Suspicious scheduled task
08 ноября 2026
ID 340015
Шаблон плейбука "Suspicious scheduled task" предназначен для реагирования на алерт KEDR, который связан с подозрительной запланированной задачей.
Область применения плейбука – алерты.
Перед использованием плейбука вам нужно скачать скрипты и список зависимостей, которые требуются для правильной работы плейбука.
Нажмите здесь, чтобы узнать, как скачать и подготовить скрипты
- Скачайте архив со скриптами по этой ссылке. В архиве вы найдете папку с плейбуками, которая содержит:
- папку
docs, которая содержит файлы с описанием работы плейбуков; - папку
code, которая содержит файлы JSON с определениями плейбуков; - папку
scripts, которая содержит скрипты Python, необходимые для выполнения пользовательских действий в плейбуке.
- папку
- Сгенерируйте API-токен для всех методов API в
api/v3/kuma. - В файле
kuma_events.pyукажите значения следующих констант:HOST– введите FQDN или IP-адрес веб-сервера XDR;TOKEN– введите API-токен, сгенерированный на предыдущем шаге.
- Сгенерируйте API-токен с правами на взаимодействие с OpenAPI.
- В файле
xdr_open_api.pyукажите значения следующих констант:HOST– введите FQDN или IP-адрес веб-сервера XDR.TOKEN– введите API-токен, сгенерированный на предыдущем шаге.
- В файле
xdr_link_events.pyукажите значения следующих констант:HOST– введите FQDN или IP-адрес веб-сервера XDR;user– введите свое имя пользователя;password– введите свой пароль.
- Скопируйте файлы
kuma_events.py,xdr_link_events.py,xdr_open_api.pyиrequirements.txtв директорию на удаленном клиентском устройстве.Директория скриптов по умолчанию –
/opt/xdr_scripts. Если вы выберете другую директорию для скриптов, вам нужно изменить значение параметраworkdirв поле Входные данные в дополнительных параметрах каждого затронутого шаблона плейбука. - На удаленном клиентском устройстве перейдите в директорию, содержащую файл
requirements.txt, и выполните следующую команду для установки зависимостей:pip install -r requirements.txt - Настройте службу удаленного запуска скриптов и SSH-соединение.
Как создать плейбук, см. в статье Создание плейбуков.
Триггер плейбука содержит следующее выражение:
incident.Alerts[0] | .OriginalEvents[] | select(.Type==3) | map(select(.Type == 3)) | map(.ExternalID) - ["R099_01", "R099_02", "R099_03", "R099_04", "R099_05"] | length == 0
ResponseFunction, используемые плейбуком: executeCustomScript, addCommentToAlert.
Во время выполнения плейбук использует следующие действия по реагированию:
- Выполняет запрос KUMA для получения дополнительной информации о сработавшем алерте.
- Добавляет комментарий к алерту с краткой информацией о найденных событиях.
Алгоритм плейбука содержит следующую последовательность действий по реагированию:
{
"version": "1",
"dslSpecVersion": "1.1.0",
"actionsSpecVersion": "1",
"input": "${ {\"workdir\": \"/opt/xdr_scripts\", \"timewindow\": \"86400\"} }",
"executionFlow": [
{
"updateData": {
"filter": "${ { targetEvent: ([ incident.Alerts[0].OriginalEvents[] | select( .Type == 3 ) ][0]), quote: ([34] | implode) } }",
"action": "merge"
}
},
{
"decision": {
"conditions": [
{
"condition": "${.targetEvent.DeviceEventClassID == \"4688\"}",
"name": "Original event is process creation",
"steps": [
{
"updateData": {
"filter": "${{ taskName: ( .quote as $quote | .targetEvent.DeviceCustomString4 | match(\"/[Tt][Nn]\\\\s+([^\\\\s\"+$quote+\"]+|\"+$quote+\"[^\"+$quote+\"]+\"+$quote+\")\").captures[0].string | gsub($quote;\"\") ) }}",
