Автоматическое реагирование на события безопасности

Kaspersky NGFW поддерживает сценарии автоматического реагирования на определенные события с помощью Kaspersky Symphony XDR, если вы настроили интеграцию с KUMA в качестве SIEM-системы.

В этом случае при регистрации событий безопасности в Kaspersky NGFW происходит следующее:

1. Kaspersky NGFW отправляет события безопасности, для которых включено ведение журнала, в KUMA и затем в Kaspersky Symphony XDR.
2. Kaspersky Symphony XDR определяет порядок действий для реагирования на полученные события одним из следующих способов:
   • Пользователь Kaspersky Symphony XDR, у которого есть доступ к действиям по реагированию, вручную запускает действия по реагированию на поступившее событие.
   • Если в Kaspersky Symphony XDR задан алгоритм действия по реагированию на эти события (плейбук), действия по реагированию выполняется автоматически в ответ на поступившее событие.

   Подробнее о действиях по реагированию и плейбуках см. в справке Kaspersky Symphony XDR.

3. Kaspersky Symphony XDR передает в Kaspersky NGFW последовательность действий, которые необходимо выполнить для реагирования на эти события.
4. На основе полученной последовательности действий создается правило фильтрации, которое затем применяется на устройстве Kaspersky NGFW.

   Созданное правило фильтрации применяется ко всем политикам OSMP, настроенным для Kaspersky NGFW.

   Вы можете просмотреть созданные правила в разделе Приложения и сервисы → NGFW → Политики → Правила фильтрации.

   Действия по реагированию считаются выполненными после записи в политику OSMP.

Kaspersky NGFW поддерживает следующие сценарии для реагирования на события безопасности:

• Блокировка отправителя по IP-адресу.

  В этом случае на устройстве Kaspersky NGFW выполняются следующие действий:

  1. Создание отдельных блокирующих правил для IP-адреса источника и IP-адреса назначения отправителя. В имени правила указываются идентификатор события и IP-адрес источника.
  2. Блокировка IP-адреса источника и IP-адреса назначения отправителя.
  3. Удаление всех сессий с этими IP-адресами источника и назначения.
• Блокировка получателя по IP-адресу.

  В этом случае на устройстве Kaspersky NGFW выполняются следующие действия:

  1. Создание отдельных блокирующих правил для IP-адреса источника и IP-адреса назначения получателя. В имени правила указываются идентификатор события и IP-адрес источника.
  2. Блокировка IP-адреса источника и IP-адреса назначения получателя.
  3. Удаление всех сессий с этими IP-адресами источника и назначения.