Команды управления поиском IOC

-T – префикс указывает, что команда принадлежит к группе команд управления параметрами и задачами приложения.

kesl-control --scan-ioc

Команда запускает поиск индикаторов компрометации на устройстве (IOC).

kesl-control [-T] --scan-ioc --path <path to directory or file> [--process on|off] [--hint <regular expression>] [--arpentry on|off] [--ports on|off] [--system on|off] [--files on|off] [--drives all|system|critical|custom] [--excludes <list of exclusions>] [--scope <list of directories>] [--action Skip|QuarantineFile|IsolateHost|ScanCriticalAreas]

Где:

--path <path to directory or file> – путь к IOC-файлу или директории с IOC-файлами с расширением .IOC или .XML, с помощью которых требуется выполнить проверку.

Вы можете указать несколько путей, разделяя их пробелами. Вы также можете указать оба типа путей (к файлу и к директории).

--process – включение анализа процессов, запущенных на устройстве.

Возможные аргументы:

• on – включить анализ процессов, запущенных на устройстве (значение по умолчанию).
• off – выключить анализ процессов, запущенных на устройстве.

Если вы не укажете ключ --process, приложение выполнит анализ процессов, только если в используемом IOC-файле указаны данные этих процессов (ProcessItem).

--hint <regular expression> – регулярное выражение, которому соответствует полный путь к файлу (FileItem) или исполняемому файлу процесса (ProcessItem), который требуется проанализировать.

Вы можете использовать следующие элементы регулярных выражений:

• метасимволы: . ^ $ |
• классы символов: digit, alpha, lower, upper, cntrl
• квантификаторы: * + ? {n} {n,} {n, m}
• отрицание: [^a-c]
• экранируемые символы: \a \e \f, \n \r \t \v \b

--arpentry – включение анализа записей в ARP-таблице (ArpEntryItem).

Возможные аргументы:

• on – включить анализ записей в ARP-таблице (значение по умолчанию).
• off – выключить анализ записей в ARP-таблице.

Если вы не укажете ключ --arpentry, приложение выполнит анализ таблицы ARP, только если в используемом IOC-файле указаны данные этой таблицы (ArpEntryItem).

--ports – включение анализа портов, открытых для соединения.

Возможные аргументы:

• on – включить анализ портов, открытых для соединения и проверять активные соединения на устройстве (значение по умолчанию).
• off – выключить анализ портов, открытых для соединения и не проверять активные соединения на устройстве.

Если вы не укажете ключ --ports, приложение выполнит анализ портов, только если в используемом IOC-файле указаны данные этих портов (PortItem).

--system – включение анализа окружения системы.

Возможные аргументы:

• on – включить анализ окружения системы (значение по умолчанию).
• off – выключить анализ окружения системы.

Если вы не укажете ключ --system, приложение выполнит анализ окружения системы только если в используемом IOC-файле указаны данные об окружении системы (SystemInfoItem).

--files – включение анализа файлов.

Возможные аргументы:

• on – включить анализ файлов (значение по умолчанию).
• off – выключить анализ файлов.

Если вы не укажете ключ --files, приложение выполнит анализ файлов, только если в используемом IOC-файле указаны данные этих файлов (FileItem).

--drives – области, подлежащие проверке.

Возможные аргументы:

• all – проверять все доступные файловые области.
• system – проверять все файлы в пределах корневой файловой системы.
• critical – проверять файлы в пользовательских и системных директориях (значение по умолчанию).
• custom – проверять только файлы в указанных вами областях.

Если вы не укажете ключ --drives, приложение выполнит анализ файлов в пользовательских и системных директориях.

--excludes <list of exclusions> – список путей, исключаемых из проверки.

Исключения, заданные этим ключом, являются глобальными и действуют независимо от типа области или списка директорий. Такие исключения имеют приоритет над другими ключами, включая --hint и --scope.

Исключения задаются в виде путей, но не могут содержать рекурсивные элементы или символы маски (например, *).

Если вы не укажете ключ --excludes, проверка будет выполнена без исключений.

Вы можете указать несколько исключений, разделяя их пробелом.

--scope <list of directories> – список дополнительных директорий, подлежащих проверке.

Этот ключ является обязательным, если для ключа --drives вы указали аргумент custom.

--action – действие, выполняемое при обнаружении индикаторов компрометации.

Возможные аргументы:

• Skip – приложение не будет выполнять никаких действий с обнаруженным объектом, но информация о нем сохранится в результатах выполнения задачи (значение по умолчанию).
• QuarantineFile – приложение поместит обнаруженный объект на карантин.
• IsolateHost – приложение изолирует от сети устройство, на котором обнаружен объект.
• ScanCriticalAreas – приложение выполнит проверку важных областей.

Важные области, которые проверяет Kaspersky Endpoint Security

Вы можете указать несколько действий, разделяя их запятыми.

Если вы указали аргумент Skip, остальные аргументы добавлять не нужно. Аргумент Skip может использоваться только самостоятельно.

kesl-control --get-response-task-list

Команда выводит информацию о запущенных задачах Поиск IOC на устройстве.

kesl-control [-T] --get-response-task-list

В результате приложение покажет информацию о запущенных задачах в следующем виде:

Идентификатор задачи: <task ID>

Действие по реагированию: IocScan

Дата создания: <date and time of task creation>

Запуск задачи: <task launch schedule>

Состояние: <task status>

Kaspersky Endpoint Security обновляет информацию о запущенных задачах Поиск IOC при каждой синхронизации с сервером. Вы можете настроить период синхронизации в параметрах интеграции с решением Detection and Response от "Лаборатории Касперского" (параметр SynchronizationPeriod). По умолчанию приложение выполняет синхронизацию с сервером каждые 5 минут.

kesl-control --delete-response-task <task ID>

Команда удаляет задачу Поиск IOC по идентификатору. Приложение удаляет задачу на компьютере локально. Если вы не удалили задачу в Web Console или консоли OSMP, приложение восстановит эту задачу при следующей синхронизации с сервером.

kesl-control [-T] --delete-response-task-list <task ID>