Карточка инцидента для файлового сервера

[Amacclaellis]

Добрый день. Такой вопрос. При установке Касперского для файловых серверов нет пункта EDR. Соответственно, нет возможности получить обогащенной карточки инцидента. Так вот, данный функционал работает только на рабочих станциях? Нужно ли что-то дополнительное ставить на сервер для отображения карточки инцидента? 

 

Срабочих станций карточки формируются нормально

Заранее спасибо за ответ. 

Edited November 25, 2022 by Amacclaellis

[ElvinE5]

Добрый день

вот справка на продукту https://support.kaspersky.com/KEDR_Optimum/2.3/ru-RU/216855.htm

если вы используете для защиты серверов KSWS 11.0.1 - установите дополнительно Endpoint Agent 3.13 (сейчас) и настройте политику для него.

Если на сервер установлен KES 11.11 (для рабочих станций, например) и вы указали установку соответствующего компонента в интсталяционном пакете перед развертыванием, то EA дополнительно ставить не надо.

 

карточка может не строится если нечего строить, события где есть заполненная карточка имеют ссылку "Обогащенный", возможно в вашем случаи там просто нечем "обогащать".

 

upd: это англоязычный раздел форума :), русский ниже по списку .. наверно надо перенести тему ...или админов попросить это сделать.

Edited November 25, 2022 by ElvinE5

[Amacclaellis]

23 минуты назад, ElvinE5 сказал:

Добрый день

вот справка на продукту https://support.kaspersky.com/KEDR_Optimum/2.3/ru-RU/216855.htm

если вы используете для защиты серверов KSWS 11.0.1 - установите дополнительно Endpoint Agent 3.13 (сейчас) и настройте политику для него.

Если на сервер установлен KES 11.11 (для рабочих станций, например) и вы указали установку соответствующего компонента в интсталяционном пакете перед развертыванием, то EA дополнительно ставить не надо.

 

карточка может не строится если нечего строить, события где есть заполненная карточка имеют ссылку "Обогащенный", возможно в вашем случаи там просто нечем "обогащать".

Большое спасибо за ответ) Сейчас попробую)

24 минуты назад, ElvinE5 сказал:

upd: это англоязычный раздел форума :), русский ниже по списку .. наверно надо перенести тему ...или админов попросить это сделать.

Ой, прошу прощения за мою невнимательность ^^'. Впервые на форуме. Обратился за помощью к модераторам)

[ElvinE5]

Дополнительно обнаружил следующие. ?

если в инсталяционном пакете KSWS 11.0.1 установить вот эту галочку (ранее не замечал :)) то после развертывания на сервере, EA будет установлен, правда в моем пакете был "вшит" EA 3.10, но возможность есть установить разом. Не нашел об этом записей в справке ... если проглядел ткните пожалуйста.

 

 

?

Edited November 25, 2022 by ElvinE5

[Amacclaellis]

В 25.11.2022 в 18:38, ElvinE5 сказал:

Дополнительно обнаружил следующие. ?

если в инсталяционном пакете KSWS 11.0.1 установить вот эту галочку (ранее не замечал :)) то после развертывания на сервере, EA будет установлен, правда в моем пакете был "вшит" EA 3.10, но возможность есть установить разом. Не нашел об этом записей в справке ... если проглядел ткните пожалуйста.

Так-с, KEA последней версии установлен, однако на файловом сервере по прежнему не выдает карточку инцидента. Я пробовал пропустить через него вирус, однако все осталось также ?

[ElvinE5]

политику настроили отдельно для EA ?

upd: задачи обновления тоже.

при прогоне этого же вредоноса на KES 11 - карточка формируется ?

но, на вашем месте я бы так не рисковал ?

есть специальная сборка синтетического вируса которая должна строить карточку ... специально для Optimum

к сожалению не могу поделится, запросите помощи через компани аккаунт - https://companyaccount.kaspersky.com

файл называется - sw_test.exe

 

Edited November 28, 2022 by ElvinE5

[Amacclaellis]

14 минут назад, ElvinE5 сказал:

политику настроили отдельно для EA ?

upd: задачи обновления тоже.

Немного зависаю ?

А подскажите, какие политики и задачи необходимо настроить? Необходимо ли настраивать политику MDR?

 

18 минут назад, ElvinE5 сказал:

при прогоне этого же вредоноса на KES 11 - карточка формируется ?

Да, на рабочих станциях карточка формируется. На файловом сервере все та же ошибка:

"не удалось создать карточку инцидента.

19 минут назад, ElvinE5 сказал:

есть специальная сборка синтетического вируса которая должна строить карточку ... специально для Optimum

к сожалению не могу поделится, запросите помощи через компани аккаунт - https://companyaccount.kaspersky.com

файл называется - sw_test.exe

Как раз данной сборкой и пользовался ^^'

[Amacclaellis]

Если я правильно понимаю, политика endpoint  связана с MDR, для которой необходимо приобретение другой лицензии? Или я что то не так делаю? ?

[ElvinE5]

MDR нет, у вас лицензии нет ... %) с Optimum не совместима.

задача, обновления баз и модулей EA, и прорвете что сам EA ключ получил.

ну в политике не так много всего проверти пункты.

 

 

 

[ElvinE5]

6 минут назад, Amacclaellis сказал:

Если я правильно понимаю, политика endpoint  связана с MDR

нет, вернее не только ?

политика для работы EA с возможностью интеграции с KATA или KICS например, ну и MDR тоже

[Amacclaellis]

45 минут назад, ElvinE5 сказал:

MDR нет, у вас лицензии нет ... %) с Optimum не совместима.

задача, обновления баз и модулей EA, и прорвете что сам EA ключ получил.

ну в политике не так много всего проверти пункты.

Отсутствуют параметры KSN и Серверы сбора телеметрии ?

[ElvinE5]

Интересно, может плагин криво лег. Попробуйте удалить и переставить. Или попробуйте через web плагин.

параметры отображения консоли не влияют вроде, у себя потыкал, активация сервера тоже не должна влиять. EA я так понимаю 3.13 и плагин к нему соответствующий ?

Edited November 28, 2022 by ElvinE5

[Amacclaellis]

19 минут назад, ElvinE5 сказал:

Интересно, может плагин криво лег. Попробуйте удалить и переставить. Или попробуйте через web плагин.

параметры отображения консоли не влияют вроде, у себя потыкал, активация сервера тоже не должна влиять. EA я так понимаю 3.13 и плагин к нему соответствующий ?

[ElvinE5]

у меня все на месте ... ?

[Amacclaellis]

24 минуты назад, ElvinE5 сказал:

у меня все на месте ... ?

Тогда еще страннее ?. Можно ли что то еще сделать?(

[ElvinE5]

ну вы политику то проверили в веб консоли ? плагин в MMC переустановили и проверили ?

тогда в компании аккаунт ... я пока не придумал из за чего подобное может происходить

Edited November 28, 2022 by ElvinE5