16 октября 2026
ID 292969
Поиск индикаторов компрометации
Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к компьютеру (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему. Задача Поиск IOC позволяет обнаруживать индикаторы компрометации на компьютере и выполнять действия по реагированию на угрозы.
Функциональность поиска IOC доступна в приложении Kaspersky Endpoint Security при выполнении одного из следующих условий:
- Включена интеграция приложения Kaspersky Endpoint Security с решением Kaspersky Endpoint Detection and Response Optimum и активирован компонент EDR Optimum.
В этом случае поиск IOC выполняется с помощью задачи Поиск IOC (IOC Scan).
- Включена интеграция приложения Kaspersky Endpoint Security с решением Kaspersky Endpoint Detection and Response Expert (on-premises) или с компонентом Kaspersky Endpoint Detection and Response (KATA) и активирован компонент EDR Expert (on-premises).
В этом случае поиск IOC выполняется на стороне соответствующего решения.
При выполнении задачи поиска IOC проверка по IOC-терминам (свойствам IOC-объекта, например, хеш-сумме файла) выполняется только в основном пространстве имен операционной системы. Задача поиска IOC не вычисляет хеш-суммы файлов размером более 200 МБ.
Для поиска индикаторов компрометации Kaspersky Endpoint Security использует IOC-файлы, подготовленные пользователем. Если вы хотите добавить индикатор компрометации вручную, ознакомьтесь с требованиями к IOC-файлам. Если IOC-файл не соответствует требованиям, приложение не сможет его использовать.
Идентификаторы всех IOC-файлов, которые используются в одной задаче поиска IOC, должны быть уникальными. Если вы загружаете несколько IOC-файлов с одинаковыми идентификаторами, то приложение использует только один из этих IOC-файлов. Остальные IOC-файлы будут автоматически исключены.
Создание задачи Поиск IOC
Вы можете создавать задачи Поиск IOC вручную следующими способами:
- В деталях алерта (только для EDR Optimum).
Детали алерта – инструмент для просмотра всей собранной информации об обнаруженной угрозе. Детали алерта содержат, например, историю появления файлов на компьютере. Подробнее о работе с деталями алерта см. в справке Kaspersky Endpoint Detection and Response Optimum и в справке Kaspersky Endpoint Detection and Response Expert.
- С помощью мастера создания задач.
- Локально в командной строке.
