Wijzigingen in de uitsluitingslijst voor Cisco Secure Endpoint Console

Inleiding

In dit document worden de wijzigingen beschreven die zijn toegevoegd aan de uitsluitingen die door Cisco worden onderhouden.

Cisco-onderhield uitsluitingen worden gemaakt en onderhouden door Cisco om een betere compatibiliteit te bieden tussen de Advanced Malware Protection (AMP) voor Endpoints Connector en antivirus, beveiliging of andere software, deze uitsluitingen kunnen worden toegevoegd aan nieuwe versies van een toepassing.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Uitsluitingen in AMP voor eindpunten
• AMP-console

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• AMP voor Endpoints console versie 5.4.20190820

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Verwachtingen bij het updaten

Wanneer de Cisco-Maintained-lijsten worden gewijzigd, vindt er een beleidsupdate plaats op de back-end om die wijziging weer te geven.  Als elk van de Eindpunten die lijst gebruiken inchecken op hun hartslag, trekken ze het bijgewerkte beleid.  Deze beleidswijzigingen worden niet weergegeven in het controlelogboek, omdat het technisch gezien een wijziging is in de uitsluitingslijst, niet in het beleid zelf, en omdat door Cisco bijgehouden uitsluitingslijsten niet voorkomen in het normale controlelogboek op afzonderlijke consoles.  Voor grootschalige omgevingen lijkt dit op een stortvloed aan beleidsupdates en het eindresultaat zal betere prestaties zijn op elk van de eindpunten. 

De updateperiode is afhankelijk van elk eindpunt.  Als alle machines online zijn, zouden de updates binnen 1-2 hartslagen plaatsvinden.  Als dit een wereldwijde omgeving is, blijven updates optreden als machines online komen, dus wees niet verbaasd om extra beleidsupdates te zien 24-48 uur nadat de onderhouden lijst is gepusht.

Wijzigingen

28 augustus - 2019

Microsoft Windows Standaard:

Verwijdering van:

• CSIDL_WINDOWS\SoftwareDistribution\Datastore\Logs\edb*.log
• CSIDL_WINDOWS\SoftwareDistribution\Datastore\Logs\Res1.log
• CSIDL_WINDOWS\SoftwareDistribution\Datastore\Logs\Res2.log

Reden: repetitief. Een andere uitsluiting in de basisset dekt het.

Toevoeging van:

• C:\$WINDOWS.~BT\Sources\SetupHost.exe

Reden: Windows 10-updates zijn sporadisch mislukt vanwege processcans.

N-Able Solar Winds - Windows:

Toevoeging van:

• C:\Program Files (x86)\N-able Technologies\Windows Agent\bin\agent.exe
• C:\Program Files (x86)\BeAnywhere Support Express\GetSupportService_N-Central\BASupSrvc.exe
• C:\Program Files (x86)\N-able Technologies\PatchManagement\ThirdPartyPatch\ThirdPartyPatch.exe

Docker - Mac:

Verwijdering van:

• /Users/*/Library/Containers/com.docker.docker/Data/vms/*/Docker.*
• /usr/local/bin/docker

Reden: Aanvullende test heeft ons bezorgd gemaakt over veiligheid, dus ontwikkeling heeft betere uitsluitingen aangewezen.

Toevoeging van:

• /Applications/Docker.app/Contents/MacOS/Docker
• /Applications/Docker.app/Contents/Resources/bin/docker

Nieuwe lijsten gemaakt:

Linux:

• Docker - Connector 1.10.2
• Docker - Connector 1.11+
• Zabbix

Mac:

• virtuele box
• Digital Guardian

18 september - 2019

Apple MacOS Standaard:

Toevoeging van:

• /Applications/Time Machine.app/Contents/MacOS/Time Machine
• /System/Library/CoreServices/Spotlight.app/Contents/MacOS/Spotlight

McAfee - Mac

Toevoeging van:

• /Library/McAfee/Agent/bin/CmdAgent

Cisco Jabber - Mac

Verwijdering van:

• /usr/bing/grep
• /bin/ps

Reden: Betere beveiliging en de extra functionaliteit van op processen gebaseerde uitsluitingen.

