Решения Detection and Response

Решения Detection and Response от "Лаборатории Касперского" представляют собой системы безопасности, предназначенные для обнаружения сложных угроз и признаков атак на разных уровнях инфраструктуры организации. Решения Detection and Response предоставляют вам информацию об обнаруженной угрозе и позволяют управлять действиями по реагированию на обнаружения.

Таким образом, решения Detection and Response выполняют следующие действия:

• Получение данных о работе компьютера, сервера или других устройств (телеметрия).
• Автоматический анализ данных для выявления угроз.
• Формирование деталей алерта в виде граф цепочки развития угрозы для анализа и выбора действий по реагированию на обнаружение.
• Выполнение действий по реагированию на обнаружение (например, сетевая изоляция компьютера).

Kaspersky Industrial CyberSecurity for Linux Nodes обеспечивает работу решений Detection and Response с помощью встроенного в приложение агента Endpoint Agent (далее также встроенный агент). Встроенный агент отправляет телеметрию на серверы решений и выполняет действия по реагированию на обнаружение. Встроенный агент обеспечивает работу следующих решений:

• Kaspersky Industrial CyberSecurity for Networks (далее также KICS for Networks).
• Kaspersky Industrial CyberSecurity Endpoint Detection and Response (далее также ICS EDR).
• Kaspersky Managed Detection and Response (далее также MDR).

Особенности работы с решениями Detection and Response

• При работе приложения Kaspersky Industrial CyberSecurity for Linux Nodes с решением Kaspersky Managed Detection and Response в журнал systemd может записываться большое количество событий. Если вы хотите выключить запись событий аудита в systemd, вам нужно отключить сокет systemd-journald-audit и перезагрузить операционную систему.

  Отключить сокет systemd-journald-audit

  systemctl stop systemd-journald-audit.socket

  systemctl disable systemd-journald-audit.socket

  systemctl mask systemd-journald-audit.socket

• По умолчанию на операционной системе СинтезМ-Клиент конфигурация службы auditd заблокирована против изменений, то есть находится в режиме работы enabled 2. Для корректной работы компонента Анализ поведения при интеграции Kaspersky Industrial CyberSecurity for Linux Nodes с Kaspersky Managed Detection and Response требуется изменить режим работы auditd в конфигурационных файлах на режим без блокировки конфигурации enabled 1 и перезагрузить операционную систему.