Kaspersky Anti Targeted Attack Platform
6.0
Русский

Содержание

Взаимодействие с внешними системами по API

Вы можете настроить интеграцию Kaspersky Anti Targeted Attack Platform с внешними системами, чтобы управлять действиями по реагированию на угрозы, а также для проверки хранящихся в них файлов и предоставления внешним системам доступа к информации обо всех обнаружениях и событиях приложения.

Взаимодействие внешних систем с Kaspersky Anti Targeted Attack Platform осуществляется с помощью интерфейса API. Вызовы методов API доступны только для авторизованных внешних систем. Для авторизации администратору приложения необходимо создать запрос на интеграцию внешней системы с приложением. После этого администратор должен обработать запрос в веб-интерфейсе Kaspersky Anti Targeted Attack Platform.

Если вы развернули компоненты Central Node и Sensor в виде кластера, вы можете настроить отказоустойчивую интеграцию с внешней системой одним из следующих способов:

  • Использовать функцию Round Robin.
  • Настроить параметры внешней системы таким образом, чтобы при возникновении таймаута внешняя система переключалась между IP-адресами серверов кластера.

Чтобы настроить отказоустойчивую интеграцию с внешней системой с помощью функции Round Robin:

  1. Настройте на сервере DNS функцию Round Robin для доменного имени, соответствующего кластеру Central Node.
  2. В параметрах почтового сервера укажите это доменное имя.

Интеграция с почтовым сервером будет настроена по доменному имени. Почтовый сервер обратится к случайному серверу кластера. При отказе этого сервера почтовый сервер будет обращаться к другому работоспособному серверу кластера.

В этом разделе справки

Интеграция внешней системы с Kaspersky Anti Targeted Attack Platform

API для проверки объектов внешних систем

API для получения внешними системами информации об обнаружениях приложения

API для получения внешними системами информации о событиях приложения

API для управления действиями по реагированию на угрозы
В начало
[Topic 247805]

Интеграция внешней системы с Kaspersky Anti Targeted Attack Platform

Для начала работы с API необходимо выполнить интеграцию внешней системы с Kaspersky Anti Targeted Attack Platform. Внешняя система должна пройти авторизацию на сервере Kaspersky Anti Targeted Attack Platform.

Чтобы выполнить интеграцию внешней системы с Kaspersky Anti Targeted Attack Platform:

  1. Сгенерируйте уникальный идентификатор внешней системы для авторизации в Kaspersky Anti Targeted Attack Platform – sensorId.
  2. Сгенерируйте сертификат сервера внешней системы.
  3. Создайте любой запрос от внешней системы в Kaspersky Anti Targeted Attack Platform, содержащий идентификатор sensorId. Например, вы можете создать запрос на проверку объекта из внешней системы в Kaspersky Anti Targeted Attack Platform.

В веб-интерфейсе Kaspersky Anti Targeted Attack Platform отобразится запрос на авторизацию от внешней системы. Обратитесь к администратору приложения для обработки запроса.

Если вам нужно сменить сертификат сервера внешней системы, выполните действия по интеграции внешней системы в Kaspersky Anti Targeted Attack Platform повторно.

В начало
[Topic 247806]

API для проверки объектов внешних систем

Kaspersky Anti Targeted Attack Platform предоставляет HTTPS REST интерфейс проверки объектов, хранящихся во внешних системах.

Для проверки объектов, хранящихся во внешних системах, рекомендуется использовать следующий сценарий взаимодействия с Kaspersky Anti Targeted Attack Platform:

  1. Создание запроса на проверку объектов HTTP-методом POST
  2. Создание запроса на получение результатов проверки HTTP-методом GET

    Интерфейс API является асинхронным, то есть Kaspersky Anti Targeted Attack Platform выполняет проверку объектов не в момент обращения внешней системы, а в фоновом режиме. Поэтому для получения результатов проверки требуется периодически отправлять запрос от внешней системы HTTP-методом GET. Рекомендуемая периодичность отправки запроса 1 раз в минуту.

    Вы также можете настроить отправку уведомлений об обнаруженных объектах в веб-интерфейсе Kaspersky Anti Targeted Attack Platform.

  3. Создание запроса на удаление результатов проверки HTTP-методом DELETE

    Вы можете удалить результаты проверки указанного объекта или всех объектов.

Работа с кластером

Если внешняя система представляет собой несколько серверов, объединенных в кластер, рекомендуется использовать один идентификатор (sensorId) для всех серверов. В этом случае в веб-интерфейсе Kaspersky Anti Targeted Attack Platform будет отображаться один запрос на интеграцию для всей системы. При необходимости разграничить получение результатов проверки по отдельным серверам вы можете назначить каждому серверу уникальный идентификатор экземпляра (sensorInstanceId).

Ограничения

В конфигурационном файле Kaspersky Anti Targeted Attack Platform установлены максимально допустимое количество запросов на проверку объектов от внешних систем и максимально допустимый размер проверяемого объекта.

Если превышено максимально допустимое количество одновременных запросов на проверку объектов, Kaspersky Anti Targeted Attack Platform перестает обрабатывать дальнейшие запросы до тех пор, пока количество запросов на проверку объектов не станет меньше максимально допустимого. До этого времени выдается код возврата 429. Необходимо повторить запрос на проверку позже.

Если превышен максимально допустимый размер объекта, Kaspersky Anti Targeted Attack Platform не проверяет этот объект. При создании запроса HTTP-методом POST выдается код возврата 413. Вы можете узнать максимально допустимый размер объекта, просмотрев список ограничений приложения на проверку объектов с помощью метода GET.

В начало
[Topic 247807]

Запрос на проверку объектов

Для создания запроса на проверку объектов используется HTTP-метод POST. Создать запрос можно, например, с помощью утилиты командной строки cURL.

Вы можете задавать параметры выполнения команды cURL с помощью дополнительных ключей (см. таблицу ниже).

Подробную информацию о ключах команд cURL см. в документации cURL.

Синтаксис команды

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/scanner/v1/sensors/<идентификатор sensorId>/scans?sensorInstanceId=<идентификатор sensorInstanceId>" -F "content=<путь к файлу, который вы хотите проверить>" -F scanId=<идентификатор запроса на проверку> -F "objectType=file"

При успешной обработке запроса отобразится статус "OK".

Параметры

Параметр

Тип

Описание

sensorId

string

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

content

file

Содержимое проверяемого объекта.

scanId

string

Уникальный идентификатор запроса на проверку. Должен быть сформирован на стороне внешней системы. Не может содержать пробелы и специальные символы. Не используйте имена файлов в качестве идентификатора запроса на проверку.

Если этот параметр не указан, просмотр результатов проверки недоступен.

objectType

string

Тип проверяемого объекта.

Возможное значения параметра: file.

sensorInstanceId

string

Уникальный идентификатор экземпляра внешней системы. Экземплярами внешней системы считаются также серверы, объединенные в кластер. Параметр не является обязательным.

Возвращаемое значение

Код возврата

Описание

200

Проверка выполнена успешно.

401

Требуется авторизация.

429

Превышено количество запросов. Повторите запрос позднее.

500

Внутренняя ошибка сервера. Повторите запрос позднее.

Пример ввода команды с параметрами

curl --cert /root/cert.pem --key /root/server.key -X POST "https://10.10.10.1:443/kata/scanner/v1/sensors/dd11a1ee-a00b-111c-b11a-11001b1f1111/scans?sensorInstanceId=instance1" -F "content=@/tmp/test" -F scanId=1 -F "objectType=file"

В начало

[Topic 176838]

Запрос на получение результатов проверки

Для создания запроса на получение результатов проверки используется HTTP-метод GET. Создать запрос можно, например, с помощью утилиты командной строки cURL.

Вы можете задавать параметры выполнения команды cURL с помощью дополнительных ключей (см. таблицу ниже).

Подробную информацию о ключах команд cURL см. в документации cURL.

Синтаксис команды

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/scanner/v1/sensors/<идентификатор sensorId>/scans/state?sensorInstanceId=<идентификатор sensorInstanceId>&state=<один или несколько статусов проверки, которые вы хотите отобразить в результатах проверки>"

При успешной отправке запроса отобразится список запросов на проверку объектов и результаты проверки этих объектов. Результаты проверки будут отфильтрованы по статусам, которые вы указали в параметре state. Например, если в запросе на получение результатов проверки вы указали статусы state=processing,detect, отобразятся только запросы на проверку объектов, которые находятся в обработке или в которых приложение обнаружило угрозу.

