Kaspersky Endpoint Detection and Response Expert (on-premises)

Все данные, которые приложение хранит локально на компьютере, будут удалены с компьютера при удалении Kaspersky Endpoint Security.

Служебные данные

Встроенный агент Kaspersky Endpoint Security хранит локально следующие данные:

• Данные, необходимые для интеграции с компонентом EDR Expert (on-premises):
  • Адрес и порт для подключения к серверу KATA Central Node.
  • Адрес и порт для подключения к серверу передачи телеметрии.
  • Адрес и порт для подключения к серверу реагирования.
  • Информация о сертификатах для интеграции с KATA Central Node.
  • Информация о сертификатах для интеграции с сервером передачи телеметрии.
  • Информация о сертификатах для интеграции с сервером реагирования.
• Файлы на карантине.

Данные из передаваемых событий телеметрии

• Данные телеметрии.
  • Данные о файлах:
    • Уникальный идентификатор файла.
    • Тип файла.
    • Полный путь к файлу.
    • Размер файла.
    • Атрибуты файла.
    • Идентификатор зоны.
    • Дата и время создания файла.
    • Дата и время последнего изменения файла.
    • Исходное имя файла.
    • Имя приложения.
    • Версия приложения.
    • Производитель приложения.
    • Описание файла.
    • Версия файла.
    • MD5 и SHA256-хеши объекта.
    • Результат проверки подписи файла.
    • Имя издателя сертификата.
    • Имя владельца сертификата.
    • Серийный номер сертификата.
  • Данные об AMSI проверке:
    • Уникальный идентификатор процесса, инициировавшего активность.
    • Тип содержимого объекта, которое передается в AMSI.
    • Содержимое объекта, которое передается в AMSI.
    • Имя объекта.
    • MD5 и SHA256-хеши объекта.
  • Данные о блокировке приложений:
    • Уникальный идентификатор процесса, инициировавшего блокировку приложения.
    • Уникальный идентификатор родительского процесса.
    • Уникальный системный идентификатор процесса.
    • Команда, используемая для запуска процесса.
    • Идентификатор сеанса входа.
    • Уровень целостности процесса.
    • Статус процесса.
    • Уникальный идентификатор файла процесса.
    • Командная строка процесса.
    • Список уникальных идентификаторов интерпретируемых файлов.
  • Данные о блокировке открытии файлов:
    • Уникальный идентификатор процесса, инициировавшего открытие файла.
    • Уникальный идентификатор файла.
  • Данные о загрузке драйверов:
    • Уникальный идентификатор загруженного драйвера.
  • Данные о событиях:
    • Уникальный идентификатор события.
    • Дата и время события.
  • Данные об изменении файлов:
    • Уникальный идентификатор процесса, инициировавшего изменение файла.
    • Уникальный идентификатор файла.
    • Тип операции изменения.
    • Флаг, указывающий, что файл помечен к удалению после перезагрузки.
    • Уникальный идентификатор модифицированного файла.
    • Уникальный идентификатор файла до изменения.
    • Набор битовых флагов, которые определяют как файл был открыт.
    • Данные об операциях над списком контроля доступа.
    • Данные о смене владельца файла или его исходной группы.
  • Данные о сессии входа:
    • Идентификатор сессии входа.
    • Имя пользователя, который осуществил вход.
    • Тип аккаунта пользователя.
    • Тип сессии.
  • Данные о сетевых соединениях:
    • Уникальный идентификатор процесса, инициировавшего соединение.
    • Локальный IP-адрес, через который инициировано соединение.
    • Удаленный IP-адрес конечной точки соединения.
    • Направление соединения.
    • Протокол передачи данных.
    • HTTP метод.
    • Путь без имени хоста.
    • Имя хоста.
    • Динамическое состояние процесса в момент соединения.
    • Флаг, указывающий, что соединение открыто на уровне сырого сокета.
    • Версия TLS, использованная в сеансе соединения.
    • Имя TLS сервера.
    • MD5 и SHA1-хеши сертификата TLS сервера.
    • Список Subject Alternative Names (SAN) сертификата.
    • Имя издателя TLS сертификата.
    • Серийный номер сертификата.
    • Используемый шифровальный набор.
    • Начало и окончание действие сертификата.
    • JA3 отпечаток клиентского TLS клиента.
    • JA3S отпечаток сервера.
  • Данные при прослушивании сетевого порта:
    • Уникальный идентификатор процесса, инициировавшего соединение.
  • Данные при консольном вводе:
    • Уникальный идентификатор процесса, инициировавший консольный ввод.
    • Тип консольного ввода.
    • Текст, который был введен пользователем или процессом.
  • Данные о создании процесса:
    • Уникальный идентификатор процесса.
    • Уникальный идентификатор родительского процесса.
    • Уникальный системный идентификатор процесса.
    • Команда, используемая для запуска процесса.
    • Идентификатор сеанса входа.
    • Уровень целостности процесса.
    • Уникальный идентификатор файла процесса.
    • Список уникальных идентификаторов интерпретируемых файлов.
