Правила реагирования для Kaspersky Endpoint Detection and Response

Поле события

Обязательный параметр.

Определяет поле события для актива, для которого нужно выполнить действия по реагированию. Возможные значения:

• SourceAssetID
• DestinationAssetID
• DeviceAssetID

Тип задач

Действие по реагированию, которое требуется выполнить при получении данных, соответствующих фильтру. Доступны следующие типы действий по реагированию:

• Включить сетевую изоляцию. При выборе этого типа реагирования вам нужно задать значения для параметра:
  • Срок действия изоляции – количество часов, в течение которых будет действовать сетевая изоляция актива. Вы можете указать от 1 до 9999 часов. При необходимости вы можете добавить исключение для сетевой изоляции.

    Чтобы добавить исключение для сетевой изоляции:

    1. Нажмите на кнопку Добавить исключение.
    2. Выберите направление сетевого трафика, которое не должно быть заблокировано:
       • Входящее.
       • Исходящее.
       • Входящее/Исходящее.
    3. В поле IP актива введите IP-адрес актива, сетевой трафик которого не должен быть заблокирован.
    4. Если вы выбрали Входящее или Исходящее, укажите порты подключения в полях Удаленные порты и Локальные порты.
    5. Если вы хотите добавить более одного исключения, нажмите на кнопку Добавить исключение и повторите действия по заполнению полей Направление трафика, IP актива, Удаленные порты и Локальные порты.
    6. Если вы хотите удалить исключение, нажмите на кнопку Удалить под нужным вам исключением.

  При добавлении исключений в правило сетей изоляции Kaspersky Endpoint Detection and Response может некорректно отображать значения портов в информации о правиле. Это не влияет на работоспособность приложения. Подробнее о просмотре правила сетевой изоляции см. в справке Kaspersky Anti Targeted Attack Platform.

• Выключить сетевую изоляцию.
• Добавить правило запрета. При выборе этого типа реагирования вам нужно задать значения для следующих параметров:
  • Поля события для получения хеш-суммы – поля событий, из которых KUMA извлекает SHA256- или MD5-хеши файлов, выполнение которых требуется запретить.
    Выбранные поля событий, а также значения, выбранные в Поле события, требуется добавить в распространяемые поля правила корреляции.
  • Хеш файла №1 – SHA256- или MD5-хеш файла, который требуется запретить.

Хотя бы одно из указанных выше полей должно быть заполнено.

• Удалить правило запрета.
• Запустить приложение. При выборе этого типа реагирования вам нужно задать значения для следующих параметров:
  • Путь к файлу – путь к файлу процесса, который вы хотите запустить.
  • Аргументы командной строки – параметры, с которыми вы хотите запустить файл.
  • Текущая директория – директория, в которой на момент запуска располагается файл.

  При срабатывании правила реагирования для пользователей с ролью Главный администратор в разделе Диспетчер задач консоли приложения отобразится задача Запустить приложение. В столбце Создал таблицы задач для этой задачи отображается Задача по расписанию. Вы можете просмотреть результат выполнения задачи.

Все перечисленные операции выполняются на активах с Kaspersky Endpoint Agent для Windows. На активах с Kaspersky Endpoint Agent для Linux выполняется только запуск приложения.

На программном уровне возможность создания правил запрета и сетевой изоляции для активов с Kaspersky Endpoint Agent для Linux не ограничена. KUMA и Kaspersky Endpoint Detection and Response не уведомляют о неуспешном применении этих правил.

Рабочие процессы

Количество процессов, которые сервис может запускать одновременно. По умолчанию количество рабочих процессов соответствует количеству виртуальных процессоров сервера, на котором установлен сервис.

Описание

Описание правила реагирования. Вы можете добавить до 4000 символов Юникода.

Фильтр

Используется для определения условий, при соответствии которым события будут обрабатываться с применением правила реагирования. В раскрывающемся списке можно выбрать существующий фильтр или создать новый фильтр.

Создание фильтра в ресурсах