Configuración y gestión de exclusiones en Cisco AMP para terminales

Introducción

Este documento describe cómo crear la exclusión para los diferentes motores en la consola de protección frente a malware avanzado (AMP) para terminales.

prerrequisitos

Requisitos

Cisco recomienda que tenga conocimiento sobre estos temas:

• Modificar y aplicar una lista de exclusión a una política de AMP para la consola de terminales
• convención CSIDL de Windows

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• AMP para consola de terminales 5.4.20200317
• Revisión de la guía del usuario de AMP para terminales, 31 de marzo de 2020

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

flujo de trabajo de AMP

• Exclusiones
• Motor Tetra
• Control de aplicaciones (lista de permitidos / lista de bloqueo)
• Motor SHA
• Prevención de vulnerabilidades (Exprev) / Protección de actividad maliciosa (MAP) / Protección de procesos del sistema / Motor de red (Correlación de flujo de dispositivos)

Nota: La exclusión o la creación de Allow/Blocklist depende del motor que ha detectado el archivo.

Exclusiones mantenidas por Cisco

Cisco crea y mantiene exclusiones mantenidas por Cisco para proporcionar una mejor compatibilidad entre AMP para terminales y antivirus, así como productos de seguridad u otro software.

Estos conjuntos de exclusión contienen diferentes tipos de exclusiones para garantizar el funcionamiento adecuado.

Puede realizar un seguimiento de los cambios realizados a estas exclusiones en el artículo Cambios de la Lista de Exclusiones Mantenidas por Cisco para AMP para la Consola de Terminales.

Exclusiones personalizadas

motor AMP

Análisis de archivos (uso de CPU / detecciones de archivos) por el motor Tetra & Sha:

Utilice estos tipos de exclusiones para evitar la detección/cuarentena de un archivo o para mitigar el uso excesivo de la CPU de AMP.

El evento en la consola de AMP es como se muestra en la imagen.

Nota: CSIDL se puede utilizar para exclusiones. Consulte este documento de Microsoft para obtener más información sobre CSIDL.

Exclusión de trayecto

Exclusión de comodines

Nota: Opción Aplicar a todas las letras de unidad se utiliza también para aplicar la exclusión a las unidades [A-Z] conectadas al sistema.

Exclusión de extensión de archivo

Precaución: Utilice este tipo de exclusión con precaución, ya que excluye todos los archivos con la extensión de archivo del análisis de AMP independientemente de la ruta de acceso de la ubicación.

Proceso: Exclusión del análisis de archivos

Protección de procesos del sistema (SPP)

El motor System Process Protection está disponible en la versión 6.0.5 del conector y protege los siguientes procesos de Windows:

• Subsistema del administrador de sesiones (smss.exe)
• Subsistema de tiempo de ejecución de cliente/servidor (csrss.exe)
• Subsistema de autoridad de seguridad local (lsass.exe)
• Aplicación de inicio de sesión de Windows (winLogon.exe)
• Aplicación de inicio de Windows (wininit.exe)

La siguiente imagen muestra un evento SPP.

Exclusión de SPP

Protección de la actividad maliciosa (MAP)

El motor de protección contra actividades maliciosas (MAP) protege el terminal de un ataque de ransomware. Identifica acciones o procesos maliciosos cuando se ejecutan y protege sus datos contra el cifrado.

Un evento MAP se muestra en la siguiente imagen.

Exclusión de MAP

Precaución: Utilice este tipo de exclusión con precaución y después de confirmar que la detección no es maliciosa.

Información Relacionada

• Para obtener más información sobre la configuración de políticas, vaya a la guía del usuario
• Vídeo Crear exclusiones en Cisco AMP para terminales
• Soporte Técnico y Documentación - Cisco Systems