Для входа в терминал коммутатора необходимо использовать утилиты вроде Putty или MobaXTerm.
Подключение к коммутатору необходимо выполнять по COM порту со следующими параметрами: [](https://www.ics-community.ru/uploads/images/gallery/2025-09/Mtbimage.png) ### Первоначальная настройка 1\. Когда вы подключаетесь к коммутатору в первый раз и установочный мастер предлагает пошаговую настройку (Continue with configuration dialog? \[yes/no\]), необходимо отказаться от нее. 2\. После этого загрузится пользовательский режим вводы «Switch>» — перейдите в привилегированный режим: ``` Switch>enable Password: (нажмите «Enter», пароль по умолчанию отсутствует) Switch# (режим привилегированного доступа обозначается символом #) ``` 3\. Измените имя коммутатора. Для этого нужно активировать режим глобальной конфигурации, что позволит настраивать конфигурацию всего коммутатора:Если в сети есть много коммутаторов, то уникальное имя должен иметь каждый из них. В дальнейшем это поможет определить, что конфигурация реализуется именно на том устройстве, что нужно. Длинные имена использовать не рекомендуется, лучше выбирать короткие.
``` Switch# configure terminal Switch(config)# hostname Switch00 (новое имя – Switch00) Switch00(config)# ``` 4\. Задайте пароль для привилегированного режима: ``` Switch00(config)# enable secret <ваш пароль> Switch00(config)# service password-encryption (добавляем сохранение паролей в зашифрованном виде) ``` 5\. **Рекомендация:** запретите несанкционированный поиск в DNS:При вводе неправильной команды коммутатор не будет искать доменное имя
``` Switch00(config)# no ip domain-lookup Switch00(config)# ``` 6\. Установите IP-адрес для порта управления коммутатором: ``` Switch00(config)# interface fa0/0 Switch00(config-if)# no shutdown Switch00(config-if)# ip address 192.168.0.1 255.255.255.0 (На порт fa0/0 установили адрес 192.168.0.1 255.255.255.0) Switch00(config-if)# exit Switch00(config)# ``` 7\. Установите пароль для консольного подключения: ``` Switch00(config)# line console 0 Switch00(config-line)# password <ваш пароль> Switch00(config-line)# login Switch00(config-line)# exit ``` **Базовая настройка коммутатора Cisco 2960 на этом завершается.** ### Настройка VLAN ##### Создание VLAN Настройка Virtual LANs (VLANs) позволяет создавать виртуальные сегменты сети и логически разделять трафик между ними. Рассмотрим, что нужно сделать для установки VLAN. 1\. Перейдите в режим глобальной конфигурации: ``` Switch00# configure terminal Switch00(config)# ``` 2\. Создайте VLAN, например VLAN 10 с именем: ``` Switch00(config)# vlan 10 Switch00(config-vlan)# name Platform01 Switch00(config-vlan)# exit ``` 3\. Назначьте порты VLAN: ``` Switch00(config)# interface <т_и> <н_и> (например, fa0/1) Switch00(config-if)# switchport mode access Switch00(config-if)# switchport access vlan 10 Switch00(config-if)# exit ```*Назначаем порт на VLAN 10. <ти> — тип интерфейса, например FastEthernet или GigabitEthernet, <н\_и*> *— номер интерфейса, который вы хотите настроить, например 0/1.*
4\. После завершения настройки не забудьте сохранить изменения: ``` Switch00# copy running-config startup-config ``` ##### Назначение Access и Trunk портов на коммутаторе Некоторые обозначения: access port – это порт, который принадлежит к одному VLAN, и может передавать нетегированный информационный трафик; trunk port – это коммутационный порт, посредством которого может передаваться тегированный трафик от одного либо нескольких VLAN.Коммутаторы Cisco ранних версий работали с двумя протоколами: 802.1Q, ISL. Второй из них относится к проприетарному протоколу, который применяется в коммутационных платформах Cisco. Этот протокол позволяет инкапсулировать фрейм с целью передачи данных о причастности к тому или иному VLAN. Современные модели этот протокол не поддерживают, а работают только с 802.1Q.
Для назначения коммутационного порта доступа в VLAN 10 нужно написать следующие команды: ``` Switch00(config)# interface fa0/1 Switch00(config-if)# switchport mode access Switch00(config-if)# switchport access vlan 10 ```Настройка диапазона коммутационных портов с fa0/4 до fa0/5 выполняется следующим образом: `sw1(config)# interface range fa0/4 - 5`
Чтобы иметь возможность передачи трафика от нескольких VLAN посредством одного порта, его следует перевести в режим trunk. Конкретные режимы интерфейса (режим умолчания отличаются для разных моделей): - auto – это автоматический режим порта, из которого переход в режим trunk возможен только в том случае, если порт на другом конце связи будет в режиме desirable или on; - desirable – это режим, из которого порт может перейти к режиму trunk; в этом состоянии он периодично посылает DTP-кадры к другому порту, запрашивая его перейти в режим trunk; этот режим будет установлен, если другой порт находится в одном из трех режимов: auto, desirable или on; - trunk – в этом случае порт постоянно пребывает в состоянии trunk, даже если другой порт не может поддерживать такой же режим; - nonegotiate – это режим, с которого порт готов выполнить переход к режиму trunk; он не выполняет передачу DTP-кадров к другому порту. Этот режим предусмотрен для исключения конфликтных ситуаций с другим оборудованием (не бренда Cisco). В этом случае коммутационное устройство на другом конце связи должно быть настроено в ручном режиме для использования режима trunk. По умолчанию для режима trunk разрешаются все VLAN. Чтобы через любой из поддерживаемых VLAN выполнялась передача данных, он должен быть активным. В активную фазу он переходит тогда, когда его создали на коммутаторе и один из его портов находится в режиме up/up. VLAN создается на коммутаторе посредством команды vlan. Также он может формироваться автоматически на коммутаторе, когда к нему добавляются интерфейсы в режиме access. Для создания статического trunk нужно порта нужно написать следующие команды: ``` Switch00(config)# interface fa0/22 Switch00(config-if)# switchport trunk encapsulation dot1q Switch00(config-if)# switchport mode trunk ``` Изначально, по умолчанию, в trunk разрешаются все VLAN. Также можно создать ограничение перечня VLAN, которые можно передавать через тот или иной trunk. Чтобы указать список разрешенных VLAN для порта fa0/22 нужно выполнить: ``` Switch00(config)# interface fa0/22 Switch00(config-if)# switchport trunk allowed vlan 10 ``` ### Настройка SPAN ##### Рекомендации по настройке SPAN - Для источников SPAN вы можете отслеживать трафик для одного порта или VLAN, а также для серии или диапазона портов или VLAN для каждого сеанса. Совмещать порты-источники и VLAN-источники в одном сеансе SPAN невозможно. - Порт назначения не может быть портом источника; порт источника не может быть портом назначения. - Невозможно иметь два сеанса SPAN, использующих один и тот же порт назначения. - При настройке порта коммутатора в качестве порта назначения SPAN он больше не является обычным портом коммутатора; через порт назначения SPAN проходит только отслеживаемый трафик. - Ввод команд конфигурации SPAN не удаляет ранее настроенные параметры SPAN. Для удаления настроенных параметров SPAN необходимо ввести глобальную команду конфигурации **no monitor session** { session\_number | all | local | remote }. - Для локального SPAN исходящие пакеты через порт назначения SPAN содержат исходные заголовки инкапсуляции — без тегов или IEEE 802.1Q — если указаны ключевые слова репликации инкапсуляции . Если ключевые слова не указаны, пакеты отправляются в исходном формате. Для портов назначения RSPAN исходящие пакеты не тегируются. - Вы можете настроить отключенный порт как порт источника или назначения, но функция SPAN не запустится, пока не будут включены порт назначения и хотя бы один порт источника или исходная VLAN. - Вы можете ограничить SPAN-трафик определенными VLAN с помощью ключевого слова filter vlan . Если отслеживается транк-порт, отслеживается только трафик в VLAN, указанных этим ключевым словом. По умолчанию на транк-порту отслеживаются все VLAN. - В одном сеансе SPAN нельзя смешивать исходные VLAN и фильтрующие VLAN. ##### Создание локального сеанса SPAN Войдите в привилегированный режим EXEC и выполните следующие действия, чтобы создать сеанс SPAN и указать исходные (контролируемые) порты или VLAN, а также порты назначения (контролируемые):| Команда | Цель | |
|---|---|---|
| Шаг 1 | **configure terminal ** | Войдите в режим глобальной конфигурации. |
| Шаг 2 | **no monitor session** { session\_number | **all** | **local** | **remote** } | Удалите любую существующую конфигурацию SPAN для сеанса. Для *session\_number* диапазон составляет от 1 до 66. Укажите **all** , чтобы удалить все сеансы SPAN, **local** , чтобы удалить все локальные сеансы, или **remote,** чтобы удалить все удаленные сеансы SPAN. |
| Шаг 3 | **monitor session** session\_number **source** { **interface** interface-id | **vlan** vlan-id } \[ , | - \] \[ **both** | **rx** | **tx** \] | Укажите сеанс SPAN и порт источника (контролируемый порт). Для *session\_number* диапазон составляет от 1 до 66. Для *interface-id* укажите исходный порт или исходную VLAN для мониторинга. - Для параметра source *interface-id* укажите порт источника для мониторинга. Допустимые интерфейсы включают физические интерфейсы и логические интерфейсы порт-канал ( **port-channel ***port-channel-number* ) *.* Допустимые номера порт-каналов — от 1 до 6. - Для *vlan-id* укажите исходную VLAN для мониторинга. Диапазон значений — от 1 до 4094 (исключая RSPAN VLAN). **Примечание.** Один сеанс может включать несколько источников (портов или VLAN), определенных в серии команд, но вы не можете объединить исходные порты и исходные VLAN в одном сеансе. (Необязательно) *\[ ***, ***| ***-** \] Укажите серию или диапазон интерфейсов. Введите пробел до и после запятой; введите пробел до и после дефиса. (Необязательно) Укажите направление трафика для отслеживания. Если направление трафика не указано, SPAN отслеживает как исходящий, так и входящий трафик. - **both **— отслеживать как входящий, так и исходящий трафик. Этот вариант используется по умолчанию. - **rx **— Мониторинг полученного трафика. - **tx **—Мониторинг отправленного трафика. **Примечание.** Вы можете использовать команду **monitor ***session\_number ***source** несколько раз для настройки нескольких исходных портов. |
| Шаг 4 | **monitor session** session\_number **destination** { **interface** interface-id \[, | -\] \[ **encapsulation** {**dot1q** | **replicate**}\]} | Укажите сеанс SPAN и порт назначения (порт мониторинга). Для *session\_number* укажите номер сеанса, введенный на шаге 3. **Примечание.** Для локального SPAN необходимо использовать один и тот же номер сеанса для исходного и целевого интерфейсов. Для *interface-id* укажите порт назначения. Интерфейс назначения должен быть физическим портом; он не может быть EtherChannel или VLAN. (Необязательно) *\[ ***, ***| ***-** \] Укажите серию или диапазон интерфейсов. Введите пробел до и после запятой; введите пробел до и после дефиса. (Необязательно) Введите **encapsulation dot1q,** чтобы указать, что интерфейс назначения использует метод инкапсуляции IEEE 802.1Q. (Необязательно) Введите **encapsulation replicate** , чтобы указать, что целевой интерфейс копирует метод инкапсуляции исходного интерфейса. Если этот параметр не выбран, по умолчанию пакеты отправляются в исходном формате (без тегов). **Примечание.** Вы можете использовать команду **monitor session ***session\_number ***destination** несколько раз для настройки нескольких портов назначения. |
| Шаг 5 | **end** | Вернитесь в привилегированный режим EXEC. |
| Шаг 6 | **show monitor **\[**session** session\_number\] **show running-config** | Проверьте конфигурацию. |
| Шаг 7 | **копировать running-config startup-config** | (Необязательно) Сохраните конфигурацию в файле конфигурации. |
Учитывая, что информация при telnet-соединениях передается в открытом виде, рекомендуется использовать SSH-соединения, которые обеспечат шифрование трафика.
