كيفية نشر Kaspersky Endpoint Security عبر KSC

يشرح هذا الدليل نشر Kaspersky Endpoint Security for Business على الأجهزة الطرفية المُدارة باستخدام مركز إدارة Kaspersky (KSC). وKSC هو وحدة التحكم المركزية: يحتفظ خادم الإدارة فيه بالسياسات والحِزَم والمهام، بينما يحمل وكيل شبكة صغير على كل جهاز التعليمات وبيانات التتبّع بين الجهاز الطرفي والخادم. والتدفّق أدناه نفسه سواء استخدمتم وحدة التحكم القائمة على MMC أو وحدة تحكم KSC الويب؛ وقد تختلف مسارات القوائم قليلاً حسب الإصدار.

للنشر والتهيئة والدعم والتكامل الكامل في المملكة العربية السعودية، اطّلعوا على خدمة نشر ودعم Kaspersky لدينا.

المتطلبات المسبقة

• خادم إدارة KSC مُركّب ويمكن الوصول إليه، مع تهيئة قاعدة البيانات الداعمة وشهادة خادم الإدارة في مكانها.
• ملحق إدارة Kaspersky Endpoint Security لنظام Windows مُركّب في KSC (وملحق وحدة التحكم الويب إن كنتم تستخدمونها).
• إمكانية الوصول إلى الأجهزة المستهدفة عبر الشبكة؛ وللتركيب بالدفع، إمكانية الوصول إلى مشاركات الإدارة ومشاركة الملفات والطابعات، وحساب مسؤول مجال أو محلي يمكنه تركيب البرامج.
• منافذ TCP مفتوحة بين الوكلاء وخادم الإدارة: 13000 (SSL) و14000 (غير مشفّر)، إضافةً إلى 13291 لوحدة التحكم في الإدارة.
• إزالة أي برنامج مكافحة فيروسات قائم/منافس من الأجهزة المستهدفة لتجنّب تعارض التعريفات.

الخطوة 1 — استيراد حِزَم التركيب

في وحدة التحكم في الإدارة، انتقلوا إلى متقدّم ← التركيب عن بُعد ← حِزَم التركيب (في وحدة التحكم الويب: الاكتشاف والنشر ← النشر والإسناد ← حِزَم التركيب). أنشئوا حِزَماً لـ:

• التوزيعة الحالية من Kaspersky Endpoint Security لنظام Windows.
• توزيعة وكيل الشبكة (Network Agent) المطابقة.

يستطيع KSC تنزيل أحدث الحِزَم مباشرةً من خوادم Kaspersky، أو يمكنكم استيراد توزيعة منزَّلة. ووكيل الشبكة هو ما يتيح للخادم إدارة الجهاز، لذا يُركَّب إلى جانب KES (أو قبله).

الخطوة 2 — إنشاء مهمة التركيب عن بُعد

شغّلوا تركيب التطبيق عن بُعد من عقدة خادم الإدارة (أو أنشئوا مهمة من المهام ← إضافة من نوع تركيب التطبيق عن بُعد). في المعالج:

1. اختاروا حزمة تركيب Kaspersky Endpoint Security. سيُركّب المعالج أيضاً وكيل الشبكة مع KES؛ وإذا كان وكيل الشبكة موجوداً مسبقاً فلن يُعاد تركيبه.
2. اختاروا طريقة النشر. والطريقة الافتراضية والأكثر موثوقية على شبكة مُدارة هي باستخدام وكيل الشبكة؛ أما للأجهزة التي لا وكيل لها بعد، فيمكن دفع KES/وكيل الشبكة باستخدام موارد نظام التشغيل عبر مشاركة الإدارة، وهو ما يتطلّب حساب المسؤول المذكور في المتطلبات.
3. اختاروا الأجهزة أو مجموعة الإدارة المستهدفة (مجموعة تجريبية أولاً مثلاً).
4. اضبطوا الجدولة — يدوياً، أو في وقت محدّد، أو الخيار الشائع عند اكتشاف أجهزة جديدة للإلحاق التلقائي.
5. قدّموا الحساب الذي يملك صلاحية التركيب، واختاروا ما إذا كان سيُعاد تشغيل الجهاز تلقائياً عند الحاجة.

شغّلوا المهمة وراقبوا نتائجها لكل جهاز. يُبلّغ KSC عن حالات النجاح وقيد التنفيذ والفشل مع سبب الخطأ الذي يمكنكم التصرّف بناءً عليه.

الخطوة 3 — التحقق من اتصال وكيل الشبكة

بمجرد أن يُبلّغ الجهاز، تأكّدوا من أن الوكيل يتواصل مع الخادم. يأتي وكيل الشبكة بأداتي سطر أوامر. في Windows المجلد الافتراضي هو:

C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\

وفي Linux (64-bit) هو /opt/kaspersky/klnagent64/bin/. افتحوا موجّه أوامر برفع صلاحيات في ذلك المجلد وشغّلوا klnagchk لعرض إعدادات الاتصال وفرض فحص مقابل خادم الإدارة:

klnagchk

ولكتابة النتيجة إلى ملف سجل وتشغيل المزامنة (نبضة) مع الخادم:

klnagchk -logfile C:\Temp\klnagchk.log -sendhb

مفاتيح klnagchk المفيدة:

• -logfile <file> — كتابة تقرير إعدادات الاتصال إلى ملف سجل.
• -sp — إظهار كلمة مرور المصادقة على الخادم الوكيل (proxy).
• -savecert <path> — حفظ الشهادة المستخدَمة للوصول إلى خادم الإدارة في ملف.
• -restart — بدء تشغيل وكيل الشبكة بعد انتهاء الأداة.
• -sendhb — بدء المزامنة (نبضة) بين وكيل الشبكة وخادم الإدارة.

