Сценарий: перенос данных из KATA/KEDR 7.1 в Kaspersky EDR Expert 8.0 с использованием того же сервера для Kaspersky EDR Expert 8.0

В этом разделе описывается сценарий переноса данных из KEDR 7.1, который работает на платформе KATA, в Kaspersky EDR Expert 8.0, который работает на OSMP, с использованием того же сервера для OSMP/Kaspersky EDR Expert 8.0.

Этот сценарий допускает повторное использование оборудования, но требует существенного простоя сервера. В этом сценарии OSMP развертывается непосредственно на существующем сервере Kaspersky EDR Expert после этапа экспорта данных.

Этапы переноса данных показаны на изображении ниже.

Этапы переноса данных

Ограничения

Перенос данных в OSMP в сценарии, когда она развернута на сервере Kaspersky EDR Expert, имеет следующие ограничения:

• Данные могут передаваться как с телеметрией, так и без нее. Если требуется перенести данные телеметрии, выполните третий этап экспорта (укажите параметр --step third), а затем выполните отдельный сценарий.
• Расчетное время простоя Kaspersky EDR Expert составляет до шести часов без переноса данных телеметрии. При передаче телеметрии время простоя зависит от размера накопленной телеметрии и составляет около 24 часов для конфигурации с 5000 Endpoint Agents и глубиной хранения данных телеметрии в 30 дней.
• Для запуска импорта данных в OSMP необходим дополнительное устройство Linux.
• Не рекомендуется вносить какие-либо изменения в данные до завершения процесса импорта.

Этапы

Перенос данных в решение OSMP, развернутое на сервере Kaspersky EDR Expert, состоит из следующих этапов:

1. Монтирование внешнего диска к серверу KEDR 7.1

   Если вы предпочитаете использовать общую папку в качестве внешнего диска, создайте ее на отдельном сервере Linux.

   Инструкции по созданию сетевого ресурса

   Чтобы создать общий ресурс Samba:

   1. Установите Samba:

      sudo apt update

      sudo apt install samba samba-common-bin

   2. Добавьте пользователя Samba с созданием домашней папки для этого пользователя. Эта папка будет служить общей папкой.

      Не создавайте общую папку вручную от имени текущего пользователя. Это необходимо сделать с помощью следующей команды:

      sudo useradd -m -d /home/<SHARE_FOLDER> -s /bin/bash <USER_NAME>

   3. Задайте пароль и активируйте пользователя:

      sudo smbpasswd -a <USER_NAME>

      sudo smbpasswd -e <USER_NAME>

   4. Добавьте следующий блок в файл конфигурации /etc/samba/smb.conf:

      [<SHARE_FOLDER>]

      comment = Network share

      path = /home/<SHARE_FOLDER>

      read only = no

      browseable = yes

      guest ok = no

      где:

      • SHARE_FOLDER – имя общей директории.
   5. Перезапустите службу:

      sudo systemctl restart smbd nmbd

   Чтобы создать общий ресурс Windows (cmd/PowerShell):

   1. Убедитесь, что консоль запущена от имени администратора.
   2. Создайте пользователя и задайте пароль:

      net user <USER_NAME> <PASSWORD> /add /expires:never

   3. Создайте папку и установите общий доступ к ней:

      mkdir <SHARE_FOLDER>

      icacls <SHARE_FOLDER> /inheritance:r

      icacls <SHARE_FOLDER> /grant "Everyone:(OI)(CI)F"

   4. Создайте общий ресурс для пользователя:

      net share <SHARE_NAME>=<SHARE_FOLDER> /grant:<USER_NAME>,full

   В режиме Technical Support Mode подключите внешний диск (физический или сетевой ресурс) к серверу, на котором развернут KEDR 7.1.

   Инструкции по монтированию и размонтированию физического диска

   Чтобы монтировать физический диск:

   1. Подключите физический жесткий диск к устройству и установите его системное имя.
   2. Найдите диск по размеру с помощью вывода команды:

      lsblk

      sudo fdisk -l

      Пример найденного устройства: /dev/sdb1

   3. Смените формат устройства на файловую систему Ext4, чтобы подготовить диск к записи данных:

      sudo mkfs.ext4 /dev/<disk>

   4. Чтобы создать точку монтирования, создайте пустую директорию, в которую будет монтироваться диск:

      sudo mkdir -p /mnt/external_disk

   5. Выполните следующую команду (зависит от файловой системы диска):

      sudo mount /dev/<disk> /mnt/external_disk

   Чтобы размонтировать физический диск после выполнения необходимых операций, выполните следующую команду:

   sudo umount /mnt/external_disk

   Настоятельно рекомендуется выполнить эту команду перед физическим отключением кабеля, чтобы избежать потери данных.

   Инструкции по монтированию и размонтированию сетевого ресурса

   Этот метод предназначен для SMB/CIFS (Windows Share / Samba). Он подходит для разового подключения. После перезагрузки системы соединение будет потеряно.

   Чтобы монтировать сетевой ресурс:

   1. Скачайте и установите следующие три пакета:

      libtalloc2_2.4.2-1~bpo12+1_amd64.deb

      libwbclient0_4.9.5+dfsg-5+deb10u3astra.ce4_amd64.deb

      cifs-utils_6.8-2+deb10u1+ci202212062128+astra2_amd64.deb

      Не изменяйте файл source.list. Чтобы установить программное обеспечение, скачайте необходимые пакеты .deb из общедоступных хранилищ или из частных хранилищ, поддерживаемых вашей организацией.