Toevoeging van:

• /Applications/Cisco Jabber.app/Contents/MacOS/Cisco Jabber

Crashplan - Mac

Toevoeging van:

• /Applications/CrashPlan.app/Contents/Library/LaunchServices/CrashPlanService.app/Contents/MacOS/CrashPlanService

JAMF Casper - Mac

Verwijdering van:

• /usr/bin/sw_vers

Reden: Betere beveiliging en de extra functionaliteit van op processen gebaseerde uitsluitingen.

Toevoeging van:

• /Library/Application Support/JAMF/Jamf.app/Contents/MacOS/JamfDaemon.app/Contents/MacOS/JamfDaemon
• /usr/local/jamf/bin/jamfAgent
• /usr/local/jamf/bin/jamf
• /Library/Application Support/JAMF/Jamf.app/Contents/MacOS/JamfAgent.app/Contents/MacOS/JamfAgent

VMware Fusion - Mac

Toevoeging van:

• /Applications/VMware Fusion.app/Contents/MacOS/VMware Fusion

Xcode - Mac

Toevoeging van:

• /Applications/Xcode.app/Contents/SharedFrameworks/XCBuild.framework/Versions/A/PlugIns/XCBBuildService.bundle/Contents/MacOS/XCBBuildService
• /Applications/Xcode.app/Contents/Developer/usr/bin/xcodebuild

Eén station - Windows 

Kleine wijziging:

• C:\*\Users\OneDrive\ (De backslash voor betere beveiliging toegevoegd)

Citrix ICA Client - Windows

Toevoeging van:

• CSIDL_PROGRAM_FILES\Citrix\User Profile Manager\UserProfileManager.exe
• CSIDL_PROGRAM_FILES\Citrix\Virtual Desktop Agent\BrokerAgent.exe
• CSIDL_PROGRAM_FILES\Citrix\ICAService\picaSvc2.exe
• CSIDL_PROGRAM_FILES\Citrix\ICAService\CpSvc.exe

Reden: Recente update van Citrix suggereerde uitsluitingen.

Nieuwe lijsten gemaakt:

Windows

• Citrix Provisioning Server
• Citrix Cloud Connector

11 december - 2019

Eén station - Windows

Toevoeging van:

• CSIDL_LOCAL_APPDATA\Microsoft\OneDrive\OneDrive.exe

Splunk - Windows

Toevoeging van:

• CSIDL_PROGRAM_FILE\splunkforwarder\bin\splunk-winevtlog.exe
• CSIDL_PROGRAM_FILE\splunkforwarder\bin\splunkd.exe

Splunk - Linux

Toevoeging van:

• /opt/splunkforwarder/bin/splunk
• /opt/splunk/bin/splunk

Nieuwe lijsten gemaakt:

Azure - Linux

Zwerver - Mac

12 februari - 2020

Microsoft Windows Standaard - Windows

Toevoeging van:

• C:\Program Files\Cisco\Orbital\osqueryd.exe
• C:\Program Files\Cisco\Orbital\orbital-ampwin.exe

Websense - Windows

Toevoeging van:

• [Meerdere stations]:\Program Files*\Websense\
• C:\Program Bestanden (x86)\Websense\Websense Endpoint\dserui.exe
• C:\Program Files\Websense\Websense Endpoint\dserui.exe
• C:\Program Bestanden (x86)\Websense\Websense Endpoint\EndPointClassifier.exe
• C:\Program Files (x86)\Websense\Websense Endpoint\FilterSDK\kvoop.exe
• C:\Program Bestanden (x86)\Websense\Websense Endpoint\wepsvc.exe

Microsoft SQL Server - Windows

Toevoeging van: 

• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL\FTDATA\
• .sql

10 juni - 2020

Malwarebytes - Windows

Kleine wijziging:

• C:\ProgramData\Malwarebytes Endpoint Agent\
• C:\ProgramData\Malwarebytes\MBAMService\

Microsoft Office - Windows

Toevoeging van:

• C:\Program Files\Common Files\Microsoft shared\ClickToRun\OfficeClickToRun.exe

IIS - Windows

Toevoeging van:

• C:\Windows\SysWOW64\inetsrv\w3wp.exe
• C:\Windows\System32\inetsrv\w3wp.exe

Altiris van Symantec - Windows

Toevoeging van:

