Anti-Malware-Ausnahmen erstellen

Hinweis Sie können Dateien auch von Echtzeit-, manuellen und zeitgesteuerten Suchläufen ausschließen. Siehe Dateien zum Durchsuchen angeben.

• Anti-Malware-Scans
• Vorausschauendes Maschinenlernen durchsucht (weitere Informationen finden Sie unter Erkennen aufkommender Bedrohungen mit Vorausschauendem Maschinenlernen.)
• Durchsucht nach Spyware und Grayware (weitere Informationen finden Sie unter DURCHSUCHEN nach Spyware und Grayware)
• Verhaltensüberwachungsschutz (weitere Informationen finden Sie unter Erweiterte Anti-Malware- und Ransomware-Überprüfung mit Verhaltensüberwachung)

1. Um die Listen der Ausnahmen anzuzeigen, öffnen Sie den Richtlinien- oder Computer-Editor.
2. Klicken Sie auf Anti-Malware → Erweitert.

• Allowed Spyware/Grayware: Erlauben Sie Anwendungen, die als Spyware oder Grayware identifiziert wurden, auf einigen Systemen zu verbleiben. Verwenden Sie die Anti-Malware-Spyware-Erkennungsereignisse, um Ausnahmen hinzuzufügen.
• Ausnahmeregeln: Erstellen Sie Erkennungsausnahmen basierend auf der Regel-ID. Finden Sie Regel-IDs, indem Sie Ereignisse in Events & Reports anzeigen. Regelausnahmen gelten sowohl für Malware-Suchen als auch für die Verhaltensüberwachung.
• Behavior Monitoring Protection Exceptions: Dateien von der Erkennung durch den Verhaltensüberwachungsschutz ausnehmen.
• Predictive Machine Learning Detection Exceptions: Dateien basierend auf dem SHA1-Hash ausnehmen.
• Trusted Certificates Detection Exceptions: Wählen Sie, ob Dateien mit einem vertrauenswürdigen Zertifikat von Erkennungen ausgenommen werden sollen.

Erstellen Sie eine Dateiausnahme aus einem Anti-Malware-Ereignis

1. Klicken Sie auf Events & Reports → Ereignisse → Anti-Malware Events und suchen Sie das Malware-Erkennungsereignis.
2. Anklicken des Ereignisses mit der rechten Maustaste.
3. Wählen Sie Zulassen aus.

Manuell eine Anti-Malware-Ausnahme erstellen

Hinweis Das Erstellen von mehr als 512 Anti-Malware-Ausnahmeeinträgen führt dazu, dass Ausnahmen nicht mehr funktionieren.

Sie können manuell Anti-Malware-Ausnahmen mithilfe der Ausnahmelisten erstellen. Um eine Ausnahme manuell hinzuzufügen, benötigen Sie spezifische Informationen aus dem Anti-Malware-Ereignis, das der Scan generiert hat. Der Typ der Malware oder des Scans bestimmt die Informationen, die Sie benötigen:

• Spyware or grayware: Der Wert im Feld "MALWARE" des Anti-Malware-Ereignisses. Zum Beispiel, SPY_CCFR_CPP_TEST.A.
• Rule exceptions: Die Regel-ID, die im Abschnitt Informationen zur Bedrohung des Anti-Malware Event Viewer gefunden wurde. Zum Beispiel, RAN4685T

  Hinweis Regel-IDs sind case-sensitiv. Das Erstellen von Ausnahmen für Regeln mit Regel-IDs für maschinelles Lernen bezogene TRX-Malware (wie Ransom.Win32.TRX) oder VSAPIX-Malware (wie Trojan.Win32.VSX.PE04C93) wird derzeit nicht unterstützt.

• Behavior monitoring: Der Pfad des Image des Vorgangs. Zum Beispiel, C:\test.exe.
• Predictive machine learning: Der SHA1-Hash der Datei aus dem Feld "DATEI SHA-1" des Anti-Malware-Ereignisses. Zum Beispiel, 3395856CE81F2B7382DEE72602F798B642F14140.

