Особенности работы с правилами обнаружений в Kaspersky Anti Targeted Attack Platform 8.0
Для обнаружения вторжений в Kaspersky Anti Targeted Attack (далее KATA) используются системные и пользовательские правила. Системные правила поставляются «Лабораторией Касперского», описание логики работы системных правил не является общедоступной информацией. Пользовательские правила вы можете самостоятельно создавать и загружать в приложение.
Вы можете работать с правилами на узле Central Node только под учетной записью с ролью Сотрудника службы безопасности и доступом к нужному тенанту. Авторизуясь под учетной записью с ролью Администратора, вы не увидите в интерфейсе KATA разделов работы с правилами.
Перед настройкой правил ознакомьтесь с ограничениями KATA.
Правила IDS
Следуйте этим рекомендациям при создании правил IDS:
- Используйте синтаксис Suricata при составлении пользовательских правил.
- Ознакомьтесь с требованиями и ограничениями применения IDS.
- Соберите файлы пользовательских правил в одной папке и выберите эту папку для загрузки правил в KATA. Окно добавления правил позволяет выбирать папку, а не отдельные файлы — содержимое папки не отображается.
Известные проблемы в работе правил IDS:
- Если при загрузке правил возникает ошибка «Failed to send validation request», объем файла превышает допустимый лимит. Используйте правила выборочно. Приложение рассчитано на создание точечных правил, а не массовую загрузку готовых пользовательских правил IDS, полученных из публичных репозиториев, например GitHub.
Правила YARA
Правила YARA применяются для исследования потока объектов, обрабатываемых KATA. Возможность переиспользовать правила упрощает администрирование.
При создании правил YARA следуйте этим рекомендациям:
- Создайте пользовательские правила YARA: системные правила YARA в KATA не поставляются.
- Ознакомьтесь с требованиями и ограничениями применения YARA.
- Следуйте правилам синтаксиса используемой версии YARA. Для исследования потока объектов это версия модуля YARA в KATA.
Чтобы проверить версию YARA, выполните на узле Central Node в режиме Technical Support Mode команду:docker exec $(docker ps | grep kata_scanner | awk '{print $1}') yara --version
- Обязательно оптимизируйте и адаптируйте для загрузки в KATA готовые пользовательские правила YARA, полученные из публичных репозиториев, например GitHub.
Правила Sandbox
Если при создании пользовательского правила Sandbox выпадающий список виртуальных машин пуст, создайте виртуальную машину с пользовательским образом ОС по инструкции. Для создания виртуальной машины с ОС Windows используйте оригинальный ISO-образ от Microsoft.
Что делать, если решение не помогло
- В случае ложных срабатываний встроенных правил KATA обновите антивирусные базы KATA и попробуйте воспроизвести проблему.
- В случае ложных срабатываний в Kaspersky Endpoint Security, соберите диагностическую информацию и создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount
Если проблема сохраняется, создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount. К запросу приложите диагностическую информацию:
- проблемное правило, если есть возможность выгрузить правило в веб-интерфейсе KATA;
- образец файла, который вызвал срабатывание;
- скриншот события срабатывания.
