Veilige uitsluitingen van eindpunten configureren en identificeren

Inleiding

Dit document beschrijft uitsluitingen, hoe u uitsluitingen kunt identificeren en de best practices voor het maken van uitsluitingen op het Cisco Secure Endpoint.

disclaimer

De informatie in dit document is gebaseerd op Windows, Linux en macOS besturingssystemen.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Overzicht

Na het lezen van dit document, moet u begrijpen:

• Wat is een uitsluiting en de verschillende soorten uitsluitingen die beschikbaar zijn voor Cisco Secure Endpoint.
• Hoe u uw connector kunt voorbereiden op het afstemmen van uitsluiting.
• Hoe potentieel sterke uitsluitingen te identificeren.
• Nieuwe uitsluitingen maken in de Cisco Secure Endpoint Console.
• Wat zijn de beste praktijken voor het creëren van uitsluitingen?

Wat zijn exclusies

Een uitsluitingsset is een lijst met mappen, bestandsextensies, bestandspaden, processen, bedreigingsnamen, toepassingen of indicatoren van compromis die u niet wilt dat de connector scant of veroordeelt. Uitsluitingen moeten zorgvuldig worden gemaakt om een evenwicht tussen prestaties en beveiliging op een machine te garanderen wanneer endpointbeveiliging zoals Secure Endpoint is ingeschakeld. Dit artikel beschrijft uitsluitingen voor Secure Endpoint Cloud, TETRA, SPP en MAP.

Elke omgeving is uniek, evenals de entiteit die het controleert, variërend van streng tot open beleid. Uitsluitingen moeten daarom op unieke wijze op elke situatie worden afgestemd.

Uitsluitingen kunnen op twee manieren worden gecategoriseerd, Cisco-Maintained Exclusions en Custom Exclusions.

door Cisco onderhouden uitsluitingen

Cisco-Maintained Exclusions zijn uitsluitingen die zijn gemaakt op basis van onderzoek en die rigoureuze tests hebben ondergaan op veelgebruikte besturingssystemen, programma's en andere beveiligingssoftware. Deze uitsluitingen kunnen worden weergegeven door Cisco-Maintained Exclusions in de Secure Endpoint Console op de Exclusions-pagina te selecteren:

Cisco bewaakt de aanbevolen uitsluitingslijsten die zijn gepubliceerd door leveranciers van antivirussoftware (AV) en werkt de door Cisco onderhouden uitsluitingen bij om de aanbevolen uitsluitingen op te nemen.

Aangepaste uitsluitingen

Aangepaste uitsluitingen zijn uitsluitingen die door een gebruiker zijn gemaakt voor een aangepaste use case op een eindpunt. Deze uitsluitingen kunnen worden weergegeven door Aangepaste uitsluitingen te selecteren in de Secure Endpoint Console op de pagina Uitsluitingen.

Soorten uitsluitingen

Procesuitsluitingen

Met procesuitsluitingen kunnen beheerders processen uitsluiten van ondersteunde engines. De engines die procesuitsluitingen op elk platform ondersteunen, worden in deze tabel beschreven:

besturingssysteem	motor
	Bestandsscan	Systeemprocesbescherming	Bescherming tegen kwaadaardige activiteiten	gedragsbescherming
Windows	✓	✓	✓	✓
Linux	✓	✗	✗	✓
macOS	✓	✗	✗	✓

MacOS en Linux

U moet een absoluut pad opgeven bij het maken van een procesuitsluiting, u kunt ook een optionele gebruiker opgeven. Als u zowel een pad als een gebruiker opgeeft, moet aan beide voorwaarden worden voldaan om het proces uit te sluiten. Als u geen gebruiker opgeeft, is de procesuitsluiting van toepassing op alle gebruikers.

Proces-jokertekens:

Secure Endpoint Linux- en macOS-connectors ondersteunen het gebruik van een jokerteken binnen de procesuitsluiting. Dit zorgt voor een bredere dekking met minder uitsluitingen, maar kan ook gevaarlijk zijn als er te veel ongedefinieerd blijft. 

