О предоставлении данных

Данные, обрабатываемые локально

Kaspersky EDR Expert предназначен для оптимизации выявления угроз, расследования инцидентов, реагирования (в том числе автоматического), а также проактивного поиска угроз в реальном времени.

Kaspersky EDR Expert выполняет следующие основные функции:

• получение, обработка и хранение событий информационной безопасности;
• анализ и корреляция поступающих данных;
• расследование инцидентов и алертов, ручное реагирование;
• автоматическое реагирование с использованием предустановленных и пользовательских плейбуков;
• поиск угроз по событиям в реальном времени.

Для выполнения своих основных функций программа Kaspersky EDR Expert может принимать, хранить и обрабатывать следующую информацию:

• Информация об устройствах, на которые производится установка компонентов Kaspersky EDR Expert:
  • Имя устройства, MAC-адрес, поставщик операционной системы, номер сборки операционной системы, версия ядра ОС, наличие требуемых установленных пакетов, наличие прав для учетной записи, тип средства управления службами, состояние портов. Данная информация собирается Kaspersky Deployment Toolkit при установке.
  • IPv4-адрес. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Имена учетных записей для доступа к устройствам, на которые производится установка компонентов Kaspersky EDR Expert, и SSH ключи. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Имя и пароль учетной записи Kaspersky EDR Expert. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Данные для доступа к СУБД: IP/DNS имя, порт, логин и пароль пользователя. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Файлы инвентаря и лицензии KUMA. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Зона DNS. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Сертификаты безопасного подключения устройств к компонентам Open Single Management Platform. Данная информация заполняется пользователем в конфигурационном файле Kaspersky Deployment Toolkit.
• Гибкая модель статусов инцидентов, включая предустановленные (стандартная или ГОСТ). Наличие модель статусов по ГОСТ настраивается пользователем в конфигурационном файле Kaspersky Deployment Toolkit.

  Информация, которую заполняет пользователь в конфигурационном файле Kaspersky Deployment Toolkit и которую собирает Kaspersky Deployment Toolkit при установке, сохраняется в лог установки, который хранится в базе данных Kaspersky Deployment Toolkit. Лог установки первоначальной инфраструктуры сохраняется в файл на машине пользователя. Срок хранения не ограничен, файл будет удален при деинсталляции решения. Имена пользователей и пароли хранятся в зашифрованном виде.

