Kaspersky Sandbox

Kaspersky Endpoint Security 11.7.0 enthält jetzt die Komponente „Kaspersky Sandbox“. Diese Komponente ermöglicht die Interoperabilität mit der Lösung „Kaspersky Sandbox“. Die „Kaspersky Sandbox“-Lösung erkennt und blockiert automatisch komplexe Bedrohungen auf Computern. „Kaspersky Sandbox“ analysiert das Verhalten von Objekten, um schädliche Aktivitäten zu erkennen sowie Aktivitäten, die für gezielte Angriffe auf die IT-Infrastruktur eines Unternehmens charakteristisch sind. „Kaspersky Sandbox“ analysiert und untersucht Objekte auf speziellen Servern, auf denen virtuelle Abbilder von Microsoft Windows-Betriebssystemen bereitstehen („Kaspersky Sandbox“-Server). Einzelheiten zur Lösung finden Sie in der Kaspersky Sandbox-Hilfe.

Das Programm bietet Ihnen folgende Möglichkeiten zur Interaktion mit „Kaspersky Sandbox“:

Ein TLS-Zertifikat hinzufügen, um eine sichere Verbindung zu den „Kaspersky Sandbox“-Servern herzustellen.
„Kaspersky Sandbox“-Server hinzufügen.
Eine Aktion zur Reaktion auf Bedrohungen auswählen.
Auf Kompromittierungsindikatoren (IOC) untersuchen.

„Kaspersky Sandbox“ erfordert Kaspersky Security Center Version 13.2. In älteren Versionen von Kaspersky Security Center können keine eigenständigen IOC-Untersuchungsaufgaben zur Reaktion auf Bedrohungen erstellt werden.

Die Komponente kann nur über die „Web Console“ verwaltet werden. Sie können diese Komponente nicht mit der Verwaltungskonsole (MMC) verwalten.

Integration mit „Kaspersky Sandbox“

Die Integration mit „Kaspersky Sandbox“ umfasst die folgenden Schritte:

Installation der Komponente „Kaspersky Sandbox“
Sie können die Komponente „Kaspersky Sandbox“ während der Installation oder dem Upgrade auswählen oder die Aufgabe Auswahl der Programmkomponenten ändern verwenden.

Nachdem die Aufgabe Auswahl der Programmkomponenten ändern ausgeführt wurde, wird der Status der Aufgabe inkorrekt angezeigt. Anstelle von Erfolgreich abgeschlossen wird der Status Ausführung nach Zeitplan angezeigt. Die Aufgabe kann aber trotzdem erfolgreich abgeschlossen werden. Stellen Sie sicher, dass die neue Komponente installiert ist. Überprüfen Sie dies in den Computer-Eigenschaften der Kaspersky Security Center-Konsole (Programme → Kaspersky Endpoint Security für Windows → Komponenten) oder auf der lokalen Programmoberfläche.
Hinzufügen eines TLS-Zertifikats
Um eine vertrauenswürdige Verbindung mit „Kaspersky Sandbox“-Servern zu konfigurieren, müssen Sie ein TLS-Zertifikat vorbereiten. Anschließend müssen Sie das Zertifikat den „Kaspersky Sandbox“-Servern und der Richtlinie für Kaspersky Endpoint Security hinzufügen. Genaue Informationen darüber, wie Sie das Zertifikat vorbereiten und den Servern hinzufügen können, finden Sie in der Hilfe zur Kaspersky Sandbox.