Gebruik van Process Wildcard voor macOS en Linux:

• De joker wordt weergegeven met één sterretje (*).
• De wildcard kan worden gebruikt in plaats van een enkel teken of een volledige map.
• Het plaatsen van de joker aan het begin van het pad wordt als ongeldig beschouwd.
• De joker werkt tussen twee gedefinieerde tekens, slashes of alfanumerieke tekens.

Voorbeelden:

uitsluiting	verwacht resultaat
/Library/Java/JavaVirtualMachines/*/Java	Sluit java uit in alle submappen van JavaVirtualMachines
/Library/Jibber/j*bber	Exclusief het proces voor jabber, jibber, jobber, etc

Windows

U kunt een absoluut pad en / of een SHA-256 van het uitvoerbare proces opgeven bij het maken van een procesuitsluiting. Als u zowel een pad als SHA-256 opgeeft, moet aan beide voorwaarden worden voldaan om het proces uit te sluiten.

In Windows kunt u ook de CSIDL- of KNOWNFOLDER-ID in het pad gebruiken om procesuitsluitingen te maken.

Beperkingen:

• Als de bestandsgrootte van het proces groter is dan de maximale scanbestandsgrootte die in uw beleid is ingesteld, wordt de SHA-256 van het proces niet berekend en werkt de uitsluiting niet. Gebruik een padgebaseerde procesuitsluiting voor bestanden die groter zijn dan de maximale bestandsgrootte voor scannen.
• De Windows-connector legt een limiet op van 500 procesuitsluitingen voor alle soorten procesuitsluitingen.
  • Procesuitsluitingen worden alleen tot het uiterste gehonoreerd, vanaf de bovenkant van de lijst met procesuitsluitingen in policy.xml.
  • Elk Windows-beleid heeft een procesuitsluiting voor sfc.exe, die meetelt voor de limiet voor procesuitsluitingen:

    <item>3|0||CSIDL_Secure Endpoint_VERSION\sfc.exe|48|</item>
    

Proces-jokertekens:

Secure Endpoint Windows-connectors ondersteunen het gebruik van een jokerteken binnen de procesuitsluiting. Dit zorgt voor een bredere dekking met minder uitsluitingen, maar kan ook gevaarlijk zijn als er te veel ongedefinieerd blijft.  

Gebruik van Process Wildcard voor Windows:

• De joker wordt weergegeven met een enkel sterretje (*) of een dubbel sterretje (**)
• Enkele asterisk-jokerteken (*):
  • De wildcard kan worden gebruikt in plaats van een enkel teken of een volledige map.
  • Het plaatsen van de joker aan het begin van het pad wordt als ongeldig beschouwd.
  • De joker werkt tussen twee gedefinieerde tekens, slashes of alfanumerieke tekens.
  • Het plaatsen van de jokerteken aan het einde van een pad sluit alle processen in die map uit, maar niet submappen.
• Dubbele asterisk-jokerkaart (**):
  • Kan alleen worden geplaatst aan het einde van een pad.
  • Het plaatsen van de jokerteken aan het einde van een pad sluit alle processen in die map en alle processen in submappen uit.
  • Dit zorgt voor een veel grotere uitsluitingsset met minimale invoer, maar laat ook een zeer groot beveiligingsgat voor zichtbaarheid. Gebruik deze functie met uiterste voorzichtigheid.

Voorbeelden:

uitsluiting	verwacht resultaat
C:\Windows\*\Tiworker.exe	Sluit alle Tiworker.exe-processen uit die in de subdirectory's van Windows worden gevonden
C:\Windows\P*t.exe	Exclusief Pot.exe, Pat.exe, P1t.exe, enz
C:\Windows\*kippen.exe	Hiermee worden alle processen in de Windows-directory die eindigen op chickens.exe uitgesloten
C:\*	Sluit alle processen in station C: uit, maar niet in de subdirectory's
C:\**	Sluit elk proces op de C: -schijf uit

Uitsluitingen van bedreigingen

Met bedreigingsuitsluitingen kunt u een bepaalde bedreigingsnaam uitsluiten van het activeren van gebeurtenissen. U mag een Threat Exclusion alleen gebruiken als u zeker weet dat de gebeurtenissen het resultaat zijn van een vals-positieve detectie. Gebruik in dit geval de exacte bedreigingsnaam van de gebeurtenis als uw bedreigingsuitsluiting. Houd er rekening mee dat als u dit type uitsluiting gebruikt, zelfs een waarlijk positieve detectie van de bedreigingsnaam niet wordt gedetecteerd, in quarantaine wordt geplaatst of een gebeurtenis genereert.

Uitsluitingen pad

Paduitsluitingen worden het meest gebruikt, omdat toepassingsconflicten meestal de uitsluiting van een directory inhouden. U kunt een paduitsluiting maken met een absoluut pad. In Windows kunt u ook de CSIDIL- of KNOWNFOLDERID gebruiken om paduitsluitingen te maken.

Als u bijvoorbeeld een AV-toepassing wilt uitsluiten in de map Programmabestanden in Windows, kan het uitsluitingspad een van de volgende paden zijn:

C:\Program Files\MyAntivirusAppDirectory
CSIDL_PROGRAM_FILES\MyAntivirusAppDirectory
FOLDERID_ProgramFiles\MyAntivirusAppDirectory

Partiële padovereenkomsten (alleen voor Windows)

Als er geen schuine streep wordt weergegeven in de paduitsluiting, wordt de Windows-connector gedeeltelijk op paden afgestemd. 

 Als u bijvoorbeeld de volgende paduitsluitingen toepast op Windows:

C:\Program Files
C:\test

Dan zijn al deze paden uitgesloten:

C:\Program Files
C:\Program Files (x86) 
C:\test
C:\test123

Het wijzigen van de uitsluiting van C:\test naar C:\test\ voorkomt dat C:\test123 wordt uitgesloten.

Bestandsuitsluitingen

Uitsluitingen voor bestandsextensies maken het mogelijk alle bestanden met een bepaalde extensie uit te sluiten.

Belangrijkste punten:

• Verwachte invoer in de Secure Endpoint Console is .extension
• De Secure Endpoint Console stelt automatisch een periode in voor de bestandsextensie als er geen is toegevoegd.
• Extensies zijn hoofdletterongevoelig.

Als u bijvoorbeeld alle Microsoft Access-databasebestanden wilt uitsluiten, kunt u deze uitsluiting maken:

.MDB

Wildcard-uitsluitingen

Uitsluitingen van jokertekens zijn hetzelfde als uitsluitingen van het pad of de bestandsextensie, behalve dat u een sterretje (*) kunt gebruiken om een jokerteken in het pad of de extensie weer te geven.

Als u bijvoorbeeld uw virtuele machines op macOS wilt uitsluiten van scannen, kunt u deze paduitsluiting invoeren:

/Users/johndoe/Documents/Virtual Machines/

Deze uitsluiting werkt echter alleen voor één gebruiker, dus vervang in plaats daarvan de gebruikersnaam in het pad door een asterisk en maak een jokeruitsluiting in plaats daarvan om deze map voor alle gebruikers uit te sluiten:

/Users/*/Documents/Virtual Machines/

Windows

Bij het maken van Wildcard-uitsluitingen op Windows, is er een optie om van toepassing te zijn op alle stationsletters. Als u deze optie selecteert, wordt de jokeruitsluiting toegepast op alle gekoppelde stations.

Als je dezelfde uitsluiting handmatig zou maken, zou je deze moeten prependeren met ^ [A-Za-z], bijvoorbeeld:

^[A-Za-z]\testpath

In beide voorbeelden zijn de C:\testpath en D:\testpath uitgesloten.

De Secure Endpoint Console genereert automatisch de ^[A-Za-z] wanneer Apply to all drive letters is geselecteerd voor jokeruitsluitingen.

Uitvoerbare uitsluitingen (alleen voor Windows)

Uitvoerbare uitsluitingen zijn alleen van toepassing op Windows-connectors met Exploit Prevention ingeschakeld. Een uitvoerbare uitsluiting sluit uit dat bepaalde uitvoerbare bestanden worden beschermd door Exploit Prevention. U mag een uitvoerbaar bestand alleen uitsluiten van Exploitatie Preventie als u problemen of prestatieproblemen ondervindt.

