Сравнение российских EDR-систем

Есть условия или подтверждена часть сценария

Задача Monitoring отслеживает события ОС и сканирует процессы; набор полей процесса (включая родителя и командную строку) требует таблицы событий для конкретного модуля/ОС.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Типы задач | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие поля событий процессов доступны (PID, родитель, командная строка, пользователь), для каких ОС и версий агента?

Есть по документации

Модель событий включает процессы, файлы, сеть, DNS, реестр, AMSI, Linux/Windows Event Log и действия агента. Модель не доказывает одинаковый набор событий всех ОС. Connection Close может существенно увеличить нагрузку.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Модель данных событий ; Модель событий включает процессы, файлы, сеть, DNS, реестр, AMSI, Linux/Windows Event Log и действия агента.

Документация ↗

Есть условия или подтверждена часть сценария

EPP-компоненты наблюдают процессы, открытые сетевые соединения и изменяемые файлы. Описание архитектуры не доказывает произвольный поиск по всей истории или полный захват трафика.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Архитектура решения; EPP-компоненты наблюдают процессы, открытые сетевые соединения и изменяемые файлы.

Документация ↗

Есть условия или подтверждена часть сценария

Сбор процессов Windows через Sysmon/EventLog/ETW и Linux auditd/eBPF. eBPF требует ядро от 5.1; Debian 10 и МОС 12 исключены, Astra 1.8 требует BTF.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Сбор данных с помощью eBPF · MaxPatrol EDR · Справочный портал; Коррелятор · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

С.71–73: JSON-модель событий содержит PID/PPID/командную строку, сетевые адреса/порты/DNS, файловые пути/хеши/атрибуты. Схема полей не означает одинаковую детализацию всех ОС; поток ограничивается профилем безопасности.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.71–73: JSON-модель событий содержит PID/PPID/командную строку, сетевые адреса/порты/DNS, файловые пути/хеши/атрибуты.

Документация ↗

Есть условия или подтверждена часть сценария

Настройка сбора событий создания процессов Linux/macOS; наличие PID/PPID/командной строки и эквивалентный native-сбор Windows пока не подтверждены.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Пользователи и процессы → Создание процессов (Linux/macOS)

Документация ↗

Что уточнить: Какие поля событий процессов доступны (PID, родитель, командная строка, пользователь), для каких ОС и версий агента?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие поля событий процессов доступны (PID, родитель, командная строка, пользователь), для каких ОС и версий агента?

Требует уточнения

Портал описывает сбор телеметрии и задачи Monitoring, но в проверенных разделах нет достаточной таблицы файловых/сетевых событий текущих модулей. Старые руководства EDR.Core не привязаны к 1.40.1.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Какие файловые и сетевые события собирает агент каждой ОС? Нужна таблица типов/полей и фильтров сбора.

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие файловые и сетевые события собирает агент каждой ОС? Нужна таблица типов/полей и фильтров сбора.

Есть условия или подтверждена часть сценария

Модель событий включает процессы, файлы, сеть, DNS, реестр, AMSI, Linux/Windows Event Log и действия агента. Модель не доказывает одинаковый набор событий всех ОС. Connection Close может существенно увеличить нагрузку.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Модель данных событий ; Модель событий включает процессы, файлы, сеть, DNS, реестр, AMSI, Linux/Windows Event Log и действия агента.

Документация ↗

Есть условия или подтверждена часть сценария

EPP-компоненты наблюдают процессы, открытые сетевые соединения и изменяемые файлы. Описание архитектуры не доказывает произвольный поиск по всей истории или полный захват трафика.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Архитектура решения; EPP-компоненты наблюдают процессы, открытые сетевые соединения и изменяемые файлы.

Документация ↗

Есть условия или подтверждена часть сценария

eBPF собирает сетевые и файловые события Linux при совместимом ядре; коррелятор обрабатывает телеметрию Windows/Linux. Нельзя переносить набор источников на macOS.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Сбор данных с помощью eBPF · MaxPatrol EDR · Справочный портал; Коррелятор · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

С.71–73: JSON-модель событий содержит PID/PPID/командную строку, сетевые адреса/порты/DNS, файловые пути/хеши/атрибуты. Схема полей не означает одинаковую детализацию всех ОС; поток ограничивается профилем безопасности.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.71–73: JSON-модель событий содержит PID/PPID/командную строку, сетевые адреса/порты/DNS, файловые пути/хеши/атрибуты.

Документация ↗

Есть условия или подтверждена часть сценария

Сбор журналов не равен перехвату всех файловых/сетевых операций. Доступ к объектам Linux: чтение, запись, запуск, изменение прав. Полная сетевая телеметрия не подтверждена.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Чтение файлов; Доступ к объектам (Linux)

Документация ↗

Что уточнить: Какие файловые и сетевые события собирает агент каждой ОС? Нужна таблица типов/полей и фильтров сбора.

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие файловые и сетевые события собирает агент каждой ОС? Нужна таблица типов/полей и фильтров сбора.

Есть условия или подтверждена часть сценария

У алерта есть вкладка Дерево с графическим представлением события и вкладки сырого события/обогащений. Не доказана автоматическая реконструкция всей межхостовой атаки.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Обнаружения | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Есть ли исторический граф связанных событий атаки, а не только дерево текущих процессов? Каковы срок и условия доступности?

Есть условия или подтверждена часть сценария

Граф связывает события, алерты, устройства, пользователей и наблюдаемые объекты; временная шкала и ручной режим. Автоматический режим не показывает вручную созданные связи; при нескольких связях отображается связь самого раннего объекта. Для просмотра требуется право Запись на алерты/инциденты.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

264307; Граф связывает события, алерты, устройства, пользователей и наблюдаемые объекты; временная шкала и ручной режим.

Документация ↗

Есть условия или подтверждена часть сценария

Полный и сокращённый граф угрозы в деталях алерта; процесс, объект, сеть, источник, решение и результат. Mac: составные объекты без графа; детали по умолчанию 30 дней. На Windows при объёме более 1 МБ либо более пяти алертов за сутки часть данных доступна только с подключённого узла.

Руководство 4.1; ограничения зависят от версии KES и KSC.

О деталях алерта; Полный и сокращённый граф угрозы в деталях алерта; процесс, объект, сеть, источник, решение и результат.; Известные ограничения; Полный и сокращённый граф угрозы в деталях алерта; процесс, объект, сеть, источник, решение и результат.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Есть дерево текущих процессов в браузере процессов. Полный исторический граф связанных событий этим разделом не подтверждён.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Работа с процессами · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Руководство аналитика 1.0.28, с.123–128: дерево процессов, связанные файлы, сеть, реестр; доступно завершение процесса/группы при активном агенте. Не все детали применимы одинаково к каждой ОС; это не результат испытания качества расследования.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика 1.0.28, с.123–128: дерево процессов, связанные файлы, сеть, реестр; доступно завершение процесса/группы при активном агенте.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Есть ли исторический граф связанных событий атаки, а не только дерево текущих процессов? Каковы срок и условия доступности?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Есть ли исторический граф связанных событий атаки, а не только дерево текущих процессов? Каковы срок и условия доступности?

Есть по документации

Сырые события доступны через конструктор и SQL, сохранённые запросы, фильтры и экспорт CSV/JSON. Нужно отдельно развёрнутое Хранилище телеметрии.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

События | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Как искать по сохранённой сырой телеметрии: язык запросов, доступные поля и требуемое внутреннее/внешнее хранилище?

Есть по документации

8.1 on-premises: поиск событий по SQL, периоду, тенанту; retroscan выбранным коррелятором и правилами с опциональными алертами/реагированием. Ретросканирование и сканирование IOC на устройстве — разные функции.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Поиск угроз; 8.1 on-premises: поиск событий по SQL, периоду, тенанту; retroscan выбранным коррелятором и правилами с опциональными алертами/реагированием.; Ретроспективное сканирование ; 8.1 on-premises: поиск событий по SQL, периоду, тенанту; retroscan выбранным коррелятором и правилами с опциональными алертами/реагированием.

Документация ↗ · Документация ↗

Требует уточнения

Проверка IOC на устройстве и детали алерта описаны; произвольный поиск по всей сохранённой сырой телеметрии не подтверждён.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Что уточнить: Как искать по сохранённой сырой телеметрии: язык запросов, доступные поля и требуемое внутреннее/внешнее хранилище?

Есть условия или подтверждена часть сценария

Встроенный поиск/фильтрация/CSV событий ИБ; цепочки событий и переход к исходным событиям в MaxPatrol SIEM. Встроенная БД сервера агентов ограничена 2 млн записей с удалением старых; сырые события ОС не тождественны этому хранилищу.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Работа с событиями · MaxPatrol EDR · Справочный портал

Документация ↗

Есть по документации

Руководство аналитика с.361–362: фильтры телеметрии и Elasticsearch Query DSL с временным срезом. Поиск по широкому периоду без указания поля может быть неоптимальным; производительность не измерялась.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика с.361–362: фильтры телеметрии и Elasticsearch Query DSL с временным срезом.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Как искать по сохранённой сырой телеметрии: язык запросов, доступные поля и требуемое внутреннее/внешнее хранилище?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Как искать по сохранённой сырой телеметрии: язык запросов, доступные поля и требуемое внутреннее/внешнее хранилище?

