Предоставление данных

Для корректной работы компонентов Kaspersky Managed Detection and Response требуется обработка данных на стороне "Лаборатории Касперского". Компоненты не отправляют данные без разрешения администратора Kaspersky Managed Detection and Response.

Список пользовательских данных зависит от региона, в котором используется решение. Для вашего региона список пользовательских данных может отличаться от приведенного в этом разделе.

"Лаборатория Касперского" обеспечивает защиту всех полученных данных в соответствии с законодательством и применимыми правилами "Лаборатории Касперского". Данные передаются по безопасным каналам связи.

Список данных о событиях, происходящих на устройствах Пользователя

В целях выявления новых комплексных угроз безопасности данных и их источников, а также угроз вторжения, и принятия оперативных мер по усилению защиты данных, хранящихся и обрабатываемых Клиентом с помощью компьютера, для получения Услуги Клиент обязуется автоматически предоставлять следующие данные:

• Дата установки и активации программного обеспечения, полные имя и версия программного обеспечения, включая информацию об установленных обновлениях и языковой локализации программного обеспечения.
• Данные об установленном на компьютере программном обеспечении, включая версию операционной системы дату ее загрузки и установленных обновлений, объектах ядра, драйверах, службах, точках автозапуска, программах, которые запускаются автоматически при различных системных событиях (например, запуск операционной системы, вход пользователя в систему и т. д.), и их конфигурациях, расширениях браузеров, расширениях Microsoft Internet Explorer, расширениях системы печати, расширениях Проводника Windows, расширениях оболочки операционной системы, контрольных суммах загруженных объектов (MD5), элементах Active Setup, приложениях панели управления, версиях браузеров и почтовых клиентов.
• Данные о разрешенных возможностях на основе файловой системы, эффективный бит возможностей файловой системы, версия возможностей файловой системы, переменные среды, имена системных вызовов.
• Данные об унаследованных возможностях на основе файловой системы.
• Данные об имени компьютера, IP-адресах, шлюзах по умолчанию, MAC-адресах и оборудовании, включая контрольную сумму серийного номера жесткого диска, последние 12 байтов идентификатора компьютерной безопасности (SID), идентификатор зоны безопасности, извлеченный из потока NTFS, атрибуты учетной записи компьютера в Active Directory, включая содержимое msDS-AllowedToActOnBehalfOfOtherIdentity, dNSHostName, distinguishedName, sAMAccountName, userAccountControl.
• Данные о программных средствах, используемых для устранения проблем в программном обеспечении, установленном на компьютере Пользователя или для изменения его функциональных возможностей, а также коды возврата, полученные после установки каждого элемента программного обеспечения.
• Данные о состоянии антивирусной защиты компьютера, включая версию, дату и время выпуска используемых антивирусных баз, статистику обновлений и подключений к службам "Лаборатории Касперского", идентификаторы задания, идентификаторы и версии программных компонентов, выполняющих проверку, флаги, обозначающие внутреннюю тестовую среду Kaspersky, коды первичной ошибки для конкретного события, коды вторичной ошибки для конкретного события, порядковые номера событий.
• Лицензионный ключ и серийный номер приложений "Лаборатории Касперского", названия и версии этих приложений. Идентификаторы установок приложений "Лаборатории Касперского", описание клиента из файла информации о лицензии.
• Данные об учетных записях пользователей: имя учетной записи, имя пользователя, идентификатор операционной системы, информация для входа, права, членство в группах, типы сеансов входа в систему, имя пакета аутентификации, имена доменов, DNS имена, используемые при аутентификации сеансов входа в систему, имя сервера, используемого для аутентификации, основное имя пользователя (UPN) учетной записи, SID, атрибуты учетной записи в Active Directory, включая адрес, altSecurityIdentities, sAMAccountName.
