Настройка параметров Endpoint Detection and Response Expert (on-premise)

Решение Endpoint Detection and Response Expert

Решения Endpoint Detection and Response Expert, с которым интегрируется Kaspersky Endpoint Security.

• Endpoint Detection and Response Expert (версия 7.1 и ниже)
• Endpoint Detection and Response Expert (версия 8.0 и выше)

Настройки подключения

Настройте следующие параметры для подключения к серверу KATA или к серверу сбора телеметрии:

• Время ожидания соединения с сервером. Максимальное время ожидания ответа от сервера Central Node. По истечению времени ожидания Kaspersky Endpoint Security пытается подключиться к другому серверу Central Node.
• Сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Central Node. Вы можете получить TLS-сертификат в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform).
• Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Endpoint Security и сервером Central Node. Для использования двусторонней аутентификации вам нужно в параметрах сервера Central Node включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. Вы можете получить криптоконтейнер в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform). После настройки параметров Central Node вам нужно в параметрах Kaspersky Endpoint Security также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

Отправлять запрос на синхронизацию на сервер каждые (мин.)

(доступен только для Endpoint Detection and Response Expert (версия 7.1 и ниже))

Период отправки запросов на синхронизацию с сервером. Во время синхронизации Kaspersky Endpoint Security передает данные об изменениях в параметрах приложения и задачах.

Подключение к серверам KATA / Подключение к серверам сбора телеметрии

Введите IP-адрес и порт подключения к серверу Kaspersky Anti Targeted Attack Platform или серверу сбора телеметрии.

Вы можете добавить несколько адресов сервера Central Node (для KATA) или сервера сбора телеметрии. Kaspersky Endpoint Security пытается установить соединение с сервером через первый IP-адрес. Если установить соединение не удалось, Kaspersky Endpoint Security пытается установить соединение через второй IP-адрес и так далее по списку.

Архитектура решений EDR (KATA) и EDR Expert (on-premise) отличается. Для обработки телеметрии EDR Expert (on-premise) использует сервер сбора телеметрии, EDR (KATA) использует сервер Central Node. Поэтому при интеграции приложения с EDR Expert (on-premise) вам нужно добавить сервер сбора телеметрии.

Отправлять телеметрию в KATA / Отправлять телеметрию на серверы сбора телеметрии

Функция позволяет полностью выключить отправку телеметрии на сервер KATA или сервер сбора телеметрии в зависимости от выбранного решения. Например, если вы используете Kaspersky Anti Targeted Attack Platform совместно с другим решением, которое также использует телеметрию, вы можете выключить отправку телеметрии для KATA (EDR). Это позволит оптимизировать нагрузку на серверы для этих решений.

Если у вас развернуто решение Managed Detection and Response и KATA (EDR), вы можете использовать телеметрию MDR, а создавать задачи реагирования на угрозы в KATA (EDR).

Максимальная задержка отправки событий (сек.)

Приложение выполняет синхронизацию с сервером для передачи событий по истечению периода синхронизации.

Включить регулирование количества запросов

Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Endpoint Security прекращает отправлять события.

Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Endpoint Security восстанавливает передачу событий по истечению часа. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.

Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Endpoint Security восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится.

Подключение к серверам реагирования

(доступен только для Endpoint Detection and Response Expert (версия 8.0 и выше))

Настройки подключения к серверам реагирования. Введите IP-адрес сервера реагирования (IPv4 или IPv6) и порт подключения к серверу.

Вы можете добавить несколько адресов сервера реагирования. Kaspersky Endpoint Security пытается установить соединение с сервером через первый IP-адрес. Если установить соединение не удалось, Kaspersky Endpoint Security пытается установить соединение через второй IP-адрес и так далее по списку.

Настройки подключения

(доступен только для Endpoint Detection and Response Expert (версия 8.0 и выше))

Настройте следующие параметры для подключения к серверу реагирования:

• Время ожидания соединения с сервером. Максимальное время ожидания ответа от сервера реагирования. По истечению времени ожидания Kaspersky Endpoint Security пытается подключиться к другому серверу реагирования.
• Сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером реагирования.
• Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Endpoint Security и сервером реагирования. Для использования двусторонней аутентификации вам нужно в параметрах сервера реагирования включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. Вы можете получить криптоконтейнер в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform). После настройки параметров сервера реагирования вам нужно в параметрах Kaspersky Endpoint Security также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.