Kaspersky Anti Targeted Attack Platform (EDR)

Alle gegevens die het programma lokaal op de computer opslaat, worden van de computer verwijderd wanneer Kaspersky Endpoint Security wordt verwijderd.

Service gegevens

De ingebouwde agent van Kaspersky Endpoint Security slaat de volgende gegevens lokaal op:

• Verwerkte bestanden en gegevens die door de gebruiker zijn ingevoerd tijdens de configuratie van de ingebouwde agent van Kaspersky Endpoint Security:
  • In quarantaine geplaatste bestanden
  • Instellingen van de ingebouwde agent van Kaspersky Endpoint Security:
    • Openbare sleutel van het certificaat dat wordt gebruikt voor integratie met Central Node
    • Licentie gegevens
• Gegevens vereist voor integratie met Central Node:
  • Pakketwachtrij voor telemetriegebeurtenissen
  • Cache van IOC-bestands-ID's ontvangen van Central Node
  • Objecten die moeten worden doorgegeven aan de server binnen de taak Bestand ophalen
  • De resultatenrapporten voor taak Get forensic

Gegevens in verzoeken aan KATA (EDR)

Bij integratie met Kaspersky Anti Targeted Attack Platform worden de volgende gegevens lokaal op de computer opgeslagen:

Gegevens van de ingebouwde agent van Kaspersky Endpoint Security-verzoeken aan de Central Node-component:

• Bij synchronisatieverzoeken:
  • Unieke ID
  • Basisgedeelte van het webadres van de server
  • Computer naam
  • IP-adres van de computer
  • MAC-adres van de computer
  • Lokale tijd op de computer
  • Zelfverdedigingsstatus van Kaspersky Endpoint Security
  • Naam en versie van het besturingssysteem dat op de computer is geïnstalleerd
  • Versie van Kaspersky Endpoint Security
  • Versies van de applicatie-instellingen en taakinstellingen
  • Taakstatussen: identifiers van taken, uitvoeringsstatussen, foutcodes
• In verzoeken om bestanden van de server te verkrijgen:
  • Unieke identificatiegegevens van bestanden
  • Unieke identificatie van Kaspersky Endpoint Security
  • Unieke identificatiecodes van certificaten
  • Basisgedeelte van het webadres van de server waarop de Central Node-component is geïnstalleerd
  • Host IP-adres
• In de rapporten over de resultaten van de taakuitvoering:
  • Host IP-adres
  • Informatie over de gedetecteerde objecten tijdens een IOC-scan of YARA-scan
  • Vlaggen van de aanvullende acties die zijn uitgevoerd na voltooiing van taken
  • Taakuitvoeringsfouten en retourcodes
  • Voltooiingsstatussen van taken
  • Voltooiingstijd van de taak
  • Versies van de instellingen die worden gebruikt voor de uitvoering van de taken
  • Informatie over de objecten die naar de server zijn verzonden, in quarantaine geplaatste objecten en objecten die uit quarantaine zijn hersteld: paden naar objecten, MD5- en SHA256-hashes, identifiers van in quarantaine geplaatste objecten
  • Informatie over de processen die zijn gestart of gestopt op een computer op verzoek van de server: PID en UniquePID, foutcode, MD5- en SHA256-hashes van de objecten
  • Informatie over de services die op een computer zijn gestart of gestopt op verzoek van de server: servicenaam, opstarttype, foutcode, MD5- en SHA256-hashes van bestandsafbeeldingen van de services
  • Informatie over de objecten waarvoor een geheugendump is gemaakt voor een YARA-scan (paths, dump file identifier)
  • Bestanden aangevraagd door de server
  • Telemetrie pakketten
  • Gegevens over lopende processen:
    • Uitvoerbare bestandsnaam, inclusief volledig pad en extensie
    • Parameters voor automatisch starten verwerken
    • Proces-ID
    • Gebruikersnaam sessie ID
    • Naam aanmeldingssessie
    • Datum en tijd waarop het proces is gestart
    • MD5- en SHA256-hashes van het object
  • Gegevens over bestanden:
    • Het bestandspad
    • Bestandsnaam
    • Bestandsgrootte
    • Bestandskenmerken
    • Datum en tijd waarop het bestand is aangemaakt
    • Datum en tijd waarop het bestand voor het laatst is gewijzigd
    • Bestandsomschrijving
    • Bedrijfsnaam
    • MD5- en SHA256-hashes van het object
    • Registersleutel (voor punten voor automatisch starten)
  • Gegevens in fouten die optreden wanneer informatie over objecten werd opgehaald:
    • Volledige naam van het object dat werd verwerkt toen er een fout optrad
    • Foutcode
• Telemetrische gegevens:
  • Host IP-adres
  • Gegevenstype in het register voorafgaand aan de vastgelegde updatebewerking
  • Gegevens in de registersleutel voorafgaand aan de vastgestelde wijzigingsbewerking
  • De tekst van het verwerkte script of een deel ervan
  • Type van het verwerkte object
  • Manier om een commando door te geven aan de commando-interpreter

