Skip to main content
Diese Anleitung gilt für Mac-Computer und Windows-Computer
Für die Verwendung dieses Library Item ist das Add-on Endpoint Detection and Response erforderlich.

​
Informationen zur Konfiguration des EDR Library Item

Das EDR Library Item ist die Kernkomponente von Iru Endpoint EDR. Konfigurieren Sie Erkennungseinstellungen, Posture-Modi, Endbenutzerbenachrichtigungen sowie benutzerdefinierte Zulassungs- und Sperrlisten, um die Sicherheitsanforderungen Ihrer Organisation zu erfüllen.

​
Ein EDR Library Item hinzufügen

Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, befolgen Sie die Schritte unter Library-Übersicht.
1

EDR Library Item hinzufügen

Öffnen Sie die Iru Endpoint Web App und navigieren Sie zu Ihrer Library. Fügen Sie ein neues EDR Library Item hinzu und geben Sie ihm einen Namen.
2

Blueprints zuweisen

Weisen Sie das Library Item den Blueprints zu, die die zu schützenden Geräte enthalten.
Konfigurationsoberfläche des EDR Library Item mit Einstellungen oder Blueprint-Zuweisung
Die Konfiguration unterscheidet sich je nach Plattform. Wählen Sie unten macOS oder Windows aus.

​
Einstellungen für die Dateierkennung konfigurieren

Konfigurieren Sie individuelle Posture-Modi für Malware und PUPs. Der Modus Detect scannt und meldet bekannte bösartige Elemente. Der Modus Protect scannt und meldet bekannte bösartige Elemente und stellt sie automatisch unter Quarantäne.
1

Malware Posture konfigurieren

Wählen Sie Detect oder Protect für Malware Posture.
2

PUP Posture konfigurieren

Wählen Sie Detect oder Protect für PUP Posture.
3

Benachrichtigungseinstellungen konfigurieren

Wenn Malware oder PUP Posture auf Protect eingestellt ist, wird ein Schalter Send user alerts verfügbar, mit dem Sie Endbenutzerbenachrichtigungen aktivieren oder deaktivieren können.
Sie können Expand preview wählen, um ein Beispiel der Benutzerbenachrichtigungen anzuzeigen.
Einstellungen für die Dateierkennung mit Posture-Modi für Malware und PUP

​
Verhaltensbasierte Erkennungen konfigurieren

Verhaltensbasierte Erkennungen sind beim Erstellen eines neuen EDR Library Item standardmäßig aktiviert, können aber für bestimmte Workflows deaktiviert werden.
Verdächtige verhaltensbasierte Erkennungen werden automatisch mit einem informativen Status in der Tabelle Detections aufgeführt, um ungewöhnliche Aktivitäten hervorzuheben, die möglicherweise Aufmerksamkeit erfordern. Diese Erkennungen dienen der Transparenz, und ihr Posture-Modus kann nicht konfiguriert werden.
1

Verhaltensbasierte Erkennungen aktivieren

Aktivieren Sie den Schalter, um Behavioral detections zu aktivieren.
2

Malicious Behavior Posture konfigurieren

Wählen Sie unter Malicious behavior posture entweder Detect oder Protect aus.
  • Der Modus Detect identifiziert und meldet bösartige verhaltensbasierte Erkennungen
  • Der Modus Protect identifiziert, meldet und blockiert bösartige verhaltensbasierte Erkennungen
3

Benachrichtigungseinstellungen konfigurieren

Wenn Malicious behavior posture auf Protect eingestellt ist, wird ein Schalter Send user alerts verfügbar, mit dem Sie Benutzerbenachrichtigungen aktivieren oder deaktivieren können.
Sie können Expand preview wählen, um ein Beispiel der Benutzerbenachrichtigungen anzuzeigen.
Einstellungen für die verhaltensbasierte Erkennung mit Optionen für Malicious behavior posture

​
Sicherheitsereignisse in Self Service

Endbenutzer können eine Liste der unter Quarantäne gestellten Dateien und blockierten Prozesse auf ihren Mac-Computern anzeigen, indem sie Self Service öffnen und im linken Navigationsmenü Security events auswählen.
Schritt oder Bildschirm zum Konfigurieren des EDR Library Item

​
Zulassungs- und Sperrlisten konfigurieren

Zulassungs- und Sperrlisten stellen sicher, dass bestimmte Dateien oder Anwendungen in Ihrer Umgebung immer zugelassen oder blockiert werden, unabhängig davon, ob sie in den Bedrohungsfeeds von Iru Endpoint EDR erscheinen.
Gesperrte Elemente werden als Malware betrachtet und erfordern, dass sich die Malware Posture im Modus Protect befindet, damit sie auf dem Gerät blockiert werden.
1

