Сравнение российских песочниц по функциям

Есть в указанной области

Файлы запускаются в виртуальных ОС; Sandbox отслеживает их поведение и передаёт результаты Central Node.

Именно компонент Sandbox; статические движки работают отдельно на Central Node.

Физические страницы PDF EN: 70–74

Документация ↗

Есть в указанной области

Sandbox запускает объекты в поставляемых виртуальных ОС и анализирует поведение.

Для внешних систем API сообщает признаки подозрительного поведения; дальнейшее решение принимает внешняя система.

Installing and configuring images of operating systems and software required for the operation of Kaspersky Sandbox (ID 188108); Interaction with external systems using the API (ID 189732)

Документация ↗ Документация ↗

Есть в указанной области

Файлы запускаются в изолированных гостевых ОС. Доступны автоматический режим, запуск с командной строкой и интерактивный VNC; автоматическая проверка ограничена 10 минутами, интерактивная — 30 минутами. Поддержка перезагрузки зависит от образа.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Проверка объектов; PT Sandbox 5.37 — Параметры проверки объектов; PT Sandbox 5.37 — Поведенческий анализ в интерактивном режиме

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Документировано исследование поведения в изолированных виртуальных и физических средах, включая фиксацию потребляемых ресурсов.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Результат строится по наблюдаемым действиям. Это описание механизма, не доказательство эффективности обнаружения.

Физические страницы PDF 3

Документация ↗

Есть в указанной области

Объект запускается в изолированной среде; фиксируются процессы, файловая и сетевая активность. Предусмотрены гипервизор и низкоуровневый монитор.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.4–5

Документация ↗

Есть в указанной области

Файл запускается в выбранных виртуальных средах; анализируются поведение, процессы и артефакты. Windows использует модифицированный гипервизор, Linux — программную виртуализацию и специальный драйвер внутри гостя.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

«Внутреннее устройство Dr.Web vxCube»: Windows Sandbox, Linux Sandbox, Analyser Service; How Files Are Analyzed

Документация ↗ Документация ↗

Есть в указанной области

Central Node проверяет объекты антивирусным движком AM и правилами YARA до поведенческого анализа.

Функция платформы с Central Node, а не самостоятельного Sandbox. Облачный MAA для APK не является Android-гостевой ОС.

Физические страницы PDF EN: 71,74

Документация ↗

Сценарий требует пояснения

При отправке через API программа определяет формат по заголовку файла, независимо от расширения.

Это документированный разбор без запуска. Полноценный отдельный статический движок/правила YARA для Sandbox 2.0 в изученной справке не установлены; свойства KES не присвоены серверу.

Interaction with external systems using the API (ID 189732)

Документация ↗

Есть в указанной области

Документированы антивирусная проверка, YARA-правила PT и пользователя, индикаторы компрометации и ретроспективный анализ. В версии 5.37 PT ML ByteDog проверяет исполняемые файлы Windows без запуска. Тестовые YARA-правила не меняют итоговый вердикт.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Проверка объектов; PT Sandbox 5.37 — Что нового в версии 5.37; PT Sandbox 5.37 — Параметры проверки объектов

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Техническая спецификация описывает анализ структуры и содержимого, подключаемые антивирусные движки, репутационные ресурсы и распаковку архивов.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Состав внешних движков и нейросетей требует определения в поставке; доступ к внешним ресурсам — отдельная зависимость.

Физические страницы PDF 2

Документация ↗

Есть в указанной области

Документирован статический сигнатурный анализ. Пользовательские YARA-правила могут влиять на вердикт независимо от результатов детонации.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

Функциональные характеристики с.5; администратор с.28

Документация ↗ Документация ↗

Есть в указанной области

Сервис Dr.Web проверяет образец и полученные дампы; доступны системные и пользовательские YARA-правила. Поведенческие условия модуля dr_sandbox отдельно от проверки содержимого файла.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Внутреннее устройство: Dr.Web Scan Service; YARA Rules; The dr_sandbox Module

Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

Документированы файлы и URL из почты/трафика, настраиваемый предел размера Sensor и до 50 паролей для архивов и защищённых офисных документов.

REST API принимает objectType=file. Без подходящего пароля защищённые архивы не обрабатываются. Полная единая таблица форматов, глубины вложенности и лимитов всех каналов не установлена.

Физические страницы PDF EN: 57,298,380,757–759

Документация ↗

Сценарий требует пояснения

API принимает перечисленные PE EXE, форматы Word/Excel/PowerPoint, RTF и PDF; предел файла — 60 МБ.

Список привязан к внешнему API. Обработка URL, вложенных/запароленных архивов и передача пароля не установлены.

List of supported file formats (ID 190979); Scanning objects (ID 189762)

Документация ↗ Документация ↗

Есть в указанной области

Поддерживаются PE/DLL, документы и скрипты Windows, ELF/SH/DEB/RPM и документы Linux, APK Android. Архивы распаковываются по умолчанию до двух уровней; для ICAP и PT NAD распаковка по умолчанию отключена. Пароли задаются пользователем, списком или извлекаются из письма; нераспакованный архив проверяется как обычный файл. URL загружаются и разбираются, дочерние файлы проверяются отдельно. Unpacker по умолчанию извлекает только фрагмент до 512 МБ; это не лимит всех движков. JavaScript из ICAP/PT NAD не направляется на поведенческий анализ.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Типы файлов, отправляемых на поведенческий анализ; PT Sandbox 5.37 — Алгоритм и особенности проверки объектов; PT Sandbox 5.37 — Настройка лимитов на размер извлекаемых файлов

Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

Есть таблица принимаемых архивов, документов, исполняемых файлов Windows/Linux/Android, почтовых файлов и скриптов; описаны URL и защищённые паролем архивы.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Приём расширения не гарантирует динамический запуск каждого формата. Точные пределы размера/вложенности и механизм передачи пароля в актуальной спецификации не раскрыты.

Физические страницы PDF 2,4–5

Документация ↗

Сценарий требует пояснения

Документы перечисляют EXE/DLL, PDF, архивы и Android-приложения; лимит объекта 100 МБ. Пароли ищутся в контексте и дополнительных словарях. Полная таблица форматов и глубина архивов не приведены.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

Функциональные характеристики с.5; администратор с.28

Документация ↗ Документация ↗

Что уточнить: Пришлите таблицу форматов, лимитов и глубины архивов для текущей версии; какие URL проверяются самостоятельно?

Сценарий требует пояснения

Документированы исполняемые файлы Windows/Linux/Android, офисные документы, PDF, Java, скрипты и Docker. Архивы, включая EML, принимаются через API; каждый извлечённый файл анализируется отдельным запросом. Пароль архива: 1–25 символов. Самостоятельная отправка URL на детонацию не подтверждена.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Требования к анализируемым файлам: таблица и примечание об архивах; Samples → POST; Preparing for Installation → vxcube_web_max_body_size

Документация ↗ Документация ↗ Документация ↗

Что уточнить: Поддерживается ли отправка URL как самостоятельного объекта, а не извлечение ссылок из поведения? Каковы актуальные ограничения вложенности/числа файлов/объёма распаковки и согласованный лимит загрузки?

Есть в указанной области

Предустановленные наборы включают Windows 7/10, CentOS 7.8 либо Astra Linux 1.7 вместе с Windows. Набор на Central Node должен совпадать с установленными образами Sandbox.

Это гостевые среды. APK-анализ MAA не подтверждает Android-детонацию. Приложения и лицензирование зависят от образа.

