Kaspersky Endpoint Security 11 for LinuxVer 11.3

製品説明資料

2022年12月19日
カスペルスキー セールスエンジニアリング本部

Kaspersky Endpoint Security for Linux
Kaspersky Endpoint Security for Linuxの特徴
Linuxの保護を目的としたアプリケーション• スタンドアロンでの使用、集中管理が可能• 物理サーバー、仮想サーバー、クラウドインスタンスでの使用• IPS、Webトラフィックスキャン、ふるまい検知など高度なセキュリティ• ランサムウェア対策（ふるまい検知・アンチクリプター）• Docker コンテナスキャン• システム変更監視• アプリケーション起動制御、実行ファイル・スクリプトインベントリ

2Kaspersky Endpoint Security for Linux
Kaspersky Endpoint Security for Linux 11.3 新機能
 パフォーマンスの強化• 製品の全般設定で、プロセスメモリスキャンからプロセスを除外可能。
• ファイル脅威対策タスクとふるまい検知タスクでプロセススキャンの除外を設定可能。
• kesl̲bypass チェーンのルールにより、Kaspersky Endpoint Security のスキャンからトラフィックを除外。
• ログファイルのスキャンを最適化。
SkipPlainTextFiles パラメータを使用し、前回のスキャンから10 分以内に同じプロセスによってテキストファイルが再利用される場合に、スキャンからこれらのファイルを除外可能。

Kaspersky Endpoint Security for Linux
Kaspersky Endpoint Security for Linuxは以下のライセンスで使用可能です。
ライセンスにより使用出来る機能に差があります。

Kaspersky Endpoint Security for Business SelectKaspersky Endpoint Security for Business Advanced
Kaspersky EDR-Optimum
Kaspersky Hybrid Cloud Security CPU
Kaspersky Hybrid Cloud Security デスクトップ
Kaspersky Hybrid Cloud Security サーバー
Kaspersky Hybrid Cloud Security Enterprise サーバー

注
Kaspersky Hybrid Cloud Security CPU、デスクトップ ライセンスでは、物理マシンに対して、Kaspersky Endpoint Security for Linuxを使用することは出来ません。

4Kaspersky Endpoint Security for Linux
製品機能
コアなセキュリティ機能• リアルタイムスキャン/オンデマンドスキャン• SMBおよびNFSを使用してマウントした共有リソースのスキャン• リムーバブルドライブのマウント時スキャン• ブートセクタースキャン• 実行中のプロセスメモリスキャン• ふるまい検知• アンチクリプター（共有に対する暗号化攻撃ブロック）• Kaspersky Security Network 対応• ウェブ脅威対策タスク• ネットワーク脅威対策• Docker コンテナ、イメージ、名前空間スキャン
5Kaspersky Endpoint Security for Linux
製品機能
その他 セキュリティ機能• デバイスコントロール• アプリケーションコントロール• オペレーティングシステムのファイアウォール管理• システム変更監視
管理・運用機能• インストールの簡易化（Fanotifyサポート）• 感染オブジェクトのバックアップ/コピー• 信頼リスト（除外リスト）の作成/追加• コマンドラインによる管理• Kaspersky Security Center による管理• ローカルGUIによる管理（機能のオンオフ、ライセンス管理のみ）
6

Kaspersky Endpoint Security for Linux
Kaspersky Endpoint Security for Business KESBと省略
Kaspersky Hybrid Cloud Security KHCSと省略