   2. Создайте точку монтирования:

      sudo mkdir -p <PATH_FOLDER>

   3. Монтируйте сетевой ресурс:

      sudo mount -t cifs //<SERVER>/<SHARE_FOLDER> /<PATH_FOLDER> -o username=<NAME>,password=<PASSWORD>,vers=2.1

      где:

      • SERVER – IP-адрес сервера или его сетевое имя.
      • SHARE_FOLDER – имя общей директории.
      • PATH_FOLDER – локальный путь к точке монтирования.
      • NAME имя пользователя в Windows/Samba.
      • PASSWORD – пароль пользователя.
      • 2.1 – рекомендуемая версия протокола.

        Пример команды: sudo mount -t cifs //<IP address>/Share /mnt/share -o username=<user name>,password=<password>,vers=2.1

   Чтобы отключить сетевой ресурс, выполните следующую команду:

   sudo umount <PATH_FOLDER>

   После завершения переноса данных рекомендуется удалить пакет cifs-utils и его зависимости.

   Чтобы удалить пакет cifs-utils и его зависимости, выполните следующую команду:

   sudo apt remove --purge cifs-utils && sudo apt autoremove -y

2. Размещение скриптов и файлов, необходимых для переноса данных, на сервере KATA/KEDR

   В режиме технической поддержки (Technical Support Mode) поместите скрипт экспорта и архив TAR, содержащий образ Docker img_kata_osmp_migrate.tar, на сервер KATA.

   Скрипт экспорта данных выполняет экспорт в три этапа:

   1. Экспорт данных, необходимых для запуска OSMP и репликации рабочего состояния KEDR 7.1:
      • Список активных (включенных) пользователей
      • Список имен образов, включенных в набор данных Sandbox
      • Пользовательские правила Sandbox (проверка пользовательских изображений)
      • Параметр, включающий или выключающий проверку файлов в Sandbox
      • Правила запрета
      • IOC-правила
      • Пользовательские IOA-правила.
      • Пользовательские YARA-правила.
      • Пароли к архивам, используемые при проверке антивирусом и Sandbox.
      • Расписание IOC-проверок.
      • Список Endpoint Agents.
      • Группы и теги Endpoint Agent (устройства).
   2. Данные истории и дополнительные параметры:
      • База данных алертов.
      • Дополнительные данные, связанные с алертами.
      • Хранилище (данные для расследования, загруженные вручную файла и файлы, полученные с помощью задачи get).
      • Шаблоны уведомлений по электронной почте.
   3. Данные телеметрии.
3. Запуск скрипта экспорта для первого этапа

   Запустите скрипт экспорта для первого шага (укажите параметр --step first при запуске скрипта kata-osmp-export.sh), указав в качестве точки экспорта данных путь к смонтированному диску.

   Скрипт экспортирует исключения IOA (excludes.json) в отдельный файл в формате, совместимом с политиками Endpoint Agent, что позволит импортировать их в дальнейшем. Этот файл располагается среди экспортированных данных в директории ioa.

   Скрипт выводит сообщение об успешном завершении первого этапа экспорта данных.

4. Подготовка ко второму этапу экспорта данных

   После успешного завершения первого этапа экспорта данных выполните следующие действия:

   • Отключите KEDR 7.1 от всех внешних интеграций.
   • Отключите агенты Endpoint Agent в параметрах политики, удалив сертификаты Endpoint Agent и включив проверку подлинности сертификатов. После этого Endpoint Agent не сможет подключиться к серверу.
5. Запуск скрипта экспорта для второго этапа

   Запустите скрипт экспорта для второго этапа (укажите параметр --step second при запуске скрипта kata-osmp-export.sh).

6. Запуск скрипта экспорта для третьего этапа

   Если требуется перенести данные телеметрии, запустите скрипт экспорта для третьего этапа (при запуске скрипта kata-osmp-export.sh укажите параметр --step third).

   Данные телеметрии будут размещены по пути migration-dir/nodes/[GUID узла]/archive_source/elasticsearch/ в файлах .dump.

7. Отключение внешнего диска от сервера KEDR 7.1

   В режиме Technical Support Mode отключите внешний диск от сервера KEDR 7.1.

8. Развертывание OSMP на сервере KATA/EDR

   Удалите KEDR 7.1 путем удаления его с диска, разверните OSMP на сервере KATA/KEDR новой версии и обновите серверы Sandbox.

   При этом предполагается, что в системе только один тенант.

9. Развертывание сервера Linux

   Настройте отдельный сервер Linux.

   Настройте интеграцию между сервером Linux и OSMP.

   Установите Docker на сервер Linux.

   Поместите скрипт импорта и архив TAR, содержащий образ Docker img_kata_osmp_migration_importer.tar, на отдельный сервер Linux.

10. Монтирование внешнего диска к серверу Linux

    Смонтируйте внешний диск к серверу Linux для импорта данных.

11. Запуск скрипта импорта

    На сервере Linux запустите скрипт импорта.

12. Действия после импорта

    Выполните следующие действия:

    • Если версии агентов Endpoint Agent ниже тех, которые совместимы с Kaspersky EDR Expert 8.0, их нужно обновить.
    • Импортируйте пользовательские исключения IOA через политики агентов Endpoint Agent
      1. Откройте архив, содержащий данные для переноса.
      2. Извлеките файл ioa.json, содержащий исключения.
      3. Импортируйте извлеченный файл в политики KES (KES для Windows, KES для Linux).
    • Подключите агенты Endpoint Agent к серверу OSMP через сервер Kaspersky Security Center
13. Перенос данных телеметрии

    Для импорта данных телеметрии, экспортированных на предыдущем этапе, необходимо выполнить отдельный сценарий.

Если у вас есть лицензии KATA или KATA/NDR, вы можете обновить KATA/KEDR 7.1 до KATA 8.0. В этом случае функции Kaspersky EDR Expert будут недоступна – будут перенесены только данные KATA.