Изменения в системе после установки Kaspersky Endpoint Agent

При установке Kaspersky Endpoint Agent служба установщика Windows выполняет на защищаемом устройстве следующие изменения:

• cоздает папки Kaspersky Endpoint Agent;
• регистрирует в системном реестре ключи Kaspersky Endpoint Agent;
• регистрирует службы и драйверы Kaspersky Endpoint Agent.

Папки Kaspersky Endpoint Agent на защищаемом устройстве

При установке Kaspersky Endpoint Agent на устройстве создаются следующие папки:

• Заданная по умолчанию папка установки Kaspersky Endpoint Agent, содержащая исполняемые файлы Kaspersky Endpoint Agent:
  • В 32-х разрядной версии Microsoft Windows: %ProgramFiles (x86)%\Kaspersky Lab\Endpoint Agent\
  • В 64-х разрядной версии Microsoft Windows: %ProgramFiles%\Kaspersky Lab\Endpoint Agent\
• Папка, содержащая драйверы Kaspersky Endpoint Agent(x86):
  • В 32-х разрядной версии Microsoft Windows: %ProgramFiles (x86)%\Kaspersky Lab\Endpoint Agent\drivers\<версия ОС>\<имя драйвера>
  • В 64-х разрядной версии Microsoft Windows: %ProgramFiles%\Kaspersky Lab\Endpoint Agent\drivers\x64\<версия_ОС>\<имя драйвера>
• Папки, содержащие файлы IOC:
  • В 32-х разрядной версии Microsoft Windows:
    • %ProgramFiles (x86)%\Kaspersky Lab\Endpoint Agent\openioc
    • %ProgramFiles (x86)%\Kaspersky Lab\Endpoint Agent\openioc\1.0
    • %ProgramFiles (x86)%\Kaspersky Lab\Endpoint Agent\openioc\1.1
  • В 64-х разрядной версии Microsoft Windows:
    • %ProgramFiles%\Kaspersky Lab\Endpoint Agent\openioc
    • %ProgramFiles%\Kaspersky Lab\Endpoint Agent\openioc\1.0
    • %ProgramFiles%\Kaspersky Lab\Endpoint Agent\openioc\1.1
• Папки, содержащие служебные файлы Kaspersky Endpoint Agent:
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache\Images
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache\Queue
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache\Queue\Kafka
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache\Queue\Kata
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache\Queue\Kmp
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Cache\Queue\Syslog
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Data\Hunts
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Settings
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Tasks
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\DSKM
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Temp
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Temp\Tasks
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Bases
• Папка, содержащая служебные файлы для работы с Kaspersky Security Network.
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Ksn
• Папка, содержащая файлы, помещенные на карантин:
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Quarantine
• Папка, содержащая файлы, восстановленные из карантина:
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Restored
• Папка, содержащая файлы конфигурации политики Kaspersky Security Center:
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Policy
• Папки, содержащие служебные файлы для работы с Kaspersky Sandbox:
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Sandbox
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Sandbox\Queue
• Папка, содержащая файлы обновляемых компонентов:
  • %ALLUSERSPROFILE%\Kaspersky Lab\Endpoint Agent\4.0\Update
• Папка, содержащая файлы ярлыков для меню Пуск:
  • %ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Kaspersky Endpoint Agent

Службы и драйверы Kaspersky Endpoint Agent

Следующие службы Kaspersky Endpoint Agent регистрируются и запускаются под системной учетной записью (SYSTEM):

• SOYUZ.exe - это основная служба Kaspersky Endpoint Agent, которая управляет задачами и рабочими процессами программы.
• VOSTOK.dll (исполняется в proton.exe) - это служба, которая обеспечивает взаимодействие между Kaspersky Endpoint Agentи компонентом Central Node.
• ANGARA.dll (исполняется в proton.exe) - это служба, которая обеспечивает взаимодействие между Kaspersky Endpoint Agent и EPP в сценариях интеграции с Kaspersky Sandbox.

Следующие драйверыKaspersky Endpoint Agent регистрируются на устройстве:

• klsnsr.sys - это драйвер для работы с трассировкой событий Windows (ETW).
• klncap.sys - это анализатор сетевых пакетов ETW.

Ключи системного реестра

В результате установки Kaspersky Endpoint Agent создаются следующие ключи системного реестра:

• [HKEY_CURRENT_USER SOFTWARE\KasperskyLab\SOYUZ\StartMenu]
• [HKEY_CURRENT_USER SOFTWARE\KasperskyLab\SOYUZ\UninstallShortcut1]
• [HKEY_CURRENT_USER SOFTWARE\KasperskyLab\SOYUZ\UninstallShortcut2]
• [HKEY_CURRENT_USER SOFTWARE\KasperskyLab\SOYUZ\RelNotes]
• [HKEY_CURRENT_USER SOFTWARE\KasperskyLab\SOYUZ\License]
• [HKEY_CURRENT_USER SOFTWARE\KasperskyLab\SOYUZ\ProductUrl]
• [HKEY_LOCAL_MACHINE SOFTWARE\KasperskyLab\Components\34\1103\1.0.0.0\ConnInstalled]
• HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\Connectors\SOYUZ\4.0\ProdDisplayName]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\Connectors\SOYUZ\4.0\ProdVersion]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\Connectors\SOYUZ\4.0\ConnectorVersion]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\Connectors\SOYUZ\4.0\ConnectorFlags]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\Connectors\SOYUZ\4.0\NagentMinVer]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\Connectors\SOYUZ\4.0\ConnectorPath
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\SOYUZ\4.0\Installer\UninstallString3]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\SOYUZ\4.0\Installer\UninstallString3KPD]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\Components\34\SOYUZ\4.0\Installer\ProductCode]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\ProgramDataPath]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\CrashDump\Enable(Example)]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\CrashDump\Folder(Example)]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\CrashDump]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\Install\InstallID]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\Install\InstallLCID]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\Install\InstallPlatformType]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\Install\Version]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\Trace\Configuration(Example)]
• [HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\SOYUZ\4.0\Trace]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SOYUZ]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\klncap]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\klsnsr]
• [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\KasperskyLab\SOYUZ\4.0\Environment]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vostok]