Creación y modificación de una exclusión para una regla del Control de anomalías adaptativo

No es posible crear más de 1000 exclusiones para las reglas del Control de anomalías adaptable. No se recomienda crear más de 200 exclusiones. Si necesita reducir el número de exclusiones que utiliza, considere usar máscaras en la configuración de las exclusiones.

Una exclusión de una regla del Control de anomalías adaptable incluye una descripción de los objetos de origen y de destino. El objeto de origen es el que realiza las acciones. El objeto de destino es el que se ve afectado por dichas acciones. Supongamos que se abre un archivo denominado archivo.xlsx. Como resultado se carga en la memoria del equipo un archivo de biblioteca con la extensión DLL. Esta biblioteca se utiliza en un navegador (archivo ejecutable denominado browser.exe). En el marco de este ejemplo, archivo.xlsx es el objeto de origen, Excel es el proceso de origen, navegador.exe es el objeto de destino y Navegador es el proceso de destino.

Para crear o modificar una exclusión para una regla del Control adaptable de anomalías:

1. En la ventana principal de la aplicación, haga clic en el botón Configuración.
2. En la ventana de configuración de la aplicación, seleccione Controles de seguridad → Control de anomalías adaptativo.
3. En la tabla que verá en la derecha de la ventana, seleccione una regla.
4. Haga clic en el botón Modificar.

   Se abre la ventana Regla de Control de anomalías adaptable.

5. Realice una de las siguientes acciones:
   • Para añadir una exclusión, haga clic en el botón Añadir.
   • Para modificar una exclusión que ya exista, seleccione la fila correspondiente en la tabla Exclusiones y haga clic en el botón Modificar.

   Se abre la ventana Exclusión de la regla.

6. En el campo Descripción, describa la exclusión.
7. Haga clic en el botón Examinar ubicado junto al campo Usuario para especificar a quiénes afectará la exclusión.

   Se abre la ventana Seleccionar Usuarios o Grupos estándar de Microsoft Windows.

8. Defina los parámetros del objeto de origen o de el proceso de origen iniciados por el objeto:
   • Proceso de origen. Ruta (o máscara de ruta) de acceso al archivo o a una carpeta con archivos (por ejemplo, С:\Dir\Archivo.exe o Dir\*.exe).
   • Hash del proceso de origen. Código hash del archivo.
   • Objeto de origen. Ruta (o máscara de ruta) de acceso al archivo o a una carpeta con archivos (por ejemplo, С:\Dir\Archivo.exe o Dir\*.exe). También podría usar, por ejemplo, la ruta a un archivo de nombre document.docm, que utilice un script o una macro para iniciar los procesos de destino.

     También es posible especificar otras clases de objetos, como direcciones web, macros, comandos para la línea de comandos o rutas del Registro. Para ello, utilice la plantilla object://<objeto>, reemplazando <objeto> con el nombre del objeto (por ejemplo, object://sitio.web.example.com, object://VBA, object://ipconfig, object://HKEY_USERS). También puede usar máscaras (por ejemplo, object://*C:\Windows\temp\*).

   • Hash del objeto de origen. Código hash del archivo.

   La regla del Control de anomalías adaptable no se aplicará a las acciones que el objeto realice o a los procesos que el objeto inicie.

9. Especifique los parámetros del objeto de destino o de los procesos de destino iniciados en los que el objeto esté involucrado.
   • Proceso objetivo. Ruta (o máscara de ruta) de acceso al archivo o a una carpeta con archivos (por ejemplo, С:\Dir\Archivo.exe o Dir\*.exe).
   • Hash del proceso de destino. Código hash del archivo.
   • Objeto objetivo. Comando para iniciar el proceso de destino. Para especificar el comando, utilice el modelo object://<comando> (por ejemplo, object://cmdline:powershell -Command "$result = 'C:\windows\temp\result_local_users_pwdage.txt'"). También puede usar máscaras (por ejemplo, object://*C:\windows\temp\*).
   • Hash del objeto de destino. Código hash del archivo.

   La regla del Control de anomalías adaptable no se aplicará a las acciones que afecten al objeto o a los procesos en los que el objeto esté involucrado.

10. Guarde los cambios.

Inicio de página