Резервное копирование и восстановление данных сервера Central Node в режиме распределенного решения и мультитенантности

В этом сценарии описана процедура создания резервной копии и восстановления данных из нее на серверах Central Node, развернутых в режиме распределенного решения или мультитенантности.

Для создания резервной копии и восстановления данных при использовании режима распределенного решения или мультитенантности вам необходимо подключиться к каждому серверу Central Node в иерархии и выполнить этапы инструкции, расположенной ниже.

Резервное копирование и восстановление данных на серверах Central Node, развернутых в режиме распределенного решения или мультитенантности, содержит следующие этапы:

1. Создание резервной копии

   Вы можете создать резервную копию с помощью меню администратора или с помощью режима Technical Support Mode:

   Как создать резервную копию в меню администратора, если Central Node установлен на сервере

   Резервная копия Kaspersky Anti Targeted Attack Platform будет содержать только базы данных (базу обнаружений, сведения о статусе VIP, список данных, исключенных из проверки, уведомления) и параметры Central Node или PCN.

   1. Войдите в консоль управления того сервера, резервную копию которого вы хотите создать, по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел System administration.
   4. Нажмите на клавишу Enter.

      Откроется окно выбора действий.

   5. В списке действий выберите Backup/Restore settings.
   6. Нажмите на клавишу Enter.

      Откроется окно Backup/Restore settings.

   7. В списке действий выберите New.
   8. Нажмите на клавишу Enter.

      Откроется окно Backup settings.

   9. Нажмите на кнопку Back up.

   Резервная копия будет создана.

   Как создать резервную копию в режиме Technical Support Mode, если Central Node установлен на сервере

   1. Войдите в консоль управления того сервера, резервную копию которого вы хотите создать, по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Выполните команду:

      sudo kata-run.sh kata-backup-restore backup

   Вы также можете указать один или несколько параметров к этой команде (см. таблицу ниже).

   Подсказка по использованию параметров доступна по команде -h.

   Параметры для создания резервной копии

   Обязательный параметр	Параметр	Описание
   Да	-b <path>	Создать резервную копию по указанному пути, где <path> – абсолютный или относительный путь к директории, в которой создается резервная копия.
   Нет	-c	Очистить директорию перед сохранением резервной копии.
   Нет	-d <number of stored files>	Указать максимальное количество файлов резервной копии, хранимых в директории, где <number> – количество файлов.
   Нет	-е	Сохранить файлы в Хранилище.
   Нет	-q	Сохранить файлы на карантине.
   Нет	-a	Сохранить файлы, ожидающие повторной проверки (rescan).
   Нет	-s	Сохранить артефакты Sandbox.
   Нет	-n	Сохранить параметры Central Node или PCN.
   Нет	-l <filepath>	Сохранить результат выполнения команды в файл, где <filepath> – имя файла журнала событий, включая абсолютный или относительный путь к файлу.

   Если дополнительные параметры не указаны, резервная копия будет содержать только базы данных (базу обнаружений, сведения о статусе VIP, список данных, исключенных из проверки, уведомления).

   Пример: Команда для создания резервной копии: sudo kata-run.sh kata-backup-restore backup -b <path> -c -d <number of stored files> -e -q -a -s -n -l <filepath>

   Как создать резервную копию в меню администратора, если Central Node установлен в виде кластера

   Резервная копия Kaspersky Anti Targeted Attack Platform будет содержать только базы данных (базу обнаружений, сведения о статусе VIP, список данных, исключенных из проверки, уведомления) и параметры Central Node или PCN.

   1. Войдите в консоль управления любого работоспособного обрабатывающего сервера кластера по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел System administration.
   4. Нажмите на клавишу Enter.

      Откроется окно выбора действий.

   5. В списке действий выберите Backup/Restore settings.
   6. Нажмите на клавишу Enter.

      Откроется окно Backup/Restore settings.

   7. В списке действий выберите New.
   8. Нажмите на клавишу Enter.

      Откроется окно Backup settings.

