Настройка интеграции с EDR Expert (on-premise)
Компоненты Endpoint Detection and Response (Industrial CyberSecurity) и Endpoint Detection and Response Expert (on-premise) несовместимы между собой.
Для работы Endpoint Detection and Response Expert (on-premise) должны быть выполнены следующие условия:
- Установлена единая платформа управления OSMP (Open Single Management Platform).
- Приложение активировано и функциональность входит в лицензию.
- Компонент Endpoint Detection and Response Expert (on-premise) включен.
- Компоненты приложения, которые обеспечивают работу EDR Expert (on-premise), включены и работают. Работу EDR Expert (on-premise) обеспечивают следующие компоненты:
Интеграция с EDR Expert (on-premise) состоит из следующих этапов:
- Установка компонента Endpoint Detection and Response Expert (on-premise)
В параметрах инсталляционного пакета или мастере установки приложения, а также с помощью изменения состава компонентов приложения через Панель управления Windows, на этапе выбора компонентов приложения для установки выберите:
- Полная функциональность → Endpoint Agent → Endpoint Detection and Response Expert (on-premise) для встроенного агента;
- Endpoint Agent → Endpoint Detection and Response Expert (on-premise) для конфигурации Endpoint Agent.
Для завершения изменения состава компонентов приложения необходимо перезагрузить компьютер.
- Активация Endpoint Detection and Response Expert (on-premise)
Вам нужно приобрести отдельную лицензию на использование EDR Expert (on-premise) (Kaspersky Endpoint Detection and Response Expert (on-premise) Add-on).
Лицензирование отдельной функциональности Endpoint Detection and Response Expert (on-premise) не отличается от лицензирования Kaspersky Industrial CyberSecurity for Nodes. Функциональность будет доступна после добавления отдельного ключа Kaspersky Endpoint Detection and Response (on-premise). В результате на компьютере будет добавлено два ключа: ключ для Kaspersky Industrial CyberSecurity for Nodes и ключ для Endpoint Detection and Response Expert (on-premise).
- Подключение к серверу сбора телеметрии и серверу реагирования
Для работы Kaspersky Endpoint Detection and Response Expert (on-premise) необходимо установить доверенное соединение между Kaspersky Endpoint Security и двумя серверами:
- Сервер сбора телеметрии – сервер, входящий в состав SIEM, который предназначен для сбора, нормализации, корреляции, анализа и хранения данных о событиях на компьютере.
- Сервер реагирования – сервер, который предназначен для приема и проверки данных, исследования поведения объектов, а также публикации результатов исследования.
Для настройки доверенного соединения вам нужен TLS-сертификат. Вы можете получить TLS-сертификат в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premise)). Далее вам нужно добавить TLS-сертификат в Kaspersky Industrial CyberSecurity for Nodes (см. инструкцию ниже).
По умолчанию Kaspersky Industrial CyberSecurity for Nodes проверяет только TLS-сертификат серверов. Чтобы сделать соединение более безопасным, вы можете включить дополнительную проверку компьютера на сервере (двусторонняя аутентификация). Для включения такой проверки вам нужно включить двустороннюю аутентификацию в параметрах сервера и Kaspersky Industrial CyberSecurity for Nodes. Также для двусторонней аутентификации вам нужен криптоконтейнер. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом. Вы можете получить криптоконтейнер в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premise)).
В результате компьютер будет добавлен единой платформе управления OSMP.
.