"action": "merge"
}
}
]
},
{
"condition": "${.targetEvent.DeviceEventClassID == \"4698\"}",
"name": "Original event is task creation",
"steps": [
{
"updateData": {
"filter": "${{ taskName: (.targetEvent.SourceProcessName) }}",
"action": "merge"
}
}
]
}
]
}
},
{
"decision": {
"conditions": [
{
"condition": "${has(\"taskName\") and (.taskName | type == \"string\" and length > 0)}",
"name": "Task name is defined",
"steps": [
{
"action": {
"function": {
"type": "executeCustomScript",
"params": {
"commandLine": "${ [ \"./kuma_events.py\", \" sql_query\" , \" 'SELECT DeviceCustomString4 FROM `events` where DeviceEventClassID='\\\\''4698'\\\\'' and endsWith(SourceProcessName, '\\\\''\", (.taskName), \"'\\\\'') LIMIT 20' \", (.targetEvent.Timestamp | tostring), \" \", (.timewindow) ] | add }",
"commandLineParameters": "",
"stdIn": "",
"workingDirectory": "${ .workdir }"
}
},
"onError": "stop",
"timeout": {
"scheduleToCloseTimeout": "24h"
},
"output": {
"filter": "${{ taskExec: (.details.stdOut | fromjson) }}",
"action": "merge"
}
}
},
{
"action": {
"function": {
"type": "executeCustomScript",
"params": {
"commandLine": "${ [ \"./kuma_events.py\", \" sql_query\" , \" 'SELECT DeviceHostName, DeviceAddress, DeviceAssetID FROM `events` where DeviceEventClassID='\\\\''4698'\\\\'' and endsWith(SourceProcessName, '\\\\''\", (.taskName), \"'\\\\'') GROUP BY DeviceHostName, DeviceAddress, DeviceAssetID LIMIT 20' \", (.targetEvent.Timestamp | tostring), \" \", (.timewindow) ] | add }",
"commandLineParameters": "",
"stdIn": "",
"workingDirectory": "${ .workdir }"
}
},
"onError": "stop",
"timeout": {
"scheduleToCloseTimeout": "24h"
},
"output": {
"filter": "${{ assetsWithTask : (.details.stdOut | fromjson) }}",
"action": "merge"
}
}
},
{
"updateData": {
"filter": "${{ affectedAssets: ( [ .assetsWithTask[] | .DeviceAssetID ] | map(select(. != \"\" and . != null)) ) }}",
"action": "merge"
}
},
{
"decision": {
"conditions": [
{
"condition": "${has(\"taskExec\") and (.taskExec | type == \"array\" and length > 0)}",
"name": "Task exec is defined",
"steps": [
{
"updateData": {
"filter": "${{ taskExecBins: ([.quotes as $quotes | .taskExec[] | .DeviceCustomString4 | match(\"([\"+$quotes+\"'][^\"+$quotes+\"']+\\\\\\\\[^\"+$quotes+\"']+\\\\.\\\\w{2,4}\"+$quotes+\"|[^\"+$quotes+\"'\\\\s]+\\\\\\\\[^\"+$quotes+\"'\\\\s]+\\\\.\\\\w{2,4})\"; \"g\").captures[0].string]) }}",
"action": "merge"
}
},
{
"updateData": {
"filter": "${{ suspExecFileNames: ( .taskExecBins | map(select(ascii_downcase | index(\"\\\\system32\\\\\") == null) | split(\"\\\\\") | last) | unique )}}",
"action": "merge"
}
},
{
"decision": {
"conditions": [
{
"condition": "${has(\"suspExecFileNames\") and (.suspExecFileNames | type == \"array\" and length > 0)}",
"name": "Suspicious file name is defined",
"steps": [
{
"action": {
"function": {
"type": "executeCustomScript",
"params": {
