Данные Targeted Attack Analyzer
Данные пользователя могут содержаться в обнаружениях. Информация об обнаружениях, выполненных с помощью технологии Targeted Attack Analyzer, хранится на сервере с компонентом Central Node в директории /data/var/lib/kaspersky/storage/fastsearch/detector/data/ бессрочно. Файлы, по результатам проверки которых возникло обнаружение, накапливаются на сервере с компонентом Central Node и ротируются по мере заполнения дискового пространства.
Возможность ограничить права пользователей серверов и операционных систем, на которые установлен компонент Central Node, средствами Kaspersky Anti Targeted Attack Platform не предусмотрена. Администратору рекомендуется контролировать доступ пользователей серверов и операционных систем, на которые установлена программа, к персональным данным других пользователей любыми системными средствами на его усмотрение.
Если обнаружение выполнено Targeted Attack Analyzer, в Хранилище может содержаться следующая информация:
- Имя хоста.
- Имя пользователя.
- Время выполнения обнаружения.
- Имя обнаруженного объекта.
- Полное имя и путь к файлу, в котором обнаружен объект.
- MD5-, SHA256-хеш файла.
- VHS файла.
- Описание файла.
- Время создания файла.
- Время изменения файла.
- Компания, выпустившая программу, к которой относится файл.
- Версия файла.
- Автор файла.
- Параметры командной строки.
- Имя, владелец домена, дата регистрации домена, название организации, зарегистрировавшей домен.
- Популярность домена в мире.
- Дата и время обнаружения хоста.
- Количество обращений к хосту.
- Объем данных, загруженных с компьютера локальной сети на этот хост.
- IP-адрес, имя хоста и порт, с которого были отправлены данные.
- Локальный IP-адрес и порт сетевого адаптера.
- Версия баз программы, с помощью которых было выполнено обнаружение.
- URL-адреса посещенных веб-сайтов.
- Тип и описание обнаружения.
- Информация о файле процесса: путь к файлу процесса; компания, выпустившая программу, к которой относится процесс; версия программы; размер и версия файла, MD5-, SHA256-хеш файла; автор сертификата, в котором содержится цифровая подпись к обнаруженному файлу, действительна ли подпись.
- Дата и время обнаружения процесса в локальной сети.
- Количество раз, которое процесс был обнаружен в локальной сети.
- Количество компьютеров, на которых был обнаружен подобный процесс.
- Популярность файла, запустившего процесс, в мире.
- Популярность пути, по которому был загружен процесс, в мире.
- Имена DLL-библиотек, на которые пользователю Kaspersky Anti Targeted Attack Platform рекомендуется обратить внимание, журнал DLL-активности.
- Тип учетной записи, тип входа в компьютер; дата и время, когда учетная запись была впервые обнаружена в локальной сети; дата и время, когда учетная запись была впервые обнаружена на компьютере; количество компьютеров, на которых была обнаружена учетная запись.
- Журнал HTTP-запросов и ответов для обнаруженных процессов и доменов: каждый час данные по каждой паре процесс – домен (время, удаленный хост, путь к файлу процесса, количество запросов, объем запросов, объем ответов); в рамках каждого часа точный журнал (индивидуальные HTTP-запросы и ответы (IP-адрес и порт источника; IP-адрес, порт, название адресата, длина тела и заголовка запроса, длина тела и заголовка ответа, время запроса, URI, имя удаленного хоста, User Agent, метод); заголовок и тело запроса и ответа для конкретной пары запрос – ответ).
- Журнал Process Activity для процессов, участвовавших в обнаружении: каждый час данные о количестве запусков в час по каждому из процессов, перечисленных в блоке Процессы; в рамках каждого часа информация о времени каждого запуска и связанной команде; для каждого запуска путь к файлу, MD5-, SHA256-хеш файла; путь к родительскому файлу, MD5-, SHA256-хеш родительского файла, имя, роль и домен учетной записи, тип входа в компьютер, команда, время запуска и завершения процесса.
- Информация об обнаружении.
- Принадлежность группе VIP.
- Уникальный идентификатор компьютера, на котором выполнено обнаружение.
- DNS-запрос и ответ на него.
