Збір даних

Параметри збирання даних впливають на те, як дані зберігаються в базі даних.

Незалежно від параметрів, вибраних користувачем, усі низькорівневі необроблені події збираються на робочих станціях, надсилаються на сервер і обробляються механізмом правил, який генерує виявлення (коли це необхідно).

Якщо виявлення генерується для певної події, ця конкретна подія також зберігається в базі даних незалежно від вибраного параметра збирання даних. Для подій, які обробляються механізмом правил без активації виявлення, застосовуються такі параметри збирання даних:

Зберігати всі доступні дані

Усі зібрані низькорівневі необроблені події зберігаються в базі даних. Якщо використовується цей параметр, створюється велика база даних, проте можна детально розслідувати можливі інциденти, оскільки аналітикам доступна інформація про всі дії, які виконувалися в системі, незалежно від того, чи були вони раніше позначені програмою як підозрілі.

Цей параметр дає змогу використовувати всі функції програми (наприклад, ретроспективний пошук, виконання запитів Threat Hunting або повторний запуск наявних чи спеціальних правил для даних).

Зберігати найважливіші дані

Зберігає всі дані, пов’язані з процесами (наприклад, зберігаються дані про всі процеси, виконані на робочих станціях, разом з їхніми властивостями, такими як командний рядок тощо). Окрім того, обмежується зберігання низькорівневих подій, створених процесами: зберігаються лише ті події, які генерують виявлення. Це означає, що аналітикам будуть доступні повні дерева процесів для розслідування (зверніть увагу на відповідні налаштування для періоду зберігання даних). Проте аналітикам доступні тільки ті дії процесів (запис на диск, запис у реєстр, підключення до мережі тощо), які явно виявлені правилом.

Це може призвести до ситуації, коли будуть доступні відомості про мережеве підключення (виявлене правилом), проте неможливо дізнатися, що завантажений файл було записано на диск (якщо конкретну операцію запису файлу не було виявлено іншим правилом). Так само неможливо буде за допомогою ретроспективного пошуку знайти ідентифікатори компрометації, які не пов’язані з процесом або файлом і не були виявлені правилом раніше. Наприклад, можна буде знайти хеш файлу або фрагмент командного рядка, але не операцію запису в реєстр.

Припустимо, через використання цього параметра ви пропустили певні важливі події. У цьому разі можна налаштувати цей параметр, створивши спеціальні правила (зазвичай із низьким рівнем серйозності, який ви ігноруватимете під час моніторингу), які виявлятимуть виключно ті події, що вас цікавлять, і зберігатимуть ці низькорівневі події в базі даних.

Зберігати лише дані, безпосередньо пов’язані з виявленими об’єктами

Якщо використовується цей параметр, зберігаються лише ті дані про низькорівневі події, які явно виявлені правилом. У цьому режимі створюється база даних найменшого розміру. Це стосується як дій (наприклад, запис на диск, запис у реєстр, підключення до мережі тощо), так і до самих процесів (виконання процесу, командний рядок тощо). Однак, якщо виявлення ініціюється для процесу, пов’язаних з ним даних, а також для даних, пов’язаних зі всіма батьківськими процесами, у базі даних зберігається дерево процесів і прямі дочірні процеси. (Зберігання даних, пов’язаних із процесом, для цих додаткових процесів не призводить до зберігання інших даних, наприклад подій, які пов’язані з дією). У базі даних не зберігається інформація про всі інші процеси.

Це означає, що як і у випадку з використанням параметра "Зберігати найважливіші дані", можуть бути недоступні відомості про певні дії, а також процеси, які явно не були виявлені правилом (і не входять у ту збережену частину дерева процесів, про яку йшлося вище) з відповідними наслідками. У дереві процесів не відображаються процеси для збережених даних.

Можливість ретроспективного пошуку індикаторів компрометації буде мінімальною, оскільки не відображатимуться ані індикатори компрометації, пов’язані з діями, ані індикатори компрометації, пов’язані з властивостями процесу (командний рядок тощо), якщо вони не були виявлені правилом раніше.

Як було зазначено для попереднього варіанта, можна налаштувати цей параметр, створивши спеціальні правила (зазвичай із низьким рівнем серйозності, який ви ігноруватимете під час моніторингу), які виявлятимуть ті події, що вас цікавлять (зокрема, виконання процесу), і зберігатимуть ці низькорівневі події в базі даних.

Зберігати найважливіші дані / Зберігати лише дані, безпосередньо пов’язані з виявленими об’єктами

Деякі функції обмежено:

•Подання подій

•Агреговане подання подій

•Фонові завдання

•Подання сценаріїв

•Пошук

Мета полягає в тому, щоб контролювати розмір бази даних. Користувач вибирає певний баланс між розміром бази даних і деякими розширеними параметрами.

Для ІТ-адміністраторів рекомендовано використовувати параметр Зберігати лише дані, безпосередньо пов’язані з виявленими об’єктами.

Щоб змінити категорії даних, які зберігаються в базі даних, у розділі "Колекція бази даних" виберіть Адміністратор > Параметри сервера.

Збереження даних

Виберіть час, протягом якого дані зберігатимуться в базі даних Що довше період, то більшою за розміром буде база даних на момент очищення старих даних.

Виберіть період, протягом якого потрібно зберігати дані в базі даних. За замовчуванням задано період три місяці.

Виберіть період, протягом якого потрібно зберігати низькорівневі дані в базі даних. За замовчуванням задано період один місяць. Дані низького рівня становлять більшу частину розміру бази даних, тому вони мають бути якомога коротшими. Це обмежує лише детальне дослідження даних, які не були визначені програмою як підозрілі під час видалення.

Щоб змінити цей параметр, у розділі "Очищення бази даних" виберіть Адміністратор > Параметри сервера.

Можливості телеметрії

ESET Inspect Connector збирає низькорівневі телеметричні дані з робочих станцій. У наведених нижче розділах описано категорії телеметрії і статус їх підтримки.

Активність процесу

•Створення й завершення процесу

•Доступ до процесу (лише для процесу LSASS.exe)

•Завантаження образу/бібліотеки

•Віддалене створення потоку

•Телеметрія Win32 API (обмежений набір API)

Змінення файлу

•Створення файлу (лише для виконуваних файлів, збережених на диску)

•Видалення файлу

•Зміна файлу

•Перейменування файлу

Дії в обліковому записі користувача

•Створення, змінення й видалення локального облікового запису

•Вхід в обліковий запис і вихід із нього

Мережева активність

•Підключення TCP

•URL-адреса

•Запит DNS

•Завантаження файлу (лише для виконуваних файлів)

Алгоритми хешування

•MD5

•SHA

Дії з реєстром

•Створення, змінення й видалення ключів/значень

Заплановане завдання й активність служб

•Створення запланованого завдання

•Створення служби

Дії драйвера

•Завантаження драйвера

Операції з пристроєм

•Монтування віртуального диска

Дії з іменованим каналом

•Створення каналу

Активність WMI

•Споживач події WMI

•Фільтр подій WMI

•Прив’язка споживача подій WMI до фільтра

Інша телеметрія

•Видалення тіньової копії тому

•Активність BIT JOBS

•Активність блоку сценаріїв PowerShell

•Інсталяція, видалення, підтримка роботи з’єднувача й помилки

˄˅