Настройка приёма SPAN-трафика на Central Node/Sensor и Sensor

1.1. Обязательные условия

Перед настройкой приёма SPAN-трафика убедитесь, что:

- ✅ Установлен и настроен **Central NodeNode**

- ✅ Активирована одна из лицензий: KATA**KATA**, NDR**NDR** или **KATA/NDRNDR**

- ✅ Добавлен **дополнительный сетевой интерфейс** (кроме Management)

- ✅ Интерфейс находится в состоянии **«Не инициализирован»**

- ✅ Имеется доступ к веб-интерфейсу под учётной записью `admin`admin`

1.2. Лицензии и функциональность

🔎 Подробное описание функционала

🔹🔹KATA

- Обеспечивает защиту периметра IT-инфраструктуры

- Включает сетевую песочницу (Network Sandbox) — автоматическую проверку подозрительных объектов

- Реализует функции пограничного IDS

- Поддерживает анализ трафика от почтовых шлюзов (SMTP), прокси и NGFW (ICAP)

- Позволяет анализировать трафик на границе сети

🔹🔹NDR (Network Detection and Response)

- Предназначен для **обнаружения сложных атак во внутренней сети**

- Выполняет **глубокий анализ сетевого трафика (NTA)**:

- Построение карты сетевой активности

- Выявление скрытых C2-каналов

- Обнаружение **горизонтального перемещения** злоумышленника

- Ретроспективный анализ событий за весь период хранения данных

- **Записывает и хранит обрабатываемый SPAN-трафик**

- Использует правила IDS для детектирования аномалий во внутреннем трафике

- Интегрируется с EDR-агентами для корреляции событий

🔹KATA/NDR

- Объединяет возможности KATA и NDR

- Позволяет **одновременно защищать периметр и внутреннюю сеть**

- Центральный узел может принимать данные как от периметровых источников, так и от Sensor, анализирующих внутренний трафик

- Поддерживает единый интерфейс управления, корреляцию событий между периметром и внутренней сетью

> ⚠️ **ВАЖНО:
**

-> Без активации соответствующей лицензии функционал **приёма и обработки SPAN-трафика будет недоступен**.
-

> Для записи и хранения сырого трафика требуется **лицензия NDR или KATA/NDRNDR**.

> 💡 **Рекомендация:**
-

> Для полной защиты рекомендуется использовать комбинированную лицензию **KATA/NDR**, обеспечивающую покрытие как периметра, так и внутренней сети.

1.3. Сетевые требования

Данный пункт описывает процесс настройки Central Node для анализа копии трафика, поданного с внутреннего или внешнего сегмента сети.

> ⚠️ **ВАЖНО:**
-

> Для включения анализа сетевого трафика обязательно должен быть добавлен дополнительный интерфейс.

> ℹ️ **Примечание:
-**

> В версию KATA 7.1 добавлена возможность записи, хранения и выгрузки копий сырого сетевого трафика. В данном документе этот функционал описан не будет, только настройка приема SPAN. Детально по данному функционалу можно ознакомиться в [онлайн документации](https://support.kaspersky.com/help/KATA/7.1/ru-RU/228435.htm).

1.4.

---

<details>

<summary>ℹ️ Примечание: Ограничения производительности и масштабирование

</summary>

### 🔹 Минимальные и максимальные требования к объёму SPAN-трафика

> ℹ️ **Пояснение:
**

> - Значение **100 Мбит/с** указано как **рекомендуемый порог**, используемый при са́йзинге и проектировании.

> - Система **стабильно работает при объёмах ниже 100 Мбит/с**, например, в пилотных или тестовых средах.

> - Это значение **не является жёстким ограничением**, а служит ориентиром для расчёта ресурсов.

> - При объёмах ниже 100 Мбит/с **са́йзинг не изменяется** — аппаратные требования остаются теми же.

---

### 🔹 Масштабирование через распределённую архитектуру

Если объём SPAN-трафика превышает возможности одной инсталляции:

- На виртуальной платформе: максимум **4000 Мбит/с на одну Central Node с SensorSensor**

- На физической платформе: максимум **10 000 Мбит/с на одину Central Node c SensorSensor**

При необходимости обработать больший объём:

1. **Разделите трафик между несколькими независимыми инсталляциями
**

2. **Используйте физическую платформу
**

3. **Объедините инсталляции в иерархическую структуру (PCN + SCN)**

> 📘 Подробнее: [Распределённое решение и мультитенантность](https://support.kaspersky.com/help/KATA/7.1/ru-RU/247445.htm)

</details>

</details>

<details>

<summary>👉 Развернуть: Настройка точки мониторинга</summary>

### 2.1. Добавление дополнительного интерфейса

1. Войдите в веб-интерфейс Central Node под учётной записью `admin`admin`.