Физические страницы PDF EN: 233–235,285–286

Документация ↗

Есть в указанной области

Поставка содержит образы Windows 7 x64 и Windows 10 x64 с приложениями и лицензионными ключами.

Windows 7 обязателен; только с Windows 10 продукт не работает. Внешние API-объекты проверяются только в Windows 7.

Installing and configuring images of operating systems and software required for the operation of Kaspersky Sandbox (ID 188108); Uploading the ISO image of the operating system and software required for the operation of Kaspersky Sandbox (ID 188109); Installing virtual machines with the image of the operating system and software required for the operation of Kaspersky Sandbox (ID 188110); Interaction with external systems using the API (ID 189732)

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

В наборе базовых образов указаны Windows 7 SP1, 8.1 Update 1, 10 (1803 и 22H2), 11 (23H2), Server 2016 и 2019; Linux: ALT Workstation 10, РЕД ОС 7.3/8, Astra Linux SE 1.7/1.8 и Ubuntu 22.04; Android-x86 9 Pie. ALT и промышленный образ Windows 7 требуют дополнительной лицензии. Версии приложений привязаны к образу; это гостевые среды анализа, а не ОС сервера.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Base VM images

Документация ↗

Есть в указанной области

Для детонации перечислены Windows 7/10, Server 2016/2019; Android 10/11/12/13/15; Astra SE 1.7.3, OREL 2.12.45/2.12.4, CentOS 8, Debian 9.4.0, openSUSE 15.5, RedOS 7.2, Ubuntu 20.04/22.04.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Это таблица гостевых ОС актуальной спецификации без номера сборки. Хостовые Debian 12/Astra 1.7/Ubuntu 22.04 со страницы 6 не смешаны с гостевыми. Windows XP и Fedora из руководства 2021 не добавлены к текущему списку.

Физические страницы PDF 3,6

Документация ↗

Есть в указанной области

В техническом комплекте перечислены Windows XP/7/10 x86/x64 и Android 7. Linux упоминается на текущей продуктовой странице, но этой документацией не подтверждён.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.5

Документация ↗

Что уточнить: Подтвердите актуальные гостевые ОС, включая Linux, и применимость руководства к текущей поставке.

Есть в указанной области

Гости: Windows XP x86, 7 x86/x64, 10/11 x64; Android 7.1; Astra SE 1.7/CE 2.12 и перечисленные сборки Debian 8/10/11 для Intel, ARM, MIPS, PowerPC. Выбираются версии приложений из документированного перечня; платформы определяются лицензией.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Список программного обеспечения на виртуальных машинах: таблицы ОС/приложений; Лицензирование

Документация ↗ Документация ↗

Есть в указанной области

Документирован цикл ISO → шаблон → настройка ОС/приложений → виртуальная машина; для пользовательского образа требуются собственные правила Sandbox.

Поддерживаемый список ограничивает пользовательские ОС Windows 7, 8.1 x64, 10 x64 до 1909. Windows Server/Linux не поддерживаются как пользовательские образы; свои лицензии. XP указан в шаге загрузки, но не в общем списке поддержки — без обещания поддержки XP.

Физические страницы PDF EN: 41,233–235,247–256

Документация ↗

Отсутствие подтверждено

Работа с другими образами операционных систем прямо не предусмотрена документацией.

Отрицание относится к Kaspersky Sandbox 2.0 и пользовательским образам; не переносится на Sandbox-компонент KATA.

Installing and configuring images of operating systems and software required for the operation of Kaspersky Sandbox (ID 188108)

Документация ↗

Есть в указанной области

ImageBuilder создаёт пользовательский образ из базового Windows/Linux, а Windows также из ISO или QCOW2. ОС и приложения настраиваются через консоль/VNC; результат импортируется как .sandboximage размером до 30 ГБ. Для подготовки требуются Xen, компоненты PT Sandbox и доступ к msdl.microsoft.com; это отдельный этап подготовки образа.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Создание пользовательского образа ВМ; PT Sandbox 5.37 — Создание образа ВМ из базового образа; PT Sandbox 5.37 — Работа с образами ВМ

Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

Среды допускают настройку под контент и состав ПО организации; экспертный режим позволяет настраивать среду исследования.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Не установлена процедура самостоятельного создания, импорта, обновления и лицензирования произвольного пользовательского образа. Кастомизация не равна свободному импорту любой ОС.

Физические страницы PDF 3,6

Документация ↗

Недостаточно подтверждений

Документирован morphing домена, имени компьютера и пользователя; создание профиля не подтверждает импорт собственных образов ОС и приложений.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.30–31

Документация ↗

Что уточнить: Можно ли импортировать и сопровождать собственный образ ОС с приложениями? Нужна инструкция для текущей версии.

Недостаточно подтверждений

Есть параметры репозиториев и переклонирования образов, установки Office и выбора ресурсов ВМ. Полная поддерживаемая процедура создания и сопровождения произвольного собственного гостевого образа не найдена; настройка поставляемого образа не приравнена к BYO image.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Preparing for Installation → hyperbox_images_repo, hyperbox_images, vxcube_optional_types_codes, dimas_images, linuxbox_images; Обновление → полученные образы

Документация ↗ Документация ↗

Что уточнить: Можно ли создавать собственные гостевые образы ОС и приложений? Нужны руководство подготовки, ограничения поддерживаемых ОС/драйверов, импорт, проверка и обновление такого образа.

Недостаточно подтверждений

Не установлено документальное описание специальных механизмов против проверок виртуальной среды, задержек выполнения и имитации пользователя.

Настройка приложений и макросов в пользовательском образе сама по себе не доказывает противодействие обходу.

Физические страницы PDF EN: 233–256

Документация ↗

Что уточнить: Какие механизмы против anti-VM/sleep и имитации пользовательской активности документированы для Sandbox ветки KATA 8.0; укажите сборку, применимые образы и раздел руководства?

Недостаточно подтверждений

Специальные механизмы против проверки виртуальной среды, задержек и имитации действий пользователя не установлены.

Эмуляция доступа в Интернет подтверждает сетевой режим, но не эти механизмы обхода.

Configuring a network interface to be used by virtual machines for Internet access (the detonation interface) (ID 188104)

Документация ↗

Что уточнить: Какие механизмы против anti-VM/sleep и имитации действий пользователя доступны в Sandbox 2.0, кроме эмуляции сети; укажите сборку и технический раздел?

Есть в указанной области

Anti-Evasion маскирует признаки виртуализации и окружения, имитирует активность пользователя и использует файлы-приманки. Документированы интерактивная работа и перезагрузка для отдельных образов. Отдельный механизм против проверок времени или длительных задержек в прочитанных разделах не установлен; наличие Anti-Evasion не доказывает обнаружение каждого обхода.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Проверка объектов; PT Sandbox 5.37 — Параметры проверки объектов

Документация ↗ Документация ↗

Что уточнить: Какие механизмы PT Sandbox 5.37 противодействуют проверкам времени и отложенному запуску, для каких гостевых ОС и с какими пределами?

Есть в указанной области

Документированы пользовательский контент и автоматическая имитация работы пользователя; эксперт может участвовать в такой имитации.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Специальная обработка anti-VM и ускорение задержек не описаны. Физическая среда сама по себе не доказывает устранение всех способов обхода.

