Внимание! В KATA 8.0 функциональный блок EDR исключен из состава решения. При обновлении до этой версии все данные EDR будут удалены, функциональность EDR станет недоступна. Функциональный блок EDR становится отдельным решением KEDR Expert 8.0 (on-premise). Порядок обновления и инструкции по переносу данных смотрите в статье.
Рекомендации по обработке TAA-алертов
Рекомендации по обработке TAA-алертов
В правой части окна в блоке Рекомендации отображаются рекомендации, которые вы можете выполнить, и количество алертов или событий, имеющих общие признаки с алертов, над которым вы работаете.
Вы можете выполнить следующие рекомендации:
- В разделе Оценка раскройте список Найти похожие алерты.
Отобразится список признаков, по которым вы можете найти похожие алерты, и количество похожих алертов по каждому признаку.
Выберите один из следующих признаков:
- По имени правила (TAA-алерты). По ссылке в новой вкладке браузера откроется таблица алертов Алерты, отфильтрованных по столбцам Обнаружено и Технологии - имени правила TAA (IOA), в соответствии с которым был создан алерт, и названию технологии (TAA) Targeted Attack Analyzer.
- По имени правила (SB-алерта). По ссылке в новой вкладке браузера откроется таблица алертов Алерты, отфильтрованных по столбцам Обнаружено и Технологии - имени правила TAA (IOA), в соответствии с которым был создан алерт, и названию технологии (SB) Sandbox.
- В разделе Расследование выберите Найти похожие события. По ссылке в новой вкладке браузера откроется таблица событий Поиск угроз. В условиях поиска настроен фильтр поиска, например, по RemoteIP, MD5, SHA256, URI. В значениях фильтрации указаны свойства алертов, над которым вы работаете. Например, MD5 файла из алерта.
Действие доступно только если вы используете функциональность KEDR и добавили лицензионный ключ KEDR.
Вам помогла эта статья?
Что нам нужно улучшить?
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
