Konfigurera Sophos Fusion (tidigare Sophos Central) Endpoint-undantag säkert

Ett Sophos Endpoint-undantag är inte en ofarlig kompatibilitetsinställning. Det tar bort filer, processer, webbplatser eller individuella skyddskontroller från recensionen helt eller delvis. Ett undantag som är för brett kan avslöja den exakta sökvägen som skadlig programvara senare använder.

Den säkra genvägen är därför: bestämma utlösande händelse och skyddsmodul, skapa det närmaste lämpliga undantaget i en riktad hotskyddspolicy, kontrollera några enheter och dokumentera det med ägaren och utgångsdatum. Ett globalt undantag är bara korrekt om samma dokumenterade behov faktiskt gäller alla berörda användare, datorer och servrar.

Förtydliga omfattning och prioritet före syntax

Global och policy är inte prioriterade nivåer som tar bort varandra: ett globalt undantag gäller överallt och kan inte begränsas igen av en striktare policy. Om det finns flera matchande policyer av samma typ, tillämpar Sophos Fusion endast den första aktiva policyn i listan; deras inställningar slås inte samman med en djupare hotskyddspolicy. Därför är en tillfällig undantagspolicy över en mer allmän policy och den effektiva policyn på enheten en del av kontrollen. Den exakta urvalsmodellen förklarar Bygga Sophos Fusion Endpoint-policyer korrekt.

Skapa globalt undantag

1. Öppna Global Settings > Protection and Remediation > Allow and Block > Global Exclusions.
2. Välj Add Exclusion och bestäm typen under Exclusion Type.
3. Under Value anger du endast den verifierade sökvägen, processen, värden eller trafikparametrarna.
4. För File or folder under Active for välj mellan realtidsskanning, schemalagd skanning eller båda. Uteslut bara den skanning som faktiskt påverkas.
5. Välj Add eller Add Another och sedan Save på sidan.

Om redigering är låst kan partner- eller företagsinställningar låsa globala inställningar. Administratörsrollen kräver också åtkomst till Endpoint Protection och Server Protection. Förbudet får inte kringgås genom en tekniskt bredare evenemangskampanj.

Bevisa behovet före varje undantag

En väl underbyggd begäran innehåller:

• Detekteringsnamn, tidsstämpel, påverkad enhet och användare;
• fullständig sökväg, process eller nätverksändpunkt;
• Sophos-händelse och utlösande skyddsmodul;
• Tillverkarens rekommendation för den produktversion som faktiskt används;
• SHA-256 och digital signatur om en fil påverkas;
• minsta nödvändiga målgrupp, ansvarig person och utgångsdatum;
• ett reproducerbart före- och eftertest samt en återställningsplan.

“Applikationen körs långsamt” räcker inte. CPU, disk, påverkad filtyp, processkedja och en snabb Sophos-händelse måste bevisa anslutningen. Utan detta bevis skulle ett undantag bara maskera symtom.

Leverantörsundantag för Windows-program

För leverantörsrekommenderade undantag ska du först dokumentera exakt produktversion, installerade komponenter och det arbetsflöde som bevisligen påverkas. Kräv sedan att programleverantören bekräftar vilka sökvägar och processer som för närvarande behövs för just den konfigurationen. Stäm av varje post mot den berörda Sophos-händelsen; lägg bara till bekräftade poster, en i taget, i den lämpligaste pilotpolicyn med minsta möjliga omfattning. Dokumentera ansvarig person, motivering och utgångsdatum i ändringen. Sök inte efter och importera inte en allmän leverantörslista oförändrad.

Behåll det obligatoriska avslutande omvända snedstrecket i ett mappundantag för skanning. Behandla ett processundantag som brett: det undantar även icke-undantagna filer som processen vidrör eller läser in samt dess nätverksaktivitet från kontroll. Om ett program uppvisar en uppmätt, betydande prestandaförsämring som kan hänföras till Sophos ska leverantören bekräfta undantagen för exakt den versionen. Gissa inte sökvägar, bredda inte poster i förebyggande syfte och inaktivera inte skyddet. Sophos Support kan kontrollera att bekräftade poster har tillämpats korrekt; skicka diagnostiska bevis om orsaken förblir oklar.

