[KL][EDR] "Delete malicious files transferred to the host from alert"

Предустановленный плейбук [KL][EDR] Delete malicious files transferred to the host from alert предназначен для автоматического реагирования на обнаружение вредоносных файлов, которые используются для доставки на устройство дополнительного вредоносного ПО. При обнаружении активности, связанной с техникой T1105 (Ingress Tool Transfer), плейбук удаляет такой файл с устройства, чтобы предотвратить его дальнейшее использование.

Область применения плейбука – алерты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "alertChangedOriginalEvents"))) and ([.OriginalEvents // [] | select(any(.S.KL_EventType == "File Modify" and (.FileFullname // "") != "" and ([.SA.KL_IoAAlert, .SA.KL_IoATechniques] | transpose | any(.[0] and .[1] == "t1105"))))] | any)"

ResponseFunction, используемая плейбуком: deleteFile.

Во время выполнения плейбук использует реагирование Удалить файл.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"loop": {

"input": "${ [ alert.OriginalEvents[] | select(.S.KL_EventType == \"File Modify\" and (.FileFullname // \"\") != \"\" and ([.SA.KL_IoAAlert, .SA.KL_IoATechniques] | transpose | any(.[0] and .[1] == \"t1105\"))) ] }",

"steps": [

{

"action": {

"function": {

"type": "deleteFile",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].FileFullname }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

],

"onError": "continue",

"batchSize": 1

}

}

]

}