Как настроить интеграцию встроенного агента с EDR Expert (cloud)

Для интеграции с решением Kaspersky Endpoint Detection and Response Expert (cloud) вам нужно включить компонент Endpoint Detection and Response Expert (cloud) и настроить подключение к серверу сбора телеметрии и серверу реагирования.

Сервер сбора телеметрии – сервер, входящий в состав SIEM, который предназначен для сбора, нормализации, корреляции, анализа и хранения данных о событиях на компьютере.

Сервер реагирования – сервер, который предназначен для приема и проверки данных, исследования поведения объектов, а также публикации результатов исследования.

Компоненты Endpoint Detection and Response Expert (cloud) и Endpoint Detection and Response Expert (on-premises) несовместимы между собой.

Условия работы EDR Expert (cloud)

Для работы EDR Expert (cloud) должны быть выполнены следующие условия:

• Инфраструктура Kaspersky Endpoint Detection and Response Expert (cloud) доступна в вашем регионе. Для получения информации о доступности инфраструктуры EDR Expert (cloud) в вашем регионе обратитесь в Службу технической поддержки.
• Установлена единая платформа управления OSMP (Open Single Management Platform).
• Приложение Kaspersky Endpoint Security установлено в стандартном режиме.
• Приложение Kaspersky Endpoint Security активировано и функциональность входит в лицензию.
• Вы приняли условия Соглашения об обработке данных Kaspersky Endpoint Detection and Response Expert (cloud).
• Включен компонент Endpoint Detection and Response Expert (cloud).
• Включен компонент Анализ поведения для передачи необходимых данных телеметрии.

  Если вы хотите получать данные об обнаружении угроз от других компонентов защиты, включите эти компоненты.

  • Защита от файловых угроз.
  • Защита от сетевых угроз.
  • Защита от веб-угроз.
  • Защита от шифрования.
  • Контроль приложений.
  • Контроль устройств.
  • Контроль целостности системы.

Этапы интеграции с EDR Expert (cloud)

Интеграция с EDR Expert (cloud) состоит из следующих этапов:

1. Выбор режима работы EDR Expert

   Kaspersky Endpoint Security поддерживает работу с EDR Expert в двух режимах: on-premise и cloud. Для интеграции с решением Kaspersky Endpoint Detection and Response Expert (cloud) вам нужно включить соответствующий режим во время установки приложения. По умолчанию приложение использует интеграцию с Kaspersky Endpoint Detection and Response Expert (on-premises).

2. Активация Kaspersky Endpoint Detection and Response Expert (cloud)

   Вам нужно приобрести отдельную лицензию на использование Kaspersky Endpoint Detection and Response Expert (cloud).

   Функциональность будет доступна после добавления отдельного ключа Kaspersky Endpoint Detection and Response Expert (cloud). В результате на компьютере будет добавлено два ключа: ключ для Kaspersky Endpoint Security и ключ для Kaspersky Endpoint Detection and Response Expert (cloud).

   Лицензирование отдельной функциональности Endpoint Detection and Response Expert (cloud) не отличается от лицензирования Kaspersky Endpoint Security.

   Убедитесь, что функциональность EDR Expert (cloud) включена в лицензию и работает в Kaspersky Security Center или на защищаемом устройстве.

3. Настройка подключения к серверу сбора телеметрии и серверу реагирования

   Для работы Kaspersky Endpoint Detection and Response Expert (cloud) необходимо установить доверенное соединение между Kaspersky Endpoint Security и двумя серверами: сервером сбора телеметрии и сервером реагирования. Приложение получает адреса серверов и сертификаты для установки доверенного соединения автоматически после принятия условий Соглашения об обработке данных Kaspersky Endpoint Detection and Response Expert (cloud). Таким образом, вам нужно только настроить дополнительные параметры для подключения к серверам: использование TCP-туннеля и период отправки запроса на синхронизацию с сервером.

   Как настроить дополнительные параметры для подключения Kaspersky Endpoint Security к EDR Expert (cloud) в Web Console

   1. В главном окне Web Console выберите вкладку Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Встроенные агенты → Endpoint Detection and Response Expert (cloud).
   5. Включите компонент с помощью переключателя Endpoint Detection and Response Expert (cloud) ВЫКЛЮЧЕН.
   6. Если текущая политика является дочерней, и в родительской политике установлен запрет на изменение параметров интеграции с EDR Expert (cloud) ("замок" закрыт), вы можете настроить наследование параметров в блоке Наследование:
      • Наследовать настройки подключения из политики (значение по умолчанию). Параметры подключения будут унаследованы из родительской политики. Редактирование параметров будет недоступно.
      • Использовать собственные настройки подключения. Вы можете настроить параметры подключения самостоятельно.
   7. На вкладке Сервер реагирования отображаются автоматически полученные полное доменное имя и порт сервера реагирования. Если политика безопасности в вашей инфраструктуре не позволяет подключаться к серверам EDR Expert (cloud) напрямую, вы можете настроить подключение через TCP-туннель:
      1. Установите флажок Использовать TCP-туннель для реагирования.
      2. Укажите адрес сервера (IPv4, IPv6), а также порт подключения к туннелю.
   8. Если необходимо, настройте период отправки запросов на синхронизацию с сервером в поле Отправлять запрос на синхронизацию на сервер каждые (мин.). Во время синхронизации Kaspersky Endpoint Security получает задачи по реагированию на угрозы и отправляет результаты выполнения задач.
   9. Перейдите на вкладку Сервер сбора телеметрии.
   10. Настройте параметры подключения к серверу сбора телеметрии:
       1. Нажмите на ссылку Изменить.
       2. В открывшемся окне выберите сервер сбора телеметрии из списка. Роль сервера сбора телеметрии в EDR Expert (cloud) выполняет коллектор KUMA. Подробнее см. в справке Kaspersky Unified Monitoring and Analysis Platform.

          Если при подключении к серверу сбора телеметрии возникла ошибка, выберите другой сервер. Если вам не удалось выполнить подключение к серверу сбора телеметрии, обратитесь в Службу технической поддержки.

       3. При необходимости вы можете вы можете настроить подключение к серверу сбора телеметрии через TCP-туннель, как для сервера реагирования.
   11. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Как посмотреть информацию о сертификатах в командной строке

   1. Для просмотра информации о сертификате клиента выполните команду:

      kesl-control --query-cloudxdr-client-certificate --server-type telemetry

      kesl-control --query-cloudxdr-client-certificate --server-type response

   2. Для просмотра информации о сертификате сервера выполните команду:

      kesl-control --query-cloudxdr-server-certificate --server-type telemetry

      kesl-control --query-cloudxdr-server-certificate --server-type response

   В результате Kaspersky Endpoint Security покажет информацию о сертификате в следующем виде:

   Serial number: 12 34 56 78 AB CD EF GH

   Subject: C=EN, ST=Moscow, L=Moscow, O=AO Kaspersky Lab, OU=Future Technologies, CN=epp

   Issuer: C=EN, ST=Moscow, L=Moscow, O=AO Kaspersky Lab, OU=Future Technologies, CN=epp

   Valid from: 2022-07-27 13:25:35

   Expires on: 2072-07-14 13:25:35

   SHA1 fingerprint: a14f12df23fg3465bgh6345g567df

   Проверьте статус работы компонента с помощью отчета Отчет о статусе компонентов приложения. Также вы можете посмотреть статус работы компонента на защищаемом устройстве.