Взаимодействие с Kaspersky Security Center (KSC) необходимо для динамического профилирования подключений АРМ, на которых установлен агент KES, для помещения сетевого подключения в тот или иной сегмент сети в зависимости от состояния АРМ. Это взаимодействие осуществляется через KSC OpenAPI. На текущий момент реализовано получение следующих параметров управляемых устройств:
status - статус агента админстрованияадминистрирования (0 - OK, 1 -Critical, 2 - Warning)
host_visible - устройство видно в сети (1- да,0 - нет)
agent_installed - агент установлен (1- да,0 - нет)
agent_alive - Агент на связи (1- да,0 - нет)
protect_installed - антивирус установлен (1- да,0 - нет)
В настоящий момент (WNAM2-UPD5) интеграция сделана через модуль взаимодействия со службами каталога, ADCTool. Также при небольшой доработке модификации ADCTool можно добавить обеспечить получение и других параметров, описанных в api API: https://support.kaspersky.com/help/KSC/14/KSCAPI/a00011.html
Настройка взаимодействия WNAM2 с KSC выполняется в несколько этапов
...
1. Создание учетной записи wnam на KSC
...
Для взаимодействия с KSC достаточно учетной записи с ролью "Оператор Сервера администрирования" и областью действия "Сервер администрирования".
2. Настройка
...
ADCTool
В конфигурации adctool (/opt/adctool/config.json) требуется прописать три параметра:
...
{
"kcache_refresh": 3600,
"root_path": "/opt/adctool",
"domains": [
"lab.wnam.ru",
"otherdom.wnam.ru"
],
"hostname": "STRESS-TEST-ADC",
"cfg": {
"lab.wnam.ru": {
"site": null,
"ou": null,
"server": "win.lab.wnam.ru",
"hostname_ldap": "STRESS-TEST-ADC",
"hostname_ntlm": "STW1"
},
"otherdom.wnam.ru": {
"site": null,
"ou": null,
"server": null,
"hostname_ldap": "STRESS-TEST-ADC",
"hostname_ntlm": "STRESS-TEST"
}
},
"ntlmdomain": "lab.wnam.ru",
"ksc_host": "ksc.lab.wnam.ru:13299",
"ksc_username":"wnam2",
"ksc_password":"Qwerty123."
}
3. Настройки
...
WNAM 2
Сначала добавляем параметры имена параметров типа "KES", которые будем проверять использовать в правилах аутентификации. Это делается в веб-интерфейсе системы, в разделе "NAC - Дополнительно - Параметры защищенности". Параметр задается в виде строки формата "внешняя_система:имя_параметра". Для касперского это Kaspersky Endpoint Security имя внешней системы: KES.
Пример:
Для примера создадим два правила контролирующих запущенность , реагирующих на факт работы агента администрирования на контролируемом устройствеАРМ.
Первое правило помещает устройство в vlan 1, если агент запущен. Это для нас будет "целевой VLAN".
второе Второе правило помещает устройство в vlan 333, если агент не запущен. Это для нас будет "карантинный VLAN".
В правиле авторизации для этих правил аутентификации можно указать, чтобы WNAM 2 повторно контролировал параметры защищенности этого устройства через заданные промежутки времени, и при их изменении проводил реавторизацию сессии.
После подключения клиента с запущенным агентом он попадает в vlan 1:
Теперь мы вручную выключаем службу агента, и wnam WNAM 2 отправляет на коммутатор CoA-пакет для переавторизации сессии устройства:
после После повторной авторизации устройство попадает в vlan 333.
Если службу запустить снова, устройство вернется в vlan 1
В результате произошло в логе сессий подключения мы увидим, что произошли три последовательных аутентификации в зависимости от состояния службы агента KSC.
