mi
289 lines
12 KiB
Markdown
289 lines
12 KiB
Markdown
# KESL 12.4 standalone на ВМ2 Processing
|
||
|
||
Операторский runbook для Ubuntu 24.04 ВМ2. Команды выполняет персональная роль
|
||
`admin` через `sudo` в отдельное maintenance window. Репозиторий не устанавливает,
|
||
не активирует и не запускает KESL автоматически.
|
||
|
||
Цели:
|
||
|
||
1. АВЗ.1: обнаружение и реагирование через host File Threat Protection.
|
||
2. АВЗ.2: автоматическое обновление баз.
|
||
3. Замена ClamAV в Message Safety локальным fail-closed scan-broker.
|
||
|
||
KESL 12.4 commercial не заявляется как сертифицированная ФСТЭК сборка.
|
||
|
||
## 0. Approvals и stop conditions
|
||
|
||
До окна зафиксировать change ID, оператора, Security/Service/Operations approvers,
|
||
hostname, ОС/ядро, package version/hash/source, лицензию, release SHA и rollback.
|
||
EULA, Privacy Policy и KSN согласовать отдельно. Activation code, ключи и secrets
|
||
не помещать в репозиторий, историю shell, chat или evidence.
|
||
|
||
Остановиться, если:
|
||
|
||
- ОС/архитектура/ядро отсутствуют в матрице KESL 12.4;
|
||
- установлен другой AV или неизвестный KESL;
|
||
- свободно менее 10 ГБ, нет 4 ГБ swap либо baseline ВМ2 уже деградирован;
|
||
- KESL+ClamAV coexistence оставляет менее 2 ГБ available memory, вызывает
|
||
устойчивый swap IO, OOM/restart, IO wait >10% за 5 минут;
|
||
- p95 Safety/Redis вырос более чем на 20%, queue age >30 секунд;
|
||
- package hash/source не подтверждены, лицензия недействительна или базы не загружены.
|
||
|
||
Не совмещать с deploy, миграциями, backup, TLS renewal, Docker restart или reboot.
|
||
|
||
## 1. Read-only baseline
|
||
|
||
```sh
|
||
date -Is
|
||
hostnamectl
|
||
uname -a
|
||
dpkg --print-architecture
|
||
free -h
|
||
swapon --show
|
||
df -hT / /var/lib/docker /tmp
|
||
df -ih / /var/lib/docker /tmp
|
||
systemctl is-active docker fail2ban ufw han-processing.service
|
||
dpkg-query -W -f='${Package}\t${Version}\t${Status}\n' \
|
||
kesl kesl-gui kav4fs 2>/dev/null || true
|
||
/usr/local/sbin/han-vm2-compose ps
|
||
docker stats --no-stream
|
||
iptables -S HAN-CHAT-VM2
|
||
ufw status verbose
|
||
```
|
||
|
||
Сохранить baseline CPU/RAM/swap/IO, Safety latency/error/queue, Redis latency,
|
||
container restart/OOM, OTEL queue и внешний/private smoke. Получить фактические
|
||
mountpoint только для `redis-safety-data` и `otel-queue` через
|
||
`docker volume inspect`; prefix Compose не угадывать.
|
||
|
||
## 2. Дистрибутив и установка
|
||
|
||
Использовать amd64 DEB KESL 12.4 из официального канала. Хеши пилота ВМ1 не
|
||
считать универсальными: записать фактические SHA-256 DEB/ISO и, если поставщик
|
||
публикует ФИКС/ГОСТ, проверить соответствующим алгоритмом.
