Managed Detection and Response

Kaspersky Endpoint Security 11.6.0 führt einen integrierten Agenten für die Lösung „Managed Detection and Response“ ein. Die Lösung Kaspersky Managed Detection and Response (MDR) erkennt und analysiert automatisch Sicherheitsvorfälle in Ihrer Infrastruktur. Zu diesem Zweck verwendet MDR von Endpunkten bereitgestellte Telemetriedaten sowie maschinelles Lernen. MDR sendet Vorfalldaten an die Kaspersky-Experten. Die Experten können den Vorfall dann bearbeiten und beispielsweise einen neuen Eintrag zu den Antiviren-Datenbanken hinzufügen. Alternativ können die Experten Tipps zum Umgang mit dem Vorfall geben und beispielsweise vorschlagen, bestimmte Computer vom Netzwerk zu isolieren. Ausführliche Informationen zur Funktionsweise der Lösung finden Sie in der Hilfe zu Kaspersky Managed Detection and Response.

Bei der Interaktion mit Kaspersky Managed Detection and Response können Sie mithilfe des Programms die folgenden Funktionen ausführen:

„Managed Detection and Response“ mithilfe einer BLOB-Konfigurationsdatei aktivieren
Befehle von Kaspersky Managed Detection and Response ausführen
Telemetriedaten zur Erkennung von Bedrohungen an Kaspersky Managed Detection and Response senden

Integration mit Kaspersky Managed Detection and Response

Zur Integration von Kaspersky Managed Detection and Response sind folgende Schritte erforderlich:

Private Kaspersky Security Network konfigurieren
Überspringen Sie diesen Schritt, wenn Sie „Kaspersky Security Center Cloud Console“ verwenden. „Kaspersky Security Center Cloud Console“ konfiguriert „Local Kaspersky Security Network“ automatisch, wenn das MDR-Plug-in installiert wird.

Private KSN unterstützt den Datenaustausch zwischen Computern und dedizierten Servern von Kaspersky Security Network, jedoch nicht mit Global KSN.

Laden Sie in den Eigenschaften des Administrationsservers die Konfigurationsdatei von Kaspersky Security Network hoch. Die Konfigurationsdatei von Kaspersky Security Network befindet sich im ZIP-Archiv der MDR-Konfigurationsdatei. Sie können das ZIP-Archiv in der Konsole von Kaspersky Managed Detection and Response abrufen. Einzelheiten zur Konfiguration von Private Kaspersky Security Network finden Sie in der Hilfe zu Kaspersky Security Center. Die Konfigurationsdatei von Kaspersky Security Network kann auch über die Befehlszeile auf den Computer hochgeladen werden (siehe Anleitung unten).

So konfigurieren Sie Private Kaspersky Security Network über die Befehlszeile
1. Starten Sie den Befehlszeileninterpreter cmd als Administrator.
2. Wechseln Sie zu dem Ordner, in dem sich das Programmpaket für Kaspersky Endpoint Security befindet.
3. Führen Sie den folgenden Befehl aus:
  avp.com KSN /private <Dateiname>
  
  wobei <Dateiname> der Name der Konfigurationsdatei ist, welche die Einstellungen für Private KSN enthält (Dateiformat „pkcs7“ oder „pem“).
  
  Beispiel:
  
  avp.com KSN /private C:\kpsn_config.pkcs7
Als Ergebnis verwendet Kaspersky Endpoint Security Private KSN, um die Reputation von Dateien, Programmen und Websites zu ermitteln. In den Richtlinieneinstellungen im Abschnitt Kaspersky Security Network wird der Betriebsstatus KSN-Netzwerk: Private KSN angezeigt.

Sie müssen den erweiterten KSN-Modus aktivieren, damit „Managed Detection and Response“ funktioniert.
Aktivieren Sie „Managed Detection and Response“.
Laden Sie die BLOB-Konfigurationsdatei in die Richtlinie von Kaspersky Endpoint Security (siehe Anleitung unten). Die BLOB-Datei enthält die Client-ID und Informationen zur Lizenz für Kaspersky Managed Detection and Response. Die BLOB-Datei befindet sich im ZIP-Archiv der MDR-Konfigurationsdatei. Sie können das ZIP-Archiv in der Konsole von Kaspersky Managed Detection and Response abrufen. Ausführliche Informationen zur BLOB-Datei finden Sie in der Hilfe zu Kaspersky Managed Detection and Response.

So aktivieren Sie „Managed Detection and Response“ in der Verwaltungskonsole (MMC)
1. Öffnen Sie die Verwaltungskonsole von Kaspersky Security Center.
2. Öffnen Sie in der Verwaltungskonsolenstruktur im Ordner Verwaltete Geräte den Ordner mit dem Namen der Administrationsgruppe, zu welcher die betreffenden Client-Computer gehören.
3. Wählen Sie im Arbeitsbereich die Registerkarte Richtlinien aus.
4. Wählen Sie die gewünschte Richtlinie aus und öffnen Sie mit einem Doppelklick das Fenster mit den Richtlinieneigenschaften.
5. Wählen Sie im Richtlinienfenster den Punkt Detection and Response → Managed Detection and Response.
6. Aktivieren Sie das Kontrollkästchen Managed Detection and Response.
7. Klicken Sie im Block Einstellungen auf Import und wählen Sie die BLOB-Datei aus, die in der Konsole von Kaspersky Managed Detection and Response empfangen wurde. Die Datei hat die Erweiterung p7.
8. Speichern Sie die vorgenommenen Änderungen.
So aktivieren Sie „Managed Detection and Response“ in der „Web Console“ und „Cloud Console“
1. Wählen Sie im Hauptfenster der „Web Console“ den Punkt Geräte → Richtlinien und Profile.
2. Klicken Sie auf den Namen der Richtlinie von Kaspersky Endpoint Security.
  Das Fenster mit den Richtlinieneigenschaften wird geöffnet.
3. Wählen Sie die Registerkarte Programmeinstellungen aus.
4. Wählen Sie Detection and Response → Managed Detection and Response.
5. Aktivieren Sie den Schalter Managed Detection and Response.
6. Klicken Sie auf Import und wählen Sie die BLOB-Datei aus, die über die Konsole von Kaspersky Managed Detection and Response abgerufen wurde. Die Datei hat die Erweiterung p7.
7. Speichern Sie die vorgenommenen Änderungen.
So aktivieren Sie „Managed Detection and Response“ über die Befehlszeile
1. Starten Sie den Befehlszeileninterpreter cmd als Administrator.
2. Wechseln Sie zu dem Ordner, in dem sich das Programmpaket für Kaspersky Endpoint Security befindet.
3. Führen Sie den folgenden Befehl aus:
  - Wenn die Programmeinstellungen nicht kennwortgeschützt sind:
    avp.com MDRLICENSE /ADD <Dateiname>
    
