Kaspersky Anti Targeted Attack Platform
6.0
Русский

Содержание

API для получения внешними системами информации об обнаружениях приложения

Kaspersky Anti Targeted Attack Platform предоставляет интерфейс API для доступа внешних систем к информации обо всех обнаружениях приложения, а не только о результатах проверки объектов, хранящихся в этих внешних системах.

Вы можете указать в параметрах запроса фильтры, чтобы получить информацию только о тех обнаружениях, которые удовлетворяют требуемым условиям.

При появлении новых обнаружений приложение не отправляет информацию о них автоматически на основе предыдущих запросов. Для получения актуальной информации требуется отправить повторный запрос.

Особенности работы в распределенном решении

Если приложение работает в режиме распределенного решения, то вам нужно настроить интеграцию с внешней системой для каждого сервера PCN и SCN, с которого вы хотите получать информацию об обнаружениях, отдельно. Ограничение связано с тем, что в веб-интерфейсе сервера PCN отображается информация обо всех обнаружениях, однако в базе обнаружений хранятся только те обнаружения, которые были зарегистрированы на этом сервере.

В этом разделе

Запрос на вывод информации об обнаружениях

Состав передаваемых данных
В начало
[Topic 181465]

Запрос на вывод информации об обнаружениях

Для создания запроса на вывод информации об обнаружениях Kaspersky Anti Targeted Attack Platform используется HTTP-метод GET. Создать запрос можно, например, с помощью утилиты командной строки cURL.

Синтаксис команды

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/scanner/v1/sensors/<идентификатор sensorId>/detects?detect_type=<одна или несколько технологий, с помощью которых выполнено обнаружение>&limit=<количество обнаружений в ответе на запрос>&token=<идентификатор запроса>"

При успешной обработке запроса отобразится список обнаружений, выполненных приложением Kaspersky Anti Targeted Attack Platform на сервере внешней системы.

Параметры

Параметр

Тип

Описание

sensorId

String

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

detect_type

Array

Технология, с помощью которой выполнено обнаружение. Возможно указать несколько технологий через запятую.

Возможные значения:

  • am – Anti-Malware Engine;
  • sb – Sandbox;
  • yara – YARA;
  • url_reputation – URL Reputation;
  • ids – Intrusion Detection System.

Если параметр не указан, предоставляется информация обо всех обнаружениях.

limit

Integer

Количество объектов, информация о которых будет предоставлена в ответ на запрос. Допустимые значения: целые числа от 1 до 10000.

По умолчанию установлено значение 1000.

token

String

Идентификатор запроса. При указании этого параметра в повторном запросе не отображается информация об обнаружениях, полученная в предыдущих запросах. Это позволяет избежать дублирования информации об одних и тех же обнаружениях при повторных запросах.

Если этот параметр не указан, предоставляется информация обо всех обнаружениях.

Ответ

HTTP-код: 200

Формат: JSON

type Response struct {

   Detects array  `json:"detects"`

   Token   string `json:"token"`

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

429

Превышено количество запросов.

401

Требуется авторизация.

500

Внутренняя ошибка сервера. Повторите запрос позднее.

Пример ввода команды с параметрами

curl --cert /root/cert.pem --key /root/server.key -X GET "https://10.10.10.1:443/kata/scanner/v1/sensors/dd11a1ee-a00b-111c-b11a-11001b1f1111/detects?detect_type=am,sb&limit=100&token=7b226f6666736574223a20307d"

В начало

[Topic 181506]

Состав передаваемых данных

Информация, передаваемая о каждом обнаружении, представлена в таблице ниже.

Состав передаваемых данных об обнаружении

Параметр

Значение

Описание

alertID

Целочисленное значение.

Идентификатор обнаружения.

eventTimeStamp

Дата и время.

Время события.

detectTimestamp

Дата и время.

Время занесения информации об обнаружении в базу Kaspersky Anti Targeted Attack Platform.

importance

Одно из следующих значений:

  • high;
  • medium;
  • low.

Важность обнаружения.

objectSource

Одно из следующих значений:

  • web;
  • mail;
  • endpoint;
  • external;
  • dns.

Источник обнаруженного объекта.

technology

Одно из следующих значений:

  • am – Anti-Malware Engine;
  • sb – Sandbox;
  • yara – YARA;
  • url_reputation – URL Reputation;
  • ids – Intrusion Detection System.

Технология, с помощью которой обнаружен объект.

objectType

Одно из следующих значений:

  • file.
  • URL.
  • host (для удаленных доменов или хостов).

Тип обнаруженного объекта.

object

Зависит от типа обнаруженного объекта.

Данные об обнаруженном объекте.

detection

Зависит от технологии, с помощью которой обнаружен объект.

Данные о найденных угрозах.

details

Зависит от источника обнаруженного объекта.

Данные об окружении обнаруженных объектов.

В этом разделе

Данные об обнаруженных объектах

Данные о найденных угрозах

Данные об окружении обнаруженных объектов
В начало
[Topic 181468]

Данные об обнаруженных объектах

Состав передаваемых данных об обнаруженных объектах в зависимости от типа объекта приведен в таблице ниже.

Данные об обнаруженных объектах

 

Параметр

Тип данных

Описание

Пример

file

processedObject.MD5

MD5

MD5-хеш файла или составного объекта, переданного на проверку.

1839a1e9621c58dadf782e131df3821f

processedObject.SHA256

SHA256

SHA256-хеш файла или составного объекта, переданного на проверку.

