SCAN-IOC. Поиск IOC
Команда KAVSHELL SCAN-IOC позволяет настраивать и запускать задачу Поиск IOC.
Синтаксис команды
KAVSHELL SCAN-IOC <full path to IOC file> [/PATH:<path to folder with IOC files>] [/PROCESS=no] [/HINT=<full path to the executable file of the process|full path to file>]
[/REGISTRY=no] [/DNSENTRY=no] [/ARPENTRY=no] [/PORTS=no] [/SERVICES=no] [/SYSTEM=no] [/USERS=no] [/VOLUMES=no] [/EVENTLOG=no] [/DATETIME=<event publication date>] [/CHANNELS=<list of channels>]
[/FILES=no] [/DRIVES=<all|system|critical|custom>] [/NETWORK=no] [/URL=no] [/EMAIL=no] [/ROUTE=no] [/RETRO] [/DEPTH=<1-14>] [/EXCLUDES=<list of exclusions>] [/SCOPE=<configurable list of folders>]
Параметры команды
Параметры | Описание |
| Полный путь к IOC-файлу с расширением ioc или xml, по которому требуется выполнять поиск. Обязательный параметр, если не задан параметр |
| Путь к папке с IOC-файлами, по которым требуется выполнять поиск. Обязательный параметр, если не задан параметр |
| Необязательный параметр. Параметр выключает анализ данных о процессах при проверке. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет данные о процессах, только если IOC-документ ProcessItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр позволяет сузить область анализируемых данных для проверки IOC-документов ProcessItem и FileItem, путем указания конкретного файла. В качестве значения параметра может быть задан:
Параметр может быть передан только совместно с аргументами |
| Необязательный параметр. Параметр выключает анализ разделов реестра (IOC-документ RegistryItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes анализирует реестр, только если IOC-документ RegistryItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о записях в локальном кеше DNS (IOC-документ DnsEntryItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет локальный кеш DNS, только если IOC-документ DnsEntryItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о записях в ARP-таблице (документ ArpEntryItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет ARP-таблицу, только если IOC-документ ArpEntryItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о портах, открытых на прослушивание (документ PortItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет таблицу активных соединений, только если IOC-документ PortItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о службах, установленных на устройстве (документ ServiceItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет данные о службах, только если IOC-документ ServiceItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных об окружении (IOC-документ SystemInfoItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes анализирует данные об окружении, только если IOC-документ SystemInfoItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о пользователях (IOC-документ UserItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes анализирует данные о пользователях, созданных в системе, только если IOC-документ UserItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о томах (документ VolumeItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет данные о томах, только если IOC-документ VolumeItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ данных о записях в журнале событий Windows (документ EventLogItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет записи в журнале событий Windows, только если IOC-документ EventLogItem описан в переданном на проверку IOC-файле. При указании значения IOC-термина EventLogItem\source вам необходимо использовать значение параметра Provider Name из XML-схемы события. |
| Необязательный параметр. Параметр позволяет включать и выключать учет даты публикации события в журнале событий Windows при определении области поиска IOC для соответствующего IOC-документа. При поиске IOC Kaspersky Industrial CyberSecurity for Nodes будет обрабатывать только события, опубликованные в период с указанного времени и даты и до момента выполнения задачи. В качестве значения параметра Kaspersky Industrial CyberSecurity for Nodes позволяет задать дату публикации события. Проверка будет выполняться только для событий, опубликованных в журнале событий Windows после указанной даты и до момента выполнения проверки. Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes проверяет события с любой датой публикации. Параметр используется, только если IOC-документ EventLogItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр позволяет передать список имен каналов (журналов), для которых требуется выполнить поиск IOC. Если этот параметр передан, при выполнении задачи поиска IOC Kaspersky Industrial CyberSecurity for Nodes будет учитывать только события, опубликованные в указанных журналах. Имя журнала задается в формате строки, в соответствии с именем журнала (канала), указанного в свойствах этого журнала (параметр Full Name) или в свойствах события (параметр <Channel></Channel> в xml-схеме события). По умолчанию (в том числе, если параметр не передан) поиск IOC выполняется для каналов Application, System, Security. Параметру может быть передано несколько значений (через пробел). Параметр используется только в том случае, если IOC-документ EventLogItem описан в переданном на проверку IOC. |
