Установка агентов

Чтобы создать группу агентов:

1. В главном меню перейдите в раздел Компоненты → Агенты.
2. В рабочей области нажмите на кнопку Добавить группу агентов.
3. На вкладке Общая информация выполните следующие действия:
   1. Заполните поля формы:
      • Введите название группы. В качестве названия группы для удобства управления агентами рекомендуется указывать имя кластера, на узлах которого будут установлены агенты.
      • Если требуется, введите описание группы агентов.
      • В раскрывающемся списке выберите одну или несколько областей применения, которые доступны роли пользователя. Если значение не указано, решение применяет установленную по умолчанию область применения.

        Если потребуется добавить какую-либо область применения после создания группы агентов, необходимо добавить соответствующий кластер в область применения в разделе Администрирование → Управление доступом → Области применения.

      • Выберите используемый оркестратор.
      • Укажите название пространства имен, которое будет использоваться для установки агентов.

        Пространство имен должно существовать на момент запуска агентов.

   2. В блоке Реестр введите веб-адрес реестра Kaspersky Container Security, где находятся образы, с которых производится установка агентов. Для доступа к реестру требуется указать имя пользователя и пароль, которые используются для этого реестра.
   3. В блоке Связанная SIEM-система из раскрывающегося списка выберите SIEM-систему.

      Для связывания группы агентов в Kaspersky Container Security необходимо создать и настроить хотя бы одну интеграцию с SIEM-системой.
      Одну группу агентов можно связать только с одной SIEM-системой.

      Для каждой интеграции с SIEM-системой в раскрывающемся списке указывается статус ее подключения – Успешно, С предупреждением или Ошибка.

4. На вкладке Мониторинг состояния узлов с помощью переключателя Выключить / Включить запустите действия по мониторингу и анализу состояния сети, процессов в контейнерах и защиты от файловых угроз для следующих параметров:
   • Сетевые соединения. Состояние сетевых соединений отслеживается с помощью устройств для фиксации сетевого трафика (сетевых мониторов) и модулей на базе технологии eBPF. При этом учитываются применимые политики среды выполнения и профили среды выполнения контейнеров.

     С помощью установки флажков вы можете активировать следующие действия по мониторингу:

     • Действия по мониторингу сетевой репутации.
     • Действия по мониторингу открытия портов.

     По умолчанию эти действия выключены.

   • Процессы в контейнерах. Процессы в контейнерах отслеживаются с помощью модулей на базе технологии eBPF, учитывая применимые политики среды выполнения и профили среды выполнения контейнеров.
   • Защита от файловых угроз. Если действия по защите от файловых угроз запущены, вы можете выбрать объекты, для которых будет включен мониторинг в рамках компонента Защита от файловых угроз: Все, Контейнеры или Узлы. По умолчанию мониторинг включен для контейнеров.

     В Kaspersky Container Security настройки параметров компонента Защита от файловых угроз применяются одинаково к контейнерам и узлам. Если в качестве режима проверки объектов выбран режим Блокирование, файловый перехватчик будет применять этот режим как к контейнерам, так и к узлам. В зависимости от выбранных значений параметров компонента Защита от файловых угроз файлы на узлах могут блокироваться, перемещаться или удаляться. Такие операции с файлами могут привести к сбоям в работе вашей инфраструктуры. Мы рекомендуем учитывать такую возможность, если при настройке параметров группы агентов вы включаете мониторинг для всех объектов или для узлов, а в параметрах компонента Защита от файловых угроз указан режим блокирования.

     Для отслеживания обновлений антивирусных баз необходимо указать одно из следующих значений:

     • URL инструмента обновлений антивирусных баз – веб-адрес сервера обновлений Kaspersky Container Security.
     • Прокси-сервер обновлений антивирусных баз – прокси-сервер HTTP для облачного или локального сервера обновлений.

     Если для обновления антивирусных баз используется контейнер kcs-updates, URL инструмента обновлений антивирусных баз требуется указать следующим образом: <домен>/kuu/updates (например, https://kcs.company.com/kuu/updates).

     По умолчанию базы данных компонента Защита от файловых угроз обновляются с помощью облачных серверов "Лаборатории Касперского".

   • Файловые операции. Решение отслеживает файловые операции с помощью модулей на базе технологии eBPF, учитывая применимые политики среды выполнения и профили среды выполнения контейнеров.

