Пользовательские правила TAA (IOA) создаются на основе условий поиска по базе событий. Например, если вы хотите, чтобы Kaspersky Anti Targeted Attack Platform формировало обнаружения по событиям запуска приложения, которое вы считаете небезопасным, на компьютерах с компонентом Endpoint Agent, вы можете выполнить следующие действия:
При поступлении на сервер Central Node событий, соответствующих созданному правилу TAA (IOA), Kaspersky Anti Targeted Attack Platform сформирует обнаружения.
Вы также можете создать правило TAA (IOA) на основе одного или нескольких условий поиска событий из выбранного IOC-файла. Для этого вам требуется выполнить следующие действия:
В режиме распределенного решения и мультитенантности правила TAA (IOA) могут быть одного из следующих типов:
Различия между пользовательскими правилами и правилами "Лаборатории Касперского" представлены в таблице ниже.
Сравнительные характеристики правил TAA (IOA)
Сравнительная характеристика |
Пользовательские правила TAA (IOA) |
Правила TAA (IOA) "Лаборатории Касперского" |
---|---|---|
Наличие рекомендаций по реагированию на событие |
Нет |
Есть Вы можете посмотреть рекомендации в |
Соответствие технике в базе MITRE ATT&CK |
Нет |
Есть Вы можете посмотреть описание техники по |
Отображение в таблице правил TAA (IOA) |
Да |
Нет |
Способ отключить проверку базы по этому правилу |
||
Возможность удалить или добавить правило |
Вы можете удалить или добавить правило в веб-интерфейсе приложения |
Правила обновляются вместе с базами приложения |
Поиск обнаружений и событий, в которых сработали правила TAA (IOA) |
По ссылкам Обнаружения и События в окне с информацией о правиле TAA (IOA) |
По ссылкам Обнаружения и События в окне с информацией об обнаружении |
Пользователи с ролью Старший сотрудник службы безопасности могут создавать, импортировать, удалять, включать и выключать правила TAA (IOA), а также добавлять правила TAA (IOA) "Лаборатории Касперского" в исключения из проверки. Пользователи с ролями Сотрудник службы безопасности и Аудитор могут использовать правила TAA (IOА) для поиска признаков целевых атак, зараженных и возможно зараженных объектов в базе событий и обнаружений, а также просматривать таблицу правил TAA (IOA) и информацию о правилах TAA (IOA).