U kunt de lijst met beveiligde processen controleren en elke vorm van bescherming uitsluiten door de uitvoerbare naam ervan op te geven in het veld Toepassingsuitsluiting. Uitvoerbare uitsluitingen moeten exact overeenkomen met de uitvoerbare naam in de bestandsnaam.exe. Wildcards worden niet ondersteund.

Het vinden van de juiste uitsluitingen voor Exploit Prevention is een veel intensiever proces dan enig ander type uitsluiting en vereist uitgebreide tests om eventuele schadelijke beveiligingslekken te minimaliseren.

IOC-uitsluitingen (alleen voor Windows)

Met IOC-uitsluitingen kunt u Cloud Indications of Compromise uitsluiten. Dit kan handig zijn als u een aangepaste of interne toepassing hebt die niet kan worden ondertekend en ervoor zorgt dat bepaalde IOC's vaak worden geactiveerd. Secure Endpoint Console biedt een lijst met indicatoren om uit te kiezen voor IOC-uitsluitingen.

U kunt selecteren welke indicatoren u wilt uitsluiten via een vervolgkeuzelijst:

CSIDL en KNOWNFOLDERID (alleen voor Windows)

CSIDL- en KNOWNFOLDERID-waarden worden geaccepteerd en aangemoedigd bij het schrijven van pad- en procesuitsluitingen voor Windows. CSIDL/KNOWNFOLDERID-waarden zijn handig voor het maken van proces- en paduitsluitingen voor omgevingen waarin alternatieve stationsletters worden gebruikt.

Er zijn beperkingen waarmee rekening moet worden gehouden bij het gebruik van CSIDL/KNOWNFOLDERid. Als uw omgeving programma's op meer dan één stationsletter installeert, verwijst de CSIDL/KNOWNFOLDERID-waarde alleen naar het station dat is gemarkeerd als de standaard of bekende installatielocatie.

Als het besturingssysteem bijvoorbeeld is geïnstalleerd op C:\ maar het installatiepad voor Microsoft SQL handmatig is gewijzigd in D:\, is de op CSIDL/KNOWNFOLDERID gebaseerde uitsluiting in de lijst met onderhouden uitsluitingen niet van toepassing op dat pad. Dit betekent dat er één uitsluiting moet worden ingevoerd voor elk pad of procesuitsluiting dat zich niet op het station C:\ bevindt, omdat het gebruik van CSIDL/KNOWNFOLDERID dit niet toewijst.

Raadpleeg deze Windows-documentatie voor meer informatie:

• CSIDL
• KNOWNFOLDERID

Connector voorbereiden voor afstemming van uitsluiting

Om uw connector voor te bereiden op het afstemmen van de uitsluiting, moet u:

1. Stel een beleid en een groep in om in de foutopsporingsmodus uit te voeren.
2. Voer de computers uit in de nieuwe Debug-groep volgens de normale bedrijfsactiviteiten, geef tijd om voldoende loggegevens van de connector te verkrijgen.
3. Genereer diagnostische gegevens op de connector die u kunt gebruiken voor het identificeren van uitsluitingen.

Raadpleeg deze documenten voor instructies over het inschakelen van de foutopsporingsmodus en het verzamelen van diagnostische gegevens op verschillende besturingssystemen:

• Cisco Secure Endpoint Connector voor Mac Diagnostic Data Collection
• Cisco Secure Endpoint Connector for Linux Diagnostic Data Collection
• AMP Diagnostic Bundle analyseren voor hoge CPU (Windows)

Uitsluitingen identificeren

MacOS en Linux

De diagnostische gegevens die in de foutopsporingsmodus worden gegenereerd, bieden twee bestanden die nuttig zijn voor het maken van uitsluitingen: fileops.txt en execs.txt. Het bestand fileops.txt is handig voor het maken van Path/File Extension/Wildcard Exclusions en het bestand execs.txt is handig voor het maken van Process Exclusions.

