Проблемы ICAP интеграции

• В log-history.log сПодержльзователь должен иметь досятуп записи обо всехк проверяемой директории
• Добавьте в конныхец файла /etc/fstab следующие строки (удаленный хост замените на свои).

  \\<IP or FQDN>\in /mnt/in cifs credentials=/root/.kata-secret 0 0
  
  \\<IP or FQDN>\out /mnt/out cifs credentials=/root/.kata-secret 0 0
  
  \\<IP or FQDN>\qrnt /mnt/qrnt cifs credentials=/root/.kata-secret 0 0

• ВПримонтируйте все ресурсы.

  log-detects.logmount -a

—
• Подготовьте ключевую информацияю.

  openssl обreq объектах,-x509 вызвавших-newkey срабатываrsa:2048 -keyout ./server.key -out ./server.crt -days 365 -nodes
  
  cat server.crt server.key > cert.pem

• Иния.

3. Скциачализируйте жуподключение стороналней системы ск пKATA. Для этого необходимощ отправить лю SCP/WinSCP из каталбога /tmp.
4. Вй файл нах проверку с использованием подготовленного сертификата.

   Подготавливаем найUUID:
   
   python3 -c "import uuid; print(uuid.uuid4())"
   
   curl -k --noproxy '*' --cert ./cert.pem --key ./server.key -F scanId=f2df00bc-c6b0-4bcf-b20b-040e02f08de9 -F objectType=file -F content=@ -X
   
   POST https://localhost:443/kata/scanner/v1/sensors//scans

5. Подтвердите запироси на по дключение со стороны KATA CN.
   
   
6. Создайте директорию.

   mkdir /opt/kata-dir-scanner/

7. Скопируйте вому /opt/kata-dir-scanner/ следующие файлы.

   kata_dir_scanner.py
   
   kata_dir_scanner.conf
   
   cert.pem
   
   server.key

8. Скопируйте в /etc/systemd/system/ следующий файл.

   kata-dir-scanner.service

9. Отредактируйте конфигурационный файл (измените system_id на свой).

   vi kata_dir_scanner.conf
   {
   "in_dir": "/mnt/in/",
   "out_dir": "/mnt/out/",
   "qrnt_dir": "/mnt/qrnt/",
   "cert_pem": "/opt/kata-dir-scanner/cert.pem",
   "cert_key": "/opt/kata-dir-scanner/server.key",
   "kata_cn_addr": "localhost",
   "system_id": ""
   }

10. Запустите сервис KDS.

    systemctl daemon-reload
    
    systemctl start kata-dir-scanner.service
    
    systemctl status kata-dir-scanner.service

11. Добавьте сервис в автозагрузку.

    systemctl enable kata-dir-scanner.service

12. Установка и настройка сервиса KDS завершена. Логи работы KDS можно посмотреть используя ICAP,следующую чткоманду:

    tail -f /var/log/kata-dir-scanner.log

13. События, связанные с обнарубжением вредионосного ПО, достьсяупны в web-консоли KATA.

Настройка и исполуьзование списка исключений:

1. В директории /opt/kata-dir-scanner/ создайте файл exclude_list.txt. В exclude_list.txt построчно запишите имена файлов и расширения, которые нужно исключить из пересылки на анализ в KATA.

   Наприме трафика от ICAP-клиента:
   File1.txt
   *.doc
   File2.py
   *.pdf

   

Просимотер логов сработки

Для просмотра логов работы ICAP на стороне CN/Sensor подключитесь через SSH и выполните:

sudo su
cat /var/log/kaspersky/services/preprocessor_icap/preprocessor_icap.log

Для удобства анализа используйте фильтрацию:

• Стандартный режим:

grep --color 'blocking_simple mode' /var/log/kaspersky/services/preprocessor_icap/preprocessor_icap.log | grep 'verdict'

• Расширенный режим:

grep --color 'blocking_advanced mode' /var/log/kaspersky/services/preprocessor_icap/preprocessor_icap.log | grep 'verdict'

Советы по созданию заявки в службу технической поддержкиKDS:

Чтобы

ускорить решение возможных
1. На проблверяемом хосте открываем папку in и сокхратить время обработки заявки, рекомендуется:
   • Соберите как можно больше информации об установке KATA и KEDR:
     • модель и характеристики оборудования,
     • уровень трафика,
     • типы интеграции,
     • версии программного обеспечения,
     • даты возникновения проблемы.
   • Обязательно приложите актуальные логи:
     • журнал системы,
     • tcpdump с обеих стовый вирон (ICAP-клиент и ICAP-сервер),
     • collect log с CN/Sensor.
   • Четко опишите суть проблемы, при каких условиях она возникает, и шаги для воспроизведения.

   ---

   Сбор диагностической информации (Collect log) с Central Node/Sensor

   1. Подключитесь по SSH к CN или Sensor.
   2. Перейдите в Technical Support Mode, подтвердив переход в терминал.
   3. Запку qrnt. Вирустите сбор логов:

   sudo su
   kata-collect

   4. После завершения команда выведет имя и путь созданного архива с логами, по умолчанию:

   /tmp/collect/collect-.tar.gz

   5. Скачайте файл был автоматически отправлен в папку qrnt.
   6. Перейдите в web-консоль KATA CN, зайдите SCP/WinSCPв раздел обнаружения из видим сработкаталогу на /tmp/collect/тестовый вирус.
   7. Перейдите в обнаружение. Здесь можно увидеть всю необходимости удалите файл, чтобы освободить местою на сервере:

   rm -f /tmp/collect/collect*

   Либо
   Воспользоваться SSHм интефорфейсом Technical Support Mode
   

   Данная инструкцияю.

подходит для следующих компонентов: CN, SCN, PCN, Sensor.

---

К

Нак собрать логи history и detects

Если требуется отдельная выгрузка истории проверяеннымом хосте фоткройте пайловпку in и сработок:

sudo su
kata-collect-siem-logs log-history --output-dir /tmp --no-compress
kata-collect-siem-logs log-detects --output-dir /tmp --no-compress

• Логи будут сохраните обычный текстовый докаталоге /tmp под иуменами log-history.log и log-detects.logт.
• Послерейдите выгр папкузки ихout, также можно скачать через SCP/WinSCP.

---

Очистка собранных логов

Чтобы удалить временные журналы и освободить место,вый файл test_KDS не является вирусным и поэтому был автоматически отправлените:

rmв -fпапку /tmp/log-history.logout.
rm