Об обнаружении аномалий с помощью Sigma-правил
20 февраля 2025
ID 270607
Функциональность доступна на компьютерах, работающих под управлением операционных систем Windows 7 и выше или Windows Server 2008 R2 и выше при наличии активного лицензионного ключа Kaspersky Endpoint Agent с лицензионными объектами EDR Optimum и ICS Telemetry.
Sigma – это формат описания правил для обнаружения аномалий, с помощью которых Kaspersky Endpoint Agent анализирует данные внутренних событий и журналов событий. Правила, написанные в формате Sigma, называются Sigma-правилами. Каждое Sigma-правило хранится в отдельном YAML-файле.
Sigma-правила пишутся на языке YAML и имеют унифицированную структуру. Это позволяет специально созданным конвертерам формировать правила в синтаксисе различных SIEM-систем на основе Sigma-правил.
Коллекция Sigma-правил – набор Sigma-правил, определяющих схожие события.
Kaspersky Endpoint Agent анализирует данные внутренних событий и журналов событий на предмет аномалий с помощью коллекций Sigma-правил, поставляемых АО "Лаборатория Касперского"с базами программы, и создаваемых пользователем коллекций Sigma-правил.
