Просмотр алертов
В веб-интерфейсе приложения отображаются следующие типы алертов, на которые пользователю Kaspersky Anti Targeted Attack Platform рекомендуется обратить внимание:
- На компьютер локальной сети организации был загружен файл или была предпринята попытка загрузки файла. Приложение обнаружило этот файл в зеркалированном трафике локальной сети организации или в ICAP-данных HTTP- и FTP-трафика, а также HTTPS-трафика, если администратор настроил подмену SSL-сертификата на прокси-сервере.
- На адрес электронной почты пользователя локальной сети организации был отправлен файл. Приложение обнаружило этот файл в копиях сообщений электронной почты, полученных по протоколу POP3 или SMTP, или полученных с виртуальной машины или сервера с программой Kaspersky Secure Mail Gateway, если она используется в вашей организации.
- На компьютере локальной сети организации была открыта ссылка на веб-сайт. Приложение обнаружило эту ссылку на веб-сайт в зеркалированном трафике локальной сети организации или в ICAP-данных HTTP- и FTP-трафика, а также HTTPS-трафика, если администратор настроил подмену SSL-сертификата на прокси-сервере.
- IP-адрес или доменное имя компьютера локальной сети организации были замечены в сетевой активности. Приложение обнаружило эту сетевую активность в зеркалированном трафике локальной сети организации.
- На компьютере локальной сети организации были запущены процессы. Приложение обнаружило эти процессы c помощью компонента Endpoint Agent, установленного на компьютеры, входящие в IT-инфраструктуру организации.
Если обнаружен файл, в зависимости от того, какие модули или компоненты приложения создали алерт, в веб-интерфейсе приложения может отображаться следующая информация:
- общая информация об алерте и обнаруженном файле (например, IP-адрес компьютера, на котором обнаружен файл, имя обнаруженного файла);
- результаты антивирусной проверки файла, выполненной ядром AM Engine;
- результаты проверки файла на наличие признаков вторжения в IT-инфраструктуру организации, выполненной модулем YARA;
- результаты исследования поведения файла, выполненного компонентом Sandbox;
- результаты анализа исполняемых файлов формата APK в облачной инфраструктуре на основе технологии машинного обучения.
Если обнаружена ссылка на веб-сайт, в зависимости от того, какие модули или компоненты приложения создали алерт, в веб-интерфейсе приложения может отображаться следующая информация:
- детали алерта и обнаруженной ссылки на веб-сайт (например, IP-адрес компьютера, на котором обнаружена ссылка на веб-сайт, адрес ссылки на веб-сайт);
- результаты проверки ссылки на наличие признаков вредоносного, фишингового URL-адреса или URL-адреса, который ранее использовался злоумышленниками для целевых атак на IT-инфраструктуру организаций, выполненной модулем URL Reputation.
Если обнаружена сетевая активность IP-адреса или доменного имени компьютера локальной сети организации, в веб-интерфейсе приложения может отображаться следующая информация:
- детали алерта и обнаруженной сетевой активности;
- результаты проверки интернет-трафика на наличие признаков вторжения в IT-инфраструктуру организации по предустановленным правилам, выполненной модулем Intrusion Detection System (IDS);
- результаты исследования сетевой активности, выполненного по пользовательским правилам IDS.
Управлять алертами могут пользователи с ролью Сотрудник службы безопасности или Старший сотрудник службы безопасности. Пользователи с ролью Аудитор могут просматривать алерты.
