Совместная работа Kaspersky KESL и Nova Container Platform SE

Данная инструкция описывает порядок установки и настройки Kaspersky Endpoint Security для Linux (KESL) совместно с Nova Container Platform SE (Nova SE). Документ охватывает сценарий установки klnagent на хосты с уже развернутой Nova SE.

Одновременная работа klnagent и kubelet без дополнительной настройки невозможна. Агент klnagent удерживает точки монтирования cgroups, из-за чего subtree_control недоступен для kubelet.

1. Описание проблемы

При удаленной установке klnagent на узлы Nova через KSC инсталлятор стабильно зависает. Причина - опрос сетевых интерфейсов хоста при старте, который не завершается в нестандартной сетевой конфигурации Nova SE.

2. Порядок установки

Сформируйте автономный инсталляционный пакет агента в KSC. Перейдите к разделам Инсталляционные пакеты → Выбрать пакет → Развернуть → С использованием автономного инсталляционного пакета.
Передайте сформированный пакет на защищаемый хост.
Сделайте скрипт исполняемым:
```
chmod +x klnagent64_***_amd64.sh
```
Запустите установку с флагом, отключающим опрос сетевых интерфейсов:
```
sudo env KLTR_ENV_SKIP_FILL_ADDRESSES=1 ./klnagent64_***_amd64.sh
```
Запуск без флага KLTR_ENV_SKIP_FILL_ADDRESSES=1 приведет к зависанию установщика.
Остановите службу и добавьте флаг в конфигурацию systemd, чтобы он применялся при каждом запуске:
```
systemctl stop klnagent
systemctl edit klnagent
```

Добавить блок:

[Service]
Environment="KLTR_ENV_SKIP_FILL_ADDRESSES=1"

Сохраните изменения (Ctrl+O, Enter, Ctrl+X) и примените их:

Запустите postinstall с тем же флагом:

KLTR_ENV_SKIP_FILL_ADDRESSES=1 /opt/kaspersky/klnagent64/lib/bin/setup/postinstall.pl

Установите lshw (требуется для корректной работы агента):
Для Debian‑систем (AstraLinux, Ubuntu)
```
apt-get install -y lshw
```
Для RPM-систем (РЕД ОС, Almalinux)
```
dnf install -y lshw
```
Перезапустите агент:
```
systemctl restart klnagent
```

3. Настройка политик KESL

Для корректной работы Nova SE необходимо отключить следующие компоненты защиты в политике KESL через KSC (Управление активами → Политики → Параметры приложения):

Компоненты защиты KESL для отключения
Раздел	Компонент
Защита устройств от угроз	Защита от атак BadUSB
Защита устройств от угроз	Анализ поведения
Защита устройств от угроз	Проверка съемных дисков
Защита сетевых соединений	Защита от почтовых угроз
Защита сетевых соединений	Защита от веб-угроз
Защита сетевых соединений	Защита от сетевых угроз
Защита сетевых соединений	Сетевой экран
Общие настройки → Настройки сети	Проверка защищенных соединений
Общие настройки → Настройки сети	Режим перехвата трафика: установить eBPF
Общие настройки → Настройки сети	Удалить все порты из списка контролируемых
Контроль безопасности	Веб-Контроль

4. Исключения из антивирусного сканирования

Для предотвращения ложных срабатываний и деградации производительности необходимо исключить служебные директории Nova SE из проверки KESL. Ниже приведен рекомендуемый список на основе практики развертывания:

Директории для исключения из проверки KESL
Директория	Назначение
`/etc/cni/`	Конфигурации CNI-модуля
`/etc/kubernetes`	Статические манифесты подов, PKI-сертификаты
`/opt/cni/bin/`	Исполняемые файлы CNI
`/opt/nova/`	Бинарники компонентов платформы
`/var/lib/containerd-nova`	Данные CRI: образы, снапшоты
`/var/lib/kubelet/`	Конфигурация kubelet
`/var/lib/etcd`	База данных etcd (только master-узлы)
`/var/log/containers`	Логи контейнеров
`/var/log/pods/`	Логи подов
`/etc/starvault`	Данные StarVault
`/opt/local-path-provisioner`	Служебный каталог Local Path Provisioner
`/var/run/calico`	Служебный каталог cni Calico
`/var/lib/calico`	Служебный каталог cni Calico
`/var/run/secrets-store-csi-providers`	Служебный каталог Secrets Store CSI Driver
`/etc/puppetlabs/`	Файлы конфигурации, PKI-сертификаты
`/opt/containerd*`	Служебный каталог плагина io.containerd.internal.v1.opt
`/opt/etcd/`	Бинарники etcd
`/opt/starvault/`	Файлы конфигурации Starvault
`/etc/ssl/`	Файлы и сертификаты PKI
`/etc/cilium/`	PKI-сертификаты
`/var/lib/node-local-gateway/`	Файлы конфигурации Node Local Gateway
`/etc/nova-storage-agent/`	Файлы конфигурации, PKI-сертификаты
`/etc/node-local-gateway/`	Файлы конфигурации, PKI-сертификаты

5. Проверка корректности совместной работы

После завершения настройки убедитесь, что:

все узлы кластера в состоянии Ready:
```
kubectl get nodes
```
сервис klnagent запущен и работает:
```
systemctl status klnagent
```
в KSC устройство отображается как активное и защищенное.
поды в kube-system запущены и не перезапускаются:
```
kubectl get pods -n kube-system
```