Kata kaspersky что это

Принцип работы программы

Программа Kaspersky Anti Targeted Attack Platform включает в себя два функциональных блока:

Kaspersky Anti Targeted Attack (далее также "KATA"), обнаруживающий угрозы по периметру IT-инфраструктуры предприятия.
Kaspersky Endpoint Detection and Response (далее также "KEDR"), обеспечивающий защиту компьютеров локальной сети организации.

Вы можете использовать как полную функциональность программы (ключ KATA и ключ KEDR), так и неполную (только ключ KATA или только ключ KEDR).

Принцип работы Kaspersky Anti Targeted Attack

Kaspersky Anti Targeted Attack включает в себя следующие компоненты:

Компоненты Sensor, Central Node и Sandbox взаимодействуют между собой по следующему принципу:

Технология IDS позволяет распознать и обнаружить сетевую активность по 80 протоколам, в частности по 53 протоколам прикладного уровня модели TCP/IP, фиксируя подозрительный трафик и сетевые атаки. В числе поддерживаемых протоколов TCP, UDP, FTP, TFTP, SSH, SMTP, SMB, CIF, SSL, HTTP, HTTP/2, HTTPS, TLS, ICMPv4, ICMPv6, IPv4, IPv6, IRC, LDAP, NFS, DNS, RDP, DCERPC, MS-RPC, WebSocket, Citrix и другие.

В качестве компонента Sensor также может использоваться почтовый сенсор – сервер или виртуальная машина, на которой установлена программа "Лаборатории Касперского" Kaspersky Secure Mail Gateway (далее также "KSMG") или Kaspersky Security для Linux Mail Server (далее также "KLMS").

При обнаружении угроз сервер Central Node записывает информацию о них в базу обнаружений. Вы можете просмотреть таблицу обнаружений в разделе Обнаружения веб-интерфейса программы или сформировав отчет об обнаружениях.

Информация об обнаружениях также может публиковаться в SIEM-систему, которая используется в вашей огранизации, и во внешние системы. Информация об обнаружениях компонента Sandbox может публиковаться в локальную репутационную базу Kaspersky Private Security Network.

Принцип работы Kaspersky Endpoint Detection and Response

Kaspersky Endpoint Detection and Response включает в себя следующие компоненты:

Компонент представлен программами Kaspersky Endpoint Agent для Windows и Kaspersky Endpoint Agent для Linux.

В качестве прокси-сервера для соединений, исходящих от компонента Kaspersky Endpoint Agent, может использоваться компонент Sensor.

Компоненты Kaspersky Endpoint Agent и Central Node взаимодействуют между собой по следующему принципу:

Kaspersky Endpoint Agent для Windows передает на сервер Central Node данные о следующих событиях:

Запущен процесс ;
Загружен модуль ;
Удаленное соединение ;
Правило запрета ;
Заблокирован документ ;
Изменен файл ;
Журнал событий ОС ;
Изменение в реестре ;
Прослушан порт ;
Загружен драйвер ;
Интерпретированный запуск файла ;
Интерактивный ввод команд в консоли .

Kaspersky Endpoint Agent для Linux передает на сервер Central Node данные о следующих событиях:

Запущен процесс ;
Изменен файл ;
Журнал событий ОС .

Программы могут интегрироваться с программами защиты рабочих станций (Endpoint Protection Platform (далее также "EPP")).

Kaspersky Endpoint Agent для Windows может интегрироваться со следующими программами EPP:

Kaspersky Endpoint Security для Windows.
Kaspersky Security для Windows Server.
Kaspersky Security для виртуальных сред Легкий Агент для Windows.

Kaspersky Endpoint Agent для Linux может интегрироваться с программой Kaspersky Endpoint Security для Linux.

В этом случае программа Kaspersky Endpoint Agent также передает на сервер Central Node данные об угрозах, обнаруженных программами EPP, и о результатах обработки угроз этими программами.

Программы EPP, Kaspersky Endpoint Agent и сервер Central Node взаимодействуют между собой по следующему принципу:

Программа Kaspersky Endpoint Security для Windows также может передавать Kaspersky Endpoint Agent для Windows данные об отправке сторонним приложением с поддержкой Antimalware Scan Interface (далее также "AMSI") объектов (например, скриптов PowerShell) в Kaspersky Endpoint Security для Windows для дополнительной проверки.

Сервер Central Node обрабатывает полученные данные и отображает в веб-интерфейсе программы соответствующие события.

В результате обработки данных программ EPP формируются события Обнаружение , Результат обработки обнаружения , AMSI-проверка (при интеграции Kaspersky Endpoint Agent для Windows с Kaspersky Endpoint Security для Windows).

События, поступающие на сервер Central Node, отмечаются правилами TAA (IOA). В результате разметки для событий, требующих внимания пользователя, формируются обнаружения. При наличии компонента Sandbox вы можете также включить автоматическую отправку файлов с хостов Kaspersky Endpoint Agent на проверку компоненту Sandbox в соответствии с правилами TAA (IOA) "Лаборатории Касперского".

При интеграции сервера Central Node с Kaspersky Endpoint Agent для Windows вы можете осуществлять следующие меры по реагированию на обнаруженные угрозы:

Работать с файлами и программами путем выполнения задач Завершить процесс , Собрать данные , Запустить YARA-проверку , Выполнить программу , Получить файл , Удалить файл , Поместить файл на карантин , Восстановить файл из карантина , Управление службами на хостах с Kaspersky Endpoint Agent.
Настраивать политики запрета запуска файлов и процессов на выбранных хостах с Kaspersky Endpoint Agent. отдельные хосты с Kaspersky Endpoint Agent от сети. для классификации и анализа событий.
Работать с файлами открытого стандарта описания индикаторов компрометации OpenIOC (IOC-файлы) для поиска признаков целевых атак, зараженных и возможно зараженных объектов на хостах с Kaspersky Endpoint Agent и в базе обнаружений.

