Интеграция с Kaspersky Industrial CyberSecurity for Networks

Kaspersky Industrial CyberSecurity for Networks – приложение для защиты инфраструктуры промышленных предприятий от угроз информационной безопасности и для обеспечения непрерывности технологических процессов. Kaspersky Industrial CyberSecurity for Networks анализирует трафик промышленной сети для выявления отклонений в значениях технологических параметров, обнаружения признаков сетевых атак, контроля работы и текущего состояния устройств в сети. Приложение входит в состав решения Kaspersky Industrial CyberSecurity. Подробнее о Kaspersky Industrial CyberSecurity for Networks см. в справке Kaspersky Industrial CyberSecurity for Networks.

Приложение Kaspersky Industrial CyberSecurity for Linux Nodes поддерживает интеграцию с Kaspersky Industrial CyberSecurity for Networks. Данные о событиях на устройстве, полученные Kaspersky Industrial CyberSecurity for Linux Nodes, отправляются на сервер Kaspersky Industrial CyberSecurity for Networks. Интеграция между приложениями расширяет возможности Kaspersky Industrial CyberSecurity for Networks по расследованию и реагированию на угрозы в сетях промышленных предприятий.

При взаимодействии с Kaspersky Industrial CyberSecurity for Networks приложение Kaspersky Industrial CyberSecurity for Linux Nodes может выполнять следующие действия, направленные на обеспечение функций безопасности:

• Отправлять данные о событиях на устройствах (телеметрию) на сервер KICS for Networks. Приложение Kaspersky Industrial CyberSecurity for Linux Nodes передает на сервер KICS for Networks данные наблюдения за процессами, открытыми сетевыми соединениями и изменяемыми файлами, а также данные об угрозах, обнаруженных приложением, и данные о результатах обработки этих угроз.
• Выполнять задачи проверки устройства на уязвимости, контроля оборудования на устройстве и сбора конфигураций на устройстве по командам, полученным от сервера KICS for Networks.

При взаимодействии с Kaspersky Industrial CyberSecurity for Networks приложение Kaspersky Industrial CyberSecurity for Linux Nodes может выполнять действия по реагированию, направленные на обеспечение функций безопасности:

• Изолировать устройство от сети;
• Отключить сетевую изоляцию;
• Поместить на карантин;
• Восстановить из карантина;
• Запустить процесс;
• Завершить процесс;
• Запретить запуск;
• Отключить запрет запуска;
• Удалить файл.

Подробнее о действиях по реагированию см. в справке Kaspersky Industrial CyberSecurity for Networks.

Для интеграции с Kaspersky Industrial CyberSecurity for Networks должен быть включен компонент Kaspersky Industrial CyberSecurity for Linux Nodes Анализ поведения. В противном случае необходимые данные телеметрии не передаются в Kaspersky Industrial CyberSecurity for Networks.

Дополнительно Kaspersky Industrial CyberSecurity for Networks может использовать данные, полученные от следующих компонентов:

• Защита от файловых угроз.
• Защита от сетевых угроз.
• Защита от веб-угроз.
• Защита от шифрования.
• Контроль приложений.
• Контроль устройств.
• Контроль целостности системы.

Вы можете выбрать протокол TCP или UDP, по которому будет передаваться телеметрия на сервер KICS for Networks.

Если в общих параметрах приложения Kaspersky Industrial CyberSecurity for Linux Nodes настроено использование прокси-сервера, для подключения к Kaspersky Industrial CyberSecurity for Networks используется прокси-сервер.

По умолчанию интеграция с Kaspersky Industrial CyberSecurity for Networks выключена. Вы можете включать и выключать интеграцию, а также настраивать параметры интеграции с помощью Web Console, Консоли администрирования и командной строки.

Особенности интеграции с Kaspersky Industrial CyberSecurity for Networks

• Если на устройстве используется RDP-сервер xrdp или SSH-сервер sshd, для отправки данных о событии (телеметрии) удалённого подключения к устройству по RDP или SSH-протоколам на сервер Kaspersky Industrial CyberSecurity for Networks, должен быть включен модуль pam_loginuid.so в конфигурационных файлах подключаемых модулей аутентификации (PAM).

  Если модуль не включен и сервер не получает данные о подключениях по RDP или SSH-протоколу от устройства, включите модуль на защищаемом устройстве:

  1. Откройте файл:
     • /etc/pam.d/xrdp-sesman – для подключений по RDP-протоколу.
     • /etc/pam.d/sshd – для подключений по SSH-протоколу.
  2. Добавьте или раскомментируйте в файле следующую строку:

     session required pam_loginuid.so

  3. Перезапустите службы удаленного подключения:
     • xrdp и xrdp-sesman – для подключений по RDP-протоколу.
     • sshd – для подключений по SSH-протоколу.