Исключения EDR-телеметрии

Исключенные процессы

Оптимизировать объем отправляемой телеметрии. Kaspersky Industrial CyberSecurity for Nodes позволяет оптимизировать объем отправляемых данных и исключить из телеметрии события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB, службы WinRM и процесса Агента администрирования klnagent.exe, а также расширенную информацию о типе сетевых пакетов для всех типов сетевых протоколов.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Использовать для следующих типов событий:

• Изменение файла.
• Сетевые события.
• Интерактивный ввод команд в консоли.
• Модуль загружен.
• Изменение в реестре.
• Логи DNS.
• Доступ к процессу.
• Внедрение в код.
• Запрос WMI.
• Канал.
• LDAP.
• AMSI.

Исключенные сетевые коммуникации

• Название правила. Имя правила.
• Направление. Входящие или исходящие события.
• Протокол. Тип протокола.
• Сырой сокет. Параметр, определяющий, использовать ли сырой сокет.
• Номер протокола. Номер протокола.
• TLS-сертификат. Цифровой сертификат, который используется для обеспечения защищенного соединения между клиентом и сервером с помощью протокола TLS.
• Локальный порт или диапазон. Конкретный порт или диапазон возможных значений локальных портов.
• Удаленный порт или диапазон. Конкретный порт или диапазон возможных значений удаленных портов.
• Локальный адрес. Сетевой адрес компьютера, для которого Kaspersky Industrial CyberSecurity for Nodes исключает телеметрию из сетевого трафика.
• Удаленный адрес. Сетевой адрес компьютера, для которого Kaspersky Industrial CyberSecurity for Nodes исключает телеметрию из сетевого трафика.

  Для IP-адресов поддерживается только формат IPv4.

• Приложения. Список исполняемых файлов приложений, для которых Kaspersky Industrial CyberSecurity for Nodes исключает EDR-телеметрию из сетевого трафика.

Исключенные операции с файлами

• Название правила. Имя правила.
• Имя или маска файла. Имя или маска имени файла или папки, при доступе к которым Kaspersky Industrial CyberSecurity for Nodes применяет правило исключения. Kaspersky Industrial CyberSecurity for Nodes поддерживает символы * и ? для ввода маски.
• Тип операции. Тип операций с файлами, например, создание файла или изменение атрибутов файла.
• Предыдущий путь. Предыдущий путь к файлу.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Родительский путь. Путь до папки, в которой находится файл.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные операции с DNS

• Название правила. Имя правила.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

DNS:

• IP-адрес DNS-сервера. Адрес сервера, обрабатывающего DNS-запросы.
• Настройки запроса. Параметры, регулирующие формат и условия DNS-запроса.
• Статус. Текущее состояние операции с DNS.
• Имя домена. Доменное имя, для которого выполняется запрос.
• ID типа настроек. Уникальный идентификатор типа DNS-настроек.
• Ответная информация. Данные, возвращаемые сервером в ответ на DNS-запрос.

Исключенные операции с LDAP

• Название правила. Имя правила.
• Область поиска LDAP. Область, в которой выполняется поиск в LDAP.
• Фильтр. Критерии поиска для фильтрации LDAP-объектов.
• Отличительное имя для поиска объектов в LDAP. Уникальное имя объекта для поиска в LDAP.
• Атрибуты объекта. Характеристики объектов, которые будут извлечены в LDAP-запросе.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные запросы доступа к процессу

Название правила. Имя правила.

Тип операции. Тип операции доступа к процессу, например, "любой" или "открыть".

Запрошенный доступ к процессу. Уровень доступа к процессу.

Трассировка стека вызовов. Информация о последовательности вызовов функций, связанная с доступом к процессу.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе, Информация о родительском процессе, Файл целевого процесса, Дескриптор исходного процесса и Дескриптор целевого процесса.

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные внедрения в код

• Название правила. Имя правила.
• Метод доступа. Метод доступа, использованный для внедрения в код.
• Стек вызовов. Последовательность вызовов функций, связанная с внедрением в код.
• Измененная командная строка. Командная строка, которая была изменена в процессе внедрения.
• Адрес внедрения. Место в памяти, где произошло внедрение.
• Имя внедряемой библиотеки DLL. Название динамически подключаемой библиотеки (DLL), использованной для внедрения.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные запросы WMI

• Название правила. Имя правила.
• Тип операции WMI. Вид операции, выполняемой с использованием WMI.
• Удаленный запрос. Информация о том, был ли запрос WMI выполнен удаленно.
• Имя компьютера, с которого выполнена команда WMI. Название компьютера, инициировавшего запрос.
• Учетная запись пользователя WMI. Учетная запись пользователя, использованная для запроса WMI.
• Выполненная команда WMI. Конкретная команда, выполненная через WMI.
• Пространство имен WMI. Пространство имен, в котором была выполнена операция WMI.
• Фильтр потребителя событий WMI. Фильтр, используемый для обработки событий в WMI.
• Имя созданного потребителя событий WMI. Имя потребителя событий, созданного с помощью WMI.
• Исходный код потребителя событий WMI. Код, использованный для создания потребителя событий WMI.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные операции с каналами

• Название правила. Имя правила.
• Имя канала. Название канала.
• Тип операции. Тип операций с каналами, например, создание или подключение.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные изменения реестра

• Название правила. Имя правила.
• Тип операции. Вид операции, выполняемой с реестром, например, добавление, удаление, изменение.
• Путь. Путь к ключу или разделу реестра, в котором произошли изменения.
• Имя значения. Название значения в реестре, которое было изменено.
• Значение. Новое или измененное значение в реестре.
• Полное имя файла реестра. Полный путь к файлу реестра, в котором были внесены изменения.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.

Информация о процессе и Информация о родительском процессе:

• Полный путь. Полный путь к файлу, включая его имя и расширение. Kaspersky Industrial CyberSecurity for Nodes поддерживает переменные среды и символы * и ? для ввода маски.
• Текст командной строки. Команда для запуска файла.
• Описание. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
• Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
• Версия. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
• Контрольные суммы файла. MD5 и SHA256.

Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла.

В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки C:\windows\system32 необходимо вводить вручную, так как приложение заполняет параметры исполняемого файла процесса из свойств 32-разрядной версии этого же исполняемого файла, расположенного в папке C:\windows\syswow64. Например, если вы выберете файл C:\windows\system32\cmd.exe, то плагин отобразит параметры файла C:\windows\syswow64\cmd.exe. Такое поведение связано с особенностями операционной системы.

Исключенные операции с устройствами

• Название правила. Имя правила.
• Тип устройства. Тип устройства: локальный принтер, съемный диск, CD/DVD-привод и так далее. Более подробно см. в разделе О правилах доступа к устройствам.
• Идентификатор устройства. Уникальный идентификатор, с помощью которого можно определить конкретный экземпляр устройства.
• Название устройства. Имя устройства.

Kaspersky Industrial CyberSecurity for Nodes применяет критерии срабатывания по правилу логического И.