Экспорт данных из KEDR 7.1

В этом разделе описаны инструкции по созданию архива, содержащего данные, которые вы хотите перенести в Kaspersky EDR Expert 8.1.

Экспорт осуществляется с помощью скрипта kata-osmp-export.sh.

Запуск экспорта

Перед запуском экспорта убедитесь в наличии архива TAR, содержащего образ Docker для экспорта, например img_kata_osmp_migrate.tar.

Чтобы создать архив для экспорта в Kaspersky EDR Expert 8.1:

1. Выполните следующую команду на хосте KATA, чтобы скрипт kata-osmp-export.sh стал исполняемым:

   chmod +x kata-osmp-export

2. Запустите скрипт kata-osmp-export.sh:

   sudo ./kata-osmp-export --migration-dir migration_dir --migration-image <имя архива TAR, содержащего образ Docker kata_osmp_migrate>.tar --step first --password <пароль архива> --log-dir <директория журналов>

   Здесь:

   • migration-dir – путь к директории переноса данных, в которую будут экспортированы данные. Эта директория в дальнейшем будет использоваться в качестве входных данных для команды импорта.
   • migration-image – архив TAR, содержащий образ Docker kata_osmp_migrate.
   • step – шаг экспорта. Возможные значения:
     • first – будут экспортированы параметры и данные: пользователи, параметры приложений, IOA-, IOC- и YARA-правила, активы, исключения для IOA-правил.
     • second – будут экспортированы данные истории: алерты и хранилища.
     • third – будут экспортированы данные телеметрии. На этом шаге можно задать другое значение migration-dir, отличное от использовавшегося на предыдущих шагах. Этот шаг необязателен – его можно выполнить, если требуется перенести данные телеметрии с помощью внешнего хранилища. Обратите внимание, что данные телеметрии также можно перенести отдельно, для чего предусмотрен другой сценарий.
   • password – пароль, который будет использоваться для шифрования архива.
   • telemetry-max-processes – это количество процессов, используемых для экспорта телеметрии; применяется в случае step=third. Если не указано иное, по умолчанию это значение совпадает с количеством шардов в Elasticsearch.

     Скорость экспорта телеметрии во внешнее хранилище зависит от значения параметра telemetry-max-processes. При развертывании на одном узле рекомендуется указывать значение, кратное четырем, а при развертывании на нескольких узлах – кратное восьми.

     Для экспорта телеметрии в среднем требуются ядра в количества 1,5*значение telemetry-max-processes. Если для этого параметра задано значение 16 или выше, ожидаемая производительность экспорта составляет 4 ТБ данных Elasticsearch в сутки.

     Расчетное время переноса данных телеметрии (в днях)

     Количество дней	Количество компонентов Endpoint Agent
     	1000	3000	5000	10 000	15 000
     7	10	16	18	20	20
     14	16	26	30	34	34
     30	28	50	58	68	68

   • telemetry-keep-days –количество экспортируемых данных телеметрии в сутках; применяется в случае step=third. Если не указано иное, экспортируются все имеющиеся данные телеметрии.
   • no-archive – необязательный параметр, позволяющий пропустить создание архива. Этот параметр рекомендуется указывать для третьего шага, чтобы сократить время выгрузки. Если он указан, параметр password можно не указывать.
   • log-dir – директория, в которой будут храниться журналы экспорта. Если эта директория не существует, она будет создана автоматически. В этой директории будет сохранен файл migration.log, содержащий общий журнал экспорта.

   Если экспорт выполняется в режиме мультитенантности (для нескольких узлов), для успешного импорта каждый архив должен быть зашифрован одним и тем же паролем.

   Пример: Чтобы выполнить полный экспорт данных из узла KATA, запустите сценарий для step=first и step=second: sudo ./kata-osmp-export --migration-dir migration_dir --migration-image <имя архива TAR, содержащего образ Docker kata_osmp_migrate>.tar --step first --password <пароль архива> --log-dir <директория журналов> sudo ./kata-osmp-export --migration-dir migration_dir --migration-image <имя архива TAR, содержащего образ Docker kata_osmp_migrate>.tar --step second --password <пароль архива> --log-dir <директория журналов> sudo ./kata-osmp-export --migration-dir telemetry_dir --migration-image <имя архива TAR, содержащего образ Docker kata_osmp_migrate>.tar --step third --no-archive [--telemetry-max-processes <количество процессов> --telemetry-keep-days <количество дней>]