Поиск IOC

Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к устройству (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему.

При выполнении задачи поиска IOC проверка по IOC-терминам (свойствам IOC-объекта, например, хеш-сумме файла) выполняется только в основном пространстве имен операционной системы. Задача поиска IOC не вычисляет хеш-суммы файлов размером более 200 МБ.

Для поиска индикаторов компрометации Kaspersky Industrial CyberSecurity for Linux Nodes использует IOC-файлы, подготовленные пользователем. Если вы хотите добавить индикатор компрометации вручную, ознакомьтесь с требованиями к IOC-файлам. Если IOC-файл не соответствует требованиям, приложение не сможет его использовать.

Идентификаторы всех IOC-файлов, которые используются в одной задаче поиска IOC, должны быть уникальными. Если вы загружаете несколько IOC-файлов с одинаковыми идентификаторами, то приложение использует только один из этих IOC-файлов. Остальные IOC-файлы будут автоматически исключены.

Создание задачи Поиск IOC

Вы можете создавать задачу Поиск IOC вручную следующими способами:

• В деталях алерта.

  Детали алерта – инструмент для просмотра всей собранной информации об обнаруженной угрозе. Детали алерта содержат, например, историю появления файлов на компьютере.

• С помощью мастера создания задач.
• Локально в командной строке.

Подробнее о создании задачи поиска IOC в Kaspersky Endpoint Agent (при использовании Kaspersky Industrial CyberSecurity for Nodes версии от 3.1 до 4.0) и Kaspersky Industrial CyberSecurity for Nodes см. в справке Kaspersky Endpoint Agent и справке Kaspersky Industrial CyberSecurity for Nodes.