[KL][EDR] "Isolate host when Discovery activity is detected from incident"

Предустановленный плейбук [KL][EDR] Isolate host when Discovery activity is detected from incident предназначен для автоматического реагирования на активность по сбору информации об устройстве и его окружении. Плейбук обрабатывает алерты, связанные с инцидентом, и при обнаружении такой активности включает сетевую изоляцию устройства, чтобы предотвратить дальнейшие действия злоумышленника во время расследования.

Область применения плейбука – инциденты.

Триггер плейбука содержит следующее выражение:

"(event.new or (event.updateOperations // [] | any(. == "incidentLinkedWithAlertsBySystem" or . == "incidentLinkedWithAlertsByUser"))) and ([ .Alerts[]? | .Rules // [] | select(any(.Name == "Discovery_activity_on_the_host")) ] | any)"

ResponseFunction, используемая плейбуком: netIsolateOn.

Во время выполнения плейбук использует реагирование Включить сетевую изоляцию. Данное реагирование включает сетевую изоляцию устройства на 8 часов. Для включения сетевой изоляции требуется подтверждение пользователя.

Алгоритм плейбука содержит следующую последовательность действий по реагированию:

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"playbookRunTimeout": "24h",

"executionFlow": [

{

"action": {

"function": {

"type": "netIsolateOn",

"assets": "${ [ incident.Alerts[] | select(.Rules | any(.Name == \"Discovery_activity_on_the_host\")) | .Assets[] | select(.Type == \"host\") | .ID] }",

"params": {

"exclusions": [],

"exclusionsConflictBehavior": "replace",

"isolationTimeoutSec": 28800

}

},

"manualApprove": true,

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

}

]

}