Skip to main content
  • Place orders quickly and easily
  • View orders and track your shipping status
  • Create and access a list of your products

如何为 VMware Carbon Black Cloud 创建排除项或包含项

Summary: 可以按照这些说明配置 VMware Carbon Black 排除项和包含项。

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.

Instructions

VMware Carbon Black 使用声誉和权限规则来处理下一代防病毒 (NGAV) 排除项(批准列表)和包含项(禁止列表)。VMware Carbon Black Standard、VMware Carbon Black Cloud Advanced 和 VMware Carbon Black Cloud Enterprise 使用端点检测和响应 (EDR)。此外,EDR 还受声誉和权限规则影响。本文指导管理员设置这些值,并概述可能相关的任何警告。


受影响的产品:

VMware Carbon Black Cloud Prevention
VMware Carbon Black Cloud Standard
VMware Carbon Black Cloud Advanced
VMware Carbon Black Cloud Enterprise

受影响的操作系统:

Windows
Mac
Linux


 

VMware Carbon Black 入职培训第 3 部分:策略和组

持续时间:03:37
隐藏式字幕:提供多种语言版本

VMware Carbon Black Cloud 将策略声誉结合使用来确定所发生的操作。

单击相应的主题以了解更多信息。

VMware Carbon Black Cloud Prevention 策略与 VMware Carbon Black Cloud Standard、Advanced 和企业策略不同。单击相应的产品以了解更多信息。

由于不使用 EDR,因此 VMware Carbon Black Cloud Prevention 为权限规则以及阻止和隔离规则提供了简化的方法。

提醒:其他选项包含在 VMware Carbon Black Cloud Standard、VMware Carbon Black Cloud Advanced 和 VMware Carbon Black Cloud Enterprise 中。有关影响 EDR 的其他选项的信息,请参阅本文的标准版、高级版和企业版部分。

单击相应的主题以了解更多信息。

权限规则确定位于指定路径的应用程序可执行的操作。

权限规则基于路径,优先于阻止和隔离规则以及声誉。

要创建权限规则,请执行以下操作:

  1. 在网页浏览器中,转至 [REGION].conferdeploy.net。
  1. 登录到 VMware Carbon Black Cloud。

登录

  1. 在左侧菜单窗格中,单击 Enforce

强制执行

  1. 单击 Policies

策略

  1. 选择要修改的策略集。

选择策略集

提醒:示例图像使用标准版作为选择修改的策略集。
  1. 在右侧菜单窗格中,单击 Prevention

防护

  1. 单击以展开 Permissions

权限

  1. 单击以展开 Add application path

添加应用程序路径

  1. 填写要对其设置旁路的预期路径。

设置旁路

提醒:
  • 示例图像使用以下路径:
    • *:\program files\dell\dell data protection\**
    • *:\programdata\dell\dell data protection\**
  • 在此示例中,应用的操作会影响包含路径 \program files\dell\dell data protection\\programdata\dell\dell data protection\ 的所有驱动器上的全部文件。
  • VMware Carbon Black 的权限列表利用基于 glob 的格式结构。
  • 支持 %WINDIR% 等环境变量。
  • 单个星号 (*) 匹配同一目录中的所有字符。
  • 双星号 (**) 匹配同一目录、多个目录以及指定位置或文件上方或下方的所有目录中的全部字符。
  • 示例:
    • Windows:**\powershell.exe
    • Mac:/Users/*/Downloads/**
  1. 选择要强制执行的操作

选择操作

提醒:
  • 在示例图像中,通过选择 AllowBypass,操作尝试将被赋予不同的操作。
  • 选择 Performs any operation 的操作尝试时,将会覆盖任何其他操作尝试并禁用任何其他选项的选择。
  • 操作定义:
    • 允许 — 在指定路径中允许执行某行为,并且 VMware Carbon Black Cloud 记录有关操作的信息。
    • Bypass — 在指定路径中允许执行所有行为。不收集任何信息。
  1. 单击右上角或页面底部的 Save

保存

阻止和隔离规则基于路径,并且优先于声誉。阻止和隔离规则允许我们在尝试特定操作时设置“拒绝操作”或“终止进程”操作。

要创建阻止和隔离规则,请执行以下操作:

