Как сделать запрос на вывод информации об обнаружениях

Question

Accepted Answer

Запрос к Detects API позволяет получить выгрузку расширенных данных об обнаружениях, зарегистрированных KATA в течение последних трех часов, в формате .json. Вы можете отправлять регулярные запросы от внешней системы к KATA, чтобы собрать данные за больший период времени.

Синтаксис запроса

Для создания запроса на вывод информации об обнаружениях KATA используйте HTTP-метод GET. Вы можете отправить запрос, например, с помощью утилиты командной строки cURL.

Выполните запрос к Detects API с помощью команды:

curl --cert <путь к файлу TLS-сертификата> --key <путь к файлу закрытого ключа> -X GET "<URL-адрес сервера с компонентом Central Node>:<порт (по умолчанию 443)>/kata/scanner/v1/sensors/<UUID>/detects?detect_type=<одна или несколько технологий обнаружения>&limit=<количество обнаружений в ответе на запрос>&token=<идентификатор запроса>"

Пример запроса к Detects API с заполненными параметрами

При успешной обработке запроса будет отображен список обнаружений KATA на сервере внешней системы.

Параметры запроса

Параметр	Тип	Описание
`UUID`	String	Уникальный идентификатор внешней системы, используемый для авторизации в KATA.
`detect_type`	Array	Технология обнаружения: `am` — Anti-Malware Engine; `sb` — Sandbox; `yara` — YARA; `url_reputation` — URL Reputation; `ids` — Intrusion Detection System; `ndr_ids` — Network Detection and Response Intrusion Detection System; `ndr_external` — Network Detection and Response Aggregated Alerts. В запросе вы можете указать одно или несколько значений параметра `detect_type` для фильтрации обнаружений. Если параметр не указан, запрос по умолчанию выведет информацию обо всех обнаружениях.
`limit`	Integer	Количество обнаружений, информация о которых будет предоставлена в ответе на запрос. Допустимые значения: целые числа от `1` до `10 000`. По умолчанию установлено значение `1 000`.
`token`	String	Идентификатор, который генерируется в ответе на первый запрос. Вы можете использовать его при последующих запросах, чтобы избежать дублирования информации об обнаружениях, которая уже была предоставлена в предыдущих запросах.

Чтобы получать обнаружения по технологиям ndr_ids и ndr_external, необходима лицензия KATA + Network Detection and Response (NDR).

Параметр	Значение	Описание
`alertID`	Целочисленное значение	Идентификатор обнаружения
`eventTimeStamp`	Дата и время	Время события
`detectTimestamp`	Дата и время	Время добавления информации об обнаружении в базу KATA
`importance`	Одно из следующих значений: `high`; `medium`; `low`.	Важность обнаружения
`objectSource`	Одно из следующих значений: `web`; `mail`; `endpoint`; `external`; `dns`.	Источник обнаруженного объекта
`technology`	Одно из следующих значений: `am` — Anti-Malware Engine; `sb` — Sandbox; `yara` — YARA; `url_reputation` — URL Reputation; `ids` — Intrusion Detection System; `ndr_ids` — NDR Intrusion Detection System; `ndr_external` — NDR Aggregated Alerts.	Технология обнаружения
`objectType`	Одно из следующих значений: `file`; `email`; `host` (для удаленных доменов или хостов).	Тип обнаруженного объекта. Если обнаружение выполнено при проверке сообщения электронной почты (тип объекта `email`), в информации об обнаружении также могут передаваться следующие данные: `mailFrom` — адрес источника сообщения; `rcptTo` — адрес назначения сообщения.
`object`	Зависит от типа обнаруженного объекта	Данные об обнаруженных объектах
`detection`	Зависит от технологии обнаружения	Данные о найденных угрозах
`details`	Зависит от источника обнаруженного объекта	Данные об окружении обнаруженных объектов

Detects API в Kaspersky Anti Targeted Attack Platform