Просмотр информации о файлах, поступавших на проверку в Kaspersky Anti Targeted Attack Platform

Обязательный параметр

Параметр

Описание

Да

--output-dir <path>

Создать директорию по указанному пути,

где <path> – это абсолютный или относительный путь к директории, в которую будет записан архив с выгруженными данными.

Если путь не был указан, архив с данными по умолчанию будет помещен в директорию /tmp/collect.

Нет

--no-prometheus

Пропустить подготовку и выгрузку дампа базы данных prometheus.

Использование этого параметра значительно ускоряет работу скрипта.

Нет

--no-siem-logs

Пропустить выгрузку данных, записываемых в SIEM-систему.

Нет

--siem-logs-range-start <YYYY-MM-DD-HH>

Выгрузить данные, записываемые в SIEM-систему, начиная с этой даты (включительно).

Нет

--siem-logs-range-end <YYYY-MM-DD-HH>

Выгрузить данные, записываемые в SIEM-систему, заканчивая этой датой (включительно).

Пример:

Команда для получения данных о работе приложения с данными SIEM-системы, отфильтрованными по дате, и без базы данных prometheus:

sudo kata-run.sh kata-collect --output-dir <path> --no-prometheus --siem-logs-range-start <YYYY-MM-DD-HH> --siem-logs-range-end <YYYY-MM-DD-HH>

Запись в журнале

Значение

2024-06-11 02:37:03.645586 info apt-history: f0429d4845208857cd303df968ef545e enqueued am, priority: normal

Файл поступил на обработку по технологии Anti-Malware Engine.

2024-06-11 02:37:03.647434 info apt-history: external KSMG sensor with ip 10.0.0.0 provide file with name: File_Name 2024/2025, md5: f0429d4845208857cd303df968ef545e, msg_id: <87c13e55e789aa966089b6bf2e8c453b@localhost.localdomain>

Строка для объектов, поступивших на обработку в Kaspersky Anti Targeted Attack Platform от Kaspersky Secure Mail Gateway и Kaspersky Security для Linux Mail Server.

Информация, на которую рекомендуется обратить внимание:

• external KSMG sensor with ip 10.0.0.0 - IP-адрес сервера Kaspersky Secure Mail Gateway.
• File_Name 2024/2025 - имя файла.
• md5 - MD5-хеш проверяемого файла.
• msg_id - идентификатор сообщения (message id).

2024-06-11 02:37:03.847696 info apt-history: f0429d4845208857cd303df968ef545e engine am result {verdict: CLEAN, bases_version: 202406071010, detect_time: 2024-06-11 02:37:03.841275, rescan_priority: 3, sb_hash: 77f5b6276dd9b1c534b6c9adcff86845, multitask_details: {priority: background, tasks: {pdf: 1}}, scanEngines: [sb]}

Результат обработки объекта по технологии Anti-Malware Engine. Включает статус, присвоенный объекту после проверки (CLEAN) и информацию о технологиях, по которым объект будет дополнительно проверен ("scanEngines: [sb]").

Информация, на которую рекомендуется обратить внимание:

• multitask_details -сведения о задаче на проверку.
• priority - приоритет проверки.

  Возможные значения параметра: background, must.

• scanEngines - технология проверки.

  Возможные значения: [yr] - YARA, [sb] - Sandbox.

2024-06-11 02:37:03.886784 info apt-history: f0429d4845208857cd303df968ef545e enqueued sb: {pdf: 1}, priority: low, sb_priority: background

Задание было отправлено на обработку компоненту Sandbox.

Информация, на которую рекомендуется обратить внимание:

• {pdf: 1} - количество и тип объектов, отправленных на проверку.
• low - приоритет обработки.

  Возможные значения приоритета обработки: low, medium, high.

• background - тип очереди на обработку компонентом Sandbox.

  Возможные значения: background, must.

2024-06-11 02:37:04.179597 info apt-history: f0429d4845208857cd303df968ef545e delivered to sb, sb_hash: 77f5b6276dd9b1c534b6c9adcff86845, node: Server_Name, mtask_id: 900

Задание было отправлено на обработку компоненту Sandbox.

Информация, на которую рекомендуется обратить внимание:

• node:Server_Name - имя сервера с компонентом Sandbox.
• mtask_id: 900 - ID задания.