Wichtig Regelausnahmen unterstützen das Hinzufügen von Vorausschauendes Maschinenlernen-Regeln nicht. Dazu gehören Regeln, die TRX oder VSX in der Regel-ID enthalten. Sie können bis zu 256 Regel-IDs für Ausnahmeregeln angeben. Richtlinien können insgesamt nur bis zu 512 Regeln unterstützen (256 von der übergeordneten Richtlinie geerbte Regeln plus 256 zusätzlich definierte Regeln) Regel-IDs sind case-sensitiv.

1. Klicken Sie auf Events & Reports → Ereignisse → Anti-Malware Events und kopieren Sie den Feldwert, der zur Identifizierung der Malware erforderlich ist.
2. Öffnen Sie den Richtlinien- oder Computer-Editor, in dem Sie die Ausnahme erstellen möchten.
3. Klicken Sie auf Anti-Malware → Erweitert.
4. Fügen Sie die Informationen zur entsprechenden Ausnahmeliste hinzu.
5. Klicken Sie auf Hinzufügen.

Ausnahmeliste, Unterstützung von Platzhaltern

• Sternchen (*): Steht für ein beliebiges Zeichen oder eine Zeichenfolge.

Hinweis Die Ausnahmeliste der Verhaltensüberwachung unterstützt die Verwendung von Platzhalterzeichen zum Ersetzen von Systemlaufwerksbezeichnungen oder innerhalb von Universal Naming Convention (UNC)-Adressen nicht.

Ausnahmestrategien für Spyware und Grayware

Empfehlungen für Suchausschlüsse

• Quarantäne-Ordner (wie SMEX auf Microsoft Windows Exchange Server) sollten ausgeschlossen werden, um zu vermeiden, dass Dateien erneut gescannt werden, die bereits als Malware bestätigt wurden.
• Große Datenbanken und Datenbankdateien (zum Beispiel dsm.mdf und dsm.ldf) sollten ausgeschlossen werden, da das Durchsuchen die Datenbankleistung beeinträchtigen könnte. Falls es notwendig ist, Datenbankdateien zu durchsuchen, können Sie eine geplante Aufgabe erstellen, um die Datenbank außerhalb der Stoßzeiten zu durchsuchen. Da Microsoft SQL Server-Datenbanken dynamisch sind, schließen Sie das Verzeichnis und die Sicherungsordner von der Durchsuchungsliste aus:

Dateien ausschließen, die mit einem vertrauenswürdigen Zertifikat signiert sind

Hinweis Dieser Ausschlusstyp wird mit Version 20.0.0-3549+ Agenten auf Windows unterstützt.

1. Gehen Sie im Richtlinien- oder Computer-Editor zu Anti-Malware → Erweitert.
2. Im Abschnitt Trusted Certificates Detection Exemptions setzen Sie Exclude files with trusted certificate auf "Ja" oder "Geerbt (Ja)".
3. Wählen Sie Manage Certificate List aus.
4. Im Fenster "Vertrauenswürdige Zertifikate" werden alle Zertifikate angezeigt, die Sie importiert haben. Wählen Sie Import From File, um ein weiteres für Suchausschlüsse hinzuzufügen.
5. Wählen Sie die Zertifikatdatei aus und wählen Sie dann Weiter.
6. Überprüfen Sie die angezeigte Zertifikatszusammenfassung und setzen Sie Trust this certificate for auf Ausschlüsse aus Suche. Wählen Sie Weiter.
7. Die Zusammenfassungsseite zeigt an, ob der Import erfolgreich war. Wählen Sie Schließen.

Tipp Server- und Workload Protection überprüft die Ausnahmeliste, wenn ein Prozess startet. Wenn ein Prozess läuft, bevor die Ausnahme konfiguriert wird, wird der Prozess erst zur Ausnahmeliste hinzugefügt, wenn er neu gestartet wird.