Välj lämplig undantagstyp och syntax

Ett skanningundantag förhindrar inte automatiskt utnyttjande, ransomware eller beteendekontroller. Omvänt, ett modulrelaterat undantag stänger i allmänhet inte av skadlig programvara. Händelsetypen avgör därför typen av undantag.

Windows: fil, mapp eller process

En fullständig sökväg är smalare än ett filnamn, jokertecken eller en hel katalog. *.* är inte ett giltigt Windows-jokertecken. Hela enheter såväl som högt uppsatta eller ofta missbrukade kataloger som C:\Windows\, C:\ProgramData\, C:\Users\<Username>\ eller Startup-mappen är inte uteslutna.

Följande gäller för skanningsundantag:

• * representerar noll eller fler tecken, men överskrider inte någon \- eller /-avgränsare.
• ** kan fånga separatorer om den är omgiven av separatorer eller är i början eller slutet av undantaget. Till exempel, C:\foo\**\bar fångar C:\foo\bar och djupare vägar som C:\foo\more\bar.
• ? representerar ett tecken; i slutet av en sträng kan det även motsvara noll tecken.
• En enda \ eller / som ett undantag sträcker sig från enhetens rot genom alla mappar och ska därför inte användas.

Variabler har en stor räckvidd. %PROGRAMDATA% motsvarar C:\ProgramData, %USERPROFILE% för alla användarprofiler, %TEMP% och %TMP% respektive de lokala användartemporatkatalogerna och %WINDIR% till C:\Windows. De används inte ensamma som ett undantag. Undantag med jokertecken i skanningen vid åtkomst påverkar också övervakningen genom regler för förebyggande av dataförlust.

Använd UNC-formatet \\<REMOTESERVER>\<SHARENAME>\ för en nätverksresurs. Ersätt <REMOTESERVER> och <SHARENAME> med det riktiga server- och resursnamnet; gissa inte ett mappat enhetsnamn.

För en långsam applikation är ett Process (Windows)-undantag ofta snävare än att undanta en hel datamapp. Om den verifierade processen C:\appfolder\app.exe orsakar fördröjningen vid åtkomst till C:\datafolder\, anger du hela applikationssökvägen, inte bara app.exe. Undantaget omfattar också filer som processen öppnar, men inte applikationer som processen själv använder.

macOS: Slash och stjärna betyder olika saker

macOS accepterar POSIX-sökvägar för volymer, mappar eller filer. Syntaxen får inte härledas från ett Windows-mönster:

• /myfolder/myapplication fångar exakt den här filen.
• /myfolder/ fångar mappen och alla undermappar rekursivt.
• /myfolder// fångar mappen men inte undermappar.
• /Users/SomeUser/Documents/ExcludeMe/* fångar filer direkt i ExcludeMe, men inte mappar i den.
• /Users/*/Documents/ExcludeMe/ fångar ExcludeMe för alla användare inklusive filer, mappar och undermappar.

Ett mönster utan en ledande / kan fånga det matchande namnet var som helst lokalt eller på nätverket, vilket gör det bredare. En asterisk i slutet av en sökväg är endast tillåten för filundantag och fångar inte automatiskt in undermappar.

Linux: Kontrollera skanningen och datasjöomfånget separat

För Linux-servrar är fullständig absolut syntax lättast att kontrollera. /mnt/hgfs/excluded fångar filen eller mappen med det namnet, men inte innehållet i mappen. /mnt/hgfs/excluded/ fångar mappen med alla filer och undermappar vid skanning. Ett namn eller en relativ sökväg kan å andra sidan få plats på flera ställen i filsystemet.

Serverskydd för Linux (SPL) kräver följande jokertecken för relativa uttryck: ange till exempel en relativ sökväg bar/file.name som */bar/file.name och ett katalognamn bar/ som */bar/*. Sådana mönster är bredare än en absolut väg och används bara när exakt detta platsoberoende omfattning behövs.

Datasjöuteslutningar tolkar det slutliga snedstrecket annorlunda än skanningsuteslutningar. För att skanningsomfånget för /mnt/hgfs/excluded/ även ska uppnås för datasjöhändelser krävs två poster: /mnt/hgfs/excluded för själva katalogen och /mnt/hgfs/excluded/* för dess innehåll. Enbart ett skanningsundantag garanterar inte att datasjöhändelser inte visas.

