Совместное развертывание Kaspersky Symphony XDR и Kaspersky Endpoint Security для Linux

В этом разделе содержатся инструкции по совместному развертыванию Kaspersky Symphony XDR и Kaspersky Endpoint Security для Linux 12.5 в кластере из шести устройств. Kaspersky Endpoint Security для Linux 12.5 устанавливается в стандартном режиме на тех же устройствах, где уже находятся компоненты OSMP. Вы можете управлять Kaspersky Endpoint Security для Linux с помощью командной строки, установка графического интерфейса не требуется. Агент администрирования должен быть установлен на все устройства.

Для оптимальной совместной работы Kaspersky Symphony XDR и Kaspersky Endpoint Security для Linux рекомендуется настроить исключения Kaspersky Endpoint Security.

Чтобы совместно развернуть Kaspersky Symphony XDR и Kaspersky Endpoint Security для Linux 12.5,

1. Подготовьте кластер, состоящий из шести устройств.

   Не устанавливайте Kaspersky Symphony XDR на этом этапе.

2. Скачайте дистрибутив Kaspersky Endpoint Security для Linux с сайта "Лаборатории Касперского".
3. На каждом устройстве кластера выполните следующие действия:
   1. Поместите скачанный файл (например, kesl_12.5.0-1569_amd64.deb) в директорию /root.
   2. Установите Kaspersky Endpoint Security, выполнив команду:

      apt install /root/kesl_12.5.0-1569_amd64.deb

   3. Выполните следующую команду, чтобы запустить мастер настройки:

      /opt/kaspersky/kesl/bin/kesl-setup.pl

   4. Укажите параметры установки с помощью мастера настройки:
      • Вы хотите использовать Kaspersky Endpoint Security в режиме Легкого агента? [n]: Enter
      • Вы хотите использовать Kaspersky Endpoint Security в режиме Агента Endpoint Detection and Response? [n]: Enter
      • Вы хотите использовать компонент EDR Expert Cloud? Enter
      • [ru_RU.UTF-8]: Enter
      • Чтобы отобразить Лицензионное соглашение и Политику конфиденциальности, нажмите на клавишу Enter: y Enter

        Для выхода из режима чтения соглашения нажмите q.

      • Я подтверждаю, что полностью прочитал(а), понимаю и принимаю условия настоящего Лицензионного соглашения [y/n]: y Enter
      • Я понимаю и соглашаюсь, что мои данные будут обрабатываться и пересылаться (в том числе в третьи страны), согласно Политике конфиденциальности. Я подтверждаю, что полностью прочитал(а) и понимаю Политику конфиденциальности [y/n]: y Enter
      • Я подтверждаю, что полностью прочитал(а), понимаю и принимаю условия Положения о Kaspersky Security Network (текст Заявления об использовании KSN приведен в файле /opt/kaspersky/kesl/doc/ksn_license.ru) [y/n]: y Enter
      • Укажите имя пользователя, которому необходимо предоставить роль администратора. Чтобы пропустить этот шаг, нажмите на клавишу Enter: Enter
      • Для перехвата системных событий приложение может использовать обновляемый модуль ядра или технологию fanotify. Вы хотите использовать обновляемый модуль ядра? [n]: Enter
      • Укажите источник обновлений. Возможные значения: KLServers|SCServer|<customsource> [KLServers]: Enter
      • Если прокси-сервер не используется, введите [n]: Enter
      • Вы хотите загрузить последние обновления баз приложения прямо сейчас? [y]: Enter
      • Вы хотите включить автоматическое обновление баз приложения? [y]: Enter
      • Вам нужно активировать приложение для его использования. Чтобы активировать приложение сейчас, введите путь к файлу ключа или код активации. Чтобы активировать приложение с помощью пробного ключа, нажмите на клавишу Enter: <ваш_код_активации> Enter
   5. Поочередно выполните следующие команды, чтобы создать резервную копию настроек Kaspersky Endpoint Security для Linux:

      kesl-control --get-app-settings > kesl_app_before.txt

      kesl-control --get-settings File_Threat_Protection > kesl_ftp_before.txt

      kesl-control --get-settings Behavior_Detection > kesl_bd_before.txt

      kesl-control --get-settings System_Integrity_Monitoring > kesl_fim_before.txt

      findmnt -o TARGET,SOURCE,FSTYPE > mounts_before.txt

   6. Поместите файлы с настройками и исключениями в директорию /root.
   7. Внесите исключения из файлов, поочередно выполнив следующие команды:
      • kesl-control --set-app-settings --file /root/kesl_app.txt

