Миграция данных с KATA/KEDR 7.1 на KEDR Expert 8+

ℹ️ Информация:

Приведенная на данной странице информация подготовлена на основании документации Kaspersky EDR Expert 8.1 и практического опыта внедрения решений Kaspersky.
Материал не является официальной инструкцией производителя и предназначен для упрощения планирования и выполнения миграции.

Официальная документация: Kaspersky EDR Expert 8.1

Переход с KEDR 7.1 на Kaspersky EDR Expert 8.1 представляет собой полноценную процедуру миграции, позволяющую перенести накопленные данные и основные объекты конфигурации в новую инфраструктуру.

Перед началом миграции рекомендуется ознакомиться с перечнем переносимых данных. Это позволит заранее определить, какие объекты сохранятся автоматически, какие требуют дополнительных действий после переноса, а какие потребуется настроить заново.

При обновлении и переходе с KEDR 7.1 на Kaspersky EDR Expert 8.1 переносятся следующие данные:

Переносится с особенностями

Некоторые данные поддерживаются при миграции, однако требуют дополнительных действий или имеют ограничения.

Endpoint Agent
- Перед началом миграции необходимо обновить Endpoint Agent до версии, поддерживаемой Kaspersky EDR Expert 8.1.
Историческая телеметрия
- Переносится отдельным этапом и не входит в основной процесс миграции.
Исключения IOA
- Экспортируются в отдельный файл excludes.json и импортируются после завершения миграции.
Алерты
- Рекомендуется переносить только алерты со статусом «Закрыто».
IOC-алерты
- IOC-алерты, связанные с ошибками синтаксиса в IOC-правилах (не соответствующих стандартам OpenIOC 1.0 и 1.1), не переносятся. Информация о них отображается в журнале ошибок миграции.

Не переносится

На момент подготовки статьи документация указывает, что автоматически не переносятся:

Данные раздела «Карантин».

От

ℹ️ Важно
Переход на Kaspersky EDR Expert 8.1 не является обновлением "поверх" существующей установки KEDR 7.1. Процесс выполняется путем экспорта данных из существующей системы и их последующего импорта в новую инфраструктуру.

Поддерживаемые сценарии миграции

Документация рассматривает несколько вариантов переноса данных:

миграцию в Kaspersky EDR Expert 8.1, развернутый на отдельном узле;
миграцию в распределенную инфраструктуру Kaspersky EDR Expert 8.1;
перенос исторической телеметрии с использованием внешнего хранилища или без него.

Предварительная подготовка

Перед началом миграции рекомендуется обновить Endpoint Agent до последних поддерживаемых версий.

⚠️ Важно
Поддержка передачи телеметрии, необходимой для работы Kaspersky EDR Expert 8.1, реализована только в актуальных версиях Endpoint Agent начиная с KES 12.12 и KESL 12.4. Использование устаревших версий может привести к некорректной работе решения после миграции.

Также рекомендуется завершить активные расследования и переносить преимущественно алерты со статусом «Закрыто», что позволит избежать несогласованности данных и упростит последующую проверку результатов миграции.

Общая схема миграции

Процесс переноса данных состоит из трех последовательных этапов:

Подготовка архива к экспорту из KEDR 7.1
- сбор и упаковка данных;
- подготовка объектов к переносу.
Импорт данных в Kaspersky EDR Expert 8.1
- перенос конфигурации и поддерживаемых объектов;
- восстановление структуры системы в новой инфраструктуре.
Перенос исторической телеметрии (необязательный этап)
- с использованием внешнего хранилища;
- без использования внешнего хранилища.