Ausschlüsse und wann sie verwendet werden sollten
Die folgende Tabelle enthält eine Beschreibung der einzelnen Ausschlusstypen und allgemeine Hinweise dazu, wann und wie sie angemessen verwendet werden.
Ausschlusstyp | Beschreibung und Beispiel |
|---|---|
Richtlinie „Sichere Liste“ (Dateiaktionen) | Die Richtlinie „Sichere Liste“ wird auf der Registerkarte Dateiaktionen in einer Geräterichtlinie angegeben.Wenn eine Geräterichtlinie einem Gerät zugewiesen ist, kann das Gerät Dateien ausführen, die in der sicheren Liste angegeben sind. Die Richtlinie „Sichere Liste“ wird auf Richtlinienebene für bestimmte Geräte angewendet, während die globale Sicherheitsliste oder Quarantäneliste auf globaler Ebene für alle Geräte angewendet wird. Die Richtlinie „Sichere Liste“ hat Vorrang vor der globalen Quarantäneliste. Eine Datei, die der Richtlinie „Sichere Liste“ hinzugefügt wird, kann auf jedem Gerät ausgeführt werden, dem die Richtlinie zugewiesen ist, selbst wenn sich diese Datei in der globalen Quarantäneliste befindet, wodurch die Ausführung von Dateien auf allen Geräten verhindert wird. Beispiel: Sie verwenden häufig Berechtigungseskalationstools wie PSEXEC für Ihre täglichen Aufgaben. Sie möchten jedoch nicht, dass alle Benutzer diese Möglichkeit haben, und Sie möchten verhindern, dass sie solche Tools verwenden, ohne dass Sie dadurch in der Ausführung Ihrer täglichen Aufgaben beeinträchtigt werden. Zu diesem Zweck können Sie PSEXEC zur globalen Quarantäneliste hinzufügen und denselben Datei-Hash in die Richtlinie „Sichere Liste“ aufnehmen. Damit stellen Sie sicher, dass nur Sie und weitere autorisierte Benutzer dieser speziellen Geräterichtlinie zugewiesen sind, in der Sie PSEXEC zur sicheren Liste hinzugefügt haben. Ergebnis: Für alle Benutzer, die der Geräterichtlinie nicht zugewiesen sind, wird PSEXEC unter Quarantäne gestellt, aber Benutzer, die der Geräterichtlinie zugewiesen sind, können PSEXEC verwenden. |
Ausführbare Dateien oder Makro-Dateien ausschließen (Speicherschutz) | Ausschlüsse für die Richtlinie zum Speicherschutz werden auf der Registerkarte Speicheraktionen in einer Geräterichtlinie angegeben, wenn der Speicherschutz aktiviert ist.Wenn Sie Ausschlüsse für den Speicherschutz angeben, ignoriert der Agent Verletzungen bestimmter Typen aus jeder spezifischen Anwendung. Mit anderen Worten: Sie vermeiden das Blockieren oder Beenden einer Anwendung, wenn eine Aktion ausgeführt wird, die eine Verletzung eines bestimmten Typs verursacht. Wenn der Speicherschutz aktiviert ist, überwacht der Agent Anwendungsprozesse auf bestimmte Aktionen, die er ausführt. Wenn ein Prozess eine bestimmte Aktion ausführt, die der Agent überwacht, z. B. LSASS-Lesen, reagiert der Agent je nach Geräterichtlinie auf diese Aktion. Manchmal treten falsch positive Ergebnisse auf und der Speicherschutz blockiert eine Aktion, die von einer Anwendung ausgeführt werden soll, oder beendet die Anwendung vollständig. In dieser Situation können Sie Ausschlüsse für den Speicherschutz festlegen, sodass bestimmte Anwendungen von bestimmten Verletzungstypen ausgenommen sind und wie vorgesehen ausgeführt werden können, ohne blockiert oder beendet zu werden. Beispiel: Ihr Unternehmen blockiert standardmäßig alle Speicherschutzverletzungen von allen Anwendungen. Sie verwenden Test.exe häufig und wissen, dass es nur berechtigte Gründe für LSASS-Leseverletzungen gibt. Sie können einen Ausschluss hinzufügen, damit der Agent nur LSASS-Leseverletzungen aus Test.exe ignoriert. Der Agent blockiert weiterhin Test.exe, wenn eine andere Verletzung auftritt. Speicherschutzausschlüsse verwenden relative Pfade (Laufwerksbuchstaben sind nicht erforderlich) und können bis zur ausführbaren Ebene angegeben werden. Beispiel:
Es wird nicht empfohlen, einen Ausschluss auf ausführbarer Ebene ohne relativen Pfad anzugeben. Wenn beispielsweise ein Ausschluss für \Test.exe festgelegt ist, kann eine schädliche Datei mit demselben Namen aus einem beliebigen Ordner auf dem Gerät ausgeführt werden. |
Bestimmte Ordner ausschließen (Schutzeinstellungen) | Ausschlüsse für die Bedrohungserkennung im Hintergrund werden auf der Registerkarte Schutzeinstellungen in einer Geräterichtlinie angegeben, wenn Bedrohungserkennung im Hintergrund aktiviert ist. Dies kann als Verzeichnis-Safelisting bezeichnet werden. Wenn ein Verzeichnis ausgeschlossen wird, ignoriert der Agent während eines Scans alle Dateien in diesem Verzeichnis, einschließlich aller Unterordner.Wenn Sie Ausführung zulassen auswählen, ignoriert der Agent alle ausführbaren Dateien, die aus den ausgeschlossenen Verzeichnissen gestartet werden.Beispiel: Ein Anwendungsentwickler in Ihrem Unternehmen verwendet ein Verzeichnis (z. B. C:\DevFiles\Temp ), um temporäre Dateien zu speichern, die während der Kompilierung generiert werden. Der Agent scannt diese Dateien, stuft sie aufgrund verschiedener Eigenschaften als unsicher ein und stellt sie anschließend unter Quarantäne. Der Entwickler sendet eine Anforderung zur Zulassung des temporären Verzeichnisses. Sie können das Verzeichnis C:\DevFiles\Temp hinzufügen, damit die temporären Dateien ignoriert werden und der Entwickler seine Arbeit ausführen kann. |
Ordnerausschlüsse (Skriptsteuerung) | Ausschlüsse für die Skriptsteuerungsrichtlinie werden auf der Registerkarte Skriptsteuerung in einer Geräterichtlinie angegeben, wenn die Skriptsteuerung aktiviert ist. Sie können Ausschlüsse hinzufügen, wenn Sie zulassen möchten, dass Skripte in einem angegebenen Verzeichnis ausgeführt werden. Geben Sie beim Hinzufügen von Ausschlüssen für die Skriptsteuerung die relativen Pfade an. Unterordner sind ebenfalls vom Ausschluss betroffen.Beispiel: Ein IT-Administrator versucht, ein Skript auszuführen, das sich im Verzeichnis C:\Scripts\Subfolder\Test befindet. Das Skript wird jedes Mal von der Skriptsteuerung blockiert, wenn der IT-Administrator versucht, das Skript auszuführen. Damit das Skript ausgeführt werden kann, können Sie einen der folgenden relativen Pfade als Ausschluss zur Richtlinie für die Skriptsteuerung hinzufügen:
|