Рекомендации для Защиты от веб-угроз и ‎Защиты от сетевых угроз

Если в системе настроены свои (или firewalld) сетевые правила с Drop политиками, то для корректной работы приложения добавьте разрешающее правило для разрешения входящих соединений локального устройства (loopback).

Пример команды для iptables

iptables -A INPUT -i lo -j ACCEPT

Ограничьте список контролируемых приложением сетевых портов. По умолчанию приложение контролирует только выбранные сетевые порты. Если устройство использует подключение по протоколу SMB, убедитесь, что используется значение по умолчанию:

• В политике в Web Console или в Консоли администрирования: в параметрах проверки сетевого трафика выбран вариант Контролировать только выбранные сетевые порты.
• Локально на устройстве: параметр проверки сетевого трафика MonitorNetworkPort имеет значение Selected.

При использовании приложения совместно с балансировщиком HAProxy выполните следующие действия:

1. Откройте конфигурационный файл /var/opt/kaspersky/kesl/common/kesl.ini, создайте секцию [Environment] и добавьте в нее параметр TcpSynInterceptDisabled=1.
2. Перезапустите приложение:

   systemctl restart kesl

Для совместной работы компонентов Защита от веб-угроз и Защита от сетевых угроз и кластера Kubernetes с сетевыми плагинами Calico и Cilium настройте параметры WtpFwMark, NtpFwMark, BypassFwMark и BypassNflogMark в конфигурационном файле kesl.ini.

Компонент Защита от веб-угроз по умолчанию расшифровывает и проверяет сетевой трафик, передаваемый по защищенным соединениям. При этом компонент может использовать интернет для проверки и загрузки недостающих цепочек, необходимых для проверки сертификата.

Если устройство не имеет прямого выхода в интернет, выполните одно из следующих действий:

• Выберите локальный способ проверки сертификатов в параметрах проверки сетевого трафика:
  • В политике с помощью Web Console или Консоли администрирования: установите для параметра Политика проверки сертификатов значение Локальная проверка.
  • Локально на устройстве с помощью командной строки:

    kesl-control --set-net-settings CertificateVerificationPolicy=LocalCheck

  Приложение не будет использовать интернет для проверки сертификатов.

• Настройте использование прокси-сервера для доступа в интернет:
  • В политике с помощью Web Console или Консоли администрирования: настройте параметры прокси-сервера.
  • Локально на устройстве с помощью командной строки:

    Включить использование прокси-сервера с аутентификацией

    kesl-control --set-app-settings UseProxy=Yes ProxyServer=<connection protocol>://<user name>:<password>@<IP address of the proxy server>:<port number>

    Включить использование прокси-сервера без аутентификации

    kesl-control --set-app-settings UseProxy=Yes ProxyServer=<connection protocol>://<IP address of the proxy server>:<port number>

Чтобы обеспечить совместимость правил перехвата компонента Защита от сетевых угроз с правилами REDIRECT (например, перенаправление с 443 порта на 8443):

1. Удалите правило:

   iptables -t nat -A PREROUTING -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 8443

2. Добавьте вместо него следующие правила:

   iptables -t nat -A PREROUTING -p tcp -m tcp --dport 443 -m mark ! --mark 0x400/0x400 -j REDIRECT --to-ports 8443

   iptables -t nat -A OUTPUT -p tcp --dport 443 -m mark --mark 0x400/0x400 -m addrtype ! --src-type LOCAL -j DNAT --to-destination :8443