# Техническое ПМИ KATA 7.* - проверка всех технологий, что они работают

## IDS‑обнаружения (SPAN)

<span style="white-space: pre-wrap;">Для проверки IDS‑обнаружений (SPAN) можно использовать утилиту </span>`<span class="editor-theme-code">tcpreplay</span>`<span style="white-space: pre-wrap;"> на сервере, сконфигурированном для получения трафика SPAN.</span>

<span style="white-space: pre-wrap;">Пакет </span>`<span class="editor-theme-code">tcpreplay</span>`<span style="white-space: pre-wrap;"> не устанавливается по умолчанию, поэтому его нужно установить вручную. Следуйте инструкции ниже:</span>

1. <span style="white-space: pre-wrap;">Скачайте пакет </span>`<span class="editor-theme-code">tcpreplay_4.3.2‑1build1_amd64.deb</span>`<span style="white-space: pre-wrap;"> </span>[по ссылке](https://box.kaspersky.com/seafhttp/f/ea9a686b0aae4eb6a88e/?op=view).
2. <span style="white-space: pre-wrap;">Скопируйте загруженный файл на узел KATA, например с помощью </span>`<span class="editor-theme-code">scp</span>`:```
    [user@host]$ scp <your-path>/tcpreplay_4.3.2-1build1_amd64.deb admin@<kata‑ip>:/tmp
    ```
3. Установите пакет на узле KATA командой:```
    [admin@katahost]$ sudo dpkg -i /tmp/tcpreplay_4.3.2-1build1_amd64.deb
    ```

<span style="white-space: pre-wrap;">После установки вы сможете использовать </span>`<span class="editor-theme-code">tcpreplay</span>`<span style="white-space: pre-wrap;"> на KATA.</span>

### Проверка трафика EICAR

<span style="white-space: pre-wrap;">Загрузите пример </span>[EICAR-Test-File\_TCP.pcap](https://box.kaspersky.com/seafhttp/f/83b2ab4929854a718365/?op=view)<span style="white-space: pre-wrap;"> на сервер с SPAN‑интерфейсом, затем выполните команду от имени </span>`<span class="editor-theme-code">root</span>`:

```
tcpreplay -i ens34 EICAR-Test-File_TCP.pcap    # ens34 в этом примере — SPAN‑интерфейс
```

### Проверка трафика Nmap

<span style="white-space: pre-wrap;">Сценарий такой же, как для Eicar, только используется другой файл </span>`<span class="editor-theme-code">.pcap</span>`<span style="white-space: pre-wrap;"> (</span>[HackTool.Nmap.HTTP.C&amp;C.pcap](https://box.kaspersky.com/seafhttp/f/d552d93ccb3c48c784de/?op=view)).

После тестирования детектов по SPAN рекомендуем отключить tx‑capture обратно тем же способом, что и при включении.

## AM Engine

Для проверки антивирусного (AM) движка используйте тестовый файл EICAR ([www.eicar.com](https://www.eicar.com/)).

- ****Почта:****<span style="white-space: pre-wrap;"> отправьте файл EICAR по SMTP на порт 25 узла KATA (</span>[обработка SMTP должна быть включена](https://support.kaspersky.com/help/KATA/7.1/ru-RU/247534.htm)<span style="white-space: pre-wrap;">). Для простоты можно воспользоваться локальным клиентом </span>`<span class="editor-theme-code">swaks</span>`<span style="white-space: pre-wrap;"> на узле Central Node, чтобы не настраивать почтовую систему.</span>

<span style="white-space: pre-wrap;">Пример использования </span>`<span class="editor-theme-code">swaks</span>`:

```
swaks --server 127.0.0.1 --port 25 --from antony@test.org --to cleopatra@test.org --attach eicar.com
swaks --server 127.0.0.1 --port 25 --from antony@test.org --to cleopatra@test.org --body "link_to_EICAR_here"
```

- ****Конечная точка:****<span style="white-space: pre-wrap;"> поместите файл EICAR на рабочую станцию и отправьте его в очередь на проверку при помощи задания GetFile.</span>

## Обнаружения YARA

По умолчанию в продукте нет правил YARA. Для тестирования можно использовать тестовое правило из документации YARA ([writingrules](https://yara.readthedocs.io/en/v4.1.0/writingrules.html)):

```
rule ExampleRule
{
    strings:
        $my_text_string = "text here"
        $my_hex_string  = { E2 34 A1 C8 23 FB }
    condition:
        $my_text_string or $my_hex_string
}
```

<span style="white-space: pre-wrap;">Это правило отметит любой анализируемый объект, содержащий строки </span>`<span class="editor-theme-code">$my_text_string</span>`<span style="white-space: pre-wrap;"> или </span>`<span class="editor-theme-code">$my_hex_string</span>`.