Физические страницы PDF 3,6

Документация ↗

Есть в указанной области

Описаны эмуляция действий пользователя, изменение параметров окружения, CV и извлечение дополнительных команд из реестра. Документирован механизм; эффективность обхода уклоняющихся образцов проверяется на пилоте.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

Функциональные характеристики с.5–6; администратор с.30–31

Документация ↗ Документация ↗

Есть в указанной области

Документированы автокликер, интерактивный VNC, установка системной даты и параметры времени анализа. Наблюдение Windows выполняется на уровне гипервизора; Linux использует гостевой драйвер. Устойчивость к конкретным anti-VM/anti-sandbox техникам требует пилота.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Analyses → POST: monkey_clicker, set_date, analysis_time; General Information: Flex sample time; архитектура Windows/Linux

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Для поведения образца выделяется отдельный сетевой интерфейс; выход в Интернет можно не предоставлять.

Без доступа анализируется только автономное поведение. Сеть детонации должна быть отделена от корпоративной LAN; выход в Интернет допускает отправку образцом данных наружу. Эмуляция Интернета здесь не подтверждена.

Физические страницы PDF EN: 228–229

Документация ↗

Есть в указанной области

Сеть детонации отделяется от управляющей; при отсутствии Интернета применяется эмуляция доступа.

Подсети не должны пересекаться. Документация предупреждает о снижении качества без Интернета и о риске передачи образцом данных при разрешённом выходе.

Configuring a network interface to be used by virtual machines for Internet access (the detonation interface) (ID 188104)

Документация ↗

Есть в указанной области

Отчёт содержит сетевые объекты и PCAP; PT ML/PT DPI анализируют сетевое поведение. Гостевая ОС и артефакты могут обращаться наружу по произвольным портам и протоколам. При использовании прокси гостевые ОС не имеют внешнего доступа; для его включения нужен дополнительный интерфейс и маршрутизация через отдельный шлюз, инструкцию предоставляет поддержка. Это управление сетевой схемой узлов, а не доказательство политики для каждого образца или эмуляции всех внешних сервисов.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Карточка поведенческого анализа; PT Sandbox 5.37 — Скачивание результатов поведенческого анализа; PT Sandbox 5.37 — Настройка средств проверки Positive Technologies; PT Sandbox 5.37 — Требования к сетевой инфраструктуре; PT Sandbox 5.37 — Порты взаимодействия дополнительных узлов PT Sandbox с компонентами информационной системы

Документация ↗ Документация ↗ Документация ↗ Документация ↗ Документация ↗

Недостаточно подтверждений

Не установлена техническая настройка выхода образца в Интернет, сетевой эмуляции и запрета доступа к корпоративным подсетям.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Сбор IP/доменов и анализ URL не равнозначны управлению сетью детонации.

Физические страницы PDF 12–17

Документация ↗

Что уточнить: Укажите раздел актуального руководства и сборку: как настраиваются egress образца, запрет корпоративных подсетей, DNS и эмуляция Интернета?

Есть в указанной области

Доступ гостя в Интернет имеет режимы «Требуется», «Отключён», «Опционален»; маршрут через MXDR Console либо mgmt-порт. Проверку ссылок можно направить через отдельный прокси. При обязательном доступе его отсутствие откладывает анализ.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.24–25

Документация ↗

Есть в указанной области

Выход гостя направляется через настроенный VPN или прокси, доступен UDP redirect; сохраняются сетевые события и PCAP/PCAPNG. MITM расшифровка TLS документирована только для Windows. VPN-сервер разворачивается отдельно.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Additional Analysis Settings → Network, MITM; Network Activity Map; Appendix E → EXTERNAL connections

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Доступны события, дерево процессов, HTTP/DNS и сетевые события, снимки экрана и полный журнал по гостевой ОС.

Результаты поведения отображаются только при обнаружении Sandbox; отсутствие такого отчёта у чистого объекта не означает отсутствия проверки. Для Windows 7 x64 описаны быстрый и полный журналы.

Физические страницы PDF EN: 425–427

Документация ↗

Сценарий требует пояснения

В KSC Web Console доступны отчёты об угрозах; API возвращает состояние и результат обнаружения признаков поведения.

Дерево процессов, подробная временная шкала и скачиваемый полный журнал поведения образца в этой справке не подтверждены.

Viewing the threat report (ID 189688); Viewing scan results (ID 189763)

Документация ↗ Документация ↗

Есть в указанной области

Карточка показывает граф процессов, служб, файлов, реестра, мьютексов и сетевой активности, с событиями и связями. Доступны версия правил, длительность, при включении — видео; можно скачать AMSI, дампы памяти и созданные файлы. При перезагрузке результаты до и после неё выгружаются отдельно.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Карточка поведенческого анализа; PT Sandbox 5.37 — Скачивание результатов поведенческого анализа

Документация ↗ Документация ↗

Сценарий требует пояснения

Спецификация описывает сбор событий поведения и возможность наблюдать исследование в экспертном режиме.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Состав выдаваемого отчёта, дерево процессов, временная шкала и выгрузка PCAP/полного журнала технически не раскрыты в доступных полных документах.

Физические страницы PDF 3,6

Документация ↗

Есть в указанной области

Отчёт содержит процессы, сетевую и файловую активность; доступны запись экрана, извлечённые конфигурации и командные центры.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.5

Документация ↗

Есть в указанной области

Отчёт содержит вердикт, правила поведения/YARA, процессы, API-события, созданные файлы и дампы, сеть, снимок и видео; Android добавляет intents, звонки/SMS. Граф процессов отсутствует в отчётах APK. Артефакты могут не собраться при ресурсных ограничениях.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Структура отчёта; Process Graph → Android limitation; Files and Dumps; General Information

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

Из карточки доступны IP/URL, хеши и артефакты; можно скачать полный журнал и архив снимков экрана.

В этих разделах не подтверждена единая машиночитаемая выгрузка всех индикаторов в STIX/OpenIOC. Ссылка на TIP — отдельная интеграция.

Физические страницы PDF EN: 425–427

Документация ↗

Сценарий требует пояснения

Через KSC можно экспортировать IOC-коллекцию задачи поиска IOC в ZIP.

Это коллекция задачи Kaspersky Endpoint Agent, а не подтверждение автоматической выгрузки всех артефактов Sandbox.

IOC collection export (ID 236239); Configuring user permissions to manage IOC Scan tasks (ID 191707)

Документация ↗ Документация ↗

Есть в указанной области

В отчёте и API доступны IP-адреса, домены и URL, хеши и артефакты. Выгружаются события CSV, коррелированные и нормализованные JSON.gz, PCAP и исходный журнал drakvuf. API /analysis/report возвращает подробные результаты и ссылки на артефакты; syslog передаёт события в JSON по RFC 5424. Поддержка STIX/TAXII здесь не заявляется.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Карточка поведенческого анализа; PT Sandbox 5.37 — Скачивание результатов поведенческого анализа; PT Sandbox 5.37 — Получение подробных результатов проверки; PT Sandbox 5.37 — Формат сообщений syslog

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Недостаточно подтверждений

Машиночитаемые форматы экспорта индикаторов и артефактов не установлены.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Упоминания IOC-ботов в маркетинге и внешних аналитических ресурсов не подтверждают STIX/OpenIOC/CSV-экспорт из результата.

Физические страницы PDF 17–18

Документация ↗

Что уточнить: Какие индикаторы/артефакты доступны для экспорта из отчёта, в каких форматах и API; укажите сборку и документацию?

Сценарий требует пояснения

Файловые и сетевые индикаторы передаются в компоненты MXDR; документирован экспорт объектов. Внешние форматы IOC, схема и контракт выгрузки в этом комплекте не раскрыты.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.5,8–9

Документация ↗

Что уточнить: Какие форматы и методы доступны для выгрузки IOC и отчётов во внешние системы?

