Сценарий подготовки к получению данных от EPP-приложений

Сценарий подготовки к получению данных от EPP-приложений состоит из следующих этапов:

1. Установка EPP-приложений на компьютеры контролируемой сети

   На этом этапе вам нужно установить приложения "Лаборатории Касперского", выполняющие функции защиты рабочих станций и серверов (EPP-приложения). EPP-приложения требуется установить на все компьютеры, данные о которых вы хотите получать в Kaspersky Industrial CyberSecurity for Networks. Эти компьютеры должны находиться либо вне промышленной сети (трафик которой контролируется через точки мониторинга), либо иметь дополнительное подключение к другой сети, в которую входит один из узлов с установленным компонентом Kaspersky Industrial CyberSecurity for Networks (например, к выделенной сети Kaspersky Industrial CyberSecurity).

   Если функции программного компонента Endpoint Agent для EPP-приложений выполняет программа Kaspersky Endpoint Agent, эту программу также требуется установить на соответствующие компьютеры.

   Kaspersky Industrial CyberSecurity for Networks поддерживает работу в режиме интеграции со следующими EPP-приложениями: Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Linux Nodes. Версии поддерживаемых EPP-приложений см. в статье Аппаратные и программные требования.

2. Добавление серверов интеграции для узлов Kaspersky Industrial CyberSecurity for Networks

   На этом этапе выполняются процедуры добавления серверов интеграции на узлы, к которым будут подключаться компьютеры с программным компонентом Endpoint Agent. Сетевые взаимодействия узлов с этими компьютерами возможны только через сетевые интерфейсы, не используемые в качестве точек мониторинга. При этом для серверов интеграции не настраиваются конкретные сетевые интерфейсы и IP-адреса, поскольку для внешнего подключения к серверу интеграции может использоваться любой из доступных сетевых интерфейсов и IP-адресов компьютера.

3. Создание файлов свертки для клиентов серверов интеграции

   На этом этапе вам нужно создать и скачать файлы свертки, в которых программа сохраняет сертификаты и/или ключи для подключений клиентов к серверам интеграции.

   Каждый файл свертки, используемый для подключения к компьютерам с Endpoint Agent в режиме TCP, представляет собой архив, содержащий следующие данные:

   • Открытый ключ сертификата сервера интеграции.
   • Сертификат для клиентов сервера интеграции (с закрытым ключом). Этот сертификат добавляется, если на сервере интеграции включена проверка сертификатов клиентов. Сертификат и ключ сохраняются в зашифрованном виде с использованием пароля, указанного при создании файла свертки.

   В режиме UDP файл свертки представляет собой архив, содержащий ключ шифрования. Ключ шифрования сохраняется в зашифрованном виде с использованием пароля, указанного при создании файла свертки.

4. Загрузка данных для подключения к серверам интеграции на компьютеры клиентов

   Клиентами для серверов интеграции Kaspersky Industrial CyberSecurity for Networks являются компьютеры с программным компонентом Endpoint Agent.

   Этот этап загрузки данных на компьютеры клиентов реализуется с использованием Kaspersky Security Center. Для этого вам нужно загрузить сертификаты и/или ключи из файлов свертки на Сервер администрирования Kaspersky Security Center с помощью плагина управления Endpoint Agent. После этого вы можете создать политики в Kaspersky Security Center для загрузки данных на компьютеры с Endpoint Agent. Сведения о работе с данными и создании политик см. в документации EPP-приложения или программы Kaspersky Endpoint Agent. Для каждого сервера интеграции должна быть создана как минимум одна политика.

5. Включение серверов интеграции в нужном режиме

   Этот этап выполняется после применения политик и загрузки данных на компьютеры с Endpoint Agent. На этом этапе вам нужно включить режимы TCP и/или UDP для всех серверов интеграции, на которые будут передаваться данные от EPP-приложений. При включении сервера интеграции на узле активируются следующие сервисы:

   • kics4net-epp-proxy – при включении сервера интеграции в режиме TCP.
   • kics4net-telemetry-proxy – при включении сервера интеграции в режиме UDP.
6. Дополнительная настройка для получения данных телеметрии через диоды данных

   Этот этап выполняется, если компьютеры с Endpoint Agent должны отправлять данные телеметрии в Kaspersky Industrial CyberSecurity for Networks через диоды данных.

   В зависимости от версий EPP-приложений компоненты Endpoint Agent могут отправлять данные телеметрии через диоды данных по следующим протоколам:

   • MQTT поверх TCP.

     Этот протокол используется при работе в режиме интеграции с Kaspersky Industrial CyberSecurity for Nodes. Для получения данных телеметрии по этому протоколу на сервере интеграции нужно включить режим TCP. Подробную информацию о настройке EPP-приложений для этого способа передачи данных см. в соответствующей справочной системе: Kaspersky Industrial CyberSecurity for Nodes 4.5 или Kaspersky Endpoint Agent 4.0. Для доставки MQTT-сообщений через диод данных вам может потребоваться настроить функциональность MQTT-брокера на стороне диода данных в соответствии с документацией производителя.

   • UDP.

     Этот протокол используется при работе в режиме интеграции с Kaspersky Industrial CyberSecurity for Linux Nodes версии 2.0. Для получения данных телеметрии по этому протоколу на сервере интеграции нужно включить режим UDP. Подробную информацию о настройке EPP-приложений для этого способа передачи данных см. в справочной системе Kaspersky Industrial CyberSecurity for Linux Nodes 2.0.

     Дополнительно рекомендуется выполнить следующие действия по настройке узлов и сетевого оборудования:

     • Укажите IP- и MAC-адреса узлов с серверами интеграции в ARP-таблицах на компьютерах с EPP-приложениями.
     • При использовании резервных сетей назначьте узлам с серверами интеграции IP-адреса, не принадлежащие какой-либо резервной сети.
     • Укажите статические маршруты к узлам с серверами интеграции в таблицах маршрутизации на узлах с EPP-приложениями.
     • После каждого переключения на резервную сеть на узлах с EPP-приложениями останавливайте и заново запускайте задачу интеграции с Kaspersky Industrial CyberSecurity for Networks с помощью следующих команд:

       sudo kics-control --stop-task 23

       sudo kics-control --start-task 23

     • В конфигурации каждого диода данных увеличьте значение MTU (англ. Maximum Transmission Unit – максимальная единица передачи) до 1514 байт.
     • В конфигурации каждого сетевого коммутатора, расположенного между узлами с EPP-приложениями и диодом данных, добавьте статические адреса узлов с серверами интеграции в таблицу MAC-адресов. MAC-адрес узла должен быть задан для исходящего порта на сетевом коммутаторе.

В результате выполнения сценария Kaspersky Industrial CyberSecurity for Networks начнет получать и обрабатывать данные от EPP-приложений.