Анализ поведения

Компонент Анализ поведения позволяет контролировать активность приложений, способную нанести вред компьютеру или данным пользователя (открытие файлов, установка соединений и т.п.). Компонент отслеживает шаблоны опасного поведения приложений. Если активность приложения совпадает с одним из таких шаблонов, Kaspersky Endpoint Security выполняет выбранное ответное действие. Эта функциональность Kaspersky Endpoint Security обеспечивает проактивную защиту компьютера.

Для оптимальной работы компонента Анализ поведения рекомендуется включить компонент Защита от веб-угроз.

Как работает Анализ поведения

1. Приложение отслеживает события в операционной системе

   Приложение получает поток телеметрии, который состоит из событий: создание и завершение процессов, открытие файлов, установка соединения и т.п. Также приложение обогащает события необходимыми метаданными (имя процесса, PID, IP-адрес и так далее).

2. Приложение сравнивает поток телеметрии с шаблонами опасного поведения

   Если действия стороннего приложения совпадают с шаблоном опасного поведения, Kaspersky Endpoint Security выполняет ответное действие при обнаружении угрозы (например, останавливает стороннее приложение).

3. Приложение отправляет телеметрию в KSN

   Приложение фильтрует события и отправляет их в KSN для дальнейшего анализа.

Настройка Анализа поведения

1. В настройках Анализа поведения выберите действие Информировать

   По умолчанию компонент Анализ поведения включен. Рекомендуем в настройках Анализа поведения в качестве действия при обнаружении угрозы выбрать Информировать и проверить работу установленных приложений. Kaspersky Endpoint Security будет разрешать любую активность приложений и вести журнал работы компонента.

   Как выбрать действие при обнаружении вредоносной активности в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Защита устройств от угроз → Защита на основе анализа поведения → Анализ поведения.
   5. В блоке Действие при обнаружении угрозы выберите нужное действие:
      • Информировать. При обнаружении вредоносной активности Kaspersky Endpoint Security не завершает работу этого приложения, а только записывает событие об обнаружении вредоносной активности в журнал событий.
      • Блокировать. При обнаружении вредоносной активности Kaspersky Endpoint Security завершает процесс приложения, которое осуществляет вредоносную активность, и записывает в журнал событий информацию об обнаруженной вредоносной активности.
   6. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

      

      Анализ поведения

   Как выбрать действие при обнаружении вредоносной активности в командной строке

   1. Выполните команду:

      kesl-control --set-settings 20 TaskMode=<Block|Notify>

   2. Для проверки текущих значений параметров компонента выполните следующую команду:

      kesl-control --get-settings 20

   Условные обозначения

   

   Текст без квадратных и фигурных скобок	Элементы, которые необходимо ввести, как показано в команде.
   <Текст>	Значение, которое необходимо ввести.
   [Текст]	Необязательный параметр.
   Вертикальная полоса |	Взаимоисключающие элементы. Вам нужно выбрать одно значение.
   Многоточие …	Элементы, которые могут повторяться и использоваться несколько раз.
   Символ решетки #	Номер секции добавляемой области. Например, 0000, 0001 и так далее.

   Параметры команды

   Параметр

   Описание

   TaskMode

   Действие при обнаружении вредоносной активности: Block (по умолчанию). При обнаружении вредоносной активности Kaspersky Endpoint Security завершает процесс приложения, которое осуществляет вредоносную активность, и записывает в журнал событий информацию об обнаруженной вредоносной активности. Notify. При обнаружении вредоносной активности Kaspersky Endpoint Security не завершает работу этого приложения, а только записывает событие об обнаружении вредоносной активности в журнал событий.

2. Соберите статистику работы Анализа поведения

   Вы можете получить статистику работы Анализа поведения с помощью отчетов.

3. Оптимизируйте работу приложения

   После анализа полученной информации оптимизируйте работу приложения и добавьте исключения.

4. В настройках Анализа поведение выберите действие Блокировать

   Включите блокировку вредоносной активности приложений. После этого Kaspersky Endpoint Security будет завершать процессы приложений, осуществляющих вредоносную активность.

Особенности и ограничения

• Для корректной работы компонента Анализ поведения при интеграции Kaspersky Endpoint Security с решениями Kaspersky Managed Detection and Response и Kaspersky Anti Targeted Attack Platform убедитесь, что для auditd в конфигурационных файлах установлен режим без блокировки конфигурации enabled 1.