При интеграции сервера Central Node с Kaspersky Endpoint Agent для Linux вы можете осуществлять следующие меры по реагированию на обнаруженные угрозы:

Работать с файлами и программами путем выполнения задач Получить файл , Выполнить программу .
Работать с правилами TAA (IOA) для классификации и анализа событий.

Принцип работы Kaspersky Anti Targeted Attack Platform показан на рисунке ниже.

kata_standalone_scheme

Принцип работы Kaspersky Anti Targeted Attack Platform

Вы можете настраивать параметры каждого компонента Central Node отдельно или управлять несколькими компонентами централизованно в режиме распределенного решения.

Распределенное решение представляет собой двухуровневую иерархию серверов Central Node. В этой структуре выделяется главный сервер управления – Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).

Принцип работы Kaspersky Anti Targeted Attack Platform в режиме распределенного решения показан на рисунке ниже.

kata_distributed

Принцип работы Kaspersky Anti Targeted Attack Platform в режиме распределенного решения

Kaspersky Anti Targeted Attack Platform

Kaspersky Anti Targeted Attack Platform – решение (далее также "программа"), предназначенное для защиты IT-инфраструктуры организации и своевременного обнаружения таких угроз, как атаки "нулевого дня", целевые атаки и сложные целевые атаки advanced persistent threats (далее также "APT"). Программа разработана для корпоративных пользователей.

Программа Kaspersky Anti Targeted Attack Platform включает в себя два функциональных блока:

Kaspersky Anti Targeted Attack (далее также "KATA"), обеспечивающий защиту периметра IT-инфраструктуры предприятия.
Kaspersky Endpoint Detection and Response (далее также "KEDR"), обеспечивающий защиту компьютеров локальной сети организации.

Программа может получать и обрабатывать данные следующими способами:

зеркалированный SPAN-, ERSPAN- и RSPAN-трафик

Копия трафика, перенаправляемая с одного порта коммутатора на другой порт этого же коммутатора (локальное зеркалирование) или на удаленный коммутатор (удаленное зеркалирование). Администратор сети может настроить, какую часть трафика зеркалировать для передачи в Kaspersky Anti Targeted Attack Platform.

Вы можете получить подробную информацию о Kaspersky Secure Mail Gateway и Kaspersky Security для Linux Mail Server из документации к этим программам.

Программа использует следующие средства анализа угроз (Threat Intelligence):

Инфраструктуру облачных служб Kaspersky Security Network (далее также "KSN"), предоставляющую доступ к оперативной базе знаний "Лаборатории Касперского" о репутации файлов, веб-ресурсов и программного обеспечения. Использование данных Kaspersky Security Network обеспечивает более высокую скорость реакции программ "Лаборатории Касперского" на угрозы, повышает эффективность работы некоторых компонентов защиты, а также снижает вероятность ложных срабатываний.
Интеграцию с программой "Лаборатории Касперского" Kaspersky Private Security Network (далее также "KPSN"), предоставляющую пользователю возможность получать доступ к репутационным базам KSN, а также другим статистическим данным, не отправляя данные в KSN со своих компьютеров.
Интеграцию с информационной системой "Лаборатории Касперского" Kaspersky Threat Intelligence Portal, которая содержит и отображает информацию о репутации файлов и URL-адресов.
Базу угроз "Лаборатории Касперского" Kaspersky Threats.

Программа может предоставлять пользователю результаты своей работы и анализа угроз следующими способами:

Отображать результаты работы в веб-интерфейсе серверов Central Node, Primary Central Node (далее также PCN) или Secondary Central Node (далее также SCN).
Публиковать обнаружения в SIEM-систему, которая уже используется в вашей организации, по протоколу Syslog.
Интегрироваться с внешними системами с помощью интерфейса REST API и по запросу отправлять данные об обнаружениях программы во внешние системы.
Публиковать информацию об обнаружениях компонента Sandbox в локальную репутационную базу Kaspersky Private Security Network.

База данных репутаций объектов (файлов или URL-адресов), которая хранится на сервере Kaspersky Private Security Network, а не на серверах Kaspersky Security Network. Управление локальными репутационными базами осуществляется администратором KPSN.

Пользователи Старший сотрудник службы безопасности и Сотрудник службы безопасности могут выполнять следующие действия в программе:

Осуществлять мониторинг работы программы.
Просматривать таблицу обнаруженных признаков целевых атак и вторжений в IT-инфраструктуру организации, осуществлять фильтрацию и поиск обнаружений, просмотр и работу с каждым обнаружением, выполнять рекомендации по оценке и расследованию инцидентов.
Просматривать таблицу событий, происходящих на компьютерах и серверах, входящих в IT-инфраструктуру организации, осуществлять поиск угроз, фильтрацию, просмотр и работу с каждым событием, выполнять рекомендации по оценке и расследованию инцидентов.
Выполнять задачи на хостах с Kaspersky Endpoint Agent: запускать программы и останавливать процессы, скачивать и удалять файлы, помещать объекты на карантин на компьютерах с программой Kaspersky Endpoint Agent, копии файлов в Хранилище программы, а также восстанавливать файлы из карантина.
Настраивать политики запрета запуска файлов и процессов, которые они считают небезопасными, на выбранных хостах с программой Kaspersky Endpoint Agent.
Изолировать отдельные хосты с программой Kaspersky Endpoint Agent от сети.
Работать с правилами TAA (IOA) для классификации и анализа событий.
Работать с пользовательскими правилами Targeted Attack Analyzer TAA (IOA), Intrusion Detection System (IDS) и YARA: загружать правила, по которым программа будет проверять события и создавать обнаружения.
Работать с файлами открытого стандарта описания индикаторов компрометации OpenIOC (IOC-файлы) для поиска признаков целевых атак, зараженных и возможно зараженных объектов на хостах с компонентом Endpoint Agent и в базе обнаружений.
Добавлять правила TAA (IOA) и правила IDS, предоставленные специалистами "Лаборатории Касперского", в исключения из проверки.
Работать с объектами на карантине и копиями объектов в Хранилище.
Управлять отчетами о работе программы и отчетами об обнаружениях.
Настраивать отправку уведомлений об обнаружениях и о проблемах в работе программы на адреса электронной почты пользователей.
Работать со списком обнаружений со статусом VIP, со списком данных, исключенных из проверки, наполнять локальную репутационную базу KPSN.

