О деталях алерта

Детали алерта содержат всю доступную информацию об обнаруженной угрозе и позволяют управлять действиями по реагированию на обнаружение.

В деталях алерта приведена следующая информация:

• Граф цепочки развития угрозы. Предоставляет жизненный цикл атаки на конечное устройство. В карточке деталей алерта отображаются два графа: сокращенный и полный.
  • Сокращенный граф содержит следующие ключевые элементы:
    • Актив – устройство, на котором был зарегистрирован алерт.
    • Пользователь – пользователь, связанный с алертом.
    • Первопричина – первопричина события.
    • Обнаруженный объект – название угрозы.
    • Решение – решение, принятое EPP-программой в отношении угрозы.
    • Результат выполнения действия.
  • Полный граф содержит всю цепочку событий, связанных с атакой, показывает путь эскалации атаки, процессы, задействованные в атаке, а также действия этих процессов.
• Рекомендации. Рекомендации по реагированию на алерт.

  Рекомендации доступны в Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Linux Nodes версии 1.5 и выше.

• Детали алерта. Общая информация об алерте, включая результат обработки, категорию, режим обнаружения (например, обнаружение при проверке по требованию или при автоматической проверке).
• Устройство. Информация о защищаемом устройстве, на котором произошло обнаружение. Например, имя устройства, IP-адрес, MAC-адрес, операционная система.
• Процесс. Информация о процессе, который был признан вредоносным.
• Файл. Информация об обнаруженном объекте.
• Загрузка. Информация о процессе, который обратился к сетевому ресурсу и вызвал алерт.
• Данные из Kaspersky TIP. Информация о репутации файла, включая группу доверия, цифровую подпись, данные о распространении файла и ссылку на аналитику алерта.

  Эта информация доступна, если в приложении Kaspersky Industrial CyberSecurity for Linux Nodes на момент регистрации алерта включена функция Kaspersky Security Network.

  Перечисленные данные указаны на момент обнаружения угрозы. Решение не обновляет перечисленные данные, поэтому они могут отличаться от данных, отображаемых на Kaspersky Threat Intelligence Portal. Для просмотра актуальных данных воспользуйтесь ссылками на данные Kaspersky Threat Intelligence Portal в деталях алерта.

Дополнительная информация о действиях по реагированию, примененных к объектам, входящим в цепочку развития угрозы, приводится в случаях, если совместно с Kaspersky Security Center используются оба следующих приложения:

• Kaspersky Industrial CyberSecurity for Nodes версии 4.5 или более поздней.
• Веб-плагин Endpoint Detection and Response 15.4 или более поздней версии.

Из деталей алерта вы можете выполнить следующие действия по реагированию:

• Изолировать устройство, на котором произошел алерт.
• Поместить файл на карантин.

  Это действие недоступно на компьютерах под управлением ОС семейства Linux с установленным приложением Kaspersky Industrial CyberSecurity for Linux Nodes версии 1.5.

• Создать задачу поиска IOC.
• Запретить запуск обнаруженного файла.

  Это действие недоступно на компьютерах под управлением ОС семейства Linux с установленным приложением Kaspersky Industrial CyberSecurity for Linux Nodes версии 1.5.

EPP-приложения создают алерты в зависимости от событий, связанных с обнаружением угроз, и результатов обработки данных угроз. Интервал хранения событий можно настроить в EPP-программе.

По умолчанию EPP-приложение хранит детали алертов в течение 30 дней. По истечении этого периода детали алерта автоматически удаляются.

В списке Алерты отображаются алерты за последние 30 дней.