Известные проблемы и ограничения

Ограничения работы приложения

Не поддерживается работа приложения Kaspersky Endpoint Security в следующих случаях:

• На операционных системах ОСнова в режиме замкнутой программной среды и в режиме hardened kernel.
• На операционных системах, построенных на основе Red Hat Enterprise Linux, в подсистеме IMA.
• На операционных системах, построенных на основе Red Hat Enterprise Linux, в режиме FIPS.
• На операционных системах Ubuntu и операционных системах, построенных на основе SUSE Linux Enterprise Server, в системе мандатного управления доступом AppArmor.
• В системы безопасности Grsecurity (на всех операционных системах).
• При использовании механизма seccomp (на всех операционных системах).
• При использовании технологий WSL1 и WSL2 (на всех операционных системах).
• При использовании параметров монтирования файловых систем (например, noexec, nosuid и других).
• При установке приложения Kaspersky Endpoint Security внутри контейнера.

Решения Detection and Response могут работать некорректно на виртуальных машинах, созданных из образа с установленным Kaspersky Endpoint Security для Linux. При интеграции с решениями Detection and Response используется уникальный идентификатор компьютера (Sensor ID). Приложение создает этот идентификатор при первой установке и сохраняет его даже после удаления. При клонировании образа виртуальная машина наследует Sensor ID, из-за чего решения Detection and Response могут определять несколько виртуальных машин как одно устройство.

Ограничения работы приложения на некоторых типах архитектуры

Приложение имеет ограничения при работе на следующих типах архитектуры процессора:

Эльбрус

• Режим Легкого агента: не поддерживается.
• Режим EDR-агента: не поддерживается.
• Защита от атак BadUSB: не работает.
• Защита от эксплойтов: не работает.
• Защита от веб-угроз: недоступно использование эвристического анализа при проверке веб-страниц на наличие фишинговых ссылок.
• Интеграция с Kaspersky Endpoint Detection and Response Optimum: не работает.
• Интеграция с Kaspersky Endpoint Detection and Response Expert (cloud): не работает.
• Интеграция с Kaspersky Endpoint Detection and Response (KATA): не работает.
• Интеграция с Kaspersky Managed Detection and Response: не работает.
• Sandbox: не работает.
• Интеграция с KUMA: не работает.
• Проверка контейнеров: не работает.
• Обновляемый модуль ядра: не поддерживается.
• Графический пользовательский интерфейс управления: пользователям недоступна отправка файлов на проверку в Sandbox, так как не поддерживается компонент Sandbox.

Ограничения работы приложения на некоторых операционных системах

Приложение имеет ограничения при работе на следующих операционных системах:

Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.5)

• Защита от атак BadUSB: не работает, так как отсутствует служба systemd-logind в операционной системе.
• Ограничение на использование ресурсов процессора для задач Поиск вредоносного ПО, Проверка важных областей, Инвентаризация и Проверка контейнеров не работает на ядрах "4.2.0-23-generic".

