Sophos Central’da istisna tanımlamak tek bir ayar değildir: Global Exclusions altında dosya, işlem, web sitesi, PUA, ransomware koruması, exploit azaltma ve daha fazlası olmak üzere ayrı istisna türleri bulunur ve her biri korumanın farklı bir parçasını devre dışı bırakır. Bir uygulama yavaşladığında ya da yanlış alarm verdiğinde doğru türü seçmek, sorunu çözerken korumayı en az zayıflatan yoldur.
İstisna ne zaman gerekir?
Tipik senaryo bellidir: bir muhasebe veya ERP uygulaması her açılışta taranıyor ve yavaşlıyor, bir veritabanı sunucusunun veri klasörü sürekli tetikleme yapıyor ya da şirket içinde geliştirilmiş bir araç davranış analizi tarafından şüpheli bulunuyor. Bu durumlarda ilk adım istisna yazmak değil, tespitin neden oluştuğuna bakmaktır. Yanlış pozitif ise istisna mantıklıdır; gerçek bir tehdit ise istisna riski büyütür.
Hangi istisna türleri var?
Sophos belgelerine göre Global Exclusions altında dosya veya klasör, işlem (Windows), web sitesi (Windows/Mac) ve PUA dahil toplam 13 istisna kategorisi bulunur. Bunlara tespit edilen exploit’ler, ransomware koruması, exploit mitigation ve activity monitoring, AMSI koruması, cihaz izolasyonu, zararlı ağ trafiği önleme (IPS), hashing ve sürücü tespiti istisnaları da eklenir. Kurumların çoğunda ilk dört tür kullanılır:
- Dosya veya klasör: Tam yol verilir, joker karakter desteği işletim sistemine göre değişir. Dosya taramadan çıkarılsa bile exploit kontrolü sürer; onu da dışlamak için ayrı bir istisna gerekir.
- İşlem (Windows): Uygulamanın tam yolu girilir. İşlemin eriştiği dosyalar da taranmaz, ancak yalnızca o işlem eriştiğinde. İşlemin kullandığı başka uygulamalar kapsama girmez.
- Web sitesi: IP adresi, CIDR aralığı veya alan adı girilir. Bu site için kategori kontrolü ve web koruması devre dışı kalır.
- PUA: Tespitin tam adı girilir (belgelerdeki örnek PsExec). Sophos bu türde koruma azalabileceği konusunda özellikle uyarıyor.
Ransomware (CryptoGuard) istisnası ayrıdır
Dosya taraması istisnası CryptoGuard’ı kapatmaz. Ransomware koruması için ayrı bir istisna türü seçilir: Windows veya Mac için, işlem ya da klasör bazında tanımlanır ve yol değişken ya da UNC uzak yol içerebilir. Belgeler, joker karakter ve değişkenlerin koruma düzeyini belirgin biçimde düşürdüğünü, istisnanın mümkün olduğunca dar tutulması gerektiğini belirtiyor. macOS tarafında kullanıcı tanımlı işlem istisnası desteklenmez; yalnızca klasör yolu veya uygulama dosya yolu verilebilir.
Bu fark pratikte önemlidir. Bir yedekleme yazılımı çok sayıda dosyayı hızla değiştirdiği için CryptoGuard’ı tetikliyorsa çözüm, klasörün taranmasını kapatmak değil, o yazılımın işlemi için ransomware istisnası eklemektir.
Exploit mitigation istisnası
Windows’ta bir uygulamanın dosya yolu verilerek ya tüm exploit kontrolleri ya da seçilen belirli azaltmalar kapatılabilir. Oluşturulduktan sonra yol bazlı istisnada tek tek azaltmalar düzenlenebilir. Eski veya özel bir uygulama yalnızca bir mitigation ile çakışıyorsa, tamamını kapatmak yerine yalnızca onu devre dışı bırakmak daha güvenlidir.
Global mi, politika bazlı mı?
Global Exclusions tüm kullanıcı ve cihazlara uygulanır. Belgeler, yalnızca belirli bir grup etkileniyorsa Endpoint veya Server Threat Protection politikalarındaki istisnaların tercih edilmesini öneriyor. Muhasebe bilgisayarındaki bir uygulama için tüm şirketin korumasını gevşetmek gereksiz risktir. Global istisnalara erişim için hem Endpoint hem Server Protection yetkisi gerekir; yönetici yetkilerini Sophos Central rol yapısı üzerinden sınırlamak mantıklıdır.
İstisna yazarken uygulanacak kurallar
- Önce tespitin ayrıntısını (algılama adı, dosya yolu, işlem) kaydedin. Genel bir istisna yazmayın.
- Mümkün olan en dar türü seçin: klasör yerine işlem, işlem yerine belirli bir dosya yolu.
- Joker karakter ve ortam değişkenlerinden kaçının; belgelerin açıkça uyardığı şey budur.
- Önce politika bazlı deneyin, gerekirse global yapın.
- Her istisna için gerekçe, tarih ve sahibini bir kayda geçirin, düzenli aralıklarla gözden geçirin. Audit log kimin ne eklediğini gösterir.
Lisans ve yönetim tarafı
İstisna yönetimi Sophos Endpoint lisansıyla Sophos Central üzerinden yapılır. İstisna sayısı hızla artıyorsa bu genellikle tek tek ayar yerine yapılandırmanın gözden geçirilmesi gerektiğini gösterir. Kurulumunuzun değerlendirmesi için teklif alın sayfasından teknik görüşme talep edebilir, süresi yaklaşan lisanslar için lisans yenileme sürecinde mevcut yapılandırmanın gözden geçirilmesini isteyebilirsiniz. İstisnaların sürekli izlenmesi gereken kurumlarda Sophos MDR bu kontrolü bir uzman ekibe devreder.
Sık sorulan sorular
Dosya istisnası eklediğimde o dosya tamamen korumasız mı kalır? Hayır. Belgelere göre dışlanan dosyalar exploit açısından yine kontrol edilir; bunu da kapatmak için ayrı bir istisna türü gerekir.
CryptoGuard için dosya istisnası yeterli mi? Hayır. Ransomware koruması kendi istisna türüne sahiptir ve ayrıca tanımlanması gerekir.
İstisnayı bazı kullanıcılara sınırlayabilir miyim? Evet, Endpoint veya Server Threat Protection politikalarında tanımlanan istisnalar yalnızca politikanın uygulandığı kullanıcı ve cihazlara geçerlidir. Global istisnalar herkese uygulanır.
Joker karakter kullanmak sakıncalı mı? Sophos belgeleri joker karakter ve değişkenlerin korumayı önemli ölçüde düşürdüğünü belirtiyor. Mümkünse tam yol kullanın.
Kaynak: Sophos Central belgeleri: Global exclusions, Ransomware Protection exclusions ve Exploit Mitigation exclusions.