1. KSC là gì và vì sao cần?

Kaspersky Security Center là management console on-premise cho dòng Kaspersky Endpoint Security for Business (KESB Select/Advanced/Total). Console gồm 3 thành phần:

• Administration Server: dịch vụ chính, lưu trữ policy, quản lý endpoint
• Database backend: SQL Server hoặc PostgreSQL
• Web Console: giao diện HTML5 truy cập qua browser

So với KES Cloud Plus (SaaS), KSC cho phép kiểm soát chi tiết hơn: AD integration, GPO deploy, Application Control whitelist, Device Control granular, encryption management, vulnerability scan, patch management.

2. Sizing server cho 100 endpoint

Lưu ý: SQL Server Express miễn phí nhưng giới hạn database 10GB và RAM 1GB. Với 100 node, dữ liệu telemetry/event thường chỉ chiếm 3-5GB sau 12 tháng - Express đủ. Trên 250 node nên chuyển sang SQL Standard hoặc PostgreSQL.

2.1. VM hay bare metal?

VMware vSphere hoặc Hyper-V đều phù hợp. KSC chạy mượt trên VM với cấu hình trên. Nên reserve resource trên hypervisor để tránh balloon mem.

3. Quy trình cài đặt KSC

3.1. Chuẩn bị

1. Dựng VM Windows Server 2022 Standard, join domain (recommended)
2. Cài .NET Framework 4.7.2 hoặc cao hơn
3. Tải KSC installer phiên bản mới nhất (KSC 14.2 / 15.x) từ kaspersky.com
4. Mở port firewall trên server và endpoint

3.2. Port cần mở

3.3. Cài đặt installer

1. Chạy ksc_15_x_xxx.exe với quyền Administrator
2. Chọn Standard installation (single server)
3. Chỉ định database: SQL Express auto cài cùng, hoặc dùng external SQL/PostgreSQL
4. Tạo Administration Server account (recommended: dedicated service account trong AD, tên svc-ksc)
5. Chọn shared folder cho update repository (mặc định C:\ProgramData\KasperskyLab\KSC\Share\)
6. Activate license key (file .key hoặc activation code 20 ký tự)
7. Finish + reboot

3.4. Truy cập Web Console

Sau khi cài, mở browser: https://ksc.company.local:8060. Đăng nhập bằng AD admin hoặc local admin server.

4. Network Discovery - phát hiện máy trong mạng

KSC có 3 phương thức discovery:

4.1. AD Domain Poll

Vào Discovery & Deployment → Unassigned devices → Properties, bật Domain controller polling. KSC sẽ enumerate Computer object trong AD mỗi 15-60 phút.

4.2. IP Range Scan

Khai báo range nội bộ (vd 192.168.1.0/24). KSC ping ICMP + NetBIOS scan. Lưu ý: WSL hoặc VM bridge có thể bị scan nhầm.

4.3. Windows Domain Browser

Dùng NetBIOS browser cũ - phù hợp workgroup network không có AD.

Đa số doanh nghiệp Việt Nam có AD → dùng AD Domain Poll, ít rủi ro nhất.

5. Tạo Installation Package

Trước khi push install xuống endpoint, cần build package:

1. Vào Repositories → Installation packages → Add
2. Chọn Create installation package for Kaspersky application
3. Chọn 2 application:
   • Kaspersky Endpoint Security 12.x for Windows
   • Kaspersky Network Agent 15.x for Windows
4. Tải file distribution (KES_12.x.exe + KNA_15.x.msi) từ kaspersky.com
5. KSC tự upload vào shared folder repository
6. Tạo standalone installation package (nếu cần manual install)

Sau bước này, package sẵn sàng để task deploy chạy.

6. Deploy Network Agent + KES xuống endpoint

6.1. Phương án A - Remote Install Task (push từ KSC)

KSC push trực tiếp xuống endpoint qua SMB/RPC. Yêu cầu:

• Endpoint trong cùng AD domain
• Admin domain account có quyền local admin trên endpoint
• File & Printer Sharing enabled trên endpoint
• Windows Firewall allow SMB

Tạo task: Tasks → New → Remote installation task → Chọn installation package → Chọn target devices → Schedule. KSC chạy task, push file, install silent, reboot nếu cần.

6.2. Phương án B - GPO Software Installation

Phù hợp khi có nhiều VLAN, firewall nội bộ chặn RPC. KSC tạo MSI standalone, admin AD deploy qua Group Policy:

:: Trên DC, mở Group Policy Management
1. Tạo GPO mới: "Deploy Kaspersky KES"
2. Computer Configuration → Policies → Software Settings
   → Software installation → New → Package
3. Chọn .msi standalone (path UNC, vd \\dc\share\KES_standalone.msi)
4. Deployment method: Assigned
5. Link GPO vào OU chứa Computer object
6. Trên endpoint chạy: gpupdate /force → reboot

GPO deploy chậm hơn (1 reboot mới install) nhưng reliable, ít fail.

