Как настроить интеграцию с Sandbox

Перед началом настройки интеграции с Sandbox:

• Разрешите входящие и исходящие соединения следующим образом:
  • Входящее направление (управляющий интерфейс):
    • TCP 22
    • TCP 443
    • TCP 8443
  • Исходящее направление (управляющий интерфейс):
    • TCP 80 или TCP 443
  • Исходящие и соответствующие входящие направления (интерфейс для доступа к обрабатываемым объектам):

    Любой порт.

• Установите графический интерфейс (пакет kesl-gui), если хотите отправлять файлы в Sandbox вручную из контекстного меню файла или директории.

Основные этапы настройки

1. Создайте запрос на подключение к серверу Sandbox в платформе, а затем подтвердите подключение в консоли управления Sandbox

   См. подробнее в справках соответствующих решений:

   • Kaspersky Anti Targeted Attack Platform
   • Open Single Management Platform

   Сохраните IP-адрес сервера Sandbox любым удобным способом. Он потребуется для дальнейшей настройки интеграции.

2. Получите и обработайте сертификаты, выданные сервером OSMP или сервером Central Node

   Во время интеграции с Sandbox устройства с Kaspersky Endpoint Security устанавливают защищенные соединения по протоколу HTTPS с серверами, обеспечивающими интеграцию.

   Если в общих параметрах приложения Kaspersky Endpoint Security настроено использование прокси-сервера, то для подключения к серверам, обеспечивающими взаимодействие с Sandbox, используется прокси-сервер.

   Сертификаты для защиты соединения с серверами, обеспечивающими взаимодействие с Sandbox, предоставляет администратор платформы OSMP или Kaspersky Anti Targeted Attack Platform.

   Для обработки сертификатов выполните действия, описанные в статье Преобразование сертификата из формата PFX в формат PEM.

   Вы можете использовать Сертификат сервера и/или Сертификат клиента. Выбор определяется политикой безопасности вашей организации.

   

   Этот сертификат используется для дополнительной защиты подключения с помощью двусторонней аутентификации (то есть проверки устройств с приложением Kaspersky Endpoint Security серверами OSMP). Один и тот же сертификат клиента может использоваться несколькими устройствами. По умолчанию сервер не выполняет проверку сертификатов клиентов, но двусторонняя аутентификация может быть включена на стороне Kaspersky Endpoint Detection and Response Expert (on-premises). В этом случае вам нужно включить двустороннюю аутентификацию в параметрах компонента EDR Expert (on-premises) и добавить сертификат клиента (криптоконтейнер с сертификатом и закрытым ключом).

   

   Соединение шифруется с помощью TLS-сертификата сервера. Вы можете повысить уровень безопасности соединения, включив проверку сертификата сервера на стороне Kaspersky Endpoint Security. Для этого вам нужно добавить сертификат сервера перед включением интеграции.

3. Настройте параметры интеграции с Sandbox

   Для отправки файлов на проверку вам нужно включить интеграцию с KATA Sandbox и добавить сервер Central Node, которые развернуты внутри решения.

   Как настроить интеграцию с Sandbox в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Встроенные агенты → Sandbox.
   5. В раскрывающемся списке Тип отправки файлов на проверку выберите требуемый способ:
      • Вручную. При этом режиме вы можете отправить объекты на проверку в Sandbox вручную с помощью команды или из контекстного меню (Проверить в Sandbox).

        Мы рекомендуем выбирать этот тип, если версия Sandbox ниже 8.0.

      • Автоматически. Приложение автоматически отправляет объекты на проверку, при этом отправить объекты на проверку в Sandbox вручную невозможно.
      • Комбинированный. Приложение автоматически отправляет объекты на проверку, при этом вы можете отправить объекты на проверку в Sandbox вручную с помощью команды или из графического интерфейса.
   6. В разделе Подключение к серверам Sandbox:
      • Добавьте сервер интеграции, нажав на кнопку Добавить в панели инструментов.

        В качестве адреса вы можете указать IP-адрес платформы KATA / OSMP либо FQDN-имя.

        Если сервер Sandbox подключен к OSMP, вы можете указать только FQDN-имя сервера агента.

      • Добавьте сертификат сервера Kaspersky Anti Targeted Attack Platform или OSMP, который вы получили на шаге 2 основного сценария.

        Для этого нажмите на ссылку Настройки подключения к серверам, а затем в открывшейся панели в разделе TLS-сертификат сервера нажмите на кнопку Загрузить.

      • При необходимости дополнительной защиты сформируйте криптоконтейнер.

        Для этого в разделе Дополнительная защита подключения:

        • Установите флажок Использовать двустороннюю аутентификацию.
        • Нажмите на кнопку Загрузить и добавьте сертификат клиента.
        • Укажите пароль от криптоконтейнера в соответствующем поле.

        Поле Пароль от криптоконтейнера является обязательным. Если пароль для сертификата клиента (криптоконтейнера) не указан, вы не сможете сохранить настройки.

