Переносимые данные

При обновлении и переходе с KEDR 7.1 на Kaspersky EDR Expert 8.1 переносятся следующие данные:

• Данные алертов:
  • Алерты, связанные с файлами, полученными от конечных устройств (включая сценарии KSB) и от внешних систем через API.
  • Алерты IOC.

    Алерты IOC, связанные с ошибками синтаксиса в IOC-правилах (которые не полностью соответствуют стандартам OpenIOC версий 1.0 и 1.1), не переносятся. Информация о таких алертах IOC отображается в журнале ошибок.

  • Алерты IOA.

  Рекомендуется переносить только алерты со статусом Закрыто.

• Дополнительные данные алертов:
  • Хранилище Sandbox.
  • Обнаруженное файловое хранилище.
• Информация о IOC-правилах:
  • Имя.
  • Описание.
  • Уровень важности.
  • IOC-правило.
  • Вариант проверки по расписанию (включена или выключена).
  • Информация об области действия глобальных правил IOC (внутри тенанта или между выбранными подчиненными серверами).

  Правила IOC передаются только в том случае, если они полностью соответствуют стандартам OpenIOC версий 1.0 и 1.1. Алерты, связанные с алертами IOC, не соответствующими требованиям, не передаются.

• Информация о пользовательских правилах IOA:
  • Имя.
  • Описание.
  • Уровень важности.
  • Уверенность.
  • Триггер.
  • Индикация того, включена ли этим правилом разметка.
  • Информация об области действия глобальных правил IOA (внутри тенанта или между выбранными подчиненными серверами).
• Информация об исключениях IOA:
  • Идентификатор правила IOA, к которому применяется исключение.
  • Тип исключения (безусловное или условное).
  • Условие исключения.
  • Если для правила существуют глобальное и локальное исключения, экспортируется только глобальное исключение.
  • Включено ли исключение (применяется только к условным исключениям – отключенные безусловные исключения не экспортируются).

  Исключения IOA можно импортировать либо в общие исключения, либо в исключения для конкретных типов событий. Если не удалось найти импортированное исключение в одном разделе, попробуйте поискать в другом разделе.

• Информация о пользовательских правилах YARA:
  • Имя.
  • Описание.
  • Контент.
  • Работает ли правило в режиме потока.
  • Информация об области действия глобальных правил YARA (внутри тенанта или между выбранными подчиненными серверами).
• Информация о пользовательских правилах отправки в Sandbox (проверка пользовательских образов):
  • Для файлов:
    • Включено ли правило.
    • Имя пользовательского образа.
    • Маска файла для отправки.
    • Маска исключения.
    • Категория файла.
    • Диапазон размера файла.
• Список имен образов, включенных в набор данных Sandbox по умолчанию.
• Хранилище, содержащее артефакты для проведения расследования, загруженные вручную файлы и файлы, полученные с помощью задачи get:
  • Имя файла.
  • Размер файла.
  • MD5.
  • SHA256.
  • Дата создания файла.
  • Имя учетной записи пользователя, загрузившего файл.
  • Результаты проверки с помощью Anti-Malware Engine, YARA и Sandbox.
• Информация о правилах запрета:
  • Состояние (включено или выключено).
  • Имя.
  • Хеш.
  • Отображаются ли уведомления на устройствах.
  • Область действия (устройства, серверы, тенанты).
• Информация о паролях архивов, используемых для защиты от вредоносных приложений и проверки Sandbox
• Информация об активных пользователях системы (за исключением пользователей AD), в том числе:
  • Имя пользователя.
  • Роли пользователей.
  • Тип пользователя (внутренний или Active Directory).
  • Список тенантов, к которым у пользователя есть доступ.
• Параметр, включающий или отключающий отправку файлов вручную с устройств в Sandbox
• Расписание проверки IOC-файлов:
  • Время запуска.
  • Продолжительность проверки.
• Шаблоны уведомлений по электронной почте:
  • Статус шаблона (включен или выключен).
  • Получатели.
  • Тема.
  • Критерии доставки для обнаружений:
    • Все.
    • Выбранные компоненты: AV, YARA, Sandbox, IOC, TAA.
    • Серьезность обнаружения.
    • Адрес отправителя или получателя (маска).
    • Адрес отправителя или получателя.

    Не экспортируются правила, для которых не выбраны поддерживаемые критерии, а указаны только критерии, не поддерживаемые OSMP (например, IDS).

• Информация об Endpoint Agent:
  • Название Endpoint Agent (FQDN).
  • IP-адрес.
  • Имя операционной системы.
  • Идентификатор сенсора.
  • Тенант или подчиненный сервер, на котором зарегистрирован Endpoint Agent (в распределенных развертываниях).
• Информация о группах и тегах Endpoint Agent:
  • Информация о группах:
    • Имя.
    • Члены.

      Группа может включать в себя:

      • Приложения Endpoint Agents.
      • Другие активы.
      • Вложенные группы (глубина вложения не ограничена).
  • Информация о тегах:
    • Имя.
    • Список агентов Endpoint Agent, которым назначен этот тег.

    Информация об активах, не являющихся Endpoint Agent, которые входят в состав групп или имеют теги, не передается.

    Информация о группах, не содержащих Endpoint Agent на любом уровне вложения, не передается.

• База данных телеметрии поиска угроз.
  • Для событий, связанных с обнаружениями IOA, отображаются только Уровень важности и Уверенность IOA-правила.

Обратите внимание, файлы из раздела Карантин не переносятся.