Параметры

Параметр

Тип

Описание

sensorId

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

state

array (тип элементов string)

Статус проверки объекта. При указании этого параметра результаты проверки будут отфильтрованы по статусу.

Указывайте один или несколько статусов через запятую.

Возможны следующие значения параметра:

  • detect;
  • not detected;
  • processing;
  • timeout;
  • error.

sensorInstanceId

string

Уникальный идентификатор экземпляра внешней системы. Экземплярами внешней системы считаются также серверы, объединенные в кластер. Параметр не является обязательным.

Ответ

HTTP-код: 200

Формат: JSON

type Response []Scans

 

type Scans struct {

   ScanID  integer `json:"scanId"`

   State   array   `json:"state"`

}

Возвращаемое значение

Код возврата

Описание

204

Нет содержимого.

404

Не найдены результаты проверки по указанному идентификатору.

500

Внутренняя ошибка сервера. Повторите запрос позднее.

Пример ввода команды с параметрами, если вы хотите отобразить все статусы проверки объектов в результатах проверки

curl --cert /root/cert.pem --key /root/server.key -X GET "https://10.10.10.1:443/kata/scanner/v1/sensors/dd11a1ee-a00b-111c-b11a-11001b1f1111/scans/state?sensorInstanceId=instance1&state=detect,not%20detected,processing,error,timeout"

В начало

[Topic 176830]

Запрос на удаление результатов проверки

Для создания запроса на удаление результатов проверки одного или нескольких объектов используется метод DELETE. Создать запрос можно, например, с помощью утилиты командной строки cURL.

Синтаксис команды

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X DELETE "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/scanner/v1/sensors/<идентификатор sensorId>/scans/<идентификатор scanId>"

При успешной обработке запроса результаты проверки объекта будут удалены. Отобразится статус "OK".

Параметры

Параметр

Тип

Описание

sensorId

string

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

scanId

string

Уникальный идентификатор запроса на проверку объекта. Если этот параметр не задан, будут удалены результаты проверки всех объектов.

Возвращаемое значение

Код возврата

Описание

200

Проверка выполнена успешно.

401

Требуется авторизация.

404

Не найдены результаты проверки по указанному идентификатору.

500

Внутренняя ошибка сервера. Повторите запрос позднее.

Пример ввода команды

curl --cert /root/cert.pem --key /root/server.key -X DELETE "https://10.10.10.1:443/kata/scanner/v1/sensors/dd11a1ee-a00b-111c-b11a-11001b1f1111/scans/1"

В начало

[Topic 176836]

Запрос на вывод ограничений приложения на проверку объектов

Для создания запроса на вывод ограничений приложения на проверку объектов (например, по размеру) используется HTTP-метод GET. Создать запрос можно, например, с помощью утилиты командной строки cURL.

Синтаксис команды

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/scanner/v1/sensors/<идентификатор sensorId>/scans/filters"

При успешной обработке запроса отобразятся ограничения приложения на проверку объектов. Например, ограничение maxObjectSize – максимально допустимый размер объекта, который вы можете отправить на проверку.

Параметры

Параметр

Тип

Описание

sensorId

string

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

Ответ

HTTP-код: 200

Формат: JSON

type Response struct {

   MaxObjectSize integer `json:"maxObjectSize"`

   Version       string  `json:"version"`

}

Возвращаемое значение

Код возврата

Описание

401

Требуется авторизация.

500

Внутренняя ошибка сервера. Повторите запрос позднее.

Пример ввода команды

curl --cert /root/cert.pem --key /root/server.key -X GET "https://10.10.10.1:443/kata/scanner/v1/sensors/dd11a1ee-a00b-111c-b11a-11001b1f1111/scans/filters"

В начало

[Topic 176834]

API для получения внешними системами информации об обнаружениях приложения

Kaspersky Anti Targeted Attack Platform предоставляет интерфейс API для доступа внешних систем к информации обо всех обнаружениях приложения, а не только о результатах проверки объектов, хранящихся в этих внешних системах.

Вы можете указать в параметрах запроса фильтры, чтобы получить информацию только о тех обнаружениях, которые удовлетворяют требуемым условиям.

При появлении новых обнаружений приложение не отправляет информацию о них автоматически на основе предыдущих запросов. Для получения актуальной информации требуется отправить повторный запрос.

Особенности работы в распределенном решении

Если приложение работает в режиме распределенного решения, то вам нужно настроить интеграцию с внешней системой для каждого сервера PCN и SCN, с которого вы хотите получать информацию об обнаружениях, отдельно. Ограничение связано с тем, что в веб-интерфейсе сервера PCN отображается информация обо всех обнаружениях, однако в базе обнаружений хранятся только те обнаружения, которые были зарегистрированы на этом сервере.

В этом разделе

Запрос на вывод информации об обнаружениях

Состав передаваемых данных
В начало
[Topic 181465]

Запрос на вывод информации об обнаружениях

Для создания запроса на вывод информации об обнаружениях Kaspersky Anti Targeted Attack Platform используется HTTP-метод GET. Создать запрос можно, например, с помощью утилиты командной строки cURL.

Синтаксис команды

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/scanner/v1/sensors/<идентификатор sensorId>/detects?detect_type=<одна или несколько технологий, с помощью которых выполнено обнаружение>&limit=<количество обнаружений в ответе на запрос>&token=<идентификатор запроса>"

При успешной обработке запроса отобразится список обнаружений, выполненных приложением Kaspersky Anti Targeted Attack Platform на сервере внешней системы.

Параметры

Параметр

Тип

Описание

sensorId

String

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

detect_type

Array

Технология, с помощью которой выполнено обнаружение. Возможно указать несколько технологий через запятую.

Возможные значения:

  • am – Anti-Malware Engine;
  • sb – Sandbox;
  • yara – YARA;
  • url_reputation – URL Reputation;
  • ids – Intrusion Detection System.

Если параметр не указан, предоставляется информация обо всех обнаружениях.

limit

Integer

Количество объектов, информация о которых будет предоставлена в ответ на запрос. Допустимые значения: целые числа от 1 до 10000.

По умолчанию установлено значение 1000.

token

String

Идентификатор запроса. При указании этого параметра в повторном запросе не отображается информация об обнаружениях, полученная в предыдущих запросах. Это позволяет избежать дублирования информации об одних и тех же обнаружениях при повторных запросах.

Если этот параметр не указан, предоставляется информация обо всех обнаружениях.

Ответ

HTTP-код: 200

Формат: JSON

type Response struct {

   Detects array  `json:"detects"`

   Token   string `json:"token"`

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

429

Превышено количество запросов.

401

Требуется авторизация.

500

Внутренняя ошибка сервера. Повторите запрос позднее.

Пример ввода команды с параметрами

curl --cert /root/cert.pem --key /root/server.key -X GET "https://10.10.10.1:443/kata/scanner/v1/sensors/dd11a1ee-a00b-111c-b11a-11001b1f1111/detects?detect_type=am,sb&limit=100&token=7b226f6666736574223a20307d"

В начало

[Topic 181506]

Состав передаваемых данных

Информация, передаваемая о каждом обнаружении, представлена в таблице ниже.

Состав передаваемых данных об обнаружении

Параметр

Значение

Описание

alertID

Целочисленное значение.

Идентификатор обнаружения.

eventTimeStamp

Дата и время.

Время события.

detectTimestamp

Дата и время.

Время занесения информации об обнаружении в базу Kaspersky Anti Targeted Attack Platform.

importance

Одно из следующих значений:

  • high;
  • medium;
  • low.

Важность обнаружения.

objectSource

Одно из следующих значений:

  • web;
  • mail;
  • endpoint;
  • external;
  • dns.

Источник обнаруженного объекта.

technology

Одно из следующих значений:

  • am – Anti-Malware Engine;
  • sb – Sandbox;
  • yara – YARA;
  • url_reputation – URL Reputation;
  • ids – Intrusion Detection System.

Технология, с помощью которой обнаружен объект.

objectType

Одно из следующих значений:

  • file.
  • URL.
  • host (для удаленных доменов или хостов).

Тип обнаруженного объекта.

object

Зависит от типа обнаруженного объекта.

Данные об обнаруженном объекте.

detection

Зависит от технологии, с помощью которой обнаружен объект.

