Endpoint Detection and Response Expert (on-premises)
Kaspersky Industrial CyberSecurity for Nodes поддерживает работу с решением Kaspersky Endpoint Detection and Response Expert (on-premises). Kaspersky Endpoint Detection and Response Expert (on-premises) – решение для кибербезопасности бизнеса, которое включает в себя приложения "Лаборатории Касперского", с помощью которых организация получает возможность защититься от большинства киберрисков и покрыть основные сценарии распространения угроз. Компоненты EDR Expert (on-premises) развернуты на единой платформе управления Open Single Management Platform (OSMP). Платформа обеспечивает выполнение кросс-программных сценариев в рамках единого интерфейса и позволяет интегрировать приложения "Лаборатории Касперского" и приложения сторонних производителей в единую систему безопасности.
Один из центральных элементов решения – SIEM. SIEM позволяет отслеживать события, полученные от всех компонентов, и выполняет взаимную корреляцию этих событий с помощью готовых и пользовательских правил. На основании журналов и телеметрии, полученных от инфраструктуры организации, EDR Expert (on-premises) автоматически выявляет атаки и позволяет проводить расследование инцидентов с помощью единого графа расследования, который комбинирует все собираемые в EDR Expert (on-premises) события – как от приложений "Лаборатории Касперского", так и от сторонних ИБ-продуктов.
Для реагирования на сложные инциденты EDR Expert (on-premises) использует предустановленные и пользовательские сценарии. Также доступны действия по реагированию от приложений сторонних производителей и сценарии реагирования, в которых задействовано несколько приложений.
Средства анализа угроз
Kaspersky Endpoint Detection and Response использует следующие средства анализа угроз (Threat Intelligence):
- Интеграция с Kaspersky Threat Intelligence Portal, который содержит и отображает информацию о репутации файлов и веб-адресов.
- База угроз "Лаборатории Касперского" Kaspersky Threats.
- Инфраструктура облачных служб Kaspersky Security Network, предоставляющая доступ к оперативной базе знаний "Лаборатории Касперского" о репутации файлов, веб-ресурсов и программного обеспечения. Использование данных Kaspersky Security Network обеспечивает более высокую скорость реакции приложений "Лаборатории Касперского" на угрозы, повышает эффективность работы некоторых компонентов защиты, а также снижает вероятность ложных срабатываний.
Принцип работы решения
Приложение Kaspersky Industrial CyberSecurity for Nodes устанавливается на отдельных компьютерах под управлением операционных систем Windows, входящих в IT-инфраструктуру организации, и осуществляет постоянное наблюдение за процессами, открытыми сетевыми соединениями и изменяемыми файлами. Данные о событиях на компьютере, об угрозах, обнаруженных приложением, и данные о результатах обработки этих угроз отправляются на сервер EDR Expert (on-premises).
Настройка интеграции с EDR Expert (on-premises) выполняется в Kaspersky Security Center Web Console. Дальнейшее управление встроенным агентом или приложением в режиме Endpoint Agent осуществляется в единой платформе управления OSMP, включая запуск задач, управление объектами на карантине, просмотр отчетов и другие действия.
Конфигурации Kaspersky Industrial CyberSecurity for Nodes для работы с Kaspersky Anti Targeted Attack Platform
Для работы с EDR Expert (on-premises) предусмотрены следующие конфигурации:
- [KICS+встроенный агент]. В этой конфигурации Kaspersky Industrial CyberSecurity for Nodes является и приложением, которое обеспечивает безопасность компьютера, и приложением для работы с EDR Expert (on-premises). Встроенный агент поддерживает работу с EDR Expert (on-premises) начиная c версии 4.5.
- [стороннее EPP+KICS в режиме Endpoint Agent]. В этой конфигурации безопасность IT-инфраструктуры обеспечивает система защиты конечных точек (англ. Endpoint Protection Platform, EPP) от сторонних поставщиков. Работу с EDR Expert (on-premises) обеспечивает Kaspersky Industrial CyberSecurity for Nodes в режиме Endpoint Agent. Режим Endpoint Agent поддерживает работу с EDR Expert (on-premises) начиная с версии 4.5.