• Полное содержимое журналов операционной системы.
• Данные системных вызовов.
• Данные об обнаружениях от приложений "Лаборатории Касперского", поддерживающих работу Kaspersky Managed Detection and Response.
• Данные о полученных электронных письмах, включая: адреса электронной почты отправителя и получателя, тему, информацию о вложениях: имя прикрепленного файла, размер, хеш (MD5), результаты анализа формата файла.
• Данные о координатах области экрана, с которой снят снимок экрана.
• Данные о сетевых подключениях, включая IP-адреса и порты отправителя и получателя, индексы зон IPv6, информация о направлении сетевого подключения (входящее/исходящее), типы и маски выполненных DNS-запросов, коды ошибок для операции запроса DNS, действия по реагированию на запрос DNS, информация о запрошенном DNS-сервере.
• Данные и методы подключения HTTP, включая посещенные веб-адреса, значения Referrer URL-адресов, агентов пользователей, сведения о рукопожатии TLS: версию протокола TLS, зашифрованное имя сервера из расширения SNI, MD5-хеш и SHA1-хеш сертификата, общее имя основного субъекта и список DNS-имен дополнительных субъектов, название издателя сертификата, серийный номер сертификата, выданного издателем, результат проверки сертификата, использованный инструмент шифрования, период проверки сертификата, десятичные значения JA3 для hello-пакетов клиента и сервера и их хеш MD5, а также данные протокола сетевой аутентификации: MD5-хеш данных Kerberos-аутентификации, имя учетной записи или компьютера, имя области Kerberos, которой принадлежит имя сервера, домен, к которому принадлежит имя клиента, основное имя пользователя (UPN) учетной записи, криптографический пакет, который использовался для выданного билета Kerberos, маска флагов билета Kerberos в шестнадцатеричном формате, время выдачи билета Kerberos, время истечения срока действия билета Kerberos, окончательный срок действия билета (после которого билет не может быть продлен), имя контроллера домена, используемого для выдачи тикета Kerberos.
• Данные о протоколах прикладного уровня: объем поискового запроса LDAP, фильтр для поискового запроса LDAP, отличительное имя для поискового запроса LDAP, список атрибутов для поискового запроса LDAP.
• Данные о .Net: полное имя загруженной сборки .NET, флаги сборки для загруженной сборки .NET, флаги модуля для загруженного .NET-модуля, имя домена, в который загружена сборка .NET, флаги для сгенерированной заглушки MSIL, данные управляемого метода: пространство имен управляемого метода взаимодействия, имя управляемого метода взаимодействия, сигнатура управляемого метода взаимодействия, сигнатура собственного метода, сигнатура метода-заглушки.
• Данные о файлах, обрабатываемых в операционной системе: имя и путь, размер, атрибуты, типы файлов и объектов, результаты анализа формата файла, контрольная сумма (MD5), веб-адрес, с которого был загружен файл, адрес электронной почты отправителя, от которого был получен файл, и тема сообщения электронной почты, содержимое файловой системы, структуры VERSIONINFO из метаданных файла, информация об издателе, если файл подписан, ID пользователя-владельца файла, идентификатор группы владельцев файла, время последнего доступа к файлу, время последнего изменения метаданных файла, время создания файла, маски флагов проверки цифровой подписи, временные метки и коды операций над файлами и объектами, количество запусков исполняемого файла, идентификатор формата файла, полный путь к объекту и пути к контейнеру объекта, содержимое файла автозапуска, имя файла и путь к файлу на удаленном сетевом ресурсе, к которому выполняется обращение.
• Содержимое каталога "\etc\".
• Данные выводов команд.
• Данные auditd: результат операции, описание операции, тип события, пользователь операции.
