Обнаружение – это событие в ИТ-инфраструктуре организации, которое было отмечено Kaspersky Single Management Platform как необычное или подозрительное и которое может представлять угрозу безопасности ИТ-инфраструктуры организации.
Kaspersky Single Management Platform формирует обнаружение, когда EPP-программа (например, Kaspersky Endpoint Security для Windows) обнаруживает в инфраструктуре определенную активность, соответствующую условиям, заданным в правилах обнаружения.
Вы можете создать обнаружение вручную из набора событий.
Все обнаружения делятся на следующие типы: IOC (Indicator of Compromise) и IOA (Indicator of Attack).
После детектирования Kaspersky Single Management Platform добавляет обнаружения в таблицу обнаружений как объекты, которые должны быть обработаны аналитиками. Вы не можете удалить обнаружения. Их можно только закрыть.
Обнаружения могут быть назначены только аналитикам, имеющим право читать и изменять обнаружения и инциденты.
Вы можете управлять обнаружениями как объектами, используя следующие свойства обнаружений:
Вы можете комбинировать и связывать обнаружения с более крупными рабочими объектами, называемыми инцидентами. Вы можете связать обнаружения с инцидентами вручную или включить правила для автоматического создания инцидентов и связывания обнаружений. Используя инциденты, аналитики могут исследовать несколько обнаружений как одну проблему. Когда вы связываете обнаружение, ни с чем не связанное в текущий момент, с инцидентом, обнаружение приобретает статус В инциденте. Вы можете связать обнаружение, ни с чем не связанное в текущий момент, с другим инцидентом. В этом случае статус обнаружения сохраняется. Вы можете связать с инцидентом не более 200 обнаружений.
Каждое обнаружение содержит сведения об обнаружении, которые содержат всю информацию, относящуюся к обнаружению. Вы можете использовать эту информацию для исследования обнаружения, отслеживания событий, предшествующих обнаружению, просмотра артефактов обнаружения, затронутых активов или для привязки обнаружения к инциденту.