Дополнительная настройка после установки в отдельных ОС

Если в вашей операционной системе используется система контроля доступа SELinux в режиме Enforcing, ее настройка для работы с приложением по умолчанию выполняется автоматически во время установки.

Если приложению не удалось настроить систему SELinux автоматически (например, в случае отсутствия утилиты semanage), мастер выводит сообщение об ошибке и предлагает пользователю настроить систему SELinux вручную. В этом случае или если вы отказались от автоматической настройки, после завершения первоначальной настройки приложения вручную настройте систему SELinux для работы с приложением Kaspersky Endpoint Security.

Настройку требуется выполнять с root-правами.

Чтобы вручную настроить систему SELinux для работы с приложением:

1. Переведите систему SELinux в неблокирующий режим:
   • Если SELinux активирован, выполните команду:

     setenforce Permissive

   • Если SELinux выключен, в конфигурационном файле /etc/selinux/config задайте значение параметра SELINUX=permissive и перезагрузите операционную систему.
2. Убедитесь, что в системе установлена утилита semanage. Если утилита не установлена, установите пакет policycoreutils-python или policycoreutils-python-utils в зависимости от типа менеджера пакетов.
3. Если вы используете пользовательскую политику SELinux, то есть отличную от заданной по умолчанию targeted policy, назначьте метку для каждого исходного исполняемого файла приложения Kaspersky Endpoint Security в соответствии с используемой политикой SELinux.

   semanage fcontext -a -t bin_t <executable file>

   restorecon -v <executable file>

   Где <executable file>:

   • /var/opt/kaspersky/kesl/<build number_*>/opt/kaspersky/kesl/libexec/kesl
   • /var/opt/kaspersky/kesl/<build number_*>/opt/kaspersky/kesl/bin/kesl-control
   • /var/opt/kaspersky/kesl/<build number_*>/opt/kaspersky/kesl/libexec/kesl-gui
   • /var/opt/kaspersky/kesl/<build number_*>/opt/kaspersky/kesl/shared/kesl
   • /var/opt/kaspersky/kesl/<build number_*>/opt/kaspersky/kesl/bin/response
4. Запустите следующие задачи:

   Запустить задачу Защита от файловых угроз

   kesl-control --start-task 1

   Запустить задачу Проверка важных областей

   kesl-control --start-task 4 -W

   Рекомендуется запустить все задачи, которые вам потребуются при использовании приложения Kaspersky Endpoint Security.

5. Запустите графический пользовательский интерфейс, если вы планируете его использовать.
6. Убедитесь, что в файле audit.log нет ошибок.

   Посмотреть файл audit.log

   grep kesl /var/log/audit/audit.log

7. Если в файле audit.log присутствуют ошибки, создайте и загрузите новый модуль правил на основе блокирующих записей, чтобы устранить ошибки, затем снова запустите задачи, которые вам потребуются при использовании приложения Kaspersky Endpoint Security.

   Создать и загрузить новый модуль правил на основе блокирующих записей

   grep kesl /var/log/audit/audit.log | audit2allow -M kesl

   semodule -i kesl.pp

   В случае появления новых audit-сообщений, связанных с Kaspersky Endpoint Security, требуется обновить файл модуля правил.

8. Переведите систему SELinux в блокирующий режим.

   setenforce Enforcing

Если вы используете пользовательскую политику SELinux, то после установки обновлений приложения вам нужно вручную назначить метку для исходных исполняемых файлов приложения Kaspersky Endpoint Security (выполните шаги 1, 3–8).

Дополнительную информацию вы можете найти в документации для используемой операционной системы.

Если вы планируете использовать в вашей ОС систему SELinux в режиме Enforcing и инструменты, для которых не настроена политика SELinux, для выполнения действий по реагированию при интеграции с решениями Detection and Response вам нужно дополнительно настроить систему SELinux.

Настройку SELinux требуется выполнять с root-правами.

