Настройка интеграции с EDR Expert (on-premises)

Компоненты Endpoint Detection and Response (Industrial CyberSecurity) и Endpoint Detection and Response Expert (on-premises) несовместимы между собой.

Для работы Endpoint Detection and Response Expert (on-premises) должны быть выполнены следующие условия:

• Установлена единая платформа управления OSMP (Open Single Management Platform).
• Приложение активировано и функциональность входит в лицензию.
• Компонент Endpoint Detection and Response Expert (on-premises) включен.
• Компоненты приложения, которые обеспечивают работу EDR Expert (on-premises), включены и работают. Работу EDR Expert (on-premises) обеспечивают следующие компоненты:
  • Постоянная защита файлов.
  • Защита от эксплойтов.
  • Защита от шифрования.
  • AMSI-защита.
  • Kaspersky Security Network.

Интеграция с EDR Expert (on-premises) состоит из следующих этапов:

1. Установка компонента Endpoint Detection and Response Expert (on-premises)

   В параметрах инсталляционного пакета или мастере установки приложения, а также с помощью изменения состава компонентов приложения через Панель управления Windows, на этапе выбора компонентов приложения для установки выберите:

   • Полная функциональность → Endpoint Agent → Endpoint Detection and Response Expert (on-premises) для встроенного агента;
   • Endpoint Agent → Endpoint Detection and Response Expert (on-premises) для конфигурации Endpoint Agent.

   Для завершения изменения состава компонентов приложения необходимо перезагрузить компьютер.

2. Активация Endpoint Detection and Response Expert (on-premises)

   Вам нужно приобрести отдельную лицензию на использование EDR Expert (on-premises) (Kaspersky Endpoint Detection and Response Expert (on-premises) Add-on).

   Лицензирование отдельной функциональности Endpoint Detection and Response Expert (on-premises) не отличается от лицензирования Kaspersky Industrial CyberSecurity for Nodes. Функциональность будет доступна после добавления отдельного ключа Kaspersky Endpoint Detection and Response (on-premises). В результате на компьютере будет добавлено два ключа: ключ для Kaspersky Industrial CyberSecurity for Nodes и ключ для Endpoint Detection and Response Expert (on-premises).

   Убедитесь, что функциональность Endpoint Detection and Response Expert (on-premises) включена в лицензию.

3. Подключение к серверу сбора телеметрии и серверу реагирования

   Для работы Kaspersky Endpoint Detection and Response Expert (on-premises) необходимо установить доверенное соединение между Kaspersky Industrial CyberSecurity for Nodes и двумя серверами:

   • Сервер сбора телеметрии – сервер, входящий в состав SIEM, который предназначен для сбора, нормализации, корреляции, анализа и хранения данных о событиях на компьютере.
   • Сервер реагирования – сервер, который предназначен для приема и проверки данных, исследования поведения объектов, а также публикации результатов исследования.

   Для настройки доверенного соединения вам нужен TLS-сертификат. Вы можете получить TLS-сертификат в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premises)). Далее вам нужно добавить TLS-сертификат в Kaspersky Industrial CyberSecurity for Nodes (см. инструкцию ниже).

   По умолчанию Kaspersky Industrial CyberSecurity for Nodes проверяет только TLS-сертификат серверов. Чтобы сделать соединение более безопасным, вы можете включить дополнительную проверку компьютера на сервере (двусторонняя аутентификация). Для включения такой проверки вам нужно включить двустороннюю аутентификацию в параметрах сервера и Kaspersky Industrial CyberSecurity for Nodes. Также для двусторонней аутентификации вам нужен криптоконтейнер. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом. Вы можете получить криптоконтейнер в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premises)).

   Как подключить компьютер с Kaspersky Industrial CyberSecurity for Nodes к EDR Expert (on-premises) в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Выберите раздел Серверы сбора телеметрии.
   5. В блоке Endpoint Detection and Response Expert (on-premises) нажмите на кнопку Настроить.

      Откроется окно Endpoint Detection and Response Expert (on-premises).

   6. Установите флажок Включить Endpoint Detection and Response Expert (on-premises).
   7. Выберите режим Endpoint Detection and Response Expert (версия 8.0 и выше).
   8. Настройте параметры подключения к серверам сбора телеметрии:
      1. В блоке Подключение к серверам сбора телеметрии перейдите по ссылке Настройки подключения.
      2. В открывшемся окне настройте параметры подключения к серверам сбора телеметрии:
         • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечению времени ожидания Kaspersky Industrial CyberSecurity for Nodes пытается подключиться к другому серверу.
         • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером. Вы можете получить TLS-сертификат в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premises)).
         • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и сервером. Для использования двусторонней аутентификации вам нужно в параметрах сервера включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. Вы можете получить криптоконтейнер в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premises)). После настройки параметров сервера вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

           Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

      3. Нажмите на кнопку ОК.
      4. Добавьте серверы сбора телеметрии. Для этого укажите адрес сервера (IPv4, IPv6), а также порт подключения к серверу.

         Вы можете добавить несколько адресов сервера сбора телеметрии. Kaspersky Industrial CyberSecurity for Nodes пытается установить соединение с сервером через первый IP-адрес. Если установить соединение не удалось, Kaspersky Industrial CyberSecurity for Nodes пытается установить соединение через второй IP-адрес и так далее по списку.

      5. Если требуется, настройте параметры отправки телеметрии.
   9. Настройте подключение к серверам реагирования:
      1. В блоке Подключение к серверам реагирования настройте параметр Отправлять запрос на синхронизацию на сервер каждые (мин.). Период отправки запросов на синхронизацию с сервером. Во время синхронизации Kaspersky Industrial CyberSecurity for Nodes получает задачи по реагированию на угрозы и отправляет результаты выполнения задач.
      2. Перейдите по ссылке Настройки подключения.
      3. В открывшемся окне настройте параметры подключения к серверам реагирования:
         • Время ожидания (сек.). Максимальное время ожидания ответа от сервера. По истечению времени ожидания Kaspersky Industrial CyberSecurity for Nodes пытается подключиться к другому серверу.
         • TLS-сертификат сервера. TLS-сертификат для установки доверенного соединения с сервером. Вы можете получить TLS-сертификат в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premises)).
         • Использовать двустороннюю аутентификацию. Двусторонняя аутентификация при установлении безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и сервером. Для использования двусторонней аутентификации вам нужно в параметрах сервера включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. Вы можете получить криптоконтейнер в единой платформе управления OSMP (см. инструкцию в справке Kaspersky Endpoint Detection and Response Expert (on-premises)). После настройки параметров сервера вам нужно в параметрах Kaspersky Endpoint Security также включить функцию двусторонней аутентификации и загрузить защищенный паролем криптоконтейнер.

           Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.

      4. Нажмите на кнопку ОК.
      5. Добавьте серверы реагирования. Для этого укажите адрес сервера (IPv4, IPv6), а также порт подключения к серверу.

         Вы можете добавить несколько адресов сервера сбора телеметрии. Kaspersky Industrial CyberSecurity for Nodes пытается установить соединение с сервером через первый IP-адрес. Если установить соединение не удалось, Kaspersky Industrial CyberSecurity for Nodes пытается установить соединение через второй IP-адрес и так далее по списку.

   10. Сохраните внесенные изменения. Для применения политики на компьютерах, закройте замки .

   В результате компьютер будет добавлен единой платформе управления OSMP.