##### Настройка SSH ``` Switch00# clock set 18:32:00 08 January 2024 (установка текущего времени и даты) Switch00# conf t Switch00(config)# ip domain name google.com (задаем домен, если его нет пишется любой) Switch00(config)# crypto key generate rsa (генерируем RSA-ключа под ssh) Switch00(config)# ip ssh version 2 (указываем версию SSH-протокола) Switch00(config)# ip ssh autentification-retries 3 (устанавливаем допустимое число попыток подключения по SSH) Switch00(config)# service password-encryption (добавляем сохранение паролей в зашифрованном виде ) Switch00(config)# line vty 0 2 (переход к режиму конф-и терминальных линий Switch00(config-line)# transport input ssh (подключение только по SSH) Switch00(config-line)# exec timeout 20 0 (активируем автоматическую смерть SSH-сессии через 20 минут) Switch00(config—line)# end Switch00# copy running-config startup-config (сохраняем настройки) ```Для того, чтобы не ограничиваться одним протоколом и использовать как SSH так и Telnet, можно заменить команду `transport input ssh` на `transport input all `
# Гайд по работе с трафиком в KICS for Networks ## Основные утилиты для работы с трафиком Данная статья рассматривает основные утилиты и методы для локального проигрывания трафика, включая подготовку данных, их воспроизведение и анализ результатов. ### tcpreplay **tcpreplay** - основной инструмент воспроизведения, который является наиболее популярным и функциональным инструментом для воспроизведения сетевого трафика из PCAP-файлов. Утилита позволяет точно воспроизводить ранее захваченный трафик с контролем скорости передачи и различными опциями редактирования пакетов. Базовое использование tcpreplay: ``` # Простое воспроизведение файла tcpreplay -i eth0 traffic.pcap # Воспроизведение с максимальной скоростью tcpreplay -i eth0 --topspeed --preload-pcap sample.pcap # Воспроизведение с заданной скоростью (PPS) tcpreplay -i eth0 -p 1000 sample.pcap # Воспроизведение с заданной пропускной способностью tcpreplay -i eth0 --mbps=100 sample.pcap ``` где: - -i interface - указание сетевого интерфейса для вывода - --topspeed - воспроизведение с максимальной скоростью - --preload-pcap - предварительная загрузка файла в память (повышает производительность) - -p speed - задание скорости в пакетах в секунду (PPS) - --mbps=speed - задание скорости в мегабитах в секунду - --loop=count - количество повторений воспроизведения - -K - загрузка всего файла в память перед отправкой - --unique-ip - изменение IP-адресов в каждой итерации #### tcpreplay-edit Для адаптации трафика к тестовой среде KICS for Networks используется **tcpreplay-edit**: ``` # Изменение IP-адресов tcpreplay-edit --srcipmap=192.168.1.0/24:10.0.1.0/24 \ --dstipmap=192.168.2.0/24:10.0.2.0/24 \ --infile=original.pcap --outfile=modified.pcap # Изменение портов tcpreplay-edit --portmap=80:8080,443:8443 \ --infile=original.pcap --outfile=modified.pcap # Рандомизация адресов tcpreplay-edit --seed=12345 --randomize-ips \ --infile=original.pcap --outfile=randomized.pcap ``` #### tcpdump Для захвата трафика используется утилита **tcpdump**: ``` # Захват всего трафика на интерфейсе tcpdump -i eth0 -w industrial_traffic.pcap # Захват с фильтрацией по протоколу tcpdump -i eth0 -w modbus_traffic.pcap 'port 502' # Захват с ограничением размера файла tcpdump -i eth0 -w traffic.pcap -C 100 # файлы по 100MB # Захват с временным ограничением timeout 300 tcpdump -i eth0 -w traffic_5min.pcap # Modbus TCP (порт 502) tcpdump -i eth0 'port 502' -w modbus.pcap # DNP3 (порт 20000) tcpdump -i eth0 'port 20000' -w dnp3.pcap # IEC 61850 (порты 102, 843) tcpdump -i eth0 'port 102 or port 843' -w iec61850.pcap # PROFINET DCP tcpdump -i eth0 'ether proto 0x8892' -w profinet.pcap # Комбинированные фильтры tcpdump -i eth0 '(port 502 or port 20000 or port 102) and not icmp' -w industrial.pcap ``` ### Анализ трафика с помощью Wireshark Wireshark является незаменимым инструментом для анализа промышленного трафика перед его воспроизведением. При захвате трафика вы увидите что-то подобное: [](https://www.ics-community.ru/uploads/images/gallery/2025-09/hoAimage.png) Разберем более подробно это окно: 1. Панель фильтров, позволяющая найти необходимую информацию. Подробнее о неё рассказано в пятой главе руководства. 2. Панель наименований, разделяющая информацию из пункта 3 на номер, временя с начала захвата трафика, источник и адресат, а также используемый протокол, размер пакета и небольшую информацию о сетевом пакете. 3. Панель пакетов, обновляющаяся в реальном времени. Здесь информация о пакетах разделена по столбцам, определённым на панели наименований. 4. Панель уровней, описывающая уровни модели OSI выбранного сетевого пакета. 5. Панель метаданных, представляющая данные в шестнадцатеричном коде и символах. Вот некоторые полезные фильтры которые можно применять в поисковой строке wireshark: ``` # Modbus трафик modbus # DNP3 сообщения dnp3 # IEC 61850 GOOSE goose # PROFINET Real-Time pn_rt # Ethernet/IP enip # Анализ ошибок в протоколах expert.severity == "Error" # Поиск по IP адресу отправителя ip.src == x.x.x.x # Поиск по IP адресу получателя ip.dst == x.x.x.x # Поиск по TCP порту 80 tpc.port == 80 # Также могут использоваться логические операторы, например: И «and/&&» ИЛИ «or/||» НЕ «not/!» ``` # Гайды по развертыванию # Развертывание MLADИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или ICS community и **НЕ** является официальной рекомендацией вендора
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/MLAD/5.0/ru-RU/247959.htm](https://support.kaspersky.com/help/MLAD/5.0/ru-RU/247959.htm)
Убедитесь, что все пункты из **[статьи подготовки](http://91.184.244.141/books/instrukcii/page/podgotovka-os-dlia-razvertyvaniia-mlad "Подготовка ОС для развертывания MLAD")** в системе соблюдены
Актуальные для развёртывания запросите у сотрудников Лаборатории Касперского
Установка Kaspersky MLAD выполняется в соответствии с описанной процедурой установки программы. Установка и использование Kaspersky MLAD возможны только на одном сервере. Установка и использование разных служб и коннекторов на нескольких серверах невозможны.
--- ### Установка MLAD в интерактивном режиме 1\. Распакуйте архив Kaspersky\_MLAD\_5.0.0.<номер сборки>\_ru-RU\_en-US.tar.xz, входящий в состав [комплекта поставки](https://support.kaspersky.ru/help/MLAD/5.0/ru-RU/247960.htm): ``` tar xf Kaspersky_MLAD_5.0.0.<номер сборки>_ru-RU_en-US.tar.xz ```После распаковки архива появится директория mlad-release-5.0.0-<номер сборки>.
2\. Перейдите в директорию mlad-release-5.0.0-<номер сборки>: ``` cd mlad-release-5.0.0-<номер сборки> ``` 3\. Запустите скрипт установки setup.sh: ``` sudo ./setup.sh ``` 4\. Следуйте указаниям мастера установки программы.На этом установка MLAD будет завершена
Установка Kaspersky MLAD будет прервана, если целостность архива программы нарушена. Для получения корректного архива программы обратитесь к специалистам "Лаборатории Касперского".
--- ### Установка MLAD в неинтерактивном режиме 1\. Распакуйте архив Kaspersky\_MLAD\_5.0.0.<номер сборки>\_ru-RU\_en-US.tar.xz, входящий в состав [комплекта поставки](https://support.kaspersky.ru/help/MLAD/5.0/ru-RU/247960.htm): ``` tar xf Kaspersky_MLAD_5.0.0.<номер сборки>_ru-RU_en-US.tar.xz ```После распаковки архива появится директория mlad-release-5.0.0-<номер сборки>.
2\. Перейдите в директорию mlad-release-5.0.0-<номер сборки>: ``` cd mlad-release-5.0.0-<номер сборки> ``` 3\. Запустите скрипт установки setup.sh: ``` sudo ./setup.sh -q -e accept -f <полный путь к директории для установки программы> ``` `-q` означает, что программа будет установлена в неинтерактивном режиме. При установке программы в неинтерактивном режиме Kaspersky MLAD создает первого пользователя программы с ролью системного администратора и задает ему имя пользователя и пароль по умолчанию. Для получения имени и пароля пользователя, используемых по умолчанию, обратитесь к квалифицированному техническому специалисту Заказчика, сотруднику "Лаборатории Касперского" или сертифицированному интегратору. `-e accept` означает, что вы принимаете условия Лицензионного соглашения. Согласие с условиями Лицензионного соглашения является обязательным условием для установки программы. Если вы не указываете ключ `-e accept`, установка программы будет прервана.Прочитать текст Лицензионного соглашения можно в текстовых файлах license\_ru.txt и license\_en.txt, которые расположены в директории legal.
`-f <``полный путь к директории для установки программы``>` означает, что программа будет установлена в указанную директорию. Если вы не указывает ключ `-f`, программа будет установлена в директорию по умолчанию /opt/kaspersky/mlad.На этом установка MLAD будет завершена
### Первый запуск MLADПо умолчанию Kaspersky MLAD использует утилиту systemctl для запуска и остановки программы. В случае непредвиденного перезапуска сервера, на котором установлена программа, утилита systemctl автоматически запускает Kaspersky MLAD.
Рекомендуется использовать утилиту systemctl для управления состоянием программы.
1\. Запустите MLAD следующей командой в терминале: ``` sudo systemctl start mlad ```Остановка MLAD выполняется следующей командой в терминале: `sudo systemctl stop mlad`. При остановке программа запоминает статусы служб. При запуске программы работа служб будет восстановлена с прежними статусами.
2\. Подключитесь к веб-интерфейсу MLAD через поддерживаемый браузер Google Chrome версии 107 и выше, выбив в адресную строку адрес сервера. На открывшейся странице ввода учетных данных введите адрес электронной почты в качестве имени пользователя и пароль.При первом подключении к веб-интерфейсу в качестве системного администратора используйте указанные при [установке программы](https://support.kaspersky.ru/help/MLAD/5.0/ru-RU/247986.htm) имя и пароль первого пользователя с ролью системного администратора.
3\. Загрузка конфигурации тегов и активов иерархической структуры в Kaspersky MLAD 4\. Настройка коннекторов 5\. Настройка служб 6\. Подключение к источнику данных 7\. Создание учетных записей для пользователей # Развертывание KICS for NetworksИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или ICS community и **НЕ** является официальной рекомендацией вендора
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KICSforNetworks/4.3/ru-RU/83112.htm](https://support.kaspersky.com/KICSforNetworks/4.3/ru-RU/83112.htm)
Убедитесь, что все пункты из [**статьи подготовки**](http://91.184.244.141/books/instrukcii/page/podgotovka-os-dlia-razvertyvaniia-kics-for-networks) соблюдены
Актуальные для развёртывания запросите у сотрудников Лаборатории Касперского
### Централизованная установка централизованная установка предполагает использование установки KICS for Networks удаленно по ssh. Для этого на узле, где будет происходить установка нужно изменить параметры ssh. ``` sudo nano /etc/ssh/sshd_config ``` После этого надо изменить строку ``` #PermitRootLogin prohibit-password ``` на ``` PermitRootLogin yes ```После каждого использования скрипта централизованной установки компонентов программы (в том числе для централизованного удаления или для усиления защиты компьютеров) в целях безопасности требуется закрыть доступ к компьютерам по протоколу SSH. Вы можете закрыть доступ, используя команду в консоли операционной системы компьютера `sudo systemctl disable --now sshd`. Для последующего возобновления доступа по протоколу SSH (если возникнет необходимость в повторном использовании скрипта централизованной установки компонентов программы) вы можете использовать команду `sudo systemctl enable --now sshd`.
После этого необходимо разархивировать установочный архив командой: ``` sudo tar -xzvf kics4net-release_<номер версии программы>.tar.gz ``` перейти в директорию: ``` cd kics4net-release_<номер версии программы>/linux-<версия дистрибутива: astra | centos>/ ``` И запустите скрипт централизованный установки командой: ``` sudo sh ./kics4net-deploy-<номер версии программы>.bundle.sh/ ``` Дождитесь завершения работы скрипта. После установки веб-интерфейс KICS for Networks будет доступен по адресу https://<IP адрес сервера>. ### Локальная установка #### Установка сервера Для локальной установки необходимо разархивировать установочный архив командой: ``` sudo tar -xzvf kics4net-release_<номер версии программы>.tar.gz ``` После этого перейти в директорию: ``` cd kics4net-release_<номер версии программы>/linux-<версия дистрибутива: astra | centos>/ ``` И запустить скрипт установки со следующими параметрами ```bash sudo sh ./kics4net-install.sh --server --product-language=Чтобы локально установить сенсор Kaspersky Industrial CyberSecurity for Networks выполните команду `sudo sh ./kics4net-install.sh --sensor`
После установки веб-интерфейс KICS for Networks будет доступен по адресу https://<IP адрес сервера>. # Лучшие практики развертывания KICS for Nodes \ KICS for Linux NodesВ этой части статьи мы поговорим о рекомендациях по настройкам политик безопасности KICS for Nodes \\ KICS for Linux Nodes.