  1. 在网页浏览器中,转至 [REGION].conferdeploy.net。
  1. 登录到 VMware Carbon Black Cloud。

登录

  1. 在左侧菜单窗格中,单击 Enforce

强制执行

  1. 单击 Policies

策略

  1. 选择要修改的策略集。

选择策略集

提醒:示例图像使用标准版作为选择修改的策略集。
  1. 在右侧菜单窗格中,单击 Prevention

防护

  1. 单击以展开 Blocking and Isolation

阻止和隔离

  1. 填写要对其设置阻止和隔离规则的应用程序路径。

填充应用程序路径

提醒:
  • 示例图像使用 excel.exe。
  • 设置的操作应用于从任何目录运行的名为 excel.exe 的应用程序。
  • VMware Carbon Black 的权限列表利用基于 glob 的格式结构。
  • 支持 %WINDIR% 等环境变量。
  • 单个星号 (*) 匹配同一目录中的所有字符。
  • 双星号 (**) 匹配同一目录、多个目录以及指定位置或文件上方或下方的所有目录中的全部字符。
  • 示例:
    • Windows:**\powershell.exe
    • Mac:/Users/*/Downloads/**
  1. 单击右上角的 Save

保存

提醒:一旦指定的操作尝试运行,终止进程将会终止进程。

VMware Carbon Black Cloud Standard、VMware Carbon Black Cloud Advanced 和 VMware Carbon Black Cloud Enterprise 通过包含 EDR 提供权 限规则以及 阻止和隔离规则的选项。

单击相应的主题以了解更多信息。

权限规则确定位于指定路径的应用程序可执行的操作。

权限规则基于路径,优先于阻止和隔离规则以及声誉。

要创建权限规则,请执行以下操作:

  1. 在网页浏览器中,转至 [REGION].conferdeploy.net。
  1. 登录到 VMware Carbon Black Cloud。

登录

  1. 在左侧菜单窗格中,单击 Enforce

强制执行

  1. 单击 Policies

策略

  1. 选择要修改的策略集。

选择策略集

提醒:示例图像使用标准版作为选择修改的策略集。
  1. 在右侧菜单窗格中,单击 Prevention

防护

  1. 单击以展开 Permissions

权限

  1. 单击以展开 Add application path

添加应用程序路径

  1. 填写要对其设置旁路的预期路径。

填充路径

提醒:
  • 示例图像使用以下路径:
    • *:\program files\dell\dell data protection\**
    • *:\programdata\dell\dell data protection\**
  • 在此示例中,应用的操作将影响所有驱动器上包含路径 \program files\dell\dell data protection\ and \programdata\dell\dell data protection\ 的全部文件。
  • VMware Carbon Black 的权限列表利用基于 glob 的格式结构。
  • 支持 %WINDIR% 等环境变量。
  • 单个星号 (*) 匹配同一目录中的所有字符。
  • 双星号 (**) 匹配同一目录、多个目录以及指定位置或文件上方或下方的所有目录中的全部字符。
  • 示例:
    • Windows:**\powershell.exe
    • Mac:/Users/*/Downloads/**
  1. 选择要强制执行的操作

选择操作

提醒:
  • 在示例图像中,通过选择 AllowAllow & LogBypass,操作尝试将被赋予不同的操作。
  • 选择 Performs any operation 的操作尝试时,将会覆盖任何其他操作尝试并禁用任何其他选项的选择。
  • 除了 Performs any operation 之外的每个操作均可应用于多个操作尝试。
  • 操作定义:
    • Allow — 在指定路径中允许执行某行为;没有记录路径上的任何指定行为。无数据发送到 VMware Carbon Black Cloud。
    • Allow & Log — 在指定路径中允许执行某行为;记录所有活动。所有数据都会报告给 VMware Carbon Black Cloud。
    • Bypass — 在指定路径中允许执行所有行为;没有记录任何内容。无数据发送到 VMware Carbon Black Cloud。
  1. Permissions 的底部单击 Confirm 以设置策略更改。

确认

  1. 单击右上角的 Save

保存

阻止和隔离规则基于路径,并且优先于声誉。阻止和隔离规则允许我们在尝试特定操作时设置“拒绝操作”或“终止进程”操作。

要创建阻止和隔离规则,请执行以下操作:

