Рекомендации по обработке событий

В окне события в рамке между деревом событий и текстовой информацией для пользователей с ролью Старший сотрудник службы безопасности отображаются кнопки с действиями, доступными для обработки этого события.

Вы можете выполнить следующие действия:

• Изолировать <имя хоста> – изолировать хост с компонентом Endpoint Agent, на котором обнаружено событие, от сети. Применяется для всех типов событий.
• Создать правило запрета – запретить запуск файла, обнаруженного в событии. Не применяется для событий USB-устройство. На устройствах под управлением операционной системы Windows не применяется также для событий Журнал событий ОС.
• Создать задачу – создать задачу. Не применяется для событий USB-устройство. На устройствах под управлением операционной системы Windows не применяется также для событий Журнал событий ОС.

Кроме того, вы можете выполнить действия по обработке события по ссылкам с именем файла, путем к файлу, MD5-хешем, SHA256-хешем файла и именем хоста при просмотре текстовой информации о событии в нижней части окна.

По ссылкам с именем файла или путем к файлу раскрывается список, в котором вы можете выбрать одно из следующих действий:

• Найти события.
• Найти алерты.
• Выполнить задачи:
  • Завершить процесс.
  • Завершить по уникальному PID.
  • Удалить файл.
  • Получить файл.
  • Собрать форензику.
  • Поместить файл на карантин.
• Скопировать значение в буфер.

По ссылке MD5 раскрывается список, в котором вы можете выбрать одно из следующих действий:

• Добавить в фильтр.
• Исключить из фильтра.
• Найти на Kaspersky TIP.

  Информационная система "Лаборатории Касперского". Содержит и отображает информацию о репутации файлов и URL-адресов.

• Найти события.
• Найти алерты.
• Скопировать значение в буфер.

По ссылке SHA256 раскрывается список, в котором вы можете выбрать одно из следующих действий:

• Найти события.
• Найти алерты.
• Найти на Kaspersky TIP.
• Найти на virustotal.com.
• Найти в Хранилище.
• Создать правило запрета.
• Скопировать значение в буфер.

По ссылке с именем хоста раскрывается список, в котором вы можете выбрать одно из следующих действий:

• Найти события.
• Найти алерты.
• Выполнить задачи:
  • Завершить процесс.
  • Удалить файл.
  • Получить файл.
  • Собрать форензику.
  • Поместить файл на карантин.
  • Запустить программу.
• Скопировать значение в буфер.

Для пользователей с ролью Аудитор и Сотрудник службы безопасности рекомендации по обработке событий не отображаются.