Работа с пользовательскими правилами TAA (IOA)

Пользовательские правила TAA (IOA) создаются на основе условий поиска по базе событий. Например, если вы хотите, чтобы программа Kaspersky Anti Targeted Attack Platform сформировала обнаружения по событиям запуска программы, которую вы считаете небезопасной, на компьютерах с программой Kaspersky Endpoint Agent, вы можете выполнить следующие действия:

1. Сформировать поисковый запрос по базе событий.
2. Создать правило TAA (IOA) на основе условий поиска событий.

   При поступлении на сервер Central Node событий, соответствующих созданному правилу TAA (IOA), программа Kaspersky Anti Targeted Attack Platform сформирует обнаружения.

Вы также можете создать правило TAA (IOA) на основе одного или нескольких условий поиска событий из выбранного IOC-файла. Для этого вам требуется выполнить следующие действия:

1. Загрузить в веб-интерфейс Kaspersky Anti Targeted Attack Platform IOC-файл с индикаторами компрометации для вредоносной программы.
2. Найти события, соответствующие условиям выбранного IOC-файла.
3. Создать на основе одного или нескольких условий поиска событий из выбранного IOC-файла правило TAA (IOA).

В зависимости от режима работы программы и сервера, на котором создаются правила TAA (IOA), пользовательские правила TAA (IOA) могут быть одного из следующих типов:

• Глобальный – созданные на сервере PCN. По этим правилам производится проверка событий на этом сервере PCN и на всех серверах SCN, подключенных к этому серверу PCN. Проверяемые события относятся к организации, в рамках которой пользователь работает в веб-интерфейсе программы (в режиме распределенного решения и multitenancy).

  Режим работы, при котором программа может использоваться для защиты инфраструктуры нескольких организаций одновременно.

  Двухуровневая иерархия серверов с установленными компонентами Central Node, в которой выделяется главный сервер управления – Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).

• Локальный – созданные на сервере SCN. По этим правилам производится проверка событий на этом сервере SCN. Проверяемые события относятся к организации, в рамках которой пользователь работает в веб-интерфейсе программы (в режиме распределенного решения и multitenancy).

Различия между пользовательскими правилами и правилами "Лаборатории Касперского" представлены в таблице ниже.

Сравнительные характеристики правил TAA (IOA)

Сравнительная характеристика	Пользовательские правила TAA (IOA)	Правила TAA (IOA) "Лаборатории Касперского"
Наличие рекомендаций по реагированию на событие	Нет	Есть Вы можете посмотреть рекомендации в информации об обнаружении
Соответствие технике в базе MITRE ATT&CK База знаний MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках) содержит описание поведения злоумышленников, основанное на анализе реальных атак. Представляет собой структурированный список известных техник злоумышленников в виде таблицы.	Нет	Есть Вы можете посмотреть описание техники по классификации MITRE в информации об обнаружении
Отображение в таблице правил TAA (IOA)	Да	Нет
Способ отключить проверку базы по этому правилу	Отключить правило	Добавить правило в исключения TAA
Возможность удалить или добавить правило	Вы можете удалить или добавить правило в веб-интерфейсе программы	Правила обновляются вместе с базами программы и не могут быть удалены пользователем
Поиск обнаружений и событий, в которых сработали правила TAA (IOA)	По ссылкам Обнаружения и События в окне с информацией о правиле TAA (IOA)	По ссылкам Обнаружения и События в окне с информацией об обнаружении

Пользователи с ролью Старший сотрудник службы безопасности могут создавать, импортировать, удалять, включать и выключать правила TAA (IOA), а также добавлять правила TAA (IOA) "Лаборатории Касперского" в исключения из проверки. Пользователи с ролями Сотрудник службы безопасности и Аудитор могут использовать правила TAA (IOА) для поиска признаков целевых атак, зараженных и возможно зараженных объектов в базе событий и обнаружений, а также просматривать таблицу правил TAA (IOA) и информацию о правилах TAA (IOA).

В этом разделе справки Создание пользовательского правила TAA (IOA) на основе условий поиска событий Импорт пользовательского правила TAA (IOA) Просмотр таблицы правил TAA (IOA) Просмотр информации о правиле TAA (IOA) Поиск обнаружений и событий, в которых сработали правила TAA (IOA) Фильтрация и поиск правил TAA (IOA) Cброс фильтра правил TAA (IOA) Включение и отключение использования правил TAA (IOA) Изменение пользовательского правила TAA (IOA) Удаление пользовательских правил TAA (IOA)

В начало