Просмотр деталей алерта

Развернуть всё | Свернуть всё

Детали алерта – это страница в интерфейсе, которая содержит всю информацию, относящуюся к алерту, включая свойства алерта.

Чтобы просмотреть детали алерта:

1. В главном окне приложения перейдите в раздел Мониторинг → Алерты.
2. В таблице алертов нажмите на идентификатор требуемого алерта.

Отображаются детали алерта.

При необходимости можно обновить информацию в деталях алерта, нажав на кнопку обновления () рядом с названием алерта.

Панель инструментов в верхней части деталей алерта позволяет выполнять следующие действия:

• Изменять значение поля Внешняя ссылка
• Назначить алерт аналитику
• Изменить статус алерта
• Связать алерт с инцидентом
• Отменить связь алерта с инцидентом
• Выбрать плейбук
• Создать инцидент и привязать к нему алерт

В зависимости от типа алерта сведения об алерте содержат следующие разделы:

• Сводная информация

  В зависимости от типа алерта сводная информация может содержать следующие свойства алерта:

  • Аналитик. Аналитик, которому назначен алерт.
  • Имя. Название алерта. Если название алерта не указано, это поле не отображается.
  • Тенант. Имя тенанта, в котором зарегистрирован алерт.
  • Активы. Количество учетных записей пользователей и устройств, связанных с алертом.
  • Важность. Возможные значения: Низкий, Средний, Высокий или Критичный. Уровень важности алерта показывает, какое влияние этот алерт может оказать на безопасность устройства или корпоративную локальную сеть на основе опыта "Лаборатории Касперского".
  • Правила. Правила, которые сработали для регистрации алерта. Вы можете нажать на значок с многоточием рядом с названием правила, чтобы открыть контекстное меню. Используйте это меню, чтобы узнать больше о правиле, найти алерты или инциденты, которые были зарегистрированы этим же правилом, или выполнить поиск событий, инициировавших правило, в разделе Поиск угроз за период между первым и последним событием алерта.

    Когда в меню вы нажимаете на раздел Перейти в Поиск угроз, раздел Поиск угроз открывается в той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  • Зарегистрировано. Дата и время, когда алерт был добавлен в таблицу алертов.
  • Первое событие. Дата и время первого события, связанного с алертом.
  • Последнее событие. Дата и время последнего события, связанного с алертом.
  • Внешняя ссылка. Ссылка на объект во внешней системе (например, ссылка на инцидент Jira). Вы можете нажать на кнопку Изменить, чтобы указать внешнюю ссылку. Если алерт был создан из алерта Kaspersky Endpoint Detection and Response alert, ссылка на этот алерт отображается в поле.
  • Связанный с. Инцидент, к которому привязан алерт.
  • Тактика MITRE. Тактика или несколько тактик, зарегистрированных в алерте. Тактики определены в базе знаний MITRE ATT&CK.
  • Техника MITRE. Техника или несколько техник, зарегистрированных в алерте. Техники определены в базе знаний MITRE ATT&CK.
  • Правила корреляции. Правила корреляции, сработавшие для обнаружения угрозы и создания алерта.
  • IOA-правила. IOA-правила, сработавшие для обнаружения угрозы и создания алерта. Вы можете открыть контекстное меню, нажав на имя IOA-правила. В контекстном меню можно проводить следующие действия:
    • Просмотреть подробную информацию о конкретном IOA-правиле, нажав на кнопку Открыть свойства.
    • Просмотреть связанные события, нажав на кнопку Перейти в Поиск угроз.

      Выполняется перенаправление в раздел Поиск угроз, в котором отображаются только события, отслеживаемые данным правилом IOA. По умолчанию события отображаются за 24 часа.

