Включение и отключение сетевой изоляции

Вы можете включить или выключить сетевую изоляцию на устройстве одним из следующих способов:

из деталей алерта или инцидента;
из сведений об устройстве;
из графа расследования;
из таблицы активов;
из сведений о событии.
Параметр доступен только для включения сетевой изоляции.

Вы также можете настроить автоматический запуск действия по реагированию при создании или изменении плейбука.

Чтобы выполнить действия по реагированию, у вас должна быть одна из следующих EDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.

Для устройств с установленным приложением Kaspersky Endpoint Security со встроенным агентом статус изоляции сети отображается в сведениях об устройстве.

Устройство может иметь один из следующих статусов: Изолировано, Изоляция, Ошибка применения изоляции, Не изолировано.

Также статус сетевой изоляции отображается в таблице активов, при ее открытии на вкладке Активы в деталях алерта или инцидента или в разделе Управление активами → Активы (Устройства). Значения в столбце Статус изоляции можно отфильтровать, чтобы отобразить устройства с требуемым статусом сетевой изоляции.

Выполнение действий по реагированию из деталей алерта или инцидента

Чтобы выполнить действие по реагированию из деталей алерта или инцидента:

Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на идентификатор алерта, содержащий требуемое устройство.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано требуемое устройство.
В открывшемся окне выберите вкладку Активы.
Установите флажок рядом с требуемым устройством.
При необходимости вы можете выбрать несколько устройств.
В раскрывающемся списке Выбор действий по реагированию нажмите Сетевая изоляция, а затем в контекстном меню выберите действие по реагированию, которое вы хотите выполнить:
- Включить
  Если вы выберете это действие по реагированию для устройства, на котором уже включена сетевая изоляция, параметры будут перезаписаны новыми значениями.
  
  Перед включением сетевой изоляции убедитесь, что активы импортированы из Kaspersky Security Center: в разделе Задачи → Обнаружение и реагирование задача Импорт активов KSC отображается со статусом Завершено.
- Выключить
  После выбора этого действия по реагированию в диалоговом окне подтверждения нажмите Выключить.
  
  Вы можете выбрать это действие по реагированию для устройств, на которых включена сетевая изоляция.
Если вы выбрали Включить, в открывшейся панели настройте следующие параметры:
1. В раскрывающемся списке Активы укажите устройства, которые необходимо изолировать.
  По умолчанию отображаются устройства, для которых вы установили флажки ранее. При необходимости вы можете изменить устройства. Вы не можете выбрать устройства со следующими статусами: Изолировано, В процессе изоляции, Ошибка применения изоляции.
  
  Выбрать можно только те устройства, с которыми можно выполнить действие по реагированию.
  Устройства отображаются следующим образом: устройства, связанные с алертом или инцидентом, помещаются в начало раскрывающегося списка, а затем в алфавитном порядке отображаются устройства, принадлежащие тенанту алерта или инцидента (и его дочерним тенантам).
2. Укажите период изоляции устройства и единицы измерения.
3. В поле Описание напишите описание или комментарий к действию по реагированию.
4. Если вы хотите добавить исключение из правила сетевой изоляции, нажмите на кнопку Добавить исключение и в раскрывающемся списке Направление сетевого трафика выберите одно из следующих значений:
  - Входящий, а затем в соответствующих полях укажите IP-адрес устройства, который необходимо исключить из блокировки сетевого трафика, и диапазон локальных портов.
  - Исходящий, а затем в соответствующих полях указать IP-адрес устройства, который необходимо исключить из блокировки сетевого трафика, и диапазон удаленных портов.
  - Входящий/Исходящий, а затем укажите IP-адрес устройства, который нужно исключить из сетевой изоляции.
Нажмите на кнопку Включить.

Панель будет закрыта. Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.

Выполнение действий по реагированию из сведений об устройстве

Чтобы выполнить действие по реагированию из сведений об устройстве:

Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на идентификатор алерта, содержащий требуемое устройство.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано требуемое устройство.
В открывшемся окне выберите вкладку Активы.
Нажмите на имя требуемого устройства и в раскрывающемся списке выберите Просмотр свойств.
Выполните те же действия, что описаны в пунктах 4–6 в разделе Выполнение действий по реагированию из свойств устройства.

Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.

Выполнение действий по реагированию из графа расследования

Этот параметр доступен, если граф расследования построен.

Чтобы выполнить действие по реагированию из графа расследования:

В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано требуемое устройство.
В открывшемся окне нажмите на кнопку Посмотреть на графе.
Откроется окно графа расследования.
Нажмите на имя устройства, чтобы открыть сведения об устройстве.
Выполните те же действия, что описаны в пунктах 4–6 в разделе Выполнение действий по реагированию из свойств устройства.

Выполнение действий по реагированию из таблицы активов

Чтобы выполнить действие по реагированию из таблицы активов:

В главном окне приложения перейдите в раздел Управление активами → Активы (Устройства).
Откроется таблица активов.
Установите флажок рядом с устройством, для которого вы хотите выполнить действие по реагированию.
Вы можете выбрать несколько устройств.

Архивированные устройства выбрать невозможно.
В раскрывающемся списке Выбор действий по реагированию выберите один из следующих вариантов:
- Включить сетевую изоляцию, а затем в открывшейся панели настройте параметры действия по реагированию.
- Выключить сетевую изоляцию, а затем в диалоговом окне подтверждения нажмите Выключить.

Включение сетевой изоляции из информации о событии

Чтобы включить сетевую изоляцию из сведений о событии:

В главном окне приложения перейдите в раздел Мониторинг → Поиск угроз.
Откроется таблица событий.
Нажмите на имя события, для которого нужно открыть сведения.
В открывшемся окне с информацией о событии нажмите на имя устройства, а затем в раскрывающемся списке выберите Включить сетевую изоляцию.
В открывшейся панели настройте параметры действия по реагированию.

Если вы еще не установили на устройстве приложение Kaspersky Endpoint Security со встроенным агентом и столкнулись с ошибкой при выполнении действий по реагированию, убедитесь, что имя устройства в Kaspersky EDR Expert совпадает с именем устройства в Kaspersky Anti Targeted Attack Platform версии ниже 8.0.

Назад Реагирование с помощью Active Directory

Запуск приложения Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!