Политика KES для Windows Server
Общие
Состояние политики - Активная политика
Наследование параметров
- Наследовать параметры родительской политики - выключить
- Обеспечить принудительное наследование параметров для дочерних политик - выключить
Настройка событий
- Регистрация событий
- Хранить в базе данных Сервера администрирования в течении (сут) - до 30
- Экспортировать в SIEM-систему по протоколу Syslog
- События, которые стоит отправлять в SIEM
|
Тип события |
Время хранения на KSC |
Отправка в SIEM |
|
:drop_of_blood: Критические события |
Да :tick: / Нет :cross: |
|
|
Обнаружен зараженный объект или объект другого типа |
30 дней |
|
|
Обнаружен объект, недоверенный в KSN |
30 дней |
|
|
Обнаружен возможно зараженный объект |
30 дней |
|
|
Обнаружена попытка шифрования |
30 дней |
|
|
Объект не вылечен |
30 дней |
|
|
Объект не удален |
30 дней |
|
|
Объект не обработан |
30 дней |
|
|
Ошибка установки объекта на удаление при перезагрузке |
30 дней |
|
|
Базы программы сильно устарели |
30 дней |
|
|
Срок действия лицензии истек |
30 дней |
|
|
Превышен максимальный размер резервного хранилища |
30 дней |
|
|
Превышен максимальный размер карантина |
30 дней |
|
|
Не применено обновление модулей |
30 дней |
|
|
Не удалось отозвать обновление модулей программы |
30 дней |
|
|
Не удалось выполнить откат последнего обновления баз программы |
30 дней |
|
|
Задача не запущена под указанной учетной записью |
30 дней |
|
|
Заблокировано соединение / Обнаружена почтовая угроза |
30 дней |
|
|
Ошибка подключения интерфейса управления к службам защиты |
30 дней |
|
|
Ошибка создания обработчика запросов на проверку объектов от сетевых хранилищ |
30 дней |
|
|
Ошибка регистрации устройства с Kaspersky Security 11.0.1 для Windows Server в качестве сервера антивирусной защиты для сетевого хранилища |
30 дней |
|
|
Превышено максимальное количество попыток восстановления соединения с сетевым хранилищем |
30 дней |
|
|
Сетевое хранилище разорвало связь с программой |
30 дней |
|
|
Ошибка соединения с сетевым хранилищем |
30 дней |
|
|
Запуск программы запрещен |
30 дней |
|
|
Обнаружено и запрещено недоверенное устройство |
30 дней |
|
|
Сетевой экран заблокировал соединение |
30 дней |
|
|
Сработало правило анализа журналов |
30 дней |
|
|
Обнаружена возможная попытка взлома пароля |
30 дней |
|
|
Обнаружены признаки компрометации журналов Windows |
30 дней |
|
|
В системе установлена новая служба |
30 дней |
|
|
Обнаружена подозрительная аутентификация с явным указанием учетных данных |
30 дней |
|
|
Обнаружены признаки атаки Kerberos forged PAC (MS14-068) |
30 дней |
|
|
Ищменена политика брандмауэра Windows |
30 дней |
|
|
Обнаружены подозрительные изменения привелигерованной группы Администраторы |
30 дней |
|
|
Обнаружена подозрительная активность во время сетевого сеанса входа |
30 дней |
|
|
Запрещенная файловая операция в контролируемой области |
30 дней |
|
|
Обнаружена и заблокирована попытка компрометации журнала USN |
30 дней |
|
|
Файловая система на указанном томе не поддерживается |
30 дней |
|
|
Ошибка модификации хранилища эталонов задачи Мониторинг целостности файлов |
30 дней |
|
|
Несовпадение хеша файлов с эталоном |
30 дней |
|
|
Файл, присутствующий в эталоне, удален |
30 дней |
|
|
Процесс терминирован: обнаружена попытка эксплуатации уязвимости |
30 дней |
|
|
Выполняется уязвимый процесс: обнаружен факт эксплуатации уязвимости |
30 дней |
|
|
:cross: Отказ функционирования |
Да :tick: / Нет :cross: |
|
|
Внутренняя ошибка |
30 дней |
|
|
Не обновлено |
30 дней |
|
|
Нарушено Лицензионное соглашение |