Есть по документации

Реестр наборов IOC, импорт с валидацией, сроки действия, режимы разрешить/уведомлять/реагировать. Действия различаются по типу IOC; импортируемые дубли обновляются.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Реестр наборов индикаторов | EDR; Добавление индикаторов | EDR; Импорт индикаторов | EDR

Документация ↗ · Документация ↗ · Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие IOC и форматы импортируются, где проверяются (устройство или история), каковы ограничения и действия при совпадении?

Есть условия или подтверждена часть сценария

Проверка IOC на выбранных активах или активах тенанта, результаты по правилам и создание алерта. Требуется KES со встроенным агентом; лимит времени по умолчанию 23 часа, прерванная по сроку задача не доказывает отсутствие IOC.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

IOC-проверка; Проверка IOC на выбранных активах или активах тенанта, результаты по правилам и создание алерта.

Документация ↗

Есть по документации

Проверка устройства по OpenIOC; автоматические изоляция, проверка важных областей, карантин с удалением оригинала. KES Mac 12.2+ и Windows 12.10: также STIX 2.0/2.1, списки MD5/SHA256 и IPv4/IPv6. Расширенные форматы не переносить на Linux или ранние KES. Проверка устройства не равна ретропоиску всей телеметрии.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Поиск IOC; Проверка устройства по OpenIOC; автоматические изоляция, проверка важных областей, карантин с удалением оригинала. KES Mac 12.2+ и Windows 12.10: также STIX 2.0/2.1, списки MD5/SHA256 и IPv4/IPv6.

Документация ↗

Есть условия или подтверждена часть сценария

В экспертизу можно загрузить CSV с MD5/SHA256 (до 99 999 строк). Это не подтверждает импорт любых IOC/STIX и произвольный ретропоиск всех индикаторов.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Пользовательская экспертиза · MaxPatrol EDR · Справочный портал

Документация ↗

Есть условия или подтверждена часть сценария

С.224–226: наборы IOC назначаются агентам, вызывают блокирование либо детектирование; поиск и редактирование наборов. Хеш-правило для PE/настроенных активных расширений блокирует файл на месте, не помещает в карантин. Не приравнивать к произвольному ретропоиску.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.224–226: наборы IOC назначаются агентам, вызывают блокирование либо детектирование; поиск и редактирование наборов.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие IOC и форматы импортируются, где проверяются (устройство или история), каковы ограничения и действия при совпадении?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие IOC и форматы импортируются, где проверяются (устройство или история), каковы ограничения и действия при совпадении?

Есть условия или подтверждена часть сценария

Документированы отдельные Windows/Linux/macOS источники базовых и пользовательских правил, исключения, IOC и YARA в задачах Monitoring/One-shot. Схема конфигурации не доказывает одинаковый набор действий реагирования или эффективность на всех ОС.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

EDR (Linux) | Monitoring | EDR; EDR (Linux) | One-shot | EDR; EDR (macOS) | Monitoring | EDR; EDR (macOS) | One-shot | EDR; EDR (Windows) | Monitoring | EDR; EDR (Windows) | One-shot | EDR

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Поддержаны ли пользовательские YARA для файлов и памяти процессов; какие ОС, лимиты и условия запуска?

Есть условия или подтверждена часть сценария

YARA на устройствах со встроенным агентом KES: процессы, автозапуск, диски/каталоги; максимум 200 правил в задаче. По умолчанию ограничение 23 часа; при истечении возможен частичный результат. Паритет ОС этой статьёй не установлен.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Сканирование YARA ; YARA на устройствах со встроенным агентом KES: процессы, автозапуск, диски/каталоги; максимум 200 правил в задаче.

Документация ↗

Требует уточнения

В справке Optimum 4.1 не найдено технического основания для пользовательских YARA. Возможность Expert не переносится на Optimum.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Что уточнить: Поддержаны ли пользовательские YARA для файлов и памяти процессов; какие ОС, лимиты и условия запуска?

Есть условия или подтверждена часть сценария

YARA-проверка файлов/папок и процессов, собственные правила, очередь и приоритетные автоматические проверки. Модуль Windows/Linux; внутренняя точность правила 0–15 не является измеренной частотой ложных срабатываний.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Сканирование с помощью правил YARA · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

С.234–236: собственные YARA-наборы, импорт .yar, передача агентам; проверка PE при исполнении, активного содержимого по расширениям. Нужен профиль глубокого сканирования YARA либо ML+YARA; повышает нагрузку. Не объявлять одинаковое покрытие ОС.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.234–236: собственные YARA-наборы, импорт .yar, передача агентам; проверка PE при исполнении, активного содержимого по расширениям.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Поддержаны ли пользовательские YARA для файлов и памяти процессов; какие ОС, лимиты и условия запуска?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Поддержаны ли пользовательские YARA для файлов и памяти процессов; какие ОС, лимиты и условия запуска?

Есть условия или подтверждена часть сценария

Модули Windows/Linux используют базовые и дополнительные правила обнаружения/реагирования; каталог содержит логику, MITRE и исключения. Состав детектов и поведенческая эффективность не измерены; данные о правилах не являются результатом испытаний.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

EDR (Linux) | One-shot | EDR; EDR (Windows) | One-shot | EDR; Правила выявления угроз | EDR

Документация ↗ · Документация ↗ · Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Где выполняются поведенческие правила (агент или сервер), какие источники нужны и как обновляется экспертиза?

Есть по документации

Корреляция последовательностей событий; standard/simple/operational, предустановленные правила Windows/sshd/EDR IOA. Correlator-ng и periodical имеют отдельные ограничения; бета-возможности не считать стабильными.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

265139; Корреляция последовательностей событий; standard/simple/operational, предустановленные правила Windows/sshd/EDR IOA.; 265152; Корреляция последовательностей событий; standard/simple/operational, предустановленные правила Windows/sshd/EDR IOA.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

В совместимом KES Windows 12.11 Анализ поведения сопоставляет активность с шаблонами и выполняет выбранное действие. Это компонент EPP Windows, а не подтверждение собственной пользовательской корреляции Optimum или паритета ОС.

Руководство 4.1; ограничения зависят от версии KES и KSC.

kes1211-151031; В совместимом KES Windows 12.11 Анализ поведения сопоставляет активность с шаблонами и выполняет выбранное действие.

Документация ↗

Есть условия или подтверждена часть сценария

Коррелятор Windows использует Sysmon/EventLog/ETW, Linux — auditd и опционально eBPF; исключения PCRE2 по полям событий. Для macOS коррелятор не указан; покрытие MITRE в интерфейсе не доказывает эффективность испытаний.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Коррелятор · MaxPatrol EDR · Справочный портал

Документация ↗

Есть по документации

С.171: IOA — правила корреляции потока событий на стороне агента. Локальная корреляция не доказывает работоспособность всех зависимых сервисов без сети; эффективность и задержка проверяются пилотом.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.171: IOA — правила корреляции потока событий на стороне агента.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Где выполняются поведенческие правила (агент или сервер), какие источники нужны и как обновляется экспертиза?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Где выполняются поведенческие правила (агент или сервер), какие источники нужны и как обновляется экспертиза?

Есть по документации

Дополнительные правила детектирования, сбора телеметрии и исключения; источники версионируются с диапазонами совместимых модулей. Базовые зашифрованные правила не редактируются; пользовательские источники отдельные. Артефакт должен соответствовать ОС и версии модуля.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Источники данных | EDR; Правила выявления угроз | EDR

Документация ↗ · Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Можно ли создавать свои правила детектирования и исключения? Нужны синтаксис/редактор и условия распространения.

Есть условия или подтверждена часть сценария

Правила корреляции и исключения телеметрии; правила/группы условий и фильтрация типов событий. Periodical требует correlator-ng; исключения имеют приоритет над включениями. Не смешивать правило детектирования и фильтр сбора.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

265139; Правила корреляции и исключения телеметрии; правила/группы условий и фильтрация типов событий.; 265152; Правила корреляции и исключения телеметрии; правила/группы условий и фильтрация типов событий.; kes1211-306123; Правила корреляции и исключения телеметрии; правила/группы условий и фильтрация типов событий.

