Исключения из телеметрии EDR Expert (on-premises)

Для повышения производительности и оптимизации отправки данных на Сервер сбора телеметрии вы можете добавить исключения из телеметрии. Например, вы можете отменить обработку данных о сетевых коммуникациях для отдельных приложений.

Использование слишком большого количества правил может привести к увеличению нагрузки на Сервер сбора телеметрии и снижению производительности компьютера. Рекомендуется добавлять только необходимые правила.

Чтобы создать исключение из телеметрии в Web Console и Cloud Console, выполните следующие действия:

1. В главном окне Web Console выберите вкладку Управление активами → Политики.
2. Нажмите на название политики Kaspersky Endpoint Security.

   Откроется окно свойств политики.

3. Выберите вкладку Параметры приложения.
4. Перейдите в раздел Общие настройки → Настройки телеметрии.
5. Выберите вкладку Телеметрия EDR Expert (on-premises).
6. В блоке Общие исключения нажмите на кнопку Добавить.

   Откроется окно Добавление правила исключения.

7. При необходимости измените статус правила. По умолчанию правило включено.
8. Введите имя правила.
9. Выберите действие, которое будет выполнено при срабатывании правила:
   • Не собирать. Отфильтрованное событие будет исключено из отправляемой телеметрии.
   • Исключить IOA. Из отправляемой телеметрии будет исключено событие о срабатывании IOA-правила.
10. Если выбран вариант Исключить IOA, укажите IOA-правила, которые необходимо добавить в исключения:
    • Исключить все. При выполнении заданного условия приложение будет исключать из телеметрии события, формируемые на основе всех IOA-правил.
    • Исключить по GUID. Укажите GUID IOA-правила. Вы можете указать несколько GUID через ,. Подробную информацию об IOA-правилах см. в справке EDR Expert (on-premises).
11. Задайте условие фильтрации:
    1. Выберите название поля, по которому будет выполняться фильтрация.
    2. Выберите оператор (см. таблицу ниже), и укажите значение, с которым будет сравниваться значение поля из события.

    Перечень операторов условий

    Оператор	Описание
    <	Если значение поля меньше значения, заданного в условии, событие будет отфильтровано.
    ≤	Если значение поля меньше или равно значению, заданному в условии, событие будет отфильтровано.
    =	Если значение поля равно значению, заданному в условии, событие будет отфильтровано.
    ≥	Если значение поля больше или равно значению, заданному в условии, событие будет отфильтровано.
    >	Если значение поля больше значения, заданного в условии, событие будет отфильтровано.
    ≠	Если значение поля не равно значению, заданному в условии, событие будет отфильтровано.
    похоже	Если значение поля подходит под маску, указанную в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    не похоже	Если значение поля не подходит под маску, указанную в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    одно из	Если значение поля совпадает с одним из значений из заданного в условии списка, событие считается отфильтрованным.
    ни одного из	Если значение поля не совпадает ни с одним из значений из заданного в условии списка, событие считается отфильтрованным.
    похоже на одно из	Если значение поля подходит под одну из масок, заданных в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    не похоже ни на одно из	Если значение поля не подходит ни под одну из масок, заданных в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    существует	Если указанное в условии поле содержится в событии, событие будет отфильтровано.
    не существует	Если указанное в условии поле не содержится в событии, событие будет отфильтровано.
    содержит	Если значение, заданное в условии, содержится в значении поля, событие будет отфильтровано.
    равно	Если значение поля равно значению, заданному в условии, событие будет отфильтровано. Проверка выполняется без учета регистра.
    И (побитовый)	Если результат операции "Побитовое И" (&) для значения поля и значения, указанного в условии, равен 1, событие будет отфильтровано.

12. При необходимости вы можете формировать сложные критерии фильтрации, добавляя несколько условий фильтрации и групп условий. Также в группу условий вы можете добавлять вложенные условия и группы условий. Вы можете использовать следующие операторы:
    • И – фильтр отбирает события, которые соответствуют всем указанным условиям.
    • ИЛИ – фильтр отбирает события, которые соответствуют одному из указанных условий.
    • НЕ (для использования данного оператора выберите вариант Добавить НЕ перед) – фильтр отбирает события, которые не соответствуют всем указанным условиям.

    Условия и группы условий первого уровня объединены с помощью оператора И.

13. Если компьютер находится под управлением OSMP, вам доступна проверка созданного правила фильтрации. Для выполнения проверки нажмите на кнопку Проверить правило.

    В открывшемся окне отобразится таблица событий, отфильтрованных с помощью созданного правила. Подробнее см. в справке EDR Expert (on-premises).

14. Если требуется, в блоке Все типы событий добавьте исключения из телеметрии по типу событий:
    1. Нажмите на название типа события.
    2. В открывшемся окне нажмите на кнопку Настроить вручную.
    3. При необходимости настройте отправку телеметрии по выбранному типу событий с помощью переключателя Отправлять событие. По умолчанию включена отправка телеметрии по всем типам событий.
    4. В блоке Правила исключения нажмите на кнопку Добавить.

       Откроется окно Добавление правила исключения.

    5. Выполните действия, описанные в шагах 7-13, для каждого добавляемого правила.
15. Для некоторых типов событий вы также можете добавить правила включения для расширения собираемой телеметрии:
    1. В блоке Правила включения нажмите на кнопку Добавить.

       Откроется окно Добавление правила включения.

    2. Введите имя правила.
    3. В блоке Условие введите значения для отображаемых полей. Тип доступных полей зависит от выбранного события.

    Правила исключения имеют приоритет над правилами включения.

16. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.