连接到遥测采集服务器

遥测采集服务器 是 SIEM 解决方案的一部分，用于收集、规范化、关联、分析和存储有关计算机上发生的事件的信息。

配置以下内容以连接到遥测采集服务器（KUMA）：

• “超时(秒)”。最大服务器响应超时。当超时用完时，Kaspersky Endpoint Security 会尝试连接到不同的服务器。
• “服务器证书”。用于与服务器建立受信任连接的 TLS 证书。您可以在 Open Single Management Platform 上获取 TLS 证书（请参阅 Kaspersky Endpoint Detection and Response Expert (on-premise) 帮助中的说明）。
• “使用双向身份验证”。在 Kaspersky Endpoint Security 和服务器之间建立安全连接时进行双向身份验证。要使用双向身份验证，您需要在服务器设置中启用双向身份验证，然后获取加密容器并设置密码以保护加密容器。加密容器是带有证书和私钥的 PFX 存档。您可以在 Open Single Management Platform 上获取加密容器（请参阅 Kaspersky Endpoint Detection and Response Expert (on-premise) 帮助中的说明）。配置服务器设置后，您还需要在 Kaspersky Endpoint Security 设置中启用双向身份验证并加载受密码保护的加密容器。

加密容器必须受密码保护。无法添加密码为空的加密容器。

地址和端口（遥测采集服务器）

连接遥测采集服务器的设置。您可以输入 IP 地址（IPv4 或 IPv6）。

您可以添加多个遥测采集服务器地址。Kaspersky Endpoint Security 尝试连接到第一个 IP 地址的服务器。如果连接失败，Kaspersky Endpoint Security 将尝试连接到列表中的第二个 IP 地址，依此类推。

将遥测发送到遥测采集服务器

此功能使您可以完全关闭向 KATA 服务器发送遥测数据。例如，如果您将 Kaspersky Anti Targeted Attack Platform 与另一个也使用遥测的解决方案一起使用，您可以关闭 KATA (EDR) 的遥测发送。这使您可以优化这些解决方案的服务器负载。如果您部署了 Managed Detection and Response 解决方案和 KATA (EDR)，则可以使用 MDR 遥测并在 KATA (EDR) 中创建威胁响应任务。

• “仅发送带有 IOA 的遥测”。这允许优化遥测并仅发送带有 IOA 的遥测。攻击指标 (IOA) 是一条包含系统中可能表明有针对性攻击的可疑行为描述的规则。应用程序将系统中正在进行的行为与这些规则进行比较，并记录表明有针对性攻击的事件。应用程序使用流式扫描技术，可以实时跟踪此类事件。
• “最大事件传输延迟(秒)”。应用程序在同步间隔到期后与服务器同步以发送事件。默认设置是 30 秒。
• “限制每次传输的事件数据包数量”。当缓冲区充满事件时，应用程序会与服务器同步。默认设置是 1024 个事件。此功能允许在与服务器同步之前禁用事件缓冲。

启用请求限制

该功能有助于优化服务器上的负载。如果选中该复选框，应用程序将限制传输的事件。如果事件数量超过配置的限制，Kaspersky Endpoint Security 将停止发送事件。

配置遥测设置：

• “每小时最大事件数”。如果事件流超过配置的每小时事件数限制，应用程序会分析遥测数据流并限制事件的发送。Kaspersky Endpoint Security 在一小时后恢复发送事件。默认设置是每小时 3000 个事件。如果应用程序安装在服务器上，遥测数据流会更高。对于服务器，建议将该值增加到每小时 60,000 个事件。
• “超出事件限制的百分比”。该应用程序按类型对事件进行排序（例如，“注册表中的更改”事件），如果相同类型的事件占事件总数的比率超过配置的百分比限制，则限制事件的传输。当其他事件与事件总数的比率再次变得足够大时，Kaspersky Endpoint Security 将恢复发送事件。默认设置为 15%。

发送同步请求到服务器的间隔(分钟)

发送到服务器的同步请求的频率。在同步期间，Kaspersky Endpoint Security 发送有关修改的应用程序设置和任务的信息。

连接到响应服务器

响应服务器 是一个用于接收和扫描数据、研究对象行为和发布此类研究结果的服务器。

为响应服务器连接配置以下内容：

• “超时(秒)”。最大服务器响应超时。当超时用完时，Kaspersky Endpoint Security 会尝试连接到不同的服务器。
• “服务器证书”。用于与服务器建立受信任连接的 TLS 证书。您可以在 Open Single Management Platform 上获取 TLS 证书（请参阅 Kaspersky Endpoint Detection and Response Expert (on-premise) 帮助中的说明）。
• “使用双向身份验证”。在 Kaspersky Endpoint Security 和服务器之间建立安全连接时进行双向身份验证。要使用双向身份验证，您需要在服务器设置中启用双向身份验证，然后获取加密容器并设置密码以保护加密容器。加密容器是带有证书和私钥的 PFX 存档。您可以在 Open Single Management Platform 上获取加密容器（请参阅 Kaspersky Endpoint Detection and Response Expert (on-premise) 帮助中的说明）。配置服务器设置后，您还需要在 Kaspersky Endpoint Security 设置中启用双向身份验证并加载受密码保护的加密容器。