Документация ↗ · Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Собственные IOC и правила запрета по пути/хешу; это не доказательство произвольной корреляции событий. Возможности редактора и форматы зависят от KES/ОС.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Поиск IOC; Проверка устройства по OpenIOC; автоматические изоляция, проверка важных областей, карантин с удалением оригинала. KES Mac 12.2+ и Windows 12.10: также STIX 2.0/2.1, списки MD5/SHA256 и IPv4/IPv6.; Запрет запуска объектов; Запрет исполнения/открытия по пути или MD5/SHA256; режим блокировки либо только регистрации. Linux: KES 12.2+.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Собственные пакеты экспертизы через PT KB и MaxPatrol 10, привязка версий. Табличные списки обратно в PT KB не синхронизируются; CSV хешей ограничен 99999 записями.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Пользовательская экспертиза · MaxPatrol EDR · Справочный портал

Документация ↗

Есть условия или подтверждена часть сценария

Руководство аналитика, с.171–176: собственные IOA задают тип события, C-подобное условие, действие и режим; 27 типов. STOP PROCESS и LISTEN допускают только детектирование. Блокирующее IOA игнорируется в режиме агента «только детектирование».

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика, с.171–176: собственные IOA задают тип события, C-подобное условие, действие и режим; 27 типов.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Можно ли создавать свои правила детектирования и исключения? Нужны синтаксис/редактор и условия распространения.

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Можно ли создавать свои правила детектирования и исключения? Нужны синтаксис/редактор и условия распространения.

Требует уточнения

Описаны правила обнаружения/реагирования и действия IOC, но не установлен точный перечень автоматических операций по ОС; триггеры результатов задач сами по себе этого не подтверждают.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Какие конкретно действия выполняются автоматически по детекту, как задать условие и отключить/подтвердить действие?

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие конкретно действия выполняются автоматически по детекту, как задать условие и отключить/подтвердить действие?

Есть условия или подтверждена часть сценария

Пользовательские плейбуки с триггером по алерту либо инциденту, ручной/автоматический режим и режим обучения с подтверждением. Автоматический запуск для дочерних инцидентов недоступен. Предустановленные плейбуки по умолчанию в режиме обучения.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Предопределенные и пользовательские плейбуки; Пользовательские плейбуки с триггером по алерту либо инциденту, ручной/автоматический режим и режим обучения с подтверждением.

Документация ↗

Есть условия или подтверждена часть сценария

Проверка устройства по OpenIOC; автоматические изоляция, проверка важных областей, карантин с удалением оригинала. KES Mac 12.2+ и Windows 12.10: также STIX 2.0/2.1, списки MD5/SHA256 и IPv4/IPv6. Расширенные форматы не переносить на Linux или ранние KES. Проверка устройства не равна ретропоиску всей телеметрии.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Поиск IOC; Проверка устройства по OpenIOC; автоматические изоляция, проверка важных областей, карантин с удалением оригинала. KES Mac 12.2+ и Windows 12.10: также STIX 2.0/2.1, списки MD5/SHA256 и IPv4/IPv6.

Документация ↗

Есть по документации

В политике действия назначаются событиям, поддерживается массовое назначение и приоритет. По умолчанию только сохранение в БД. Для действия нужны поля события; равные приоритеты дают случайный порядок.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Настройка автоматического реагирования · MaxPatrol EDR · Справочный портал

Документация ↗

Есть условия или подтверждена часть сценария

С.173–175: IOA может автоматически блокировать исходную активность; при нескольких совпадениях достаточно одного блокирующего правила. Для отдельных типов только детектирование; глобальный режим «только детектирование» отключает блокировки.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.173–175: IOA может автоматически блокировать исходную активность; при нескольких совпадениях достаточно одного блокирующего правила.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие конкретно действия выполняются автоматически по детекту, как задать условие и отключить/подтвердить действие?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие конкретно действия выполняются автоматически по детекту, как задать условие и отключить/подтвердить действие?

Есть условия или подтверждена часть сценария

Изоляция Windows/Linux с сохранением связи с сервером; исключения по IP, порту и протоколу с агента 2.24.0. macOS для изоляции не поддерживается согласно этой статье. При подключении через VPN руководство рекомендует не включать изоляцию.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Агенты | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Как включается/снимается изоляция, какие каналы остаются, есть ли исключения/таймер и какие ОС поддержаны?

Есть условия или подтверждена часть сценария

Сетевая изоляция из алерта, инцидента, графа или таблицы активов; период и исключения IP/портов/направления. Нужен импорт активов KSC; архивные устройства недоступны, повторное включение перезаписывает параметры.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Включение и отключение сетевой изоляции; Сетевая изоляция из алерта, инцидента, графа или таблицы активов; период и исключения IP/портов/направления.

Документация ↗

Есть условия или подтверждена часть сценария

Изоляция TCP/IP вручную или автоматически при IOC; таймер и исключения, сохранение каналов EPP и KSC. Результат и сохранение исключений проверяются на пилоте для целевой ОС.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Сетевая изоляция устройства; Изоляция TCP/IP вручную или автоматически при IOC; таймер и исключения, сохранение каналов EPP и KSC.

Документация ↗

Есть условия или подтверждена часть сценария

Полная изоляция отключает адаптеры, частичная сохраняет сервер и исключения; есть время автоматического снятия. Для досрочного снятия полной изоляции нужно локально включить адаптеры. По таблице модулей доступно Windows/Linux, не Mac.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Изоляция узла · MaxPatrol EDR · Справочный портал

Документация ↗

Есть условия или подтверждена часть сценария

Руководство администратора 1.0.28, с.149: включение изоляции сохраняет ограниченную связь с сервером, требуется комментарий. Набор исключений и паритет ОС пока не разобраны.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство администратора RT Protect EDR; Руководство администратора 1.0.28, с.149: включение изоляции сохраняет ограниченную связь с сервером, требуется комментарий.

Документация ↗

Есть условия или подтверждена часть сценария

Ручная изоляция/снятие; остаются управляющий сервер, IP белого списка и служебные порты53,67,68,88,123,389,546,547,647,847,853,5353,5355. Не обещать полную блокировку сети.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Самоизоляция узла; Снятие самоизоляции узла

Документация ↗

Что уточнить: Как включается/снимается изоляция, какие каналы остаются, есть ли исключения/таймер и какие ОС поддержаны?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Как включается/снимается изоляция, какие каналы остаются, есть ли исключения/таймер и какие ОС поддержаны?

Требует уточнения

Командная оболочка документирована; отдельная штатная операция завершения процесса/дерева и её ограничения в проверенных разделах не описаны.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Есть ли штатное завершение процесса/дерева из консоли? Какие ограничения для системных процессов и разных ОС?

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Есть ли штатное завершение процесса/дерева из консоли? Какие ограничения для системных процессов и разных ОС?

Есть условия или подтверждена часть сценария

Действие Прервать процесс по пути и дополнительному хешу, из активов/событий/инцидента либо плейбука. Руководство предупреждает о задержке старта до 15 минут из-за синхронизации с сервером администрирования.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Прерывание процессов ; Действие Прервать процесс по пути и дополнительному хешу, из активов/событий/инцидента либо плейбука.

Документация ↗

Есть условия или подтверждена часть сценария

Удалённая задача завершения процесса Windows/Mac/Linux через соответствующие EPP. SCO исключены в указанных версиях; Mac 12.2+ может разрешить действие отдельно.

Руководство 4.1; ограничения зависят от версии KES и KSC.

О задаче Завершения процесса; Удалённая задача завершения процесса Windows/Mac/Linux через соответствующие EPP.

Документация ↗

Есть условия или подтверждена часть сценария

Завершение процесса или дерева процессов; создание дампа отдельным модулем. Некоторые процессы недоступны. Дамп через модуль состояния системы относится к Windows; не распространять на Linux/macOS.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Работа с процессами · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Руководство аналитика 1.0.28, с.123–128: дерево процессов, связанные файлы, сеть, реестр; доступно завершение процесса/группы при активном агенте. Не все детали применимы одинаково к каждой ОС; это не результат испытания качества расследования.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика 1.0.28, с.123–128: дерево процессов, связанные файлы, сеть, реестр; доступно завершение процесса/группы при активном агенте.

Документация ↗

Есть условия или подтверждена часть сценария

Остановка процесса по PID, пути или имени; завершение дерева и ограничения системных процессов не описаны в этом разделе.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Остановка процесса

Документация ↗

Что уточнить: Есть ли штатное завершение процесса/дерева из консоли? Какие ограничения для системных процессов и разных ОС?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Есть ли штатное завершение процесса/дерева из консоли? Какие ограничения для системных процессов и разных ОС?

Требует уточнения

Документированы скачивание и удаление файлов через File grabber; это не подтверждает карантин с возвратом.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Есть ли штатный карантин с удалением оригинала и безопасным возвратом? Чем он отличается от скачивания/удаления файла?

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Есть ли штатный карантин с удалением оригинала и безопасным возвратом? Чем он отличается от скачивания/удаления файла?

Есть условия или подтверждена часть сценария

Карантин доступен из нескольких представлений и через плейбук, с проверкой ролей. Запуск может занять до 15 минут из-за синхронизации. Не обещать мгновенную реакцию по факту наличия кнопки.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Перемещение файлов на карантин ; Карантин доступен из нескольких представлений и через плейбук, с проверкой ролей.