    • Тип процесса.
  • Данные о загрузке модуля процессом:
    • Уникальный идентификатор процесса, который произвел загрузку.
    • Полный путь к файлу, который был загружен в процесс.
    • Уникальный идентификатор файла-модуля.
    • Полное квалифицированное имя .NET-сборки, если загруженный файл является .NET-модулем.
    • Флаги .NET-сборки, определяемые в ее манифесте.
  • Данные о завершении процесса:
    • Уникальный идентификатор завершенного процесса.
  • Данные об изменении реестра:
    • Уникальный идентификатор процесса, который инициировал изменение реестра.
    • Тип операции над реестром.
    • Полный путь к ключу реестра.
    • Имя значения внутри ключа реестра.
    • Тип данных, которые записаны в значение ключа реестра.
    • Данные, записанные в значение ключа реестра.
    • Предыдущее имя ключа до переименования.
    • Информация о смене владельца или основной группы ключа.
    • Список изменений в списке контроля доступа (ACL) ключа.
  • Данные об обнаруженной угрозе и ее обработке:
    • Флаг, указывающий, что обнаружение угрозы прошло в фоновом режиме.
    • Вердикт, присвоенный угрозе.
    • Наименование вердикта.
    • Уникальный идентификатор записи в базе.
    • Время, когда запись об угрозе была сохранена в базе.
    • Режим обработки угрозы.
    • Тип зараженного объекта.
    • Имя зараженного объекта.
    • MD5 и SHA256-хеши объекта.
    • Уникальный идентификатор зараженного объекта.
    • Уникальный идентификатор процесса, скачавшего зараженный объект из интернета.
    • URL, по которому был скачан зараженный объект.
    • Электронный адрес отправителя, приславшего зараженный объект.
    • Сетевой протокол, через который был получен зараженный объект.
    • Локальный адрес, с которого был получен зараженный объект.
    • Внешний адрес, с которого был получен зараженный объект.
    • Тип содержимого объекта.
    • Содержание объекта.
  • Данные о доступе к процессам:
    • Уникальный идентификатор процесса совершившего попытку доступа.
    • Уникальный идентификатор целевого процесса, к которому осуществлялся доступ.
    • Набор прав, запрошенных у целевого процесса.
    • Тип операции.
    • Набор вызовов в момент обращения к процессу.
    • Дескриптор процесса-источника.
    • Дескриптор целевого процесса.
  • Данные о DNS:
    • Уникальный идентификатор процесса, который инициировал DNS-запрос.
    • IP-адрес DNS сервера.
    • Флаги, управляющие поведением DNS запроса.
    • Статус выполнения запроса.
    • Полное доменное имя, указанное в DNS запросе.
    • Тип данных в DNS запросе.
    • Ответы DNS сервера.
  • Данные о внедрении кода:
    • Уникальный идентификатор процесса, который пытался внедрить код.
    • Использованный способ доступа.
    • Набор вызовов в момент обнаружения внедренного кода.
    • Уникальный идентификатор целевого процесса, в который был загружен код.
    • Данные об изменении командного ряда целевого процесса.
    • Адрес целевого процесса.
    • Имя DLL-библиотеки, которая была загружена в целевой процесс.
    • Полный путь к DLL-файлу.
  • Данные об операциях с именованными каналами:
    • Уникальный идентификатор процесса, который создал или подключился к каналу.
    • Полное имя именованного канала.
    • Тип операции (создание или подключение).
  • Данные о запросах WMI:
    • Уникальный идентификатор процесса, который инициировал WMI-операцию.
    • Тип WMI-операции.
    • Имя целевого устройства для WMI-запроса.
    • Учетная запись, от имени которой выполнен WMI-запрос.
    • Текст WMI-запроса.
    • Пространство имен, в котором выполняется WMI-запрос.
    • Имя WMI-фильтра.
    • Имя объекта-потребителя.
    • Текст, описывающий действие объекта-потребителя.
  • Данные о LDAP запросах:
    • Уникальный идентификатор процесса, выполнившего LDAP-запрос.
    • Область поиска в LDAP запросах.
    • LDAP фильтр.
    • Параметр, указывающий, к какому разделу Active Directory был направлен запрос.
    • Атрибуты LDAP поиска.
  • Данные о подключенных USB устройствах:
    • Тип операции USB устройства.
    • Тип USB устройства.
    • Идентификатор USB устройства.
    • Имя USB устройства.
    • Путь к USB устройству.
    • Флаг, указывающий, что USB устройство является системным диском.
  • Данные о создании, удалении и изменении задачи по расписанию.
  • Данные о создании, удалении и изменении служб.
  • Данные о монтировании / размонтировании файловой системы.
  • Данные о работе EDR Expert on-premise компонента:
    • Информация о запуске / остановке агента.
    • Информация об установке / удалении агента.
    • Уникальный идентификатор запуска агента.
    • Системный идентификатор процесса агента.
    • Уникальный идентификатор процесса агента.
    • Причина завершения работы агента.
    • Код завершения процесса агента.

