Блокировка IP-адресов с помощью Kaspersky NGFW
Вы можете предотвратить возможное распространение угроз и вредоносной активности на ваших сетевых устройствах с помощью Kaspersky NGFW, добавив IP-адреса в список запрещенных.
Действие по реагированию доступно, если комплект поставки Open Single Management Platform включает веб-плагин Kaspersky NGFW.
Чтобы выполнить действие по реагированию с помощью Kaspersky NGFW, у вас должна быть одна из следующих XDR-ролей: Главный администратор, Администратор тенанта, Аналитик 1-го уровня, Аналитик 2-го уровня.
Вы можете выполнить действие по реагированию одним из следующих способов:
- Из деталей алерта или инцидента.
- Из телеметрии события.
Сведения о событии можно открыть из сведений алерта или инцидента либо в разделе Поиск угроз.
Вы также можете настроить автоматический запуск действия по реагированию при создании или изменении плейбука.
Реагирование из деталей алерта или инцидента
Чтобы выполнить действие по реагированию из деталей алерта или инцидента:
- Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на ссылку с нужным идентификатором алерта.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на ссылку с нужным идентификатором инцидента.
- В открывшемся окне выберите вкладку Наблюдаемые объекты.
- Установите флажок рядом с устройством, IP-адрес которого вы хотите заблокировать.
- В раскрывающемся списке Выбрать действие по реагированию, выберите действие по реагированию Добавить IP-адрес в список запрещенных на сетевых устройствах.
Окно закрыто. Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.
Реагирование из телеметрии события
Чтобы выполнить реагирование из телеметрии события при его открытии из деталей алерта или инцидента:
- Выполните одно из следующих действий:
- В главном окне приложения перейдите в раздел Мониторинг → Алерты. В столбце Идентификатор нажмите на ссылку с нужным идентификатором алерта.
- В главном окне приложения перейдите в раздел Мониторинг → Инциденты. В столбце Идентификатор нажмите на ссылку с нужным идентификатором инцидента.
- В открывшемся окне выберите вкладку Подробнее и выполните одно из следующих действий:
- Нажмите на имя требуемого события.
- Нажмите на кнопку Найти в разделе "Поиск угроз", чтобы перейти в раздел Поиск угроз и нажмите на нужное событие.
- В открывшемся окне сведений о событии перейдите по ссылке с IP-адресом устройства, которое вы хотите заблокировать, а затем в раскрывающемся списке выберите пункт Добавить IP-адрес в список запрещенных на сетевых устройствах.
Окно закрыто. Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.
Чтобы выполнить действие по реагированию из телеметрии события при его открытии из раздела Поиск угроз:
- В главном окне приложения перейдите в раздел Мониторинг → Поиск угроз.
Откроется таблица событий.
- Нажмите на имя события, для которого нужно открыть сведения.
- В открывшемся окне сведений о событии перейдите по ссылке с IP-адресом устройства, которое вы хотите заблокировать, а затем в раскрывающемся списке выберите пункт Добавить IP-адрес в список запрещенных на сетевых устройствах.
Окно закрыто. Если действие по реагированию завершено успешно, на экране отображается соответствующее сообщение. Иначе отображается сообщение об ошибке.
