Параметры ResponseFunction

Идентификатор параметра

Описание

action

Название действия по реагированию.

params

Параметр позволяет описать параметры действия по реагированию, которое вы хотите запустить. Вы можете указать параметр как выражение jq или как объект. Параметры действий по реагированию описаны в таблице ниже.

assets

Параметр позволяет использовать выражение jq или массив строк, чтобы указать список активов, для которых вы хотите запустить действие по реагированию. Параметр assets необходим для действий по реагированию с активами и не применим для действий по реагированию без активов.

Название действия по реагированию

Параметры

updateBases

Действием по реагированию является обновление баз. Возможные параметры:

• wait. Возможные значения:
  • true
  • false

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

avScan

Действием по реагированию является поиск вредоносного ПО. Возможные параметры:

• wait. Возможные значения:
  • true
  • false
• scope. Возможные значения:
  • full – выполнить полную проверку устройства, на котором обнаружен алерт.
  • critical – выполнить проверку памяти ядра, запущенных процессов и загрузочных секторов жесткого диска.
  • selective – выполнить проверку указанных файлов. Чтобы указать путь к файлам, используйте параметр path.
• allowScanNetworkDrives. Возможные значения:
  • true
  • false

  По умолчанию значение равно false.

  Этот параметр доступен, только если вы хотите выполнить полную проверку.

  Обратите внимание, что проверка сетевых дисков может привести к перегрузке системы.

• path – выражение jq или строка с путем к файлам, которые вы хотите проверить. Также вы можете указать несколько путей к файлам.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

moveHostsToAdministrationGroup

Действием по реагированию является перемещение в группу. Возможные параметры:

• group – путь к группе администрирования Open Single Management Platform. Например, HQ/OrgUnit1.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

quarantineFile

Действием по реагированию является перемещение на карантин. Возможные параметры:

• path – путь к файлу, который нужно поместить на карантин.
• md5 – MD5-хеш файла.
• sha256 – SHA256-хеш файла.

Вы можете указать параметры действия по реагированию одним из следующих способов:

• Укажите полный путь к файлу, который вы хотите поместить на карантин. В этом случае вам не нужно указывать хеш MD5 или хеш SHA256.
• Укажите путь к файлу и хеш файла (MD5 или SHA256).

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

restoreQuarantinedFile

Действие по реагированию "Восстановить файл из карантина". Возможные параметры:

• path – путь к файлу, который вы хотите восстановить.
• md5 – MD5-хеш файла.
• sha256 – SHA256-хеш файла.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

killProcess

Действием по реагированию является прерывание процесса. Возможные параметры:

• pid – идентификатор процесса.
• path – путь к файлу, который нужно поместить на карантин.
• md5 – MD5-хеш файла.
• sha256 – SHA256-хеш файла.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

changeAuthorizationStatus

Действием по реагированию является изменение статуса авторизации. Возможный параметр:

• authorized. Возможные значения:
  • true
  • false

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

netIsolateOn

Действием по реагированию является включение изоляции сети. Возможные параметры:

• isolationTimeoutSec – период изоляции сети. Вы можете указать этот параметр в часах или днях.

  Минимальное значение в часах – 1 час, максимальное – 9999 часов.

  Период изоляции сети указывается в секундах.

• exclusions – правила исключения. Вы можете указать одно или несколько правил исключения.
  • remoteIPV4Address – сетевой трафик с указанного IPv4-адреса будет исключен из блокировки. Например, 192.168.2.15.
  • remoteIPV6Address – сетевой трафик с указанного IPv6-адреса будет исключен из блокировки. Например, 2001:0db8:0000:0000:0000:ff00:0042.
  • remotePortRange – интервал удаленных портов.
  • localPortRange – интервал локальных портов.

  Если remotePortRange и localPortRange не указаны, правило исключения применяется ко всем портам.

• exclusionsConflictBehavior – определяет поведение в случае конфликта между различными правилами исключения. Возможные параметры:
  • replace
  • skip
  • fail

netIsolateOff

Действием по реагированию является выключение изоляции сети.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

executeCommand

Действием по реагированию является запуск исполняемого файла. Возможные параметры:

• commandLine – команда для запуска или полный путь к исполняемому файлу.
• workingDirectory – путь к рабочей директории.
• commandLineParameters – параметры командной строки, которые вы хотите применить к команде.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

addFilePreventionRules

Действием по реагированию является добавление правила запрета. Возможные параметры:

• md5 – хеш-массив MD5.
• sha256 – хеш-массив SHA256.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

deleteFilePreventionRules

Действием по реагированию является удаление правила запрета. Возможные параметры:

• md5 – хеш-массив MD5.
• sha256 – хеш-массив SHA256.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

resetFilePreventionRules

Действием по реагированию является удаление всех правил запрета.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

assignKasapGroup

Действием по реагированию является назначение KASAP-группы. Возможные параметры:

groupId – идентификатор группы KASAP.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

addToLDAPGroup

Действием по реагированию является добавление пользователя в группу безопасности. Возможные параметры:

groupDN – отличительное имя (DN) группы LDAP.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

removeFromLDAPGroup

Действием по реагированию является удаление пользователя из группы безопасности. Возможные параметры:

groupDN – отличительное имя (DN) группы LDAP.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

blockLDAPAccount

Действием по реагированию является блокировка учетной записи.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

resetLDAPPassword

Действием по реагированию является сброс пароля.

Чтобы запустить это действие по реагированию, вам необходимо указать параметр asset для функции реагирования.

executeCustomScript

Действием по реагированию является выполнение пользовательских скриптов. Возможные параметры:

• commandLine – команда для запуска.
• commandLineParameters – параметры командной строки, которые вы хотите применить к команде.
• stdIn – стандартный входной поток. Используйте этот параметр, если для выполнения скрипта требуются дополнительные данные из стандартного ввода.
• workingDirectory – путь к рабочей директории.

iocsEnrichment

Действием по реагированию является обогащение данных. Возможные параметры:

• observables – выражение jq с массивом наблюдаемых объектов, которые вы хотите обогатить.
• fullEnrichment – определяет количество запрошенных записей. Возможные значения:
  • true – запрашивать все записи из источника.
  • false – запрашивать 100 самых популярных записей из источника.