• C:\Program Files\Altiris\Altiris Agent\AeXNSAgent.exe

McAfee - Windows

Toevoeging van:

• C:\Program Files\McAfee\Endpoint Security\Adaptive Threat Protection\mfeatp.exe

Nieuwe lijsten gemaakt:

NetScout - Windows

IBM - Windows

15 juli - 2020

Domeincontrollers - Windows

Toevoeging van:

• CSIDL_WINDOWS\System32\dfsr.exe
• CSIDL_WINDOWS\System32\dfsrs.exe
• CSIDL_WINDOWS\System32\dns.exe
• CSIDL_WINDOWS\System32\ntfrs.exe

Microsoft Teams - Windows

Toevoeging van:

• CSIDL_LOCAL_APPDATA\Microsoft\Teams\current\teams.exe
• CSIDL_LOCAL_APPDATA\Microsoft\Teams\update.exe

Nieuwe lijst gemaakt

Controle omhoog

26 augustus - 2020

**Vanwege extra testen werd de oorspronkelijke releasedatum verlengd van de 19e naar de 26e

Microsoft SQL Server - Windows

Vervanging:

• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.2\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.3\Reporting Services\ReportServer\Bin\ReportingServicesService.exe

Toevoeging van: 

• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.11\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.12\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.13\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.11\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.12\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.13\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.11\Reporting Services\ReportServer\Bin\ReportingServicesService.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.12\Reporting Services\ReportServer\Bin\ReportingServicesService.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.13\Rapportage Services\ReportServer\Bin\ReportingServicesService.exe

30 september - 2020

Malwarebytes - Windows

Toevoeging van: 

• CSIDL_PROGRAM_FILES\Malwarebytes' Anti-Malware\mbam.exe
• CSIDL_PROGRAM_FILESX86\Malwarebytes' Anti-Malware\mbam.exe

Digital Guardian - Mac

Toevoeging van: 

• /usr/local/dgagent
• /dgagent

Nieuwe lijst gemaakt

Digital Guardian - Windows

3 maart - 2021

Kaspersky - Windows

Toevoeging van: 

• CSIDL_PROGRAM_FILESX86\Kaspersky Lab\Kaspersky Endpoint Security for Windows\avp.exe
• CSIDL_PROGRAM_FILESX86\Kaspersky Lab\NetworkAgent\klnagent.exe

SCCM - Windows

Verwijdering van: 

• WINDOWS\CCM\ServiceData - Pad dupliceren
• Programmabestanden\Microsoft Configuration Manager\EasySetupPayload - Pad dupliceren

Symantec - Windows

Toevoeging van: 

• CSIDL_PROGRAM_FILES\Symantec\Endpoint Agent\edpa.exe
• CSIDL_PROGRAM_FILESX86\Symantec\Symantec Endpoint Protection\12.1.4013.4013.105\Bin64\Smc.exe
• CSIDL_PROGRAM_FILESX86\Symantec\Symantec Endpoint Protection\12.1.6608.6300.105\Bin\ccSvcHst.exe
• CSIDL_PROGRAM_FILESX86\Symantec\Symantec Endpoint Protection\12.1.7061.6600.105\Bin\ccSvcHst.exe
• CSIDL_PROGRAM_FILESX86\Symantec\Symantec Endpoint Protection\12.1.7385.6902.105\Bin\ccSvcHst.exe
• CSIDL_PROGRAM_FILESX86\Symantec\Symantec Endpoint Protection\
• CSIDL_PROGRAM_FILES\Symantec\Endpoint Agent\brkrprcs64.exe

Nieuwe lijsten gemaakt

Cisco AnyConnect - Windows

Microsoft Defender ATP - Windows

30 juni - 2021

Microsoft Windows Standaard

Toevoeging van:

• CSIDL_WINDOWS\System32\GroupPolicy\User\registry.pol
• CSIDL_WINDOWS\System32\GroupPolicy\Machine\registry.pol

Citrix ICA-client

Toevoeging van:

• CSIDL_PROGRAM_FILES\Citrix\Broker\Service\BrokerService.exe
• CSIDL_PROGRAM_FILES\Citrix\Broker\Service\HighAvailabilityService.exe
• CSIDL_PROGRAM_FILES\Citrix\ConfigSync\ConfigSyncService.exe
• CSIDL_PROGRAM_FILESX86\Citrix\ICA Client\

