Настройка интеграции с приложением Kaspersky Anti Targeted Attack Platform

Настройка интеграции с приложением Kaspersky Anti Targeted Attack Platform (далее также "KATA") доступна только при наличии у пользователя права Изменять параметры.

Kaspersky Anti Targeted Attack Platform – решение, предназначенное для защиты IT-инфраструктуры организации и своевременного обнаружения таких угроз, как, например, атаки "нулевого дня", целевые атаки и сложные целевые атаки advanced persistent threats.

Приложение KATA позволяет интегрироваться с другими приложениями "Лаборатории Касперского", чтобы получать и обрабатывать проверяемые ими объекты. В качестве такого приложения может выступать KWTS.

Администратору KWTS требуется выполнить настройку интеграции KATA на Управляющем узле. После этого параметры интеграции отправляются на все Подчиненные узлы, входящие в кластер. Далее каждый узел кластера взаимодействует с сервером KATA самостоятельно, независимо от других узлов.

При интеграции с приложением KATA доступно два режима: отправка файлов на сервер KATA и получение объектов, обнаруженных приложением KATA.

Отправка файлов на сервер KATA

KWTS отправляет на сервер KATA объекты, которые не были заблокированы правилами обработки трафика или политикой защиты по умолчанию. При этом приложение не ожидает от сервера KATA результатов проверки этих объектов.

При обработке каждого файла приложение проверяет необходимость отправки его на сервер KATA. По результатам в журнал событий приложения записывается статус проверки. Возможны следующие статусы:

• Неприменимо. Нет файла для проверки – HTTP-сообщение не содержит файлов для проверки.
• Отключено согласно параметрам программы – режим отправки файлов на сервер KATA отключен в параметрах приложения.
• Пропущено согласно действию правила – HTTP-сообщение было заблокировано приложением (применены действия Заблокировать или Перенаправить) или пропущено по правилу обхода без проверки.
• Отклонено фильтром KATA – файл не удовлетворяет условиям отправки на сервер KATA.
• Запланировано – отправка файла запланирована.
• Завершено с ошибкой – запланировать отправку файла не удалось.

Для файлов со статусами Запланировано и Завершено с ошибкой в журнал также записывается подробная информация о результате отправки файла.

Все события, связанные с отправкой файлов на сервер KATA, записываются в журнал операционной системы по протоколу Syslog.

Получение объектов, обнаруженных приложением KATA

KWTS получает от сервера KATA информацию об объектах, обнаруженных приложением KATA с помощью технологий Sandbox и YARA. Подробнее об этих технологиях см. Справку Kaspersky Anti Targeted Attack Platform.

Информация о полученных объектах сохраняется в кеш KATA. Каждый узел кластера хранит свой кеш KATA и получает объекты, обнаруженные приложением KATA, независимо от других узлов. По истечении времени хранения информация об объектах удаляется из кеша. Эти объекты больше не учитываются при применении правил защиты и политики защиты по умолчанию.

В правилах защиты и в политике защиты по умолчанию вы можете настроить действия над объектами, информация о которых была получена с сервера KATA. При обнаружении в трафике пользователя таких объектов KWTS будет обрабатывать их согласно заданным в правилах параметрам. Это позволяет блокировать опасные объекты до того, как информация о них была добавлена в репутационные базы KSN, а также в локальные базы приложения.

Результат проверки каждого объекта записывается в журнал событий. Возможны следующие статусы проверки:

• Не обнаружено – соответствий в кеше KATA не обнаружено.
• Обнаружено – обнаружены угрозы.
• Не проверен – проверка не выполнялась согласно параметрам приложения.
• Ошибка проверки – проверка завершилась с ошибкой.

Все события, связанные с проверкой трафика на соответствие объектам KATA, записываются в журнал операционной системы по протоколу Syslog.