Procesuitsluitingen maken

Het bestand execs.txt geeft de uitvoerbare paden weer die Secure Endpoint hebben geactiveerd om een bestandsscan uit te voeren. Elk pad heeft een bijbehorende telling die aangeeft hoe vaak het is gescand en de lijst is gesorteerd in aflopende volgorde. U kunt deze lijst gebruiken om processen te bepalen met een hoog volume aan uitgevoerde gebeurtenissen en vervolgens het procespad gebruiken om uitsluitingen te maken. Het wordt echter niet aanbevolen om algemene hulpprogramma's (zoals /usr/bin/grep) of tolken (zoals /usr/bin/ruby) uit te sluiten.

Als een algemeen hulpprogramma of een tolk een groot aantal bestandsscans genereert, kunt u wat meer onderzoek doen om te proberen meer gerichte uitsluitingen te maken:

1. Het bovenliggende proces uitsluiten: bepalen welke toepassing het proces uitvoert (zoals het bovenliggende proces vinden dat grep uitvoert) en dit bovenliggende proces uitsluiten. Dit moet worden gedaan, als en alleen als het ouderproces veilig kan worden omgezet in een proces van uitsluiting. Als de ouderuitsluiting van toepassing is op kinderen, worden ook de oproepen aan kinderen uit het ouderproces uitgesloten.
2. Het proces voor een bepaalde gebruiker uitsluiten: bepalen welke gebruiker het proces uitvoert. Als het proces op hoog volume wordt uitgevoerd door een specifieke gebruiker, kunt u het proces uitsluiten voor alleen die specifieke gebruiker (bijvoorbeeld als een proces op hoog volume wordt aangeroepen door de gebruikersroot, kunt u het proces uitsluiten, maar alleen voor de gespecificeerde gebruikersroot, dit stelt Secure Endpoint in staat om de uitvoering van een bepaald proces te controleren door een gebruiker die geen root is).

Voorbeeld uitvoer van execs.txt:

33 /usr/bin/bash
23 /usr/bin/gawk
21 /usr/bin/wc
21 /usr/bin/sleep
21 /usr/bin/ls
19 /usr/bin/pidof
17 /usr/bin/sed
14 /usr/bin/date
13 /usr/libexec/gdb
13 /usr/bin/iconv
11 /usr/bin/cat
10 /usr/bin/systemctl
 9 /usr/bin/pgrep
 9 /usr/bin/kmod
 7 /usr/bin/rm
 6 /usr/lib/systemd/systemd-cgroups-agent
 6 /usr/bin/rpm
 4 /usr/bin/tr
 4 /usr/bin/sort
 4 /usr/bin/find

Pad, bestandsextensie en jokeruitsluitingen maken

Het bestand fileops.txt geeft de paden weer waarop activiteiten voor het maken, wijzigen en hernoemen van bestanden zijn geactiveerd door Secure Endpoint om bestandsscans uit te voeren. Elk pad heeft een bijbehorende telling die aangeeft hoe vaak het is gescand en de lijst is gesorteerd in aflopende volgorde. Een manier om aan de slag te gaan met paduitsluitingen is het vinden van de meest gescande bestands- en mappenpaden van fileops.txt en overweeg dan om regels voor die paden te maken. Hoewel een hoge telling niet noodzakelijkerwijs betekent dat het pad moet worden uitgesloten (zoals een map waarin e-mails worden opgeslagen die vaak kunnen worden gescand maar niet mogen worden uitgesloten), biedt de lijst een startpunt om uitsluitingskandidaten te identificeren.