    • Найти похожие инциденты.
    • Чтобы просмотреть подробную информацию о IOA-правиле в Kaspersky TIP, нажмите на кнопку Найти в Kaspersky TIP.
    • Скопировать имя IOA-правила.
  • Технологии. Технология обнаружения, используемая для обнаружения угрозы.
  • Источник обнаружения. Источник, от которого поступил обнаруженный объект. Например, если файл был отправлен в Sandbox для проверки с какого-либо устройства, это устройство является источником обнаружения.
  • Дополнительные данные. Дополнительная информация об алерте. Вы можете изменить значение в этом поле только с помощью плейбука. Поле отображается, если вы добавили значение.
• Результат проверки

  В разделе Результат проверки содержится информация о проверяемом файле и результатах проверки, по которым был создан алерт.

• Результаты IOC-проверки

  В разделе Результаты IOC-проверки приводится информация о правилах IOC, сработавших во время проверки.

  По нажатию на название IOC-правила можно просмотреть подробные сведения об этом IOC-правиле.

  По нажатию на кнопку Посмотреть отчет в столбце Результаты проверки можно просмотреть подробную информацию о результатах проверки, включая сведения о сети и системе, а также о процессах и файлах, задействованных при проверке.

• Результаты проверки Kaspersky Sandbox

  Раздел Результаты проверки Kaspersky Sandbox содержит информацию о результатах обработки объектов в Sandbox, в том числе:

  • Количество обнаруженных объектов и их типы.
  • Количество извлеченных файлов и их типы.
  • Хеши обнаруженных объектов.

  По нажатию на кнопку Экспорт результатов можно просмотреть подробную информацию о результатах обработки объектов в операционных системах, доступных в Sandbox, в том числе:

  • Диаграммы статистики обнаружений.
  • Граф дерева активности объектов.
  • Тактики и техники MITRE (см. базу знаний MITRE ATT&CK).
  • Список подозрительных действий в операционной системе.
  • Скриншоты исполнения файла в операционной системе.
  • Системная активность.
  • Сетевая активность.

  Для просмотра всей информации в окне результатов проверки Sandbox можно переключаться между операционными системами и между результатами, полученными в режиме быстрой проверки и в режиме ведения полного журнала.

• Результаты YARA-проверки

  Раздел Результатов YARA-проверки содержит информацию о результатах YARA-проверки на хосте.

  По нажатию на кнопку Посмотреть отчет в столбце Результаты проверки можно просмотреть подробную информацию о результатах проверки. Для просмотра полной информации в окне результатов проверки YARA можно переключаться между вкладками Дамп памяти процесса, Файлы и Условия правила.

• Проверяемые файлы

  В разделе Проверяемые файлы приводится информация о проверенных файлах. Для получения дополнительной информации об угрозах, обнаруженных в файлах, на Kaspersky Threat Intelligence Portal, нажмите на название угрозы в столбце Вердикт.

• Подробная информация

  В разделе Сведения можно отслеживать события телеметрии, связанные с алертом.

  В таблице событий отображается результат поиска, который вы определяете с помощью SQL-запроса.

  Панель инструментов таблицы событий позволяет выполнить следующие действия:

  • Скачать события. Вы можете нажать на эту кнопку, чтобы загрузить информацию о связанных событиях в CSV-файл (в кодировке UTF-8).
  • Поиск в разделе Поиск угроз. Вы можете нажать на эту кнопку, чтобы открыть раздел Поиск угроз. Этот раздел позволяет выполнять поиск по всем событиям, связанным с тенантами, к которым у вас есть доступ, а не только по событиям, связанным с текущим алертом. По умолчанию открытая таблица событий содержит все события, произошедшие в период между первым и последним событием в алерте. Например, вы можете запустить поисковый запрос, чтобы найти все события, в которых было задействовано устройство.

    В разделе Поиск угроз вы можете вручную связать события с алертами. Это может быть полезно, если вы выясните, что некоторые события относятся к алерту, но не были связаны с алертом автоматически. Дополнительные сведения см. в инструкциях по связыванию или удалению связи событий с алертами.

    Вы можете вернуться к деталям инцидента, нажав на кнопку Исследование алерта или нажав на кнопку Назад в вашем браузере.

