Типы реагирования на инциденты

Развернуть все | Свернуть все

Решение MDR исследует инциденты и создает действия по реагированию, которые вы можете принять или отклонить. Это стандартный способ обработки инцидентов в Kaspersky Managed Detection and Response.

Однако вы можете создавать действия по реагированию вручную, используя функции Kaspersky Endpoint Detection и Response Optimum.

В этой статье описаны только типы действий по реагированию, которые создает решени MDR.

Каждое действие по реагированию может иметь набор параметров, представленных на вкладке Реагирование для инцидента.

Доступные типы действий по реагированию:

• Получить файл

  Копирование файла из вашей инфраструктуры в Kaspersky SOC. Если вы принимаете это действие по реагированию, указанный файл будет скопирован в Kaspersky SOC.

  Обратите внимание, что при этом типе действий могут передаваться файлы, содержащие личные и конфиденциальные данные.

  Допустимые параметры:

  • Путь к зараженному файлу

    Абсолютный путь к файлу. Например, C:\\file.exe.

  • Максимальный размер файла

    Максимальный размер файла в МБ.

    Если размер зараженного файла превышает указанное максимальное значение, выполнить действие по реагированию не удастся, но предлагаемое действие появится на вкладке История для инцидента.

• Изолировать

  Изоляция указанного актива от сети.

  Если нужно срочно отключить сетевую изоляцию, обратитесь в Службу технической поддержки или напишите запрос на вкладке Обсуждение инцидента.

  Допустимые параметры:

  • Пароль для отключения изоляции

    Пароль для отключения изоляции. Как только служба технической поддержки получит запрос на отключение сетевой изоляции, вам отправят информацию об использовании пароля.

  • Идентификатор задачи

    Уникальный идентификатор задачи, используемый совместно с Пароль для отключения изоляции для отключения сетевой изоляции вручную.

  • Сведения о пароле

    Вы можете проверить действительность пароля, сформировав на его основе производный ключ и сравнив полученное значение со значением параметра Сформированный ключ.

    • Значение

      Цифровая версия правил создания пароля. Версия 1 означает, что для создания производного ключа применяются следующие параметры PBKDF2:

      • Хеш-алгоритм HMACSHA256.
      • 10 000 итераций.
      • Длина ключа – 32 байта.
    • Соль

      Соль в шестнадцатеричном формате (HEX) для получения производного ключа с помощью PBKDF2.

    • Сформированный ключ

      Производный ключ в шестнадцатеричном формате (HEX).

  • Правила исключения

    Массив правил для настраиваемых портов, протоколов, IP-адресов и процессов, к которым не применяется изоляция.

    • Направление

      Направление трафика. Возможные значения: Входящее, Исходящее, Оба.

    • Протокол

      Номер протокола согласно спецификации IANA.

      Допустимые значения:

      • 1 (ICMP)
      • 6 (TCP)
      • 17 (UDP)
      • 58 (IPv6-ICMP)
    • Диапазон удаленных портов

      Диапазон удаленных портов, указанный в полях С и По.

    • Удаленный IPv4-адрес

      Удаленный IPv4-адрес или маска подсети.

    • Удаленный IPv6-адрес

      Удаленный IPv6-адрес или маска подсети.

    • Диапазон локальных портов

      Диапазон локальных портов, указанный в полях С и По.

    • Локальный IPv4-адрес

      Локальный IPv4-адрес или маска подсети.

    • Локальный IPv6-адрес

      Локальный IPv6-адрес или маска подсети.

    • Процесс

      Путь к образу процесса, указанный в поле Образ → Путь.

• Отключить изоляцию

  Отключение сетевой изоляции указанного актива.

• Удалить ключ реестра

  Удаление ключа реестра или ветки реестра на указанном активе.

  Это действие невозможно отменить.

  Допустимые параметры:

  • Ключ

    Абсолютный путь ключа, который начинается с HKEY_LOCAL_MACHINE или HKEY_USERS. Например, HKEY_LOCAL_MACHINE\\SYSTEM\\WebClient.

    Если ключ является символической ссылкой, будет удален только этот ключ, а целевой ключ ссылки останется нетронутым.

  • Значение

    Значение ключа.

    Если этот параметр не указан, ключ будет удален рекурсивно. Во время рекурсивного удаления каждый вложенный ключ, являющийся символической ссылкой, будет удален, а его целевой ключ останется нетронутым.

