Passer la navigation
  1. BlackBerry Docs
  2. Cylance Endpoint Security
  3. Administration
  4. Guide d'administration Cylance Endpoint Security
  5. Utilisation de CylanceOPTICS pour détecter les évènements et y répondre
  6. Création de règles de détection personnalisées
  7. Créer et gérer des règles et des exclusions de détection
  8. Chemins d'accès

Chemins d'accès

Les chemins d'accès définissent la façon dont le CAE interprète le flux de plusieurs objets d' état au sein d'une règle. Vous utilisez les chemins d'accès lors de la création d'une règle composée de plusieurs objets d'état (également appelée règle à états multiples). Les états définissent le flux d'une règle CAE et permettent à
CylanceOPTICS
 d'observer avec état une série d'évènements se produisant sur un terminal. Ces éléments représentent un scénario « 1, puis 2, puis 3 » qui peut se produire.
Si une règle possède un seul objet d'état, vous n'avez pas besoin d'utiliser un objet de chemins. Les règles se composent d'un seul objet d'état et ne nécessitent pas explicitement l'utilisation de l'objet de chemins. Les règles qui utilisent l'objet de chemins le font uniquement pour la définition explicite (pas pour la fonctionnalité de règle).
Dans les exemples suivants, deux objets d'état sont utilisés : NewSuspiciousFile et CertUtilDecode. Chaque état possède son propre ensemble logique.
Exemple 1
 : dans la configuration suivante, le CAE recherche un évènement qui satisfait l'état NewSuspiciousFile. Lorsque cet état est satisfait, le CAE recherche un évènement qui satisfait l'état CertUtilDecode.
"Paths": [
    {
        "StateNames": [
            "NewSuspiciousFile",
            "CertUtilDecode"
        ]
    }
],
Exemple 2
 : dans la configuration suivante, le CAE recherche un évènement qui satisfait l'état CertUtilDecode, puis l'état NewSuspiciousFile.
"Paths": [
    {
        "StateNames": [
            "CertUtilDecode",
            "NewSuspiciousFile"
        ]
    }
],
Exemple 3
 : dans la configuration suivante, le CAE recherche un évènement qui satisfait l'état NewSuspiciousFile ou CertUtilDecode. Cela est utile lorsque les états ont des ensembles d'objets de filtre différents. Dans cet exemple, NewSuspiciousFile utilise un filtre d'écriture de fichier et CertUtilDecode utilise un filtre de démarrage de processus.
"Paths": [
    {
        "StateNames": [
            "CertUtilDecode"
        ]
    },
    {
        "StateNames": [
            "NewSuspiciousFile"
        ]
    }
],