• Параметры фильтрации событий:
  • Имена модулей.
  • Полные пути к объектам.
  • MD5 и SHA256-хеши объектов.
  • Идентификаторы записей в журнале событий Windows.
  • Параметры цифровых сертификатов.
  • Направление трафика, IP-адреса, порты, протоколы, полные пути к исполняемым файлам.
  • Имена пользователей.
  • Типы входа пользователей.
  • Типы событий телеметрии, для которых применяются фильтры.

Данные из запросов от EDR Expert к встроенному агенту Kaspersky Endpoint Security

• Общие параметры задач:
  • Типы задач.
  • Параметры расписания запуска задач.
  • Имена и пароли учетных записей, под которыми необходимо запускать задачи.
  • Версии параметров.
  • Идентификаторы объектов на карантине.
  • Пути к объектам.
  • MD5 и SHA256-хеши объектов.
  • Командная строка запуска процесса с аргументами.
  • Флаги дополнительных действий, выполняемых по завершении задачи.
  • Идентификаторы IOC-файлов, которые нужно получить с сервера.
  • IOC-файлы.
  • Наименование служб.
  • Тип запуска служб.
  • Папки, для которых необходимо получить результаты задачи Сбор форензик.
  • Маски имен объектов и расширений для задачи Сбор форензик.
• Параметры Сетевой изоляции:
  • Типы параметров.
  • Версии параметров.
  • Списки исключений из Сетевой изоляции и параметры исключений: направление трафика, IP-адреса, порты, протоколы, полные пути к исполняемым файлам.
  • Флаги дополнительных действий.
  • Время автоматического отключения изоляции.
• Параметры Запрета запуска объектов:
  • Типы параметров.
  • Версии параметров.
  • Списки правил Запрета запуска объектов и параметры правил: пути к объектам, типы объектов, MD5 и SHA256-хеши объектов.
  • Флаги дополнительных действий.

Данные из запросов от Kaspersky Endpoint Security к компоненту EDR Expert

При интеграции с решением EDR Expert (on-premises) следующие данные хранятся локально на компьютерах.