        Пример файла kesl_app.txt

        SambaConfigPath=/etc/samba/smb.conf

        NfsExportPath=/etc/exports

        TraceFolder=/var/log/kaspersky/kesl/

        TraceLevel=None

        TraceMaxFileCount=10

        TraceMaxFileSize=500

        BlockFilesGreaterMaxFileNamePath=16384

        DetectOtherObjects=No

        UseKSN=Extended

        CloudMode=Yes

        UseMDR=No

        UseEdrOptimum=No

        UseProxy=No

        ProxyServer=

        ProxyBypass=

        ProxyBypassEdr=No

        ProxyBypassSandbox=No

        ProxyBypassNdr=No

        MaxEventsNumber=500000

        LimitNumberOfScanFileTasks=5

        UseSyslog=Yes

        EventsStoragePath=/var/opt/kaspersky/kesl/private/storage/events.db

        FileBlockDuringScan=Yes

        NamespaceMonitoring=No

        PowerSaveMode=Yes

        UseOnDemandCPULimit=No

        OnDemandCPULimit=100

        BackupSizeLimit=1024

        BackupDaysToLive=30

        QuarantineSizeLimit=200

        QuarantineFillingNotification=90

        QuarantineBackupFolder=/var/opt/kaspersky/kesl/common/objects-backup/

        ShowPopUpNotifications=Yes

        InterceptorMode=UseFanotify

        InterceptorFallbackStrategy=FallbackToFanotify

        InterceptorApplyStrategy=RestartServiceManually

        SystemEventsTransmission=No

        ExcludedMountPoint.item_0000=/run/netns/**

        ExcludedMountPoint.item_0001=/run/k0s/containerd/io.containerd.grpc.v1.cri/sandboxes/**

        ExcludedMountPoint.item_0002=/run/k0s/containerd/io.containerd.runtime.v2.task/**

        ExcludedMountPoint.item_0003=/var/lib/k0s/kubelet/pods/**

        ExcludedMountPoint.item_0004=/var/lib/k0s/kubelet/plugins/**

        ExcludedMountPoint.item_0005=/opt/kaspersky/**

        ExcludedMountPoint.item_0006=/var/log/pods

        ExcludedMountPoint.item_0007=/var/tmp/alert-rules

        ExcludedMountPoint.item_0008=/var/tmp/scripts

        ExcludedMountPoint.item_0009=/*-metrics-data

        ExcludedMountPoint.item_0010=/var/run/nats

        ExcludedMountPoint.item_0011=/data

        ExcludedMountPoint.item_0012=/storage

        ExcludedMountPoint.item_0013=/var/loki

        ExcludedMountPoint.item_0014=/var/lib/ksc64

        ExcludedMountPoint.item_0015=/var/lib/grafana

        ExcludedMountPoint.item_0016=/tmp/apttmp

      • kesl-control --set-settings File_Threat_Protection --file /root/kesl_ftp.txt

        Пример файла kesl_ftp.txt

        ScanArchived=No

        ScanSfxArchived=No

        ScanMailBases=No

        ScanPlainMail=No

        TimeLimit=60

        SizeLimit=8

        ActionOnThreat=DisinfectDeleteIfNotPossible

        UseExcludeMasks=No

        UseExcludeThreats=No

        ReportCleanObjects=No

        ReportPackedObjects=No

        ReportUnprocessedObjects=No

        UseAnalyzer=Yes

        HeuristicLevel=Recommended

        UseIChecker=Yes

        ScanByAccessType=SmartCheck

        SkipPlainTextFiles=No

        SkipDatabaseJournals=No

        [ScanScope.item_0000]