Webbplats, PUA och andra globala uteslutningstyper

• Website (Windows/Mac): accepterar IP-adress, CIDR-intervall eller domän; Jokertecken är inte tillåtna. Sophos kontrollerar inte webbplatskategorin eller webbkontroll för detta. Domänen eller adressen är därför vald att vara så smal som applikationen tillåter.
• Potentially Unwanted Application (Windows/Mac/Linux): använder det exakta PUA-namnet som upptäckts av Sophos. Global auktorisation gäller överallt; en policy begränsar räckvidden.
• AMSI Protection (Windows): tar kod i en fullständig fil, mapp eller enhetssökväg från AMSI-skanningen. * är endast för filnamn eller filtillägg.
• Hashing exclusions (Windows): förhindrar att hashvärden genereras för angivna mappar, filer eller processer i Sophos Event Journals och Data Lake. Sophos anger att typen endast ska användas på begäran av Sophos Support.
• Driver Detection (Windows): auktoriserar en identifierad drivrutin. Denna typ är endast avsedd för Windows-enheter. Drivrutinen måste ha minst en giltig signerare som inte är Microsoft Windows Hardware Compatibility Publisher.

Ransomware och begränsning av utnyttjande

Ransomware Protection (Windows/Mac) undantar bara ett program eller en mapp från ransomware-skydd. Anpassade processundantag är inte tillgängliga på macOS; använd där en mapp eller programmets filsökväg. Windows kan använda Process eller Folder. I Global Exclusions kan en mapp använda en lokal sökväg eller en UNC-sökväg som \\servername\shared-folder\. I en Endpoint Threat Protection-policy stöds endast en lokal mappsökväg, inte en fjärr-UNC-sökväg.

Exploit Mitigation and Activity Monitoring (Windows) stöder endast programsundantag baserade på filsökvägen. Låt Protect Application vara aktiverat under Mitigations och avmarkera endast den mitigering som bevisligen orsakar problemet. Om Protect Application stängs av upphör alla exploitkontroller för programmet; kontroller av skadlig kod och ransomware förblir aktiva. Detta breda steg är det sista alternativet.

Exploaterings- eller ransomware-undantag har andra variabler än Windows-skanningsundantag. Till exempel representerar $ alla tillgängliga enheter, $temp representerar bland annat C:\Windows\Temp, $appdata representerar AppData-områden, $profile representerar användarprofiler och $windows representerar C:\Windows. Dessa variabler förväxlas inte med %TEMP% eller andra skanningsvariabler och används aldrig utan att kontrollera deras utökade omfattning. I början av en sökväg stöds endast ** som jokertecken.

IPS och enhetsisolering

Ett Malicious Network Traffic Prevention (IPS) (Windows)-undantag begränsar Direction, Remote address, Remote port och Local port; minst en adress eller portalternativ måste ställas in. Fjärrkontroll hänvisar till den andra datorn, lokal hänvisar till den skyddade slutpunkten. Lokal port 3389 är därför relevant för inkommande RDP för administratörsfallet ses isolerat; Dessutom ställs den exakta fjärradressen för den släppta administrationsenheten in om bara denna enhet ska kommunicera.

Ett Device isolation-undantag tillåter begränsad kommunikation trots isolering. För Inbound Connection gör en lokal port som 3389 för RDP eller 22 för SSH denna tjänst tillgänglig på den isolerade enheten. Med Outbound Connection begränsar fjärradressen målservern, till exempel en server för rensningsverktyg. Allmän internetdelning skulle motverka syftet med isolering.

Tillåt falska positiva med minsta möjliga omfattning

Tillåt legitim ansökan

En verifierat säker applikation som har detekterats som ett hot bör inte tillåtas genom ett brett sökvägsundantag. Beroende på plattform är följande identiteter tillgängliga under My Environment > Computers & Servers > enhet > Events > detektering > Details > Allow this application:

• Certificate är Sophos rekommendation, men tillåter även andra applikationer med samma certifikat. Förlaget och intyget måste därför vara korrekta.
• SHA-256 tillåter exakt denna filversion. En ny upptäckt kan inträffa efter en uppdatering.
• Path (Windows/Linux) tillåter applikation på angiven plats. Framåtgående snedstreck krävs för Linux; Linux-sökvägar som inte är UTF-8-kodade kan inte återställas via detta och kräver SHA-256.

