API для реагирования на угрозы EDR

В Kaspersky Endpoint Security для Windows 12.9 добавлена поддержка действий по реагированию на угрозы EDR (EDR responses) с помощью Kaspersky Security Center OpenAPI. То есть вы можете вызывать методы OpenAPI для автоматизации реагирования на угрозы EDR с помощью Python. Вы можете вызывать эти методы при взаимодействии с SIEM-решениями. SIEM-решение от "Лаборатории Касперского" – Kaspersky Unified Monitoring and Analysis Platform – поддерживает OpenAPI для реагирования на угрозы EDR начиная с версии 3.4.1. В справке KUMA приведены примеры скриптов.

Для выполнения действий по реагированию на угрозы EDR вам нужно создать запрос и отправить его с помощью KSC Open API (AddIncident). После обработки запроса в консоли Kaspersky Security Center будет создана специальная задача.

Для создания задач при реагировании на угрозы EDR вам нужно установить фоновое соединение между Сервером администрирования и Kaspersky Security Center Web Console. Служба фонового соединения доступна в Kaspersky Security Center Windows 14.2 и выше и Kaspersky Security Center Linux 15.2 и выше. Другие консоли, включая консоли решений Detection and Response от "Лаборатории Касперского", не поддерживаются.

Для реагирования на угрозы EDR необходимо задать основные параметры запроса, например, с помощью JSON:

• task – тип задачи (см. ниже).
• targetHost – идентификатор компьютера, на котором нужно запустить скрипт. Обязательный аргумент. Скрипт получает этот аргумент из события.
• responseEventIncidentArea – название приложения, которое инициировало запуск скрипта (например, KUMA). Этот параметр будет добавлен в название создаваемой задачи.

Для настройки параметров реагирования на угрозы EDR вам нужно в параметре "KLINCDT_BODY": json.dumps(data) задать параметры задачи в JSON. В результате в консоли Kaspersky Security Center приложение создает задачу [Response][KUMA] <task type> - <Date> <Time> - <ID>.

Подключение к Kaspersky Security Center OpenAPI

При реагировании на угрозы EDR приложение создает в консоли Kaspersky Security Center специальные задачи. Для создания этих задач нужно установить соединение между компьютером и Kaspersky Security Center. Для этого в запросе необходимо указать параметры подключения к Kaspersky Security Center.

В Kaspersky XDR версии 2.1 изменился способ авторизации запросов. Kaspersky XDR использует PAT-токены вместо авторизации по имени пользователя и паролю. Поэтому в Kaspersky XDR запустить скрипты невозможно. Подробнее об авторизации запросов см. в справке Kaspersky XDR.

Параметры подключения к Kaspersky Security Center

Параметр	Тип	Описание
kscHost	string	Адрес Сервера администрирования Kaspersky Security Center. Обязательный параметр.
kscPort	int	Порт подключения к Серверу администрирования. Обязательный параметр.
kscCert	string	Путь к файлу сертификата для подключения к Серверу администрирования Kaspersky Security Center. По умолчанию параметр имеет значение False.
kscUser	string	Имя учетной записи пользователя. Обязательный параметр.
kscPassword	string	Пароль учетной записи пользователя. Обязательный параметр.

Пример

# KSC connection info

# reads Environment variables by default, change with corresponding values

# KSC host, string, required

kscHost = "kscHost"

# KSC port, required, default is "13299"

kscPort = "13299"

# KSC certificate file path, default is False

kscCert = False

# KSC user, string, required

kscUser = "kscUser"

# KSC password, string, required

kscPassword = "kscPassword"

server_url = 'https://' + kscHost + ':' + str(kscPort)

    server = KlAkAdmServer.Create(

        server_url, kscUser, kscPassword, verify=kscCert)

    params = validate(args)

    data = {"targetHost": <MyHost>,

            "task": task,

            "params": params,

            "responseEventIncident": True,

            "responseEventIncidentArea":"Kuma"}

    oHostGroup = KlAkHostGroup(server)

    incdnt = oHostGroup.AddIncident({"KLINCDT_SEVERITY": 2,

                                     "KLINCDT_ADDED": paramDateTime(datetime.datetime.now()),

                                     "KLINCDT_BODY": json.dumps(data),

                                     "KLHST_WKS_HOSTNAME":  args.targetHost}).RetVal()

    oHostGroup.UpdateIncident(incdnt, {"KLINCDT_IS_HANDLED": False,

                                       "KLHST_WKS_HOSTNAME":  args.targetHost})

Так как учетные данные пользователя не защищены, для работы со скриптами необходимо выделить отдельного пользователя, который выполняет только эти действия.

Получение файла – getFile

Параметры задачи Получение файла

Параметр	Тип	Описание
md5hash	string	MD5-хеш файла, который вам нужно получить.
sha256hash	string	SHA256-хеш файла, который вам нужно получить.
path	string	Путь к файлу, который вам нужно получить.