  • Удалить связь с алертом. Вы можете выбрать событие или несколько событий в таблице и нажать на эту кнопку, чтобы удалить связь выбранных событий с алертом.
• Активы

  В окне Активы можно выполнить следующие действия:

  • Просмотреть устройства и пользователей, затронутые алертом или вовлеченные в него.
  • Выполните действия по реагированию. Для этого установите флажок рядом с активом, а затем в раскрывающемся списке Выбрать действие по реагированию выберите необходимое действие по реагированию.
  • Чтобы экспортировать информацию о затронутых активах в CSV-файл, нажмите на кнопку Экспортировать в CSV.
  • Подключитесь к активу с помощью удаленного терминала. Для этого нажмите на кнопку Открыть удаленный терминал.

  Таблица активов содержит следующие столбцы:

  • Тип актива

    Возможные значения: устройство или пользователь.

  • Имя актива
  • Идентификатор актива
  • Имеет признаки

    Возможные значения: атакующий или атакуемый.

  • Статус авторизации

    Этот параметр применяется только к типу актива – устройство. Статус авторизации устройства определяется KICS for Networks. Вы можете изменить статус авторизации, применив соответствующее действие по реагированию к устройству.

  • Сервер администрирования

    Сервер администрирования, который управляет устройством.

  • Группа администрирования

    Группа администрирования, к которой принадлежит пользователь.

  • Категории

    Категории активов, в которые входит актив.

  • Отправлено в архив

    Статус объекта в архиве. Возможные значения: Yes или No.

  Нажав на имя пользователя или устройства, вы можете:

  • Просмотреть свойства пользователя или устройства.

    Чтобы просмотреть список алертов или инцидентов, связанных с устройством, в окне свойств устройства нажмите на кнопку Показать связанные и выберите Алерты или Инциденты, в зависимости от того что вы хотите просмотреть.

  • Скопировать имя пользователя или имя устройства в буфер обмена.
  • Выполнить поиск по имени пользователя или идентификатору устройства в других алертах.
  • Выполнить поиск по имени пользователя или идентификатору устройства в других инцидентах.
  • Выполнить поиск имени пользователя или идентификатора устройства в разделе Поиск угроз за период между первым и последним событием алерта.

    Если после нажатия на имя пользователя или название устройства выбрать в меню команду Перейти в Поиск угроз, откроется раздел Поиск угроз на той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  Нажав на идентификатор пользователя или идентификатор устройства, вы можете:

  • Просмотреть свойства пользователя или устройства.

    Чтобы просмотреть список алертов или инцидентов, связанных с устройством, в окне свойств устройства нажмите на кнопку Показать связанные и выберите Алерты или Инциденты, в зависимости от того что вы хотите просмотреть.

  • Скопировать идентификатор пользователя или идентификатор устройства в буфер обмена.
  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в других алертах.
  • Выполнить поиск по идентификатору пользователя или идентификатору устройства в других инцидентах.
  • Выполнить поиск идентификатора пользователя или идентификатора устройства в разделе Поиск угроз за период между первым и последним событием алерта.

    Если после нажатия на идентификатор пользователя или идентификатор устройства выбрать в меню команду Перейти в Поиск угроз, откроется раздел Поиск угроз на той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  С момента добавления актива в OSMP требуется приблизительно 2 минуты, пока решение сможет обогащать этим активом события. Например, если вы добавили актив и в течение двух минут произошло корреляционное событие, в созданном алерте такой актив отображаться не будет.

• Файлы

  Раздел Файлы содержит файлы, полученные в результате действий по реагированию или добавленные вручную в этот алерт. Вы можете загружать, скачивать или удалять файлы, связанные с алертом, или изменять описание файлов.

  Вы можете загружать файлы любого расширения. Допускаются дубликаты имен файлов. Максимальное количество файлов, которые вы можете прикрепить к инциденту, и максимальный общий размер файлов, вы можете указать в конфигурационном файле.

  Ограничения по умолчанию:

  • Количество файлов не может превышать 100 на один алерт.
  • Общий размер файла не может превышать 25 МБ на один алерт.

  Чтобы загрузить файлы, нажмите на кнопку Загрузить и выберите один или несколько файлов. Если вы попытаетесь загрузить файлы, превышающие ограничения, появится панель Загрузка файлов с предупреждающим сообщением. В этой панели вы можете удалять файлы из очереди загрузки до тех пор, пока не исчезнет предупреждающее сообщение, и нажать на кнопку Загрузить, чтобы загрузить файлы. Если вы проигнорируете предупреждающее сообщение, загрузка не будет выполнена, а в списке файлов появятся файлы, которые не удалось загрузить, со значком предупреждения рядом с именами файлов.

  После нажатия на кнопку Загрузить панель закрывается, и загруженный файл отображается в таблице файлов в сведениях об алерте и в главном меню приложения в разделе Файлы. При загрузке большого файла или нескольких файлов вам нужно обновить таблицу, чтобы в ней отображались новые файлы. Если загрузка файла выполняется, в столбце Имя или полный путь отображается индикатор загрузки, а в столбце Размер отображается размер уже загруженного файла.

  Нажмите на файл, чтобы открыть панель Изменить файл, на которой отображаются сведения о файле. В этой панели вы можете изменить описание файла.

  Используйте флажки для выбора файла или нескольких файлов. Выберите один или несколько файлов и нажмите на кнопку Скачать, чтобы скачать архив файлов в формате ZIP. Архив защищен паролем infected. Выберите файл или несколько файлов и нажмите на кнопку Удалить, чтобы удалить выбранные файлы.

  Для загрузки и удаления файлов и изменения описаний файлов требуется право Запись в функциональной области Алерты и инциденты. Для возможности скачивать файлы требуется право на Чтение в функциональной области Алерты и инциденты.

• Наблюдаемые объекты

  В разделе Наблюдаемые объекты вы можете просмотреть наблюдаемые объекты, связанные с алертом.

  Вы также можете экспортировать информацию о связанных наблюдаемых объектах в CSV-файл, нажав на кнопку Экспортировать в CSV.

  Наблюдаемые объекты могут включать:

  • MD5-хеш
  • URL
  • Имя домена
  • SHA256
  • UserName
  • HostName
  • Локальный IP-адрес
  • Удаленный IP-адрес

    Следующие частные IP-адреса не включены в наблюдаемые объекты, связанные с алертом:
    От 10.0.0.0 до 10.255.255.255 с маской подсети 255.0.0.0 или /8.
    От 172.16.0.0 до 172.31.255.255 с маской подсети 255.240.0.0 или /12.
    От 192.168.0.0 до 192.168.255.255 с маской подсети 255.255.0.0 или /16.
    От 100.64.0.0 до 100.127.255.255 с маской подсети 255.192.0.0 или /10.

    Чтобы включить частные IP-адреса в наблюдаемые данные, выполните следующие команды на устройстве администратора:

    k0s kubectl -n irp set env deploy/transformer -c transformer OSMP_TRANSFORMER_FILTER_PRIVATE_IPS_DISABLED=true

    k0s kubectl -n irp set env deploy/incident -c incident OSMP_FILTER_PRIVATE_IPS_DISABLED=true

  • Локальный порт
  • Удаленный порт
  • Идентификатор системного процесса
  • Уникальный PID
  • Полное имя файла

  Нажав на ссылку в столбце Значение, вы можете:

  • Поиск наблюдаемого значения в разделе Поиск угроз за период между первым и последним событием алерта.

    Если после перехода по ссылке в столбце Значение вы выбираете в меню раздел Перейти в Поиск угроз, раздел Поиск угроз открывается на той же вкладке. Если вы хотите открыть раздел Поиск угроз в новой вкладке браузера, зажмите клавишу Ctrl и в меню нажмите на раздел Перейти в Поиск угроз.

  • Выполнить поиск по значению наблюдаемого объекта в других алертах.
  • Выполнить поиск по значению наблюдаемого объекта в других инцидентах.
  • Скопировать значение наблюдаемого объекта в буфер обмена.

