Дополнительная настройка после установки в отдельных ОС

Если в вашей операционной системе используется система контроля доступа SELinux в режиме Enforcing, ее настройка для работы с приложением по умолчанию выполняется автоматически во время установки.

Если приложению не удалось настроить систему SELinux автоматически (например, в случае отсутствия утилиты semanage), мастер выводит сообщение об ошибке и предлагает пользователю настроить систему SELinux вручную. В этом случае или если вы отказались от автоматической настройки, после завершения первоначальной настройки приложения вручную настройте систему SELinux для работы с приложением Kaspersky Industrial CyberSecurity for Linux Nodes.

Настройку требуется выполнять с root-правами.

Чтобы вручную настроить систему SELinux для работы с приложением:

1. Переведите систему SELinux в неблокирующий режим:
   • Если SELinux активирован, выполните команду:

     setenforce Permissive

   • Если SELinux выключен, в конфигурационном файле /etc/selinux/config задайте значение параметра SELINUX=permissive и перезагрузите операционную систему.
2. Убедитесь, что в системе установлена утилита semanage. Если утилита не установлена, установите пакет policycoreutils-python или policycoreutils-python-utils в зависимости от типа менеджера пакетов.
3. Если вы используете пользовательскую политику SELinux, то есть отличную от заданной по умолчанию targeted policy, назначьте метку для каждого исходного исполняемого файла приложения Kaspersky Industrial CyberSecurity for Linux Nodes в соответствии с используемой политикой SELinux.

   semanage fcontext -a -t bin_t <executable file>

   restorecon -v <executable file>

   Где <executable file>:

   • /var/opt/kaspersky/kics/<build number_*>/opt/kaspersky/kics/libexec/kics
   • /var/opt/kaspersky/kics/<build number_*>/opt/kaspersky/kics/bin/kics-control
   • /var/opt/kaspersky/kics/<build number_*>/opt/kaspersky/kics/libexec/kics-gui
   • /var/opt/kaspersky/kics/<build number_*>/opt/kaspersky/kics/shared/kics
   • /var/opt/kaspersky/kics/<build number_*>/opt/kaspersky/kics/bin/response
4. Запустите следующие задачи:

   Запустить задачу Защита от файловых угроз

   kics-control --start-task 1

   Запустить задачу Проверка важных областей

   kics-control --start-task 4 -W

   Рекомендуется запустить все задачи, которые вам потребуются при использовании приложения Kaspersky Industrial CyberSecurity for Linux Nodes.

5. Запустите графический пользовательский интерфейс, если вы планируете его использовать.
6. Убедитесь, что в файле audit.log нет ошибок.

   Посмотреть файл audit.log

   grep kics /var/log/audit/audit.log

7. Если в файле audit.log присутствуют ошибки, создайте и загрузите новый модуль правил на основе блокирующих записей, чтобы устранить ошибки, затем снова запустите задачи, которые вам потребуются при использовании приложения Kaspersky Industrial CyberSecurity for Linux Nodes.

   Создать и загрузить новый модуль правил на основе блокирующих записей

   grep kics /var/log/audit/audit.log | audit2allow -M kics

   semodule -i kics.pp

   В случае появления новых audit-сообщений, связанных с Kaspersky Industrial CyberSecurity for Linux Nodes, требуется обновить файл модуля правил.

8. Переведите систему SELinux в блокирующий режим.

   setenforce Enforcing

Если вы используете пользовательскую политику SELinux, то после установки обновлений приложения вам нужно вручную назначить метку для исходных исполняемых файлов приложения Kaspersky Industrial CyberSecurity for Linux Nodes (выполните шаги 1, 3–8).

Дополнительную информацию вы можете найти в документации для используемой операционной системы.

Если вы планируете использовать в вашей ОС систему SELinux в режиме Enforcing и инструменты, для которых не настроена политика SELinux, для выполнения действий по реагированию при интеграции с решениями Detection and Response вам нужно дополнительно настроить систему SELinux.

Настройку SELinux требуется выполнять с root-правами.

