Endpoint Detection and Response Optimum

Kaspersky Endpoint Detection and Response Optimum – решение, предназначенное для защиты ИТ-инфраструктуры организации от таких угроз, как эксплойты (англ. exploits), программы-вымогатели (англ. ransomware), бесфайловые атаки (англ. fileless attacks) и использование злоумышленниками законных системных инструментов для нанесения вреда устройствам или данным.

Приложение Kaspersky Endpoint Security 12.5 для Linux совместимо с решением Kaspersky Endpoint Detection and Response Optimum версии 3.1.

Интеграцию Kaspersky Endpoint Security с решением Kaspersky Endpoint Detection and Response Optimum обеспечивает компонент приложения Kaspersky Endpoint Security – Endpoint Detection and Response Optimum (далее также EDR Optimum).

Для централизованного управления приложением Kaspersky Endpoint Security с компонентом EDR Optimum используйте Kaspersky Security Center Windows 15.1 или Kaspersky Security Center Linux 15.3, 15.4, 16.0, 16.1, 16.2.

Компонент недоступен для устройств с процессором Эльбрус.

Как работает Kaspersky Endpoint Detection and Response Optimum

Kaspersky Endpoint Detection and Response Optimum выполняет мониторинг и анализ развития угрозы, а также предоставляет сотруднику службы безопасности или администратору информацию о потенциальной атаке, необходимую для принятия своевременных действий по реагированию.

Kaspersky Endpoint Detection and Response Optimum использует следующие средства анализа угроз (Threat Intelligence):

• Инфраструктура облачных служб Kaspersky Security Network (далее также KSN), предоставляющая доступ к оперативной базе знаний "Лаборатории Касперского" о репутации файлов, веб-сайтов и программного обеспечения.
• Интеграция с порталом Kaspersky Threat Intelligence Portal, который содержит и отображает информацию о репутации файлов и веб-сайтов.
• База угроз "Лаборатории Касперского" Kaspersky Threats.

При взаимодействии с Kaspersky Endpoint Detection and Response Optimum приложение Kaspersky Endpoint Security может выполнять следующие функции:

• Отправлять в Kaspersky Security Center данные о событиях на устройствах. Приложение Kaspersky Endpoint Security передает в Kaspersky Security Center данные наблюдения за процессами, открытыми сетевыми соединениями и изменяемыми файлами, а также данные об угрозах, обнаруженных приложением, и данные о результатах обработки этих угроз.
• Выполнять действия по реагированию, направленные на обеспечение функций безопасности, по командам, полученным от Kaspersky Security Center.

Настройка интеграции с Kaspersky Endpoint Detection and Response Optimum

Предварительные требования

Перед началом настройки интеграции с Kaspersky Endpoint Detection and Response Optimum:

• Добавьте в приложение лицензионный ключ EDR Optimum, если вы приобрели отдельную лицензию на использование этой функциональности.

  При использовании приложения Kaspersky Endpoint Security по лицензии, которая включает в себя функциональность Kaspersky Endpoint Detection and Response Optimum, действие не требуется.

  Если приложение Kaspersky Endpoint Security используется в режиме Легкого агента, лицензионный ключ добавляется на SVM.

• Убедитесь, что включены и работают:
  • Kaspersky Security Network в стандартном или расширенном режиме.

    Для наиболее эффективной работы Kaspersky Endpoint Detection and Response Optimum рекомендуется использовать Kaspersky Security Network в расширенном режиме.

  • следующие компоненты приложения Kaspersky Endpoint Security:
    • Защита от файловых угроз.
    • Анализ поведения.

  Для полноты отправляемой телеметрии и для построения цепочки развития угроз в Kaspersky Security Center требуется дополнительно включить Защиту от веб-угроз.

  Вы также можете включить запрет запуска объектов.

Основные этапы настройки

1. Установите плагин управления Kaspersky Endpoint Detection and Response Optimum

   Плагин управления Kaspersky Endpoint Detection and Response Optimum является единым плагином для работы с агентами на операционных системах Windows, Mac и Linux и требуется для отображения и просмотра деталей алертов. Описание процедуры установки см. в справке решения Kaspersky Endpoint Detection and Response Optimum.

   Если в вашей инфраструктуре для управления Kaspersky Endpoint Detection and Response Optimum используется Kaspersky Security Center Cloud Console, плагин установлен по умолчанию.

2. Настройте параметры интеграции с Kaspersky Endpoint Detection and Response Optimum

   Вы можете выполнить настройку:

   • С помощью Web Console (консоль Kaspersky Security Center и/или консоль OSMP).
   • С помощью командной строки.

     Управление компонентом EDR Optimum с помощью Консоли администрирования Kaspersky Security Center не поддерживается.

3. Включите передачу данных на Сервер администрирования

   Для использования всех возможностей Kaspersky Endpoint Detection and Response Optimum вам нужно настроить следующие параметры:

   • Включить отправку в хранилище Kaspersky Security Center информации о файлах в резервном хранилище и на карантине. Для этого вам нужно в свойствах политики установить флажки:
     • О файлах резервного хранилища.
     • О файлах карантина.
   • Разрешить отображение списка алертов. Для этого вам нужно включить переключатель Показать EDR-алерты в главном окне Web Console в разделе Параметры → Параметры интерфейса.

     Параметр Показать EDR-алерты отсутствует в Web Console версии ниже 15.1. Переход к EDR-алертам доступен из Отчета об угрозах в консоли Kaspersky Security Center.

   • Включить передачу данных о событиях сторонних приложений на управляемых устройствах. Для этого на управляемом устройстве выполните команду:

     kesl-control --set-app-settings SystemEventsTransmission=Yes

     Включение этого параметра может значительно увеличить нагрузку на операционную систему.

4. Убедитесь, что подключение к Kaspersky Endpoint Detection and Response Optimum выполнено успешно

   Проверьте статус работы Kaspersky Endpoint Detection and Response Optimum удобным для вас способом.

Интеграция с Kaspersky Endpoint Detection and Response Optimum настроена. При обнаружении угрозы формируется алерт. В окне с деталями алерта вы можете просмотреть информацию об угрозе и выполнить действия по реагированию.