  Панель инструментов этого раздела содержит следующие кнопки:

  • Запросить статусы Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию о выбранном наблюдаемом объекте в Kaspersky Threat Intelligence Portal (Kaspersky TIP). В результате информация обновляется в столбце Статус обновления. Требуется интеграция с Kaspersky Threat Intelligence Portal (премиум-доступ).
  • Обогатить данные Kaspersky TIP. Используйте эту кнопку, чтобы получить подробную информацию обо всех перечисленных наблюдаемых объектах из Kaspersky TIP. В результате информация обновляется в столбце Обогащение. Используйте ссылку в столбце Обогащение, чтобы открыть полученные сведения об обогащении наблюдаемого объекта. Требуется интеграция с Kaspersky Threat Intelligence Portal (премиум-доступ).
  • Поместить на карантин. Используйте эту кнопку, чтобы переместить устройство, на котором находится файл, на карантин. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
  • Добавить правило запрета. Используйте эту кнопку, чтобы добавить правило, запрещающее запуск файла. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
  • Удалить правило запрета. Используйте эту кнопку, чтобы удалить правило, запрещающее запуск файла. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
  • Прервать процесс. Используйте эту кнопку, чтобы прервать процессы, связанные с файлом. Эта кнопка доступна только для хешей (MD5 или SHA256) наблюдаемых объектов.
• Похожие закрытые алерты

  В разделе Похожие закрытые алерты вы можете просмотреть список закрытых алертов, которые имеют те же затронутые артефакты, что и текущий алерт. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Похожие закрытые алерты могут помочь вам изучить текущий алерт.

  С помощью списка вы можете оценить степень сходства текущего алерта и других алертов. Сходство рассчитывается следующим образом:

  Сходство = M / T * 100

  Здесь "M" – количество артефактов, совпадающих в текущем и аналогичном алерте, "T" – общее количество артефактов в текущем алерте.

  Если сходство составляет 100%, в текущем алерте нет ничего нового по сравнению с аналогичным алертом. Если сходство равно 0%, текущий и аналогичный алерт полностью различаются. Алерты, имеющие сходство 0%, не включаются в список.

  Расчетное значение округляется до ближайшего целого числа. Если сходство равно значению от 0% до 1%, приложение не округляет это значение до 0%. В этом случае значение отображается меньше 1%.

  При нажатии на идентификатор алерта открываются детали алерта.

  Настройка списка похожих закрытых алертов

  Вы можете настроить таблицу, используя следующие параметры:

  • Отфильтруйте алерты, выбрав период, за который были обновлены алерты. По умолчанию список содержит алерты, которые обновлялись за последние 30 дней.
  • Нажмите на значок Параметры столбцов () и выберите, какие столбцы отображать и в каком порядке.
  • Нажмите на значок Фильтр (), выберите и настройте фильтры, которые хотите применить. Если вы выбрали несколько фильтров, они применяются одновременно с помощью логического оператора И.
  • Нажмите на заголовок столбца и выберите параметры сортировки. Вы можете отсортировать алерты в порядке возрастания или убывания.

• Подобные инциденты

  В разделе Подобные инциденты вы можете просмотреть список инцидентов, которые имеют те же затронутые артефакты, что и текущий алерт. Затронутые артефакты включают наблюдаемые объекты и затронутые устройства. Подобные инциденты могут помочь вам решить, может ли текущий алерт быть связан с существующим инцидентом.

  С помощью списка вы можете оценить степень сходства текущего алерта и инцидентов. Сходство рассчитывается следующим образом:

  Сходство = M / T * 100

  Здесь "M" – количество артефактов, совпадающих в текущем и аналогичном инциденте, "T" – общее количество артефактов в текущем алерте.

  Если сходство составляет 100%, в текущем алерте нет ничего нового по сравнению с аналогичным инцидентом. Если сходство равно 0%, текущий алерт и схожий инцидент полностью различаются. Инциденты, имеющие сходство 0%, не включаются в список.