• Информация о моделях статуса инцидента, включая предустановленную модель.
• Информация о типах инцидентов: общая информация о типе, включая имя и описания типа; связь типа и модели статусов инцидентов.
• Информация об учетных записях пользователей: полное имя и адрес электронной почты. Данная информация вводится пользователем в консоли OSMP. Данные хранятся в базе данных неограниченное время, пока пользователь их не удалит.
• Данные об интеграционном токене.
• Информация о тенантах: название тенанта, название родительского тенанта, описание. Данная информация вводится пользователем в консоли OSMP. Данные хранятся в базе данных неограниченное время, пока пользователь их не удалит.
• Информация о сертификатах: клиентские сертификаты для приложений, которые выполняют роль Endpoint Agent, сертификат сервера OSMP, сертификат сервера KUMA коллектора.
• Информация об устройствах в сети организации.
  • OSMP получает эти данные, если настроена соответствующая интеграция. Активы можно добавлять следующими способами:
    • Импортировать активы:
      • По запросу из MaxPatrol VM.
      • По расписанию: из Kaspersky Security Center Core и Kaspersky Industrial CyberSecurity for Networks.
    • Создать активы вручную в Консоли OSMP или с помощью API.
  • OSMP хранит следующую информацию об устройствах:
    • технические характеристики (общие свойства, ОС, сведения об оборудовании и установленных приложениях "Лаборатории Касперского");
    • обнаруженные уязвимости и статус защиты устройства;
    • данные из конкретных источников;
    • категории устройств и уровни их критичности;
    • AI-рейтинг и AI-статус.
• Данные об алертах и инцидентах:
  • Данные об алертах: сработавшие правила, соответствие матрице MITRЕ, статус алерта, резолюция, назначенный оператор или группа операторов, затронутые активы (устройства и учетные записи), наблюдаемые объекты (IP, MD5, SHA256, URL, DNS-домен или DNS-имя, имя пользователя, имя хоста), признак наличия устройств КИИ в алерте, комментарии и журнал изменений, файлы. Данная информация формируется в консоли OSMP автоматически на основании корреляционных событий из Kaspersky Unified Monitoring and Analysis Platform.
    • Дополнительные данные также сохраняются в зависимости от типа алерта:
      • для алертов, сформированных по результатам проверки файлов: имена и хеши проверенных файлов; оценки Anti-Malware и Sandbox; информация о действиях с локальными файлами и сетью, инициированных файлом во время анализа в Sandbox; защищенный паролем архив, содержащий проверяемый файловый объект;
      • для алертов, сформированных правилами TAA (IOA) "Лаборатории Касперского": информация о сработавших правилах IOA, описание правил IOA, рекомендации по действиям по реагированию и возможные причины ложных срабатываний (информация о правилах не предоставляется пользователем и распространяется "Лабораторией Касперского");
      • для алертов, генерируемых технологией обнаружения IOC: имена и уровень важности сработавших правил IOC; объекты, обнаруженные во время IOC-проверки устройства, включая IP-адреса, записи DNS, ключи и значения реестра, записи в таблице маршрутизации, информацию о процессах и файлах, сведения о службах, а также имя и идентификатор пользователя;
      • для алертов, генерируемых технологией обнаружения YARA: имена и уровень важности сработавших правил YARA; объекты, обнаруженные во время YARA-проверки устройства, включая информацию о файлах и процессах.
  • Данные об инцидентах: связанные алерты, дочерние инциденты, сработавшие правила, соответствие матрице MITRЕ, статус инцидента, резолюция, назначенный оператор или группа операторов, затронутые активы (устройства и аккаунты), наблюдаемый объект (из алерта), признак наличия устройств КИИ в инциденте (включая комментарии на графе расследования), журнал изменений, файлы, тип инцидента, метрики по сортировке, реагированию и разрешению инцидентов, and details of the triggered IOA rule, including its name, description, response recommendations, and possible causes of false positives. Данная информация формируется в консоли OSMP автоматически по правилам или вручную пользователем.
  • Данные об инцидентах НКЦКИ: сведения об атакованном ресурсе и о вредоносной системе, информацию из ГосСОПКА по экспортированному инциденту (уникальный идентификатор карточки уведомления в НКЦКИ, регистрационный номер уведомления, дата и время регистрации инцидента в ГосСОПКА, дата последнего обновления инцидента в ГосСОПКА) и журнал изменений. Данная информация формируется автоматически на основании инцидентов XDR для передачи в ГосСОПКА.
  • Данные о настройке правил формирования инцидентов из алертов: имя и условия срабатывания правила, шаблон имени нового инцидента, описание правила, приоритет запуска правила, признак и область наследования. Данная информация вводится пользователем в консоли OSMP.
  • Данные о шаблонах уведомлений: имя шаблона, тема сообщения, шаблон текста сообщения, описание шаблона и правила детектирования, при срабатывании которых будут отправляться уведомления, the selected detection technologies to notify the user about, and the severity of alerts and incidents. Данная информация вводится пользователем в консоли OSMP.
• Данные о настройках сроков хранения алертов и инцидентов
• Граф расследования инцидентов и дерево процессов. OSMP хранит следующую информацию о пользователе о деревьях процессов, построенных для событий: имена созданных деревьев процессов и комментарии.
• Данные о плейбуках:
  • Операционные данные плейбука, в том числе данные о входных параметрах действий по реагированию: название, описание, теги, текст триггера и алгоритма. Данная информация вводится пользователем в консоли OSMP.
  • Данные о результатах выполнения респонсивных действий в рамках исполнения плейбука: содержит данные из интегрированных систем, данные с устройств.
  • Полная история реагирований по всем алертам и инцидентам, including response actions not associated with an alert or incident.

  Перечисленные выше данные о плейбуках хранятся в базе данных в течение трех дней, после чего удаляются. Данные полностью удаляются при деинсталляции Kaspersky EDR Expert.