Данные о найденных угрозах.

details

Зависит от источника обнаруженного объекта.

Данные об окружении обнаруженных объектов.

В этом разделе

Данные об обнаруженных объектах

Данные о найденных угрозах

Данные об окружении обнаруженных объектов
В начало
[Topic 181468]

Данные об обнаруженных объектах

Состав передаваемых данных об обнаруженных объектах в зависимости от типа объекта приведен в таблице ниже.

Данные об обнаруженных объектах

 

Параметр

Тип данных

Описание

Пример

file

processedObject.MD5

MD5

MD5-хеш файла или составного объекта, переданного на проверку.

1839a1e9621c58dadf782e131df3821f

processedObject.SHA256

SHA256

SHA256-хеш файла или составного объекта, переданного на проверку.

7bbfc1d690079b0c591e146c4294305da1cee857e12db40f4318598fdb503a47

processedObject.fileName

String

Имя файла или составного объекта, переданного на проверку.

EICAR-CURE.com

processedObject.fileType

String

Тип файла или составного объекта, переданного на проверку.

GeneralTxt

processedObject.fileSize

Integer

Размер файла или составного объекта, переданного на проверку, в байтах.

184

detectedObject.MD5

MD5

MD5-хеш файла (простого объекта или файла внутри составного объекта), в котором обнаружена угроза.

1839a1e9621c58dadf782e131df3821f

detectedObject.fileName

String

Имя файла (простого объекта или файла внутри составного объекта), в котором обнаружена угроза.

EICAR-CURE.com

detectedObject.fileSize

Integer

Размер файла (простого объекта или файла внутри составного объекта), в котором обнаружена угроза, в байтах.

184

URL

detectedObject

String

URL-адрес обнаруженного объекта.

http://example.com/link

host

detectedObject

Array

Список доменов, к которым относятся обнаруженные объекты.

Для технологии URL, а также для объектов с параметром objectSource=dns список может содержать несколько доменов.

example.org, example.net

См. также

Данные о найденных угрозах

Данные об окружении обнаруженных объектов
В начало
[Topic 181469]

Данные о найденных угрозах

Состав передаваемых данных о найденных угрозах в зависимости от технологии, с помощью которой выполнено обнаружение, приведен в таблице ниже.

Данные о найденных угрозах

Технология

Параметр

Описание

Тип данных

Пример

Одна из следующих технологий:

  • Anti-Malware Engine.
  • YARA.
  • Intrusion Detection System.

detect

Список найденных угроз.

Array

HEUR:Trojan.Win32.Generic, Trojan-DDoS.Win32.Macri.avy, UDS:DangerousObject.Multi.Generic

dataBaseVersion

Версия баз, с помощью которых проверен файл.

Integer

201811190706

Sandbox

detect

Список найденных угроз.

Array

HEUR:Trojan.Win32.Generic, Trojan-DDoS.Win32.Macri.avy, UDS:DangerousObject.Multi.Generic

image

Имя образа виртуальной машины, на которой был проверен файл.

String

Win7

dataBaseVersion

Версия баз в следующем формате: <версия баз приложения, с помощью которых проверен файл> / <версия баз модуля IDS>.

Integer

201902031107/ 201811190706

URL Reputation

detect

Список категорий URL Reputation для обнаруженного объекта (для объектов типа URL или host).

Array

Phishing host, Malicious host, Botnet C&C(Backdoor.Win32.Mokes)

См. также

Данные об обнаруженных объектах

Данные об окружении обнаруженных объектов
В начало
[Topic 181470]

Данные об окружении обнаруженных объектов

Состав передаваемых данных об окружении обнаруженных объектов в зависимости от источника объекта приведен в таблице ниже.

Данные об окружении обнаруженных объектов

Источник объекта

Параметр

Описание

Тип данных

Пример

web

sourceIP

IP-адрес компьютера, установившего соединение.

IP address

192.0.2.0

sourceHostname

Имя компьютера, установившего соединение.

String

example.com

destinationIp

IP-адрес компьютера, с которым установлено соединение.

IP address

198.51.100.0

destinationPort

Порт компьютера, с которым установлено соединение.

Integer

3128

URL

URL-адрес интернет-ресурса, к которому выполнено обращение.

Для обнаружений, выполненных технологией IDS, этот параметр отсутствует.

Для обнаружений, выполненных технологией URL, этот параметр совпадает с параметром detectedObject.

String

https://example.com:443/

method

Метод HTTP-запроса.

String

Connect

referrer

URL-адрес, на который была выполнена переадресация.

String

https://example.com:443/

agentString

Заголовок User agent из HTTP-запроса, содержащий название и версию клиентского приложения.

String

Mozilla/4.0

mail

mailFrom

Адрес электронной почты отправителя.

String

sender@example.com

mailTo

Список адресов электронной почты получателей через запятую.

Array

recipient1@example.com, recipient2@example.com

subject

Тема сообщения.

String

'You are the winner'

messageId

ID сообщения электронной почты.

String

1745028736.156014.1542897410859.JavaMail.svc_jira_pool@hqconflapp2
  • endpoint
  • external

hostName

Имя компьютера, на котором выполнено обнаружение.

String

computername.example.com

IP

IP-адрес компьютера, на котором выполнено обнаружение.

IP address

198.51.100.0

dns

sourceIp

IP-адрес компьютера, инициировавшего соединение по протоколу DNS.

IP address

192.0.2.0

destinationIp

IP-адрес компьютера, с которым установлено соединение по протоколу DNS (как правило, DNS-сервера).

IP address

198.51.100.0

destinationPort

Порт компьютера, с которым установлено соединение по протоколу DNS (как правило, DNS-сервера).

Integer

3128

dnsMessageType

Тип DNS-сообщения:

  • Request.
  • Response.

String

Request

dnsRequestType

Один из следующих типов записи DNS-запроса:

  • A.
  • AAA.
  • CNAME.
  • MX.

String

MX

domainToBeResolved

Имя домена из DNS-запроса.

String

example.com

См. также

Данные об обнаруженных объектах

Данные о найденных угрозах
В начало
[Topic 181471]

API для получения внешними системами информации о событиях приложения

Kaspersky Anti Targeted Attack Platform предоставляет интерфейс API для доступа внешних систем к информации о зарегистрированных приложением событиях.

Вы можете указать в параметрах запроса фильтры, чтобы получить информацию только о тех событиях, которые удовлетворяют требуемым условиям.

При появлении новых событий приложение не отправляет информацию о них автоматически на основе предыдущих запросов. Для получения актуальной информации требуется отправить повторный запрос.

Информация о новых событиях доступна для получения не более двух часов после их появления в базе Kaspersky Anti Targeted Attack Platform.

Особенности работы в распределенном решении

Если приложение работает в режиме распределенного решения, то вам нужно настроить интеграцию с внешней системой для каждого сервера PCN и SCN, с которого вы хотите получать события, отдельно. Ограничение связано с тем, что в веб-интерфейсе сервера PCN отображается информация обо всех событиях, однако в базе событий хранятся только те события, которые были зарегистрированы на этом сервере.

В начало
[Topic 248949]

Запрос на вывод информации о событиях

Для создания запроса на вывод информации о событиях используется HTTP-метод GET.

Вы можете задавать параметры выполнения команды cURL с помощью дополнительных ключей (см. таблицу ниже).

Подробную информацию о ключах команд cURL см. в документации cURL.

При первом запросе Kaspersky Anti Targeted Attack Platform создает ContinuationToken (далее также "токен"). Приложение передает события, доступные в системе на момент создания токена. При создании нового токена Kaspersky Anti Targeted Attack Platform отправляет события, доступные в системе на момент создания этого токена.

Токен содержит информацию о том, какие данные были переданы последними. Если вы хотите получать события, записанные с момента последнего запроса, вам нужно сохранить созданный токен и использовать его в следующих запросах.

Синтаксис команды

Для первого запроса:

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/events_api/v1/<идентификатор external_system_id>/events"

При успешной обработке запроса отобразится информация о запрошенных событиях и значение токена.

Для следующих запросов:

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/events_api/v1/<идентификатор external_system_id>/events&continuation_token=<значение токена, полученное при первом запросе>"

При успешной обработке запроса отобразится информация о событиях, полученных с момента последнего запроса.

