Интеграция с ICAP

Kaspersky NGFW поддерживает интеграцию с внешними системами по протоколу ICAP. Kaspersky NGFW выступает в роли ICAP-клиента, извлекает объекты из HTTP- и расшифрованного HTTPS-трафика и передает их на внешний ICAP-сервер. В качестве внешней системы может использоваться, например, DLP-система или песочница.

Для взаимодействия с ICAP-сервером поддерживаются следующие типы запросов:

• REQMOD – HTTP-запрос передается ICAP-серверу до отправки целевому веб-серверу.
• RESPMOD – HTTP-ответ передается ICAP-серверу до отправки клиенту.

По умолчанию режим мониторинга включен. В этом режиме Kaspersky NGFW игнорирует ответы ICAP-сервера. Если режим мониторинга выключен, Kaspersky NGFW анализирует ответы ICAP-сервера и на их основе принимает решение о блокировке запроса.

При интеграции с внешней песочницей проверка объекта выполняется асинхронно. При первой передаче объекта Kaspersky NGFW не ожидает вердикта песочницы и разрешает передачу объекта. Если песочница определяет объект как вредоносный, URL объекта помещается в кэш обнаружений на один час. В течение этого времени последующие обращения к этому URL блокируются.

Запись в кэше обнаружений связана с URL. Если тот же объект доступен по другому URL, существующая запись кэша на этот URL не распространяется.

Вы можете настроить отправку объектов с помощью <SMP> по протоколу ICAP, установив переключатель Отправлять объекты в ICAP в положение Вкл при создании профиля Антивируса.

Максимальный размер объектов, отправляемых на ICAP-сервер, определяется параметром Максимальный размер файла для сканирования (МБ) в профиле Антивируса.

VRF, используемый по умолчанию для взаимодействия со внешними системами Kaspersky NGFW – Management. Вы можете изменить VRF, используемый системными службами.

<PRODUCT_NAME поддерживает подключение к одному ICAP-серверу. Изменение таймеров взаимодействия с ICAP-сервером не поддерживается.

<PRODUCT_NAME может передавать по протоколу ICAP следующие типы объектов:

• текстовые файлы;
• документы;
• изображения;
• бинарные данные.

Настройка ICAP с помощью командной строки

Вы можете настроить отправку объектов, извлеченных из HTTP/HTTPS-трафика, во внешнюю систему по протоколу ICAP с помощью командной строки. Это позволяет передавать объекты в DLP-системы. Настройка отправки объектов по протоколу ICAP выполняется с помощью семейства команд security. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.

Чтобы включить отправку объектов по протоколу ICAP, выполните следующие команды:

1. Включите Антивирус:

   security antivirus> enable

   Любые изменения применяется после перезапуска Антивируса.

2. Включите подключение ICAP-клиента к серверу:

   security antivirus> icap-client> enable

3. Задайте IP-адрес ICAP-сервера:

   security antivirus> icap-client> server-ip <IP-адрес сервера>

4. При необходимости измените порт ICAP-сервера:

   security antivirus> icap-client> port <порт ICAP-сервера>

   По умолчанию используется порт 1344.

5. Задайте сервисы для запросов REQMOD и RESPMOD с помощью команд:

   security antivirus> icap-client> reqmod-service <имя сервиса>

   security antivirus> icap-client> respmod-service <имя сервиса>

   По умолчанию используется сервис echo.

6. При необходимости измените режим мониторинга.

   По умолчанию режим мониторинга включен. В этом режиме Kaspersky NGFW игнорирует ответы ICAP-сервера. Если режим мониторинга выключен, Kaspersky NGFW анализирует ответы ICAP-сервера и на их основе принимает решение о блокировке запроса.

   Чтобы включить режим мониторинга, выполните команду:

   security antivirus> icap-client> monitoring-mode

   Чтобы выключить режим мониторинга, выполните команду:

   security antivirus> icap-client> no monitoring-mode

7. При необходимости задайте максимальное количество одновременно поддерживаемых соединений с ICAP-сервером:

   security antivirus> icap-client> max-connections <максимальное число соединений>

   Допустимые значения – от 1 до 100. Значение по умолчанию – 10.

8. Перейдите в подменю профиля Антивируса, для которого требуется включить отправку объектов:

   security antivirus> profile <имя профиля Антивируса>

9. Включите отправку объектов на ICAP-сервер:

   security antivirus> profile=['имя профиля Антивируса']> use-icap-client

Отправка объектов на ICAP-сервер будет включена для выбранного профиля Антивируса.