CentOS 5.2 и 5.4

• Анализ поведения: корректная работа компонента не гарантируется, так как отсутствуют синхронные перехваты старта процессов.
• Защита от почтовых угроз: не работает.
• Защита от веб-угроз: не работает, так как нет поддержки механизма TProxy.
• Защита от сетевых угроз: не работает, так как нет поддержки механизма TProxy.
• Защита от шифрования: не работает, так как нет поддержки механизма TProxy.
• Защита от атак BadUSB: не работает, так как отсутствует служба systemd-logind в операционной системе.
• Проверка контейнеров: не работает, так как нет поддержки контейнеров в операционной системе.
• Контроль устройств: режим ReadOnly для устройств работает только в том случае, если устройство было подключено после активации режима в приложении. Для устройств, подключенных до активации этого режима, режим доступа остается без изменений.
• Контроль приложений: не работает, так как отсутствует поддержка технологии fanotify, необходимой для синхронного перехвата старта процессов.
• Управление сетевым экраном: не работает, так как отсутствует поддержка добавления цепочек в iptables.
• Веб-Контроль: не работает, так как нет поддержки механизма TProxy.
• Обновляемый модуль ядра: не поддерживается.
• Сетевая изоляция: не работает, так как нет поддержки механизма TProxy.
• Запрет запуска объектов: не работает, так как отсутствуют синхронные перехваты старта процессов.
• Интеграция с Kaspersky Endpoint Detection and Response Optimum: не работает.
• Интеграция с Kaspersky Endpoint Detection and Response Expert (cloud): не работает.
• Интеграция с Kaspersky Endpoint Detection and Response (KATA): недоступен источник телеметрии eBPF.
• Интеграция с Kaspersky Managed Detection and Response: недоступен источник телеметрии auditd.
• Графический пользовательский интерфейс управления: не работает, так как в операционной системе отсутствует библиотека libxcb.
• Агент администрирования Kaspersky Security Center: требуется дополнительная настройка устройства, см. справку Kaspersky Security Center.
• Установка/удаление: приложение несовместимо с SELinux этих версий операционной системы. Возможное решение: перевести SELinux в неблокирующий режим (режим permissive); отключить SELinux или настроить SELinux вручную.
• Поиск вредоносного ПО: на операционных системах, где версия glibc ниже 2.11, не выполняется лечение и удаление файлов, расположенных в директориях с длиной пути более 4096 символов.
• Ограничение на использование ресурсов процессора для задач Поиск вредоносного ПО, Проверка важных областей, Инвентаризация и Проверка контейнеров не работает.
• Не поддерживается работа приложения в режиме Легкого агента, поэтому при установке приложения параметры KSVLA_MODE, SERVER_MODE, VDI_MODE неприменимы.
• Не поддерживается работа приложения в режиме EDR-агента.
• Не поддерживается работа приложения в Kaspersky Security Center Cloud Console.
• Не поддерживается работа приложения с файловыми системами, основанными на технологии FUSE.
• Не собирается статистика наиболее часто проверяемых файлов.
• В некоторых случаях телеметрия, передаваемая при интеграции с Kaspersky Endpoint Detection and Response (KATA), может содержать неполную информацию о событиях из журналов системных событий.

CentOS 6.4 и 6.6

• Анализ поведения: корректная работа компонента не гарантируется, так как отсутствуют синхронные перехваты старта процессов.
• Защита от веб-угроз: не работает перехват IPv6-трафика.
• Защита от сетевых угроз: не работает перехват IPv6-трафика.
• Защита от шифрования: не работает перехват IPv6-трафика.
• Защита от атак BadUSB: не работает, так как отсутствует служба systemd-logind в операционной системе.
• Проверка контейнеров: не работает, так как нет поддержки контейнеров в операционной системе.
• Контроль приложений: не работает, так как отсутствует поддержка технологии fanotify, необходимой для синхронного перехвата старта процессов.
• Управление сетевым экраном: не работают IPv6-правила сетевого экрана.
• Веб-Контроль: не работает перехват IPv6-трафика.
• Обновляемый модуль ядра: не поддерживается.
• Запрет запуска объектов не работает, так как отсутствуют синхронные перехваты старта процессов.
• Kaspersky Endpoint Detection and Response Optimum: цепочка развития угрозы не отображает сетевую активность, так как нет поддержки механизма TProxy; доступны только события телеметрии об операциях с файлами; запрет запуска объектов не работает, так как отсутствуют синхронные перехваты старта процессов.
• Интеграция с Kaspersky Endpoint Detection and Response Expert (cloud): не работает.
• Интеграция с Kaspersky Endpoint Detection and Response (KATA): недоступен источник телеметрии eBPF.
• Интеграция с Kaspersky Managed Detection and Response: недоступен источник телеметрии auditd.
• Агент администрирования Kaspersky Security Center: требуется дополнительная настройка устройства, см. справку Kaspersky Security Center.
• Установка/удаление: приложение несовместимо с SELinux этих версий операционной системы. Возможное решение: перевести SELinux в неблокирующий режим (режим permissive); отключить SELinux или настроить SELinux вручную.
• Поиск вредоносного ПО: на операционных системах, где версия glibc ниже 2.11, не выполняется лечение и удаление файлов, расположенных в директориях с длиной пути более 4096 символов.
• Не поддерживается работа приложения в режимах Легкого агента и EDR-агента.
• Не поддерживается работа приложения в Kaspersky Security Center Cloud Console.
• Не собирается статистика наиболее часто проверяемых файлов.
• В некоторых случаях телеметрия, передаваемая при интеграции с Kaspersky Endpoint Detection and Response (KATA), может содержать неполную информацию о событиях из журналов системных событий.

