[KL][EDR] "Isolate host when Exfiltration activity is detected"

Предустановленный плейбук [KL][EDR] Isolate host when Exfiltration activity is detected предназначен для автоматического реагирования на попытки несанкционированной передачи данных с устройства и соединения с инфраструктурой управления злоумышленника (C2). Плейбук обрабатывает алерты, связанные с инцидентом, и при обнаружении такой активности включает сетевую изоляцию устройства, чтобы предотвратить дальнейшую передачу данных и вредоносную активность.

Область применения плейбука – инциденты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "incidentLinkedWithAlertsBySystem" or . == "incidentLinkedWithAlertsByUser"))) and ([.Alerts[]? | .OriginalEvents // [] | select(any([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | map(select(.[0]) | .[1]) | any(. as $v | ["not_standard_directory_archive", "compress_data_for_exfiltration_via_archive"] | index($v)) and any(. as $v | ["lolc2_connection_activity_network", "lolc2_connection_activity_dns", "network_connection_to_cloud_storage_win"] | index($v)))) ] | any)"

ResponseFunction, используемая плейбуком: netIsolateOn.

Во время выполнения плейбук использует реагирование Включить сетевую изоляцию. Данное реагирование включает сетевую изоляцию устройства на 8 часов. Для включения сетевой изоляции требуется подтверждение пользователя.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"action": {

"function": {

"type": "netIsolateOn",

"assets": "${ [ incident.Alerts[] | .OriginalEvents[] | select([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | map(select(.[0]) | .[1]) | any(. as $v | [\"not_standard_directory_archive\", \"compress_data_for_exfiltration_via_archive\"] | index($v)) and any(. as $v | [\"lolc2_connection_activity_network\", \"lolc2_connection_activity_dns\", \"network_connection_to_cloud_storage_win\"] | index($v))) | .AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

}

},

"manualApprove": true,

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

]

}