О предоставлении данных

Данные, обрабатываемые локально

Kaspersky EDR Expert предназначен для оптимизации выявления угроз, расследования инцидентов, реагирования (в том числе автоматического), а также проактивного поиска угроз в реальном времени. 

Kaspersky EDR Expert реализует следующие основные функции:

• получение, обработка и хранение событий информационной безопасности;
• анализ и корреляция поступающих данных;
• расследование инцидентов и алертов, ручное реагирование;
• автоматическое реагирование с использованием предопределенных и пользовательских плейбуков;
• поиск угроз по событиям в реальном времени.

Для выполнения своих основных функций приложение Kaspersky EDR Expert может принимать, хранить и обрабатывать следующую информацию:

• Информация об устройствах, на которые производится установка всех компонентов Kaspersky EDR Expert:
  • Технические характеристики: имя устройства, MAC-адрес, поставщик операционной системы, номер сборки операционной системы, версия ядра ОС, наличие требуемых установленных пакетов, наличие прав для учетной записи, тип средства управления службами и состояние портов. Эти данные Kaspersky Deployment Toolkit получает во время установки.
  • Технические характеристики: IPv4-адрес. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
  • Данные для доступа к устройствам: имена учетных записей и SSH-ключи для доступа к устройствам, на которых установлены компоненты Kaspersky EDR Expert. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
  • Имя и пароль учетной записи Kaspersky EDR Expert. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
  • Данные для доступа к СУБД: IP/DNS имя, порт, имя пользователя и пароль. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
  • Файлы инвентаря KUMA и лицензионные ключи. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
  • Зону DNS. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
  • Сертификаты для безопасного подключения устройств к компонентам OSMP. Эти данные указываются пользователем в конфигурационном файле Kaspersky Deployment Toolkit.

  Информация сохраняется в журнале событий установки, который хранится в базе данных Kaspersky Deployment Toolkit. Журнал событий установки первоначальной инфраструктуры сохраняется в файл на машине пользователя. Срок хранения не ограничен, файл будет удален при деинсталляции Kaspersky EDR Expert. Имена пользователей и пароли хранятся в зашифрованном виде.

