Глоссарий

Bootstrap

Базовая среда выполнения, включающая кластер Kubernetes и компоненты инфраструктуры для работы Kaspersky Symphony XDR. Bootstrap входит в транспортный архив и автоматически устанавливается при развертывании Kaspersky Symphony XDR.

EPP-программа

Программа устанавливается на конечные устройства для обеспечения защиты и передачи отчетов о ее состоянии Серверу администрирования, который занимается централизованным управлением. Для Kaspersky Symphony XDR приложениями EPP являются Kaspersky Endpoint Security для Windows, Kaspersky Endpoint Security для Linux и Kaspersky Endpoint Security для Mac.

IOA-правило

Kaspersky Symphony XDR использует индикаторы атаки (IOA). IOA-правила содержат описание подозрительной активности в системе, которая может быть признаком целевой атаки. Эти правила скачаны из репозитория KUMA и используются технологией TAA (Targeted Attack Analyzer) для поиска угроз. Вы можете открыть сведения о IOA-правиле из соответствующих сведений алерта. Также в Консоли OSMP есть предустановленное IOA-правило. Предустановленное IOA-правило отображается в таблице правил корреляции: Мониторинг → Ресурсы и сервисы → Правила корреляции. Если срабатывает предустановленное IOA-правило, создаются IOA-алерты.

IOC-файл

IOC файлы содержат набор индикаторов, которые сравниваются с индикаторами события. Если сравниваемые индикаторы совпадают, приложение считает событие обнаружением и создает алерт. Вероятность обнаружения может повыситься, если в результате проверки были найдены точные совпадения данных об объекте с несколькими IOC-файлами.

Kaspersky Deployment Toolkit

Утилита, используемая для развертывания и управления кластером Kubernetes, компонентами Kaspersky Symphony XDR и веб-плагинами управления. KDT работает на устройстве администратора и подключается к целевым устройствам с помощью SSH.

Lightweight Nagent (LWNGT)

Протокол взаимодействия с Kaspersky Endpoint Security на мобильных устройствах. Протокол LWNGT (также мобильный протокол) выполняет роль Агента администрирования без фактической установки Агента администрирования на мобильные устройства.

Network Location Awareness (NLA)

Служба Windows, которая помогает операционной системе идентифицировать текущую сеть. NLA обнаруживает изменения в сети и настраивает конфигурацию безопасности устройства.

Агент

Службы KUMA, которые используются для получения событий на удаленных устройствах и пересылки их коллекторам KUMA.

Агент администрирования

Open Single Management Platform – это компонент, обеспечивающий взаимодействие между Сервером администрирования и приложениями "Лаборатории Касперского", установленными на конкретном сетевом узле (рабочей станции или сервере). Этот компонент является единым для всех приложений, разработанных для систем Microsoft Windows. Для приложений "Лаборатории Касперского" для операционных систем UNIX и подобных им и macOS существуют отдельные версии Агента администрирования.

Актив

Устройство или пользователь защищаемой инфраструктуры. Если на активе обнаружен алерт или инцидент, вы можете выполнить действия по реагированию для этого актива.

Алгоритм плейбука

Алгоритм, включающий последовательность действий по реагированию, которые помогают анализировать и обрабатывать алерты или инциденты.

Алерт

Событие в ИТ-инфраструктуре организации, которое было отмечено Open Single Management Platform как необычное или подозрительное и которое может представлять угрозу безопасности ИТ-инфраструктуре организации.

Граф расследования

Инструмент для визуального анализа, который показывает отношения между событиями, алертами, инцидентами, наблюдаемыми объектами и активами (устройствами). На графе расследования отображается подробная информация об инциденте: соответствующие алерты, пользователи, активы и их общие свойства.

Действия по реагированию

Действия, запускаемые в плейбуках.

Дистрибутив

Архив, содержащий транспортный архив с компонентами Kaspersky Symphony XDR и Лицензионными соглашениями для Kaspersky Symphony XDR и KDT, а также архив с утилитой KDT и шаблонами конфигурационного файла и файлом инвентаря KUMA.

Инцидент

Контейнер алертов, который обычно указывает на истинно положительное обнаружение проблемы в ИТ-инфраструктуре организации. Инцидент может содержать один или несколько алертов. Используя инциденты, аналитики могут исследовать несколько алертов как одну проблему.

Кластер Kubernetes

Набор устройств, объединенных с помощью Kubernetes в один вычислительный ресурс. Кластер Kubernetes используется для работы компонентов Kaspersky Symphony XDR (кроме сервисов KUMA). Кластер Kubernetes может включать в себя как целевые устройства, так и устройство администратора.

Коллектор

Сервис KUMA, который получает сообщения от источников событий, обрабатывает их, а затем передает их в хранилище, коррелятор и/или сторонние службы для идентификации алертов.

Контекст

Набор параметров доступа, определяющих кластер Kubernetes, с которым пользователь может выбрать взаимодействие. Контекст также включает данные для подключения к кластеру с помощью KDT.

Конфигурационный файл

Файл в формате YAML, содержащий список целевых устройств для развертывания Kaspersky Symphony XDR и набор параметров для установки компонентов Kaspersky Symphony XDR. Конфигурационный файл используется KDT.