        AreaDesc=All objects

        UseScanArea=Yes

        Path=/

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0000]

        AreaDesc=postgres

        UseScanArea=Yes

        Path=/var/lib/postgresql

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0001]

        AreaDesc=Host_Kuber

        UseScanArea=Yes

        Path=/var/lib/k0s/kubelet

        AreaMask.item_0000='*'

        [ExcludedFromScanScope.item_0003]

        AreaDesc=Host_TMP

        UseScanArea=Yes

        Path=/tmp

        AreaMask.item_0000='*'

        [ExcludedFromScanScope.item_0004]

        AreaDesc=KUMA

        UseScanArea=Yes

        Path=/opt/kaspersky/kuma

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0005]

        AreaDesc=CONT_TMP

        UseScanArea=Yes

        Path=/tmp/tmp**

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0006]

        AreaDesc=CONT_TMP

        UseScanArea=Yes

        Path=/tmp/resultworker**

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0007]

        AreaDesc=k0s_runtime

        UseScanArea=Yes

        Path=/run/k0s

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0008]

        AreaDesc=containerd_runtime

        UseScanArea=Yes

        Path=/run/containerd

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0009]

        AreaDesc=pod_logs

        UseScanArea=Yes

        Path=/var/log/pods

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0010]

        AreaDesc=container_logs

        UseScanArea=Yes

        Path=/var/log/containers

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0011]

        AreaDesc=calico_logs

        UseScanArea=Yes

        Path=/var/log/calico

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0012]

        AreaDesc=kaspersky_logs

        UseScanArea=Yes

        Path=/var/log/kaspersky

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0013]

        AreaDesc=kaspersky_data

        UseScanArea=Yes

        Path=/var/opt/kaspersky

        AreaMask.item_0000=*

        [ExcludedForProgram.item_0000]

        ProgramPath=/var/lib/k0s/bin/containerd

        ApplyToDescendants=Yes

        AreaDesc=k0s_containerd

        UseExcludedForProgram=Yes

        Path=/

        AreaMask.item_0000=*

        [ExcludedForProgram.item_0001]

        ProgramPath=/var/lib/k0s/bin/containerd-shim-runc-v2

        ApplyToDescendants=Yes

        AreaDesc=k0s_shim

        UseExcludedForProgram=Yes

        Path=/

        AreaMask.item_0000=*

        [ExcludedForProgram.item_0002]

        ProgramPath=/var/lib/k0s/bin/runc

        ApplyToDescendants=Yes

        AreaDesc=k0s_runc

        UseExcludedForProgram=Yes

        Path=/

        AreaMask.item_0000=*

        [ExcludedForProgram.item_0003]

        ProgramPath=/opt/kaspersky/kuma

        ApplyToDescendants=No

        AreaDesc=KUMA

        UseExcludedForProgram=Yes

        Path=/

        AreaMask.item_0000=*

      • kesl-control --set-settings Behavior_Detection --file /root/kesl_bd.txt

        Пример файла kesl_bd.txt

        UseTrustedPrograms=Yes

        TaskMode=Block

        UseAEP=No

        AEPMode=Block

        UseTelemetryMonopolyMode=Yes

        TelemetrySource=Default

        [TrustedPrograms.item_0000]

        ProgramPath=/var/lib/k0s/bin/containerd

        ApplyToDescendants=Yes

        UseTrustedProgram=Yes

        ProgramDesc=k0s_containerd

        UseTrustedProgramForDetects=Yes

        UseTrustedProgramForMDRAndEDR=No

        [TrustedPrograms.item_0001]

        ProgramPath=/var/lib/k0s/bin/runc

        ApplyToDescendants=Yes

        UseTrustedProgram=Yes

        ProgramDesc=k0s_runc

        UseTrustedProgramForDetects=Yes

        UseTrustedProgramForMDRAndEDR=No

        [TrustedPrograms.item_0002]