   7. В блоке Действие при обнаружении угрозы выберите нужное действие:
      • Копию поместить на карантин, объект удалить. Если выбран этот вариант действия, то Kaspersky Endpoint Security удаляет вредоносный объект, обнаруженный на компьютере. Перед удалением объекта Kaspersky Endpoint Security формирует его резервную копию на тот случай, если впоследствии понадобится восстановить объект. Kaspersky Endpoint Security помещает резервную копию на карантин.
      • Запустить проверку важных областей. Если выбран этот вариант действия, то Kaspersky Endpoint Security запускает задачу Проверка важных областей. По умолчанию Kaspersky Endpoint Security проверяет память ядра, запущенные процессы и загрузочные секторы.
      • Создать задачу поиска IOC. Если выбран этот вариант действия, то Kaspersky Endpoint Security автоматически создает задачу Поиск IOC (автономная задача поиска IOC). Вы можете настроить режим запуска задачи, область поиска и действие при обнаружении IOC (Копию поместить на карантин, объект удалить или Запустить проверку важных областей). Для настройки других параметров задачи Поиск IOC перейдите в свойства задачи.
   8. Если требуется, в блоке Область поиска IOC настройте параметры для задачи Поиск IOC:
      • Важные файловые области. Если выбран этот вариант, Kaspersky Endpoint Security выполняет поиск IOC только в пользовательских и системных директориях.
      • Файловые области на системном диске компьютера. Если выбран этот вариант, Kaspersky Endpoint Security выполняет поиск IOC во всех файлах корневой файловой системы.
   9. Если требуется, в блоке Запуск задачи поиска IOC настройте параметры для задачи Поиск IOC:
      • Вручную. Режим запуска, при котором вы запускаете задачу Поиск IOC вручную в удобное для вас время.
      • Автоматически. Режим запуска, при котором Kaspersky Endpoint Security запускает задачу Поиск IOC автоматически после обнаружения угрозы.
   10. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

       

       Sandbox

   Как настроить интеграцию с Sandbox в командной строке

   1. Для добавления сертификата сервера выполните команду:

      kesl-control [-X] --add-sandbox-server-certificate <file>

   2. Для добавления сервера Central Node или OSMP выполните команду:

      kesl-control --set-settings 29 Servers.item_0000.Address=<server> Servers.item_0000.Port=<port>

   3. Для настройки параметров интеграции выполните команду:

      kesl-control --set-settings 29 [<setting name>=<setting value>]

      Параметры и их возможные значения приведены в таблице ниже.

   4. Для добавления сертификата клиента выполните команду:

      kesl-control [-X] --add-sandbox-client-certificate <file>

   5. Для включения интеграции с Sandbox выполните команду:

      kesl-control --start-task 29

      Параметры задачи Интеграция с Sandbox

      Параметр	Описание	Значение
      UseClientCertificate	Включение и выключение двусторонней аутентификации для дополнительной защиты подключения к серверу Sandbox. Если проверка сертификата клиента включена на стороне сервера Sandbox, вам нужно включить использование сертификата клиента и добавить сертификат клиента перед запуском задачи Интеграция с Sandbox.	Yes – использовать двустороннюю аутентификацию для дополнительной защиты подключения к серверу Sandbox. No (значение по умолчанию) – не использовать двустороннюю аутентификацию.
      ConnectionTimeout	Максимальное время ожидания соединения с сервером в секундах.	Значение по умолчанию: 10.
      RequestTimeout	Максимальное время ожидания ответа от сервера в секундах.	Значение по умолчанию: 10.
      SendingMode	Режим отправки файла на проверку в Sandbox.	AutoOnly (значение по умолчанию) – автоматическая отправка файлов на проверку при обращении к файлу. Manual – ручная отправка файлов на проверку. AutoAndManual – автоматическая и ручная отправка файлов на проверку.
      QuarantineFile	Помещение файла на карантин при обнаружении угрозы.	Yes (значение по умолчанию) – при обнаружении угрозы исходный файл удалить, копию файла поместить на карантин. No – не помещать файл на карантин при обнаружении угрозы.
      ScanCriticalAreas	Выполнение проверки важных областей при обнаружении угрозы.	Yes (значение по умолчанию) – при обнаружении угрозы запустить проверку важных областей. No – не запускать проверку важных областей при обнаружении угрозы.
      CreateIocScanTask	Создание задачи поиска IOC при обнаружении угрозы.	Yes (значение по умолчанию) – при обнаружении угрозы создать задачу поиска IOC. No – не создавать задачу поиска IOC при обнаружении угрозы.
      QuarantineFileOnIocDetected	Помещение объекта на карантин при обнаружении индикатора компрометации.	Yes (значение по умолчанию) – при обнаружении индикатора компрометации исходный объект удалить, копию объекта поместить на карантин. No – не помещать объект на карантин при обнаружении индикатора компрометации.
      ScanCriticalAreasOnIocDetected	Выполнение проверки важных областей при обнаружении индикатора компрометации.	Yes (значение по умолчанию) – при обнаружении индикатора компрометации запустить проверку важных областей. No – не запускать проверку важных областей при обнаружении индикатора компрометации.
      Drives	Области поиска индикаторов компрометации.	Critical (значение по умолчанию) – проверять файлы в пользовательских и системных директориях. System – проверять все файлы в пределах корневой файловой системы.
      ScheduleMode	Режим запуска задачи поиска IOC.	Manually (значение по умолчанию) – запускать задачу поиска IOC вручную. AfterTreatDetected – запускать задачу поиска IOC после обнаружения угрозы.
      Секция [Servers.item_#] содержит параметры сервера Sandbox.
      Address	Адрес сервера. Вы можете указать IP-адрес (IPv4 или IPv6) или полное доменное имя (FQDN) сервера.	Значение по умолчанию: 127.0.0.1.
      Port	Порт для подключения к серверу.	Значение по умолчанию: 443.
      Секция [SandboxTransferSettings] содержит параметры передачи файлов на проверку в Sandbox.
      SandboxQueue	Максимальный размер директории хранения очереди запросов на проверку в мегабайтах.	Значение по умолчанию: 1024.

4. Убедитесь, что подключение к Sandbox выполнено успешно

   Проверьте статус работы Sandbox удобным для вас способом.