6.3. Phương án C - Login script / SCCM

Doanh nghiệp dùng SCCM/Intune có thể push package qua kênh của mình. Kaspersky cung cấp MSI signed.

7. Verify deploy thành công

Sau task hoàn thành, kiểm tra:

:: Trên endpoint, chạy:
"C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\klnagchk.exe"

Output expected:
KLNAGENT version 15.x.x.xxxx
Server certificate: OK
Connection to Administration Server: OK
Last sync: YYYY-MM-DD HH:MM:SS
KLNAGENT status: RUNNING

:: Force sync ngay nếu cần
"C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\klmover.exe" -address ksc.company.local

:: Kiểm tra KES service
sc query AVP
sc query klnagent

:: Bật verbose log debug
"C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\klscflag.exe" -fset -pv klnagent -s GUI -n EnableLogRotation -v 1 -t d

Trên KSC Web Console, vào Devices → Managed devices - máy mới deploy xuất hiện với trạng thái "Online" và "Network Agent installed".

8. Áp policy default

8.1. Policy KES

KSC có sẵn template Recommended security policy. Áp dụng cho group Managed Devices root để áp xuống toàn bộ. Cấu hình quan trọng:

• Real-time protection: enable all (File, Web, Mail, IM threats)
• Behavior Detection: enable, sensitivity High
• Exploit Prevention: enable
• Anti-Ransomware: enable + Rollback
• Network Threat Protection: enable
• Firewall: enable, learning mode 2 tuần đầu
• Application Control: bắt đầu ở mode Statistics, sau 4-6 tuần chuyển Block
• Device Control: block USB removable, allow USB từ approved devices
• Web Control: block category Malware, Phishing, Adult, P2P

8.2. Policy Network Agent

• Sync interval: 15 phút
• Heartbeat: 60 giây
• UDP discovery: bật (port 14000)
• Update repository: dùng KSC server làm nguồn (giảm bandwidth WAN)

9. Update repository - tiết kiệm bandwidth

Mặc định Network Agent tải update database từ KSC server (đã pre-download từ Kaspersky cloud). Cấu hình:

1. Tasks → New → Download updates to repository
2. Schedule: 4-6 lần/ngày (mỗi 4 tiếng)
3. Source: Kaspersky update server
4. Target: %ProgramData%\KasperskyLab\KSC\Share\Updates

Sau đó endpoint pull từ KSC server qua LAN - tiết kiệm internet bandwidth đáng kể. Doanh nghiệp 100 node mỗi máy update 100-300MB/ngày = 10-30GB/ngày → đẩy về KSC cache giảm xuống chỉ 200-300MB cho cả company.

10. Backup KSC database

Quan trọng: KSC mất database = mất toàn bộ history. Backup hằng ngày:

:: Backup task KSC built-in
Tasks → New → Administration Server data backup
Schedule: Daily 02:00
Target: \\backup-srv\share\ksc-backup\

:: Hoặc dùng SQL backup native
SQLCMD -S .\KAV_CS_ADMIN_KIT -Q "BACKUP DATABASE KAV_DB TO DISK = N'D:\Backup\KAV_DB.bak' WITH INIT"

:: Retention: giữ 30 backup, archive lên cloud weekly

11. Best practice tổng kết

1. Dùng dedicated service account AD cho KSC, không dùng Domain Admin
2. Tách KSC ra VM riêng, không cài chung với DC hay file server
3. Bật automatic update repository download để giảm WAN bandwidth
4. Pilot deploy 5-10 máy trước → verify policy không gây false positive với app nội bộ → mới rollout 100 máy
5. Backup database hàng ngày, test restore mỗi tháng
6. Cập nhật KSC version mỗi 6 tháng (patch security)
7. Monitor disk usage shared folder repository (dễ vượt 50GB sau 1 năm)

Triển khai KSC tốt nhất là làm 2 giai đoạn: cài + pilot 1 tuần, sau đó mới rollout đại trà. Đừng cố làm "big bang deploy 100 máy 1 ngày" - false positive sẽ chôn vùi team support.

12. Hỗ trợ từ TND

TND là đại lý Kaspersky tại Việt Nam, có team kỹ thuật hỗ trợ triển khai KSC cho khách hàng mua từ 50 node trở lên. Dịch vụ bao gồm: sizing server, cài đặt KSC + SQL backend, cấu hình policy template, deploy pilot, training admin nội bộ. Mọi đơn hàng Kaspersky Endpoint Security đều có hoá đơn VAT điện tử Thông tư 78 đầy đủ - phục vụ kế toán/audit công ty.

Liên hệ [email protected] để được tư vấn lộ trình deploy phù hợp với hạ tầng AD/network của bạn.

Tham khảo thêm: Cloud Plus vs Business Select, EDR tier nào phù hợp, Anti-Ransomware Rollback.