

Schritt 5: Wählen Sie unter Upload File (Datei hochladen) die Datei aus, die Sie blockieren möchten. Nach dem Hochladen der Datei wird der SHA-256 dieser Datei der Liste hinzugefügt, wie im Bild gezeigt.

Schritt 6: Mit der Option SHA-256s hochladen können Sie eine Datei mit einer Liste von zuvor erfassten SHA-256-Codes hinzufügen, wie in den Bildern gezeigt.

Schritt 7: Wenn die Liste Benutzerdefinierte einfache Erkennung erstellt wurde, navigieren Sie zu Management > Policies (Verwaltung > Richtlinien), und wählen Sie die Richtlinie aus, auf die die zuvor erstellte Liste angewendet werden soll, wie in den Bildern gezeigt.

Schritt 8: Klicken Sie auf die Schaltfläche Bearbeiten, und navigieren Sie zu Outbreak Control > Custom Detections - Simple. Wählen Sie die Liste aus, die zuvor im Dropdown-Menü generiert wurde, und speichern Sie die Änderungen, wie im Bild gezeigt.

Wenn alle Schritte ausgeführt und die Anschlüsse mit den letzten Richtlinienänderungen synchronisiert wurden, wird die benutzerdefinierte einfache Erkennung wirksam.

Überprüfen

Für diese Konfiguration ist derzeit kein Überprüfungsverfahren verfügbar.

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.

Warnung: Wenn eine Datei einer Liste einfacher benutzerdefinierter Erkennungsmethoden hinzugefügt wird, muss die Cache-Zeit ablaufen, bevor die Erkennung wirksam wird.

Hinweis: Wenn Sie eine einfache benutzerdefinierte Erkennung hinzufügen, kann sie zwischengespeichert werden. Die Dauer der Zwischenspeicherung einer Datei hängt von ihrer Disposition ab, wie in dieser Liste gezeigt:
· Dateien löschen: 7 Tage
· Unbekannte Dateien: 1 Stunde
· Schädliche Dateien: 1 Stunde