• В запросах на синхронизацию:
  • Уникальный идентификатор.
  • Базовая часть веб-адреса сервера.
  • Имя компьютера.
  • IP-адрес компьютера.
  • MAC-адрес компьютера.
  • Локальное время на компьютере.
  • Статус самозащиты Kaspersky Endpoint Security.
  • Имя и версия операционной системы, установленной на компьютере.
  • Версия Kaspersky Endpoint Security.
  • Версии параметров приложения и параметров задач.
  • Состояние задач (идентификаторы задач, статусы выполнения, коды ошибок).
• В запросах на получение файлов с сервера:
  • Уникальные идентификаторы файлов.
  • Уникальный идентификатор Kaspersky Endpoint Security.
  • Уникальные идентификаторы задач.
  • Базовая часть веб-адреса сервера с компонентом Central Node.
  • IP-адрес узла.
• В отчетах о результатах выполнения задач:
  • IP-адрес узла.
  • Информация об объектах, обнаруженных при поиске IOC или YARA-проверке.
  • Флаги дополнительных действий, выполняемых по завершении задач.
  • Ошибки выполнения задач и коды возврата.
  • Статусы, с которыми завершались задачи.
  • Время завершения выполнения задач.
  • Версии параметров, с которыми выполнялись задачи.
  • Информация об объектах, переданных на сервер, помещенных на карантин, восстановленных из карантина: пути к объектам, MD5 и SHA256-хеши объектов, идентификаторы объектов на карантине.
  • Информация о процессах, запущенных или остановленных на компьютере по запросу сервера: PID и UniquePID, код ошибки, MD5 и SHA256-хеши объектов.
  • Информация о службах, запущенных или остановленных на компьютере по запросу сервера (имя службы, тип запуска, код ошибки, MD5 и SHA256-хеши файловых образов служб).
  • Информация об объектах, для которых был снят дамп памяти для YARA-проверки (пути, идентификатор файла дампа).
  • Файлы, запрошенные сервером.
• Данные о запущенных процессах:
  • Имя исполняемого файла, включая полный путь и расширение.
  • Параметры автозапуска процесса.
  • Идентификатор процесса.
  • Код сеанса входа в систему.
  • Имя сеанса входа в систему.
  • Дата и время запуска процесса.
  • MD5 и SHA256-хеши объекта.
• Данные о файлах:
  • Путь к файлу.
  • Имя файла.
  • Размер файла.
  • Атрибуты файла.
  • Дата и время создания файла.
  • Дата и время последнего изменения файла.
  • Описание файла.
  • Название компании.
  • MD5 и SHA256-хеши объекта.
  • Раздел реестра (для точек автозапуска).
• Данные в ошибках получения информации об объектах:
  • Полное имя объекта, при обработке которого возникла ошибка.
  • Код ошибки.
• Данные о результатах YARA-проверки:

  Встроенный агент Kaspersky Endpoint Security автоматически передает данные результатов YARA-проверки в Kaspersky Anti Targeted Attack Platform для построения цепочки развития угрозы.

  Данные временно хранятся локально в очереди отправки результатов выполнения задач на сервер Kaspersky Anti Targeted Attack Platform. После отправки данные удаляются.

  • MD5 и SHA256-хеши файла.
  • Полное имя файла.
  • Путь к файлу.
  • Размер файла.
  • Имя процесса.
  • Аргументы процесса.
  • Путь к файлу процесса.
  • Windows идентификатор процесса (PID).
  • Windows идентификатор родительского процесса (PID).
  • Имя учетной записи пользователя, запустившего процесс.
  • Дата и время запуска процесса.
• Данные о результатах IOC проверки:
  • IP-адрес из ARP-таблицы.
  • Физический адрес из ARP-таблицы.
  • Имя DNS-записи.
  • Тип DNS-записи.
  • Имя хоста.
  • IP-адрес.
  • Идентификатор события в журнале.
  • Имя источника данных в журнале.
  • Имя журнала.
  • Имя пользователя.
  • Дата и время генерации события в формате ISO.
  • MD5 и SHA256-хеши файла.
  • Полное имя файла.
  • Размер файла.
  • Удаленный IP и порт, с которым установлено соединение в момент проверки.
  • IP и порт локального адаптера.
  • Протокол.
  • Имя процесса.
  • Аргументы процесса.
  • Путь к файлу процесса.
  • Windows идентификатор процесса (PID).
  • Windows идентификатор родительского процесса (PID).
  • Имя учетной записи пользователя, запустившего процесс.
  • Дата и время запуска процесса.
  • Путь к ключу реестра.
  • Имя ключа реестра.
  • Текстовое значение ключа реестра.
  • Имя сервиса.
  • Описание сервиса.
  • Путь и имя DLL сервиса.
  • Путь и имя исполняемого файла сервиса.
  • Windows идентификатор сервиса (PID).
  • Тип сервиса.
  • Статус сервиса.
  • Режим запуска сервиса.
  • Название операционной системы.
  • Версия операционной системы.
  • Сетевое имя компьютера без домена.
  • Домен или рабочая группа.
  • Имя пользователя.
  • Имя тома.
  • Буква тома.
  • Тип тома.