Использование приложения в режиме Агента Endpoint Detection and Response

Приложение Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response позволяет использовать функциональность решений Detection and Response от "Лаборатории Касперского" для защиты устройств, на которых установлены антивирусные приложения от стороннего поставщика.

В режиме Агента Endpoint Detection and Response стандартные компоненты защиты и контроля Kaspersky Endpoint Security не используются для защиты устройства. Стандартную защиту устройства обеспечивает стороннее антивирусное приложение. Приложение Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response осуществляет постоянное наблюдение за процессами, запущенными на устройстве, открытыми сетевыми соединениями и изменяемыми файлами и обеспечивает интеграцию со следующими решениями Detection and Response:

• Kaspersky Endpoint Detection and Response Expert (on-premise) на платформе Open Single Management Platform (далее также "OSMP").
• Компоненты Kaspersky Endpoint Detection and Response и Kaspersky Network Detection and Response на платформе Kaspersky Anti Targeted Attack Platform (далее также "KATA").

Приложение Kaspersky Endpoint Security для Linux версии 12.4 может работать совместно с антивирусным приложением Dr. Web. Вы можете установить Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response на устройстве, где установлено приложение Dr. Web.

Приложения следует устанавливать в следующем порядке: сначала установите стороннее антивирусное приложение, затем Агент администрирования Kaspersky Security Center, затем приложение Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response. Это связано с тем, что установщик стороннего приложения может определить приложения "Лаборатории Касперского" как несовместимое ПО и удалить их. После обновления стороннего приложения на устройстве рекомендуется проверять работоспособность Kaspersky Endpoint Security и Агента администрирования, так как установщик стороннего приложения повторно проверяет устройство на несовместимое ПО и может удалить приложения "Лаборатории Касперского".

Настройка приложения в режиме Агента Endpoint Detection and Response

Если вы хотите использовать приложение Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response, вам нужно выполнить следующие действия:

1. Выполнить установку приложения Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response на каждой виртуальной машине, которую требуется защищать.

   Вы можете посмотреть информацию о режиме использования приложения c помощью командной строки, выполнив команду kesl-control --app-info.

2. Активировать приложение. Вам нужно добавить в приложение отдельный лицензионный ключ "Kaspersky Endpoint Detection and Response Expert (on-premise) Add-on" (далее также "ключ EDR Expert (on-premise)").

   Для активации приложения в режиме Агента Endpoint Detection and Response нужен только ключ для дополнительной функциональности. Основной лицензионный ключ добавлять в приложение не нужно.

3. Включить интеграцию с решениями Detection and Response, которые вы хотите использовать для защиты устройства:
   • Для интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) на платформе OSMP вам нужно включить компонент EDR Expert (on-premise) и настроить параметры интеграции в Kaspersky Security Center Web Console или в командной строке.
   • Для интеграции с Kaspersky Endpoint Detection and Response на платформе Kaspersky Anti Targeted Attack Platform вам нужно включить компонент EDR Expert (on-premise) и настроить параметры интеграции в Kaspersky Security Center Web Console, в Консоли администрирования или в командной строке.
   • Для интеграции с Kaspersky Network Detection and Response на платформе Kaspersky Anti Targeted Attack Platform вам нужно включить компонент NDR (KATA) и настроить параметры интеграции в Kaspersky Security Center Web Console, в Консоли администрирования или в командной строке.

   Вы можете проверить статус работы компонентов EDR Expert (on-premise) и NDR (KATA):

   • В свойствах устройства в Web Console (Активы (Устройства) → Управляемые устройства → ссылка <имя устройства> → Приложения → ссылка <название приложения Kaspersky Endpoint Security> → Общие → Компоненты).
   • С помощью командной строки, выполнив команду kesl-control --app-info.

Особенности работы приложения в режиме Агента Endpoint Detection and Response

Если приложение Kaspersky Endpoint Security используется в режиме Агента Endpoint Detection and Response, набор доступных компонентов и задач приложения ограничен. После установки параметры приложения настроены следующим образом:

• Полностью доступны для управления компоненты, обеспечивающие интеграцию с решениями Detection and Response:
  • EDR Expert (on-premise).
  • NDR (KATA).

  Компоненты выключены по умолчанию, вам нужно их включить для работы приложения в режиме Агента Endpoint Detection and Response. Вы можете настраивать параметры интеграции, в том числе функциональность запрета запуска объектов.

• Доступ к файлам на время проверки не блокируется: снят флажок Блокировать доступ к файлам во время проверки (FileBlockDuringScan=No). Этот параметр недоступен для изменения.
• Компоненты Защита от файловых угроз и Защита от шифрования доступны в режиме ограниченной функциональности: при обнаружении угрозы эти компоненты не пытаются лечить или удалять вредоносные объекты, запрещать доступ или блокировать активность приложений, а только отправляют информацию об обнаружении угрозы на серверы, обеспечивающие интеграцию с решениями Detection and Response.

  Вы можете включать и выключать Защиту от файловых угроз и Защиту от шифрования и настраивать параметры компонентов, кроме действий при обнаружении угрозы. Следующие параметры недоступны для изменения:

  • Компонент Защита от файловых угроз: Действие при обнаружении угрозы – Пропускать (ActionOnThreat=Skip).
  • Компонент Защита от шифрования: Действие при обнаружении шифрования – Информировать (ActionOnDetect=Notify).
• Полностью доступен для управления компонент Анализ поведения.
• Все остальные компоненты защиты и контроля выключены и недоступны для управления.

При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premise) или с Kaspersky Endpoint Detection and Response (KATA) в рамках действия по реагированию на угрозы приложение Kaspersky Endpoint Security может контролировать запуск исполняемых файлов и скриптов на устройстве. Функциональность Запрета запуска объектов доступна со следующими ограничениями:

• Если скрипт запущен из интерпретатора, приложение не контролирует запуск скрипта.
• Приложение не контролирует открытие файлов офисных приложений на устройстве.