Voorbeeld uitvoer van fileops.txt:

31 /Users/eugene/Library/Cookies/Cookies.binarycookies
24 /Users/eugene/.zhistory
9 /Users/eugene/.vim/.temp/viminfo
9 /Library/Application Support/Apple/ParentalControls/Users/eugene/2018/05/10-usage.data
5 /Users/eugene/Library/Cookies/HSTS.plist
5 /Users/eugene/.vim/.temp/viminfo.tmp
4 /Users/eugene/Library/Metadata/CoreSpotlight/index.spotlightV3/tmp.spotlight.state
3 /Users/eugene/Library/WebKit/com.apple.Safari/WebsiteData/ResourceLoadStatistics/full_browsing_session_resourceLog.plist
3 /Library/Logs/Cisco/supporttool.log
2 /private/var/db/locationd/clients.plist
2 /Users/eugene/Desktop/.DS_Store
2 /Users/eugene/.dropbox/instance1/config.dbx
2 /Users/eugene/.DS_Store
2 /Library/Catacomb/DD94912/biolockout.cat
2 /.fseventsd/000000000029d66b
1 /private/var/db/locationd/.dat.nosync0063.arg4tq

Een goede vuistregel is dat alles met een log- of journaalbestandsextensie als een geschikte uitsluitingskandidaat moet worden beschouwd.

gedragsmatige beschermingsmotor

De Behavioral Protection engine werd geïntroduceerd in Linux-connector versie 1.22.0 en in macOS-connector versie 1.24.0; te beginnen met deze versies kan de connector overweldigend hoge systeemactiviteit detecteren en vervolgens fout 18 verhogen.

Procesuitsluitingen worden toegepast op alle engines en bestandsscans. Pas procesuitsluitingen toe op zeer actieve goedaardige processen om deze fout te verhelpen. Gegenereerd door de diagnostische gegevens van de foutopsporingsmodus, kan het top.txt-bestand worden gebruikt om de meest actieve processen op het systeem te bepalen. Raadpleeg de richtlijnen voor Secure Endpoint Mac/Linux Connector Fault 18 voor gedetailleerde stappen voor herstel.

Bovendien kunnen procesuitsluitingen vals-positieve gedragsbeschermingsdetecties van goedaardige software het zwijgen opleggen. Voor vals-positieve detecties in de Secure Endpoint Console kan het proces worden uitgesloten om de rapportage te verbeteren.

Windows

Het Windows-besturingssysteem is ingewikkelder, er zijn meer uitsluitingsopties beschikbaar vanwege de ouder- en onderliggende processen. Dit wijst erop dat een grondiger onderzoek nodig is om de bestanden te identificeren waartoe toegang was verkregen, maar ook de programma's die deze bestanden hebben gegenereerd.

Raadpleeg deze Windows Tuning Tool op de GitHub-pagina van Cisco Security voor meer informatie over het analyseren en optimaliseren van Windows-prestaties met Secure Endpoint.

Uitsluitingsregels maken in de Secure Endpoint Console

Voer de volgende stappen uit om een nieuwe uitsluitingsregel te maken met behulp van de Secure Endpoint Console:

1. Navigeer in de Secure Endpoint Console naar de pagina Beleid door Beheer > Uitsluitingen te selecteren. Ofwel:

(A) zoek de uitsluitingsset die u wilt wijzigen en klik op Bewerken, of 

(B) klik op + Nieuwe uitsluitingsset....

1. Selecteer in het pop-upvenster Nieuwe uitsluitingsset een besturingssysteem om de uitsluitingsset voor te maken. Klik op Maken.
   
2. U wordt doorverwezen naar een pagina Nieuwe uitsluitingsset. Klik op + Uitsluiting toevoegen en selecteer het uitsluitingstype in de vervolgkeuzelijst Type selecteren.

Windows:

Mac/Linux:

1. Vul de vereiste velden voor het geselecteerde uitsluitingstype in.
2. Herhaal stap 2 en 3 om meer regels toe te voegen of klik op Opslaan om de uitsluitingsset op te slaan.

best practices

Uitsluitingen mogen alleen worden gebruikt in specifieke gevallen, zoals compatibiliteitsproblemen met specifieke toepassingen of prestatieproblemen die anders niet kunnen worden verbeterd.

