Visualizzazione di un grafico della catena di sviluppo delle minacce

Per ogni avviso rilevato da Endpoint Detection and Response utilizzando la tecnologia Endpoint Protection Platform (EPP) e visualizzato in un widget o in una tabella, è possibile visualizzare un grafico della catena di sviluppo delle minacce.

Un grafico della catena di sviluppo delle minacce è uno strumento per l'analisi della causa principale di un attacco. Il grafico fornisce informazioni visive sugli oggetti coinvolti nell'attacco, ad esempio i processi in un dispositivo gestito, le connessioni di rete o le chiavi del Registro di sistema.

Durante l'analisi del grafico della catena di sviluppo delle minacce potrebbe essere necessario adottare misure di reazione manuale o ottimizzare la funzionalità Endpoint Detection and Response.

Per visualizzare un grafico della catena di sviluppo delle minacce:

1. Passare al widget o alla tabella di Endpoint Detection and Response.
2. Nella riga desiderata in cui il valore della colonna Tecnologia è EPP, fare clic su Esamina.

Verrà visualizzata la finestra con il Grafico della catena di sviluppo delle minacce. La finestra contiene un grafico della catena di sviluppo delle minacce e informazioni dettagliate sull'avviso.

Un grafico della catena di sviluppo delle minacce mostra i seguenti tipi di oggetti:

• Processo
• File
• Connessione di rete
• Chiave del Registro di sistema

Viene generato un grafico in base alle seguenti regole:

1. Il punto centrale di un grafico è un processo che soddisfa una delle seguenti regole:
   • Se la minaccia è stata rilevata in un processo, si tratta di questo processo.
   • Se la minaccia è stata rilevata in un file, si tratta del processo che ha creato questo file.
2. Per il processo menzionato nella regola 1, il grafico visualizza fino a due processi principali. Un processo padre è quello che ha generato o modificato un processo figlio.
3. Per il processo menzionato nella regola 1, il grafico mostra tutti gli altri oggetti correlati: file creati, processi figlio creati e modificati, connessioni di rete organizzate e chiavi del Registro di sistema modificate.

Quando si fa clic su un oggetto presente in un grafico, l'area sottostante mostra informazioni dettagliate sull'oggetto selezionato.

Quando si fa clic su un collegamento nei campi SHA256, MD5, indirizzo IP o URL nelle informazioni dettagliate su un file, si viene indirizzati al Kaspersky Threat Intelligence Portal https://opentip.kaspersky.com/. Il portale riunisce tutte le competenze acquisite da Kaspersky sulle minacce informatiche in un unico servizio Web. Consente di controllare qualsiasi indicatore di minaccia sospetta, che si tratti di un file, di un hash di file, di un indirizzo IP o di un indirizzo web.