Сетевая изоляция устройства
Kaspersky Industrial CyberSecurity Endpoint Detection and Response предоставляет возможность изолировать устройства от сети по требованию (вручную) или в качестве автоматического действия по реагированию на обнаруженные угрозы.
При автоматическом реагировании на устройствах будут выполнены соответствующие команды без подтверждения оператором. Несмотря на использование стандартных механизмов ОС, возможно возникновение непредвиденных проблем, вызванных неправильной или узкоспециализированной настройкой устройств, проблем совместимости или ошибок в программном обеспечении устройств и автоматизированных систем управления технологическим процессом (далее "АСУ ТП"), которые не проявляются при обычном использовании. Например, возможно появление следующих проблем: выключение устройства; потеря связи с устройством; потеря работоспособности устройства; другие сбои в работе решения и оборудования. Также возможно непреднамеренное влияние на работу АСУ ТП.
Администратор Kaspersky Industrial CyberSecurity Endpoint Detection and Response несет полную ответственность за влияние автоматических действий решения в отношении обнаруженных угроз на стабильность работы АСУ ТП и технологического процесса.
После включения сетевой изоляции приложение разрывает все активные соединения TCP/IP и блокирует все новые сетевые соединения TCP/IP на устройствах, кроме следующих соединений:
- соединения, указанные в исключениях из сетевой изоляции;
- соединения, инициированные службами Kaspersky Industrial CyberSecurity for Nodes или Kaspersky Industrial CyberSecurity for Linux Nodes;
- соединения, инициированные Агентом администрирования Kaspersky Security Center.
Управление сетевой изоляцией доступно из Web Console.
Способы работы с сетевой изоляцией
Доступны следующие способы работы с сетевой изоляцией:
- Автоматическое включение сетевой изоляции при обнаружении IOC.
- Включение сетевой изоляции для устройства вручную.
- Включение сетевой изоляции из карточки деталей алерта.
- Отключение сетевой изоляции для устройства вручную.
- Настройка интервала сетевой изоляции с помощью политики Kaspersky Industrial CyberSecurity.
- Настройка интервала сетевой изоляции для устройства.
Автоматический режим Сетевой изоляции
Вы можете настроить автоматическое включение Сетевой изоляции, в результате реагирования на обнаружение IOC. Для настройки автоматического режима Сетевой изоляции предназначена групповая политика.
Как настроить автоматическое включение Сетевой изоляции компьютера при обнаружении IOC
Вы можете настроить автоматическое выключение Сетевой изоляции по истечении заданного периода времени. По умолчанию приложение выключает Сетевую изоляцию через 8 часов с момента включения. Также вы можете выключить Сетевую изоляцию вручную (см. инструкцию ниже). После выключения Сетевой изоляции компьютер может работать в сети без ограничений.
Как задать период выключения Сетевой изоляции компьютера в автоматическом режиме
Ручной режим Сетевой изоляции
Вы можете включать или выключать Сетевую изоляцию вручную. Для настройки ручного режима Сетевой изоляции предназначены свойства компьютера в Консоли администрирования Kaspersky Security Center.
Вы можете включить Сетевую изоляцию следующими способами:
- В деталях алерта.
- С помощью локальных параметров приложения.
Как вручную включить Сетевую изоляцию компьютера
Вы можете настроить автоматическое выключение Сетевой изоляции по истечении заданного периода времени. По умолчанию приложение выключает Сетевую изоляцию через 8 часов с момента включения. После выключения Сетевой изоляции компьютер может работать в сети без ограничений.
Как задать период выключения Сетевой изоляции компьютера в ручном режиме
Как вручную выключить Сетевую изоляцию компьютера
Вы также можете выключить Сетевую изоляцию локально из командной строки.
Исключения из Сетевой изоляции
Вы можете задать исключения из Сетевой изоляции. Сетевые соединения, подпадающие под заданные правила, не будут заблокированы на компьютере после включения Сетевой изоляции.
Для настройки исключений из Сетевой изоляции в приложении доступен список стандартных сетевых профилей. По умолчанию в исключения входят сетевые профили, состоящие из правил, обеспечивающих бесперебойную работу устройств с ролями DNS/DHCP-сервер и DNS/DHCP-клиент. Также вы можете изменить параметры стандартных сетевых профилей или задать исключения вручную (см. инструкцию ниже).
Исключения, заданные в свойствах политики, применяются, только если Сетевая изоляция включена приложением автоматически, в результате реагирования на обнаружение угрозы. Исключения, заданные в свойствах компьютера, применяются, только если Сетевая изоляция включена вручную в свойствах компьютера в консоли Kaspersky Security Center или в деталях алерта.
Активная политика не блокирует применение исключений из Сетевой изоляции, заданных в свойствах компьютера, так как сценарии применения этих параметров разные.
Как добавить исключение из Сетевой изоляции в автоматическом режиме
Как добавить исключение из Сетевой изоляции в ручном режиме
Вы также можете просмотреть список исключений из Сетевой изоляции локально из командной строки. При этом компьютер должен быть изолирован.
Тег для изолированных устройств
Для всех изолированных устройств добавляется тег ISOLATED FROM NETWORK. Тег нельзя удалить, пока устройство изолировано.
Если вы добавите этот тег вручную, устройство не будет изолировано от сети.
Тег ISOLATED FROM NETWORK позволяет обнаружить изолированные устройства. Подробнее см. в разделе Просмотр списка изолированных устройств.
Информацию об управлении сетевой изоляцией в Kaspersky Endpoint Agent (при использовании Kaspersky Industrial CyberSecurity for Nodes версии от 3.1 до 4.0 включительно) и Kaspersky Industrial CyberSecurity for Linux Nodes см. в справке Kaspersky Endpoint Agent и справке Kaspersky Industrial CyberSecurity for Linux Nodes.
