Просмотр результатов ретроспективного сканирования

В веб-интерфейсе Kaspersky CyberTrace можно выбрать страницу Ретроскан. Для работы с этой страницей необходимо перейти в режим Управление системой. Этот режим доступен только пользователям с ролью «Администратор».

Перед использованием ретроспективного сканирования его необходимо включить и настроить. В дальнейшем параметры ретроспективного сканирования также можно будет изменять.

Ретроспективное сканирование позволяет повторно проверять входящие события с объектами (IP-адрес, домен, URL или хеш), которые ранее не были признаны вредоносными. Причиной проверки результатов могло быть отсутствие в Kaspersky CyberTrace информации о связанных угрозах на момент получения этих объектов. Однако, поскольку потоки данных об угрозах постоянно обновляются, может быть полезно сохранять события, не содержащие обнаруженных индикаторов, а затем использовать обновленный список индикаторов, чтобы повторно проверять эти события вручную или по расписанию.

Обнаружения ретроспективного сканирования включаются в статистику и отображаются на странице Обнаружения, а также на графе, как и все обычные обнаружения. Результаты ретроспективного сканирования отправляются в SIEM-систему. Так же, как и в случае обычных обнаружений, применяются фильтры для отправки обнаружений ретроспективного сканирования в SIEM.

Когда выполняется ретроспективное сканирование, все неконтекстные значения, полученные из событий путем применения регулярных выражений, указанных в настройках ретроспективного сканирования на вкладке Регулярные выражения, сопоставляются с новыми индикаторами потоков данных об угрозах, включенных на вкладке Потоки данных.

Для редактирования или добавления новых регулярных выражений перейдите на страницу Параметры → Источники событий. Сохраненные регулярные выражения будут доступны в параметрах ретроспективного сканирования на вкладке Регулярные выражения.

В случае обнаружения киберугрозы события, отображенные в Kaspersky CyberTrace после добавления индикатора в поток данных об угрозах, будут отображаться на странице Обнаружения и не будут подвергаться ретроспективному сканированию.

Если индикатор был добавлен в поток данных об угрозах после получения его хеша, IP- или URL-адреса во время ретроспективного сканирования с помощью регулярного выражения и при отсутствии обнаружений, связанных с этим индикатором, то при следующем ретроспективном сканировании информация об этом индикаторе будет отображаться в столбце Обнаруженные индикаторы, а в столбце Дата и время будут отображаться дата и время обнаружения индикатора во время ретроспективного сканирования.

Для каждого события, связанного с этим индикатором, будет создана отдельная запись в отчете о ретроспективном сканировании.

Страница Ретроскан позволяет запустить ретроспективное сканирование вручную и просмотреть результаты, после завершения процесса сканирования.

На этой странице можно выполнить следующие действия:

На этой странице также отображается следующее:

Запуск ретроспективного сканирования

Чтобы запустить ретроспективное сканирование, выполните следующие действия:

Нажмите на кнопку Начать сейчас.

При необходимости процесс сканирования можно отменить.

Запуск ретроспективного сканирования может быть недоступен по нескольким причинам:

Настройка отображения результатов ретроспективного сканирования, содержащих оповещения об обнаружении индикаторов компрометации

Чтобы отобразить только результаты, содержащие оповещения об обнаружении индикаторов компрометации, выполните следующие действия:

Установите флажок Показывать только результаты ретроскана, в которых обнаружены киберугрозы над таблицей Результаты.

Указание периода отображения результатов

Чтобы указать период времени для отображения результатов, можно выбрать один из вариантов над таблицей Результаты. Можно выбрать один из следующих периодов:

Просмотр результатов отдельной задачи ретроспективного сканирования

Чтобы просмотреть подробную информацию об отдельной задаче ретроспективного сканирования:

  1. В таблице Результаты найдите результат (содержащий обнаруженные индикаторы), подробности о котором требуется просмотреть.
  2. Нажмите на ссылку Подробнее.

На открывшейся странице приводится подробная информация о первых 50 событиях обнаруженных киберугроз. Чтобы просмотреть все события, скачайте полный отчет в формате CSV (см. ниже).

На странице отображается следующая информация:

Загрузка отчета с результатами ретроспективного сканирования

Чтобы скачать отчет, выполните следующие действия:

Нажмите на кнопку Скачать полный отчет.

Сгенерированный файл CSV содержит следующие данные:

В начало