Есть в указанной области

Выгружаются HTML/PDF и ZIP отчёта, сетевые дампы, файлы/дампы, хеши и сетевые артефакты через UI/API. Архитектура указывает MAEC/STIX для описания поведения; версия STIX и готовый TAXII-коннектор здесь не подтверждены.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Скачивание отчёта; Tasks → archive, networks, dumps, drops, api_log; Files and Dumps; Analyser Service

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

События поведения сопоставляются с техниками MITRE ATT&CK в карточке результатов Sandbox.

В пределах доступных результатов обнаружения Sandbox; полноту покрытия техник документация не измеряет.

Физические страницы PDF EN: 425–427

Документация ↗

Недостаточно подтверждений

Разметка результатов Kaspersky Sandbox 2.0 по MITRE ATT&CK в изученной RU/EN-справке не установлена.

Разметку KATA или Kaspersky Research Sandbox не переносим.

Viewing the threat report (ID 189688); Viewing scan results (ID 189763)

Документация ↗ Документация ↗

Что уточнить: Доступна ли разметка результатов Sandbox 2.0 по ATT&CK; в каком интерфейсе/API, сборке и документе?

Есть в указанной области

Для подозрительного поведения в карточке указаны связанные идентификаторы техник MITRE ATT&CK со ссылками и наблюдаемыми событиями. Это разметка конкретного результата, а не подтверждение покрытия всей матрицы ATT&CK.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Карточка поведенческого анализа

Документация ↗

Недостаточно подтверждений

Техническое описание сопоставления результата с ATT&CK, версии матрицы и выгрузки техник не установлено.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Программа обучения и разбор отдельного вредоносного образца не определяют контракт функции для поставки.

Физические страницы PDF 1–6

Документация ↗

Что уточнить: В какой сборке и интерфейсе доступно сопоставление поведения с ATT&CK; где описаны версия матрицы, пояснения и выгрузка?

Есть в указанной области

Результаты анализа сопоставляются с тактиками и техниками MITRE ATT&CK и передаются в XDR.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.5,9

Документация ↗

Есть в указанной области

Матрица ATT&CK связывает наблюдения с техниками/подтехниками и пояснениями; API выдаёт enterprise/mobile матрицы. Наличие разметки не является измерением полноты обнаружения.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

MITRE ATT&CK Matrix → technique details; Tasks → mitre_matrix_enterprise / mitre_matrix_mobile

Документация ↗ Документация ↗

Есть в указанной области

Пользователь может загрузить файл в Хранилище и запустить проверки AM, YARA и Sandbox.

Роль аудитора не может загружать и проверять файлы. Полнота функций Хранилища зависит от лицензии; в данном описании KATA + NDR.

Физические страницы PDF EN: 591–592

Документация ↗

Есть в указанной области

Документация даёт ручную отправку файла командой curl через POST /sandbox/v1/tasks и получение результата.

Ручная отправка через REST API; отдельная форма загрузки файла в веб-интерфейсе не подтверждена. Настройки гостевой ОС для этого канала ограничены Windows 7.

Interaction with external systems using the API (ID 189732); Scanning objects (ID 189762); Viewing scan results (ID 189763)

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

В веб-интерфейс можно отправить файлы и ссылки с выбранными параметрами анализа. Файл должен быть меньше 1 ГБ; по URL при превышении лимита скачивается и проверяется только первый 1 ГБ. Для каждого объекта создаётся отдельное задание.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Проверка объектов через веб-интерфейс; PT Sandbox 5.37 — Параметры проверки объектов

Документация ↗ Документация ↗

Есть в указанной области

Экспертный режим предусматривает ручную загрузку файла, настройку параметров, запуск и наблюдение за исследованием.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. В спецификации также указан telegram-bot; использование внешнего канала требует отдельного решения о передаче данных. Ручная загрузка сама по себе не требует Telegram.

Физические страницы PDF 6

Документация ↗

Есть в указанной области

Есть ручная загрузка с параметрами анализа, фильтр Manual и проверка отчёта; предусмотрено подключение по RDP к гостю во время анализа.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

Функциональные характеристики с.5; администратор с.19–20

Документация ↗ Документация ↗

Есть в указанной области

Веб-интерфейс принимает файл, предлагает формат, гостевые ОС/версии приложений и дополнительные параметры анализа; доступно интерактивное подключение VNC.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

How Files Are Analyzed; Additional Analysis Settings

Документация ↗ Документация ↗

Есть в указанной области

Sensor получает почтовые данные по SMTP-интеграции, POP3(S) либо через KSMG/Kaspersky Security для Linux Mail Server.

SMTP из зеркалированного SPAN даёт только вложения: тело и URL требуют SMTP-интеграции. Это приём/анализ копий, не обещание встроенного карантина всей почты.

Физические страницы PDF EN: 25,299–301

Документация ↗

Недостаточно подтверждений

Встроенный SMTP/POP-приём либо документированный почтовый коннектор Sandbox 2.0 не установлен.

Передача извлечённого файла через общий REST API возможна, но не доказывает готовую почтовую интеграцию.

About the Kaspersky Sandbox solution (ID 223822); Interaction with external systems using the API (ID 189732)

Документация ↗ Документация ↗

Что уточнить: Есть ли для Sandbox 2.0 документированный почтовый коннектор или SMTP/POP-приём; какие компоненты, версии и схема доставки требуются?

Есть в указанной области

Документированы SMTP-источник для почтового сервера в режиме фильтрации и пример Postfix 3.2: письмо проходит PT Sandbox и возвращается на доставку. TLS/проверка сертификатов и маршрутизация настраиваются отдельно; без поддержки STARTTLS возможна незашифрованная передача. Служба Checkme принимает вручную отправленные вложения, URL и пароли и возвращает результат письмом.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Postfix 3.2 в режиме фильтрации; PT Sandbox 5.37 — Проверка объектов по электронной почте

Документация ↗ Документация ↗

Есть в указанной области

В технической спецификации указаны приём почтового трафика по SMTP и автоматический анализ вложений.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Это заявленный технический канал. Точные режимы маршрутизации, TLS, исключения и условия fail-open требуют руководства для сборки; функции отдельного KAIROS не присвоены.

Физические страницы PDF 1,6

Документация ↗

Есть в указанной области

Почтовый маршрут реализуется через NTA/BEP: SMTP-маршруты, копии BCC и отдельный ящик POP3/IMAP. Это связка компонентов, а не собственный почтовый шлюз MDP.

Комплект MDP + NTA/BEP под MXDR Console; SMTP-маршруты/BCC либо POP3/IMAP-клиент NTA. Самостоятельный MDP не является почтовым шлюзом. Точный номер релиза комплекта не указан.

NTA §5.4, физические страницы53–56; MDP функциональные характеристики, страница8

Документация ↗ Документация ↗

Что уточнить: Уточните поставку и лицензии NTA/BEP для почтовой интеграции с текущим MDP.

Есть в указанной области

Через отдельный Dr.Web MailD (документация UNIX Mail 11.1): активная SMTP-интеграция с Postfix либо пассивные BCC-копии от MTA. MailD отправляет EML/вложения по API vxCube; нужны лицензия vxCube, API-адрес/ключ и HTTPS. Это не встроенный MTA vxCube.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090. Отдельный компонент Dr.Web MailD / UNIX Mail 11.1.

Integration with Dr.Web vxCube → Basics, SMTP Mode, BCC Mode, Configuring Dr.Web MailD Settings; Системные требования → MailD/SSL

Документация ↗ Документация ↗

Есть в указанной области

Поддержана интеграция с прокси по ICAP и извлечение объектов из зеркалированного HTTP/HTTP2/FTP и других протоколов.

