Работа с таблицей IOC-правил

Kaspersky EDR Expert выполняет проверку устройств на наличие индикаторов компрометации (IOC). Несколько IOC объединяются в структурированное описание в IOC-файле. При импорте IOC-правила Kaspersky EDR Expert извлекает структурированное описание из IOC-файла и создает правило на основе описания. После срабатывания IOC-правила формируется алерт IOC.

Просмотр таблицы IOC-правил

Для просмотра таблицы IOC-правил необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.

Чтобы открыть таблицу IOC-правил, в главном меню перейдите в раздел Мониторинг → Ресурсы и сервисы → IOC-правила. В таблице отображаются IOC-правила, хранящиеся в тенантах, к которым у вас есть права доступа.

Вы можете группировать, фильтровать и выполнять поиск данных в таблице следующим образом:

• Нажмите на значок параметров () и выберите столбцы для отображения в таблице.
• Нажмите на значок фильтрации (), укажите и примените критерий фильтрации в открывшемся меню.
• Нажмите на значок поиска (), в появившемся поле Поиск введите поисковый запрос и нажмите клавишу ENTER.

Таблица содержит следующие столбцы:

• Имя. Название IOC-правила.
• Создано. Дата и время создания IOC-правила.
• Создал. Пользователь, создавший IOC-правило.
• Обновлено. Дата обновления IOC-правила.
• Обновил. Пользователь, который последним изменил параметры IOC-правила.
• Важность. Уровень важности IOC-правила: Низкий, Средний или Высокий.
• Тенант-владелец. Тенант, которому принадлежит IOC-правило.

  Если в режиме распределенного решения тенант был создан на дочернем экземпляре, в поле Тенант отображается значок дочернего экземпляра ().

• Проверка по расписанию. Статус проверки по расписанию: Включено или Выключено. Чтобы изменить статус, переведите переключатель в положение Включено или Выключено.

Выполнение действий в таблице IOC-правил

В левой верхней части панели инструментов вы можете выполнить следующие действия:

• Обновить данные в таблице, нажав на кнопку Обновить.
• Чтобы импортировать IOC-правила из файлов, содержащих IOC-правила, нажмите кнопку Импортировать.

  Для этого необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик SOC, Аналитик 1-го уровня, Аналитик 2-го уровня.

• Сохраните IOC-правила на свой компьютер. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Экспортировать.
• Удаление IOC-правил. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Удалить.
• Выполнение действия по реагированию IOC-проверка. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Запустить IOC-проверку.

  Для выполнения действий необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.

• Включение или выключение проверки по расписанию для выбранных IOC-правил. Для этого установите флажок рядом с одним или несколькими правилами в таблице, нажмите кнопку Проверка по расписанию, затем в раскрывающемся меню выберите Включить или Выключить.

  Проверка по расписанию требует настройки.

Просмотр сведений об IOC-правиле

Чтобы открыть сведения о файле, нажмите на ссылку в столбце Имя таблицы.

В открывшейся панели отображаются сведения об IOC-правиле в соответствующих полях: имя правила; тенант, которому принадлежит правило; важность правила; статус проверки по расписанию (включено или выключено); условие срабатывания правила.

В разделе сведений можно выполнить следующие действия:

• Сохранить IOC-правило на свой компьютер нажатием на кнопку Экспортировать.
• Выполнение IOC-проверки нажатием на кнопку Запустить IOC-проверку.
• Переход к списку алертов, с которыми связано IOC-правило, нажатием на кнопку Найти алерты.

  Отображаются алерты, в которых сработало данное IOC-правило. Если таких алертов нет, отображаются все IOC-алерты.