Kaspersky Unified Monitoring and Analysis Platform
База знаний Онлайн-справка
FAQ Обзор решения Форум Запрос в поддержку Обучающие видео Оставьте отзыв о KUMA
Правила реагирования с EDR-действиями
Скопировано

13 октября 2026

ID 300229

Скачать PDF
Свернуть все Развернуть все

Правила реагирования с EDR-действиями

Начиная с версии KUMA 3.4.1 и Kaspersky Endpoint Security для Windows 12.9 добавлена поддержка EDR-действий при реагировании на угрозы. При получении корреляционных событий KUMA будет выполнять EDR-действия. Для выполнения EDR-действий вам нужно предварительно настроить правила реагирования. В свойствах правил реагирования следует задать аргументы скриптов, которые доступны для скачивания по следующей ссылке:

https://box.kaspersky.com/d/579c0271a38e440b9144/

При срабатывании правила реагирования Kaspersky Endpoint Security выполняет EDR-действия и создает в Kaspersky Security Center следующие задачи:

  • onDemandScan.py – проверка важных областей.
  • ioCScan.py – поиск индикаторов компрометации.
  • quarantineFile.py – помещение файла на карантин.
  • deleteFile.py – удаление файла.
  • getFile.py – получение файла.
  • isolateHost.py – сетевая изоляция компьютера.
  • preventExecution.py – запрет запуска объектов.

    Для выполнения этой задачи важно убедиться, что в Kaspersky Security Center в разделе Активы (Устройства) → Политики и профили политик → <название политики Kaspersky Endpoint Security> → Параметры приложения → Detection and Response → Endpoint Detection and Response переключатель Запрет запуска ВЫКЛЮЧЕН находится в неактивном положении.

  • startProcess.py – запуск процесса.
  • terminateProcess.py – завершение процесса.

При настройке правил реагирования с EDR-действиями мы рекомендуем учитывать нагрузку на компьютер при запуске задач. Если в результате работы правил реагирования скрипты создадут слишком много задач, производительность компьютера может снизиться. Если запросов будет слишком много, будет выполняться ротация запросов независимо от того, был ли выполнен запрос. Kaspersky Endpoint Security позволяет создавать не более 100 задач. При достижении этого ограничения Kaspersky Endpoint Security выполняет ротацию задач в Kaspersky Security Center. Срок жизни задачи составляет 30 дней.

Задачи, создаваемые при выполнении правил реагирования из KUMA, отображаются в Kaspersky Endpoint Security того хоста, на котором запущено правило реагирования. В Kaspersky Security Center эти задачи не отображаются.

Информацию о выполнении EDR-действий вы можете посмотреть в Консоли администрирования Kaspersky Security Center с помощью отчетов. Kaspersky Endpoint Security формирует события с описанием в формате '[Response][kuma] $<script name> - $<date>';. Описание в таком формате позволяет создавать выборки событий для EDR-действий.

Предварительные условия

Перед настройкой правил реагирования с EDR-действиями убедитесь, что выполнены следующие условия:

  1. Настроена интеграция с Kaspersky Security Center.
  2. В Kaspersky Security Center создан отдельный пользователь, у которого есть права на выполнение всех задач Kaspersky Endpoint Security и задач, которые вы планируете запускать с помощью скриптов.
  3. Настроена интеграция с Kaspersky Endpoint Security для Windows. При установке Kaspersky Endpoint Security необходимо установить компонент EDR.
  4. На хосте с коррелятором выполнены следующие действия:
    1. Установлен Python версии 3.6 или выше и пакет Python KlAkOAPI.
    2. Скрипты скачаны по ссылке https://box.kaspersky.com/d/579c0271a38e440b9144/ и размещены в директории /opt/kaspersky/kuma/correlator/<Correlator ID>/scripts.
    3. Скрипты подключены к Kaspersky Security Center.

      Поскольку учетные данные не защищены, мы рекомендуем использовать отдельного пользователя Kaspersky Security Center, созданного в пункте 2, для подключения скриптов к Kaspersky Security Center, а также ограничить доступ к директории со скриптами. Для подключения следует открыть скрипты в режиме редактирования и оформить строки следующим образом:

      # KSC connection info

      # reads Environment variables by default, change with corresponding values

      # KSC host, string, required

      kscHost = "kscHost"

      # KSC port, required, default is "13299"

      kscPort = "13299"

      # KSC certificate file path, default is False

      kscCert = False

      # KSC user, string, required

      kscUser = "kscUser"

      # KSC password, string, required

      kscPassword = "kscPassword"

Настройка реагирования

Чтобы создать правило реагирования в корреляторе KUMA:

  1. В веб-интерфейсе KUMA в разделе Ресурсы и сервисы → Корреляторы создайте коррелятор или откройте действующий коррелятор в режиме редактирования.
  2. В мастере создания коррелятора на шаге Реагирование нажмите Добавить правило реагирования и в открывшемся окне Реагирование заполните следующие поля:
    1. В раскрывающемся списке Тип укажите тип правила реагирования Запуск скрипта.
    2. В поле Время ожидания укажите количество секунд, в течение которого должно завершиться выполнение скрипта. Если указанное значение будет превышено, выполнение скрипта прервется. Установите значение 600 (10 мин).
    3. В поле Название скрипта укажите название скрипта, например deleteFile.py.
    4. В поле Аргументы скрипта укажите параметры или значения полей событий, которые необходимо передать скрипту. Чтобы указывать неэкранированные символы в параметрах, используйте одинарные кавычки. Аргументы представлены для каждого скрипта в раскрывающихся блоках.

      onDemandScan.py – проверка важных областей

      ioCScan.py – поиск индикаторов компрометации

      quarantineFile.py – помещение файла на карантин

      deleteFile.py – удаление файла

      getFile.py – получение файла

      isolateHost.py – сетевая изоляция компьютера

      preventExecution.py – запрет запуска объектов

      startProcess.py – запуск процесса

      terminateProcess.py – завершение процесса

    5. В поле Обработчики укажите количество обработчиков, которые сервис может запускать одновременно для параллельной обработки правил реагирования. По умолчанию количество обработчиков соответствует количеству виртуальных процессоров сервера, на котором установлен сервис.
    6. При необходимости в поле Описание укажите произвольное описание правила реагирования.
    7. В поле Фильтр определите условия, при соответствии которым события будут обрабатываться с применением правила реагирования.
  3. Сохраните параметры и установите сервис коррелятора на сервере или перезапустите действующий коррелятор, чтобы применить параметры.

При получении корреляционного события с определенными полями будет срабатывать правило реагирования в KUMA, запускающее выполнение EDR-действия. В результате в Kaspersky Security Center будет создана и запущена соответствующая задача. Записи можно посмотреть в журналах Kaspersky Security Center и Kaspersky Endpoint Security.

Назад Правила реагирования через Active Directory
Работа с событиями Вперед
Вам помогла эта статья?
Что нам нужно улучшить?
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!