• Данные о процессе: идентификатор процесса (PID), трассировка вызова процесса, информация об исполняемом файле процесса и его командной строки, информация о родительском процессе, MD5-хеш кода ошибки вычисления исполняемого файла, коды первичных ошибок, информация о целостности процесса, информация о сеансе входа, командная строка, аргументы командной строки для процесса, переменные среды для целевого процесса, уникальный идентификатор журнала активности процесса, название и/или адрес места инъекции кода, информация о правах доступа для процесса, коды ошибок вычисления хеша MD5 для объекта из командной строки процесса, список файловых упаковщиков, которыми упакован объект, начальный рабочий каталог для целевого процесса, массив идентификаторов процессов (PID), которые были завершены.
• Данные о реестре: имена, разделы и значения.
• Данные об удаленных операциях: имя удаленного компьютера и полное (FQDN) имя удаленного компьютера, на котором была выполнена удаленная операция, имя учетной записи пользователя, которая инициировала удаленную операцию, предоставляемый системой идентификатор удаленного процесса, инициировавшего удаленную операцию, время начала удаленного процесса, инициировавшего удаленную операцию, имя пространства имен для потребителя событий WMI, имя фильтра, используемого потребителем событий WMI, имя созданного потребителя событий WMI, исходный код потребителя событий WMI.
• Данные об ошибках: код ошибки расчета сумм MD5, код ошибки доступа к файлу, коды первичных ошибок, коды вторичных ошибок.
• Данные о событиях выполнения задач по реагированию, созданных специалистами "Лаборатории Касперского" и специалистами Пользователя: название и тип события, дата и время возникновения события, настройки и результаты выполнения задачи по реагированию (информация об объекте (путь к объекту, название и размер объекта, контрольные суммы объекта MD5 и SHA256), информация о помещении объекта в карантин, информация об удалении объекта, информация о завершении процесса, информация об удалении ключа/ветки реестра, информация о запуске процесса, информация об объектах, запрошенных специалистами "Лаборатории Касперского" для детального анализа с согласия Пользователя (имя, путь, размер и тип объекта, контрольные суммы объекта MD5 и SHA256, описание объекта, дата и время обработки запроса файла, содержимое файла), информация об установке и снятии сетевой изоляции устройства, информация об ошибках в результате выполнения задачи на реагирование), результаты задачи поиска IOC: IP-адрес и физический адрес из ARP-таблицы, имя и тип ресурсной записи DNS, IP-адрес, данные и история браузера, идентификатор записи и имя источника данных в журнале событий, имя журнала событий, имя пользователя, время события, хеш, полное имя и размер файла, удаленный IP-адрес и порт, с которым установлено соединение на момент проверки, IP-адрес локального адаптера, порт, открытый на локальном адаптере, протокол в виде числа, имя процесса, аргументы процесса, путь к файлу процесса, Windows PID процесса и родительского процесса, имя пользователя, от имени которого запущен процесс, дата и время запуска процесса, имя и описание сервиса, путь и имя библиотеки DLL сервиса (для svchost), путь и имя исполняемого файла сервиса, Windows PID, тип, статус и режим запуска сервиса, наименование, буква и тип тома, значение реестра Windows, значение куста ветки реестра, путь к ключу реестра, параметр реестра, физический адрес устройства, имя операционной системы с версией, сетевое имя хоста, домен или группа.
• Данные о скриптах, запускаемых на компьютере: аргументы командной строки, содержимое скрипта или части скрипта, запущенного на компьютере, содержимое объекта или части объекта, полученного по AMSI.
• Данные о командах, полученных консольным приложением, включая интерпретаторы, с использованием перенаправления ввода через канал или файл, а также командах, выполненных пользователем в консольных приложениях, включая интерпретаторы.

