Kaspersky Anti Targeted Attack Platform

Рекомендации по обработке IDS-алертов

В правой части окна в блоке Рекомендации отображаются рекомендации, которые вы можете выполнить, и количество алертов или событий, имеющих общие признаки с алертом, над которым вы работаете.

Вы можете выполнить следующие рекомендации:

• В разделе Оценка выберите Найти похожие алерты по IP-адресу. По ссылке в новой вкладке браузера откроется таблица алертов Алерты, отфильтрованных по столбцу Адрес источника. Имя хоста или IP-адрес из алерта, над которым вы работаете, выделено желтым цветом.
• В разделе Оценка выберите Найти похожие алерты по URL. По ссылке в новой вкладке браузера откроется таблица алертов Алерты, отфильтрованных по столбцу Сведения ‑ URL-адресу. URL-адрес из алерта, над которым вы работаете, выделен желтым цветом.
• В разделе Оценка выберите Добавить в исключения.

  Откроется окно Добавить правило IDS в исключения. Если вы хотите добавить правило IDS, по которому создан алерт, в исключения, введите комментарий в поле Описание и нажмите на кнопку Добавить.

  Правило IDS будет добавлено в исключения и отобразится в списке исключений в разделе Параметры веб-интерфейса приложения, подразделе Исключения на закладке IDS.

• В разделе Расследование выберите Найти похожие события по URL. По ссылке в новой вкладке браузера откроется таблица событий Поиск угроз. В условиях поиска настроен фильтр поиска по URI из алерта, над которым вы работаете.
• В разделе Расследование выберите Найти похожие события по IP-адресу. По ссылке в новой вкладке браузера откроется таблица событий Поиск угроз. В условиях поиска настроен фильтр поиска по RemoteIP из алерта, над которым вы работаете.
• В разделе Расследование по ссылке Скачать артефакт IDS вы можете скачать файл с данными об алерте.
• В разделе Расследование по ссылке Скачать PCAP-файл вы можете скачать файл с данными перехваченного трафика.