Поиск индикаторов компрометации (IOC)
Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к компьютеру (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему.
Задача поиска IOC – групповая или локальная задача, которая использует IOC-файлы, содержащие набор индикаторов компрометации. В случае обнаружения совпадения с индикаторами компрометации приложение выполняет заданное в свойствах задачи Поиск IOC действие.
Если вы хотите добавить индикаторы компрометации, ознакомьтесь с требованиями к IOC-файлам.
Вы можете создавать задачи Поиск IOC следующими способами:
- В деталях алерта.
Детали алерта – инструмент для просмотра всей собранной информации об обнаруженной угрозе. Детали алерта содержат, например, историю появления файлов на компьютере. Подробнее о работе с деталями алерта см. в справке Kaspersky Endpoint Detection and Response Optimum.
- В Web Console.
- В командной строке.
Как создать, настроить и запустить задачу Поиск IOC в Web Console
Как настроить и запустить задачу Поиск IOC из командной строки
Вы можете просмотреть результаты выполнения задачи в свойствах задачи в разделе Результаты. Информацию об обнаруженных индикаторах компрометации вы можете посмотреть в свойствах задачи Параметры приложения → Результаты поиска IOC.
Kaspersky Industrial CyberSecurity for Nodes выполняет поиск дубликатов среди записей, полученных по одному IOC-файлу, и сохраняет в результатах задачи только уникальные записи. Дубликатами считаются записи одного типа, у которых совпадают значения всех сравниваемых полей. Также приложение может не создавать записи при отсутствии у них значений одного или нескольких полей (см. таблицу ниже).
Тип | Сравниваемые поля | Условие, при котором запись не создается |
|---|---|---|
FileItem |
|
|
RegistryItem |
| У записи отсутствует значение какого-либо из следующих полей: Hive, KeyPath, ValueName. |
ProcessItem |
| У записи отсутствуют значения полей startTime или PID. |
В окне Детали алерта могут присутствовать записи RegistryItem с одинаковыми значениями полей. Данные записи не являются дубликатами, так как различаются значением поля Text, не отображающегося в интерфейсе.
Срок хранения результатов поиска IOC составляет 30 дней. По истечении этого времени Kaspersky Industrial CyberSecurity for Nodes автоматически удаляет старые записи.
Поиск IOC прерывается при обнаружении 128 совпадений с индикаторами компрометации, описанными в IOC-файлах. Это необходимо для ограничения количества записей в отчете задачи Поиск IOC для удобства его анализа и защиты отчета от переполнения из-за неточно сформулированных индикаторов компрометации, для которых совпадений может быть очень много.
