О задаче Поиска IOC

Индикатор компрометации (англ. Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к устройству (компрометация данных). Например, индикатором компрометации могут быть неоднократные неудачные попытки входа в систему. Задача Поиска IOC позволяет обнаруживать индикаторы компрометации на устройстве и выполнять действия по реагированию на угрозы.

Файлы IOC используются для поиска IOC. Файлы IOC содержат набор индикаторов, которые сравниваются с индикаторами события. Если сравниваемые показатели совпадают, EPP-программа считает событие алертом. IOC-файлы должны соответствовать стандарту OpenIOC.

Kaspersky Endpoint Detection and Response Optimum позволяет создавать и настраивать вручную групповые и локальные задачи Поиска IOC в Kaspersky Security Center Web Console и Cloud Console. Для запуска задач используются IOC-файлы, которые вы подготовили.

При обнаружении IOC на устройстве Kaspersky Endpoint Detection and Response Optimum выполняет заданное действие по реагированию. Доступны следующие действия по реагированию на обнаруженные IOC:

• Изолировать устройство от сети.
• Запускать проверку важных областей.
• Копию поместить на карантин, объект удалить.

В Kaspersky Endpoint Security для Mac версии 12.2 и выше и в Kaspersky Endpoint Security для Windows 12.10 доступны следующие функции:

• Расширены возможности задачи Поиск IOC:
  • Поддерживаются IOC-файлы открытого стандарта описания индикаторов компрометации STIX версий 2.0 и 2.1.
  • IOC-файлы можно редактировать непосредственно в Web Console при создании или изменении параметров задачи Поиск IOC.
  • Задачу Поиск IOC можно создать из файла, содержащего хеши файлов (md5 или sha256) или IP-адреса (IPv4 или IPv6).
• Вы можете вручную изолировать устройство или поместить файл на карантин при просмотре отчета о выполнении задачи Поиск IOC.

Задачу также можно создать вручную в окне деталей алерта или в Kaspersky Endpoint Security для Windows.

Порядок запуска задачи Поиск IOC подробно описан в справке Kaspersky Endpoint Security для Windows, в справке Kaspersky Endpoint Security для Mac и в справке Kaspersky Endpoint Security для Linux.