Поиск IOC

Индикатор компрометации (Indicator of Compromise, IOC) – набор данных об объекте или активности, который указывает на несанкционированный доступ к устройству (компрометация данных). Например, индикатором компрометации может быть большое количество неудачных попыток входа в систему.

Для поиска IOC используются IOC-файлы, содержащие набор индикаторов, при совпадении с которыми приложение считает событие алертом.

В Kaspersky Industrial CyberSecurity for Nodes предусмотрена задача Поиск IOC – групповая или локальная задача, которая использует IOC-файлы. В случае обнаружения совпадения с индикаторами компрометации приложение выполняет заданное в свойствах задачи Поиск IOC действие. Доступны следующие действия по реагированию на обнаруженные IOC:

• Изолировать устройство от сети.
• Запустить проверку важных областей.
• Копию объекта поместить на карантин, объект удалить.

Вы можете создавать задачу Поиск IOC следующими способами:

• Из деталей алерта.
• В Web Console.
  1. В главном окне Web Console выберите Управление активами → Задачи.

     Откроется список задач.

  2. Нажмите на кнопку Добавить.

     Запустится мастер создания задачи.

  3. Настройте параметры задачи:
     1. В раскрывающемся списке Приложение выберите Kaspersky Industrial CyberSecurity for Nodes.
     2. В раскрывающемся списке Тип задачи выберите Поиск IOC.
     3. В поле Название задачи, если необходимо, скорректируйте название задачи.
     4. В блоке Устройства, которым будет назначена задача выберите область действия задачи.
  4. Выберите устройства в соответствии с выбранным вариантом области действия задачи.
  5. Выберите учетную запись пользователя, права которого требуется использовать для запуска задачи.

     По умолчанию Kaspersky Industrial CyberSecurity for Nodes запускает задачу под системной учетной записью SYSTEM.

     У системной учетной записи SYSTEM отсутствуют права на выполнение задачи Поиск IOC на сетевых дисках. Если вы хотите выполнить задачу на сетевом диске, выберите учетную запись пользователя, у которого есть доступ к этому диску.

  6. Завершите работу мастера.

     В списке задач отобразится созданная задача.

  7. Нажмите на имя созданной задачи.

     Откроется окно свойств задачи.

  8. Выберите вкладку Параметры приложения.
  9. Перейдите в раздел Настройки поиска IOC.
  10. Загрузите IOC-файлы для поиска индикаторов компрометации.

      Не рекомендуем добавлять или удалять IOC-файлы после запуска задачи. Это может привести к некорректному отображению результатов поиска IOC для предыдущих запусков задачи. Для поиска индикаторов компрометации по новым IOC-файлам рекомендуем создавать новые задачи.

  11. Если необходимо, настройте ретроспективный поиск IOC. Режим работы задачи Поиск IOC, при котором Kaspersky Industrial CyberSecurity for Nodes выполняет поиск индикаторов компрометации в данных защищаемых устройств, полученных за указанный интервал времени. Приложение анализирует данные в журналах операционной системы и браузеров, установленных на защищаемом компьютере.

      Для работы задачи в режиме Ретроспективный поиск IOC необходимо, чтобы были загружены IOC-файлы для поиска индикаторов компрометации, включающие в себя один или несколько терминов из списка: FileItem/*, Network/*, PortItem/*, ProcessItem/*, RegistryItem/*, UrlHistoryItem/*.

      Выполните следующие действия:

      1. Установите флажок Включить Ретроспективный поиск IOC.
      2. Укажите период времени в днях, за который будет выполняться поиск. Максимальное значение – 14 дней.

         Во время выполнения задачи приложение анализирует данные, собранные за указанный вами период времени, начиная с момента запуска задачи.

         Значение по умолчанию – 1 день.

      3. В разделе Дополнительно свойств задачи проверьте, что установлены флажки напротив всех типов данных, упомянутых в загруженном IOC-файле.
      4. Если загруженный IOC-файл содержит индикатор компрометации с термином Network/*, установите флажок напротив типа данных Сетевые данные - NetworkItem, который по умолчанию снят.

      Задача Поиск IOC запустится в режиме ретроспективного поиска. В этом режиме приложение публикует для каждого файла результаты выполнения задачи в обычном режиме и результаты ретроспективного поиска IOC.