Если решение MDR интегрируется с Kaspersky Endpoint Detection and Response Expert, дополнительные данные перечислены ниже:

• Информация об обработанных файлах:
• контрольная сумма (MD5) обрабатываемого объекта, контрольная сумма (SHA256) обрабатываемого объекта, имя обрабатываемого объекта, размер обрабатываемого объекта, дата и время создания обрабатываемого объекта, признак наличия и действительности цифровой подписи загружаемого модуля, информация о том, кем был подписан обрабатываемый объект, признак доверенности проверяемого объекта по KSN, формат обрабатываемого объекта, информация о результатах проверки подписи файла, признак доверия модуля, целостность которого проверяется ПО.
• Информация об алертах и детектирующих технологиях:
• дата и время выпуска баз ПО, заключение ПО по обрабатываемому объекту, признак того, что обнаружение является отладочным, идентификатор сработавшей записи в антивирусных базах ПО, класс опасности уязвимости, идентификатор обнаружения, сформированный ПО у пользователя, название обнаруженной вредоносной программы или легальной программы, которая может быть использована для нанесения вреда устройству или данным пользователя, идентификатор образа гостевой ОС Kaspersky Sandbox, данные внутреннего журнала, сформированного антивирусным компонентом ПО для обрабатываемого объекта, MD5-хеш IP-адреса узла Kaspersky Sandbox, номер повторной проверки обрабатываемого объекта, идентификатор записи в базах ПО, значение уровня обнаруженной вредоносной программы или легальной программы, которая может быть использована для нанесения вреда компьютеру или данным пользователя, статус работы компонента ПО, дата и время обнаружения.
• Информация о результатах проверки данных телеметрии по факту срабатывания правила индикатора атаки (IOA):
• привилегии, назначенные обрабатываемому объекту (для операционных систем Unix); информация о событиях в системных журналах: время события, название журнала, в котором обнаружено событие, тип и категория события, название источника события и его описание; идентификатор события в журнале Windows Event Log; временная метка баз ПО; размер обрабатываемого объекта; информация о принадлежности пользователя к группе пользователей; дата и время создания обрабатываемого объекта; имя обрабатываемого объекта; контрольная сумма (MD5) обрабатываемого объекта; битовая маска параметров обрабатываемого объекта; идентификатор сработавшей записи в антивирусных базах ПО; уникальный идентификатор сеанса входа; признак наличия и действительности цифровой подписи у обрабатываемого объекта; атрибуты процесса, который осуществил атаку на самозащиту ПО; настроенные параметры ПО; название продавца ПО; название ПО; идентификатор устройства, с которого выполнено удаленное подключение; путь к обрабатываемому объекту; значение элемента реестра Windows; тип объекта, обнаруженного ПО; идентификатор учетной записи, от имени которой был запущен контролируемый процесс; идентификатор процесса в системе (PID); тип контроллера USB устройства; тип системной функции, примененной для запуска нового процесса (для систем Unix); тип запуска службы Windows; контрольная сумма (SHA256) обрабатываемого объекта; дата и время последней модификации обрабатываемого объекта; обрабатываемый веб-адрес; электронный адрес или части электронного адреса отправителя обрабатываемого сообщения электронной почты; код файловой операции; название устройства пользователя; атрибуты обрабатываемого исполняемого файла; версия ОС, номер сборки ОС, номер обновления ОС, редакция ОС, расширенная информация о редакции ОС; семейство операционной системы; командная строка запуска; информация о том, кем был подписан обрабатываемый объект; метод осуществления http-запроса; заключение ПО по обрабатываемому объекту; аргументы командной строки, переданные процессу при запуске; IP-адреса или контрольные суммы IP-адресов источника и получателя обрабатываемого сетевого соединения; имя техники атаки по MITRE; дата и время выпуска баз ПО; формат обрабатываемого объекта; описание обрабатываемого объекта, указанное в его свойствах; HTTP referrer; название и версия ОС; дата и время подписания файла; ответ DNS-сервера; объем исходящего трафика; тип файловой системы тома; права доступа, которыми обладает обрабатываемый объект; атрибуты открытия обрабатываемого объекта; тип учетной записи, с правами которой был запущен возможно зараженный объект; дата и время получения данных; контрольная сумма обрабатываемого объекта (SHA1); результат операции с обрабатываемым объектом; тип сеанса входа в систему; идентификатор зоны безопасности из потока NTFS; идентификатор сообщения электронной почты; обнаруженные файловые операции, выполненные над обрабатываемым объектом; DNS-адрес веб-службы, к которой осуществляется обращение; уникальное имя объекта; уровень целостности обрабатываемого объекта; заголовок обрабатываемого http-запроса; информация о сторонних приложениях, вызвавших ошибку: имя и путь к файлу приложения, размер и контрольная сумма (MD5, SHA256, SHA-1) файла приложения, идентификатор процесса приложения в операционной системе (PID), даты