Создание задачи Поиск IOC из карточки инцидента
Здесь приведена информация для Kaspersky Endpoint Agent для Windows. Эта информация может быть частично или полностью неприменима к Kaspersky Endpoint Agent для Linux. Полную информацию о Kaspersky Endpoint Agent для Linux смотрите в справке решения, в составе которого вы используете программу: Kaspersky Anti Targeted Attack Platform или Kaspersky Managed Detection and Response.
Чтобы создать задачу Поиск IOC из карточки инцидента, выполните следующие действия:
- Откройте карточку инцидента.
- На закладке Все события инцидента выберите элементы списка, на основе которых вы хотите создать задачу поиска IOC.
- Нажмите на кнопку Создание задачи поиска IOC.
- Выполните одно из следующих действий:
- Если вы хотите, чтобы индикатор компрометации срабатывал при обнаружении любого из выбранных объектов, в правой части экрана выберите ИЛИ.
- Если вы хотите, чтобы индикатор компрометации срабатывал только при обнаружении всех выбранных объектов, в правой части экрана выберите И.
- В группе параметров Действия выберите одно из следующих действий:
- Изолировать устройство от сети, чтобы программа Kaspersky Endpoint Agent выполняла сетевую изоляцию устройства, на котором обнаружен индикатор компрометации.
- Поместить на карантин и удалить, чтобы поместить обнаруженный объект на карантин и удалить его с устройства.
- Запустить проверку важных областей, чтобы программа Kaspersky Endpoint Agent отправляла программе EPP команду на выполнение проверки важных областей на всех устройствах группы администрирования, на которых обнаружен индикатор компрометации.
- Нажмите на кнопку Создать задачу.
По умолчанию для задач поиска IOC, созданных из карточки инцидента, используются параметры, описанные в таблице ниже. Вы можете изменять эти значения в параметрах созданной задачи.
Параметры по умолчанию для задачи Поиск IOC, созданной из карточки инцидента
Параметр | Значение по умолчанию | Описание |
|---|---|---|
Параметры на закладке Расписание | ||
Запускать по расписанию | Опция выбрана. | Задача запускается по расписанию, с заданными параметрами. |
Периодичность | В указанное время | Задача запускается один раз в указанные дату и время. |
Время запуска | Через 15 минут после создания задачи. | Задача запускается в указанное время. |
Дата запуска | Дата создания задачи. | Задача запускается в указанную дату. |
Завершать задачу, выполняющуюся более | Опция выбрана. Задано значение в 1 час. | Программа завершает задачу через указанное время после запуска вне зависимости от прогресса выполнения задачи. |
Отменить расписание | Опция не выбрана. | Автоматическая отмена расписания запуска задачи не применяется. |
Запускать пропущенные задачи | Опция выбрана. | Программа перезапускает задачу, которая не была запущена по расписанию по какой-то причине. Например, если служба Kaspersky Endpoint Agent не выполнялась в запланированный момент запуска задачи. |
Распределять время запуска задач в интервале | Опция выбрана. Задано значение в 10 минут. | Задача запустится в произвольный момент в течение указанного времени от времени, заданного в поле Время запуска. |
Параметры в разделе Дополнительно | ||
Выберите IOC-документы, для которых будет выполняться сбор данных
| При анализе данных файлов (FileItem) выбрана опция Анализировать данные файлов (FileItem). В дополнительных настройках IOC-документа в блоке параметров Искать индикаторы компрометации в следующих областях выбрана опция Критические области на устройстве. | Программа проверяет критические области на устройстве, а также папку, в которой изначально был обнаружен опасный объект. К критическим областям относятся следующие:
|
При анализе данных реестра Windows (RegistryItem) выбрана опция Анализировать реестр Windows (RegistryItem). | Программа проверяет пути пользовательских разделов реестра. | |
Kaspersky Endpoint Agent версии 3.9 по умолчанию для задач поиска IOC, созданных из карточки инцидента, использует параметры, заданные в разделе Интеграция с Kaspersky Sandbox в блоке параметров Реагирование на угрозы. Подробную информацию см. в Справке Kaspersky Sandbox.