|
||
|
||
Проверка файла:
|
||
```
|
||
apt install rhash
|
||
ISO='/var/lib/han-deploy/incoming/049-16-d-01.iso'
|
||
command -v rhash
|
||
rhash --gost "$ISO"
|
||
```
|
||
|
||
Должно быть 6a94b16afad211e8b9be5ec86f5379184f2b3a9e5869843fe763e2796e5ac1d3
|
||
|
||
Если совпадёт, извлеките DEB:
|
||
```
|
||
install -d -m 0700 -o root -g root \
|
||
/root/kesl-install /mnt/kesl-iso
|
||
|
||
mount -o ro,loop "$ISO" /mnt/kesl-iso
|
||
|
||
find /mnt/kesl-iso -type f \
|
||
\( -iname 'kesl_*_amd64.deb' -o -iname '*.deb' \) |
|
||
sort
|
||
```
|
||
|
||
Затем:
|
||
```
|
||
DEB='/mnt/kesl-iso/kesl/kesl_12.4.0-1225_amd64.deb'
|
||
|
||
dpkg-deb -f "$DEB" Package Version Architecture
|
||
sha256sum "$DEB"
|
||
|
||
install -m 0600 -o root -g root \
|
||
"$DEB" /root/kesl-install/kesl.deb
|
||
|
||
umount /mnt/kesl-iso
|
||
rmdir /mnt/kesl-iso
|
||
```
|
||
|
||
Ожидаемые свойства: kesl, версия 12.4.x, архитектура amd64. После этого можно выполнять:
|
||
```
|
||
apt-get install /root/kesl-install/kesl.deb
|
||
```
|
||
|
||
Создать `/root/kesl-install/autoinstall.ini` mode `0600`:
|
||
|
||
```ini
|
||
KSVLA_MODE=No
|
||
ENDPOINT_AGENT_MODE=No
|
||
EULA_AGREED=<Yes_AFTER_APPROVAL>
|
||
PRIVACY_POLICY_AGREED=<Yes_AFTER_APPROVAL>
|
||
USE_KSN=<Yes_OR_No_AFTER_APPROVAL>
|
||
GROUP_CLEAN=Yes
|
||
LOCALE=ru_RU.UTF-8
|
||
INSTALL_LICENSE=None
|
||
UPDATER_SOURCE=KLServers
|
||
UPDATE_EXECUTE=No
|
||
KERNEL_SRCS_INSTALL=No
|
||
USE_GUI=No
|
||
CONFIGURE_SELINUX=No
|
||
DISABLE_PROTECTION=Yes
|
||
INTERCEPTOR_MODE=UseFanotify
|
||
ENABLE_TRACES_ON_FIRST_STARTUP=No
|
||
```
|
||
|
||
```sh
|
||
chmod 0600 /root/kesl-install/autoinstall.ini
|
||
/opt/kaspersky/kesl/bin/kesl-setup.pl \
|
||
--autoinstall=/root/kesl-install/autoinstall.ini
|
||
systemctl --no-pager status kesl
|
||
kesl-control --app-info --json
|
||
kesl-control --get-task-list
|
||
```
|
||
|
||
При `INSTALL_LICENSE=None` setup может вернуть 71; не запускать повторно, если
|
||
`kesl.service` active и компоненты защиты остановлены. Активацию выполнить без
|
||
history, затем удалить переменную:
|
||
|
||
```sh
|
||
set +o history
|
||
unset HISTFILE
|
||
read -rsp 'KESL activation code: ' KESL_CODE; echo
|
||
kesl-control --add-active-key "$KESL_CODE"
|
||
unset KESL_CODE
|
||
set -o history
|
||
kesl-control -L --query
|
||
```
|
||
|
||
## 3. Resource budget до первой проверки
|
||
|
||
Defaults `ScanMemoryLimit=8192` и `MaxMemory=auto` не принимать на ВМ2 8 ГБ.
|
||
Стартовый кандидат — `ScanMemoryLimit=1024`, `MaxMemory=2048MB`; окончательные
|
||
значения определяются baseline и coexistence с ещё работающим ClamAV.
|
||
|
||
```sh
|
||
kesl-control --get-app-settings \
|
||
--file /root/kesl-install/app-settings.before.ini
|
||
kesl-control --set-app-settings \
|
||
UseOnDemandCPULimit=Yes OnDemandCPULimit=<APPROVED_VALUE>
|
||
```
|
||
|
||
`ScanMemoryLimit`/`MaxMemory` менять только по официальной процедуре в секции
|
||
`[General]` `/var/opt/kaspersky/kesl/common/kesl.ini` при остановленном KESL.
|
||
|
||
## 4. АВЗ.2 — базы
|
||
|
||
ID подтвердить через `--get-task-list`.
|
||
|
||
```sh
|
||
kesl-control --get-settings 6
|
||
kesl-control --start-task 6 -W
|
||
kesl-control --get-task-state 6
|
||
kesl-control --app-info --json
|
||
START="$(LC_ALL=C date +'%Y/%b/%d %H:%M:%S;1')"
|
||
kesl-control --set-schedule 6 RuleType=Hourly \
|
||
"StartTime=${START}" RunMissedStartRules=No RandomInterval=0
|
||
kesl-control --get-schedule 6
|
||
```
|
||
|
||
До приёмки наблюдать хотя бы один автоматический hourly cycle. Alert: ошибка
|
||
Update, базы старше 240 часов, базы не загружены, лицензия недействительна.
|
||
|
||
## 5. Host protection — АВЗ.1
|
||
|
||
Добавить только фактические hot-data mountpoint Redis Safety и OTEL queue.
|
||
Не исключать `/var/lib/docker`, release, incoming, secrets, `/tmp` или `/`.
