OsVersion – версия операционной системы, используемой на хосте.
В группе Свойства TAA:
IOAId – идентификатор правила TAA (IOA).
IOATag – информация о результатах исследования файла с помощью технологии Targeted Attack Analyzer: название правила TAA (IOA), по которому было выполнено обнаружение.
IOATechnique – техника MITRE.
IOATactics – тактика MITRE.
IOAImportance – степень важности, присвоенная событию, выполненному по этому правилу TAA (IOA).
IOAConfidence – уровень надежности в зависимости от вероятности ложных срабатываний правила.
В группе Свойства файла:
CreationTime – время создания события.
FileName – имя файла.
FilePath – путь к директории, в которой располагается файл.
FileFullName – полный путь к файлу. Включает путь к директории и имя файла.
ModificationTime – время изменения файла.
FileSize – размер файла.
MD5 – MD5-хеш файла.
SHA256 – Sha256-хеш файла.
SimilarDLLPath – следующая по пути обхода DLL. Вредоносная DLL, помещенная в директорию по стандартному пути обхода, чтобы система загрузила ее раньше, чем исходную DLL.
В группе Процессы Linux:
LogonRemoteHost – IP-адрес хоста, с которого был выполнен удаленный вход.
RealUserName – имя пользователя, назначенное ему при регистрации в системе.
EffectiveUserName – имя пользователя, которое было использовано для входа в систему.
Environment – переменные окружения.
ProcessType – тип процесса.
OperationResult – тип операции.
В группе Запущен процесс:
PID – идентификатор процесса.
ParentFileFullName – путь к файлу родительского процесса.
Для каждого типа значения поля будет доступен свой релевантный набор операторов сравнения. Например, при выборе типа значения поля EventType будут доступны операторы = и !=.
В зависимости от выбранного типа значения поля выполните одно из следующих действий:
Укажите в поле один или несколько символов, по которым вы хотите выполнить поиск событий.
В раскрывающемся списке выберите вариант значения поля, по которому вы хотите выполнить поиск событий.
Например, для поиска полного совпадения по имени пользователя введите имя пользователя.
Если вы хотите добавить новое условие, используйте логический оператор AND или OR и повторите действия по добавлению условия.
Если вы хотите добавить группу условий, нажмите на кнопку Group и повторите действия по добавлению условий.
Если вы хотите удалить группу условий, нажмите на кнопку Remove group.
Если вы хотите выполнить поиск событий за определенный период, в раскрывающемся списке За все время выберите один из следующих периодов поиска событий:
За все время, если вы хотите, чтобы программа отображала в таблице события, найденные за все время.
Прошедший час, если вы хотите, чтобы программа отображала в таблице события, найденные за предыдущий час.
Прошедшие сутки, если вы хотите, чтобы программа отображала в таблице события, найденные за предыдущий день.
Пользовательский диапазон, если вы хотите, чтобы программа отображала в таблице события, найденные за указанный вами период.
Если вы выбрали Пользовательский диапазон, выполните следующие действия:
В открывшемся календаре укажите даты начала и конца периода отображения событий.
Нажмите на кнопку Применить.
Календарь закроется.
Нажмите на кнопку Найти.
Отобразится таблица событий, соответствующих условиям поиска.
Режим работы, при котором Kaspersky Anti Targeted Attack Platform используется для защиты инфраструктуры нескольких организаций или филиалов одной организации одновременно.
Двухуровневая иерархия серверов с установленными компонентами Central Node, в которой выделяется главный сервер управления –Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).
Нажмите на имя того сервера, события которого вы хотите просмотреть.
Отобразится таблица хостов выбранного сервера. Уровни группировки событий отобразятся над таблицей.