Ограничения работы приложения, связанные со значениями параметра трассировки ptrace

На работу приложения Kaspersky Endpoint Security могут влиять следующие значения параметра операционной системы kernel.yama.ptrace_scope:

• 1 (ограниченный ptrace). Процесс может подключаться только к процессам, которые он запустил. Для подключения к другим процессам требуется специальное разрешение. Функциональность приложения ограничена следующим образом:
  • Компонент Анализ поведения не может получать параметры окружения процессов.
  • На операционных системах с версией ядра выше 5.7 компонент Контроль приложений не может читать аргументы командной строки и переменные окружения процессов, так как запрещено чтение /proc/<pid>/syscall, /proc/<pid>/mem. На операционных системах с версией ядра 5.0 компонент Контроль приложений не может нормально работать.
  • Не работает проверка памяти процессов и памяти ядра в задачах проверки, так как запрещено чтение /proc/<pid>/mem.
  • Не гарантируется YARA-проверка памяти процессов, так как запрещено чтение /proc/<pid>/mem.
• 2 (административный ptrace). Только процессы с правами CAP_SYS_PTRACE (обычно root) могут использовать ptrace или получить доступ к процессу в /proc (/proc/<pid>/mem). Есть ограничение в диагностике проблем - не работает создание аварийных файлов дампов пользовательских процессов (таких как kesl-control и kesl-gui), запись дампов самого процесса kesl работает.
• 3 (запрет ptrace): Трассировка ptrace полностью запрещена на уровне операционной системы. Функциональность приложения ограничена следующим образом:
  • Не работает создание аварийных файлов дампов процесса kesl и пользовательских процессов (таких как kesl-control и kesl-gui).
  • Компонент Анализ поведения не может получать параметры окружения процессов.
  • Не поддерживается работа компонента Контроль приложений.
  • Из-за запрета чтения директории /proc/<pid>/mem:
    • Не работает проверка памяти процессов и памяти ядра в задачах проверки.
    • Не работают задачи получения дампа памяти (Get memory dump) и задачи получения дампа памяти процесса (Get process memory dump) при интеграции с решениями Detection and Response.
    • Не гарантируется работа YARA-проверки памяти процессов в режиме мандатного разграничения доступа при интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises).

Ограничения работы обновляемого модуля ядра

Обновляемый модуль ядра не поддерживает следующие виды и версии ядер:

Ubuntu

• *-kvm
• *-gkeop 5.15.0-100[1234] (bionic/jammy)
• focal 5.10.0-1002-oem
• noble 6.8.0-1014-ibm
• *-realtime
• *-uc-*
• kinetic 5.18.0-100(1|2)-(ibm|gcp|oracle)

Astra

• 6.1.90-1-generic-*, 6.6.28-1-generic-*
• *-hardened

Debian

• *-rt
• 5.14.0-1-(cloud-amd64|amd64)-5.14.6-2
• 6.1.0-36-(cloud-amd64|amd64)-6.1.139-1
• 6.5.0-5-*amd64-6.5.13-1
• 6.6.*

РЕД ОС 7.3

• kernel-ml-5.14.9-1.el7

РЕД ОС 8.0

• 6.6.26-1.red80
• 6.6.34-1.red80
• 6.6.51-1.red80
• 6.6.76-1.red80
• 6.6.6-1.red80

Ограничения в использовании технологии eBPF

Для использования технологии eBPF для перехвата сетевого трафика требуется ядро Linux 4.18 и выше, собранное с параметрами:

• CONFIG_DEBUG_INFO_BTF=у или m (поддержка eBPF с BTF)
• CONFIG_KPROBES= y
• CONFIG_TRACEPOINTS=y
• CONFIG_FSNOTIFY=y

Для использования технологии eBPF для отправки телеметрии при интеграции с решениями Detection and Response требуется ядро Linux 4.18 и выше, собранное с параметрами:

