Сценарий: переход с KATA/KEDR 7.1 в Kaspersky EDR Expert 8.1 с использованием отдельного сервера для Kaspersky EDR Expert 8.1

В этом разделе описывается сценарий переноса данных из KEDR 7.1, работающего на платформе KATA, в Kaspersky EDR Expert 8.1, работающий на платформе OSMP, с использованием отдельного сервера для OSMP. Этот сценарий следует использовать, если в инфраструктуре достаточно аппаратных ресурсов и основной задачей является минимизация времени недоступности функций Kaspersky EDR Expert.

Этапы переноса данных показаны на рисунке ниже.

Этапы переноса данных

Перенос данных с использованием отдельного сервера для OSMP минимизирует простои приложения в ходе обновления. Чтобы минимизировать простой приложения, процесс переноса данных разделен на три этапа:

1. Перенос данных, необходимых для работы Kaspersky EDR Expert 8.1 и обеспечения того же уровня защиты, который обеспечивал обновляемый KEDR 7.1.
2. Перенос данных истории.
3. Перенос данных телеметрии.

В большей части случаев процесс переноса данных проходит следующим образом:

1. Сохранение данных, необходимых для работы приложения.
2. Импорт сохраненных данных в OSMP.

   Хотя этапы 1 и 2 могут быть выполнены за относительно короткое время, защиту в это время продолжает обеспечивать KEDR 7.1.

3. Переключение агентов Endpoint Agent на новый сервер с помощью политик Kaspersky Security Center.

   Период, в течение которого выполняется переключение агентов Endpoint Agent, считается временем простоя. Процесс описан подробнее на этапе 8 в сценарии ниже.

4. На этапах сценария с 8 по 10 осуществляется перенос исторических данных и телеметрии. Эти этапы могут занять продолжительное время, однако на этом этапе OSMP уже полноценно работает и выполняет все свои функции.

Ограничения

Перенос данных в OSMP, развернутую в сценарии с одним узлом, имеет следующие ограничения:

• Взаимодействие с сервером KEDR 7.1 будет невозможно до завершения процесса переноса данных.
• До завершения процесса экспорта рекомендуется воздержаться от следующих действий:
  • Добавление, изменение или удаление пользователей.
  • Выполнение каких-либо действий с образами операционной системы в Sandbox или изменение правил Sandbox.
  • Добавление, изменение или удаление правил запрета.
  • Добавление, изменение или удаление IOC, IOA-правил, YARA-правил, исключений IOA и расписания проверки IOC.
  • Добавление или удаление Endpoint Agent или изменение групп и тегов Endpoint Agent.
  • Изменение списка паролей архивов.

Этапы переноса данных

Перенос данных в решение OSMP, развернутое на одном узле, состоит из следующих этапов:

1. Развертывание OSMP на одном узле

   Этот сценарий охватывает только развертывание OSMP на одном узле. Перенос данных в режима мультитенантности описан в отдельном сценарии.

   Разверните Kaspersky EDR Expert.

2. Монтирование внешнего диска к серверу KEDR 7.1

   Если вы предпочитаете использовать общую папку в качестве внешнего хранилища, создайте ее на отдельном сервере Linux.

   Инструкции по созданию сетевого ресурса

   Чтобы создать общий ресурс Samba:

   1. Установите Samba:

      sudo apt update

      sudo apt install samba samba-common-bin

   2. Добавьте пользователя Samba с созданием домашней папки для этого пользователя. Эта папка будет служить общей папкой.

      Не создавайте общую папку вручную от имени текущего пользователя. Это необходимо сделать с помощью следующей команды:

      sudo useradd -m -d /home/<SHARE_FOLDER> -s /bin/bash <USER_NAME>

   3. Задайте пароль и активируйте пользователя:

      sudo smbpasswd -a <USER_NAME>

      sudo smbpasswd -e <USER_NAME>

   4. Добавьте следующий блок в файл конфигурации /etc/samba/smb.conf:

      [<SHARE_FOLDER>]

      comment = Network share

      path = /home/<SHARE_FOLDER>

      read only = no

      browseable = yes

      guest ok = no

      где:

      • SHARE_FOLDER – имя общей директории.
   5. Перезапустите службу:

      sudo systemctl restart smbd nmbd

   Чтобы создать общий ресурс Windows (cmd/PowerShell):

