Интеграция встроенного агента с EDR / NDR (KATA)

Для интеграции с EDR / NDR (KATA) вам нужно добавить соответствующий компонент: Endpoint Detection and Response (KATA) или Network Detection and Response (KATA). Вы можете выбрать компоненты для интеграции с EDR / NDR (KATA) во время установки или обновления приложения, а также с помощью задачи Изменение состава компонентов приложения.

Начиная с версии Kaspersky Endpoint Security для Windows 12.11 компонент EDR (KATA) переименован в Endpoint Detection and Response Expert (версия 8.0 и выше). В этой версии приложения компонент совместим с Kaspersky Anti Targeted Attack Platform версии 7.1 и ниже и Kaspersky Endpoint Detection and Response Expert (on-premises).

Компоненты Endpoint Detection and Response Optimum, Endpoint Detection and Response Expert (cloud), Endpoint Detection and Response Expert (on-premises) несовместимы между собой.

Для работы EDR / NDR (KATA) должны быть выполнены следующие условия:

• EDR (KATA): Kaspersky Anti Targeted Attack Platform версии 5.0 – 7.1.
• NDR (KATA): Kaspersky Anti Targeted Attack Platform версии 7.0 или выше.
• EDR (KATA): Kaspersky Endpoint Security для Windows 12.1 или выше. Подробнее о совместимости KATA c Kaspersky Endpoint Security разных версий см. в справке Kaspersky Anti Targeted Attack Platform.
• NDR (KATA): Kaspersky Endpoint Security для Windows 12.7 или выше.
• Kaspersky Security Center версии 14.2 или выше. В более ранних версиях Kaspersky Security Center невозможно активировать функциональность EDR / NDR (KATA).
• Приложение активировано и функциональность входит в лицензию.
• Компоненты Endpoint Detection and Response (KATA) и Network Detection and Response (KATA) включены.
• Компоненты приложения, которые обеспечивают работу EDR / NDR (KATA), включены и работают. Работу EDR / NDR (KATA) обеспечивают следующие компоненты:
  • Защита от файловых угроз.
  • Защита от веб-угроз.
  • Защита от почтовых угроз.
  • Защита от эксплойтов.
  • Анализ поведения.
  • Предотвращение вторжений.
  • AMSI-защита.
  • Фоновая проверка.
  • Kaspersky Security Network.

Интеграция с Endpoint Detection and Response (KATA) состоит из следующих этапов:

1. Установка компонентов Endpoint Detection and Response (KATA) и Network Detection and Response (KATA)

   Вы можете выбрать компоненты EDR (KATA) и NDR (KATA) во время установки или обновления приложения, а также с помощью задачи Изменение состава компонентов приложения.

   Для завершения обновления приложения с новыми компонентами нужно перезагрузить компьютер.

2. Активация Endpoint Detection and Response (KATA) и Network Detection and Response (KATA)

   Вам нужно приобрести отдельную лицензию на использование EDR (KATA) и NDR (KATA) (например, Kaspersky Endpoint Detection and Response (KATA) Add-on).

   Функциональность будет доступна после добавления отдельного ключа, который включает в себя функциональности EDR (KATA) и NDR (KATA). В результате на компьютере будет добавлено несколько ключей: ключ для Kaspersky Endpoint Security и ключи для Endpoint Detection and Response (KATA) и Network Detection and Response (KATA).

   Лицензирование отдельных функциональностей EDR (KATA) и NDR (KATA) не отличается от лицензирования Kaspersky Endpoint Security.

   Убедитесь, что функциональности EDR (KATA) и NDR (KATA) включены в лицензию и работают в локальном интерфейсе приложения.

3. Подключение к Central Node

   Для работы Kaspersky Anti Targeted Attack Platform необходимо установить доверенное соединение между Kaspersky Endpoint Security и компонентом Central Node. Для настройки доверенного соединения вам нужен TLS-сертификат. Вы можете получить TLS-сертификат в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform). Далее вам нужно добавить TLS-сертификат в Kaspersky Endpoint Security (см. инструкцию ниже).

   

   Добавление TLS-сертификата в Kaspersky Endpoint Security

   По умолчанию Kaspersky Endpoint Security проверяет только TLS-сертификат Central Node. Чтобы сделать соединение более безопасным, вы можете включить дополнительную проверку компьютера в Central Node (двусторонняя аутентификация). Для включения такой проверки вам нужно включить двустороннюю аутентификацию в параметрах Central Node и Kaspersky Endpoint Security. Также для двусторонней аутентификации вам нужен криптоконтейнер. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом. Вы можете получить криптоконтейнер в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform).