• CONFIG_BPF=y
• CONFIG_BPF_SYSCALL=y
• CONFIG_TRACEPOINTS=y
• CONFIG_KPROBES=y
• CONFIG_KPROBES_ON_FTRACE=y
• CONFIG_KRETPROBES=y
• CONFIG_HAVE_SYSCALL_TRACEPOINTS=y
• CONFIG_FTRACE=y
• CONFIG_FUNCTION_TRACER=y
• CONFIG_DYNAMIC_FTRACE=y
• CONFIG_DYNAMIC_FTRACE_WITH_REGS=y
• CONFIG_FTRACE_SYSCALLS=y
• CONFIG_KPROBE_EVENTS=y
• CONFIG_FSNOTIFY=y

Особенности работы приложения

• Приложение не может одновременно использоваться в режиме Легкого агента и EDR-агента.
• На операционных системах с auditd версии 3.0.7 и ядром Linux версии 4.18 при использовании компонента Анализ поведения возможны зависания приложения и ssh-соединений.
• На операционных системах Kylin Desktop V10 SP1 2303 запущенный компонент Анализ поведения может приводить к зависанию операционной системы. Для решения проблемы рекомендуется обновить системное ядро.

Особенности работы приложения в режиме Легкого агента

Если Kaspersky Endpoint Security используется в режиме Легкого агента:

• Недоступно управление приложением с помощью Kaspersky Security Center Cloud Console и графического пользовательского интерфейса.
• Не поддерживается использование облачных баз.
• Kaspersky Endpoint Security взаимодействует с серверами KSN с помощью прокси-сервера KSN. Взаимодействие с KSN напрямую не поддерживается.
• Не поддерживается использование прокси-сервера приложения при подключении к Серверу интеграции, к SVM и к серверам KSN.

Особенности работы приложения в режиме EDR-агента

Если приложение Kaspersky Endpoint Security используется в режиме EDR-агента, набор доступных компонентов и задач приложения ограничен. После установки параметры приложения настроены следующим образом:

• Не поддерживается интеграция приложения с решением Kaspersky Endpoint Detection and Response Expert (cloud).
• Полностью доступны для управления следующие компоненты, обеспечивающие интеграцию с решениями Detection and Response:
  • EDR Expert (on-premises).
  • NDR (KATA).

  Компоненты выключены по умолчанию, вам нужно их включить для работы приложения в режиме EDR-агента. Вы можете настраивать параметры интеграции, в том числе функциональность запрета запуска объектов.

• Доступ к файлам на время проверки не блокируется: снят флажок Блокировать доступ к файлам во время проверки (FileBlockDuringScan=No). Этот параметр доступен для изменения, но не будет применен на защищаемом устройстве.
• Компоненты Защита от файловых угроз и Защита от шифрования доступны в режиме ограниченной функциональности: при обнаружении угрозы эти компоненты не пытаются лечить или удалять вредоносные объекты, запрещать доступ или блокировать активность приложений, а только отправляют информацию об обнаружении угрозы на серверы, обеспечивающие интеграцию с решениями Detection and Response.

  Вы можете включать и выключать Защиту от файловых угроз и Защиту от шифрования и настраивать параметры компонентов, кроме действий при обнаружении угрозы. Следующие параметры не будут применены на защищаемом устройстве:

  • Компонент Защита от файловых угроз: Действие при обнаружении угрозы – Пропускать (ActionOnThreat=Skip).
  • Компонент Защита от шифрования: Действие при обнаружении шифрования – Информировать (ActionOnDetect=Notify).
• Полностью доступен для управления компонент Анализ поведения.
• Все остальные компоненты защиты и контроля выключены и недоступны для управления.

При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises) или с Kaspersky Endpoint Detection and Response (KATA) в рамках действия по реагированию на угрозы приложение Kaspersky Endpoint Security может контролировать запуск исполняемых файлов и скриптов на устройстве. Функциональность Запрета запуска объектов доступна со следующими ограничениями:

• Если скрипт запущен из интерпретатора, приложение не контролирует запуск скрипта.
• Приложение не контролирует открытие файлов офисных приложений на устройстве.