Пользователи с ролью Аудитор могут выполнять следующие действия в программе:

Осуществлять мониторинг работы программы.
Просматривать таблицу обнаруженных признаков целевых атак и вторжений в IT-инфраструктуру организации, осуществлять фильтрацию и поиск обнаружений, просматривать данные каждого обнаружения.
Просматривать таблицу событий, происходящих на компьютерах и серверах, входящих в IT-инфраструктуру организации, осуществлять поиск угроз, фильтрацию, просмотр каждого события.
Просматривать список хостов с компонентом Endpoint Agent и информацию о выбранных хостах.
Просматривать пользовательские правила Targeted Attack Analyzer TAA (IOA), Intrusion Detection System (IDS) и YARA.
Просматривать исключенные из проверки правила TAA (IOA) и правила IDS, предоставленные специалистами "Лаборатории Касперского".
Просматривать отчеты о работе программы и отчеты об обнаружениях.
Просматривать список обнаружений со статусом VIP, список данных, исключенных из проверки.
Осуществлять мониторинг работоспособности программы.
Просматривать все настройки, производимые в веб-интерфейсе программы.

Пользователи Локальный администратор и Администратор могут выполнять следующие действия в программе:

Настраивать параметры работы программы.
Настраивать серверы для работы в режиме распределенного решения и мультитенантности.
Производить интеграцию программы с другими программами и системами.
Работать с TLS-сертификатами и настраивать доверенное соединение сервера Central Node c сервером Sandbox, а также серверов Kaspersky Anti Targeted Attack Platform c программой Kaspersky Endpoint Agent и с внешними системами.
Управлять учетными записями пользователей программы.
Осуществлять мониторинг работоспособности программы.

Программа обнаруживает следующие события, происходящие внутри IT-инфраструктуры организации:

На компьютер локальной сети организации был загружен файл или была предпринята попытка загрузки файла.
На адрес электронной почты пользователя локальной сети организации был отправлен файл.
На компьютере локальной сети организации была открыта ссылка на веб-сайт.
IP-адрес или доменное имя компьютера локальной сети организации были замечены в сетевой активности.
На компьютере локальной сети организации были запущены процессы.

Kaspersky Anti Targeted Attack Platform оценивает события и рекомендует пользователю обратить внимание на каждое обнаруженное событие (обнаружение) в соответствии с тем, какое влияние это обнаружение может оказать на безопасность компьютера или локальной сети вашей организации, по опыту "Лаборатории Касперского".

Пользователь Kaspersky Anti Targeted Attack Platform самостоятельно принимает решение о дальнейших действиях над обнаружениями.

Как защитить инфраструктуру и сэкономить на оплате труда с помощью Kaspersky Anti Targeted Attack и MSS

Аватар пользователя Алексей Михайлов

Angara Professional Assistance и «Лаборатория Касперского» предоставляют MSS-услугу (Managed Security Services) по защите от целевых атак (Advanced Persistent Threat, APT) в формате подписки. Мы рассмотрим, как платформа Kaspersky Anti Targeted Attack (KATA) вкупе с управляемыми сервисами ИБ от Angara Professional Assistance позволяет сэкономить на ФОТ и капитальных затратах и защитить организации от APT-группировок.

6.1. SMTP-инцидент
6.2. Эмуляция файла в Sandbox
6.3. Разбор инцидента по телеметрии EDR

Введение

Прошлый год стал переломным моментом для огромного количества компаний. Необходимость за короткие сроки перевести сотрудников на «удалёнку» усложнила задачу обеспечения безопасности.

Те, кто раньше не задумывался об этом, так или иначе были обязаны развиваться в области защиты своих сотрудников от целенаправленных (целевых) атак, или, как они ещё называются, таргетированных (APT). Сложные угрозы и целевые атаки составляют всего 1,5 % от общего количества киберпреступных действий в современном мире, но их последствия являются колоссальными для любой организации.

Angara Professional Assistance совместно с «Лабораторией Касперского» стала первой компанией, которая начала предоставлять MSS-услугу по защите от APT в формате подписки.

Решения Kaspersky Anti Targeted Attack и Kaspersky Endpoint Detection and Response (KEDR) позволили вывести эту услугу на новый уровень обеспечения защиты организаций от APT и неизвестных угроз.

Два продукта, объединённые в одну составляющую, позволяют с помощью опытных аналитиков изучать и расследовать инциденты, которые собираются из событий с пользовательских узлов в организации.

В целом подписка на решения в области информационной безопасности является новым направлением, которое смогло вполне успешно развиться за последний год и продолжает набирать обороты. Это решение позволяет в разы уменьшить затраты на «железо», сотрудников и время (которое особенно ценно, когда речь идёт об информационной безопасности), обеспечив при этом должный уровень защиты организации.