2024-06-11 02:38:44.515070 info apt-history: f0429d4845208857cd303df968ef545e sb result received, sb_hash: 77f5b6276dd9b1c534b6c9adcff86845, node: Server_Name, mtask_id: 900, priority: low

Получен результат обработки объекта компонентом Sandbox.

2024-06-11 02:38:44.783370 info apt-history: f0429d4845208857cd303df968ef545e engine sb result {bases_version: 202406102122, detect_time: 2024-06-11 02:38:44.776655, verdict: SILENT, hidden: True, details: [{file: //[From WCR <test@mail.com>][Date 11 Jun 2024 03:51:21][Subj Company_Name 2024/2025]/WCR-form.pdf, images: [{verdicts_info: {ScannerVersion: 1.22.3.34, ...}, hidden: True, verdict: SILENT, sb_id: fb15ec106318b0d54babce2379d956f7, image: Win7_x64, task_id: task0, file: //[From WCR <test@mail.com>][Date 11 Jun 2024 03:51:21][Subj Company_Name 2024/2025]/WCR-form.pdf, file_id: 1, filesize: 445856, md5: 0d87eebc9676214f35046a482150e537, tracing_mode: all_events, store_artifacts: False, bases_version: 202406102122, ids_bases_version: 202406101817, version: 1.22.3.34, suspicious_log: [], network_activity: {http: [], dns: []}}], verdict: SILENT, hidden: True, priority: 150}], md5_list: [], file_list: [], sb_hash: 77f5b6276dd9b1c534b6c9adcff86845, sb_names_map: {0: {md5: , name: }, 1: {md5: 0d87eebc9676214f35046a482150e537, name: //[From WCR <test@mail.com>][Date 11 Jun 2024 03:51:21][Subj Company_Name 2024/2025]/WCR-form.pdf}, 2: {md5: 71072dd9a36d7ce560cebc533ecb3cad, name: }}}

Результат обработки объектов на всех виртуальных машинах компонента Sandbox.

Информация, на которую рекомендуется обратить внимание:

• verdict - результаты проверки файла. Формируется по результатам проверки файла на всех виртуальных машинах. Для обнаружений с результатом SILENT не создается запись в базе обнаружений.
• hidden: True - объект с этим результатом не требует дальнейшей проверки модулями  Kaspersky Anti Targeted Attack Platform.
• details - информация о проверке объекта в виртуальных машинах.

  Включает следующие поля:

  • file - имя файла для отображения (WCR-form.pdf). В этой записи поле содержит следующую информацию:
  • From - электронный адрес отправителя.
  • Date - дата и время выполнения события.
  • Subj - тема письма.
  • images - информация о проверке объекта в виртуальных машинах.
  • verdicts_info - результаты проверки файла. Может отличаться для каждой виртуальной машины, в которой был проверен объект.
  • hidden: True - объект с этим результатом не требует дальнейшей проверки модулями  Kaspersky Anti Targeted Attack Platform.
  • verdict - результаты проверки файла на виртуальной машине. Для обнаружений с результатом SILENT не создается запись в базе обнаружений.
  • image - образ, в котором был запущен файл.
  • filesize - размер файла.
  • md5 - MD5-хеш файла.
  • tracing mode: all_events - запись операций, которые выполняет файл после запуска.
  • suspicious log [] - запись о вредоносных действиях, которые выполнил файл.

  Для этого поля нет значений, так как файл не выполнял вредоносные действия.

  • network activity - сетевая активность, инициированная файлом.
  • http [] - файл не выполнял обращений по HTTP.
  • dns [] - файл не выполнял обращений по DNS.

  В полях suspicious log и network activity фиксируется только факт вредоносной активности. Если вы хотите посмотреть детали обнаружений, вы можете сделать это в веб-интерфейсе приложения.

  • priority - приоритет проверки.

  Возможные значения: 1 - высокий, 100 - стандартный, 150 - фоновая проверка.

  • md5_list - MD5-хеши файлов, при проверке которых были найдены обнаружения.
  • file_list - имена файлов, при проверке которых были найдены обнаружения.
  • sb_names_map - имя файла, которое будет отображаться в информации об обнаружении в веб-интерфейсе приложения.

2024-06-11 02:38:44.841529 info apt-history: New sb_detect for file alert: {id: 2720, victim: default, state: new, md5: f0429d4845208857cd303df968ef545e}

Информация о результатах обработки компонентом Sandbox сохранена в базе приложения. Служебная запись. Не является признаком наличия обнаружения в базе обнаружений приложения.