7bbfc1d690079b0c591e146c4294305da1cee857e12db40f4318598fdb503a47

processedObject.fileName

String

Имя файла или составного объекта, переданного на проверку.

EICAR-CURE.com

processedObject.fileType

String

Тип файла или составного объекта, переданного на проверку.

GeneralTxt

processedObject.fileSize

Integer

Размер файла или составного объекта, переданного на проверку, в байтах.

184

detectedObject.MD5

MD5

MD5-хеш файла (простого объекта или файла внутри составного объекта), в котором обнаружена угроза.

1839a1e9621c58dadf782e131df3821f

detectedObject.fileName

String

Имя файла (простого объекта или файла внутри составного объекта), в котором обнаружена угроза.

EICAR-CURE.com

detectedObject.fileSize

Integer

Размер файла (простого объекта или файла внутри составного объекта), в котором обнаружена угроза, в байтах.

184

URL

detectedObject

String

URL-адрес обнаруженного объекта.

http://example.com/link

host

detectedObject

Array

Список доменов, к которым относятся обнаруженные объекты.

Для технологии URL, а также для объектов с параметром objectSource=dns список может содержать несколько доменов.

example.org, example.net

См. также

Данные о найденных угрозах

Данные об окружении обнаруженных объектов
В начало
[Topic 181469]

Данные о найденных угрозах

Состав передаваемых данных о найденных угрозах в зависимости от технологии, с помощью которой выполнено обнаружение, приведен в таблице ниже.

Данные о найденных угрозах

Технология

Параметр

Описание

Тип данных

Пример

Одна из следующих технологий:

  • Anti-Malware Engine.
  • YARA.
  • Intrusion Detection System.

detect

Список найденных угроз.

Array

HEUR:Trojan.Win32.Generic, Trojan-DDoS.Win32.Macri.avy, UDS:DangerousObject.Multi.Generic

dataBaseVersion

Версия баз, с помощью которых проверен файл.

Integer

201811190706

Sandbox

detect

Список найденных угроз.

Array

HEUR:Trojan.Win32.Generic, Trojan-DDoS.Win32.Macri.avy, UDS:DangerousObject.Multi.Generic

image

Имя образа виртуальной машины, на которой был проверен файл.

String

Win7

dataBaseVersion

Версия баз в следующем формате: <версия баз приложения, с помощью которых проверен файл> / <версия баз модуля IDS>.

Integer

201902031107/ 201811190706

URL Reputation

detect

Список категорий URL Reputation для обнаруженного объекта (для объектов типа URL или host).

Array

Phishing host, Malicious host, Botnet C&C(Backdoor.Win32.Mokes)

См. также

Данные об обнаруженных объектах

Данные об окружении обнаруженных объектов
В начало
[Topic 181470]

Данные об окружении обнаруженных объектов

Состав передаваемых данных об окружении обнаруженных объектов в зависимости от источника объекта приведен в таблице ниже.

Данные об окружении обнаруженных объектов

Источник объекта

Параметр

Описание

Тип данных

Пример

web

sourceIP

IP-адрес компьютера, установившего соединение.

IP address

192.0.2.0

sourceHostname

Имя компьютера, установившего соединение.

String

example.com

destinationIp

IP-адрес компьютера, с которым установлено соединение.

IP address

198.51.100.0

destinationPort

Порт компьютера, с которым установлено соединение.

Integer

3128

URL

URL-адрес интернет-ресурса, к которому выполнено обращение.

Для обнаружений, выполненных технологией IDS, этот параметр отсутствует.

Для обнаружений, выполненных технологией URL, этот параметр совпадает с параметром detectedObject.

String

https://example.com:443/

method

Метод HTTP-запроса.

String

Connect

referrer

URL-адрес, на который была выполнена переадресация.

String

https://example.com:443/

agentString

Заголовок User agent из HTTP-запроса, содержащий название и версию клиентского приложения.

String

Mozilla/4.0

mail

mailFrom

Адрес электронной почты отправителя.

String

sender@example.com

mailTo

Список адресов электронной почты получателей через запятую.

Array

recipient1@example.com, recipient2@example.com

subject

Тема сообщения.

String

'You are the winner'

messageId

ID сообщения электронной почты.

String

1745028736.156014.1542897410859.JavaMail.svc_jira_pool@hqconflapp2
  • endpoint
  • external

hostName

Имя компьютера, на котором выполнено обнаружение.

String

computername.example.com

IP

IP-адрес компьютера, на котором выполнено обнаружение.

IP address

198.51.100.0

dns

sourceIp

IP-адрес компьютера, инициировавшего соединение по протоколу DNS.

IP address

192.0.2.0

destinationIp

IP-адрес компьютера, с которым установлено соединение по протоколу DNS (как правило, DNS-сервера).

IP address

198.51.100.0

destinationPort

Порт компьютера, с которым установлено соединение по протоколу DNS (как правило, DNS-сервера).

Integer

3128

dnsMessageType

Тип DNS-сообщения:

  • Request.
  • Response.

String

Request

dnsRequestType

Один из следующих типов записи DNS-запроса:

  • A.
  • AAA.
  • CNAME.
  • MX.

String

MX

domainToBeResolved

Имя домена из DNS-запроса.

String

example.com

См. также

Данные об обнаруженных объектах

Данные о найденных угрозах
В начало
[Topic 181471]