Краткие сведения о платформе КАТА

Платформа КАТА — одно решение, которое объединяет защиту от целевых атак (Kaspersky Anti Targeted Attack) с системой обнаружения и ликвидации угроз на конечных устройствах (Kaspersky EDR). В текущем варианте реализации один физический (или виртуальный) сервер совмещает в себе два сервиса:

KATA позволяет изучать сетевой трафик (почта, прокси-серверы, зеркалированный трафик) и предотвращать целевые атаки;
KEDR собирает телеметрию с конечных устройств пользователей и агрегирует её по постоянно пополняющейся базе правил обнаружения (о них мы поговорим позже).

Также может использоваться компонент «Песочница» (Sandbox), который запускает полученные от КАТА объекты внутри виртуальных машин и при выполнении файла собирает дампы памяти, данные по сетевой активности и взаимодействию с другими процессами и файлами, генерируемый объектом трафик.

Такой подход позволяет аналитикам сократить количество времени, затрачиваемого на исследование «сырых» данных, и повысить качество и скорость расследования инцидентов, которая в особых случаях может быть критически важной для заказчика.

В КАТА входит весьма большое количество технологий, которые обрабатывают трафик с помощью разных подходов и позволяют качественно и оперативно обнаруживать угрозы. Основными такими технологиями являются:

IDS (система обнаружения вторжений) — использует уникальный набор правил для анализа трафика;
URL-reputation — выявляет подозрительные URL-адреса, используя репутационную базу Kaspersky Security Network (KSN);
Anti-Malware — расширенное антивирусное ядро, которое кроме обработки файлов и выдачи вердикта «опасен» / «неопасен» отправляет файл в песочницу на проверку при малейших подозрениях;
IOC — позволяет сканировать инфраструктуру по индикаторам компрометации, обнаруживая вредоносную активность на ранней стадии;
YARA — обеспечивает аналитикам возможность добавлять собственные правила, которые позволяют не только выявлять передачу или получение вредоносных программ, но и добавлять характеристики или метаданные для определения угроз, учитывая сферу деятельности организации.

Естественно, огромным преимуществом является интеграция КАТА с такими решениями, как Kaspersky Web Traffic Security и Kaspersky Mail Secure Gateway, позволяющая автоматически передавать в КАТА любые входящие файлы и получать вердикт по итогам этих проверок.

«Плюшки» для аналитиков при работе с КАТА

Расследование инцидентов в КАТА благодаря своему удобству позволяет уменьшить время, которое необходимо сотрудникам для сбора дополнительной информации по конкретным инцидентам. Для сетевого трафика инциденты всегда генерируются автоматически — даже если сигнатура проста или безвредна (NOT-A-VIRUS), она всё равно будет выделена в особую карточку инцидента для просмотра аналитиками.

Основные преимущества для аналитиков при работе с КАТА:

Статусы и роли позволяют назначить определённому аналитику задачу на расследование инцидента, а статус VIP поможет обособить отдельные инциденты и делегировать их исключительно тем специалистам, которые имеют компетенции для обработки инцидентов определённых хостов или почтовых адресов.
Просмотр дерева запущенных процессов. При получении событий с EDR это позволяет понять, какой процесс запустил то или иное действие и что именно привело к запуску вредоносного или нелегитимного файла. При обнаружении подозрительного файла можно отправить его в песочницу на проверку и получить вердикт.
Работа с файлами и процессами, изоляция хоста. При обнаружении первичного вторжения можно предотвратить дальнейшее распространение угрозы с помощью сетевой изоляции и помещения подозрительного объекта на карантин, что позволяет исследовать файл без его продвижения по сети. Обнаруженный объект можно удалить, скачать или поместить на карантин, а процессы, запущенные этим файлом, — завершить в пару кликов.
Карточки инцидентов содержат информацию, которая позволяет при первичном анализе вынести вердикт о легитимности событий в организации. В карточках для EDR имеется описание правила, в соответствии с которым выявлен инцидент, даются рекомендации по расследованию, а также присутствует таблица техник MITRE с идентификатором, именем, тактикой и ссылками на техники.

Прямая экономия для компании

Инсталляция КАТА требует высокой квалификации сотрудников, затрат на приобретение лицензий и покупку высокопроизводительного и отказоустойчивого оборудования. Но даже такая трудозатратная инсталляция может стать легкодоступной за счёт совместного использования (шеринга) ресурсов, который обеспечивает MSS-услуга ACR Service AntiAPT&EDR от компании Angara Professional Assistance. Подключение к облаку и передача инсталляции аналитикам позволяют избавить заказчика от затрат на физические мощности и от необходимости нанимать сотрудников для изучения инцидентов и событий.

Использование сервиса обеспечивает принципиально новый уровень автоматизации процессов по обнаружению инцидентов в ИБ и реагированию на них, что означает повышенную степень защищённости инфраструктуры от кибератак. SOC мгновенно реагирует на инциденты и своевременно уведомляет заказчика о событиях, предотвращая возможные нарушения в информационной безопасности.

При этом поставщик — компания Angara Professional Assistance — гарантирует чёткие параметры уровня обслуживания, в том числе по времени. Заказчику предоставляется интеллектуальный сервис с готовым инструментарием для оперативного и ретроспективного поиска по индикаторам компрометации, а также отчётность для оценки эффективности. Это достигается, в частности, за счёт постоянного взаимодействия с экспертами «Лаборатории Касперского», глобальной облачной платформой компании (KSN) и сервисами информирования об актуальных угрозах, такими как Kaspersky TIP.

Ещё одним важным критерием при выборе сервиса можно назвать относительную лёгкость и быстроту его подключения, которое производится за минимальное количество этапов (как правило, 3–4) и примерно за две недели. Такая бизнес-модель позволяет обойтись минимальными вложениями в инфраструктуру. Она делает интеллектуальный сервис доступным для организаций с разными финансовыми возможностями. Привлечение MSS-услуг на базе КАТА обеспечивает экономию на подготовке собственных кадров, создании и содержании специального отдела, доступе к аналитике и квалифицированной поддержке специалистов сервис-провайдера. Заказчик получает фиксированный объём оказываемых услуг по приемлемой стоимости, а также выстроенный прозрачный план операционных затрат вместо необходимых капитальных расходов. При таком предложении заказчик не несёт ненужных издержек, выбирая из гибкой сетки тарифов тот, который ему действительно подходит.