**Детальные и универсальных рекомендаций тут вряд ли возможны, потому что:** · технологические процессы бывают разные, · архитектуры систем АСУ ТП бывают разные, · функциональные роли, способы и режимы эксплуатации узлов, на которые устанавливается KICS for Nodes \\ KICS for Linux Nodes тоже бывают разные. Но, всё же, мы попробуем дать общие рекомендации и соображения, которые стоит учесть при настройках политик безопасности. Первоначальное использование всех технологий детектирования рекомендуется в режиме информирования («Только сообщать», «Только статистика») во избежание негативного влияния ложных срабатываний на работу технологический процесс. **На дальнейших этапах при настройке политик следует учитывать два вида рисков:** · риски, обусловленные угрозами безопасности информации; · риски негативного влияния на работу защищаемого узла, обусловленные некорректными настройками KICS for Nodes. **Если конкретнее, то нужно учитывать следующие факторы:** 1) Функциональная роль узла. Чем важнее корректная работа узла для технологического процесса, тем больше нужно уделить внимания возможности ложного срабатывания технологий защиты, чтобы минимизировать влияние на технологический процесс. Для минимизации рисков ложных срабатываний рекомендуется использовать следующие методы: · Работа технологий детектирования в режиме в режиме информирования (особенно это касается технологий, использующих обновляемые базы сигнатур: антивирусная защита, защита от эксплойтов, защита от сетевых угроз, защита шифрования сетевых файлов и папок. Потому что файлы и сетевые взаимодействия, которые до обновления баз не считались вредоносными, после обновления могут начать таковыми считаться. · Испытания корректности функционирования узла с заданными/обновленными политиками, обновленными базами в тестовой среде: стенд производителя/поставщика системы АСУ ТП, виртуальные машины; · Поэтапная установка/обновление баз KICS for Nodes в системе АСУ ТП. Например, в системе есть 10 узлов, на которые нужно установить KICS for Nodes. Если есть такая возможность, то лучше их устанавливать по частям, чтобы в случае каких-либо сложностей иметь эти сложности на минимальном количестве узлов в каждый отдельный момент времени. · Если система АСУ ТП резервированная, то устанавливать/обновлять базы KICS for Nodes не на обоих каналах сразу, а сперва на одном канале, и в случае, если достаточно длительное время всё идёт хорошо, - на втором канале. 2) Подверженность узла угрозам безопасности информации. Если для узла обеспечивается эшелонированная защита от угроз безопасности информации (меры физической защиты, защита периметра, мониторинг сети, встроенные средства защиты и другие меры), то с учетом функциональной роли узла стоит рассмотреть возможность более длительного использования защитных технологий в режиме информирования. А если узел подвержен угрозам безопасности с высокой вероятностью, например: · подключен к Интернету, · находится на периметре сети и взаимодействует со смежными системами, · не обеспечиваются достаточные меры физической защиты), то с учетом функциональной роли узла рекомендуется более краткосрочное применение технологий обнаружения в режиме информирования, чтобы узел меньшее количество времени находился в состоянии без активной защиты. **С учетом этих двух основных факторов применим дифференцированный подход и поделим все защищаемые устройства на 4 группы:** *Кто-то может ввести более детальную градацию с 6 (2х3), 9 (3х3) группами.*| **Название группы узлов** | **Зеленая группа** | **Желтая группа** | **Оранжевая группа** | **Красная группа** |
| **Риски ИБ** | **Низкие** | **Высокие** | **Низкие** | **Высокие** |
| **Важность для ТП** | **Низкая** | **Низкая** | **Высокая** | **Высокая** |
| **Название группы узлов** | **Зеленая группа** | **Желтая группа** | **Оранжевая группа** | **Красная группа** |
| **Риски ИБ** | **Низкие** | **Высокие** | **Низкие** | **Высокие** |
| **Важность для ТП** | **Низкая** | **Низкая** | **Высокая** | **Высокая** |
| Время применения защитных технологий в режиме информирования перед включением активного режима (для исключения влияния ложных срабатываний) | Короткое | Короткое | Постоянное или длительное | Длительное или постоянное |
| Настройки постоянной антивирусной защиты | Максимально глубокие настройки, насколько позволяет аппаратная конфигурация узла | Максимально глубокие настройки, насколько позволяет аппаратная конфигурация узла | Поверхностные настройки или отключение | Средние настройки |
| Применение периодической антивирусной проверки (проверка по требованию) | Максимально глубокие настройки проверки, насколько позволяет аппаратная конфигурация узла | Максимально глубокие настройки проверки, насколько позволяет аппаратная конфигурация узла | Средние настройки проверки по требованию; Использование портативного сканера. | Максимальное глубокие настройки проверки по требованию; Использование портативного сканера. |
| Частота запуска проверки по требованию | Часто, по расписанию | Часто, по расписанию | Вручную, в период «технологического окна» в фоновом режиме | Вручную, в период «технологического окна» в фоновом режиме |
| Действия, выполняемые над зараженными и возможно зараженными объектами | Карантин/Удалять | Карантин/Удалять | Только сообщать | Только сообщать |
| Настройки остальных технологий детектирования | Максимально глубокие настройки, насколько позволяет аппаратная конфигурация узла | Максимально глубокие настройки, насколько позволяет аппаратная конфигурация узла | Поверхностные настройки | Средние настройки |
Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/MLAD/5.0/ru-RU/247959.htm](https://support.kaspersky.com/help/MLAD/5.0/ru-RU/247959.htm)
Актуальные для развёртывания запросите у сотрудников Лаборатории Касперского.
--- ### Подготовка целевой машины #### Дистрибутивы Ubuntu LTS 22.04: [https://releases.ubuntu.com/jammy/](https://releases.ubuntu.com/jammy/) (cкачайте iso `...-live-server-amd64.iso` или `...-desktop-amd64.iso`) Ubuntu LTS 24.04: [https://releases.ubuntu.com/noble/](https://releases.ubuntu.com/noble/) (cкачайте iso `...-live-server-amd64.iso` или `...-desktop-amd64.iso`) --- #### Общие требованияАппаратные требования для каждого защищаемого объекта нужно уточнять с учетом применяемой модели, количества обрабатываемых тегов и событий, средней скорости получения данных (количества наблюдений в секунду) и объема хранимых данных. Чем больше объем обрабатываемых данных и сложность используемой ML-модели, тем больше аппаратных ресурсов потребуется для установки серверной части Kaspersky MLAD.
##### Процессор Список поддерживаемых процессоров: - процессор Intel Xeon E3 v3, v4, v5, v6; - процессор Intel Xeon E5 v3, v4; - процессор Intel Xeon E7 v3, v4; - масштабируемые процессоры Intel Xeon; - масштабируемые процессоры Intel Xeon 2-го и 3-го поколения; - процессор Intel Xeon E; - процессор Intel Xeon W; - процессор Intel Xeon D; - процессор Intel Core i5, i7 4-го поколения и выше; - процессор Intel Core i9; - процессор Intel Core M.Вы можете установить Kaspersky MLAD на сервер с другим 64-битным процессором архитектуры x86 2013 года выпуска и позже.
Процессор должен соответствовать вышеперечисленным минимальным аппаратным требованиям и поддерживать следующие расширения, необходимые для библиотеки TensorFlow 2.15.1: - Advanced Vector Extensions (avx); - Advanced Vector Extensions 2 (avx2). #### Минимальные аппаратные требования: - 8 ядер; - 32 ГБ оперативной памяти; - 200 ГБ свободного пространства на жестком диске (рекомендуется использовать SSD-диск).Если в Kaspersky MLAD будет поступать большой поток данных, требуется увеличить объем свободного пространства на жестком диске.
#### Требования к компьютеру пользователя: - 64-битная операционная система; - установленный браузер Google Chrome версии 107 и выше; - минимальное разрешение экрана монитора для правильного отображения веб-интерфейса – 1600х900. --- ##### Необходимые пакеты Основные пакеты: - docker 20.10.21 и выше; - docker compose 2.12.2 и выше.Устанавливать программное обеспечение на сервер Kaspersky MLAD требуется с [официального Docker-репозитория](https://docs.docker.com/)
После выполнения команды у вас должен скачаться и запуститься Docker-контейнер `hello-world`, который можно увидеть выполнив команду `sudo docker ps -a`
После установки Docker и Docker Compose убедитесь, что версии соответствуют требованиям:
```bash docker --version docker compose version ``` # Подготовка ОС для развертывания KICS for NetworksИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или ICS community и **НЕ** является официальной рекомендацией вендора
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KICSforNetworks/4.3/ru-RU/83112.htm](https://support.kaspersky.com/help/KICSforNetworks/4.3/ru-RU/83112.htm)
Актуальные пакеты для развёртывания запросите у сотрудников Лаборатории Касперского
### Установка ОС #### Установка CentOS 9 Stream KICS for Networks 4.2 работает под управлением [CentOS Stream 9](https://box.kaspersky.com/d/17947b13ccf64ed28d78/). Рекомендуется использовать образ ОС, расположенный по данной ссылке. Скачанный образ необходимо записать на USB-носитель (например, [Win32 Disk Imager](https://sourceforge.net/projects/win32diskimager/) или [Rufus](https://rufus.ie/ru/)). Для выполнения установки ОС CentOS Stream 9 выполнить следующие шаги. Подключить загрузочный USB-носитель к серверу KICS for Networks и загрузиться с USB-носителя, затем выбрать “Install CentOS Stream 9”. [](https://www.ics-community.ru/uploads/images/gallery/2025-09/d9uimage.png)В случае если у вас нет доступа к интернету, то скачайте уже готовый zip архив с облака и перенесите его на сервер.
``` sudo sh ./kics4net-preptool-2.3.sh 1. Prepare host for deployment 2. Disable GUI (recommended for sensor nodes) 3. Enable GUI 4. Download/update required packages ``` После этого можно выполнять опцию 1 подготовительного скрипта для установки пакетов из архива.Подготовительный скрипт kics4net-preptool-2.3.sh должен лежать в той же директории что и zip архив.
После выполнения опции 1 подготовительного скрипта все репозитории заблокируются!
``` sudo sh ./kics4net-preptool-2.3.sh (+) 1. Prepare host for deployment 2. Disable GUI (recommended for sensor nodes) 3. Enable GUI 4. Download/update required packages ``` После выполнения скрипта будет предложено перезагрузить сервер. На этом подготовка сервера к установке KICS for Networks 4.2.x будет завершена. ### Установка пакетов для Astra Linux 1.8 Необходимо выполнить следующие команды для скачивания требуемых пакетов: ``` sudo apt-cdrom add (если на сервере нет интернета, то вставьте диск, который вы хотите использовать для подключения репозитория.) sudo apt update sudo apt install chrony -y sudo systemctl enable chrony sudo systemctl start chrony sudo apt install rsync -y sudo apt install libcap2-bin -y sudo apt install python3-apt -y sudo apt install ssh -y sudo systemctl enable ssh sudo systemctl start ssh sudo apt install postgresql-15 -y sudo systemctl enable postgresql-15 sudo systemctl start postgresql-15 sudo apt install python3-psycopg2 python3-cryptography python3-paramiko python3-requests -y sudo apt install perl -y (версии 5.10 и выше, если устанавливается Агент администрирования Kaspersky Security Center). sudo apt install exim4 -y ``` Необходимо включить локаль en\_US.utf8 командой: ``` sudo localedef -i en_US -f UTF-8 en_US.utf8 ``` Чтобы настроить почтовый сервер и включить автозапуск сервиса Exim перейдите в консоль операционной системы и выполните следующие шаги: 1\. Откройте окно конфигурирования Exim. Для этого введите команду: ``` sudo dpkg-reconfigure exim4-config ``` 2\. В меню выбора типа почтовой конфигурации выберите пункт отправка почты через smarthost; прием по SMTP или через fetchmail. 3\. На следующем шаге укажите имя отправителя писем в поле Почтовое имя системы (например, serverkics). 4\. На следующем шаге не изменяйте значение по умолчанию 127.0.0.1 в поле IP-адреса, с которых следует ожидать входящие соединения SMTP. 5\. На следующем шаге не изменяйте значение по умолчанию в поле Другие места назначения, для которых должна приниматься почта. 6\. На следующем шаге оставьте незаполненным поле Машины, для которых доступна релейная передача почты. 7\. На следующем шаге укажите IP-адрес или сетевое имя компьютера, который является SMTP-сервером в сети вашей организации (например, mail.example.com). 8\. На следующем шаге при необходимости вы можете включить перезапись заголовков исходящей почты. 9\. На следующем шаге в запросе Сокращать количество DNS-запросов до минимума (дозвон по требованию) выберите вариант Нет. 10\. На следующем шаге в меню выбора метода доставки локальной почты выберите пункт mbox формат в /var/mail/. 11\. На последнем шаге откажитесь от разделения конфигурации на отдельные файлы (размещение конфигурации должно быть в одном файле). 12\. После закрытия окна конфигурирования откройте файл шаблона exim4.conf.template. Для этого введите команду: ``` sudo mcedit /etc/exim4/exim4.conf.template ``` 13\. Перейдите к концу раздела параметров remote\_smtp или remote\_smtp\_smarthost и добавьте строку: `message_linelength_limit = 10000000` 14\. Сохраните и закройте файл шаблона. 15\. Активируйте сервис Exim и включите его автозапуск. Для этого введите команды ``` sudo systemctl enable exim4.service sudo systemctl start exim4.service ``` 16\. Предоставьте необходимые права доступа для директории /var/mail/. Для этого введите команду: ``` chmod 3775 /var/mail/ ``` На этом подготовка сервера к установке KICS for Networks 4.3 будет завершена. # KICS for Networks: настройка парсеров для промышленных протоколов Сборник статей по настройке параметров контроля процесса # Инструкция по настройке парсинга протокола DLMS/COSEM в KICS for Networks (версии 4.2 и выше) на примере устройства МИРТЕК-12-РУ **Видеоинструкция доступна по [ссылке](https://box.kaspersky.com/f/ec3049bb52e74121874a/)** 1. **Подключение устройства** Подключите устройство, поддерживающее протокол DLMS/COSEM, к анализируемой сети. Убедитесь, что оно отображается в разделе активов KICS for Networks[](https://www.ics-community.ru/uploads/images/gallery/2025-09/tlyimage.png) 2. **Идентификация устройства** Присвойте обнаруженному устройству понятное имя для удобства дальнейшей работы[](http://91.184.244.141/uploads/images/gallery/2025-08/c9yimage.png) 3. **Добавление параметров контроля** В детальной панели актива откройте контекстное меню **«Параметры контроля процесса» → «Добавить»**[](https://www.ics-community.ru/uploads/images/gallery/2025-09/IL7image.png) 4. **Настройка параметров устройства** - **Тип устройства:** Универсальный ПЛК - **Протокол:** DLMS-COSEM - **Порт:** Указан в документации устройства или настройках клиентского приложения[](https://www.ics-community.ru/uploads/images/gallery/2025-09/K4qimage.png) 5. **Проверка подключения через клиентское приложение** Откройте клиентское приложение и убедитесь, что IP-адрес и порт устройства совпадают с настройками в KICS for Networks. Инициируйте подключение к устройству (нажмите кнопку **«Подключиться»**)[](https://www.ics-community.ru/uploads/images/gallery/2025-09/aQ4image.png) 6. **Подтверждение успешного подключения** Убедитесь, что устройство подключено корректно[](https://www.ics-community.ru/uploads/images/gallery/2025-09/0c9image.png) 7. **Проверка списка тегов в KICS for Networks** В консоли KICS for Networks должен отобразиться перечень тегов для устройства DLMS/COSEM[](https://www.ics-community.ru/uploads/images/gallery/2025-09/GpBimage.png) 8. **Считывание параметров устройства** Запустите считывание данных (нажмите кнопку **«Считать»**)[](https://www.ics-community.ru/uploads/images/gallery/2025-09/PPvimage.png) 9. **Проверка корректности данных** Убедитесь, что в детальной панели тега отображается корректное значение считанного параметра[](https://www.ics-community.ru/uploads/images/gallery/2025-09/t1jimage.png) # Инструкция по настройке парсинга протокола OPC UA в KICS for Networks **Подготовка на стороне источника данных (SCADA/ПЛК)** 1. **Проверка OPC UA сервера** Убедитесь, что на контроллере или SCADA-сервере запущен сервер OPC UA и он работает корректно. [](https://www.ics-community.ru/uploads/images/gallery/2025-09/H06image.png) 2. **Предварительная проверка тегов (рекомендуется)** Для локализации возможных проблем на стороне источника данных проверьте доступность и читаемость тегов с помощью стороннего OPC UA-клиента (например, UAExpert). [](https://www.ics-community.ru/uploads/images/gallery/2025-09/0Dyimage.png)| **Описание** | **BPF** |
| Исключить TCP трафик с портом 80 | not tcp port 80 |
| Исключить TCP трафик с портами 80 и 22 | not(tcp port 80 or tcp port 21) |
| Исключить видеонаблюдение RTP | not(udp port 5004 or udp port 5005) |
| Исключить коммуникации в/из подсети 10.42.0.0/16 | not net 10.42.0.0/16 |
| Исключить коммуникации в/из подсетей 10.42.0.0/16 и 192.168.0.0/16 | not(net 10.42.0.0/16 or net 192.168.0.0/16) |
| Исключить TCP трафик с портом 80 только для коммуникаций в подсетях 10.42.0.0/16 и 192.168.0.0/16 | not(tcp port 80 and (net 10.42.0.0/16 or net 192.168.0.0/16)) |
При большом количестве коммутаторов, с которых требуется получать SPAN трафик или большой скорости траффика, не рекомендуется создавать на сервере KICS for Networks точки мониторинга и подавать на него SPAN трафик. Копии трафика в этом случае должны подаваться на сенсоры KICS for Networks для экономии места SSD сервера под полезные данные (копия сырого трафика хранится на машине с назначенными точками приема SPAN трафика).
KICS for Networks поддерживает интерфейсы, которые работают c Layer2 пакетами, т.е. содержат ethernet-frame'ы. gre-интерфейс работает на Layer3, соответственно использовать необходимо интерфейс типа gretap. \# ip link add mgre0 type gretap local <local-ip> remote <remote-ip> key 0xfffffffe
# Сбор диагностической информации по Kaspersky Industrial CyberSecurity for Networks В данном разделе собраны способы сбора диагностической информации по KICS for Networks # Работа с утилитой Health Check tool **Утилита Health Check tool** предназначена для сбора диагностических данных и создания отчета о работоспособности узлов, где развернуты компоненты KICS for Networks, о нагрузке на сервер KICS for Networks, определяет статус служб (активны/неактивны). Если архитектура KICS for Networks распределенная (сервер и сенсор разделены), то данная утилита позволяет подключиться к сенсорам по SSH для сбора диагностической информации. **Утилита Health Check tool** предоставляется по запросу. Утилита представляет собой архив, где расположен скрипт для диагностики узлов KICS for Networks. Скрипт поддерживает только CentOS 8 Stream и CentOS 9 Stream.kics4net-health-check.sh
3\. Необходимо присвоить права для запуска скрипта:chmod +x kics4net-health-check.sh
4\. Запускаем скрипт:sh kics4net-health-check.sh
5\. Затем выберите опцию в соответствии с описанием ниже: **Deployment report (опция 1):** Скрипт определяет параметры текущего развертывания KICS for Networks и выполняет сбор данных, связанных с настройками при установке, состояние узлов и состояние служб KICS for Networks. В случае когда сервер KICS for Networks и сенсоры установлены отдельно, скрипт будет пытаться подключиться к сенсорам по протоколу SSH для сбора данных. Будьте готовы предоставить пароль root для аутентификации. Выполнение скрипта можно в любой момент, используя сочетание клавиш CTRL+C. Диагностический отчет сохраняется в директории скрипта, по одному файлу для каждого узла KICS for Networks. **Operational data report (опция 2):** Health Check tool, в случае выбора данной опции, пытается подключиться к серверу KICS for Networks с помощью API, для запроса и обработки операционные данные, собранных KICS for Networks. Перед началом связи скрипт устанавливает необходимые пакеты Python, если они не были установлены ранее. Для подключения через API вам необходимо создать новый коннектор с веб-интерфейсе KICS for Networks: - Откройте веб-интерфейс KICS for Networks и перейдите в раздел "Параметры" -> Коннекторы. - Создайте новый коннектор типа "Generic", укажите IP-адрес в качестве адреса сервера и укажите тот же адрес для "Адреса узла подключения". - Установите пароль доступа по сертификату, который будет использоваться для подключения к API KICS for Networks. - Задайте произвольное имя коннектора, например, "healthcheck". - Выберите тип "Generic". - Нажмите "Сохранить", после чего будет загружен результирующий zip-файл. Затем переместите полученный zip-файл в папку 'connector' на узле сервера KICS for Networks и запустите выполнение скрипта, выбрав опцию 2. В случае если сервер занят обработкой большого объема данных, выполнение скрипта может занять достаточно большое количество времени. Вы можете прервать выполнение скрипта в любой момент, используя сочетание клавиш CTRL+C. Результирующий файл журнала сохраняется в директории скрипта. # Типовые схемы развертывания # Схема установки KICS for Networks all-in-oneВ данном разделе находится информация о схеме развертывания решения KICS for Networks без использования внешних серверов.
При установке Сервера без внешних сенсоров все данные для обработки и анализа поступают только на компьютер, выполняющий функции Сервера. Вы можете применить этот способ установки, если компьютер имеет достаточное количество сетевых интерфейсов для получения данных из различных источников.
Подробнее про данный тип развертывания решения можно ознакомиться [здесь](https://support.kaspersky.ru/kics-for-networks/4.3/206298)
На рисунке ниже показан пример схемы развертывания Сервера без сенсоров. Сетевые интерфейсы компьютера, выполняющего функции Сервера, подключаются к SPAN-портам сетевых коммутаторов (SPAN-порты и соединения обозначены желтым цветом) и получают копию трафика из трех сегментов промышленной сети. Выделенная сеть Kaspersky Industrial CyberSecurity обозначена линиями зеленого цвета.
[](https://www.ics-community.ru/uploads/images/gallery/2025-09/rygimage.png) # Схема установки сервера KICS for Networks с внешними сенсорамиВ данном разделе находится информация о схеме развертывания решения KICS for Networks с использованием внешних сенсеров.
Способ установки Сервера и внешних сенсоров предполагает использование нескольких компьютеров для установки компонентов программы. На одном из компьютеров устанавливается Сервер. На остальных компьютерах устанавливаются сенсоры, которые будут получать данные из вычислительных сетей. В программе может использоваться до 50 сенсоров.
Подробнее про данный тип развертывания решения можно ознакомиться [здесь](https://support.kaspersky.ru/kics-for-networks/4.3/206299)
На рисунке ниже показан пример схемы развертывания Сервера и трех сенсоров. Сетевые интерфейсы компьютеров, выполняющих функции сенсоров, подключаются к SPAN-портам сетевых коммутаторов (SPAN-порты и соединения обозначены желтым цветом) и получают копию трафика из соответствующих сегментов промышленной сети. Выделенная сеть Kaspersky Industrial CyberSecurity обозначена линиями зеленого цвета.
[](https://www.ics-community.ru/uploads/images/gallery/2025-09/gW0image.png) # Подключение Kaspersky Industrial CyberSecurity for Networks к промышленной сети через диод данныхВ данном разделе находится информация о подключении KICS for Networks к промышленной сети через диод данных.
Для подключения Kaspersky Industrial CyberSecurity for Networks к промышленной сети вы можете дополнительно использовать специальные устройства, обеспечивающие одностороннюю передачу данных из промышленной сети. Такие устройства называются *диодами данных*.
Подробнее про данную схему развертывания решения можно ознакомиться [здесь](https://support.kaspersky.ru/kics-for-networks/4.3/206300)
#### **Получение копии трафика промышленной сети через диоды данных**На рисунке ниже показана схема подключения коммутатора через диод данных к точке мониторинга на Сервере KICS for Networks. Через диод данных поступает зеркалированный трафик от SPAN-порта сетевого коммутатора в промышленной сети. В этой схеме применяется способ установки Сервера без внешних сенсоров.
[](https://www.ics-community.ru/uploads/images/gallery/2025-09/4Uvimage.png)На рисунке ниже показана схема подключения нескольких сенсоров Kaspersky Industrial CyberSecurity for Networks через диоды данных. Через диоды данных поступает трафик от SPAN-портов сетевых коммутаторов в промышленной сети. В этой схеме применяется способ установки Сервера и трех сенсоров.
[](https://www.ics-community.ru/uploads/images/gallery/2025-09/hHwimage.png)Если вы хотите дополнительно разграничить сегменты промышленной сети, в которых установлены сенсоры, и сегмент выделенной сети Kaspersky Industrial CyberSecurity, в котором установлен Сервер, вы можете использовать межсетевой экран на линиях соединений сенсоров и Сервера.
#### **Получение копии трафика промышленной сети и работа в режиме интеграции с EPP-приложением через диоды данных**На рисунке ниже показана схема поступления трафика от SPAN-портов сетевых коммутаторов и получения данных телеметрии от EPP-приложения (KICS for Linux Nodes) из нескольких технологических площадок.
В данном сценарии через диод данных передается телеметрия собранная только с Kaspersky Industrial CyberSecurity for Linux Nodes. Телеметрию с Kaspersky Industrial CyberSecurity for Windows Nodes передать через диод данных не получится.