   1. Убедитесь, что консоль запущена от имени администратора.
   2. Создайте пользователя и задайте пароль:

      net user <USER_NAME> <PASSWORD> /add /expires:never

   3. Создайте папку и установите общий доступ к ней:

      mkdir <SHARE_FOLDER>

      icacls <SHARE_FOLDER> /inheritance:r

      icacls <SHARE_FOLDER> /grant "Everyone:(OI)(CI)F"

   4. Создайте общий ресурс для пользователя:

      net share <SHARE_NAME>=<SHARE_FOLDER> /grant:<USER_NAME>,full

   В режиме Technical Support Mode подключите внешний диск (физический или сетевой ресурс) к серверу, на котором развернут KEDR 7.1.

   Инструкции по монтированию и размонтированию физического диска

   Чтобы монтировать физический диск:

   1. Подключите физический жесткий диск к устройству и установите его системное имя.
   2. Найдите диск по размеру с помощью вывода команды:

      lsblk

      sudo fdisk -l

      Пример найденного устройства: /dev/sdb1

   3. Смените формат устройства на файловую систему Ext4, чтобы подготовить диск к записи данных:

      sudo mkfs.ext4 /dev/<disk>

   4. Чтобы создать точку монтирования, создайте пустую директорию, в которую будет монтироваться диск:

      sudo mkdir -p /mnt/external_disk

   5. Выполните следующую команду (зависит от файловой системы диска):

      sudo mount /dev/<disk> /mnt/external_disk

   Чтобы размонтировать физический диск после выполнения необходимых операций, выполните следующую команду:

   sudo umount /mnt/external_disk

   Настоятельно рекомендуется выполнить эту команду перед физическим отключением кабеля, чтобы избежать потери данных.

   Инструкции по монтированию и размонтированию сетевого ресурса

   Этот метод предназначен для SMB/CIFS (Windows Share / Samba). Он подходит для разового подключения. После перезагрузки системы соединение будет потеряно.

   Чтобы монтировать сетевой ресурс:

   1. Скачайте и установите следующие три пакета:

      libtalloc2_2.4.2-1~bpo12+1_amd64.deb

      libwbclient0_4.9.5+dfsg-5+deb10u3astra.ce4_amd64.deb

      cifs-utils_6.8-2+deb10u1+ci202212062128+astra2_amd64.deb

      Не изменяйте файл source.list. Чтобы установить программное обеспечение, скачайте необходимые пакеты .deb из общедоступных хранилищ или из частных хранилищ, поддерживаемых вашей организацией.

   2. Создайте точку монтирования:

      sudo mkdir -p <PATH_FOLDER>

   3. Монтируйте сетевой ресурс:

      sudo mount -t cifs //<SERVER>/<SHARE_FOLDER> /<PATH_FOLDER> -o username=<NAME>,password=<PASSWORD>,vers=2.1

      где:

      • SERVER – IP-адрес сервера или его сетевое имя.
      • SHARE_FOLDER – имя общей директории.
      • PATH_FOLDER – локальный путь к точке монтирования.
      • NAME имя пользователя в Windows/Samba.
      • PASSWORD – пароль пользователя.
      • 2.1 – рекомендуемая версия протокола.

        Пример команды: sudo mount -t cifs //<IP address>/Share /mnt/share -o username=<user name>,password=<password>,vers=2.1

   Чтобы отключить сетевой ресурс, выполните следующую команду:

   sudo umount <PATH_FOLDER>

   После завершения переноса данных рекомендуется удалить пакет cifs-utils и его зависимости.

   Чтобы удалить пакет cifs-utils и его зависимости, выполните следующую команду:

   sudo apt remove --purge cifs-utils && sudo apt autoremove -y

3. Размещение скриптов и файлов, необходимых для переноса данных, на сервере KATA/EDR

   В режиме технической поддержки (Technical Support Mode) поместите скрипт экспорта и архив TAR, содержащий образ Docker img_kata_osmp_migrate.tar, на сервер KATA.