• Информация о моделях статусов инцидентов, включая предопределенную модель.
• Информация о типах инцидентов: название типа инцидента, описание и другая общая информация.
• Информация об учетных записях пользователей: полное имя и адрес электронной почты. Данная информация вводится пользователем в Консоли OSMP. Данные хранятся в базе данных неограниченное время, пока пользователь их не удалит.
• Данные токена интеграции.
• Информация о тенантах: название тенанта, название родительского тенанта, описание. Данная информация вводится пользователем в Консоли OSMP. Данные хранятся в базе данных неограниченное время, пока пользователь их не удалит.
• Информация о сертификатах: клиентские сертификаты для приложений Endpoint Agent, сертификат сервера OSMP, сертификат сервера коллектора KUMA.
• Информация об устройствах в сети организации.
  • OSMP получает эти данные, если настроена соответствующая интеграция. Активы можно добавлять следующими способами:
    • Импортировать активы:
      • По запросу из MaxPatrol.
      • По расписанию: из Kaspersky Security Center Core и Kaspersky Industrial CyberSecurity for Networks.
    • Создать активы вручную через Консоль OSMP или с помощью API.
  • OSMP хранит следующую информацию об устройствах:
    • технические характеристики (общие свойства, ОС, сведения об оборудовании и установленных приложениях "Лаборатории Касперского");
    • обнаруженные уязвимости и статус защиты устройства;
    • данные из конкретных источников;
    • категории устройств и уровни их критичности;
    • AI-рейтинг и статус.
• Данные об алертах и инцидентах:
  • Данные об алертах: сработавшие правила, соответствие матрице MITRЕ, статус алерта, резолюция, назначенный оператор, затронутые активы (устройства и учетные записи), наблюдаемые объекты (IP, MD5, SHA256, URL, DNS-домен или DNS-имя) имя пользователя, имя устройства, комментарии, журнал изменений, файлы. Данная информация формируется в Консоли OSMP автоматически на основании корреляционных событий из Kaspersky Unified Monitoring and Analysis Platform.
    • В зависимости от типа алерта также сохраняются дополнительные данные:
      • для алертов, сформированных по результатам проверки файлов: имена и хеши проверенных файлов; оценки Anti-Malware и Sandbox; информация о действиях с локальными файлами и сетью, инициированных файлом во время анализа в Sandbox; защищенный паролем архив, содержащий проверяемый файловый объект;
      • для алертов, сформированных правилами TAA (IOA) "Лаборатории Касперского": информация о сработавших правилах IOA, описание правил IOA, рекомендации по действиям по реагированию и возможные причины ложных срабатываний (информация о правилах не предоставляется пользователем и распространяется "Лабораторией Касперского");
      • для алертов, генерируемых технологией обнаружения IOC: имена и уровень важности сработавших правил IOC; объекты, обнаруженные во время IOC-проверки устройства, включая IP-адреса, записи DNS, ключи и значения реестра, записи в таблице маршрутизации, информацию о процессах и файлах, сведения о службах, а также имя и идентификатор пользователя;
      • для алертов, генерируемых технологией обнаружения YARA: имена и уровень важности сработавших правил YARA; объекты, обнаруженные во время YARA-проверки устройства, включая информацию о файлах и процессах.
  • Данные об инцидентах: связанные алерты, дочерние инциденты, сработавшие правила, соответствие матрице MITRE, статус инцидента, решение, назначенный оператор или группа операторов, затронутые активы (устройства и учетные записи); наблюдаемые объекты (из алерта); комментарии; журнал изменений; файлы; тип инцидента; метрики для сортировки инцидентов, реагирования, решения; подробные данных о сработавшем правиле IOA, включая его имя, описание, рекомендации по реагированию и возможные причины ложных срабатываний. Данная информация формируется в Консоли OSMP автоматически по правилам или вручную пользователем.
  • Данные о настройке правил формирования инцидентов из алертов: имя и условия срабатывания правила, шаблон имени нового инцидента, описание правила и приоритет запуска правила. Данная информация вводится пользователем в Консоли OSMP.
  • Информация о шаблонах уведомлений: название шаблона; тема сообщения, шаблон сообщения; описание шаблона; правила обнаружения; выбранные технологии обнаружения, о которых необходимо уведомить пользователя; а также уровень важности алертов и инцидентов. При срабатывании этих правил будут отправляться уведомления. Данная информация вводится пользователем в Консоли OSMP.
• Настройки даты истечения срока действия алертов и инцидентов.
• Граф расследования инцидентов и дерево процессов. В OSMP хранится следующая заданная пользователем информация о деревьях процессов, построенных для событий: названия созданных деревьев процессов и комментарии.
• Данные о плейбуках:
  • Операционные данные плейбука, в том числе данные о входных параметрах действий по реагированию: название, описание, теги, текст триггера и алгоритма. Данная информация вводится пользователем в Консоли OSMP.
  • Данные о результатах выполнения действий по реагированию в рамках исполнения плейбука: содержит данные из интегрированных систем, данные с устройств.
  • Полная история реагирования на алерты и инциденты, включая действия по реагированию, не связанные с алертом или инцидентом.

  Перечисленные выше данные хранятся в базе данных в течение трех дней, после чего удаляются. Данные полностью удаляются при деинсталляции Kaspersky EDR Expert.

• Учетные данные для доступа к общим ресурсам. Учетные данные хранятся в зашифрованном виде и распространяются на устройства для поддержки действий по реагированию, таких как получение дампов памяти и образов дисков.
• Информация о файлах, полученных с устройств в результате действий по реагированию или загруженных пользователями вручную, включая имя файла или полный путь к файлу, размер, хеш, тенант, устройство-источник или загрузивший пользователь, описание, статус проверки (Антивирус, YARA, Sandbox) и результаты проверки.
• Информация о правилах запрета, примененных к устройствам. Включает имя правила; хеш; тенант; устройства, к которым применяется правило; статус правила (включено или выключено) и включение уведомлений для пользователя конечного устройства при исполнении файла, соответствующего правилу запрета.
• Информация о правилах YARA, используемых для проверки на устройствах. Включает имя правила; тенант; описание и параметр проверки файлов (включена или выключена), который определяет, будет ли правило применяться при проверке файлов, полученных с устройств или загруженных пользователями, на стороне сервера. Правила хранятся в виде файлов в хранилище объектов OSMP и доставляются на конечные точки при выполнении действия по реагированию для YARA-проверки.
• Информация о правилах IOC, используемых для проверки на устройствах. Включает имя правила, уровень важности, тенант и параметр проверки по расписанию (включена или выключена). Правила хранятся в виде файлов в хранилище объектов OSMP и доставляются на конечные точки при выполнении действия по реагированию для IOC-проверки. При проверке по расписанию на конечные устройства также доставляется расписание проверки, в том числе параметр включения и выключения, время начала проверки и максимальная продолжительность проверки.
• Параметры проверки файловых объектов, включая каталог часто используемых клиентских паролей для расшифровки архивов и источник обновлений для баз данных Управления активами и Sandbox. Параметры настраиваются пользователем в Консоли OSMP.
• Если в OSMP используется KPSN, обрабатываются следующие данные: имя или IP-адрес сервера, на котором развернут API KPSN, а также сертификат, используемый для подключения к этому API.
• Данные о параметрах интеграции (как с решениями или службами "Лаборатории Касперского", так и со сторонними решениями, которые участвуют в сценариях Kaspersky EDR Expert):
  • Интеграция с Kaspersky Threat Intelligence Portal: API токен доступа при подключении к Kaspersky Threat Intelligence Portal, срок хранения кеша, признак подключения через прокси или тип службы. Данная информация вводится пользователем в Консоли OSMP.
  • Интеграция с КАТА/EDR: адрес сервера KATA/EDR: IPадрес/имя устройства, порт, уникальный идентификатор для подключения к KATA/EDR, файл сертификата и закрытый ключ для подключения к КАТА/EDR. Данная информация вводится пользователем в Консоли OSMP.
  • Подключение к устройству, где будет запускаться пользовательский скрипт: IP адрес или имя устройства, порт, учетная запись пользователя и SSH-ключ, пароль или ключ. Данная информация вводится пользователем в Консоли OSMP.
  • Интеграция с Сервером администрирования OSMP: имя Сервера администрирования, полный путь до Сервера администрирования в иерархии. Данная информация вводится пользователем в Консоли OSMP.
  • Интеграция с Kaspersky Cyber Trace: IPv4-адрес или имя устройства и порт, по которому доступен Kaspersky Cyber Trace, имя и пароль для подключения. Данная информация вводится пользователем в Консоли OSMP.
  • Интеграция с Kaspersky Automated Security Awareness Platform (KASAP): API-токен доступа при подключении к KASAP, URL портала KASAP, электронная почта Администратора KASAP и признак подключения через прокси. Данная информация вводится пользователем в Консоли OSMP.
  • Интеграция с Active Directory: адреса контроллеров домена, учетная запись и пароль для подключения к контроллерам домена и сертификат. Данная информация вводится пользователем в Консоли OSMP.
  • Интеграция с внешней системой (например, UserGate): имя учетной записи и SSH-ключ или пароль для удаленного доступа к клиентскому устройству.
  • Интеграция с Kaspersky Sandbox: эталонные конфигурации операционных систем виртуальных машин, на которых развернут Sandbox, IP-адрес сервера Sandbox, сертификат сервера Sandbox, имя сервера, отображаемое в Консоли OSMP, и правила Sandbox для анализа файлов. Эти данные вводятся пользователем в Консоли OSMP.
• IP-адрес, с которого пользователь подключается к Консоли OSMP. Эти данные автоматически записываются в журнал Консоли OSMP и хранятся до истечения срока действия ревизий объектов, редактируемых пользователем.
• Информация о конфигурации иерархии установки OSMP.

Подробная информация о прочих данных, принимаемых, хранимых и обрабатываемых для выполнения основных функций решения Kaspersky EDR Expert, приведена в Справке приложения:

• Kaspersky Security Center 16.1 Linux
• Kaspersky Unified Monitoring and Analysis Platform

Перечисленные выше данные хранятся в базе данных, пока пользователь не удалит их. Данные, относящиеся к алерту или инциденту, хранятся в течение всего периода хранения соответствующего алерта или инцидента. Все другие данные хранятся неопределенный срок, пока пользователь не удалит их или не удалит тенант, с которым связаны данные. Данные полностью удаляются при деинсталляции Kaspersky EDR Expert.

Все перечисленные выше данные могут быть переданы "Лаборатории Касперского" только посредством файлов дампа, файлов трассировки или файлов журналов компонентов Kaspersky EDR Expert, включая файлы журналов, создаваемые установщиками и утилитами. Файлы дампов, файлы трассировки или файлы журналов компонентов Kaspersky EDR Expert могут содержать персональные данные или конфиденциальную информацию. Файлы дампа, файлы трассировки и файлы журналов хранятся в незашифрованном виде на устройствах. Файлы дампов, файлы трассировки или файлы журналов не передаются в "Лабораторию Касперского" автоматически, однако администратор может передать эти файлы в "Лаборатории Касперского" вручную по запросу Службы технической поддержки для решения проблем в работе Kaspersky EDR Expert. "Лаборатория Касперского" обеспечивает защиту всех полученных данных в соответствии с законодательством и применимыми правилами "Лаборатории Касперского". Данные передаются по безопасным каналам связи. По умолчанию срок хранения этой информации (период ротации) составляет 7 дней.