   Как подключить компьютер с Kaspersky Endpoint Security к Central Node в Консоли администрирования (MMC)

   1. Откройте Консоль администрирования Kaspersky Security Center.
   2. В дереве консоли выберите папку Политики.
   3. Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
   4. В окне политики выберите Detection and Response и выберите компонент, который вы хотите настроить: Endpoint Detection and Response Expert (on-premises) или Network Detection and Response (KATA).
   5. Установите соответствующий флажок: Endpoint Detection and Response Expert (версия 7.1 и ниже) или Network Detection and Response (KATA).
   6. Нажмите на кнопку Настройки подключения к серверам.
   7. Настройте параметры подключения к серверам:
      • Время ожидания (сек.). Максимальное время ожидания ответа от сервера Central Node. По истечению времени ожидания Kaspersky Endpoint Security пытается подключиться к другому серверу Central Node.
      • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Central Node. Вы можете получить TLS-сертификат в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform).
      • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Endpoint Security и сервером Central Node. Для использования двусторонней аутентификации вам нужно в параметрах сервера Central Node включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. Вы можете получить криптоконтейнер в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform). После настройки параметров Central Node вам нужно в параметрах Kaspersky Endpoint Security также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

        Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

   8. Нажмите на кнопку ОК.
   9. Добавьте серверы Central Node. Для этого укажите адрес сервера (IPv4, IPv6), а также порт подключения к серверу.

      Вы можете добавить несколько адресов сервера Central Node. Kaspersky Endpoint Security пытается установить соединение с сервером через первый IP-адрес. Если установить соединение не удалось, Kaspersky Endpoint Security пытается установить соединение через второй IP-адрес и так далее по списку.

   10. Если требуется, настройте параметры отправки телеметрии.
   11. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Как подключить компьютер с Kaspersky Endpoint Security к Central Node в Web Console

   1. В главном окне Web Console выберите вкладку Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Встроенные агенты и выберите компонент, который вы хотите настроить: Endpoint Detection and Response Expert (on-premises) или Network Detection and Response (KATA).
   5. Включите соответствующий переключатель: Endpoint Detection and Response Expert (on-premises) ВКЛЮЧЕН или Network Detection and Response (KATA) ВКЛЮЧЕН.
   6. Для настройки EDR (KATA) в списке решений выберите Endpoint Detection and Response Expert (версия 7.1 и ниже).
   7. Нажмите на кнопку Настройки подключения.
   8. Настройте параметры подключения к серверам:
      • Время ожидания (сек.). Максимальное время ожидания ответа от сервера Central Node. По истечению времени ожидания Kaspersky Endpoint Security пытается подключиться к другому серверу Central Node.
      • Сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Central Node. Вы можете получить TLS-сертификат в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform).
      • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Endpoint Security и сервером Central Node. Для использования двусторонней аутентификации вам нужно в параметрах сервера Central Node включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. Вы можете получить криптоконтейнер в консоли Kaspersky Anti Targeted Attack Platform (см. инструкцию в справке Kaspersky Anti Targeted Attack Platform). После настройки параметров Central Node вам нужно в параметрах Kaspersky Endpoint Security также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

        Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

   9. Нажмите на кнопку OK.
   10. Добавьте серверы Central Node. Для этого укажите адрес сервера (IPv4, IPv6), а также порт подключения к серверу.

       Вы можете добавить несколько адресов сервера Central Node. Kaspersky Endpoint Security пытается установить соединение с сервером через первый IP-адрес. Если установить соединение не удалось, Kaspersky Endpoint Security пытается установить соединение через второй IP-адрес и так далее по списку.

   11. Если требуется, настройте параметры отправки телеметрии.
   12. Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

   Вы также можете добавить TLS-сертификат локально из командной строки.

   В результате компьютер будет добавлен в консоли Kaspersky Anti Targeted Attack Platform. Проверьте статус работы компонентов с помощью отчета Отчет о статусе компонентов приложения. Также вы можете посмотреть статус работы компонентов в локальном интерфейсе Kaspersky Endpoint Security в отчетах. В список компонентов Kaspersky Endpoint Security будут добавлены компоненты Endpoint Detection and Response Expert (версия 8.0 и выше) и Network Detection and Response (KATA).

   Вы можете проверить статус работы компонентов в консоли Kaspersky Security Center в свойствах компьютера в разделе Компоненты. Отображение статуса компонента в консоли имеет особенность. Если компонент не установлен и функциональность не включена в лицензию, то консоль покажет статус Не поддерживается лицензией вместо Не установлен.

   Начиная с версии Kaspersky Endpoint Security для Windows 12.6 вы можете контролировать статус компонента EDR (KATA) в Консоли администрирования (MMC) Kaspersky Security Center. Текущий статус компонента отображается в свойствах компьютера в графе Статус Endpoint Sensor (значения Выполняется, Запускается, Остановлена, Приостановлена, Сбой, Нет данных). В Web Console статус Endpoint Sensor отсутствует.