Kaspersky Anti Targeted Attack Platform

Информация в блоке Результаты проверки

В блоке Результаты проверки могут отображаться следующие результаты:

• Названия модулей или компонентов приложения, создавших алерт.
• Одна или несколько категорий обнаруженного объекта. Например, может отображаться название вируса Virus.Win32.Chiton.i.
• Версии баз модулей и компонентов Kaspersky Anti Targeted Attack Platform, создавших алерт.
• Результаты проверки алерта модулями и компонентами приложения:
  • YARA – результаты потоковой проверки файлов и объектов, поступающих на Central Node, или результаты проверки хостов с компонентом Endpoint Agent. Может принимать следующие значения:
    • Категория обнаруженного файла в правилах YARA (например, может отображаться название категории susp_fake_Microsoft_signer).

      Отображается при потоковой проверке.

      Кнопка Создать правило запрета позволяет запретить запуск файла.

      Кнопка Найти на Kaspersky TIP позволяет найти файл на

      Kaspersky Threat Intelligence Portal

      Информационная система "Лаборатории Касперского". Содержит и отображает информацию о репутации файлов и URL-адресов.

      .

    • Путь к файлу и/или имя дампа памяти.

      Отображается при проверке хостов с компонентом Endpoint Agent.

      По ссылке с путем к файлу раскрывается список, в котором вы можете выбрать одно из следующих действий:

      • Найти события.
      • Найти алерты.
      • Скопировать значение в буфер.

    Кнопка Создать задачу позволяет создать следующие задачи:

    • Собрать данные → Файл, Образ диска, Дамп памяти.
    • Удалить файл.
    • Поместить файл на карантин.

    Кнопка Создать правило запрета позволяет запретить запуск файла.

  • Кнопка Найти на Kaspersky TIP позволяет найти файл на Kaspersky Threat Intelligence Portal.

    Кнопка Просмотреть на карантине позволяет просмотреть информацию об объекте, помещенном на карантин.

  • SB (Sandbox) – результаты исследования поведения файла, выполненного компонентом Sandbox.

    Нажатием на кнопку Sandbox-обнаружение вы можете открыть окно с подробной информацией о результатах исследования поведения файла.

    Кнопка Найти на Kaspersky TIP позволяет найти файл на Kaspersky Threat Intelligence Portal.

    Кнопка Создать правило запрета позволяет запретить запуск файла.

    Вы можете загрузить подробный журнал исследования поведения файла во всех операционных системах нажав на кнопку Скачать сведения об отладке.

    Файл загружается в формате ZIP-архива, зашифрованного паролем infected. Имя проверенного файла внутри архива заменено на MD5-хеш файла. Расширение файла внутри архива не отображается.

    По умолчанию максимальный объем жесткого диска для хранения журналов исследования поведения файлов во всех операционных системах составляет 300 ГБ. По достижении этого ограничения приложение удаляет журналы исследования поведения файлов, созданные раньше остальных, и заменяет их новыми журналами.

  • URL (URL Reputation) – категория обнаруженного вредоносного, фишингового URL-адреса или URL-адреса, который ранее использовался злоумышленниками для целевых атак на IT-инфраструктуру организаций.
  • IDS (Intrusion Detection System) – категория обнаруженного объекта по базе Intrusion Detection System или название пользовательского правила IDS, по которому было выполнено обнаружение. Например, может отображаться категория Trojan-Clicker.Win32.Cycler.a.

    По ссылке открывается информация о категории объекта в базе угроз "Лаборатории Касперского" Kaspersky Threats.

  • AM (Anti-Malware Engine) – категория обнаруженного объекта по антивирусной базе. Например, может отображаться название вируса Virus.Win32.Chiton.i.

    По ссылке открывается информация о категории объекта в базе угроз "Лаборатории Касперского" Kaspersky Threats.

    Кнопка Найти на Kaspersky TIP позволяет найти файл на Kaspersky Threat Intelligence Portal.

    Кнопка Создать правило запрета позволяет запретить запуск файла.

    Кнопка Скачать позволяет загрузить файл на жесткий диск вашего компьютера.

  • TAA (Targeted Attack Analyzer) – информация о результатах исследования файла с помощью технологии Targeted Attack Analyzer: название правила TAA (IOA), по которому был создан алерт.

    По ссылке открывается информация о правиле TAA (IOA). Если правило предоставлено специалистами "Лаборатории Касперского", то оно содержит сведения о сработавшей

    технике MITRE

    База знаний MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках) содержит описание поведения злоумышленников, основанное на анализе реальных атак. Представляет собой структурированный список известных техник злоумышленников в виде таблицы.

    , а также рекомендации по реагированию на событие.

  • IOC – название IOC-файла, по которому был создан алерт.

    При выборе IOC-файла открывается окно с результатами IOC-проверки.

    По ссылке Все события, связанные с алертом в новой вкладке браузера откроется таблица событий Поиск угроз. В условиях поиска настроен фильтр поиска, например, по MD5, FileFullName. В значениях фильтрации указаны свойства алерта, над которым вы работаете. Например, MD5 файла из алерта.

• NDR: IDS – причина создания алерта. Соответствует названию события в трафике сети, на основании которого создан алерт. Такие события функциональности NDR регистрируются по технологии IDS и связаны с обнаружением в трафике аномалий, которые являются признаками атак (например, событие при обнаружении признаков ARP-спуфинга).
• NDR: EA (External Analysis) – причина создания алерта. Соответствует названию события в трафике сети, на основании которого создан алерт. Такие события функциональности NDR регистрируются по технологии EXT и поступают в Kaspersky Anti Targeted Attack Platform от сторонних систем с использованием методов Kaspersky Anti Targeted Attack Platform API.