Kaspersky Endpoint Detection and Response

Toutes les données que l'application stocke localement sur l'ordinateur sont supprimées de l'ordinateur lors de la désinstallation de Kaspersky Endpoint Security.

Données reçues à la suite de l'exécution de la tâche Analyse IOC (tâche standard)

Kaspersky Endpoint Security soumet automatiquement les données sur les résultats de l'exécution de la tâche Analyse IOC à Kaspersky Security Center.

Les données des résultats d'exécution de la tâche Analyse IOC peuvent contenir les informations suivantes :

• Adresse IP de la table ARP
• Adresse physique de la table ARP
• Type et nom d'enregistrement DNS
• Adresse IP de l'ordinateur protégé
• Adresse physique (adresse MAC) de l'ordinateur protégé
• Identifiant dans l'entrée du journal des événements
• Nom de la source de données dans le journal
• Nom du journal
• Heure de l'événement
• Hachages MD5 et SHA256 du fichier
• Nom complet du fichier (y compris le chemin)
• Taille du fichier
• Adresse IP et port distants auxquels la connexion a été établie pendant l'analyse
• Adresse IP de l'adaptateur local
• Port ouvert sur l'adaptateur local
• Protocole sous forme de numéro (conformément à la norme IANA)
• Nom du processus
• Arguments du processus
• Chemin d'accès au fichier du processus
• Identifiant Windows (PID) du processus
• Identifiant Windows (PID) du processus parent
• Compte utilisateur qui a lancé le processus
• Date et heure de démarrage du processus
• Nom du service
• Description du service
• Chemin et nom du service DLL (pour svchost)
• Chemin et nom du fichier exécutable du service
• Identifiant Windows (PID) du service
• Type de service (par exemple, un pilote ou un adaptateur de noyau)
• État du service
• Mode de lancement du service
• Nom du compte utilisateur
• Nom du volume
• Lettre du volume
• Type de volume
• Valeur du registre Windows
• Valeur de la section du registre
• Chemin d'accès à la clé de registre (sans nom de section ni de valeur)
• Paramètre de registre
• Système (environnement)
• Nom et version du système d'exploitation installé sur l'ordinateur
• Nom du réseau de l'ordinateur protégé
• Domaine ou groupe auquel appartient l'ordinateur protégé
• Nom du navigateur
• Version du navigateur
• Heure à laquelle la ressource Web a été consultée pour la dernière fois
• URL de la demande HTTP
• Nom du compte utilisé pour la demande HTTP
• Nom de fichier du processus qui a effectué la demande HTTP
• Chemin d'accès complet au fichier du processus qui a effectué la demande HTTP
• Identifiant Windows (PID) du processus qui a effectué la demande HTTP
• Référent HTTP (URL source de la demande HTTP)
• URI de la ressource demandée via HTTP
• Informations sur l'agent utilisateur HTTP (l'application qui a effectué la demande HTTP)
• Temps d'exécution de la demande HTTP
• Identifiant unique du processus qui a effectué la demande HTTP

Données permettant de créer une chaîne de développement de menaces

Les données permettant de créer une chaîne de développement de menaces sont stockées pendant sept jours par défaut. Les données sont automatiquement envoyées à Kaspersky Security Center.

Les données permettant de créer une chaîne de développement de menaces peuvent contenir les informations suivantes :

• Date et heure de l'incident
• Nom de la détection
• Mode d'analyse
• État de la dernière action liée à la détection
• Raison pour laquelle le traitement de la détection a échoué
• Type d'objet détecté
• Nom de l'objet détecté
• État de la menace après le traitement de l'objet
• Raison pour laquelle l'exécution des actions sur l'objet a échoué
• Actions effectuées pour annuler les actions malveillantes
• Informations concernant l'objet traité :
  • Identifiant unique du processus
  • Identifiant unique du processus parent
  • Identifiant unique du fichier de processus
  • Identifiant du processus Windows (PID)
  • Ligne de commande du processus
  • Compte utilisateur qui a lancé le processus
  • Code de la session de connexion dans laquelle le processus s'exécute
  • Type de session dans laquelle le processus s'exécute
  • Niveau d'intégrité du processus en cours de traitement
  • Appartenance du compte utilisateur qui a démarré le processus dans les groupes locaux et de domaine privilégiés
  • Identifiant de l'objet traité
  • Nom complet de l'objet traité
  • Identifiant de l'appareil protégé
  • Nom complet de l'objet (nom du fichier local ou adresse Web du fichier téléchargé)
  • Hachage MD5 ou SHA256 de l'objet traité
  • Type d'objet traité
  • Date de création de l'objet traité
  • Date à laquelle l'objet traité a été modifié pour la dernière fois
  • Taille de l'objet traité
  • Attributs de l'objet traité
  • Organisation qui a signé l'objet traité
  • Résultat de la vérification du certificat numérique de l'objet traité
  • Identifiant de sécurité (SID) de l'objet traité
  • Identifiant de fuseau horaire de l'objet traité
  • Adresse Web du téléchargement de l'objet traité (uniquement pour les fichiers sur disque)
  • Nom de l'application qui a téléchargé le fichier
  • Hachages MD5 et SHA256 de l'application qui a téléchargé le fichier
  • Nom de l'application qui a modifié le fichier pour la dernière fois
  • Hachages MD5 et SHA256 de l'application qui a modifié le fichier pour la dernière fois
  • Nombre de démarrages d'objets traités
  • Date et heure auxquelles l'objet traité a été lancé pour la première fois
  • Identifiants uniques du fichier
  • Nom complet du fichier (nom du fichier local ou adresse Web du fichier téléchargé)
  • Chemin d'accès à la variable de registre Windows traitée
  • Nom de la variable de registre Windows traitée
  • Valeur de la variable de registre Windows traitée
  • Type de la variable de registre Windows traitée
  • Indicateur de l'appartenance de la clé de registre traitée au point d'exécution automatique
  • Adresse Web de la demande Web traitée
  • Source du lien de la demande Web traitée
  • Agent utilisateur de la demande Web traitée
  • Type de la demande Web traitée (GET ou POST).
  • Port IP local de la demande Web traitée
  • Port IP distant de la demande Web traitée
  • Sens de connexion (entrant ou sortant) de la demande Web traitée
  • Identifiant du processus dans lequel le code malveillant a été intégré