[KL][EDR] "Delete malicious files transferred to the host from alert"
Предустановленный плейбук [KL][EDR] Delete malicious files transferred to the host from alert предназначен для автоматического реагирования на обнаружение вредоносных файлов, которые используются для доставки на устройство дополнительного вредоносного ПО. При обнаружении активности, связанной с техникой T1105 (Ingress Tool Transfer), плейбук удаляет такой файл с устройства, чтобы предотвратить его дальнейшее использование.
Область применения плейбука – алерты.
Триггер плейбука содержит следующее выражение:
"(event.new or (event.updateOperations // [] | any(. == "alertChangedOriginalEvents"))) and ([.OriginalEvents // [] | select(any(.S.KL_EventType == "File Modify" and (.FileFullname // "") != "" and ([.SA.KL_IoAAlert, .SA.KL_IoATechniques] | transpose | any(.[0] and .[1] == "t1105"))))] | any)"
ResponseFunction, используемая плейбуком: deleteFile.
Во время выполнения плейбук использует реагирование Удалить файл.
Алгоритм плейбука содержит следующую последовательность действий по реагированию:
{
"version": "1",
"dslSpecVersion": "1.1.0",
"actionsSpecVersion": "1",
"playbookRunTimeout": "24h",
"executionFlow": [
{
"loop": {
"input": "${ [ alert.OriginalEvents[] | select(.S.KL_EventType == \"File Modify\" and (.FileFullname // \"\") != \"\" and ([.SA.KL_IoAAlert, .SA.KL_IoATechniques] | transpose | any(.[0] and .[1] == \"t1105\"))) ] }",
"steps": [
{
"action": {
"function": {
"type": "deleteFile",
"assets": "${ [ .[0].AffectedAssets.assets[] | .OsmpID ] }",
"params": {
"path": "${ .[0].FileFullname }"
}
},
"onError": "continue",
"timeout": {
"scheduleToCloseTimeout": "24h"
}
}
}
],
"onError": "continue",
"batchSize": 1
}
}
]
}