Citrix Provisioning Server

Verwijdering van:

• C:\System32\drivers\CfsDep2.sys
• C:\System32\drivers\CvhdBusP6.sys
• C:\System32\drivers\CVhdMp.sys

Toevoeging van:

• CSIDL_WINDOWS\System32\drivers\CfsDep2.sys
• CSIDL_WINDOWS\System32\drivers\CvhdBusP6.sys
• CSIDL_WINDOWS\System32\drivers\CVhdMp.sys
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\BNTFTP.EXE
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\PVSTSB.EXE
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\StreamService.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\StreamProcess.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\soapserver.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\Inventory.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\Notifier.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\ManagementDaemon.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\BNPXE.exe
• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\BNDevice.exe

Nieuwe lijsten gemaakt

Commvault - Windows

Citrix Sessions Recording - Windows

29 september - 2021

Cisco Webex - Windows

Toevoeging van:

• CSIDL_LOCAL_APPDATA\CiscoSparkLauncher\CiscoCollabHost.exe
• CSIDL_LOCAL_APPDATA\CiscoSparkLauncher\
• CSIDL_LOCAL_APPDATA\WebEx\WebEx\Meetings_01\atmgr.exe
• CSIDL_LOCAL_APPDATA\WebEx\WebEx\Meetings_02\atmgr.exe
• CSIDL_LOCAL_APPDATA\WebEx\WebEx\Meetings_03\atmgr.exe
• CSIDL_LOCAL_APPDATA\WebEx\WebEx\Meetings_04\atmgr.exe
• CSIDL_LOCAL_APPDATA\WebEx\WebEx\Meetings_*\

Crashplan - Windows

Toevoeging van:

• CSIDL_PROGRAM_FILES\Code42\Code42Service.exe

Crashplan - Mac

Toevoeging van:

• /Applications/Code42.app/Contents/Library/LaunchServices/Code42Service.app/Contents/MacOS/Code42Service

VMware - Windows

Toevoeging van:

• CSIDL_PROGRAM_FILESX86\VMware\VMware DaaS Agent\service\DaaSAgent.exe

23 maart - 2022

Microsoft Windows Standaard

Toevoeging van: 

• C:\Windows\System32\SearchIndexer.exe

Hyper-V - Windows

Toevoeging van:

• CSIDL_COMMON_APPDATA\Microsoft\Windows\Hyper-V\
• CSIDL_COMMON_DOCUMENTS\Hyper-V\Virtuele harde schijven\

Microsoft Windows Defender - Windows

Toevoeging van:

• *\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\DataCollection\

29 juni - 2022

Microsoft Windows Standaard

Toevoeging van:

• *.applocker

Cisco AnyConnect VPN

Toevoeging van:

• CSIDL_PROGRAM_FILESX86\Cisco\Cisco AnyConnect Secure Mobility Client\acwebhelper.exe

Cisco Webex

Toevoeging van:

• C:\Users\*\AppData\Local\WebEx\WebEx\Meetings\atmgr.exe

Microsoft OneDrive (voorheen One Drive)

Toevoeging van:

• C:\Users\*\AppData\Local\Microsoft\OneDrive\OneDrive.exe

Tanium - Windows

Toevoeging van:

• C:\Program Files (x86)\Tanium\Tanium\Hulpmiddelen voor eindgebruikersmeldingen\bin\eindgebruikersmeldingen.exe

Citrix Provisioning Server

Toevoeging van:

• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\MgmtDaemon.com

Verwijdering van:

• CSIDL_PROGRAM_FILES\Citrix\Provisioning Services\MgmntDaemon.com

Nieuwe lijsten gemaakt

X1 Zoeken - Windows

Microsoft Intune - Windows

14 september - 2022

Microsoft Windows Standaard

Toevoeging van:

• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\UI\acumbrellaagent.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\UI\acumbrellaagent.exenscrypt-proxy.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\NVM\acnvmagent.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\vpnagent.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\acnamlogonagent.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\acnamagent.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\UI\csc_ui.exe
• CSIDL_PROGRAM_FILES\Cisco\Cisco Secure Client\CM\*\CMID\*\csc_cmid.exe
• CSIDL_PROGRAM_FILES\Cisco\Cisco Secure Client\CM\*\CMPM\*\csc_pm.exe
• CSIDL_PROGRAM_FILES\Cisco\Cisco Secure Client\CM\*\Service\*\csc_cms.exe
• CSIDL_SYSTEM\appidpolicyconverter.exe

Microsoft SQL Server

Uitgebreid naar V. 2019

Toevoeging van: 

• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\Rapportage Services\ReportServer\Bin\ReportingServicesService.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\Shared\SQLDumper.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MS*.*\
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\COM\
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\DTS\
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\Shared\

TrendMicro / Apex One

Toevoeging van:

• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\CCSF\TMCCSF.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\TmPfw.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\TMListen.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\Ntrtscan.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\iService\iATAS\ATASAgent.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\iService\iAC\ac_bin\TMiACAgentSvc.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\iService\iES\ESE\ESEServiceShell.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\iService\iES\ESE\ESClient.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\BM\TMBMSRV.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\TMBMSRV.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\iService\iVP\iVPAgent.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\TmSSClient.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\LogServer.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\Temp\LogServer\LogServer.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\CCSF\module\BES\TmsaInstance64.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\CNTAoSMgr.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\Security Agent\PccNTMon.exe
• CSIDL_PROGRAM_FILESX86\Trend Micro\iService\iES\ESE\ESEFrameworkHost.exe
• CSIDL_SYSTEM\ShowMsg.exe
• CSIDL_SYSTEM\dsagent.exe
• .bkf

Nieuwe lijsten gemaakt

Azure DevOps - Windows

Oktober - 2022

Gedurende de maand oktober worden misvormde uitsluitingen die tijdens eerdere iteraties van het product in de Secure Endpoint-omgeving zijn geïntroduceerd, verwijderd uit aangepaste uitsluitingslijsten.  Meer informatie over dit initiatief vindt u hier. 

14 december - 2022

Microsoft Windows Standaard

Toevoeging van:

• C:\Windows\System32\omadmclient.exe
• .automaticDestinations-ms

Back-endwijzigingen - Windows

• csc_ui.exe toegevoegd aan Exploit Prevention Global Exclusions voor V5 en Script Control.

Verwijderen van: Uitsluitingen die gevolgen hebben voor prestaties

Nieuwe lijsten gemaakt

1Password - Windows, Mac, Linux

McAfee Trellix SolidCore - Windows

12 april - 2023

Microsoft Windows Standaard

Toevoeging van:

• .pf
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\acumbrellaagent.exe

Verwijdering van:

• CSIDL_WINDOWS\SoftwareDistribution\Datastore\Logs\*.log

• CSIDL_SYSTEM\CatRoot2\

• CSIDL_WINDOWS\Prefetch\

Microsoft Intune

Toevoeging van:

• CSIDL_PROGRAM_FILESX86\Microsoft Intune Management Extension\Microsoft.Management.Services.IntuneWindowsAgent.exe

McAfee Trellix SolidCore

Kleine wijziging:

• CSIDL_PROGRAM_FILESX86\McAfee\Policy Auditor Agent\engineMain.exe

Cisco Webex 

Toevoeging van:

• C:\Users\*\AppData\WebEx\WebexHost.exe

Microsoft Defender voor MacOS

Toevoeging van:

• /Library/Application Support/Microsoft/Defender/

Microsoft Defender voor Linux

Toevoeging van:

• /opt/microsoft/mdatp/sbin/wdavdaemon
• /opt/microsoft/mdatp/

31 mei - 2023

VEEAM

Toevoeging van:

• CSIDL_PROGRAM_FILES\Common Files\Veeam\Backup and Replication\Explorers Recovery Service\Veeam.StandBy.Service.exe
• CSIDL_PROGRAM_FILES\Common Files\Veeam\Backup and Replication\Mount Service\Veeam.Backup.MountService.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.BrokerService.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.CloudService.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.ExternalInfrastructure.DbProvider.exe
• CSIDL_PROGRAM_FILESX86\Veeam\Backup Transport\GuestInteraction\VSS\VeeamGuestHelperCtrl.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.Service.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup Catalog\Veeam.Backup.CatalogDataService.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.ManagerGCServer.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.Cdp.Service.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Console\veeam.backup.shell.exe
• CSIDL_PROGRAM_FILESX86\Veeam\Backup Transport\x64\VeeamAgent.exe
• CSIDL_PROGRAM_FILES\Veeam\Backup and Replication\Backup\Veeam.Backup.Manager.exe
• CSIDL_WINDOWS\Veeam\Backup\VeeamDeploymentSvc.exe
• .vbm.temp
• .flat

