Об обнаружениях ретроспективного сканирования
11 апреля 2024
ID 270640
Обнаружения ретроспективного сканирования в некоторых аспектах отличаются от обнаружений на основе сопоставления. В этом разделе описаны особенности обнаружений ретроспективного сканирования.
Во время ретроспективного сканирования входящее событие, сохраненное для анализа в CyberTrace, представлено только значениями, полученными с помощью регулярных выражений, заданных в настройках ретроспективного сканирования на вкладке Fields saved for retroscan. Поэтому поле Whole source event на странице Detections будет содержать местозаполнитель вместо входящего события.
Поле Reception date для обнаружений ретроспективного сканирования содержит дату получения исходного события, а не дату обнаружения, которая указана в столбце Detection date.
Если имена регулярных выражений были изменены в настройках в период с момента сохранения входящего события до момента формирования обнаружения ретроспективного сканирования, то контекст события обнаружения, в котором используются измененные регулярные выражения, не будет включать соответствующие значения, так как в сохраненном событии они представлены под другими именами. См. пример ниже.
Входящее событие:
CEF:0|Kaspersky|CyberTrace Verification Kit|1.2|0|Verification_test|2| request=http://fakess123bn.nu suser=EvalTestUserName src=192.168.0.0 dvc=127.0.0.0 dst=192.0.2.0 act=VerificationTest eventId=110 |
Настроенные регулярные выражения на момент получения события:
RE_URL: (?:\:\/\/)((?:\S+(?::\S*)?+@)?(?:(?:(?:[a-z\x{00a1}-\x{ffff}0-9]+-*)*[a-z\x{00a1}-\x{ffff}0-9]*)(?:\.(?:[a-z\x{00a1}-\x{ffff}0-9]+-)*+[a-z\x{00a1}-\x{ffff}0-9]++)*(?:\.(?:[a-z\x{00a1}-\x{ffff}\-0-9]+)))(?:\.*:\d{2,5})?+(?:\.*\/[^\s\"\<\>]*+)?+)
SRC_IP: (?:\:\/\/)((?:\S+(?::\S*)?+@)?(?:(?:(?:[a-z\x{00a1}-\x{ffff}0-9]+-*)*[a-z\x{00a1}-\x{ffff}0-9]*)(?:\.(?:[a-z\x{00a1}-\x{ffff}0-9]+-)*+[a-z\x{00a1}-\x{ffff}0-9]++)*(?:\.(?:[a-z\x{00a1}-\x{ffff}\-0-9]+)))(?:\.*:\d{2,5})?+(?:\.*\/[^\s\"\<\>]*+)?+)
UserName: suser\=(.*?)(?:$|\s)
|
Настроенные регулярные выражения на момент формирования обнаружения ретроспективного сканирования:
REGEX_URL: (?:\:\/\/)((?:\S+(?::\S*)?+@)?(?:(?:(?:[a-z\x{00a1}-\x{ffff}0-9]+-*)*[a-z\x{00a1}-\x{ffff}0-9]*)(?:\.(?:[a-z\x{00a1}-\x{ffff}0-9]+-)*+[a-z\x{00a1}-\x{ffff}0-9]++)*(?:\.(?:[a-z\x{00a1}-\x{ffff}\-0-9]+)))(?:\.*:\d{2,5})?+(?:\.*\/[^\s\"\<\>]*+)?+)
SRC_IP: (?:\:\/\/)((?:\S+(?::\S*)?+@)?(?:(?:(?:[a-z\x{00a1}-\x{ffff}0-9]+-*)*[a-z\x{00a1}-\x{ffff}0-9]*)(?:\.(?:[a-z\x{00a1}-\x{ffff}0-9]+-)*+[a-z\x{00a1}-\x{ffff}0-9]++)*(?:\.(?:[a-z\x{00a1}-\x{ffff}\-0-9]+)))(?:\.*:\d{2,5})?+(?:\.*\/[^\s\"\<\>]*+)?+)
USER_NAME: suser\=(.*?)(?:$|\s)
|
Формат обнаружения:
CEF:0|Kaspersky|Kaspersky CyberTrace for ArcSight|2.0|2|CyberTrace Detection Event|8| reason=%Category% src=%SRC_IP% request=%REGEX_URL% suser=%USER_NAME% msg=CyberTrace detected %Category% cs5Label=MatchedIndicator |
Сформированное событие обнаружения ретроспективного сканирования:
CEF:0|Kaspersky|Kaspersky CyberTrace for ArcSight|2.0|2|CyberTrace Detection Event|8| reason=KL_BotnetCnC_URL src=192.168.0.0 request=- suser=- msg=CyberTrace detected KL_BotnetCnC_URL cs5Label=MatchedIndicator cs5=fakess123bn.nu |
