Sophos Intercept X
De collector uitsluiten in Sophos Intercept X via Global Exclusions in Sophos Central, inclusief exploit mitigation, netwerk-IPS en Synchronized Security.
Sophos Intercept X kan het programma van de collector blokkeren, zijn gedrag als exploit zien of zijn netwerkverkeer tegenhouden. In dit artikel maak je in Sophos Central de uitzonderingen die de collector nodig heeft.
Wat je nodig hebt
- Programma:
C:\Program Files\Obsolens\obsolens-collector.exe(Linux:/usr/local/bin/obsolens-collector) - Gegevensmap:
C:\ProgramData\Obsolens\(Linux:/etc/obsolens/) PLATFORM_FQDN: het adres van het portaal (bijv.portal.obsolens.com)COLLECTOR_IP: het IP-adres van de collector
Deze waarden staan in het portaal onder Toegang regelen bij de collector. Kies daar Sophos Intercept X (Central) bij Stappen voor voor de stappen met ingevulde waarden.
Stappen
- Open in Sophos Central General Settings (het tandwiel) > General > Global Exclusions.
- Klik Add Exclusion en maak de uitzonderingen hieronder, één voor één.
| Type | Waarde | Waarom |
|---|---|---|
| Process (Windows) | C:\Program Files\Obsolens\obsolens-collector.exe | Het proces en de bestanden die het opent worden overgeslagen. |
| File or folder (Windows, Mac, Linux) | het programma en de gegevensmap | Voorkomt dat de bestanden van de collector worden gescand of verwijderd. |
| Exploit Mitigation and Activity Monitoring (Windows) | het programma, op pad | Gedrags- en exploitcontroles op het proces. |
| Malicious Network Traffic Prevention (IPS) (Windows) | het verkeer van de collector | Voor het verkeer naar PLATFORM_FQDN en naar de gescande netwerken. |
| Website | PLATFORM_FQDN | Web Control en categoriecontrole. |
- Sla elke uitzondering op.
Let op: bij een file/folder-uitzondering op Windows blijven de exploitcontroles actief. Voeg daarom ook de uitzondering Exploit Mitigation and Activity Monitoring toe.
Er is al een detectie
Heeft Intercept X al een exploit gedetecteerd bij de collector, kies dan het type Detected Exploits (Windows / Mac). Selecteer de exploit uit de lijst, of vul via Exploit not listed? het detectie-ID in.
Synchronized Security en isolatie
Werkt de klant met Synchronized Security en draait de collector op een server met een Sophos-agent, zet de collector dan in Sophos Central onder Global Settings > Protection and Remediation > Synchronized Security bij Reject connections from other devices > Exclusions. Endpoints blijven hem dan bereiken, ook als ze een rode health-status hebben.
Het type Device isolation bij Global Exclusions laat een geïsoleerd apparaat beperkt communiceren. Dat is niet nodig voor de collector zelf.
Gebruikt de klant ook een Sophos Firewall, lees dan Sophos Firewall voor de uitzonderingen op de firewall.
Controleren
- Start in het portaal Nu scannen.
- Kijk in Sophos Central bij de gebeurtenissen of er nog detecties of blokkades voor de collector zijn.
Bronnen
- https://docs.sophos.com/central/Customer/help/en-us/ManageYourProducts/GlobalSettings/GlobalExclusions/
- https://docs.sophos.com/central/customer/help/en-US/ManageYourProducts/GlobalSettings/GlobalExclusions/DetectedExploitsExclusions/
- https://docs.sophos.com/central/Customer/help/en-us/ManageYourProducts/GlobalSettings/ProtectionRemediation/SynchronizedSecurity/