Как и какими инструментами можно расследовать таргетированные атаки

EDR- и XDR-средств на рынке представлено огромное количество. Выбор зависит от индивидуальных запросов заказчиков и необходимости использовать те или иные особенности каждого продукта.

Для грамотного и глубокого изучения APT достаточно применять четыре средства, позволяющих минимизировать риски для организации. Этими средствами являются Kaspersky Anti Targeted Attack, Kaspersky Web Traffic Security, Kaspersky Mail Secure Gateway и Kaspersky Endpoint Security. Сама по себе КАТА не может блокировать атаки, но помогает выявлять и передавать на подключённые компоненты информацию о необходимости блокировки тех или иных объектов.

Чтобы расследовать таргетированные атаки, понадобятся платформа КАТА с подключённой песочницей, высокий уровень компетенции и большой опыт работы аналитиков, а также доступ к порталу Kaspersky Threat Intelligence Portal (TIP). На портале специалисты «Лаборатории Касперского» агрегируют огромное количество информации за все годы работы компании. Портал TIP используется в расследовании инцидентов для получения информации о репутации сайтов, файлов или IP-адресов. При обнаружении соединения с подозрительным IP-адресом можно проверить его и получить вердикт о его присутствии в базах компрометации.

Удобные панели мониторинга (дашборды), возможность анализа событий с самого первого запуска системного процесса, проверка того, куда и зачем «ходят» полученные файлы, удобная и надёжная интеграция со сторонними средствами позволяют быстро передавать информацию в средства блокировки почтового или веб-трафика и предотвращать развитие кибератаки в инфраструктуре. При наличии компонента EDR возможна изоляция целого пула устройств, которые могли подвергнуться заражению, что предотвращает распространение вредоносных программ.

Возьмём в качестве примера следующую ситуацию: сотрудник компании получил письмо с вложением на электронную почту. Вложение не содержит вредоносных сигнатур (по крайней мере, так считают почтовый шлюз и антивирус на конечном устройстве), но при открытии вложения и использовании функции «Разрешить редактирование» злоумышленник может подгрузить вредоносный модуль (payload) на устройство пользователя. После этого начнутся развитие вредоносной активности внутри инфраструктуры и сбор информации. Как поведут себя КАТА + KEDR и аналитики в данной ситуации?

КАТА видит письмо и отправляет файл на проверку в песочницу, где эмулируется действие пользователя и записывается входящий / исходящий трафик. После проверки появляется инцидент, в котором указано, что при открытии файла происходят обращение на определённый ресурс и последующая загрузка нежелательного контента.

Аналитик, увидев оповещение, рассматривает события на устройстве сотрудника и обнаруживает, что от него идёт трафик к скомпрометированным адресам. В это же время фиксируется сбор злоумышленником системной информации и хешей паролей (куда может попасть и пароль администратора домена!), что сигнализирует о начале продвижения внутри инфраструктуры. Что делает аналитик? Он в пару щелчков удалённо изолирует хост, завершает процессы, запущенные открытым файлом, и начинает более глубокое расследование: кто, куда и откуда обращался и какой вред пытался нанести инфраструктуре организации.

Казалось бы, всё просто, но в то же время таргетированная атака была обнаружена и остановлена на ранней стадии.

Пример расследования инцидента

SMTP-инцидент

Однажды КАТА зафиксировала письмо с вредоносным вложением «Получите компенсацию расходов с ндс-eUk4OB81501.pdf». Тема письма: «ЛОТО ПРИЗ 2021». Отправитель: «zlmwgpe[@]maltofer.ch». Сигнатура срабатывания: «HEUR:Hoax.PDF.Phish.gen». Доставка письма осуществлялась с IP-адреса 183.230.255.2 — он числится в базе компрометации и имеет плохую репутацию (рис. 1).

Рисунок 1. Информация об объекте

Благодаря функциональным возможностям КАТА полученное письмо было загружено для анализа и его проверки силами аналитиков.

Любое вложение из КАТА загружается без расширения и в архиве с паролем, чтобы предотвратить срабатывание антивирусов и позволить собственноручно изучить файлы.

В поле отправителя сразу видно, что это фишинговое письмо, которое рассчитано на невнимательность и азарт людей (рис. 2).

Рисунок 2. Информация об отправителе

Вложение в письмо является типичным PDF-документом с короткой ссылкой, которая «вшита» в изображение. Естественно, неопытные или невнимательные сотрудники могли открыть данную страницу и попасть на URL «luwewewkoil.scdd[.]ru/elon.php» (рис. 3).

Рисунок 3. Фишинговый сайт

Ссылка представляет собой фишинговый сайт — подделку под лотерею «Столото». После перехода по этой ссылке фиксируются обращения к следующим доменам: «unslacked[.]xyz», «contestee[.]xyz». URL «luwewewkoil.scdd[.]ru/elon.php» числится в базе компрометации.

Оперативная реакция аналитиков позволила своевременно предупредить заказчика и дать рекомендации по устранению подобных писем. Благодаря использованию EDR открытия вредоносного вложения и обращения к опасным IP-адресам в инфраструктуре компании не произошло.

Эмуляция файла в Sandbox

После проверки файла в песочнице появляется карточка обнаружения Sandbox. На ней имеется информация о файле (имя, MD5, размер), о письме, в котором он был получен, и об обнаруженных при проверке сигнатурах (рис. 4).