   9. Нажмите на кнопку Back up.
   10. Повторите шаги 2-9 на каждом обрабатывающем сервере кластера.

   Резервные копии будут созданы. Для восстановления вам нужно сохранить копию наибольшего размера.

   Как создать резервную копию в режиме Technical Support Mode, если Central Node установлен в виде кластера

   1. Войдите в консоль управления любого работоспособного обрабатывающего сервера кластера по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора компонента приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Выполните команду:

      sudo kata-run.sh kata-backup-restore backup

      Вы также можете указать один или несколько параметров к этой команде (см. таблицу ниже).

      Подсказка по использованию параметров доступна по команде -h.

   7. Повторите шаги 1-6 на каждом обрабатывающем сервере кластера.

   Резервные копии будут созданы. Для восстановления вам нужно сохранить копию наибольшего размера.

   Параметры для создания резервной копии

   Обязательный параметр	Параметр	Описание
   Да	-b <path>	Создать резервную копию по указанному пути, где <path> – абсолютный или относительный путь к директории, в которой создается резервная копия.
   Нет	-c	Очистить директорию перед сохранением файла резервной копии.
   Нет	-d <number of stored files>	Указать максимальное количество файлов, хранимых в директории, где <number> – количество файлов.
   Нет	-n	Сохранить параметры Central Node или PCN.
   Нет	-l <filepath>	Сохранить результат выполнения команды в файл, где <filepath> – имя файла журнала событий, включая абсолютный или относительный путь к файлу.

   Если дополнительные параметры не указаны, резервная копия будет содержать только базы данных (базу обнаружений, сведения о статусе VIP, список данных, исключенных из проверки, уведомления).

   Пример: Команда для создания резервной копии: sudo kata-run.sh kata-backup-restore backup -b <path> -c -d <number of stored files> -e -q -a -s -n -l <filepath>

2. Сохранение резервной копии на жесткий диск

   Сохраните резервную копию на жестком диске компьютера, выполнив команду:

   scp <имя учетной записи для работы в меню администратора и в консоли управления сервером>@<IP-адрес сервера>:<имя файла резервной копии вида data_kata_<дата и время создания резервной копии>.tar>

   Пример: Команда для загрузки на жесткий диск компьютера резервной копии, созданной на сервере Central Node с IP-адресом 10.0.0.10 под учетной записью admin 10 апреля 2020 года в 10 часов 00 минут 00 секунд: scp admin@10.0.0.10:data_kata_2020_04_10T10_00_00.tar Резервная копия будет сохранена на жесткий диск вашего компьютера в текущую директорию.

3. Переустановка приложения

   Удалите и заново установите Kaspersky Anti Targeted Attack Platform.

   Восстановление данных из резервной копии производится только на сервер с ролью Central Node. Если вы предварительно назначите серверу роль PCN или SCN, процесс восстановления завершится ошибкой.

   При установке приложения вам нужно указать то же значение маски сети для адресации серверов, которое было указано для маски сети в резервной копии приложения. Если значения не совпадают, после восстановления приложения возникает ошибка в работе встроенного Sensor. При необходимости вы можете восстановить работу компонента.

   После установки вам нужно добавить в приложение те же типы лицензионных ключей (KATA, KATA + NDR), что и в приложении на сервере, где была создана резервная копия. Это необходимо для того, чтобы восстановить все сохраненные в резервной копии параметры Central Node, PCN или SCN.

4. Загрузка резервной копии на сервер

   Загрузите резервную копию на сервер Central Node, выполнив команду:

   scp <имя файла резервной копии вида data_kata_<дата и время создания резервной копии>.tar> <имя учетной записи для работы в меню администратора и в консоли управления сервером>@<IP-адрес сервера>:

   Пример: Команда для загрузки резервной копии, созданной 10 апреля 2020 года в 10 часов 00 минут 00 секунд, на сервер Central Node с IP-адресом 10.0.0.10 под учетной записью admin: scp data_kata_2020_04_10T10_00_00.tar admin@10.0.0.10: Резервная копия будет загружена на сервер Central Node в текущую директорию.