Документация ↗

Есть условия или подтверждена часть сценария

Зашифрованный локальный карантин вручную и автоматически; действие из алерта поддержано KES Linux 12.2+. SCO ограничены; Mac 12.2+ допускает действие для SCO при явном включении, по умолчанию отключено.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Помещение файла на карантин; Зашифрованный локальный карантин вручную и автоматически; действие из алерта поддержано KES Linux 12.2+.

Документация ↗

Есть условия или подтверждена часть сценария

Зашифрованный карантин с удалением оригинала, возвратом, окончательным удалением и скачиванием. При смене пароля архива восстановление требует вернуть прежний пароль. Возврат из карантина не является восстановлением после шифрования.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Карантин файлов · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Требует уточнения

В руководстве прямо указано, что хеш-IOC блокирует файл на месте без карантина. Отдельная операция карантина и возврата не подтверждена.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Есть ли штатный карантин с удалением оригинала и безопасным возвратом? Чем он отличается от скачивания/удаления файла?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Есть ли штатный карантин с удалением оригинала и безопасным возвратом? Чем он отличается от скачивания/удаления файла?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Есть ли штатный карантин с удалением оригинала и безопасным возвратом? Чем он отличается от скачивания/удаления файла?

Требует уточнения

Обнаружение, IOC и исключения описаны; самостоятельный запрет будущего запуска по хешу/пути с условиями по ОС не установлен.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Можно ли запретить следующий запуск по хешу/пути, а не только завершить уже запущенный процесс? Для каких ОС?

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Можно ли запретить следующий запуск по хешу/пути, а не только завершить уже запущенный процесс? Для каких ОС?

Есть условия или подтверждена часть сценария

Правила запрета запуска по MD5/SHA256, отдельные/все активы тенанта; ручной запуск и плейбук. Требуются EDR-роли и совместимый актив; архивированные устройства исключены. Паритет по ОС требует агентской документации.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Выполнение действий по реагированию Добавить правило запрета и Удалить правило запрета ; Правила запрета запуска по MD5/SHA256, отдельные/все активы тенанта; ручной запуск и плейбук.

Документация ↗

Есть условия или подтверждена часть сценария

Запрет исполнения/открытия по пути или MD5/SHA256; режим блокировки либо только регистрации. Linux: KES 12.2+. Условие SCO зависит от версии; режим регистрации не блокирует.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Запрет запуска объектов; Запрет исполнения/открытия по пути или MD5/SHA256; режим блокировки либо только регистрации. Linux: KES 12.2+.

Документация ↗

Требует уточнения

Есть автоматическое завершение процессов и карантин; подтверждение отдельного запрета будущего исполнения по хешу/пути в 10.1 не получено.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Что уточнить: Можно ли запретить следующий запуск по хешу/пути, а не только завершить уже запущенный процесс? Для каких ОС?

Есть условия или подтверждена часть сценария

С.224: индикатор хеша блокирует доступ к файлу и ранний запуск исполняемого файла. Это изоляция по месту без помещения в карантин. В режиме только детектирования блокировка заменяется уведомлением; активные расширения задаются в профиле.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.224: индикатор хеша блокирует доступ к файлу и ранний запуск исполняемого файла.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Можно ли запретить следующий запуск по хешу/пути, а не только завершить уже запущенный процесс? Для каких ОС?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Можно ли запретить следующий запуск по хешу/пути, а не только завершить уже запущенный процесс? Для каких ОС?

Есть по документации

File grabber скачивает файлы и папки, в том числе несколько по шаблонам. Папки возвращаются архивом; необходим соответствующий модуль.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Типы задач | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие файлы и артефакты можно получить с узла, каковы пределы размера, права доступа и хранилище?

Есть условия или подтверждена часть сценария

KES со встроенным агентом: сбор файлов, реестра, NTFS, образов диска и памяти. Состав по ОС требует отдельной сверки; реестр/NTFS не распространяются на все ОС.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Получение файлов для дальнейшего анализа ; KES со встроенным агентом: сбор файлов, реестра, NTFS, образов диска и памяти.

Документация ↗

Есть условия или подтверждена часть сценария

Получение файла через карантин и Web Console; оригинал остаётся на устройстве. KES Linux/Mac 12.1 использует резервное хранилище. Это не полный образ диска/памяти.

Руководство 4.1; ограничения зависят от версии KES и KSC.

О задаче Получения файла; Получение файла через карантин и Web Console; оригинал остаётся на устройстве.

Документация ↗

Есть условия или подтверждена часть сценария

Сбор расширенных данных для расследования в заданное S3-хранилище. Модуль Windows/Linux; точный состав и глубина собираемых артефактов требуют отдельной проверки.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Сбор данных для расследования · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Руководство аналитика, с.346/358: get получает файл в хранилище EDR или TI; из карточек можно скачать исполняемый файл и затем сохранить локально. Нужна доступность агента. Ограничение просмотра 1 МБ не является запретом на загрузку всего файла; полный forensic-образ этим не подтверждён.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика, с.346/358: get получает файл в хранилище EDR или TI; из карточек можно скачать исполняемый файл и затем сохранить локально.

Документация ↗

Есть условия или подтверждена часть сценария

Отправка указанного файла с агента на URL методом POST/PUT с параметрами аутентификации; не подтверждает дамп памяти/пакет forensic artifacts.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Отправка файла

Документация ↗

Что уточнить: Какие файлы и артефакты можно получить с узла, каковы пределы размера, права доступа и хранилище?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие файлы и артефакты можно получить с узла, каковы пределы размера, права доступа и хранилище?

Есть условия или подтверждена часть сценария

Консоль Live выполняет команды через установленный модуль Command line. Результат Live не сохраняется в истории задачи и теряется после закрытия страницы. Новая задача офлайн-агенту не запускается до восстановления связи.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Агенты | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Есть ли интерактивная оболочка или только запуск команд/задач? Какие ОС, права и журналирование?

Есть условия или подтверждена часть сценария

Запуск приложения с путём, аргументами и рабочей директорией; ручной и через плейбук. Не приравнивать к интерактивному терминалу. Требуются EDR-роли и совместимые активы.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Запуск приложения ; Запуск приложения с путём, аргументами и рабочей директорией; ручной и через плейбук.

Документация ↗

Есть условия или подтверждена часть сценария

Удалённый запуск файла/утилиты задачей; результат можно получить отдельной задачей. Документ не описывает интерактивную оболочку.

Руководство 4.1; ограничения зависят от версии KES и KSC.

О запуске процесса; Удалённый запуск файла/утилиты задачей; результат можно получить отдельной задачей.

Документация ↗

Есть условия или подтверждена часть сценария

Командная оболочка с журналом выполненных команд. Windows/Linux по таблице модулей; наличие журнала команд не заменяет аудит всех действий пользователей.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Выполнение команд в оболочке · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Аналитик с.342–345: команды PowerShell/Windows и Bash/Linux активным агентам, история и таймаут. Администратор с.62: отдельная live-сессия. Live-сессия документирована только для Windows; неактивному агенту новые команды недоступны. Эти два режима не смешивать.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Аналитик с.342–345: команды PowerShell/Windows и Bash/Linux активным агентам, история и таймаут. Администратор с.62: отдельная live-сессия.; Руководство администратора RT Protect EDR; Аналитик с.342–345: команды PowerShell/Windows и Bash/Linux активным агентам, история и таймаут. Администратор с.62: отдельная live-сессия.

Документация ↗ · Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Есть ли интерактивная оболочка или только запуск команд/задач? Какие ОС, права и журналирование?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Есть ли интерактивная оболочка или только запуск команд/задач? Какие ОС, права и журналирование?

Требует уточнения

Скачивание файлов и восстановление серверных компонентов не подтверждают возврат файлов после шифрования.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Для текущего агента есть ли возврат изменённых шифровальщиком файлов? Нужны версии, файловые системы, исключения и условия резервирования.

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Для текущего агента есть ли возврат изменённых шифровальщиком файлов? Нужны версии, файловые системы, исключения и условия резервирования.

Есть условия или подтверждена часть сценария

В совместимом KES Windows 12.11 компонент отката восстанавливает изменённые/удалённые вредоносной программой файлы. Только при наличии и включении этого EPP-компонента, не обещание EDR-only. NTFS/FAT32 и перечисленные расширения; не сетевые диски/EFS, не изменения через ядро или сетевой интерфейс. Проверить пилотом.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

kes1211-151135; В совместимом KES Windows 12.11 компонент отката восстанавливает изменённые/удалённые вредоносной программой файлы.; kes1211-201943; В совместимом KES Windows 12.11 компонент отката восстанавливает изменённые/удалённые вредоносной программой файлы.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

В совместимом KES Windows 12.11 компонент отката восстанавливает изменённые/удалённые вредоносной программой файлы. Только при наличии и включении этого EPP-компонента, не обещание EDR-only. NTFS/FAT32 и перечисленные расширения; не сетевые диски/EFS, не изменения через ядро или сетевой интерфейс. Проверить пилотом.