2. Перейдите: **Параметры → Сетевые параметры → Сетевые интерфейсы**.

3. Убедитесь, что добавлен дополнительный интерфейс и он находится в состоянии **«Не инициализирован»**.

> 📸 **Скриншот 1:**

> *Экран "Сетевые интерфейсы"*

---

### 2.2. Создание точки мониторинга

> 🔍 Цель: создать точку мониторинга для приёма SPAN-трафика.

#### Шаги:

1. Перейдите: **Серверы Sensor**.

2. Найдите интерфейс в состоянии **«Не инициализирован»**, предназначенный для приёма SPAN.

3. Нажмите **«Добавить точку мониторинга»** на этом интерфейсе.

> 📸 **Скриншот 2:**

> *Кнопка "Добавить точку мониторинга"*

4. В открывшемся окне укажите:

- **Имя точки мониторинга** (например, `SPAN_Internal`)

5. Нажмите **«Добавить точку мониторинга»**.

> 📌 **Примечание:**

> Точки мониторинга можно **включать и выключать** для временного прекращения наблюдения за сегментом сети.

</details>

---

### 2.3. Включение обработки трафика

1. После создания точки мониторинга откроется её экран.

2. Убедитесь, что в разделе **«Режим»** указано состояние **«Выключен»**.

3. Нажмите кнопку **«Включить»**.

> 📸 **Скриншот 3:**

> *Окно точки мониторинга с кнопкой "Включить"*

✅ Режим обработки SPAN-трафика перейдёт в **активное состояние**.

---

### 2.4. Проверка поступления трафика

1. Перейдите: **Мониторинг → Обработано**.

2. Выберите источник: **SPAN**.

3. Укажите тип отображения:

- **Текущая загрузка**

- **Выбранный период** (настраивается в правом верхнем углу)

> 📸 **Скриншот 4:**

> *График нагрузки по SPAN-трафику*

> ✅ Если SPAN-трафик подаётся на интерфейс, вы увидите график по нагрузке.

> 💡 **Примечание:**

> Данные по обнаруженным аномалиям и угрозам будут отображаться в веб-интерфейсе **только под учётной записью «Офицера безопасности»**.

</details>

<details>

<summary>👉 Развернуть: Настройка через консоль</summary>

### 3.1. Настройка объёма обрабатываемого трафика

> ⚠️ **Обязательно выполните эти настройки**, если на узле (CN или Sensor) получен SPAN.

#### Через SSH-консоль:

1. Подключитесь к Central Node **или Sensor** по SSH под учётной записью `admin`.

2. Запустите меню настроек:

```bash

kata-admin-menu

```

3. Перейдите: **Program settings → Configure storage**.

4. Установите значение, соответствующее вашему объёму SPAN-трафика, согласно таблице:

| Объём SPAN-трафика | File storage, MB | Hot ring, MB |

|--------------------|------------------|--------------|

| 10000 Мбит/с | 96000 | 10240 |

| 7000 Мбит/с | 72000 | 8192 |

| 4000 Мбит/с | 48000 | 4096 |

| 2000 Мбит/с | 24000 | 2048 |

| 1000 Мбит/с | 12000 | 1024 |

> 📌 **Примечание:**

> - Если объём данных меньше указанного в таблице — выбирайте минимальное значение.

> - Если объём находится между двумя значениями — выбирайте **максимальное**.

> 💡 **ВАЖНО:**

> Эти настройки **обязательны** для **Central Node** и **выделенного Sensor**, независимо от того, где был подан SPAN-трафик.

---

### 3.2. Выбор протоколов для анализа

> 🔍 Цель: настроить получение трафика только по нужным протоколам.

#### Через SSH-консоль:

1. Подключитесь к узлу (Central Node или Sensor) по SSH.

2. Введите:

```bash

kata-admin-menu

```

3. Перейдите: **Program settings → Configure traffic capture → Setup capture protocols**.

4. Выберите протоколы, которые нужно анализировать:

- По умолчанию включены все, кроме HTTP2.

- Чтобы включить/отключить протокол — нажмите **Enter** на строке.

5. Нажмите **Apply and Exit**.

> ✅ Сетевые протоколы для получения SPAN-трафика будут выбраны.

</details>