Custom exclusion rules (тусгай үл хамаарах дүрэм) хэрхэн үүсгэх вэ?

Custom exclusion rules (Тусгай үл хамаарах дүрэм) хуудаслаар тодорхой үйлдлийг таны байгууллагад хамаагүй гэж тэмдэглэх дүрэм тодорхойлно. Ингэснээр The Incidents page хуудсанд incident үүсэхээс сэргийлнэ.

Хүснэгтийг өөрийн хэрэгцээнд тохируулахад эдгээр товчийг ашиглана:

• Reset view товчийг дарж хүснэгтийг үндсэн тохиргоонд (харагдах багана, шүүлтүүр) буцаана. Энэ нь одоо байгаа шүүлтүүр болон тэдгээрийн утгыг бас цэвэрлэнэ.
• Show or hide filters (Шүүлтүүр харуулах эсвэл нуух) товчийг дарж шүүлтүүрийн мөрийг харуулах эсвэл нууна.
• Open Settings (Тохиргоо нээх) товчийг дарж хүснэгтэд багана нэмэх эсвэл хасна.

Тусгай үл хамаарах дүрэм үүсгэх

Тусгай үл хамаарах дүрэм үүсгэхийн тулд дараах алхмыг дагана:

1. 1
   Custom exclusion rules хуудсанд Add rule товчийг дарна.

   Таныг Add rule хуудас руу шилжүүлнэ.

2. 2
   Exclusion rule definition (Үл хамаарах дүрмийн тодорхойлолт) хэсэгт дараах тохиргоог хийнэ:

   1. Exclude every талбараас дүрэмд оруулах элементийн төрлийг сонгоно.
      • Process
      • File
      • Connection
      • Registry
      • User connection
      • Email
   2. Matching the following тохиргоогоор дүрмийг ажиллуулах нөхцөлийг тодорхойлно:
      • Select criteria талбараас дүрэмд хэрэгтэй параметрүүдийг сонгоно. Эдгээр нь Type value here талбарт оруулсан таны утгатай харьцуулагдах элементүүд юм.

        Зөвлөмж

        Тодорхой alert-үүдээс incident үүсэхээс сэргийлэхийн тулд Alert name параметрийг ашиглаж болно.

        Энэ параметрийг ашиглахдаа оруулсан утга нь GravityZone-д харагдах alert-ийн нэртэй яг таарч байх ёстой. Энэ параметр wildcard дэмждэггүй бөгөөд зөвхөн Is оператортой нийцнэ.

      • Select operator талбарт сонгосон шалгуур болон Type value here талбарт оруулсан утгын хоорондын хамаарлыг тохируулна:
        • Is - утгын талбарт оруулсан утгатай яг таарна.
        • Contains - утгын талбарт оруулсан тэмдэгт мөр агуулсан бүх утгатай таарна (жишээлбэл, файлын өргөтгөл).

          Чухал

          Үл хамаарах дүрэм үүсгэхдээ wildcard-ыг болгоомжтой ашигла. Ингэснээр дүрэм хэт ерөнхий болох эрсдэл нэмэгдэнэ. Хэт ерөнхий дүрэм жинхэнэ аюулыг орхигдуулах магадлалыг нэмж, байгууллагыг эмзэг болгож болзошгүй.

        • Is one of - утгын талбарт оруулсан аль нэг утгатай таарна (утгуудын хооронд OR үйлдэл хийгдэнэ). Утга бүрийн дараа Enter дарж үйлдлээ дуусгана.
      • Type value here талбарт шалгуурыг харьцуулах өөрийн утгыг оруулна.

        Зөвлөмж

        Registry объектыг чиглэсэн, Key шалгуур ашигласан тусгай дүрмийн хувьд registry key-ийн замд дэмжигдсэн root key-ийн товчлолыг хэрэглэх ёстой. Бүтэн registry hive нэр (жишээлбэл, HKEY_LOCAL_MACHINE) ашигласан дүрэм таарахгүй тул хэзээ ч ажиллахгүй. Registry key-ийн замыг зааж өгөхдөө дараах харгалзааг ашиглана:

        • HKEY_LOCAL_MACHINE: HKLM
        • HKEY_CURRENT_USER: HKCU
        • HKEY_USERS: HKU
        • HKEY_CLASSES_ROOT: HKCR
        • HKEY_CURRENT_CONFIG: HKCC

        Нэмж, SID-ээр эхлээгүй HKEY_USERS key-д (жишээлбэл, HKEY_USERS\.DEFAULT) HKLU товчлолыг ашиглана.

   3. (Заавал биш) Add new товчоор дүрэмд нэмэлт шалгуур нэмнэ.

      Тэмдэглэл

      Дүрэм нь бүх шалгуур биелсэн үед л incident-ийг хасна (нэмсэн шалгууруудын хооронд AND үйлдэл хийгдэнэ).

   4. Next дарна.
3. 3
   Rule configuration хэсгийн тохиргоог хийнэ:

   1. Rule configuration хэсэгт дүрмийн нэр, тайлбарыг бичиж, шошго (tag) нэмнэ.

      Дүрмийн шошго нь дүрмүүдийг таних, бүлэглэх, эрэмбэлэхэд тусална. Таны дүрэмд тохирох шошго байхгүй бол Create tag товчийг дарж нэмж болно.

   2. Дүрмийг үүсгэсний дараа шууд идэвхжүүлэхийн тулд Enable custom rule нүдийг тэмдэглэнэ.
   3. Next дарна.
4. 4
   Exclusion rule targets хэсэгт дүрмийг хаана хэрэглэхийг тохируулна:

   Дүрмийг төхөөрөмжүүдэд хэрэглэх хоёр арга бий:

   • Дүрмийг байгууллагадаа шууд хэрэглэх — энэ арга нь таны байгууллагын бүх удирдагдаж буй объектод дүрмийг хэрэглэнэ.

     Тэмдэглэл

     Энэ сонголт таны байгууллагын нэрээр харагдана.

     Энэ арга нь бүх параметртэй нийцнэ.

   • Endpoint tags — энэ арга нь зөвхөн тодорхой шошго оноосон төхөөрөмжүүдэд дүрмийг хэрэглэнэ.

     Зөвлөмж

     Төхөөрөмжийн шошгыг Network > Tags Management хуудаснаас удирдаж болно.

     Хэсгийн зүүн талын Endpoint tags жагсаалтаас хүссэн шошгоныхоо нүдийг тэмдэглэнэ. Тодорхой шошго хайхдаа хайлтын талбарыг ашиглаж болно.

     Сонгосон бүх шошго хэсгийн баруун талын Selected endpoint tags жагсаалтад нэмэгдэнэ.

5. 5
   Save дарна.

   Шинэ дүрэм Custom exclusion rules хүснэгтэд гарч ирнэ.

Үл хамаарах дүрмийн дэлгэрэнгүйг үзэх

Тодорхой дүрмийн дэлгэрэнгүйг үзэхийн тулд дүрмийг хүснэгтээс олж, мөрийн аль ч хэсгийг дарснаар Rule details хажуугийн самбар нээгдэнэ.

Самбарт дүрмийг үүсгэсэн тухай мэдээлэл, түүнд хэрэглэсэн тохиргоо болон дараах сонголтууд байна:

• View alerts сонголт нь таныг Search хуудас руу аваачиж, тухайн дүрмээс үүссэн бүх alert-ийг татах query-г автоматаар ажиллуулна.
• Edit rule товч нь дүрмийн тодорхойлолтын цонхыг нээж, дүрмийн тохиргоог өөрчлөх боломж олгоно.
• Delete товч нь дүрмийг бүрмөсөн устгана.