Пример

type getFile = {

task: 'getFile';

targetHost: string;

params: {

// an empty string or a valid md5 hash of the file

md5hash: string;

// an empty string or a valid sha256 hash of the file

sha256hash: string;

// the path to the file

path: string;

};

responseEventIncidentArea: string;

};

Удаление файла – deleteFile

Параметры задачи Удаление файла

Параметр	Тип	Описание
md5hash	string	MD5-хеш файла, который вам нужно удалить.
sha256hash	string	SHA256-хеш файла, который вам нужно удалить.
path	string	Путь к файлу, который вам нужно удалить.
searchInSubfolders?	boolean	Поиск файла, который вам нужно удалить, в подпапках

Пример

type deleteFile = {

task: 'deleteFile';

targetHost: string;

params: {

// an empty string or a valid md5 hash of the file

md5hash: string;

// an empty string or a valid sha256 hash of the file

sha256hash: string;

// the path to the file

path: string;

// recursive search for a file (subfolder), optional

searchInSubfolders?: boolean;

};

responseEventIncidentArea: string;

};

Помещение файла на карантин – quarantineFile

Параметры задачи Помещение файла на карантин

Параметр	Тип	Описание
md5hash	string	MD5-хеш файла, который вам нужно поместить на карантин.
sha256hash	string	SHA256-хеш файла, который вам нужно поместить на карантин.
path	string	Путь к файлу, который вам нужно поместить на карантин.

Пример

type quarantineFile = {

task: 'quarantineFile';

targetHost: string;

params: {

// an empty string or a valid md5 hash of the file

md5hash: string;

// an empty string or a valid sha256 hash of the file

sha256hash: string;

// the path to the file

path: string;

};

responseEventIncidentArea: string;

};

Поиск IOC – iocScan

Параметры задачи Поиск IOC

Параметр	Тип	Описание
ioc	string	Путь к ZIP-архиву с IOC-файлом, по которому требуется выполнять поиск.
isolateHost	boolean	Изоляция компьютера от сети при обнаружении индикатора компрометации для предотвращения распространения угрозы.
scanCriticalAreas	boolean	Запуск задачи Проверка важных областей при обнаружении индикатора компрометации.
quarantineObject	boolean	Удаление вредоносного объекта при обнаружении индикатора компрометации. Перед удалением объекта Kaspersky Endpoint Security формирует его резервную копию на тот случай, если впоследствии понадобится восстановить объект. Kaspersky Endpoint Security помещает резервную копию на карантин.

Пример

type iocScan = {

task: 'iocScan';

targetHost: string;

params: {

// the path to the zip archive with ioc files in base64 encoding

ioc: string;

// isolation of the computer from the network

isolateHost: boolean;

// critical areas scan

scanCriticalAreas: boolean;

// quarantine the file

quarantineObject: boolean;

};

responseEventIncidentArea: string;

};

Запуск процесса – startProcess

Параметры задачи Запуск процесса

Параметр	Тип	Описание
executablePath	string	Путь к исполняемому файлу для запуска процесса.
arguments?	string	Дополнительные аргументы для запуска процесса.
workingFolder?	string	Путь к рабочей папке процесса.

Пример

type startProcess = {

task: 'startProcess';

targetHost: string;

params: {

// the path to the file

executablePath: string;

// command line arguments, optional

arguments?: string;

// a working folder, optional

workingFolder?: string;

};

responseEventIncidentArea: string;

};

Завершение процесса – terminateProcess

Параметры задачи Завершение процесса

Параметр	Тип	Описание
md5hash	string	MD5-хеш файла, процесс которого вам нужно завершить.
sha256hash	string	SHA256-хеш файла, процесс которого вам нужно завершить.
path	string	Путь к файлу, процесс которого вам нужно завершить.
caseSensitive	boolean	Режим учета регистра при поиске файла.

Пример

type terminateProcess = {

task: 'terminateProcess';

targetHost: string;

params: {

// an empty string or a valid md5 hash of the file

md5hash: string;

// an empty string or a valid sha256 hash of the file

sha256hash: string;

// the path to the file

path: string;

// case sensitive of the file name

caseSensitive: boolean;

};

responseEventIncidentArea: string;

};

Сетевая изоляция компьютера – isolateHost

Параметры Сетевой изоляции компьютера

Параметр	Тип	Описание
action	string	Режим работы Сетевой изоляции.

Пример

type isolateHost = {

task: 'isolateHost';

targetHost: string;

params: {

// 0 - turning off network isolation, 1 - turning on network isolation

action: number;

};

responseEventIncidentArea: string;

};

Запрет запуска объектов – preventExecution

Параметры Запрета запуска объектов

Параметр	Тип	Описание
hash	string	MD5-хеш файла, запуск которого вы хотите запретить.
path	string	Путь к файлу, запуск которого вы хотите запретить.
caseSensitive	boolean	Режим учета регистра при поиске файла.

Пример

type preventExecution = {

task: 'preventExecution';

targetHost: string;

params: {

// a valid md5 hash of the file

hash: string;

// the path to the file

path: string;

// case sensitive of the file name

caseSensitive: boolean;

};

responseEventIncidentArea: string;

};

Поиск вредоносного ПО – onDemandScan

Параметры задачи Поиск вредоносного ПО

Параметр	Тип	Описание
path	string	Список файлов и папок для выборочной проверки через пробел
recursive	boolean	Режим рекурсивной проверки.
type	number	Область проверки.
ScanObjectType = Enum("ScanObjectType", [ ("SystemMemory", 14), ("StartupObjectsAndRunningProcesses", 15), ("DiskBootSectors", 16), ("SystemBackupStorage", 17), ("Email", 18), ("Folder", 22), ("AllRemovableDrives", 23), ("AllNetworkDrives", 24), ("AllFixedDrives", 25)])

Пример

type onDemandScan = {

task: 'onDemandScan';

targetHost: string;

// please note, this is an array

// array of scan object

params: [{

// enabling the scan object

enabled: boolean;

// an empty string or the path to the folder to scan

path: string;

// recursive scan mode

recursive: boolean;

// ID scan object

type: number;

}];

responseEventIncidentArea: string;

};