Exclusiones de alertas
Sugerir cambios
PDF
La exclusión de alertas te permite suprimir la generación de alertas para tipos de archivo, usuarios y rutas de directorio específicos. Usa esto para reducir los falsos positivos excluyendo la actividad conocida y esperada que, de lo contrario, podría coincidir con los patrones de alerta.
Ten en cuenta que solo se suprime la alerta del evento; los propios eventos se siguen capturando y se pueden revisar.
Ve a Workload Security > Policies y selecciona la pestaña Alert Exclusions.
La exclusión de alertas se configura por inquilino e incluye lo siguiente:
-
Tipos de archivo: suprime las alertas de manipulación de archivos en tipos de archivo específicos Tipos de archivo permitidos
-
Usuarios: suprime las alertas activadas por los usuarios seleccionados.
-
Rutas: suprime las alertas de actividad en las rutas de directorio seleccionadas (hasta cuatro niveles de directorio, empezando en la ruta de unión).
Gestiona exclusiones y auditorías
-
Los administradores pueden añadir o eliminar extensiones de archivo, usuarios individuales o rutas en cualquier momento.
-
Cada entrada de exclusión registra el nombre del administrador que la estableció y la fecha en que se estableció. Esta información se conserva para auditoría.
Usuarios y rutas
-
Lista de exclusión de usuarios: agrega usuarios que serán excluidos de las alertas.
-
Lista de exclusión de directorios: admite hasta cuatro niveles de rutas de directorios, empezando por la ruta de unión.
Se pueden añadir o eliminar usuarios individuales y rutas de directorio de la lista de exclusión correspondiente. Cada entrada de cada lista tendrá la información de cuándo y por quién fue añadida a la lista, y esta información se usará para fines de auditoría.
Tipos de archivos
Una vez añadida a la lista de Tipos de archivo, no se generará ninguna alerta de ataque de manipulación de archivos para ese tipo de archivo permitido. Ten en cuenta que la política de Tipos de archivo solo es aplicable para la detección de manipulación de archivos.
Por ejemplo, si un archivo llamado test.txt se renombra a test.txt.abc y Workload Security detecta un ataque de ransomware debido a la extensión .abc, esta extensión puede agregarse a la lista de tipos de archivo permitidos. Después de agregarla a la lista, los ataques de ransomware ya no se generarán contra archivos con la extensión .abc.
Los tipos de archivo permitidos pueden ser coincidencias exactas (p. ej., ".abc") o expresiones (p. ej., .*type, .type* o .*type*). No se admiten expresiones de tipo .a*c ni .p*f.
Se han introducido atributos adicionales de "Set By" y "Set Date" para la auditoría. Los tipos de archivo existentes se migrarán al nuevo formato con los valores de estos dos atributos establecidos como "migrated".