Управление защитой Агента администрирования
Чтобы злоумышленники не могли вывести устройства из-под контроля вашего Сервера администрирования, мы настоятельно рекомендуем придерживаться описанных практик.
Использование пароля деинсталляции
В параметрах инсталляционного пакета Агента администрирования задайте пароль деинсталляции, которой будет запрашиваться при удалении Агента администрирования.
Функциональность доступна только для Агента администрирования на устройствах под управлением операционной системы семейства Windows.
Использование усиленной защиты Агента администрирования
В параметрах инсталляционного пакета Агента администрирования включите параметр Защитить службу Агента администрирования от неавторизованного удаления, остановки или изменения параметров работы. После того как Агент администрирования установлен на управляемом устройстве, компонент невозможно удалить или изменить без требуемых прав. Работа Агента администрирования не может быть остановлена.
Функциональность доступна только для Агента администрирования на устройствах под управлением операционной системы семейства Windows.
Отслеживание адреса Сервера администрирования, к которому подключается Агент администрирования
Для отслеживания несанкционированного переключения Агента администрирования на внешний Сервер администрирования используйте Kaspersky Event Log. Kaspersky Event Log – это раздел журнала событий, который хранится в операционной системе управляемых устройств. В Windows содержимое журнала можно посмотреть с помощью Event Viewer, в Linux – с помощью утилиты journalctl.
При подключении Агента администрирования к Серверу администрирования в Kaspersky Event Log регистрируются одна или две записи, содержащие следующую информацию:
- Адрес Сервера администрирования:
- Try to connect to Administration Server at <Administration Server address>.
- Connected to Administration Server at <Administration Server address>.
- Адрес Сервера администрирования и шлюза соединения при подключении через шлюз:
- Try to connect to Administration Server at <Administration Server address> via CG <connection gateway address>.
- Connected to Administration Server at <Administration Server address> via CG <connection gateway address>.
Событие с адресом Сервера администрирования регистрируется в следующих случаях:
- при каждом перезапуске службы Агента администрирования;
- при подключении Агента администрирования к другому Серверу администрирования;
- раз в сутки при штатной работе устройства, даже если служба Агента администрирования не перезапускалась и Агент администрирования не подключался к другому Серверу администрирования (в этом случае в журнале повторно опубликуется только первая запись).
Для удобства рекомендуем настроить выгрузку событий из Kaspersky Event Log в SIEM-систему и формировать алерт, если указанный в событии адрес Сервера администрирования не совпадает с текущим адресом вашего Сервера администрирования.
Чтобы настроить выгрузку событий из Kaspersky Event Log:
- В SIEM-системе настройте получение событий из Kaspersky Event Log со всех управляемых устройств.
- Создайте правило корреляции, срабатывающее при получении события о смене Сервера администрирования, к которому подключается Агент администрирования.
- Настройте создание алерта при срабатывании этого правила корреляции.
- При необходимости настройте отправку уведомлений об алерте на электронную почту или создайте в панели мониторинга виджет с информацией об алертах.