So fügen Sie mithilfe der „Web Console“ ein TLS-Zertifikat hinzu
1. Wählen Sie im Hauptfenster der „Web Console“ den Punkt Geräte → Richtlinien und Profile.
2. Klicken Sie auf den Namen der Richtlinie von Kaspersky Endpoint Security.
  Das Fenster mit den Richtlinieneigenschaften wird geöffnet.
3. Wählen Sie die Registerkarte Programmeinstellungen aus.
4. Wechseln Sie zu Detection and Response → Kaspersky Sandbox.
5. Klicken Sie auf Einstellungen der Serververbindung.
  Dadurch wird das Fenster für die Einstellungen der Verbindung mit den „Kaspersky Sandbox“-Servern geöffnet.
6. Klicken Sie unter TLS-Serverzertifikat auf Hinzufügen und wählen Sie die TLS-Zertifikatsdatei aus.
  Kaspersky Endpoint Security kann nur ein TLS-Zertifikat für einen „Kaspersky Sandbox“-Server haben. Wenn Sie bereits ein TLS-Zertifikat hinzugefügt haben, wird dieses Zertifikat widerrufen. Nur das zuletzt hinzugefügte Zertifikat wird verwendet.
7. Passen Sie die erweiterten Verbindungseinstellungen für die „Kaspersky Sandbox“-Server an:
  - Zeitüberschreitung der Anfrage. Zeitlimit für Verbindungen mit einem „Kaspersky Sandbox“-Server. Nach Ablauf des festgelegten Timeouts sendet Kaspersky Endpoint Security eine Anfrage an den nächsten Server. Sie können das Verbindungstimeout für „Kaspersky Sandbox“ erhöhen, wenn Ihre Verbindungsgeschwindigkeit niedrig ist oder die Verbindung instabil ist. Standardmäßig ist ein Wert von 5 Sekunden eingestellt.
  - „Kaspersky Sandbox“-Anforderungswarteschlange. Größe des Ordners der Anforderungswarteschlange. Wenn auf dem Computer auf ein Objekt zugegriffen wird (eine ausführbare Datei ausgeführt oder z. B. ein Dokument im DOCX- oder PDF-Format geöffnet wird), kann Kaspersky Endpoint Security das Objekt auch zur Untersuchung an „Kaspersky Sandbox“ senden. Bei mehreren Anfragen erstellt Kaspersky Endpoint Security eine Anforderungswarteschlange. Die Größe des Ordners der Anforderungswarteschlange ist standardmäßig auf 100 MB begrenzt. Wenn die maximale Größe erreicht wird, fügt „Kaspersky Sandbox“ keine neuen Anforderungen zur Warteschlange hinzu und sendet ein entsprechendes Ereignis an Kaspersky Security Center. Abhängig von Ihrer Serverkonfiguration können Sie die Größe des Ordners der Anforderungswarteschlange anpassen.
8. Speichern Sie die vorgenommenen Änderungen.
Daraufhin überprüft Kaspersky Endpoint Security das TLS-Zertifikat. Wenn das Zertifikat erfolgreich verifiziert wurde, lädt Kaspersky Endpoint Security das Zertifikat bei der nächsten Synchronisierung mit Kaspersky Security Center auf den Computer hoch. Wenn Sie zwei TLS-Zertifikate hinzugefügt haben, verwendet Kaspersky Sandbox beim Herstellen einer vertrauenswürdigen Verbindung das aktuellere Zertifikat.
Sie können dem Computer auch lokal über die Befehlszeile ein TLS-Zertifikat hinzufügen.
Aktivieren der Komponente „Kaspersky Sandbox“
Sie können die Komponente in den Richtlinieneinstellungen für Kaspersky Endpoint Security für Windows aktivieren oder deaktivieren.

Um die Komponente zu verwenden, müssen folgende Bedingungen erfüllt sein:
- Die Anwendung ist aktiviert und die Funktionalität ist durch die Lizenz abgedeckt.
- Die Komponente „Kaspersky Sandbox“ ist aktiviert.
So aktivieren oder deaktivieren Sie „Kaspersky Sandbox“ über die „Web Console“
1. Wählen Sie im Hauptfenster der „Web Console“ den Punkt Geräte → Richtlinien und Profile.
2. Klicken Sie auf den Namen der Richtlinie von Kaspersky Endpoint Security.
  Das Fenster mit den Richtlinieneigenschaften wird geöffnet.
3. Wählen Sie die Registerkarte Programmeinstellungen aus.
4. Wechseln Sie zu Detection and Response → Kaspersky Sandbox.
5. Verwenden Sie den Schalter Integration mit Kaspersky Sandbox, um die Komponente zu aktivieren oder zu deaktivieren.
6. Speichern Sie die vorgenommenen Änderungen.
Sie können „Kaspersky Sandbox“ auch lokal über die Befehlszeile aktivieren oder deaktivieren.

Die Komponente „Kaspersky Sandbox“ ist nun aktiviert. Überprüfen Sie den Betriebsstatus der Komponente, indem Sie sich den Bericht über den Status der Programmkomponenten ansehen. Sie können sich den Betriebsstatus einer Komponente auch in den Berichten in der lokalen Benutzeroberfläche von Kaspersky Endpoint Security ansehen. Die Komponente Kaspersky Sandbox wird zur Liste der Kaspersky Endpoint Security-Komponenten hinzugefügt.
Verbinden von Computern mit „Kaspersky Sandbox-„Servern
Um Computer mit den „Kaspersky Sandbox“-Servern verbinden, auf denen virtuelle Betriebssystemabbilder bereitstehen, müssen Sie eine Serveradresse und einen Port angeben. Einzelheiten zur Bereitstellung virtueller Abbilder und über die Konfiguration von „Kaspersky Sandbox“-Servern finden Sie in der Hilfe zu Kaspersky Sandbox.