Вы можете создать запрос на вывод информации о событиях, указав максимальные время сбора и количество событий, а также параметры фильтрации событий:

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/events_api/v1/<идентификатор external_system_id>/events?filter=<фильтр для событий>&max_timeout=<максимальное время сбора событий>&max_events=<максимальное количество событий>&continuation_token=<значение токена, полученное при первом запросе>"

Если при первом запросе вы указали значение параметра filter, при повторном запросе вы можете его не указывать: параметры фильтрации сохраняются от предыдущего запроса и используются в случае, если не указаны новые. Если вы не хотите использовать фильтрацию, не указывайте значение для параметра.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

filter

string

Параметры фильтрации событий. Задаются с помощью языка запросов для работы с событиями.

max_timeout

int

Максимальное время сбора событий. Указывается в формате PT<значение, выраженное целым числом>S. Например, PT300S. Сервер отправляет информацию о событиях, собранную за указанное время.

Значение по умолчанию – 5 минут. Это значение используется, если в запросе не указано другое.

Максимальное время сбора событий не должно превышать 5 минут. Если вы укажете значение, превышающее 5 минут, сервер Central Node вернет ошибку.

Фактическое полное время ожидания событий может быть увеличено.

max_events

int

Максимальное количество событий.

Если в запросе не указано значение, Kaspersky Anti Targeted Attack Platform вычисляет его, исходя из количества хостов, на которые установлен компонент Endpoint Agent.

Примеры значений для типовых конфигураций:

  • Для 1000 хостов – 64000.
  • Для 5000 хостов – 128000.
  • Для 10000 хостов – 208000.
  • Для 15000 хостов – 288000.
  • Для 30000 хостов – 528000.

Указанное в запросе значение не должно их превышать.

continuation_token

string

Значение токена.

Пример ввода команд с параметрами

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "https://10.10.0.22:443/kata/events_api/v1/c440a37b-5c01-4505-a30e-3d23b20dd609/events"

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "https://10.10.0.22:443/kata/events_api/v1/c440a37b-5c01-4505-a30e-3d23b20dd609/events?
filter=EventType=='threatdetect' OR EventType=='threatprocessingresult'&max_timeout=PT300S&max_events=64000&continuation_token=
CiQyZDcyNjNiOS0zZmNlLTQxNzktYTdhOC03N2E0ZmUwNjNjMTkSBAgAEAoSBAgBEAMSBAgCEAsSBAgDEAcSBAgEEAgSBAgFEAkSBAgGEAQSBAg
HEAUSBAgIEAcSBAgJEAMYiYyCmvIw"

Если значения параметров содержат специальные символы, вам необходимо в запросах использовать кодирование URL или команду
--data-urlencode.

Пример ввода команд с параметрами c использованием кодирования URL

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "https://10.10.0.22:443/kata/events_api/v1/c440a37b-5c01-4505-a30e-3d23b20dd609/events?
filter=EventType=='threatdetect' OR EventType=='threatprocessingresult'&max_timeout=PT300S&max_events=64000&continuation_token=
CiQ%3Dcy%7ENiOS0zZmNlLTQxNzktYTdhOC03N2E0Z40%wNjNjMTkSBAgAEAoSBAgB%5EMSB%3CEAsSBAgDEAcSBAgEEAgSBAgFEAkSBAgGEAQSBAg
HEAUSBAgIEAcSBAgJEAMYiYyCmvIw"

Пример ввода команд с параметрами c использованием команды --data-urlencode

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> --GET -d "max_events=64000" -d "max_timeout=PT300S" -d "filter=EventType=='threatdetect'" --data-urlencode "continuation_token=
CiQ?Dcy~NiOS0zZmNlLTQxNzktYTdhOC03N2E0Z@wNjNjMTkSBAgAEAoSBAgB^MSB?CEAsSBAgDEAcSBAgEEAgSBAgFEAkSBAgGEAQSBAg
HEAUSBAgIEAcSBAgJEAMYiYyCmvIw" https://10.10.0.22:443/kata/events_api/v1/c440a37b-5c01-4505-a30e-3d23b20dd609/events

Ответ

HTTP-код: 200

Формат: JSON

type Response struct {

   Events             array  `json:"events"`

   ContinuationToken  string `json:"continuationToken"`

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 248951]

Язык запросов для фильтрации событий

Язык запросов для фильтрации событий поддерживает следующие функции и операторы:

  • Функции: in.
  • Операторы сравнения для значений типа String или Boolean:
    • ==.
    • !=.
  • Операторы сравнения для чисел и переменных:
    • AND.
    • OR.
    • NOT.
    • ==.
    • !=.
    • >.
    • >=.
    • <.
    • <=.

Вы можете посмотреть список полей, по которым можно отфильтровать события, в разделе Поля для фильтрации событий.

Если вы хотите получить информацию о событиях разного типа, вам нужно создать отдельный запрос для каждого типа событий.

EventType=='threatdetect' OR EventType=='threatprocessingresult'

Поддерживаются константы числового и строкового типа. Строковые константы заключаются в апострофы: 'example'. Для строковых констант поддерживаются метасимволы * и ?. Если вы не хотите использовать метасимволы, вам нужно экранировать их: \*, \?. Также в строковых константах вам нужно экранировать специальные символы.

В начало
[Topic 249006]

Поля для фильтрации событий

Список полей для фильтрации событий приведен в таблице ниже.

Если значения полей содержат специальные символы, вам необходимо в запросах использовать кодирование URL или команду
--data-urlencode.

Список полей для фильтрации событий

Название поля

Тип

Описание

HostName

string

Имя хоста.

HostIp

string

IP-адрес хоста.

EventType

string

Тип события. Может иметь следующие значения:

  • process – запущен процесс.
  • process_terminate – завершен процесс.
  • module – загружен модуль.
  • connection – удаленное соединение.
  • applock – правило запрета.
  • blockdocument – заблокирован документ.
  • filechange – изменен файл.
  • windowsevent – журнал событий ОС.
  • registry – изменение в реестре.
  • portlisten – прослушан порт.
  • driver – загружен драйвер.
  • threatdetect – обнаружение.
  • threatprocessingresult – результат обработки обнаружения.
  • amsiscan – AMSI-проверка.
  • process_interpretated_file_run – интерпретированный запуск файла.
  • process_console_interactive_input – интерактивный ввод команд в консоли.

UserName

string

Имя пользователя.

OsFamily

string

Семейство операционной системы.

OsVersion

string

Версия операционной системы, используемой на хосте.

Ioa.Rules.Id

string

Идентификатор правила TAA (IOA).

Ioa.Rules.Name

string

Информация о результатах исследования файла с помощью технологии Targeted Attack Analyzer: название правила TAA (IOA), по которому было выполнено обнаружение.

Ioa.Rules.Techniques

string

Техника MITRE.

Ioa.Rules.Tactics

string

Тактика MITRE.

Ioa.Severity

string

Степень важности, присвоенная событию, выполненному по этому правилу TAA (IOA).

Может иметь следующие значения:

  • Low.
  • Medium.
  • High.

Ioa.Confidence

string

Уровень надежности в зависимости от вероятности ложных срабатываний правила.

Может иметь следующие значения:

  • Low.
  • Medium.
  • High.

FileCreationTime

integer

Время создания файла.

DllCreationTime

integer

Время создания библиотеки DLL.

DroppedCreationTime

integer

Время создания измененного файла.

InterpretedFileCreationTime

integer

Время создания интерпретируемого файла.

FileName

string

Имя файла.

DllName

string

Имя библиотеки DLL.

DroppedName

string

Имя измененного файла.

BlockedName

string

Имя заблокированного файла.

InterpretedFileName

string

Имя интерпретируемого файла.

FilePath

string

Путь к директории, в которой располагается файл.

DllPath

string

Путь к директории, в которой располагается библиотека DLL.

DroppedPath

string

Путь к директории, в которой располагается измененный файл.

BlockedPath

string

Путь к директории, в которой располагается заблокированный файл.

InterpretedFilePath

string

Путь к директории, в которой располагается интерпретируемый файл.

FileFullName

string

Полный путь к файлу. Включает путь к директории и имя файла.

DllFullName

string

Полный путь к библиотеке DLL. Включает путь к директории и имя файла.

DroppedFullName

string

Полный путь к измененному файлу. Включает путь к директории и имя файла.

BlockedFullName

string

Полный путь к заблокированному файлу. Включает путь к директории и имя файла.

DetectedName

string

Полный путь к обнаруженному файлу. Включает путь к директории и имя файла.