ライセンスと機能 対照表

デスクトップ

KHCS
サーバー

KHCS
Enterprise
CPU

KHCS
Enterprise
サーバー

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

✔

ネットワーク脅威対策

✔

✔

✔

✔

✔

✔

✔

ファイアウォール管理

✔

✔

✔

✔

✔

✔

✔

アンチクリプター

✔

✔

✔

✔

✔

✔

デバイスコントロール

✔

✔

✔

✔

✔

✔

KESB
SelectKESB
Advanced

KHCS
CPU

ファイルアンチウイルス✔

✔

ふるまい検知✔

ウェブ脅威対策✔

アプリケーションコントロール

✔

✔

✔

✔

インベントリタスク

✔

✔

✔

✔

Dockerコンテナスキャン ＊1✔

✔

KESL Container✔

✔

システム変更監視✔

✔

＊１ Dockerコンテナスキャン詳細は後述。

7KHCS

日本ではARMプロセッサーで使用出来るライセンスを販売しておりません。

セキュリティテクノロジー
基本機能8コアアンチウイルステクノロジー
 静的検知メソッド:
 定義データベース
 Links
 構造化ヒューリスティック 局所性鋭敏型ハッシュ 機械学習エンジンテクノロジー
 複雑なオブジェクトの処理
 動的検知メソッド:
 エミュレーター
 ヒューリスティック定義
 ふるまい検知Kaspersky Security Network クラウドテクノロジー:
 Kaspersky Security Network
 Urgent Detection System
9静的検知メソッド: LINKS Links:
 Binary code
 ターゲットプラットフォーム上で動作するバイナリーコード。
 独立した環境の中で、アンチウイルスエンジンによって実行される。
 スキャンのためにサブミットされたファイルをアンパックや複合、解析するためのミニプログラムを動作させる。
 Any algorithm いかなるアルゴリズムもLINKSの中に実装可能。
 強味:
 定義アップデートとして発行。現在の脅威に対して、迅速かつ柔軟に対応することができる

10

製品機能
• ふるまい検知
オペレーティングシステム内の悪意のある動作を監視します。悪意のある動作を検知すると、そのプロセスを終了。

• ウェブ脅威対策
HTTP、HTTPS（暗号化されたトラフィックのスキャン）、FTP トラフィックをスキャン
悪意のあるファイルのダウンロード、悪意のある Web サイト、フィッシングサイト、アドウェアを含むサイト、その他の危険な Web サイトへのアクセスを防止。

• ネットワーク脅威対策（IPS）
ネットワーク攻撃に特有の動作が含まれていないかどうかスキャン。
受信トラフィックをスキャンするポートは、TCP ポート 80、139、445、8080。
ネットワーク攻撃の試行を検知し、攻撃元コンピューターのネットワーク動作をブロック。
その動作に対応するイベントがログに記録。

11

製品機能
• デバイスコントロール
コンピューターに搭載または接続されたデバイス（例：ハードディスク、スマートカードリーダー、Wi-Fi モジュールなど）へのユーザーアクセスを管理。
デバイスコントロールは、アクセスを次のレベルで制御。
•••

デバイスクラス
接続バス
信頼するデバイス• ファイアウォール管理
オペレーティングシステムのファイアウォールのパラメータとルールをKaspersky Endpoint Security が管理。
オペレーティングシステムのファイアウォールを60 秒ごとにチェックし、必要に応じてファイアウォールのルールのセットを復元。

12

製品機能
• アンチクリプター（共有に対する暗号化攻撃ブロック）
SMB / NFS プロトコルでネットワークアクセスされるローカルディレクトリのファイルを悪意のあるリモートでの暗号化から保護。
アンチクリプタータスクの範囲から除外されたディレクトリでの暗号化処理は、悪意のある暗号化であるとみなしません。
既定では、信頼されないホストからネットワークファイルリソースへのアクセスを30 分間ブロック。
KSC

KES LINUX
管理

悪意のあるクライアント

ファイルサーバー

悪意のあるクライアント
13

簡易スキャンタスク （メモリースキャン、ブートセクタースキャン）• メモリースキャン、ブートセクターをスキャンする簡易スキャンタスク。
• フルスキャンとは別に、短期周期で実行することで、よりセキュアな運用が可能に。
• コマンドによるローカル実行とKSCからのタスク実行が可能。
コマンドによる実行
インストール時にローカルタスクが自動作成されるため実行コマンドのみで実行可能
デフォルトではスケジュールは未設定。
グループタスクによる実行
KSC上でタスクを作成し、スキャン設定、除外領域、スケジュールを指定して適用

