Угрозы

Execution map

Графическое представление последовательности действий файла и взаимосвязи между ними. Корневой узел дерева представляет исполняемый файл.

—

Каждый элемент дерева отмечен в соответствии с его уровнем опасности (High, Medium или Low).

Можно нажать на элемент дерева и просмотреть подробную информацию о нем. Также можно масштабировать схему работы, прокручивая ее область.

Suspicious activities

Зарегистрированные подозрительные действия.

Zone – зона (уровень) опасности зарегистрированного действия (High, Medium, Low).

Severity – числовое значение уровня опасности зарегистрированного действия (целое число 1–999).

Description – описание подозрительного действия. Например, "Executable has obtained the privilege", "The file has been dropped and executed" или "The process has injected binary code into another process". Некоторые описания содержат коды по классификации угроз MITRE ATT&CK. Например, "MITRE: T1082 System Information Discovery".

—

TTPs&MITRE

Эта таблица содержит информацию об известных тактиках, технологиях и процедурах (TTP), а также сопоставление с классификацией MITRE ATT&CK для выполняемого объекта.

—

Все элементы таблицы кликабельны и ведут на веб-сайт MITRE ATT&CK.

Для просмотра субтехник (при наличии) можно развернуть определенные элементы.

Sandbox detection names

Обнаруженные объекты, зарегистрированные во время выполнения файла.

Zone – зона (уровень) опасности, к которой относится объект (Clean, Adware and other, Malware, Not categorized).

Name – название обнаруженного объекта (например, HEUR:Exploit.Script.Blocker). Каждый элемент в списке кликабелен – по нему можно перейти к его описанию на сайте угроз "Лаборатории Касперского". При нажатии на элемент хеш объекта передается в облачную инфраструктуру "Лаборатории Касперского".

Элементы в таблице сортируются в поле Zone по статусу от Malware до Not categorized.

Triggered IDS rules

Правила Suricata, сработавшие при анализе трафика из исполняемого файла.

Zone – зона (уровень) опасности сетевого трафика, обнаруженного правилом Suricata (High, Medium, Low, Info).

Rule – название правила Suricata.

MITRE – ссылка на соответствующую технику MITRE ATT&CK.

Элементы в таблице сортируются в поле Zone по статусу от High до Info.

YARA detects

Правила YARA, которые срабатывали при анализе трафика от выполняемого файла и от файлов, переданных или измененных во время выполнения.

YARA rule – название сработавшего правила YARA.

File type – источник файла, обнаруженный правилом YARA (Sample, Transferred, Dropped).

MD5 – MD5-хеш файла, обнаруженного правилом YARA. Элементы кликабельны. Вы можете скопировать элемент в буфер обмена (пункт раскрывающегося списка Copy to clipboard) или перейти на Kaspersky Threat Intelligence Portal (пункт раскрывающегося списка Lookup).

Tags – теги правила YARA.

—

Triggered custom IDS rules

Правила Suricata, сработавшие при анализе трафика из исполняемого файла.

Эта таблица отображается, если был загружен файл пользовательских правил Suricata.

Message – указанное пользователем сообщение, возвращаемое при срабатывании правила.

Signature ID – указанный пользователем числовой идентификатор правила. Каждое правило в наборе имеет уникальный идентификатор.

Revision – версия правила, указанная пользователем. Пользовательские версии позволяют изменять номера версий одного и того же правила, сохраняя при этом один и тот же идентификатор Signature ID.

Details – подробная информация о сработавшем правиле, возвращаемая сканером Suricata. Структура ответа содержит данные, полученные непосредственно от сканера Suricata. Более подробную информацию о структуре данных можно найти в документации Suricata.

—