Настройка шагов выполнения плейбука в визуальном редакторе

Развернуть всё | Свернуть всё

После добавления шага выполнения плейбука при создании или изменении плейбука необходимо настроить его параметры. Для этого нажмите на блок с шагом, а затем в панели справа укажите необходимые параметры с помощью выражений jq.

В визуальном редакторе вы можете добавлять и настраивать следующие типы шагов выполнения плейбука:

• Реагирование
  • В списке Тип действия выберите тип действия по реагированию. Другие параметры зависят от выбранного типа.

    Типы действий по реагированию можно условно разделить на группы

    Действия по реагированию KATA/KEDR:

    • Добавить правило запрета

      Укажите активы, к которым следует применить действие, а также хеши SHA256 или MD5 файлов, которые вы хотите заблокировать.

    • Удалить правило запрета

      Укажите активы, к которым было применено правило запрета, и хеши файлов, которые нужно удалить.

    • Сбросить правила запрета

      Укажите активы, на которых необходимо сбросить правила запрета.

    • Запуск приложения

      Укажите параметры активов и исполняемого файла: полный путь к файлу в поле Полный путь и параметры, с которыми вы хотите запустить файл, в поле Параметры командной строки. В файле Рабочая директория вы можете указать путь к директории, в которой вы хотите сохранить результаты выполнения команды или файла.

    • Включить сетевую изоляцию

      Укажите активы, для которых вы хотите включить изоляцию, и период изоляции. Если вы хотите добавить исключение из правила сетевой изоляции, нажмите на кнопку Добавить исключение и укажите нужные параметры.

    • Выключить сетевую изоляцию

      Укажите активы, к которым была применена сетевая изоляция.

    Действия по реагированию через Active Directory:

    • Заблокировать учетную запись

      Укажите пользователей, учетные записи которых вы хотите заблокировать.

    • Сбросить пароль

      Укажите пользователей, для которых нужно сбросить пароль.

    • Добавить пользователя в группу безопасности

      Укажите пользователей и группу, в которую вы хотите добавить пользователей.

    • Удалить пользователя из группы безопасности

      Укажите пользователей и группу, из которой вы хотите удалить пользователей.

    Действие по реагированию Kaspersky Endpoint Security для Windows:

    • Запустить поиск вредоносного ПО

      Укажите активы и тип проверки:

      • Проверка критических областей.
      • Выборочная проверка. Далее укажите путь к файлу, который вы хотите проверить.
      • Полная проверка. При необходимости добавьте в проверку сетевые устройства, включив переключатель Проверить сетевые диски.

      Если вы хотите, чтобы следующее действие по реагированию было запущено только после поиска вредоносного ПО, включите переключатель Подождите завершения действия по реагированию.

    • Обновить базы

      Укажите устройства, на которых вы хотите обновить базы данных. Если вы хотите, чтобы следующее действие по реагированию было запущено только после обновления баз данных, включите переключатель Подождите завершения действия по реагированию.

    • Прервать процесс

      Укажите устройства, на которых вы хотите прервать процесс. Выберите один из параметров и укажите выражение jq с необходимой информацией: Хеш и путь к файлу процесса, Полный путь к файлу или PID (идентификатор процесса).

      В тех случаях, когда Kaspersky Endpoint Security со встроенным агентом работает в режиме EDR Expert, завершение процессов по системному PID не поддерживается.

    • Поместить на карантин

      Укажите устройства, на которых находится файл, который нужно переместить. Затем выберите один из параметров и укажите выражение jq с необходимой информацией: Полный путь – путь к файлу, который вы хотите поместить на карантин, или Хеш и путь – хеш файла и путь к файлу.

    Действие по реагированию Kaspersky Security Center:

    • Переместить в группу

      Укажите устройства и путь к группе, в которую вы хотите переместить устройства.

    Действие по реагированию Kaspersky Threat Intelligence Portal:

    • Обогатить данные

      Выберите количество объектов для обогащения: все объекты или топ 100 объектов из источника. Укажите выражение jq с массивом наблюдаемых объектов для обогащения. Вы можете обогатить следующие типы наблюдаемых данных: MD5, SHA256, URL, домен или IP-адрес.

    Изменение алертов или инцидентов с помощью плейбука:

    • Назначить пользователю или группе

      Выберите пользователей или группы пользователей, которым вы хотите назначить алерт или инцидент.

    • Изменить атрибут внешней ссылки

      Укажите выражение jq с атрибутом внешней ссылки алерта или инцидента, а затем выберите, следует ли перезаписать текущие выходные данные или объединить текущие и новые данные.

    • Изменить дополнительные данные

      Выберите, следует ли перезаписать текущие выходные данные или объединить текущие и новые данные.

    • Изменить статус

      Выберите статус алерта или инцидента: Новый, В обработке или Закрыт. Если областью действия плейбука являются инциденты, вам также нужно выбрать тип инцидента.

    • Изменить тип

      Выберите тип инцидента.

      Этот тип реагирования доступен, если вы в раскрывающемся списке Область действия выбрали Инцидент при создании или изменении плейбука.

    • Изменить описание

      Укажите выражение jq с описанием инцидента и выберите, следует ли перезаписать текущие выходные данные или объединить новые и текущие данные.

      Этот тип реагирования доступен, если вы в раскрывающемся списке Область действия выбрали Инцидент при создании или изменении плейбука.

    • Изменить приоритет

      Выберите приоритет инцидента: Критический, Высокий, Средний или Низкий.