Рисунок 4. Карточка обнаружения Sandbox

Записывается журнал DNS-активности для выявления обращений к ресурсам (рис. 5).

Рисунок 5. Запись в журнале DNS-активности

При запуске файла в песочнице строится дерево процессов с возможными техниками MITRE, которые использовались в конкретной атаке.

Рисунок 6. Дерево процессов

Для более подробного изучения имеется архив, в котором содержатся необходимые дампы памяти, истории запуска образца и последующих процессов.

Разбор инцидента по телеметрии EDR

После появления первого подозрительного события — в данном случае это mimikatz.exe — генерируется инцидент с обнаружением mimikatz (рис. 7).

Рисунок 7. Генерация инцидента

В истории имеются также предшествовавшие запуску mimikatz события (рис. 8).

Рисунок 8. Запись о событиях

Переходя глубже, можно увидеть подробную информацию о событиях и самостоятельно построить дерево из нужных по версии аналитика событий (рис. 9).

Рисунок 9. Информация о событиях

На данном этапе видно, какие команды были запущены при использовании mimikatz и по каким правилам была выставлена критическая важность событий.

Рисунок 10. Описание запущенных команд

В самом правиле описана важность, даны рекомендации по расследованию и указан идентификатор MITRE со ссылкой на данную технику.

Выводы

Простота и удобство использования КАТА помогают облегчить расследование и предотвращение APT-атак на корпоративных клиентов. В результате нескольких действий можно изолировать и подвергшийся нападению хост, и скомпрометированную подсеть, что позволяет исследовать и пресекать атаки на ранних этапах. Построение деревьев по выбранным процессам даёт возможность проследить все этапы проникновения и вероятного закрепления злоумышленника, в том числе миграцию под другие процессы или переход на другие хосты. Анализ трафика позволяет на самых ранних этапах выявить злоумышленников, очень быстро изучить файл (особенно когда счёт идёт на минуты) и начать расследовать события на хосте ещё даже до открытия файла.

От рассвета до заKATA. Обновляем KATA до версии 4.0 и 4.1

В конце 2021г вышла новая версия продуктов Kaspersky Anti Targeted Attack (KATA) Platform и Kaspersky Endpoint Detection and Response (KEDR) 4.0, а через полгода – версия 4.1.

Выход мажорной версии обычно подразумевает крупные изменения, также возможны изменения несовместимые с предыдущей версией.

Так как до выхода 4.0 в течении года актуальной была версия 3.7.2, а выход 4.1. произошел через полгода, после выхода 4.0, то очевидно, что большинство крупных изменений было введено в версии 4.0, а 4.1 в большей степени содержит исправление ошибок версии 4.0.

Таким образом в статье рассмотрим особенности перехода с версии 3.7.2 последовательно на версию 4.0 и затем на версию 4.1.

Что нового в KATA

У продуктов Лаборатории Касперского хорошая и всем доступная онлайн-справка, где перечислены все нововведения и ограничения версии 4.0, так и нововведения и ограничения версии 4.1. Новый функционал затрагивает как работу с обнаружениями, так и удобство использования KATA.

В новых версиях появились интересные возможности, которые наверняка найдут применение в повседневной эксплуатации продукта.

Так, наконец, в версии 4.0 появилась возможность использования доменных учетных записей для аутентификации в веб-интерфейсе KATA. Теперь не надо плодить дополнительные локальные учетные записи. Учет и контроль доступа к KATA значительно облегчится.

В версии 4.0 также появилась возможность автоматически отправлять файлы с хостов на проверку в Sandbox на основе выполнения правил TAA (IOA) “Лаборатории Касперского”. Данную фичу можно включать и отключать, а также наблюдать результаты отправки файлов на виджете.

В версии 4.1 в Sandbox в дополнении к трем виртуальным машинам с ОС Windows (XP, 7, и 10), появилась дополнительная виртуальная машина с операционной системой CentOS 7.8. При этом одновременно появилась возможность выбора используемых ВМ в Sandbox- либо только все ВМ с ОС Windows, либо все Windows + CentOS.

Полное описание новых возможностей, большая часть которых касается работы EDR, можно посмотреть по ссылкам, указанным выше.

Подготовка к обновлению

Стандартно, перед началом обновления рекомендуется выполнить:

Внеплановое резервное копирование виртуальных машин, для возможности восстановления системы в работоспособное состояние.

Резервное копирование настроек KATA c помощью средств CLI (GUI) и штатного механизма.

Сохранение TLS сертификатов сервера KATA, для дальнейшей установки его в систему КАТА. Это позволит сохранить текущие конфигурации агентов KEA и прочих систем, которые взаимодействуют с платформой.

Также рекомендуется сохранить скриншоты текущих настроек. Списки пользователей, паролей, исключения, пользовательские правила можно сохранить в текстовый файл путем копирования их из Web-интерфейса.

Порядок обновления

Предварительно рекомендуется провести тестирование обновления KATA в тестовой среде на стенде. В идеальном случае можно развернуть копию сервера и протестировать обновление на копии.

Обновление версии 3.7.2 выполняется путем последовательного запуска установки KATA версии 4.0 и 4.1 из файлов ISO поверх установленной версии 3.7.2 (4.0) с сохранением настроек.

В процессе установки будет обнаружена старая версия и будет предложено обновиться до новой.

Также в процессе обновления будет предложено обновить платформу, учитывая один из сценариев, где участвуют менее 5000 агентов KEA и больше 5000.

Сервер PCN обновляется без дополнительных изменений в распределенном режиме.

Сервера SCN перед обновлением необходимо перевести в автономное состояние (Standalone). После обновления сервера, необходимо будет заново переводить сервер в распределенную конфигурацию, подав запрос на авторизацию в PCN.

