Интеграция с Kaspersky Industrial CyberSecurity for Networks

Kaspersky Industrial CyberSecurity for Networks – приложение для защиты инфраструктуры промышленных предприятий от угроз информационной безопасности и для обеспечения непрерывности технологических процессов. Kaspersky Industrial CyberSecurity for Networks анализирует трафик промышленной сети для выявления отклонений в значениях технологических параметров, обнаружения признаков сетевых атак, контроля работы и текущего состояния устройств в сети. Приложение входит в состав решения Kaspersky Industrial CyberSecurity. Полную информацию о приложении Kaspersky Industrial CyberSecurity for Networks см. в Справке Kaspersky Industrial CyberSecurity for Networks.

Приложение Kaspersky Industrial CyberSecurity for Nodes поддерживает интеграцию с Kaspersky Industrial CyberSecurity for Networks. Данные о событиях на устройстве, полученные Kaspersky Industrial CyberSecurity for Nodes, отправляются на сервер Kaspersky Industrial CyberSecurity for Networks. Интеграция между приложениями расширяет возможности Kaspersky Industrial CyberSecurity for Networks по расследованию и реагированию на угрозы в сетях промышленных предприятий.

Конфигурации Kaspersky Industrial CyberSecurity for Nodes для интеграции с Kaspersky Industrial CyberSecurity for Networks

Предусмотрены следующие конфигурации:

• [KICS+встроенный агент]. В этой конфигурации Kaspersky Industrial CyberSecurity for Nodes является и приложением, которое обеспечивает безопасность компьютера, и приложением для работы с Kaspersky Industrial CyberSecurity for Networks. Встроенный агент доступен в Kaspersky Industrial CyberSecurity for Nodes начиная c версии 4.5.
• [стороннее EPP+KICS в режиме Endpoint Agent]. В этой конфигурации безопасность компьютера обеспечивает система защиты конечных точек (англ. Endpoint Protection Platform, EPP) от сторонних поставщиков. Работу с Kaspersky Industrial CyberSecurity for Networks обеспечивает Kaspersky Industrial CyberSecurity for Nodes в режиме Endpoint Agent. Режим Endpoint Agent доступен в Kaspersky Industrial CyberSecurity for Nodes начиная с версии 4.5.

Для интеграции встроенного агента Kaspersky Industrial CyberSecurity for Nodes с Kaspersky Industrial CyberSecurity for Networks должны быть выполнены следующие условия:

• Развернуто приложение Kaspersky Industrial CyberSecurity for Networks.
• Развернуто приложение Kaspersky Security Center версии 14.2 или выше.
• Включены и работают следующие компоненты защиты: Защита от эксплойтов, Откат вредоносных действий, Защита от шифрования.

Для интеграции конфигурации Endpoint Agent с Kaspersky Industrial CyberSecurity for Networks должны быть развернуты:

• Kaspersky Industrial CyberSecurity for Networks.
• Kaspersky Security Center версии 14.2 или выше.

Поддержка предыдущих версий Kaspersky Industrial CyberSecurity for Nodes

Приложение Kaspersky Industrial CyberSecurity for Nodes версии 4.5 поддерживает работу с Kaspersky Industrial CyberSecurity for Networks с помощью встроенного агента или режима Endpoint Agent, устанавливать Kaspersky Endpoint Agent не требуется.

Если вы используете Kaspersky Industrial CyberSecurity for Nodes версии ниже 4.5 для взаимодействия с Kaspersky Industrial CyberSecurity for Networks, вам нужно установить Kaspersky Endpoint Agent отдельно.

Настройка интеграции с Kaspersky Industrial CyberSecurity for Networks

Интеграция с Kaspersky Industrial CyberSecurity for Networks состоит из следующих этапов:

1. Установка компонента Интеграция с Kaspersky Industrial CyberSecurity for Networks

   В параметрах инсталляционного пакета или мастере установки приложения, а также с помощью изменения состава компонентов приложения через Панель управления Windows, на этапе выбора компонентов приложения для установки выберите:

   • Полная функциональность → Endpoint Agent → Интеграция с KICS for Networks для встроенного агента;
   • Endpoint Agent → Интеграция с KICS for Networks для режима Endpoint Agent.

   Для завершения изменения состава компонентов приложения необходимо перезагрузить компьютер.

2. Активация компонента Интеграция с Kaspersky Industrial CyberSecurity for Networks

   Убедитесь, что функциональность Интеграция с Kaspersky Industrial CyberSecurity for Networks включена в лицензию.

3. Включение и настройка компонента Интеграция с Kaspersky Industrial CyberSecurity for Networks

   Kaspersky Industrial CyberSecurity for Nodes поддерживает протоколы TCP и UDP для отправки телеметрии на сервер KICS for Networks. В зависимости от параметров сервера интеграции KICS for Networks, к которому будет выполняться подключение, вам нужно выбрать соответствующий протокол и указать настройки подключения. Подробнее о параметрах серверов интеграции см. в справке KICS for Networks.

