Исключения из телеметрии EDR Expert (on-premises)

Для повышения производительности и оптимизации отправки данных на Сервер сбора телеметрии вы можете настроить исключения из телеметрии. Например, вы можете отменить обработку данных о сетевых коммуникациях для отдельных приложений.

Kaspersky Industrial CyberSecurity for Nodes поддерживает суммарно не более 10 000 включающих и исключающих правил фильтрации событий EDR Expert (on-premises).

Правила фильтрации событий EDR Expert (on-premises) не будут переданы из политики на управляемые устройства с Kaspersky Industrial CyberSecurity for Nodes версии 4.5 и ниже в случае превышения поддерживаемого объема хранимых правил фильтрации. Приложение отобразит соответствующее предупреждение.

Чтобы создать исключение из телеметрии в Web Console:

1. В главном окне Web Console выберите Управление активами → Политики.
2. Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.

   Откроется окно свойств политики.

3. Выберите вкладку Параметры приложения.
4. Перейдите в раздел Дополнительные возможности.
5. В блоке Настройки телеметрии нажмите на кнопку Настроить.
6. Выберите вкладку Телеметрия EDR Expert (on-premises).
7. В блоке Общие исключения нажмите на кнопку Добавить.

   Откроется окно Добавление правила исключения.

8. При необходимости измените статус правила. По умолчанию правило включено.
9. Введите имя правила.
10. Выберите действие, которое будет выполнено при срабатывании правила:
    • Не собирать. Отфильтрованное событие будет исключено из отправляемой телеметрии.
    • Исключить IOA. Из отправляемой телеметрии будет исключено событие о срабатывании IOA-правила.
11. Если выбран вариант Исключить IOA, укажите IOA-правила, которые необходимо добавить в исключения:
    • Исключить все. При выполнении заданного условия приложение будет исключать из телеметрии события, формируемые на основе всех IOA-правил.
    • Исключить по GUID. Укажите GUID IOA-правила. Вы можете указать несколько GUID через ,. Подробную информацию об IOA-правилах см. в справке EDR Expert (on-premises).
12. Задайте условие фильтрации:
    1. Выберите название поля, по которому будет выполняться фильтрация.
    2. Выберите оператор (см. таблицу ниже), и укажите значение, с которым будет сравниваться значение поля из события.

    Перечень операторов условий

    Оператор	Описание
    <	Если значение поля меньше значения, заданного в условии, событие будет отфильтровано.
    ≤	Если значение поля меньше или равно значению, заданному в условии, событие будет отфильтровано.
    =	Если значение поля равно значению, заданному в условии, событие будет отфильтровано.
    ≥	Если значение поля больше или равно значению, заданному в условии, событие будет отфильтровано.
    >	Если значение поля больше значения, заданного в условии, событие будет отфильтровано.
    ≠	Если значение поля не равно значению, заданному в условии, событие будет отфильтровано.
    похоже	Если значение поля подходит под маску, указанную в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    не похоже	Если значение поля не подходит под маску, указанную в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    одно из	Если значение поля совпадает с одним из значений из заданного в условии списка, событие считается отфильтрованным.
    ни одного из	Если значение поля не совпадает ни с одним из значений из заданного в условии списка, событие считается отфильтрованным.
    похоже на одно из	Если значение поля подходит под одну из масок, заданных в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    не похоже ни на одно из	Если значение поля не подходит ни под одну из масок, заданных в условии, событие будет отфильтровано. Приложение поддерживает символы * и ? для ввода маски.
    существует	Если указанное в условии поле содержится в событии, событие будет отфильтровано.
    не существует	Если указанное в условии поле не содержится в событии, событие будет отфильтровано.
    содержит	Если значение, заданное в условии, содержится в значении поля, событие будет отфильтровано.
    равно	Если значение поля равно значению, заданному в условии, событие будет отфильтровано. Проверка выполняется без учета регистра.
    побитовое "И"	Если результат операции "Побитовое И" (&) для значения поля и значения, указанного в условии, равен 1, событие будет отфильтровано.

13. При необходимости вы можете формировать сложные критерии фильтрации, добавляя несколько условий фильтрации и групп условий. Также в группу условий вы можете добавлять вложенные условия и группы условий. Вы можете использовать следующие операторы:
    • И – фильтр отбирает события, которые соответствуют всем указанным условиям.
    • ИЛИ – фильтр отбирает события, которые соответствуют одному из указанных условий.
    • НЕ (для использования данного оператора выберите вариант Добавить НЕ перед) – фильтр отбирает события, которые не соответствуют всем указанным условиям.

    Условия и группы условий первого уровня объединены с помощью оператора И.

14. Если компьютер находится под управлением OSMP, вам доступна проверка созданного правила фильтрации. Для выполнения проверки нажмите на кнопку Проверить правило.

    В открывшемся окне отобразится таблица событий, отфильтрованных с помощью созданного правила. Подробнее см. в справке EDR Expert (on-premises).

15. Если требуется, в блоке Все типы событий добавьте исключения из телеметрии по типу событий:
    1. Нажмите на название типа события.
    2. В открывшемся окне нажмите на кнопку Настроить вручную.
    3. При необходимости настройте отправку телеметрии по выбранному типу событий с помощью переключателя Отправлять событие. По умолчанию включена отправка телеметрии по всем типам событий.
    4. В блоке Правила исключения нажмите на кнопку Добавить.

       Откроется окно Добавление правила исключения.

    5. Выполните действия, описанные в шагах 7-13, для каждого добавляемого правила.
16. Для некоторых типов событий вы также можете добавить правила включения для расширения собираемой телеметрии:
    1. В блоке Правила исключения нажмите на кнопку Добавить.

       Откроется окно Добавление правила включения.

    2. Введите имя правила.
    3. В блоке Условие введите значения для отображаемых полей. Тип доступных полей зависит от выбранного события.

    Правила исключения имеют приоритет над правилами включения.

17. Сохраните внесенные изменения. Для применения политики на компьютерах, закройте замки .