Enkele best practices om je aan te houden bij het maken van uitsluitingen zijn:

• Maak alleen uitsluitingen voor bewezen problemen.
  • Ga er niet van uit dat een uitsluiting noodzakelijk is, tenzij is aangetoond dat het een probleem is dat niet anders kan worden aangepakt.
  • Prestatieproblemen, fout-positieven of compatibiliteitsproblemen met toepassingen moeten grondig worden onderzocht en beperkt voordat een uitsluiting wordt toegepast.
• Voorkeur voor procesuitsluitingen boven uitsluitingen voor pad/bestandsextensie/jokertekens.
  • Procesuitsluitingen bieden een directere manier om goedaardige softwareactiviteiten uit te sluiten dan het gebruik van een combinatie van Path-, File Extension- en Wildcard-uitsluitingen om hetzelfde resultaat te bereiken.
  • Het wordt aanbevolen om uitsluitingen van het pad, bestandsextensie en jokertekens die uitvoerbare bestanden van het doelprogramma bevatten, te vervangen door overeenkomstige uitsluitingen van het proces, indien mogelijk.
• Vermijd brede uitsluitingen.
  • Sluit geen grote delen van het eindpunt uit, zoals het hele C-station.
  • Gebruik het volledig gekwalificeerde pad naar het bestand in plaats van alleen de bestandsnaam.
  • Gebruik Apparaattraject, Secure Endpoint Diagnostics-gegevens en de Windows Tuning Tool om specifieke uitsluitingen te onderzoeken en te bepalen.
• Vermijd overmatig gebruik van jokeruitsluitingen.
  • Wees voorzichtig bij het maken van uitsluitingen met wildcards. Gebruik indien mogelijk meer specifieke uitsluitingen.
  • Gebruik de minimale hoeveelheid jokertekens in een uitsluiting; alleen de mappen die echt variabel zijn, moeten een jokerteken gebruiken.
• Vermijd het uitsluiten van algemene hulpprogramma's en tolken.
  • Het wordt niet aanbevolen om algemene hulpprogramma's of tolken uit te sluiten.
  • Als u een algemeen hulpprogramma of tolken moet uitsluiten, moet u een procesgebruiker (alleen macOS/Linux) opgeven.
  • Vermijd bijvoorbeeld het schrijven van uitsluitingen die python, java, robijn, bash en sh omvatten.
• Vermijd dubbele uitsluiting.
  • Controleer voordat u een uitsluiting maakt of de uitsluiting al bestaat in de Aangepaste uitsluitingen of de Cisco-onderhouden uitsluitingen.
  • Het verwijderen van dubbele uitsluitingen verbetert de prestaties en vermindert het operationele beheer van uitsluitingen.
  • Zorg ervoor dat het pad dat is opgegeven in een procesuitsluiting niet wordt gedekt door een paduitbreiding/bestandsuitbreiding/jokeruitsluiting.
• Vermijd het uitsluiten van processen waarvan bekend is dat ze vaak worden gebruikt bij malware-aanvallen.
  • Zie Niet aanbevolen uitsluitingen voor meer informatie.
• Verwijder oude uitsluitingen.
  • Controleer en controleer regelmatig uw uitsluitingslijst en houd bij waarom bepaalde uitsluitingen zijn toegevoegd.
• Uitsluitingen bij compromissen verwijderen.
  • Uitsluitingen moeten worden verwijderd als een connector wordt gecompromitteerd om optimale beveiliging en zichtbaarheid te herwinnen.
  • Geautomatiseerde acties kunnen worden gebruikt om een veiliger beleid toe te passen op connectoren na infectie. Als een connector in gevaar komt, moet deze worden verplaatst naar een groep die een beleid bevat zonder enige uitsluitingen om ervoor te zorgen dat het hoogste beschermingsniveau wordt toegepast.
  • Raadpleeg Voorwaarden identificeren om geautomatiseerde acties in Secure Endpoint te activeren voor meer informatie over het proactief instellen van de geautomatiseerde actie "Computer naar groep verplaatsen na compromis".
• Verhoog de bescherming van uitgesloten objecten.
  • Wanneer uitsluitingen absoluut noodzakelijk zijn, overweeg dan welke verzachtende tactieken kunnen worden genomen, zoals het mogelijk maken van schrijfbeveiliging om enkele lagen van bescherming toe te voegen voor de uitgesloten items.
• Creëer uitsluitingen op een intelligente manier.
  • Regels optimaliseren door te kiezen voor het bovenliggende proces op het hoogste niveau dat de toepassing op unieke wijze identificeert om de optie Toepassen op onderliggend proces uit te sluiten en te gebruiken om het aantal regels te minimaliseren.
• Sluit het opstartproces nooit uit.
  • Het opstartproces (gestart op macOS, init of systemd op Linux) is verantwoordelijk voor het starten van alle andere processen op het systeem en staat bovenaan de proceshiërarchie.
  • Als het opstartproces en alle onderliggende processen worden uitgesloten, wordt Secure Endpoint-monitoring effectief uitgeschakeld.
• Geef indien mogelijk de procesgebruiker op (alleen macOS/Linux).
  • Als het veld Gebruiker leeg is gelaten, is de uitsluiting van toepassing op elk proces waarbij het opgegeven programma wordt uitgevoerd.
  • Hoewel een uitsluiting die van toepassing is op elke gebruiker flexibeler is, kan deze brede reikwijdte onbedoeld activiteiten uitsluiten die moeten worden gecontroleerd.
  • Het specificeren van de gebruiker is vooral belangrijk voor regels die van toepassing zijn op gedeelde programma's zoals runtime engines (bijvoorbeeld Java) en scriptinterpreters (bijvoorbeeld bash, python).
  • Door het bereik van de gebruiker op te geven, wordt Secure Endpoint opgedragen om specifieke instanties te negeren terwijl andere instanties worden gecontroleerd.

