Удаление файла

Для выполнения действия по реагированию Удалить файл вам потребуется:

Одна из следующих EDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.
Установленный на ваших устройствах Kaspersky Endpoint Security со встроенным агентом.

Вы можете выполнить действия по реагированию одним из следующих способов:

Из деталей алерта или инцидента.
из сведений об устройстве;
Из телеметрии события.
Сведения о событии можно открыть из сведений алерта или инцидента либо в разделе Поиск угроз.
Из графа расследования.
Этот параметр доступен, если граф расследования построен.
Из таблицы активов.
В разделе История реагирований.

Вы также можете настроить автоматический запуск действия по реагированию при создании или изменении плейбука.

Реагирование из деталей алерта или инцидента

Чтобы выполнить действие по реагированию из деталей алерта или инцидента:

Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на идентификатор алерта, в котором указано устройство, которое требуется удалить.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано устройство, которое требуется удалить.
В открывшемся окне выберите вкладку Активы.
Вы также можете выбрать вкладку Наблюдаемые объекты, установить флажок рядом с файлом, который вы хотите удалить, и нажать Удалить файл.
Установите флажок рядом с устройством, на котором расположен файл, который нужно удалить.
Вы можете выбрать несколько устройств.
В раскрывающемся списке Выбор действий по реагированию выберите Удалить файл.
В открывшейся правой панели выполните следующее:
- В поле Полный путь укажите полный путь к файлу, который вы хотите удалить.
- В раскрывающемся списке Активы выберите устройства, на которых расположен файл.
  Если на шаге 2 была выбрана вкладка Активы, имена устройств, отмеченных флажками, по умолчанию указываются в поле Активы.
  
  Вы можете изменить устройства или выбрать параметр Все активы в блоке параметров Область действия, чтобы выполнить действие по реагированию для всех устройств, принадлежащих тенанту алерта или инцидента (и его дочерним тенантам).
  
  Для выбора доступны только те активы, с которыми вы можете выполнить действие по реагированию.
  Устройства отображаются следующим образом: устройства, относящиеся к алерту или инциденту, помещаются в начало раскрывающегося списка Активы, а затем отображаются устройства в алфавитном порядке, принадлежащие тенанту алерта или инцидента, а также дочерним тенантам.
- При необходимости настройте следующие параметры в соответствующих полях:
  - Укажите SHA256 или хеш MD5 файла.
    Если на шаге 2 вы выбрали вкладку Наблюдаемые объекты, хеш будет указан. При необходимости значение можно изменить.
  - Напишите описание или комментарий к действию по реагированию.
Нажмите на кнопку Удалить.

Панель будет закрыта. Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.

Реагирование из сведений об устройстве

Чтобы выполнить действие по реагированию из сведений об устройстве:

Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на идентификатор алерта, в котором указано устройство, которое требуется удалить.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано устройство, которое требуется удалить.
В открывшемся окне выберите вкладку Активы.
Нажмите на имя требуемого устройства и в раскрывающемся списке выберите Просмотр свойств.
Выполните действия, которые описаны в пунктах 4–6 в разделе Реагирование из деталей алерта или инцидента.

Реагирование из телеметрии события

Чтобы выполнить реагирование из телеметрии события при его открытии из деталей алерта или инцидента:

Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на идентификатор алерта, в котором указано устройство, которое требуется удалить.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано устройство, которое требуется удалить.
В открывшемся окне выберите вкладку Подробнее и выполните одно из следующих действий:
- Нажмите на название нужного события и выберите устройство.
- Нажмите на кнопку Поиск угроз, чтобы перейти в раздел Поиск угроз, и выберите нужное устройство.
Выполните действия, которые описаны в пунктах 4–6 в разделе Реагирование из деталей алерта или инцидента.

Чтобы выполнить действие по реагированию из телеметрии события при его открытии из раздела Поиск угроз:

В главном окне приложения перейдите в раздел Мониторинг → Поиск угроз.
Откроется таблица событий.
Нажмите на имя события, для которого нужно открыть сведения.
В открывшейся панели с информацией о событии нажмите на имя устройства, а затем в раскрывающемся списке выберите Удалить файл.
В открывшейся панели настройте параметры действия по реагированию, которые описаны в пунктах 5–6 процедуры Реагирование из деталей алерта или инцидента.

Реагирование из графа расследования

Чтобы запустить проверку устройства из графа расследования:

В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на идентификатор инцидента, в котором указано устройство, которое требуется удалить.
Нажмите на кнопку Посмотреть на графе.
В открывшемся графе расследования нажмите на имя устройства, чтобы открыть сведения об устройстве.
В раскрывающемся списке Выбор действий по реагированию выберите Удалить файл.
Выполните действия, которые описаны в пунктах 5–6 в разделе Реагирование из деталей алерта или инцидента.

Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.

Действия по реагированию из таблицы активов

Чтобы выполнить действие по реагированию из таблицы активов:

В главном окне приложения перейдите в раздел Управление активами → Активы (Устройства).
Откроется таблица активов.
Установите флажок рядом с устройством, для которого вы хотите выполнить действие по реагированию.
Вы можете выбрать несколько устройств.

Архивированные устройства выбрать невозможно.
В раскрывающемся списке Выбор действий по реагированию выберите Удалить файл.
В открывшейся панели настройте параметры действия по реагированию, которые описаны в пунктах 5–6 процедуры Реагирование из деталей алерта или инцидента.

Реагирование из раздела История реагирований

Чтобы выполнить действие по реагированию из раздела История реагирований:

В главном окне приложения перейдите в раздел Мониторинг → История реагирований.
Откроется таблица с историей реагирования на все алерты и инциденты.
В раскрывающемся списке Действие по реагированию выберите Удалить файл.
В открывшейся панели настройте параметры действия по реагированию, которые описаны в пунктах 5–6 процедуры Реагирование из деталей алерта или инцидента.

Просмотр результата действия по реагированию

Вы можете просмотреть результаты выполнения действий по реагированию одним из следующих способов:

В главном меню в разделе История реагирований.
На вкладке История в деталях алерта или инцидента.

После того как вы перейдете по ссылке в столбце Статус действия, откроется окно с выбранной вкладкой Результат. Если действие по реагированию выполнено успешно, отобразится сообщение – Успешно. Иначе отобразится сообщение об ошибке с информацией о причине.

Если вы хотите просмотреть Идентификатор запуска и JSON с результатом действия реагирования, перейдите на вкладку Отладка данных.

Если файл заблокирован другим процессом, то отобразится результат со статусом Успешно, при этом файл будет удален только после перезагрузки устройства. Рекомендуется проверить успешность удаления файла после перезагрузки устройства.

Назад IOC-проверка

Реагирование с помощью Active Directory Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!