Hvordan opretter jeg ekskluderinger og blacklist i SentinelOne?

Introduktion

Denne guide gennemgår, hvordan ekskluderinger og blacklist oprettes i SentinelOne, enten i forbindelse med en registreret threat, eller manuelt på en specifik mappe.

Forudsætninger

En ekskludering tillader potentielt noget uønsket at afvikles fra den givne mappe, og bør derfor overvejes nøje. Ekskluderinger gælder for alle maskiner i samme mappe i SentinelOne — det kan derfor være en fordel at opdele maskiner i flere mapper (fx pr. underkunde, eller efter installeret applikationstype som SQL eller Exchange), så ikke alle maskiner deler samme ekskluderinger. Laves en ekskludering på "site"-niveau, nedarves den til alle underliggende mapper.

Sådan gør du (step-by-step)

Ekskludering fra en threat

1. Når en threat er blevet stoppet, så vil det se sådan ud i kontrolpanelet
   
   
   
2. Vurderes en registreret threat at være en falsk positiv, klik ind på den enkelte threat
   
   
   
3. Klik på "Actions" i øverste højre hjørne, og vælg "Add to Exclusions"
   
   
4. Tjek filens hash-værdi, og ret evt. beskrivelsen (som standard kun stien hvor filen blev fundet)
   

Manuelt oprettet ekskludering

1. Gå til menupunktet "Sentinels" i venstre side, og vælg "Exclusions" i toppen af menubjælken
   
   
   
2. Klik på "Path", og derefter "New exclusion"
   
   
3. Udfyld stien til mappen, og tillad evt. undermapper
   
   
4. Under "More options", vælg typen af ekskludering — anbefalet er "Interoperability" (listen går fra "mindst ekskluderet, mest sikkert" til "mest ekskluderet, mindst sikkert" — start altid med Interoperability, og vælg kun en lavere mode ved fortsatte problemer)
   

Ekskluderinger fra katalog
Indbygget i SentinelOne's portal, er der indbygget en række foruddefinerede ekskludering, som kan sættes på via "Path" som beskrevet i ovenstående tekst:

1. Under "Path", vælg "Add from Exclusion Catalog"
   
   
   
2. Søg den ønskede applikation frem (fx SQL servers)
   
   
   
3. Klik "Exclude from Current Scope" nederst i højre hjørne for at anvende de markerede regler på den aktuelle mappe
   
   
   

Blacklist

1. Gå til "Sentinels", og derefter "Blacklists" i toppen
   
   
   
2. Klik "Add new", og udfyld boksen med en SHA1-værdi (kun SHA1 accepteres p.t.)
   

Værd at vide

• Kataloget indeholder ikke al software — manuelle tilretninger kan stadig være nødvendige, men kataloget kan bruges som en rettesnor for at lette en del af arbejdet.
• Blacklist bruges til at fjerne kendte skadelige filer (via SHA1) fra alle maskiner med SentinelOne, fx hvis man er blevet bekendt med en specifik trussel.

Relaterede artikler