与 Kaspersky Endpoint Detection and Response (KATA) 组件集成时提供的数据

将 Kaspersky Endpoint Security 与 Kaspersky Endpoint Detection and Response (KATA)（Kaspersky Anti Targeted Attack Platform 解决方案的一个组件）集成时，Kaspersky Endpoint Security 存储以下信息，其中可能包含个人和机密数据：

KATA 服务器地址
用于与 Kaspersky Endpoint Detection and Response (KATA) 集成的服务器证书的公钥
用于与 Kaspersky Endpoint Detection and Response (KATA) 集成的客户端证书
用于在代理服务器上进行身份验证的凭据
与 KATA 服务器同步的频率设置以及向 KATA 服务器发送数据的设置
与 KATA 服务器的连接状态以及有关客户端证书和服务器证书错误的信息
从 KATA 服务器接收的任务设置：
- 任务启动计划设置
- 必须被用于启动任务的账户名称和密码
- 设置的版本
- 服务启动类型
- 服务名称
- 用于启动进程的命令行（包括参数）
- 对象的 MD5 和 SHA256 哈希
- 对象的路径
- IOC 文件
隔离设置，根据该设置，设备将被阻止连接到除排除项中指定的设备以外的其他设备

将 Kaspersky Endpoint Security 与 Kaspersky Endpoint Detection and Response (KATA) 集成时，Kaspersky Endpoint Security 会存储以下信息并可能将其发送到 KATA 服务器：

对 EDR (KATA) 组件的同步请求的信息：
- 唯一标识符
- 服务器地址的基本部分
- 设备名称
- 设备的 IP 地址
- 设备的 MAC 地址
- 设备上的本地时间
- 设备上安装的操作系统的名称和版本
- Kaspersky Endpoint Security 的版本
- 正在使用的应用程序数据库的发布日期
- 授权许可密钥状态
任务执行报告中对 EDR (KATA) 组件的请求信息：
- 设备的 IP 地址
- 唯一标识符
- 服务器地址的基本部分
- 设备的 MAC 地址
- 任务执行错误和返回代码
- 任务完成状态
- 任务完成时间
- 使用的任务设置版本
- 有关应服务器请求在设备上启动或停止的进程的信息：PID 和 UniquePID、错误代码、对象的 MD5 和 SHA256 校验和
- 服务器请求的文件
- 获取对象信息时的错误信息：已处理但有错误的对象的全称；错误代码
- 网络隔离状态
- 对于 IOC，扫描结果返回（是否检测到每个指标、找到的对象以及检测到指标的哪个分支的信息）。
- 对于在其中检测到 IOC 的对象，根据指标类型返回不同的值：
  - ArpEntry：ARP 表中的 IP 地址（包括 ipv6），ARP 表中的物理地址。
  - 文件：文件的 MD5 哈希值、文件的 SHA256 哈希值、完整文件名（包括路径）、文件大小。
  - 端口：扫描时用于建立连接的远程 IP 地址和端口；本地适配器的 IP 地址和端口；协议类型（TCP、UDP、IP、RAWIP）。
  - 进程：进程名称；进程参数；进程文件的路径；进程的系统 PID；父进程的系统 PID；启动进程的用户名；进程开始的日期和时间。
  - SystemInfo：操作系统名称；操作系统版本；没有域的设备的网络名称；域或工作组。
  - 用户：用户名。
- 对于隔离的对象：
  - 文件路径
  - 文件大小
  - 隔离时分配的文件 ID
  - 原始文件删除标志
- 对于从隔离区获取的文件：
  - 隔离时分配的文件 ID
- 对于被阻止的可执行文件或脚本执行：
  - 进程 ID
  - 父进程 ID
  - 系统 ID
  - 登录会话 ID
  - 进程状态
  - 执行拦截的日期和时间
- 对于办公应用程序禁止打开的文档：
  - 进程 ID
  - 文件 ID
  - 执行拦截的日期和时间
遥测数据包中的数据：
- 有关文件的信息：
  - 文件的唯一 ID
  - 文件路径
  - 文件名
  - 文件大小
  - 文件属性
  - 文件的创建日期和时间
  - 文件的最后修改日期和时间
  - 对象的 MD5 和 SHA256 哈希值
  - 有关拥有该文件的用户和组的信息（名称和 ID）
- 有关正在运行的进程的信息：
  - 进程文件 ID
  - 进程 ID
  - 启动该进程的命令行选项
  - 会话 ID
  - 进程启动的日期和时间
  - 启动进程的用户和组的信息（名称和 ID）
- 有关被检测到并处理的威胁的信息：
  - 根据卡巴斯基分类，检测到的威胁的名称以及检测到威胁的技术
  - 应用程序数据库版本
  - 从其下载感染对象的网址
  - 威胁处理状态
  - 威胁无法消除的原因
  - 威胁文件的唯一 ID
- 文件修改数据：
  - 被修改文件的唯一 ID
  - 做出更改的进程的唯一 ID
  - 有关修改的信息
- 有关系统变化的数据：
  - 做出更改的进程的唯一 ID
  - 有关发生的变化的信息
- 用户登录信息：
  - 会话 ID
  - 用户信息（名称和 ID）
  - 从其建立会话的设备的 IP 地址
- 有关正在被终止的进程的数据：进程的唯一 ID
- 有关将库加载到进程地址空间的信息：已加载库的 ID
- 有关已建立网络连接的信息：
  - 本地 IP 地址
  - 远程 IP 地址
  - 连接方向
  - 协议
- 在某个端口上监听外部网络连接的进程信息：
  - 本地地址（端口和 IP 地址）
  - 协议
- DNS 服务器查询信息：
  - 所查询资源的域名
  - 所查询资源的 IP 地址
  - DNS 服务器的 IP 地址
  - 查询类型

此处列出的信息也可以保存在跟踪文件和转储文件中。

页面顶部