   Также приложение поддерживает интеграцию с KICS for Networks в сети с установленным диодом данных. Диод данных – это однонаправленный шлюз для передачи данных между защищенными сегментами сети и внешними устройствами. Приложение может отправлять телеметрию через диод данных по следующим протоколам:

   • MQTT;
   • UDP.

   Подробнее о передаче данных телеметрии в KICS for Networks через диоды данных см. в справке KICS for Networks.

   Kaspersky Industrial CyberSecurity for Nodes поддерживает программные MQTT-серверы (например, Mosquitto) в качестве MQTT-брокера. Вы можете использовать приложение как в режиме подписчика, так и в режиме издателя. Приложение в режиме MQTT-издателя отправляет телеметрию через диод данных в адрес MQTT-брокера.

   Телеметрия, отправленная на сервер MQTT-брокера, может содержать конфиденциальные данные. Для контроля доступа к данным вам нужно самостоятельно обеспечить защиту телеметрии.

   Как настроить интеграцию с Kaspersky Industrial CyberSecurity for Networks в Консоли администрирования Kaspersky Security Center

   1. В дереве Консоли администрирования Kaspersky Security Center выберите папку Политики.
   2. Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
   3. Выберите раздел Серверы сбора телеметрии.
   4. В блоке Интеграция с KICS for Networks нажмите на кнопку Настройка.

      Откроется окно Интеграция с KICS for Networks.

   5. Установите флажок Интеграция с KICS for Networks.
   6. На вкладке Общие выберите режим отправки телеметрии:
      • Отправлять телеметрию на сервер KICS for Networks по протоколу TCP. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию напрямую на сервер Kaspersky Industrial CyberSecurity for Networks по протоколу TCP.
      • Отправлять телеметрию на диод данных в качестве MQTT-издателя. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию на сервер MQTT-брокера, встроенный в программный диод данных.
      • Отправлять телеметрию на сервер KICS for Networks по протоколу UDP. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию на сервер Kaspersky Industrial CyberSecurity for Networks через диод данных по протоколу UDP.
   7. Для режима Отправлять телеметрию на сервер KICS for Networks по протоколу TCP вам нужно настроить следующие параметры:
      • Адрес и Порт. IP-адрес сервера Kaspersky Industrial CyberSecurity for Networks, в адрес которого отправляется телеметрия, и порт для подключения. Диапазон возможных значений порта: 1–65535. Значение порта по умолчанию – 8081.
      • Интервал между запросами (мин.). Интервал между запросами на сервер Kaspersky Industrial CyberSecurity for Networks в минутах. При работе Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-издателя данный параметр задает интервал между запросами к MQTT-брокеру в случае потери соединения с брокером. Диапазон доступных значений: 1–60 мин. Значение по умолчанию – 1 мин.
      • Настройки подключения к серверам. Настройте следующие параметры:
        • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечению времени ожидания Kaspersky Industrial CyberSecurity for Nodes повторно подключается к серверу. Диапазон доступных значений: 1–60 000 сек. Значение по умолчанию – 10 сек.
        • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Kaspersky Industrial CyberSecurity for Networks. Вы можете получить TLS-сертификат с помощью интерфейса управления Kaspersky Industrial CyberSecurity for Networks.
        • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks. Для использования двусторонней аутентификации вам нужно в параметрах Kaspersky Industrial CyberSecurity for Networks включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров Kaspersky Industrial CyberSecurity for Networks вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

          Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

   8. Для режима Отправлять телеметрию на диод данных в качестве MQTT-издателя вам нужно настроить следующие параметры:
      1. Нажмите на кнопку Настройки подключения к серверам.
      2. Введите учетные данные для аутентификации на сервере MQTT-брокера.
      3. Введите IP-адрес и порт сервера MQTT-брокера.
   9. Для режима Отправлять телеметрию на сервер KICS for Networks по протоколу UDP настройте следующие параметры:
      1. Введите IP-адрес и порт сервера.
      2. Для включения шифрования данных нажмите на кнопку Настройки подключения к серверам и установите флажок Использовать шифрование при передаче данных по протоколу UDP.

         Вам необходимо самостоятельно определить необходимость шифрования передаваемых данных.

      3. Введите пароль от ключа шифрования и загрузите файл ключа шифрования с расширением .PEM.
   10. Перейдите на вкладку Передача данных.
   11. Настройте параметры передачи данных:
       • Максимальная задержка отправки событий (сек.). Приложение выполняет синхронизацию с сервером для передачи событий по истечении указанного времени. Диапазон доступных значений: 1–3600 сек. Значение по умолчанию – 30 сек.

         При использовании Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика не рекомендуется настраивать получение данных телеметрии более чем от 250 устройств с Kaspersky Industrial CyberSecurity for Nodes, настроенном в качестве MQTT-издателя, в случае, если в настройках MQTT-издателей задано минимальное значение параметра Максимальная задержка отправки событий (сек.) – 1 сек. Если значение параметра равно 30 сек. и более, не рекомендуется настраивать получение данных более чем от 1000 MQTT-издателей.

       • Включить регулирование количества запросов. Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Industrial CyberSecurity for Nodes прекращает отправлять события.
       • Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Industrial CyberSecurity for Nodes восстанавливает передачу событий по истечении часа. Диапазон доступных значений: 10–65 535. По умолчанию установлено значение 3000 событий в час. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.
       • Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Industrial CyberSecurity for Nodes восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится. Диапазон доступных значений: 5–100%. Значение по умолчанию – 15%.

       Если необходимо, настройте неизбирательный режим сбора телеметрии. По умолчанию Kaspersky Industrial CyberSecurity for Nodes собирает сетевой трафик, поступающий на сетевые интерфейсы компьютера и предназначенный компьютеру, на котором установлено приложение. В неизбирательном режиме приложение собирает сетевой трафик для сетевых интерфейсов компьютера с установленным приложением со всех доступных подсетей. На основе собранного сетевого трафика приложение формирует расширенную телеметрию.

       Не все сетевые адаптеры поддерживают неизбирательный режим сбора телеметрии (англ. Promiscuous mode). На этих сетевых адаптерах сбор расширенной телеметрии не работает.

       1. На вкладке Сбор телеметрии установите флажок Включить неизбирательный режим для приложения и сетевых интерфейсов узла, если хотите, чтобы для всех сетевых интерфейсов компьютера с установленным приложением был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       2. Установите флажок Использовать в неизбирательном режиме только сетевые интерфейсы узла, настроенные на указанные подсети, если хотите, чтобы для сетевых интерфейсов компьютера с установленным приложением, настроенных на подсети из списка ниже, был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       3. Если необходимо, сформируйте список подсетей.
   12. Сохраните внесенные изменения.

   Как настроить интеграцию с Kaspersky Industrial CyberSecurity for Networks в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Выберите раздел Серверы сбора телеметрии.
   5. В блоке Интеграция с KICS for Networks нажмите на кнопку Настроить.

      Откроется окно Интеграция с KICS for Networks.

   6. Установите флажок Включить Интеграцию с KICS for Networks.
   7. В блоке Настройка подключения выберите режим отправки телеметрии:
      • Отправлять телеметрию на сервер KICS for Networks по протоколу TCP. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию напрямую на сервер Kaspersky Industrial CyberSecurity for Networks по протоколу TCP.
      • Отправлять телеметрию на диод данных в качестве MQTT-издателя. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию на сервер MQTT-брокера, встроенный в программный диод данных.
      • Отправлять телеметрию на сервер KICS for Networks по протоколу UDP. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию на сервер Kaspersky Industrial CyberSecurity for Networks через диод данных по протоколу UDP.
   8. Для режима Отправлять телеметрию на сервер KICS for Networks по протоколу TCP вам нужно настроить следующие параметры:
      • Адрес и Порт. IP-адрес сервера Kaspersky Industrial CyberSecurity for Networks, в адрес которого отправляется телеметрия, и порт для подключения. Диапазон возможных значений порта: 1–65535. Значение порта по умолчанию – 8081.
      • Интервал между запросами (мин.). Интервал между запросами на сервер Kaspersky Industrial CyberSecurity for Networks в минутах. При работе Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-издателя данный параметр задает интервал между запросами к MQTT-брокеру в случае потери соединения с брокером. Диапазон доступных значений: 1–60 мин. Значение по умолчанию – 1 мин.
      • Настройки подключения к серверам. Настройте следующие параметры:
        • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечению времени ожидания Kaspersky Industrial CyberSecurity for Nodes повторно подключается к серверу. Диапазон доступных значений: 1–60 000 сек. Значение по умолчанию – 10 сек.
        • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Kaspersky Industrial CyberSecurity for Networks. Вы можете получить TLS-сертификат с помощью интерфейса управления Kaspersky Industrial CyberSecurity for Networks.
        • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks. Для использования двусторонней аутентификации вам нужно в параметрах Kaspersky Industrial CyberSecurity for Networks включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров Kaspersky Industrial CyberSecurity for Networks вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

          Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

   9. Для режима Отправлять телеметрию на диод данных в качестве MQTT-издателя вам нужно настроить следующие параметры:
      1. Введите учетные данные для аутентификации на сервере MQTT-брокера.
      2. Введите IP-адрес и порт сервера MQTT-брокера.
   10. Для режима Отправлять телеметрию на сервер KICS for Networks по протоколу UDP настройте следующие параметры:
       1. Введите IP-адрес и порт сервера.
       2. Для включения шифрования данных нажмите на кнопку Настройки подключения к серверам и установите флажок Использовать шифрование при передаче данных по протоколу UDP.