14

リムーバブルドライブスキャン
リムーバブルドライブ用スキャンタスク
CD、DVD、Blu-ray ディスク、フラッシュドライブ（USB モデムを含む）、外付けハードディスク、フロッピーディスク。
ScanRemovableDrives
リムーバブルドライブ（CD ドライブ、DVD ドライブ、Blu-ray ディスクを除く）をスキャン。
ScanOpticalDrives
コンピューター接続時の CD/DVD ドライブと Blu-ray ディスクのスキャン。
スキャンモードの指定
詳細スキャンでは、オブジェクトスキャンタスクの既定の設定が使用される。
簡易スキャンでは、ファイル脅威対策タスクの既定の設定が使用される。
証明スキャンを選択し、オブジェクトスキャンタスクの設定が ScanBootSectors=yes の場合、コンピューターへのリムーバブルドライブの接続が監視され、接続されると、一時的なブートセクターのスキャンタスクが実行される。

15

CIFS(Samba)/NFSスキャン（共有/マウント)
Samba/NFSでアクセスしている領域をクライアントのデータ使用時に、スキャンすることが可能。

••
•
•
•

16

CIFS(Samba)/NFSで共有/マウントしている領域に対してのスキャンが可能
共有/マウント先を細かくしていることも可能
共有/マウント先のCIFS(Samba)/NFSを個別に指定可能
すべての共有/マウントを選択することも可能
共有しているNFS/Sambaはそれぞれ下記設定を確認し保護を行います。
• NFS→ /etc/exports• Samba → /etc/samba/smb.confセキュリティテクノロジー
先進的機能

17

アプリケーションコントロールタスク
不要なアプリケーションの起動をブロックすることで、マルウェア感染リスクを低減。
• アプリケーションコントロールタスクは、2 つのモードで動作。
拒否リスト：
アプリケーションコントロールルールで指定されていないアプリケーションは起動可能。
許可リスト：
アプリケーションコントロールルールで指定されていないアプリケーションは起動不可。

• Kaspersky Endpoint Security は、python、perl、bash、ssh のインタープリターをサポート。
インタープリターコマンドラインで指定した、少なくとも 1 つのスクリプトの起動をアプリケーションコントロールルールで禁止している場合、インタープリターコマンドラインで指定したすべてのスクリプトがブロックされます。
アプリケーションコントロールタスクは、Kaspersky Endpoint Security でサポートされていないインタープリターからのスクリプトの起動や、コマンドラインを介してインタープリターに渡されないスクリプトの起動を制御しません。
アプリケーションコントロールルールでインタープリターの起動を許可している場合、このインタープリターから起動されたスクリプトはブロックされません。

18

インベントリタスク• アプリケーションコントロールのルール指定に使用。
• 実行ファイル、スクリプトを検出。
• Perl 、Python、bashなどのLinuxで使用出来るスクリプト、実行権限を持ったファイル、Windows の実行ファイルを検出。
• 検出結果は、KSCの実行ファイル一覧か、端末上で kesl-control --get-app-list で確認。

19

Dockerコンテナスキャン
Docker コンテナ、イメージ、名前空間をスキャン。
DeepScan設定イメージの全レイヤーのスキャンを設定可能。

Dockerコンテナのスキャンをマスクに基づいて実行可能
例：
my̲container という名前のコンテナをスキャンする場合：
ContainerNameMask=my̲container
名前が my̲container で始まるすべてのコンテナをスキャンする場合：
ContainerNameMask=my̲container*
名前が my̲ で始まり、その後に任意の 5 文字、̲container の順に続き、任意の文字で名前が終わる
すべてのコンテナをスキャンする場合：
ContainerNameMask=my̲?????̲container*

