有关“DNS”事件的信息

显示“DNS”事件信息的窗口包含以下详情：

事件树。
处理事件时可以执行的操作。
“DNS”部分：
- IOA 标记— 有关使用 Targeted Attack Analyzer 技术进行文件分析的结果的信息：用于创建警报的 TAA (IOA) 规则的名称。
  单击链接可显示有关 TAA (IOA) 规则的信息。如果规则是由卡巴斯基专家提供的，则它包含有关触发的MITRE 技术的信息以及对事件进行反应的建议。
  MITRE ATT&CK （对抗策略、技术和常识）数据库包含基于真实攻击分析的黑客行为描述。它是以表格形式表示的已知黑客技术的结构化列表。
  
  如果在创建事件时触发了 TAA (IOA) 规则，则会显示该字段。
- 服务器 IP — DNS 服务器的 IPv4 地址。
- 查询选项 — DNS 查询选项。
- 请求状态 — DNS 查询的状态。
- 域名 — 要解析 DNS 记录的域名。
- 记录类型 ID — 资源记录的类型。
- 响应数据 — DNS 服务器对查询的响应内容。
- 事件时间 — 发送 DNS 查询的时间。
事件发起者部分：
- 文件 — 父进程文件的名称。
- MD5 — 父进程文件的 MD5 哈希。
- SHA256 — 父进程文件的 SHA256 哈希。
- 进程 ID — 父进程的标识符。
  如果事件由 Kaspersky Endpoint Agent for Linux 记录在事件数据库中，则“事件发起者”部分还包括以下字段：
- 环境变量 — 进程的环境变量。
- 真实用户名 — 在系统中注册时指定的用户名称。
- 真实组名称 — 用户所属的组。
- 有效用户名 — 用于登录系统的用户名。
- 有效组名称— 名称被用于登录系统的用户组。
系统信息部分：
- 主机名称 — 向 DNS 服务器发出查询的主机的名称。
- 主机 IP — 向 DNS 服务器发出查询的主机的 IP 地址。
  如果您使用动态 IP 地址，该字段将显示创建事件时分配给主机的 IP 地址。
  该应用程序不支持 IPv6。如果您使用 IPv6，则不会显示主机的 IP 地址。
- 从远程主机登录 — 用于远程登录系统的主机名称。
- 用户名称 — 向 DNS 服务器发出查询的用户的名称。
- 操作系统版本 — 主机上正在使用的操作系统的版本。

点击带有服务器 IP 地址、记录类型 ID 和用户名的链接将打开一个列表，您可以在其中执行以下操作之一：

查找警报。
复制值到剪贴板。

单击具有域名的链接将打开一个列表，您可以在其中执行以下操作之一：

查找事件。
查找警报。
在 Kaspersky TIP 上查找。
复制值到剪贴板。

单击具有文件名称或文件路径的链接将打开一个列表，您可以在其中选择以下操作之一：

查找事件。
查找警报。
运行以下任务：
- 杀死进程。
- 使用唯一的 PID 杀死进程。
- 删除文件。
- 获取文件。
- 进行取证。
- 隔离文件。
复制值到剪贴板。

单击 MD5 链接将打开一个列表，您可以从其中选择以下操作之一：

查找事件。
查找警报。
在 Kaspersky TIP 上查找。
卡巴斯基信息系统包含并显示文件和 URL 地址的信誉信息。
在存储中查找。
创建防止规则。
复制值到剪贴板。

单击 SHA256 链接将打开一个列表，您可以从其中选择以下操作之一：

查找事件。
查找警报。
在 Kaspersky TIP 上查找。
在 virustotal.com 上查找。
在存储中查找。
创建防止规则。
复制值到剪贴板。

单击具有主机名的链接将打开一个列表，您可以从其中选择以下操作之一：

查找事件。
查找警报。
运行以下任务：
- 获取数据 → 文件、取证、磁盘镜像、内存转储。
- 杀死进程。
- 删除文件。
- 隔离文件。
- 运行应用程序。
复制值到剪贴板。

在事件数据库中记录的 Kaspersky Endpoint Security for Linux事件信息中，您可以单击主机名链接打开一个列表，您可以在其中选择以下操作之一：

查找事件。
查找警报。
运行以下任务：
- 杀死进程。
- 删除文件。
- 获取文件。
- 隔离文件。
- 运行应用程序。
复制值到剪贴板。

单击包含主机 IP 地址的链接将打开一个列表，您可以在其中选择以下操作之一：

查找事件。
查找警报。
复制值到剪贴板。

页面顶部