Работа с таблицей YARA-правил

YARA-правила – это описания сигнатур целевых атак и вторжений в ИТ-инфраструктуру организации. Kaspersky EDR Expert проверяет объекты в соответствии с этими правилами.

Просмотр таблицы YARA-правил

Для просмотра таблицы YARA-правил необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.

Чтобы открыть таблицу YARA-правил, в главном меню перейдите в раздел Мониторинг → Ресурсы и сервисы → YARA-правила.

В таблице отображаются YARA-правила, хранящиеся в тенантах, к которым у вас есть права доступа.

Вы можете группировать, фильтровать и выполнять поиск данных в таблице следующим образом:

• Нажмите на значок параметров () и выберите столбцы для отображения в таблице.
• Нажмите на значок фильтрации (), укажите и примените критерий фильтрации в открывшемся меню.
• Нажмите на значок поиска (), в появившемся поле Поиск введите поисковый запрос и нажмите клавишу ENTER.

Таблица содержит следующие столбцы:

• Имя. Имя YARA-правила.
• Создано. Дата и время создания YARA-правила.
• Создал. Пользователь, создавший YARA-правило.
• Обновлено. Дата обновления YARA-правила.
• Обновил. Пользователь, который последним изменил параметры YARA-правила.
• Важность. Уровень важности YARA-правила: Низкий, Средний или Высокий.
• Тенант-владелец. Тенант, которому принадлежит YARA-правило.

  Если в режиме распределенного решения тенант был создан на дочернем экземпляре, в поле Тенант отображается значок дочернего экземпляра ().

• Проверка файла. Статус сканирования YARA: Включено или Выключено. Чтобы изменить статус, переведите переключатель в положение Включено или Выключено.
• Описание. Описание или комментарий к YARA-правилу.

Выполнение действий в таблице YARA-правил

В левой верхней части панели инструментов вы можете выполнить следующие действия:

• Обновить данные в таблице, нажав на кнопку Обновить.
• Чтобы импортировать YARA-правила из файлов, содержащих YARA-правила, нажмите кнопку Импортировать.

  Для импорта YARA-правил необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик SOC, Аналитик 1-го уровня, Аналитик 2-го уровня.

• Сохраните YARA-правила на свое устройство. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Экспортировать.
• Удалите YARA-правила. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Удалить. Вы также можете удалить сразу все правила.
• Выполните действие по реагированию Сканирование YARA. Для этого установите флажок рядом с одним или несколькими правилами в таблице, а затем нажмите на кнопку Запустить сканирование YARA. Вы также можете выполнить действие по реагированию сразу для всех правил.

  Для выполнения действий необходима одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.

• Включение или выключение проверки по расписанию для выбранных YARA-правил. Для этого установите флажок рядом с одним или несколькими правилами в таблице, нажмите кнопку Проверка файла, затем в раскрывающемся меню выберите Включить или Выключить. Вы также можете включить или выключить проверку сразу для всех правил.

Чтобы применить действие ко всем правилам сразу:

1. Установите флажок рядом со столбцом Имя.
2. В раскрывающемся списке выберите один из объектов:
   • Выбрать все – если вы хотите выполнить действие для всех правил в таблице.
   • Выбрать все на текущей странице – если вы хотите выполнить действие для всех правил на текущей странице.
3. При необходимости вы можете исключить одно или несколько правил из области действия, сняв флажки рядом с названиями правил.
4. В панели инструментов нажмите на нужную кнопку в зависимости от того, какое действие вы хотите выполнить: Удалить, включить или выключить Проверка файла.

Действие будет применено ко всем выбранным вами правилам.

Если вы хотите включить или выключить все правила одновременно, а выборка содержит правила, принадлежащие субтенантам:

• При нажатии на кнопку Выбрать все, статус изменится только у правил, принадлежащих корневому тенанту.
• Если нажать на кнопку Выбрать все на текущей странице, кнопка Проверка файла неактивна.

В иерархии экземпляров OSMP применение действия сразу ко всем правилам требует учета определенных условий.

Нажмите здесь, чтобы просмотреть условия

Просмотр сведений об YARA-правиле

Вы можете открыть сведения о YARA-правиле, нажмите на ссылку в столбце Имя таблицы.

В открывшейся панели информация о YARA-правиле отображается в соответствующих полях: имя правила, название тенанта, которому принадлежит правило, важность правила, статус проверки (включено или выключено), описание правила и условие, при котором оно срабатывает.

В разделе сведений можно выполнить следующие действия:

• Сохранить YARA-правило на свое устройство нажатием на кнопку Экспортировать.
• Выполнить сканирование YARA нажатием на кнопку Запустить сканирование YARA.
• Переход к списку алертов, с которыми связано YARA-правило, нажатием на кнопку Найти алерты.

  Отображаются алерты, в которых сработало данное YARA-правило. Если таких алертов нет, отображаются все YARA-алерты.