Sandbox КАТА версии 4.0, а затем и 4.1 использует более поздние версии ВМ, поэтому Sandbox подлежит полной переустановке с последующей интеграцией с CN.

Так как большое количество новых возможностей реализовано для хостов с компонентом Kaspersky Endpoint Agent для Windows версии 3.12 (для 4.0) и версии 3.13 для версии 4.1, то логично, для получения возможности использования всего нового функционала KATA 4.0 и 4.1, обновить агенты до версии 3.12 и 3.13 соответственно.

Старые версии KEA, начиная с версии 3.8 совместимы с KATA 4.1, но при этом объем передаваемых агентом данных ограничен.

Состав и объем данных, сохраняемых при обновлении программы с версии 3.7.2 до версии 4.0 и с версии 4.0 до версии 4.1

Тип данных

Данные, сохраняемые при обновлении

Параметры Central Node или PCN.

Все данные, кроме:
— лицензионных ключей;
— параметров интеграции с компонентом Sandbox;
— параметров интеграции с компонентом Sensor.

Базы данных программы на Central Node или PCN (база обнаружений, данные мониторинга работы программы, база пользовательских правил, задачи, политики, правила, добавленные в исключения).

Все данные, кроме:
— файлов, которые в момент обновления Kaspersky Anti Targeted Attack Platform до версии 4.1 находились в очереди на проверку;
— файлов, которые в момент обновления Kaspersky Anti Targeted Attack Platform до версии 4.1 находились в очереди на повторную проверку (rescan);
— данных отчетов.

Хранилище и карантин.

Процесс обновления

В нашем случае производилось обновление KATA 3.7.2 в распределенной конфигурации: один PCN, два SCN, и всего 11 Sandbox (без выделенных сенсоров). Все серверы были развернуты на виртуальных машинах.

Первоначально было произведено обновление до версии 4.0. В тот момент версия 4.1 еще не вышла, поэтому нам повезло поработать с версией 4.0, а затем обновиться до версии 4.1.

Далее описан процесс обновления до версии 4.0.

Перед обновлением боевых серверов провели тестирование обновления версии 3.7.2 на стенде. На вновь развернутом сервере все прошло быстро и штатно, без ошибок.

Перед началом обновления все CN перевели в standalone режим. Первым начали обновлять PCN.

Первая часть процесса прошла в штатном режиме. Была обнаружена старая версия, затем предложено обновиться. Были заданы все необходимые вопросы, после чего началось само обновление.

В этот момент нам пришлось набраться терпения – на экране иногда проскакивали сразу десятки строк, а иногда процесс останавливался на 10-20 минут. В итоге обновление происходило более 3-х часов, и завершилось без сообщений об ошибках.

После входа в Web-интерфейс появилась внутренняя ошибка сервера.

Для устранения ошибки произвели попытку сброса настроек: apt-sedr-reset. Выполнение данной команды продолжалось около 30 минут и к успешному результату не привело. Как выяснилось позже, в версии 4.0 (и в версии 4.1), после восстановления базы, необходимо в обязательном порядке для переназначения идентификаторов выполнять следующую команду:

apt-settings-manager set —merge /configuration/agent_server \

После неудачи восстановили сервер из резервной копии и произвели повторную попытку обновления PCN. Более 3-х часов ожидания та же самая внутренняя ошибка сервера и снова восстановление сервера из резервной копии.

Учитывая, что две попытки обновления заняли весь рабочий день и не привели к успеху, возможным вариантом выхода из текущей ситуации была переустановка серверов KATA с нуля. Так же, при принятии решения о переустановке CN с нуля, учитывали следующие моменты:

в целом в KATA производится небольшое фиксированное количество настроек, которые легко настроить заново;

переустановка и настройка серверов CN KATA, в нашем случае, занимает гораздо меньше времени, чем обновление;

время переустановки серверов CN незначительно, по сравнению с переустановкой 11-ти серверов Sandbox;

у нас не было большого количества пользовательских правил и исключений. При этом правила можно импортировать из заранее сохраненного списка;

при переустановке теряются ранее зафиксированные KATA обнаружения. У нас обнаружения передавались и хранились в SIEM, так что их потеря в KATA не являлась критичной;

потеря данных мониторинга работы программы не критична;

количество интеграций с внешними системами легко восстанавливается;

агенты KEA легко подключаются заново групповой политикой в KSC.

Как и ожидалось, установка PCN и одного SCN с нуля прошла быстро, приступили к установке Sandbox. Процесс установки образов ВМ длительный, ошибок при установке не было. Однако после подключения SB к CN из 10-ти SB у 5-ти получили ошибку всех трех образов на Sandbox.

Перезагрузка Sandbox к устранению ошибки не приводила. Произвели повторную переустановку Sandbox. При этом устанавливали строго по одному образу, после каждого установленного образа производили перезагрузку SB. Такие «танцы с бубном» привели к нормальной установке еще 4-х SB, однако один SB так и остался с ошибками, которые устранили позже, в результате длительной переписки с вендором.

Третий SCN переустановили и подключили позже и также не без приключений.

В итоге процесс перехода на KATA 4.0 был завершен, трафик запущен.

При переходе на версию 4.1 уже решили судьбу не испытывать, и сразу переустановили все сервера на версию 4.1 с последующей настройкой.

В случае обновления с любой ранней версии на версию 4.1 рекомендуется полная переустановка всех серверов на версию 4.1 с последующей настройкой всех параметров и интеграций «вручную».

Особенности работы новых версий KATA (лайфхаки)

В процессе установки и эксплуатации KATA 4.0 и 4.1 столкнулись с некоторыми особенностями работы новых версий KATA.

Подключение распределенного SCN

При подключении SCN расположенного в другой контролируемой зоне выяснилось, что в отличии от версии 3.7.2, в KATA версии 4.0 для подключения SCN к PCN необходимо дополнительно открывать порт TCP 8443 в обе стороны.