[](https://www.ics-community.ru/uploads/images/gallery/2025-10/bdkimage.png) # Получение трафика промышленных сетей от компонентов решения Kaspersky SD-WANВ данном разделе находится информация о схеме получения трафика промышленных сете от компонентов решения Kaspersky SD-WAN
Kaspersky Industrial CyberSecurity for Networks может работать в режиме интеграции с [решением Kaspersky SD-WAN](https://support.kaspersky.com/help/SD-WAN/2.2/ru-RU/237477.htm). При работе в этом режиме Kaspersky Industrial CyberSecurity for Networks получает зеркалированный трафик, который проходит через сетевые коммутаторы на удаленных технологических площадках, если на этих площадках установлен компонент решения Kaspersky SD-WAN устройство Customer Premise Equipment (далее "устройство CPE"). С помощью устройств CPE вы можете частично реализовать функции сенсоров Kaspersky Industrial CyberSecurity for Networks, обеспечив получение программой трафика промышленных сетей с географически разнесенных площадок. При этом данные передаются в программу по защищенным каналам.
Подробнее про данный тип развертывания решения можно ознакомиться [здесь](https://support.kaspersky.ru/kics-for-networks/4.3/273216)
На рисунке ниже показан пример схемы развертывания Kaspersky Industrial CyberSecurity for Networks и решения Kaspersky SD-WAN для случая, когда зеркалированный трафик из нескольких технологических площадок поступает на Сервер Kaspersky Industrial CyberSecurity for Networks через один шлюз SD-WAN. Компьютеры, подключенные к [выделенной сети Kaspersky Industrial CyberSecurity](https://support.kaspersky.ru/kics-for-networks/4.3/102350), и компьютеры с центральными компонентами SD-WAN находятся в центральном офисе организации. Пунктирными линиями обозначен путь передачи зеркалированного трафика от сетевых коммутаторов на удаленных технологических площадках.
[](https://www.ics-community.ru/uploads/images/gallery/2025-09/9Iuimage.png) # Процесс корректного перехода на новые версии продуктов В данном разделе содержится информация по переходу на новые версии продукта # Обновление предыдущей версии приложения (KICS for Linux Nodes) Вы можете обновить версию KICS for Linux Nodes 1.3 до версии KICS for Linux Nodes 1.5.Более ранние версии (например, 1.2 или 1.1) требуют предварительного удаления и чистой установки, поскольку для них не предусмотрено обновление до KICS for Linux Nodes 1.5.
Если проигнорировать данный шаг и не обновить агент администрирования, то управлять приложением через Kaspersky Security Center будет невозможно.
На устройстве с операционной системой Astra Linux Special Edition рекомендуется обновлять Агент администрирования удаленно с помощью KSC, так как при обновлении с помощью командной строки в консоли управления KSC создается новый экземпляр того же управляемого устройства, а старый становится недоступным.
**2 шаг.** Необходимо осуществить обновление плагинов управления KICS for Linux Nodes: - [веб-плагин управления Kaspersky Industrial CyberSecurity for Linux Nodes](https://support.kaspersky.ru/kics-for-linux-nodes/1.5/263913); - [MMC-плагин управления Kaspersky Industrial CyberSecurity for Linux Nodes](https://support.kaspersky.ru/kics-for-linux-nodes/1.5/263912). Обновление осуществляется путем установки новой версии плагина управления. **3 шаг.** Переходим в веб-интерфейс KSC или в консоль администрирования KSC В меню консоли администрирования KSC выберете **Дополнительно** → **Удаленная установка** → **Инсталляционные пакеты**. [](https://www.ics-community.ru/uploads/images/gallery/2025-09/Wcnimage.png) Далее нажимаем кнопку "Создать инсталляционный пакет". Откроется "Мастер создания инсталляционных пакетов" и предложит на выбор несколько опций. Нас интересует опция "Создать инсталляционный пакет для приложения "Лаборатории Касперского". [](https://www.ics-community.ru/uploads/images/gallery/2025-09/PUyimage.png) В следующем шаге задаем имя нашему инсталляционному пакету. Далее открывается стандартное окно Windows с помощью кнопки Обзор и мы указываем путь к файлу kics.kud. Данный файл находится в папке, в которую вы распаковали архив с KICS for Linux Nodes, где находится сборка версии до которой мы хотим обновить наше приложение, в данном случае архив: kics-1.5.0.<номер сборки>.zip. На следующем шаге ознакомлявшемся с Лицензионным соглашением и принимаем его. После чего мастер загружает файлы, необходимые для установки приложения, на Сервер администрирования KSC. В веб-консоли KSC "Мастер создания инсталляционного пакет" находится в разделе: **Обнаружение устройств и развертывание** → **Развертывание и назначение** → **Инсталляционные пакеты**. Следующие шаги после запуска мастера аналогичны. **4 шаг.** Далее переходим в KSC, где можно воспользоваться мастером развертывания защиты. Мастер развертывания защиты позволяет проводить удаленную установку приложений как с использованием специально созданных инсталляционных пакетов, так и напрямую из дистрибутивов. Возвращаемся в раздел **Дополнительно** → **Удаленная установка** и запускаем **"Мастер удаленной установки**". (В веб-консоли KSC переходим в раздел **Обнаружение устройств и развертывание** → **Развертывание и назначение** → **Мастер развертывания защиты**). Далее нужно выбрать инсталляционный пакет приложения, которое требуется установить. На следующем шаге выбираются устройства на которых надо обновить приложение до новой версии. В окне Параметры задачи удаленной установки настройте параметры удаленной установки приложения. [](https://www.ics-community.ru/uploads/images/gallery/2025-09/sqwimage.png) Далее будет предложено выбрать действие, которое требуется выполнить, если необходимо перезагрузить операционную систему во время установки приложения. Выбираем интересующее нас действие и нажимаем "Далее", указываем, следует ли перемещать устройства в группу администрирования после установки Агента администрирования. По умолчанию стоит "Не перемещать устройства". После чего выбираем требуется ли нам учетная запись для установки или установлен агент администрирования и нажимаем Далее. На финальном шаге по умолчанию вариант Запустить задачу после завершения работы мастера не выбран. Если вы выберете этот параметр, Задача удаленной установки приложения начнется сразу после завершения работы мастера. Если вы не выберете этот параметр, Задача удаленной установки приложения не начнется. Вы можете запустить эту задачу в дальнейшем вручную. **2 способ. Обновление с помощью командной строки** Обновление KICS for Linux Nodes с помощью командной строки выполняется путем установки на устройство новой версии приложения из пакета формата RPM или DEB в соответствии с типом менеджера пакетов.Обратите внимание, если в новой версии приложения изменились условия Лицензионного соглашения и/или Политики конфиденциальности, вам нужно принять новые условия в ходе обновления приложения.
Чтобы принять условия новых соглашений в ходе обновления, нужно использовать переменные окружения `KICS_EULA_AGREED=yes`, `KICS_PRIVACY_POLICY_AGREED=yes` и `KICS_USE_KSN=yes/no`.
Установка пакета KICS for Linux Nodes осуществляется с помощью следующей команды в соответствии с типом менеджера пакетов. Если у вас установлен графический пользовательский интерфейс приложения предыдущей версии, вам также нужно установить пакет, содержащий файлы графического интерфейса приложения. - Для пакета в формате RPM: `# [KICS_EULA_AGREED=yes] [KICS_PRIVACY_POLICY_AGREED=yes] [KICS_USE_KSN=yes/no] rpm -U --replacefiles --replacepkgs kics-1.5.0-<``номер сборки``>.Изменения параметров приложения, сделанные после завершения обновления и до перезапуска приложения, не сохраняются.
# Обновление KICS for Networks с использованием скрипта переноса данныхИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или ICS community и **НЕ** является официальной рекомендацией вендора
Убедитесь, что все пункты из [**статьи подготовки**](http://91.184.244.141/books/instrukcii/page/obnovlenie-kics-for-networks-s-ispolzovaniem-skripta-perenosa-dannyx) соблюдены
Если вы планируете обновить KICS for Networks до следующей версии, то нужно воспользоваться скриптом переноса данных, который идет в комплекте поставки программы. Скрипт переноса данных имеет следующее название: данных kics4net-backup.sh.Использованием скрипта kics4net-backup.sh поддерживается для версий программы, начиная с версии 4.0. Скрипт нужно использовать локально, на том сервере, где установлены компоненты KICS for Networks резервную копию или перенос данных которых вы хотите сделать.
Скрипт kics4net-backup.sh переносить из текущей версии продукта следующие данные: - политика безопасности; - данные о состоянии и режимах работы технологий и методов; - параметры обновления баз и программных модулей; - информация о добавленном лицензионном ключе; - записи аудита; - сообщения программы; - риски категории Уязвимость; - зарегистрированные события; - сохраненный трафик для событий; - данные карты сети; - данные об исполняемых файлах. Рекомендуется создать резервную копию всех данных KICS for Networks. Резервная копия создается также с помощью скрипта kics4net-backup.sh. При резервном копировании скрипт помимо предыдущих данных позволяет сохранить следующие компоненты: - конфигурация сервисов программы; - имя компьютера; - номер версии программы. Сценарий обновления KICS for Networks с помощью данного скрипта состоит из следующих шагов: **1 шаг.** Создание резервной копии данных от предыдущей версии программы на компьютерах Сервера и сенсоров 1. На компьютер с установленным компонентом программы предыдущей версии скопируйте в произвольную директорию архив kics4net-release\_<номер версии программы>.tar.gz из комплекта поставки программы. 2. Перейдите в директорию, в которую скопирован архив, и введите команду для распаковки архива: `tar -zxvf kics4net-release_<``номер версии программы``>.tar.gz` Распакованные директории и файлы появятся во вложенной директории kics4net-release\_<номер версии программы>. 3. Перейдите в директорию с распакованными файлами скриптов и пакетов для установки, проверки и удаления компонентов программы. Файлы находятся во вложенной директории kics4net-release\_<номер версии программы>/linux-astra. 4. Запустите скрипт kics4net-backup.sh: - Если вы хотите создать резервную копию данных на компьютере Сервера, введите команду: `sudo bash kics4net-backup.sh -b -p <``путь к файлу резервной копии``> <``необязательные параметры``>` - Если вы хотите создать резервную копию данных на компьютере сенсора, введите команду: `sudo bash kics4net-backup.sh -s -p <``путь к файлу резервной копии``> <``необязательные параметры``>` где: - `-b` – параметр для включения режима записи данных Сервера в файл резервной копии (обязательный параметр при запуске на компьютере Сервера). - `-p` – параметр, указывающий полный путь и имя файла создаваемой резервной копии (обязательный параметр). - `-s` – параметр для включения режима записи данных сенсора в файл резервной копии (обязательный параметр при запуске на компьютере сенсора). - `<``необязательные параметры``>` – один или несколько необязательных параметров, перечисленных ниже. - `-t` – параметр для выключения сохранения трафика (если параметр не указан, трафик сохраняется). - `-e` – параметр для выключения сохранения зарегистрированных событий (если параметр не указан, события сохраняются). Вы можете указать этот параметр только при создании резервной копии данных на компьютере Сервера. - `-n` – параметр для выключения сохранения данных карты сети (если параметр не указан, данные карты сети сохраняются). Вы можете указать этот параметр только при создании резервной копии данных на компьютере Сервера. - `-x` – параметр для выключения сохранения данных об исполняемых файлах (если параметр не указан, данные об исполняемых файлах сохраняются). Вы можете указать этот параметр только при создании резервной копии данных на компьютере Сервера. - `-d` – параметр для остановки сервисов программы (если параметр не указан, происходит запуск сервисов программы после завершения работы скрипта).пример: sudo bash kics4net-backup.sh -b -p ./old\_kics4net\_data -t
Скрипт начнет резервное копирование данных. Дождитесь завершения работы скрипта kics4net-backup.sh и сохраните созданный файл резервной копии. **2 шаг.** Удаление предыдущей версии программыЭтот шаг выполняется, если вы хотите установить компоненты текущей версии KICS for Networks на те же узлы, на которых установлены компоненты предыдущей версии.
Есть несколько способов удаления компонентов KICS for Networks: - Централизованно на всех узлах, на которых выполнялась установка предыдущей версии программы. Этот способ выполняется с помощью скрипта централизованной установки компонентов программы путем выполнения [процедуры централизованного удаления](https://support.kaspersky.com/help/KICSforNetworks/4.3/ru-RU/129421.htm). - Локально на каждом узле, на котором установлен компонент предыдущей версии программы. Этот способ выполняется с помощью скрипта [локального удаления компонентов программы](https://support.kaspersky.com/help/KICSforNetworks/4.3/ru-RU/214388.htm) (если компонент предыдущей версии программы предусматривает возможности локальной установки и локального удаления). **3 шаг.** Установка текущей версии. Процесс установки описан в разделе "[Развертывание KICS for Networks](http://91.184.244.141/books/instrukcii/page/razvertyvanie-kics-for-networks)". **4 шаг.** Загрузка данных из резервной копии после установки новой версии программы. Перейдите в директорию:Для специфических сценариев использования скрипта kics4net-backup.sh предусмотрен дополнительный параметр команды запуска `--restore-database`. Этот параметр предназначен для восстановления из файла резервной копии только базы данных Сервера. В сценарии обновления предыдущей версии программы этот параметр не используется. Чтение и загрузку данных из файла резервной копии Сервера, включающих и данные для восстановления базы данных, обеспечивает параметр `-r` (см. выше).