30 дней |
|
|
Нарушено Лицензионное соглашение для задачи |
30 дней |
|
|
Базы программы повреждены |
30 дней |
|
|
Невозможно запустить задачу, область защиты пуста |
30 дней |
|
|
Ошибка сброса статуса устройства с Kaspersky Security 11.0.1 для Windows Server |
30 дней |
|
|
Запуск программы не обработан |
Не хранить |
|
|
Правило для файла не сформировано |
30 дней |
|
|
Не создан XML файл по сформированным правилам |
30 дней |
|
|
Не удалось отправить запрос в KSN |
Не хранить |
|
|
Целостность модулей программы нарушена |
30 дней |
|
|
Подключение устройства не обработано |
30 дней |
|
|
Мониторинг отключен для тома |
30 дней |
|
|
Ошибка соединения с сервером Syslog |
30 дней |
|
|
Ошибка отсылки события на сервер Syslog |
30 дней |
|
|
:warning: Предупреждение |
Да :tick: / Нет :cross: |
|
|
Объект не проверен |
Не хранить |
|
|
Объект не помещен на карантин |
30 дней |
|
|
Объект не помещен в резервное хранилище |
30 дней |
|
|
Обнаружен объект |
30 дней |
|
|
Объект будет удален при перезагрузке |
30 дней |
|
|
Обнаружен возможно зараженный объект |
30 дней |
|
|
Проверка важных областей защищаемого устройства давно не выполнялась |
30 дней |
|
|
Базы программы устарели |
30 дней |
|
|
Срок действия лицензии скоро истечет |
30 дней |
|
|
Доступно плановое обновление модулей |
30 дней |
|
|
Доступно критическое обновление модулей программы |
30 дней |
|
|
Обновление модулей программы должно быть отозвано |
30 дней |
|
|
Для завершения обновления требуется перезагрузить защищаемое устройство |
30 дней |
|
|
Превышен порог доступного пространства в резервном хранилище |
30 дней |
|
|
Превышен порог доступного пространства карантина |
30 дней |
|
|
Присоединенное сетевое хранилище дало команду завершить работу сервера антивирусной защиты |
30 дней |
|
|
Все присоединенные сетевые хранилища завершили работу, задача защиты сетевых хранилищ по протоколу RPC будет остановлена |
30 дней |
|
|
Только статистика: запуск программы запрещен |
30 дней |
|
|
Формирование правила по файлу не поддерживается |
30 дней |
|
|
Компьютер добавлен в список недоверенных |
30 дней |
|
|
Компьютер не добавлен в список недоверенных |
30 дней |
|
|
Ошибка регистрации в качестве FPolicy-сервера |
30 дней |
|
|
Только статистика: обнаружено недоверенное устройство |
30 дней |
|
|
Не запущена задача проверки по требованию для подключенного устройства |
30 дней |
|
|
Программа остановлена |
30 дней |
|
|
Не установлено соединение с KSN |
30 дней |
|
|
Подозрительная файловая операция в контролируемой области |
30 дней |
|
|
Появился файл, отсутствующий в эталоне |
30 дней |
|
|
Отсутствует соединение с клиентом Outlook |
Не хранить |
|
|
:information: Информационное сообщение |
Да :tick: / Нет :cross: |
|
|
Объект вылечен |
30 дней |
|
|
Объект удален |
30 дней |
|
|
Объект помещен на карантин |
30 дней |
|
|
Объект заблокирован (Процесс терминирован) |
30 дней |
|
|
Объект обнаружен (выполняется уязвимый процесс) |
30 дней |
|
|
Объект помещен в резервное хранилище |
30 дней |
|
|
Уровень безопасности постоянной защиты изменен |
30 дней |
|
|
Проверка важных областей защищаемого устройства успешно завершена |
30 дней |
|
|
Программа запущена |
Не хранить |
|
|
Объект не проверен |
Не хранить |
|
|
Доступ к объекту разрешен |
Не хранить |
|
|
Доступ к объекту заблокирован |
30 дней |
|
|
Соединение разрешено / Письмо разрешено к загрузке |
Не хранить |
|
|
Инициирована сессия управления службами защиты через интерфейс |
Не хранить |
|
|
Установлено соединение с сетевым хранилищем |
30 дней |
|
|
Только статистика: обнаружено доверенное устройство |