HTTPS требует расшифрования на прокси. KATA — ICAP-сервер, прокси — клиент; на ICAP-соединении документация не предусматривает шифрование и аутентификацию.

Физические страницы PDF EN: 25,303–306

Документация ↗

Недостаточно подтверждений

REST API позволяет внешней системе отправлять файл и получать результат, но штатный ICAP/прокси-коннектор либо автоматический сбор из файлового хранилища для Sandbox 2.0 в изученной справке не установлен.

Kaspersky Sandbox 2.0; общий API не приравнивается к готовому коннектору. Возможности KATA не перенесены.

Interaction with external systems using the API (ID 189732); Scanning objects (ID 189762)

Документация ↗ Документация ↗

Что уточнить: Есть ли у Kaspersky Sandbox 2.0 штатная интеграция с веб-прокси/ICAP либо автоматическое получение файлов из SMB/NFS/S3 или наблюдаемого каталога? Укажите поддерживаемый компонент и его версию, протокол, режим передачи и руководство настройки. Если поддержан только общий REST API, подтвердите эту границу.

Есть в указанной области

Внешний прокси или шлюз передаёт объекты ICAP-серверу PT Sandbox. Поддержаны REQMOD/RESPMOD и пассивный режим; ответ ICAP формируется только по статическому анализу, а динамический результат остаётся в карточке. Режим и возможность блокировки зависят от лицензии и настроек клиента. Это интеграция с источником, а не встроенный универсальный веб-шлюз.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Внешняя система как ICAP-клиент

Документация ↗

Есть в указанной области

Документирован приём веб-трафика и данных по ICAP; среди файловых протоколов перечислены FTP(S), SMB и NFS.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Спецификация не описывает роли, аутентификацию и обработку ошибок каждого коннектора. Не обещается расшифрование HTTPS без внешнего компонента.

Физические страницы PDF 1

Документация ↗

Есть в указанной области

NTA принимает файлы по ICAP от Web Proxy/UTM/NGFW и направляет их на детонацию MDP. Из копии трафика может восстанавливать HTTP-файлы; потеря пакетов влияет на сборку объектов.

Комплект MDP + NTA под MXDR Console: NTA — ICAP-сервер; внешний Web Proxy/UTM/NGFW — клиент. Дополнительно сбор объектов из копии трафика/общих ресурсов. Самостоятельный MDP не объявляется ICAP-шлюзом.

NTA §5.5.3, страницы58–59; §5.7, страницы67–69

Документация ↗

Что уточнить: Уточните актуальную совместимость и лицензии NTA/MDP для ICAP и обработки HTTPS.

Недостаточно подтверждений

Документированный HTTP API позволяет загрузить файл, но отдельный штатный маршрут ICAP/прокси либо автоматический сбор из SMB/NFS/S3/файлового хранилища в изученной документации не установлен. Внутренний FTP Shared Storage не считается входным файловым коннектором.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Внутреннее устройство → Shared Storage; Samples → POST

Документация ↗ Документация ↗

Что уточнить: Какие штатные коннекторы поддерживают ICAP/прокси, SMB/NFS/S3 или наблюдение за каталогом? Укажите компонент, версию, протокол, режим inline/copy и руководство настройки.

Есть в указанной области

REST API документирует отправку файла, получение состояния/результата по scanId и удаление результата; указаны TLS-клиентский сертификат, лимиты и коды ошибок.

Объект API — файл. Лимиты получают отдельно; 429 ограничивает частоту, 413 — размер. Удаление результата не равнозначно удалению исходного файла из всех хранилищ.

Физические страницы PDF EN: 757–760

Документация ↗

Есть в указанной области

Описаны POST /sandbox/v1/tasks и GET результата по task_id, состояния обработки, ошибки размера, лицензии и очереди.

Внешние файлы проверяются в Windows 7; 60 МБ. Вердикт API не выполняет действие в сторонней системе автоматически.

Interaction with external systems using the API (ID 189732); Scanning objects (ID 189762); Viewing scan results (ID 189763)

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Публичный API документирует отправку файлов и URL, асинхронный идентификатор задания и получение подробного результата /analysis/report. Каждый запрос требует X-API-Key; токен связан с разрешением и источником. По умолчанию результаты доступны с токеном отправки, отдельное разрешение TASKS_VIEW_ALL расширяет просмотр. Для неуспешных запросов описаны ошибки.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Работа с токенами доступа; PT Sandbox 5.37 — Запуск проверки файла с выбранными параметрами; PT Sandbox 5.37 — Запуск проверки ссылки с выбранными параметрами; PT Sandbox 5.37 — Получение подробных результатов проверки

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

API назван каналом передачи данных в систему и автоматического анализа.

Техническая спецификация, 6 страниц, актуальная ссылка на /products/athena проверена 08.10.2026; дата и сборка внутри не указаны. Полный контракт отправки, состояния/получения результата, авторизации, ошибок и лимитов в актуальном доступном документе отсутствует. Название API не принимается за подтверждение всех методов.

Физические страницы PDF 1,6

Документация ↗

Сценарий требует пояснения

Интеграция через API указана в технических функциональных характеристиках. Полный контракт методов, авторизация и ограничения запросов не представлены в открытом комплекте.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.8

Документация ↗

Что уточнить: Пришлите руководство API: submit, status, verdict/report/artifacts, авторизация, лимиты и ошибки.

Есть в указанной области

API 2.0 JSON: ключ пользователя в Authorization, загрузка образца, запуск/состояние анализа, получение отчётов/артефактов, удаление и перезапуск. Официальный Python-клиент указан в руководстве.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

API 2.0; Authentication; Samples POST; Analyses POST/GET/DELETE; Tasks GET/restart

Документация ↗ Документация ↗ Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Вердикт может привести к блокировке выдачи файла на подключённом ICAP-прокси.

В стандартном режиме файл доступен во время анализа Sandbox. Расширенный режим задерживает выдачу, но при нагрузке может временно перейти в стандартный. Действие выполняет интегрированный прокси; EDR-изоляция хоста не присвоена.

Физические страницы PDF EN: 303–306

Документация ↗

Есть в указанной области

KES может поместить копию в карантин и удалить исходный файл, запустить проверку важных областей и групповую задачу поиска IOC.

Действия выполняет совместимый endpoint-компонент при настроенной интеграции/KSC, а не сервер Sandbox. Для ранее неизвестного объекта исходная отправка может быть асинхронной с разрешением доступа до вердикта.

Configuring Threat Response actions of Kaspersky Endpoint Security to respond to threats detected by Kaspersky Sandbox (ID 219798); About the Kaspersky Sandbox solution (ID 223822); Hardware and software requirements (ID 187411)

Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

Почтовая фильтрация и карантин позволяют задержать письмо, удалить, выпустить или переадресовать его. Для папки-шлюза предусмотрен блокирующий режим. ICAP-клиент получает решение только статического анализа: поведенческий вердикт не влияет на его действие. При истечении тайм-аута ICAP объект считается безопасным; у блокирующих источников возможен пропуск до окончания динамического анализа. Сквозное предотвращение требует проверки конкретного маршрута.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Настройка карантина для писем; PT Sandbox 5.37 — Параметры проверки объектов от источников; PT Sandbox 5.37 — Внешняя система как ICAP-клиент

Документация ↗ Документация ↗ Документация ↗

Что уточнить: Какой поддерживаемый маршрут гарантирует применение именно динамического вердикта до доставки и как ведёт себя при тайм-ауте?

