Теги IOA – информация о результатах исследования файла с помощью технологии Targeted Attack Analyzer: название правила TAA (IOA), по которому было выполнено обнаружение.
По ссылке открывается информация о правиле TAA (IOA). Если правило предоставлено специалистами "Лаборатории Касперского", то оно содержит сведения о сработавшей технике MITRE, а также рекомендации по реагированию на событие.
База знаний MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках) содержит описание поведения злоумышленников, основанное на анализе реальных атак. Представляет собой структурированный список известных техник злоумышленников в виде таблицы.
Поле отображается, если при создании события сработало правило TAA (IOA).
Файл – имя файла загруженного модуля.
MD5 – MD5-хеш файла загруженного модуля.
SHA256 – SHA256-хеш файла загруженного модуля.
Размер – размер загруженного модуля.
Время события – время загрузки модуля.
Раздел Сведения:
Название приложения – например, название операционной системы.
Производитель – например, производитель операционной системы.
Результат проверки подписи – например, "Подпись недействительна" или "Подпись ОК".
Время создания – время создания загруженного модуля.
Время изменения – дата последнего изменения загруженного модуля.
Следующая по пути обхода DLL – поле содержит путь к библиотеке DLL, которая могла быть загружена вместо существующей библиотеки.
Поле отображается при выполнении следующих условий:
Источник загруженной библиотеки DLL не является доверенным.
В папке по стандартному пути обхода есть одноименная библиотека с другим хешем.
Если в роли компонента Endpoint Agent вы используете Kaspersky Endpoint Agent, Kaspersky Anti Targeted Attack Platform получает данные, необходимые для заполнения поля Следующая по пути обхода DLL, только при интеграции Kaspersky Anti Targeted Attack Platform с Kaspersky Endpoint Agent для Windows версии 3.10. При интеграции приложения с предыдущими версиями Kaspersky Endpoint Agent указанное поле не будет отображаться в информации о событии.
Раздел Инициатор события:
Файл – путь к файлу родительского процесса.
MD5 – MD5-хеш файла родительского процесса.
SHA256 – SHA256-хеш файла родительского процесса.
Раздел Сведения о системе:
Имя хоста – имя хоста, на котором был загружен модуль.
IP хоста – IP-адрес хоста, на котором был загружен модуль.
Если вы используете динамические IP-адреса, в поле отображается IP-адрес, присвоенный хосту на момент создания события.
Приложение не поддерживает работу с IPv6. Если вы используете IPv6, IP-адрес хоста не отображается.
Имя пользователя – имя пользователя, загрузившего модуль.
Версия ОС – версия операционной системы, используемой на хосте.
По ссылке с именем файла или путем к файлу в разделе Загружен модуль раскрывается список, в котором вы можете выбрать одно из следующих действий: