Действия по реагированию

При интеграции с решениями Detection and Response приложение Kaspersky Endpoint Security может выполнять действия по реагированию, направленные на обеспечение функций безопасности. Действия по реагированию могут формироваться на стороне решения Detection and Response и выполняться автоматически на устройствах с Kaspersky Endpoint Security, если такая функция включена в параметрах решения Detection and Response. Вы также можете настраивать и выполнять действия по реагированию вручную.

Параметры действий по реагированию отличаются в зависимости от решения Detection and Response, с которым интегрируется приложение Kaspersky Endpoint Security.

Приложение Kaspersky Endpoint Security может выполнять следующие действия по реагированию:

• Сетевая изоляция устройства.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или с Kaspersky Managed Detection and Response включение и выключение сетевой изоляции выполняется на стороне соответствующего решения Detection and Response. Вы можете вручную выключать сетевую изоляцию устройства.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum устройство может быть изолировано от сети в автоматическом или ручном режиме. Вы можете настраивать параметры сетевой изоляции и вручную выключать сетевую изоляцию устройства.

• Помещение файла на карантин.

  Действие выполняется с помощью задачи помещения файла на карантин (Quarantine file).

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или с Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum файл может быть помещен на карантин автоматически в результате обнаружения индикаторов компрометации.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum или с Kaspersky Managed Detection and Response вы также можете помещать файлы на карантин вручную.

• Восстановление файла из карантина.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response действие по реагированию формируется на стороне соответствующего решения Detection and Response. Вы также можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

• Удаление файла из карантина.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response действие по реагированию формируется на стороне соответствующего решения Detection and Response. Вы также можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете выполнять действие вручную с помощью Kaspersky Security Center или командной строки.

• Получение файла из карантина.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud) или с Kaspersky Endpoint Detection and Response (KATA) действие по реагированию формируется на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете выполнять действие вручную с помощью Kaspersky Security Center.

• Получение файла с устройства.

  Действие выполняется с помощью задачи получения файла с устройства (Get file). Например, вы можете настроить получение файла журнала событий, который создает стороннее приложение.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать задачи получения файлов с устройств в Web Console.

• Удаление файла с устройства.

  Действие выполняется с помощью задачи удаления файла с устройства (Delete file).

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud) или с Kaspersky Endpoint Detection and Response (KATA) задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать задачи удаления файлов с устройств в Web Console.

• Удаленный запуск процесса на устройстве.

  Действие выполняется с помощью задачи запуска процесса (Run application). Например, вы можете удаленно запустить утилиту, которая создает файл с конфигурацией устройства, а затем получить созданный файл с помощью задачи получения файла с устройства.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать и выполнять задачи запуска процесса в Web Console.

• Удаленное завершение процесса на устройстве.

  Действие выполняется с помощью задачи завершения процесса (Kill process). Например, вы можете удаленно завершить работу утилиты проверки скорости интернета, которая была запущена с помощью задачи запуска процесса.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response Expert (cloud), с Kaspersky Endpoint Detection and Response (KATA) или Kaspersky Managed Detection and Response задача создается и запускается на стороне соответствующего решения Detection and Response.

  При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете создавать и выполнять задачи завершения процессов в Web Console.

• Обнаружение индикаторов компрометации (IOC) на устройствах.

  Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к устройству (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему.

• Запуск YARA-проверки.

  YARA-проверка – процесс, в ходе выполнения которого Kaspersky Endpoint Security использует YARA-файлы для поиска сигнатур вредоносной активности на устройстве. YARA-файлы – это файлы с расширением .YARA или .YAR, которые содержат YARA-правила. YARA-правила представляют собой описание сигнатур целевых атак и вторжений в IT-инфраструктуру организации. По этим правилам Kaspersky Endpoint Security производит проверку объектов. Если правило выполняется, анализатор выносит заключение о заражении с соответствующими подробностями в журнале. Проверка выполняется рекурсивно на локальных дисках. Проверка сетевых, подключаемых и облачных ресурсов не поддерживается.

  Команда для YARA-проверки на устройстве с установленным Kaspersky Endpoint Security создается и запускается на стороне решений Kaspersky Endpoint Detection and Response Expert (on-premises) и Kaspersky Endpoint Detection and Response Expert (cloud).

• Запрет запуска объектов.
• Сбор форензики.

  При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises) и Kaspersky Endpoint Detection and Response Expert (cloud) вы можете собрать цифровые данные, которые могут быть полезными при расследовании инцидентов, связанных с киберпреступлениями и утечками данных.

  Действие выполняется с помощью следующих задач:

  • задачи сбора форензики (Get forensics), которая собирает следующие типы информации:
    • список файлов;
    • список процессов;
    • список точек автозапуска;
  • задачи получения дампа памяти (Get memory dump);
  • задачи получения дампа памяти процесса (Get process memory dump);
  • задачи получения образа диска (Get disk image).

  Задачи создаются и запускаются на стороне решений Kaspersky Endpoint Detection and Response Expert (on-premises) и Kaspersky Endpoint Detection and Response Expert (cloud).