    Если значение ключа – пустая строка, значение по умолчанию будет удалено.

• Дамп памяти

  Создание дампа памяти и отправка его в Kaspersky SOC.

  Допустимые параметры:

  • Тип дампа

    Дамп памяти может быть одного из двух типов:

    • Полный дамп памяти

      Дамп всей памяти актива.

    • Дамп процесса

      Дамп указанного процесса.

  • Максимальный размер файла

    Максимальный размер файла дампа в формате ZIP в МБ. Значение по умолчанию – 100 МБ.

  • Процесс

    Идентификатор процесса и сведения об образе.

    • Образ
      • Путь

        Абсолютный путь к файлу. Например, %systemroot%\\system32\\svchost.exe.

      • SHA-256

        Контрольная сумма SHA256 в шестнадцатеричном формате (HEX).

      • MD5

        Контрольная сумма MD5 в шестнадцатеричном формате (HEX).

    • Уникальный ID

      Уникальный идентификатор процесса.

  • Ограничение количества процессов

    Максимальное количество процессов, которые могут содержаться в файле дампа.

• Завершить процесс

  Прервать процесс на указанном активе с помощью Kaspersky Endpoint Security для Windows. Прервать процесс можно указав его имя или идентификатор процесса (PID).

• Запустить процесс

  Запускает скрипт на указанном активе с помощью Kaspersky Endpoint Security для Windows.

  Чтобы это действие по реагированию сработало, на активе должен быть установлен компонент PowerShell. Вы можете просмотреть запускаемый скрипт и его описание в Консоли MDR.

• Поместить файл на карантин

  Помещает потенциально опасный файл в специальное локальное хранилище. Файлы в этом хранилище хранятся в зашифрованном виде и не угрожают безопасности устройства. В запросе подтверждения указывается актив, путь к файлу и хеш файла (MD5 или SHA256).

• Восстановить файл из карантина

  Восстанавливает ранее помещенный на карантин файл в исходное местоположение. Если в исходном местоположении есть файл с таким же именем, восстановление не выполняется.

• Получить артефакты

  В этом типе действия по реагированию могут передаваться файлы, содержащие персональные и конфиденциальные данные.

  Параметр доступен, если вы настроили интеграцию с Kaspersky Anti Targeted Attack версии 8.0 или выше.

  Копирует файлы, связанные с алертами Kaspersky Anti Targeted Attack, из инфраструктуры Kaspersky Anti Targeted Attack в Kaspersky SOC. Скопированные файлы используются аналитиками MDR SOC для исследования алертов Kaspersky Anti Targeted Attack.

  Допустимые параметры:

  • Идентификатор узла решения Kaspersky Anti Targeted Attack.
  • Идентификатор алерта в Kaspersky Anti Targeted Attack Platform.
  • Категории файлов для копирования в Kaspersky SOC, связанные с алертами:
    • Файлы PCAP и Payload, связанные с алертом IDS.
    • Отчет о результате проверки файлов в Sandbox. Включает скриншоты выполнения объекта, журнал активности и другие данные проверки.
    • Зараженный файл, отправленный в Sandbox.
    • Файл содержащий информацию об алертах.

  Доступно, если вы настроили интеграцию с Open Single Management Platform 2.1.

  Копирует файлы, связанные с алертами или инцидентами, из Kaspersky Endpoint Detection and Response Expert в инфраструктуре Open Single Management Platform в Kaspersky SOC. Скопированные файлы используются аналитиками MDR SOC для расследования алертов и инцидентов Kaspersky Endpoint Detection and Response Expert.

  Допустимые параметры:

  • Идентификатор узла решения.
  • Идентификатор алерта или инцидента XDR.
  • Категории файлов для копирования в Kaspersky SOC, связанные с алертами или инцидентами:
    • Файлы, загруженные в алерт или инцидент XDR.
    • Отчет о результате проверки файлов в Sandbox. Включает скриншоты выполнения объекта, журнал активности и другие данные проверки.
    • Зараженный файл, отправленный в Sandbox.
    • Файлы, связанные с действиями по реагированию пользователя для алерта или инцидента:
      • Получение файлов.
      • Получение данных для расследования.
      • Получение ключа реестра.
      • Получение файла службы файловой системы NTFS.
      • Получение дампа памяти процесса.
      • Перемещение файлов на карантин.
  • Подробная информация обо всех файлах, связанных с алертом.
  • Имена и идентификаторы скопированных файлов.