Как настроить политику проверки сертификатов

Параметры проверки сетевого трафика используются в работе компонентов Защита от веб-угроз, Защита от сетевых угроз, Защита от почтовых угроз и Веб-Контроль.

Защита от веб-угроз по умолчанию расшифровывает и проверяет сетевой трафик, передаваемый по защищенным соединениям. Для этого приложение проверяет всю цепочку сертификатов.

Политика проверки сертификатов включает в себя следующие параметры:

способ проверки (локально или через интернет);
доступ к веб-сайтам с недоверенным сертификатом;
доступ к веб-сайтам с ошибкой проверки сертификата.

Если устройство не имеет прямого выхода в интернет, вы можете выбрать локальный способ проверки сертификатов приложением.

По умолчанию приложение разрешает установку сетевого соединения с доменом с недоверенным сертификатом. При этом приложение отображает HTML-страницу с предупреждением и информацией о причине, по которой этот домен не рекомендован для посещения. По ссылке из HTML-страницы с предупреждением пользователь может получить доступ к запрошенному веб-ресурсу.

Если стороннее приложение или служба устанавливает соединение с доменом с недоверенным сертификатом, приложение создаст собственный сертификат для проверки трафика. Новый сертификат будет иметь статус Недоверенный. Это нужно, чтобы предупредить стороннее приложение о недоверенном соединении, так как показать HTML-страницу в этом случае невозможно и соединение может быть установлено в фоновом режиме.

Во время проверки сертификатов могу возникать ошибки. Например, при работе с облачными хранилищами или при проверке самоподписанных сертификатов. По умолчанию приложение добавляет доменные имена таких веб-сайтой в исключения и не контролирует зашифрованный сетевой трафик при переходе на этот домен. Также приложение формирует событие об ошибке проверки защищенного соединения.

Просмотреть список доменов с ошибками проверки защищенных соединений возможно только в локальном интерфейсе приложения.

Как настроить политику проверки сертификатов в Web Console

В главном окне Web Console выберите Управление активами → Политики.
Нажмите на название политики Kaspersky Endpoint Security.
Откроется окно свойств политики.
Выберите вкладку Параметры приложения.
Перейдите в раздел Общие настройки → Настройки сети.
В блоке Проверка защищенных соединений убедитесь, что переключатель находится в положении Проверка защищенных соединений ВКЛЮЧЕНА.
Если переключатель выключен, Kaspersky Endpoint Security не имеет доступ к содержанию сайтов, адрес которых начинается с https://.
Перейдите по ссылке Настройки и настройте политику проверки сертификатов:
- Переход на домен с недоверенным сертификатом. Действие при обнаружении неподтвержденного сертификата:
  - Разрешать соединение. Приложение будет разрешать соединение с доменом с недоверенным сертификатом. При этом приложение отображает HTML-страницу с предупреждением и информацией о причине, по которой этот домен не рекомендован для посещения. По ссылке из HTML-страницы с предупреждением пользователь может получить доступ к запрошенному веб-ресурсу.
  - Блокировать соединение. При переходе на домен с недоверенным сертификатом Kaspersky Endpoint Security блокирует сетевое соединение и при этом отображает HTML-страницу с информацией о причине, по которой переход на этот домен заблокирован.
- Переход на домен с ошибкой проверки защищенного соединения. Действие при возникновении ошибки проверки зашифрованных соединений:
  - Разрешать и добавлять домен в исключения. При возникновении ошибки проверки защищенного соединения приложение добавляет домен, при переходе на который возникла ошибка, в список исключений и не контролирует зашифрованный сетевой трафик при переходе на этот домен.
  - Блокировать соединение. При возникновении ошибки проверки защищенного соединения Kaspersky Endpoint Security блокирует это сетевое соединение.
- Политика проверки сертификатов. Способ, которым приложение проверяет сертификаты:
  - Полная проверка. Приложение использует интернет для проверки и загрузки недостающих цепочек, необходимых для проверки сертификата.
  - Локальная проверка. Приложение проверяет сертификат на компьютере локально.
Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

Как настроить политику проверки сертификатов в командной строке

Для включения проверки зашифрованных соединений выполните команду:
kesl-control --set-net-settings EncryptedConnectionsScan=Yes
Для выбора способа проверки сертификатов выполните команду:
kesl-control --set-net-settings CertificateVerificationPolicy=<FullCheck|LocalCheck>
Для выбора действия при обнаружении неподтвержденного сертификата выполните команду:
kesl-control --set-net-settings UntrustedCertificateAction=<Allow|Block>
Для выбора действия при возникновении ошибки проверки зашифрованных соединений выполните команду:
kesl-control --set-net-setting EncryptedConnectionsScanErrorAction=<AddToAutoExclusions|Disconnect>
Для проверки текущих значений параметров сети выполните команду:
kesl-control --get-net-setting

Условные обозначения

Параметры команды

Параметр

Описание

EncryptedConnectionsScan

Режим проверки защищенного соединения:

Yes (по умолчанию). Проверка зашифрованных соединений включена.

No. Проверка зашифрованных соединений выключена.

CertificateVerificationPolicy

Способ проверки сертификатов:

FullCheck (по умолчанию). Приложение использует интернет для проверки и загрузки недостающих цепочек, необходимых для проверки сертификата.

LocalCheck. Приложение проверяет сертификат на компьютере локально.

UntrustedCertificateAction

Действие при обнаружении неподтвержденного сертификата:

Allow (по умолчанию). Приложение будет разрешать соединение с доменом с недоверенным сертификатом. При этом приложение отображает HTML-страницу с предупреждением и информацией о причине, по которой этот домен не рекомендован для посещения. По ссылке из HTML-страницы с предупреждением пользователь может получить доступ к запрошенному веб-ресурсу.

Block. При переходе на домен с недоверенным сертификатом Kaspersky Endpoint Security блокирует сетевое соединение. При переходе на домен с недоверенным сертификатом в браузере, Kaspersky Endpoint Security отображает HTML-страницу с информацией о причине, по которой переход на этот домен заблокирован.

EncryptedConnectionsScanErrorAction

Действие при возникновении ошибки проверки зашифрованных соединений:

AddToAutoExclusions (по умолчанию). При возникновении ошибки проверки защищенного соединения приложение добавляет домен, при переходе на который возникла ошибка, в список исключений и не контролирует зашифрованный сетевой трафик при переходе на этот домен.

Disconnect. При возникновении ошибки проверки защищенного соединения Kaspersky Endpoint Security блокирует это сетевое соединение.

Назад Как приложение перехватывает трафик

Как настроить контролируемые порты Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!