Настройки телеметрии
для Windows, macOS и Linux
Этот раздел позволяет вам настроить отправку телеметрии с управляемых устройств на серверы сбора телеметрии. Телеметрия – список событий, которые произошли на защищаемом компьютере. Kaspersky Endpoint Security анализирует телеметрию и отправляет ее на серверы Kaspersky Anti Targeted Attack Platform или на серверы сбора телеметрии во время синхронизации. События телеметрии поступают на сервер почти непрерывно. Kaspersky Endpoint Security выполняет синхронизацию с сервером при выполнении любого из следующих условий:
- Истек период синхронизации.
- Количество событий в буфере превысило максимальное значение.
Если соединение между Kaspersky Endpoint Security и сервером отсутствует, то приложение ставит новые события в очередь. При восстановлении соединения Kaspersky Endpoint Security отправляет события из очереди на сервер по порядку. При этом, чтобы не перегрузить сервер, Kaspersky Endpoint Security может отправлять не все события.
Вы можете настроить параметры синхронизации для каждого встроенного агента в разделе "Встроенные агенты" и выбрать оптимальные значения исходя из нагрузки на сеть.
В этом разделе вы можете настроить:
- Правила включения и исключения из телеметрии.
- Сбор телеметрии, отправляемой на серверы KATA, серверы сбора телеметрии или серверы реагирования.
Телеметрия EDR Expert (on-premise)
для Windows, macOS и Linux
Настройки телеметрии EDR Expert (on-premise)
Настройка | ОС | Описание |
|---|---|---|
Телеметрия EDR Expert (on-premise) |
| Импорт и Экспорт. Вы можете экспортировать настройки телеметрии EDR Expert (on-premise) в файл в формате JSON. Далее вы можете вносить изменения в файл, чтобы, например, добавить большое количество идентификаторов событий. Также вы можете использовать функцию экспорта / импорта для резервного копирования настроек отправляемых событий или для миграции списка в другую политику. |
Общие исключения |
| Для оптимизации передаваемых данных вы можете настроить правила исключения для определенных типов событий. В этом случае Kaspersky Endpoint Security не собирает телеметрию, подходящую под условия правила. Это позволит уменьшить расход трафика и сократить количество событий от доверенных объектов и процессов. Имя правила. Действие:
Условие. Условие срабатывания правила. Укажите параметр телеметрии, условный оператор и значение параметра. По умолчанию Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Вы можете добавить несколько условий или группы условий, используя логические операторы И или ИЛИ. |
Все типы событий |
| Список типов событий, для которых сбор телеметрии определяется по умолчанию "Лабораторией Касперского". Вы можете вручную настроить отправку на сервер каждого типа событии, а также правила исключения и включения телеметрии. |
Телеметрия EDR (KATA) / NDR (KATA)
для Windows и Linux
Для повышения производительности и оптимизации отправки данных на сервер сбора телеметрии вы можете настроить исключения из телеметрии. Например, вы можете отменить обработку данных о сетевых коммуникациях для отдельных приложений.
Настройки исключений из телеметрии EDR (KATA) / NDR (KATA)
Настройка | ОС | Описание |
|---|---|---|
Исключенные процессы |
| Kaspersky Endpoint Security не обрабатывает данные, связанные с процессами из списка. Оптимизировать объем отправляемой телеметрии. Kaspersky Endpoint Security позволяет оптимизировать объем отправляемых данных и исключить из телеметрии события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB, службы WinRM и процесса Агента администрирования klnagent.exe, а также расширенную информацию о типе сетевых пакетов для всех типов сетевых протоколов. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Использовать для следующих типов событий:
|
Исключенные сетевые коммуникации |
| Kaspersky Endpoint Security не обрабатывает данные, связанные с сетевыми коммуникациями из списка. В правиле исключения вы можете указать: Название правила. Направление. Протокол. Необработанный сокет. Номер протокола. Локальный адрес. Сетевой адрес компьютера, для которого Kaspersky Endpoint Security исключает телеметрию из сетевого трафика. Локальный порт или диапазон. Удаленный адрес. Сетевой адрес компьютера, для которого Kaspersky Endpoint Security исключает телеметрию из сетевого трафика. Удаленный порт или диапазон. Для IP-адресов поддерживается только формат IPv4. Использовать правило для выбранных приложений. Если флажок установлен, Kaspersky Endpoint Security исключает EDR-телеметрию из сетевого трафика для исполняемых файлов приложений из списка. |
Исключенные операции с файлами |
| Kaspersky Endpoint Security не обрабатывает файловые операции из списка. В правиле исключения вы можете указать: Название правила. Имя или маска файла. Имя или маска имени файла, при доступе к которым Kaspersky Endpoint Security применяет правило исключения. Kaspersky Endpoint Security поддерживает символы Выберите файловую операцию. Тип файловой операции, к которой будет применяться правило. Предыдущий путь. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки |
Исключенные операции с DNS |
| Kaspersky Endpoint Security не обрабатывает операции с DNS из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Операции с DNS:
|
Исключенные операции с LDAP |
| Kaspersky Endpoint Security не обрабатывает операции с LDAP из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Операции с LDAP:
|
Исключенные запросы доступа к процессу |
| Kaspersky Endpoint Security не обрабатывает запросы доступа к процессам из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс, Родительский процесс, Файл целевого процесса, Дескриптор исходного процесса и Дескриптор целевого процесса.
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Запросы доступа к процессу:
|
Исключенные внедрения в код |
| Kaspersky Endpoint Security не обрабатывает внедрения кода из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Внедрения в код:
|
Исключенные запросы WMI |
| Kaspersky Endpoint Security не обрабатывает запросы WMI из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Запросы WMI:
|
Исключенные операции с каналами |
| Kaspersky Endpoint Security не обрабатывает операции с каналами из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Операции с каналами:
|
Исключенные изменения реестра |
| Kaspersky Endpoint Security не обрабатывает изменения реестра из списка. В правиле исключения вы можете указать: Название правила. Kaspersky Endpoint Security применяет критерии срабатывания по правилу логического И. Процесс и Родительский процесс:
Вы также можете выбрать файл вручную, и приложение автоматически заполнит поля из выбранного файла. В 64-разрядных операционных системах параметры 64-разрядной версии исполняемого файла процесса из папки Изменения реестра:
|
Исключенные операции с устройствами |
| Kaspersky Endpoint Security не обрабатывает операции, связанные с USB-устройствами из списка. В правиле исключения вы можете указать: Название правила. Тип устройства. Идентификатор устройства. Имя устройства. |
для Windows
По умолчанию отправка событий на Сервер KUMA выключена. Для работы KUMA вам нужно включить отправку телеметрии. Для выбора источника событий доступны стандартные журналы: Application, Security или System. Также вы можете указать журнал стороннего приложения. Для повышения производительности и оптимизации отправки данных на Сервер KUMA вы можете вручную добавить отдельные журналы событий.
Настройки телеметрии KUMA
Настройка | ОС | Описание |
|---|---|---|
Журналы событий Windows |
| Список журналов событий Windows, которые приложение отправляет в KUMA. Вы можете вручную добавить журналы по одному или импортировать JSON-файл с настройками. Для каждого журнала событий можете выбрать режим отправки:
Также вы можете настроить правила исключения или включения для соответствующего режима отправки событий. Для добавления правил необходимо указать идентификатор события в журнале событий Windows. Вы можете перечислить несколько идентификаторов событий в одном правиле. Для указания нескольких идентификаторов событий используйте запятую в качестве разделителя. |
