Работа с таблицей правил запрета

Правила запрета позволяют предотвратить запуск на устройствах файлов или процессов, которые вы считаете небезопасными. Open Single Management Platform идентифицирует файлы по их хешу с помощью алгоритмов хеширования MD5 и SHA256.

Вы можете управлять правилами запрета следующими способами:

• Создавать вручную, импортировать, изменять и удалять правила запрета из таблицы правил запрета, как описано в этой статье.
• Создавать и удалять правила запрета, выполняя соответствующие действия по реагированию.
• Настраивать автоматический запуск действий по реагированию при создании или изменении плейбука.

Чтобы открыть таблицу правил запрета, у вас должна быть одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Администратор SOC, Менеджер SOC, Аналитик 1-го уровня, Аналитик 2-го уровня, Младший аналитик, Подтверждающий, Аудитор.
Для создания или импорта правил запрета у вас должна быть одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.

Чтобы открыть таблицу правил запрета, в главном меню перейдите в раздел Мониторинг → Источники и службы → Правила запрета.

Таблица содержит следующие столбцы:

• Имя. Для правил запрета, созданных вручную, в столбце отображается имя, указанное в панели Создать правило запрета. Для импортированных правил запрета в столбце отображается хеш файла.
• Хеш. MD5- или SHA256-хеш файла, который нужно заблокировать.
• Тенант-владелец. Тенант, которому принадлежит правило запрета.

  Если в режиме распределенного решения тенант был создан на резервном узле, в поле Тенант отображается значок резервного узла ().

• Активы. Устройства, для которых применяется правило запрета. В столбце отображается либо количество устройств, либо значение Все активы тенанта.
• Создано. Дата и время создания или импорта правила запрета.
• Создал. Пользователь, создавший или импортировавший правило запрета.
• Обновлено. Дата и время последнего изменения параметров правила запрета.
• Обновил. Пользователь, который последним изменил параметры правила запрета.
• Статус правила. Если правило запрета включено, в этом столбце для правила отображается значение Включено. В противном случае отображается значение Выключено.
• Уведомлять о блокировке файла. Если при создании или изменении правила запрета вы выключили уведомление о блокировке файла, в столбце отображается значение Нет. В противном случае отображается значение Да.

В таблице вы можете выполнить следующие действия:

• Создать или импортировать правило запрета.
• Удалите правило запрета, установив флажок рядом с именем нужного правила и нажав на кнопку Удалить в панели инструментов.
• Просмотрите и измените параметры правила запрета, нажав на имя правила в таблице.

  Откроется панель Изменить правило запрета на вкладке Подробнее. Вы можете изменить параметры правила запрета. Параметры совпадают с теми, которые были указаны создании правила запрета из таблицы правил. Также вы можете нажать на кнопку Перейти в Поиск угроз, чтобы просмотреть события, полученные при срабатывании правила запрета.

  На вкладке Журнал изменений вы можете просмотреть все изменения правила запрета одним из следующих способов: вручную из таблицы правил запрета, выполнить действие по реагированию или запустить плейбук.