Не хранить |
|
|
Только статистика: запоминающее устройство извлечено |
Не хранить |
|
|
Сетевой экран разрешил соединение |
Не хранить |
|
|
Программа будет разрешена к запуску как часть доверенного пакета установки |
Не хранить |
|
|
Обнаружено устройство |
30 дней |
|
|
Обнаружено устройство, подключенное к защищаемому устройству |
30 дней |
|
|
Разрешена файловая операция в контролируемой области |
Не хранить |
|
|
Хранилище эталонов задачи Мониторинг целостности файлов создано |
30 дней |
|
|
Отправлен запрос в KSN |
Не хранить |
|
|
Установлено соединение с KSN |
Не хранить |
|
|
Сформирован пакет статистики KSN |
Не хранить |
|
|
Компьютер исключен из списка недоверенных |
Не хранить |
|
|
Выполнена регистрация в качестве FPolicy-сервера |
Не хранить |
|
Параметры программы
- Масштабируемость, интерфейс и настройки сканирования
- Общие
- Определять параметры масштибмруемости ватоматически - включить
- Показывать значет в области уведомлений - включить
- Сканирование
- Восстанавливать атрибуты файлов после сканирования - включить
- Ограничить сканирующий поток в использовании CPU 80% - включить
- Иерархическое хранилище
- Не HSM-система - включить
- Безопасность и надежность
- Самозащита - Защищать процессы программы от внешних угроз - включить
- Параметры применения пароля - Использовать защиту паролем - включить
- Параметры надежности - выполнять восстановление задач проверки по требованию не более (раз) 2 - включить
- Действия при переходе на ИБП - выключить все
- Параметры соединения
- Не использовать прокси-сервер - включить
- Не использовать прокси-сервер для локальных адресов - включить
- Не использовать аутентификацию
- Использовать KSC в качестве прокси-сервера для активации программы - включить
- Запуск локальных системных задач
- Задачи проверки по требованию - включить
- Задачи обновления и копирования обновлений - выключить
Дополнительные возможности
- Доверенная зона
- Исключения - по умолчанию
Возможно имеет смысл убрать исключения для продуктов которые мы не используем, вроде MS Lync или MCMS
- Доверенные процессы
- Не проверять файловые операции резервного копирования - включить
- Не проверять файловую активность указанных процессов - выключить
- Проверка съемных дисков
- Проверять съемные диски при подключении к USB
- Проверять если объем содержащихся на диске данных не превышает порог - 32768 МБ
- Запускать проверку с уровнем безопасности - Рекомендуемый
- Права пользователей на управление программой
- Права пользователей на управление службой Kaspersky Security Service
- Хранилища
- Резервное хранилище - по умолчанию
- Карантин - по умолчанию
- Заблокированные узлы
- Автоматически разблокировать через - 2 ч
Постоянная защита сервера
Постоянная защита файлов
- Общие
- Режим защиты объектов - При открытии и изменении
- Углубленный анализ запускаемых процессов (запуск процессов блокируется до окончания анализа) - включить
- Использовать эвристический анализ - включить (Средний)
- Интеграция - Применять доверенную зону - включить
- Интеграция - Использовать KSN для защиты - включить
- Интеграция - Блокировать доступ к сетевым файловым ресурсам для узлов, с которых ведется вредоносная активность - включить
- Запустить сканирование важных областей при обнаружении активного заражения - включить
- Отарпалять объекты в Kaspersky Sandbox - выключить
- Области защиты
- Мой компьютер - уровень Рекомендуемый
- Управление задачей
- Запускать задачу по расписанию - включить
- Частота запуска - При запуске программы
Использование KSN
- Обработка данных - Службы - Принять условия положения Kaspersky Security Network - включить