Руководство 4.1; ограничения зависят от версии KES и KSC.

kes1211-151135; В совместимом KES Windows 12.11 компонент отката восстанавливает изменённые/удалённые вредоносной программой файлы.; kes1211-201943; В совместимом KES Windows 12.11 компонент отката восстанавливает изменённые/удалённые вредоносной программой файлы.

Документация ↗ · Документация ↗

Требует уточнения

Возврат из карантина и резервное копирование сервера описаны; это не откат изменений шифровальщика.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Что уточнить: Для текущего агента есть ли возврат изменённых шифровальщиком файлов? Нужны версии, файловые системы, исключения и условия резервирования.

Требует уточнения

Антишифр и восстановление описаны для агентов первой/второй серии. На агент 3.0.30.3030 это основание не переносится.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Для текущего агента есть ли возврат изменённых шифровальщиком файлов? Нужны версии, файловые системы, исключения и условия резервирования.

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Для текущего агента есть ли возврат изменённых шифровальщиком файлов? Нужны версии, файловые системы, исключения и условия резервирования.

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Для текущего агента есть ли возврат изменённых шифровальщиком файлов? Нужны версии, файловые системы, исключения и условия резервирования.

Есть условия или подтверждена часть сценария

Агент 3.0+: только x64, Windows 10/11 и перечисленные серверные ОС; Windows Server 2016 требует расширенной поддержки. Совместимость модулей проверяется отдельно.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Аппаратные и программные требования | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие версии Windows/Windows Server и разрядности поддержаны текущим агентом; где матрица функций по ОС?

Есть условия или подтверждена часть сценария

Expert 8.1 совместим с KES Windows 12.11/12.12/14.0, Linux 12.4 и Mac 12.2.1. Это версии EPP, не ОС. Поддержку конкретной ОС и равенство действий необходимо сверять по справке соответствующего KES; Sandbox KATA 8.0 несовместим.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Совместимые приложения и решения; Expert 8.1 совместим с KES Windows 12.11/12.12/14.0, Linux 12.4 и Mac 12.2.1.

Документация ↗

Есть условия или подтверждена часть сценария

Optimum 4.1: KES Windows 11.11+, Mac/Linux 12.1+; для Mac/Linux нужен KSC Windows 14.2+, Linux 15.1+ либо Cloud Console. Версия EPP не является номером ОС. Паритет действий не подразумевается; для расширенной функциональности отдельные требования и лицензия.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Аппаратные и программные требования; Optimum 4.1: KES Windows 11.11+, Mac/Linux 12.1+; для Mac/Linux нужен KSC Windows 14.2+, Linux 15.1+ либо Cloud Console.

Документация ↗

Есть условия или подтверждена часть сценария

Точный перечень Windows/Linux/macOS и таблица совместимости модулей. macOS 11/12 только Intel; для macOS в таблице отсутствуют коррелятор, YARA, изоляция узла и командная оболочка. Поддержка удаления файлов/завершения процессов/карантина не делает эти функции равными Windows/Linux.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Требования к программному и аппаратному обеспечению конечного устройства · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

С.20 и раздел установки: Windows 7+/Server 2008+, 32/64-bit Windows; Ubuntu 18.04–24.04, Debian 11/12, Astra 1.6/1.7/1.8, RED 7.3, ALT 10. Точный перечень поддерживаемых ядер важнее общего названия Linux; macOS в этой таблице не указан, отсутствие функции этим не доказано.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство администратора RT Protect EDR; С.20 и раздел установки: Windows 7+/Server 2008+, 32/64-bit Windows; Ubuntu 18.04–24.04, Debian 11/12, Astra 1.6/1.7/1.8, RED 7.3, ALT 10.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие версии Windows/Windows Server и разрядности поддержаны текущим агентом; где матрица функций по ОС?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие версии Windows/Windows Server и разрядности поддержаны текущим агентом; где матрица функций по ОС?

Есть условия или подтверждена часть сценария

Linux x64 с systemd, ядро от 3.2; дистрибутив и версия проверяются по таблице требований. Установка агента не означает паритет модулей.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Аппаратные и программные требования | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие Linux-дистрибутивы/ядра поддержаны, в том числе Astra/РЕД/Альт; какие функции исключены?

Есть условия или подтверждена часть сценария

Expert 8.1 совместим с KES Windows 12.11/12.12/14.0, Linux 12.4 и Mac 12.2.1. Это версии EPP, не ОС. Поддержку конкретной ОС и равенство действий необходимо сверять по справке соответствующего KES; Sandbox KATA 8.0 несовместим.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Совместимые приложения и решения; Expert 8.1 совместим с KES Windows 12.11/12.12/14.0, Linux 12.4 и Mac 12.2.1.

Документация ↗

Есть условия или подтверждена часть сценария

Optimum 4.1: KES Windows 11.11+, Mac/Linux 12.1+; для Mac/Linux нужен KSC Windows 14.2+, Linux 15.1+ либо Cloud Console. Версия EPP не является номером ОС. Паритет действий не подразумевается; для расширенной функциональности отдельные требования и лицензия.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Аппаратные и программные требования; Optimum 4.1: KES Windows 11.11+, Mac/Linux 12.1+; для Mac/Linux нужен KSC Windows 14.2+, Linux 15.1+ либо Cloud Console.

Документация ↗

Есть условия или подтверждена часть сценария

Точный перечень Windows/Linux/macOS и таблица совместимости модулей. macOS 11/12 только Intel; для macOS в таблице отсутствуют коррелятор, YARA, изоляция узла и командная оболочка. Поддержка удаления файлов/завершения процессов/карантина не делает эти функции равными Windows/Linux.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Требования к программному и аппаратному обеспечению конечного устройства · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

С.20 и раздел установки: Windows 7+/Server 2008+, 32/64-bit Windows; Ubuntu 18.04–24.04, Debian 11/12, Astra 1.6/1.7/1.8, RED 7.3, ALT 10. Точный перечень поддерживаемых ядер важнее общего названия Linux; macOS в этой таблице не указан, отсутствие функции этим не доказано.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство администратора RT Protect EDR; С.20 и раздел установки: Windows 7+/Server 2008+, 32/64-bit Windows; Ubuntu 18.04–24.04, Debian 11/12, Astra 1.6/1.7/1.8, RED 7.3, ALT 10.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие Linux-дистрибутивы/ядра поддержаны, в том числе Astra/РЕД/Альт; какие функции исключены?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие Linux-дистрибутивы/ядра поддержаны, в том числе Astra/РЕД/Альт; какие функции исключены?

Есть условия или подтверждена часть сценария

macOS 13+ для агента 3.0; изоляция из исследованной консоли описана только для Windows/Linux.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Аппаратные и программные требования | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Поддерживается ли macOS текущим агентом; версии, Intel/Apple Silicon и доступные действия?

Есть условия или подтверждена часть сценария

Expert 8.1 совместим с KES Windows 12.11/12.12/14.0, Linux 12.4 и Mac 12.2.1. Это версии EPP, не ОС. Поддержку конкретной ОС и равенство действий необходимо сверять по справке соответствующего KES; Sandbox KATA 8.0 несовместим.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Совместимые приложения и решения; Expert 8.1 совместим с KES Windows 12.11/12.12/14.0, Linux 12.4 и Mac 12.2.1.

Документация ↗

Есть условия или подтверждена часть сценария

Optimum 4.1: KES Windows 11.11+, Mac/Linux 12.1+; для Mac/Linux нужен KSC Windows 14.2+, Linux 15.1+ либо Cloud Console. Версия EPP не является номером ОС. Паритет действий не подразумевается; для расширенной функциональности отдельные требования и лицензия.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Аппаратные и программные требования; Optimum 4.1: KES Windows 11.11+, Mac/Linux 12.1+; для Mac/Linux нужен KSC Windows 14.2+, Linux 15.1+ либо Cloud Console.

Документация ↗

Есть условия или подтверждена часть сценария

Точный перечень Windows/Linux/macOS и таблица совместимости модулей. macOS 11/12 только Intel; для macOS в таблице отсутствуют коррелятор, YARA, изоляция узла и командная оболочка. Поддержка удаления файлов/завершения процессов/карантина не делает эти функции равными Windows/Linux.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Требования к программному и аппаратному обеспечению конечного устройства · MaxPatrol EDR · Справочный портал; О модулях агента · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Требует уточнения

В требованиях перечислены Windows/Linux. Отдельного подтверждения поддержки или прямого запрета macOS для текущей поставки нет.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Поддерживается ли macOS текущим агентом; версии, Intel/Apple Silicon и доступные действия?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Поддерживается ли macOS текущим агентом; версии, Intel/Apple Silicon и доступные действия?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Поддерживается ли macOS текущим агентом; версии, Intel/Apple Silicon и доступные действия?