и время создания и компоновки файла процесса, адрес возникновения ошибки и стек памяти приложения, длительность работы приложения до возникновения ошибки, имена, версии и контрольные суммы (MD5, SHA256, SHA-1) файлов компонентов приложения; Индикаторы HTTP/HTTPS-запросов: URL запроса, тип библиотеки открытого программного обеспечения, запрошенное имя домена, CND-провайдер, метод запроса, время начала запроса, размер пакета запроса, общая продолжительность запроса, код статуса, размер ответного пакета, тип контента ответа, время начала заголовка запроса, время окончания заголовка запроса, время начала тела запроса, время окончания тела запроса, время начала заголовка ответа, время окончания заголовка запроса, время начала тела ответа, время окончания тела ответа, число переадресаций, число ошибок разрешений DNS, общее число разрешений DNS, число разрешенных единовременно хостов, результат единичного разрешения, время начала единичного разрешения, время окончания единичного разрешения, флаг, указывающий на успешное разрешение, число ошибок сокет-соединений, общее число сокет-соединений, конечный адрес единичного соединения, время начала единичного соединения, время окончания единичного соединения, время начала единичной установки связи, время окончания единичной установки, тип HTTP, версия HTTP, тип SSL, тип набора шифров, индикатор успешности соединения, информация об ошибке соединения, информация об исключении запроса, информация о стеке, если ответ нестандартный; дата и время истечения сертификата; полная версия ПО; количество переданных объектов; тип диска; параметры заданий планировщика задач операционной системы; объем полного и используемого дискового пространства; номера портов источника и получателя обрабатываемого сетевого соединения; значение уровня уверенности в обнаружении вредоносной программы или легальной программы, которая может быть использована для нанесения вреда компьютеру или данным пользователя; дата и время выдачи сертификата; идентификатор техники атаки по MITRE; идентификатор службы; название ключа реестра Windows; тема обрабатываемого сообщения электронной почты; дата и время завершения обрабатываемого процесса; название пространства имен потребителя события WMI; время события; название фильтра, используемого потребителем события WMI; режим работы компонента защиты ПО; наименование эмитента сертификата; переменные окружения, назначенные обрабатываемому объекту (для систем Unix); тип события, по которому собран пакет статистики; потребитель события WMI; содержимое фрагмента в обрабатываемом объекте; параметры задачи передачи объектов; название сетевого протокола, используемого в обнаруженной сетевой атаке; версия обрабатываемого объекта; путь и название элемента реестра Windows; счетчик событий; идентификатор задачи передачи объектов; битовая маска параметров DNS-запроса; количество передаваемых объектов; имя индикатора атаки (IOA); важность окна запроса действия пользователя; локальный IP-адрес; область поиска запроса; укороченный серийный номер жесткого диска; текст запроса; использованный прокси-сервер; источник получения обрабатываемого объекта; имя потребителя созданного события WMI; серийный номер сертификата; версия индикатора атаки (IOA); идентификатор модели контроллера USB устройства; электронный адрес или части электронного адреса получателя обрабатываемого сообщения электронной почты; идентификатор индикатора атаки (IOA); идентификатор устройства; направление сетевого подключения; источник обрабатываемого сетевого трафика: локальный или удаленный хост; IP-адрес DNS-сервера; тип значения параметра реестра Windows; идентификатор тактики атаки по MITRE; место внедрения кода в обрабатываемом процессе; ошибка обработки обнаружения; хост, с которым установлено соединение для передачи объектов;
• атрибуты обрабатываемого объекта; параметры безопасности из событий в Windows Event Log; причина, по которой файл помещен в категорию; имя домена, используемого для аутентификации владельца сеанса входа; параметры объектов Active Directory; параметры операций из событий в Windows Event Log; параметры пользовательских сессий из событий в Windows Event Log; код типа объекта; версия компонента ПО; параметры и свойства устройств класса смарт‑карта; версия отправляемой статистики; идентификатор родительского процесса в системе (PID); локальный IP‑адрес; параметры задач, зарегистрированных в событиях в Windows Event Log; DNS‑адрес веб‑службы, к которой осуществляется обращение; обрабатываемый веб‑адрес; параметры сетевых соединений из событий в Windows Event Log; название обнаруженной вредоносной программы или легальной программы, которая может быть использована для нанесения вреда устройству или данным пользователя; параметры объектов Active Directory; параметры операций из событий в Windows Event Log; дополнительные параметры событий в Windows Event Log; параметры пользовательских сессий из событий в Windows Event Log; имя домена, используемого для аутентификации владельца сеанса входа; идентификатор безопасности учетной записи (SID); тип ошибки; текст сообщения об ошибке.

