Работа с таблицей IOC-правил

Kaspersky EDR Expert выполняет проверку устройств на наличие индикаторов компрометации (IOC). Несколько IOC объединяются в структурированное описание в IOC-файле. При импорте IOC-правила Kaspersky EDR Expert извлекает структурированное описание из IOC-файла и создает правило на основе описания. После срабатывания IOC-правила формируется алерт IOC.

Просмотр таблицы IOC-правил

Для просмотра таблицы IOC-правил необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.

Чтобы открыть таблицу IOC-правил, в главном меню перейдите в раздел Мониторинг → Ресурсы и сервисы → IOC-правила. В таблице отображаются IOC-правила, хранящиеся в тенантах, к которым у вас есть права доступа.

Вы можете группировать, фильтровать и выполнять поиск данных в таблице следующим образом:

• Нажмите на значок параметров () и выберите столбцы для отображения в таблице.
• Нажмите на значок фильтрации (), укажите и примените критерий фильтрации в открывшемся меню.
• Нажмите на значок поиска (), в появившемся поле Поиск введите поисковый запрос и нажмите клавишу ENTER.

Таблица содержит следующие столбцы:

• Имя. Название IOC-правила.
• Создано. Дата и время создания IOC-правила.
• Создал. Пользователь, создавший IOC-правило.
• Обновлено. Дата обновления IOC-правила.
• Обновил. Пользователь, который последним изменил параметры IOC-правила.
• Важность. Уровень важности IOC-правила: Низкий, Средний или Высокий.
• Тенант-владелец. Тенант, которому принадлежит IOC-правило.

  Если в режиме распределенного решения тенант был создан на дочернем экземпляре, в поле Тенант отображается значок дочернего экземпляра ().

• Проверка по расписанию. Статус проверки по расписанию: Включено или Выключено. Чтобы изменить статус, переведите переключатель в положение Включено или Выключено.

Выполнение действий в таблице IOC-правил

В левой верхней части панели инструментов вы можете выполнить следующие действия:

• Обновить данные в таблице, нажав на кнопку Обновить.
• Чтобы импортировать IOC-правила из файлов, содержащих IOC-правила, нажмите кнопку Импортировать.

  Для этого необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик SOC, Аналитик 1-го уровня, Аналитик 2-го уровня.

• Сохраните IOC-правила на свой компьютер. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Экспортировать.
• Удаление IOC-правил. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Удалить. Вы также можете удалить сразу все правила.
• Выполнение действия по реагированию IOC-проверка. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Запустить IOC-проверку. Вы также можете выполнить действие по реагированию сразу для всех правил.

  Для выполнения действий необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.

• Включение или выключение проверки по расписанию для выбранных IOC-правил. Для этого установите флажок рядом с одним или несколькими правилами в таблице, нажмите кнопку Проверка по расписанию, затем в раскрывающемся меню выберите Включить или Выключить. Вы также можете включить или выключить проверку сразу для всех правил.

  Проверка по расписанию требует настройки.

Чтобы применить действие ко всем правилам сразу:

1. Установите флажок рядом со столбцом Имя.
2. В раскрывающемся списке выберите один из объектов:
   • Выбрать все – если вы хотите выполнить действие для всех правил в таблице.
   • Выбрать все на текущей странице – если вы хотите выполнить действие для всех правил на текущей странице.
3. При необходимости вы можете исключить одно или несколько правил из области действия, сняв флажки рядом с названиями правил.
4. В панели инструментов нажмите на нужную кнопку в зависимости от того, какое действие вы хотите выполнить: Удалить, включить или выключить Проверка по расписанию.

Действие будет применено ко всем выбранным вами правилам.

Если в иерархии экземпляров OSMP в дочернем экземпляре вы включаете, выключаете или удаляете все правила сразу, а выборка содержит правила родительского экземпляра, действие не будет применено к этим правилам.
Если вы нажмете Выбрать все → Проверка по расписанию или Выбрать все → Удалить, действие будет применено только к правилам дочернего экземпляра.
Если вы нажмете Выбрать все на текущей странице, кнопки Проверка по расписанию и Удалить выключены.

Просмотр сведений об IOC-правиле

Чтобы открыть сведения о файле, нажмите на ссылку в столбце Имя таблицы.

В открывшейся панели отображаются сведения об IOC-правиле в соответствующих полях: имя правила; тенант, которому принадлежит правило; важность правила; статус проверки по расписанию (включено или выключено); условие срабатывания правила.

В разделе сведений можно выполнить следующие действия:

• Сохранить IOC-правило на свой компьютер нажатием на кнопку Экспортировать.
• Выполнение IOC-проверки нажатием на кнопку Запустить IOC-проверку.
• Переход к списку алертов, с которыми связано IOC-правило, нажатием на кнопку Найти алерты.

  Отображаются алерты, в которых сработало данное IOC-правило. Если таких алертов нет, отображаются все IOC-алерты.