Сетевая изоляция

В рамках действия по реагированию на угрозы устройство может быть изолировано от сети.

Особенности работы сетевой изоляции

После включения сетевой изоляции приложение разрывает все активные и блокирует все новые сетевые соединения TCP/IP на устройстве, кроме следующих:

• Соединений, указанных в исключениях из сетевой изоляции.
• Соединений, инициированных службами Kaspersky Endpoint Security.
• Соединений, инициированных Агентом администрирования Kaspersky Security Center.
• Соединений с SVM и Сервером интеграции, если приложение используется в режиме Легкого агента.

Сетевая изоляция может применяться при выполнении одного из следующих условий:

• Включена интеграция приложения Kaspersky Endpoint Security с решением Kaspersky Endpoint Detection and Response Optimum и активирован компонент EDR Optimum.
• Включена интеграция приложения Kaspersky Endpoint Security с компонентом Kaspersky Endpoint Detection and Response (KATA) и активировано решение Kaspersky Anti Targeted Attack Platform.

Выключение сетевой изоляции вручную доступно вне зависимости от того, включена ли интеграция с решениями Detection and Response, а также вне зависимости от того, распространяется ли на устройство действие политики. Активация компонента EDR Optimum и решения Kaspersky Anti Targeted Attack Platform также не влияет на возможность выключения сетевой изоляции.

При интеграции с Kaspersky Endpoint Detection and Response (KATA) включение и выключение сетевой изоляции устройства, а также настройка исключений из сетевой изоляции выполняется на стороне решения Kaspersky Endpoint Detection and Response (KATA). Подробнее см. в справке Kaspersky Anti Targeted Attack Platform. Если требуется, вы можете вручную выключать сетевую изоляцию устройства в свойствах устройства в Web Console или в командной строке.

При интеграции с Kaspersky Endpoint Detection and Response Optimum сетевая изоляция может применяться в одном из следующих режимов:

• Автоматический режим сетевой изоляции. Устройство может быть изолировано от сети автоматически в результате обнаружения индикаторов компрометации. Если при создании и настройке параметров задачи Поиск IOC в блоке Действия при обнаружении IOC вы установили флажки Применять действия по реагированию при обнаружении IOC и Изолировать устройство от сети, то включение сетевой изоляции происходит автоматически при обнаружении приложением индикаторов компрометации.

  Вы можете настроить следующие параметры сетевой изоляции в автоматическом режиме:

  • Изменить период времени, по истечении которого сетевая изоляция автоматически выключается.
  • Настроить исключения из сетевой изоляции для устройств, изолированных автоматически.

  Если на устройство, изолируемое в автоматическом режиме, распространяется политика, то применяются параметры, заданные в политике. Если политика не распространяется, то применяются параметры, заданные в свойствах устройства.

• Ручной режим сетевой изоляции. Устройство можно изолировать от сети на время исследования обнаруженной угрозы. Вы можете вручную включать сетевую изоляцию устройства в окне с деталями алерта и в свойствах устройства в Web Console.

  Вы можете настроить следующие параметры сетевой изоляции в ручном режиме:

  • Изменить период времени, по истечении которого сетевая изоляция автоматически выключается.
  • Настроить исключения из сетевой изоляции для устройств, изолированных вручную.

При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете вручную выключать сетевую изоляцию устройства в свойствах устройства в Web Console и в командной строке.

Вы можете проверять статус сетевой изоляции устройства в командной строке.

Изолированному устройству автоматически присваивается тег ISOLATED FROM NETWORK. После выключения сетевой изоляции этот тег автоматически снимается.

Общую информацию о получении списка изолированных устройств по тегу см. в справке Kaspersky Endpoint Detection and Response Optimum.

Ограничения сетевой изоляции

При использовании сетевой изоляции настоятельно рекомендуется ознакомиться с описанными ограничениями.

Для работоспособности сетевой изоляции требуется, чтобы приложение Kaspersky Endpoint Security было запущено. Во время сбоя в работе приложения Kaspersky Endpoint Security (когда приложение не запущено), блокировка трафика при включении сетевой изоляции решением Kaspersky Anti Targeted Attack Platform или Kaspersky Endpoint Detection and Response Optimum не гарантируется.

DHCP и DNS не добавляются автоматически в исключения из сетевой изоляции, поэтому если сетевой адрес какого-то ресурса был изменен во время сетевой изоляции, приложение Kaspersky Endpoint Security не сможет получить к нему доступ. Это же относится к узлам отказоустойчивого сервера KATA. Не рекомендуется менять их адреса, чтобы приложение Kaspersky Endpoint Security не потеряло с ними связь.

Прокси-сервер не добавляется автоматически в исключения из сетевой изоляции, поэтому требуется добавить его в исключения вручную, чтобы приложение Kaspersky Endpoint Security не потеряло связь с сервером KATA.

Исключение процесса из сетевой изоляции по имени поддерживается на устройствах с версией ядра от 4.18 до 6.6 с поддержкой eBPF с BTF.

Если приложение Kaspersky Endpoint Security используется в стандартном режиме, при использовании сетевой изоляции рекомендуется:

• Использовать прокси-сервер KSN для взаимодействия с Kaspersky Security Network.
• Использовать Kaspersky Security Center в качестве прокси-сервера для активации приложения.

  В случае невозможности использования Kaspersky Security Center в качестве прокси-сервера требуется настроить параметры нужного прокси-сервера и добавить его в исключения.

• Указать Kaspersky Security Center в качестве источника обновлений баз.

Эти рекомендации неприменимы, если приложение Kaspersky Endpoint Security используется в режиме Легкого агента.