• Учетные данные для доступа к общим ресурсам. Учетные данные хранятся в зашифрованном виде и распространяются на устройства для поддержки действий по реагированию, таких как получение дампов памяти и образов дисков.
• Информация о файлах, полученных с устройств в результате действий по реагированию или загруженных пользователями вручную, включая имя файла или полный путь к файлу, размер, хеш, тенант, устройство-источник или загрузивший пользователь, описание, статус проверки (Антивирус, YARA, Sandbox) и результаты проверки.
• Информация о правилах запрета, примененных к устройствам. Включает имя правила; хеш; тенант; устройства, к которым применяется правило; статус правила (включено или выключено) и включение уведомлений для пользователя конечного устройства при исполнении файла, соответствующего правилу запрета.
• Информация о правилах YARA, используемых для проверки на устройствах. Включает имя правила; тенант; описание и параметр проверки файлов (включена или выключена), который определяет, будет ли правило применяться при проверке файлов, полученных с устройств или загруженных пользователями, на стороне сервера. Правила хранятся в виде файлов в хранилище объектов OSMP и доставляются на конечные точки при выполнении действия по реагированию для YARA-проверки.
• Информация о правилах IOC, используемых для проверки на устройствах. Включает имя правила, уровень важности, тенант и параметр проверки по расписанию (включена или выключена). Правила хранятся в виде файлов в хранилище объектов OSMP и доставляются на конечные точки при выполнении действия по реагированию для IOC-проверки. При проверке по расписанию на конечные устройства также доставляется расписание проверки, в том числе параметр включения и выключения, время начала проверки и максимальная продолжительность проверки.
• Параметры проверки файловых объектов, включая каталог часто используемых клиентских паролей для расшифровки архивов и источник обновлений для баз данных Управления активами и Sandbox. Параметры настраиваются пользователем в Консоли OSMP.
• При использовании KPSN в OSMP, обрабатываются следующие данные: имя или IP-адрес сервера, на котором развернут KPSN API, а также сертификат, используемый для подключения к API.
• Данные о настройках интеграции (как с программами и службами "Лаборатории Касперского", так и со сторонними решениями, которые участвуют в сценариях Kaspersky EDR Expert):
  • Интеграция с Kaspersky Threat Intelligence Portal: API-токен доступа для подключения к Kaspersky Threat Intelligence Portal, срок хранения кеша, признак подключения через прокси, тип сервиса. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с НКЦКИ: URL-адрес, API-токен доступа для подключении к ГосСОПКА, наименование компании, сфера деятельности компании, сведения о местонахождении или географическом местоположении информационного ресурса или объекта, признак подключения через прокси. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с КАТА/EDR: адрес сервера KATA/EDR: IP адрес/имя хоста, порт, уникальный идентификатор для подключения к KATA/EDR, файл сертификата и закрытый ключ для подключения к КАТА/EDR. Данная информация вводится пользователем в консоли OSMP.
  • Подключение к хосту, где будет запускаться пользовательский скрипт: IP адрес/имя хоста, порт, логин пользователя и SSH ключ, пароль/ключ. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с Сервером администрирования OSMP: имя Сервера администрирования, полный путь до Сервера администрирования в иерархии. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с Kaspersky Cyber Trace: IPv4/Hostname и порт, по которому доступен Kaspersky Cyber Trace, имя и пароль для подключения. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с Kaspersky Automated Security Awareness Platform (KASAP): API токен доступа при подключении к KASAP, URL портала KASAP, адрес электронной почты администратора KASAP, признак подключения через прокси. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с Active Directory: адреса контроллеров домена, логин и пароль для подключения к контроллерам домена, сертификат. Данная информация вводится пользователем в консоли OSMP.
  • Интеграция с внешней системой (например UserGate): данные для подключения к удаленному клиентскому устройству: логин пользователя и SSH ключ, пароль/ключ.
  • Интеграция Kaspersky Sandbox: эталонные конфигурации операционных систем виртуальных машин, на которых развернут компонент Sandbox, IP-адрес сервера Sandbox, сертификат сервера Sandbox, имя сервера, отображаемое в Консоли OSMP, и правила Sandbox для анализа файлов. Эта информация вводится пользователем в Консоли OSMP.
• IP-адрес, с которого пользователь подключается к консоли OSMP - фиксируется автоматически консолью, хранится до истечения времени хранения ревизий объектов, которые редактировал пользователь.
• Информация о конфигурации иерархии экземпляров OSMP.