          Вам необходимо самостоятельно определить необходимость шифрования передаваемых данных.

       3. Введите пароль от ключа шифрования и загрузите файл ключа шифрования с расширением .PEM.
   11. Настройте параметры передачи данных:
       • Максимальная задержка отправки событий (сек.). Приложение выполняет синхронизацию с сервером для передачи событий по истечении указанного времени. Диапазон доступных значений: 1–3600 сек. Значение по умолчанию – 30 сек.

         При использовании Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика не рекомендуется настраивать получение данных телеметрии более чем от 250 устройств с Kaspersky Industrial CyberSecurity for Nodes, настроенном в качестве MQTT-издателя, в случае, если в настройках MQTT-издателей задано минимальное значение параметра Максимальная задержка отправки событий (сек.) – 1 сек. Если значение параметра равно 30 сек. и более, не рекомендуется настраивать получение данных более чем от 1000 MQTT-издателей.

       • Включить регулирование количества запросов. Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Industrial CyberSecurity for Nodes прекращает отправлять события.
       • Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Industrial CyberSecurity for Nodes восстанавливает передачу событий по истечении часа. Диапазон доступных значений: 10–65 535. По умолчанию установлено значение 3000 событий в час. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.
       • Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Industrial CyberSecurity for Nodes восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится. Диапазон доступных значений: 5–100%. Значение по умолчанию – 15%.

       Если необходимо, настройте неизбирательный режим сбора телеметрии. По умолчанию Kaspersky Industrial CyberSecurity for Nodes собирает сетевой трафик, поступающий на сетевые интерфейсы компьютера и предназначенный компьютеру, на котором установлено приложение. В неизбирательном режиме приложение собирает сетевой трафик для сетевых интерфейсов компьютера с установленным приложением со всех доступных подсетей. На основе собранного сетевого трафика приложение формирует расширенную телеметрию.

       Не все сетевые адаптеры поддерживают неизбирательный режим сбора телеметрии (англ. Promiscuous mode). На этих сетевых адаптерах сбор расширенной телеметрии не работает.

       1. Установите флажок Включить неизбирательный режим для приложения и сетевых интерфейсов узла, если хотите, чтобы для всех сетевых интерфейсов компьютера с установленным приложением был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       2. Установите флажок Использовать в неизбирательном режиме только сетевые интерфейсы узла, настроенные на указанные подсети, если хотите, чтобы для сетевых интерфейсов компьютера с установленным приложением, настроенных на подсети из списка ниже, был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       3. Если необходимо, сформируйте список подсетей.
   12. Сохраните внесенные изменения.

   Как настроить интеграцию с Kaspersky Industrial CyberSecurity for Networks в Консоли приложения

   1. В дереве Консоли приложения выберите раздел Серверы сбора телеметрии → Интеграция с KICS for Networks.
   2. В панели результатов перейдите по ссылке Свойства.

      Откроется окно Свойства: Интеграция с KICS for Networks на вкладке Общие.

   3. Установите флажок Интеграция с KICS for Networks.
   4. На вкладке Общие выберите режим отправки телеметрии:
      • Отправлять телеметрию на сервер KICS for Networks по протоколу TCP. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию напрямую на сервер Kaspersky Industrial CyberSecurity for Networks по протоколу TCP.
      • Отправлять телеметрию на диод данных в качестве MQTT-издателя. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию на сервер MQTT-брокера, встроенный в программный диод данных.
      • Отправлять телеметрию на сервер KICS for Networks по протоколу UDP. Kaspersky Industrial CyberSecurity for Nodes отправляет телеметрию на сервер Kaspersky Industrial CyberSecurity for Networks через диод данных по протоколу UDP.
   5. Для режима Отправлять телеметрию на сервер KICS for Networks по протоколу TCP вам нужно настроить следующие параметры:
      • Адрес и Порт. IP-адрес сервера Kaspersky Industrial CyberSecurity for Networks, в адрес которого отправляется телеметрия, и порт для подключения. Диапазон возможных значений порта: 1–65535. Значение порта по умолчанию – 8081.
      • Интервал между запросами (мин.). Интервал между запросами на сервер Kaspersky Industrial CyberSecurity for Networks в минутах. При работе Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-издателя данный параметр задает интервал между запросами к MQTT-брокеру в случае потери соединения с брокером. Диапазон доступных значений: 1–60 мин. Значение по умолчанию – 1 мин.
      • Настройки подключения к серверам. Настройте следующие параметры:
        • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечению времени ожидания Kaspersky Industrial CyberSecurity for Nodes повторно подключается к серверу. Диапазон доступных значений: 1–60 000 сек. Значение по умолчанию – 10 сек.
        • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Kaspersky Industrial CyberSecurity for Networks. Вы можете получить TLS-сертификат с помощью интерфейса управления Kaspersky Industrial CyberSecurity for Networks.
        • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks. Для использования двусторонней аутентификации вам нужно в параметрах Kaspersky Industrial CyberSecurity for Networks включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров Kaspersky Industrial CyberSecurity for Networks вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

          Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

   6. Для режима Отправлять телеметрию на диод данных в качестве MQTT-издателя вам нужно настроить следующие параметры:
      1. Нажмите на кнопку Настройки подключения к серверам.
      2. Введите учетные данные для аутентификации на сервере MQTT-брокера.
      3. Введите IP-адрес и порт сервера MQTT-брокера.
   7. Для режима Отправлять телеметрию на сервер KICS for Networks по протоколу UDP настройте следующие параметры:
      1. Введите IP-адрес и порт сервера.
      2. Для включения шифрования данных нажмите на кнопку Настройки подключения к серверам и установите флажок Использовать шифрование при передаче данных по протоколу UDP.

         Вам необходимо самостоятельно определить необходимость шифрования передаваемых данных.

      3. Введите пароль от ключа шифрования и загрузите файл ключа шифрования с расширением .PEM.
   8. Перейдите на вкладку Передача данных.
   9. Настройте параметры передачи данных:
      • Максимальная задержка отправки событий (сек.). Приложение выполняет синхронизацию с сервером для передачи событий по истечении указанного времени. Диапазон доступных значений: 1–3600 сек. Значение по умолчанию – 30 сек.

        При использовании Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика не рекомендуется настраивать получение данных телеметрии более чем от 250 устройств с Kaspersky Industrial CyberSecurity for Nodes, настроенном в качестве MQTT-издателя, в случае, если в настройках MQTT-издателей задано минимальное значение параметра Максимальная задержка отправки событий (сек.) – 1 сек. Если значение параметра равно 30 сек. и более, не рекомендуется настраивать получение данных более чем от 1000 MQTT-издателей.

      • Включить регулирование количества запросов. Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Industrial CyberSecurity for Nodes прекращает отправлять события.
      • Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Industrial CyberSecurity for Nodes восстанавливает передачу событий по истечении часа. Диапазон доступных значений: 10–65 535. По умолчанию установлено значение 3000 событий в час. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.
      • Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Industrial CyberSecurity for Nodes восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится. Диапазон доступных значений: 5–100%. Значение по умолчанию – 15%.

      Если необходимо, настройте неизбирательный режим сбора телеметрии. По умолчанию Kaspersky Industrial CyberSecurity for Nodes собирает сетевой трафик, поступающий на сетевые интерфейсы компьютера и предназначенный компьютеру, на котором установлено приложение. В неизбирательном режиме приложение собирает сетевой трафик для сетевых интерфейсов компьютера с установленным приложением со всех доступных подсетей. На основе собранного сетевого трафика приложение формирует расширенную телеметрию.

      Не все сетевые адаптеры поддерживают неизбирательный режим сбора телеметрии (англ. Promiscuous mode). На этих сетевых адаптерах сбор расширенной телеметрии не работает.

      1. На вкладке Сбор телеметрии установите флажок Включить неизбирательный режим для приложения и сетевых интерфейсов узла, если хотите, чтобы для всех сетевых интерфейсов компьютера с установленным приложением был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
      2. Установите флажок Использовать в неизбирательном режиме только сетевые интерфейсы узла, настроенные на указанные подсети, если хотите, чтобы для сетевых интерфейсов компьютера с установленным приложением, настроенных на подсети из списка ниже, был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
      3. Если необходимо, сформируйте список подсетей.
   10. Сохраните внесенные изменения.

   Также вы можете настроить Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика. В таком режиме приложение получает телеметрию от MQTT-брокера через диод данных для дальнейшей отправки телеметрии в KICS for Networks.

   Как настроить приложение в качестве MQTT-подписчика в Консоли администрирования Kaspersky Security Center

   1. В дереве Консоли администрирования Kaspersky Security Center разверните узел Управляемые устройства и выберите группу, к которой принадлежит компьютер.
   2. В панели результатов перейдите на вкладку Устройства.
   3. Откройте окно свойств компьютера двойным щелчком мыши.
   4. Перейдите в раздел Приложения.
   5. В списке установленных на компьютере приложений "Лаборатории Касперского" выберите Kaspersky Industrial CyberSecurity for Nodes и откройте свойства приложения двойным щелчком мыши.
   6. Выберите раздел Серверы сбора телеметрии.
   7. В блоке Интеграция с KICS for Networks нажмите на кнопку Настройка.

