Защита от сложных угроз и целевых атак

Решения Detection and Response от "Лаборатории Касперского" представляют собой системы безопасности, предназначенные для обнаружения сложных угроз и признаков атак на разных уровнях инфраструктуры организации. Решения Detection and Response предоставляют информацию об обнаруженных угрозах и позволяют управлять действиями по реагированию на обнаружения.

Приложение Kaspersky Endpoint Security может взаимодействовать со следующими решениями Detection and Response от "Лаборатории Касперского":

• Kaspersky Endpoint Detection and Response Expert (on-premises) на платформе Open Single Management Platform (OSMP). Интеграцию обеспечивает компонент приложения Kaspersky Endpoint Security – Endpoint Detection and Response Expert (on-premises) (далее также EDR Expert (on-premises)).
• Kaspersky Endpoint Detection and Response Expert (cloud) на платформе Open Single Management Platform (OSMP). Интеграцию обеспечивает компонент приложения Kaspersky Endpoint Security – Endpoint Detection and Response Expert (cloud) (далее также EDR Expert (cloud)).
• Компонентами Kaspersky Endpoint Detection and Response и Kaspersky Network Detection and Response на платформе Kaspersky Anti Targeted Attack Platform. Интеграцию обеспечивают следующие компоненты приложения Kaspersky Endpoint Security:
  • Endpoint Detection and Response Expert (on-premises) (далее также EDR Expert (on-premises)).
  • Network Detection and Response (KATA) (далее также NDR (KATA)).
• Sandbox на платформе Open Single Management Platform (OSMP) или на платформе Kaspersky Anti Targeted Attack Platform. Интеграцию обеспечивает компонент приложения Kaspersky Endpoint Security – Sandbox.
• Kaspersky Unified Monitoring and Analysis Platform.
• Kaspersky Endpoint Detection and Response Optimum. Интеграцию обеспечивает компонент приложения Kaspersky Endpoint Security – Endpoint Detection and Response Optimum (далее также EDR Optimum).
• Kaspersky Managed Detection and Response. Интеграцию обеспечивает компонент приложения Kaspersky Endpoint Security – Managed Detection and Response (далее также MDR).

Особенности интеграции с решениями Detection and Response

• Если вы используете приложение Kaspersky Endpoint Security в режиме EDR-агента, поддерживается интеграция только с Kaspersky Endpoint Detection and Response Expert (on-premises) на платформе Open Single Management Platform (OSMP) и с компонентами Kaspersky Endpoint Detection and Response и Kaspersky Network Detection and Response на платформе Kaspersky Anti Targeted Attack Platform.
• При интеграции приложения Kaspersky Endpoint Security с решениями Kaspersky Managed Detection and Response и Kaspersky Anti Targeted Attack Platform встроенный агент может записывать в журнал systemd-journald большое количество событий. Если вы хотите выключить запись событий аудита в systemd-journald, вам нужно отключить сокет systemd-journald-audit и перезагрузить операционную систему.

  Отключить сокет systemd-journald-audit

  systemctl stop systemd-journald-audit.socket

  systemctl disable systemd-journald-audit.socket

  systemctl mask systemd-journald-audit.socket

• В операционной системе СинтезМ-Клиент конфигурация службы auditd по умолчанию заблокирована против изменений, то есть находится в режиме работы enabled 2. Для корректной работы компонента Анализ поведения при интеграции Kaspersky Endpoint Security с решениями Kaspersky Managed Detection and Response и Kaspersky Anti Targeted Attack Platform требуется изменить режим работы auditd в конфигурационных файлах на режим без блокировки конфигурации enabled 1 и перезагрузить операционную систему.
• Решения Detection and Response могут работать некорректно на виртуальных машинах, созданных из образа с установленным Kaspersky Endpoint Security для Linux. При интеграции с решениями Detection and Response используется уникальный идентификатор компьютера (Sensor ID). Приложение создает этот идентификатор при первой установке и сохраняет его даже после удаления. При клонировании образа виртуальная машина наследует Sensor ID, из-за чего решения Detection and Response могут определять несколько виртуальных машин как одно устройство.

  Рекомендации по созданию эталонного образа для корректной интеграции с MDR

  Как подготовить эталонный образ для корректной интеграции с EDR Expert (on-premises)