Configuración y administración de exclusiones en Cisco Secure Endpoint Connector

Opciones de descarga

  • PDF     (909.6 KB)
    Visualice con Adobe Reader en una variedad de dispositivos
  • ePub     (840.7 KB)
    Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (547.9 KB)
    Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos
Actualizado:8 de junio de 2023
ID del documento:215418

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

    Introducción

    Este documento describe cómo crear la exclusión para los diferentes motores en la consola de Cisco Secure Endpoint.

    Prerequisites

    Requirements

    Cisco recomienda que tenga conocimiento sobre estos temas:

    • Modificar y aplicar una lista de exclusión a una directiva de la consola de Secure Endpoint
    • Convención CSIDL de Windows

    Componentes Utilizados

    La información que contiene este documento se basa en las siguientes versiones de software y hardware.

    • Cisco Secure Endpoint console 5.4.20211013
    • Secure Endpoint User Guide, revisión, 15 de octubre de 2021

    La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

    Flujo de trabajo de terminales seguros

    En un alto nivel de operaciones, Cisco Secure Endpoint procesa un archivo de algoritmo hash seguro (SHA) en este orden a través de los componentes principales del conector:

    • Exclusiones
    • Motor Tetra
    • Control de aplicaciones (lista de permitidos / lista de bloqueo)
    • Motor SHA
    • Prevención de vulnerabilidades (Exprev)/protección contra actividades maliciosas (MAP)/protección de procesos del sistema/motor de red (correlación de flujo de dispositivos)

    Nota: La creación de una exclusión o de una lista de permitidos/bloqueados depende del motor que haya detectado el archivo.

    Exclusiones mantenidas por Cisco

    Cisco crea y mantiene las exclusiones mantenidas por Cisco para proporcionar una mejor compatibilidad entre Secure Endpoint Connector y los antivirus, los productos de seguridad u otro software.

    Estos conjuntos de exclusiones contienen distintos tipos de exclusiones para garantizar un funcionamiento correcto.

    Puede realizar un seguimiento de los cambios realizados en estas exclusiones en el artículo Cambios en la lista de exclusiones mantenida por Cisco para Cisco Secure Endpoint Console.

    Exclusiones personalizadas

    Motor de terminales seguros

    Análisis de archivos (uso de CPU / detecciones de archivos) por motor Tetra y SHA:

    Utilice estos tipos de exclusiones para evitar la detección/cuarentena de un archivo o para mitigar el uso elevado de la CPU del terminal seguro.

    El evento de la consola de Secure Endpoint es el que se muestra en la imagen.

    1 amp engine

    Nota: CSIDL se puede utilizar para exclusiones; consulte este documento de Microsoft para obtener más información sobre CSIDL.

    Exclusión de ruta

    2 path

    Exclusión de comodines

    3 wildcard

    Nota: La opción Aplicar a todas las letras de unidad se utiliza para aplicar también la exclusión a las unidades [A-Z] conectadas al sistema.

    Exclusión de extensión de archivo

    File_extension_exclusion

    Precaución: utilice este tipo de exclusión con precaución, ya que excluye todos los archivos con la extensión de archivo de los análisis independientemente de la ubicación de la ruta.

    Proceso: Exclusión de análisis de archivos

    5 file scan

    Protección de procesos del sistema (SPP)

    El motor System Process Protection está disponible en la versión 6.0.5 del conector y protege los siguientes procesos de Windows:

    • Subsistema del Administrador de sesiones (smss.exe)
    • Subsistema cliente/servidor en tiempo de ejecución (csrss.exe)
    • Subsistema de autoridad de seguridad local (lsass.exe)
    • Aplicación de inicio de sesión de Windows (winlogon.exe)
    • Aplicación de inicio de Windows (wininit.exe)

    Esta imagen muestra un evento SPP.

    Systemp_Process_event_W

    Exclusión de SPP

    System_Process_exclusion_1

    System_process_exclusion_2

    Protección frente a actividades maliciosas (MAP)

    Motor de protección contra actividad maliciosa (MAP), que protege su terminal de un ataque de ransomware. Identifica acciones o procesos maliciosos cuando se ejecutan y protege sus datos contra el cifrado.

    En esta imagen se muestra un evento MAP.

    Malicious_activity_W

    Exclusión de MAP

    MAP_exclusion

    Precaución: utilice este tipo de exclusión con precaución y después de confirmar que la detección no es maliciosa.

    Prevención de vulnerabilidades (Exprev)

    El motor de prevención de vulnerabilidades protege los terminales frente a los ataques de inyección de memoria que suelen utilizar el malware y otros ataques de día cero en software sin parches
    vulnerabilidades. Cuando detecte un ataque contra un proceso protegido, se bloqueará y generará un evento, pero no habrá una cuarentena.

    En esta imagen se muestra un evento Exprev.

    Screenshot 2023-06-07 123347

    Exclusión de Exprev

    Exprev-exclusion

    Precaución: utilice esta exclusión siempre que confíe en la actividad del módulo o la aplicación afectados. 

    Protección del comportamiento (BP)

    El motor de protección del comportamiento mejora la capacidad de detectar y detener amenazas de forma conductual. Aumenta la capacidad de detectar ataques que se producen "fuera de la tierra" y proporciona
    una respuesta más rápida a los cambios en el panorama de amenazas mediante actualizaciones de firmas.

    En esta imagen se muestra un evento de PA.

    BP.event

    exclusión de PA

    BP.exclusion

    Información Relacionada

    Historial de revisiones

    Revisión Fecha de publicación Comentarios
    2.0
    08-Jun-2023
    Se añadieron exclusiones de Exprev y BP.
    1.0
    21-Apr-2020
    Versión inicial
    TAC Authored

    Con la colaboración de ingenieros de Cisco

    • Luis Velazquez
      Cisco TAC Engineer
    • Jorge Navarrete
      Cisco TAC Engineer
    • Edited by Yeraldin Sanchez
      Cisco TAC Engineer

    ¿Resultó útil este documento?

    FeedbackComentarios

    Contacte a Cisco

    Este documento se aplica a estos productos