# Инструкция по ICAP-интеграции KATA

## Введение

Данное руководство содержит информацию об интеграции платформы KATA со сторонними решениями по протоколу ICAP, такими как Proxy server или NGFW. Также поддерживается возможность интеграции с другими решениями, поддерживающими передачу данных по ICAP. Описывает процесс настройки и проверки интеграции, встречающиеся проблемы в PoC, эксплуатации и шаги по их устранению.

---

## Краткое описание решения

****Kaspersky Anti Targeted Attack Platform****<span style="white-space: pre-wrap;"> — решение для защиты IT-инфраструктуры организации и своевременного обнаружения атак «нулевого дня», целевых атак и APT. Решение разработано для корпоративных пользователей.</span>

Решение может получать и обрабатывать данные через подключение к прокси-серверу по ICAP, включая HTTP-, FTP- и HTTPS-трафик (с SSL-подменой на прокси).

- Подключаться к прокси-серверу по протоколу ICAP, получать и обрабатывать данные HTTP- и FTP-трафика, а также HTTPS-трафика, если администратор настроил подмену SSL-сертификата на прокси-сервере.

![](https://antiapt-community.ru/attachments/1)

<span style="white-space: pre-wrap;">В роли ICAP-сервера может выступать </span>****Central Node****<span style="white-space: pre-wrap;"> с функцией Sensor или отдельный компонент </span>****Sensor****.

> ****Важно:****<span style="white-space: pre-wrap;"> KATA не обеспечивает шифрование ICAP-трафика и аутентификацию клиентов по умолчанию. Необходимо самостоятельно настроить защищенное соединение между прокси-сервером и KATA.</span>

ICAP-клиентом обычно является прокси, который отправляет данные на ICAP-сервер. Решение о пересылке данных и режим работы принимается на клиенте.

Добавлена ICAP-интеграция с обратной связью в двух режимах:

- ****Стандартная проверка****<span style="white-space: pre-wrap;"> — объект доступен Sandbox, при обнаружении угрозы блокируется.</span>
- ****Усиленная проверка****<span style="white-space: pre-wrap;"> — объект недоступен Sandbox, при угрозе блокируется.</span>

> ****Примечание:****<span style="white-space: pre-wrap;"> При включении приема ICAP-трафика в режиме «Отключено» работает режим </span>****respmod****<span style="white-space: pre-wrap;">: вердикт не возвращается, но результат доступен </span>****в интерфейсе KATA****<span style="white-space: pre-wrap;"> для роли </span>****«Офицер безопасности»****.

> Для оптимизации нагрузки приложение может временно переключиться из режима усиленной проверки ICAP-трафика в режим стандартной проверки. В этом случае файлы, полученные из ICAP-трафика и отправленные на проверку в Sandbox, остаются доступными для скачивания. При обнаружении угрозы в проверенных файлах приложение создает алерт. Проверка файлов модулями Anti-Malware Engine и YARA продолжает работать в штатном режиме.

Если вы используете режим распределенного решения и мультитенантности, выполняйте действия включения приема ICAP трафика в веб-интерфейсе того сервера PCN или SCN, параметры которого вы хотите настроить.

<span style="white-space: pre-wrap;">На многих прокси серверах или системах поддерживающих передачу данных по ICAP, достаточно будет активировать функциональность ICAP-клиент и указать адрес ICAP-сервер. Детальнее по настройке и работе решения можно ознакомится </span>[в онлайн документации](https://support.kaspersky.com/help/KATA/7.1/ru-RU/255471.htm).