Чтобы настроить систему SELinux для выполнения действий по реагированию:

1. Переведите систему SELinux в неблокирующий режим:
   • Если SELinux активирован, выполните команду:

     Перевести SELinux в неблокирующий режим

     setenforce Permissive

   • Если SELinux выключен, в конфигурационном файле /etc/selinux/config задайте значение параметра SELINUX=permissive и перезагрузите операционную систему.
2. Убедитесь, что в системе установлена утилита semanage. Если утилита не установлена, установите пакет policycoreutils-python или policycoreutils-python-utils в зависимости от типа менеджера пакетов.
3. Запустите все задачи для выполнения действий по реагированию, которые вы планируете использовать при интеграции приложения с решениями Detection and Response.
4. Для сбора форензики с помощью задачи получения дампа памяти (Get memory dump) и задачи получения дампа памяти процесса (Get process memory dump) в системе SELinux разрешите приложению Kaspersky Endpoint Security обращаться к указанным в задачах SMB-серверам.
5. Убедитесь, что в файле audit.log нет ошибок.

   Посмотреть файл audit.log

   grep kesl /var/log/audit/audit.log

6. Если в файле audit.log присутствуют ошибки, создайте и загрузите новый модуль правил на основе блокирующих записей, чтобы устранить ошибки, и снова запустите задачи для выполнения действия по реагированию.

   Создать и загрузить новый модуль правил на основе блокирующих записей

   grep kesl /var/log/audit/audit.log | audit2allow -M kesl

   semodule -i kesl.pp

7. Переведите систему SELinux в блокирующий режим.

   setenforce Enforcing

После установки приложения выполните действия, необходимые для запуска приложения и его графического интерфейса:

1. Откройте файл /etc/NESS/systemd/kesl.service.config и задайте значение параметра NESSCTX_MODIFY="t+ADDEQUSOCK,OMIT,OMIT_PID,SSUID_SAVE_CTX_PERMANENT".
2. Откройте файл /etc/sysctl.d/30-disable-ptrace.conf и проверьте значение параметра kernel.yama.ptrace_scope=0. Другие значения параметра kernel.yama.ptrace_scope могут повлиять на работу приложения Kaspersky Endpoint Security, подробнее см. в разделе Известные проблемы и ограничения.
3. Если вы хотите запускать проверку памяти процессов и памяти ядра, вам нужно выключить средство защиты памяти mprotect (или PaX) в ядре. Для этого добавьте в командную строку запуска ядра параметр mprotect=off. Подробнее см. в документации ОСнова.
4. Перезагрузите операционную систему.

После установки приложения выполните действия, необходимые для запуска приложения:

1. Назначьте наследование группы kesl и права на директории для обновляемых компонентов приложения Kaspersky Endpoint Security:

   cd /var/opt/kaspersky/kesl/<build number_*>/var/opt/kaspersky/kesl/private

   chown -R root:kesl updates/

   find updates -type d -exec chmod g+s {} \;

   cd /opt/kaspersky/kesl/lib64

   chown -R root:kesl updatable_modules/

   find updatable_modules -type d -exec chmod g+s {} \;

   cd /var/opt/kaspersky/kesl/common/

   chown -R root:kesl temp/

   find temp -type d -exec chmod g+s {} \;

2. Назначьте наследование группы kesl и права на директории для обновляемых компонентов Агента администрирования:

   cd /var/opt/kaspersky/

   chown -R root:kesl klnagent/

   find klnagent/ -type d -exec chmod g+s {} \;

   cd /opt/kaspersky/

   chown -R root:kesl klnagent64/

   find klnagent64/ -type d -exec chmod g+s {} \;

3. Включите режим замкнутой программной среды, выполнив запуск подписания системы:

   integrity-applier -i -A

4. Убедитесь, что подсистема IMA активирована:

   cat /proc/cmdline

   Вывод команды должен содержать строки lsm=integrity ima_hash=sha512 ima_appraise=enforce.

5. Запустите задачу обновления баз:

   kesl-control --start 6 -W

   Если по завершении задачи обновления баз в выводе присутствует событие EventType=BasesApplied, то обновление баз выполнено корректно.

6. Перезапустите приложение:

   systemctl restart kesl