Коррелятор

Сервис KUMA, анализирующий нормализованные события.

Маршрутизатор событий

Сервис KUMA, который позволяет принимать потоки событий от коллекторов и корреляторов и далее распределять события по заданным точкам назначения в соответствии с настроенными фильтрами.

Мультитенантность

Режим, который позволяет главному администратору предоставлять функциональность Kaspersky Symphony XDR нескольким клиентам независимо или разделять активы и параметры приложения и объекты для разных офисов. Также режим мультитенантности позволяет копировать и наследовать параметры и объекты тенанта от родительского тенанта, а также автоматически распространять лицензионный ключ Kaspersky Symphony XDR для всех тенантов в иерархии.

Наблюдаемые объекты

Объекты, связанные с алертом и инцидентом, такие как хеши MD5 и SHA256, IP-адрес, веб-адрес, имя домена, имя пользователя или имя устройства.

Нормализованное событие

Событие, которое обрабатывается в соответствии с нормализованной моделью данных событий KUMA.

Плейбук

Объект, который реагирует на алерты или инциденты в соответствии с заданным алгоритмом (алгоритмом плейбука). Плейбуки позволяют автоматизировать рабочие процессы и сокращать время, необходимое для обработки алертов и инцидентов.

Получить данные для расследования

Набор методов и технологий, направленных на выявление, получение и анализ данных, которые могут быть использованы в качестве цифрового доказательства кибератак или других незаконных действий, осуществляемых на устройствах.

Пользовательские действия

KDT – это команда, позволяющая выполнять дополнительные операции, специфичные для компонентов Kaspersky Symphony XDR.

Правила сегментации

Правила, которые позволяют автоматически разделять связанные алерты на отдельные инциденты в зависимости от заданных условий.

Правило корреляции

Ресурс KUMA, используемый для распознавания определенных последовательностей обработанных событий и выполнения заданных действий после распознавания.

Реестр

Компонент инфраструктуры, в котором хранятся контейнеры приложений и который используется для установки и хранения компонентов Kaspersky Symphony XDR.

Сервисы KUMA

Основные компоненты KUMA, которые помогают системе управлять событиями. Сервисы позволяют получать события из источников событий и в дальнейшем приводить их к общему виду, удобному для поиска корреляций, а также для хранения и ручного анализа. Сервисы KUMA (агенты, коллекторы, корреляторы, хранилища и маршрутизаторы событий) устанавливаются на устройства, расположенные вне кластера Kubernetes.

Событие

События информационной безопасности, зарегистрированные на контролируемых элементах ИТ-инфраструктуры организации. Например, события включают попытки входа в систему, взаимодействия с базой данных и многоадресную рассылку информации. Каждое отдельное событие может показаться неинформативным, но, если рассматривать их вместе, они формируют более широкую картину сетевой активности, которая помогает идентифицировать угрозы безопасности.

Тенант

Логический объект, соответствующий организационной единице (клиенту или офису), которой предоставляется функциональность Kaspersky Symphony XDR. Каждый тенант может включать в себя активы, пользователей и их права доступа, события, алерты, инциденты, плейбуки, а также интеграцию с другими приложениями, службами и решениями "Лаборатории Касперского". Также тенант определяет набор доступных операций с включенными объектами.

Транспортный архив

Архив, который содержит компоненты Kaspersky Symphony XDR и веб-плагинов управления и Лицензионные соглашения Kaspersky Symphony XDR и KDT. Транспортный архив включен в дистрибутив.

Узел

Физическая или виртуальная машина, на которой будет развернут Kaspersky Symphony XDR. Есть первичный и рабочий узлы. Первичный узел предназначен для управления кластером, хранения метаданных и распределения рабочей нагрузки. Рабочие узлы предназначены для выполнения рабочей нагрузки компонентов Kaspersky Symphony XDR.

Устройство администратора

Физическая или виртуальная машина, которая используется для развертывания и управления кластером Kubernetes и Kaspersky Symphony XDR с помощью KDT. KDT работает на устройстве администратора. Если устройство администратора не включено в кластер Kubernetes, оно будет использоваться только для развертывания. Если устройство администратора включено в кластер, оно также будет действовать как целевое устройство, которое используется для работы компонентов Kaspersky Symphony XDR.

Файл инвентаря KUMA

Файл в формате YAML, который содержит параметры для установки сервисов KUMA, не включенных в кластер Kubernetes. Путь к файлу инвентаря KUMA включен в конфигурационный файл, который используется KDT для развертывания Kaspersky Symphony XDR.

Хранилище

Сервис KUMA, который используется для хранения нормализованных событий, чтобы к ним можно было быстро и постоянно получать доступ из KUMA с целью извлечения аналитических данных.

Целевые устройства

Физические или виртуальные машины, на которых устанавливается Kaspersky Symphony XDR. Целевые устройства включены в кластер Kubernetes. Компоненты Kaspersky Symphony XDR работают на этих устройствах.

Цепочка развития угрозы

Последовательность шагов, позволяющих отслеживать стадии кибератаки. Цепочка развития угроз позволяет проанализировать причины возникновения угрозы. Для создания цепочки развития угрозы управляемое приложение передает данные с устройства на Сервер администрирования с помощью Агента администрирования.