Kaspersky Endpoint Detection and Response

Todos los datos que la aplicación almacena localmente en el equipo se eliminan del mismo cuando Kaspersky Endpoint Security se desinstala.

Datos recibidos como resultado la ejecución de la tarea Análisis de IOC (tarea estándar)

Kaspersky Endpoint Security envía automáticamente datos sobre los resultados de la ejecución de la tarea Análisis de IOC a Kaspersky Security Center.

Los datos de los resultados de la ejecución de la tarea Análisis de IOC pueden contener la siguiente información:

Dirección IP de la tabla ARP
Dirección física de la tabla ARP
Tipo y nombre del registro de DNS
Dirección IP del equipo protegido
Dirección física (dirección MAC) del equipo protegido
Identificador en la entrada del registro de eventos
Nombre del origen de los datos del registro
Nombre de registro
Hora del evento
Hashes MD5 y SHA256 del archivo
Nombre completo del archivo (ruta incluida)
Tamaño del archivo
Dirección IP remota y puerto al que se estableció la conexión durante el análisis
Dirección IP del adaptador local
Puerto abierto en el adaptador local
Protocolo como un número (de acuerdo con el estándar IANA)
Nombre del proceso
Argumentos del proceso
Ruta al archivo de proceso
Identificador de Windows (PID) del proceso
Identificador de Windows (PID) del proceso principal
Cuenta de usuario que inició el proceso
Fecha y hora en que se inició el proceso
Nombre del servicio
Descripción del servicio
Ruta y nombre del servicio DLL (para svchost)
Ruta y nombre del archivo ejecutable del servicio
Identificador de Windows (PID) del servicio
Tipo de servicio (por ejemplo, un controlador o adaptador de kernel)
Estado del servicio
Modo de lanzamiento del servicio
Nombre de la cuenta de usuario
Nombre del volumen
Letra del volumen
Tipo de volumen
Valor del registro de Windows
Valor de colmena de registro
Ruta de la clave de registro (sin nombre de colmena ni de valor)
Configuración del registro
Sistema (entorno)
Nombre y versión del sistema operativo instalado en el equipo
Nombre de red del equipo protegido
Dominio o grupo al que pertenece el equipo protegido
Nombre del navegador
Versión del navegador
Hora en que se accedió por última vez al recurso web
URL de la solicitud HTTP
Nombre de la cuenta utilizada para la solicitud HTTP
Nombre de archivo del proceso que realizó la solicitud HTTP
Ruta completa al archivo del proceso que realizó la solicitud HTTP
Identificador de Windows (PID) del proceso que realizó la solicitud HTTP
Referencia HTTP (URL de origen de la solicitud HTTP)
URI del recurso solicitado a través de HTTP
Información sobre el agente de usuario HTTP (la aplicación que realizó la solicitud HTTP)
Tiempo de ejecución de la solicitud HTTP
Identificador único del proceso que realizó la solicitud HTTP

Datos para crear una cadena de desarrollo de la amenaza

De forma predeterminada, los datos para crear una cadena de desarrollo de la amenaza se almacenan durante siete días. Los datos se envían automáticamente a Kaspersky Security Center.

Los datos para crear una cadena de desarrollo de la amenaza pueden contener la siguiente información:

Fecha y hora del incidente
Nombre de detección
Modo de análisis
Estado de la última acción relacionada con la detección
Motivo por el que falló el procesamiento de la detección
Tipo de objeto detectado
Nombre del objeto detectado
Estado de amenaza después de que se procese el objeto
Razón por la que falló la ejecución de acciones en el objeto
Acciones realizadas para revertir acciones maliciosas
Información sobre el objeto procesado:
- Identificador único del proceso
- Identificador único del proceso principal
- Identificador único del archivo de proceso
- Identificador de proceso de Windows (PID)
- Línea de comando del proceso
- Cuenta de usuario que inició el proceso
- Código de la sesión de inicio de sesión en la que se está ejecutando el proceso
- Tipo de sesión en la que se está ejecutando el proceso
- Nivel de integridad del proceso que se está procesando
- Membresía de la cuenta de usuario que inició el proceso en los grupos locales y de dominio con privilegios
- Identificador del objeto procesado
- Nombre completo del objeto procesado
- Identificador del dispositivo protegido
- Nombre completo del objeto (nombre de archivo local o dirección web del archivo descargado)
- Hash MD5 o SHA256 del objeto procesado
- Tipo de objeto procesado
- Fecha de creación del objeto procesado
- Fecha en que se modificó por última vez el objeto procesado
- Tamaño del objeto procesado
- Atributos del objeto procesado
- Organización que firmó el objeto procesado
- Resultado de la verificación del certificado digital del objeto procesado
- Identificador de seguridad (SID) del objeto procesado
- Identificador de zona horaria del objeto procesado
- Dirección web de la descarga del objeto procesado (solo para archivos en disco)
- Nombre de la aplicación que descargó el archivo
- Hashes MD5 y SAH256 de la aplicación que descargó el archivo
- Nombre de la aplicación que modificó por última vez el archivo
- Hashes MD5 y SAH256 de la aplicación que modificó por última vez el archivo
- Número de inicios de objetos procesados
- Fecha y hora en que se inició por primera vez el objeto
- Identificadores únicos del archivo
- Nombre completo del archivo (nombre del archivo local o dirección web del archivo descargado)
- Ruta a la variable del registro de Windows procesada
- Nombre de la variable del registro de Windows procesada
- Valor de la variable del registro de Windows procesada
- Tipo de la variable del registro de Windows procesada
- Indicador de la membresía de la clave de registro procesada en el punto de ejecución automática
- Dirección web de la solicitud web procesada
- Origen del enlace de la solicitud web procesada
- Agente de usuario de la solicitud web procesada
- Tipo de solicitud web procesada (GET o POST).
- Puerto IP local de la solicitud web procesada
- Puerto IP remoto de la solicitud web procesada
- Dirección de conexión (entrante o saliente) de la solicitud web procesada
- Identificador del proceso en el que se incrustó el código malicioso

Inicio de página