Allow gäller för alla datorer och användare, förhindrar samma hotdetektering och kan återställa borttagna kopior. När programmet körs fortsätter Sophos att kontrollera det efter exploits, ransomware och skadligt beteende. Dessa poster hanteras och tas bort under Allowed Applications.

Upptäckt utnyttjande och ransomware

Med ett bekräftat utnyttjande av falskt positivt, erbjuder Don’t detect this again två mycket olika globala åtgärder:

1. Exclude this Detection ID from checking undertrycker detta beteende för applikationen. Olika sökvägar, filer eller beteende kan ge ett annat identifierings-ID.
2. Exclude this application from checking stänger av alla exploateringskontroller för applikationen och är det mest riskfyllda sista steget.

Detektions-ID-undantag hamnar i Global Exclusions, applikationsundantag hamnar i Exploit Mitigation Exclusions. För en begränsad målgrupp öppnas istället lämplig endpoint- eller serverhotskyddspolicy och detektering väljs under Settings > Exclusions > Add Exclusion > Detected Exploits (Windows/Mac). Andra exploateringskontroller i applikationen förblir aktiva.

Med en bekräftad falsk positiv ransomware erbjuder evenemanget endast Exclude this Detection ID from checking. Åtgärden skapar också ett globalt undantag för alla användare och datorer. Hash, signatur, processkedja, berörda filer och reproducerbarhet måste därför kontrolleras innan du klickar.

Test, validering och återställning

1. Innan du gör ändringen, spara händelsen, upptäcktstiden och effektiv policy på enheten.
2. Skapa undantaget i en liten, högre prioriterad pilotpolicy. Om det måste vara globalt, testa det först endast i ett kontrollerat underhållsfönster.
3. Vänta tills pilotenheten kommunicerar med Sophos Fusion igen och kontrollera det tillämpade policynamnet under My Environment > Computers & Servers > enhet > Policies.
4. Återskapa det ursprungliga felet samtidigt som du observerar Events, Alerts och hälsotillstånd. Framgång innebär: Det dokumenterade felet försvinner utan att annat scope frigörs än planerat.
5. Utför ett negativt test utanför undantagsomfånget, till exempel med en icke-exkluderad fil eller en ej tilldelad testenhet. Skyddet där ska reagera oförändrat.
6. Först då utöka målgruppen. Dokumentera ansvarig person, orsak, kompenserande kontroll och utgångsdatum.
7. Efter en leverantör eller Sophos-fix, ta bort undantaget, upprepa det ursprungliga testet och leta efter nya händelser.

Om händelsen helt enkelt försvinner, bevisar det bara att testet förbigicks. Om applikationen förblir störd, var förmodligen en annan modul som Exploit Mitigation, Web Control, Peripheral Control eller DLP inblandad. Då utökas inte undantaget utan den nya händelsetypen undersöks.

Om endast ett brett undantag verkar fungera, den effektiva policyn eller syntaxen fortfarande är osäker, eller en bekräftad falsk positiv identifiering återkommer, ska pilotändringen återställas och ärendet eskaleras till programvaruleverantören eller Sophos Support med händelsen, identifierings-ID, tidsstämplar, processkedjan och relevanta diagnostikloggar. Utöka inte undantaget så länge orsaken inte är bevisad.

Använd befintliga undantag

Globala undantag, tillåtna applikationer och undantagen i de policyer som faktiskt tillämpas kontrolleras minst kvartalsvis. Poster utan ägare, utgångna lösningar, program som inte längre är installerade, dubbletter och alltför breda jokertecken eller variabler tas bort.

Account Health Check visar upptäckta problem med globala undantag och policyundantag. En poäng på 100 betyder bara att denna kontroll inte hittade några problem; den ersätter varken den tekniska motiveringen eller processen och det negativa testet.

Vanliga frågor