KEDR. Suspicious dump file creation

1. Скачайте архив со скриптами по этой ссылке. В архиве вы найдете папку с плейбуками, которая содержит:
   • папку docs, которая содержит файлы с описанием работы плейбуков;
   • папку code, которая содержит файлы JSON с определениями плейбуков;
   • папку scripts, которая содержит скрипты Python, необходимые для выполнения пользовательских действий в плейбуке.
2. Сгенерируйте API-токен для всех методов API в api/v3/kuma.
3. В файле kuma_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
4. Сгенерируйте API-токен с правами на взаимодействие с OpenAPI.
5. В файле xdr_open_api.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR.
   • TOKEN – введите API-токен, сгенерированный на предыдущем шаге.
6. В файле xdr_link_events.py укажите значения следующих констант:
   • HOST – введите FQDN или IP-адрес веб-сервера XDR;
   • user – введите свое имя пользователя;
   • password – введите свой пароль.
7. Скопируйте файлы kuma_events.py, xdr_link_events.py, xdr_open_api.py и requirements.txt в директорию на удаленном клиентском устройстве.

   Директория скриптов по умолчанию – /opt/xdr_scripts. Если вы выберете другую директорию для скриптов, вам нужно изменить значение параметра workdir в поле Входные данные в дополнительных параметрах каждого затронутого шаблона плейбука.

8. На удаленном клиентском устройстве перейдите в директорию, содержащую файл requirements.txt, и выполните следующую команду для установки зависимостей:

   pip install -r requirements.txt

9. Настройте службу удаленного запуска скриптов и SSH-соединение.

.OriginalEvents | any(select(.DevicePayloadID | contains("createdump_lolbin_execution_process")))

{

"version": "1",

"dslSpecVersion": "1.1.0",

"actionsSpecVersion": "1",

"input": "${ {\"workdir\": \"/opt/xdr_scripts\", \"timewindow\": \"86400\", \"susp_process_tree\": [], \"susp_file_creation_events\": []} }",

"executionFlow": [

{

"updateData": {

"filter": "${{susp_event: [alert.OriginalEvents[] | select(.DevicePayloadID | contains(\"createdump_lolbin_execution_process\"))][0].BaseEvents[0]}}",

"action": "merge"

}

},

{

"action": {

"function": {

"type": "executeCustomScript",

"params": {

"commandLine": "${ [ \"./kuma_events.py\", \" child_process_tree_edr_windows\" , \" '\", (.susp_event.SourceProcessID | tostring), \"' '\", (.susp_event.DeviceHostName | tostring), \"' \", (.susp_event.Timestamp | tostring), \" \", (.timewindow) ] | add }",

"commandLineParameters": "",

"stdIn": "",

"workingDirectory": "${ .workdir }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "24h"

},

"output": {

"filter": "${ {susp_process_tree: (.details.stdOut | fromjson) } }",

"action": "merge"

}

}

},

{

"decision": {

"conditions": [

{

"condition": "${ .susp_process_tree | length > 0 }",

"name": "if child processes are exist",

"steps": [

{

"action": {

"function": {

"type": "executeCustomScript",

"params": {

"commandLine": "${ [ \"./kuma_events.py\", \" sql_query\" , \" 'SELECT DeviceHostName,DeviceAddress,DeviceAssetID FROM `events` WHERE DeviceEventCategory='\\\\''filechange'\\\\'' AND DeviceAction='\\\\''create'\\\\'' AND DeviceHostName='\\\\''\", .susp_event.DeviceHostName, \"'\\\\'' AND DestinationProcessID IN (\", ( [( .susp_process_tree[] | \"'\\\\''\"+(.DestinationProcessID | tostring)+\"'\\\\''\" )] | join(\", \") ),\")\", \"' \", (.susp_event.Timestamp | tostring), \" \", (.timewindow) ] | add }",

"commandLineParameters": "",

"stdIn": "",

"workingDirectory": "${ .workdir }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "24h"

},

"output": {

"filter": "${{ susp_file_creation_events: (.details.stdOut | fromjson) }}",

"action": "merge"

}

}

}

]

}

]

}

},

{

"action": {

"function": {

"type": "addCommentToAlert",

"params": {

"text": "${ \"Suspicious processes were detected on host \" + (.susp_event.DeviceHostName) + \". All of them should be terminated to contain possible malicious activity.\nChild process tree of the malicious process: \"+ (.susp_event.DestinationUserName) + \": (\" + (.susp_event.DestinationProcessID | tostring) + \") \" + (.susp_event.DestinationProcessName) + \"\n\" + ( [ .susp_process_tree[] | \"*\"*4*.process_level + \"└──> \" + (.DestinationUserName) + \": (\" + (.DestinationProcessID | tostring) + \") \" + (.DestinationProcessName) ] | join(\"\n\") ) + \"Suspicious files that were created by the suspicious processes: \n\" + ( [ .susp_file_creation_events[] | \"- \" + (.Extra.DroppedFullName) ] | join(\"\n\") ) }"

}

},

"onError": "stop",

"timeout": {

"scheduleToCloseTimeout": "24h"

}

}

},

{

"decision": {

"conditions": [

{

"condition": "${.susp_event.DeviceAssetID != null}",

"name": "if asset is defined",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"params": {

"pid": "${.susp_event.DestinationProcessID}"

},

"assets": "${.susp_event.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

},

{

"loop": {

"input": "${.susp_process_tree}",

"steps": [

{

"action": {

"function": {

"type": "killProcess",

"params": {

"pid": "${.DestinationProcessID}"

},

"assets": "${.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

],

"onError": "stop",

"batchSize": 1

}

},

{

"loop": {

"input": "${.susp_file_creation_events}",

"steps": [

{

"action": {

"function": {

"type": "quarantineFile",

"params": {

"path": "${.Extra.DroppedFullName}"

},

"assets": "${.DeviceAssetID}"

},

"onError": "continue",

"timeout": {

"scheduleToCloseTimeout": "10m"

}

}

}

],

"onError": "stop",

"batchSize": 1

}

}

]

}

]

}

}

]

}