Взаимодействие с Kaspersky Security Center (KSC) необходимо для динамического профилирования подключений АРМ, на которых установлен агент KES, для помещения сетевого подключения в тот или иной сегмент сети в зависимости от состояния АРМ. Это взаимодействие осуществляется через OpenAPI. На текущий момент реализовано получение следующих параметров управляемых устройств:
status - статус агента администрирования (0 - OK, 1 -Critical, 2 - Warning)
host_visible - устройство видно в сети (1- да,0 - нет)
agent_installed - агент установлен (1- да,0 - нет)
agent_alive - Агент на связи (1- да,0 - нет)
protect_installed - антивирус установлен (1- да,0 - нет)
В настоящий момент (WNAM2-UPD5) интеграция сделана через модуль взаимодействия со службами каталога, ADCTool. Также при небольшой модификации ADCTool можно обеспечить получение и других параметров, описанных в API: https://support.kaspersky.com/help/KSC/14/KSCAPI/a00011.html
Для взаимодействия с KSC достаточно учетной записи с ролью "Оператор Сервера администрирования" и областью действия "Сервер администрирования".
В конфигурации adctool (/opt/adctool/config.json) требуется прописать три параметра:
Пример:
{
"kcache_refresh": 3600,
"root_path": "/opt/adctool",
"domains": [
"lab.wnam.ru",
"otherdom.wnam.ru"
],
"hostname": "STRESS-TEST-ADC",
"cfg": {
"lab.wnam.ru": {
"site": null,
"ou": null,
"server": "win.lab.wnam.ru",
"hostname_ldap": "STRESS-TEST-ADC",
"hostname_ntlm": "STW1"
},
"otherdom.wnam.ru": {
"site": null,
"ou": null,
"server": null,
"hostname_ldap": "STRESS-TEST-ADC",
"hostname_ntlm": "STRESS-TEST"
}
},
"ntlmdomain": "lab.wnam.ru",
"ksc_host": "ksc.lab.wnam.ru:13299",
"ksc_username":"wnam2",
"ksc_password":"Qwerty123."
}
Сначала добавляем имена параметров типа "KES", которые будем использовать в правилах аутентификации. Это делается в веб-интерфейсе системы, в разделе "NAC - Дополнительно - Параметры защищенности". Параметр задается в виде строки формата "внешняя_система:имя_параметра". Для Kaspersky Endpoint Security имя внешней системы: KES.
Пример:
Для примера создадим два правила, реагирующих на факт работы агента администрирования на контролируемом АРМ.
Первое правило помещает устройство в vlan 1, если агент запущен. Это для нас будет "целевой VLAN".
Второе правило помещает устройство в vlan 333, если агент не запущен. Это для нас будет "карантинный VLAN".
В правиле авторизации для этих правил аутентификации можно указать, чтобы WNAM 2 повторно контролировал параметры защищенности этого устройства через заданные промежутки времени, и при их изменении проводил реавторизацию сессии.
После подключения клиента с запущенным агентом он попадает в vlan 1:
Теперь мы вручную выключаем службу агента, и WNAM 2 отправляет на коммутатор CoA-пакет для переавторизации сессии устройства:
После повторной авторизации устройство попадает в vlan 333.
Если службу запустить снова, устройство вернется в vlan 1
В результате в логе сессий подключения мы увидим, что произошли три последовательных аутентификации в зависимости от состояния службы агента KSC.