Недостаточно подтверждений

Не установлена актуальная техническая схема исполнения блокировки/карантина по вердикту с указанием компонента и условий.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Маркетинговые схемы карантина не использованы. Буферизация прокси на время анализа в старом руководстве не доказывает полный контракт блокировки при ошибке/таймауте.

Физические страницы PDF 16

Документация ↗

Что уточнить: Какие компоненты выполняют блокировку/карантин по вердикту, какие условия таймаута/fail-open и отката; пришлите раздел руководства и сборку?

Есть в указанной области

При включённой блокировке ICAP-клиент ожидает поведенческий вердикт MDP через NTA; для вредоносного файла NTA отправляет клиенту команду блокировки. В отдельном режиме YARA может дать ответ до детонации. Действие исполняется ICAP-клиентом; для общих ресурсов NTA документирует мониторинг, удаление либо перемещение безопасных файлов.

Комплект MDP + NTA + внешний ICAP-клиент под MXDR Console; режим ожидания/блокировки включён. Это документированный сценарий, не гарантия отсутствия пропусков при любой нагрузке/ошибке.

NTA §5.5.3.2–5.5.3.3, страницы58–59; §5.7.2, страницы68–69

Документация ↗

Что уточнить: Как настроены таймауты и fail-open/fail-closed при недоступности MDP в поддерживаемой связке?

Есть в указанной области

Действие по почтовому вердикту исполняет отдельный MailD: Lua-обработчик SMTP выбирает PASS/REJECT/TEMPFAIL, вредоносное вложение может архивироваться. BCC только сообщает администратору и не блокирует доставку. API vxCube также позволяет запросить специальную сборку CureIt; это не автоматическая изоляция конечного узла.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090. Отдельный компонент Dr.Web MailD / UNIX Mail 11.1.

Integration with Dr.Web vxCube → SMTP Operating Principles steps 4–6, BCC Operating Principles; Analyses POST → generate_cureit

Документация ↗ Документация ↗

Есть в указанной области

Роли Central Node разграничивают действия с Хранилищем; Sandbox ведёт отдельный CEF-журнал действий пользователей, доступный для скачивания.

Аудитор не загружает/не проверяет файлы. Журнал действий Sandbox по умолчанию 90 дней, системный скачиваемый журнал — последние 7 дней; это разные журналы.

Физические страницы PDF EN: 262,591–592,692–694

Документация ↗

Сценарий требует пояснения

Описаны права KSC на IOC-задачи, схемы управления тенантами и системный журнал сервера.

Для общего кластера администратор видит данные всех тенантов. Ошибочная отправка файла на сервер другого тенанта программно не исключена. Полный журнал действий аналитиков с образцами и их отдельная RBAC-модель не подтверждены.

Multitenancy (ID 222476); Configuring user permissions to manage IOC Scan tasks (ID 191707); Downloading Kaspersky Sandbox system log to the hard drive (ID 188114)

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

PT MC обеспечивает локальные учётные записи, LDAP (AD/FreeIPA) и SAML 2.0. В версии 5.37 есть четыре стандартные роли и пользовательские роли; таблица разграничивает просмотр собственных/всех заданий и скачивание образцов. События audit.event фиксируют пользователя, действие, объект, время и результат, включая доступ к данным, изменения настроек и токенов.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Настройка аутентификации; PT Sandbox 5.37 — События аудита, audit.event

Документация ↗ Документация ↗

Сценарий требует пояснения

Руководство 2021 описывает администратора с доступом ко всем разделам и пользователя без доступа к настройкам, а также блокировку учётной записи.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Только документальный срез 17.09.2021. Отдельное разграничение доступа к образцам и журнал действий пользователей с неизменяемостью/сроком хранения не подтверждены.

Физические страницы PDF 26–28

Документация ↗

Сценарий требует пояснения

Для изменения полей устройства требуется роль owner; административная консоль защищена учётными данными. Полная матрица прав на образцы и журнал действий пользователей не раскрыты.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

с.10–12,23

Документация ↗

Что уточнить: Пришлите матрицу ролей, правила доступа к образцам и описание аудита действий.

Сценарий требует пояснения

Подтверждены роли администратора/пользователя и блокировка учётных записей, ключ API пользователя, история анализов. Полноценный журнал административных действий и разграничение просмотра/выгрузки чужих образцов не подтверждены. История анализов не названа аудитом действий.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Управление пользователями; History; Authentication

Документация ↗ Документация ↗ Документация ↗

Что уточнить: Как разграничен доступ к образцам/отчётам других пользователей и какой журнал фиксирует входы, выгрузку, удаление, смену ролей/настроек? Есть ли экспорт аудита и срок его хранения?

Есть в указанной области

Анализ выполняется на развёрнутых серверах. Документированы хранение объектов, сроки удаления временных данных Sandbox, журналы и обращения к облачным сервисам.

Sandbox хранит тело файла открыто во время обработки; данные/результат до получения Central Node либо автоудаления не более 24 часов, БД заданий 90 дней. Хранилище Central Node может хранить данные бессрочно. KSN/MAA/выход образца требуют отдельной оценки передачи данных; KPSN — отдельное решение.

Физические страницы PDF EN: 25,55–58,71,705–706

Документация ↗

Сценарий требует пояснения

Сервер находится в сети организации; KSN на сервере Sandbox не используется. Документированы данные активации и состав журналов, вручную передаваемых поддержке.

KSN у endpoint-компонента рассматривается отдельно. Системный журнал хранится 30 дней. Управляемый срок хранения/удаления самих образцов и результатов всех каналов не установлен.

About the Kaspersky Sandbox solution (ID 223822); Kaspersky Sandbox application data (ID 187424); Downloading Kaspersky Sandbox system log to the hard drive (ID 188114)

Документация ↗ Документация ↗ Документация ↗

Сценарий требует пояснения

Анализ и хранилище развёртываются на узлах организации. При заполнении хранилища файлы удаляются по очереди; сроки истории заданий и карантина настраиваются. По документации PT передаются имена, размеры, MIME-типы и хеши файлов, сведения о средствах и образах и результаты проверки; отключение этой передачи требует обращения в поддержку. Полная схема внешних обращений всех дополнительных движков отдельно не подтверждена.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Компоненты PT Sandbox; PT Sandbox 5.37 — Настройка хранилища файлов; PT Sandbox 5.37 — Настройка карантина для писем; PT Sandbox 5.37 — Отключение передачи информации о работе PT Sandbox

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Что уточнить: Предоставьте полный перечень внешних передач в выбранной конфигурации, включая дополнительные движки, и процедуру проверки отключения телеметрии.

Сценарий требует пояснения

В руководстве 2021 документированы физическое, виртуальное и облачное развёртывание, локальное файловое хранилище и интеграции с внешними аналитическими ресурсами.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Только срез 2021: сроки и гарантии удаления образцов/результатов, состав внешней передачи и режим отключения внешних запросов не определены. Облачное размещение не предполагается обязательным.

Физические страницы PDF 10,16–17

Документация ↗

Сценарий требует пояснения

Описаны локальная поставка и облачный модуль; выбор маршрута и отключение Интернета гостю. Сроки хранения, удаление образцов и полный перечень внешних передач не раскрыты; отключение гостевого Интернета не доказывает air gap всей системы.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

Жизненный цикл с.9–11,19; администратор с.24–25

Документация ↗ Документация ↗

Что уточнить: Как управляются хранение/удаление и передача образцов или метаданных наружу в каждой поставке?