Список данных о событиях, выявленных в результате анализа сетевого трафика:

В целях выявления новых комплексных событий безопасности данных и их источников, а также угроз вторжения, и принятия оперативных мер по усилению защиты данных, хранящихся и обрабатываемых Клиентом с помощью компьютера, для получения Услуги Клиент обязуется автоматически предоставлять следующие данные:

• Информация об обработанных файлах:

  контрольная сумма (MD5) обрабатываемого объекта, контрольная сумма (SHA256) обрабатываемого объекта, имя обрабатываемого объекта, размер обрабатываемого объекта, дата и время создания обрабатываемого объекта, признак наличия и действительности цифровой подписи загружаемого модуля, информация о том, кем был подписан обрабатываемый объект, признак доверенности проверяемого объекта по KSN, формат обрабатываемого объекта, информация о результатах проверки подписи файла, признак доверия модуля, целостность которого проверяется ПО.

• Информация об алертах и детектирующих технологиях:

  дата и время выпуска баз ПО, заключение ПО по обрабатываемому объекту, признак того, что обнаружение является отладочным, идентификатор сработавшей записи в антивирусных базах ПО, класс опасности уязвимости, идентификатор обнаружения, сформированный ПО у пользователя, название обнаруженной вредоносной программы или легальной программы, которая может быть использована для нанесения вреда устройству или данным пользователя, идентификатор образа гостевой ОС Kaspersky Sandbox, данные внутреннего журнала, сформированного антивирусным компонентом ПО для обрабатываемого объекта, MD5-хеш IP-адреса узла Kaspersky Sandbox, номер повторной проверки обрабатываемого объекта, идентификатор записи в базах ПО, значение уровня обнаруженной вредоносной программы или легальной программы, которая может быть использована для нанесения вреда компьютеру или данным пользователя, статус работы компонента ПО, дата и время обнаружения.

• Информация об источниках обработанных объектов и сетевых соединениях:

  источник получения обрабатываемого объекта, обрабатываемый веб-адрес, IP-адрес (IPv4) веб-службы, на который осуществлялось обращение, веб-адрес источника запроса к веб-службе (referer), источник хоста, имя домена, используемого для аутентификации владельца сеанса входа, локальный IP-адрес, информация о клиенте, использующем сетевой протокол (user agent), электронный адрес или части электронного адреса отправителя обрабатываемого сообщения электронной почты, электронный адрес или части электронного адреса получателя обрабатываемого сообщения электронной почты, тема обрабатываемого сообщения электронной почты, IP-адреса или контрольные суммы IP-адресов источника и получателя обрабатываемого сетевого соединения, номера портов источника и получателя обрабатываемого сетевого соединения, название сетевого протокола, используемого в обнаруженной сетевой атаке, название сетевого протокола, используемого в обнаруженной сетевой атаке.

• Данные, передаваемые в службу технической поддержки:

  В случае обнаружения проблемы на стороне Пользователя, влияющей на качество работы Решения и требующей участия службы технической поддержки, в службу технической поддержки будет передана информация, включающая название организации и контактный адрес электронной почты, описание проблемы и сопутствующие материалы, которые могут помочь в понимании и решении проблемы. Контактным адресом электронной почты могут быть: адрес, на который зарегистрировано Решение, или адрес конкретного сотрудника Пользователя, если этот сотрудник сам обратился за помощью к экспертам, обеспечивающим работу Решения.

  Служба технической поддержки автоматически создает аккаунт в системах технической поддержки, если ранее не существовало аккаунта, связанного с адресом электронной почты, переданного экспертами.

  Создание аккаунта сотрудника Пользователя необходимо для обеспечения коммуникаций Пользователя и технической поддержки для решения вопросов, связанных с Решением.

  Данный аккаунт будет использоваться службой технической поддержки только для решения вопросов, связанных с Решением, до тех пор, пока владелец аккаунта сам не создаст запрос, не связанный с работой Решения.

• Отправка уведомлений и отчетов об инцидентах:

  Пользователь может использовать Решение для отправки получателям, указанным Пользователем, информационных уведомлений при возникновении инцидентов информационной безопасности и отчетов со сводной информацией об инцидентах информационной безопасности.

  При настройке Решения для передачи уведомлений и отчетов посредством электронной почты Процессор будет обрабатывать следующие данные: идентификатор Пользователя и адрес электронной почты Получателя.

  При настройке Решения для передачи уведомлений посредством бота Telegram Процессор будет обрабатывать следующие данные: идентификатор Пользователя, идентификатор получателя уведомления, признак наличия подписки получателя уведомления на бот Telegram, ссылка на чат получателя уведомления с ботом Telegram.

Предоставление данных при использовании Kaspersky Endpoint Agent

Подробную информацию о предоставлении данных при использовании Kaspersky Endpoint Agent см. в справке Kaspersky Endpoint Agent для Windows.