OriginalFileName

string

Полный путь к исходному файлу. Включает путь к директории и имя файла.

InterpretedFileFullName

string

Полный путь к интерпретируемому файлу. Включает путь к директории и имя файла.

FileModificationTime

integer

Время изменения файла.

DllModificationTime

integer

Время изменения библиотеки DLL.

DroppedModificationTime

integer

Время изменения измененного файла.

InterpretedFileModificationTime

integer

Время изменения интерпретируемого файла.

FileSize

integer

Размер файла.

DllSize

integer

Размер библиотеки DLL.

DroppedSize

integer

Размер измененного файла.

InterpretedFileSize

integer

Размер интерпретируемого файла.

Md5

string

MD5-хеш файла.

DllMd5

string

MD5-хеш библиотеки DLL

DroppedMd5

string

MD5-хеш измененного файла.

InterpretedMd5

string

MD5-хеш интерпретируемого файла.

DetectedMd5

string

MD5-хеш обнаруженного файла.

Sha256

string

SHA256-хеш файла.

DllSha256

string

SHA256-хеш библиотеки DLL.

DroppedSha256

string

SHA256-хеш измененного файла.

BlockedSha256

string

SHA256-хеш заблокированного файла.

InterpretedSha256

string

SHA256-хеш интерпретируемого файла.

DetectedSha256

string

SHA256-хеш обнаруженного файла.

HijackingPath

string

Вредоносная DLL, помещенная в директорию по стандартному пути обхода, чтобы система загрузила ее раньше, чем исходную DLL.

LogonRemoteHost

string

IP-адрес хоста, с которого был выполнен удаленный вход.

RealUserName

string

Имя пользователя, назначенное ему при регистрации в системе.

EffectiveUserName

string

Имя пользователя, которое было использовано для входа в систему.

Environment

string

Переменные окружения.

ProcessType

integer

Тип процесса. Может иметь следующие значения:

  • 1 – exec.
  • 2 – fork.
  • 3 – vfork.
  • 4 – clone.

LinuxOperationResult

string

Результат операции. Может иметь следующие значения:

  • success.
  • failed.

SystemPid

integer

Идентификатор процесса.

ParentFileFullName

string

Путь к файлу родительского процесса.

ParentMd5

string

MD5-хеш файла родительского процесса.

ParentSha256

string

SHA256-хеш файла родительского процесса.

StartupParameters

string

Параметры запуска процесса.

ParentSystemPid

integer

Идентификатор родительского процесса.

ParentStartupParameters

string

Параметры запуска родительского процесса.

Method

string

Метод HTTP-запроса.

Direction

string

Направление соединения. Может иметь следующие значения:

  • inbound.
  • outbound.

LocalIp

string

IP-адрес локального компьютера, с которого была произведена попытка удаленного соединения.

LocalPort

integer

Порт локального компьютера, с которого была произведена попытка удаленного соединения.

RemoteHostName

string

Имя компьютера, на который была произведена попытка удаленного соединения.

RemoteIp

string

IP-адрес компьютера, на который была произведена попытка удаленного соединения.

RemotePort

integer

Порт компьютера, на который была произведена попытка удаленного соединения.

URI

string

Адрес ресурса, к которому произведен запрос HTTP.

KeyName

string

Путь к ключу реестра.

ValueName

string

Имя параметра реестра.

ValueData

string

Значение параметра реестра.

RegistryOperationType

integer

Тип операции с реестром. Может иметь следующие значения:

  • 0 – создан ключ реестра.
  • 1 – удален ключ реестра.
  • 2 – изменен реестр.
  • 3 – переименован ключ реестра.

PreviousKeyName

string

Предыдущий путь к ключу реестра.

PreviousValueData

string

Предыдущее имя параметра реестра.

System.EventID.value

string

Идентификатор типа события безопасности в журнале Windows.

LinuxEventType
(поле используется для получения типа события, зафиксированного в журнале событий операционных систем Linux и macOS)

string

Тип события. Может иметь следующие значения:

  • NewUserCreated – создана учетная запись.
  • UserAccountDeleted – учетная запись пользователя удалена.
  • GroupCreated – создана группа.
  • GroupDeleted – изменена группа.
  • MemberAddedToGroup – учетная запись добавлена в группу.
  • UserPasswordChanged – изменен пароль учетной записи.
  • LinuxAuth – выполнена аутентификация в ОС Linux и macOS.
  • LinuxSessionStart – запущена сессия в ОС Linux и macOS.
  • LinuxSessionEnd – завершена сессия ОС Linux и macOS.
  • ServiceStart – запущена служба.
  • ChangeAccountExpirationDate – изменен срок действия учетной записи.
  • OperatingSystemShuttingDown – выключена операционная система.
  • OperatingSystemStarted – запущена операционная система.
  • ModifyPromiscuousMode – изменена работа неразборчивого режима.
  • AuditdConfigurationChanged – изменены настройки аудита.

System.Channel.value

string

Имя журнала.

System.EventRecordID.value

string

Идентификатор записи в журнале

System.Provider.Name.value

string

Идентификатор системы, записавшей событие в журнал.

EventData.Data.TargetDomainName.value

string

Доменное имя удаленного компьютера.

EventData.Data.ObjectName.value

string

Имя объекта, инициировавшего событие.

EventData.Data.PackageName.value

string

Имя пакета, инициировавшего событие.

EventData.Data.ProcessName.value

string

Имя процесса, инициировавшего событие.

VerdictName

string

Имя обнаруженного объекта.

RecordId

integer

Идентификатор сработавшего правила.

ProcessingMode

string

Режим проверки. Может иметь следующие значения:

  • Default – по умолчанию.
  • OnDemand – при запросе.
  • OnAccess – при доступе.
  • OnExecute – при выполнении.
  • OnDownload – при загрузке.
  • OnStartup – при запуске приложений.
  • OnMail – при отправке сообщения.
  • OnPostpone – при отложенной проверке.
  • OnDisinfect – при лечении.
  • OnVulnerability – при поиске уязвимостей.
  • OnFirstLaunch – при первом запуске.
  • OnEngineLoad – при запуске системы.
  • OnQuarantineRescan – при повторной проверке объектов в Хранилище.
  • OnWebRequest – при веб-запросе.
  • OnAmsiScan – при проверке AMSI.
  • OnSystemWatcherScan – при анализе поведения приложений.

DetectedName

string

Имя объекта.

DetectedObjectType

string

Тип объекта. Может иметь следующие значения:

  • Unknown – неизвестно.
  • File – файл.
  • LogicalDrive – логический диск.
  • PhysicalDisk – физический диск.
  • SystemMemory – системная память.
  • MemoryProcess – память процесса.
  • MemoryModule – модуль памяти.
  • MailMsgRef – заголовок References сообщения электронной почты.
  • MailMsgMime – MIME-вложения.
  • MailMsgBody – текст сообщения электронной почты.
  • MailMsgAttach – вложение сообщения электронной почты.
  • StartUp – объекты автозапуска.
  • Folder – директория.
  • Script – скрипт.
  • Url – URL-адрес.
  • AmsiStream – поток проверки AMSI.

ThreatStatus

string

Режим обнаружения. Может иметь следующие значения:

  • Untreated – объект не обработан.
  • Untreatable – объект не поддается обработке.
  • NotFound – объект не найден.
  • Disinfected – объект вылечен.
  • Deleted – объект удален.
  • Quarantined – объект помещен на карантин.
  • AddedByUser – объект добавлен пользователем.
  • Unknown – неизвестно.
  • AddedToExclude – объект добавлен в исключения.
  • Terminated – обработка прервана.
  • Clear – объект не заражен.
  • FalseAlarm – ложное срабатывание.
  • RolledBack – выполнен откат к предыдущему состоянию.
  • IpNotBlocked – IP-адрес не заблокирован.
  • IpBlocked – IP-адрес заблокирован.
  • IpCannotBeBlocked – IP-адрес не может быть заблокирован.
  • IpBlockIsNotRequired – не требуется блокировка IP-адреса.

