Сетевая изоляция устройства

Kaspersky Industrial CyberSecurity Endpoint Detection and Response предоставляет возможность изолировать устройства от сети по требованию (вручную) или в качестве автоматического действия по реагированию на обнаруженные угрозы.

При автоматическом реагировании на устройствах будут выполнены соответствующие команды без подтверждения оператором. Несмотря на использование стандартных механизмов ОС, возможно возникновение непредвиденных проблем, вызванных неправильной или узкоспециализированной настройкой устройств, проблем совместимости или ошибок в программном обеспечении устройств и автоматизированных систем управления технологическим процессом (далее "АСУ ТП"), которые не проявляются при обычном использовании. Например, возможно появление следующих проблем: выключение устройства; потеря связи с устройством; потеря работоспособности устройства; другие сбои в работе решения и оборудования. Также возможно непреднамеренное влияние на работу АСУ ТП.

Администратор Kaspersky Industrial CyberSecurity Endpoint Detection and Response несет полную ответственность за влияние автоматических действий решения в отношении обнаруженных угроз на стабильность работы АСУ ТП и технологического процесса.

После включения сетевой изоляции приложение разрывает все активные и блокирует все новые сетевые соединения TCP/IP на устройстве, кроме следующих:

• Указанных в исключениях из сетевой изоляции.
• Инициированных службами Kaspersky Industrial CyberSecurity for Linux Nodes.
• Между Kaspersky Industrial CyberSecurity for Linux Nodes и сервером администрирования Kaspersky Security Center.
• Между Kaspersky Industrial CyberSecurity for Linux Nodes и сервером Kaspersky Industrial CyberSecurity for Networks.
• С KSN (при интеграции с Kaspersky Managed Detection and Response).

Сетевая изоляция может применяться в одном из следующих режимов:

• Автоматический режим сетевой изоляции. Устройство может быть изолировано от сети автоматически в результате обнаружения индикаторов компрометации. Если при создании и настройке параметров задачи Поиск IOC в блоке Действия при обнаружении IOC вы установили флажки Применять действия по реагированию при обнаружении IOC и Изолировать устройство от сети, то включение сетевой изоляции происходит автоматически при обнаружении приложением индикаторов компрометации.

  Вы можете настроить следующие параметры сетевой изоляции в автоматическом режиме:

  • Изменить период времени, по истечении которого сетевая изоляция автоматически выключается.
  • Настроить исключения из сетевой изоляции для устройств, изолированных автоматически.

  Если на устройство, изолируемое в автоматическом режиме, распространяется политика, то применяются параметры, заданные в политике. Если политика не распространяется, то применяются параметры, заданные в свойствах устройства.

• Ручной режим сетевой изоляции. Устройство можно изолировать от сети на время исследования обнаруженной угрозы. Вы можете вручную включать сетевую изоляцию устройства в окне с деталями алерта и в свойствах устройства в Web Console.

  Вы можете настроить следующие параметры сетевой изоляции в ручном режиме:

  • Изменить период времени, по истечении которого сетевая изоляция автоматически выключается.
  • Настроить исключения из сетевой изоляции для устройств, изолированных вручную.

Вы можете проверять статус сетевой изоляции устройства и выключать сетевую изоляцию устройства в командной строке.

Изолированному устройству автоматически присваивается тег ISOLATED FROM NETWORK. После выключения сетевой изоляции этот тег автоматически снимается. Подробнее см. в разделе Просмотр списка изолированных устройств.

Выключение сетевой изоляции вручную доступно вне зависимости от того, включена ли интеграция с решением Kaspersky Industrial CyberSecurity Endpoint Detection and Response, а также вне зависимости от того, распространяется ли на устройство действие политики.

Ограничения сетевой изоляции

При использовании сетевой изоляции настоятельно рекомендуется ознакомиться с описанными ограничениями.

• Для работоспособности сетевой изоляции требуется, чтобы приложение Kaspersky Industrial CyberSecurity for Linux Nodes было запущено. Во время сбоя в работе приложения Kaspersky Industrial CyberSecurity for Linux Nodes (когда приложение не запущено), блокировка трафика при включении сетевой изоляции решением Kaspersky Industrial CyberSecurity Endpoint Detection and Response не гарантируется.
• DHCP и DNS не добавляются автоматически в исключения из сетевой изоляции, поэтому если сетевой адрес какого-то ресурса был изменен во время сетевой изоляции, приложение Kaspersky Industrial CyberSecurity for Linux Nodes не сможет получить к нему доступ.
• Исключение процесса из сетевой изоляции по имени поддерживается на устройствах с версией ядра от 4.18 до 6.6 с поддержкой eBPF с BTF.

При использовании сетевой изоляции рекомендуется:

• Использовать прокси-сервер KSN для взаимодействия с Kaspersky Security Network.
• Использовать Kaspersky Security Center в качестве прокси-сервера для активации приложения.

  В случае невозможности использования Kaspersky Security Center в качестве прокси-сервера требуется настроить параметры нужного прокси-сервера и добавить его в исключения.

• Указать Kaspersky Security Center в качестве источника обновлений баз.

Информацию об управлении сетевой изоляцией в Kaspersky Endpoint Agent (при использовании Kaspersky Industrial CyberSecurity for Nodes версии от 3.1 до 4.0 включительно) и Kaspersky Industrial CyberSecurity for Nodes см. в справке Kaspersky Endpoint Agent и справке Kaspersky Industrial CyberSecurity for Nodes.