Skip to main content

Миграция данных с KATA/KEDR 7.1 на KEDR Expert 8+

ℹ️ Информация:

Приведенная на данной странице информация подготовлена на основании документации Kaspersky EDR Expert 8.1 и практического опыта внедрения решений Kaspersky.
Материал не является официальной инструкцией производителя и предназначен для упрощения планирования и выполнения миграции.

Официальная документация: Kaspersky EDR Expert 8.1

Переход с KEDR 7.1 на Kaspersky EDR Expert 8.1 представляет собой полноценную процедуру миграции, позволяющую перенести накопленные данные и основные объекты конфигурации в новую инфраструктуру.

Перед началом миграции рекомендуется ознакомиться с перечнем переносимых данных. Это позволит заранее определить, какие объекты сохранятся автоматически, какие требуют дополнительных действий после переноса, а какие потребуется настроить заново.

При обновлении и переходе с KEDR 7.1 на Kaspersky EDR Expert 8.1 переносятся следующие данные:

Переносится

На текущий момент документация указывает, что автоматически переносятся следующие объекты:

  • Данные алертов
  • Дополнительные данные алертов
    • Хранилище Sandbox.
    • Обнаруженное файловое хранилище.
  • IOC-правила
  • Пользовательские IOA-правила
  • Исключения IOA
  • Пользовательские YARA-правила
  • Пользовательские правила отправки объектов в Kaspersky Sandbox
    • Правила проверки файлов.
    • Правила проверки ссылок.
    • Список пользовательских образов.
    • Список образов, входящих в набор Sandbox по умолчанию.
  • Хранилище артефактов расследования
    • Загруженные вручную файлы.
    • Файлы, полученные с помощью задачи get.
    • Результаты проверки Anti-Malware Engine.
    • Результаты проверки YARA.
    • Результаты проверки Sandbox.
  • Правила запрета
  • Пароли архивов, используемые при проверке Anti-Malware и Kaspersky Sandbox.
  • Активные пользователи системы
  • Шаблоны уведомлений по электронной почте
  • Информация об Endpoint Agent
  • База данных телеметрии поиска угроз

ℹ️ Примечание:
Полный перечень переносимых атрибутов для каждого объекта приведен в официальной документации Kaspersky EDR Expert 8.1.

Переносится с особенностями

Некоторые данные поддерживаются при миграции, однако требуют дополнительных действий или имеют ограничения.

  • Endpoint Agent
    • Перед началом миграции необходимо обновить Endpoint Agent до версии, поддерживаемой Kaspersky EDR Expert 8.1.
  • Историческая телеметрия
    • Переносится отдельным этапом и не входит в основной процесс миграции.
  • Исключения IOA
    • Экспортируются в отдельный файл excludes.json и импортируются после завершения миграции. Исключения можно импортировать как в общие исключения, так и в исключения для конкретных типов событий. Если импортированное исключение отсутствует в одном разделе, проверьте другой раздел политики Endpoint Agent.
  • Алерты
    • Рекомендуется переносить только алерты со статусом «Закрыто».
  • Активные пользователи системы
    • Пользователи Active Directory не переносятся.
  • Шаблоны уведомлений по электронной почте
    • Не экспортируются шаблоны, использующие критерии, не поддерживаемые OSMP (например, IDS).
  • IOC-алерты
    • Переносятся только правила, полностью соответствующие стандартам OpenIOC 1.0 и OpenIOC 1.1.
    IOC-алерты, связанные с правилами, не соответствующими этим стандартам, не переносятся. Информация о таких алертах отображается в журнале ошибок миграции.

Не переносится

На момент подготовки статьи документация указывает, что автоматически не переносятся:

  • Данные раздела «Карантин».

ℹ️ Важно

Переход на Kaspersky EDR Expert 8.1 не является обновлением "поверх" существующей установки KEDR 7.1. Процесс выполняется путем экспорта данных из существующей системы и их последующего импорта в новую инфраструктуру.

Поддерживаемые сценарии миграции

Документация рассматривает несколько вариантов переноса данных:

Независимо от выбранного варианта перехода документация рассматривает два способа переноса исторической телеметрии:

Предварительная подготовка

1. Перед началом миграции рекомендуется обновить Endpoint Agent до последних поддерживаемых версий.

⚠️ Важно

Поддержка передачи телеметрии, необходимой для работы Kaspersky EDR Expert 8.1, реализована только в актуальных версиях Endpoint Agent начиная с KES 12.12 и KESL 12.4. Использование устаревших версий может привести к некорректной работе решения после миграции.

2. Запросить в технической поддержке файлы инсталляционных пакетов и набор пакетов для переноса данных с KATA/KEDR 7.1 состоящий из:

  • Набор пакетов для инсталляции:
    • Пакет развёртывания (KDT): bin.tar.gz
    • Сборка KEDR 8+: xdr-2.+-ru.tar (Обратите внимание, что дистрибутив (файл вида xdr-2.0.6xx-yy.tar) отличается в зависимости от локализации).
    • Дистрибутив Sandbox
    • Образы Sandbox
    • Плагины:
      • KES Mac CNAB plugin
      • KES Linux CNAB plugin
      • MDR (по запросу)
      • KICS for Nodes (по запросу)
  • Набор пакетов для миграции:
    • img_kata_osmp_migrate.tar
    • img_kata_osmp_migration_importer.tar
    • kata-osmp-export.sh
    • kata-osmp-import.sh
    • gateway-migration_v2.0.+.tar

Обратите внимание, что перенос данных (настройки, правила, алерты, телеметрия) с предыдущей версии KEDR Expert 7.1 в KEDR Expert 8 возможен только на версию 8.0.1 и выше с помощью утилиты миграции. Для переноса телеметрии необходима временная лицензия на XDR! (запрашивается через саппорт), подробнее по ссылке

3.

Также рекомендуется завершить активные расследования и переносить преимущественно алерты со статусом «Закрыто», что позволит избежать несогласованности данных и упростит последующую проверку результатов миграции.


Общая схема миграции

Процесс переноса данных состоит из трех последовательных этапов:

  1. Подготовка архива к экспорту из KEDR 7.1
    • сбор и упаковка данных;
    • подготовка объектов к переносу.
  2. Импорт данных в Kaspersky EDR Expert 8.1
    • перенос конфигурации и поддерживаемых объектов;
    • восстановление структуры системы в новой инфраструктуре.
  3. Перенос исторической телеметрии (необязательный этап)
    • с использованием внешнего хранилища;
    • без использования внешнего хранилища.
Back to top