Сценарий требует пояснения

On-Premise размещает компоненты и хранилище у заказчика; настраиваются удаление отчётов/файлов и минимальное время сохранения. Внешние соединения включают VPN/прокси гостя, обновление AV и необязательную проверку доменов. Полный состав внешне передаваемых данных и режим гарантированного запрета всех передач требуют уточнения.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Архитектура → PostgreSQL/Shared Storage; Preparing → keep_reports, keep_exchange_hours; Appendix E EXTERNAL; Срок хранения отчётов; Analyses DELETE

Документация ↗ Документация ↗ Документация ↗ Документация ↗ Документация ↗

Что уточнить: Какие хеши, URL, фрагменты или образцы могут передаваться внешним сервисам, включая CureIt/проверку ссылок? Как отключить их все; что удаляется из основного хранения, журналов и резервных копий?

Есть в указанной области

Есть автоматические и ручные обновления баз; для изолированной сети описан перенос через Kaspersky Update Utility и внутренний FTP/HTTP-сервер.

Утилиту и список серверов запрашивают в поддержке. Облачная репутация не становится автономной; создание пользовательского образа без Интернета требует отдельной загрузки отладочных символов. Образы управляются отдельно от баз.

Физические страницы PDF EN: 222–224,247–255

Документация ↗

Сценарий требует пояснения

Базы обновляются автоматически либо вручную в срок лицензии; доступны серверы вендора, KSC и пользовательский HTTP-источник/папка. Образы загружаются отдельно.

Это позволяет внутренний источник, но не доказывает полную автономность активации и всех обновлений без внешней подготовки. Лицензионные и сетевые зависимости сохраняются.

Database update (ID 188092); Selecting a database update source (ID 188094); Uploading the ISO image of the operating system and software required for the operation of Kaspersky Sandbox (ID 188109); Kaspersky Sandbox application data (ID 187424)

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Автообновления включены по умолчанию; можно раздельно планировать функциональные версии и исправления либо обновлять вручную. Для изолированного контура документирован локальный сервер обновлений: лицензированные обновления, лицензии и базы экспортируются на внешнем сервере и импортируются с носителя. Образы управляются отдельно; подготовка собственного образа имеет внешние зависимости, а проверки интернет-URL требуют соответствующей связности.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Настройка обновления PT Sandbox; PT Sandbox 5.37 — Перенос обновлений в изолированный сегмент сети; PT Sandbox 5.37 — Работа с образами ВМ; PT Sandbox 5.37 — Создание пользовательского образа ВМ

Документация ↗ Документация ↗ Документация ↗ Документация ↗

Недостаточно подтверждений

Полный актуальный регламент обновления ПО, движков, правил и гостевых образов, включая автономный режим, не получен.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Life_cycle индексируется поиском с упоминанием apt и физического носителя, но исходный PDF сейчас возвращает 404. Фрагмент не подтверждает все зависимости/применимость текущей сборке.

Физические страницы PDF 12

Документация ↗

Что уточнить: Пришлите актуальный Life_cycle/регламент для конкретной сборки: обновления сервера, движков, правил и гостевых образов, перенос в изолированную сеть и внешние зависимости.

Сценарий требует пояснения

Получение обновлений связано с MXDR Console; описаны штатные и экстренные обновления. Возможен анализ с отключённым Интернетом гостя, но процедура офлайн-обновления системы и образов не приведена.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

Администратор с.7,24–25; жизненный цикл с.14

Документация ↗ Документация ↗

Что уточнить: Есть ли регламент офлайн-обновлений движков/образов и перечень внешних зависимостей для закрытого контура?

Сценарий требует пояснения

Дистрибутив и образы обновляются по документированной процедуре с .hash/.ver; AV-сервис обращается к update.geo.drweb.com:80. Установка использует пакеты ОС/Python; предусмотрен свой PIP_INDEX_URL. Полная поддерживаемая процедура обновлений в изолированном контуре не подтверждена.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Обновление Dr.Web vxCube; Preparing → packages/PIP_INDEX_URL; Appendix E → Dr.Web Scan Service

Документация ↗ Документация ↗ Документация ↗

Что уточнить: Как штатно обновляются AV-базы, правила, движки и гостевые образы без Интернета? Нужны offline-инструкция, перечень обязательных внешних сервисов и ограничения работы/лицензирования в air-gap.

Сценарий требует пояснения

Документированы несколько Sandbox с маршрутизацией по образам, HA Central Node, а также экспорт/импорт конфигурации Sandbox.

HA Central Node выдерживает отказ одного сервера и не доказывает сохранение всех заданий Sandbox. Восстановление Sandbox из tar.gz требует одинаковой аппаратной/программной конфигурации и перезапуска; архив может содержать пароли и закрытые ключи.

Физические страницы PDF EN: 41,71,258–259

Документация ↗

Сценарий требует пояснения

Кластер реплицирует результаты и распределяет нагрузку; endpoint переключается на другой сервер при определённых ошибках.

Не более 32 серверов с одинаковой версией и набором VM. Ошибки отсутствия лицензии не равны обычному failover; инструкция резервного копирования/восстановления сервера и гарантии сохранения очереди при аварии не установлены.

Managing the cluster (ID 188791); Limitations that apply when adding servers to the cluster (ID 218515); Configuring the response timeout of Kaspersky Sandbox and request queue settings (ID 189424)

Документация ↗ Документация ↗ Документация ↗

Есть в указанной области

Высоконагруженная конфигурация распределяет анализ между дополнительными узлами; HA включает основной, два резервных и узлы анализа. Географическое резервирование не поддерживается. Очередь имеет приоритеты. Копия настроек не включает лицензию, параметры виртуальной машины и часть данных: YARA, образы и PostgreSQL сохраняют отдельно; восстановление требует совпадения версии, имён узлов и конфигурации. Таблица отказов допускает потерю данных и временную недоступность, поэтому нулевые потери и непрерывность не заявляются.

PT Sandbox 5.37, локальное развёртывание; возможности источников и производительность определяются лицензией.

PT Sandbox 5.37 — Выбор конфигурации PT Sandbox; PT Sandbox 5.37 — Отказоустойчивый кластер для высоконагруженной конфигурации; PT Sandbox 5.37 — Настройка поведенческого анализа; PT Sandbox 5.37 — Резервное копирование и восстановление параметров PT Sandbox; PT Sandbox 5.37 — Сценарии отказов; PT Sandbox 5.37 — Настройка поведенческого анализа

Документация ↗ Документация ↗ Документация ↗ Документация ↗ Документация ↗ Документация ↗

Что уточнить: Каковы подтверждённые RPO/RTO и правила повторной обработки заданий для выбранной конфигурации при отказе каждого компонента?

Сценарий требует пояснения

Руководство 2021 описывает экспорт/импорт настроек, очистку очереди и повторную отправку не более 500 последних ошибочных исследований.

Руководство развёртывания от 17.09.2021, 28 страниц; сборка не указана; применимость к текущей поставке не установлена. Это не подтверждает HA, сохранение всей очереди и восстановление хранилища/образов. Применимость процедур к текущей сборке требуется уточнить; цифры скорости из спецификации не являются испытанием.

Физические страницы PDF 23–26

Документация ↗

Сценарий требует пояснения

NTA может распределять задания между несколькими MDP, выбирая минимальную очередь. Есть мониторинг ресурсов и очереди. Резервирование управляющего узла, backup/restore и гарантия сохранности заданий не раскрыты.

F6 Malware Detonation Platform: текущий комплект mdp-info.f6.ru, проверен 08.10.2026; точный номер релиза в документах не указан. Интеграции NTA/BEP и MXDR Console выделены отдельно.