      Откроется окно Интеграция с KICS for Networks.

   8. Установите флажок Интеграция с KICS for Networks.
   9. На вкладке Общие выберите Отправлять телеметрию на сервер KICS for Networks по протоколу TCP.
   10. Настройте следующие параметры:
       • Адрес и Порт. IP-адрес сервера Kaspersky Industrial CyberSecurity for Networks, в адрес которого отправляется телеметрия, и порт для подключения.
       • Интервал между запросами (мин.). Интервал между запросами на сервер Kaspersky Industrial CyberSecurity for Networks в минутах. При работе Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-издателя данный параметр задает интервал между запросами к MQTT-брокеру в случае потери соединения с брокером. Диапазон доступных значений: 1–60 мин. Значение по умолчанию – 1 мин.
       • Настройки подключения к серверам. Настройте следующие параметры:
         • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечении времени ожидания Kaspersky Industrial CyberSecurity for Nodes повторно подключается к серверу. Диапазон доступных значений: 1–60 000 сек. Значение по умолчанию – 10 сек.
         • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Kaspersky Industrial CyberSecurity for Networks. Вы можете получить TLS-сертификат с помощью интерфейса управления Kaspersky Industrial CyberSecurity for Networks.
         • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks. Для использования двусторонней аутентификации вам нужно в параметрах Kaspersky Industrial CyberSecurity for Networks включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров Kaspersky Industrial CyberSecurity for Networks вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

           Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

       • Установите флажок Получать телеметрию с диода данных в качестве MQTT-подписчика.
       • Введите учетные данные для аутентификации на сервере MQTT-брокера.
       • Введите IP-адрес и порт сервера MQTT-брокера.
   11. Перейдите на вкладку Передача данных.
   12. Настройте параметры передачи данных:
       • Максимальная задержка отправки событий (сек.). Приложение выполняет синхронизацию с сервером для передачи событий по истечении указанного времени. Диапазон доступных значений: 1–3600 сек. Значение по умолчанию – 30 сек.

         При использовании Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика не рекомендуется настраивать получение данных телеметрии более чем от 250 устройств с Kaspersky Industrial CyberSecurity for Nodes, настроенном в качестве MQTT-издателя, в случае, если в настройках MQTT-издателей задано минимальное значение параметра Максимальная задержка отправки событий (сек.) – 1 сек. Если значение параметра равно 30 сек. и более, не рекомендуется настраивать получение данных более чем от 1000 MQTT-издателей.

       • Включить регулирование количества запросов. Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Industrial CyberSecurity for Nodes прекращает отправлять события.
       • Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Industrial CyberSecurity for Nodes восстанавливает передачу событий по истечении часа. Диапазон доступных значений: 10–65 535. По умолчанию установлено значение 3000 событий в час. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.
       • Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Industrial CyberSecurity for Nodes восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится. Диапазон доступных значений: 5–100%. Значение по умолчанию – 15%.
   13. Если необходимо, настройте неизбирательный режим сбора телеметрии.

       По умолчанию Kaspersky Industrial CyberSecurity for Nodes собирает сетевой трафик, поступающий на сетевые интерфейсы компьютера и предназначенный компьютеру, на котором установлено приложение. В неизбирательном режиме приложение собирает сетевой трафик для сетевых интерфейсов компьютера с установленным приложением со всех доступных подсетей. На основе собранного сетевого трафика приложение формирует расширенную телеметрию.

       Не все сетевые адаптеры поддерживают неизбирательный режим сбора телеметрии (англ. Promiscuous mode). На этих сетевых адаптерах сбор расширенной телеметрии не работает.

       1. На вкладке Сбор телеметрии установите флажок Включить неизбирательный режим для приложения и сетевых интерфейсов узла, если хотите, чтобы для всех сетевых интерфейсов компьютера с установленным приложением был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       2. Установите флажок Использовать в неизбирательном режиме только сетевые интерфейсы узла, настроенные на указанные подсети, если хотите, чтобы для сетевых интерфейсов компьютера с установленным приложением, настроенных на подсети из списка ниже, был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       3. Если необходимо, сформируйте список подсетей.
   14. Сохраните внесенные изменения.

   Как настроить приложение в качестве MQTT-подписчика в Web Console

   1. В главном окне Web Console выберите Управление активами → Активы (Устройства).
   2. Нажмите на нужное имя компьютера.
   3. В открывшемся окне свойств компьютера выберите вкладку Приложения.
   4. Нажмите на Kaspersky Industrial CyberSecurity for Nodes (5.0.0).
   5. Выберите вкладку Параметры приложения.
   6. Выберите раздел Серверы сбора телеметрии.
   7. В блоке Интеграция с KICS for Networks нажмите на кнопку Настроить.

