Un Indicatore di Compromissione (IOC) è un insieme di dati su un oggetto o un'attività che indica l'accesso non autorizzato al computer (compromissione dei dati). Ad esempio, molti tentativi non riusciti di accesso al sistema possono costituire un indicatore di compromissione. L'attività Scansione IOC consente di trovare indicatori di compromissione nel computer e di adottare misure di risposta alle minacce.
Kaspersky Endpoint Security ricerca gli indicatori di compromissione utilizzando i file IOC. I file IOC sono file contenenti i set di indicatori che l'applicazione tenta di abbinare per contare un rilevamento. I file IOC devono essere conformi allo standard OpenIOC.
Modalità di esecuzione dell'attività di scansione IOC
Kaspersky Endpoint Detection and Response consente di creare attività di scansione IOC standard per rilevare i dati compromessi. L'attività di scansione IOC standard è un'attività locale o di gruppo creata e configurata manualmente in Web Console. Le attività vengono eseguite utilizzando i file IOC preparati dall'utente. Se si desidera aggiungere manualmente un indicatore di compromissione, leggere i requisiti per i file IOC.
Creazione di un'attività di scansione IOC
È possibile creare manualmente attività di scansione IOC:
Dettagli avviso è uno strumento per visualizzare la totalità delle informazioni raccolte su una minaccia rilevata. Tra i dettagli degli avvisi sono inclusi, ad esempio, la cronologia dei file visualizzati nel computer. Per ulteriori informazioni sulla gestione dei dettagli degli avvisi, fare riferimento alla Guida di Kaspersky Endpoint Detection and Response Optimum.
Per creare un'attività Scansione IOC:
Viene aperto l'elenco delle attività.
Verrà avviata la Creazione guidata nuova attività.
Dopo aver caricato i file IOC, è possibile visualizzare l'elenco degli indicatori dai file IOC.
Nota: l'aggiunta o la rimozione di file IOC dopo l'esecuzione dell'attività non è consigliata. Ciò può causare la visualizzazione errata dei risultati della scansione IOC per le precedenti esecuzioni dell'attività. Per cercare gli indicatori di compromissione in base a nuovi file IOC, si consiglia di aggiungere nuove attività.
Nota: Kaspersky Endpoint Security seleziona automaticamente i tipi di dati (documenti IOC) per l'attività Scansione IoC in base al contenuto dei file IoC caricati. Non è consigliabile deselezionare i tipi di dati.
È inoltre possibile configurare gli ambiti di scansione per i seguenti tipi di dati:
Nota: per impostazione predefinita, Kaspersky Endpoint Security avvia l'attività come account utente di sistema (root).
Se è stata abilitata l'opzione Apri i dettagli dell'attività al termine della creazione, viene aperta la finestra delle impostazioni dell'attività. In questa finestra è possibile controllare i parametri dell'attività, modificarli o configurare una pianificazione di avvio dell'attività, se necessario.
Viene visualizzata la finestra delle proprietà dell'attività.
Nota: assicurarsi che il computer sia acceso per eseguire l'attività.
Di conseguenza, Kaspersky Endpoint Security esegue la ricerca degli indicatori di compromissione nel computer. È possibile visualizzare i risultati dell'attività nelle proprietà dell'attività nella sezione Risultati. È possibile visualizzare le informazioni sugli indicatori di compromissione rilevati nelle proprietà dell'attività: Impostazioni dell'applicazione > Risultati Scansione IOC.
Nota: i risultati della scansione IOC vengono conservati per 30 giorni. Dopo questo periodo, Kaspersky Endpoint Security elimina automaticamente le voci più vecchie.
Inizio pagina