Kaspersky Endpoint Detection and Response Optimum

Kaspersky Endpoint Detection and Response Optimum (далее также "EDR Optimum") - решение, предназначенное для защиты IT-инфраструктуры организации от сложных кибер-угроз. Функционал решения сочетает автоматическое обнаружение угроз с возможностью реагирования на эти угрозы для противостояния сложным атакам, в том числе новым эксплойтам (exploits), программам-шантажистам (ransomware), бесфайловым атакам (fileless attacks), а также методам, использующим законные системные инструменты. Подробнее о решении см. в справке Kaspersky Endpoint Detection and Response Optimum.

В Kaspersky Industrial CyberSecurity for Nodes версии 4.5 добавлен встроенный агент для работы в составе решения EDR Optimum 2.0 и выше.

Архитектура решения

Решение состоит из следующих компонентов:

• Kaspersky Industrial CyberSecurity for Nodes устанавливается на отдельные устройства, входящие в IT-инфраструктуру организации и работающие под управлением операционной системы Windows. Приложение осуществляет постоянное наблюдение за процессами, запущенными на этих устройствах, открытыми сетевыми соединениями и изменяемыми файлами.
• Kaspersky Security Center с Kaspersky Security Center Web Console позволяют централизованно управлять решением и его настройками.

Принцип работы решения

EDR Optimum выполняет обзор и анализ развития угрозы и предоставляет Сотруднику службы безопасности или Администратору информацию о потенциальной атаке, необходимую для принятия своевременных действий по реагированию. EDR Optimum показывает детали алерта в отдельном окне. Алерт – это событие в ИТ-инфраструктуре организации, которое приложение отметило как необычное или подозрительное и которое может представлять угрозу безопасности ИТ-инфраструктуры организации.

Детали алерта – инструмент для просмотра всей собранной информации об обнаруженной угрозе. Детали алерта содержат, например, историю появления файлов на компьютере.

Решение использует следующие средства анализа угроз (Threat Intelligence):

• Инфраструктуру облачных служб Kaspersky Security Network (далее также "KSN"), предоставляющую доступ к оперативной базе знаний "Лаборатории Касперского" о репутации файлов, веб-ресурсов и программного обеспечения. Использование данных Kaspersky Security Network обеспечивает более высокую скорость реакции программ "Лаборатории Касперского" на угрозы, повышает эффективность работы некоторых компонентов защиты, а также снижает вероятность ложных срабатываний.
• Интеграцию с программой "Лаборатории Касперского" Kaspersky Private Security Network (далее также "KPSN"), предоставляющую пользователю возможность получать доступ к репутационным базам KSN, а также другим статистическим данным, не отправляя данные в KSN со своих компьютеров.
• Интеграцию с информационной системой "Лаборатории Касперского" Kaspersky Threat Intelligence Portal, которая содержит и отображает информацию о репутации файлов и URL-адресов.
• Базу угроз "Лаборатории Касперского" Kaspersky Threats.

Реагирование на угрозы

Функционал реагирования на угрозы имеет следующие автоматические действия, которые выполняет приложение при обнаружении угроз:

• Помещение объекта на карантин.
• Удаление файла.
• Сетевая изоляция устройства.
• Запуск проверки важных областей на устройстве.
• Запуск поиска индикаторов компрометации (IOC) на группе устройств.

Дополнительно Сотруднику службы безопасности или Администратору доступны следующие действия:

• Помещение объекта в список правил Запрета запуска.
• Запуск процесса на устройстве.
• Завершение процесса на устройстве.

При использовании приложения версии 4.5 и выше в составе решения EDR Optimum, для работы с деталями алертов необходимо обновить Веб-плагин Endpoint Detection and Response до версии 15.1 или выше. В противном случае, если установлен Веб-плагин Kaspersky Endpoint Agent, цепочки развития угроз в карточках инцидентов, открытые этим Веб-плагином, могут содержать ограниченные данные или ошибки.

Функциональность Kaspersky Industrial CyberSecurity for Nodes 4.5

Kaspersky Industrial CyberSecurity for Nodes в рамках решения EDR Optimum выполняет следующие действия:

• Собирает информацию об обнаружениях.
• Дополняет информацию о заключениях данными, связанными с обнаружением.
• Отправляет данные в Kaspersky Security Center для формирования деталей алерта.
• Запускает задачи поиска индикаторов компрометации (IOC) на группах защищаемых устройств.
• Выполняет действия в отношении обнаруженных индикаторов компрометации, например:
  • включает сетевую изоляцию устройства;
  • запускает проверку важных областей на устройстве.

Поддержка предыдущих версий Kaspersky Industrial CyberSecurity for Nodes

Если вы используете Kaspersky Industrial CyberSecurity for Nodes версии ниже 4.5 для взаимодействия с EDR Optimum, необходимо установить приложение Kaspersky Endpoint Agent. Kaspersky Industrial CyberSecurity for Nodes 4.5 использует встроенный агент для взаимодействия с EDR Optimum.