[KL][EDR] "Isolate host when reverse shell activity is detected from alert"

Предустановленный плейбук [KL][EDR] Isolate host when reverse shell activity is detected from alert предназначен для автоматического реагирования на признаки использования обратной оболочки (reverse shell) на устройстве. При обнаружении такой активности плейбук включает сетевую изоляцию устройства, чтобы предотвратить удаленное управление устройством злоумышленником.

Область применения плейбука – алерты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "alertChangedOriginalEvents"))) and ([.OriginalEvents // [] | select(any([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | any(.[1] as $ioaname | .[0] and (["invoke_golang_reverse_shell", "invoke_lua_reverse_shell", "invoke_netcat_reverse_or_bind_shell", "invoke_perl_reverse_shell", "invoke_php_reverse_shell", "invoke_reverse_shell_via_curl"] | index($ioaname))))) ] | any)"

ResponseFunction, используемая плейбуком: netIsolateOn.

Во время выполнения плейбук использует реагирование Включить сетевую изоляцию. Данное реагирование включает сетевую изоляцию устройства на 8 часов. Для включения сетевой изоляции требуется подтверждение пользователя.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"action": {

"function": {

"type": "netIsolateOn",

"assets": "${ [ alert.OriginalEvents[] | select([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | any(.[1] as $ioaname | .[0] and ([\"invoke_golang_reverse_shell\", \"invoke_lua_reverse_shell\", \"invoke_netcat_reverse_or_bind_shell\", \"invoke_perl_reverse_shell\", \"invoke_php_reverse_shell\", \"invoke_reverse_shell_via_curl\"] | index($ioaname)))) | .AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

}

},

"manualApprove": true,

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

]

}