Все алерты делятся на следующие типы:
Алерты этого типа регистрируется в результате выполнения задачи Поиск IOC на защищенном устройстве. Если при срабатывании правила IOC определяется, что событие является алертом, Kaspersky EDR Expert создает алерт IOC. Созданные алерты IOC представляют текущее состояние устройства на момент запуска задачи Поиск IOC. Вы можете создавать собственные правила IOC.
Алерт IOC всегда соответствует одному правилу IOC, сработавшему в ИТ-инфраструктуре. Если в результате выполнения задачи Поиск IOC срабатывает несколько правил IOC, Kaspersky EDR Expert создает отдельный алерт IOC для каждого сработавшего правила IOC.
Алерт IOC всегда соответствует одному устройству. Если одно и то же правило IOC сработало на нескольких устройствах, Kaspersky EDR Expert создает отдельный алерт IOC для каждого устройства.
Алерты данного типа регистрируются в результате анализа потока данных телеметрии с защищаемых устройств. Если при срабатывании правила IOA определяется, что событие является алертом, Kaspersky EDR Expert создает алерт IOA. Поскольку выполняется постоянный анализ потока данных телеметрии, созданные алерты IOA представляют текущую активность на защищенных устройствах. Правила IOA задаются специалистами "Лаборатории Касперского". Кроме того, вы можете создавать собственные правила IOA.
Алерт IOA всегда соответствует одному устройству. Если одно и то же правило IOA сработало на нескольких устройствах, Kaspersky EDR Expert создает отдельный IOA-алерт для каждого устройства.
Kaspersky EDR Expert анализирует события с интервалом в 15 минут. Если в течение 15 минут сработает хотя бы одно IOA-правило, Kaspersky EDR Expert создаст IOA-алерт Если в течение 15 минут на одном устройстве срабатывает несколько IOA-правил (как предопределенных, так и пользовательских), созданный IOA-алерт объединяет все события алертов и сработавшие правила.
Kaspersky EDR Expert не создает IOA-алерт, если идентичный алерт уже был зарегистрирован на том же устройстве в течение последних 24 часов. Два IOA-алерты считаются идентичными, если для них совпадают следующие свойства: