Работа с таблицей правил запрета

Правила запрета позволяют предотвратить запуск на устройствах файлов или процессов, которые вы считаете небезопасными. Kaspersky EDR Expert идентифицирует файлы по их хешу с помощью алгоритмов хеширования MD5 и SHA256.

Вы можете управлять правилами запрета следующими способами:

• Создавать вручную, импортировать, изменять и удалять правила запрета из таблицы правил запрета, как описано в этой статье.
• Создавать и удалять правила запрета, выполняя соответствующие действия по реагированию.
• Настраивать автоматический запуск действий по реагированию при создании или изменении плейбука.

Чтобы открыть таблицу правил запрета, у вас должна быть одна из следующих EDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.
Чтобы создать или импортировать правила запрета, у вас должна быть одна из следующих EDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.

Чтобы открыть таблицу правил запрета, в главном меню перейдите в раздел Мониторинг → Ресурсы и сервисы → Правила запрета.

Таблица содержит следующие столбцы:

• Имя. Для правил запрета, созданных вручную, в столбце отображается имя, указанное в панели Создать правило запрета. Для импортированных правил запрета в столбце отображается хеш файла.
• Хеш. MD5- или SHA256-хеш файла, который нужно заблокировать.
• Тенант-владелец. Тенант, которому принадлежит правило запрета.

  Если в режиме распределенного решения тенант был создан на резервном узле, в поле Тенант отображается значок резервного узла ().

• Активы. Устройства, для которых применяется правило запрета. В столбце отображается либо количество устройств, либо значение Все активы тенанта.
• Создано. Дата и время создания или импорта правила запрета.
• Создал. Пользователь, создавший или импортировавший правило запрета.
• Обновлено. Дата и время последнего изменения параметров правила запрета.
• Обновил. Пользователь, который последним изменил параметры правила запрета.
• Статус правила. Если правило запрета включено, в этом столбце для правила отображается значение Включено. В противном случае отображается значение Выключено.
• Уведомлять о блокировке файла. Если при создании или изменении правила запрета вы выключили уведомление о блокировке файла, в столбце отображается значение Нет. В противном случае отображается значение Да.

В таблице вы можете выполнить следующие действия:

• Создать или импортировать правило запрета.
• Удалите правило запрета, установив флажок рядом с именем нужного правила и нажав на кнопку Удалить в панели инструментов. Вы также можете удалить сразу все правила.
• Чтобы включить или отключить правило запрета, установите флажок рядом с названием нужного правила, нажмите на кнопку Изменить статус, а затем выберите Включить или Выключить. Вы также можете включать и выключать сразу все правила.
• Просмотрите и измените параметры правила запрета, нажав на имя правила в таблице.

  Откроется панель Изменить правило запрета на вкладке Подробнее. Вы можете изменить параметры правила запрета. Параметры совпадают с теми, которые были указаны создании правила запрета из таблицы правил. Также вы можете нажать на кнопку Перейти в Поиск угроз, чтобы просмотреть события, полученные при срабатывании правила запрета.

  На вкладке Журнал изменений вы можете просмотреть все изменения правила запрета одним из следующих способов: вручную из таблицы правил запрета, выполнить действие по реагированию или запустить плейбук.

Чтобы применить действие ко всем правилам сразу:

1. Установите флажок рядом со столбцом Имя.
2. В раскрывающемся списке выберите один из объектов:
   • Выбрать все – если вы хотите выполнить действие для всех правил в таблице.
   • Выбрать все на текущей странице – если вы хотите выполнить действие для всех правил на текущей странице.
3. При необходимости вы можете исключить одно или несколько правил из области действия, сняв флажки рядом с названиями правил.
4. В панели инструментов нажмите на нужную кнопку в зависимости от того, какое действие вы хотите выполнить: Удалить или Изменить статус (включить или выключить правила).

Действие будет применено ко всем выбранным вами правилам.