        ProgramPath=/var/lib/k0s/bin/containerd-shim-runc-v2

        ApplyToDescendants=Yes

        UseTrustedProgram=Yes

        ProgramDesc=k0s_shim

        UseTrustedProgramForDetects=Yes

        UseTrustedProgramForMDRAndEDR=No

        [TrustedPrograms.item_0003]

        ProgramPath=/usr/sbin/iptables-legacy

        ApplyToDescendants=No

        UseTrustedProgram=Yes

        ProgramDesc=calico_iptables

        UseTrustedProgramForDetects=Yes

        UseTrustedProgramForMDRAndEDR=No

        [TrustedPrograms.item_0004]

        ProgramPath=/usr/sbin/xtables-nft-multi

        ApplyToDescendants=No

        UseTrustedProgram=Yes

        ProgramDesc=calico_xtables

        UseTrustedProgramForDetects=Yes

        UseTrustedProgramForMDRAndEDR=No

        [TrustedPrograms.item_0005]

        ProgramPath=/usr/bin/calico-node

        ApplyToDescendants=Yes

        UseTrustedProgram=Yes

        ProgramDesc=calico_node

        UseTrustedProgramForDetects=Yes

        [TrustedPrograms.item_0006]

        ProgramPath=/opt/kaspersky/kuma

        ApplyToDescendants=Yes

        UseTrustedProgram=Yes

        ProgramDesc=

        UseTrustedProgramForDetects=Yes

        UseTrustedProgramForMDRAndEDR=No

      • kesl-control --set-settings System_Integrity_Monitoring --file /root/kesl_fim.txt

        Пример файла kesl_fim.txt

        UseExcludeMasks=No

        [ScanScope.item_0000]

        AreaDesc=Kaspersky internal objects

        UseScanArea=Yes

        Path=/opt/kaspersky/kesl/

        AreaMask.item_0000=*

        [ScanScope.item_0001]

        AreaDesc=etc

        UseScanArea=Yes

        Path=/etc

        AreaMask.item_0000=*

        [ScanScope.item_0002]

        AreaDesc=ksc

        UseScanArea=Yes

        Path=/opt/kaspersky/ksc64

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0000]

        AreaDesc=klnagent_flags

        UseScanArea=Yes

        Path=/etc/opt/kaspersky/klnagent

        AreaMask.item_0000=*

        [ExcludedFromScanScope.item_0001]

        AreaDesc=cni_config

        UseScanArea=Yes

        Path=/etc/cni/net.d

        AreaMask.item_0000=*

   8. Снимите состояние настроек Kaspersky Endpoint Security для Linux после применения исключений, поочередно выполнив следующие команды:

      kesl-control --get-app-settings > kesl_app_after.txt

      kesl-control --get-settings File_Threat_Protection > kesl_ftp_after.txt

      kesl-control --get-settings Behavior_Detection > kesl_bd_after.txt

      kesl-control --get-settings System_Integrity_Monitoring > kesl_fim_after.txt

      findmnt -o TARGET,SOURCE,FSTYPE > mounts_after.txt

   9. Остановите Kaspersky Endpoint Security для Linux, выполнив команду:

      systemctl stop kesl-control

4. На устройстве оператора Kaspersky Symphony XDR выполните следующую команду, чтобы установить Kaspersky Symphony XDR:

   ./xdr/kdt/bin/kdt apply -k xdr/<полный_путь_к_транспортному_архиву> -i xdr/param.yml --accept-eula

   Если при развертывании Kaspersky Symphony XDR с помощью KDT возникла ошибка, запустите развертывание заново, указав путь к конфигурационному файлу без флага -i.