  Расчетное значение округляется до ближайшего целого числа. Если сходство равно значению от 0% до 1%, приложение не округляет это значение до 0%. В этом случае значение отображается меньше 1%.

  При нажатии на идентификатор инцидента открывается подробная информация об инциденте.

  Настройка списка похожих инцидентов

  Вы можете настроить таблицу, используя следующие параметры:

  • Отфильтруйте инциденты, выбрав период, за который были обновлены инциденты. По умолчанию список содержит инциденты, которые обновлялись за последние 30 дней.
  • Нажмите на значок Параметры столбцов () и выберите, какие столбцы отображать и в каком порядке.
  • Нажмите на значок Фильтр (), выберите и настройте фильтры, которые хотите применить. Если вы выбрали несколько фильтров, они применяются одновременно с помощью логического оператора И.
  • Нажмите на заголовок столбца и выберите параметры сортировки. Вы можете отсортировать инциденты в порядке возрастания или убывания.
• Комментарии

  В разделе Комментарии вы можете оставлять комментарии, связанные с алертом. Например, вы можете написать комментарий о результатах расследования или при изменении свойств алерта, таких как исполнитель или статус алерта.

  Чтобы сохранить комментарий, нажмите на клавишу Enter. Чтобы начать новую строку, нажмите на клавиши Shift + Enter. Чтобы изменить или удалить свой комментарий, используйте кнопки в правом верхнем углу.

  Вы можете редактировать и удалять собственные комментарии только в течение определенного промежутка времени после того, как оставите их. По умолчанию задан период в 15 минут.

  Если вы хотите изменить этот промежуток, выполните следующую команду на хосте администратора:

  k0s kubectl -n irp set env deploy/comment -c comment OSMP_COMMENT_LOCK_AFTER_DURATION=Nx

  где N – промежуток времени, а x – единица измерения: h (часы) или m (минуты).

  Комментарии других пользователей невозможно изменить или удалить. Для возможности оставлять комментарии требуется право на Запись в функциональной области Алерты и инциденты.

• History

  В разделе Журнал изменений вы можете отслеживать изменения, внесенные в алерт как в объект:

  • изменение статуса алерта;
  • изменение исполнителя алерта;
  • связь алерта с инцидентом;
  • удаление связи между алертом и инцидентом;
  • загрузка файла в алерт;
  • удаление файла из алерта.

  В разделе История реагирований вы можете просмотреть действия по реагированию, выполненные вручную, а также действия, выполненные в рамках плейбука. Таблица содержит следующие столбцы:

  • Время. Время возникновения события.
  • Запущено. Имя пользователя, запустившего действие по реагированию.
  • События. Описание события.
  • Параметры реагирования. Параметры действия по реагированию, указанные в действии по реагированию.
  • Актив. Количество активов, для которых было запущено действие по реагированию. Вы можете перейти по ссылке с номером актива, чтобы просмотреть подробную информацию об активе.
  • Статус действия. Статус выполнения действия по реагированию. В этом столбце могут отображаться следующие значения:
    • Ожидание подтверждения – действие по реагированию ожидает подтверждения для запуска.
    • Запущено – действие по реагированию выполняется.
    • Успешно – действие по реагированию завершено без ошибок или предупреждений.
    • Предупреждение – действие по реагированию завершено с предупреждениями.
    • Ошибка – действие по реагированию завершено с ошибками.
    • Прервано – действие по реагированию завершено, так как пользователь прервал выполнение.
    • Истекло время подтверждения – действие по реагированию завершено, так как время подтверждения для запуска истекло.
    • Отклонено – действие по реагированию завершено, так как пользователь отклонил запуск.
  • Плейбук. Название плейбука, в котором было запущено действие по реагированию. Вы можете перейти по ссылке, чтобы просмотреть подробную информацию о плейбуке.
  • Действие по реагированию. Имя выполненного действия по реагированию.
  • Тип актива. Тип актива, для которого запускается действие по реагированию. Возможные значения: Устройство или Пользователь.
  • Активы тенанта. Тенант, являющийся владельцем актива, для которого было запущено действие по реагированию.