Следуйте этим рекомендациям при создании правил IOC:

• Используйте OpenIOC Editor для создания пользовательских правил.
• Используйте поддерживаемые термины стандарта OpenIOC версии 1.1.
• Ознакомьтесь с требованиями и ограничениями применения IOC.

Следуйте этим рекомендациям при решении проблем в работе правил IOC:

• Убедитесь, что в созданных правилах используются только поддерживаемые термины стандарта OpenIOC версии 1.1.
• Убедитесь, что поиск индикаторов компрометации с помощью IOC-файлов на подключенных устройствах уже выполнен: поиск проводится 1 раз в сутки по расписанию.
• Локализуйте проблему: создайте отдельное правило поиска с использованием новых условий и проверьте его работу.

Известные проблемы в работе правил TAA (IOA):

• Если возникает предупреждение системы «Ошибка обработки правил TAA. Попробуйте отключить часть пользовательских правил», следуйте инструкции.
  
• Если возникает ошибка «Правило TAA (IOA) не найдено» при переходе в подробности алерта (карточки обнаружения) или выборе правил TAA в параметрах исключений, правило обнаружения было удалено через базы KATA. Вы не сможете посмотреть подробности этого события. Удалите связанные с правилом ТАА исключения.

Следуйте этим рекомендациям при решении других проблем в работе правил TAA (IOA):

• Убедитесь, что задача «Обновление баз» выполняется без ошибок: системные правила TAA (IOA) обновляются в рамках этой задачи. Исправьте проблемы в работе задачи по инструкции.
• Используйте в правилах точные константы, избегайте поиска по условию содержания значения.
• Локализуйте проблему: добавляйте собственные правила последовательно, проверяйте работу каждого нового правила и оценивайте влияние на производительность узла Central Node.

Следуйте этим рекомендациям при создании правил IDS:

• Используйте синтаксис Suricata при составлении пользовательских правил.
• Ознакомьтесь с требованиями и ограничениями применения IDS.
• Соберите файлы пользовательских правил в одной папке и выберите эту папку для загрузки правил в KATA. Окно добавления правил позволяет выбирать папку, а не отдельные файлы — содержимое папки не отображается.

Известные проблемы в работе правил IDS:

• Если при загрузке правил возникает ошибка «‎Failed to send validation request», объем файла превышает допустимый лимит. Используйте правила выборочно. Приложение рассчитано на создание точечных правил, а не массовую загрузку готовых пользовательских правил IDS, полученных из публичных репозиториев, например GitHub.

Преимущество правил YARA — применимость правил как для исследования потока объектов, обрабатываемых KATA, так и для запуска проверки устройств по требованию на подключенных устройствах с компонентом Endpoint Agent. Возможность переиспользовать правила упрощает администрирование.

Следуйте этим рекомендациям при создании правил YARA:

• Создайте пользовательские правила YARA: системные правила YARA в KATA не поставляются.
• Ознакомьтесь с требованиями и ограничениями применения YARA.
• Следуйте правилам синтаксиса используемой версии YARA:
  • для проверки подключенных устройств — версии YARA, которую поддерживает ваша версия Kaspersky Endpoint Security;
  • для исследования потока объектов — версии модуля YARA в KATA.
    Чтобы проверить версию YARA, выполните на узле Central Node в режиме Technical Support Mode команду:
    docker exec $(docker ps | grep kata_scanner | awk '{print $1}') yara --version
• Обязательно оптимизируйте и адаптируйте для загрузки в KATA готовые пользовательские правила YARA, полученные из публичных репозиториев, например GitHub.

Следуйте этим рекомендациям при решении проблем в работе правил запрета:

• Если таблица правил запрета не наполняется автоматически по результатами обнаружений в Sandbox:
  1. Включите автоматическое добавление правил по результатам обнаружений Sandbox.
  2. Проверьте состояние работы и подключения Sandbox в таблице серверов: в разделе Серверы Sandbox статус авторизации Одобрено и состояние Включено, не обнаружено проблем с набором образов ОС.
     При обнаружении проблем подключите Sandbox повторно по инструкции.
  3. Проверьте наличие предупреждений о проблемах при самодиагностике Sandbox в разделе Мониторинг и устраните их по инструкции.
• В остальных случаях проверьте работу Sandbox по инструкции.

Если при создании пользовательского правила Sandbox выпадающий список виртуальных машин пуст, создайте виртуальную машину с пользовательским образом ОС по инструкции. Для создания виртуальной машины с ОС Windows используйте оригинальный ISO-образ от Microsoft.

• В случае ложных срабатываний встроенных правил KATA обновите антивирусные базы KATA и попробуйте воспроизвести проблему.
• В случае ложных срабатываний в Kaspersky Endpoint Security, соберите диагностическую информацию и создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount

Если проблема сохраняется, создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount. К запросу приложите диагностическую информацию:

• проблемное правило, если есть возможность выгрузить правило в веб-интерфейсе KATA;
• образец файла, который вызвал срабатывание;
• скриншот события срабатывания.