Kaspersky Anti Targeted Attack Platform

Просмотр информации о пользовательском правиле TAA (IOA)

Чтобы просмотреть информацию о правиле TAA (IOA), выполните следующие действия:

1. В окне веб-интерфейса программы выберите раздел Правила пользователей, подраздел TAA.

   Откроется таблица правил TAA (IOA).

2. Выберите правило, информацию о котором вы хотите просмотреть.

Откроется окно с информацией о правиле.

Окно содержит следующую информацию:

• Обнаружения. По ссылке в новой вкладке браузера откроется таблица обнаружений Обнаружения, отфильтрованных по графе Технологии и графе Сведения ‑ технологии Targeted Attack Analyzer и имени правила TAA (IOA), с которым вы работаете.
• Найти события. По ссылке в новой вкладке браузера откроется таблица событий Поиск угроз, отфильтрованных по имени правила.
• Выполнить запрос. По ссылке в новой вкладке браузера откроется таблица событий Поиск угроз, отфильтрованных по имени правила. В условиях поиска событий указаны данные из правила TAA (IOA), с которым вы работаете. Например, EventType=Запущен процесс AND FileName CONTAINS <имя правила, с которым вы работаете>. Вы можете отредактировать запрос на поиск событий.
• IOA ID. По ссылке открывается идентификатор, присваиваемый программой каждому правилу.

  Изменение идентификатора недоступно. Вы можете скопировать идентификатор по кнопке Скопировать значение в буфер.

• Состояние – использование правила при проверке базы событий.

На закладке Сведения отображается следующая информация:

• Имя – имя правила, которое вы указали при добавлении правила.
• Описание – любая дополнительная информация о правиле, которую вы указали.
• Важность – оценка возможного влияния события на безопасность компьютеров или локальной сети организации, указанная пользователем при добавлении правила.
• Надежность – уровень надежности в зависимости от вероятности ложных срабатываний, заданный пользователем при добавлении правила.
• Тип – тип правила в зависимости от роли сервера, на котором оно создано:
  • Глобальный – созданные на сервере PCN. По этим правилам производится проверка событий на этом сервере PCN и на всех серверах SCN, подключенных к этому серверу PCN. Проверяемые события относятся к организации, в рамках которой пользователь работает в веб-интерфейсе программы (в режиме
    распределенного решения

    Двухуровневая иерархия серверов с установленными компонентами Central Node, в которой выделяется главный сервер управления – Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).

    и
    multitenancy

    Режим работы, при котором программа может использоваться для защиты инфраструктуры нескольких организаций одновременно.

    ).
  • Локальный – созданные на сервере SCN. По этим правилам производится проверка событий на этом сервере SCN. Проверяемые события относятся к организации, в рамках которой пользователь работает в веб-интерфейсе программы (в режиме распределенного решения и multitenancy).
• Область применения – имена серверов с компонентом Central Node, на которых применяется правило.

На закладке Запрос отображается исходный код запроса, по которому осуществляется проверка. По ссылке Выполнить запрос в верхней части окна вы можете перейти в раздел Поиск угроз и выполнить запрос на поиск событий.