Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

ESET PROTECT

De collector toestaan in ESET PROTECT met een IDS-regel op de gescande endpoints en uitzonderingen voor het programma op de collector zelf.

Bij ESET speelt de collector op twee plekken. De endpoints die gescand worden, kunnen de scan melden of blokkeren als TCP-portscan. En op de machine van de collector zelf kan ESET het programma scannen of bewaken. In dit artikel regel je beide.

Wat je nodig hebt

  • COLLECTOR_IP: het IP-adres van de collector;
  • Programma: C:\Program Files\Obsolens\obsolens-collector.exe (Linux: /usr/local/bin/obsolens-collector).

Beide staan in het portaal onder Toegang regelen bij de collector. Kies daar ESET PROTECT bij Stappen voor voor de stappen met ingevulde waarden.

Op de gescande endpoints: IDS-regel

ESET noemt TCP-portscans zelf als bekende bron van false positives bij Network Attack Protection. Met een IDS-regel voor het IP-adres van de collector voorkom je dat.

  1. Open in ESET PROTECT de policy voor de endpoints die gescand worden.
  2. Ga naar Settings > Protections > Network access protection en klap Network Attack Protection open.
  3. Klik bij IDS rules op Edit en daarna Add.
  4. Vul in:
    • Detection: Any Detection, of specifiek, bijvoorbeeld een TCP-portscan
    • Remote IP address: COLLECTOR_IP
  5. Zet de acties Block, Notify en Log op No.
  6. Sla de regel en de policy op.
  7. Pas de policy toe op alle endpoints die de collector scant.

Op een endpoint zelf heet dezelfde instelling Advanced setup > Protections > Network access protection > Network attack protection > IDS rules.

Vanuit een detectie

Heeft ESET al een detectie gemaakt, dan kun je de uitzondering ook vanuit die detectie maken:

  1. Ga in de console naar Detections en klik de detectie aan.
  2. Kies Create Exclusion.
  3. Voor een Firewall IDS-detectie kies je uit Detection & context, IP address, Detection of Application. Kies IP address met COLLECTOR_IP.

Je beheert deze uitzonderingen via More > Exclusions. Detection exclusions kun je niet in een policy maken. Ze vervangen standaard de lokale lijst op het endpoint, tenzij je Allow appending detection exclusions to locally defined list aanzet.

Op de collector zelf

Draait de collector op een machine met ESET, sluit het programma dan uit:

  1. Processes exclusions: ga in de policy naar Advanced setup > Protections > Real-time file system protection > Processes exclusions en voeg obsolens-collector.exe toe. Het proces wordt dan niet bewaakt en bestanden die het opent worden niet gescand.
  2. Performance exclusions (optioneel): ga naar Advanced setup > Detection engine > Exclusions > Performance exclusions en voeg het pad van het programma toe. Real-time file system protection en Computer scan slaan het pad dan over.

Bij een detectie van het programma zelf kun je ook vanuit Detections > Create Exclusion kiezen voor Path & Detection, Exact files (hash) of Detection. Een uitzondering op hash moet je na elke update van de collector vernieuwen.

Controleren

  1. Start in het portaal Nu scannen.
  2. Kijk in ESET PROTECT of er nog detecties van Network Attack Protection met COLLECTOR_IP als bron binnenkomen.
  3. Antwoorden de endpoints nog steeds niet? Dan houdt waarschijnlijk de firewall van het besturingssysteem de scan tegen. Zie Windows Firewall op gescande computers.

Bronnen

Zie ook