説明
センサーがプロセスの終了を決定するために使用したレピュテーションは、有効なレピュテーションです。有効なレピュテーションは、センサーがエンドポイントでポリシー ルールを評価および適用するために使用するレピュテーションです。効果的な評判は次の要因によって決まります。
初期クラウド レピュテーション。これは、Carbon Black Cloud が分析と脅威インテリジェンスのフィードに基づいてファイルに割り当てるレピュテーションです。
アクション済みレピュテーション。承認、禁止、却下など、管理者が Carbon Black Cloud コンソールを通じてファイルに割り当てるレピュテーションです。
現在のクラウド レピュテーション。これは、Carbon Black Cloud が新しい情報や脅威状況の変化に基づいてファイルに対して更新するレピュテーションです。
有効な評判は、これら 3 つの要素の中で最も優先度の高い評判です。たとえば、初期のクラウド レピュテーションが SUSPECT_MALWARE、アクションが実行されたレピュテーションが APPROVED、現在のクラウド レピュテーションが KNOWN_MALWARE の場合、有効なレピュテーションは優先度が最も高いため、APPROVED になります。センサーは有効なレピュテーションを使用して、エンドポイントにポリシー ルールを適用します。この場合、有効なレピュテーションは SUSPECT_MALWARE ではないため、プロセスはルール [マルウェアの疑い] [コマンド インタープリタの呼び出し] [プロセスの終了] によってブロックされません。
質問のシナリオでは、プロセスの有効なレピュテーションは SUSPECT_MALWARE でした。これは、初期のクラウド レピュテーション、アクションが実行されたレピュテーション、または現在のクラウド レピュテーションのいずれかが SUSPECT_MALWARE であり、それを上書きする優先度の高いレピュテーションがなかったことを意味します。したがって、センサーは有効なレピュテーションを使用してポリシー ルールを適用し、プロセスを終了しました。参考文献:
エンドポイント標準: 適用されていることを確認する方法 ... - VMware Carbon Black、解像度セクション。