Данные, передаваемые в АО "Лаборатория Касперского"

Переходя по ссылкам из Консоли OSMP к Справке Kaspersky EDR Expert, пользователь соглашается на автоматическую передачу в "Лабораторию Касперского" следующих данных:

• код Kaspersky EDR Expert;
• версия Kaspersky EDR Expert;
• локализация Kaspersky EDR Expert.

Чтобы назначить курс обучения сотруднику, Kaspersky EDR Expert передает в Kaspersky Automated Security Awareness Platform следующие данные:

• электронную почту пользователя;
• идентификатор Kaspersky Automated Security Awareness Platform;
• идентификатор тренировочной группы.

Для получения дополнительных данных об алертах Kaspersky EDR Expert передает в Kaspersky Threat Intelligence Portal тип и значение наблюдаемых объектов, связанных с алертами, инцидентами и событиями.

Для получения информации об оценке обнаруженной угрозы при переходе по ссылке из карточки алерта, инцидента или события Kaspersky EDR Expert передает в сервис Kaspersky Threats следующие данные: имя.

Для получения услуг обнаружения инцидентов и реагирования на них Kaspersky EDR Expert передает следующие данные в службу Kaspersky Managed Detection and Response:

• При включенной интеграции с Kaspersky Managed Detection and Response OSMP временно хранит следующие данные до тех пор, пока они не будут успешно переданы в инфраструктуру Kaspersky Managed Detection and Response: идентификатор устройства, с которого было получено событие, инициированное правилом, идентификатор пользователя и идентификатор клиента Kaspersky Managed Detection and Response.
• При использовании решения Kaspersky Managed Detection and Response из OSMP в инфраструктуру Kaspersky Managed Detection and Response передается следующая дополнительная информация от алертов: имена и значения хеш-функций проверяемых файлов; результаты обнаружения Anti-Malware и Sandbox; информация о локальных действиях файла и сетевой активности, генерируемых файлом при анализе Sandbox; защищенный паролем архив, содержащий проверяемый файловый объект; события, которые запускали IOA-правила, которые могут включать имена файлов и приложений на устройствах, имена и значения разделов реестра, а также имена пользователей.
• При использовании решения Kaspersky Managed Detection and Response от OSMP в инфраструктуру Kaspersky Managed Detection and Response по запросу пользователя передается следующая дополнительная информация: название инцидента; дата и время создания и последнего обновления; информация о сработавших правилах и связанных тактиках и техниках MITRE; имя оператора, назначенного инциденту; имена и идентификаторы затронутых устройств; события, включенные в алерты. Эти события могут включать имена файлов на устройствах клиентов, имена разделов реестра, имена приложений и имена пользователей.

  Все эти данные передаются в Kaspersky Managed Detection and Response только после того, как пользователь принимает Соглашение об обработке данных (DPA) Kaspersky Managed Detection and Response, которое подтверждается при активации Kaspersky Managed Detection and Response в интерфейсе Kaspersky Managed Detection and Response.

Для расширения возможностей защиты информации Kaspersky EDR Expert передает статистические данные KSN, полученные при работе OSMP, в службу Kaspersky Security Network. Состав передаваемых данных указан в Положении о KSN, которое входит в комплект поставки приложения. Участие в KSN не является обязательным и контролируется пользователем OSMP. Перед передачей статистические данные KSN временно кешируются на серверах, на которых размещены компоненты OSMP.

При использовании Kaspersky Private Security Network статистические данные KSN кешируются на серверах, на которых размещены компоненты OSMP, в том же объеме, что и при использовании Kaspersky Security Network. Если сервер Kaspersky Private Security Network находится за пределами организации, кешированные статистические данные KSN могут быть переданы за пределы организации. Ответственность за обеспечение безопасности этих данных лежит на администраторе Kaspersky Private Security Network.

Данные, передаваемые третьим сторонам

При переходе по ссылке из деталей алерта или инцидента для получения информации о тактике или технике MITRE на веб-сайт MITRE передается следующая информация о тактике или технике MITRE: идентификатор и тип.

Для выполнения ответных действий через внешние системы (например, UserGate) путем выполнения сторонних скриптов на удаленных клиентских устройствах Kaspersky EDR Expert передает во внешние системы следующую информацию: типы и значения наблюдаемых объектов из алертов и инцидентов.

Для проверки репутации файлов и URL-адресов при переходе по ссылкам из карточек событий Kaspersky EDR Expert передает в сервис VirusTotal следующую информацию: хеш файла (FileMd5 и FileSha256); имя удаленного устройства (NetUrlHostname); URI точки назначения для HTTP-запросов (NetUri); IPv4- или IPv6-адрес точки назначения (NetDstIp); URL, запрашиваемый в DNS-запросе (DnsResourceName); запрашиваемый DNS-сервер (DnsServerIp).