IOA-анализ событий
Программа анализирует события с помощью IOA-правил. Специалисты "Лаборатории Касперского" предоставляют набор IOA-правил, содержащих примеры наиболее частых подозрительных действий в системе пользователя. Кроме того, пользователи могут создавать свои IOA-правила.
При работе в веб-интерфейсе программы пользователи с ролью Старший сотрудник службы безопасности могут управлять IOA-правилами: добавлять, удалять, включать и отключать правила, а также добавлять IOA-правила "Лаборатории Касперского" в белый список. Пользователи с ролями Старший сотрудник службы безопасности или Сотрудник службы безопасности могут использовать IOА-правила для поиска признаков целевых атак, зараженных и возможно зараженных объектов в базе событий и обнаружений, а также просматривать таблицу IOA-правил и информацию об IOA-правилах.
Различия между пользовательскими правилами и правилами "Лаборатории Касперского" представлены в таблице ниже.
Сравнительные характеристики IOA-правил
Сравнительная характеристика | Пользовательские правила | Правила "Лаборатории Касперского" |
|---|---|---|
Наличие рекомендаций по реагированию на событие | Нет | Есть Вы можете посмотреть рекомендации в информации об обнаружении |
Соответствие технике в базе MITRE ATT&CK | Нет | Есть Вы можете посмотреть описание техники по классификации MITRE в информации об обнаружении |
Отображение в таблице IOA-правил | Да | Нет |
Способ отключить проверку базы по этому правилу | ||
Возможность удалить или добавить правило | Вы можете удалить или добавить правило в веб-интерфейсе программы | Правила обновляются вместе с базами программы и не могут быть удалены пользователем |
По ссылкам Обнаружения и События в окне с информацией об IOA-правиле | По ссылкам Обнаружения и События в окне с информацией об обнаружении |
В зависимости от режима работы программы и сервера, на котором создаются IOA-правила, пользовательские IOA-правила могут быть одного из следующих типов:
- Локальный – созданные на сервере SCN. По этим IOA-правилам производится проверка событий на этом сервере SCN. Проверяемые события относятся к организации, в рамках которой пользователь работает в веб-интерфейсе программы (в режиме распределенного решения и multitenancy).
- Глобальный – созданные на сервере PCN. По этим IOA-правилам производится проверка событий на этом сервере PCN и на всех серверах SCN, подключенных к этому серверу PCN. Проверяемые события относятся к организации, в рамках которой пользователь работает в веб-интерфейсе программы (в режиме распределенного решения и multitenancy).
