[KL][EDR] "Isolate host when reverse shell activity is detected from incident"

Предустановленный плейбук [KL][EDR] Isolate host when reverse shell activity is detected from incident предназначен для автоматического реагирования на признаки использования обратной оболочки (reverse shell) на устройстве. Плейбук обрабатывает алерты, связанные с инцидентом, и при обнаружении такой активности плейбук включает сетевую изоляцию устройства, чтобы предотвратить удаленное управление устройством злоумышленником.

Область применения плейбука – инциденты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "incidentLinkedWithAlertsBySystem" or . == "incidentLinkedWithAlertsByUser"))) and ([.Alerts[]? | .OriginalEvents // [] | select(any([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | any(.[1] as $ioaname | .[0] and (["invoke_golang_reverse_shell", "invoke_lua_reverse_shell", "invoke_netcat_reverse_or_bind_shell", "invoke_perl_reverse_shell", "invoke_php_reverse_shell", "invoke_reverse_shell_via_curl"] | index($ioaname))))) ] | any)"

ResponseFunction, используемая плейбуком: netIsolateOn.

Во время выполнения плейбук использует реагирование Включить сетевую изоляцию. Данное реагирование включает сетевую изоляцию устройства на 8 часов. Для включения сетевой изоляции требуется подтверждение пользователя.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"action": {

"function": {

"type": "netIsolateOn",

"assets": "${ [ incident.Alerts[] | .OriginalEvents[] | select([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | any(.[1] as $ioaname | .[0] and ([\"invoke_golang_reverse_shell\", \"invoke_lua_reverse_shell\", \"invoke_netcat_reverse_or_bind_shell\", \"invoke_perl_reverse_shell\", \"invoke_php_reverse_shell\", \"invoke_reverse_shell_via_curl\"] | index($ioaname)))) | .AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

}

},

"manualApprove": true,

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

]

}