Задача Защита от сетевых угроз (Network_Threat_Protection, ID:17)
15 апреля 2024
ID 234168
Во время работы задачи Защита от сетевых угроз приложение проверяет входящий сетевой трафик на действия, характерные для сетевых атак. Приложение проверяет входящий трафик для TCP‑портов, номера которых Kaspersky Endpoint Security получает из актуальных баз приложения. При запуске задачи текущие соединения для перехватываемых TCP-портов будут сброшены.
Для проверки сетевого трафика задача Защита от сетевых угроз принимает подключения по всем портам, номера которых получает из баз приложения. При проверке сети это может выглядеть как открытый порт на устройстве, даже если никакое приложение в системе его не прослушивает. Неиспользуемые порты рекомендуется закрывать средствами сетевого экрана.
При обнаружении попытки сетевой атаки, нацеленной на ваше устройство, приложение блокирует сетевую активность со стороны атакующего устройства и записывает в журнал соответствующее событие. Приложение блокирует сетевой трафик со стороны атакующего устройства на один час, вы можете изменить продолжительность блокировки в параметрах задачи. Вы можете просматривать список устройств, заблокированных задачей Защита от сетевых угроз, с помощью команды --get-blocked-hosts и вручную разблокировать эти устройства с помощью команды --allow-hosts.
Приложение Kaspersky Endpoint Security добавляет в список таблицы mangle утилит iptables и ip6tables специальную разрешающую цепочку правил kesl_bypass, которая позволяет исключать трафик из проверки приложением. Если в цепочке настроены правила исключения трафика, они влияют на работу задачи Защита от сетевых угроз. Например, для исключения исходящего http-трафика вам нужно добавить следующую команду: iptables -t mangle -I kesl_bypass -m tcp -p tcp --dport http -j ACCEPT.
В таблице описаны все доступные значения и значения по умолчанию для всех параметров, которые вы можете указать для задачи Защита от сетевых угроз.
Параметры задачи Защита от сетевых угроз
Параметр | Описание | Значения |
|---|---|---|
| Действия, выполняемые при обнаружении сетевой активности, характерной для сетевых атак. При изменении значения этого параметра с |
|
| Блокировка сетевой активности со стороны атакующих устройств. |
|
| Продолжительность блокировки атакующих устройств (в минутах). | 1 – 32768 Значение по умолчанию: 60. |
| Использование списка IP-адресов, сетевую активность которых не требуется блокировать при обнаружении сетевой атаки. Приложение записывает в журнал данные о вредоносной активности со стороны этих устройств. Вы можете добавить IP-адреса в список исключений с помощью параметра |
|
| IP-адреса, сетевая активность которых не блокируется приложением. |
Значение по умолчанию не задано. |
