Erstellen einer Erkennungsausnahme

Um falsch positive oder doppelte Ereignisse in Ihren Erkennungsergebnissen zu reduzieren, können Sie Ausnahmen für Erkennungsregeln erstellen. Wenn Sie eine Erkennungsausnahme erstellen, werden die angegebenen Prozesse nicht von der Aurora Focus-Erkennungs-Engine ausgewertet. Gehen Sie mit Bedacht vor, wenn Sie Erkennungsausnahmen erstellen, da diese die allgemeine Sicherheit der Geräte verringern können.
Anmerkung: Wenn Sie eine Regelausnahme erstellen und aktivieren, die ausschließlich Regex-Übereinstimmungen für Bedingungen verwendet, kann dies bei einigen Systemen mit einer konsistent hohen Anzahl von Ereignissen zu einer höheren CPU-Auslastung als im Normalfall führen, da die Regelausnahme bei jedem Ereignis ausgeführt wird. Wenn dieses Problem auftritt, empfiehlt Arctic Wolf die Deaktivierung der Regelausnahme, die RegEx-Übereinstimmungen für Bedingungen verwendet.
  1. Klicken Sie in der Menüleiste der Verwaltungskonsole auf Focus > Konfigurationen.
  2. Klicken Sie auf der Registerkarte Ausnahmen auf Ausnahme erstellen.
  3. Geben Sie einen Namen für die Erkennungsausnahme ein.
  4. Konfigurieren Sie im Abschnitt Bedingungen die Ausnahmebedingungen. Klicken Sie auf Weitere Bedingung hinzufügen, um weitere Ausnahmen zu konfigurieren.
    In Erkennungsausnahmen werden UND-Anweisungen auf alle Bedingungen angewendet. Alle Bedingungen müssen erfüllt sein, damit die Ausnahme wahr ist. Wenn Sie einen Wert für eine Bedingung angeben, wird dieser als ODER-Anweisung behandelt. Wenn zwei oder mehr Werte hinzugefügt werden und mindestens einer der Werte vorhanden ist, ist die Bedingung wahr.
  5. Klicken Sie auf Speichern.
Klicken Sie in der Menüleiste auf Focus > Konfigurationen und dann auf die Registerkarte Regelsätze. Bearbeiten Sie einen Erkennungsregelsatz und weisen Sie die Erkennungsausnahme den gewünschten Regeln zu. Klicken Sie auf Bestätigen.