Есть условия или подтверждена часть сценария

Остановка/перезапуск/изменение/удаление требуют отключения самозащиты через интерфейс или токен на узле. Локальные команды показаны для Windows и Linux; не перенесено автоматически на Mac.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Отключение самозащиты | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Как защищены агент и модули от остановки/удаления/изменения, в том числе локальным администратором; различия ОС?

Есть условия или подтверждена часть сценария

Самозащита совместимого KES Windows 12.11 защищает файлы, реестр и процессы; пароль и защита связи с сервером настраиваются отдельно. Набор технологий зависит от разрядности/версии Windows; не переносить на Linux/macOS и другие агенты.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

kes1211-34598; Самозащита совместимого KES Windows 12.11 защищает файлы, реестр и процессы; пароль и защита связи с сервером настраиваются отдельно.; kes1211-133797; Самозащита совместимого KES Windows 12.11 защищает файлы, реестр и процессы; пароль и защита связи с сервером настраиваются отдельно.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Самозащита совместимого KES Windows 12.11 защищает файлы, реестр и процессы; пароль и защита связи с сервером настраиваются отдельно. Набор технологий зависит от разрядности/версии Windows; не переносить на Linux/macOS и другие агенты.

Руководство 4.1; ограничения зависят от версии KES и KSC.

kes1211-34598; Самозащита совместимого KES Windows 12.11 защищает файлы, реестр и процессы; пароль и защита связи с сервером настраиваются отдельно.; kes1211-133797; Самозащита совместимого KES Windows 12.11 защищает файлы, реестр и процессы; пароль и защита связи с сервером настраиваются отдельно.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Windows: перед удалением агента требуется отключить драйвер самозащиты. В группах можно включать самозащиту новым агентам. Перемещение уже авторизованного агента в группу не меняет статус его самозащиты. Не перенесено на Linux/macOS.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Удаление агента с конечного устройства · MaxPatrol EDR · Справочный портал; Управление группами агентов · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Руководство аналитика 1.0.28, с.21: защита от удаления/остановки, целостность и пароль управления. Файлы/реестр явно относятся к Windows; не переносить каждый механизм на Linux без таблицы функций.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика 1.0.28, с.21: защита от удаления/остановки, целостность и пароль управления.

Документация ↗

Есть условия или подтверждена часть сценария

WatchDog перезапускает агент; запрет остановки/перезапуска по паролю требует включения соответствующей настройки. По умолчанию ограничения не включены; не обещать полную tamper protection.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

WatchDog

Документация ↗

Что уточнить: Как защищены агент и модули от остановки/удаления/изменения, в том числе локальным администратором; различия ОС?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Как защищены агент и модули от остановки/удаления/изменения, в том числе локальным администратором; различия ОС?

Есть по документации

Дисковые квоты для событий и результатов задач при недоступности сервера; отправка и очистка после восстановления связи. Буферизация не является доказательством автономной блокировки атак.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Ограничение локального хранилища | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Каковы квота и поведение очереди событий без связи, сохраняется ли она после перезагрузки и как определяется потеря данных?

Есть условия или подтверждена часть сценария

KES Windows 12.11 для Expert 8.0+: события очереди передаются после восстановления связи; по умолчанию синхронизация каждые 30 сек либо 1024 события. Регулятор может прекратить отправку при лимите (по умолчанию 3000 событий/час и 15% однотипных). Это не гарантия передачи каждого события.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

kes1211-306026; KES Windows 12.11 для Expert 8.0+: события очереди передаются после восстановления связи; по умолчанию синхронизация каждые 30 сек либо 1024 события.

Документация ↗

Требует уточнения

Часть деталей алерта хранится на узле; это не описание очереди всех событий с квотами и доставкой после восстановления связи.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Что уточнить: Каковы квота и поведение очереди событий без связи, сохраняется ли она после перезагрузки и как определяется потеря данных?

Есть по документации

Кэш событий на агенте с лимитами размера, времени и скорости передачи. Поток событий ОС задаётся отдельно; буфер не равен бессрочному хранению и не гарантирует отсутствия потерь.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Настройка хранения и передачи событий ОС · MaxPatrol EDR · Справочный портал; Управление группами агентов · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Руководство аналитика 1.0.28, с.7: локальная очередь, при потере сети события накапливаются в кольцевом буфере до 1 ГБ, затем старые перезаписываются. Буфер не гарантирует отсутствие потерь при длительном отключении и не доказывает автономность всех действий.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; Руководство аналитика 1.0.28, с.7: локальная очередь, при потере сети события накапливаются в кольцевом буфере до 1 ГБ, затем старые перезаписываются.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Каковы квота и поведение очереди событий без связи, сохраняется ли она после перезагрузки и как определяется потеря данных?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Каковы квота и поведение очереди событий без связи, сохраняется ли она после перезагрузки и как определяется потеря данных?

Требует уточнения

Описаны автономная установка агента и локальный буфер; из них не следует сохранение всех детектов/блокировок без сервера и после перезапуска.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Требует уточнения

Локальные функции KES и очередь телеметрии описаны, но автономность всей цепочки EDR-детектирования и реагирования без OSMP/серверов не подтверждена.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Требует уточнения

Локальные компоненты KES и облачные зависимости разделены, но перечень автономных именно EDR-действий Optimum 4.1 не установлен.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Есть условия или подтверждена часть сценария

Версия 10.1 кэширует модули для локального запуска после перезапуска без сервера; описаны локальная работа и буфер событий. Сканирование MaxPatrol VM и PT Sandbox требуют связи. Не заявлять полную автономность всех модулей.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Что нового в версии 10.1 · MaxPatrol EDR · Справочный портал; Об агентах · MaxPatrol EDR · Справочный портал; Настройка хранения и передачи событий ОС · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗ · Документация ↗

Требует уточнения

Локальная корреляция и очередь до 1 ГБ описаны; условия сохранения детектов/реакций без сервера, особенно после перезапуска, отдельно не определены.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие детекты и действия реально продолжают работать без сервера и после перезапуска; какие требуют связи?

Есть по документации

Документированы All-in-One и Multi-node, последовательность установки компонентов и локальное Хранилище телеметрии. Multi-node не означает отказоустойчивость каждого сервиса. AI-помощнику нужен доступ до update.bi.zone.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Развертывание сервера BI.ZONE EDR | EDR; Хранилище телеметрии | EDR

Документация ↗ · Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Каков состав самостоятельной локальной поставки, её внешние зависимости и необходимые лицензии/компоненты?

Есть по документации

On-premises 8.1: серверы OSMP/агентов, IRP и компоненты KUMA; EPP-агенты на конечных устройствах. Состав лицензии и внешние TI/Sandbox-компоненты нельзя считать включёнными безусловно.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Архитектура Kaspersky EDR Expert; On-premises 8.1: серверы OSMP/агентов, IRP и компоненты KUMA; EPP-агенты на конечных устройствах.

Документация ↗

Есть по документации

Локальное управление KSC Windows/Linux либо Cloud Console; EPP со встроенным агентом, плагины и активация. Sandbox приобретается отдельно; наличие on-premises не доказывает автономность всех облачных функций.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Развертывание и первоначальная настройка решения; Локальное управление KSC Windows/Linux либо Cloud Console; EPP со встроенным агентом, плагины и активация.; Архитектура решения; Локальное управление KSC Windows/Linux либо Cloud Console; EPP со встроенным агентом, плагины и активация.

Документация ↗ · Документация ↗

Есть по документации

Управляющий сервер, серверы агентов, локальные модули; одно- и многосерверная конфигурации. Распределение нагрузки само по себе не означает отказоустойчивость каждого компонента.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Архитектура и алгоритм работы MaxPatrol EDR · MaxPatrol EDR · Справочный портал

Документация ↗

Есть по документации

С.18–19: сервер производителя как услуга либо сервер предприятия-заказчика; с.53 отсылка к отдельной инструкции установки сервера. Наличие on-premises не доказывает air-gap или отказоустойчивость.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство администратора RT Protect EDR; С.18–19: сервер производителя как услуга либо сервер предприятия-заказчика; с.53 отсылка к отдельной инструкции установки сервера.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Каков состав самостоятельной локальной поставки, её внешние зависимости и необходимые лицензии/компоненты?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Каков состав самостоятельной локальной поставки, её внешние зависимости и необходимые лицензии/компоненты?

Требует уточнения

Есть отдельное обновление хранилища телеметрии; полной процедуры переноса обновлений агента и экспертизы в закрытый контур в проверенных материалах нет.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Что уточнить: Как перенести обновления агента, модулей и экспертизы в физически изолированный контур; как работает активация?

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Как перенести обновления агента, модулей и экспертизы в физически изолированный контур; как работает активация?

Есть условия или подтверждена часть сценария

Установка/обновление через подготовку инвентаря и TAR-пакетов в открытом сегменте с переносом в физически изолированный. Не переносить на все облачные функции и каналы обновления экспертизы без их отдельных инструкций.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Установка и обновление Kaspersky EDR Expert в среде с физической изоляцией; Установка/обновление через подготовку инвентаря и TAR-пакетов в открытом сегменте с переносом в физически изолированный.