20

Dockerコンテナカスタムスキャン
 脅威の検知がどのコンテナ/イメージから見つかったものか判別が可能に。
 脅威検知時のコンテナ/イメージに対するアクションが可能（例 コンテナの停止やイメージの削除）
 専用のCLIを提供
ユースケース : Jenkins等 CI/CDツールのパイプラインの各ステップ（ビルド、テスト、デプロイ）に組み込む

21

Dockerコンテナスキャン
ライセンスの違いによるコンテナスキャンの機能差

オンアクセススキャン（リアルタイム検知）

オンデマンドスキャン

KHCS EnterpriseKESB
KHCS Standard

脅威の検知・駆除✔

✔

脅威を検知したコンテナの特定✔

脅威を検知したコンテナの自動停止✔

脅威の検知・駆除✔

脅威を検知したコンテナの特定✔

脅威を検知したコンテナの自動停止✔

脅威を検知したイメージの自動削除✔

全てのレイヤーのスキャン✔

専用のコマンド✔

✔

注 オンデマンドスキャン
コンテナを指定したオンデマンドスキャンはKHCS Enterpriseのみ。
22

Dockerコンテナスキャン 機能差
KHCS Enterpriseライセンス
Dockerコンテナに対するオンアクセススキャン（リアルタイム検知）

23

KHCS Enterpriseライセンス
Dockerコンテナスキャンタスクによるオンデマンドスキャン

24Dockerコンテナスキャン ログEventType=ObjectDeleted
EventId=4081
Initiator=Product
Date=2021-09-10 02:15:53
DangerLevel=Informational
FileName=[image:centos:c69kesl] /testfile
ObjectName=File
TaskName=Container_Scan
RuntimeTaskId=22
TaskId=18
TaskType=ContainerScan
FileOwner=root
FileOwnerId=0
ObjectId=5
FileSize=71
AccessUser=root
AccessUserId=0
Md5Hash=f079fa479d272525a158e63decc82bcc
ImageId=sha256:a9a3c22eedee894e2d9f373fc7654b1a7219491dc3d9b0cd4faa1d17be8993ca
ImageName=centos:c69kesl
ImageType=Docker
UniqueFileId=7546d910183de433ab19bc98c5b8f32e61c51024f080d625cbb4151ad437ade7
Sha256Hash=fc48081e213abf79031870d7a62cdc131edbc6594904d48dda80869be0edf116

25

EventType=ObjectNotDisinfected
EventId=4082
Initiator=Product
Date=2021-09-10 02:15:53
DangerLevel=Medium
FileName=[image:centos:c69kesl] /testfile
ObjectName=File
TaskName=Container_Scan
RuntimeTaskId=22
TaskId=18
TaskType=ContainerScan
FileOwner=root
FileOwnerId=0
ObjectId=5
FileSize=71
AccessUser=root
AccessUserId=0
ObjectNotDisinfectedReason=NonCurable
Md5Hash=f079fa479d272525a158e63decc82bcc
ImageId=sha256:a9a3c22eedee894e2d9f373fc7654b1a7219491dc3d9b0cd4faa1d17be8993ca
ImageName=centos:c69kesl
ImageType=Docker
UniqueFileId=7546d910183de433ab19bc98c5b8f32e61c51024f080d625cbb4151ad437ade7
Sha256Hash=fc48081e213abf79031870d7a62cdc131edbc6594904d48dda80869be0edf116

Dockerコンテナカスタムスキャン

26

システム変更監視システム変更監視指定された監視範囲のファイルとディレクトリに対して実行する処理を追跡する機能。
オンアクセスシステム変更監視（OAFIM） リアルタイムモードで監視
オンデマンドシステム変更監視（ODFIM） ベースラインを作成し、現在の状態と比較
システム変更監視はオブジェクトのアクセス制御リストの変更に関する通知を送信。
OAFIM タスクでは、実際に変更された内容の詳細は報告されない。
ODFIM タスクでは、属性の変更とファイル / ディレクトリの移動に関する情報が報告される。

