Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

Microsoft Defender

De collector uitsluiten in Microsoft Defender Antivirus en Defender for Endpoint via Intune, GPO of PowerShell, met indicators, ASR en suppressieregels voor EDR-meldingen.

Microsoft Defender kan de collector zien als verdacht: een programma dat als SYSTEM draait en veel verbindingen in het netwerk maakt. In dit artikel sluit je de collector uit, zodat Defender hem niet in quarantaine zet en geen meldingen over netwerkdiscovery geeft.

Wat je nodig hebt

  • Programma: C:\Program Files\Obsolens\obsolens-collector.exe (Linux: /usr/local/bin/obsolens-collector)
  • Gegevensmap: C:\ProgramData\Obsolens (Linux: /etc/obsolens)
  • SHA-256 van het programma

Je vindt deze waarden in het portaal onder Toegang regelen bij de collector. Kies daar Microsoft Defender (Antivirus / for Endpoint) bij Stappen voor voor de stappen met ingevulde waarden. De SHA-256 verschijnt zodra de collector hem heeft gemeld.

Let op: het programma van de collector is op dit moment niet digitaal ondertekend. Een uitzondering op certificaat kan dus nog niet. Gebruik een uitzondering op pad, of een indicator op de bestandshash. De hash verandert bij elke nieuwe versie.

Uitsluiten via Intune (aanbevolen)

  1. Ga naar Endpoint security > Antivirus > Create policy.
  2. Kies Platform Windows en Profile Microsoft Defender Antivirus exclusions.
  3. Vul in:
    • Excluded paths: C:\Program Files\Obsolens\obsolens-collector.exe en C:\ProgramData\Obsolens\
    • Excluded processes: C:\Program Files\Obsolens\obsolens-collector.exe
  4. Wijs het beleid toe aan de collector en sla op.

Uitsluiten via GPO

  1. Ga naar Computer configuration > Administrative templates > Windows components > Microsoft Defender Antivirus > Exclusions.
  2. Open Path Exclusions, zet het op Enabled en klik Show.... Vul bij Value name het programma en de gegevensmap in, elk met Value 0.
  3. Doe hetzelfde bij Process Exclusions voor het programma.

Uitsluiten via PowerShell

Add-MpPreference -ExclusionPath "C:\Program Files\Obsolens\obsolens-collector.exe"
Add-MpPreference -ExclusionPath "C:\ProgramData\Obsolens"
Add-MpPreference -ExclusionProcess "C:\Program Files\Obsolens\obsolens-collector.exe"
  • -ExclusionProcess sluit alleen de bestanden uit die het proces opent, niet het proces zelf. Daarom is ook de pad-uitsluiting nodig.
  • Gebruik Add- en niet Set-. Set- overschrijft de bestaande uitsluitingen.
  • Controleer met MpCmdRun.exe -CheckExclusion -Path <pad>.

Defender for Endpoint op Linux

mdatp exclusion process add --path /usr/local/bin/obsolens-collector --scope global
mdatp exclusion folder add --path /etc/obsolens/

Indicators

In de Defender-portal kun je een File hash-indicator met actie Allow maken voor de SHA-256 van de collector. Allow geeft geen meldingen. Het menupad Settings > Endpoints > Indicators is niet bevestigd op de geraadpleegde pagina van de fabrikant. Indicators werken niet als Defender Antivirus in passive mode staat. Omdat de hash per versie verandert, moet je de indicator na elke update vernieuwen.

ASR-regels

ASR-regels respecteren de antivirus-uitsluitingen en allow-indicators hierboven. Daarnaast bestaan er algemene uitsluitingen en uitsluitingen per ASR-regel.

EDR-meldingen over netwerkdiscovery

De uitsluitingen hierboven gelden alleen voor Defender Antivirus, niet voor de EDR van Defender for Endpoint. Krijg je een EDR-melding over netwerkscannen:

  1. Open de melding onder Alerts.
  2. Kies ... > Create suppression rule en beperk de regel tot de collector.

Grijpt automatisch onderzoek en herstel (AIR) in, gebruik dan automation folder exclusions. Microsoft raadt af om AIR uit te zetten.

Is er sprake van een echte false positive, dien het bestand dan in via Submissions in de Defender-portal of via de Microsoft Security Intelligence-portal (aka.ms/wdsi).

Controleren

  1. Start in het portaal Nu scannen.
  2. Kijk in de Defender-portal of er nog meldingen of quarantaineacties voor de collector zijn.

Bronnen

Zie ook