Выполнения действий по реагированию вручную

При анализе информации об обнаружениях можно вручную выполнять действия по реагированию или настроить функцию Endpoint Detection and Response.

Вы можете выполнить следующие действия по реагированию:

• Изолировать затронутое устройство от сети.
• Добавьте индикаторы компрометации (IOC) обнаруженной угрозы в регулярный поиск угроз на устройствах (применимо только к обнаружениям, выполняемым EPP).
• Запретить запуск обнаруженного объекта.
• Поместить копию обнаруженного объекта в Карантин и удалить объект.

  Раздел в Консоли управления Kaspersky Next Pro View, названный по имени одной из категорий файлов в этом разделе. В разделе Карантин отображаются копии зараженных файлов, которые программы безопасности удаляют или изменяют в ходе лечения. В разделе Карантин также отображаются файлы, неизлечимые на момент обнаружения, и файлы, лечение которых отложено или невозможно. Файлы в разделе Карантин находятся в зашифрованном виде.

  К категории файлов Карантин относятся файлы, возможно зараженные или неизлечимые на момент обнаружения.

Чтобы изолировать устройство от сети, выполните следующие действия:

1. В сообщении об обнаружении и обработке объекта нажмите Действия по реагированию, а затем Изолировать устройство от сети.
2. Выберите продолжительность изоляции.
3. Нажмите на кнопку Изолировать, чтобы изолировать устройство.

Устройство будет изолировано от сети.

Этот параметр переопределяет общие параметры изоляции и применяется только к текущему устройству. Общие параметры изоляции не изменятся.

Если на устройстве установлена macOS или Linux и в соответствующем дистрибутиве настроен прокси-сервер, вы не сможете отменить сетевую изоляцию устройства до истечения указанного срока изоляции.

Чтобы добавить индикаторы компрометации обнаруженной угрозы в обычный поиск угроз, выполните следующие действия:

1. В разделе с подробной информацией об обнаруженном объекте нажмите Действия по реагированию, а затем Создать IOC.
2. При необходимости измените критерий обнаружения (логический оператор):
   • ИЛИ (любой IOC обнаружен), если вы хотите получать уведомление при обнаружении на устройстве хотя бы одного из индикаторов компрометации (логический оператор ИЛИ).
   • И (все IOC обнаружены), если вы хотите получать уведомление только при обнаружении одновременно всех индикаторов компрометации на устройстве (логический оператор И).
3. В разделе Действия при обнаружении IOC выберите действия, которые будут выполняться при обнаружении указанных угроз:
   • Изолировать устройство от сети

     Программа безопасности изолирует устройство от сети, чтобы предотвратить распространение угрозы или утечку конфиденциальной информации.

     Если на устройстве установлена macOS или Linux и в соответствующем дистрибутиве настроен прокси-сервер, вы не сможете отменить сетевую изоляцию устройства до истечения указанного срока изоляции.

   • Запустить проверку важных областей

     Программа безопасности проверяет память ядра, запущенные процессы и загрузочные сектора диска затронутого устройства.

   • Копию поместить на карантин, объект удалить

     Программа безопасности сначала создает резервную копию вредоносного объекта, обнаруженного на устройстве, на случай, если впоследствии объект потребуется восстановить. Резервная копия перемещается в карантин. Затем программа безопасности удаляет объект.

4. Нажмите на кнопку Создать задачу, чтобы сохранить изменения и запустить поиск IOC.

Параметры поиска IOC изменены. Поиск IOC на устройствах будет перезапущен.

Чтобы запретить выполнение обнаруженного объекта:

1. В разделе с подробной информацией об обнаруженном объекте нажмите Действия по реагированию, а затем Запретить запуск.
2. Проверьте свойства запланированного действия: нежелательные объекты, запуск которых будет запрещен.
3. Нажмите на кнопку ОК, чтобы подтвердить операцию.

Обнаруженный объект будет добавлен в правила запрета запуска.

Чтобы поместить копию обнаруженного объекта в Карантин и удалить объект:

1. В разделе с подробной информацией об обнаруженном объекте нажмите Действия по реагированию, а затем Поместить на карантин.
2. Проверьте свойства запланированного действия: файл, который будет перемещен на карантин.
3. Нажмите на кнопку ОК, чтобы подтвердить операцию.

Программа безопасности сначала создает резервную копию вредоносного объекта, обнаруженного на устройстве, на случай, если впоследствии объект потребуется восстановить. Резервная копия перемещается в карантин. Затем программа безопасности удаляет объект.