Tout développer | Tout réduire
Les analystes SOC MDR examinent les incidents et créent des réponses que vous pouvez accepter ou refuser. Il s’agit de la manière par défaut de gérer les incidents dans Kaspersky Managed Detection and Response.
Cependant, vous pouvez créer manuellement des réponses à l’aide des fonctionnalités de Kaspersky Endpoint Detection and Response Optimum.
Cet article décrit uniquement les types de réponses de l’analyste SOC.
Chaque réponse peut avoir un ensemble de paramètres qui sont présents dans l’onglet Réponses d’un incident.
Les types de réponses disponibles sont les suivants :
Copier un fichier de votre infrastructure vers Kaspersky SOC. Si vous acceptez cette réponse, le fichier spécifié sera copié dans Kaspersky SOC.
Notez que ce type de réponse permet d’obtenir des fichiers contenant des données personnelles et/ou confidentielles.
Les paramètres possibles sont les suivants :
Le chemin d’accès absolu du fichier. Par exemple, C:\\file.exe.
La taille maximale du fichier, en Mo.
Si le fichier infecté dépasse la taille de fichier maximale spécifiée, la tentative d’acceptation de la réponse échouera, et la réponse ne sera pas effectuée, mais s’affichera dans l’onglet Historique d’un incident.
Isoler la ressource spécifiée du réseau.
Si vous devez désactiver d’urgence l’isolement du réseau, veuillez contacter le Support technique ou formuler une demande sous l’onglet Communication de l’incident.
Les paramètres possibles sont les suivants :
Le mot de passe pour désactiver l’isolation. Une fois que le support technique aura reçu votre demande de désactivation de l’isolement du réseau, il vous enverra la procédure à suivre avec les détails concernant l’utilisation du mot de passe.
L’identifiant de tâche unique utilisé en association avec le Mot de passe pour désactiver l’isolation pour la désactivation manuelle de l’isolement du réseau.
Vous pouvez vérifier la validité du mot de passe en générant une clé dérivée à partir de celui-ci et en comparant la valeur résultante avec la valeur du paramètre Clé dérivée.
La version numérique des règles de création de mot de passe. Une version de 1 signifie que les paramètres suivants de PBKDF2 sont appliqués pour créer une clé dérivée :
Le sel au format HEX pour obtenir une clé dérivée via PBKDF2.
La clé dérivée au format HEX.
Période en secondes après laquelle l’isolation sera automatiquement désactivée. Si aucune période personnalisée n’est définie, la période par défaut de sept jours est appliquée. La valeur maximale est de 2 678 400 secondes.
Tableau de règles avec les ports, les protocoles, les adresses IP et les processus personnalisés auxquels l’isolation n’est pas appliquée.
Le sens du trafic. Les valeurs possibles sont : entrant, sortant, et entrant et sortant.
Le numéro de protocole selon la spécification IANA.
Les valeurs possibles sont les suivantes :
La plage de ports distants spécifiés dans les champs imbriqués De et À.
L’adresse IPv4 distante ou le masque de sous-réseau.
L’adresse IPv6 distante ou le masque de sous-réseau.
La plage de ports locaux spécifiés dans les champs imbriqués De et À.
L’adresse IPv4 locale ou le masque de sous-réseau.
L’adresse IPv6 locale ou le masque de sous-réseau.
Le chemin d’accès à l’image de processus spécifié dans le champ imbriqué Image → Chemin.
Désactivation de l’isolement du réseau de la ressource spécifiée.
Suppression d’une clé de registre ou d’une branche de registre sur la ressource spécifiée.
Les paramètres possibles sont les suivants :
Le chemin de la clé absolu, qui commence par HKEY_LOCAL_MACHINE ou HKEY_USERS. Par exemple, HKEY_LOCAL_MACHINE\\SYSTEM\\WebClient.
Si la clé est un lien symbolique, seule cette clé sera supprimée tandis que la clé cible du lien restera intacte.
La valeur clé.
Si ce paramètre n’est pas spécifié, la clé sera supprimée de manière récursive. Lors de la suppression récursive, chaque sous-clé qui est un lien symbolique sera supprimée tandis que sa clé cible restera intacte.
Si la valeur de la clé est une chaîne vide, la valeur par défaut sera supprimée.
Création d’un vidage de mémoire et envoi à Kaspersky SOC.
Les paramètres possibles sont les suivants :
Un vidage de mémoire peut être de l’un des deux types suivants :
Un vidage de la mémoire entière d’un appareil.
Un vidage d’un processus spécifié.
La taille maximale du fichier pour le vidage au format ZIP, en Mo. La valeur par défaut est de 100 Mo.
L’identifiant du processus et les détails de l’image.
Le chemin d’accès absolu du fichier. Par exemple, %systemroot%\\system32\\svchost.exe.
La somme de contrôle SHA256 au format HEX.
La somme de contrôle MD5 au format HEX.
L’identifiant unique du processus.
Le nombre maximal de processus pouvant être contenus dans le fichier de vidage.
Terminez le processus sur la ressource indiquée avec Kaspersky Endpoint Security for Windows. Le processus à arrêter peut être indiqué par son nom ou son identificateur de processus (PID).
Terminez le processus sur la ressource indiquée avec Kaspersky Endpoint Security for Windows.
Pour que cette réponse fonctionne, le composant PowerShell doit être installé sur la ressource. Le script à lancer et sa description sont consultables dans la Console MDR en ligne.
Le fichier potentiellement dangereux est placé dans un stockage local spécial. Les fichiers de ce stockage sont conservés chiffrés et ne menacent pas la sécurité de l’appareil. La demande de confirmation précise la ressource, le chemin d’accès au fichier et le type de hachage du fichier (MD5 ou SHA256).
Restaure le fichier précédemment mis en quarantaine à son emplacement d’origine. S’il existe un fichier portant le même nom à l’emplacement d’origine, la restauration n’est pas effectuée.
Disponible si vous avez configuré l'intégration à Kaspersky Anti Targeted Attack
Copie les fichiers liés aux alertes Kaspersky Anti Targeted Attack depuis l'infrastructure Kaspersky Anti Targeted Attack vers Kaspersky SOC. Les fichiers copiés sont utilisés par les analystes SOC de MDR pour enquêter sur les alertes Kaspersky Anti Targeted Attack.
Les paramètres possibles sont les suivants :
Disponible si vous avez configuré l'intégration avec Kaspersky NEXT XDR Expert 2.0
Copie les fichiers liés aux alertes ou incidents Kaspersky NEXT XDR Expert 2.0 depuis l'infrastructure Kaspersky NEXT XDR Expert vers Kaspersky SOC. Les fichiers copiés sont utilisés par les analystes du SOC de MDR pour enquêter sur les alertes et les incidents de Kaspersky NEXT XDR Expert.
Les paramètres possibles sont les suivants :
Ce type d'action corrective peut entraîner la transmission de fichiers avec des données personnelles et confidentielles.
|
Voir également : Utilisation des fonctionnalités de Kaspersky Endpoint Detection and Response Optimum |