Niet aanbevolen uitsluitingen

Hoewel het onmogelijk is om elke mogelijke aanvalsvector te kennen die een tegenstander kan gebruiken, zijn er enkele kernaanvalsvectoren die moeten worden bewaakt. Om een goede beveiligingspositie en zichtbaarheid te behouden, worden deze uitsluitingen niet aanbevolen:

AcroRd32.exe

Proces toevoegen.exe

ToevoegenProcess32.exe

addinutil.exe

bash.exe

bginfo.exe

bitsadmin.exe

cdb.exe

CSI.exe

dbghost.exe

dbgsvc.exe

dnx.exe

dotnet.exe

Excel.exe

FSI.exe

fsiAnyCPU.exe

iXPLORE.EXE

Java.exe

KD.exe

lxssmanager.dll

msbuild.exe

mshta.exe

NTKD.exe

NTSD.exe

Outlook.exe

psexec.exe

PowerPoint.exe

PowerShell.exe

rcsi.exe

SVCHOST.EXE

schtasks.exe

system.management.automation.dll

windingBG.exe

Winword.exe

wmic.exe

Quauclt.exe

.7z

vleermuis

.bin

.cab

.cmd

.com

.cpl

.dll

.exe

.fla

.gif

.gz

.hta

.inf

.java

.jar

.job

.jpeg

.jpg

.js

.ko

.ko.gz

.msi

.ocx

.png

.ps1

.py

.rar

.reg

.scr

.sys

.tar

.tmp

.url

.vbe

.vbs

WSF

.zip

oplawaai

java

python

python3

sh

zsh

/

/bin

/sbin

/usr/lib

C:

C:\

C:\*

D:\

D:\*

C:\Program Files\Java

C:\Temp\

C:\Temp\*

C:\Users\

C:\Users\*

C:\Windows\Prefetch

C:\Windows\Prefetch\

C:\Windows\Prefetch\*

C:\Windows\System32\Spool

C:\Windows\System32\CatRoot2

C:\Windows\Temp

C:\Windows\Temp\

C:\Windows\Temp\*

C:\Program Bestanden\<bedrijfsnaam>\

C:\Program Bestanden (x86)\<bedrijfsnaam>\

C:\Users\<UserProfileName>\AppData\Local\Temp\

C:\Users\<UserProfileName>\AppData\LocalLow\Temp\

Gerelateerde informatie

• Technische ondersteuning en documentatie – Cisco Systems
• Cisco Secure Endpoint - TechNotes
• Cisco Secure Endpoint - Gebruikershandleiding
• Problemen met exploitatiepreventie oplossen in beveiligd eindpunt
• Voorwaarden identificeren om geautomatiseerde acties te activeren in Secure Endpoint