---

## Включение функционала

### Включение приема ICAP на Central Node

1. Перейдите в веб-интерфейс CN по адресу:  
    ```
    https://<IP_CN>:8443
    ```
2. <span style="white-space: pre-wrap;">Введите учетные данные учетной записи с ролью Администратор (по умолчанию это учетная запись </span>****admin****<span style="white-space: pre-wrap;"> автоматически созданная при установки системы).</span>  
    ![LogIn](https://antiapt-community.ru/attachments/2)
3. <span style="white-space: pre-wrap;">Далее переходим в раздел </span>****“Серверы Sensor”****<span style="white-space: pre-wrap;">. В данном разделе </span>****встроенный Sensor в компонент Central Node****<span style="white-space: pre-wrap;"> называется </span>****«Embedded Sensor»****<span style="white-space: pre-wrap;">. Нажимаем </span>****«Изменить»****.  
    ![](https://antiapt-community.ru/attachments/3)
4. <span style="white-space: pre-wrap;">В открывшемся меню перейдите в раздел </span>****“ICAP-интеграция”****<span style="white-space: pre-wrap;">. В данном разделе переведите в состояние </span>****“включено”****<span style="white-space: pre-wrap;"> для включения функционала обработки “ICAP-трафика”.</span>  
    ![](https://antiapt-community.ru/attachments/4)
5. <span style="white-space: pre-wrap;">Далее в зависимости от типа проверки и принципа работы данной интеграции, выставьте режим </span>****“проверки в реальном времени”(описан выше)****<span style="white-space: pre-wrap;"> в зависимости от требований и типов проверки, которыми, хотели бы проверять передаваемые данные от </span>****“ICAP-клиента” (PROXY/NGFW)****.  
    ![](https://antiapt-community.ru/attachments/5)

****Скопируйте ICAP-адреса:****

```
icap://<IP-Сенсора>:1344/av/respmod
icap://<IP-Сенсора>:1344/av/reqmod
```

![](https://antiapt-community.ru/attachments/6)

> ****Важно****<span style="white-space: pre-wrap;"> - Для настройки на ICAP-клиенте используйте указанные адреса из поля Host.</span>

---

### Настройка параметров ICAP

<span style="white-space: pre-wrap;">В разделе </span>****Параметры → Проверка трафика ICAP****<span style="white-space: pre-wrap;"> можно:</span>

- <span style="white-space: pre-wrap;">В разделе </span>****“Уведомления”****<span style="white-space: pre-wrap;"> настроить собственные шаблоны страниц блокировки при разных типах срабатывания;</span>
- <span style="white-space: pre-wrap;">В пункте </span>****“Порог блокировки”****<span style="white-space: pre-wrap;"> выставить при каком уровне угрозы блокировать проверяемый файл;</span>
- <span style="white-space: pre-wrap;">В пункте </span>****“Время ожидания проверки”****<span style="white-space: pre-wrap;"> выставить время ожидания ответа по проверке.</span>

<span style="white-space: pre-wrap;">Детальнее по настройке и работе решения можно ознакомится </span>[в онлайн документации](https://support.kaspersky.com/help/KATA/7.1/ru-RU/255486.htm).

## ![](https://antiapt-community.ru/attachments/7)

### Включение ICAP на Sensor

<span style="white-space: pre-wrap;">Настрйока ICAP на Sensor выполняется точно также как и для встроенного </span>****Embedded Sensor/Central Node****.

<span style="white-space: pre-wrap;">Детальнее по настройке и работе решения можно ознакомится </span>[в онлайн документации](https://support.kaspersky.com/help/KATA/7.1/ru-RU/255472.htm).

![](https://antiapt-community.ru/attachments/8)

---

---

## Проверка работоспособности интеграции

После завершения настроек на стороне KATA и ICAP-клиента (прокси) проверьте корректность работы следующим образом:

