Kaspersky Endpoint Detection and Response

当卸载 Kaspersky Endpoint Security 时，应用程序本地存储在计算机上的所有数据将从计算机中删除。

作为“IOC 扫描”任务执行（标准任务）结果收到的数据

Kaspersky Endpoint Security 自动提交“IOC 扫描”任务执行结果数据到 Kaspersky Security Center。

“IOC 扫描”任务执行结果中的数据可能包含以下信息：

ARP 表中的 IP 地址
ARP 表中的物理地址
DNS 记录类型和名称
受保护计算机的 IP 地址
受保护计算机的物理地址（MAC 地址）
事件日志条目中的标识符
日志中的数据源名称
日志名称
事件时间
文件的 MD5 和 SHA256 哈希值
文件的全名（包括路径）
文件大小
扫描期间建立连接的远程 IP 地址和端口
本地适配器 IP 地址
在本地适配器上打开端口
协议作为数字（符合 IANA 标准）
进程名称
处理参数
进程文件的路径
进程的 Windows 标识符 (PID)
父进程的 Windows 标识符 (PID)
启动进程的用户账户
进程开始的日期和时间
服务名称
服务说明
DLL 服务的路径和名称（对于 svchost）
服务可执行文件的路径和名称
服务的 Windows 标识符 (PID)
服务类型（例如，内核驱动程序或适配器）
服务状态
服务启动模式
用户账户名称
卷名
卷字母
卷类型
Windows 注册表值
注册表巢值
注册表项路径（没有巢和值名称）
注册表设置
系统（环境）
计算机上安装的操作系统的名称和版本
受保护计算机的网络名称
受保护计算机所属的域或组
浏览器名称
浏览器版本
上次访问 Web 资源的时间
来自 HTTP 请求的 URL
用于 HTTP 请求的账户名称
发出 HTTP 请求的进程的文件名
发出 HTTP 请求的进程文件的完整路径
发出 HTTP 请求的进程的 Windows 标识符 (PID)
HTTP Referer（HTTP 请求源 URL）
通过 HTTP 请求的资源的 URI
有关 HTTP 用户代理（发出 HTTP 请求的应用程序）的信息
HTTP 请求执行时间
发出 HTTP 请求的进程的唯一标识符

用于创建威胁发展链的数据

创建威胁发展链的数据默认保存 7 天。数据会自动发送到 Kaspersky Security Center。

用于创建威胁发展链的数据可能包含以下信息：

事件日期和时间
检测名称
扫描模式
与检测相关的最后一个操作的状态
检测处理失败的原因
检测到的对象类型
检测到的对象名称
对象处理后的威胁状态
对对象执行操作失败的原因
为回滚恶意操作而执行的操作
已处理对象的相关信息：
- 进程的唯一标识符
- 父进程的唯一标识符
- 进程文件的唯一标识符
- Windows 进程标识符（PID）
- 进程命令行
- 启动进程的用户账户
- 运行进程的登录会话的代码
- 运行进程的会话类型
- 正在处理的进程的完整性级别
- 在特权本地和域组中启动进程的用户账户的成员身份
- 已处理对象的标识符
- 已处理对象的全名
- 受保护设备的标识符
- 对象的全名（本地文件名或已下载文件网址）
- 已处理对象的 MD5 或 SHA256 哈希
- 已处理对象的类型
- 已处理对象的创建日期
- 已处理对象最后修改的日期
- 已处理对象的大小
- 已处理对象的属性
- 签署已处理对象的组织
- 已处理对象数字证书校验结果
- 已处理对象的安全标识符 (SID)
- 已处理对象的时区标识
- 已处理对象下载网址（仅适用于磁盘文件）
- 下载文件的应用程序的名称
- 下载文件的应用程序的 MD5 和 SHA256 哈希
- 最后修改文件的应用程序的名称
- 最后修改文件的应用程序的 MD5 和 SHA256 哈希
- 已处理对象启动数
- 已处理对象首次启动的日期和时间
- 文件的唯一标识符
- 文件全名（本地文件名或下载文件网址）
- 已处理的 Windows 注册表变量的路径
- 已处理的 Windows 注册表变量的名称
- 已处理的 Windows 注册表变量的值
- 已处理的 Windows 注册表变量的类型
- 自动运行点中已处理注册表项成员关系的指示器
- 已处理的 Web 请求的网址
- 已处理的 Web 请求的链接源
- 已处理的 Web 请求的用户代理
- 已处理的 Web 请求的类型（“GET”或“POST”）。
- 已处理的 Web 请求的本地 IP 端口
- 已处理的 Web 请求的远程 IP 端口
- 已处理的 Web 请求的连接方向（入站或出站）
- 嵌入恶意代码的进程的标识符

页面顶部