IOCSCAN. Untersuchung auf Kompromittierungsindikatoren (IOC)

IOC-Dateien

<vollständiger Pfad der IOC-Datei>

Vollständiger Pfad der IOC-Datei, die Sie zur Untersuchung verwenden möchten. Sie können mehrere durch Leerzeichen getrennte IOC-Dateien angeben. Der vollständige Pfad der IOC-Datei muss ohne das Argument /path angegeben werden.

Beispiel: C:\Benutzer\Admin\Desktop\IOC\file1.ioc

/path=<Pfad des Ordners mit IOC-Dateien>

Pfad des Ordners mit den IOC-Dateien, die Sie zur Untersuchung verwenden möchten. IOC-Dateien sind Dateien, die Sätze von Indikatoren enthalten, mit denen die Anwendung nach Übereinstimmungen sucht. IOC-Dateien müssen dem OpenIOC-Standard entsprechen.

Beispiel: C:\Benutzer\Admin\Desktop\IOC

Datentyp für die IOC-Untersuchung

/process=on|off

Analysieren der Prozessdaten, während die IOC-Untersuchung ausgeführt wird (ProcessItem-Ausdruck).

Wenn der Wert des Arguments off ist, analysiert Kaspersky Endpoint Security die auf dem Computer ausgeführten Prozesse während der Untersuchung nicht. Falls die IOC-Datei IOC-Bedingungen des ProcessItem-IOC-Dokuments enthält, werden sie ignoriert (als Nicht-Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Prozessdaten nur dann, wenn das ProcessItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/hint=<vollständiger Pfad der ausführbaren Datei des Prozesses|vollständiger Pfad der Datei>

Analysieren von Dateidaten, während die IOC-Untersuchung ausgeführt wird (ProcessItem- und FileItem-Ausdrücke).

Für die Auswahl einer Datei bestehen folgenden Möglichkeiten:

• <vollständiger Pfad der ausführbaren Datei des Prozesses> – ProcessItem
• <vollständiger Pfad der Datei> – FileItem

/registry=on|off

Analysieren von Windows-Registrierungsdaten, während die IOC-Untersuchung ausgeführt wird (RegistryItem-Ausdruck).

Wenn der Wert des Arguments off ist, durchsucht Kaspersky Endpoint Security die Windows-Registrierung nicht. Wenn die IOC-Datei Ausdrücke des RegistryItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Windows-Registrierung nur dann, wenn das RegistryItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

Beim Datentyp „RegistryItem“ untersucht Kaspersky Endpoint Security eine Reihe von Registrierungsschlüsseln.

/dnsentry=on|off

Analysieren von Daten über Einträge im lokalen DNS-Cache, während die IOC-Untersuchung ausgeführt wird (DnsEntryItem-Ausdruck).

Wenn der Wert des Arguments off ist, untersucht Kaspersky Endpoint Security den lokalen DNS-Cache nicht. Wenn die IOC-Datei Ausdrücke des DnsEntryItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security den lokalen DNS-Cache nur dann, wenn das DnsEntryItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/arpentry=on|off

Analysieren von Daten über Einträge in der ARP-Tabelle, während die IOC-Untersuchung ausgeführt wird (ArpEntryItem-Begriff).

Wenn der Wert des Arguments off ist, untersucht Kaspersky Endpoint Security die ARP-Tabelle nicht. Wenn die IOC-Datei Ausdrücke des ArpEntryItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die ARP-Tabelle nur dann, wenn das ArpEntryItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/ports=on|off

Analysieren von Daten über Ports, die während der IOC-Untersuchung zum Abhören geöffnet sind (PortItem-Ausdruck).

Wenn der Wert des Arguments off ist, untersucht Kaspersky Endpoint Security die Tabelle der auf dem Gerät aktiven Verbindungen nicht. Wenn die IOC-Datei Ausdrücke des PortItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Tabelle der aktiven Verbindungen nur dann, wenn das PortItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/services=on|off

Analysieren von Daten über auf dem Gerät installierte Dienste, während die IOC-Untersuchung ausgeführt wird (ServiceItem-Ausdruck).

Wenn der Wert des Arguments off ist, untersucht Kaspersky Endpoint Security die Daten über auf dem Gerät installierte Dienste nicht. Wenn die IOC-Datei Ausdrücke des ServiceItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Dienstdaten nur dann, wenn das ServiceItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/system=on|off

Analysieren von Umgebungsdaten, während die IOC-Untersuchung ausgeführt wird (SystemInfoItem-Ausdruck).

Wenn der Wert des Arguments off ist, analysiert Kaspersky Endpoint Security die Umgebungsdaten nicht. Wenn die IOC-Datei Ausdrücke des SystemInfoItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Umgebungsdaten nur dann, wenn das SystemInfoItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/users=on|off

Analysieren von Daten über Benutzer, während die IOC-Untersuchung ausgeführt wird (UserItem-Ausdruck).

Wenn der Wert des Arguments off ist, analysiert Kaspersky Endpoint Security die im System über Benutzer erstellten Daten nicht. Wenn die IOC-Datei Ausdrücke des UserItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die im System über Benutzer erstellten Daten nur dann, wenn das UserItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/volumes=on|off

Analysieren von Daten über Volumes, während die IOC-Untersuchung ausgeführt wird (VolumeItem-Ausdruck).

