Endpoint Detection and Response Expert (on-premises)

Kaspersky Endpoint Detection and Response Expert (on-premises) – решение для кибербезопасности бизнеса, позволяющее защититься от большинства киберрисков и покрыть основные сценарии распространения угроз. Компоненты Kaspersky Endpoint Detection and Response Expert (on-premises) развертываются на единой платформе управления Open Single Management Platform (OSMP). Подробнее о решении и платформе см. в справке Kaspersky Endpoint Detection and Response Expert (on-premises).

Интеграцию с решением Kaspersky Endpoint Detection and Response Expert (on-premises) обеспечивает компонент приложения Kaspersky Endpoint Security – Endpoint Detection and Response Expert (on-premises) (далее также EDR Expert (on-premises)).

Компонент недоступен для устройств с процессором Эльбрус.

Как работает Endpoint Detection and Response Expert (on-premises)

1. Устройства с Kaspersky Endpoint Security устанавливают защищенные соединения с сервером действий по реагированию OSMP и с сервером сбора телеметрии OSMP
2. Приложение Kaspersky Endpoint Security отправляет данные на сервер сбора телеметрии на платформе OSMP

   Передается следующая информация:

   • данные о событиях на устройстве;
   • данные об угрозах, обнаруженных приложением;
   • данные о результатах обработки этих угроз;
   • данные наблюдения за процессами, открытыми сетевыми соединениями и изменяемыми файлами.
3. Приложение Kaspersky Endpoint Security выполняет действия по реагированию

   Действия по реагированию выполняются по  командам, полученным от сервера действий по реагированию на платформе OSMP.

Настройка интеграции с  Kaspersky Endpoint Detection and Response Expert (on-premises)

Предварительные требования

Перед началом настройки интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises):

• Разрешите подключение через порты 443 и 8443.
• Включите компонент Анализ поведения для передачи необходимых данных телеметрии.

  Если вы хотите получать данные об обнаружении угроз от других компонентов защиты, включите эти компоненты.

  • Защита от файловых угроз.
  • Защита от сетевых угроз.
  • Защита от веб-угроз.
  • Защита от шифрования.
  • Контроль приложений.
  • Контроль устройств.
  • Контроль целостности системы.

  При использовании механизма eBPF для получения системной телеметрии в компоненте Анализ поведения (доступном на 64-битных операционных системах с версией ядра 4.18 и выше с поддержкой eBPF) данные телеметрии будут более полными.

• Добавьте в приложение лицензионный ключ EDR Expert (on-premises), если вы приобрели отдельную лицензию на использование этой функциональности.

  При использовании приложения Kaspersky Endpoint Security по лицензии, которая включает в себя функциональность Kaspersky Endpoint Detection and Response Expert (on-premises), действие не требуется.

  Если приложение используется в режиме Легкого агента, лицензионный ключ EDR Expert (on-premises) добавляется на SVM.

• Также в платформе OSMP должны быть настроены коллектор, коррелятор и хранилище.

Основные этапы настройки

1. Получите и обработайте сертификаты, выданные серверами OSMP

   Во время интеграции с решением Kaspersky Endpoint Detection and Response Expert (on-premises) устройства с Kaspersky Endpoint Security устанавливают защищенные соединения по протоколу HTTPS с сервером действий по реагированию OSMP и с сервером сбора телеметрии OSMP.

   Если в общих параметрах приложения Kaspersky Endpoint Security настроено использование прокси-сервера, то для подключения к серверам OSMP используется прокси-сервер.

   Сертификаты для защиты соединения с серверами OSMP предоставляет администратор платформы OSMP.

   Для обработки сертификатов выполните действия, описанные в статье Преобразование сертификата из формата PFX в формат PEM.

   Вы можете использовать Сертификат сервера и/или Сертификат клиента. Выбор определяется политикой безопасности вашей организации.

   

   Этот сертификат используется для дополнительной защиты подключения с помощью двусторонней аутентификации (то есть проверки устройств с приложением Kaspersky Endpoint Security серверами OSMP). Один и тот же сертификат клиента может использоваться несколькими устройствами. По умолчанию сервер не выполняет проверку сертификатов клиентов, но двусторонняя аутентификация может быть включена на стороне Kaspersky Endpoint Detection and Response Expert (on-premises). В этом случае вам нужно включить двустороннюю аутентификацию в параметрах компонента EDR Expert (on-premises) и добавить сертификат клиента (криптоконтейнер с сертификатом и закрытым ключом).

   

   Соединение шифруется с помощью TLS-сертификата сервера. Вы можете повысить уровень безопасности соединения, включив проверку сертификата сервера на стороне Kaspersky Endpoint Security. Для этого вам нужно добавить сертификат сервера перед включением интеграции.

2. Настройте параметры интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises)

   Вы можете выполнить настройку:

   • С помощью Web Console (консоль Kaspersky Security Center и/или консоль OSMP).
   • С помощью командной строки.

   Если вы хотите использовать функциональность запрета запуска объектов, вы можете включить применение правил запрета запуска объектов компонента EDR Expert (on-premises).

3. Убедитесь, что подключение к платформе Endpoint Detection and Response Expert (on-premises) выполнено успешно

   Проверьте статус работы EDR Expert (on-premises) удобным для вас способом.

4. При необходимости выполните дополнительные настройки
   • Если в вашей операционной системе установлена система SELinux в режиме Enforcing, то для выполнения действий по реагированию  вам нужно дополнительно настроить систему SELinux.
   • Для выполнения действий по реагированию Дамп памяти, Дамп процесса отключите запрет трассировки ptrace.
   • Ознакомьтесь с ограничениями сетевой изоляции.
   • Включите передачу данных о событиях сторонних приложений на управляемых устройствах. Для этого на управляемом устройстве выполните команду:

     kesl-control --set-app-settings SystemEventsTransmission=Yes

     Включение этого параметра может значительно увеличить нагрузку на операционную систему.