[KL][EDR] "Mitigate malicious activity from email attachments from incident"

Предустановленный плейбук [KL][EDR] Mitigate malicious activity from email attachments from incident предназначен для автоматического реагирования на вредоносную активность, связанную с файлами, полученными по электронной почте. Плейбук обрабатывает алерты, связанные с инцидентом, и при обнаружении вредоносной активности на устройстве завершает связанный с вредоносным файлом процесс и удаляет этот файл с устройства.

Область применения плейбука – инциденты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "incidentLinkedWithAlertsBySystem" or . == "incidentLinkedWithAlertsByUser"))) and ([ .Alerts[]? | .OriginalEvents // [] | select(any(. as $event | $event.SA.KL_IoAName | index("mail_utility_threatdetect") as $idx | if $idx != null then $event.SA.KL_IoAAlert[$idx] else false end)) ] | any)"

ResponseFunction, используемые плейбуком: killProcess, deleteFile.

Во время выполнения плейбук использует следующие реагирования:

• Завершить процесс

  Если завершить процесс не удалось, выполнение плейбука продолжается.

• Удалить файл

События алерта могут относиться к разным устройствам и вредоносным файлам. Плейбук запускает реагирования отдельно для каждого подходящего события. Если в алерте нет подходящих событий, выполнение плейбука завершается.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"loop": {

"input": "${ [ incident.Alerts[] | .OriginalEvents[] | select((.FileName == \"OUTLOOK.exe\" or .ParentFileName == \"OUTLOOK.exe\") and .ThreatObjectType == \"file\" and (.ThreatObjectFullname | test(\"\\\\w\\\\:\\\\\\\\\"))) ] }",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].ThreatObjectFullname }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

},

{

"action": {

"function": {

"type": "deleteFile",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].ThreatObjectFullname }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

],

"onError": "continue",

"batchSize": 1

}

}

]

}