Intégration de l'agent intégré avec Kaspersky Sandbox
L'ajout du module Sandbox est nécessaire pour assurer l'intégration avec Kaspersky Sandbox. Vous pouvez sélectionner le module Sandbox lors de l'installation ou de la mise à jour ainsi qu'à l'aide de la tâche Modification de la sélection des modules de l'application.
Pour utiliser le module, les conditions suivantes doivent être remplies :
- Kaspersky Security Center 13.2. Les versions antérieures de Kaspersky Security Center ne permettent pas la création de tâches autonomes d'analyse IOC pour la réponse aux menaces.
- Le module peut être administré uniquement à l'aide de Web Console. Vous ne pouvez pas gérer ce module à l'aide de la Console d'administration (MMC).
- L'application est activée, et la fonctionnalité est couverte par la licence.
- Le transfert de données au Serveur d'administration est activé.
Pour utiliser toutes les fonctionnalités de Kaspersky Sandbox, assurez-vous que le transfert de données des fichiers de quarantaine est activé. Ces données sont requises pour obtenir des informations à propos des fichiers mis en quarantaine sur un ordinateur via Web Console. Par exemple, vous pouvez télécharger un fichier de la quarantaine pour l'analyser dans Web Console.
Comment activer le transfert de données vers le Serveur d'administration dans Web Console ?
- Une connexion en arrière-plan entre Kaspersky Security Center Web Console et le Serveur d'administration est établie
Pour que Kaspersky Sandbox fonctionne avec le Serveur d'administration via Kaspersky Security Center Web Console, vous devez établir une nouvelle connexion sécurisée, une connexion en arrière-plan. Pour en savoir plus sur l'intégration de Kaspersky Security Center avec les autres solutions de Kaspersky, consultez l'aide de Kaspersky Security Center.
Établissement d'une connexion en arrière-plan dans Web Console
En l'absence de connexion en arrière-plan entre Kaspersky Security Center Web Console et le Serveur d'administration, il est impossible de créer des tâches d'analyse IOC autonome dans le cadre de la réponse aux menaces.
- Pour configurer une connexion de confiance avec le serveur Sandbox, vous devez préparer un certificat TLS. Il faut ensuite ajouter le certificat à l'ordinateur à l'aide d'une stratégie. Vous devez également ajouter le certificat au serveur Sandbox.
L'authentification bidirectionnelle à l'aide d'un conteneur chiffré n'est pas disponible pour Kaspersky Sandbox.
Vous pouvez également ajouter un certificat TLS à Web Console ou localement en utilisant la ligne de commande.
- Le module Kaspersky Sandbox est activé.
Vous pouvez activer ou désactiver l'intégration avec Kaspersky Sandbox dans Web Console ou localement en utilisant la ligne de commande.
Pour activer ou désactiver l'intégration avec Kaspersky Sandbox, procédez comme suit :
- Dans la fenêtre principale de Web Console, sélectionnez Appareils → Stratégies et profils.
- Cliquez sur le nom de la stratégie de Kaspersky Endpoint Security.
La fenêtre des propriétés de la stratégie s'ouvre.
- Sélectionnez l'onglet Paramètres des applications.
- Passez à la section Detection and Response → Sandbox.
- Utilisez le commutateur Intégration avec Sandbox ACTIVÉE pour activer ou désactiver le module.
- Dans le groupe Mode d'intégration, sélectionnez le mode de fonctionnement du module : Kaspersky Sandbox (envoi manuel de fichiers pour analyse).
- Cliquez sur le lien Paramètres de connexion au serveur.
La fenêtre des paramètres de connexion du serveur Kaspersky Sandbox s'ouvre.
- Dans le groupe Certificat TLS du serveur, cliquez sur Ajouter et sélectionnez le fichier du certificat TLS.
Kaspersky Endpoint Security ne peut avoir qu'un seul certificat TLS pour un serveur Kaspersky Sandbox. Si vous avez ajouté un certificat TLS auparavant, ce certificat est révoqué. Seul le dernier certificat ajouté est utilisé.
- Configurez les paramètres de connexion avancés pour les serveurs Kaspersky Sandbox :
- Délai d'attente. Délai d'attente de la connexion avec le serveur Sandbox. Une fois le délai d'attente configuré écoulé, Kaspersky Endpoint Security envoie une requête au serveur suivant. Vous pouvez augmenter le délai d'attente de la connexion avec le serveur si votre vitesse de connexion est faible ou si la connexion est instable. Le délai d'attente recommandé pour les demandes est de 0.5 seconde ou moins.
- File d'attente des requêtes. Taille du dossier de la file d'attente des requêtes. Lors de l'envoi de plusieurs objets à l'analyse dans Sandbox, Kaspersky Endpoint Security crée une file d'attente des requêtes. Par défaut, la taille du dossier de la file d'attente des requêtes est limitée à 100 Mo. Lorsque la taille maximale est atteinte, Sandbox cesse d'ajouter de nouvelles requêtes à la file d'attente et envoie l'événement correspondant à Kaspersky Security Center. Vous pouvez configurer la taille du dossier de la file d'attente des requêtes en fonction de la configuration de votre serveur.
- Cliquez sur le bouton Ajouter dans le groupe Serveurs.
- Une fenêtre s'ouvre. Dans cette fenêtre, saisissez l'adresse du serveur Sandbox (IPv4, IPv6, DNS) ainsi que le port.
Pour en savoir plus sur le déploiement des images virtuelles et la configuration des serveurs Sandbox, consultez l'aide de Kaspersky Sandbox.
- Enregistrez vos modifications.
Kaspersky Endpoint Security vérifie alors le certificat TLS. Si le certificat est validé, Kaspersky Endpoint Security charge le fichier du certificat sur l'ordinateur lors de la prochaine synchronisation avec Kaspersky Security Center. Si vous avez ajouté deux certificats TLS, Kaspersky Sandbox utilisera le dernier certificat pour établir une connexion de confiance. Vérifiez l'état de fonctionnement du module en consultant le Rapport sur l'état des modules de l'application. Vous pouvez également consulter l'état de fonctionnement d'un module dans les rapports de l'interface locale de Kaspersky Endpoint Security. Le module Sandbox sera ajouté à la liste des modules de Kaspersky Endpoint Security.
Kaspersky Endpoint Security enregistre les informations relatives au fonctionnement du module Kaspersky Sandbox dans un rapport. Le rapport contient également des informations sur les erreurs. Si une erreur s'affiche dont la description correspond au format Error code: XXX (par exemple, 0xa67b01f4), contactez le Support Technique.