Также, если у вас есть интеграция KATA с KPSN, сначала необходимо подключать все SCN к PCN и только после этого производить интеграцию PCN с KPSN. В противном случае, получаем ошибку подключения SCN к PCN. На самом деле, такое поведение не является особенностью версии 4.0: оно проявлялось также в версии 3.7.2. Просто надо об этом не забывать.

Использование собственного TLS сертификата

Если при эксплуатации KATA планируется использовать собственный TLS сертификат, то рекомендуется подготовить файл сертификата заранее и загрузить его в процессе первоначальной установки PCN.

Файл TLS-сертификата, предназначенный для загрузки, должен удовлетворять следующим требованиям:

Файл должен содержать сам сертификат и закрытый ключ шифрования соединения.

Файл должен иметь формат PEM.

Длина закрытого ключа должна быть 2048 бит или более.

Загрузить собственный сертификат можно и позже, но это приведет к повторной интеграции всех SCN, Sandbox, агентов KEA, почтовых сенсоров, и других подключаемых к KATA программ Лаборатории Касперского.

Ошибки всех образов на Sandbox

Время от времени на разных Sandbox возникает ошибка сразу всех образов виртуальных машин. При первом появлении, о чем я писал выше, перезагрузка Sandbox не устраняла ошибку. Специалисты техподдержки выяснили, что происходит некорректное обновление баз Sandbox в результате чего и возникает ошибка. В нашем случае обновление баз было настроено через PCN, который в свою очередь обновлялся через proxy-сервер.

По рекомендации вендора на проблемном Sandbox настроили прямое обновление баз через malware-интерфейс. После обновления баз и перезагрузки SB ошибка ушла.

Позже выяснили, что Proxy-сервер, через который производилось обновление баз SB, блокировал загрузку исполняемых файлов в обновлениях. Данную блокировку исключили для PCN.

Также обнаружили, что для Sandbox в версии 4.0 проявлялась ошибка подвисания worker service, которая была исправлена в версии 4.1.

Подключение KSMG

После перехода на версию KATA 4.0 заказчик интегрировал с KATA пилотируемый у них Kaspersky Server Mail Gateway.

Первоначальное подключение KSMG привело к появлению в окне мониторинга графика от нового источника Kaspersky Mail Sensor и скачку времени обработки трафика на Sandbox.

Позже опытным путем выяснили, что скачок времени обработки происходил каждый раз, при интеграции (или повторной интеграции) KSMG с KATA. Чрез 1-2 часа время обработки стабилизировалось и стало чуть больше обычного, что естественно связано с увеличением количества обрабатываемых файлов на Sandbox при подключении трафика KSMG.

В процессе выяснения причин увеличения времени обработки трафика и экспериментов с повторной интеграцией KSMG, график от Kaspersky Mail Sensor, как и сам источник, пропал, и восстановить его так и не удалось. При этом обработка трафика с KSMG происходила штатно, ошибок нет.

В версии 4.1 проблему интеграции KATA с KSMG так до конца решить не удалось. График не появился, а интеграция время от времени подвисает.

Скачивание журналов системы с Sandbox

Через некоторое время работы KATA 4.0 заметили, что стандартный вариант скачивания журнала системы с Sandbox, с использованием меню – «Администрирование – Журнал системы – Скачать», приводит к появлению ошибки сети – Network Error. При анализе видно, что скачивается чуть больше гигабайта, после чего появляется ошибка. Если размер меньше гигабайта, журнал скачивается нормально.

В результате переписки вендор подтвердил, что существует техническое ограничение на размер скачиваемого через web-интерфейс журнала системы. Изменить это ограничение невозможно, в т.ч. и в версии 4.1, т.к. могут возникнуть проблемы с производительностью и работоспособностью SB в целом.

В этом случае собирать и забирать журнал системы необходимо из CLI, используя следующую последовательность действий:

Запустите команду sudo sb-logs —create ‘/tmp’ ‘-7’ , где -7 — количество дней, за которые собирать лог. После завершения выполнения команда выведет путь к collect-логу.

Выполните команду chmod 777 <путь к collect-логу>

Скачайте лог через scp: scp admin@:/tmp/<название collect-архива>

Данное ограничение на размер скачиваемого через web-интерфейс журнала системы также осталось и для Sandbox версии 4.1

Уменьшение количества обнаружений

После установки KATA 4.0 столкнулись с тем, что довольно долго не было обнаружений в окне мониторинга офицера безопасности. Мы даже проверяли работу KATA при помощи тестовой вредоносной программы eicar.

Позже выяснили, что в KATA 4.0 действительно проводилась оптимизация обнаружений, с целью уменьшения ложноположительных срабатываний.

Аналогичная особенность присуща и версии 4.1

Итоги и рекомендации

KATA 4.1 с компонентом Kaspersky Endpoint Agent для Windows версии 3.13 и Kaspersky Endpoint Agent для Linux 3.12 предоставляет достаточно большое количество обновленных интересных возможностей, так что переход на новую версию видится целесообразным.

В целом версия 4.1 работает более стабильно, хотя не все проблемы удалось решить. Тем не менее не решенные проблемы KATA могут вас совсем не коснуться.

При переходе на новую версию KATA внимательно присмотритесь к варианту полной переустановки серверов CN, что может позволить сэкономить значительное количество времени и получить «чистую» систему. Сервера Sandbox переустанавливаются в любом случае.

Тем более переустановку целесообразно делать, если вы переходите на версию KATA 4.1 с версии 3.7.2 – просто ставите сразу версию 4.1, без промежуточной установки версии 4.0.

Устаревшие агенты KEA подключаете групповой политикой сразу после переустановки KATA и планируете время на установку последней версии KEA.