Für die Regeln der Adaptiven Kontrolle von Anomalien können maximal 1.000 Ausnahmen erstellt werden. Es wird davon abgeraten, mehr als 200 Ausnahmen zu erstellen. Um die Anzahl der verwendeten Ausnahmen zu reduzieren, können in den Ausnahmeeinstellungen Masken angegeben werden.
Eine Ausnahme für eine Regel der "Adaptiven Kontrolle von Anomalien" enthält eine Beschreibung der Quell- und Zielobjekte. Quellobjekt – Objekt, das Aktionen ausführt. Zielobjekt – Objekt, mit dem Aktionen ausgeführt werden. Beispiel: Sie haben die Datei file.xlsx geöffnet. Dadurch wurde zum Arbeitsspeicher des Computers eine Bibliothek mit der Erweiterung dll hinzugefügt, die vom Browser (ausführbare Datei browser.exe) verwendet wird. In diesem Beispiel ist file.xlsx das Quellobjekt, Excel der Quellprozess, browser.exe das Zielobjekt, und der Browser der Zielprozess.
Um eine Ausnahme für eine Regel der Adaptiven Kontrolle von Anomalien zu erstellen oder zu ändern, gehen Sie wie folgt vor:
Im rechten Fensterbereich werden die Einstellungen für die Komponente "Adaptive Kontrolle von Anomalien" angezeigt.
Das Fenster Regel für die Adaptive Kontrolle von Anomalien wird geöffnet.
Das Fenster Ausnahme von der Regel wird geöffnet.
Das Windows-Standardfenster Benutzer oder Gruppen wählen wird geöffnet.
С:\Dir\File.exe oder Dir\*.exe).С:\Dir\File.exe oder Dir\*.exe). Beispiel: Pfad der Datei document.docm, welche die Zielprozesse mithilfe eines Skripts oder Makros startet.Sie können auch andere Objekte für eine Ausnahme angeben, beispielsweise eine Webadresse, ein Makro, einen Befehl in der Befehlszeile, einen Registrierungspfad und andere. Geben Sie das Objekt nach der folgenden Vorlage an: object://<Objekt>, wobei <Objekt> für den Namen des Objekts steht. Beispiele: object://web.site.example.com, object://VBA, object:\ipconfig, object://HKEY_USERS. Sie können auch Masken verwenden, beispielsweise object://*C:\Windows\temp\*.
Die Regel für die "Adaptive Kontrolle von Anomalien" erstreckt sich nicht auf die Aktionen, die von dem Objekt ausgeführt werden, oder auf Prozesse, die von dem Objekt gestartet werden.
С:\Dir\File.exe oder Dir\*.exe).object://<Befehl>, beispielsweise object://cmdline:powershell -Command "$result = 'C:\windows\temp\result_local_users_pwdage.txt'". Sie können auch Masken verwenden, beispielsweise object://*C:\windows\temp\*.Die Regel für die "Adaptive Kontrolle von Anomalien" erstreckt sich nicht auf die Aktionen mit dem Objekt oder auf die Prozesse, die mit dem Objekt ausgeführt werden.