UntreatedReason

string

Статус обработки объекта. Может иметь следующие значения:

  • None – нет данных.
  • NonCurable – объект невозможно вылечить.
  • Locked – объект заблокирован.
  • ReportOnly – приложение работает в режиме Только отчет.
  • NoRights – нет прав на выполнение действия.
  • Cancelled – обработка отменена.
  • WriteProtect – объект защищен от записи.
  • TaskStopped – задача на обработку прервана.
  • Postponed – действие отложено.
  • NonOverwritable – объект невозможно перезаписать.
  • CopyFailed – не удалось создать копию объекта.
  • WriteError – ошибка записи данных.
  • OutOfSpace – нет места на диске.
  • ReadError – ошибка чтения данных.
  • DeviceNotReady – устройство не готово.
  • ObjectNotFound – объект не найден.
  • WriteNotSupported – запись данных не поддерживается.
  • CannotBackup – не удалось создать резервную копию объекта.
  • SystemCriticalObject – объект является критическим для системы.
  • AlreadyProcessed – объект уже был обработан.

InteractiveInputText

string

Команда интерпретатора.

ObjectContent

string

Содержание скрипта, переданного на проверку.

ObjectContentType

integer

Тип содержимого скрипта. Может иметь следующие значения:

  • 1 – текст.
  • 2 – двоичный код.

FileOperationType

integer

Тип операции с файлом. Может иметь следующие значения:

  • 1 – создан файл.
  • 2 – изменен файл.
  • 3 – переименован файл.
  • 4 – изменены атрибуты файла.
  • 5 – удален файл.
  • 6 – прочитан файл.

PreviousFileName

string

Путь к директории, в которой файл располагался ранее.

PreviousFileFullName

string

Полное имя файла, включающее предыдущий путь к директории, в которой файл располагался ранее, и / или предыдущее имя файла.

DroppedFileType

integer

Тип измененного файла. Может иметь следующие значения:

  • 0 – неизвестно.
  • 1 – другие файлы.
  • 2 – образ PE.
  • 3 – PE DLL.
  • 4 – ресурсы PE.
  • 5 – файл ресурсов .NET.
  • 6 – файл ELF.

В начало

[Topic 249086]

API для управления действиями по реагированию на угрозы

Kaspersky Anti Targeted Attack Platform предоставляет интерфейс API для осуществления действий по реагированию на угрозы. Команды на выполнение операций поступают на сервер Central Node, после чего приложение передает их компоненту Endpoint Agent.

С помощью внешних систем вы можете выполнить следующие операции на хостах с компонентом Endpoint Agent:

Все перечисленные операции доступны на хостах, на которых в роли компонента Endpoint Agent используются приложения Kaspersky Endpoint Agent для Windows и Kaspersky Endpoint Security для Windows.

Если в роли компонента Endpoint Agent используется Kaspersky Endpoint Security для Linux, вы можете управлять сетевой изоляцией и запускать приложения.

В этом разделе справки

Запрос на получение списка хостов с компонентом Endpoint Agent

Запрос на получение информации о сетевой изоляции и наличии правил запрета для хостов с компонентом Endpoint Agent

Управление сетевой изоляцией хостов

Управление правилами запрета

Управление задачей запуска приложения
В начало
[Topic 227245]

Запрос на получение списка хостов с компонентом Endpoint Agent

Для создания запроса на вывод информации о хостах с компонентом Endpoint Agent используется HTTP-метод GET.

Синтаксис команды

GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/sensors"

При успешной обработке запроса отобразится список хостов с компонентом Endpoint Agent.

Вы можете создать запрос на вывод информации о хостах с фильтрами по IP-адресу, имени или идентификатору хоста. Вы можете указать один, несколько или все перечисленные фильтры.

При указании имени хоста вам нужно учитывать, что фильтр чувствителен к регистру символов.

GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/sensors?ip=<IP-адрес хоста>&host=<имя хоста>&sensor_id=<идентификатор sensor_id>"

При успешной обработке запроса отобразится информация о выбранном хосте с компонентом Endpoint Agent.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

ip

string

IP-адрес хоста с компонентом Endpoint Agent.

host

string

Имя хоста с компонентом Endpoint Agent.

Пример ввода команд с параметрами

GET "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/sensors"

GET "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/sensors?ip=10.16.40.243&host=host4&sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0"

Ответ

HTTP-код: 200

Формат: JSON

type Response Sensors 

 

type Server struct {

   Version             string  `json:"version"`

},

 

type Sensors struct {

   SensorID            UUID    `json:"sensorId"`

   HostIP              string  `json:"hostIp"`

   LastAccessTimestamp         `json:"lastAccessTimestamp"`

   Version             string  `json:"version"`

   SelfDefenseState    boolean `json:"selfDefenseState"`

   LicenseStatus       string  `json:"licenseStatus"`

   OSFamily            string  `json:"osFamily"`

   OSName              string  `json:"osName"`

   Capabilities        array   `json:"capabilities"`

   

}

Возвращаемое значение

Код возврата

Описание

400

Требуется авторизация.

401

Ошибка ввода параметров.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 227251]

Запрос на получение информации о сетевой изоляции и наличии правил запрета для хостов с компонентом Endpoint Agent

Для создания запроса на вывод информации о сетевой изоляции и наличии правил запрета для хостов с компонентом Endpoint Agent используется HTTP-метод GET.

Синтаксис команды

GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id>&settings_type=<network_isolation или prevention>"

При успешной обработке запроса отобразится список хостов с компонентом Endpoint Agent, для которых на момент выполнения запроса применены правила запрета или сетевой изоляции.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

settings_type

enum

Тип правила - network_isolation или prevention.

Пример ввода команды с параметрами

GET "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0&settings_type=network_isolation"

Ответ

HTTP-код: 200

Формат: JSON

type Response []Settings 

 

type Settings struct {

   ExcludedRules             array  `json:"excludedRules"`

   AutoTurnoffTimeoutInSec   int    `json:"autoTurnoffTimeoutInSec"`

}

 

Возвращаемое значение

Код возврата

Описание

400

Требуется авторизация.

401

Ошибка ввода параметров.

404

Не найден указанный хост с компонентом Endpoint Agent.

500, 502, 503, 504

Внутренняя ошибка. Повторите запрос позднее.

В начало

[Topic 227597]

Управление сетевой изоляцией хостов

Для изоляции хоста с компонентом Endpoint Agent с помощью интерфейса API рекомендуется использовать следующий сценарий взаимодействия с Kaspersky Anti Targeted Attack Platform:

  1. Создание запроса на получение списка хостов с компонентом Endpoint Agent
  2. Создание запроса на получение информации о хостах, для которых уже включена сетевая изоляция
  3. Создание запроса на одну из следующих операций с хостами с компонентом Endpoint Agent:

Вы можете управлять созданными правилами сетевой изоляции в веб-интерфейсе приложения.

В начало
[Topic 227293]

Запрос на включение сетевой изоляции

Чтобы включить сетевую изоляцию для выбранного хоста, вам требуется добавить правило сетевой изоляции. Для создания запроса используется HTTP-метод POST.

Параметры команды передаются в теле запроса в формате JSON.

Синтаксис команды

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id>&settings_type=network_isolation" -H 'Content-Type: application/json' -d '

{

"settings": {

"autoTurnoffTimeoutInSec": <время действия сетевой изоляции>}

}

'

При успешной обработке запроса правило сетевой изоляции будет добавлено. Сетевая изоляция для выбранного хоста действует с момента добавления правила.

По истечении времени, указанного при создании запроса, сетевая изоляция перестанет действовать. Правило сетевой изоляции при этом не удаляется. При необходимости вы можете удалить выбранное правило.

Для отключения сетевой изоляции вам требуется создать запрос на отключение выбранного правила.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

autoTurnoffTimeoutInSec

integer

Время, в течение которого будет действовать сетевая изоляция хоста.

Допустимый диапазон – от 1 до 9999 часов. Время сетевой изоляции указывается в секундах. Например, если вы хотите включить сетевую изоляцию хоста на два часа, вам требуется указать 7200 секунд.

Пример ввода команды с параметрами

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0&settings_type=network_isolation" -H 'Content-Type: application/json' -d '

{

"settings": {

"autoTurnoffTimeoutInSec": 7200}

}

'

 

Ответ

HTTP-код: 200

Формат: JSON

type Response []Settings 

 

type Settings struct {

   ExcludedRules             array   `json:"excludedRules"`

   AutoTurnoffTimeoutInSec   integer `json:"autoTurnoffTimeoutInSec"`

}

 

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Не найден указанный хост с компонентом Endpoint Agent.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

Если вы хотите изменить параметры созданного правила сетевой изоляции, вам требуется создать новый запрос на добавление правила с нужными параметрами.

