Работа с IDS-исключениями

Пользователи с ролью Старший сотрудник службы безопасности могут добавлять правила IDS "Лаборатории Касперского" в исключения из проверки. Kaspersky Anti Targeted Attack Platform не будет создавать обнаружения при проверке по правилам IDS, добавленным в исключения.

Вы можете добавить в исключения только правила IDS "Лаборатории Касперского". Если вы не хотите применять при проверке пользовательское правило IDS, вы можете отключить это правило или удалить его.

Если вы хотите настроить точечное исключение, например, для выбранного адреса источника, вы можете выполнить следующие действия:

1. Откройте сведения об обнаружении IDS, для которого вы хотите создать точечное исключение.
2. Скопируйте данные IDS-обнаружения в формате Suricata и сохраните их любым удобным для вас способом.
3. Добавьте правило IDS "Лаборатории Касперского", по которому было создано обнаружение, в исключения из проверки.
4. Добавьте в список пользовательских правил IDS новое правило, созданное на основе характеристик исключенного правила "Лаборатории Касперского", одним из следующих способов:
   • Если в системе уже есть пользовательские правила IDS, вам нужно экспортировать файл с правилами и дописать в этот файл новое правило с уточняющими условиями, используя синтаксис Suricata. Пример составления пользовательских правил IDS см. ниже.
   • Если в системе пока нет пользовательских правил IDS, вам нужно создать текстовый файл и добавить в него правило с уточняющими условиями, используя синтаксис Suricata. Пример составления пользовательских правил IDS см. ниже.
5. Импортируйте файл с добавленным правилом.

Не рекомендуется использовать приведенный выше способ создания точечных исключений на регулярной основе, так как большое количество пользовательских правил IDS при ненадлежащем контроле может снизить уровень защиты локальной сети организации. Настоятельно рекомендуется отслеживать результаты работы созданных исключений. Также настоятельно рекомендуется проверить работу пользовательских правил в тестовой среде перед импортом. Пользовательские правила IDS могут вызвать проблемы производительности, в случае которых стабильная работа Kaspersky Anti Targeted Attack Platform не гарантируется.

Пользователи с ролью Аудитор могут просматривать список правил IDS, добавленных в исключения, и свойства выбранного правила.

Пользователям с ролью Сотрудник службы безопасности список правил IDS, добавленных в исключения, недоступен.

Примеры составления пользовательских правил IDS на основе характеристик исключенного правила "Лаборатории Касперского"

Чтобы в IDS-обнаружение не попадал один или несколько адресов источников и/или адресов назначения, вы можете воспользоваться оператором ! (NOT).