Чтобы настроить систему SELinux для выполнения действий по реагированию:

1. Переведите систему SELinux в неблокирующий режим:
   • Если SELinux активирован, выполните команду:

     Перевести SELinux в неблокирующий режим

     setenforce Permissive

   • Если SELinux выключен, в конфигурационном файле /etc/selinux/config задайте значение параметра SELINUX=permissive и перезагрузите операционную систему.
2. Убедитесь, что в системе установлена утилита semanage. Если утилита не установлена, установите пакет policycoreutils-python или policycoreutils-python-utils в зависимости от типа менеджера пакетов.
3. Запустите все задачи для выполнения действий по реагированию, которые вы планируете использовать при интеграции приложения с решениями Detection and Response.
4. Для сбора форензики с помощью задачи получения дампа памяти (Get memory dump) и задачи получения дампа памяти процесса (Get process memory dump) в системе SELinux разрешите приложению Kaspersky Industrial CyberSecurity for Linux Nodes обращаться к указанным в задачах SMB-серверам.
5. Убедитесь, что в файле audit.log нет ошибок.

   Посмотреть файл audit.log

   grep kics /var/log/audit/audit.log

6. Если в файле audit.log присутствуют ошибки, создайте и загрузите новый модуль правил на основе блокирующих записей, чтобы устранить ошибки, и снова запустите задачи для выполнения действия по реагированию.

   Создать и загрузить новый модуль правил на основе блокирующих записей

   grep kics /var/log/audit/audit.log | audit2allow -M kics

   semodule -i kics.pp

7. Переведите систему SELinux в блокирующий режим.

   setenforce Enforcing

1. Укажите следующие параметры в файле /etc/digsig/digsig_initramfs.conf:

   DIGSIG_ELF_MODE=1

2. Установите пакет совместимости:

   apt install astra-digsig-oldkeys

3. Создайте директорию для ключа приложения:

   mkdir -p /etc/digsig/keys/legacy/kaspersky/

4. Разместите ключ приложения (/opt/kaspersky/kics/shared/kaspersky_astra_pub_key.gpg) в директории, созданной на предыдущем шаге:

   cp kaspersky_astra_pub_key.gpg /etc/digsig/keys/legacy/kaspersky/

5. Обновите образ initramfs:

   update-initramfs -u -k all

6. Перезагрузите операционную систему.

1. Укажите следующие параметры в файле /etc/digsig/digsig_initramfs.conf:

   DIGSIG_LOAD_KEYS=1

   DIGSIG_ENFORCE=1

2. Создайте директорию для ключа приложения:

   mkdir -p /etc/digsig/keys/legacy/kaspersky/

3. Разместите ключ приложения (/opt/kaspersky/kics/shared/kaspersky_astra_pub_key.gpg) в директории, созданной на предыдущем шаге:

   cp kaspersky_astra_pub_key.gpg /etc/digsig/keys/legacy/kaspersky/

4. Обновите образ initramfs:

   sudo update-initramfs -u -k all

5. Перезагрузите операционную систему.

Работа с графическим пользовательским интерфейсом приложения поддерживается для сессий с мандатным разграничением доступа.

Установка или обновление приложения на устройстве с операционной системой TeNIX WS

1. Распакуйте архивы kics-<build number>.tgz, kics-gui-<build number>.tgz и klnagent64_<build number>.tgz в нужную директорию.
2. Установите нужные пакеты с помощью менеджера пакетов tpkg, выполнив одну из следующих команд:

   Установка приложения без графического пользовательского интерфейса

   PKGDIR=<directory with packages> tpkg kics

   Установка приложения и графического пользовательского интерфейса

   PKGDIR=<directory with packages> tpkg kics-gui

   Установка пакета Агента администрирования

   PKGDIR=<directory with packages> tpkg klnagent

   где <directory with packages> – путь к директории, в которую вы распаковали архивы.

3. Выполните первоначальную настройку приложения и Агента администрирования.

Удаление приложения с устройства с операционной системой TeNIX WS

PKGDIR=<directory with packages> tpkg -d <package>

где <package> – один из следующих установочных пакетов:

• kics – пакет приложения без графического пользовательского интерфейса;
• kics-gui – пакет приложения с графическим пользовательским интерфейсом;
• klnagent – пакет Агента администрирования.