      Откроется окно Интеграция с KICS for Networks.

   8. Установите флажок Интеграция с KICS for Networks.
   9. На вкладке Общие выберите Отправлять телеметрию на сервер KICS for Networks по протоколу TCP.
   10. Настройте следующие параметры:
       • Адрес и Порт. IP-адрес сервера Kaspersky Industrial CyberSecurity for Networks, в адрес которого отправляется телеметрия, и порт для подключения.
       • Интервал между запросами (мин.). Интервал между запросами на сервер Kaspersky Industrial CyberSecurity for Networks в минутах. При работе Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-издателя данный параметр задает интервал между запросами к MQTT-брокеру в случае потери соединения с брокером. Диапазон доступных значений: 1–60 мин. Значение по умолчанию – 1 мин.
       • Настройки подключения к серверам. Настройте следующие параметры:
         • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечении времени ожидания Kaspersky Industrial CyberSecurity for Nodes повторно подключается к серверу. Диапазон доступных значений: 1–60 000 сек. Значение по умолчанию – 10 сек.
         • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Kaspersky Industrial CyberSecurity for Networks. Вы можете получить TLS-сертификат с помощью интерфейса управления Kaspersky Industrial CyberSecurity for Networks.
         • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks. Для использования двусторонней аутентификации вам нужно в параметрах Kaspersky Industrial CyberSecurity for Networks включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров Kaspersky Industrial CyberSecurity for Networks вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

           Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

       • Установите флажок Получать телеметрию с диода данных в качестве MQTT-подписчика.
       • Введите учетные данные для аутентификации на сервере MQTT-брокера.
       • Введите IP-адрес и порт сервера MQTT-брокера.
   11. Настройте параметры передачи данных:
       • Максимальная задержка отправки событий (сек.). Приложение выполняет синхронизацию с сервером для передачи событий по истечении указанного времени. Диапазон доступных значений: 1–3600 сек. Значение по умолчанию – 30 сек.

         При использовании Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика не рекомендуется настраивать получение данных телеметрии более чем от 250 устройств с Kaspersky Industrial CyberSecurity for Nodes, настроенном в качестве MQTT-издателя, в случае, если в настройках MQTT-издателей задано минимальное значение параметра Максимальная задержка отправки событий (сек.) – 1 сек. Если значение параметра равно 30 сек. и более, не рекомендуется настраивать получение данных более чем от 1000 MQTT-издателей.

       • Включить регулирование количества запросов. Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Industrial CyberSecurity for Nodes прекращает отправлять события.
       • Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Industrial CyberSecurity for Nodes восстанавливает передачу событий по истечении часа. Диапазон доступных значений: 10–65 535. По умолчанию установлено значение 3000 событий в час. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.
       • Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Industrial CyberSecurity for Nodes восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится. Диапазон доступных значений: 5–100%. Значение по умолчанию – 15%.
   12. Если необходимо, настройте неизбирательный режим сбора телеметрии.

       По умолчанию Kaspersky Industrial CyberSecurity for Nodes собирает сетевой трафик, поступающий на сетевые интерфейсы компьютера и предназначенный компьютеру, на котором установлено приложение. В неизбирательном режиме приложение собирает сетевой трафик для сетевых интерфейсов компьютера с установленным приложением со всех доступных подсетей. На основе собранного сетевого трафика приложение формирует расширенную телеметрию.

       Не все сетевые адаптеры поддерживают неизбирательный режим сбора телеметрии (англ. Promiscuous mode). На этих сетевых адаптерах сбор расширенной телеметрии не работает.

       1. Установите флажок Включить неизбирательный режим для приложения и сетевых интерфейсов узла, если хотите, чтобы для всех сетевых интерфейсов компьютера с установленным приложением был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       2. Установите флажок Использовать в неизбирательном режиме только сетевые интерфейсы узла, настроенные на указанные подсети, если хотите, чтобы для сетевых интерфейсов компьютера с установленным приложением, настроенных на подсети из списка ниже, был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
       3. Если необходимо, сформируйте список подсетей.
   13. Сохраните внесенные изменения.

   Как настроить приложение в качестве MQTT-подписчика в Консоли приложения

   1. В дереве Консоли приложения выберите раздел Серверы сбора телеметрии → Интеграция с KICS for Networks.
   2. В панели результатов перейдите по ссылке Свойства.

      Откроется окно Свойства: Интеграция с KICS for Networks на вкладке Общие.