В начало
[Topic 227448]

Запрос на отключение сетевой изоляции

Чтобы отключить сетевую изоляцию для выбранного хоста, вам требуется создать запрос на отключение правила сетевой изоляции. Для создания запроса используется HTTP-метод DELETE.

Синтаксис команды

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X DELETE "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id>&settings_type=network_isolation"

При успешной обработке запроса правило сетевой изоляции будет отключено.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

Пример ввода команды с параметром DELETE

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X DELETE "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0&settings_type=network_isolation"

Для того чтобы проверить отключение сетевой изоляции, выполните запрос на получение информации о задаче, используя HTTP-метод GET.

Пример ввода команды с параметром GET

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0&settings_type=network_isolation"| python -m json.tool

Если сетевая изоляция отключена, то Kaspersky Anti Targeted Attack Platform возвращает ответ внешней системе в следующем формате:

{

    "error": "Not Found"

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Не найден указанный хост с компонентом Endpoint Agent.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 227577]

Запрос на добавление исключения в правило сетевой изоляции

Чтобы добавить исключение для ранее созданного правила сетевой изоляции, вам требуется создать запрос на добавление исключения. Для создания запроса используется HTTP-метод POST.

Параметры команды передаются в теле запроса в формате JSON.

Синтаксис команды

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id>&settings_type=network_isolation" -H 'Content-Type: application/json' -d '

{
"settings":
{"excludedRules": [
{
"direction": "<outbound, inbound или both>",
"protocol": <номер IP-протокола>,
"remoteIpv4Address": "<IP-адрес хоста с компонентом Endpoint Agent, сетевой трафик которого не должен быть заблокирован>",
"localPortRange":
{
"fromPort": <номер порта>,
"toPort": <номер порта>
}
}
,
{
"direction": "<outbound, inbound или both>",
"protocol": <номер IP-протокола>,
"remoteIpv4Address": "<IP-адрес хоста с компонентом Endpoint Agent, сетевой трафик которого не должен быть заблокирован>",
"remotePortRange":
{
"fromPort": <номер порта>,
"toPort": <номер порта>
}
}
,
{
"direction": "<outbound, inbound или both>",
"protocol": <номер IP-протокола>,
"remoteIpv4Address": "<IP-адрес хоста с компонентом Endpoint Agent, сетевой трафик которого не должен быть заблокирован>"
}
]
,
"autoTurnoffTimeoutInSec": <время действия сетевой изоляции>
}
}
'

При успешной обработке запроса исключение из правила сетевой изоляции будет добавлено.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

direction

array

Направление сетевого трафика, которое не должно быть заблокировано. Может иметь следующие значения:

  • inbound;
  • outbound;
  • both.

Если вы не указали значение параметра, по умолчанию будет применено значение both и приложение будет передавать трафик в обоих направлениях.

protocol

integer

Номер IP-протокола, назначенный Internet Assigned Numbers Authority (IANA).

Если вы не указали значение параметра, по умолчанию сетевая изоляция будет распространена на все протоколы.

remoteIpv4Address

string

IP-адрес хоста с компонентом Endpoint Agent, сетевой трафик которого не должен быть заблокирован.

remotePortRange

string

Порт назначения.

Вы можете указать порт, только если вы выбрали исходящее (outbound) направление сетевого трафика. Для двунаправленного трафика нельзя задавать диапазон портов.

localPortRange

string

Порт, с которого устанавливается соединение.

Вы можете указать порт, только если вы выбрали входящее (inbound) направление сетевого трафика. Для двунаправленного трафика нельзя задавать диапазон портов.

autoTurnoffTimeoutInSec

integer

Время, в течение которого будет действовать сетевая изоляция хоста.

Допустимый диапазон – от 1 до 9999 часов. Время сетевой изоляции указывается в секундах. Например, если вы хотите включить сетевую изоляцию хоста на два часа, вам требуется указать 7200 секунд.

Пример ввода команды с параметрами

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0&settings_type=network_isolation" -H 'Content-Type: application/json' -d '

{
"settings":
{"excludedRules": [
{
"direction": "inbound",
"protocol": 6,
"remoteIpv4Address": "10.16.41.0",
"localPortRange":
{
"fromPort": 3389,
"toPort": 3389
}
}
,
{
"direction": "outbound",
"remoteIpv4Address": "10.16.41.1",
"remotePortRange":
{
"fromPort": 13957,
"toPort": 55409
}
}
,
{
"direction": "both",
"protocol": 6,
"remoteIpv4Address": "10.16.41.2"
}
]
,
"autoTurnoffTimeoutInSec": 7200
}
}
'

Ответ

HTTP-код: 200

Формат: JSON

type Response []Settings 
type Settings struct {
   ExcludedRules             array   `json:"excludedRules"`
   AutoTurnoffTimeoutInSec   integer `json:"autoTurnoffTimeoutInSec"`
}
type ExcludedRules struct {
   Direction                 array   `json:"direction"`
   Protocol                  integer `json:"autoTurnoffTimeoutInSec"`
   RemotePortRange           string  `json:"remotePortRange"`
   LocalPortRange            string  `json:"localPortRange"`
}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Не найден указанный хост с компонентом Endpoint Agent.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

Если вы хотите изменить параметры созданного исключения, вам требуется создать новый запрос на добавление исключения с нужными параметрами.

В начало
[Topic 227499]

Управление правилами запрета

С помощью правил запрета вы можете заблокировать запуск файлов или процессов на выбранном хосте или всех хостах с компонентом Endpoint Agent. Например, вы можете запретить запуск приложений, использование которых считаете небезопасным. Приложение идентифицирует файлы по их хешу с помощью алгоритмов хеширования MD5 и SHA256. Правило запрета, созданное через внешние системы, может содержать несколько хешей файлов.

Через внешние системы вы можете управлять всеми правилами запрета, созданными для одного хоста или всех хостов, одновременно. При создании правила запрета для выбранного хоста через внешние системы Kaspersky Anti Targeted Attack Platform заменяет все правила запрета, назначенные на этот хост, правилом с новыми параметрами. Например, если ранее вы добавили несколько правил запрета для выбранного хоста через веб-интерфейс приложения, а потом добавили правило запрета через внешние системы, все правила запрета, добавленные в веб-интерфейсе, будут заменены добавленным через внешние системы правилом.

При изменении параметров правила запрета, созданного через внешние системы, приложение сохраняет только новые параметры. Например, если вы создали правило запрета, которое содержит хеши для нескольких файлов, и хотите добавить в это правило еще один хеш, вам требуется создать запрос на добавление правила запрета и указать в нем все хеши, для которых вы создавали запрет ранее, и новый хеш.

Описанный сценарий также актуален для правил запрета, назначенных на все хосты.

Для создания правила запрета с помощью интерфейса API рекомендуется использовать следующий сценарий взаимодействия с Kaspersky Anti Targeted Attack Platform:

  1. Создание запроса на получение списка хостов с компонентом Endpoint Agent
  2. Создание запроса на получение информации о хостах, для которых существуют правила запрета
  3. Создание запроса на одну из следующих операций с правилами запрета:

Добавленные правила запрета отображаются в веб-интерфейсе приложения в разделе Политики, подразделе Правила запрета.

Если вы создаете через внешнюю систему правило запрета для всех хостов, вам требуется предварительно убедиться, что на сервере отсутствует и не применяется к одному или нескольким хостам правило запрета для этого же файла. Это условие также справедливо, если вы хотите создать через внешнюю систему правило запрета для выбранного хоста: вам требуется убедиться, что на сервере отсутствует и не применяется ко всем хостам правило запрета для этого же файла. В противном случае сервер вернет внешней системе ошибку со списком хостов, к которым уже применяется правило запрета.

Если правило запрета, создаваемое через внешнюю систему, содержит несколько хешей файлов, в информации об ошибке указывается только первый файл, вызвавший ошибку. Сведения о других дублирующихся правилах запрета не отображаются.

Для изменения уже созданного через веб-интерфейс или внешние системы правила запрета вам нужно создать запрос на добавление правила запрета с обновленными параметрами.

В начало
[Topic 227294]

Запрос на создание правила запрета

Для создания запроса используется HTTP-метод POST. Параметры команды передаются в теле запроса в формате JSON.