地址和端口（响应服务器）

连接到响应服务器的设置。您可以输入 IP 地址（IPv4 或 IPv6）。

您可以添加多个遥测采集服务器地址。Kaspersky Endpoint Security 尝试连接到第一个 IP 地址的服务器。如果连接失败，Kaspersky Endpoint Security 将尝试连接到列表中的第二个 IP 地址，依此类推。

发送同步请求到服务器的间隔(分钟)

发送到服务器的同步请求的频率。在同步期间，Kaspersky Endpoint Security 发送有关修改的应用程序设置和任务的信息。

连接到 KATA 服务器

为 Central Node 服务器连接配置以下内容：

• “超时(秒)”。最大 Central Node 服务器响应超时。当超时用完时，Kaspersky Endpoint Security 会尝试连接到不同的 Central Node 服务器。
• “服务器证书”。用于与 Central Node 服务器建立可信连接的 TLS 证书。您可以在 Kaspersky Anti Targeted Attack Platform 控制台中获取 TLS 证书（请参阅 Kaspersky Anti Targeted Attack Platform 帮助中的说明）。
• “使用双向身份验证”。在 Kaspersky Endpoint Security 和 Central Node 之间建立安全连接时进行双向身份验证。要使用双向身份验证，您需要在 Central Node 服务器设置中启用双向身份验证，然后获取加密容器并设置密码以保护加密容器。加密容器是带有证书和私钥的 PFX 存档。您可以在 Kaspersky Anti Targeted Attack Platform 控制台中获得一个加密容器（请参阅 Kaspersky Anti Targeted Attack Platform 帮助中的说明）。配置 Central Node 设置后，您还需要在 Kaspersky Endpoint Security 设置中启用双向身份验证并加载受密码保护的加密容器。

加密容器必须受密码保护。无法添加密码为空的加密容器。

地址和端口（KATA 服务器）

连接到 Kaspersky Anti Targeted Attack Platform 服务器的设置。请输入 Central Node 服务器 IP 地址（IPv4 或 IPv6）和连接到服务器的端口。

您可以添加多个 Central Node 服务器地址。Kaspersky Endpoint Security 尝试连接到第一个 IP 地址的服务器。如果连接失败，Kaspersky Endpoint Security 将尝试连接到列表中的第二个 IP 地址，依此类推。

发送遥测到 KATA

此功能使您可以完全关闭向 KATA 服务器发送遥测数据。例如，如果您将 Kaspersky Anti Targeted Attack Platform 与另一个也使用遥测的解决方案一起使用，您可以关闭 KATA (EDR) 的遥测发送。这使您可以优化这些解决方案的服务器负载。如果您部署了 Managed Detection and Response 解决方案和 KATA (EDR)，则可以使用 MDR 遥测并在 KATA (EDR) 中创建威胁响应任务。

配置遥测设置：

• “最大事件传输延迟(秒)”。应用程序在同步间隔到期后与服务器同步以发送事件。默认设置是 30 秒。
• 事件包的最大数量。当缓冲区充满事件时，应用程序会与服务器同步。默认设置是 1024 个事件。

启用请求限制

该功能有助于优化服务器上的负载。如果选中该复选框，应用程序将限制传输的事件。如果事件数量超过配置的限制，Kaspersky Endpoint Security 将停止发送事件。

配置遥测设置：

• “每小时最大事件数”。如果事件流超过配置的每小时事件数限制，应用程序会分析遥测数据流并限制事件的发送。Kaspersky Endpoint Security 在一小时后恢复发送事件。默认设置是每小时 3000 个事件。如果应用程序安装在服务器上，遥测数据流会更高。对于服务器，建议将该值增加到每小时 60,000 个事件。
• “超出事件限制的百分比”。该应用程序按类型对事件进行排序（例如，“注册表中的更改”事件），如果相同类型的事件占事件总数的比率超过配置的百分比限制，则限制事件的传输。当其他事件与事件总数的比率再次变得足够大时，Kaspersky Endpoint Security 将恢复发送事件。默认设置为 15%。