   3. Установите флажок Интеграция с KICS for Networks.
   4. На вкладке Общие выберите Отправлять телеметрию на сервер KICS for Networks по протоколу TCP.
   5. Настройте следующие параметры:
      • Адрес и Порт. IP-адрес сервера Kaspersky Industrial CyberSecurity for Networks, в адрес которого отправляется телеметрия, и порт для подключения.
      • Интервал между запросами (мин.). Интервал между запросами на сервер Kaspersky Industrial CyberSecurity for Networks в минутах. При работе Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-издателя данный параметр задает интервал между запросами к MQTT-брокеру в случае потери соединения с брокером. Диапазон доступных значений: 1–60 мин. Значение по умолчанию – 1 мин.
      • Настройки подключения к серверам. Настройте следующие параметры:
        • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечении времени ожидания Kaspersky Industrial CyberSecurity for Nodes повторно подключается к серверу. Диапазон доступных значений: 1–60 000 сек. Значение по умолчанию – 10 сек.
        • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером Kaspersky Industrial CyberSecurity for Networks. Вы можете получить TLS-сертификат с помощью интерфейса управления Kaspersky Industrial CyberSecurity for Networks.
        • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks. Для использования двусторонней аутентификации вам нужно в параметрах Kaspersky Industrial CyberSecurity for Networks включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров Kaspersky Industrial CyberSecurity for Networks вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

          Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

      • Установите флажок Получать телеметрию с диода данных в качестве MQTT-подписчика.
      • Введите учетные данные для аутентификации на сервере MQTT-брокера.
      • Введите IP-адрес и порт сервера MQTT-брокера.
   6. Перейдите на вкладку Передача данных.
   7. Настройте параметры передачи данных:
      • Максимальная задержка отправки событий (сек.). Приложение выполняет синхронизацию с сервером для передачи событий по истечении указанного времени. Диапазон доступных значений: 1–3600 сек. Значение по умолчанию – 30 сек.

        При использовании Kaspersky Industrial CyberSecurity for Nodes в качестве MQTT-подписчика не рекомендуется настраивать получение данных телеметрии более чем от 250 устройств с Kaspersky Industrial CyberSecurity for Nodes, настроенном в качестве MQTT-издателя, в случае, если в настройках MQTT-издателей задано минимальное значение параметра Максимальная задержка отправки событий (сек.) – 1 сек. Если значение параметра равно 30 сек. и более, не рекомендуется настраивать получение данных более чем от 1000 MQTT-издателей.

      • Включить регулирование количества запросов. Функция позволяет оптимизировать нагрузку на сервер. Если флажок установлен, приложение будет ограничивать передачу событий. Если количество событий превышает установленные ограничения, Kaspersky Industrial CyberSecurity for Nodes прекращает отправлять события.
      • Максимальное количество событий в час. Приложение анализирует поток данных телеметрии и ограничивает передачу событий, если поток передаваемых событий превышает установленное ограничение в час. Kaspersky Industrial CyberSecurity for Nodes восстанавливает передачу событий по истечении часа. Диапазон доступных значений: 10–65 535. По умолчанию установлено значение 3000 событий в час. Если приложение установлено на сервер, поток данных телеметрии выше. Для серверов рекомендуется увеличить значение до 60 тыс. событий в час.
      • Процент превышения лимита событий. Приложение сортирует события по типу (например, события изменений в реестре) и ограничивает передачу событий, если соотношение однотипных событий к общему количеству событий превышает установленное ограничение в процентах. Kaspersky Industrial CyberSecurity for Nodes восстанавливает отправку событий, когда соотношение других событий к общему количеству событий увеличится. Диапазон доступных значений: 5–100%. Значение по умолчанию – 15%.
   8. Если необходимо, настройте неизбирательный режим сбора телеметрии.

      По умолчанию Kaspersky Industrial CyberSecurity for Nodes собирает сетевой трафик, поступающий на сетевые интерфейсы компьютера и предназначенный компьютеру, на котором установлено приложение. В неизбирательном режиме приложение собирает сетевой трафик для сетевых интерфейсов компьютера с установленным приложением со всех доступных подсетей. На основе собранного сетевого трафика приложение формирует расширенную телеметрию.

      Не все сетевые адаптеры поддерживают неизбирательный режим сбора телеметрии (англ. Promiscuous mode). На этих сетевых адаптерах сбор расширенной телеметрии не работает.

      1. На вкладке Сбор телеметрии установите флажок Включить неизбирательный режим для приложения и сетевых интерфейсов узла, если хотите, чтобы для всех сетевых интерфейсов компьютера с установленным приложением был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
      2. Установите флажок Использовать в неизбирательном режиме только сетевые интерфейсы узла, настроенные на указанные подсети, если хотите, чтобы для сетевых интерфейсов компьютера с установленным приложением, настроенных на подсети из списка ниже, был включен неизбирательный режим получения сетевого трафика со всех доступных подсетей.
      3. Если необходимо, сформируйте список подсетей.
   9. Сохраните внесенные изменения.

   При необходимости вы можете настроить интеграцию с Kaspersky Industrial CyberSecurity for Networks через интерфейс командной строки.