Сетевая изоляция

При интеграции с решениями Detection and Response в рамках действия по реагированию на угрозы устройство может быть изолировано от сети.

Особенности работы сетевой изоляции

После включения сетевой изоляции приложение разрывает все активные и блокирует все новые сетевые соединения TCP/IP на устройстве, кроме следующих:

• Соединений, указанных в исключениях из сетевой изоляции.
• Соединений, инициированных службами Kaspersky Endpoint Security.
• Соединений, инициированных Агентом администрирования Kaspersky Security Center.
• Соединений с SVM и Сервером интеграции, если приложение используется в режиме Легкого агента.
• Соединений с KSN (при интеграции с Kaspersky Managed Detection and Response).

Сетевая изоляция может применяться при выполнении одного из следующих условий:

• Включена интеграция приложения Kaspersky Endpoint Security с решением Kaspersky Endpoint Detection and Response Optimum и активирован компонент EDR Optimum.
• Включена интеграция приложения Kaspersky Endpoint Security с решением Kaspersky Endpoint Detection and Response Expert (on-premises) или с компонентом Kaspersky Endpoint Detection and Response (KATA) и активирован компонент EDR Expert (on-premises).
• Включена интеграция приложения Kaspersky Endpoint Security с решением Kaspersky Managed Detection and Response и активирован компонент MDR.

При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises), с Kaspersky Endpoint Detection and Response (KATA) и Kaspersky Managed Detection and Response включение и выключение сетевой изоляции устройства, а также настройка исключений из сетевой изоляции выполняется на стороне соответствующего решения Detection and Response. Подробнее см. в справке Kaspersky Endpoint Detection and Response Expert (on-premises), в справке Kaspersky Anti Targeted Attack Platform или в справке Kaspersky Managed Detection and Response. Если требуется, вы можете вручную выключать сетевую изоляцию устройства:

• в свойствах устройства в Web Console (только при интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises) или c Kaspersky Endpoint Detection and Response (KATA));
• в командной строке.

Выключение сетевой изоляции вручную доступно вне зависимости от того, включена ли интеграция с решениями Detection and Response, а также вне зависимости от того, распространяется ли на устройство действие политики.

При интеграции с Kaspersky Endpoint Detection and Response Optimum сетевая изоляция может применяться в одном из следующих режимов:

• Автоматический режим сетевой изоляции. Устройство может быть изолировано от сети автоматически в результате обнаружения индикаторов компрометации. Если при создании и настройке параметров задачи Поиск IOC в блоке Действия при обнаружении IOC вы установили флажки Применять действия по реагированию при обнаружении IOC и Изолировать устройство от сети, то включение сетевой изоляции происходит автоматически при обнаружении приложением индикаторов компрометации.

  Вы можете настроить следующие параметры сетевой изоляции в автоматическом режиме:

  • Изменить период времени, по истечении которого сетевая изоляция автоматически выключается.
  • Настроить исключения из сетевой изоляции для устройств, изолированных автоматически.

  Если на устройство, изолируемое в автоматическом режиме, распространяется политика, то применяются параметры, заданные в политике. Если политика не распространяется, то применяются параметры, заданные в свойствах устройства.

• Ручной режим сетевой изоляции. Устройство можно изолировать от сети на время исследования обнаруженной угрозы. Вы можете вручную включать сетевую изоляцию устройства в окне с деталями алерта и в свойствах устройства в Web Console.

  Вы можете настроить следующие параметры сетевой изоляции в ручном режиме:

  • Изменить период времени, по истечении которого сетевая изоляция автоматически выключается.
  • Настроить исключения из сетевой изоляции для устройств, изолированных вручную.

При интеграции с Kaspersky Endpoint Detection and Response Optimum вы можете вручную выключать сетевую изоляцию устройства в свойствах устройства в Web Console и в командной строке.

Вы можете проверять статус сетевой изоляции устройства в командной строке.

Изолированному устройству автоматически присваивается тег ISOLATED FROM NETWORK. После выключения сетевой изоляции этот тег автоматически снимается.

Общую информацию о получении списка изолированных устройств по тегу см. в справке Kaspersky Endpoint Detection and Response Optimum.

Ограничения сетевой изоляции

При использовании сетевой изоляции настоятельно рекомендуется ознакомиться с описанными ограничениями.

Для работоспособности сетевой изоляции требуется, чтобы приложение Kaspersky Endpoint Security было запущено. Во время сбоя в работе приложения Kaspersky Endpoint Security (когда приложение не запущено), блокировка трафика при включении сетевой изоляции решениями Detection and Response не гарантируется.

DHCP и DNS не добавляются автоматически в исключения из сетевой изоляции, поэтому если сетевой адрес какого-то ресурса был изменен во время сетевой изоляции, приложение Kaspersky Endpoint Security не сможет получить к нему доступ. Это же относится к узлам отказоустойчивого сервера KATA. Не рекомендуется менять их адреса, чтобы приложение Kaspersky Endpoint Security не потеряло с ними связь.

Прокси-сервер не добавляется автоматически в исключения из сетевой изоляции, поэтому требуется добавить его в исключения вручную, чтобы приложение Kaspersky Endpoint Security не потеряло связь с сервером, обеспечивающим интеграцию.

Исключение процесса из сетевой изоляции по имени поддерживается на устройствах с версией ядра от 4.18 с поддержкой eBPF с BTF и с включенными функциями tracepoints и kprobes для трассировки ядра.

Если приложение Kaspersky Endpoint Security используется в стандартном режиме или в режиме EDR-Агента, при использовании сетевой изоляции рекомендуется:

• Использовать прокси-сервер KSN для взаимодействия с Kaspersky Security Network.
• Использовать Kaspersky Security Center в качестве прокси-сервера для активации приложения.

  В случае невозможности использования Kaspersky Security Center в качестве прокси-сервера требуется настроить параметры нужного прокси-сервера и добавить его в исключения.

• Указать Kaspersky Security Center в качестве источника обновлений баз.

Эти рекомендации неприменимы, если приложение Kaspersky Endpoint Security используется в режиме Легкого агента.