      Этот тип реагирования доступен, если вы в раскрывающемся списке Область действия выбрали Инцидент при создании или изменении плейбука.

    • Добавить комментарий

      Укажите выражение jq с комментарием к алерту или инциденту.

  • При необходимости в разделе Дополнительные параметры нажмите на значок стрелки () и укажите дополнительные параметры
    • Нажмите на кнопку Прервать или Продолжить, чтобы выбрать, следует ли прекратить или продолжить выполнение плейбука в случае возникновения ошибки.
    • Настройте время ожидания действия по реагированию. Вы можете выбрать параметр Политика и указать нужную политику времени ожидания; вы также можете выбрать параметр Пользовательский и указать время ожидания в часах.
    • Измените выходные данные плейбука, включив переключатель Выходные данные. В поле Выход укажите выражения jq для замены данных, возвращаемых действием по реагированию, а затем выберите метод замены Объединить или Перезаписать.
    • Вручную подтвердите вызов функции реагирования, включив переключатель Ручное подтверждение, а затем укажите время ожидания подтверждения в минутах. По умолчанию время ожидания составляет 60 минут.

      Если вы хотите включить уведомление по электронной почте, установите флажок Отправить сообщение по электронной почте и укажите задержку перед отправкой уведомления по электронной почте. Минимальное значение – 5 минут, максимальное – 30 минут. Также убедитесь, что соединение с SMTP-сервером настроено и адрес электронной почты указан в свойствах пользователя.

• Цикл

  После выбора этого типа шага в визуальный редактор добавляются блоки Цикл и Конец.

  • Нажмите на блок Цикл и укажите выражение jq для формирования массива входных данных, а затем выберите режим обработки элементов Параллельно или Последовательно.
  • При необходимости в разделе Дополнительные параметры нажмите на значок стрелки () и укажите дополнительные параметры
    • Нажмите на кнопку Прервать или Продолжить, чтобы выбрать, следует ли прекратить или продолжить выполнение плейбука в случае возникновения ошибки.
    • В поле Максимальный размер пакета укажите количество элементов, которые плейбук может принимать в качестве входных данных.
    • Установите правила агрегации результатов выполнения плейбука по элементам входного массива. После включения переключателя Агрегировать результаты в поле Выражение укажите выражение jq, чтобы использовать выходные данные в качестве входных данных для следующих шагов выполнения.
    • Измените выходные данные, указав выражение jq в поле Выход.
    • Нажмите на кнопку Объединить или Перезаписать, чтобы выбрать, следует ли перезаписать текущие выходные данные или объединить новые и текущие данные.
• Параллельно

  После выбора этого типа шага в визуальный редактор добавляются блоки Параллельно и Конец.

  • Нажмите на блок Параллельно и укажите выражение jq для формирования массива входных данных, а затем введите названия веток.

    Вы можете добавить новые ветки, нажав на кнопку Добавить ветку.

  • При необходимости в разделе Дополнительные параметры нажмите на значок стрелки () и укажите дополнительные параметры
    • Нажмите на кнопку Прервать или Продолжить, чтобы выбрать, следует ли прекратить или продолжить выполнение плейбука в случае возникновения ошибки.
    • Установите правила агрегации результатов выполнения плейбука по элементам входного массива. После включения переключателя Агрегировать результаты в поле Выражение укажите выражение jq, чтобы использовать выходные данные для следующих шагов выполнения.
    • Измените выходные данные, указав выражение jq в поле Выход.
    • Нажмите на кнопку Объединить или Перезаписать, чтобы выбрать, следует ли перезаписать текущие выходные данные или объединить новые и текущие данные.
• Решение

  После выбора этого типа шага в визуальный редактор добавляются блоки Решение и Конец. Нажмите на блок Решение и укажите выражение jq с условием и имя условия.

  При необходимости добавьте новые условия, нажав на кнопку Добавить условие.

• Обновить данные

  Укажите выражения jq в поле Выход и выберите, следует ли перезаписать текущие входные данные или объединить новые и текущие данные.

С помощью шагов выполнения плейбука можно выполнить следующие действия:

• Изменять параметры, нажав на блок шага выполнения, а затем в открывшемся окне свойств изменить нужные параметры.

  Для параметров, подразумевающих ввод выражений jq, подсвечивается синтаксис и отображаются подсказки при начале ввода.

• Перемещаться по рабочей области визуального редактора, выбирая и перетаскивая блоки шагов выполнения.
• Удалять шаги выполнения, нажав на блок шага, а затем нажав клавишу Backspace или Delete.

В панели инструментов вы можете выполнить следующие действия:

• Открыть панель Параметры плейбука, нажав на кнопку Параметры.
• Открыть редактор кода с DSL-схемой, нажав на кнопку Показать код.

  Вы можете развернуть панель кода, нажав на значок (), и закрыть панель, нажав на значок ().

• Скопировать алгоритм из другого плейбука, нажав на кнопку Копировать алгоритм.
• Открыть историю реагирования на плейбуки, нажав на кнопку Просмотреть историю реагирований.
• Эмулировать запуск плейбука без фактического выполнения реагирования с помощью кнопки Запустить в тестовом режиме.
• Отменить любое действие в визуальном редакторе, нажав на кнопку Отменить.
• Вернуть ранее отмененное действие, нажав на кнопку Повторить.
• Автоматически выровнять элементы, нажав на кнопку Упорядочить.