Neues Element hinzufügen

Wählen Sie die Schaltfläche + Add item.
Konfigurationsoberfläche für Zulassungs- und Sperrlisten
2

Elementdetails konfigurieren

Geben Sie dem Element einen Namen.
3

Aktion für das Element festlegen

Wählen Sie Zulassen, um eine Datei oder Anwendung zuzulassen. Wählen Sie Block, um sie zu blockieren.
4

Elementtyp auswählen

Geben Sie den Elementtyp Hash oder Pfad für die Datei oder Anwendung an.
5

Elementinformationen eingeben

Wenn Pfad ausgewählt wurde, geben Sie den Pfad der Anwendung oder Datei ein. Wenn Hash ausgewählt wurde, geben Sie den Datei-Hash ein.Für Pfad-Einträge wird der Abgleich mit Platzhaltern unterstützt:
  • * entspricht Zeichen innerhalb eines einzelnen Pfadsegments.
  • ** entspricht einer oder mehreren Verzeichnisebenen (rekursiver Abgleich).
Beispiele: /usr�2�file.bin.
6

Element zur Liste hinzufügen

Wählen Sie Hinzufügen, um das Element zur Zulassungs- und Sperrliste hinzuzufügen.Aktivieren Sie optional Add another item in der unteren linken Ecke, um weitere Elemente hinzuzufügen.
Dialogfeld zum Hinzufügen eines Elements zur Zulassungs- oder Sperrliste
7

Konfiguration speichern

Wählen Sie Speichern in der unteren rechten Ecke. Die Einstellungen werden auf registrierten Geräten in den zugewiesenen Blueprints automatisch bereitgestellt und aktiviert.

​
Hash-Wert ermitteln

Der Elementtyp Hash wird nur für Dateien unterstützt. Der Elementtyp Pfad wird sowohl für Dateien als auch für Anwendungen unterstützt.
Verwenden Sie Terminal, um den SHA256-Hash-Wert einer Datei zu ermitteln:

​
Überlegungen

  • Auswahl des Posture-Modus: Wählen Sie Detect für Transparenz ohne Blockierung oder Protect, um bekannte Bedrohungen aktiv unter Quarantäne zu stellen
  • Verhaltensbasierte Erkennung: Aktivieren Sie verhaltensbasierte Erkennungen zur Überwachung von Bedrohungen; berücksichtigen Sie die Auswirkungen auf die Leistung und die Fehlalarmquote
  • Verwaltung von Benutzer-Alerts: Konfigurieren Sie Benutzer-Alerts so, dass Sicherheitsbewusstsein und Benutzererfahrung beim Quarantänisieren von Dateien im Gleichgewicht sind
  • Geräteisolierung: EDR bietet Geräteisolierung, um kompromittierte Geräte vom Netzwerk zu trennen
  • Verwaltung der Zulassungs- und Sperrlisten: Pflegen Sie genaue Listen, um zu verhindern, dass legitime Anwendungen blockiert werden, und gleichzeitig sicherzustellen, dass bösartige Software erkannt wird
  • Hash- oder Pfadkonfiguration: Verwenden Sie Hash-basierte Einträge für bestimmte Dateiversionen und pfadbasierte Einträge für Anwendungen, die häufig aktualisiert werden
  • Tests und Validierung: Testen Sie Konfigurationsänderungen auf einem Pilotgerät, bevor Sie sie breit bereitstellen

​
Nächste Schritte

Unter EDR-Malware-Erkennung testen erfahren Sie, wie Sie Ihre Bereitstellung validieren.

​
Bearbeitungsverlauf im EDR Library Item anzeigen

Sie können Änderungen am EDR Library Item auf der Registerkarte Activity des Library Item oder auf der Activity-Seite prüfen. Dort sehen Sie, welche Konfigurationen geändert wurden, den vorherigen Zustand und wer die Änderung vorgenommen hat.
1

Aktivitätsprotokoll aufrufen

Wählen Sie Aktivität in Ihrem EDR Library Item oder das Symbol Aktivität in der oberen rechten Navigationsleiste, um die Activity-Seite zu öffnen.
2

Änderungen überprüfen

Wählen Sie das Dreieckssymbol neben Library Item Edited für den Eintrag aus, den Sie überprüfen möchten.
Registerkarte Activity mit dem Bearbeitungsverlauf des Library Item