5. Запустите Kaspersky Endpoint Security для Linux на всех устройствах кластера, выполнив команду:

   systemctl start kesl

6. В консоли Kaspersky Symphony XDR загрузите и создайте инсталляционных пакет.
7. В разделе Управление программным обеспечением → Скачать и создать инсталляционные пакеты выберите созданный инсталляционный пакет и нажмите Развернуть.
8. Выберите С использованием автономного инсталляционного пакета, и далее Скачайте автономный инсталляционный пакет.
9. На каждом устройстве кластера поместите полученный файл (например, klnagent64_16.3.0-1207_amd64.sh) в директорию /root, выдайте ему права на исполнение и запустите, выполнив команду:

   ./klnagent64_16.3.0-1207_amd64.sh

10. В Консоли Kaspersky Symphony XDR перейдите в раздел Управление активами → Активы (Устройства) → Администрирование и защита и убедитесь, что в таблице присутствует актив с названием устройства, на которое был установлен Агент администрирования.
11. Перейдите в раздел Управление активами → Активы (Устройства) → Обнаружение и реагирование, нажмите на кнопку с многоточием и выберите Импортировать → Импортировать активы KSC → Все, затем нажмите на кнопку Импортировать.
12. Перейдите в раздел Управление активами → Активы (Устройства) → Обнаружение и реагирование, нажмите на кнопку с многоточием и выберите Импортировать → Импортировать атрибуты активов KSC → Все, затем нажмите на кнопку Импортировать.

    Актив отобразится в разделе Управление активами → Активы (Устройства) → Обнаружение и реагирование

13. Перейдите в раздел Управление активами → Политики и нажмите на кнопку Добавить.
14. Выберите Kaspersky Endpoint Security for Linux 12.5, далее Стандартный режим.
15. Если вы хотите использовать Kaspersky Security Network, вам нужно принять Положение о KSN.
16. Настройте политику Kaspersky Endpoint Security.
    1. Перейдите на вкладку Параметры приложения и выполните следующие действия:
       1. Разблокируйте все параметры в следующих разделах:
          • Защита устройств от угроз → Защита от файловых угроз.
          • Защита устройств от угроз → Защита на основе анализа поведения → Анализ поведения.
          • Доверенная зона.
          • Общие настройки → Проверка контейнеров.
       2. В разделе Защита устройств от угроз → Защита на основе анализа поведения → Защита от эксплойтов разблокируйте параметр Защита от эксплойтов.
       3. В разделе Защита сетевых соединений и средств коммуникации → Защита от почтовых угроз установите переключатель в положение Защита от почтовых угроз ВЫКЛЮЧЕНА.
       4. В разделе Защита сетевых соединений и средств коммуникации → Защита от веб-угроз установите переключатель в положение Защита от веб-угроз ВЫКЛЮЧЕНА.
       5. В разделе Защита сетевых соединений и средств коммуникации → Защита от сетевых угроз установите переключатель в положение Защита от сетевых угроз ВЫКЛЮЧЕНА.
       6. В разделе Защита сетевых соединений и средств коммуникации → Сетевой экран установите переключатель в положение Сетевой экран выключен.
       7. В разделе Контроль безопасности → Контроль целостности системы установите переключатель в положение Контроль целостности системы ВЫКЛЮЧЕН.
       8. В разделе Общие настройки → Настройки обнаружения разблокируйте параметр Режим перехвата файловых операций.
       9. На вкладке Общие в параметре Состояние политики установите значение Активна и нажмите на кнопку Сохранить и закрыть.

    Для полного применения политики требуется около 20 минут.

17. Для настройки работоспособности EDR-телеметрии в политике перейдите на вкладку Параметры приложения → Встроенные агенты → Endpoint Detection and Response Expert (on-premises) и нажмите Настройки.
18. Включите использование Endpoint Detection and Response Expert (on-premises).
19. Выберите режим Endpoint Detection and Response Expert (версия 8.0 и выше).
20. В блоке параметров Подключение к серверам сбора телеметрии нажмите Добавить → Выбрать сервер и выберите единственный доступный адрес.
21. В блоке параметров Подключение к серверам реагирования нажмите Добавить → Выбрать сервер и выберите единственный доступный адрес.
22. Нажмите на кнопку Сохранить и закрыть.

Подробное описание порядка управления приложением Kaspersky Endpoint Security для Linux приведено в справке:

• Установка, удаление и обновление приложения.
• Управление приложением с помощью командной строки.
• Управление приложением с помощью Kaspersky Security Center.