Работа с файлами, полученными в результате действий по реагированию
Для просмотра раздела Файлы у вас должна быть одна из следующих EDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.
В разделе Файлы отображаются файлы, которые вы загрузили вручную и получили в результате выполнения следующих действий по реагированию: Файл, Данные для расследования, Ключ реестра, NTFS-метафайлы, Дамп памяти процесса, Получить файл из карантина.
Рекомендуется включить автоматическую ротацию файлов, чтобы самые старые файлы удалялись из раздела Файлы и можно было загружать новые файлы. Файлы, для которых обнаружена угроза, не удаляются. Такие файлы связаны с алертами, созданными в результате обнаружения угроз.
Вы не будете получать уведомления об удалении самых старых файлов.
Просмотр таблицы файлов
Чтобы открыть таблицу файлов, из главного меню перейдите в Хранилища → Файлы. В таблице отображаются файлы, хранящиеся в тенантах, к которым у вас есть права доступа.
В правой верхней части панели инструментов вы можете группировать, фильтровать и искать данные в таблице следующим образом:
- Нажмите на значок параметров (
) и выберите столбцы для отображения в таблице. - Нажмите на значок фильтрации (
), укажите и примените критерий фильтрации в открывшемся меню. - Нажмите на значок поиска (
), в появившемся поле Поиск введите поисковый запрос и нажмите клавишу ENTER.
Таблица содержит следующие столбцы:
- Имя или полный путь. Если вы загрузили файл вручную, имя файла будет отображаться в столбце. Если файл получен в результате действия по реагированию, будет отображаться полный путь к файлу.
- Размер. Размер файла.
- MD5. MD5-хеш файла, если таковой имеется.
- SHA256. SHA256-хеш файла, если таковой имеется.
- Когда загружен. Дата добавления файла в хранилище Файлы.
- Обновлено. Дата обновления файла в хранилище Файлы.
- Тенант. Тенант, к которому привязан файл.
Если в иерархии экземпляров OSMP, тенант был создан на дочернем экземпляре, в поле Тенант отображается значок дочернего экземпляра (
). - Источник. Имя пользователя, который добавил файл в хранилище Файлы, или имя устройства, с которого файл был получен в результате действия по реагированию.
- Способ добавления. Метод, с помощью которого файл был добавлен в хранилище Файлы.
Если файл был загружен пользователем, в столбце будет отображаться значение Загружен пользователем. Если файл был получен в результате действия по реагированию, будет отображаться имя соответствующего действия.
- Статус проверки. Результат последней проверки файла. В этом столбце могут отображаться следующие значения:
- Не проверено
- Проверяется
- Не обнаружено
- Обнаружено
- Ошибка
- Описание. В столбце отображается информация (если таковая имеется), указанная вами в поле Описание при настройке параметров действия по реагированию или загрузке файла вручную.
Вы можете фильтровать данные в столбцах Способ добавления и Статус проверки, нажав на заголовок столбца и выбрав интересующий вас метод или статус из раскрывающегося списка.
Выполнение действий в таблице файлов
В левой верхней части панели инструментов вы можете выполнить следующие действия:
- Обновить данные в таблице, нажав на кнопку Обновить.
- Загрузить файл со своего компьютера в хранилище Файлы, нажав на кнопку Загрузить.
При этом справа откроется панель. В поле Тенант нужно будет указать тенант, которому будет принадлежать файл. Затем нажмите на ссылку Загрузка файлов и выберите файл на своем компьютере. При необходимости вы также можете добавить комментарий или описание в поле Описание и включить переключатель Проверка файлов после загрузки, если вы хотите проверять файлы на наличие угроз.
После того как вы нажмете на кнопку Загрузить, панель закроется, а загруженный файл отобразится в таблице. При загрузке большого файла или нескольких файлов вам нужно обновить таблицу, чтобы в ней отображались новые файлы. Если загрузка файла выполняется, в столбце Имя или полный путь отображается индикатор загрузки, а в столбце Размер отображается размер уже загруженного файла.
- Сохраните файлы на свое устройство. Для этого установите флажок рядом с одним или несколькими файлами в таблице, а затем нажмите на кнопку Скачать.
- Проверить выбранные файлы на наличие угроз с помощью следующих технологий: YARA, Sandbox и Anti-Malware Engine. Для этого установите флажок рядом с одним или несколькими файлами в таблице и нажмите на кнопку Проверить.
- Удалить файлы. Для этого установите флажок рядом с одним или несколькими файлами в таблице, а затем нажмите на кнопку Удалить.
- Перейти к списку алертов, с которыми связаны файлы. Для этого установите флажок рядом с одним или несколькими файлами в таблице, а затем нажмите на кнопку Найти алерты. Будут отображены алерты, которые были созданы в результате обнаружения угроз, и те, по данным которых вы запускали действия по реагированию (если файл был помещен в хранилище Файлы в результате действия по реагированию).
Параметр Проверить недоступен и хеш не рассчитывается для файлов, полученных в результате следующих действий: Данные для расследования, Ключ реестра, NTFS-метафайлы, Дамп памяти процесса.
Просмотр сведений файла
Вы можете открыть сведения файла, нажав на ссылку в столбце Имя или полный путь таблицы.
В панели, которая откроется справа, будут отображаться метаданные файла (например, имя или путь к файлу, размер, хеш), а также статус и результат его проверки:
- Если на проверку был отправлен архив, в деталях файла отображается информация о тех файлах в архиве, для которых была обнаружена угроза, а также хеши таких файлов и их статус в каждой технологии (Anti-Malware, Sandbox, YARA).
- Если файл не был проверен, отображается соответствующая информация.
- Если проверка файла невозможна, в сведениях файла отображаются только метаданные.
Если файл был загружен вручную и проверен на наличие угроз, в сведениях файла также можно просмотреть отчет о проверке, нажав на ссылку Загрузить отчет в поле Статус проверки.
В разделе сведений файла можно выполнить следующие действия:
- Вы можете выполнять следующие действия с помощью соответствующих кнопок на панели инструментов: проверка, загрузка и удаление файлов, поиск связанных с ними алертов, изменение описания файла, переход в историю действий по реагированию.
Параметр Показать в истории реагирований недоступен для файлов, загруженных вручную. Для файла, который был получен в результате действия по реагированию, после нажатия кнопки Показать в истории реагирований вы перейдете в раздел История реагирований, где будет отображаться таблица событий с фильтрацией по файлу.
- Перейдите по ссылке с хешем MD5 или SHA256, а затем в раскрывающемся списке выберите действие, которое хотите выполнить:
- Создать правило запрета для файла, в котором обнаружена угроза. После выбора этого варианта откроется панель Добавить правило запрета, в которой можно работать с таблицей правил запрета.
- Найти на Kaspersky TIP позволит проверить хеш файла в Kaspersky Threat Intelligence Portal.
- Просмотреть отчет Sandbox. Данный параметр доступен для файлов, загруженных в хранилище Файлы вручную и проверенных с помощью технологии Sandbox.
- Найти связанные алерты. Связанными называются алерты, которые были созданы в результате обнаружения угроз, и те, по данным которых вы запускали действия по реагированию (если файл был помещен в хранилище Файлы в результате действия по реагированию).
- Найти связанные события – при этом вы перейдете в раздел Поиск угроз, где будет отображаться таблица событий с фильтрацией по хешу файла.
В иерархии экземпляров OSMP файлы, загруженные и полученные в результате действий по реагированию, выполненных на дочернем экземпляре, отображаются в таблице файлов в родительском экземпляре в поле Тенант со следующим значком: ().