VMware

Toevoeging van:

• CSIDL_PROGRAM_FILES\Common Files\VMware\ScannerRedirection\ftscanmgrhv.exe
• CSIDL_PROGRAM_FILESX86\VMware\VMware Horizon View Client\ClientService\horizon_client_service.exe

27 september - 2023

Cisco Webex

Toevoeging van:

• CSIDL_LOCAL_APPDATA\Programma's\Cisco Spark\CiscoCollabHost.exe

Microsoft OneNote

Toevoeging van:

• CSIDL_LOCAL_APPDATA\Microsoft\OneNote\*\cache\*.bin

Microsoft SQL Server

Toevoeging van:

• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\MSSQL\Binn\sqlagent.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\MSSQL\Binn\MsDtsSrvr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\Shared\sqlbrowser.exe
• CSIDL_WINDOW\Cluster\
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\*\MSSQL\FTDATA\
• CSIDL_WINDOW\Cluster\clussvc.exe
• CSIDL_WINDOW\Cluster\rhs.exe
• .trc

Verwijdering van:

• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.11\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.11\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.11\Reporting Services\ReportServer\Bin\ReportingServicesService.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.12\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.12\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.12\Reporting Services\ReportServer\Bin\ReportingServicesService.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.13\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.13\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL.13\Rapportage Services\ReportServer\Bin\ReportingServicesService.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSSQL*.MSSQLSERVER\MSSQL\Binn\SQLServr.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSAS*.MSSQLSERVER\OLAP\Bin\MSMDSrv.exe
• CSIDL_PROGRAM_FILES\Microsoft SQL Server\MSRS*.MSSQLSERVER\Reporting Services\ReportServer\Bin\ReportingServicesService.exe
• .abf
• .ctl
• .dbf
• .rdo

Microsoft Teams

Toevoeging van:

• CSIDL_LOCAL_APPDATA\Microsoft\Teams\current\squirrel.exe
• CSIDL_LOCAL_APPDATA\Microsoft\TeamsMeetingAddin

Microsoft Windows Standaard 

Toevoeging van: 

• CSIDL_WINDOWS\WinSxS\*\TiWorker.exe

Splunk

Toevoeging van:

• CSIDL_PROGRAM_FILES\splunk\bin\splunk.exe
• CSIDL_PROGRAM_FILES\splunk\bin\splunk*.exe

Symantec Endpoint Protection

Toevoeging van:

• CSIDL_PROGRAM_FILES\Symantec\Symantec Endpoint Protection\*\Bin64\ccSvcHst.exe
• CSIDL_COMMON_APPDATA\Symantec\Symantec Endpoint Protection\
• CSIDL_PROGRAM_FILESX86\Symantec\Symantec Endpoint Protection\*\Bin64\Smc.exe

Verwijdering van:

• CSIDL_WINDOWS\Temp\TMP*.tmp
• CSIDL_WINDOWS\Temp\musdmys_*
• CSIDL_WINDOWS\Temp\content.zip.tmp\SymDeltaDecompressOptions.xml
• CSIDL_WINDOWS\Temp\content.zip.tmp\*.diff
• CSIDL_WINDOWS\Temp\content.zip.tmp\cur.scr
• CSIDL_COMMON_APPDATA\Symantec\

Nieuwe lijsten gemaakt

• Zscaler-clientconnector
• Endpoint Central van engine beheren
• Symantec-bescherming tegen gegevensverlies

22 november - 2023

Microsoft Windows Standaard 

Toevoeging van: 

• CSIDL_PROGRAM_FILES\Cisco\Orbital\python\python.exe

Citrix ICA-client

Toevoeging van: 