5. Восстановление данных из резервной копии

   Вы можете восстановить данные из резервной копии на сервере Central Node с помощью меню администратора или с помощью режима Technical Support Mode:

   Как восстановить данные в меню администратора, если Central Node установлен на сервере

   1. Войдите в консоль управления того сервера, данные которого вы хотите восстановить, по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора компонента приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел System administration.
   4. Нажмите на клавишу Enter.

      Откроется окно выбора действий.

   5. В списке действий выберите Backup/Restore settings.
   6. Нажмите на клавишу Enter.

      Откроется окно Backup/Restore settings.

   7. В списке файлов с резервными копиями приложения выберите файл, из которого вы хотите восстановить данные сервера.

      Если нужного файла нет в списке, вам нужно загрузить файл с резервной копией на сервер.

   8. Нажмите на клавишу Enter.

      Откроется окно выбора действий.

   9. В списке действий выберите Restore <имя файла резервной копии вида data_kata_<дата и время создания резервной копии>.tar>
   10. Нажмите на клавишу Enter.

       Откроется окно подтверждения действия.

   11. Нажмите на кнопку Restore.

       Начнется процесс восстановления данных сервера из резервной копии.

   Настройки получения зеркалированного трафика со SPAN-портов будут восстановлены автоматически, если имена сетевых интерфейсов совпадают на сервере, на котором была создана резервная копия, и на сервере, на котором происходит восстановление данных из резервной копии.

   Как восстановить данные в меню администратора, если Central Node установлен в виде кластера

   1. Войдите в консоль управления любого работоспособного сервера кластера по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора компонента приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Определите адрес обрабатывающего сервера, на котором включена обработка зеркалированного SPAN-трафика, в кластере:

      sudo docker node ls -q | sudo xargs docker node inspect -f '{{ if eq (index .Spec.Labels "infrastructure.span") "true" }}{{ .Description.Hostname }}{{ end }}'

      Отобразится адрес обрабатывающего сервера кластера, на котором включена обработка зеркалированного SPAN-трафика.

   7. Войдите в консоль управления этого сервера по протоколу SSH:

      ssh admin@<адрес сервера, полученный на шаге 6>

   8. В списке разделов меню администратора приложения выберите раздел System administration.
   9. Нажмите на клавишу Enter.

      Откроется окно выбора действий.

   10. В списке действий выберите Backup/Restore settings.
   11. Нажмите на клавишу Enter.

       Откроется окно Backup/Restore settings.

   12. В списке файлов с резервными копиями приложения выберите файл, из которого вы хотите восстановить данные сервера.

       Если нужного файла нет в списке, вам нужно загрузить файл с резервной копией на сервер.

   13. Нажмите на клавишу Enter.

       Откроется окно выбора действий.

   14. В списке действий выберите Restore <имя файла резервной копии вида data_kata_<дата и время создания резервной копии>.tar>
   15. Нажмите на клавишу Enter.

       Откроется окно подтверждения действия.

   16. Нажмите на кнопку Restore.

       Начнется процесс восстановления данных сервера из резервной копии.

   Настройки получения зеркалированного трафика со SPAN-портов будут восстановлены автоматически, если имена сетевых интерфейсов совпадают на сервере, на котором была создана резервная копия, и на сервере, на котором происходит восстановление данных из резервной копии.

   Если имена сетевых интерфейсов отличаются, после выполнения шага 11 инструкции, расположенной выше, вам будет предложено выбрать сетевые интерфейсы для получения зеркалированного трафика со SPAN-портов.

   Как восстановить данные в режиме Technical Support Mode, если Central Node установлен на сервере

   1. Войдите в консоль управления того сервера, данные которого вы хотите восстановить, по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Выполните команду:

   sudo kata-run.sh kata-backup-restore restore

   Вы также можете указать один или несколько параметров к этой команде (см. таблицу ниже).

   Подсказка по использованию параметров доступна по команде -h.

