[KL][EDR] "Isolate host when Discovery activity is detected from alert"

Предустановленный плейбук [KL][EDR] Isolate host when Discovery activity is detected from alert предназначен для автоматического реагирования на активность по сбору информации об устройстве и его окружении. При обнаружении такой активности плейбук включает сетевую изоляцию устройства, чтобы предотвратить дальнейшие действия злоумышленника во время расследования.

Область применения плейбука – алерты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "alertChangedOriginalEvents"))) and ([.Rules // [] | select(any(.Name == "Discovery_activity_on_the_host"))] | any)"

ResponseFunction, используемая плейбуком: netIsolateOn.

Во время выполнения плейбук использует реагирование Включить сетевую изоляцию. Данное реагирование включает сетевую изоляцию устройства на 8 часов. Для включения сетевой изоляции требуется подтверждение пользователя.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"action": {

"function": {

"type": "netIsolateOn",

"assets": "${ [ alert.Assets[] | select(.Type == \"host\") | .ID] }",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

}

},

"manualApprove": true,

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

]

}