    <Dateiname> ist der Name der BLOB-Konfigurationsdatei zur Aktivierung von Managed Detection and Response (Dateiformat p7).
  - Wenn die Programmeinstellungen kennwortgeschützt sind:
    avp.com MDRLICENSE /ADD <Dateiname> /login=<Benutzername> /password=<Kennwort>
Daraufhin verifiziert Kaspersky Endpoint Security die BLOB-Datei. Zur Verifizierung der BLOB-Datei gehört auch die Überprüfung der digitalen Signatur und der Gültigkeitsdauer der Lizenz. Wenn die BLOB-Datei erfolgreich verifiziert wurde, lädt Kaspersky Endpoint Security die Datei hoch und sendet sie bei der nächsten Synchronisierung mit Kaspersky Security Center an den Computer. Überprüfen Sie den Betriebsstatus der Komponente, indem Sie sich den Bericht über den Status der Programmkomponenten ansehen. Sie können sich den Betriebsstatus einer Komponente auch in den Berichten in der lokalen Benutzeroberfläche von Kaspersky Endpoint Security ansehen. Die Komponente Managed Detection and Response wir zur Liste der Kaspersky Endpoint Security-Komponenten hinzugefügt.
Unterstützung für „Managed Detection and Response“
Sie müssen die folgenden Komponenten aktivieren, damit „Managed Detection and Response“ funktioniert:
- Kaspersky Security Network (erweiterter Modus).
- Verhaltensanalyse.
Das Aktivieren dieser Komponenten ist obligatorisch. Andernfalls funktioniert „Kaspersky Managed Detection and Response“ nicht, da die erforderlichen Telemetriedaten nicht empfangen werden.

„Kaspersky Managed Detection and Response“ verwendet zusätzlich Daten, die von anderen Anwendungen stammen. Das Aktivieren dieser Komponenten ist optional. Diese Komponenten stellen zusätzliche Daten bereit:
Damit „Kaspersky Managed Detection and Response“ gemeinsam mit dem Administrationsserver über „Kaspersky Security Center Web Console“ funktioniert, müssen Sie auch eine neue sichere Verbindung herstellen, und zwar eine Hintergrundverbindung. Kaspersky Managed Detection and Response fordert Sie auf, eine Hintergrundverbindung herzustellen, wenn Sie die Lösung bereitstellen. Stellen Sie sicher, dass die Hintergrundverbindung hergestellt wurde. Einzelheiten zur Integration von Kaspersky Security Center mit anderen Lösungen finden Sie in der-Hilfe.

Migration von Kaspersky Endpoint Agent zu Kaspersky Endpoint Security für Windows

Kaspersky Endpoint Security Version 11 und höher unterstützt die MDR-Lösung. Kaspersky Endpoint Security der Versionen 11 – 11.5.0 sendet nur Telemetriedaten an „Kaspersky Managed Detection and Response“, um die Bedrohungserkennung zu ermöglichen. Kaspersky Endpoint Security Version 11.6.0 umfasst die gesamte Funktionalität des integrierten Agenten (Kaspersky Endpoint Agent).

Wenn Sie Kaspersky Endpoint Security 11 – 11.5.0 verwenden, müssen Sie die Datenbanken auf die neueste Version aktualisieren, um mit der MDR-Lösung arbeiten zu können. Sie müssen auch Kaspersky Endpoint Agent installieren.

Wenn Sie Kaspersky Endpoint Security 11.6.0 oder höher verwenden, müssen Sie bei der Anwendungsinstallation die Komponente „Managed Detection and Response“ auswählen, um mit der MDR-Lösung arbeiten zu können. In diesem Fall müssen Sie Kaspersky Endpoint Agent nicht installieren.

Um von Kaspersky Endpoint Agent zu Kaspersky Endpoint Security für Windows zu migrieren:

Konfigurieren Sie die Integration von „Kaspersky Managed Detection and Response“ in der Kaspersky Endpoint Security-Richtlinie.
Deaktivieren Sie die Komponente „Managed Detection and Response“ in der Kaspersky Endpoint Agent-Richtlinie.

Falls die Kaspersky Endpoint Security-Richtlinie auch für Computer gilt, auf denen Kaspersky Endpoint Security 11 – 11.5.0 nicht installiert ist, müssen Sie zuerst eine separate Kaspersky Endpoint Agent-Richtlinie für diese Computer erstellen. Konfigurieren Sie in der neuen Richtlinie die Integration mit „Kaspersky Managed Detection and Response“.

Nach oben