   Параметры для восстановления данных

   Обязательный параметр	Параметр	Описание команды
   Да	-r <path>	Восстановить данные из файла резервной копии, где <path> – полный путь к файлу резервной копии.
   Нет	-l <filepath>	Сохранить результат выполнения команды в файл, где <filepath> – имя файла журнала событий, включая абсолютный или относительный путь к файлу.

   Пример: Команда для восстановления данных из резервной копии: sudo kata-run.sh kata-backup-restore restore -r <path> -l <filepath>

   Настройки получения зеркалированного трафика со SPAN-портов будут восстановлены автоматически, если имена сетевых интерфейсов совпадают на сервере, на котором была создана резервная копия, и на сервере, на котором происходит восстановление данных из резервной копии.

   Как восстановить данные в режиме Technical Support Mode, если Central Node установлен в виде кластера

   1. Войдите в консоль управления любого работоспособного сервера кластера по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Определите адрес обрабатывающего сервера, на котором включена обработка зеркалированного SPAN-трафика, в кластере:

      sudo docker node ls -q | sudo xargs docker node inspect -f '{{ if eq (index .Spec.Labels "infrastructure.span") "true" }}{{ .Description.Hostname }}{{ end }}'

      Отобразится адрес обрабатывающего сервера кластера, на котором включена обработка зеркалированного SPAN-трафика.

   7. Войдите в консоль управления этого сервера по протоколу SSH:

      ssh admin@<адрес сервера, полученный на шаге 6>

   8. Запустите процесс восстановления данных, выполнив команду:

      sudo kata-run.sh kata-backup-restore restore

   Вы также можете указать один или несколько параметров к этой команде (см. таблицу ниже).

   Подсказка по использованию параметров доступна по команде -h.

   Параметры для восстановления данных

   Обязательный параметр	Параметр	Описание команды
   Да	-r <path>	Восстановить данные из файла резервной копии, где <path> – полный путь к файлу резервной копии.
   Нет	-l <filepath>	Сохранить результат выполнения команды в файл, где <filepath> – имя файла журнала событий, включая абсолютный или относительный путь к файлу.

   Пример: Команда для восстановления данных из резервной копии: sudo kata-run.sh kata-backup-restore restore -r <path> -l <filepath>

   Настройки получения зеркалированного трафика со SPAN-портов будут восстановлены автоматически, если имена сетевых интерфейсов совпадают на сервере, на котором была создана резервная копия, и на сервере, на котором происходит восстановление данных из резервной копии.

   Если имена сетевых интерфейсов отличаются, после выполнения шага 6 инструкции, расположенной выше, вам будет предложено выбрать сетевые интерфейсы для получения зеркалированного трафика со SPAN-портов.

Если аппаратная конфигурация сервера Central Node, на котором была создана резервная копия, отличается от аппаратной конфигурации сервера, на котором вы планируете восстановить параметры сервера, после восстановления вам нужно заново настроить параметры масштабирования приложения.

После восстановления данных вам не требуется заново подключать SCN к PCN: параметры подключения к PCN и список подключенных SCN восстанавливаются из резервной копии.

Резервная копия параметров сервера не содержит PCAP-файлы записанного зеркалированного сетевого трафика. Вы можете сохранить и восстановить PCAP-файлы самостоятельно, выполнив копирование из директории /data/volumes/dumps подключенного хранилища. После восстановления данных вам необходимо подключить внешнее хранилище.

Ограничение, действующее при восстановлении данных в режиме распределенного решения и мультитенантности

После восстановления данных в режиме распределенного решения и мультитенантности в таблице алертов могут не отображаться новые алерты, созданные в результате проверки технологией AM. Вы можете проверить наличие ограничения и при необходимости устранить его.

Чтобы проверить отображение новых алертов в таблице алертов:

1. Включите точку мониторинга для используемого Sensor.
2. Если вы используете Sensor, установленный отдельно, войдите в консоль управления этого сервера Sensor по протоколу SSH или через терминал.
3. Если вы используете встроенный Sensor, войдите в консоль управления того сервера Central Node, на котором располагается встроенный Sensor, по протоколу SSH или через терминал.

