[KL][EDR] "Mitigate memory dumping activity from alert"

Предустановленный плейбук [KL][EDR] Mitigate memory dumping activity from alert предназначен для автоматического реагирования на создание дампов памяти, которые могут использоваться для получения учетных данных и другой конфиденциальной информации. При обнаружении такой активности на устройстве плейбук завершает процесс, создавший дамп памяти, и удаляет созданные этим процессом файлы.

Область применения плейбука – алерты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "alertChangedOriginalEvents"))) and ([.OriginalEvents // [] | select(any([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | any(.[1] as $ioaname | .[0] and (["createdump_lolbin_execution_process", "credentials_dumping_tools_epp", "credentials_dumping_tools_file_artifacts_creation"] | index($ioaname))))) ] | any)"

ResponseFunction, используемые плейбуком: killProcess, deleteFile.

Во время выполнения плейбук использует следующие реагирования:

• Завершить процесс

  Если завершить процесс не удалось, выполнение плейбука продолжается.

• Удалить файл

События алерта могут относиться к разным устройствам и вредоносным файлам. Плейбук запускает реагирования отдельно для каждого подходящего события. Если в алерте нет подходящих событий, выполнение плейбука завершается.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"loop": {

"input": "${ [ alert.OriginalEvents[] | select([.SA.KL_IoAAlert, .SA.KL_IoAName] | transpose | any( .[1] as $ioaname | .[0] and ([\"createdump_lolbin_execution_process\", \"credentials_dumping_tools_epp\", \"credentials_dumping_tools_file_artifacts_creation\"] | index($ioaname)))) ] }",

"batchSize": 1,

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].ProcessFileFullName }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

},

{

"action": {

"function": {

"type": "deleteFile",

"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",

"params": {

"path": "${ .[0].ProcessFileFullName }"

}

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

],

"onError": "continue"

}

}

]

}