1. Убедитесь, что тестовый ПК настроен на использование вашего прокси.
2. Выполните запрос на загрузку тестового файла EICAR через HTTPS.
3. В интерфейсе Central Node:
    - <span style="white-space: pre-wrap;">Перейдите в раздел </span>****Dashboards****.
    - <span style="white-space: pre-wrap;">В панели </span>****Processed****<span style="white-space: pre-wrap;"> выберите источник (ICAP) — IP-адрес вашего прокси и период (например, Last hour).</span>
    - Убедитесь, что на графике есть активность (число обработанных URLs и Files больше нуля).
4. <span style="white-space: pre-wrap;">Авторизуйтесь в CN под учетной записью с ролью </span>****Офицера безопасности****, чтобы проверить срабатывание по загруженному файлу:
    - <span style="white-space: pre-wrap;">Откройте раздел </span>****Alerts****.
    - <span style="white-space: pre-wrap;">Отфильтруйте события по полю </span>****File name****<span style="white-space: pre-wrap;">, указав </span>`<span class="editor-theme-code">EICAR</span>`.
    - Проверьте список событий — убедитесь, что отображается нужный файл.
    - Откройте событие и проверьте карточку с подробностями:
        - ****Data Source****<span style="white-space: pre-wrap;"> должно содержать </span>`<span class="editor-theme-code">ICAP Sensor <IP></span>`<span style="white-space: pre-wrap;"> — значит, трафик шел через настроенный ICAP.</span>
        - <span style="white-space: pre-wrap;">В разделе </span>****Object information****<span style="white-space: pre-wrap;"> отобразится информация о проверенном файле (например, </span>`<span class="editor-theme-code">eicar.zip</span>`).
        - Проверьте источник запроса, адреса Proxy и Web-сервера, убедитесь, что обращение было по HTTPS.

---

## Работа с ICAP-исключениями

<span style="white-space: pre-wrap;">Пользователи с ролью </span>****Старший сотрудник службы безопасности****<span style="white-space: pre-wrap;"> могут создавать список ICAP-исключений — перечень данных, которые </span>****Kaspersky Anti Targeted Attack Platform****<span style="white-space: pre-wrap;"> не будет проверять.</span>

Можно создать правила ICAP-исключений для следующих данных:

- Формат
- Агент пользователя
- MD5
- Маска URL
- IP или подсеть источника

<span style="white-space: pre-wrap;">Пользователи с ролями </span>****Аудитор****<span style="white-space: pre-wrap;"> и </span>****Сотрудник службы безопасности****<span style="white-space: pre-wrap;"> могут просматривать список правил ICAP-исключений.</span>

---

### Особенности в распределенном решении

- В режиме распределенного решения:
    - <span style="white-space: pre-wrap;">ICAP-исключения, созданные на </span>****SCN****, распространяются на все компоненты Sensor, подключенные к этой SCN.
    - <span style="white-space: pre-wrap;">ICAP-исключения, созданные на </span>****PCN****, распространяются на SCN, установленную на одном устройстве с PCN, и все подключенные к этой SCN компоненты Sensor.

<span style="white-space: pre-wrap;">Детальнее по настройке и работе решения можно ознакомится </span>[в онлайн документации](https://support.kaspersky.com/help/KATA/7.1/ru-RU/255472.htm).

![](https://antiapt-community.ru/attachments/10)

---

## Примечания по интеграции с решениями

### SQUID

<span style="white-space: pre-wrap;">Конфигурация SQUID для настройки интеграции прописываемая в </span>****squid.conf****:

```bash
icap_enable on
adaptation_send_username on
icap_client_username_header X-Client-Username
adaptation_send_client_ip on
adaptation_meta X-Client-Port "%>p"
icap_service_failure_limit -1
icap_service_revival_delay 30
icap_preview_enable off
icap_206_enable off
icap_service is_kata_req reqmod_precache 0 icap://[ICAP_SERVER_IP]:1344/av/reqmod
icap_service is_kata_resp respmod_precache 0 icap://[ICAP_SERVER_IP]:1344/av/respmod
adaptation_access is_kata_req allow all
adaptation_access is_kata_resp allow all
icap_io_timeout 60 seconds
```

### UserGate

- В UserGate необходимо создать ICAP-сервер и указать адреса, полученные на CN:![](https://antiapt-community.ru/attachments/15)![](https://antiapt-community.ru/attachments/12)![](https://antiapt-community.ru/attachments/16)
    - При необходимости активируйте опции:
    - «Посылать имя пользователя»
    - «Посылать IP-адрес»

---

- Потом создаете ICAP правило, где выбираете ранее созданный ICAP server.  
    ![](https://antiapt-community.ru/attachments/15)![](https://antiapt-community.ru/attachments/13)![](https://antiapt-community.ru/attachments/18)![](https://antiapt-community.ru/attachments/14)

##### ****Проверяем связь между системами****

---