"commandLine": "${ [ \"./kuma_events.py\", \" sql_query\" , \" 'SELECT DeviceHostName,DeviceAddress,DeviceAssetID FROM `events` WHERE (DeviceEventClassID in ('\\\\''4656'\\\\'', '\\\\''4662'\\\\'', '\\\\''4663'\\\\'') AND FileType='\\\\''File'\\\\'' AND (\", ([.suspExecFileNames[] | \"endsWith(SourceProcessName, '\\\\''\" + . + \"'\\\\'')\"] | join(\" or \")), \")) or (DeviceEventClassID in ('\\\\''4668'\\\\'') AND (\", ([.suspExecFileNames[] | \"DeviceCustomString4 ILIKE '\\\\''\" + . + \"'\\\\''\"] | join(\" or \")), \")) or (DeviceEventCategory='\\\\''process'\\\\'' AND (\", ([.suspExecFileNames[] | \"DeviceCustomString4 ILIKE '\\\\''\" + . + \"'\\\\''\"] | join(\" or \")), \")) or (DeviceEventCategory='\\\\''filechange'\\\\'' AND FileName in (\", ([.suspExecFileNames[] | \"'\\\\''\" + . + \"'\\\\''\"] | join(\", \")), \") OR OldFileName in (\", ([.suspExecFileNames[] | \"'\\\\''\" + . + \"'\\\\''\"] | join(\", \")), \")) GROUP BY DeviceHostName,DeviceAddress,DeviceAssetID LIMIT 20' \", (.targetEvent.Timestamp | tostring), \" \", (.timewindow) ] | add }",
"commandLineParameters": "",
"stdIn": "",
"workingDirectory": "${ .workdir }"
}
},
"onError": "stop",
"timeout": {
"scheduleToCloseTimeout": "24h"
},
"output": {
"filter": "${{ assetsWithSuspFile: (.details.stdOut | fromjson) }}",
"action": "merge"
}
}
},
{
"updateData": {
"filter": "${{ affectedAssets: (.affectedAssets + ([ .assetsWithSuspFile[] | .DeviceAssetID ] | map(select(. != \"\" and . != null))) ) }}",
"action": "merge"
}
}
]
}
]
}
}
]
}
]
}
},
{
"action": {
"function": {
"type": "addCommentToIncident",
"params": {
"text": "${.quotes as $quotes |\n(.targetEvent.DeviceHostName + \" (IP: \" + .targetEvent.DeviceAddress +\")\" ) as $targetDevice |\n(if .targetEvent.DestinationUserName == \"-\" or .targetEvent.DestinationUserName == \"\" then .targetEvent.SourceNtDomain + \"\\\\\" + .targetEvent.SourceUserName else .targetEvent.DestinationNtDomain + \"\\\\\" + .targetEvent.DestinationUserName end) as $targetAccount |\n(if .targetEvent.DeviceEventClassID == \"4688\" then \"Task was created from process \" + .targetEvent.SourceProcessName + \" (PID: \" + .targetEvent.DeviceCustomString3 + \") using command: \" + .targetEvent.DeviceCustomString4 + \"\\n.\" else \"\" end) as $taskCreationCmdLine |\n(\"Task was created on the following devices before and after \" + .timewindow + \" seconds from the alert datetime:\\n - \" + ( [.assetsWithTask[] | (.DeviceHostName + \" (IP: \" + .DeviceAddress +\")\" ) ] | join(\"\\n - \")) + \".\\n\") as $assetsWithTheSameTask |\n(if has(\"taskExec\") and (.taskExec | type == \"array\" and length > 0) then \"Task launches the followind command:\\n - \" + ( [.taskExec[] | .DeviceCustomString4] | join(\"\\n - \")) + \"\\n\" else \"\" end) as $taskExec |\n(if has(\"suspExecFileNames\") and (.suspExecFileNames | type == \"array\" and length > 0) then \"Scheduled task uses the following files that should analyzed:\\n - \" + ( .suspExecFileNames | join(\"\\n - \")) + \"\\n\" else \"\" end) as $suspExecFileNames |\n\"Suspicious scheduled task \" + $quotes + .taskName + $quotes + \" was created on host \" + $targetDevice + \" by user \" + $targetAccount + \".\\n\" + $taskCreationCmdLine + $assetsWithTheSameTask + $taskExec + $suspExecFileNames}"
}
},
"onError": "stop",
"timeout": {
"scheduleToCloseTimeout": "24h"
}
}
}
]
}
]
}
},
{
"decision": {
"conditions": [
{
"condition": "${has(\"affectedAssets\") and (.affectedAssets | type == \"array\" and length > 0)}",
"name": "affectedAssets is defined",
"steps": [
{
"action": {
"function": {
"type": "netIsolateOn",
"params": {
"exclusions": [],
"exclusionsConflictBehavior": "replace",
"isolationTimeoutSec": 28800
},
"assets": "${ .affectedAssets }"
},
"onError": "stop",
"timeout": {
"scheduleToCloseTimeout": "24h"
},
"manualApprove": {
"timeout": "60m",
"emailNotifications": {
"enabled": true,
"delay": "10m"
}
}
}
}
]
}
]
}
}
]
}