Документация ↗

Есть условия или подтверждена часть сценария

KSC Linux 15.1: перенос баз/модулей из хранилища на носителе, локальная папка или общий ресурс как источник обновления KES Windows/Linux. Документирована доставка обновлений EPP, не автономная работа KSN/TIP/Cloud Sandbox и не все компоненты Optimum.

Руководство 4.1; ограничения зависят от версии KES и KSC.

ksc151-180902; KSC Linux 15.1: перенос баз/модулей из хранилища на носителе, локальная папка или общий ресурс как источник обновления KES Windows/Linux.

Документация ↗

Есть по документации

Экспорт архива обновлений из DMZ и импорт в закрытом сегменте через внешний носитель. Не обещает работу облачных интеграций без внешней связи.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Ручной перенос обновлений MaxPatrol EDR в закрытый сегмент сети · MaxPatrol EDR · Справочный портал

Документация ↗

Требует уточнения

Публичная инструкция установки имеет более раннюю версию 1.0.23; актуальную полную процедуру обновления изолированного контура для поставки из 1.0.28 подтвердить не удалось.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Как перенести обновления агента, модулей и экспертизы в физически изолированный контур; как работает активация?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Как перенести обновления агента, модулей и экспертизы в физически изолированный контур; как работает активация?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Как перенести обновления агента, модулей и экспертизы в физически изолированный контур; как работает активация?

Есть по документации

Настраиваемые роли, операции над объектами, синхронизация AD, доступ к событиям главных групп. Новым модулям права автоматически получает администратор; остальным ролям добавляются вручную.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Роли | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Как разделяются права просмотра/изменения/реагирования и доступ к группам узлов/тенантам; есть ли свои роли?

Есть по документации

OSMP: предопределённые и собственные роли, раздельные права EDR по алертам, реагированию, IAM и тенантам; есть роль подтверждающего действия. Ограничения объектов KUMA зависят от роли; требуется согласовать права интегрированных компонентов.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

203750; OSMP: предопределённые и собственные роли, раздельные права EDR по алертам, реагированию, IAM и тенантам; есть роль подтверждающего действия.

Документация ↗

Есть условия или подтверждена часть сценария

Отдельные виртуальные серверы KSC для тенантов; администратор виртуального сервера ограничен его устройствами. В Cloud Console распределение прав только через AD; для Cloud и Web Console 14 и ниже дополнительные ограничения назначения администраторов.

Руководство 4.1; ограничения зависят от версии KES и KSC.

optimum41-216929; Отдельные виртуальные серверы KSC для тенантов; администратор виртуального сервера ограничен его устройствами.

Документация ↗

Есть по документации

Роли администратора, оператора, разработчика и настройка через PT MC; права реагирования можно ограничить. Дополнительно нужна роль MaxPatrol 10; не приравнивать к произвольной независимой IAM-системе.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

О ролях пользователей · MaxPatrol EDR · Справочный портал

Документация ↗

Есть по документации

С.278–282: три роли, управление учетными записями только администратором; роль собственной записи менять нельзя. Не доказан произвольный конструктор ролей; оператор поиска угроз, аналитик и администратор — заданные роли.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство администратора RT Protect EDR; С.278–282: три роли, управление учетными записями только администратором; роль собственной записи менять нельзя.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Как разделяются права просмотра/изменения/реагирования и доступ к группам узлов/тенантам; есть ли свои роли?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Как разделяются права просмотра/изменения/реагирования и доступ к группам узлов/тенантам; есть ли свои роли?

Есть по документации

Журнал действий пользователей и system, поиск/фильтрация, экспорт CSV. Не является доказательством неизменяемости журнала.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Журнал действий пользователя | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие действия пользователей попадают в аудит, каков срок хранения и экспорт; фиксируются ли команды реагирования?

Есть условия или подтверждена часть сценария

События аудита компонентов поступают в KUMA Audit; фильтрация, права на пространство и экспорт. Руководство требует действительный лицензионный ключ SIEM-компонента. Нельзя опускать эту зависимость.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Просмотр событий аудита и настройка уведомлений; События аудита компонентов поступают в KUMA Audit; фильтрация, права на пространство и экспорт.

Документация ↗

Есть условия или подтверждена часть сценария

KSC Linux 15.1 сохраняет ревизии свойств сервера, политик, задач, групп, пользователей и пакетов: время, пользователь, IP и действие. Это аудит изменений объектов, не подтверждение полного неизменяемого журнала всех команд реагирования.

Руководство 4.1; ограничения зависят от версии KES и KSC.

ksc151-145580; KSC Linux 15.1 сохраняет ревизии свойств сервера, политик, задач, групп, пользователей и пакетов: время, пользователь, IP и действие.

Документация ↗

Требует уточнения

Командная оболочка хранит журнал команд, права задаются через PT MC. Полный состав и экспорт аудита действий операторов именно поставки 10.1 не установлен; часть страниц портала недоступна.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Что уточнить: Какие действия пользователей попадают в аудит, каков срок хранения и экспорт; фиксируются ли команды реагирования?

Есть по документации

С.418: журнал действий пользователей, включая назначения и закрытия инцидентов, изменения сервера. Неизменяемость и сроки хранения этой записи пока не подтверждены.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Руководство аналитика RT Protect EDR; С.418: журнал действий пользователей, включая назначения и закрытия инцидентов, изменения сервера.

Документация ↗

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие действия пользователей попадают в аудит, каков срок хранения и экспорт; фиксируются ли команды реагирования?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие действия пользователей попадают в аудит, каков срок хранения и экспорт; фиксируются ли команды реагирования?

Есть условия или подтверждена часть сценария

Swagger доступен на развёрнутом сервере управления после авторизации. Открытая статья не содержит полного списка API-методов. Для конкретного реагирования через API нужна спецификация.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Описание API | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Где спецификация поддерживаемого API этой версии: авторизация, права, операции получения данных и реагирования?

Есть условия или подтверждена часть сценария

REST API EDR/OSMP и KUMA со Swagger, токенами и правами пользователя; отдельный OpenAPI для управления сервером. Лицензия EDR исключает перечисленные методы управления активами, настройками, службами и типами инцидентов.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

249604; REST API EDR/OSMP и KUMA со Swagger, токенами и правами пользователя; отдельный OpenAPI для управления сервером.; 268775; REST API EDR/OSMP и KUMA со Swagger, токенами и правами пользователя; отдельный OpenAPI для управления сервером.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Для локального развёртывания KSC OpenAPI; приведён скрипт сетевой изоляции. Не переносить пример на все операции и облачную консоль.

Руководство 4.1; ограничения зависят от версии KES и KSC.

Работа с Kaspersky Endpoint Detection and Response Optimum через Kaspersky Security Center OpenAPI; Для локального развёртывания KSC OpenAPI; приведён скрипт сетевой изоляции.

Документация ↗

Есть условия или подтверждена часть сценария

Публичный API управляющего сервера и токены с привилегиями; создание/отзыв токенов описаны. Список привилегий в примере не доказывает доступность любого действия через API.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Архитектура и алгоритм работы MaxPatrol EDR · MaxPatrol EDR · Справочный портал; Управление токенами доступа · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Требует уточнения

В руководствах есть внутренние ML API и TI-интеграция, но спецификация поддерживаемого внешнего API текущего EDR не найдена.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Где спецификация поддерживаемого API этой версии: авторизация, права, операции получения данных и реагирования?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Где спецификация поддерживаемого API этой версии: авторизация, права, операции получения данных и реагирования?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Где спецификация поддерживаемого API этой версии: авторизация, права, операции получения данных и реагирования?

Есть по документации

Отправка телеметрии и алертов Syslog TCP/UDP; TCP поддерживает SSL. Приёмник выбирается в задаче Monitoring. UDP ограничен MTU. Обязательная доставка всем приёмникам создаёт повторные отправки; недоступный включённый приёмник при старте блокирует запуск сервера.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Отправка событий через Syslog | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие события экспортируются во внешнюю SIEM, по каким протоколам и с какими зависимостями/ограничениями?

Есть по документации

Syslog алертов и действий пользователей во внешнюю SIEM; TCP с TLS или UDP. Отдельно описана передача событий коллектора OSMP во внешний KUMA. Инструкция коллектора требует заданные компоненты KUMA и роли; не обещать любой формат экспорта всей телеметрии.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

325360; Syslog алертов и действий пользователей во внешнюю SIEM; TCP с TLS или UDP. Отдельно описана передача событий коллектора OSMP во внешний KUMA.; 327676; Syslog алертов и действий пользователей во внешнюю SIEM; TCP с TLS или UDP. Отдельно описана передача событий коллектора OSMP во внешний KUMA.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Совместимый KSC Linux 15.1 экспортирует выбранные события управляемых приложений в Syslog по TCP/UDP/TLS или через публичные представления БД. Экспорт выбранных событий KSC не означает передачу всей сырой EDR-телеметрии.