Unknown User

And / OrUser

警告！
変更27

システム変更監視 設定例
ユーザー・パスワード関連、Cron、ssh設定などを監視。

28

オンデマンドシステム変更監視（ODFIM）①

タスクを作成し、監視対象と実行スケジュールを定義します。

②

初回の実行で、ベースラインが作成されます。

③

二回目以降の実行で、変更がレポートされます。
ODFIM タスクでは、属性の変更とファイル / ディレクトリの移動に関する情報が報告される。

＊ オンデマンドシステム変更監視タスクを変更すると、ベースラインを作成し直します。
＊ オンデマンドシステム変更監視タスクの設定で、ベースラインの再作成を指定出来ます。
＊ オンデマンドシステム変更監視タスクを削除すると、ベースラインは削除されます。

29

管理・運用機能30

Kaspersky Security Centerによる集中管理• 管理サーバーであるKaspersky Security Centerを利用することで統一したポリシーでPCの集中管理が可能。
• 定義適用の状況、バージョン管理、状態チェックなど全て一元管理可能。
• Linux のみでなくWindows/Mac/スマートフォン、物理/仮想環境も問わず集中管理が可能

Kaspersky
Security Center

31

Kaspersky
Security CenterConsole

Kaspersky Security Center 13

Linux版

Kaspersky Endpoint Security for Linuxのみをサポートする管理サーバー
最小ハードウェア
CPU 1.4 GHz以上
RAM: 4 GB
ハードディスク空き容量 10 GB
主要なディストリビューションをサポート
Ubuntu 18.04 LTS
Ubuntu 20.04 LTS
Debian GNU / Linux 10.5
CentOS 7.9.2009
CentOS 8.3.2011
Red Hat Enterprise Linux 7.9
Red Hat Enterprise Linux 8.3など
データベースMariaDB Server 10.3 のみ

詳しくはオンラインヘルプをご参照ください
https://support.kaspersky.com/KSCLinux/13/en-US/96255.htm

32

スタンドアロンでの運用
コマンドラインにより、ほぼ全ての設定が可能。
ローカルタスクとKSCにより作成されたグループタスクがある。
グループタスクはKSCのKES Linuxポリシーで公開可にしなければ一覧に表示されない。
一覧表示コマンド # kesl-control get-task-list
タスク名にSCと付加されているのがグループタスク。

設定は設定ファイル読み込みによる設定、コマンド実行による項目単位での設定が可能。
スケジュール設定は、設定ファイル読み込みを使用。
33

syslogへのログ出力
Kaspersky Security Center使用時は、ログを選択可能。
スタンドアロン使用時は全ログが対象。

34

インターネットに接続しない環境での使用
カスペルスキーではUpdate Utilityというツールを用意しています。

インターネットから、Update Utilityで定義をダウンロード。

USBなどで KES for Linux 端末のフォルダーへ定義をコピー。
KES for Linuxの更新先をフォルダーに指定。

35

参考36

インストールの簡易化（Fanotifyサポート）
これまでインストール時にリアルタイムスキャンの実行用にコンパイルしていた動作がなくなり自動で確認・適用が行われるようになります。
コンパイルせずに実装する方法としてLinuxカーネルにあるFanotifyという機構を利用しリアルタイムスキャンを実装します。
※ Fanotifyが利用できない環境の場合、もしくは使用しない場合はこれまで通りコンパイルが行われます
Fanotifyとは？
••••Linux 2.6.36カーネルから取り込まれたファイルシステムの状態変化を通知する機構
リアルタイムスキャンで利用
Fanotifyが利用できる環境（Linux Kernel 2.6.31以降）の場合、自動的にFanotifyを利用するように設定を実行
Fanotifyが利用できない環境の場合はリアルタイムプロテクションモジュールのコンパイルが行われる

Configuring file interceptors

Checking if fanotify is available...
Using fanotify interceptor
Starting Kaspersky Endpoint Security 10 for Linux. It can take some time.
Please wait.