| Необязательный параметр. Параметр выключает анализ данных о файлах (IOC-документ FileItem) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes анализирует данные о файлах, только если IOC-документ FileItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр позволяет задать область поиска IOC при анализе данных для IOC-документа FileItem. Можно задать одно из следующих значений параметра:
Если параметр не передан, проверка выполняется в критических областях. |
| Необязательный параметр. Параметр выключает поиск угроз на основе IOC-документа Network при поиске IOC. Если параметр передан со значением <no>, Kaspersky Industrial CyberSecurity for Nodes не выполняет поиск угроз на основе IOC-документа Network. Если в IOC-файле указаны термины IOC-документа Network, они игнорируются (определяются как отсутствие совпадения). Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes включает поиск угроз на основе IOC-документа Network, только если IOC-документ Network описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает поиск угроз на основе IOC-документа UrlHistoryItem при поиске IOC. Если параметр передан со значением <no>, Kaspersky Industrial CyberSecurity for Nodes не выполняет поиск угроз на основе IOC-документа UrlHistoryItem. Если в IOC-файле указаны термины IOC-документа UrlHistoryItem, они игнорируются (определяются как отсутствие совпадения). Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes включает поиск угроз на основе IOC-документа UrlHistoryItem, только если IOC-документ UrlHistoryItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр выключает анализ почтовых объектов (IOC-документ Email) при поиске IOC. Если параметр передан со значением Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes анализирует почтовые объекты, только если IOC-документ Email описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр включает поиск угроз на основе IOC-документа RouteEntryItem при поиске IOC. Если параметр передан со значением <no>, Kaspersky Industrial CyberSecurity for Nodes не выполняет поиск угроз на основе IOC-документа RouteEntryItem. Если в IOC-файле указаны термины IOC-документа UrlHistoryItem, они игнорируются (определяются как отсутствие совпадения). Если параметр не передан, Kaspersky Industrial CyberSecurity for Nodes включает поиск угроз на основе IOC-документа RouteEntryItem, только если IOC-документ RouteEntryItem описан в переданном на проверку IOC-файле. |
| Необязательный параметр. Параметр передается для запуска задачи в режиме Ретроспективный поиск IOC. Дополнительно с этим параметром можно передать временной интервал, в рамках которого программа должна выполнять ретроспективный поиск IOC, при помощи параметра Пример:
Если временной интервал не передан, то используется значение по умолчанию – 1 день. |
| Необязательный параметр. Параметр позволяет задать области исключений при анализе данных для IOC-документа FileItem. В параметре можно передать несколько путей через пробел. Если параметр не передан, проверка выполняется без исключений. |
| Необязательный параметр. Параметр становится обязательным, если передан параметр / Параметр позволяет задать список областей проверки. В параметре можно передать несколько путей через пробел. |
Если команда была выполнена успешно (код 0) и в процессе выполнения были обнаружены индикаторы компрометации, Kaspersky Industrial CyberSecurity for Nodes выводит в командную строку следующие данные о результатах выполнения задачи:
Данные, которые приложение выводит в командную строку при обнаружении IOC
| Идентификатор IOC-файла из заголовка структуры IOC-файла (тег |
| Описание IOC-файла из заголовка структуры IOC-файла (тег |
| Перечень идентификаторов всех сработавших индикаторов. |
| Данные о каждом документе IOC, в котором было найдено совпадение. |
| Дата создания файла, в котором обнаружены индикаторы компрометации. |
| Только для FileItem. Время создания объекта, в котором обнаружены индикаторы компрометации. |
| Идентификатор процесса, для которого обнаружены индикаторы компрометации. |
| Уникальный идентификатор процесса, для которого обнаружены индикаторы компрометации. |
| Идентификатор родительского объекта, содержащего процесс, для которого обнаружены индикаторы компрометации. |
| Имя пользователя, который вносил изменения в объект сканирования. |
| Время запуска процесса, для которого обнаружены индикаторы компрометации. |
