Взаимодействие с Kaspersky Security Center (KSC) необходимо для динамического профилирования подключений АРМ, на которых установлен агент KES, для помещения сетевого подключения в тот или иной сегмент сети в зависимости от состояния АРМ. Оно осуществляется через KSC OpenAPIOpenAPI между KSC и WNAM 2 сервером. На текущий момент реализовано получение следующих параметров управляемых устройствиз агента клиентского устройства:
status - статус агента админстрованияадминистрирования (0 - OK, 1 -Critical, 2 - Warning)
host_visible - устройство видно в сети (1- да,0 - нет)
agent_installed - агент установлен (1- да,0 - нет)
agent_alive - Агентагент на связи (1- да,0 - нет)
protect_installed - антивирус установлен (1- да,0 - нет)
В настоящий момент (WNAM2-UPD5 beta, июль 2026) интеграция выполнена через модуль взаимодействия WNAM 2 со службами каталога, ADCTool. Также при небольшой доработке модификации ADCTool можно добавить обеспечить получение и других параметров KSC, описанных в api API: https://support.kaspersky.com/help/KSC/14/KSCAPI/a00011.html
ADCTool поддерживает в себе кэш статусов агентов KES, полученный с сервера KSC. Для корректной работы этого механизма необходимо, чтобы в процессе авторизации WNAM 2 видел
имена хостов АРМ, т.к. по ним получается статус рабочего места у сервера KES (Это достижимо только, если авторизация клиентских устройств ведется по типу "машинная") или
IP адреса АРМ. Для этого необходимо, чтобы WNAM 2 получал данные об этих адресах (корректно работал DHCP snooping на коммутаторе доступа/контроллере БЛВС).
Настройка взаимодействия WNAM2 с KSC выполняется в несколько этапов
...
1. Создание учетной записи wnam на KSC
...
Для взаимодействия с KSC достаточно учетной записи с ролью "Оператор Сервера администрирования" и областью действия "Сервер администрирования".
2. Настройка
...
ADCTool
В конфигурации adctool (/opt/adctool/config.json) требуется вручную, один раз, прописать три параметра:
- ksc_host - Имя имя и порт сервер сервера KSC
- ksc_username - имя пользователя учетной записи, созданной на первом этапе
- ksc_password - пароль пользователя учетной записи, созданной на первом этапе
...
{
"kcache_refresh": 3600,
"root_path": "/opt/adctool",
"domains": [
"lab.wnam.ru",
"otherdom.wnam.ru"
],
"hostname": "STRESS-TEST-ADC",
"cfg": {
"lab.wnam.ru": {
"site": null,
"ou": null,
"server": "win.lab.wnam.ru",
"hostname_ldap": "STRESS-TEST-ADC",
"hostname_ntlm": "STW1"
},
"otherdom.wnam.ru": {
"site": null,
"ou": null,
"server": null,
"hostname_ldap": "STRESS-TEST-ADC",
"hostname_ntlm": "STRESS-TEST"
}
},
"ntlmdomain": "lab.wnam.ru",
"ksc_host": "ksc.lab.wnam.ru:13299",
"ksc_username":"wnam2",
"ksc_password":"Qwerty123."
}
3. Настройки
...
WNAM 2
Сначала добавляем параметры которые будем проверять имена параметров типа "KES", которые затем будем использовать в правилах аутентификации. Это делается в веб-интерфейсе системы, в разделе "NAC - Дополнительно - Параметры защищенности". Параметр задается в виде строки формата "внешняя_система:имя_параметра". Для касперского это Kaspersky Endpoint Security имя внешней системы: KES.
Пример:
Далее создаем правило аутентификации которое будет проверять один или несколько параметров защищенности.
Для примера создадим два правила, реагирующих на факт работы агента администрирования на контролируемом АРМ.
Первое правило помещает устройство в vlan 1, если агент запущен. Это для нас будет "целевой VLAN".
Второе правило помещает устройство в vlan 333, если агент не запущен. Это для нас будет "карантинный VLAN". Конечно, сетевая связность АРМ из этого VLAN, и сервера KSC, у вас должна быть открытаВ данном случае правило будет срабатывать , если статус агента KSC равен ОК.
В правиле авторизации для этого правила этих правил аутентификации можно указать, чтобы WNAM 2 повторно контролировал параметры защищенности этого устройства через заданных период заданные промежутки времени, и при их изменении проводил реавторизацию сессии.
После подключения клиента с запущенным агентом он попадает в vlan 1:
Теперь мы вручную выключаем службу агента, и WNAM 2 отправляет на коммутатор CoA-пакет для переавторизации сессии устройства:
После повторной авторизации устройство попадает в карантинный vlan 333.
Если службу запустить снова, устройство вернется в vlan 1
В результате в логе сессий подключения мы увидим, что произошли три последовательных аутентификации с результатами в зависимости от состояния службы агента KSC.