Синтаксис команды

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id или all, если вы хотите создать правило запрета для всех хостов>&settings_type=prevention" -H 'Content-Type: application/json' -d '

{

"settings": {

"objects": [

{

"file": {

"<sha256 или md5>": "<SHA256- или MD5-хеш файла, запуск которого вы хотите запретить>"

}

},

{

"file": {

"<sha256 или md5>": "<SHA256- или MD5-хеш файла, запуск которого вы хотите запретить>"

}

}

]

}

}

'

При успешной обработке запроса правило запрета будет добавлено. Правило запрета действует с момента добавления.

При необходимости вы можете удалить правило запрета.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

objects

string

Тип объекта, запуск которого вы хотите запретить.

Возможное значения параметра: file.

sha256 или md5

string

SHA256- или MD5-хеш объекта, запуск которого вы хотите запретить.

Пример ввода команды с параметрами

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=all&settings_type=prevention" -H 'Content-Type: application/json' -d '

{

"settings": {

"objects": [

{

"file": {

"sha256": "830195824b742ee59390bc5b9302688c778fc95a64e7d597e28a74c03a04dd63"

}

},

{

"file": {

"md5": "d8e577bf078c45954f4531885478d5a9"

}

}

]

}

}

'

Ответ

HTTP-код: 200

Формат: JSON

type Response []Objects

 

type Objects struct {

type file struct {

   SHA256 string  `json:"sha256"`

},

type file struct {

   MD5    string  `json:"md5"`

}

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Не найден указанный хост с компонентом Endpoint Agent.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 227449]

Запрос на удаление правила запрета

Вы можете удалить правило запрета с помощью нового запроса с пустыми значениями или запроса с параметром DELETE. Для создания запросов используются HTTP-методы POST и DELETE.

Синтаксис команды для нового запроса

Параметры команды передаются в теле запроса в формате JSON.

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id или all, если вы хотите удалить правило запрета для всех хостов>&settings_type=prevention" -H 'Content-Type: application/json' -d '

{

"settings": {

"objects": []

}

}

'

Синтаксис команды с параметром DELETE

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X DELETE "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/settings?sensor_id=<идентификатор sensor_id или all, если вы хотите удалить правило запрета для всех хостов>&settings_type=prevention"

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

Пример ввода команды для нового запроса

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=all&settings_type=prevention" -H 'Content-Type: application/json' -d '

{

"settings": {

"objects": []

}

}

'

Пример ввода команды с параметром DELETE

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X DELETE "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=all&settings_type=prevention"

При успешной обработке запроса правило запрета будет удалено.

Для того чтобы проверить удаление правила запрета, выполните запрос на получение информации о правиле запрета, используя HTTP-метод GET.

Пример ввода команды с параметром GET

curl -k --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/settings?sensor_id=all&settings_type=prevention"| python -m json.tool

Если правило запрета было удалено, то Kaspersky Anti Targeted Attack Platform возвращает ответ внешней системе в следующем формате:

{

    "error": "Not Found"

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Не найден указанный хост с компонентом Endpoint Agent.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 227588]

Управление задачей запуска приложения

Для управления задачей запуска приложения с помощью интерфейса API рекомендуется использовать следующий сценарий взаимодействия с Kaspersky Anti Targeted Attack Platform:

  1. Создание запроса на получение информации о параметрах, времени создания и статусе выполнения задачи
  2. Создание запроса на одну из следующих операций с задачей:

Добавленные задачи отображаются в веб-интерфейсе приложения в разделе Задачи.

В начало
[Topic 227589]

Запрос на получение информации о задаче

Для создания запроса на получение информации о задаче используется HTTP-метод GET.

Синтаксис команды

GET "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/tasks/<идентификатор task_id>?settings=<true или false>"

При успешной обработке запроса отобразится информация о параметрах, времени создания и статусе выполнения задачи.

Параметры

Параметры

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

task_id

UUID

Уникальный идентификатор задачи.

settings

boolean

Может иметь следующие значения:

  • true.

    При указании этого значения отображается информация о параметрах, времени создания и статусе выполнения задачи.

  • false.

    При указании этого значения отображается информация о времени создания и статусе выполнения задачи.

Пример ввода команды с параметрами

GET https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/tasks/2EEB4CBC-10C6-4DC4-BE0A-72A75CDB0BE8?settings=<true или false>

Ответ

HTTP-код: 200

Формат: JSON

type Response struct {

   State                     `json:"state"`

   LatestStartDateTime       `json:"latestStartDateTime"`

 type Task struct {             

 type Schedule struct {         

   StartNow           boolean `json:"startNow"`

   ExecCommand        string  `json:"execCommand"`

}

}

}

 

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

409

Задача с указанным идентификатором уже существует.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 227590]

Запрос на создание задачи

Для создания запроса на запуск приложения Kaspersky Anti Targeted Attack Platform используется HTTP-метод POST. Параметры команды передаются в теле запроса в формате JSON.

Синтаксис команды

curl -k --<путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X POST "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/tasks/<идентификатор task_id>?sensor_id=<идентификатор sensor_id>&task_type=run_process" -H 'Content-Type: application/json' -d '

{

"task": {

"shedule": {"startNow": <true или false>},

"execCommand": "<название приложения, которую вы хотите запустить>",

"cmdLineParameters": "<дополнительные параметры запуска файла или выполнения команды>",

"workingDirectory": "<рабочая директория>"

}

}

'

При успешной обработке запроса задача на запуск приложения будет создана.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

sensor_id

UUID

Уникальный идентификатор хоста с компонентом Endpoint Agent.

task_id

UUID

Уникальный идентификатор задачи.

Пример ввода команды с параметрами

curl -k --example.cert --example.key -X POST "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/tasks/2EEB4CBC-10C6-4DC4-BE0A-72A75CDB0BE8?sensor_id=DF64838B-B518-414B-B769-2B8BE341A2F0&task_type=run_process" -H 'Content-Type: application/json' -d '

{

"task": {

"schedule": {"startNow": true},

"execCommand": "Example.exe",

"cmdLineParameters": "C:\Windows\System32\",

"workingDirectory": "/all"

}

}

'

Ответ

HTTP-код: 200

Формат: JSON

type Response struct {

   State                     `json:"state"`

   LatestStartDateTime       `json:"latestStartDateTime"`

 type Task struct {             

 type Schedule struct {         

   StartNow           boolean `json:"startNow"`

   ExecCommand        string  `json:"execCommand"`

}

}

}

 

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Задача с указанным идентификатором не найдена.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

Если вы хотите изменить параметры созданной задачи, вам требуется создать новый запрос на добавление задачи с нужными параметрами.

В начало
[Topic 227591]

Запрос на удаление задачи

Для создания запроса на удаление задачи Kaspersky Anti Targeted Attack Platform используется HTTP-метод DELETE.

Синтаксис команды

curl -k --<путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X DELETE "<URL-адрес сервера с компонентом Central Node>:<порт, по умолчанию 443>/kata/response_api/v1/<идентификатор external_system_id>/tasks/<идентификатор task_id>"

При успешной обработке запроса задача на запуск приложения будет удалена.

Параметры

Параметр

Тип

Описание

external_system_id

UUID

Уникальный идентификатор внешней системы, используемый для авторизации в Kaspersky Anti Targeted Attack Platform.

task_id

UUID

Уникальный идентификатор задачи.

Пример ввода команды с параметром DELETE

curl -k --example.cert --example.key -X DELETE "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/tasks/2EEB4CBC-10C6-4DC4-BE0A-72A75CDB0BE8"

При успешной обработке запроса правило запрета будет удалено.

Для того чтобы проверить удаление задачи, выполните запрос на получение информации о задаче, используя HTTP-метод GET.

Пример ввода команды с параметром GET

curl -k --example.cert --example.key -X GET "https://10.10.0.22:443/kata/response_api/v1/15301050-0490-4A41-81EA-B0391CF21EF3/tasks/2EEB4CBC-10C6-4DC4-BE0A-72A75CDB0BE8?settings=false"| python -m json.tool

Если задача была удалена, то Kaspersky Anti Targeted Attack Platform возвращает ответ внешней системе в следующем формате:

{

    "error": "Not Found"

}

Возвращаемое значение

Код возврата

Описание

400

Ошибка ввода параметров.

401

Требуется авторизация.

404

Задача с указанным идентификатором не найдена.

500, 502, 503, 504

Внутренняя ошибка сервера. Повторите запрос позднее.

В начало

[Topic 227592]