Включение и настройка исключений и оптимизации объема отправляемой EDR-телеметрии о процессах программ

Развернуть всё | Свернуть всё

В разделе приведена инструкция для Kaspersky Endpoint Agent для Windows. Эта инструкция может быть частично или полностью неприменима к Kaspersky Endpoint Agent для Linux. Актуальную инструкцию для Kaspersky Endpoint Agent для Linux смотрите в справке решения, в составе которого вы используете программу: Kaspersky Anti Targeted Attack Platform или Kaspersky Managed Detection and Response.

Вы можете настроить исключения и оптимизацию объема отправляемой EDR-телеметрии о процессах программ с помощью Kaspersky Security Center Web Console в свойствах отдельного устройства или и в свойствах политики для группы устройств. Kaspersky Endpoint Agent не анализирует и не передает на сервер с установленным KATA Central Node или Kaspersky Industrial CyberSecurity for Networks данные об исключенных процессах программ.

Чтобы включить и настроить исключения и оптимизацию объема отправляемой EDR-телеметрии о процессах программ:

1. Выполните одно из следующих действий:
   • Откройте окно свойств программы для отдельного устройства.
     1. В главном окне Kaspersky Security Center Web Console перейдите в раздел Устройства → Управляемые устройства.
     2. Выберите устройство.
     3. В открывшемся окне <Имя устройства> выберите закладку Программы.
     4. Выберите Kaspersky Endpoint Agent.
     5. В открывшемся окне выберите закладку Параметры программы.
   • Откройте окно свойств политики программы.
     1. В главном окне Kaspersky Security Center Web Console перейдите в раздел Устройства → Политики и профили политик.
     2. Выберите политику, которую вы хотите настроить.
     3. В открывшемся окне <Имя политики> выберите закладку Параметры программы.
2. В разделе EDR-телеметрия выберите Исключенные процессы.

   Откроется окно Исключенные процессы.

3. В блоке параметров Исключения включите параметр Использовать исключения, чтобы включить применение исключений для EDR-телеметрии.
4. Настройте оптимизацию объема отправляемой EDR-телеметрии:
   • Выключите параметр Оптимизировать объем отправляемой телеметрии, если хотите, чтобы Kaspersky Endpoint Agent отправляла события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB, службы WinRM и процесса Агента администрирования klnagent.exe.
   • Включите параметр Оптимизировать объем отправляемой телеметрии, если хотите, чтобы Kaspersky Endpoint Agent не отправляла события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB и Агента администрирования klnagent.exe.

   Если параметр Использовать исключения выключен, Kaspersky Endpoint Agent не отправляет события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB и процесса Агента администрирования klnagent.exe вне зависимости от значения параметра Оптимизировать объем отправляемой телеметрии.

5. Создайте список исключений:
   1. Нажмите на кнопку Добавить.
   2. В открывшемся окне Свойства правила настройте параметры исключения.

      Параметры исключения применяются по правилу логического И.

      Для создания исключения необходимо задать значение в поле Полный путь и выбрать хотя бы один из типов событий в списке Использовать это исключение для следующих типов событий.

      Если для критерия Использовать это исключение для следующих типов событий выбрано значение Сетевые события, в поле Полный путь необходимо указать полный путь к файлу.

      Объект, для которого вы создаете исключение, должен присутствовать на защищаемом устройстве в момент применения параметров исключения. Например, если вы сначала настроите исключение для определенного приложения, а потом установите это приложение на защищаемое устройство, такое исключение не будет применяться.

      1. В блоке Информация о процессе задайте значения в следующих полях:
         • Полный путь. Полный путь к файлу, включая его имя и расширение. Можно использовать маски файлов (с помощью символов ? и *), а также системные переменные окружения.
         • Текст командной строки. Командная строка для запуска объекта.
         • Родительский путь. Путь до папки, в которой находится файл.
      2. В блоке Свойства файла задайте значения в следующих полях:
         • Описание файла. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
         • Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
         • Версия файла. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
      3. В блоке Контрольные суммы файла задайте значения в следующих полях:
         • MD5. MD5-хеш файла.
         • SHA256. SHA256-хеш файла.
      4. В списке Использовать это исключение для следующих типов событий выберите как минимум одно из значений:
         • Изменение файла.
         • Сетевые события.
         • Интерактивный ввод в консоли.

           Этот тип события выбран по умолчанию.

         • Загрузка модуля процесса.
         • Изменения в реестре.
   3. Нажмите на кнопку ОК, чтобы сохранить изменения и закрыть окно Свойства правила.

      Новое исключение создано и отображается в списке.

   4. Если необходимо экспортировать список исключений в файл формата XML, нажмите на кнопку Экспорт.
   5. Если необходимо испортировть список исключений из файла формата XML, нажмите на кнопку Импорт.
   6. Если необходимо изменить исключение, выберите исключение и нажмите на кнопку Изменить.
   7. Если необходимо удалить исключение из списка, выберите исключение и нажмите на кнопку Удалить.
6. Если вы настраиваете параметры политики, убедитесь, что переключатель в правом верхнем углу блока параметров находится в активном положении. Переключатель находится в этом положении по умолчанию.
7. Нажмите на кнопку ОК, чтобы сохранить внесенные изменения.