Gegevens van verzoeken van de Central Node-component aan de ingebouwde agent van Kaspersky Endpoint Security:

• Taak instellingen:
  • Type taak
  • Instellingen voor taakschema's
  • Namen en wachtwoorden van de accounts waaronder de taken kunnen worden uitgevoerd
  • Versies van instellingen
  • ID's van in quarantaine geplaatste objecten
  • Paden naar de objecten
  • MD5- en SHA256-hashes van de objecten
  • Opdrachtregel om het proces met de argumenten te starten
  • Vlaggen van de aanvullende acties die zijn uitgevoerd na voltooiing van taken
  • IOC-bestands-ID's die van de server moeten worden opgehaald
  • IOC-bestanden
  • Service naam
  • Type opstartservice
  • Mappen waarvoor de resultaten van de Get forensic taak moeten worden ontvangen
  • Maskers van de objectnamen en extensies voor de Get forensic taak
• Instellingen voor netwerkisolatie:
  • Soorten instellingen
  • Versies van instellingen
  • Lijsten met netwerkisolatie-uitsluitingen en uitsluitingsinstellingen: verkeersrichting, IP-adressen, poorten, protocollen en volledige paden naar uitvoerbare bestanden
  • Vlaggen van de aanvullende acties
  • Tijdstip van automatische uitschakeling van de isolatie
• Instellingen preventie van uitvoering
  • Soorten instellingen
  • Versies van instellingen
  • Lijsten met uitvoeringspreventieregels en regelinstellingen: paden naar objecten, typen objecten, MD5- en SHA256-hashes van objecten
  • Vlaggen van de aanvullende acties
• Instellingen voor gebeurtenisfiltering:
  • Module namen
  • Volledige paden naar objecten
  • MD5- en SHA256-hashes van de objecten
  • Identificaties van de vermeldingen in het Windows-gebeurtenislogboek
  • Instellingen voor digitale certificaten
  • Verkeersrichting, IP-adressen, poorten, protocollen, volledige paden naar uitvoerbare bestanden
  • Gebruikersnamen
  • Aanmeldingstypen voor gebruikers
  • Typen telemetriegebeurtenissen waarvoor filters worden toegepast

Gegevens in YARA scanresultaten

De ingebouwde agent van Kaspersky Endpoint Security draagt automatisch YARA-scanresultaten over naar Kaspersky Anti Targeted Attack Platform om een ontwikkelingsketen voor bedreigingen op te bouwen.

De gegevens worden tijdelijk lokaal opgeslagen in de wachtrij voor het verzenden van taakuitvoeringsresultaten naar de Kaspersky Anti Targeted Attack Platform-server. Na verzending worden de gegevens uit de tijdelijke opslag verwijderd.

YARA-scanresultaten bevatten de volgende gegevens:

• MD5- en SHA256-hashes van het bestand
• Volledige naam van het bestand
• Het bestandspad
• Bestandsgrootte
• De naam van het proces
• Argumenten verwerken
• Pad naar het procesbestand
• Windows-identificatie (PID) van het proces
• Windows-identificatie (PID) van het bovenliggende proces
• Gebruikersaccount waarmee het proces is gestart
• Datum en tijd waarop het proces is gestart