О действиях по реагированию по командам от решений Detection and Response

При интеграции с решениями Detection and Response приложение Kaspersky Endpoint Security может выполнять действия по реагированию, направленные на обеспечение функций безопасности. Действия по реагированию могут формироваться на стороне решения Detection and Response и выполняться автоматически на устройствах с Kaspersky Endpoint Security, если такая функция включена в параметрах решения Detection and Response. Вы также можете настраивать и выполнять действия по реагированию вручную.

Параметры действий по реагированию отличаются в зависимости от решения Detection and Response, с которым интегрируется приложение Kaspersky Endpoint Security.

Приложение Kaspersky Endpoint Security может выполнять следующие действия по реагированию:

• Сетевая изоляция устройства.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или с Kaspersky Managed Detection and Response включение и выключение сетевой изоляции выполняется на стороне соответствующего решения Detection and Response. Вы можете вручную выключать сетевую изоляцию устройства.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum устройство может быть изолировано от сети в автоматическом или ручном режиме. Вы можете настраивать параметры сетевой изоляции и вручную выключать сетевую изоляцию устройства.

• Помещение файла на карантин.

  Действие выполняется с помощью задачи помещения файла на карантин (Quarantine file).

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или с Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum файл может быть помещен на карантин автоматически в результате обнаружения индикаторов компрометации.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum или с Kaspersky Managed Detection and Response вы также можете помещать файлы на карантин вручную.

• Восстановление файла из карантина.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response действие по реагированию формируется на стороне соответствующего решения Detection and Response. Вы также можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

• Удаление файла из карантина.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) и с Kaspersky Endpoint Detection and Response (KATA) действие по реагированию формируется на стороне соответствующего решения Detection and Response. Вы также можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

• Получение файла из карантина.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) или с Kaspersky Endpoint Detection and Response (KATA) действие по реагированию формируется на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете выполнять действие вручную с помощью Kaspersky Security Center.

• Получение файла с устройства.

  Действие выполняется с помощью задачи получения файла с устройства (Get file). Например, вы можете настроить получение файла журнала событий, который создает стороннее приложение.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать задачи получения файлов с устройств в Web Console.

• Удаление файла с устройства.

  Действие выполняется с помощью задачи удаления файла с устройства (Delete file).

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) или с Kaspersky Endpoint Detection and Response (KATA) задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать задачи удаления файлов с устройств в Web Console.

• Удаленный запуск процесса на устройстве.

  Действие выполняется с помощью задачи запуска процесса (Run application). Например, вы можете удаленно запустить утилиту, которая создает файл с конфигурацией устройства, а затем получить созданный файл с помощью задачи получения файла с устройства.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать и выполнять задачи запуска процесса в Web Console.

• Удаленное завершение процесса на устройстве.

  Действие выполняется с помощью задачи завершения процесса (Kill process). Например, вы можете удаленно завершить работу утилиты проверки скорости интернета, которая была запущена с помощью задачи запуска процесса.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать и выполнять задачи завершения процессов в Web Console.

• Обнаружение индикаторов компрометации (IOC) на устройствах. Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к устройству (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему.

  Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к устройству (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) или с Kaspersky Endpoint Detection and Response (KATA) задача для поиска IOC на устройстве с установленным Kaspersky Endpoint Security создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum поиск IOC выполняется с помощью задачи поиска IOC (IOC Scan). Вы можете создавать задачи поиска IOC вручную.

• Запуск YARA-проверки. YARA-проверка – процесс, в ходе выполнения которого Kaspersky Endpoint Security использует YARA-файлы для поиска сигнатур вредоносной активности на устройстве. YARA-файлы – это файлы с расширением .YARA или .YAR, которые содержат YARA-правила. YARA-правила представляют собой описание сигнатур целевых атак и вторжений в IT-инфраструктуру организации. По этим правилам Kaspersky Endpoint Security производит проверку объектов. Если правило выполняется, анализатор выносит заключение о заражении с соответствующими подробностями в журнале. Проверка выполняется рекурсивно на локальных дисках. Проверка сетевых, подключаемых и облачных ресурсов не поддерживается.

  Команда для YARA-проверки на устройстве с установленным Kaspersky Endpoint Security создается и запускается на стороне решения Kaspersky Endpoint Detection and Response Expert (on-premise).

• Запрет запуска объектов.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise), с Kaspersky Endpoint Detection and Response (KATA) или с Kaspersky Endpoint Detection and Response Optimum вы можете включить применение правил запрета запуска объектов. Приложение Kaspersky Endpoint Security будет запрещать запуск объектов или открытие документов, соответствующих критериям правил запрета.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) или с Kaspersky Endpoint Detection and Response (KATA) приложение получает правила запрета запуска от Kaspersky Endpoint Detection and Response Expert (on-premise) или от Kaspersky Endpoint Detection and Response (KATA).

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете настраивать правила запрета запуска объектов в Web Console.

• Сбор форензики.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) вы можете собрать цифровые данные, которые могут быть полезными при расследовании инцидентов, связанных с киберпреступлениями и утечками данных.

  Действие выполняется с помощью следующих задач:

  • задачи сбора форензики (Get forensics), которая собирает следующие типы информации:
    • список файлов;
    • список процессов;
    • список точек автозапуска;
  • задачи получения дампа памяти (Get memory dump);
  • задачи получения дампа памяти процесса (Get process memory dump);
  • задачи получения образа диска (Get disk image).

  Задачи создаются и запускаются на стороне решения Kaspersky Endpoint Detection and Response Expert (on-premise).