|
||
Не исключать staging broker `/var/lib/han-kesl-scan/staging`: исключение task 1
|
||
распространяется и на явный `Scan_File`, поэтому файл будет пропущен. Если
|
||
исключение уже добавлено, удалить его до проверки broker:
|
||
|
||
```sh
|
||
kesl-control --set-settings 1 \
|
||
--del-exclusion /var/lib/han-kesl-scan/staging
|
||
```
|
||
|
||
```sh
|
||
kesl-control --get-settings 1 \
|
||
--file /root/kesl-install/file-threat.before.ini
|
||
kesl-control --set-settings 1 \
|
||
--add-exclusion <REDIS_SAFETY_DATA_MOUNTPOINT>
|
||
kesl-control --set-settings 1 \
|
||
--add-exclusion <OTEL_QUEUE_MOUNTPOINT>
|
||
kesl-control --start-task 1
|
||
kesl-control --set-settings 1 \
|
||
ActionOnThreat=DisinfectDeleteIfNotPossible ScanArchived=No
|
||
kesl-control --get-task-state 1
|
||
kesl-control --get-settings 1
|
||
```
|
||
|
||
Проверять события, health, firewall и ресурсы каждые 15 минут. При деградации:
|
||
`kesl-control --stop-task 1`.
|
||
|
||
## 6. Scan-broker
|
||
|
||
После активации release повторить host setup для установки root-owned unit,
|
||
затем проверить файлы и включить socket:
|
||
|
||
```sh
|
||
systemd-analyze verify \
|
||
/etc/systemd/system/han-kesl-scan-broker.service \
|
||
/etc/systemd/system/han-kesl-scan-broker.socket
|
||
systemctl enable --now han-kesl-scan-broker.socket
|
||
systemctl is-active kesl han-kesl-scan-broker.socket
|
||
stat -c '%U:%G:%a %n' /run/han-kesl/scan.sock
|
||
/usr/local/libexec/han-kesl-scan-broker --probe
|
||
journalctl --since '-10 min' --no-pager -u han-kesl-scan-broker.service
|
||
```
|
||
|
||
Ожидается `root:han-message-safety:660`. Broker не имеет TCP port, принимает
|
||
не более 5 MiB, не получает S3 key/имя/ПД, запускает фиксированный Scan_File
|
||
`Inform` и возвращает только verdict/version. Неизвестный вывод KESL — error.
|
||
Для `Scan_File` код возврата `72` означает обнаружение угрозы и принимается
|
||
только вместе с итогом `detected > 0`; любое противоречие обрабатывается как
|
||
`scanner_unavailable`.
|
||
Broker service намеренно не содержит `Requires=kesl.service`: иначе обращение
|
||
к socket автоматически запустит остановленный KESL и сделает fail-closed
|
||
проверку недостоверной. Порядок запуска обеспечивается `After=kesl.service`.
|
||
|
||
## 7. Приёмка и cutover
|
||
|
||
EICAR разрешён только письменно Security и не хранится в repository/evidence.
|
||
Отдельно выполнить:
|
||
|
||
1. host on-access: обнаружение и реагирование task 1;
|
||
2. broker: clean → clean, EICAR → infected, остановленный KESL → error;
|
||
3. 5 concurrent broker slots и corpus 2 file/s; p95 final ≤60 s, public wait
|
||
≤300 s, queue age p95 ≤5 s;
|
||
4. Message Safety: clean `200`, malware `403`, scanner error `503`, verdict sticky;
|
||
5. smoke ВМ2/ВМ1, firewall unchanged, 24 часа без OOM/restart/5xx/degradation.
|
||
|
||
Только после gates активировать новую config version, release без
|
||
`clamd`/`freshclam`, затем подтвердить отсутствие их контейнеров/volumes и
|
||
закрыть старый signature-CDN egress.
|
||
|
||
## 8. Evidence
|
||
|
||
Заполнить `EVIDENCE.AVZ.ru.md` без activation code, secrets, file bytes, S3 key,
|
||
полного checksum и EICAR. Сохранить безопасные excerpts:
|
||
|
||
```sh
|
||
systemctl is-active kesl han-kesl-scan-broker.socket
|
||
kesl-control --app-info --json
|
||
kesl-control --get-task-state 1
|
||
kesl-control --get-settings 1
|
||
kesl-control --get-schedule 6
|
||
kesl-control -E --query -n 100 --reverse --json
|
||
/usr/local/sbin/han-vm2-compose ps
|
||
```
|
||
|
||
## 9. Rollback
|
||
|
||
Application rollback: вернуть предыдущие совместимые image/config/release с
|
||
`clamd`, не создавать новый task id для уже pending request. Host KESL оставить,
|
||
если он не причина инцидента.
|
||
|
||
Если проблема в host protection:
|
||
|
||
```sh
|
||
kesl-control --stop-task 1
|
||
# если KESL не отвечает:
|
||
systemctl stop kesl
|
||
```
|
||
|
||
`apt-get purge kesl` — только по решению approver. Не выполнять compose
|
||
`down -v`, не удалять Redis/OTEL volumes и не менять firewall ради обхода.
|
||
|
||
После rollback повторить smoke, resource checks и зафиксировать incident.
|