Antivirus-Ausnahmen für den octoja Agent konfigurieren

Antivirus- und EDR-Produkte können den octoja-Agent, den Installer oder Check-Programme als verdächtig einstufen und blockieren oder in Quarantäne verschieben. Das kann bei der Installation, beim Update oder erst während des Betriebs passieren: Der Agent startet nicht, Checks liefern keine Werte oder die AV-Konsole meldet wiederholt Erkennungen. Prüfe zuerst die Erkennung in deinem Sicherheitsprodukt, bevor du sie als Fehlalarm behandelst. Dieser Artikel zeigt dir, welche Ordner und Prozesse du bei bestätigten Fehlalarmen ausschließen kannst.

Windows

Lege in deiner Antivirus- oder EDR-Konsole die folgenden Ordner-Ausnahmen an:

Wenn dein Produkt prozessbasierte Ausnahmen unterstützt, schließe zusätzlich diese Programme aus:

ESET-Check meldet application-info: empty result

Meldet der ESET-Check application-info: empty result, prüfe zuerst die RMM-Zugriffsberechtigung in ESET. Eine Echtzeit-Erkennungsausnahme allein erlaubt dem Check nicht den Zugriff auf die eRmm-Schnittstelle. Falls ESET eine octoja-Datei tatsächlich als Bedrohung erkannt und in Quarantäne verschoben hat, prüfe die Erkennung und stelle sie bei einem bestätigten Fehlalarm wieder her. Führe den Check anschließend erneut aus. Das leere Ergebnis belegt nicht, dass der Schutz deaktiviert ist.

Bitdefender Advanced Threat Control blockiert PowerShell

Advanced Threat Control (ATC) bewertet das Verhalten laufender Prozesse. Blockiert es powershell.exe oder pwsh.exe, nennt die Meldung zunächst nur den Skripthost, den viele Programme gemeinsam nutzen — nicht, wer ihn aufgerufen hat. Eine blockierte PowerShell belegt also noch keinen octoja-Fehlalarm. Die Ordner-Ausnahmen oben decken den PowerShell-Host auch nicht ab, weil er außerhalb der octoja-Ordner liegt.

Prüfe die Erkennung zuerst in der Bitdefender-Konsole, etwa im Bericht Blocked Applications (die Berichtsnamen entsprechen der englischen GravityZone-Oberfläche): Zeitpunkt, Erkennungsname, ausgeführte Aktion und meldendes Schutzmodul sowie Kommandozeile oder Skriptpfad und der aufrufende Prozess.

So erkennst du einen Aufruf durch octoja: Die Kommandozeile enthält -ExecutionPolicy Bypass und -File mit einem kurzlebigen Skript octoja-<ID>.ps1 unterhalb von C:\Program Files\octoja GmbH\ — bei Checks wie Bitdefender-Schutz im jeweiligen Check-Ordner unter data\checks\, bei Automatisierungen und Inventur unter data\temp\, bei Agent-Funktionen im Agent-Ordner — und der aufrufende Prozess ist das Check-Programm oder einer der Prozesse aus der Tabelle oben. Prüfe dabei die gesamte Prozesskette bis zum obersten Elternprozess, nicht nur den unmittelbar aufrufenden Prozess: Automatisierungen von octoja können weitere PowerShell-Prozesse mit eigenen Skriptpfaden starten, sodass der direkte Aufrufer selbst eine PowerShell ist und das Skript außerhalb der octoja-Ordner liegt. Erst wenn in der Kette kein octoja-Prozess und kein octoja-Skript vorkommt, behandle die Erkennung wie jede andere. Fordere für die Prüfung nur diese technischen Angaben an und schwärze personenbezogene Daten und Geheimnisse.

Erst wenn der Aufruf von octoja stammt und die Herstellerprüfung den Fehlalarm bestätigt, lege eine möglichst eng begrenzte Ausnahme für das meldende Schutzmodul an, zum Beispiel auf den aufrufenden octoja-Prozess oder die konkrete Kommandozeile begrenzt. Bitdefender beschreibt die Ausnahmearten je Schutzmodul in der Anleitung zu Ausnahmen. Nimm PowerShell nicht pauschal aus und schalte ATC nicht ab.

Wenn Dateien weiterhin blockiert werden

• Bei Securepoint Antivirus Pro kann eine reine Prozess-Ausnahme für Checks nicht ausreichen. Prüfe, ob die Ordner-Ausnahme für C:\Program Files\octoja GmbH einschließlich Unterordnern greift.
• WatchGuard EDR/EPDR kann im Blocked-Modus noch nicht als Goodware klassifizierte Dateien blockieren. Prüfe neue Agent- und Check-Versionen vor dem Rollout auf einem Testgerät und lasse sie nach den Vorgaben deines EDR-Produkts klassifizieren. Ein Audit-Modus blockiert nicht; nutze ihn nur nach Abwägung deiner Sicherheitsrichtlinie.
• Prüfe bei jeder Erkennung zuerst den Fund in der AV-/EDR-Konsole. Wenn es ein Fehlalarm ist, melde ihn dem Hersteller, stelle betroffene Dateien aus der Quarantäne wieder her und verteile die passenden Ausnahmen über deine Richtlinien.

Warum zertifikatsbasierte Regeln nicht funktionieren

octoja signiert seine Windows-Binärdateien mit kurzlebigen Code-Signing-Zertifikaten, die automatisch rotieren. Eine Regel, die auf ein bestimmtes Zertifikat oder dessen Fingerabdruck zeigt, greift deshalb nach dem nächsten Agent-Update nicht mehr. Wenn dein Antivirus-Produkt es unterstützt, filtere stattdessen auf den Herausgebernamen octoja GmbH — der bleibt über Rotationen hinweg stabil. Andernfalls verwende die Ordner- und Prozess-Ausnahmen oben.

macOS und Linux

Auch auf macOS und Linux installiert sich der Agent an einen festen Ort:

Tipps

• Richte die Ausnahmen ein, bevor du den Agent in der Umgebung eines Kunden ausrollst — die meisten AV-Meldungen entstehen bei der Erstinstallation und beim ersten Agent-Update.
• Viele AV-Produkte verwalten Ausnahmen pro Richtlinie oder pro Kunde. Lege die Ausnahmen einmal in einer Basis-Richtlinie an, damit jeder neue Kunde sie automatisch erbt.
• Wenn ein Check oder eine Remote-Sitzung trotz Ausnahmen fehlschlägt, prüfe die Quarantäne bzw. Ereignishistorie deines AV-Produkts auf blockierte Aktionen einer der oben genannten Prozesse. Sieh auch unter Bekannte Probleme nach, ob das Symptom beschrieben ist.

Siehe auch: Agent auf Windows bereitstellen