- Обработка данных - Статистика - Разрешить отправку статистики Kaspersky Security Network - включить
- Обработка данных - Kaspersky Managerd Protection - Принять условия Предложения о KMP - выключить
- Настройка
- Общее
- Действия над объектом, недоверенным KSN - удалять
- Не рассчитывать контрольную сумму для отправки в KSN, если размер файла превышает 10 Мб - включить
- Использовать Kaspersky KSC в качестве прокси-сервера KSN - включить
- Управление задачей
- Запускать задачу по расписанию - При запуске программы
Защита трафика
·
- Список правил
- Веб-контроль - по умолчанию
- Категоризация
- Применять правила категоризации ресурсов - включить
- Разрешать загрузку веб-страниц, если не удалось присвоить категорию - включить
- Разрешать загрузку легальных веб-ресурсов, которые могут быть использованы для нанесения вреда защищаемому устройству - включить
- Разрешать загрузку легальных рекламных веб-ресурсов - включить
- Настройка
- Режим работы
- Режим работы - Драйверный перехват
- Параметры соединения с ICAP-службой - по умолчанию
- Параметры режима работы
- Проверять безопасное соединение по протоколу HTTPS - включить
- Использовать версию крипто-протокола TLS: 1.0, 1.1, 1.2 - включить
- Не доверять веб-сервису с невалидным сертификатом - включить (если много внутренних сервисов с самоподписанным сертификатом, то лучше выключить)
- Настроить области перехвата - индивидуальная настройка для групп серверов.
- Обработка веб-ресурсов
- Проверять ссылки по базе вредоносных веб-ресурсов - включить
- Проверять ссылки по базе фишинговых веб-адресов - включить
- Использовать KSN для защиты - включить
- Использовать Доверенную зону - включить
- Управление задачей
- Запускать задачу по расписанию - При запуске программы
- Защита от почтовых угроз
- Защита устройства от почтовых угроз - выключить
- Антивирусная защита
- Использовать эвристический анализ - включить (Средний)
- Уровень безопасности - Рекомендуемый
Защита от эксплойтов
- Параметры защиты от эксплойтов
- Защищать процессы от эксплуатации уязвимостей в режиме - включить
- Завершать скомпрометированный процессы
- Сообщать о скомпрометированных процессах посредством службы терминалов - включить
- Защищать процессы от эксплуатации уязвимостей вне зависимости от статуса службы KSS - включить
- Защищаемые процессы - по умолчанию
Защита от сетевых угроз
- Общие
- Блокировать соединение при обнаружении атаки - включить
- Не останавливать анализ трафика, если задача не исполняется - выключить
- Исключения
- Не контролировать IP-адреса, указанные в исключениях - выключить (Можно добавить серверную подсеть)
- Управление задачей
- Запускать задачу по расписанию - включить
- Частота запуска: При запуске программы
Проверка скриптов
- Общее
- Действие над опасными скриптами: Блокировать выполнение
- Эвристический анализ - включить (Средний)
- Применять доверенную зону - включить
- Управление задачей
- Запускать задачу по расписанию - выключить
Контроль активности на серверах
Контроль запуска программ
- Режим работы - Только статистика
- Обрабатывать повторные запуски контролируемых программ по схеме обработки первого запуска - включить
- Запрещать запуск командных интерпретаторов без команды к исполнению - выключить
- Список правил - по умолчанию (Можно согласовать с админами запуск скриптов только из доверенной папки, например C:\Scripts, у которой будут права доступа только для администраторов сервера
- Применение правил - Заменить правилами политики локальные правила
- Область применения правио
- Использовать правила для исполняемых файлов - включить