   Если Central Node развернут в виде кластера, вам требуется войти в консоль управления обрабатывающего сервера, на котором включена обработка зеркалированного SPAN-трафика.

   Как определить адрес этого сервера

   1. Войдите в консоль управления любого работоспособного сервера кластера по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора компонента приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Определите адрес обрабатывающего сервера, на котором включена обработка зеркалированного SPAN-трафика, в кластере:

      sudo docker node ls -q | sudo xargs docker node inspect -f '{{ if eq (index .Spec.Labels "infrastructure.span") "true" }}{{ .Description.Hostname }}{{ end }}'

      Отобразится адрес обрабатывающего сервера кластера, на котором включена обработка зеркалированного SPAN-трафика.

   7. Войдите в консоль управления этого сервера по протоколу SSH:

      ssh admin@<адрес сервера, полученный на шаге 6>

4. В ответ на приглашение системы введите имя учетной записи администратора и пароль, заданный при установке компонента.

   Отобразится меню администратора компонента приложения.

5. В меню администратора приложения выберите режим Technical Support Mode.
6. Нажмите на клавишу ENTER.
7. Отобразится окно подтверждения входа в режим Technical Support Mode.
8. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу ENTER.
9. Выполните команду:

   watch "curl http://127.0.0.1:9191/metrics | grep preprocessor_files_extracted_fromhttp"

Если для поля preprocessor_files_extracted_fromhttp отображается значение 0, выполните приведенные ниже шаги инструкции по устранению ограничения.

Чтобы устранить ограничение при использовании встроенного Sensor:

1. Войдите в консоль управления того сервера Central Node, на котором располагается встроенный Sensor, по протоколу SSH или через терминал.

   Если Central Node развернут в виде кластера, вам требуется войти в консоль управления обрабатывающего сервера, на котором включена обработка зеркалированного SPAN-трафика.

   Как определить адрес этого сервера

   1. Войдите в консоль управления любого работоспособного сервера кластера по протоколу SSH или через терминал.
   2. В ответ на приглашение системы введите имя и пароль учетной записи администратора компонента приложения.

      Отобразится меню администратора компонента приложения.

   3. В списке разделов меню администратора приложения выберите раздел Technical Support Mode.
   4. Нажмите на клавишу Enter.

      Отобразится окно подтверждения входа в режим Technical Support Mode.

   5. Подтвердите, что хотите выполнять действия с приложением в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.
   6. Определите адрес обрабатывающего сервера, на котором включена обработка зеркалированного SPAN-трафика, в кластере:

      sudo docker node ls -q | sudo xargs docker node inspect -f '{{ if eq (index .Spec.Labels "infrastructure.span") "true" }}{{ .Description.Hostname }}{{ end }}'

      Отобразится адрес обрабатывающего сервера кластера, на котором включена обработка зеркалированного SPAN-трафика.

   7. Войдите в консоль управления этого сервера по протоколу SSH:

      ssh admin@<адрес сервера, полученный на шаге 6>

2. Повысьте привилегии пользователя, выполнив команду:

   sudo -i

3. Выполните команды:

   kata-sensor-tool reset

   kata-sensor-tool reset-core

   kata-sensor-tool init-embedded-sensor

4. Убедитесь, что новый алерт отображается в таблице алертов, выполнив шаги инструкции по проверке отображения новых алертов.

Ограничение будет устранено.

Чтобы устранить ограничение при использовании Sensor, установленного на отдельном от Central Node сервере:

1. Удалите подключенный Sensor в веб-интерфейсе Kaspersky Anti Targeted Attack Platform.
2. Войдите в консоль управления этого сервера Sensor, по протоколу SSH или через терминал.
3. Повысьте привилегии пользователя, выполнив команду:

   sudo -i

4. Выполните команду:

   kata-sensor-tool reset

5. Подключите Sensor к Central Node заново.
6. Убедитесь, что новый алерт отображается в таблице алертов, выполнив шаги инструкции по проверке отображения новых алертов.

Ограничение будет устранено.