الخطوة 4 — إعادة توجيه الوكيل باستخدام klmover (عند الحاجة)

إذا ظهر الجهاز بحالة غير متصل، أو نُسخ من قالب، أو وجب نقله إلى خادم إدارة آخر (مثل فرع تمّت ترقيته إلى خادم خاص به)، فاستخدموا klmover من مجلد وكيل الشبكة نفسه برفع صلاحيات. الصياغة هي:

klmover [-address <server address>] [-pn <port>] [-ps <SSL port>] [-nossl] [-cert <path to certificate>]

لربط الوكيل بخادم باسم DNS عبر منفذ SSL الافتراضي (13000):

klmover -address ksc.yourdomain.local -ps 13000

معنى المفاتيح:

• -address <server address> — عنوان IP أو اسم DNS لخادم الإدارة المراد الاتصال به.
• -pn <port> — منفذ الاتصال غير المشفّر (الافتراضي 14000).
• -ps <SSL port> — منفذ اتصال SSL (الافتراضي 13000).
• -nossl — استخدام اتصال غير مشفّر.
• -cert <path> — استخدام ملف الشهادة المحدّد للمصادقة على خادم الإدارة.

يتطلّب klmover صلاحيات مسؤول محلي. وفي Linux 64-bit توجد الأداة نفسها في /opt/kaspersky/klnagent64/bin/klmover. بعد إعادة التوجيه، شغّلوا klnagchk -sendhb للتأكّد من أن الجهاز يتزامن ويظهر من جديد في مجموعة الإدارة الصحيحة.

الخطوة 5 — بناء سياسة الحماية

انتقلوا إلى الأجهزة المُدارة ← السياسات (في وحدة التحكم الويب: الأجهزة ← السياسات والملفات التعريفية) وأنشئوا سياسة لـ Kaspersky Endpoint Security لنظام Windows. كحدّ أدنى، فعّلوا واضبطوا:

• حماية الملفات وحماية الويب وحماية البريد وحماية الشبكة.
• كشف السلوك ومنع الاستغلال ومحرّك المعالجة — هذه الثلاثة معاً توفّر السلوك الأساسي لمكافحة الفدية والتراجع عن التغييرات.
• منع اختراق المضيف (HIPS)، إضافةً إلى التحكم في التطبيقات والأجهزة والويب حسبما تتطلّب سياستكم (مثل حظر تخزين USB غير المُصرّح به).
• شبكة Kaspersky الأمنية (KSN) للسمعة السحابية، أو KSN محلية/خاصة حين يجب أن تبقى بيانات التتبّع داخل المؤسسة.
• حماية كلمة المرور بحيث لا يستطيع المستخدمون تعطيل الوكيل أو إلغاء تركيبه محلياً.

استخدموا أيقونة القفل على كل إعداد لفرضه (منع التجاوز المحلي)، وأنشئوا ملفات تعريف للسياسات للخوادم مقابل محطات العمل بحيث تحصل كل فئة أجهزة على مجموعة قواعد مناسبة.

الخطوة 6 — إنشاء مهام الفحص والتحديث

تحت الأجهزة المُدارة ← المهام (في وحدة التحكم الويب: الأجهزة ← المهام)، أضيفوا مهاماً لـ Kaspersky Endpoint Security:

• التحديث — لإبقاء قواعد بيانات مكافحة الفيروسات ووحدات التطبيق محدّثة؛ جدوِلوها بشكل متكرّر (مثل كل بضع ساعات)، ويُفضَّل من مستودع تحديث مستضاف على KSC بحيث لا يسحب كل جهاز طرفي التحديثات من الإنترنت.
• فحص البرمجيات الخبيثة / فحص المناطق الحرجة — فحص يومي للمناطق الحرجة مع فحص كامل أسبوعي خط أساس شائع؛ جدوِلوها خارج ساعات العمل واستخدموا خيار تشغيل المهام المتخطّاة لأجهزة الكمبيوتر المحمولة المُطفأة في الوقت المجدوَل.
• البحث عن الثغرات والتحديثات المطلوبة — حيثما كانت قدرة الثغرات/الترقيع مُرخّصة.

الخطوة 7 — التحقق من صحة النشر

تأكّدوا من ظهور الأجهزة المستهدفة تحت الأجهزة المُدارة بحالة حماية سليمة، وأن السياسة مُطبَّقة، وأن مهمة التحديث قد عملت (قواعد البيانات محدّثة)، وأن فحصاً قد اكتمل مرة واحدة على الأقل. راجعوا تقرير حالة الحماية وتقرير إصدارات برامج Kaspersky لرصد المتأخّرين. وعالِجوا أي أجهزة غير متصلة باستخدام خطوات klnagchk/klmover أعلاه.

الخلاصة

أصبح لديكم الآن Kaspersky Endpoint Security مُسلَّماً عبر KSC مع اتصال موثَّق لوكيل الشبكة، وسياسة حماية مفروضة، ومهام تحديث وفحص مجدوَلة. ولعمليات النشر الإنتاجية على نطاق واسع — خوادم إدارة موزّعة ونقاط توزيع وتكامل SIEM وتحصين متوافق مع NCA — اطّلعوا على خدمة نشر ودعم Kaspersky لدينا، أو تصفّحوا سوق SKYLINE، أو تواصلوا معنا على +966 50 993 9334.