• CSIDL_PROGRAM_FILESX86\Citrix\ICA Client\SelfServicePlugin\SelfService.exe
• CSIDL_PROGRAM_FILESX86\Citrix\ICA Client\SelfServicePlugin\SelfServicePlugin.exe
• CSIDL_PROGRAM_FILESX86\Citrix\ICA Client\Receiver\FeatureFlag\CWAFeatureFlagUpdater.exe
• CSIDL_PROGRAM_FILESX86\Citrix\ICA Client\wfcrun32.exe
• CSIDL_PROGRAM_FILESX86\Citrix\ICA Client\Receiver\Receiver.exe

Nieuwe lijsten gemaakt

• Ivanti LANDesk
• Atera-agens

24 januari - 2024

Microsoft SQL Server en Azure DevOps hadden kleine aanpassingen nodig met betrekking tot wijzigingen in de verwerking van uitsluitingen voor Windows Endpoint 8.2.1+. Er werden geen uitsluitingen toegevoegd.

Nieuwe lijst gemaakt

• poolwolf

19 juni - 2024

Om de compatibiliteit met Microsoft Windows Secure Endpoint-versies te maximaliseren, worden wijzigingen in bestaande uitsluitingen die beginnen met CSIDL_Windows ... gewijzigd in [Any Drive]:\Windows .... De volgende uitsluitingslijsten van Windows worden beïnvloed door de wijziging:

• Altiris van Symantec
• Avast
• Citrix Provisioning Server
• Diebold Warschau
• domeincontroller
• IIS
• Malwarebytes
• Microsoft Intune
• Microsoft SQL Server
• Microsoft Windows Standaard
• VEEAM

25 september - 2024

Microsoft Teams

Toevoeging van:

• CSIDL_PROGRAM_FILES\WindowsApps\ MSTeams_*\ms-teams.exe
• CSIDL_PROGRAM_FILES\WindowsApps\ MSTeams_*\ms-teamsupdate.exe
• CSIDL_PROGRAM_FILES\WindowsApps\ MSTeams_*\msedgewebview2.exe

18 december - 2024

VEEAM

Toevoeging van:

• CSIDL_PROGRAM_FILES\Veeam\Back-up en replicatie\Threat Hunter\

Cisco Webex

Toevoeging van:

• CSIDL_LOCAL_APPDATA\WebEx\WebEx64\Meetings\webexmta.exe
• CSIDL_PROGRAM_FILES\Cisco Spark\CiscoCollabHost.exe

Microsoft Windows Standaard

Kleine aanpassing van bestaand proces omadmclient.exe om onderliggende processen op te nemen.

4 juni - 2025

Microsoft Windows Standaard

toevoeging van:

• CSIDL_PROGRAM_FILES\Cisco\Cisco Secure Client\CM\*\CMID\*\csc_cmid.exe
• CSIDL_PROGRAM_FILES\Cisco\Cisco Secure Client\CM\*\CMPM\*\csc_pm.exe
• CSIDL_PROGRAM_FILES\Cisco\Cisco Secure Client\EVM\bin\csc_evm.exe
• CSIDL_PROGRAM_FILES\Microsoft Device Inventory Agent\InventoryService\InventoryService.exe
• CSIDL_PROGRAM_FILESX86\Cisco\Cisco Secure Client\NVM\acnvmagent.exe
• CSIDL_COMMON_APPDATA\Cisco\Cisco Secure Client\EVM\*
• CSIDL_PROGRAM_FILES\Microsoft Device Inventory Agent\InventoryService\

Apple macOS Standaard

toevoeging van:

• /opt/cisco/secureclient/evm/bin/csc_evm.app/Contents/MacOS/csc_evm
• /Library/Cisco/evm/Log Files
• /Library/Cisco/evm/Upload\ Wachtrij/

17 september - 2025

Microsoft Windows Standaard

toevoeging van:

• CSIDL_PROGRAM_FILES\Cisco\Forensics\AIR\**
• CSIDL_PROGRAM_FILES\Cisco\Forensics\AIR\

Apple macOS Standaard

toevoeging van:

• /opt/cisco/forensics/air/
• /opt/cisco/forensics/air/**

Opmerking: Windows Secure Endpoint Versies 8.4.0+ lost paden op voor alle CSIDL-uitsluitingen.