Включение и настройка исключений и оптимизации объема отправляемой EDR-телеметрии о процессах программ

В разделе приведена инструкция для Kaspersky Endpoint Agent для Windows. Эта инструкция может быть частично или полностью неприменима к Kaspersky Endpoint Agent для Linux. Актуальную инструкцию для Kaspersky Endpoint Agent для Linux смотрите в справке решения, в составе которого вы используете программу: Kaspersky Anti Targeted Attack Platform или Kaspersky Managed Detection and Response.

Вы можете настроить исключения и оптимизацию объема отправляемой EDR-телеметрии о процессах программ с помощью Консоли администрирования Kaspersky Security Center в свойствах отдельного устройства или и в свойствах политики для группы устройств. Kaspersky Endpoint Agent не анализирует и не передает на сервер с установленным KATA Central Node или Kaspersky Industrial CyberSecurity for Networks данные об исключенных процессах программ.

Чтобы включить и настроить исключения и оптимизацию объема отправляемой EDR-телеметрии о процессах программ:

Выполните одно из следующих действий:
- Откройте окно свойств программы для отдельного устройства.
  1. В папке Управляемые устройства дерева Консоли администрирования откройте папку с названием группы администрирования, в состав которой входит нужное вам устройство.
  2. В рабочей области выберите закладку Устройства.
  3. Выберите устройство, для которого вы хотите настроить параметры Kaspersky Endpoint Agent.
  4. В контекстном меню устройства выберите пункт Свойства.
    Откроется окно свойств устройства.
  5. Выберите раздел Программы.
    В рабочей области окна отобразится список программ "Лаборатории Касперского", установленных на устройстве.
  6. Выберите программу Kaspersky Endpoint Agent и откройте окно ее свойств одним из следующих способов:
    - Двойным щелчком мыши по названию программы.
    - В контекстном меню программы выберите пункт Свойства.
    - Нажмите на кнопку Свойства под списком программ "Лаборатории Касперского".
- Откройте окно свойств политики программы.
  1. Откройте Консоль администрирования Kaspersky Security Center.
  2. В дереве консоли откройте папку Политики.
  3. Выберите политику для программы Kaspersky Endpoint Agent и откройте окно ее параметров одним из следующих способов:
    - Двойным щелчком мыши по названию политики.
    - В контекстном меню политики выберите пункт Свойства.
    - В правой части окна выберите пункт Настроить параметры политики.
Перейдите в раздел EDR-телеметрия → Исключенные процессы.
В блоке параметров Исключения включите параметр Использовать исключения, чтобы включить применение исключений для EDR-телеметрии.
Настройте оптимизацию объема отправляемой EDR-телеметрии:
- Выключите параметр Оптимизировать объем отправляемой телеметрии, если хотите, чтобы Kaspersky Endpoint Agent отправляла события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB, службы WinRM и процесса Агента администрирования klnagent.exe.
- Включите параметр Оптимизировать объем отправляемой телеметрии, если хотите, чтобы Kaspersky Endpoint Agent не отправляла события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB и Агента администрирования klnagent.exe.
Если параметр Использовать исключения выключен, Kaspersky Endpoint Agent не отправляет события с кодами 102 (базовые коммуникации) и 8 (сетевая активность процесса) для протокола Microsoft SMB и процесса Агента администрирования klnagent.exe вне зависимости от значения параметра Оптимизировать объем отправляемой телеметрии.
Создайте список исключений:
1. Нажмите на кнопку Добавить.
2. В открывшемся окне Свойства правила настройте параметры исключения.
  Параметры исключения применяются по правилу логического И.
  
  Для создания исключения необходимо задать значение в поле Полный путь и выбрать хотя бы один из типов событий в списке Использовать это исключение для следующих типов событий.
  
  Если для критерия Использовать это исключение для следующих типов событий выбрано значение Сетевые события, в поле Полный путь необходимо указать полный путь к файлу.
  
  Объект, для которого вы создаете исключение, должен присутствовать на защищаемом устройстве в момент применения параметров исключения. Например, если вы сначала настроите исключение для определенного приложения, а потом установите это приложение на защищаемое устройство, такое исключение не будет применяться.
  1. В блоке Информация о процессе задайте значения в следующих полях:
    - Полный путь. Полный путь к файлу, включая его имя и расширение. Можно использовать маски файлов (с помощью символов ? и *), а также системные переменные окружения.
    - Текст командной строки. Командная строка для запуска объекта.
    - Родительский путь. Путь до папки, в которой находится файл.
  2. В блоке Свойства файла задайте значения в следующих полях:
    - Описание файла. Значение параметра FileDescription из ресурса типа RT_VERSION (VersionInfo).
    - Исходное имя файла. Значение параметра OriginalFilename из ресурса типа RT_VERSION (VersionInfo).
    - Версия файла. Значение параметра FileVersion из ресурса типа RT_VERSION (VersionInfo).
  3. В блоке Контрольные суммы файла задайте значения в следующих полях:
    - MD5. MD5-хеш файла.
    - SHA256. SHA256-хеш файла.
  4. В списке Использовать это исключение для следующих типов событий выберите как минимум одно из значений:
    - Изменение файла.
    - Сетевые события.
    - Интерактивный ввод в консоли.
      Этот тип события выбран по умолчанию.
    - Загрузка модуля процесса.
    - Изменения в реестре.
3. Нажмите на кнопку ОК, чтобы сохранить изменения и закрыть окно Свойства правила.
  Новое исключение создано и отображается в списке.
4. Если необходимо экспортировать список исключений в файл формата XML, нажмите на кнопку Экспорт.
5. Если необходимо испортировть список исключений из файла формата XML, нажмите на кнопку Импорт.
6. Если необходимо изменить исключение, выберите исключение и нажмите на кнопку Изменить.
7. Если необходимо удалить исключение из списка, выберите исключение и нажмите на кнопку Удалить.
Если вы настраиваете параметры политики, убедитесь, что переключатель в правом верхнем углу блока параметров находится в активном положении. Переключатель находится в этом положении по умолчанию.
Нажмите на кнопку ОК, чтобы сохранить внесенные изменения.

В начало