Переопределить IOC-файлы

При нажатии на кнопку открывается панель Переопределить IOC-файлы.

При нажатии на кнопку Добавить IOC-файлы, расположенную в панели Переопределить IOC-файлы, открывается окно, с помощью которого вы можете выбрать на устройстве и загрузить IOC-файлы, необходимые для поиска индикаторов компрометации. После загрузки IOC-файлов вы можете просмотреть список индикаторов из IOC-файлов.

Экспортировать IOC-коллекцию

При нажатии на кнопку выполняется скачивание IOC-файлов на устройство.

Применять действия по реагированию при обнаружении IOC

Флажок включает или выключает применение действий по реагированию при обнаружении индикаторов компрометации.

Если флажок установлен, то при обнаружении индикаторов компрометации приложение выполняет выбранные вами действия:

• Изолировать устройство от сети.

  Если флажок установлен, то при обнаружении индикаторов компрометации приложение изолирует устройство от сети для предотвращения распространения угрозы. Вы можете настроить время изоляции.

  Если на изолируемое устройство распространяется действие политики, то применяются параметры автоматического отключения изоляции через указанный период, а также параметры исключений из сетевой изоляции, заданные в свойствах политики. Если на изолируемое устройство действие политики не распространяется, то применяются параметры, заданные в свойствах устройства.

• Поместить копию на карантин, объект удалить.

  Если флажок установлен, то при обнаружении индикаторов компрометации приложение помещает копию объекта на карантин и удаляет исходный объект.

• Запускать проверку важных областей.

  Если флажок установлен, то при обнаружении индикаторов компрометации приложение запускает задачу Проверка важных областей.

  По умолчанию Kaspersky Endpoint Security проверяет память ядра, запущенные процессы, загрузочные секторы и другие важные области.

  • /lib/systemd
  • /lib/udev
  • /lib/dbus-1.0
  • /usr/local/lib/systemd/user
  • /usr/share/dbus-1
  • /usr/share/gdm/autostart
  • /usr/share/gnome/autostart
  • /var/spool/at
  • /var/spool/at/spool
  • /var/spool/anacron
  • /var/spool/cron
  • /boot
  • /bin
  • /sbin
  • /lib
  • /lib32
  • /lib64
  • /libx32
  • /usr/lib
  • /usr/lib32
  • /usr/lib64
  • /usr/libx32
  • ~/.config/autostart
  • ~/.config/autostart-scripts
  • ~/.config/plasma-workspace/env
  • ~/.config/plasma-workspace/shutdown
  • ~/.config/lxsession
  • ~/.fluxbox/startup
  • ~/.kde/Autostart
  • /etc

Если флажок снят, то при обнаружении индикаторов компрометации приложение не выполняет действия по реагированию. Информация об обнаружении индикаторов компрометации отображается в окне с деталями алерта и в свойствах задачи.

Типы данных (IOC-документы) для анализа во время поиска IOC

Флажки в разделе Дополнительно добавляют следующие типы данных (IOC-документы) для анализа во время поиска IOC:

• Процессы - ProcessItem.
• Файлы - FileItem.
  • IOC-документы.

  Ссылка IOC-документы доступна если вы загрузили IOC-файл в панели Переопределить IOC-файлы. По этой ссылке вы можете перейти в окно Параметры проверки файлов – FileItem, в котором вы можете добавить области проверки.

• ARP-таблицы - ArpEntryItem.
• Сетевые порты - PortItem.
• Учетные записи пользователей - UserItem.
• Системные объекты - SystemItem.

Проверять предопределенные области

Флажок включает или выключает проверку следующих предопределенных областей:

• Файлы на всех дисках устройства.
• Файлы на системных дисках устройства.
• Важные области на устройстве.

Проверять указанные области

Флажок добавляет области, перечисленные в таблице под флажком, в перечень областей проверки.

Вы можете добавить путь к области, которую нужно проверять, нажав на кнопку Добавить. В открывшемся окне введите путь к области в поле Область и сохраните изменения.

Вы можете удалить область из таблицы, установив флажок напротив удаляемой области, а затем нажав на кнопку Удалить.