      Kaspersky Industrial CyberSecurity for Nodes отображает поля PID и UPID только для результатов ретроспективного поиска. Также при выключенном расширенном сборе телеметрии ретроспективный поиск IOC имеет следующие ограничения:

      • Приложение не заполняет поля Created, Modified, Changed, Accessed, FileAttributes для записей FileItem.
      • Для существующих файлов, которые не запускались, значения полей Md5sum, Sha256sum, SizeInBytes в результатах ретроспективного сканирования равны 0.
      • Для обнаруженных файлов, которые были удалены, приложение не рассчитывает хеш.
  12. Если необходимо, настройте действия, которые выполняет Kaspersky Industrial CyberSecurity for Nodes при обнаружении индикатора компрометации:
      1. Установите флажок Применять действия по реагированию при обнаружении IOC.
      2. Установите флажки напротив действий, которые выполняет Kaspersky Industrial CyberSecurity for Nodes при обнаружении индикатора компрометации:
         • Изолировать компьютер от сети. Если выбран этот вариант действия, то Kaspersky Industrial CyberSecurity for Nodes изолирует компьютер от сети для предотвращения распространения угрозы. Вы можете настроить время изоляции в параметрах компонента Endpoint Detection and Response (KSC).
         • Копию поместить на карантин, объект удалить. Если выбран этот вариант действия, то Kaspersky Industrial CyberSecurity for Nodes удаляет вредоносный объект, обнаруженный на компьютере. Перед удалением объекта Kaspersky Industrial CyberSecurity for Nodes формирует его резервную копию и помещает ее на карантин.
         • Запускать проверку важных областей. Если выбран этот вариант действия, то Kaspersky Industrial CyberSecurity for Nodes запускает предустановленную задачу Проверка важных областей.
  13. Перейдите в раздел Дополнительно.
  14. Выберите типы данных (IOC-документы), которые необходимо анализировать во время выполнения задачи.

      Kaspersky Industrial CyberSecurity for Nodes автоматически выбирает типы данных (IOC-документы) для задачи Поиск IOC в соответствии с содержанием загруженных IOC-файлов. Не рекомендуем самостоятельно отменять выбор типов данных.

      Для типа данных Реестр Windows - RegistryItem Kaspersky Industrial CyberSecurity for Nodes анализирует предустановленный набор разделов реестра.

  15. Если необходимо, настройте дополнительные параметры для типа данных Файлы - FileItem:
      1. Нажмите на кнопку IOC-документы.

         Откроется окно Настройки проверки файлов – FileItem.

      2. В блоке Искать IOC в следующих областях выберите данные, которые необходимо анализировать во время выполнения задачи.
      3. В блоке Проверять указанные области выберите области на дисках защищаемого устройства, в которых необходимо искать индикаторы компрометации.

         По умолчанию Kaspersky Industrial CyberSecurity for Nodes выполняет поиск IOC только в важных областях компьютера, таких как папки Загрузки, Рабочий стол, папка с временными файлами операционной системы и другие. Вы можете указать пути до нужных областей самостоятельно.

      4. Нажмите на кнопку ОК.
  16. Если необходимо, настройте дополнительные параметры для типа данных Журналы событий Windows - EventLogItem:
      1. Нажмите на кнопку Журналы и даты.

         Откроется окно Настройки проверки журнала событий Windows – EventLogItem.

      2. Чтобы во время выполнения задачи не учитывать события, зафиксированные ранее определенного момента, установите флажок Проверять только события, зафиксированные в течение указанного периода и укажите дату и время.
      3. В блоке Проверять события, относящиеся к следующим каналам выберите журналы событий Windows, которые необходимо анализировать во время выполнения задачи.
      4. Нажмите на кнопку ОК.

      При указании значения IOC-термина EventLogItem\source вам необходимо использовать значение параметра Provider Name из XML-схемы события.

  17. Настройте расписание запуска задачи на вкладке Расписание.
  18. Сохраните внесенные изменения.
  19. Установите флажок напротив задачи.
  20. Нажмите на кнопку Запустить.
• Из командной строки.

Вы можете просмотреть результаты выполнения задачи в свойствах задачи в разделе Результаты. Информацию об обнаруженных индикаторах компрометации вы можете посмотреть в свойствах задачи Параметры приложения → Результаты поиска IOC.

Kaspersky Industrial CyberSecurity for Nodes выполняет поиск дубликатов среди записей, полученных по одному IOC-файлу, и сохраняет в результатах задачи только уникальные записи. Дубликатами считаются записи одного типа, у которых совпадают значения всех сравниваемых полей. Также приложение может не создавать записи при отсутствии у них значений одного или нескольких полей.

В окне Детали алерта могут присутствовать записи RegistryItem с одинаковыми значениями полей. Данные записи не являются дубликатами, так как различаются значением поля Text, не отображающегося в интерфейсе.

Срок хранения результатов поиска IOC составляет 30 дней. По истечении этого времени Kaspersky Industrial CyberSecurity for Nodes автоматически удаляет старые записи.

Поиск IOC прерывается при обнаружении 128 совпадений с индикаторами компрометации, описанными в IOC-файлах. Это необходимо для ограничения количества записей в отчете задачи Поиск IOC для удобства его анализа и защиты отчета от переполнения из-за неточно сформулированных индикаторов компрометации, для которых совпадений может быть очень много.

Подробнее о создании задачи поиска IOC в Kaspersky Endpoint Agent (при использовании Kaspersky Industrial CyberSecurity for Nodes версии от 3.1 до 4.0) и Kaspersky Industrial CyberSecurity for Linux Nodes см. в справке Kaspersky Endpoint Agent и справке Kaspersky Industrial CyberSecurity for Linux Nodes.