## Обнаружения TAA (IoA)

Проверка детектов IoA возможна только при наличии лицензии KEDR.

- <span style="white-space: pre-wrap;">Скопируйте файл </span>`<span class="editor-theme-code">.bat</span>`<span style="white-space: pre-wrap;"> из прикреплённого архива </span>[Test\_IOA.rar](https://box.kaspersky.com/seafhttp/f/4fbe7b7811ad45a7afd5/?op=view)<span style="white-space: pre-wrap;"> (пароль not\_infected) в любую папку на хосте с установленным EDR и запустите его. Через несколько минут (KATA требуется время на передачу и обработку телеметрии) проверьте оповещения в KATA. В алерте должен быть тип </span>`<span class="editor-theme-code">ioa_test_detect</span>`<span style="white-space: pre-wrap;">. Если тестировать IoA на этом хосте повторно, файл </span>`<span class="editor-theme-code">.bat</span>`<span style="white-space: pre-wrap;"> необходимо размещать в разные папки.</span>
- <span style="white-space: pre-wrap;">На хосте с установленным KEA выполните в </span>`<span class="editor-theme-code">cmd.exe</span>`<span style="white-space: pre-wrap;"> команду:</span>```
    wmic.exe "sfdgcall uninstallkasperskyblabla"
    ```
    
    Команда завершится ошибкой, но это не важно. Через несколько минут в веб‑интерфейсе KATA появится новое IoA‑срабатывание.

## Обнаружения TAA по цепочке событий

<span style="white-space: pre-wrap;">Чтобы проверить TAA‑срабатывания по цепочке событий, сначала убедитесь, что эта функция </span>[включена в веб‑интерфейсе KATA](https://support.kaspersky.com/KATA/7.1/ru-RU/277403.htm)<span style="white-space: pre-wrap;"> (и что ресурсы заказчика позволяют её включить).</span>

<span style="white-space: pre-wrap;">Затем на одной из подключённых машин EDR распакуйте архивы и запустите сценарии </span>`<span class="editor-theme-code">.bat</span>`:

- [short\_term\_user\_creation\_complex.7z](https://box.kaspersky.com/seafhttp/f/0c2483f2393348c4965f/?op=view)
- [multiple\_login\_attempts\_with\_the\_same\_account\_complex.7z](https://box.kaspersky.com/seafhttp/f/e6a9c716ffb34889968b/?op=view)

## Обнаружения IoC

<span style="white-space: pre-wrap;">Для тестирования можно использовать собственное правило: архив </span>[Ioctest.zip](https://box.kaspersky.com/seafhttp/f/6b1aa0b410f14543b36b/?op=view)<span style="white-space: pre-wrap;"> (пароль </span>**infected123**<span style="white-space: pre-wrap;">) срабатывает на запуск </span>`<span class="editor-theme-code">c:\windows\system32\calc.exe</span>`.

## Автоматическая песочница в EDR

Для проверки автоматической песочницы:

- <span style="white-space: pre-wrap;">Распакуйте архив с образцом и используйте пароль для образцов по умолчанию: </span>[autosbtest.zip](https://box.kaspersky.com/seafhttp/f/88ad9bb3cc044dccbb1c/?op=view).
- ****Важно:****<span style="white-space: pre-wrap;"> не меняйте MD5‑хэш образца.</span>
- <span style="white-space: pre-wrap;">Запустите образец на защищённом EDR хосте и дождитесь автоматического срабатывания песочницы (verdict </span>**Suspicious Activity**).  
    [![image.png.83a810c191dfb9803da37a6dc2551adf.png](https://antiapt-community.ru/uploads/images/gallery/2025-09/scaled-1680-/3GmiJ4Vnfw69hZDk-image-png-83a810c191dfb9803da37a6dc2551adf.png)](https://antiapt-community.ru/uploads/images/gallery/2025-09/scaled-1680-/3GmiJ4Vnfw69hZDk-image-png-83a810c191dfb9803da37a6dc2551adf.png)

****Для KESL:****<span style="white-space: pre-wrap;"> используйте файлы из архива, чтобы вызвать срабатывание песочницы и KESL:</span>

- <span style="white-space: pre-wrap;">Распакуйте архив </span>[test\_ioa\_sb\_linux.7z](https://box.kaspersky.com/seafhttp/f/16c3242c33094a1fb9b2/?op=view)<span style="white-space: pre-wrap;"> (пароль «infected») и скопируйте скрипт </span>`<span class="editor-theme-code">test_ioa_sb_linux.sh</span>`<span style="white-space: pre-wrap;"> вместе с файлом </span>`<span class="editor-theme-code">kl_kata_demo_starter</span>`<span style="white-space: pre-wrap;"> на хост с KESL (например, через WinSCP).</span>
- Проверьте разрешения на файлы: если они не исполняемые, выполните команду:```
    sudo chmod 777 <файл>
    ```
- <span style="white-space: pre-wrap;">Запустите скрипт командой </span>`<span class="editor-theme-code">./test_ioa_sb_linux.sh</span>`<span style="white-space: pre-wrap;"> и дождитесь появления алерта в KATA.</span>

## Проверка песочницы (Sandbox detect)

<span style="white-space: pre-wrap;">Для проверки песочницы можно использовать файл </span>`<span class="editor-theme-code">SA_sleep.exe</span>`<span style="white-space: pre-wrap;"> из архива </span>[no\_am\_detection sample.rar](https://box.kaspersky.com/seafhttp/f/31bf730e9a16463eb0ce/?op=view). Пароль хранится в текстовом документе внутри архива.

1. Перейдите в веб‑интерфейс старшего офицера безопасности KATA.
2. <span style="white-space: pre-wrap;">Выберите меню </span>****Хранилище → Загрузить****<span style="white-space: pre-wrap;"> и загрузите файл </span>`<span class="editor-theme-code">SA_sleep.exe</span>`<span style="white-space: pre-wrap;"> из архива для проверки KATA.</span>
3. <span style="white-space: pre-wrap;">KATA поместит его в песочницу, и чуть позже SB должен вынести вердикт </span>****Подозрительная активность****.
4. <span style="white-space: pre-wrap;">Если для </span>`<span class="editor-theme-code">SA_sleep.exe</span>`<span style="white-space: pre-wrap;"> выдается вердикт «Not detected», используйте сценарий </span>`<span class="editor-theme-code">test_sb.bat</span>`<span style="white-space: pre-wrap;"> из архива </span>[test\_sb.zip](https://box.kaspersky.com/seafhttp/f/17cc052b6eed425596b4/?op=view).

## Проверка репутации URL

<span style="white-space: pre-wrap;">Сначала убедитесь, что K(P)SN настроен и работает корректно. В этом примере хэш MD5 должен возвращать статус </span>**UnTrusted**. Для проверки используйте команды:

```
Для KATA 4.+ и 5.0:
docker exec -it $(docker ps | grep ksn_proxy | awk '{print $1}') /opt/kaspersky/apt-ksn_proxy/sbin/ksn_client --ip 127.0.0.1 --hash 9C642C5B111EE85A6BCCFFC7AF896A51

Для KATA 5.1:
docker exec -it $(docker ps | grep ksn_proxy | awk '{print $1}') /opt/kaspersky/apt-ksn-proxy/sbin/ksn_client --ip 127.0.0.1 --hash 9C642C5B111EE85A6BCCFFC7AF896A51
```

Затем:

- ****Трафик:****<span style="white-space: pre-wrap;"> перейдите по адресу </span>[http://bug.qainfo.ru/TesT/Aphish\_w/index](http://bug.qainfo.ru/TesT/Aphish_w/index).
- ****Почта**** ([SMTP‑обработка должна быть включена](https://support.kaspersky.com/help/KATA/7.1/ru-RU/247534.htm)<span style="white-space: pre-wrap;">): отправьте ссылку из примера по электронной почте. Быстрый тест можно сделать с помощью команды </span>`<span class="editor-theme-code">swaks</span>`:

```
swaks --server 127.0.0.1 --port 25 --from fisherman@test.org --to cleopatra@test.org --body "http://bug.qainfo.ru/TesT/Aphish_w/index"
```