Подробную информацию о прочих данных, принимаемых, хранимых и обрабатываемых для выполнения основных функций решения Kaspersky EDR Expert, см. в справке программ:

• Kaspersky Security Center 15.4 Linux
• Kaspersky Unified Monitoring and Analysis Platform
• Kaspersky EDR Expert

Перечисленные выше данные хранятся в базе данных, пока пользователь не удалит их. Данные, относящиеся к алерту или инциденту, хранятся в течение всего периода хранения соответствующего алерта или инцидента. Все другие данные хранятся неопределенный срок, пока пользователь не удалит их или не удалит тенант, с которым связаны данные. Эти данные полностью удаляются при деинсталляции Kaspersky EDR Expert.

Все перечисленные выше данные могут быть переданы в "Лабораторию Касперского" только посредством файлов дампа, файлов трассировки или файлов журналов компонентов Kaspersky EDR Expert, включая файлы журналов, создаваемые инсталляторами и утилитами. Файлы дампов, файлы трассировки или файлы журналов компонентов Kaspersky EDR Expert могут содержать персональные или конфиденциальные данные. Файлы дампов, файлы трассировки или файлы журналов хранятся в открытой форме на устройствах. Файлы дампов, файлы трассировки или файлы журналов не передаются в "Лабораторию Касперского" автоматически, однако, администратор может передать эти файлы в "Лаборатории Касперского" вручную по запросу Службы технической поддержки для решения проблем в работе Kaspersky EDR Expert. "Лаборатория Касперского" обеспечивает защиту всех полученных данных в соответствии с законодательством и применимыми правилами "Лаборатории Касперского". Данные передаются по безопасным каналам связи. Срок хранения данной информации (период ротации) составляет, по умолчанию, 7 дней.

Данные, передаваемые в "Лабораторию Касперского"

Переходя по ссылкам из консоли OSMP к справке Kaspersky EDR Expert, пользователь соглашается на автоматическую передачу в "Лабораторию Касперского" следующих данных: код Kaspersky EDR Expert, версия Kaspersky EDR Expert, локализация Kaspersky EDR Expert.

Для назначения обучающего курса сотруднику Kaspersky EDR Expert передает в Kaspersky Automated Security Awareness Platform (KASAP) следующие данные: email пользователя, ID пользователя в KASAP, ID группы обучения.

Для получения дополнительных данных по алертам Kaspersky EDR Expert передает в Threat Intelligence Portal следующую информацию: тип и значение наблюдаемых объектов из алертов, инцидентов, событий информационной безопасности.

Для получения информации о решении для обнаруженной угрозы при переходе по ссылке из деталей алерта, инцидента или события, Kaspersky EDR Expert передает службе Kaspersky Threats название заключения.

Для получения услуг обнаружения и реагирования на инциденты Kaspersky EDR Expert передает следующие данные службе Kaspersky Managed Detection and Response:

• Если включена интеграция с Kaspersky Managed Detection and Response, OSMP временно сохраняет следующие данные до тех пор, пока они не будут успешно переданы, и передает их в инфраструктуру Kaspersky Managed Detection and Response: идентификатор устройства, на котором сработало правило и было получено событие, идентификатор пользователя и идентификатор клиента Kaspersky Managed Detection and Response.
• При использовании решения Kaspersky Managed Detection and Response из OSMP в инфраструктуру Kaspersky Managed Detection and Response передается следующая дополнительная информация от алертов: имена и значения хеш-функций проверяемых файлов; результаты обнаружения Anti-Malware и Sandbox; информация о локальных действиях файла и сетевой активности, генерируемых файлом при анализе Sandbox; защищенный паролем архив, содержащий проверяемый файловый объект; события, которые запускали IOA-правила, которые могут включать имена файлов и приложений на устройствах, имена и значения разделов реестра, а также имена пользователей.
• При использовании решения Kaspersky Managed Detection and Response от OSMP в инфраструктуру Kaspersky Managed Detection and Response по запросу пользователя передается следующая дополнительная информация: название инцидента; дата и время создания и последнего обновления; информация о сработавших правилах и связанных тактиках и техниках MITRE; имя оператора, назначенного инциденту; имена и идентификаторы затронутых устройств; события, включенные в алерты. Эти события могут включать имена файлов на устройствах клиентов, имена разделов реестра, имена приложений и имена пользователей.

  Все эти данные передаются в Kaspersky Managed Detection and Response только после того, как пользователь принимает Соглашение об обработке данных (DPA) Kaspersky Managed Detection and Response, которое подтверждается при активации Kaspersky Managed Detection and Response в интерфейсе Kaspersky Managed Detection and Response.

