Kaspersky Anti Targeted Attack Platform

Работа с пользовательскими правилами TAA (IOA)

Пользовательские правила TAA (IOA) создаются на основе условий поиска по базе событий. Например, если вы хотите, чтобы приложение Kaspersky Anti Targeted Attack Platform формировало алерты по событиям запуска приложения, которое вы считаете небезопасным, на компьютерах с компонентом Endpoint Agent, вы можете выполнить следующие действия:

1. Сформировать поисковый запрос по базе событий вручную или загрузить IOC-файл с индикаторами компрометации или YAML-файл с Sigma-правилом для обнаружения этого приложения.

   При создании IOC-файла ознакомьтесь со списком IOC-терминов, которые можно использовать для поиска событий в разделе Поиск угроз. Вы можете посмотреть список поддерживаемых IOC-терминов, скачав файл по ссылке ниже.

   IOC-термины для поиска событий в разделе Поиск угроз

2. Создать правило TAA (IOA) на основе условий поиска событий.

   При поступлении на сервер Central Node событий, соответствующих созданному правилу TAA (IOA), Kaspersky Anti Targeted Attack Platform сформирует алерты.

Вы также можете создать правило TAA (IOA) на основе условий из уже загруженного IOC-файла. Для этого вам требуется выполнить следующие действия:

1. Найти события, соответствующие условиям выбранного файла.
2. Создать на основе условий поиска событий из выбранного файла правило TAA (IOA).

В

режиме распределенного решения

Двухуровневая иерархия серверов с установленными компонентами Central Node, в которой выделяется главный сервер управления – Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).

мультитенантности

Режим работы, при котором Kaspersky Anti Targeted Attack Platform используется для защиты инфраструктуры нескольких организаций или филиалов одной организации одновременно.

• Глобальный – созданные на сервере PCN. По этим правилам производится проверка событий на этом сервере PCN и на всех серверах SCN, подключенных к этому серверу PCN. Проверяемые события относятся к тенантам, в рамках которых пользователь работает в веб-интерфейсе приложения.
• Локальный – созданные на сервере SCN. По этим правилам производится проверка событий на этом сервере SCN. Проверяемые события относятся к тенанту, в рамках которого пользователь работает в веб-интерфейсе приложения.

Различия между пользовательскими правилами и правилами "Лаборатории Касперского" представлены в таблице ниже.

Сравнительные характеристики правил TAA (IOA)

Пользователи с ролью Старший сотрудник службы безопасности могут создавать, импортировать, удалять, включать и выключать правила TAA (IOA), а также добавлять правила TAA (IOA) "Лаборатории Касперского" в исключения из проверки. Пользователи с ролями Сотрудник службы безопасности и Аудитор могут использовать правила TAA (IOА) для поиска признаков целевых атак, зараженных и возможно зараженных объектов в базе событий и алертов, а также просматривать таблицу правил TAA (IOA) и информацию о правилах TAA (IOA).