Руководство 4.1; ограничения зависят от версии KES и KSC.

ksc151-151328; Совместимый KSC Linux 15.1 экспортирует выбранные события управляемых приложений в Syslog по TCP/UDP/TLS или через публичные представления БД.

Документация ↗

Есть по документации

Сервер агентов отправляет события ОС и ИБ в MaxPatrol SIEM или на syslog-сервер; передача ОС настраивается. Встроенная база событий ИБ не равна полному хранилищу сырой телеметрии.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Архитектура и алгоритм работы MaxPatrol EDR · MaxPatrol EDR · Справочный портал; Настройка хранения и передачи событий ОС · MaxPatrol EDR · Справочный портал

Документация ↗ · Документация ↗

Требует уточнения

Упоминание SIEM при объяснении корреляции и TI-интеграция не подтверждают протокол и состав экспорта событий во внешнюю SIEM.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Какие события экспортируются во внешнюю SIEM, по каким протоколам и с какими зависимостями/ограничениями?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие события экспортируются во внешнюю SIEM, по каким протоколам и с какими зависимостями/ограничениями?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие события экспортируются во внешнюю SIEM, по каким протоколам и с какими зависимостями/ограничениями?

Есть условия или подтверждена часть сценария

server.cleaner задаёт сроки хранения аудита и алертов (по умолчанию 365 дней), файлов (180); очистка по умолчанию выключена. В задаче отдельно удаление результатов по времени. Эти параметры не задают срок сырой телеметрии ClickHouse.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

server | EDR; Задачи | EDR; Создание и редактирование задачи | EDR

Документация ↗ · Документация ↗ · Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Как отдельно настраивается хранение сырой телеметрии, алертов и результатов задач; квоты, ротация и архив?

Есть условия или подтверждена часть сценария

Настраивается хранение алертов/инцидентов по тенантам; по умолчанию 360 дней, минимум 1 день. Связанные неистекшие объекты задерживают удаление. Это не срок хранения всей сырой телеметрии. Статья «Изменение срока хранения данных» описывает сведения об учётных записях LDAP/AD. Не использовать её как основание срока хранения телеметрии; совпадение заголовка недостаточно.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Настройка периода хранения алертов и инцидентов; Настраивается хранение алертов/инцидентов по тенантам; по умолчанию 360 дней, минимум 1 день.; Изменение срока хранения данных; Статья «Изменение срока хранения данных» описывает сведения об учётных записях LDAP/AD.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Детали алерта и подробные результаты IOC удаляются через месяц; интервал событий настраивается в EPP. Не подтверждён единый настраиваемый срок хранения всей сырой телеметрии; список алертов показывает последние 30 дней.

Руководство 4.1; ограничения зависят от версии KES и KSC.

О деталях алерта; Детали алерта и подробные результаты IOC удаляются через месяц; интервал событий настраивается в EPP.; Известные ограничения; Детали алерта и подробные результаты IOC удаляются через месяц; интервал событий настраивается в EPP.

Документация ↗ · Документация ↗

Есть условия или подтверждена часть сценария

Встроенный поиск/фильтрация/CSV событий ИБ; цепочки событий и переход к исходным событиям в MaxPatrol SIEM. Встроенная БД сервера агентов ограничена 2 млн записей с удалением старых; сырые события ОС не тождественны этому хранилищу.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Работа с событиями · MaxPatrol EDR · Справочный портал

Документация ↗

Требует уточнения

Расчёт сервера приведён для 30 дней, а срок резервных файлов относится к старому Антишифру. Параметр хранения всей телеметрии не установлен.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Как отдельно настраивается хранение сырой телеметрии, алертов и результатов задач; квоты, ротация и архив?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Как отдельно настраивается хранение сырой телеметрии, алертов и результатов задач; квоты, ротация и архив?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Как отдельно настраивается хранение сырой телеметрии, алертов и результатов задач; квоты, ротация и архив?

Есть условия или подтверждена часть сценария

Multi-node допускает кластеризацию и распределение компонентов. Сервис обработки обнаружений прямо не поддерживает кластеризацию; распределение его PostgreSQL/RabbitMQ/Redis по узлам не устраняет это ограничение.

Сервер 1.40.1; возможности модулей проверяются отдельно от агента.

Архитектура | EDR

Документация ↗

Требует уточнения

Найдены технические условия MDR с действиями агента F6 EDR, но без номера релиза и описания прав заказчика самостоятельной EDR-поставки. Руководство конкретной поставки не получено; маркетинговое описание не заменяет его.

Текущая публичная карточка; версия технической поставки не установлена.

Что уточнить: Какие серверные компоненты резервируются и автоматически переключаются; какие остаются единой точкой отказа?

Есть условия или подтверждена часть сценария

8.1: документирована конфигурация с управляющим и тремя рабочими узлами, варианты кластеров СУБД. Единственный управляющий узел остаётся зависимостью управления; для ряда сервисов указано восстановление Kubernetes около 6 минут. Это оценка документации, не наш замер.

On-premises 8.1, справка от 25.09.2026; не Cloud Expert и не версия 7.0.

Отказоустойчивая конфигурация Kaspersky EDR Expert; 8.1: документирована конфигурация с управляющим и тремя рабочими узлами, варианты кластеров СУБД.

Документация ↗

Есть условия или подтверждена часть сценария

KSC Linux 15.1: active/passive из двух одинаковых узлов, переключение при отказе служб/узла/связи с файловым сервером. Отдельные зависимости — файловый сервер EXT4 и СУБД; для Galera допустим кластер БД на узлах. Не обещает отказоустойчивость каждого внешнего компонента.

Руководство 4.1; ограничения зависят от версии KES и KSC.

ksc151-222358; KSC Linux 15.1: active/passive из двух одинаковых узлов, переключение при отказе служб/узла/связи с файловым сервером.

Документация ↗

Есть условия или подтверждена часть сценария

Документирована кластерная установка управляющего сервера, PostgreSQL и MinIO с Keepalived. Требуются работоспособные внешние кластеры; пример развёртывания MinIO демонстрационный, не готовый промышленный рецепт.

Версия 10.1; набор функций зависит от модулей, ОС и интеграций.

Установка MaxPatrol EDR в отказоустойчивом кластере · MaxPatrol EDR · Справочный портал

Документация ↗

Требует уточнения

Общие требования учитывают отказоустойчивость, но актуальная схема резервирования/переключения компонентов не найдена.

Руководства 1.0.28 от 09.06.2025: агент 3.0.30.3030, frontend 2.44.0, backend 1.25.0-16; старые серии отдельно.

Что уточнить: Какие серверные компоненты резервируются и автоматически переключаются; какие остаются единой точкой отказа?

Требует уточнения

По ответу вендора Endpoint — компонент платформы. Получены ссылки на руководство агентов SIEM 2.9.1; подтверждение этого критерия с версией агента и условиями по ОС требует отдельной сверки. Возможности хранения и поиска SIEM не приписаны самому агенту.

Агент в составе R-Vision SIEM 2.9.1. Endpoint — компонент платформы, поставляемый с SIEM, VM и/или SOAR; самостоятельным EDR не позиционируется. Версия агента не установлена; функции VM/SOAR и паритет ОС не предполагаются.

Что уточнить: Какие серверные компоненты резервируются и автоматически переключаются; какие остаются единой точкой отказа?

Требует уточнения

Найдены описание продукта и публикация о запуске, но не руководство EDR с номером версии и условиями функции. Документы общей платформы и ASOC не перенесены на новый EDR-модуль.

Текущая публичная карточка; номер технической поставки не установлен.

Что уточнить: Какие серверные компоненты резервируются и автоматически переключаются; какие остаются единой точкой отказа?

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

В изолированном согласованном сегменте повторить безопасные воспроизводимые сценарии атак на целевых ОС; отдельно записать обнаружение и остановку каждого этапа.

Измерить: Доля обнаруженных и остановленных сценариев; этап остановки; версия, ОС и политика.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Выполнить типовые легитимные рабочие операции на репрезентативных узлах и разобрать все срабатывания.

Измерить: Ложные алерты на узел-день, ошибочные блокировки, время разбора.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Повторить одинаковую рабочую нагрузку без агента и с целевой политикой; отдельно проверить сбор телеметрии и сканирование.

Измерить: CPU, RAM, I/O, задержки бизнес-операций и потери событий.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Выполнить изоляцию тестового узла, проверить исключения и снять изоляцию; повторить при нестабильной связи.

Измерить: Время до подтверждённой изоляции, доля ошибок, успешность снятия и сохранение нужных каналов.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

Дать аналитику одинаковую задачу найти источник инцидента и затронутые узлы; разрешить штатные средства конкретной поставки.

Измерить: Время и полнота ответа, пропущенные связи, потребность во внешних средствах.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.

Проверяется на пилоте

В тестовом контуре отключить сеть или компонент, восстановить работу и сверить очередь/события с контрольным журналом.

Измерить: Потерянные события, время восстановления, целостность данных; пороги задаёт заказчик.