Настройка политики карантина/сохранение связи с сервером администрирования

[infobez_bez]

Здравствуйте!

Я настраиваю политику карантина для устройств под управлением Windows в KSC. При переносе устройства в эту политику у него должна блокироваться вся сетевая активность, кроме связи с сервером администрирования.

Проблема:
-В политике для Linux есть опция «Всегда добавлять разрешающее правило для портов агента администрирования», но в политике для Windows такой настройки нет.
-Я пробовал добавлять сервер администрирования в доверенные узлы, но при этом разрешались и другие локальные службы, а нужно, чтобы работала только связь с KSC.
-Также пытался вручную прописать правила в сетевом экране для портов агента (например, 13000, 14000 TCP/UDP), но это не сработало — устройство теряло связь с сервером.

Вопрос:
Как правильно настроить политику карантина для Windows, чтобы:
-Устройство имело доступ только к серверу администрирования KSC.
-Все остальные сетевые соединения (включая локальные службы) блокировались.
-Устройство могло получать обновления политик (например, при выходе из карантина).
-Нужна ли дополнительная настройка сетевого экрана или есть скрытые параметры, аналогичные функционалу для Linux?

KSC 14.2

[mike 1]

10 часов назад, infobez_bez сказал:

В политике для Linux есть опция «Всегда добавлять разрешающее правило для портов агента администрирования», но в политике для Windows такой настройки нет.

Здравствуйте, на самом деле она есть, но в политике агента администрирования. 

10 часов назад, infobez_bez сказал:

Я пробовал добавлять сервер администрирования в доверенные узлы, но при этом разрешались и другие локальные службы, а нужно, чтобы работала только связь с KSC.

То что Вы пытаетесь сделать уже есть в KEDR и там это реализовано даже лучше и профита больше, так как там Вы можете реконструрировать всю цепочку атаки. Реализовать конечно можно попробовать через сетевой экран, но на это потребуется много времени, чтобы постараться учесть все нюансы. В сетевом экране правила работают сверху вниз. 

[infobez_bez]

 

13 часов назад, mike 1 сказал:

То что Вы пытаетесь сделать уже есть в KEDR и там это реализовано даже лучше и профита больше, так как там Вы можете реконструрировать всю цепочку атаки. Реализовать конечно можно попробовать через сетевой экран, но на это потребуется много времени, чтобы постараться учесть все нюансы. В сетевом экране правила работают сверху вниз. 

Скорее всего так оно и есть, но у нас нет возможности использовать KEDR, работаем с тем, что есть, это KES и KSC.

 

13 часов назад, mike 1 сказал:

Здравствуйте, на самом деле она есть, но в политике агента администрирования. 

Да, проверили, этот чекбокс стоит

 

Но при правилах сетевого экрана в политике KES

Сверху вниз:

Разрешать Входящие/Исходящие, 15000, 14000, 13000 порты, TCP;

Разрешать Входящие/Исходящие, 15000, 14000, 13000 порты, UDP;

Блокировать Входящие/Исходящие.

 

Связь с KSC у компьютера теряется при переносе в политику с настройками выше

 

 

[mike 1]

8 часов назад, infobez_bez сказал:

Связь с KSC у компьютера теряется при переносе в политику с настройками выше

 

Значит вероятно что-то не учли в конфигурации. Судя по тому, что Вы не смотрели направления трафика, то скорее всего перепутали термины "Локальный порт" и "Удалённый порт". К примеру, UDP 15000 нужно открывать от сервера администрирования в сторону управляющих хостов, а не в две стороны сразу. 

[А.В.С.]

Возможно, эта видеоинструкция поможет. 

 

https://dzen.ru/video/watch/61a3981ce0b508230915f817

[infobez_bez]

В 10.06.2025 в 17:27, А.В.С. сказал:

Возможно, эта видеоинструкция поможет. 

 

https://dzen.ru/video/watch/61a3981ce0b508230915f817

В моём случае не помогло, но много нового узнал, сделал немного по-другому. Спасибо за видео🙂