So verbinden Sie mithilfe der „Web Console“ Computer mit den „Kaspersky Sandbox“-Servern
1. Wählen Sie im Hauptfenster der „Web Console“ den Punkt Geräte → Richtlinien und Profile.
2. Klicken Sie auf den Namen der Richtlinie von Kaspersky Endpoint Security.
  Das Fenster mit den Richtlinieneigenschaften wird geöffnet.
3. Wählen Sie die Registerkarte Programmeinstellungen aus.
4. Wechseln Sie zu Detection and Response → Kaspersky Sandbox.
5. Klicken Sie unter „Kaspersky Sandbox“-Server auf Hinzufügen.
6. Dadurch wird ein Fenster geöffnet. Geben Sie im Fenster die Serveradresse (IPv4, IPv6, DNS) und den Port für „Kaspersky Sandbox“ ein.
7. Speichern Sie die vorgenommenen Änderungen.
Herstellen einer Hintergrundverbindung zwischen „Kaspersky Security Center Web Console“ und dem Administrationsserver
Damit „Kaspersky Sandbox“ mit dem Administrationsserver über „Kaspersky Security Center Web Console“ funktioniert, müssen Sie eine neue sichere Hintergrundverbindung herstellen. Einzelheiten zur Integration von Kaspersky Security Center mit anderen Lösungen finden Sie in der Hilfe zu Kaspersky Security Center.

Erstellung einer Hintergrundverbindung in Web Console
1. Wählen Sie im Hauptfenster von „Web Console“ den Punkt Konsoleneinstellungen → Integration aus.
2. Gehen Sie zum Abschnitt Integration zwischen Services.
3. Aktivieren Sie den Umschalter Herstellen einer Hintergrundverbindung für die dienstübergreifende Integration.
4. Speichern Sie die vorgenommenen Änderungen.
Wenn keine Hintergrundverbindung zwischen „Kaspersky Security Center Web Console“ und dem Administrationsserver hergestellt wird, können eigenständige IOC-Untersuchungsaufgaben nicht als Teil von „Threat Response“ erstellt werden.
Datenübertragung zum Administrationsserver aktivieren
Um alle Funktionen von Kaspersky Sandbox nutzen zu können, muss die Übertragung von Daten zu Quarantänedateien aktiviert sein. Diese Daten sind erforderlich, um via Web Console Informationen zu Dateien abzurufen, die sich auf dem Computer in der Quarantäne befinden. So können Sie z. B. in Web Console eine Datei aus der Quarantäne zur Analyse herunterladen.

So aktivieren Sie die Datenübertragung zum Administrationsserver in Web Console
1. Wählen Sie im Hauptfenster der „Web Console“ den Punkt Geräte → Richtlinien und Profile.
2. Klicken Sie auf den Namen der Richtlinie von Kaspersky Endpoint Security.
  Das Fenster mit den Richtlinieneigenschaften wird geöffnet.
3. Wählen Sie die Registerkarte Programmeinstellungen aus.
4. Wählen Sie die Option Allgemeine Einstellungen → Berichte und Speicher aus.
5. Aktivieren Sie unterhalb von Datenübertragung zum Administrationsserver das Kontrollkästchen Über Quarantänedateien.
6. Speichern Sie die vorgenommenen Änderungen.

Migration von Kaspersky Endpoint Agent zu Kaspersky Endpoint Security für Windows

Wenn Sie Kaspersky Endpoint Security 11.7.0 oder höher mit der installierten Komponente „Kaspersky Sandbox“ verwenden, ist die Interoperabilität mit der „Kaspersky Sandbox“-Lösung sofort nach der Installation gegeben. Die Komponente „Kaspersky Sandbox“ ist nicht mit Kaspersky Endpoint Agent kompatibel. Wenn Kaspersky Endpoint Agent auf dem Computer installiert ist und Kaspersky Endpoint Security auf Version 11.7.0 aktualisiert wird, funktioniert „Kaspersky Sandbox“ weiterhin mit Kaspersky Endpoint Security. Außerdem wird Kaspersky Endpoint Agent vom Computer entfernt. Um die Migration von Kaspersky Endpoint Agent zu Kaspersky Endpoint Security für Windows abzuschließen, müssen Sie die Richtlinien- und Aufgabeneinstellungen mithilfe des Migrations-Assistenten übertragen.

Wenn Sie Kaspersky Endpoint Security 11.4.0–11.6.0 für die Interoperabilität mit „Kaspersky Sandbox“ verwenden, ist Kaspersky Endpoint Agent in der Anwendung enthalten. Sie können Kaspersky Endpoint Agent gleichzeitig mit Kaspersky Endpoint Security installieren.

Die Komponente „Kaspersky Sandbox“, die zu Kaspersky Endpoint Security gehört, unterstützt die Interoperabilität mit der Lösung „Kaspersky Sandbox 2.0“. Die Lösung „Kaspersky Sandbox 1.0“ wird nicht unterstützt.

Nach oben