NTA §5.3.1 с.30; MDP администратор с.21–23

Документация ↗ Документация ↗

Что уточнить: Пришлите схему HA и восстановление конфигурации/очереди при отказах NTA, MDP и MXDR Console.

Сценарий требует пояснения

Документированы RabbitMQ-очередь, разделение сервисов по нескольким узлам, число ВМ/потоков и повторный запуск неуспешных заданий. Это не подтверждает HA управляющих сервисов, сохранение очереди при аварии либо проверенную процедуру backup/restore.

Dr.Web vxCube On-Premise 1.6; руководства HTML 1.6.0, сборка документации 1.6.0.202510090.

Архитектура → RabbitMQ; Installing on a Remote Server or a Group of Servers; Tasks → restart

Документация ↗ Документация ↗ Документация ↗

Что уточнить: Как резервируются БД/очередь/хранилище/управляющие сервисы? Нужны HA-топология, backup/restore, поведение выполняющихся заданий при отказе и условия лицензирования резервного узла.

Проверяется на пилоте

На согласованном размеченном наборе безопасных и вредоносных объектов проверить выбранные ОС, форматы и сценарии обхода. Повторить анализ и отдельно фиксировать ошибки, неподдерживаемые объекты и отсутствие запуска.

Измерить: Полнота обнаружения, доля ложных срабатываний, доля успешно проанализированных объектов и повторяемость; размеры наборов и условия обязательны.

Проверяется на пилоте

На согласованном размеченном наборе безопасных и вредоносных объектов проверить выбранные ОС, форматы и сценарии обхода. Повторить анализ и отдельно фиксировать ошибки, неподдерживаемые объекты и отсутствие запуска.

Измерить: Полнота обнаружения, доля ложных срабатываний, доля успешно проанализированных объектов и повторяемость; размеры наборов и условия обязательны.

Проверяется на пилоте

На согласованном размеченном наборе безопасных и вредоносных объектов проверить выбранные ОС, форматы и сценарии обхода. Повторить анализ и отдельно фиксировать ошибки, неподдерживаемые объекты и отсутствие запуска.

Измерить: Полнота обнаружения, доля ложных срабатываний, доля успешно проанализированных объектов и повторяемость; размеры наборов и условия обязательны.

Что уточнить: Какие ресурсы, лицензия и параметры анализа рекомендуются для воспроизводимого пилота?

Проверяется на пилоте

На согласованном размеченном наборе безопасных и вредоносных объектов проверить выбранные ОС, форматы и сценарии обхода. Повторить анализ и отдельно фиксировать ошибки, неподдерживаемые объекты и отсутствие запуска.

Измерить: Полнота обнаружения, доля ложных срабатываний, доля успешно проанализированных объектов и повторяемость; размеры наборов и условия обязательны.

Проверяется на пилоте

На согласованном размеченном наборе безопасных и вредоносных объектов проверить выбранные ОС, форматы и сценарии обхода. Повторить анализ и отдельно фиксировать ошибки, неподдерживаемые объекты и отсутствие запуска.

Измерить: Полнота обнаружения, доля ложных срабатываний, доля успешно проанализированных объектов и повторяемость; размеры наборов и условия обязательны.

Проверяется на пилоте

На согласованном размеченном наборе безопасных и вредоносных объектов проверить выбранные ОС, форматы и сценарии обхода. Повторить анализ и отдельно фиксировать ошибки, неподдерживаемые объекты и отсутствие запуска.

Измерить: Полнота обнаружения, доля ложных срабатываний, доля успешно проанализированных объектов и повторяемость; размеры наборов и условия обязательны.

Проверяется на пилоте

Подать репрезентативный поток объектов при заданных ресурсах, политиках и образах. Измерить очередь, длительность анализа, получение вердикта и ресурсные ограничения.

Измерить: Время до вердикта p50/p95/p99, объектов в час, длина очереди, ошибки и загрузка CPU/RAM/диска.

Проверяется на пилоте

Подать репрезентативный поток объектов при заданных ресурсах, политиках и образах. Измерить очередь, длительность анализа, получение вердикта и ресурсные ограничения.

Измерить: Время до вердикта p50/p95/p99, объектов в час, длина очереди, ошибки и загрузка CPU/RAM/диска.

Проверяется на пилоте

Подать репрезентативный поток объектов при заданных ресурсах, политиках и образах. Измерить очередь, длительность анализа, получение вердикта и ресурсные ограничения.

Измерить: Время до вердикта p50/p95/p99, объектов в час, длина очереди, ошибки и загрузка CPU/RAM/диска.

Что уточнить: Какие ресурсы, лицензия и параметры анализа рекомендуются для воспроизводимого пилота?

Проверяется на пилоте

Подать репрезентативный поток объектов при заданных ресурсах, политиках и образах. Измерить очередь, длительность анализа, получение вердикта и ресурсные ограничения.

Измерить: Время до вердикта p50/p95/p99, объектов в час, длина очереди, ошибки и загрузка CPU/RAM/диска.

Проверяется на пилоте

Подать репрезентативный поток объектов при заданных ресурсах, политиках и образах. Измерить очередь, длительность анализа, получение вердикта и ресурсные ограничения.

Измерить: Время до вердикта p50/p95/p99, объектов в час, длина очереди, ошибки и загрузка CPU/RAM/диска.

Проверяется на пилоте

Подать репрезентативный поток объектов при заданных ресурсах, политиках и образах. Измерить очередь, длительность анализа, получение вердикта и ресурсные ограничения.

Измерить: Время до вердикта p50/p95/p99, объектов в час, длина очереди, ошибки и загрузка CPU/RAM/диска.

Проверяется на пилоте

В тестовой среде проверить сквозной маршрут от источника через вердикт до действия; затем прервать связь или узел и проверить повторную доставку, дубликаты, безопасное восстановление.

Измерить: Доля выполненных сквозных сценариев, время до действия и восстановления, потерянные или дублированные задания.

Проверяется на пилоте

В тестовой среде проверить сквозной маршрут от источника через вердикт до действия; затем прервать связь или узел и проверить повторную доставку, дубликаты, безопасное восстановление.

Измерить: Доля выполненных сквозных сценариев, время до действия и восстановления, потерянные или дублированные задания.

Проверяется на пилоте

В тестовой среде проверить сквозной маршрут от источника через вердикт до действия; затем прервать связь или узел и проверить повторную доставку, дубликаты, безопасное восстановление.

Измерить: Доля выполненных сквозных сценариев, время до действия и восстановления, потерянные или дублированные задания.

Что уточнить: Какие ресурсы, лицензия и параметры анализа рекомендуются для воспроизводимого пилота?

Проверяется на пилоте

В тестовой среде проверить сквозной маршрут от источника через вердикт до действия; затем прервать связь или узел и проверить повторную доставку, дубликаты, безопасное восстановление.

Измерить: Доля выполненных сквозных сценариев, время до действия и восстановления, потерянные или дублированные задания.

Проверяется на пилоте

В тестовой среде проверить сквозной маршрут от источника через вердикт до действия; затем прервать связь или узел и проверить повторную доставку, дубликаты, безопасное восстановление.

Измерить: Доля выполненных сквозных сценариев, время до действия и восстановления, потерянные или дублированные задания.

Проверяется на пилоте

В тестовой среде проверить сквозной маршрут от источника через вердикт до действия; затем прервать связь или узел и проверить повторную доставку, дубликаты, безопасное восстановление.

Измерить: Доля выполненных сквозных сценариев, время до действия и восстановления, потерянные или дублированные задания.