Типы задач
Обзор
Каждая задача содержит два основных первоначальных параметра:
Модуль, для которого создается задача.
Инструмент, используемый в рамках модуля и выполняющий определенную функцию.
Описание типов задач ниже построено в разрезе модулей и используемых в них инструментов.
EDR (ОС)
Monitoring
Позволяет отслеживать события в операционной системе на стороне агента и сканировать процессы и файлы с помощью правил, которые загружаются в виде источников данных.
В веб-интерфейсе BI.ZONE EDR в качестве результата отображается статус выполнения задачи. Найденные по правилам события и алерты помещаются в стороннюю систему в выбранные очереди kafka или syslog. Подробнее см. раздел Проверка работы алертов на примере EDR Windows. Обнаруженные в событиях детекты помещаются в раздел Алерты.
Для этого типа задач есть следующие типы содержимого источников данных:
Правила сбора телеметрии.
Правила обнаружения и реагирования.
Yara-правила.
Diagnostics (Linux и macOS)
Позволяет получать полную и актуальную информацию о поведении инструмента EDR Core (Linux) и EDR (macOS): Monitoring, необходимую для устранения неполадок на стороне клиента — например, при возникновении проблем, связанных со скоростью работы модуля. Обратите внимание, что для запуска задачи типа Diagnostics должна быть предварительно запущена и выполняться задача типа Monitoring на том же агенте.
One-shot
One-shot осуществляют разовый сбор метрик объектов инвентаризации на конечной точке. В приложении в качестве результата отображается статус выполнения задачи. Найденные по правилам события и алерты помещаются в выбранные очереди kafka или syslog.
Метрики задаются через:
EDR-правила, которые можно передавать в виде файла, ручного текста с использованием переменных подстановок, источника данных.
Примечание: для EDR Windows: One-shot доступен только источник данных.YARA-правил, которые можно передавать в виде конфигурационного файла, ручного текста с использованием переменных подстановок, источника данных.
IOC-индикаторы, которые можно передавать в виде источника данных.
Network Scanner
One-shot
Инструмент для анализа сети, который позволяет:
Анализировать сетевую активность.
Обнаруживать активные хосты.
Определять открытые порты и их использование.
Идентифицировать запущенные приложения и протоколы на найденных устройствах.
Deception
Decoys
Позволяет создавать ловушки (decoys) для возможных злоумышленников с целью привлечения внимания и раннего выявления атаки на инфраструктуру. Параметры создаваемых ловушек описаны в источнике данных Deception Config.
SIEM Collector
Monitoring
Позволяет собирать произвольные события (логи) с источников по определенным параметрам, описанным в источнике данных SIEM Collector Config. Найденные по правилам события помещаются в стороннюю систему в выбранные очереди kafka или syslog.
Diagnostics
Позволяет получать полную и актуальную информацию о поведении инструмента SIEM Collector: Monitoring, необходимую для устранения неполадок на стороне клиента — например, при возникновении проблем, связанных со скоростью работы модуля. Для запуска задачи типа Diagnostics должна быть предварительно запущена и выполняться задача типа Monitoring на том же агенте.
ICS/IoT Security
Monitoring
Позволяет обеспечить информационную безопасность на предприятиях с автоматизированной системой управления технологическим процессом (АСУ ТП). События для отправки в kafka или syslog настраиваются с помощью источника данных: ICS/IoT Security config (Конфигурация АСУ ТП).
One-shot
Осуществляет разовый сбор метрик объектов инвентаризации на предприятиях с автоматизированной системой управления технологическим процессом (АСУ ТП). События для отправки в kafka или syslog настраиваются с помощью источника данных: ICS/IoT Security config (Конфигурация АСУ ТП).
ZTNA
VPN
Позволяет реализовать безопасное соединение с конечной точкой на основе концепции «нулевого доверия» и собирать диагностические сообщения по параметрам, описанным в источниках данных ZTNA environment и ZTNA alert configuration.
Command line
Позволяет запускать консольные команды на конечном устройстве. Результатом задачи является текст результата выполнения команды.
File grabber
Get tree
Позволяет получить данные об иерархии заданной директории, включая вложенные файлы и директории. Результатом задачи является текст с информацией об иерархии.
File/folder download
Позволяет скачивать файл или папку с конечного устройства. Результатом задачи является файл или архив (если скачивается папка).
Multiple file/folder download
Позволяет скачивать несколько файлов или папок с конечного устройства. Путь к файлу или папке можно задавать в том числе с использованием поисковых шаблонов Wildcards. Результатом задачи являются файлы и/или архивы (в случае скачивания папок).
File upload
Позволяет загружать файл или несколько файлов в виде архива в указанную папку на конечном устройстве. В веб-интерфейсе BI.ZONE EDR будет отображен результат выполнения задачи (успешная загрузка или загрузка с ошибкой).
Files search
Позволяет искать файлы с определенным названием. В задаче указывается перечень шаблонов, которые могут встречаться в названиях файлов.
Поиск файлов проводится
как по всей системе (если не задавать конкретную директорию);
так и в заданной конкретной директории (и ее поддиректориям).
В результате задаче отобразится список найденных файлов с указанием полного пути.
Get properties
Позволяет получить информацию о свойствах заданного файла или папки на конечном устройстве. Результатом задачи является текст, содержащий свойства файла или папки (такие как имя, путь к файлу, размер и другие).
Delete files/folder
Позволяет удалять файлы на конечном устройстве. В веб-интерфейсе BI.ZONE EDR будет отображен результат выполнения задачи (удаление).
Внутренние задачи
Управление авторизацией
Позволяет авторизовать или деавторизовать агенты.
Управление самозащитой
Позволяет включить или отключить самозащиту у агентов.
Обновление агента
Позволяет устанавливать определенную версию на агенты.
Установка/обновление версии модуля
Позволяет устанавливать и/или обновлять определенную версию модуля на агентах.