Alles erweitern | Alles ausblenden
MDR-SOC-Analysten untersuchen Vorfälle und erstellen Reaktionen, die Sie entweder akzeptieren oder ablehnen können. Dies ist die Standardmethode für die Bearbeitung von Vorfällen in Kaspersky Managed Detection and Response.
Sie können jedoch auch Reaktionen manuell erstellen, indem Sie die Funktionen von Kaspersky Endpoint Detection und Response Optimum verwenden.
In diesem Artikel werden nur die Reaktionsarten von SOC-Analysten beschrieben.
Jede Reaktion kann eine Reihe von Parametern aufweisen, die auf der Registerkarte Reaktionen eines Vorfalls angezeigt werden.
Die möglichen Arten von Reaktionen sind:
Die Kopie einer Datei aus Ihrer Infrastruktur wird an das SOC von Kaspersky gesendet. Wenn Sie diese Reaktion akzeptieren, wird einer Kopie der angegebenen Datei an das SOC von Kaspersky SOC gesendet.
Beachten Sie, dass dieser Art von Reaktion auch Dateien mit persönlichen und/oder vertraulichen Daten abrufen kann.
Die möglichen Parameter sind:
Der absolute Dateipfad. Beispiel: C:\\file.exe.
Die maximale Dateigröße in MB.
Wenn die infizierte Datei die angegebene maximale Dateigröße überschreitet, wird der Versuch, die Reaktion zu akzeptieren, fehlschlagen und die Reaktion wird nicht durchgeführt. Sie wird aber auf der Registerkarte Verlauf des Vorfalls angezeigt.
Die angegebenen Assets werden vom Netzwerk isoliert.
Falls Sie die Netzwerkisolation dringend deaktivieren müssen, wenden Sie sich bitte an den Technischen Support oder schreiben Sie auf der Registerkarte Kommunikation des Vorfall seine Anfrage.
Die möglichen Parameter sind:
Das Kennwort zum Deaktivieren der Isolation. Sobald der Technische Support Ihre Anfrage zur Deaktivierung der Netzwerkisolation erhält, wird er Ihnen Details zum Verfahren und zur Verwendung des Passworts zusenden.
Die eindeutige Aufgabenkennung, die in Kombination mit dem Kennwort zum Deaktivieren der Isolation verwendet wird, um die Netzwerkisolation manuell zu deaktivieren.
Sie können die Gültigkeit des Kennworts überprüfen, indem Sie daraus einen abgeleiteten Schlüssel generieren und den resultierenden Wert mit dem Wert im Parameter Abgeleiteter Schlüssel vergleichen.
Die numerische Version für die Darstellung der Regeln zur Kennworterstellung. Eine Version von 1 bedeutet, dass die folgenden PBKDF2-Parameter zum Erstellen eines abgeleiteten Schlüssels verwendet werden:
Der Salt im HEX-Format zum Abrufen eines abgeleiteten Schlüssels über PBKDF2.
Der abgeleitete Schlüssel im HEX-Format.
Der Zeitraum in Sekunden, nach dem die Isolation automatisch deaktiviert wird. Wenn kein benutzerdefinierter Zeitraum angegeben ist, wird der Standard-Zeitraum von sieben Tagen angewendet. Der Höchstwert beträgt 2.678.400 Sekunden.
Array von Regeln mit benutzerdefinierten Ports, Protokollen, IP-Adressen und Prozessen, auf die keine Isolation angewendet wird.
Die Richtung des Datenverkehrs. Die möglichen Werte sind: Eingehend, Ausgehend, Beide.
Die Protokollnummer gemäß der IANA-Spezifikation.
Die möglichen Werte sind:
Der Remote-Portbereich wird in den verschachtelten Feldern Von und Bis angegeben.
Die entfernte IPv4-Adresse oder Subnetzmaske.
Die entfernte IPv6-Adresse oder Subnetzmaske.
Der lokale Portbereich wird in den verschachtelten Feldern Von und Bis angegeben.
Die lokale IPv4-Adresse oder Subnetzmaske.
Die lokale IPv6-Adresse oder Subnetzmaske.
Der Pfad zum Prozess-Image wird in den verschachtelten Feldern Image → Pfad angegeben.
Deaktivieren der Netzwerkisolation des angegebenen Assets.
