Kaspersky Anti Targeted Attack Platform

Kaspersky Anti Targeted Attack Platform – решение для защиты ИТ-инфраструктуры организации и своевременного обнаружения таких угроз, как атаки "нулевого дня", целевые атаки и сложные целевые атаки advanced persistent threats (далее также "APT"). Подробнее о решении см. в справке Kaspersky Anti Targeted Attack Platform.

Приложение Kaspersky Endpoint Security может интегрироваться со следующими компонентами на платформе Kaspersky Anti Targeted Attack Platform:

Kaspersky Endpoint Detection and Response (KATA)

Поддерживается интеграция с Kaspersky Endpoint Detection and Response (KATA) версии 7.1 и ниже.

Network Detection and Response (KATA)

Sandbox

Интеграцию на платформе Kaspersky Anti Targeted Attack Platform обеспечивают следующие компоненты приложения Kaspersky Endpoint Security:

• Endpoint Detection and Response Expert (on-premises), далее также EDR Expert (on-premises).

  Начиная с версии Kaspersky Endpoint Security 12.4 для Linux компонент Endpoint Detection and Response (KATA) переименован в Endpoint Detection and Response Expert (on-premises). Теперь этот компонент обеспечивает интеграцию не только с Kaspersky Endpoint Detection and Response (KATA), компонентом Kaspersky Anti Targeted Attack Platform, но и с решением Kaspersky Endpoint Detection and Response Expert (on-premises).

• Network Detection and Response (KATA), далее также NDR (KATA).
• Sandbox.

Вы можете настроить интеграцию приложения Kaspersky Endpoint Security как со всеми компонентами решения Kaspersky Anti Targeted Attack Platform, так и с каждым компонентом по отдельности.

Компонент недоступен для устройств с процессором Эльбрус.

Настройка интеграции с Kaspersky Anti Targeted Attack Platform

Предварительные требования

Перед началом настройки интеграции с компонентом Kaspersky Network Detection and Response (KATA) разрешите подключение через порт 8085.

Перед началом настройки интеграции с компонентом Kaspersky Endpoint Detection and Response (KATA):

• Разрешите подключение через порты 443, 8443.
• Включите компонент Анализ поведения для передачи необходимых данных телеметрии.

  Компонент Анализ поведения доступен на устройствах с версией ядра 3.13 и выше.

  Если вы хотите получать данных об обнаружении угроз от других компонентов защиты, включите эти компоненты:

  • Защита от файловых угроз.
  • Защита от сетевых угроз.
  • Защита от веб-угроз.
  • Защита от шифрования.
  • Контроль приложений.
  • Контроль устройств.
  • Контроль целостности системы.

  Данные телеметрии будут более полными при включении режима перехвата сетевого трафика eBPF. Технология eBPF доступна на компьютерах под управлением 64-битных операционных систем с версией ядра 4.18 и выше с поддержкой eBPF.

  Рекомендуем проверить, поддерживает ли компьютер компоненты, необходимые для передачи данных телеметрии.

• Добавьте в приложение лицензионный ключ EDR Expert (on-premises), если вы приобрели отдельную лицензию на использование этой функциональности.

  При использовании приложения Kaspersky Endpoint Security по лицензии, которая включает в себя функциональность Kaspersky Endpoint Detection and Response Expert (on-premises), действие не требуется.

  Если приложение Kaspersky Endpoint Security используется в режиме Легкого агента, лицензионный ключ для активации дополнительной функциональности добавляется на SVM.

Основные этапы настройки

1. Получите и обработайте сертификаты, выданные серверами Central Node

   Во время интеграции с решением Kaspersky Anti Targeted Attack Platform устройства с Kaspersky Endpoint Security устанавливают защищенные соединения по протоколу HTTPS с компонентом Central Node, обеспечивающими интеграцию.

   Если в общих параметрах приложения Kaspersky Endpoint Security настроено использование прокси-сервера, то для подключения к серверам, обеспечивающими взаимодействие с компонентами решения Kaspersky Anti Targeted Attack Platform, используется прокси-сервер.

   Сертификаты для защиты соединения с серверами, обеспечивающими взаимодействие с компонентами решения Kaspersky Anti Targeted Attack Platform предоставляет администратор Kaspersky Anti Targeted Attack Platform.

   Для обработки сертификатов выполните действия, описанные в статье Преобразование сертификата из формата PFX в формат PEM.

   Вы можете использовать Сертификат сервера и/или Сертификат клиента. Выбор определяется политикой безопасности вашей организации.

   

   Этот сертификат используется для дополнительной защиты подключения с помощью двусторонней аутентификации (то есть проверки устройств с приложением Kaspersky Endpoint Security серверами Central Node). Один и тот же сертификат клиента может использоваться несколькими устройствами. По умолчанию сервер не выполняет проверку сертификатов клиентов, но двусторонняя аутентификация может быть включена на стороне Kaspersky Anti Targeted Attack Platform. В этом случае вам нужно включить двустороннюю аутентификацию в параметрах компонента EDR Expert (on-premises), NDR (KATA) или Sandbox и добавить сертификат клиента (криптоконтейнер с сертификатом и закрытым ключом).

   

   Соединение шифруется с помощью TLS-сертификата сервера. Вы можете повысить уровень безопасности соединения, включив проверку сертификата сервера на стороне Kaspersky Endpoint Security. Для этого вам нужно добавить сертификат сервера перед включением интеграции.

2. Настройте параметры интеграции с Kaspersky Anti Targeted Attack Platform

   Вы можете выполнить настройку:

   • С помощью Web Console (EDR (KATA) и NDR (KATA) в консоли Kaspersky Security Center и/или консоли OSMP).
   • C помощью Консоли администрирования Kaspersky Security Center (EDR (KATA) и NDR (KATA)).
   • С помощью командной стройки (EDR (KATA) и NDR (KATA)).
3. Убедитесь, что подключение к Kaspersky Anti Targeted Attack Platform выполнено успешно

   Проверьте статус работы компонентов Kaspersky Anti Targeted Attack Platform удобным для вас способом.

4. При необходимости выполните дополнительные настройки
   • Если в вашей операционной системе установлена система SELinux в режиме Enforcing, то для выполнения действий по реагированию вам нужно дополнительно настроить систему SELinux.
   • Ознакомьтесь с ограничениями сетевой изоляции.