- Контролировать загрузку DLL-модулей - выключить
- Использовать правила для скриптов и пакетов MSI - включить
- Использование KSN
- Запрещать запуск программ, недоверенных в KSN - включить
- Разрешать запуск программ, доверенных в KSN - выключить
- Контроль пакетов установки
- По умолчанию
- Управление задачей
- Запускать задачу по расписанию - выключить
- Частота запуска - При запуске программы
Контроль устройств
- Режим работы - только статистика
- Разрешать использование всех запоминающих устройств, если задача Контроль устройств не выполняется - выключено
- Управление задачей
- Запускать задачу по расписанию - выключить
- Частота запуска - При запуске программы
Защита сетевых хранилищ
Защита RPC-подключаемых сетевых хранилищ
- Не актуально, выключить
Защита ICAP-подключаемых сетевых хранилищ
- Не актуально, выключить
Защита от шифрования для NetApp
- Не актуально, выключить
Контроль активности в сети
Управление сетевым экраном
- Слишком индивидуальная задача, возможно стоит разделять политику на группы серверов (Файловые шары, AD и т.д)
Защита от шифрования
- Общие
- Режим работы - Активный
- Эвристический анализатор - включить (Средний)
- Область защиты
- Все общие сетевые папки защищаемого устройства
- Исключения
- Учитывать список исключений - включить
- Управление задачей
- Запускать задачу по расписанию - включить
- Частота запуска - При запуске программы
Диагностика системы
Мониторинг файловых операций
- Параметры мониторинга файловых операций
- Фиксировать события о файловых операциях, выполненных в период обрыва мониторинга - включить
- Блокировать попытки компрометации журналов USN - включить
- Управление задачей
- Запускать задачу по расписанию - включить
- Частота запуска - При запуске программы
Анализ журналов
- Пользовательские правила
- Обнаружено всплывающее окно приложения 26
- В системе установлена служба 7045
- Создана задача, выполняемая по расписанию 4696, 602
- Создание новой учетной записи 4720
- Добавление пользователя в привилегированную группу 4728
- Добавление в локальную группу 4732
- Изменение имени учетной записи 4781
- Очищен журнал событий 1102
- Предзаданные правила
- Использовать предзаданные правила для анализа журналов - включить
- Обнаружена возможная попытка взлома пароля с помощью подбора - включить
- Обнаружены признаки компрометации журналов Windows - включить
- Обнаружена подозрительная активность со стороны новой установленной службы - включить
- Обнаружена подозрительная аутентификация с явным указанием учетных данных - включить
- Обнаружены признаки атаки Kerberos forged PAC (MS14-068) - включить
- Обнаружены подозрительные изменения привелигерованной группы Администраторы - включить
- Обнаружена подозрительная активность во время сетевого сеанса входа - включить
- Управление задачей
- Запускать задачу по расписанию - включить
- Частота запуска - При запуске программы
Журналы уведомления
Журналы выполнения задач
- Интеграция с SIEM
- Отправлять события по протоколу syslog на внешний syslog-сервер - выключить
- Конвертировать события в формат структурированных данных - выключить
- Параметры подключения
- Адрес: нет
Уведомления о событиях
- Уведомления
- Уведомление пользователей - Средствами службы терминалов
- Пороги формирования
- Базы программы устарели (сут) - 7
- Базы программы сильно устарели (сут) - 14
- Проверка важных областей защищаемого устройства давно не выполнялись (сут) - 30
Взаимодействие с сервером администрирования
- Данные об объектах карантина - включить
- Данные об объектах резервного хранилища - включить
- Данные о блокированных хостах - включить