[KL][EDR] "Mitigate malicious activity from email attachments from alert"

Предустановленный плейбук [KL][EDR] Mitigate malicious activity from email attachments from alert предназначен для автоматического реагирования на вредоносную активность, связанную с файлами, полученными по электронной почте. При обнаружении такой активности на устройстве плейбук завершает связанный с вредоносным файлом процесс и удаляет этот файл с устройства.

Область применения плейбука – алерты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "alertChangedOriginalEvents"))) and ([ .OriginalEvents // [] | select(any(. as $event | $event.SA.KL_IoAName | index("mail_utility_threatdetect") as $idx | if $idx != null then $event.SA.KL_IoAAlert[$idx] else false end)) ] | any)"

ResponseFunction, используемые плейбуком: killProcess, deleteFile.

Во время выполнения плейбук использует следующие реагирования:

• Завершить процесс

  Если завершить процесс не удалось, выполнение плейбука продолжается.

• Удалить файл

События алерта могут относиться к разным устройствам и вредоносным файлам. Плейбук запускает реагирования отдельно для каждого подходящего события. Если в алерте нет подходящих событий, выполнение плейбука завершается.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"loop": {

"input": "${ [ alert.OriginalEvents[] | select((.FileName == \"OUTLOOK.exe\" or .ParentFileName == \"OUTLOOK.exe\") and .ThreatObjectType == \"file\" and (.ThreatObjectFullname | test(\"\\\\w\\\\:\\\\\\\\\"))) ] }",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].ThreatObjectFullname }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

},

{

"action": {

"function": {

"type": "deleteFile",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].ThreatObjectFullname }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

],

"onError": "continue",

"batchSize": 1

}

}

]

}