     Вне зависимости от режима, указанного в политике среды выполнения, для файловых операций поддерживается только режим Аудит. Если в применимой политике среды выполнения установлен режим Блокирование, файловые операции осуществляются в режиме Аудит.

   • Жизненный цикл контейнера. Решение осуществляет мониторинг изменений состояния контейнеров (их создание, запуск, остановку, удаление, приостановку и возобновление). Это позволяет отслеживать операции в отношении контейнеров на узле, которые выполняются в обход оркестратора.

     Вне зависимости от режима, указанного в политике среды выполнения, для мониторинга жизненного цикла контейнеров поддерживается только режим Аудит. Если в применимой политике среды выполнения установлен режим Блокирование, жизненный цикл контейнеров отслеживается в режиме Аудит.

   • Авторизация на хосте. Решение осуществляет мониторинг попыток входа локальных и удаленных пользователей в операционную систему хоста. Kaspersky Container Security отслеживает все попытки авторизации (успешные и безуспешные), а также определяет протокол, по которому осуществлялась попытка авторизации на хосте (SSH, TELNET, RDP).

     Решение отправляет события авторизации на хосте непосредственно в выбранную вами SIEM-систему и не отображает их в веб-интерфейсе.

   Ненужные действия в рамках процесса мониторинга можно выключить, чтобы избежать нецелесообразной нагрузки на узлы.

   По умолчанию все действия по мониторингу и анализу состояния сети, процессов в контейнерах и защиты от файловых угроз выключены.

5. Нажмите на кнопку Сохранить.

В рабочей области на вкладке Данные для установки агентов отобразятся следующие данные, необходимые для установки агентов на кластере:

• Автоматически сгенерированный токен для установки – это идентификатор, который будет использовать агент при подключении к серверу.
• Инструкция для установки агентов на кластере.

В разделе Компоненты → Агенты в таблице отображаются созданные и развернутые группы агентов. Для каждой из таких групп представлена следующая информация:

• Название группы агентов.
• Количество подключенных агентов в группе. Решение отображает количество агентов со статусом подключения Подключен и общее количество агентов в группе.
• Пространство имен, в котором состоит группа агентов.
• Оркестратор, управляющий группой агентов.
• Включенные действия по мониторингу состояния узлов. Решение показывает действия по мониторингу, включенные в группе агентов, следующим образом:
  • Процессы в контейнерах.
  • Сетевые соединения. Решение дополнительно отображает включенные действия по мониторингу сетевой репутации с помощью значка защиты репутации () и мониторингу открытия портов с помощью значка открытия портов ().
  • Защита от файловых угроз. Решение дополнительно отображает включенную защиту контейнеров с помощью значка контейнера () и защиту узлов с помощью значка узла ().
  • Файловые операции.
  • Жизненный цикл контейнера.
  • Авторизация на хосте.

  Если действия по мониторингу в группе агентов не включены, решение отображает Выключено.

• Связанная SIEM-система.

Вы можете настроить отображение групп агентов по статусу подключения агентов (Все, Подключен, Отключен, Ожидает) с помощью соответствующих кнопок, расположенных над таблицей.

Нажав на значок развертывания (), каждую группу агентов в таблице можно развернуть, чтобы посмотреть следующую информацию по агентам в ее составе:

• Название агента и статус его подключения.
• Версия узла, на котором развернут агент (главный или рабочий узел).
• Имя пода, с которым связан агент.
• Статусы выполнения действий по мониторингу состояния узлов (Процессы в контейнерах, Сетевые соединения, Защита от файловых угроз, Жизненный цикл контейнера и Файловые операции).
• Статус подключения к SIEM-системе.
• Дата и время последнего подключения агента.

По ссылке на названии агента вы можете раскрыть боковую панель, чтобы посмотреть информацию о состоянии агента.

Чтобы изменить параметры группы агентов:

1. В разделе Компоненты → Агенты в таблице со списком групп агентов нажмите на ссылку на названии группы агентов.
2. В открывшемся окне измените параметры группы.

   Вы можете добавить области применения только при создании группы агентов. Добавленные в группы агентов области применения можно изменить в разделе Администрирование → Управление доступом → Области применения.

3. Нажмите на кнопку Сохранить.