Скрипт начнет загрузку данных из файла резервной копии в программу. Дождитесь завершения работы скрипта kics4net-backup.sh. После завершения загрузки данных из резервных копий на всех узлах [подключитесь к Серверу через веб-интерфейс](https://support.kaspersky.com/help/KICSforNetworks/4.3/ru-RU/151470.htm) и проверьте параметры развертывания узлов в разделе Параметры → Развертывание. При необходимости [добавьте сенсоры](https://support.kaspersky.com/help/KICSforNetworks/4.3/ru-RU/210811.htm). # Kaspersky MLAD: создание активов ### 1. Описание задачи Kaspersky MLAD позволяет пользователю создавать дерево активов для своего проекта как вручную через веб-интерфейс программы, так и автоматизировано путем ипорта файла активов. Данный документ описывает процесс создания/изменения активов в Kaspersky MLAD при помощи Excel-таблиц. Цель использования данного инструмента – ускорить и упростить процесс создания или изменения активов в Kaspersky MLAD. Ниже приведена упрощенная схема подключения, используемая в описываемой в данном документе интеграции. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/image.png) ### 2. Реализация задачи Первым шагом необходимо в MLAD перейти в **Меню администратора**, затем в **Активы**. Нажмите кнопку **Экспортировать Активы и теги в файл XLSX**. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/iTEimage.png) Будет скачан файл **mlad\_structure.xlsx**. Откройте его в MS Excel. В появившемся уведомлении нажмите Да. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/8pUimage.png) Во вкладке **directory\_types** отображаются существующие типы активов. Здесь же можно создать собственные типы активов. Описания полей можно увидеть, наведя мышку на название столбца. Ниже на скриншоте показан процесс добавления двух новых типов активов. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/3hQimage.png) В поле **directory\_type** укажите название нового типа активов. Поля **parameter\_label** являются не обязательными для заполнения, в них вы можете указать опциональные параметры, которые будут иметь все активы данного типа (например, год выпуска, или рабочее напряжение). В поле **description** можно задать краткое описание для данного типа активов. Поле **directory\_type\_id** не заполняется вручную. Во вкладке **directories** можно создать или изменить активы. Ниже на скриншоте показан процесс добавления двух новых активов на основе созданных типов активов: [](https://www.ics-community.ru/uploads/images/gallery/2026-06/EmBimage.png) В поле **directory\_type** выберите тип создаваемого актива. В поле **directory\_type\_row** укажите номер строки, который этот тип имеет во вкладке **directory\_types** (несмотря на то, что в описании столбца указано «не заполнять»). В нашем случае это строки 9 и 10. В поле **directory\_name** укажите название нового актива. В поле **parent** необходимо выбрать имя родителя. Если наш актив располагается в корне дерева, то родителя указывать не нужно. В противном случае просто скопируйте имя нужного актива из столбца **directory\_name**. Если ваш актив находится глубже в структуре дерева, то необходимо здесь указать путь до родительского актива в формате «Родитель 1; Родитель 2; …; Непосредственный родитель». Если в выпадающем списке нужных родителей нет, удалите выпадающий список и заполните поле вручную. В поле **parent** необходимо указать номер строки родителя из этой же вкладки (несмотря на то, что в описании столбца указано «не заполнять»). В примере выше, если родителем является Станция 1, то нужно указать его номер строки – 23. Поля **directory\_id** и **parent\_id** вручную заполнять не нужно. Во вкладке **tags** создаются новые или редактируются существующие теги. На скриншоте ниже показан пример создания трех новых тегов (new\_tag\_1, new\_tag\_2, new\_tag\_3). [](https://www.ics-community.ru/uploads/images/gallery/2026-06/tDlimage.png) В столбце **tag\_id** необходимо продолжить нумерацию после последнего существующего тега для всех новых тегов (несмотря на то, что в описании столбца указано «не заполнять»). Нумерация не обязательно должна быть непрерывной, вы можете задавать **id** по своему усмотрению, но у каждого тега в активах MLAD должен быть свой уникальный **id**. В поле **tag\_description** указывается описание / проектное наименование тега, с которым он потом будет отображаться в инструментах MLAD. В поле **parent** необходимо указать путь до родительского актива по тому же принципу, как мы уже сделали это во вкладке **directories**. В поле **parent\_row** укажите номер строки родительского актива во вкладке **directories** (несмотря на то, что в описании столбца указано «не заполнять»). В нашем случае это строки 24 и 25. Поле **parent\_id** вручную заполнять не нужно. Остальные поля заполняются по желанию / необходимости. После заполнения файла сохраните его и вернитесь в MLAD в раздел активов. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/plJimage.png) Нажмите кнопку Импортировать активы и теги из файла XLSX. В появившемся окне выберите ваш файл с активами для загрузки остальные настройки как показано на скриншоте ниже: [](https://www.ics-community.ru/uploads/images/gallery/2026-06/c2himage.png) После чего нажмите кнопку **Сохранить**. Если импорт прошел успешно, появится зеленая плашка с соответствующим уведомлением, и в вашем дереве активов появятся новые активы и теги. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/yiXimage.png) Данные теги доступны для использования во всех инструментах MLAD, в том числе в моделях, разметках и коннекторах. # Kaspersky MLAD: импорт исторических данных ### 1. Описание задачи После создания дерева активов в Kaspersky MLAD, для обучения моделей и проведения исторического инференса потребуется достаточная выборка исторических данных. Данные можно накопить в процессе работы программы при наличии подключения к источнику данных, например, по протоколу OPC UA. Но если у вас уже есть накопленная выборка, то наиболее быстрым и предпочтительным способом является импорт данных при помощи встроенного HTTP-коннектора. Данный документ описывает процесс настройки HTTP-коннектора и импорта данных из csv-файла при помощи POST-запросов. Для передачи csv-файла в MLAD можно использовать стандартную утилиту, например, curl. В данном документа также описан процесс импорта при помощи инструмента csv2http (предоставляется по запросу). Для работы потребуется операционная система Linux (в данном документе используется Debian 13). Ниже приведена упрощенная схема подключения, используемая в описываемой в данном документе интеграции. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/1Waimage.png) ### 2. Реализация задачи Первым шагом необходимо в MLAD перейти в **Меню администратора** -> **Системные параметры -> HTTP Connector.** Здесь рекомендуется отключить использование TLS-соединения, чтобы упростить процесс настройки Kaspersky MLAD и ввод его в эксплуатацию. Если в дальнейшем по соображениям безопасности потребуется перейти на HTTPS-соединение, здесь же можно включить TLS-обратно и подгрузить необходимые сертификаты. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/jbzimage.png) После этого необходимо запустить HTTP-коннектор в **Службах**. [](https://www.ics-community.ru/uploads/images/gallery/2026-06/dSzimage.png) Теперь мы можем отправлять данные в MLAD в виде csv файлов через POST-запросы. Более подробно настройка HTTP-коннектора и загрузка данных описаны в [руководстве пользователя](https://support.kaspersky.com/help/MLAD/6.0/ru-RU/248003.htm). Csv-файл должен иметь следующую структуру:**метка времени; имя тега; значение тега**
Метка времени должна быть в формате **%Y-%m-%dT%H:%M:%S** (или **%Y-%m-%d %H:%M:%S**). Имя тега должно соответствовать имени тега в активах MLAD. Если значение тега содержит дробную часть, используйте точку при отделении целой и дробной частей. Файл не должен содержать заголовочную строку (строку с названием столбцов). Пример содержимого файла:2026-01-12 08:00:00;Tag1;11.10 2026-01-12 08:00:00;Tag2;37 2026-01-12 11:00:00;Tag1;12.10 2026-01-12 11:00:00;Tag2;38
Пример отправки CSV-файла в MLAD через curl по протоколу методом `POST` на порт 4999 сервера Kaspersky MLAD:curl -F "file=@<имя файла>.csv" -X POST "http://<IP-адрес или доменное имя сервера Kaspersky MLAD>:4999/upload"
Не рекомендуется загружать файлы размером более 10-20 МБ. Это может привести к потере отдельных точек данных при загрузке. Если вы хотите загрузить большой csv-файл (что весьма вероятно), необходимо разбить его на более мелкие файлы и загрузить их по очереди с небольшой задержкой. Можно использовать, к примеру, такой скрипт (запускается из директории, в которой находятся csv-файлы:\#!/bin/bash \# Укажите адрес вашего сервера SERVER\_URL="localhost:4999/upload" \# Перебор всех csv-файлов в директории for file in \*.csv; do # Завершение скрипта, если csv-файлы не найдены \[ -e "$file" \] || { echo "No CSV files found."; exit 0; } echo "Uploading $file to $SERVER\_URL ..." # Отправка файла в MLAD через POST-запрос curl -X POST -F "file=@$file" "$SERVER\_URL" sleep 0.5 echo done
**Kaspersky MLAD будет добавлять часовой пояс, указанный в настройках программы к меткам времени, указанным в csv-файле. Имейте это в виду при подготовке файла для импорта.**
Данный метод загрузки данных с одной стороны является достаточно простым и не требует использования дополнительных инструментов, но с другой стороны накладывает жесткие ограничения на формат и размер загружаемого csv-файла, и требует редактирования метки времени. Альтернативно можно использовать утилиту csv2http (предоставляется по запросу), которая автоматически подготавливает файл для загрузки в соответствии с настройками и загружает его. Для ее запуска на машине потребуется установленный docker и docker-compose (можно запускать на машине с MLAD). [](https://www.ics-community.ru/uploads/images/gallery/2026-06/Hxuimage.png) Перед началом использования утилиты необходимо загрузить локальный docker-образ (укажите корректный путь до tar-файла):docker load -i /home/mlad-user/Downloads/csv2http/csv2http\_docker\_image.tar
Утилита запускается при помощи скрипта в корневой директории **./run.sh** Для остановки утилиты используется скрипт **./stop.sh** Вы можете изменить настройки программы в файле **csv2http.yml**. После изменения параметров необходимо остановить и заново запустить утилиту. Ключевые настройки, на которые нужно обратить внимание: **hours\_from\_GMT** - количество часов, указанных в данном параметре должно соответствовать часовому поясу, заданному в настройках MLAD. **tabular** - если значение данного параметра равно **false**, то данные формат csv должен соответствовать формату, описанному выше (**метка времени; имя тега; значение тега)**, если значение **true**, то файл должен иметь табличную форму, как показано в следующем примере:| timestamp | param1 | param2 | param3 | param4 |
| 2025-12-28T00:00:00 | 70 | 53 | 49 | 66 |
| 2025-12-28T00:01:00 | 71 | 52 | 49 | 66 |
| 2025-12-28T00:02:00 | 70 | 53 | 49 | 66 |
| 2025-12-28T00:03:00 | 71 | 53 | 49 | 66 |
| 2025-12-28T00:04:00 | 70 | 52 | 49 | 66 |
| 2025-12-28T00:05:00 | 70 | 52 | 49 | 66 |
| 2025-12-28T00:06:00 | 70 | 53 | 49 | 66 |
**docker logs csv2http-smb2mlad1** используйте флаг **-f**, если вы хотите отслеживать новые записи в журнале
Если загрузка файлов завершилась досрочно (например, скриптом **./stop.sh**), и вы хотите загрузить файлы заново, то вам необходимо удалить все файлы из директорий **./work/csv** и **./work/staging**, а также удалить файл **./work/offset.txt**.