Для повышения эффективности защиты информации Kaspersky EDR Expert передает статистику KSN, сгенерированную при работе OSMP, в службу Kaspersky Security Network. Состав передаваемых данных указан в Положении о KSN, которое входит в комплект поставки приложения. Участие в KSN не является обязательным и контролируется пользователем OSMP. Перед передачей статистические данные KSN временно кешируются на серверах, на которых размещены компоненты OSMP.

При использовании Kaspersky Private Security Network статистические данные KSN кешируются на серверах, на которых размещены компоненты OSMP, в том же объеме, что и при использовании Kaspersky Security Network. Если сервер Kaspersky Private Security Network находится за пределами организации, кешированные статистические данные KSN могут быть переданы за пределы организации. Ответственность за обеспечение безопасности этих данных лежит на администраторе Kaspersky Private Security Network.

Данные, передаваемые третьим сторонам

Для получения информации о тактике/технике MITRE при переходе по ссылке из карточки алерта/инцидента, Kaspersky EDR Expert передает на сайт MITRE информацию о тактике/технике: ID и тип.

Для представления информации по инциденту НКЦКИ (Национальный координационный центр по компьютерным инцидентам) в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) Kaspersky EDR Expert передает следующие данные:

• Краткое описание инцидента, категория инцидента, тип инцидента. Дата и время выявления компьютерного инцидента (признака инцидента), начала компьютерной атаки или выявления уязвимости (признака уязвимости), дата и время восстановления штатного режима работы контролируемого информационного ресурса (объекта КИИ) после компьютерного инцидента, окончания компьютерной атаки или устранения уязвимости.
• Наименование главной организации, в которой произошел инцидент. Наименование подчиненной организации, в которой произошел инцидент.
• Ограничительный маркер на распространение сведений из карточки компьютерной атаки, статус реагирования на инцидент.
• Название информационного ресурса, целевая функция или сфера деятельности, в которой функционирует информационный ресурс. Наличие одной из категорий у объекта КИИ или ее отсутствие. Cведения о месте нахождения или географического местоположения информационного ресурса или объекта КИИ. Город, в котором расположен объект КИИ, на котором произошел инцидент, атака или обнаружена уязвимость
• Наименование уязвимого продукта, версия уязвимого продукта.
• Необходимость привлечения сил ГосСОПКА, сведения о средстве или способе выявления инцидента, наличие подключения к сети Интернет.
• Влияние на доступность, влияние на целостность, влияние на конфиденциальность. Описание иной формы последствий компьютерного инцидента или компьютерной атаки
• IPv4-адрес и IPv6-адрес контролируемого ресурса, доменное имя контролируемого ресурса, URI-адрес контролируемого ресурса, Email-адрес контролируемого ресурса.
• Имя атакованной сетевой службы, порт/протокол сетевой службы.
• Тип активности, хеш-сумма вредоносного модуля, описание используемых уязвимостей, идентификатор уязвимости.
• IPv4-адрес и IPv6-адрес вредоносной системы, доменное имя вредоносной системы, URI-адрес вредоносной системы, Email-адрес вредоносной системы.
• AS-Path до атакованной Автономной системы (ASN), номер подставной Автономной системы (ASN), наименование LIR, наименование AS.
• Утечка ПДн, наименование оператора ПДн, ИНН оператора ПДн, адрес оператора ПДн, адрес электронной почты для отправки информации об уведомлении. Предполагаемые причины, повлекшие нарушение прав субъектов ПД. Предполагаемый вред, нанесенный правам субъектов ПД. Характеристики персональных данных, принятые меры по устранению последствий инцидента, информация о результатах внутреннего расследования инцидента, дополнительные сведения.

Для выполнения действий по реагированию через внешние системы (например, UserGate) с помощью выполнения сторонних скриптов на удаленных клиентских устройствах Kaspersky EDR Expert передает во внешние системы следующую информацию: типы и значения наблюдаемых объектов из алертов и инцидентов.

Для проверки репутации файлов и URL при переходе по ссылке из деталей события, Kaspersky EDR Expert передает в сервис VirusTotal следующую информацию: хеши файлов (FileMd5 и FileSha256); имя удаленного устройства (NetUrlHostname); URI точки назначения для HTTP-запросов (NetUri); IPv4-адрес или IPv6-адрес точки назначения (NetDstIp); URL, запрошенный в DNS-запросе (DnsResourceName); и запрошенный DNS-сервер(DnsServerIp).