О деталях алерта

Детали алерта содержат всю доступную информацию об обнаруженной угрозе и позволяют управлять действиями по реагированию на алерт.

Детали алерта содержат информационные блоки. Набор блоков зависит от типа угрозы.

Существуют следующие информационные блоки:

• Граф цепочки развития угрозы. На нем отображен жизненный цикл атаки конечной точки. Детали алерта включают в себя сокращенный граф и полный граф.

  Сокращенный граф включает в себя следующие элементы:

  • Актив. Устройство, на котором произошел алерт;
  • Пользователь. Пользователь, связанный с алертом;
  • Источник. Первопричина события;
  • Обнаруженный объект. Название угрозы;
  • Решение. Решение, принятое EPP-программой в отношении угрозы;
  • Результат. Результат действия, проведенного по отношению к угрозе.

  Полный граф предоставляет визуальную информацию о событиях и процессах, связанных с атакой, а также действиях, совершенные процессами атаки.

• Рекомендации. Рекомендации по реагированию на алерт. Каждая рекомендация снабжена ссылкой, по которой вы можете перейти к применению выбранного способа реагирования.

  Для алертов, полученных от Kaspersky Endpoint Security для Windows, этот раздел доступен только в том случае, если на компьютерах организации установлено приложение Kaspersky Endpoint Security для Windows версии 11.9.0 и выше, а в Kaspersky Security Center используется плагин Kaspersky Endpoint Security для Windows версии 11.9.0 и выше.

• Детали алерта. Общая информация об алерте, включая режим обнаружения. Например, обнаружение при проверке по требованию или при автоматической проверке.
• Устройство. Информация о защищаемом устройстве, на котором произошло обнаружение. Например, имя, IP-адрес, MAC-адрес, список пользователей, операционная система.
• Процесс. Информация о процессе, который был признан вредоносным.
• Файл. Информация об обнаруженном объекте.
• Загрузка. Информация о процессе, который обратился к сетевому ресурсу и вызвал алерт.
• Данные из Kaspersky TIP. Информация о репутации файла, включая группу доверия, цифровую подпись, данные о распространении файла и ссылку на анализ алерта.

  Эта информация доступна только в том случае, если Kaspersky Security Network был включен до обнаружения угрозы.

  Эти данные в деталях алерта указаны на момент обнаружения угрозы. Решение не обновляет эту информацию, поэтому она может отличаться от данных и показателей, отображаемых на Kaspersky Threat Intelligence Portal. Для просмотра актуальных данных воспользуйтесь ссылками на данные Kaspersky Threat Intelligence Portal в деталях алерта.

• Дополнительная информация о действиях по реагированию, примененных к объектам цепочки развития угрозы.

  Эта информация доступна вам, если вы используете Kaspersky Security Center, плагин управления Kaspersky Endpoint Detection and Response версии 15.4 и выше, а также одну из следующих EPP-программ:

  • Kaspersky Endpoint Security для Mac – версия 12.2 и выше.
  • Kaspersky Endpoint Security для Windows – версия 12.11.0 и выше.

Из деталей алерта вы можете выполнить следующие действия по реагированию:

• изолировать устройство, на котором произошел алерт;
• поместить файл на карантин;

  Эта функциональность не поддерживается в Kaspersky Endpoint Security для Linux 12.1.

• создать задачу Поиска IOC;
• запретить запуск обнаруженного файла.

  Эта функциональность не поддерживается в Kaspersky Endpoint Security для Linux 12.1.

Если вы используете расширенную функциональность Kaspersky Endpoint Detection and Response Optimum, вы также можете выполнять из деталей алерта следующие действия по реагированию по отношению к пользователям, связанным с алертом:

• Сброс пароля пользователя.
• Блокировка учетной записи пользователя.
• Добавление пользователя в группу безопасности.
• Удаление пользователя из группы безопасности.
• Назначение учебных курсы KASAP пользователям, которые связаны с алертами.

EPP-программы создают алерты в зависимости от событий, связанных с обнаружением угроз, и результатов обработки данных угроз. Интервал хранения событий можно настроить в EPP-программе.

По умолчанию EPP-программа хранит детали алертов в течение 30 дней. По истечении этого периода детали алерта автоматически удаляются.

В списке Алерты отображаются алерты за последние 30 дней.

Если на устройстве с установленным приложением Kaspersky Endpoint Security для Windows объем информации в деталях алерта превышает 1 МБ или если за сутки на устройстве появилось больше пяти алертов, то данные алерта хранятся на этом устройстве локально и для доступа к ним необходимо подключение к этому устройству. Если данные об алертах недоступны, цепочка развития угрозы не предоставляется или строится только частично.