# Kaspersky MLAD: Модуль Event Processor (EP) ### 1. Назначение документа Данный документ предназначается для общего ознакомления с функционалом модуля Процессор События программного продукта Kaspersky MLAD и его основными инструментами. При этом данный документ не описывает детальную настройку Процессора Событий и процесс работы с событийными данными для решения конкретных задач. ### 2. Kaspersky MLAD - типы входных данных Вне зависимости от того, какой тип коннектора или интерфейса вы используете для передачи данных в Kaspersky MLAD, в общем и целом, система предполагает работу с двумя принципиально разными типами входных данных [](https://www.ics-community.ru/uploads/images/gallery/2026-09/image.png) Во-первых, это непрерывные данные от промышленного оборудования (временные ряды). По сути, речь идет о текущих значениях технологических параметров, которые описывают работу промышленной установки, например, температура, вибрация, давление, расход и прочие. И именно с такими данными работает модуль выявления аномалий Kaspersky MLAD, включая обучение моделей и потоковый инференс. При этом речь не обязательно идет об аналоговых величинах – модуль выявления аномалий также поддерживает работу с дискретными сигналами (например, для разметки или диагностических правил). Но в любом случае, речь выше идет о данных вида «метка времени» - «значение». Что если вам необходимо выявлять аномалии не во временных рядах, но в потоке событий от одного или множества источников? Например, от POS-терминалов, банкоматов, потребителей электроэнергии, систем SIEM и так далее. Очевидно, что в данном случае мы имеем дело уже с другим типом данных, а именно с событийными данными. Такие данные помимо метки времени могут содержать (и обычно содержат) несколько дополнительных параметров и свойств, чаще всего категориальных, а не числовых, как во временных рядах. Например, событие от POS-терминала может содержать идентификатор события, ID терминала, номер транзакции, результат операции, дополнительный контекст и т.д. Для работы с событийными данными и последовательностями событий в Kaspersky MLAD есть отдельный модуль, который называется Процессор Событий (Event Processor). Данный модуль входит в состав базовой поставки, но для его работы требуется отдельная лицензия. [](https://www.ics-community.ru/uploads/images/gallery/2026-09/ozRimage.png) ### 3. Описание работы модуля EP Как было указано выше, основным предназначением Процессора Событий является работа с событийными данными и последовательностями событий. Очевидно, что для работы с событийными данными, которые содержат большое количество категориальных полей и метаданных, не подходят классические нейронные сети, которые применяются в модуле выявления аномалий. Поэтому в Процессоре Событий используется особый тип нейросетей, которые называются нейросемантические сети, а также продвинутые методы статистического анализа. Для их работы не требуется предварительное обучение или загрузка, скажем, всего перечня POS-терминалов из примера выше в систему. Обучение происходит «на лету». За анализ событий и выявление аномалий в событийных данных в Процессоре Событий отвечают так называемые Мониторы Данных. Тип используемого Монитора зависит от решаемой задачи. Основные типы уже включены в состав модуля. [](https://www.ics-community.ru/uploads/images/gallery/2026-09/8GZimage.png) Предположим, что у нас есть поток событий о действиях пользователей в системе, и мы хотим выявлять вход пользователей в систему с необычного для них хоста. Если бы мы писали правила корреляции в SIEM для решения этой задачи, нам бы потребовалось где-то хранить и постоянно обновлять список ранее используемых хостов для каждого пользователя и каждый раз производить сверку с этим списком. Если количество пользователей исчисляется сотнями и тысячами, данная задача становится очень трудоемкой, если вообще разрешимой. В EP для решения подобных задач (задач выявления необычных или аномальных событий) существует базовый монитор. [](https://www.ics-community.ru/uploads/images/gallery/2026-09/glwimage.png) Вы можете настроить для данного монитора параметры активации по факту возникновения новых событий по определенному полю события. [](https://www.ics-community.ru/uploads/images/gallery/2026-10/chatgpt-image-oct-2-2026-01-02-38-pm.png) Теперь каждый раз, когда у нас будет прилетать новое событие с новым для нас значением поля UserHost, мы будем получать срабатывание монитора. И будет выдано соответсвующее уведомление (например, передача события в SIEM или в смежную систему через API). При этом, некоторые задачи и некоторые мониторы требуют фильтрации параметров событий и фокуса на определенных параметрах процесса. Предположим, перед нами стоит задача выявления необычной активности по событиям в разрезе времени суток. Для простоты, пусть это будет выявление активности пользователей некой доменной группы в необычное для них время. Для решения подобного класса задач существует свой тип монитора: [](https://www.ics-community.ru/uploads/images/gallery/2026-09/EV8image.png) При работе данного монитора (и большинства других) обычно требуется сфокусироваться на определенном параметре события, например на доменной группе, в разрезе которой мы мониторим активность, или на IP хостов, которые проявляют активность. Также может потребоваться отфильтровать не нужные параметры событий и работать только с важными параметрами. Для этого в EP существуют дополнительные сущности, которые называются Головы Внимания. Они позволяют задать предмет внимания, на котором будет фокусироваться монитор, и условия по отдельным параметрам события. [](https://www.ics-community.ru/uploads/images/gallery/2026-10/JzLimage.png) На скриншоте выше мы создаем новую голову внимания, которая фокусируется на IP адресе хоста и фильтрует события по вердикту системы контроля доступа. При этом в перечень обрабатываемых параметров события так же попадает IP адрес узла назначения. Далее при создании Монитора мы указываем голову внимания, с которой он будет работать. [](https://www.ics-community.ru/uploads/images/gallery/2026-10/lZYimage.png) После активации монитор будет отслеживать входящий поток событий и выявлять аномалии по времени активности для каждого хоста. Большая часть мониторов (за исключением разве что монитора, выявляющего эксфильтрацию данных по DNS) является универсальной и может быть использована для решения широкого спектра задач. К примеру, Монитор, выявляющий статистические аномалии может быть использован для выявления майнеров в электрической сети. [](https://www.ics-community.ru/uploads/images/gallery/2026-09/R6eimage.png) Для этого мы создаем голову внимания, которая фокусируется на потребителях и изучает данные об их электропотреблении. [](https://www.ics-community.ru/uploads/images/gallery/2026-09/w9kimage.png) И далее создаем монитор для выявления статистических аномалий с использованием данной головы внимания [](https://www.ics-community.ru/uploads/images/gallery/2026-09/rpNimage.png) После активации данного монитора, ему на вход можно подавать получасовые данные потребления ЭЭ по десяткам или даже сотням тысяч потребителей, и он будет выявлять сложные статистические аномалии в потреблении ЭЭ по каждому из них. ### 4. Заключение Инструменты процессора событий позволяют решать предметные задачи, стоящие перед пользователями системы. Функционал Мониторов событий и голов внимания не ограничивает их применение определенным кругом задач, так что они могут использоваться в абсолютно разных сценариях. В дальнейшем перечень мониторов внимания будет расширяться, в том числе под требования Заказчиков. # Kaspersky MLAD: Использование внутреннего API ### 1. Назначение документа Данный документ описывает процесс подключения к внутреннему API Kaspersky MLAD для получения данных (значения тегов, информацию об инцидентах и артефакты работы моделей). ### 2. Общая информация На момент написания данной инструкции в Kaspersky MLAD не реализован официальный внешний API, через который можно было бы забирать данные во внешние системы. Тем не менее в системе присутствует API, используемый внутренними сервисами, к которому так же можно подключиться извне.ВНИМАНИЕ: Описываемый в данном документе механизм подключения не является официальным функционалом Kaspersky MLAD, и производитель не несет ответственности при его использовании для коммуникации с внешними системами.
### 3. Конфигурация [](https://www.ics-community.ru/uploads/images/gallery/2026-09/5uOimage.png) Таким образом, для подключения необходимых данных нужно отправить соответствующий запрос на нужный эндпоинт API. Ниже будут приведены примеры скриптов python для подобных запросов. Но перед этим потребуется несколько предварительных шагов. ##### **Извлечение хеша пароля** Пароль передается в хешированном виде, поэтому для его получения потребуются дополнительные действия, но только один раз (при условии, что пароль не меняется). Предположим, что у нас есть некий пользователь, от лица которого будут выполняться запросы. Порядок действий следующий: > - Открываем страницу логина в MLAD > \- Открываем "инструменты разработчика / developer tools" (F12 или правой кнопкой мыши в любом месте страницы -> "Просмотреть код / Inspect") > \- В инструментах разработчика открываем вкладку "Network" / "Сеть" > \- Вверху вкладки ставим "галочку" "Preserve log", иначе не увидите нужных запросов > \- Авторизуемся под нашим пользователем > \- Ищем в логе запрос авторизации (/api/authorize/) > \- В "payload" будет искомый нами пароль, который мы можем использовать для авторизации в вызывающем API "скрипте". > \- Пароль будет в виде хеша, например: "7DFcwe0I6Ult8w422gQgWg2TPUXKPYXlkRFlWvhkrPKAs8kfWcInbHo7UYiKMVYUa/rHQ7K7GtEvP8S2ZLJQAw==" > \- Используем этот хеш в переменной ‘USER\_PASSWORD’в основном скрипте > ##### **Поиск нужных UUID** Нужные нам UUID моделей и вообще любых элементов можно посмотреть в веб-интерфейсе MLAD. Выберите нужный предиктивный элемент в дереве проекта: [](https://www.ics-community.ru/uploads/images/gallery/2026-09/6msimage.png) После этого можно скопировать UUID из адресной строки: [](https://www.ics-community.ru/uploads/images/gallery/2026-09/Jkdimage.png) Аналогично, можно узнать номер нужного тега: [](https://www.ics-community.ru/uploads/images/gallery/2026-09/StAimage.png) ##### **Запрос значений тегов и предиктов через** **API** Ниже приведен пример скрипта для запроса значений тегов и артефактов работы моделей: >| Функция | Путь в реестре (Registry Path) | Имя параметра | Значение |
| ПОЛИТИКА ПАРОЛЕЙ | |||
| Максимальный срок действия пароля | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Netlogon\\Parameters | MaximumPasswordAge | Число в днях (например, 30, 90) |
| УДАЛЕННЫЙ ПОМОЩНИК (Remote Assistance) | |||
| Включение/Отключение помощника | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Remote Assistance | fAllowToGetHelp | 1 = Включен, 0 = Отключен |
| Разрешение полного управления | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Remote Assistance | fAllowFullControl | 1 = Разрешено, 0 = Только просмотр |
| Предложение помощи (несанкционированное) | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Terminal Services | fAllowUnsolicited | 1 = Разрешено, 0 = Запрещено |
| Управление чатом | HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Control\\Remote Assistance | fEnableChatControl | 1 = Чат включен, 0 = Чат отключен |
| УДАЛЕННЫЙ РАБОЧИЙ СТОЛ (Remote Desktop / RDP) | |||
| Включение/Отключение RDP | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server | fDenyTSConnections | 0 = Включен, 1 = Отключен |
| Альтернативный путь (Политики) | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Terminal Services | fDenyTSConnections | 0 = Включен, 1 = Отключен |
| Количество одновременных сессий | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server | fSingleSessionPerUser | 0 = Несколько сессий, 1 = Одна сессия |
| Запрет пустых паролей | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa | LimitBlankPasswordUse | 1 = Запретить, 0 = Разрешить |
| Перенаправление USB (RemoteFX) | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Terminal Services\\Client | fUsbRedirectionEnableMode | 0 = Выкл, 1 = Только админы, 2 = Все |
| Remote Registry (служба) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\RemoteRegistry | Start | 4 = Отключено |
| СЕТЕВОЕ ОБНАРУЖЕНИЕ И ОБЩИЙ ДОСТУП | |||
| Сетевое обнаружение | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\DNSCache\\Parameters | EnableNetbiosDetection | Управляет обнаружением сетей |
| Общий доступ к файлам и принтерам | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Print | DisableServerThread | 1 = Отключить общий доступ к принтерам |
| Общий доступ к папкам (админ. ресурсы) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | AutoShareServer | 0 = Отключить C$, ADMIN$ |
| Общий доступ к папкам (рабочая станция) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | AutoShareWks | 0 = Отключить общие ресурсы |
| АУДИТ И СОБЫТИЯ | |||
| Аудит (глобальное состояние) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa | auditbaseobjects | 0 = Отключить аудит базовых объектов |
| Размер журнала безопасности | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog\\Security | MaxSize | Максимальный размер в байтах |
| Размер журнала приложений | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog\\Application | MaxSize | Максимальный размер в байтах |
| Очистка журнала (запрет перезаписи) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog\\Security | Retention | Управляет перезаписью и очисткой |
| КОНТРОЛЬ УЧЕТНЫХ ЗАПИСЕЙ (UAC) | |||
| Главный выключатель UAC | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableLUA | 1 = UAC включен, 0 = UAC отключен |
| Поведение запроса для администраторов | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | ConsentPromptBehaviorAdmin | 0 = Без запроса, 1 = Запрос данных, 2 = Запрос согласия, 5 = Затемнение экрана |
| Поведение запроса для обычных пользователей | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | ConsentPromptBehaviorUser | 1 = Запрос данных, 3 = Затемнение экрана |
| Переключение на безопасный рабочий стол | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | PromptOnSecureDesktop | 1 = Запрос на безопасном столе, 0 = На обычном |
