Об алертах

Развернуть все | Свернуть все

Алерт – это событие в ИТ-инфраструктуре организации, отмеченное решением Kaspersky EDR Expert как необычное или подозрительное и, возможно, представляющее угрозу безопасности для ИТ-инфраструктуры организации.

Kaspersky EDR Expert формирует алерты, когда EPP-программа (например, Kaspersky Endpoint Security для Windows) обнаруживает в инфраструктуре определенную активность, соответствующую условиям, заданным в правилах алерта. Алерт всегда регистрируется и создается автоматически, его нельзя создать вручную.

Существуют следующие типы алертов: IOC (индикаторы компрометации) и IOA (индикаторы атак).

Kaspersky EDR Expert добавляет алерты в таблицу алертов как рабочие элементы, которые должны обрабатываться аналитиками. Алерты нельзя удалять, их можно только закрыть.

Алерты могут быть назначены только аналитикам, имеющим право на чтение и изменение алертов и инцидентов.

Вы можете управлять алертами как рабочими элементами, используя следующие их свойства:

• Статус алерта

  Возможные значения: Новый, В работе, Закрыт или Связан с инцидентом.

  Статус алерта показывает текущее состояние алерта в его жизненном цикле. Вы можете изменить статус по своему усмотрению, однако имеются следующие исключения:

  • Закрытый алерт невозможно перевести в статус В работе. Закрытый алерт можно перевести только статус Новый, а затем изменить статус на В работе.
  • Статус Связан с инцидентом нельзя установить вручную. Алерты получают этот статус, если они связаны с инцидентом.
  • Связанным алертам можно установить только статус Закрыт. Чтобы установить статус Новый или В работе, сначала необходимо отменить связь алерта с инцидентом.
• Уровень важности алерта

  Возможные значения: Низкий, Средний, Высокий, Критический.

  Уровень важности алерта показывает, какое влияние этот алерт может оказать на безопасность устройств и корпоративной локальной сети на основе опыта "Лаборатории Касперского". Уровень важности алерта определяется автоматически и не может быть изменен вручную.

• Ответственный за алерт

  Аналитик, которому назначен алерт и который отвечает за его расследование и обработку. Вы можете сменить ответственного за алерт в любое время. Однако существует исключение: невозможно сменить исполнителей закрытых алертов.

Алерты можно объединять и связывать с более крупными рабочими элементами – инцидентами. Вы можете связать алерты с инцидентами вручную или включить правила для автоматического создания инцидентов и привязки к ним алертов. Инциденты позволяют аналитикам исследовать несколько алертов в виде единой проблемы. Когда вы связываете текущий несвязанный алерт с инцидентом, он меняет свой текущий статус на статус Связан с инцидентом. Вы можете связать текущий связанный алерт с другим инцидентом. В этом случае алерт сохраняет статус Связан с инцидентом. К инциденту можно привязать до 200 алертов.

Для каждого алерта есть раздел Детали алерта, содержащий все сведения, относящиеся к алерту. Вы можете использовать эту информацию для расследования алерта, отслеживания событий, предшествующих алерту, просмотра артефактов алерта, затронутых активов, а также для связи алерта с инцидентом.