Частые вопросы по настройке и работе компонента Sandbox в Kaspersky Anti Targeted Attack Platform
Показать приложения и версии, к которым применима статья
- Kaspersky Anti Targeted Attack Platform 8.0;
- Kaspersky Anti Targeted Attack Platform 7.1;
- Kaspersky Anti Targeted Attack Platform 7.0.
В этой статье мы ответим на популярные вопросы о развертывании, подключении и принципах работы компонента Sandbox в Kaspersky Anti Targeted Attack Platform (далее KATA).
Какие бывают результаты проверки объекта в Sandbox
Проверка объекта в Sandbox может завершиться одним из следующих статусов:
| Статус проверки | Что означает |
|---|---|
| «Не обнаружено» (Not detected) | Объект безопасен. |
| «Ошибка выполнения» (Error) | Объект безопасен, но при его обработке возникла проблема.
Статус «Ошибка выполнения» в веб-интерфейсе KATA не означает, что Sandbox не выполнил проверку. Такой статус говорит о том, что Sandbox проверил объект полностью или частично и не обнаружил угроз, но столкнулся с проблемой при сканировании.
|
| «Обнаружено» (Detected) | Объект опасен. |
| «Не выполнялась» (Not scanned) | Объект не был отправлен на проверку. |
Почему Sandbox не всегда проверяет объекты и можно ли настроить KATA так, чтобы каждый объект проверялся в Sandbox
Объекты, отправленные на проверку из Хранилища или через API
Если объект отправлен на проверку из Хранилища или через API, он будет проверен по всем правилам и технологиям, включая AM, Sandbox и YARA.
Добавлять объекты в Хранилище могут пользователи с учетной записью Сотрудник службы безопасности и Старший сотрудник службы безопасности.
Если проверка объекта, отправленного из Хранилища или через API, не выполняется в Sandbox, следуйте инструкции.
Остальные объекты
Для объектов, поступающих на проверку не из Хранилища и не через API, действует следующая логика:
- Объект фиксируется в трафике и попадает в очередь проверки Anti-Malware Engine (AM) компонента Central Node.
- AM проверяет объект внутренней логикой, запрашивает репутацию объекта и его компонентов в базе Kaspersky Security Network и принимает решение о необходимости отправки на проверку в Sandbox.
- Если проверка требуется, объект отправляется в Sandbox.
Если проверка не требуется, в веб-интерфейсе KATA отображается статус «Не выполнялась» (Not scanned).
Настроить отправку каждого такого объекта на проверку в Sandbox нельзя. Алгоритм позволяет исключить ложные срабатывания и избежать избыточных проверок.
Нужно ли подключать Sandbox к каждому серверу с компонентом Central Node в рамках тенанта
Один Sandbox может быть одновременно подключен к нескольким компонентам Central Node.
В рамках тенанта необходимо подключить Sandbox к каждому серверу с компонентом Central Node. Подключение только к Primary Central Node (главный сервер управления) не обеспечивает доступность Sandbox для Secondary Central Node (подчиненный сервер).
Независимо от роли сервера, для каждого из них следует настроить интеграцию с компонентом Sandbox.
Как KATA выбирает для проверки Sandbox, если в инфраструктуре их несколько
Если в инфраструктуре несколько серверов с компонентом Sandbox, Central Node автоматически выберет один из них для отправки объекта на проверку.
Решение принимается в соответствии с внутренней логикой приложения. Настроить выбор конкретного Sandbox вручную нельзя.
Что больше подходит для установки KATA Sandbox — физический сервер или виртуальная среда
KATA Sandbox можно установить как на физический сервер, так и на виртуальную машину.
Для максимальной продуктивности и стабильной работы в инфраструктурах с высокой нагрузкой мы рекомендуем использовать только физический сервер:
- При использовании физического сервера нет дополнительных затрат ресурсов на виртуализацию, что гарантирует более быструю работу.
- Для обеспечения сопоставимой производительности вместо одного физического сервера Sandbox может потребоваться несколько виртуальных, что усложняет администрирование.
Какие особенности важно учесть при использовании нескольких серверов с компонентом Sandbox
Если вы используете несколько серверов с Sandbox, они должны быть полностью идентичны. Например, нельзя использовать одновременно физический и виртуальный Sandbox.
У двух физических Sandbox должны быть одинаковые аппаратные характеристики и настройки, например количество слотов проверки и сетевая доступность.
