Работа с файлами, полученными в результате действий по реагированию

Для просмотра раздела Файлы у вас должна быть одна из следующих EDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.

В разделе Файлы отображаются файлы, которые вы загрузили вручную и получили в результате выполнения следующих действий по реагированию: Файл, Данные для расследования, Ключ реестра, NTFS-метафайлы, Дамп памяти процесса, Получить файл из карантина.

Рекомендуется включить автоматическую ротацию файлов, чтобы самые старые файлы удалялись из раздела Файлы и можно было загружать новые файлы. Файлы, для которых обнаружена угроза, не удаляются. Такие файлы связаны с алертами, созданными в результате обнаружения угроз.
Вы не будете получать уведомления об удалении самых старых файлов.

Просмотр таблицы файлов

Чтобы открыть таблицу файлов, из главного меню перейдите в Хранилища → Файлы. В таблице отображаются файлы, хранящиеся в тенантах, к которым у вас есть права доступа.

В правой верхней части панели инструментов вы можете группировать, фильтровать и искать данные в таблице следующим образом:

• Нажмите на значок параметров () и выберите столбцы для отображения в таблице.
• Нажмите на значок фильтрации (), укажите и примените критерий фильтрации в открывшемся меню.
• Нажмите на значок поиска (), в появившемся поле Поиск введите поисковый запрос и нажмите клавишу ENTER.

Таблица содержит следующие столбцы:

• Имя или полный путь. Если вы загрузили файл вручную, имя файла будет отображаться в столбце. Если файл получен в результате действия по реагированию, будет отображаться полный путь к файлу.
• Размер. Размер файла.
• MD5. MD5-хеш файла, если таковой имеется.
• SHA256. SHA256-хеш файла, если таковой имеется.
• Когда загружен. Дата добавления файла в хранилище Файлы.
• Обновлено. Дата обновления файла в хранилище Файлы.
• Тенант. Тенант, к которому привязан файл.

  Если в иерархии экземпляров OSMP, тенант был создан на дочернем экземпляре, в поле Тенант отображается значок дочернего экземпляра ().

• Источник. Имя пользователя, который добавил файл в хранилище Файлы, или имя устройства, с которого файл был получен в результате действия по реагированию.
• Способ добавления. Метод, с помощью которого файл был добавлен в хранилище Файлы.

  Если файл был загружен пользователем, в столбце будет отображаться значение Загружен пользователем. Если файл был получен в результате действия по реагированию, будет отображаться имя соответствующего действия.

• Статус проверки. Результат последней проверки файла. В этом столбце могут отображаться следующие значения:
  • Не проверено
  • Проверяется
  • Не обнаружено
  • Обнаружено
  • Ошибка
• Описание. В столбце отображается информация (если таковая имеется), указанная вами в поле Описание при настройке параметров действия по реагированию или загрузке файла вручную.

Вы можете фильтровать данные в столбцах Способ добавления и Статус проверки, нажав на заголовок столбца и выбрав интересующий вас метод или статус из раскрывающегося списка.

Выполнение действий в таблице файлов

В левой верхней части панели инструментов вы можете выполнить следующие действия:

• Обновить данные в таблице, нажав на кнопку Обновить.
• Загрузить файл со своего компьютера в хранилище Файлы, нажав на кнопку Загрузить.

  При этом справа откроется панель. В поле Тенант нужно будет указать тенант, которому будет принадлежать файл. Затем нажмите на ссылку Загрузка файлов и выберите файл на своем компьютере. При необходимости вы также можете добавить комментарий или описание в поле Описание и включить переключатель Проверка файлов после загрузки, если вы хотите проверять файлы на наличие угроз.

  После того как вы нажмете на кнопку Загрузить, панель закроется, а загруженный файл отобразится в таблице. При загрузке большого файла или нескольких файлов вам нужно обновить таблицу, чтобы в ней отображались новые файлы. Если загрузка файла выполняется, в столбце Имя или полный путь отображается индикатор загрузки, а в столбце Размер отображается размер уже загруженного файла.

• Сохраните файлы на свое устройство. Для этого установите флажок рядом с одним или несколькими файлами в таблице, а затем нажмите на кнопку Скачать.
• Проверить выбранные файлы на наличие угроз с помощью следующих технологий: YARA, Sandbox и Anti-Malware Engine. Для этого установите флажок рядом с одним или несколькими файлами в таблице и нажмите на кнопку Проверить.
• Удалить файлы. Для этого установите флажок рядом с одним или несколькими файлами в таблице, а затем нажмите на кнопку Удалить.

• Перейти к списку алертов, с которыми связаны файлы. Для этого установите флажок рядом с одним или несколькими файлами в таблице, а затем нажмите на кнопку Найти алерты. Будут отображены алерты, которые были созданы в результате обнаружения угроз, и те, по данным которых вы запускали действия по реагированию (если файл был помещен в хранилище Файлы в результате действия по реагированию).

Параметр Проверить недоступен и хеш не рассчитывается для файлов, полученных в результате следующих действий: Данные для расследования, Ключ реестра, NTFS-метафайлы, Дамп памяти процесса.

Просмотр сведений файла

Вы можете открыть сведения файла, нажав на ссылку в столбце Имя или полный путь таблицы.

В панели, которая откроется справа, будут отображаться метаданные файла (например, имя или путь к файлу, размер, хеш), а также статус и результат его проверки:

• Если на проверку был отправлен архив, в деталях файла отображается информация о тех файлах в архиве, для которых была обнаружена угроза, а также хеши таких файлов и их статус в каждой технологии (Anti-Malware, Sandbox, YARA).
• Если файл не был проверен, отображается соответствующая информация.
• Если проверка файла невозможна, в сведениях файла отображаются только метаданные.

Если файл был загружен вручную и проверен на наличие угроз, в сведениях файла также можно просмотреть отчет о проверке, нажав на ссылку Загрузить отчет в поле Статус проверки.

В разделе сведений файла можно выполнить следующие действия:

• Вы можете выполнять следующие действия с помощью соответствующих кнопок на панели инструментов: проверка, загрузка и удаление файлов, поиск связанных с ними алертов, изменение описания файла, переход в историю действий по реагированию.

  Параметр Показать в истории реагирований недоступен для файлов, загруженных вручную. Для файла, который был получен в результате действия по реагированию, после нажатия кнопки Показать в истории реагирований вы перейдете в раздел История реагирований, где будет отображаться таблица событий с фильтрацией по файлу.

• Перейдите по ссылке с хешем MD5 или SHA256, а затем в раскрывающемся списке выберите действие, которое хотите выполнить:
  • Создать правило запрета для файла, в котором обнаружена угроза. После выбора этого варианта откроется панель Добавить правило запрета, в которой можно работать с таблицей правил запрета.
  • Найти на Kaspersky TIP позволит проверить хеш файла в Kaspersky Threat Intelligence Portal.
  • Просмотреть отчет Sandbox. Данный параметр доступен для файлов, загруженных в хранилище Файлы вручную и проверенных с помощью технологии Sandbox.
  • Найти связанные алерты. Связанными называются алерты, которые были созданы в результате обнаружения угроз, и те, по данным которых вы запускали действия по реагированию (если файл был помещен в хранилище Файлы в результате действия по реагированию).
  • Найти связанные события – при этом вы перейдете в раздел Поиск угроз, где будет отображаться таблица событий с фильтрацией по хешу файла.

В иерархии экземпляров OSMP файлы, загруженные и полученные в результате действий по реагированию, выполненных на дочернем экземпляре, отображаются в таблице файлов в родительском экземпляре в поле Тенант со следующим значком: ().