Control de anomalías adaptativo
El componente Control de anomalías adaptativo puede administrarse a través de Kaspersky Security Center 12 Web Console. Kaspersky Security Center Cloud Console no puede utilizarse para este fin. El componente también se puede administrar mediante la Consola de administración de Kaspersky Security Center.
El componente Control de anomalías adaptativo solo está disponible para Kaspersky Endpoint Security for Business Advanced y Kaspersky Total Security for Business (para más información sobre productos de Kaspersky Endpoint Security para empresas, visite el sitio web de Kaspersky).
Para que pueda usar este componente, Kaspersky Endpoint Security debe estar instalado en un equipo con Windows para estaciones de trabajo. El componente no estará disponible si Kaspersky Endpoint Security se ha instalado en un equipo con Windows para servidores.
El componente Control de anomalías adaptativo detecta y bloquea acciones sospechosas que no son típicas de los equipos conectados a una red corporativa. Para ello utiliza una serie de reglas, diseñadas para buscar comportamientos que no se consideran usuales (por ejemplo, la regla Inicio de Microsoft PowerShell desde una aplicación de ofimática). Los especialistas de Kaspersky crean estas reglas basándose en casos característicos de actividad maliciosa. La manera en que el Control de anomalías adaptativo responde ante cada regla es configurable; esto significa que, por ejemplo, es posible permitir la ejecución de scripts de PowerShell que se hayan creado para automatizar ciertos aspectos de un flujo de trabajo. Las reglas se actualizan junto con las bases de datos de Kaspersky Endpoint Security. No obstante, las actualizaciones para las reglas deben confirmarse manualmente.
Configuración del Control de anomalías adaptativo
Los pasos para configurar el Control de anomalías adaptativo son los siguientes:
- Usar el modo de aprendizaje del Control de anomalías adaptativo.
Una vez que el Control de anomalías adaptativo se habilita, sus reglas entran en un modo de aprendizaje. Mientras dicho modo está activo, el Control de anomalías adaptativo monitorea la activación de las reglas y envía los eventos de activación a Kaspersky Security Center. El tiempo de aprendizaje varía según la regla. Quienes definen la duración son los expertos de Kaspersky. Lo normal es que el modo de aprendizaje esté activo por dos semanas.
Si una regla no se activa en lo absoluto durante el período de aprendizaje, el componente considerará que las acciones asociadas con la regla son sospechosas. En consecuencia, Kaspersky Endpoint Security bloqueará cualquier acción vinculada con esa regla.
Si una regla sí se activa durante el período de aprendizaje, Kaspersky Endpoint Security dejará constancia de los eventos en el informe de activación de las reglas y en el repositorio Activación de reglas en modo Aprendizaje inteligente.
- Analizar el informe de activación de las reglas.
El administrador analiza el informe de activación de las reglas o el contenido del repositorio Activación de reglas en modo Aprendizaje inteligente. A continuación, selecciona cómo reaccionará el Control de anomalías adaptativo cuando se active una regla; las opciones posibles son permitir y bloquear. El administrador también puede optar por seguir controlando el funcionamiento de la regla y extender la duración del modo de aprendizaje. Si el administrador no realiza ninguna acción, la aplicación seguirá operando en modo de aprendizaje. El plazo de aprendizaje se reiniciará.
El componente Control de anomalías adaptativo se configura en tiempo real. Los canales de configuración son los siguientes:
- El Control de anomalías adaptativo comienza a bloquear automáticamente las acciones asociadas con las reglas que nunca se activaron en el modo de aprendizaje.
- Kaspersky Endpoint Security agrega reglas nuevas o elimina las que han quedado obsoletas.
- El administrador configura el funcionamiento del Control de anomalías adaptativo tras revisar el informe de activación de reglas y el contenido del repositorio Activación de reglas en modo Aprendizaje inteligente. Se recomienda revisar el informe de activación de reglas y el contenido del repositorio Activación de reglas en modo Aprendizaje inteligente.
Cuando una aplicación maliciosa intente realizar una acción, Kaspersky Endpoint Security bloqueará el intento y mostrará una notificación (consulte la siguiente imagen).
Notificación del Control de anomalías adaptativo
Algoritmo de funcionamiento del Control de anomalías adaptativo
Para determinar si una acción asociada a una regla debe permitirse o bloquearse, Kaspersky Endpoint Security usa el algoritmo de la siguiente imagen.
Algoritmo de funcionamiento del Control de anomalías adaptativo
Parámetros del componente Control de anomalías adaptativo
Parámetro |
Descripción |
|---|---|
Informe de estado de las reglas |
Informe sobre el estado asignado a las reglas de detección del Control de anomalías adaptativo (por ejemplo, No o Bloquear). El informe se genera para todos los grupos de administración. |
Informe de activación de las reglas |
Informe sobre las acciones sospechosas que el Control de anomalías adaptativo ha detectado. El informe se genera para todos los grupos de administración. |
Reglas |
Tabla de reglas del Control de anomalías adaptativo. Los especialistas de Kaspersky crean las reglas basándose en casos característicos de actividad potencialmente maliciosa. |
Plantillas de mensajes |
|