| Режим одобрения администратором | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableVirtualization | Управляет виртуализацией |
| Обнаружение установки приложений | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableInstallerDetection | 1 = Запрос повышения прав при установке |
| Только подписанные исполняемые файлы | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | ValidateAdminCodeSignatures | 1 = Только для подписанных файлов |
| Режим одобрения для встроенного администратора | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | FilterAdministratorToken | 1 = Режим одобрения для Administrator |
| UIAccess без безопасного стола | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableUIADesktopToggle | 1 = Разрешено, 0 = Запрещено |
| Виртуализация файлов и реестра | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableVirtualization | 1 = Включена, 0 = Отключена |
| ВОССТАНОВЛЕНИЕ СИСТЕМЫ | |||
| Восстановление системы | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SystemRestore | DisableSR | 1 = Отключено, 0 = Включено |
| БРАНДМАУЭР | |||
| Включение брандмауэра (стандартный профиль) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\SharedAccess\\Parameters\\FirewallPolicy\\StandardProfile | EnableFirewall | 1 = Включен, 0 = Отключен |
| Включение брандмауэра (доменный профиль) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\SharedAccess\\Parameters\\FirewallPolicy\\DomainProfile | EnableFirewall | 1 = Включен, 0 = Отключен |
| БЕЗОПАСНОСТЬ ПОДКЛЮЧЕНИЙ | |||
| Подписывание пакетов SMB (клиент) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanWorkstation\\Parameters | RequireSecuritySignature | 1 = Подписывание обязательно |
| Подписывание пакетов SMB (сервер) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | RequireSecuritySignature | 1 = Подписывание обязательно |
| КОНТРОЛЬ ПРОЦЕССОВ И ОБЪЕКТОВ | |||
| Квоты памяти для процессов | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager\\Memory Management | PagedPoolQuota | Управляет квотой страничного пула |
| Отладка программ | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager | Debugger | Управляет отладчиками по умолчанию |
| Профилирование процессов | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager\\Environment | PROFILER | Настройки профилирования |
| СЛУЖБА ЖУРНАЛА СОБЫТИЙ | |||
| Административные шаблоны Event Log | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\EventLog\\Application | MaxSize, Retention | Параметры размера и хранения |
| ОТЧЕТЫ ОБ ОШИБКАХ | |||
| Отключить отчеты об ошибках Windows | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\Windows Error Reporting | Disabled | 1 = Отключить, 0 = Включить |
| АВТОЗАПУСК (AUTOPLAY / AUTORUN) | |||
| Вариант работы автозапуска | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer | NoDriveTypeAutoRun | Битовая маска (255 = отключить все) |
| Флажок "Всегда выполнять" | HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\AutoplayHandlers | DisableAlwaysShowCheckBox | 1 = Не показывать флажок |
| Отключить автозапуск (полностью) | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer | NoAutorun | 1 = Отключить автозапуск |
| Отключить автозапуск для устройств, не являющихся томами | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer | NoAutoplayfornonVolume | 1 = Отключить для MTP устройств |
| Функция | Путь в реестре (Registry Path) | Имя параметра | Значение |
| ПОЛИТИКА ПАРОЛЕЙ | |||
| Максимальный срок действия пароля | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Netlogon\\Parameters | MaximumPasswordAge | Число в днях (например, 30, 90) |
| УДАЛЕННЫЙ ПОМОЩНИК (Remote Assistance) | |||
| Включение/Отключение помощника | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Remote Assistance | fAllowToGetHelp | 1 = Включен, 0 = Отключен |
| Разрешение полного управления | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Remote Assistance | fAllowFullControl | 1 = Разрешено, 0 = Только просмотр |
| Предложение помощи (несанкционированное) | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Terminal Services | fAllowUnsolicited | 1 = Разрешено, 0 = Запрещено |
| Управление чатом | HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Control\\Remote Assistance | fEnableChatControl | 1 = Чат включен, 0 = Чат отключен |
| УДАЛЕННЫЙ РАБОЧИЙ СТОЛ (Remote Desktop / RDP) | |||
| Включение/Отключение RDP | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server | fDenyTSConnections | 0 = Включен, 1 = Отключен |
| Альтернативный путь (Политики) | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\Terminal Services | fDenyTSConnections | 0 = Включен, 1 = Отключен |
| Аутентификация на уровне сети (NLA) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp | UserAuthentication | 1 = NLA обязательна |
| Запрет пустых паролей | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa | LimitBlankPasswordUse | 1 = Запретить, 0 = Разрешить |
| Remote Registry (служба) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\RemoteRegistry | Start | 4 = Отключено |
| СЕТЕВОЕ ОБНАРУЖЕНИЕ И ОБЩИЙ ДОСТУП | |||
| Общий доступ к папкам (админ. ресурсы) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | AutoShareServer | 0 = Отключить C$, ADMIN$ |
| Общий доступ к папкам (рабочая станция) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | AutoShareWks | 0 = Отключить общие ресурсы |
| Отключение SMBv1 (небезопасный протокол) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | SMB1 | 0 = Отключен |
| АУДИТ И СОБЫТИЯ | |||
| Размер журнала безопасности | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog\\Security | MaxSize | Максимальный размер в байтах |
| Размер журнала приложений | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog\\Application | MaxSize | Максимальный размер в байтах |
| Размер журнала системы | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\EventLog\\System | MaxSize | Максимальный размер в байтах |
| КОНТРОЛЬ УЧЕТНЫХ ЗАПИСЕЙ (UAC) | |||
| Главный выключатель UAC | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableLUA | 1 = UAC включен, 0 = UAC отключен |
| Поведение запроса для администраторов | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | ConsentPromptBehaviorAdmin | 0 = Без запроса, 1 = Запрос данных, 2 = Запрос согласия, 5 = Затемнение экрана |
| Поведение запроса для обычных пользователей | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | ConsentPromptBehaviorUser | 1 = Запрос данных, 3 = Затемнение экрана |
| Переключение на безопасный рабочий стол | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | PromptOnSecureDesktop | 1 = Запрос на безопасном столе, 0 = На обычном |
| Режим одобрения для встроенного администратора | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | FilterAdministratorToken | 1 = Режим одобрения для Administrator |
| Обнаружение установки приложений | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableInstallerDetection | 1 = Запрос повышения прав при установке |
| Только подписанные исполняемые файлы | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | ValidateAdminCodeSignatures | 1 = Только для подписанных файлов |
| Виртуализация файлов и реестра | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System | EnableVirtualization | 1 = Включена, 0 = Отключена |
| SmartScreen (Защита от фишинга и вредоносных сайтов) | |||
| Включение SmartScreen для Edge/Chrome | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\MicrosoftEdge\\PhishingFilter | EnabledV9 | 1 = Включен |
| SmartScreen для приложений из Store | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\System | EnableSmartScreen | 1 = Включен |
| ВОССТАНОВЛЕНИЕ СИСТЕМЫ | |||
| Восстановление системы | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SystemRestore | DisableSR | 1 = Отключено, 0 = Включено |
| БЕЗОПАСНОСТЬ ПОДКЛЮЧЕНИЙ | |||
| Подписывание пакетов SMB (клиент) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanWorkstation\\Parameters | RequireSecuritySignature | 1 = Подписывание обязательно |
| Подписывание пакетов SMB (сервер) | HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters | RequireSecuritySignature | 1 = Подписывание обязательно |
| ОТЧЕТЫ ОБ ОШИБКАХ | |||
| Отключить отчеты об ошибках Windows | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\Windows Error Reporting | Disabled | 1 = Отключить, 0 = Включить |
| АВТОЗАПУСК (AUTOPLAY / AUTORUN) | |||
| Вариант работы автозапуска | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer | NoDriveTypeAutoRun | Битовая маска (255 = отключить все) |
| Отключить автозапуск (полностью) | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer | NoAutorun | 1 = Отключить автозапуск |
| Отключить автозапуск для устройств, не являющихся томами | HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer | NoAutoplayfornonVolume | 1 = Отключить для MTP устройств |
| BitLocker (шифрование диска) | |||
| Включение BitLocker | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\FVE | EnableBDEWithNoTPM | 1 = Разрешить без TPM |
| Тип шифрования | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\FVE | EncryptionMethod | 4 = XTS-AES 128, 6 = XTS-AES 256 |
| Windows Update (безопасность обновлений) | |||
| Автоматическая установка обновлений | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU | AUOptions | 4 = Автоустановка |
| Отключение обновлений | HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\WindowsUpdate\\AU | NoAutoUpdate | 1 = Отключено, 0 = Включено |
| Правило | Что обнаруживает |
| **Обнаружена возможная попытка взлома пароля с помощью подбора** | Многократные неудачные попытки входа (брутфорс, подбор пароля) |
| **Обнаружена подозрительная активность во время сетевого сеанса входа** | Входы в нерабочее время или с необычных адресов |
| **Обнаружены признаки компрометации журналов Windows** | Очистка или изменение журналов аудита |
| **Обнаружена подозрительная активность со стороны новой установленной службы** | Появление новых служб — признак сохранения доступа (persistence) |
| **Обнаружена подозрительная аутентификация с явным указанием учетных данных** | Использование явных учётных данных (например, в скриптах) |
| **Обнаружены признаки атаки Kerberos forged PAC (MS14-068)** | Попытка эскалации привилегий через уязвимость Kerberos |
| **Обнаружены подозрительные изменения привилегированной группы Администраторы** | Несанкционированное добавление пользователей в группу Administrators |
| Event ID | Описание | Почему важно |
| **4624** | Успешный вход в систему | Позволяет отслеживать необычные входы (время, источник, учётная запись) |
| **4625** | Неудачная попытка входа | Основной индикатор брутфорса и подбора паролей |
| **4648** | Вход с явными учётными данными | Может указывать на использование украденных или скомпрометированных учётных данных |
| **4672** | Вход с правами администратора | Повышение привилегий — критическое событие |
| **4740** | Блокировка учётной записи | Может свидетельствовать о целенаправленной атаке или сбое в автоматизации |
| Event ID | Описание | Почему важно |
| **4720** | Создание учётной записи пользователя | Несанкционированное создание учётных записей — признак сохранения доступа |
| **4728** / **4732** | Добавление пользователя в группу с правами администратора | Эскалация привилегий — один из ключевых этапов атаки |
| **4735** | Изменение локальной группы | Может указывать на модификацию политик безопасности |
| **4756** | Добавление пользователя в группу с правами администратора | Аналогично 4728/4732 |
| Event ID | Описание | Почему важно |
| **1102** | Очистка журнала аудита | Попытка скрыть следы атаки |
| **4719** | Изменение политики аудита | Может использоваться для отключения аудита критических событий |
| **4616** | Изменение системного времени | Используется для «размытия» временных меток событий |
| Event ID | Описание | Почему важно |
| **4660** | Удаление объекта | Удаление критических файлов или ключей реестра |
| **4674** | Попытка операции с привилегированным объектом | Может указывать на попытку получения несанкционированного доступа |
| Event ID | Описание | Почему важно |
| **4104** | Ведение журнала блоков скриптов PowerShell | Позволяет обнаруживать выполнение вредоносных скриптов |
| Event ID | Описание |
| **4698** | Создание запланированной задачи |
| **4699** | Удаление запланированной задачи |
| **4700** | Включение запланированной задачи |
| **4701** | Выключение запланированной задачи |
| **4702** | Обновление запланированной задачи |
| Категория аудита | Подкатегория | Рекомендация |
| **Audit Account Logon** | Audit Kerberos Authentication Service | Успех и неудача |
| **Audit Account Management** | Audit User Account Management, Audit Security Group Management | Успех и неудача |
| **Audit Logon** | Audit Logon | Успех и неудача |
| **Audit Object Access** | Audit File System, Audit Registry | Успех и неудача (для критических объектов) |
| **Audit Policy Change** | Audit Policy Change | Успех |
| **Audit Privilege Use** | Audit Sensitive Privilege Use | Успех и неудача |
| **Audit System** | Audit Security State Change, Audit System Integrity | Успех |
| Файл | Назначение |
| install\_tzsp\_astra2.sh | Скрипт установки и настройки systemd-сервиса |
| tzsp\_to\_pcap.pl | Perl-скрипт, удаляющий заголовок TZSP из потока PCAP |
| tzsp2pcap.sh | Основной bash-скрипт: захват TZSP, преобразование и воспроизведение на tap0 |
| tzsp2pcap.service | Юнит systemd для автозапуска конвертера |
| Пакеты \*.deb | tcpreplay (обязательно из вложения), tcpdump и зависимости |
| Действие | Команда |
| Статус | sudo systemctl status tzsp2pcap.service |
| Логи в реальном времени | sudo journalctl -u tzsp2pcap.service -f |
| Запуск | sudo systemctl start tzsp2pcap.service |
| Остановка | sudo systemctl stop tzsp2pcap.service |
| Перезапуск | sudo systemctl restart tzsp2pcap.service |
| Компонент | Путь |
| Основной скрипт | /usr/bin/tzsp2pcap.sh |
| Perl-скрипт | /usr/bin/tzsp\_to\_pcap.pl |
| Юнит systemd | /etc/systemd/system/tzsp2pcap.service |
| Способ задания пути к ISO | Пример |
| По умолчанию | sudo sh ./K4Net\_4.3\_autoinstall.sh |
| Аргумент командной строки | sudo sh ./K4Net\_4.3\_autoinstall.sh /путь/к/файлу.iso |
| Переменная окружения | ISO\_PATH=/путь/к/файлу.iso sudo sh ./K4Net\_4.3\_autoinstall.sh |