Löschen eines Registrierungsschlüssels oder eines Unterabschnitts der Registrierung für das angegebene Asset.
Die möglichen Parameter sind:
Der absolute Schlüsselpfad, der mit HKEY_LOCAL_MACHINE oder HKEY_USERS beginnt. Beispiel: HKEY_LOCAL_MACHINE\\SYSTEM\\WebClient.
Wenn der Schlüssel ein symbolischer Link ist, wird nur dieser Schlüssel gelöscht, während der Zielschlüssel des Links intakt bleibt.
Der Schlüsselwert.
Wird dieser Parameter nicht angegeben, wird der Schlüssel rekursiv gelöscht. Beim rekursiven Löschen wird jeder Unterschlüssel, der ein symbolischer Link ist, gelöscht, während sein Zielschlüssel intakt bleibt.
Wenn der Schlüsselwert eine leere Zeichenfolge ist, wird der Standardwert gelöscht.
Erstellen eines Speicher-Dumps und Senden des Dumps an das SOC von Kaspersky.
Die möglichen Parameter sind:
Ein Speicher-Dump kann einem von zwei Typen entsprechen:
Ein Abbild des gesamten Speichers eines Assets.
Ein Abbild eines angegebenen Prozesses.
Die maximale Dateigröße für den Dump im zip-Format in MB. Der Standardwert ist 100 MB.
Die Prozess-ID und Image-Details.
Der absolute Dateipfad. Beispiel: %systemroot%\\system32\\svchost.exe.
Die SHA256-Prüfsumme im HEX-Format.
Die MD5-Prüfsumme im HEX-Format.
Die eindeutige Prozesskennung.
Die maximale Anzahl von Prozessen, die in der Dump-Datei enthalten sein können.
Beenden eines Prozesses auf einem angegebenen Asset mit Kaspersky Endpoint Security für Windows. Der zu beendende Prozess kann durch seinen Namen oder die Prozesskennung (PID) angegeben werden.
Ausführung eines Skriptes auf einem angegebenen Asset mit Kaspersky Endpoint Security für Windows.
Für diese Reaktion muss die PowerShell-Umgebung auf dem Asset installiert sein. Sie können das auszuführende Skript und seine Beschreibung in der MDR Web Console anzeigen.
Verschiebt eine potenziell gefährliche Datei in einem speziellen lokalen Speicherbereich. Die Dateien in diesem Speicherbereich werden verschlüsselt und stellen keine Gefahr für die Sicherheit Ihres Geräts dar. Es wird eine Bestätigungsanfrage angezeigt, in der das betroffene Asset sowie der Hash (MD5 oder SHA256) und der Pfad der Datei angegeben sind.
Stellt eine Datei, zuvor in die Quarantäne verschobene wurde, an ihrem ursprünglichen Speicherort wieder her. Wenn sich am ursprünglichen Speicherort eine Datei mit demselben Namen befindet, wird die Wiederherstellung nicht ausgeführt.
Verfügbar, wenn Sie die Integration mit Kaspersky Anti Targeted Attack konfiguriert haben
Kopiert Dateien, die sich auf Alarme aus Kaspersky Anti Targeted Attack beziehen, aus der Infrastruktur von Kaspersky Anti Targeted Attack zum Kaspersky SOC. Die kopierten Dateien werden von MDR-SOC-Analysten verwendet, um Alarme aus Kaspersky Anti Targeted Attack zu untersuchen.
Die möglichen Parameter sind:
Verfügbar, wenn Sie die Integration mit Kaspersky NEXT XDR Expert 2.0 konfiguriert haben
Kopiert Dateien, die sich auf Alarme oder Vorfälle aus Kaspersky NEXT XDR Expert 2.0 beziehen, aus der Infrastruktur von Kaspersky NEXT XDR Expert zum Kaspersky SOC. Die kopierten Dateien werden von MDR-SOC-Analysten verwendet, um Alarme und Vorfälle aus Kaspersky NEXT XDR Expert zu untersuchen.
Die möglichen Parameter sind:
Bei dieser Art von Antwortreaktion können Dateien mit personenbezogenen und vertraulichen Daten übertragen werden.
|
Siehe auch: Funktionen von Kaspersky Endpoint Detection and Response Optimum verwenden |