37

スタンドアロン使用時 syslog設定① kesl-control get-app-settings コマンドで現設定を確認# kesl-control get-app-settings
SambaConfigPath=/etc/samba/smb.conf
NfsExportPath=/etc/exports
TraceFolder=/var/log/kaspersky/kesl/
TraceLevel=None
TraceMaxFileCount=5
TraceMaxFileSize=500
BlockFilesGreaterMaxFileNamePath=16384
DetectOtherObjects=No
UseKSN=Extended
UseMDR=No
UseProxy=No
ProxyServer=
MaxEventsNumber=500000
LimitNumberOfScanFileTasks=0
UseSyslog=No
EventsStoragePath=/var/opt/kaspersky/kesl/private/storage/eve
nts.dbInterceptorProtectionMode=FullNamespaceMonitoring=Yes② syslogを使用するよう、コマンドで設定変更# kesl-control set-app-settings UseSyslog=Yes38Syslog 設定
syslogの設定でKES Linuxのログを分離することも可能
例 /etc/rsyslog.confに、条件を追加① ログメッセージをテンプレートを使用し変更$template TemplateName1,"%timereported% %hostname% %syslogfacility-text%.%syslogseveritytext%: %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%¥n"② syslogtagがkesl:の場合に、標準と異なるファイルに書き出す。
if $syslogtag == 'kesl:' then {action(type="omfile" file="/var/log/keslmessages" template="TemplateName1")}

syslogtagがkesl: かつ、 メッセージに SystemIntegrityIssueが含まれる場合に、標準と異なるファイルに書き出す。
SystemIntegrityIssue は、システム変更監視のログ。
if $syslogtag == 'kesl:' then {if $msg contains "SystemIntegrityIssue" then {action(type="omfile" file="/var/log/keslSystemIntegrityIssue" template="TemplateName1")}}39

/etc/rsyslog.conf イメージ40

参考
簡易スキャンタスク（ローカルタスクの設定）
ID４ ローカルタスクとして簡易スキャンタスクが設定されている。

ID４ メモリースキャン、ブートセクタースキャンはオン。

41

ID４ スケジュールは、デフォルトでは手動実行

参考
オンデマンドシステム変更監視タスクをローカルタスクで作成する① タスクを作成します。
＃kesl-control --create-task localODF --type ODFIM“localODF”はタスク名称で、任意に設定する。

② タスクが作成されていることを確認します。
＃kesl-control get-task-list
以下のように表示されます。
名前: localODF
ID : 143
種別 : ODFIM
状態 : 停止③ ファイルから設定を読み込みます。
＃kesl-control --set-settings 143 --file /root/ODF“/root/ODF”は設定を記述したファイル。

設定ファイルの例/root/ODF
UseExcludeMasks=No
RebuildBaseline=No
CheckFileHash=Yes
TrackDirectoryChanges=Yes
TrackLastAccessTime=No[ScanScope.item̲0000]
AreaDesc=/etc/crontab
UseScanArea=Yes
Path=/etc/crontab
AreaMask.item̲0000=*[ScanScope.item̲0001]
AreaDesc=/etc/passwd
UseScanArea=Yes
Path=/etc/passwd
AreaMask.item̲0000=*[ScanScope.item̲0002]
AreaDesc=/etc/selinux/config
UseScanArea=Yes
Path=/etc/selinux/config
AreaMask.item̲0000=*[ScanScope.item̲0003]
AreaDesc=/etc/cron.d
UseScanArea=Yes
Path=/etc/cron.d
AreaMask.item̲0000=*

設定項目
https://support.kaspersky.com/KES4Linux/11.2.0/ja-JP/197997.htm

42

参考
システム変更監視結果を簡単に確認する。
管理サーバーで、システム変更監視に関するイベントのみを表示する「抽出」を作成します。

43

「抽出」の結果

44