  1. 在网页浏览器中,转至 [REGION].conferdeploy.net。
  1. 登录到 VMware Carbon Black Cloud。

登录

  1. 在左侧菜单窗格中,单击 Enforce

强制执行

  1. 单击 Policies

策略

  1. 选择要修改的策略集。

选择策略集

提醒:示例图像使用标准版作为选择修改的策略集。
  1. 在右侧菜单窗格中,单击 Prevention

防护

  1. 单击以展开 Blocking and Isolation

阻止和隔离

  1. 单击以展开 Add application path

添加应用程序路径

  1. 填写要对其设置阻止和隔离规则的应用程序路径。

填充应用程序路径

提醒:
  • 示例图像使用 excel.exe。
  • 设置的操作应用于从任何目录运行的名为 excel.exe 的应用程序。
  • VMware Carbon Black 的权限列表利用基于 glob 的格式结构。
  • 支持 %WINDIR% 等环境变量。
  • 单个星号 (*) 匹配同一目录中的所有字符。
  • 双星号 (**) 匹配同一目录、多个目录以及指定位置或文件上方或下方的所有目录中的全部字符。
  • 示例:
    • Windows:**\powershell.exe
    • Mac:/Users/*/Downloads/**
  1. 选择在满足操作尝试时要采取的操作,然后单击 Confirm

选择操作

  1. 单击右上角的 Save

保存

提醒:
  • 拒绝操作阻止列出的应用程序执行它先前尝试执行的指定操作。
  • 一旦指定的操作尝试运行,终止进程将会终止进程。

VMware Carbon Black 为在安装传感器的设备上运行的每个文件分配一个声誉。预先存在的文件在运行之前或后台扫描处理完毕并提供更明确的声誉之前,最开始时具有“本地白名单”的有效声誉。

向声誉列表添加应用程序或参阅声誉描述。单击相应的主题以了解更多信息。

通过“Reputations”页面“Alerts”页面,可向声誉列表添加应用程序。单击相应选项,以了解更多信息。

要通过“Reputations”页面向声誉列表添加应用程序,请执行以下操作:

  1. 在网页浏览器中,转至 [REGION].conferdeploy.net。
  1. 登录到 VMware Carbon Black Cloud。

登录

  1. 在左侧菜单窗格中,单击 Enforce

强制执行

  1. 单击 Reputation

声誉

管理员可以使用 SHA256 哈希IT 工具签名证书向声誉列表添加应用程序。单击相应选项,以了解更多信息。

提醒:VMware Carbon Black Cloud 必须通过在环境中查看文件以及依据 VMware Carbon Black Cloud 处理的 SHA256 哈希来了解这些文件。新应用程序在首次检测后可能需要一段时间才能为 VMware Carbon Black Cloud 所知。这可能会导致批准列表禁止列表未能立即分配给受影响的文件。

要手动添加 SHA256 哈希,请执行以下操作:

  1. 单击 Add

添加

  1. 从“Add Reputation”中:
    1. 对于“Type”选项,选择 Hash
    2. 对于“List”选项,选择 Approved ListBanned List
    3. 填写 SHA-256 哈希
    4. 填写该条目的名称
    5. (可选)填写批注
    6. 单击 Save

“Add Reputation”菜单

提醒:
  • 批准列表会自动将任何受影响和已知的文件设置为具有“获得公司批准”的声誉。
  • 禁止列表会自动将任何受影响和已知的文件设置为具有“被公司禁止”的声誉。

要手动添加 IT 工具,请执行以下操作:

  1. 单击 Add

添加

  1. 从“Add Reputation”中:
    1. 对于“Type”选项,选择 IT Tools
    2. 填写可信 IT 工具的相对路径
    3. (可选)选择 Include all child processes
    4. (可选)填写批注
    5. 单击 Save

“Add Reputation”菜单

提醒:
  • IT 工具只能添加到批准列表中。批准列表会自动将任何受影响和已知的文件设置为具有“本地白名单”的声誉。
  • 请注意,如果选项 Include all child processes 已选中,则新定义的可信 IT 工具的子进程所丢弃的全部文件也会获得初始信任。
  • IT 工具的相对路径表明路径定义可以通过定义的路径来实现。

示例:

对于以下示例,可信 IT 工具的路径已设置为:

  • \sharefolder\folder2\application.exe

如果管理员尝试在这些位置运行文件,则排除 成功

  • \\server\tools\sharefolder\folder2\application.exe
  • D:\ITTools\sharefolder\folder2\application.exe

如果管理员尝试在这些位置运行文件,则排除 失败

  • E:\folder2\application.exe
  • H:\sharefolder\application.exe

在失败的示例中,路径不能完全实现。

要手动添加签名证书,请执行以下操作:

  1. 单击 Add

添加

  1. 从“Add Reputation”中:
    1. 对于“Type”选项,选择 Certs
    2. Signed by 字段填写签字人信息。
    3. (可选)填写证书颁发机构
    4. (可选)填写批注
    5. 单击 Save

“Add Reputation”菜单

提醒:

要通过“Alerts”页面向声誉列表添加应用程序,请执行以下操作:

  1. 在网页浏览器中,转至 [REGION].conferdeploy.net。
  1. 登录到 VMware Carbon Black Cloud。

登录

  1. 单击 Alerts

警报

  1. 选择要为其批准应用程序的警报旁边的 V 形符号。

选择警报

  1. 单击位于“Remediation”小节下的 Show all

全部显示

  1. 单击以将文件添加到禁止列表或批准列表,具体取决于哈希是不受信任的还是受信任的。

将文件添加到禁止列表或批准列表

提醒:可以添加签名证书,以便共享此证书的其他应用程序自动添加到本地批准列表中。
优先级 声誉 声誉搜索值 描述
1 忽略 IGNORE Carbon Black Cloud 分配给产品文件并向它们授予完全运行权限的自检声誉。
  • 最高优先级
  • 文件拥有完全权限,可由 Carbon Black(通常是 Carbon Black 产品)运行
2 公司批准列表 COMPANY_WHITE_LIST 通过转至“Enforce”>“Reputations”,将哈希手动添加到公司批准列表中
3 公司禁止列表 COMPANY_BLACK_LIST 通过转至“Enforce”>“Reputations”,将哈希手动添加到公司禁止列表中
4 可信赖的批准列表 TRUSTED_WHITE_LIST 来自云和/或本地扫描仪,且 Carbon Black 已经知道其很好
5 已知的恶意软件 KNOWN_MALWARE 来自云和/或本地扫描仪,且 Carbon Black 已经知道其不好
6 可疑/启发式恶意软件 SUSPECT_MALWARE HEURISTIC Carbon Black 检测到的可疑恶意软件,但它并不一定怀有恶意
7 广告软件/PUP 恶意软件 ADWARE PUP Carbon Black 检测到的广告软件和可能不需要的程序
8 本地白名单 LOCAL_WHITE 文件满足以下任何条件:
  • 在传感器安装之前文件已预先存在
  • 通过转至“Enforce”>“Reputations”,在 IT 工具中将文件添加到批准列表
  • 通过转至“Enforce”>“Reputations”,在证书中将文件添加到批准列表
9 通用批准列表 COMMON_WHITE_LIST 文件满足以下任何条件:
  • 哈希不在任何已知的好名单或已知的坏名单中,并且文件已签名
  • 哈希先前已分析,并且不在任何已知的好名单或已知的坏名单中
10 未列出/自适应批准列表 NOT_LISTEDADAPTIVE_WHITE_LIST “未列出”声誉表示,在传感器使用本地扫描仪或云检查应用程序哈希后,找不到关于它的记录 - 它未在声誉数据库中列出。
  • 云:先前未看到哈希
  • 本地扫描仪:并非已知坏的,已在策略中进行配置
11 未知 RESOLVING “未知”声誉表示传感器使用的任何声誉来源均无响应。
  • 最低优先级
  • 传感器观察到文件丢弃,但尚未从云或本地扫描仪获得声誉

要联系支持部门,请参阅 Dell Data Security 国际支持电话号码
转至 TechDirect,在线生成技术支持请求。
要获得更多见解和资源,请加入戴尔安全社区论坛

Additional Information

   

Videos

 

Affected Products

VMware Carbon Black
Article Properties
Article Number: 000182859
Article Type: How To
Last Modified: 04 Jan 2023
Version:  32
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.