Analizar en busca de indicadores de compromiso (tarea independiente)

Un Indicador de compromiso (IOC) es un conjunto de datos sobre un objeto o actividad que indica el acceso no autorizado al equipo (compromiso de datos). Por ejemplo, muchos intentos fallidos de iniciar sesión en el sistema pueden constituir un indicador de compromiso. Las tareas de Análisis de IOC permiten encontrar indicadores de compromiso en el equipo y tomar medidas de respuesta a la amenaza.

Kaspersky Endpoint Security busca indicadores de compromiso utilizando archivos IOC. Los archivos IOC son archivos que contienen los conjuntos de indicadores que la aplicación intenta hacer coincidir para contar una detección. Los archivos IOC deben cumplir con el estándar OpenIOC. Kaspersky Endpoint Security genera automáticamente archivos IOC para Kaspersky Sandbox.

Modo de ejecución de la tarea de análisis de IOC

La aplicación crea tareas de análisis de IOC independientes para Kaspersky Sandbox. La tarea de análisis de IOC independiente es una tarea de grupo que se crea automáticamente al reaccionar a una amenaza detectada por Kaspersky Sandbox. Kaspersky Endpoint Security genera automáticamente el archivo de IOC. Los archivos IOC personalizados no son compatibles. Las tareas se eliminan automáticamente 30 días después del momento de creación. Para obtener más detalles sobre las tareas de análisis de IOC independientes, consulte la Ayuda de Kaspersky Sandbox.

Configuración de la tarea Análisis de IOC

Kaspersky Sandbox puede crear y ejecutar tareas de Análisis de IOC de forma automática cuando reacciona a amenazas.

Puede configurar los ajustes solo en Web Console.

Necesita Kaspersky Security Center 13.2 para que las tareas de análisis de IOC independientes de Kaspersky Sandbox funcionen.

Para cambiar la configuración de la tarea Análisis de IOC, haga lo siguiente:

1. En la ventana principal de Web Console, seleccione Dispositivos → Tareas.

   Se abre la lista de tareas.

2. Seleccione la tarea Análisis de IOC de Kaspersky Endpoint Security.

   Se abre la ventana propiedades de la tarea.

3. Seleccione la ficha Configuración de la aplicación.
4. Vaya a la sección Configuración del análisis de IOC.
5. Configure acciones al detectar un IOC:
   • Mover la copia a la cuarentena, eliminar objeto. Si se selecciona esta opción, Kaspersky Endpoint Security elimina el objeto malicioso que se encuentra en el equipo. Antes de eliminar el objeto, Kaspersky Endpoint Security crea una copia de seguridad en caso de que sea necesario restaurar el objeto más adelante. Kaspersky Endpoint Security mueve la copia de seguridad a la cuarentena.
   • Ejecutar análisis de áreas críticas. Si se selecciona esta opción, Kaspersky Endpoint Security ejecuta la tarea Análisis de áreas críticas. De forma predeterminada, Kaspersky Endpoint Security analiza la memoria del núcleo, ejecutando procesos, y los sectores de arranque del disco.
6. Configure el modo de ejecución de la tarea de análisis de IOC con la casilla Ejecutar solo cuando el equipo está inactivo. Esta casilla activa o desactiva la función que suspende la tarea Análisis de IOC cuando los recursos del equipo son limitados. Kaspersky Endpoint Security pone en pausa la tarea Análisis de IOC cuando el salvapantallas está apagado y el equipo está desbloqueado.

   Esta opción de programación le permite conservar los recursos del equipo cuando se está utilizando.

7. Guarde los cambios.

Puede ver los resultados de la tarea en las propiedades de la tarea, dentro de la sección Resultados. Puede ver la información acerca de los indicadores de compromiso detectados en las propiedades de la tarea: Configuración de la aplicación → Resultados del análisis de IOC.

Los resultados del análisis de IOC se conservan durante 30 días. Después de dicho período, Kaspersky Endpoint Security elimina automáticamente las entradas más antiguas.

Inicio de página