Wenn der Wert des Arguments off ist, untersucht Kaspersky Endpoint Security die Daten über Volumes auf dem Gerät nicht. Wenn die IOC-Datei Ausdrücke des VolumeItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Volume-Daten nur dann, wenn das VolumeItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/eventlog=on|off

Analysieren von Daten über Datensätze im Windows-Ereignisprotokoll, während die IOC-Untersuchung ausgeführt wird (EventLogItem-Ausdruck).

Wenn der Wert des Arguments off ist, durchsucht Kaspersky Endpoint Security die Einträge im Windows-Ereignisprotokoll nicht. Wenn die IOC-Datei Ausdrücke des EventLogItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security das Windows-Ereignisprotokoll nur dann, wenn das EventLogItem -IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/datetime=<Veröffentlichungsdatum des Ereignisses>

Bei der Bestimmung des IOC-Untersuchungsbereichs für das entsprechende IOC-Dokument wird das Datum berücksichtigt, an dem das Ereignis im Windows-Ereignisprotokoll veröffentlicht wurde.

Wenn eine IOC-Untersuchung ausgeführt wird, überprüft Kaspersky Endpoint Security die Einträge des Windows-Ereignisprotokolls, die ab dem angegebenen Zeitpunkt (Uhrzeit und Datum) bis zum Zeitpunkt der Aufgabenausführung veröffentlicht wurden.

In Kaspersky Endpoint Security kann das Veröffentlichungsdatum des Ereignisses als Wert des Arguments angegeben werden. Die Untersuchung wird nur für Ereignisse durchgeführt, die nach dem angegebenen Datum und vor der Ausführung der Untersuchung im Windows-Ereignisprotokoll veröffentlicht wurden.

Ist das Argument nicht angegeben, so untersucht Kaspersky Endpoint Security Ereignisse mit beliebigem Veröffentlichungsdatum. Die Einstellung TaskSettings::BaseSettings::EventLogItem::datetime kann nicht bearbeitet werden.

Diese Einstellung wird nur verwendet, wenn das EventLogItem-IOC-Dokument in der für die Untersuchung bereitgestellten IOC-Datei beschrieben ist.

/channel=<Liste der Kanäle>

Liste der Kanal-(Protokoll-)Namen, für die Sie eine IOC-Untersuchung durchführen möchten.

Wenn das Argument angegeben ist, untersucht Kaspersky Endpoint Security die in den angegebenen Protokollen veröffentlichten Einträge. Der EventLogItem-Ausdruck muss im IOC-Dokument beschrieben sein.

Der Name des Protokolls wird als String angegeben, der dem Namen des Protokolls (Kanals) entspricht, das in den Protokolleigenschaften (Parameter „Full Name“) oder in den Ereigniseigenschaften (Parameter „<Channel></Channel>“ im XML-Schema des Ereignisses) angegeben ist. Sie können mehrere durch Leerzeichen getrennte Kanäle angeben.

Ist das Argument nicht angegeben, so durchsucht Kaspersky Endpoint Security die Einträge nach den Kanälen Application, System und Security.

/files=on|off

Analysieren von Dateidaten, während die IOC-Untersuchung ausgeführt wird (FileItem-Ausdruck).

Wenn der Wert des Arguments off ist, analysiert Kaspersky Endpoint Security die Dateidaten nicht. Wenn die IOC-Datei Ausdrücke des FileItem-IOC-Dokuments enthält, werden diese ignoriert (nicht als Übereinstimmung erkannt).

Ist das Argument nicht angegeben, so analysiert Kaspersky Endpoint Security die Dateidaten nur dann, wenn das FileItem-IOC-Dokument in der IOC-Datei beschrieben ist, die für die Untersuchung bereitgestellt wird.

/drives=<all|system|critical|custom>

Festlegen des IOC-Untersuchungsbereichs, wenn Daten für das FileItem-IOC-Dokument analysiert werden.

Für den Untersuchungsbereich können Sie die folgenden Werte festlegen:

• <all> für alle verfügbaren Dateibereiche.
• <system> für Dateien in Ordnern, in denen das Betriebssystem installiert ist.
• <critical> für temporäre Dateien in Benutzer- und Systemordnern.
• <custom> für Dateien in benutzerdefinierten Bereichen (/scope=<Liste der zu untersuchenden Ordner>).

Ist das Argument nicht angegeben, so wird die Untersuchung für kritische Bereiche durchgeführt.

/excludes=<Liste der Ausnahmen>

Festlegen des IOC-Ausnahmebereichs, wenn Daten für das FileItem-IOC-Dokument analysiert werden. Sie können mehrere durch Leerzeichen getrennte Pfade angeben.

/scope=<Liste der zu untersuchenden Ordner>

Benutzerdefinierter IOC-Untersuchungsbereich, wenn Daten für das FileItem-IOC-Dokument analysiert werden (/drives=custom). Sie können mehrere durch Leerzeichen getrennte Pfade angeben.

Uuid

ID der IOC-Datei aus der Kopfzeile der IOC-Dateistruktur (Tag <ioc id="">)

Name

Beschreibung der IOC-Datei aus der Kopfzeile der IOC-Dateistruktur (Tag <description></description>)

Übereinstimmende Indikatorelemente

Liste der IDs aller übereinstimmenden Indikatoren.

Übereinstimmende Objekte

Daten für jedes IOC-Dokument, für das es eine Übereinstimmung gab.