   Скрипт экспорта данных выполняет экспорт в два этапа:

   1. Экспорт данных, необходимых для запуска OSMP и репликации рабочего состояния KEDR 7.1:
      • Список активных (включенных) пользователей
      • Список имен образов, включенных в набор данных Sandbox
      • Пользовательские правила Sandbox (проверка пользовательских изображений)
      • Параметр, включающий или выключающий проверку файлов в Sandbox
      • Правила запрета
      • IOC-правила
      • Пользовательские IOA-правила.
      • Пользовательские YARA-правила.
      • Пароли к архивам, используемые при проверке антивирусом и Sandbox.
      • Расписание IOC-проверок.
      • Список Endpoint Agents.
      • Группы и теги Endpoint Agent (устройства).
   2. Данные истории и дополнительные параметры:
      • База данных алертов.
      • Дополнительные данные, связанные с алертами.
      • Хранилище (данные для расследования, загруженные вручную файла и файлы, полученные с помощью задачи get).
      • Шаблоны уведомлений по электронной почте.
4. Запуск скрипта экспорта для первого этапа

   Запустите скрипт экспорта для первого шага (укажите параметр --step first при запуске скрипта kata-osmp-export.sh), указав в качестве точки экспорта данных путь к смонтированному диску.

   Скрипт экспортирует исключения IOA (excludes.json) в отдельный файл в формате, совместимом с политиками Endpoint Agent, что позволит импортировать их в дальнейшем. Этот файл располагается среди экспортированных данных в директории ioa.

5. Развертывание сервера Linux

   Настройте отдельный сервер Linux.

   Настройте интеграцию между этим сервером Linux и OSMP.

   Установите Docker на сервер Linux.

   Поместите скрипт импорта и архив TAR, содержащий образ Docker img_kata_osmp_migration_importer.tar, на отдельный сервер Linux.

   Если KEDR 7.1 еще не заменен на Kaspersky EDR Expert 8.1 и находится в работе, его можно использовать в качестве необходимого сервера Linux. В этом случае нет необходимости устанавливать Docker, поскольку на KEDR 7.1 он уже установлен.

6. Запуск скрипта импорта для первого этапа

   Если используется отдельный Linux сервер, размонтируйте внешний диск на KEDR 7.1 в режиме технической поддержки (Technical Support Mode) и смонтируйте его на сервере Linux.

   На сервере Linux запустите скрипт импорта для первого этапа (укажите параметр --step first во время выполнения скрипта kata-osmp-import.sh).

7. Подготовка ко второму этапу экспорта данных

   После успешного завершения первого этапа импорта данных выполните следующие действия:

   • Отключите KEDR 7.1 от всех внешних интеграций.
   • Отключите агенты Endpoint Agent в параметрах политики, удалив сертификаты Endpoint Agent и включив проверку подлинности сертификатов. После этого Endpoint Agent не сможет подключиться к серверу.
   • Если версии агентов Endpoint Agent ниже тех, которые совместимы с Kaspersky EDR Expert 8.1, их нужно обновить.
   • Импортируйте пользовательские исключения IOA через политики агентов Endpoint Agent.
     1. Откройте архив, содержащий данные для переноса.
     2. Извлеките файл ioa.json, содержащий исключения.
     3. Импортируйте извлеченный файл в политики KES (KES для Windows, KES для Linux).
   • Подключите агенты Endpoint Agent к серверу OSMP через сервер Kaspersky Security Center.
8. Запуск скрипта экспорта для второго этапа

   Если используется отдельный сервер Linux, размонтируйте внешний диск на этом сервере и смонтируйте его на сервере KEDR 7.1 в режиме технической поддержки (Technical Support Mode).

   Запустите скрипт экспорта для второго этапа (укажите параметр --step second при запуске скрипта kata-osmp-export.sh).

9. Запуск скрипта импорта для второго этапа

   Если используется отдельный Linux сервер, размонтируйте внешний диск на KEDR 7.1 в режиме технической поддержки (Technical Support Mode) и смонтируйте его на сервере Linux.

   На сервере Linux запустите скрипт импорта для второго этапа (укажите параметр --step second во время выполнения скрипта kata-osmp-import.sh).

10. Перенос данных телеметрии

    Данные телеметрии можно перенести с использованием внешнего хранилища или без внешнего хранилища.

После успешного завершения всех операций экспорта и импорта данных и передачи данных телеметрии вы сможете продолжать использовать сервер KEDR 7.1.

Если у вас есть лицензии KATA или KATA/NDR, вы можете обновить KATA/KEDR 7.1 до KATA 8.0. В этом случае функции KEDR будут недоступна – будут перенесены только данные KATA.