«Ошибка обработки TAA правил. Попробуйте отключить часть пользовательских правил» в Kaspersky Anti Targeted Attack Platform

Проблема

• В веб-интерфейсе Kaspersky Anti Targeted Attack Platform (далее KATA) Central Node в поле Работоспособность системы отображается предупреждение «Ошибка обработки правил TAA. Попробуйте отключить часть пользовательских правил».
• Новые алерты не создаются, либо создаются с большим опозданием.

Причина

Предупреждение о правилах TAA имеет общий характер и может быть вызвано по разным причинам.

Решение

Проверьте наиболее популярные причины возникновения проблемы и следуйте рекомендациям:

• Посмотрите, как перед возникновением проблемы изменилось количество устройств, используемых в роли серверов, а также устройств на базе macOS и Linux.
  Если количество подобных типов устройств значительно увеличилось, пересчитайте эффективное количество хостов с компонентом Endpoint Agent. Исходя из этого количества, добавьте новые компоненты Sensor и Central Node для перераспределения нагрузки между обрабатывающими узлами KATA.
  Используйте руководство по масштабированию для расчета конфигурации с оптимальными характеристиками. Если необходимо уточнить расчеты для вашей инфраструктуры, создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount.
  Выполните принудительный сброс счетчика, указав значение 0 в поле Количество Endpoint Agents конфигурации сервера Central Node, затем установите целевое значение для этого поля.
  Предупреждение исчезнет в течение суток.
• Оцените количество подключенных внешних систем и задействованных сетевых протоколов в зеркалированном трафике со SPAN-портов.
  Используйте руководство по масштабированию для оценки соответствия используемой конфигурации оптимальным характеристикам. Если необходимо уточнить расчеты для вашей инфраструктуры, создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount.
  На общую производительность обрабатывающих узлов KATA влияют:
  • увеличение объема принимаемых и обрабатываемых данных;
  • подключение новых источников;
  • масштабирование сетевых устройств в инфраструктуре;
  • появление новых сервисов в сети.
• Убедитесь, что вы используете актуальные версии компонентов KATA. Новые версии включают важные исправления и улучшения, в том числе относящиеся к работе с событиями телеметрии.
• Проверьте конфигурацию политик подключения приложений компонентов Endpoint Agent к адресам узлов Central Node и Sensor в соответствии с полученной схемой расчетной нагрузки для:
  • Kaspersky Endpoint Security для Windows;
  • Kaspersky Endpoint Security для Linux;
  • Kaspersky Endpoint Security для Mac;
  • Kaspersky Endpoint Agent.
  Убедитесь в успешном распространении политик управления приложением.
  При неверном распределении подключений устройств с компонентами Endpoint Agent к обрабатывающим узлам KATA, на некоторые узлы может поступать чрезмерное количество событий телеметрии.
  При обнаружении иных проблем с отправкой событий со стороны приложений с компонентом Endpoint Agent используйте рекомендации из статьи.

Что делать, если решение не помогло

Если проблема сохраняется, соберите диагностический отчет с проблемных узлов Central Node по инструкции и создайте запрос в техническую поддержку «Лаборатории Касперского» через Kaspersky CompanyAccount. К запросу приложите полученный отчет.